Virus de la gendarmerie aussi chez moi...Fermé

Question

Bonjour, 

Comme je suis une dame polie je passe par la case départ et je ne pollue pas le post des autres internautes :)

Je suis sous XP, depuis cet après-midi j'ai ce satané virus s'est installé.
Je ne suis pas douée en info, j'ai donc redémarré en mode sans echec puis installé malwarebytes qui m'a trouvé 15 infections. J'ai mis celles-ci en quarantaine puis supprimé.
Le virus est toujours là.
Je vous colle déjà le rapport (je crois que c'est ce que vous demander dans un premier temps...) là j'ai redémarré en mode sans echec ... réseau  pour vous écrire:


Malwarebytes Anti-Malware 1.62.0.1300
www.malwarebytes.org

Version de la base de données: v2012.07.03.05

Windows XP Service Pack 3 x86 NTFS (Mode sans échec)
Internet Explorer 8.0.6001.18702
HP_Administrateur :: NOM-FB9B15D2723 [administrateur]

26/07/2012 18:58:01
mbam-log-2012-07-26 (18-58-01).txt

Type d'examen: Examen complet (C:\|D:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 335046
Temps écoulé: 35 minute(s), 

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 1
HKCU\SOFTWARE\CLASSES\CLSID\{42AEDC87-2188-41FD-B9A3-0C966FEABEC1}\INPROCSERVER32 (Trojan.Zaccess) -> Mis en quarantaine et supprimé avec succès.

Valeur(s) du Registre détectée(s): 1
HKCU\SOFTWARE\CLASSES\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InprocServer32| (Trojan.Zaccess) -> Données: C:\Documents and Settings\HP_Administrateur\Local Settings\Application Data\{913e6b08-aa05-70fa-e753-d6275671103a}
. -> Mis en quarantaine et supprimé avec succès.

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 14
C:\Documents and Settings\HP_Administrateur\Local Settings\Temp\01net\01Net_download_manager.com.exe (PUP.Toolbar.Repacked) -> Aucune action effectuée.
C:\Documents and Settings\HP_Administrateur\Local Settings\Application Data\{913e6b08-aa05-70fa-e753-d6275671103a}\U\00000008.@ (Trojan.Dropper.BCMiner) -> Mis en quarantaine et supprimé avec succès.
C:\System Volume Information\_restore{512DF77D-45B5-4AE1-9C2A-EC48B0F584C1}\RP173\A0046140.ini (Trojan.0access) -> Mis en quarantaine et supprimé avec succès.
C:\System Volume Information\_restore{512DF77D-45B5-4AE1-9C2A-EC48B0F584C1}\RP174\A0047132.ini (Trojan.0access) -> Mis en quarantaine et supprimé avec succès.
C:\System Volume Information\_restore{512DF77D-45B5-4AE1-9C2A-EC48B0F584C1}\RP176\A0047306.ini (Trojan.0access) -> Mis en quarantaine et supprimé avec succès.
C:\System Volume Information\_restore{512DF77D-45B5-4AE1-9C2A-EC48B0F584C1}\RP177\A0047659.ini (Trojan.0access) -> Mis en quarantaine et supprimé avec succès.
C:\System Volume Information\_restore{512DF77D-45B5-4AE1-9C2A-EC48B0F584C1}\RP178\A0047677.ini (Trojan.0access) -> Mis en quarantaine et supprimé avec succès.
C:\System Volume Information\_restore{512DF77D-45B5-4AE1-9C2A-EC48B0F584C1}\RP179\A0047704.ini (Trojan.0access) -> Mis en quarantaine et supprimé avec succès.
C:\System Volume Information\_restore{512DF77D-45B5-4AE1-9C2A-EC48B0F584C1}\RP181\A0048704.ini (Trojan.0access) -> Mis en quarantaine et supprimé avec succès.
C:\System Volume Information\_restore{512DF77D-45B5-4AE1-9C2A-EC48B0F584C1}\RP181\A0048710.ini (Trojan.0access) -> Mis en quarantaine et supprimé avec succès.
C:\System Volume Information\_restore{512DF77D-45B5-4AE1-9C2A-EC48B0F584C1}\RP182\A0049710.ini (Trojan.0access) -> Mis en quarantaine et supprimé avec succès.
C:\System Volume Information\_restore{512DF77D-45B5-4AE1-9C2A-EC48B0F584C1}\RP183\A0051709.ini (Trojan.0access) -> Mis en quarantaine et supprimé avec succès.
C:\System Volume Information\_restore{512DF77D-45B5-4AE1-9C2A-EC48B0F584C1}\RP183\A0052713.ini (Trojan.0access) -> Mis en quarantaine et supprimé avec succès.
C:\Documents and Settings\HP_Administrateur\ms.exe (Trojan.Agent) -> Mis en quarantaine et supprimé avec succès.

