[Virus/Trojan ]Microsoft security adviser

Question

Bonjour à tous,

Je me dirige vers vous car mes compétences en fait de désinfection se limitent à l'application de mercurochrome sur les genoux.

J'ai été infecté hier, au décours d'une navigation où j'ai cliqué sur un arrière fond piégé (pour remettre IE en avant) qui m'a emmené sur un site plein de jolies filles toutes nues, avec des gros virus bien poilus à l'intérieur.
AntiVir a affiché alerte sur alerte, jusqu'à l'arrachage de la clef wifi, ce qui a été suivi par le TeaTimer de S&D qui m'informait de tentatives de modifs du Registre, toutes refusées évidemment.

Actuellement :
1/ Un message d'erreur s'affiche toutes les deux minutes pour me proposer d'installer un antivirus.
2/ Le fond d'écran est devenu tout noir.
3/ Un nouveau process est apparu, msupdate.exe et je n'arrive pas à l'arrêter.
4/ Un dossier "Microsoft Security Adviser" est apparu avec des fichiers au noms de type jbiyfvsd.osk dedans.
5/ Il est IMPOSSIBLE de redémarrer en SANS ÉCHEC
6/ AntiVir ne détecte rien, S&D détecte du CoolWW qui se recrée aussitôt supprimé.
7/ Stinger me dit que tout va bien. 
8/ SmitFraudFix n'a servi à rien.
9/ HiJAckThis n'a rien pu faire contre les quelques clef annotés comme Microsoft security adviser.

Question :
1/ Quelles autres infos nécessitez vous pour m'aider ?
2/ Que ne faut il surtout pas faire ?
3/ Que faut il faire ?

Merci,
Lovo, démoralisé.


Si

booddha · Answer

Bravo pour l'humour :)


Bonjour/Bonsoir
	•	Ne pas surfer ailleurs que sur le site
	•	Couper MSN ou tout autre connexion hormis celle sur le site
	•	Appliquer exactement et dans l'ordre les procédures indiquées.
	•	Au cas ou plusieurs intervenants se manifestent, en choisir un et un seul.

	•	Rester devant la machine en rafraichissant souvent le forum pour voir les nouvelles réponses.
	•	Répondre sans attendre à toutes les questions posées dans l'ordre ou elles ont étés posées
	•	Etre précis dans les réponses. Ne s'en tenir qu'au sujet et rien qu'au sujet.
	•	A proscrire : le language SMS.

	•	Ne pas quitter tant qu'il n'est pas dit explicitement que le problème est résolu ou qu'il dépasse les compétences de celui ou ceux qui vous aident.
	•	Ne pas ouvrir plusieurs discussions sur le même sujet sauf si on vous le demande (Problème non résolu. Ca arrive)

	•	Ne pas s'impatienter. L'analyse d'un rapport et la recherche de solutions appropriées prends un certain temps. Inutile donc de reposter le même message. Nous ne vous oublions pas, nous vous cherchons une solution

	•	Ne pas oublier : nous sommes bénévoles. Nous mangeons, nous dormons, nous travaillons, nous avons une vie de famille aussi.

	•	Les procédures qui vont suivre, bien que largement éprouvées, sont mises en oeuvre aux risques et périls du possesseur de la machine.


Préparation de la machine

	•	Vider la corbeille
	•	Fermer toutes les applications
	•	Cliquer sur démarrer/panneau de configuration/outil/option des dossiers/affichage
	•	Cocher afficher les fichiers et dossiers cachés
	•	Décocher la case Masquer les fichiers protégés du système d'exploitation (recommandé)
	•	Décocher masquer les extensions dont le type est connu
	•	Faire Ok pour valider les changements.

	
================ PareFeu XP - Vista ===================
	•	Si un autre pare-feu que celui de windows est installé, vérifier qu'il est actif et passer à l'étape CCleaner

	•	Sinon

pour activer/désactiver le Pare-feu Vista
pour activer/désactiver le Pare-feu Xp le Pare-feu XP

	•	Activer le pare-Feu si ce n'est déjà fait

===================== CCLEANER ========================
Pour le petit coup de polish. 
	•	Appliquer la procédure ci-dessous. 
	•	l'outil pourra être conservé pour faire le ménage de temps en temps en appliquant la même procédure.

