Virus se faisant passer pour un antivirus

Question

Bonjour,
J'ai attrapé depuis hier soir un virus qui se fait passer pour un antivirus s'appelant AntiMalware. Grosso modo j'ai des "messages de sécurité" qui apparaissent toutes les 5 minutes de "Windows Security Alerts" ou "Windows security center" (qui est en fait un fake). Le message m'informe qu'un virus peut infecter mon ordinateur (il change de nom à chaque fois) et me propose de cliquer sur "enable protection". Quand je le fais, AntiMalware se met en place et là j'ai des icones porno qui se mettent sur mon bureau, connexion automatique à msn, neutralisation de mon wifi etc.

J'étais sous protection Avast quand je l'ai chopé (il n'a rien détecté), je l'ai désinstallé et téléchargé AVG, qui ne le détecte pas non plus. Il a simplement relevé une incompatibilité avec "Antimalware" et m'a conseillé de le désinstaller (mais bien sur antimalware est introuvable).

Je suis un peu désespérée, j'ai essayé les scans en ligne aussi mais ils ne détectent rien... Est ce que quelqu'un rencontre le même problème ou pourrait m'aider?

Merci d'avance.

Xplode · Answer

Salut,

-+-+-+-> ZHPDiag <-+-+-+-


[x] Télécharge ZHPDiag ( de Nicolas coolman ).

[x] Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )

[x] Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau

[x] Clique sur l'icône en forme de loupe ( en haut à gauche ), puis laisse l'outil scanner.

[x] Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau.

[x] Rend toi sur Cijoint

[x] Clique sur " Parcourir " 

[x] Séléctionne le rapport ZHPdiag.txt qui se trouve sur ton bureau

[x] Clique ensuite sur " Cliquez ici pour déposer le fichier " puis copie/colle le lien qui est apparudans ton prochain message

alexis08350 · Answer

tu l' as rechercher dans demarer rechercher 
essaye de metre ccleaner et skyboot scherch et destroy 
peut etre que eux il le trouveron ( je te conseil dan un premier temps de faire ccleaner qui et rapide et apres skyboot qui est plus performent )
cordialement alexis

alexis08350 · Answer

L'outil dont nous allons parler ici est MRT.exe que vous trouverez dans le répertoire system32 de Windows. Pour le lancer, il suffit donc de créer un raccourci de ce fichier sur votre bureau ou plus simplement d'aller dans Démarrer, Exécuter… et de taper la commande suivante :

%systemroot%/system32/MRT.exe (ou tapez directement mrt)

Le programme se lance directement (rien ne s'installe sur le disque) 
L'outil de suppression de logiciels malveillants Microsoft s'applique sur Windows 2000, Windows XP et Windows 2003 et Windows Vista. Si vous utilisez XP avec les updates automatiques activées, le programme est alors déjà présent sur votre système (il est également présent sous Vista par défaut). Dans le cas contraire, vous pouvez télécharger le programme sur cette page. A noter que si une ancienne version de l'antimalware est déjà présente sur votre PC, un simple petit tour sur Windows Update vous permettra d'effectuer une mise à jour.
https://www.zebulon.fr/astuces/securite-systeme/202-l-antimalware-cache-de-windows.html
ce serat plus simple

Help! · Answer

Bonjour Xplode,

Voici l'adresse du fichier que j'ai déposé.

Merci d'avance

http://www.cijoint.fr/cjlink.php?file=cj200912/cijbuDOhek.txt

Xplode · Answer

Ok , on va commencer par ceci :

-+-+-+-> USBfix ( Infections USB ) <-+-+-+-


[x] Télécharge USBfix ( de Chiquitine29 )

[x] Un tutoriel est disponible ici

[x] Installe le

/!\ Branche tout tes médias amovibles ( clés USB, DD externe, Cartes SD ) /!\

[x] Lance USBfix en cliquant sur l'icône qui est sur ton bureau ( Clique droit -> Executer en tant qu'administrateur pour vista )

[x] Choisis l'option F ( pour français ) et valide en appuyant sur entrée.

