Virus office central de lutte contre la criminalite liee aux tecRésolu/Fermé

Question

Bonjour, 

J'ai le même pb que certains avec ce virus depuis ce matin.
J'ai essayé ce qui est dit dans les posts précédants, mais je n'arrive pas à redemarrer en mode sans echec avec prise en charge du reseau, uniquement invite de commandes en mode sans echec.

Que dois-je faire?

Merci

Configuration: iPad / Safari 6.0

Malekal_morte- · Answer

Salut, 

Lance une restauration en invite de commandes en mode sans échec - voir paragraphe Restauration du système en ligne de commandes mode sans échec: https://forum.malekal.com/viewtopic.php?t=20428&start=#p166263

Si tu es sur Windows Seven, lance une restauration du système à partir du menu "réparer mon ordinateur".
Voir second paragraphe : https://forum.malekal.com/viewtopic.php?t=20428&start=#p166847

Djudje81 · Answer

Je suis en train de faire ce que tu me dis, je te tiens au courant.
Merci

Djudje81 · Answer

Je viens de terminer la restauration en mode invite de commandes en mode sans echec. Ça a l'air de fonctionner.
Je n'ai rien de plus à faire concernant le virus?

Merci
Julien

Malekal_morte- · Answer

Télécharge http://general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/28-adwcleaner AdwCleaner ( d'Xplode ) sur ton bureau.  
Lance le, clique sur [Suppression] puis patiente le temps du scan.  
Une fois le scan fini, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse.  

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt  


~~

Si tu as Spybot ou Ad-Aware désinstalle les, servent à rien.
Mets Malwarebyte Anti-Malware à la place : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/


~~

Sécurise ton PC !

Important - ton infection est venue par un exploit sur site web :   

Un exploit sur site WEB permet l'infection de ton ordinateur de manière automatiquement à la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à ton insu.  
Le fait de ne pas avoir des logiciels à jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système.  
Exemple avec : Exploit Java  

Il faut donc impérativement maintenir tes logiciels à jour afin de ne pas voir ces portes d'entrée sur ton système.
Tant que ces logiciels ne seront pas à jour, ton PC est vulnérable et les infections peuvent s'installer facilement.

IMPORTANT : mettre à jour tes programmes notamment Java/Adobe Reader et Flash : 
/faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite     
https://forum.malekal.com/viewtopic.php?t=15960&start=  

Passe le mot à tes amis ! 

~~

Filtrer les PUPs/Adwares les plus fréquents avec HOSTS Anti-PUPs/Adwares : http://www.malekal.com/2012/01/10/hosts-anti-pupsadware/

~~

Le reste de la sécurité : http://forum.malekal.com/comment-securiser-son-ordinateur.html

Djudje81 · Answer

voilà ce que j'ai:


# AdwCleaner v2.009 - Rapport créé le 27/11/2012 à 13:07:22
# Mis à jour le 24/11/2012 par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : FELIPE - FELIPE-PC
# Mode de démarrage : Normal
# Exécuté depuis : C:\Users\FELIPE\Desktop\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Program Files (x86)\AVG Secure Search
Dossier Supprimé : C:\Program Files (x86)\Conduit
Dossier Supprimé : C:\Program Files (x86)\DealPly
Dossier Supprimé : C:\Program Files (x86)\FileConverter_1.5
Dossier Supprimé : C:\Program Files (x86)\SweetIM
Dossier Supprimé : C:\ProgramData\AVG Secure Search
Dossier Supprimé : C:\ProgramData\boost_interprocess
Dossier Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\DealPly
Dossier Supprimé : C:\ProgramData\SweetIM
Dossier Supprimé : C:\Users\FELIPE\AppData\Local\AVG Secure Search
Dossier Supprimé : C:\Users\FELIPE\AppData\Local\Conduit
Dossier Supprimé : C:\Users\FELIPE\AppData\Local\Google\Chrome\User Data\Default\Extensions\gaiilaahiahdejapggenmdmafpmbipje
Dossier Supprimé : C:\Users\FELIPE\AppData\Local\Google\Chrome\User Data\Default\Extensions\jcdgjdiieiljkfkdcloehkohchhpekkn
Dossier Supprimé : C:\Users\FELIPE\AppData\Local\Google\Chrome\User Data\Default\Extensions\ogccgbmabaphcakpiclgcnmcnimhokcj
Dossier Supprimé : C:\Users\FELIPE\AppData\Local\lollipop
Dossier Supprimé : C:\Users\FELIPE\AppData\LocalLow\AVG Secure Search
Dossier Supprimé : C:\Users\FELIPE\AppData\LocalLow\Conduit
Dossier Supprimé : C:\Users\FELIPE\AppData\LocalLow\FileConverter_1.5
Dossier Supprimé : C:\Users\FELIPE\AppData\LocalLow\PriceGong
Fichier Supprimé : C:\Users\FELIPE\Desktop\Search The Web.url
Supprimé au redémarrage : C:\Program Files (x86)\Common Files\AVG Secure Search