	•	Télécharger CCLeaner et l'installer sur le bureau en refusant l'installation de la barre Yahoo.
	•	Fermer toutes les applications
	•	Lancer CCLeaner
	        S'il n'est pas en Français cliquer sur Options, Setting, Language et sélectionner Français
	•	cocher dans le menu Nettoyeur - onglet Windows :
	        Internet Explorer: Fichiers Internet Temporaires, Cookies
	•	Système: Vider la Poubelle, Fichiers Temporaires, Presse-papiers
	•	Avancé: Vieilles données du Prefetch
	•	Décocher dans le menu Options - sous-menu Avancé :
	        Effacer uniquement les fichiers, du dossier temp de Windows, plus vieux que 48 heures
	•	Cocher dans le menu Nettoyeur - onglet Applications : Internet: Sun Java
	•	Cocher , si cela est possible, dans le menu Nettoyeur - onglet Applications :
	        Firefox/Mozilla: Cache Internet, Cookies 
	•	Click sur Analyse
	•	Click sur le bouton Lancer le nettoyage dans le menu Nettoyeur. 
	
	•	Click sur Registre
	•	Sélectionner tout
	•	Click sur Chercher des erreurs (En bas)
	•	Une fois le scan terminé sélectionner tout  
	•	Click sur Réparer les erreurs sélectionnées
Les cinq derniers points sont à répéter jusqu'à ce qu'il n'y ai plus d'erreurs.


==================== HIJACKTHIS ======================

https://forums.cnetfrance.fr

HijackThis

• Télécharger HijackThis
• Installer HijackThis en se laissant guider (Accepter le répertoire proposé sans rien changer)
• Fermer HijackThis
• Télécharger sur le bureau HJTNew (Si le Pare-Feu ou l'Anti-virus se manifeste, Ignorer)
• Fermer toutes les applications
• Lancer HJTNew.exe
Ne pas s'étonner pour HJTNew, rien ne s'affiche, juste une fenêtre qui s'ouvre et se ferme aussitôt. C'est normal.
• Click sur Do a system scan and save a logfile
• Une fenêtre bloc-notes apparait en fin de scan. 
• Faire Ctrl+A pour tout sélectionner
• Faire Ctrl+C pour tout copier
• Faire CTRL+V dans le prochain message  du forum pour Copier/Coller le rapport puis
• Supprimer HJTNew.exe puis
• Attendre les instructions
_

==================== ATTENTION ======================
La procédure ci-dessus n'est destinée qu'à préparer la machine.
Aucune désinfection n'a été faite pour l'instant.

chimay8 · Answer

arff

c'est déja assez ancien ça

 ca sent le win32.alcan

Télécharge Malwarebytes' Anti-Malware et enregistre le sur ton Bureau. 
https://www.malwarebytes.com/ 

(NB : S'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharges le ici : https://www.malekal.com/tutorial-aboutbuster/ )

A la fin du téléchargement, ferme toutes les fenêtres et programmes, y compris celui-ci. 
Double-clique sur l'icône "Download_mbam-setup.exe" sur ton bureau pour démarrer le programme d'installation.
 
Pendant l'installation, suis les indications n'apporte aucune modification aux réglages par défaut et en fin d'installation, vérifie que les options "Update Malwarebytes' Anti-Malware" et "Launch Malwarebytes' Anti-Malware" soit cochées. 
MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse. Comme MBAM se met automatiquement à jour en fin d'installation, clique sur OK pour fermer la boîte de dialogue.
La fenêtre principale de MBAM s'affiche : 
Dans l'onglet analyse, vérifie que "Exécuter un examen complet" est coché et clique sur le bouton Rechercher pour démarrer l'analyse. 
MBAM analyse ton ordinateur. 
L'analyse peut prendre un certain temps. Il suffit de vérifier de temps en temps son avancement. 
A la fin de l'analyse, un message s'affiche indiquant la fin de l'analyse. Clique sur OK pour poursuivre. 
Si des malwares sont détectés, leur liste s'affiche. 
***EN CLIQUANT SUR SUPPRESSION(?)FAIT LE*** , MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Ferme le Bloc-notes. (Le rapport peut être retrouvé sous l'onglet Rapports/logs) 
Ferme MBAM en cliquant sur Quitter. 
Poste le rapport dans ta réponse

