Faux centre de sécurité sous Win Seven

Question

Configuration: Windows 7 / Google chrome

Bonjour à tous.

Hier, en voulant regarder le match OM-ASSE sur l'ordi, j'ai du aller sur un site dont je ne connaissais pas la fiabilité, de plus, sans antivirus. Quelle grosse bêtise ais-je. 

Depuis, un message constant apparaît d'un logiciel nommé Win 7 Smart sécurity, dont l'apparence pourrait ressembler de très près au centre de sécurité de Windows, mais j'ai eu quelques doutes lorsqu'il m'annonce qu'un virus infecte mon ordinateur et que ce virus s'appelle est tout simplement internet explorer, navigateur que je n'utilise pas qui plus est. Le seul bémol, c'est que ce logiciel m'invite a payer pour me débarrasser de tout les virus de mon ordinateur.. Et j'ai pas que ca a faire en fait, surtout que j'imagine que je ne vais pas payer pour la sécurité de mon ordinateur, mais surement pour des gens malintentionnés  a l'autre bout de la planète. 

Donc voilà je suis assez ennuyé, quand je lance le ctrl alt supp', il m'indique que le programme se trouve \Florian-pc\users\Florian\AppData\Local\ave.exe

Manuellement, impossible de trouver se programme, sinon je l'aurais supprimé moi-même. J'ai téléchargé Avast hier soir, il ne me le trouve pas non plus, même quand je lui indique précisément le dossier a fouiller.. 

Si vous avez une idée, merci !

Tigzy · Answer

Salut

Tu as chopé un rogue

*Télécharge Rkill (de Grinler) depuis l'un des liens ci dessous :

rkill.pif  
rkill.scr  
rkill.com  
rkill.exe  

*Enregistrer le fichier sur le Bureau.
*Désactive ton antivirus et/ou antispyware .
*Faire un double clic sur le fichier rkill téléchargé pour lancer l'outil.
Pour Vista, faire un clic droit sur le fichier rkill téléchargé puis choisir "Exécuter en tant qu'Administrateur" pour lancer l'outil.
*Une fenêtre à fond noir va apparaître brièvement, puis disparaître.

Si rien ne se passe, ou si l'outil ne se lance pas, télécharger l'outil depuis un autre des quatre liens ci-dessus et faire une nouvelle tentative d'exécution.

-----------------------

Télécharger  sur le bureau  Malwarebyte's Anti-Malware

= double-clic sur mbam-setup pour lancer l'installation
= Installer simplement sans rien modifier
= Ne pas décocher "Faire la mise à jour"
= si la mise à jour a échoué, la faire après execution du logiciel => onglet "Mise à jour"
= Quand le programme lancé ==> cocher Exécuter un examen complet 
= Clic Rechercher
= Eventuellement décocher les disque à ne pas analyser
= Clic Lancer l'examen 
= En fin de scan ( 1h environ), si infection trouvée
==> Clic Afficher résultat
= Fermer vos applications en cours
= Vérifier si tout est coché et clic Supprimer la sélection

un rapport s'ouvre le copier et le coller dans la réponse


-----------------------

* Télécharge ZHPDiag
Capture 

* Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Heberge le rapport ici: cijoint et colle le lien dans la réponse

El-touriste · Answer

Bonjour.

J'ai fais tout ce que vous m'avez dis.

Le rapport anti-malware :

Malwarebytes' Anti-Malware 1.45
www.malwarebytes.org

Version de la base de données: 4037

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

26/04/2010 16:18:09
mbam-log-2010-04-26 (16-18-09).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 243201
Temps écoulé: 1 heure(s), 38 minute(s), 40 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 4
Valeur(s) du Registre infectée(s): 3
Elément(s) de données du Registre infecté(s): 3
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 9

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\Software\YVIBBBHA8C (Trojan.Agent) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\XML (Trojan.FakeAlert) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Handle (Malware.Trace) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\QZAIB7KITK (Trojan.FakeAlert) -> No action taken.