***** [Registre] *****

Clé Supprimée : HKCU\Software\AppDataLow\Software\Conduit
Clé Supprimée : HKCU\Software\AppDataLow\Software\ConduitSearchScopes
Clé Supprimée : HKCU\Software\AppDataLow\Software\FileConverter_1.5
Clé Supprimée : HKCU\Software\AppDataLow\Software\PriceGong
Clé Supprimée : HKCU\Software\AppDataLow\Software\SmartBar
Clé Supprimée : HKCU\Software\AppDataLow\Toolbar
Clé Supprimée : HKCU\Software\AVG Secure Search
Clé Supprimée : HKCU\Software\DealPly
Clé Supprimée : HKCU\Software\Google\Chrome\Extensions\gaiilaahiahdejapggenmdmafpmbipje
Clé Supprimée : HKCU\Software\lollipop
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{CFCB809C-3A22-4616-A916-6C007BD9D920}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{27100E88-8830-44ED-9D6A-CA24F3523F39}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{CFCB809C-3A22-4616-A916-6C007BD9D920}
Clé Supprimée : HKLM\Software\AVG Secure Search
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{1FDFF5A2-7BB1-48E1-8081-7236812B12B2}
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\ScriptHelper.EXE
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\ViProtocol.DLL
Clé Supprimée : HKLM\SOFTWARE\Classes\AVG Secure Search.BrowserWndAPI
Clé Supprimée : HKLM\SOFTWARE\Classes\AVG Secure Search.BrowserWndAPI.1
Clé Supprimée : HKLM\SOFTWARE\Classes\AVG Secure Search.PugiObj
Clé Supprimée : HKLM\SOFTWARE\Classes\AVG Secure Search.PugiObj.1
Clé Supprimée : HKLM\SOFTWARE\Classes\MediaPlayer.GraphicsUtils
Clé Supprimée : HKLM\SOFTWARE\Classes\MediaPlayer.GraphicsUtils.1
Clé Supprimée : HKLM\SOFTWARE\Classes\MgMediaPlayer.GifAnimator
Clé Supprimée : HKLM\SOFTWARE\Classes\MgMediaPlayer.GifAnimator.1
Clé Supprimée : HKLM\SOFTWARE\Classes\PROTOCOLS\Handler\viprotocol
Clé Supprimée : HKLM\SOFTWARE\Classes\S
Clé Supprimée : HKLM\SOFTWARE\Classes\ScriptHelper.ScriptHelperApi
Clé Supprimée : HKLM\SOFTWARE\Classes\ScriptHelper.ScriptHelperApi.1
Clé Supprimée : HKLM\SOFTWARE\Classes\sim-packages
Clé Supprimée : HKLM\SOFTWARE\Classes\SWEETIE.IEToolbar
Clé Supprimée : HKLM\SOFTWARE\Classes\SWEETIE.IEToolbar.1
Clé Supprimée : HKLM\SOFTWARE\Classes\sweetim_urlsearchhook.toolbarurlsearchhook
Clé Supprimée : HKLM\SOFTWARE\Classes\sweetim_urlsearchhook.toolbarurlsearchhook.1
Clé Supprimée : HKLM\SOFTWARE\Classes\Toolbar.CT3241952
Clé Supprimée : HKLM\SOFTWARE\Classes\Toolbar3.sweetie
Clé Supprimée : HKLM\SOFTWARE\Classes\Toolbar3.sweetie.1
Clé Supprimée : HKLM\SOFTWARE\Classes\ViProtocol.ViProtocolOLE
Clé Supprimée : HKLM\SOFTWARE\Classes\ViProtocol.ViProtocolOLE.1
Clé Supprimée : HKLM\Software\Conduit
Clé Supprimée : HKLM\Software\DealPly
Clé Supprimée : HKLM\Software\FileConverter_1.5
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\SweetIM.exe
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{27100E88-8830-44ED-9D6A-CA24F3523F39}
Clé Supprimée : HKLM\SOFTWARE\MozillaPlugins\@avg.com/AVG SiteSafety plugin,version=11.0.0.1,application/x-avg-sitesafety-plugin
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{27100E88-8830-44ED-9D6A-CA24F3523F39}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{CFCB809C-3A22-4616-A916-6C007BD9D920}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\Interface\{03E2A1F3-4402-4121-8B35-733216D61217}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Google\Chrome\Extensions\gaiilaahiahdejapggenmdmafpmbipje
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Google\Chrome\Extensions\jcdgjdiieiljkfkdcloehkohchhpekkn
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Google\Chrome\Extensions\ogccgbmabaphcakpiclgcnmcnimhokcj
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{87C1FB39-BA7C-4F32-A7EF-90BB0F1EFD78}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{FDB6BB93-AB23-4D8A-85F9-CBD1B2AB3178}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{CFCB809C-3A22-4616-A916-6C007BD9D920}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\AVG Secure Search
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\DealPly
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\FileConverter_1.5 Toolbar
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{03E2A1F3-4402-4121-8B35-733216D61217}
Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{CFCB809C-3A22-4616-A916-6C007BD9D920}]
Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks [{CFCB809C-3A22-4616-A916-6C007BD9D920}]
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks [{CFCB809C-3A22-4616-A916-6C007BD9D920}]
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [SweetIM]
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [Sweetpacks Communicator]
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs [C:\Program Files (x86)\SweetIM\Toolbars\Internet Explorer\mgHelperApp.exe]
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs [C:\Program Files (x86)\SweetIM\Toolbars\Internet Explorer\mgToolbarProxy.dll]
Valeur Supprimée : HKLM\SOFTWARE\Mozilla\Firefox\Extensions [Avg@toolbar]
Valeur Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Toolbar [{CFCB809C-3A22-4616-A916-6C007BD9D920}]