Utilisateur anonyme · Answer

salut booddha

c'est la 1ere fois que je lis ton "entrée de sujet"
ca force le respect ;))
je m'eclipse et je vous laisse travailler :)

Lovo · Answer

Avira AntiVir a détecté Tr/Agent Buen in "c:\program files\Microsoft Security Adviser\dksntxkr.bwu" ... que dois je faire ? (Quarantine, Delete, Rename, Deny access, Ignore)

Si mon guide ne peut se reconnecter d'ici l'heure d'aller au dodo, je prendrais le parti de DELETE.

Merci,
Lovo

Lovo · Answer

Le scan avec Malwarebytes' est terminé, et cet outil a des dents très affutées ===>[]

Aucun des symptômes et signes de l'infection ne se manifeste plus ... (pour l'instant)
Après ta confirmation de la propreté (logicielle) de ma poussiéreuse machine, je passerai le sujet en résolu.

Merci infiniment à chacun de vous de votre rapidité à répondre et de votre temps. Je commençais a envisager des opérations violentes (quoique catharsiques) incluant notamment une tronçonneuse (vendredi 13 oblige) de l'essence et un briquet. 

Voici le rapport de scan :

Malwarebytes' Anti-Malware 1.34
Version de la base de données: 1845
Windows 5.1.2600 Service Pack 2

13/03/2009 21:44:14
mbam-log-2009-03-13 (21-44-14).txt

Type de recherche: Examen complet (C:\|)
Eléments examinés: 232224
Temps écoulé: 3 hour(s), 38 minute(s), 19 second(s)

Processus mémoire infecté(s): 2
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 15
Dossier(s) infecté(s): 1
Fichier(s) infecté(s): 11

Processus mémoire infecté(s):
C:\WINDOWS\system32\msupdate.exe (Backdoor.Bot) -> Unloaded process successfully.
C:\WINDOWS\system32\mkrnl.exe (Backdoor.Bot) -> Unloaded process successfully.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Trymedia Systems (Adware.Trymedia) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msupdate.exe (Backdoor.Bot) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\NoDispBackgroundPage (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\NoDispAppearancePage (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\NameServer (Trojan.DNSChanger) -> Data: 85.255.115.30 85.255.112.226 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{1ff814e2-3691-4afd-88da-1f7f96f1d673}\NameServer (Trojan.DNSChanger) -> Data: 85.255.115.30,85.255.112.226 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{7d8dd70f-6cfb-48ef-bcd4-56009bb22552}\DhcpNameServer (Trojan.DNSChanger) -> Data: 85.255.115.30,85.255.112.226 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{aaba195d-f39f-487d-aee0-2490b04055c6}\DhcpNameServer (Trojan.DNSChanger) -> Data: 85.255.115.30,85.255.112.226 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{aaba195d-f39f-487d-aee0-2490b04055c6}\NameServer (Trojan.DNSChanger) -> Data: 85.255.115.30,85.255.112.226 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{cdcce330-e3fd-4331-91a7-978ff9a3d4e9}\DhcpNameServer (Trojan.DNSChanger) -> Data: 85.255.115.30,85.255.112.226 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{cdcce330-e3fd-4331-91a7-978ff9a3d4e9}\NameServer (Trojan.DNSChanger) -> Data: 85.255.115.30,85.255.112.226 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{d8b61143-da87-4006-94b0-c4b5093f03d5}\DhcpNameServer (Trojan.DNSChanger) -> Data: 85.255.115.30,85.255.112.226 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{d8b61143-da87-4006-94b0-c4b5093f03d5}\NameServer (Trojan.DNSChanger) -> Data: 85.255.115.30,85.255.112.226 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{f26286c0-fe21-4c34-8ab7-39ae1b86785f}\DhcpNameServer (Trojan.DNSChanger) -> Data: 85.255.115.30,85.255.112.226 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{f26286c0-fe21-4c34-8ab7-39ae1b86785f}\NameServer (Trojan.DNSChanger) -> Data: 85.255.115.30,85.255.112.226 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{f57d172e-f0ee-4df6-b28c-210e05330ee2}\DhcpNameServer (Trojan.DNSChanger) -> Data: 85.255.115.30,85.255.112.226 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{f57d172e-f0ee-4df6-b28c-210e05330ee2}\NameServer (Trojan.DNSChanger) -> Data: 85.255.115.30,85.255.112.226 -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
C:\Program Files\Microsoft Security Adviser (Trojan.Downloader) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):
C:\Program Files\Microsoft Security Adviser\odmgriav.jem (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Program Files\Microsoft Security Adviser\stnxmsjc.hnb (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Program Files\Microsoft Security Adviser\sycwsggy.bpr (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Program Files\Microsoft Security Adviser\uosotcns.xif (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\msupdate.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\mkrnl.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
C:\WINDOWS\msscan.dll (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\WINDOWS\msiemon.dll (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\WINDOWS\msfw.dll (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\WINDOWS\msctrl.dll (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\Program Files\SETUP.EXE (Rogue.Installer) -> Quarantined and deleted successfully.