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\yvibbbha8c (Trojan.FakeAlert) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\canaveral (Trojan.Downloader) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\qzaib7kitk (Trojan.FakeAlert) -> No action taken.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\FIREFOX.EXE\shell\open\command\(default) (Hijack.StartMenuInternet) -> Bad: ("C:\Users\Florian\AppData\Local\ave.exe" /START "C:\Program Files\Mozilla Firefox\firefox.exe") Good: (firefox.exe) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command\(default) (Hijack.StartMenuInternet) -> Bad: ("C:\Users\Florian\AppData\Local\ave.exe" /START "C:\Program Files\Internet Explorer\iexplore.exe") Good: (iexplore.exe) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\FIREFOX.EXE\shell\safemode\command\(default) (Hijack.StartMenuInternet) -> Bad: ("C:\Users\Florian\AppData\Local\ave.exe" /START "C:\Program Files\Mozilla Firefox\firefox.exe" -safe-mode) Good: (firefox.exe -safe-mode) -> No action taken.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Users\Florian\AppData\Local\KBDUng.dll (Trojan.Hiloti) -> No action taken.
C:\Users\Florian\AppData\Local\Temp\stp4cf45.exe (Trojan.FraudTool) -> No action taken.
C:\Users\Florian\AppData\Local\Temp\Jgf.exe (Trojan.Fraudpack) -> No action taken.
C:\Users\Florian\AppData\Local\Temp\ewxnacosrm.exe (Malware.Packer.Gen) -> No action taken.
C:\Users\Florian\AppData\Local\Temp\sshnas21.dll (Trojan.Downloader) -> No action taken.
C:\Windows\Tasks\{35DC3473-A719-4d14-B7C1-FD326CA84A0C}.job (Trojan.Downloader) -> No action taken.
C:\Users\Florian\Local Settings\Application Data\ave.exe (Rogue.MultipleAV) -> No action taken.
C:\Users\Florian\AppData\Local\ave.exe (Rogue.MultipleAV) -> No action taken.
C:\Users\Florian\AppData\Local\Temp\Jgg.exe (Trojan.FakeAlert) -> No action taken.


Le rapport ZHP diag : http://www.cijoint.fr/cjlink.php?file=cj201004/cij3VqvX6y.txt

Tigzy · Answer

Tu as bien supprimé la seléction à la fin du scan malwarebytes?

Tigzy · Answer

EDIT:
Je viens de voir que tu as fait le ZHP sans avoir supprimé dans Malwarebytes
fais le , et ensuite:
 


Brancher les lecteurs externes (Clé USB, Disque dur, ...) susceptibles  
d'avoir été infectés 

Télécharger USBFix 

- Lancer USBFix.exe 
- Choisir F pour Français => Touche Entrée 
- Taper 1 => Entrée pour recherche 
- Puis ok 
- Patienter pendant la détection- Un fichier texte s'ouvre, fichier => enregistrer sous 
- laisser le nom par défaut, enregistrer sur le bureau 
-  copier coller le contenu du fichier texte dans la fenetre de réponse

El-touriste · Answer

Rapport malware après suppression (effectivement je n'avais rien supprimé dans l'attente de ta réponse) :