***** [Navigateurs] *****

-\ Internet Explorer v9.0.8112.16421

Remplacé : [HKCU\Software\Microsoft\Internet Explorer\Main - Start Page] = hxxp://search.conduit.com?SearchSource=10&ctid=CT3241952 --> hxxp://www.google.com
Remplacé : [HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Main - Start Page] = hxxp://home.sweetim.com/?crg=3.1010000&st=18&barid={854D4740-110D-11E2-83FA-4C809362B87A} --> hxxp://www.google.com

-\ Google Chrome v23.0.1271.64

Fichier : C:\Users\FELIPE\AppData\Local\Google\Chrome\User Data\Default\Preferences

Supprimée [l.9] : homepage = "hxxp://home.sweetim.com/?crg=3.1010000&st=18&barid={854D4740-110D-11E2-83FA-4C809[...]
Supprimée [l.13] : urls_to_restore_on_startup = [ "hxxp://home.sweetim.com/?crg=3.1010000&st=18&barid={854D47[...]
Supprimée [l.40] : keyword = "search.sweetim.com",
Supprimée [l.43] : search_url = "hxxp://search.sweetim.com/search.asp?src=6&crg=3.1010000&st=18&q={searchTerms}&[...]
Supprimée [l.1707] : homepage = "hxxp://home.sweetim.com/?crg=3.1010000&st=18&barid={854D4740-110D-11E2-83FA-4C809362[...]
Supprimée [l.2073] : urls_to_restore_on_startup = [ "hxxp://home.sweetim.com/?crg=3.1010000&st=18&barid={854D4740-[...]

*************************

AdwCleaner[S1].txt - [8676 octets] - [27/11/2012 13:07:22]

########## EOF - C:\AdwCleaner[S1].txt - [8736 octets] ##########

Malekal_morte- · Answer

plus qu'à faire le reste :)

Djudje81 · Answer

J'ai fait le reste:

Malwarebytes Anti-Malware (Essai) 1.65.1.1000
www.malwarebytes.org

Version de la base de données: v2012.11.27.02

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
FELIPE :: FELIPE-PC [administrateur]

Protection: Activé

27/11/2012 13:20:02
mbam-log-2012-11-27 (13-20-02).txt

Type d'examen: Examen complet (C:\|Q:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 355834
Temps écoulé: 1 heure(s), 8 minute(s), 22 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 9
C:\$RECYCLE.BIN\S-1-5-18\$cd610e76aad13fefa696a75e27344982
 (Trojan.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\$RECYCLE.BIN\S-1-5-18\$cd610e76aad13fefa696a75e27344982\U\00000004.@ (Trojan.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\$RECYCLE.BIN\S-1-5-18\$cd610e76aad13fefa696a75e27344982\U\00000008.@ (Trojan.Dropper.BCMiner) -> Mis en quarantaine et supprimé avec succès.
C:\$RECYCLE.BIN\S-1-5-18\$cd610e76aad13fefa696a75e27344982\U\000000cb.@ (Trojan.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\$RECYCLE.BIN\S-1-5-18\$cd610e76aad13fefa696a75e27344982\U\80000000.@ (Trojan.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\$RECYCLE.BIN\S-1-5-18\$cd610e76aad13fefa696a75e27344982\U\80000064.@ (Trojan.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\$RECYCLE.BIN\S-1-5-21-2219889945-1969133021-1125444305-1001\$cd610e76aad13fefa696a75e27344982
 (Trojan.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\Users\FELIPE\AppData\Local\Temp\861D.tmp (Trojan.Agent.FSA32) -> Mis en quarantaine et supprimé avec succès.
C:\Users\FELIPE\AppData\Local\Temp\975C.tmp (Trojan.Dropper) -> Mis en quarantaine et supprimé avec succès.

(fin)



Merci pour ton aide rapide, ça fait plaisir.
Je vais tâcher de suivre tes conseils de sécurité

Malekal_morte- · Answer

wow t'avais même ZeroAccess :)

Le pare-feu et centre de sécurité doivent plus fonctionner.
Pour les remettre => https://forum.malekal.com/viewtopic.php?t=36444&start=#p283396

Virus office central de lutte contre la criminalite liee aux tec

8 réponses

Discussions similaires

Newsletters