[x] Au menu principal, choisis l'option 2

[x] Laisse l'outil travailler puis poste le rapport dans ton prochain message

Help! · Answer

Xplode, voici le rapport d'USBfix.

Entretemps, AVG a détecté un virus et je l'ai supprimé. Depuis les alertes incessantes n'apparaissent plus, peut être qu'on en est venu à bout? :)


############################## | UsbFix V6.063 |

User : Laure (Administrateurs) # LILAW
Update on 14/12/2009 by Chiquitine29, C_XX & Chimay8
Start at: 14:19:00 | 16/12/2009
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

AMD Turion(tm) 64 X2 Mobile Technology TL-50
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 2
Internet Explorer 6.0.2900.2180
Windows Firewall Status : Disabled
AV : AntiMalware 1.0 [ Enabled | (!) Outdated ]

C:\ -> Disque fixe local # 107,03 Go (33,31 Go free) # NTFS
D:\ -> Disque CD-ROM

############################## | Processus actifs |

C:\WINDOWS\System32\smss.exe 596
C:\WINDOWS\system32\csrss.exe 644
C:\WINDOWS\system32\winlogon.exe 680
C:\WINDOWS\system32\services.exe 728
C:\WINDOWS\system32\lsass.exe 740
C:\WINDOWS\system32\Ati2evxx.exe 936
C:\WINDOWS\system32\svchost.exe 960
C:\WINDOWS\system32\svchost.exe 1032
C:\WINDOWS\System32\svchost.exe 1152
C:\WINDOWS\system32\svchost.exe 1196
C:\WINDOWS\system32\svchost.exe 1256
C:\WINDOWS\system32\svchost.exe 1400
C:\WINDOWS\system32\logonui.exe 1416
C:\WINDOWS\system32\Ati2evxx.exe 1448
C:\Program Files\AVG\AVG9\avgchsvx.exe 1460
C:\Program Files\AVG\AVG9\avgrsx.exe 1472
C:\WINDOWS\system32\spoolsv.exe 1780
C:\Program Files\AVG\AVG9\avgcsrvx.exe 1832
C:\WINDOWS\Explorer.EXE 2040
C:\WINDOWS\system32\svchost.exe 972
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe 1108
C:\Program Files\AVG\AVG9\avgwdsvc.exe 1124
C:\Program Files\Bonjour\mDNSResponder.exe 1160
C:\WINDOWS\eHome\ehRecvr.exe 1332
C:\WINDOWS\eHome\ehSched.exe 1428
C:\WINDOWS\eHome\ehRec.exe 1852
C:\Program Files\Dell\QuickSet\NICCONFIGSVC.exe 1700
C:\WINDOWS\system32\HPZipm12.exe 296
C:\Program Files\AVG\AVG9\avgnsx.exe 636
C:\WINDOWS\system32\svchost.exe 1180
C:\WINDOWS\system32\svchost.exe 1560
C:\WINDOWS\system32\wuauclt.exe 2244
C:\WINDOWS\ehome\mcrdsvc.exe 2252
C:\WINDOWS\system32\dllhost.exe 2692
C:\WINDOWS\system32\wbem\wmiprvse.exe 2784
C:\WINDOWS\system32\wbem\wmiprvse.exe 2996
C:\WINDOWS\System32\alg.exe 3072

################## | Fichiers # Dossiers infectieux |

Supprimé ! C:\Recycler\S-1-5-21-834907933-1260472427-2540786692-1005 
Supprimé ! C:\Recycler\S-1-5-21-834907933-1260472427-2540786692-500 