(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\Software\YVIBBBHA8C (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\XML (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Handle (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\QZAIB7KITK (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\yvibbbha8c (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\canaveral (Trojan.Downloader) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\qzaib7kitk (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\FIREFOX.EXE\shell\open\command\(default) (Hijack.StartMenuInternet) -> Bad: ("C:\Users\Florian\AppData\Local\ave.exe" /START "C:\Program Files\Mozilla Firefox\firefox.exe") Good: (firefox.exe) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command\(default) (Hijack.StartMenuInternet) -> Bad: ("C:\Users\Florian\AppData\Local\ave.exe" /START "C:\Program Files\Internet Explorer\iexplore.exe") Good: (iexplore.exe) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\FIREFOX.EXE\shell\safemode\command\(default) (Hijack.StartMenuInternet) -> Bad: ("C:\Users\Florian\AppData\Local\ave.exe" /START "C:\Program Files\Mozilla Firefox\firefox.exe" -safe-mode) Good: (firefox.exe -safe-mode) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Users\Florian\AppData\Local\KBDUng.dll (Trojan.Hiloti) -> Quarantined and deleted successfully.
C:\Users\Florian\AppData\Local\Temp\stp4cf45.exe (Trojan.FraudTool) -> Quarantined and deleted successfully.
C:\Users\Florian\AppData\Local\Temp\Jgf.exe (Trojan.Fraudpack) -> Quarantined and deleted successfully.
C:\Users\Florian\AppData\Local\Temp\ewxnacosrm.exe (Malware.Packer.Gen) -> Quarantined and deleted successfully.
C:\Users\Florian\AppData\Local\Temp\sshnas21.dll (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Windows\Tasks\{35DC3473-A719-4d14-B7C1-FD326CA84A0C}.job (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Users\Florian\Local Settings\Application Data\ave.exe (Rogue.MultipleAV) -> Quarantined and deleted successfully.
C:\Users\Florian\AppData\Local\ave.exe (Rogue.MultipleAV) -> Quarantined and deleted successfully.
C:\Users\Florian\AppData\Local\Temp\Jgg.exe (Trojan.FakeAlert) -> Delete on reboot.



____

Nouveau rapport ZGH :

http://www.cijoint.fr/cjlink.php?file=cj201004/cijKlDAqPA.txt

Voilà tout. 

Je n'utilise pas de clef USB ni périphérique externe.

El-touriste · Answer

############################## | UsbFix V6.109 |

User : Florian (Administrateurs) # FLORIAN-PC
Update on 26/04/2010 by El Desaparecido , C_XX & Chimay8
Start at: 17:37:18 | 26/04/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Pentium(R) Dual-Core CPU       T4200  @ 2.00GHz
Microsoft Windows 7 Édition Familiale Premium  (6.1.7600 32-bit) # 
Internet Explorer 8.0.7600.16385
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 141,49 Go (90,19 Go free) # NTFS
D:\ -> Disque fixe local # 141,5 Go (141,23 Go free) # NTFS
E:\ -> Disque CD-ROM # 696,22 Mo (0 Mo free) [051022_1918] # CDFS

################## | Elements infectieux |

C:\windows\Temp\TS_6364.tmp  
C:\windows\Temp\TS_6845.tmp  
C:\windows\Temp\TS_7293.tmp  
C:\windows\Temp\TS_7504.tmp  
C:\windows\Temp\TS_8846.tmp  
C:\windows\Temp\TS_8B73.tmp  
C:\windows\Temp\TS_9256.tmp  
C:\windows\Temp\TS_9BC9.tmp  
C:\Users\Florian\AppData\Local\Temp\a.dat  
C:\Users\Florian\AppData\Local\Temp\Jgg.exe  

################## | Registre |


################## | Mountpoints2 |

HKCU\..\..\Explorer\MountPoints2\{b92b7084-2370-11df-9579-001377bef184}
shell\AutoRun\command ="F:\WD SmartWare.exe" autoplay=true

################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné !  

################## | ! Fin du rapport # UsbFix V6.109 ! |

Tigzy · Answer

Relance le en mode 2 cette fois.

El-touriste · Answer

############################## | UsbFix V6.109 |

User : Florian (Administrateurs) # FLORIAN-PC
Update on 26/04/2010 by El Desaparecido , C_XX & Chimay8
Start at: 18:23:42 | 26/04/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Pentium(R) Dual-Core CPU       T4200  @ 2.00GHz
Microsoft Windows 7 Édition Familiale Premium  (6.1.7600 32-bit) # 
Internet Explorer 8.0.7600.16385
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 141,49 Go (90,14 Go free) # NTFS
D:\ -> Disque fixe local # 141,5 Go (141,23 Go free) # NTFS
E:\ -> Disque CD-ROM # 696,22 Mo (0 Mo free) [051022_1918] # CDFS