chimay8 · Answer

Salut,essaye ceci stp

réparer windows: 

https://www.pcastuces.com/pratique/windows/xp/default.htm

https://forums.cnetfrance.fr

dis moi quoi!

Lovo · Answer

D'accord, je lance ça ... mais je n'ai pas de CD Windows XP (ni fourni par la Fnac, ni gravé par mes soins) ... aucun risque si je lance le processus sans cette galette ?

Lovo

chimay8 · Answer

Télécharge ce fichier et décompresse le sur ton bureau, 

http://www.assistepc.com/telechargement/registre/mse/safeboot_sp2.zip

Double clique sur safeboot_sp2.reg et accepte la fusion à la base de registre

dis moi quoi!

Lovo · Answer

Bonjour,

Safeboot installé puis SFC exécuté.

Aucune amélioration : le boot en mode sans échec est impossible, et les paramètres d'affichage sont toujours réduit à l'écran de veille.

Lovo.

chimay8 · Answer

mwouais!

je pense sincèrement que ton infection a détruit des parties de ton OS!

tu peux pas obtenir d'une connaissance un cd de windows pour réparer?

Lovo · Answer

Dans une fac de droit ??? Naaaaaan pour eux, David Copperfield et Bill Gates c'est la même personne.

La console de récupération windows, à laquelle on peut accéder en faisant F5 pendant le boot, ça peut servir à quelque chose ?

Lovo.

chimay8 · Answer

mmm!
si je ne m'abuse,c'est la réparation de type usine...

cela risque d'effacer pas mal de dossier


David Copperfield et Bill Gates c'est la même personne.
lol  :)))

Lovo · Answer

Tu veux dire que ça fait illusion ? ;-) 

Question stupide : faire un rollback (restauration) AVANT la date de l'infection, ça peut servir à quelque chose ?

Quelqu'un peut il nous apporter ses lumières ?

chimay8 · Answer

oui,c'est toujours possible de restaurer,mais tu vas restaurer les fichiers malsain avec...

ce que tu peux faire,c'est restaurer avant le passage de MBAM puis  télécharger Antivir qui lui va faire le ménage dans la restau système

mais c'est pas garanti!

Lovo · Answer

Petit UP

Dans l'espoir qu'un autre dépanneur passe par là ...

Lovo · Answer

Soliloquant d'espoir ...

Après un passage de Spybot S&D, plusieurs modifications du registres ont été réparée, et je peux à nouveau accéder au propriétés de l'affichage, et je peux a nouveau modifier la résolution ou le wallpaper ; mais en changeant de wallpaper, je me suis rendu compte que (comme sous W95!) le nom des icônes restait bleu au lieu de redevenir transparent.

Si quelqu'un a des idées ....

[Virus/Trojan ]Microsoft security adviser

16 réponses

Votre réponse

Discussions similaires

Newsletters