(fin)



Configuration: Windows XP / Internet Explorer 8.0

roro04 · Accepted Answer

Hello!

On va créer un LiveCD permettant de supprimer les Malwares ou autres, empêchant le démarrage d'un système.
Sur un pc fonctionnel:
&#x25B6; Télécharge OTLPEnet sur ton bureau.
&#x25B6; Lance-le (Clique droit/Exécuter en tant qu'administrateur pour Vista/7) et assures-toi d'avoir insérer un CD-R vierge dans ton graveur CD/DVD. 
&#x25B6; Une fenêtre va s'ouvrir pour te demander si tu souhaites graver le CD, clique sur le bouton Oui.
&#x25B6; Patiente le temps de la décompression et de la gravure du CD.

Sur ton pc malade:
&#x25B6; Il faut mainteant insérer le CD créé dans le lecteur du PC malade et redémarrer l'ordinateur sur le CD : https://forum.malekal.com/viewtopic.php?t=9447&start=
&#x25B6; En fonction de votre type de connexion Internet, tu dois être en mesure d'accéder au Net, si bien que tu peux accéder à ce sujet plus facilement.
&#x25B6; Une fois le bureau de reatogo chargé, lances OTLPE, l'icone jaune.
&#x25B6; Quand demandé Do you wish to load remote user profile(s) for scanning, sélectionne Yes.
&#x25B6; Ici sélectionne ta session
Voir image => http://imagesup.org/image
&#x25B6; Si ton systeme d'exploitation est Vista tu peux avoir ce message : RunScanner Error - Target is not windows 2000 or later, il faut donc se rendre jusqu'au dossier c:\windows dans l'arborescence en dessous de local disk (c:) et cliquer sur OK].
Voir image => http://imagesup.org/image
&#x25B6; Sous Custom Scan box copie_colle le contenu en gras ci-dessous.

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.*
%SYSTEMDRIVE%\*.exe
%PROGRAMFILES%\*.*
%PROGRAMFILES%\*.
/md5start
volsnap.sys
wininit.ini 
eventlog.dll
winlogon.exe
scecli.dll
netlogon.dll
cngaudit.dll
sceclt.dll
ntelogon.dll
logevent.dll
wininit.exe
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
explorer.exe
svchost.exe
userinit.exe
qmgr.dll
ws2_32.dll
proquota.exe
imm32.dll
kernel32.dll
ndis.sys
autochk.exe
spoolsv.exe
xmlprov.dll
ntmssvc.dll
mswsock.dll
Beep.SYS
ntfs.sys
termsrv.dll
sfcfiles.dll
st3shark.sys
rundll32.exe
/md5stop
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
c:\$recycle.bin\*.* /s
&#x25B6; Clique sur Run Scan pour démarrer le scan.
&#x25B6; Une fois terminé , le fichier se trouve là C:\OTL.txt
&#x25B6; Copie_colle le contenu dans ta prochaine réponse.


Toujours sur le PC infecté
&#x25B6; Clique sur MyComputer.
&#x25B6; Rends-toi dans le disque dur où se trouve les données.
&#x25B6; Insère une clé USB précédemment vacciné grace au logiciel USBFix (Lance le logiciel et clique sur Vacciner)
&#x25B6; Copie toute tes données importantes dessus sauf les fichier exécutables (*.exe/*.msi/*.bat)

Toujours sur le PC infecté
&#x25B6; Clique sur le bouton en bas à gauche de la barre des tâches.
&#x25B6; Clique sur Run et tape regedit.
&#x25B6; Rends toi dans HKEY_MOCAL_MACHINE\SOFTWARE_ON_C\Microsoft\Windows NT\Current Version\Winlogon
&#x25B6; Dis moi le contenu de la colone Data en face de Shell et Userinit.

++

galexis30 · Answer

Bonsoir,

Je vous conseille d'aller faire un tour sur cette FAQ.

Cordialement,
galexis30

pimprenelle27 · Answer

Bonsoir bettyboop75 


en Mode sans échec avez vous l'option démarrer avec la dernière bonne configuration connue 


Si ça ne marche pas faire ceci en MSE : 



Nous allons faire un petit diagnostic de ton PC pour cela :


==> Télécharge ZHPDiag (de Nicolas Coolman)


==> si ça ne marche pas, essaye de la télécharger ici

==> Enregistre le sur ton Bureau.