################## | Registre # Clés infectieuses |


################## | Registre # Mountpoints2 |

Supprimé ! HKCU\...\Explorer\MountPoints2\{02d47d9c-017f-11dd-8bd4-0019b9688da8}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{05fb32ae-e38c-11de-8f65-001c238c93a1}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{55fd4e0f-111a-11dd-8bfd-0019b9688da8}\Shell\Auto\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{57a1877c-4dc3-11dc-8a41-0019b9688da8}\Shell\Auto\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{57a9162c-a958-11dc-8af4-0019b9688da8}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{6c2f33f9-61ef-11dd-8c98-0019b9688da8}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{7f3495c1-d0ee-11dc-8b53-0019b9688da8}\Shell\Auto\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{85371b26-e04b-11de-8f5e-001c238c93a1}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{b9105cac-dd9c-11de-8f57-001c238c93a1}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{cc5d0835-66b2-11dd-8c9f-0019b9688da8}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{f3293cda-7749-11dc-8a7d-0019b9688da8}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{f8cf5c8c-11fe-11dd-8bff-0019b9688da8}\Shell\Auto\Command  

################## | Listing des fichiers présent |

[01/09/2005 06:17|--a------|0] C:\AUTOEXEC.BAT 
[28/06/2007 11:36|-rahs----|221] C:\boot.ini 
[10/08/2004 12:00|-rahs----|4952] C:\Bootfont.bin 
[01/09/2005 06:17|--a------|0] C:\CONFIG.SYS 
[25/04/2007 03:04|-rah-----|6320] C:\dell.sdr 
[?|?|?] C:\hiberfil.sys 
[02/05/2007 14:45|--a------|4128] C:\INFCACHE.1 
[01/09/2005 06:17|--ah-----|0] C:\IO.SYS 
[01/09/2005 06:17|--ah-----|0] C:\MSDOS.SYS 
[10/08/2004 12:00|-rahs----|47564] C:\NTDETECT.COM 
[10/08/2004 12:00|-rahs----|251712] C:
tldr 
[?|?|?] C:\pagefile.sys 
[16/12/2009 14:22|--a------|4313] C:\UsbFix.txt 

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix.  

################## | Cracks / Keygens / Serials |

Xplode · Answer

On a pas terminé :-)

Relance ZHPDiag ( sur ton bureau ) puis lance un scan. Clique sur l'écusson vert " ZHPFix ". Dans la fenêtre qui s'ouvrira, coche ces lignes ( uniquement ) :

C:\DOCUME~1\Laure\LOCALS~1\Temp\clspackxq.exe
O4 - HKCU\..\Run: [AntiMalware] C:\Program Files\AntiMalware\antimalware.exe" -noscan
O4 - HKCU\..\Run: [clspackxq.exe] C:\DOCUME~1\Laure\LOCALS~1\Temp\clspackxq.exe

Clique ensuite sur " Nettoyer ". Poste le rapport qui s'ouvrira à l'écran.

Ensuite, fais ceci :

-+-+-+-> Toolbar S&D <-+-+-+-


[x]Télécharge http://eric71.geekstogo.com/tools/ToolBarSD.exe Toolbar S&D] sur ton bureau

[x] Suis le tutoriel disponible à cette adresse

/!\ Si tu es sous vista, lance le en cliquant droit dessus puis " Executer en tant qu'administrateur " /!\

[x] Lance l'option 2 ( Suppression )

[x] Puis copie/colle le rapport dans ton prochain message ( Il se trouve sous C:\TB.txt )

Xplode · Answer

C'est bon, pas la peine de le chercher ;-)

Passe à toolbar S&D

Xplode · Answer

Bien, refais maintenant un nouveau rapport ZHPDiag.

Xplode · Answer

Ok, c'est clean.

Fais ceci pour vérification et après on pourra passer au nettoyage ;-)

-+-+-+-> RSIT <-+-+-+-


[x] Télécharge Random's System Information Tool

[x] Double clique sur " RSIT.exe ".

[x] Clique sur " Continue ".

[x] Si hijackthis n'est pas présent il sera automatiquement téléchargé et tu devras accepter la license.

[x] Une fois l'analyse finie, deux fichiers ( info.txt & log.txt ) s'ouvriront.

[x] Copie/Colle leur contenu dans ton prochain message.

Virus se faisant passer pour un antivirus

10 réponses

Discussions similaires

Newsletters