################## | Elements infectieux |

Supprimé ! C:\windows\Temp\TS_6364.tmp 
Supprimé ! C:\windows\Temp\TS_6845.tmp 
Supprimé ! C:\windows\Temp\TS_7293.tmp 
Supprimé ! C:\windows\Temp\TS_7504.tmp 
Supprimé ! C:\windows\Temp\TS_8846.tmp 
Supprimé ! C:\windows\Temp\TS_8B73.tmp 
Supprimé ! C:\windows\Temp\TS_9256.tmp 
Supprimé ! C:\windows\Temp\TS_9BC9.tmp 
Supprimé ! C:\Users\Florian\AppData\Local\Temp\a.dat 
Supprimé ! C:\$Recycle.Bin\S-1-5-21-1131658597-4005637612-88016806-1000 
Supprimé ! C:\$Recycle.Bin\S-1-5-21-1131658597-4005637612-88016806-500 
Supprimé ! D:\$Recycle.Bin\S-1-5-21-1131658597-4005637612-88016806-1000 

################## | Registre |


################## | Mountpoints2 |

Supprimé ! HKCU\...\Explorer\MountPoints2\{b92b7084-2370-11df-9579-001377bef184}\Shell\AutoRun\Command  

################## | Listing des fichiers présent |

[10/06/2009 23:42|--a------|24] C:\autoexec.bat 
[10/06/2009 23:42|--a------|10] C:\config.sys 
[?|?|?] C:\hiberfil.sys 
[07/04/2010 01:26|-rahs----|0] C:\IO.SYS 
[07/04/2010 01:26|-rahs----|0] C:\MSDOS.SYS 
[?|?|?] C:\pagefile.sys 
[17/09/2009 08:42|--a------|2003] C:\RHDSetup.log 
[26/04/2010 14:35|--a------|887] C:\rkill.log 
[17/09/2009 08:50|--a------|191] C:\Setup.log 
[26/04/2010 18:27|--a------|1944] C:\UsbFix.txt 
[22/10/2005 13:08|-r-------|729985312] E:\Massacre · La Tron#onneuse Fr .avi 

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# D:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 

################## | Upload | 

Veuillez envoyer le fichier : C:\UsbFix_Upload_Me_Florian-PC.zip : https://www.ionos.fr/?affiliate_id=77097 
Merci pour votre contribution .  

################## | ! Fin du rapport # UsbFix V6.109 ! |




MERCI en tout cas pour ce que tu fais.

El-touriste · Answer

############################## | UsbFix V6.109 |

User : Florian (Administrateurs) # FLORIAN-PC
Update on 26/04/2010 by El Desaparecido , C_XX & Chimay8
Start at: 19:03:48 | 26/04/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Pentium(R) Dual-Core CPU       T4200  @ 2.00GHz
Microsoft Windows 7 Édition Familiale Premium  (6.1.7600 32-bit) # 
Internet Explorer 8.0.7600.16385
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 141,49 Go (90,17 Go free) # NTFS
D:\ -> Disque fixe local # 141,5 Go (141,23 Go free) # NTFS
E:\ -> Disque CD-ROM # 696,22 Mo (0 Mo free) [051022_1918] # CDFS

################## | Elements infectieux |


################## | Registre |


################## | Mountpoints2 |


################## | Vaccin |

# C:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# D:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 

################## | ! Fin du rapport # UsbFix V6.109 ! |




http://www.cijoint.fr/cjlink.php?file=cj201004/cijlpHNIfH.txt



J'ai du retélécharger les deux logiciel, ils avaient disparus..

Tigzy · Answer

Ok. 

Mets à jour Firefox, c'est la version 3.6.3

Tools cleaner permet de supprimer tous les outils utilisés dans une désinfection. 


Télécharger  sur le bureau 

ToolsCleaner2.exe
---------------
= CliC Recherche
le scan finit
= CliC Suppression
= CliC Quitter
= supprimer cet outil, son rapport qui est à C:\TCleaner.txt
= supprimer les divers rapports du nettoyage, si encore présents , qui sont à C:\

El-touriste · Answer

Ok je fais ca. Firefox c'est important? Je l'utilise jamais, j'avais oublié que je l'avais..

Faux centre de sécurité sous Win Seven

11 réponses

Discussions similaires

Newsletters