Une fois le téléchargement achevé,

==> Si vous êtes sous Vista/Seven pensez à faire clique droit éxécuter en tant qu'administrateur.
clique sur suivant pour lancer l'installation dans la fenêtre qui s'ouvre.

==> Pour XP lancer ZHPDiag.exe et clique sur suivant pour lancer l'installation dans la fenêtre qui s'ouvre.

==> Clique sur le tournevis en haut à droite (option) puis cocher toutes les cases des options.

==> Clique sur la loupe pour lancer l'analyse.

A la fin de l'analyse,

==> Clique sur l'appareil photo où disquette et enregistre le rapport sur ton Bureau.

Pour me le transmettre clique sur ce lien :

http://threat-rc.com/

==> Clique sur Parcourir et cherche le fichier ZHPDiag.txt

==> Clique sur Ouvrir.

==> Copie ce lien de fichier joint dans ta réponse. 
Helper - Contributeur sécurité

bettyboop75 · Answer

Merci de vos réponses
Pimprenelle 27 : je n'ai pas réussi à redémarrer mon ordi sur la dernière bonne configuration connue... ni autrement d'ailleurs...

Roro04 : j'ai télécharger et gravé OTLPE.net puis modifié via Setup l'ordre de démarrage sur mon PC sur le CD ROM... Rien ne se passe et l'écran me demande toujours comment démarrer : MSE / MSE av prise en charge réseau... et rien ne marche malgré tout...
J'en peux plus, j'ai envie de tout passer par la fenêtre !!!
J'attends vos directives, plus que ça à faire

pimprenelle27 · Answer

Essaye de voir si tu peux faire le rapport ZHP diag via le mode sans échec avec prise en charge réseau.

g3n-h@ckm@n · Answer

salut sinon y a ca 

https://gen-hackman.kanak.fr/

bettyboop75 · Answer

Pimprenelle27 : impossible d'entrer avec le mode sans échec, mon ordi redemarre et recommence lorsque j'essaie.

gen hackman : j'ai télécharger ce que tu m'as cité dans ton lien et gravé, vérifié l'ordre de la prise en charge CD ROM en premier et rien ne se passe non plus, mon ordi redémarre encore et toujours... Pffff

g3n-h@ckm@n · Answer

tu memorises bien avec F10 dans le bios ?

bettyboop75 · Answer

je suis sous XP au fait ! et mon ordi a environ 6 ans, plus tout jeune

g3n-h@ckm@n · Answer

si tu as bien lu le systeme on s en fout que ce soit xp ou vista

roro04 · Answer

Re,

Une fois que tu as modifié les paramètres dans le BIOS, il faut enregistrer.

Pour cela, tape F10 et valide pas la touche y.

Si rien n'y fait, c'est que tu dois mal graver le fichier ISO.

++

bettyboop75 · Answer

Désolé mais je ne peux pas répondre de suite, j'étais en attente d'un second PC pour pouvoir vous lire et vous écrire.
Oui j'ai bien mémorisé dans le BIOS en validant par la touche F10 car ca m'affiche un message : voulez vous mémoriser et fermer la modification.
Et lorsque mon ordi redémarre et que je vais sur le Setup à l'aide de la touche F1, je vois bien que l'ordi est programmé au démarrage sur le CD ROM et non sur le disque dur comme initialement.
A l'aiiiiiiiiiiiiiiiiiiiiiiiiiiiide

bettyboop75 · Answer

Non rien ce se passe !!
J'ai gravé hier Ultimate Boot CD 5 et là j'ai réussi à démarrer via le CD, j'ai scanné ma mémoire + DD... mais dans la partie "Others" où je suis censée trouver un antivirus y'a pas grand chose...
Du coup j'ai pu récupérer mes données et dossiers que j'ai mis sur mon DD externe au moins c'est déjà sauvé.
Vous me conseiller quoi maintenant ?

g3n-h@ckm@n · Answer

à tous les coups il a gravé l'executable d'otlpe tel quel au lieu de lire les instructions comme il le faut...

Bettyboop75 · Answer

Ca veut dire quoi "IL" a gravé tel quel ??? au lieu de lire les instructions ?
J'ai bien spécifié que je n'y connaissais rien... sinon je n'aurais pas demandé de l'aide...

Bettyboop75 · Answer

Bon pour ne pas passer pour la dernière des c**** j'ai tenté de regraver OTLPE mais sur l'autre ordi que j'ai à la maison il y a un antivirus (pc de boulot) et je ne peux pas cliquer sur OTLPE donc je n'ai que le fichier télécharger. j'avais pu graver Ultimate boot cd car je l'ai fait au boulot... pfff quelle merde !!!

Virus de la gendarmerie aussi chez moi...

16 réponses

Discussions similaires

Newsletters