Virus Security Suite

yoda1987 Messages postés 1 Statut Membre -  
kalimusic Messages postés 14619 Statut Contributeur sécurité -
Bonjour,

Sous Windows 7, un certain Security Suite me balance plusieurs messages d'erreurs, cherchant à me faire télécharger un soft antivirus apparemment bidon.
Si j'ai bien compris en consultant le forum, il me faudrait télécharger Ad-Remover. Problème : Chrome ne s'ouvre plus et Explorer se bloque comme si je ne pouvais plus surfer sur le net.
Que faire ? Passer par un autre PC et s'importer les .exe par clef USB ?
Faire un scan ? Lancer le nettoyage ?

Merci de votre aide
A voir également:

5 réponses

kalimusic Messages postés 14619 Statut Contributeur sécurité 3 027
 
Bonjour et bienvenue sur CCM,

Tu es infecté par un rogue (faux logiciel de sécurité).

Imprime les instructions si tu peux car il est nécessaire de fermer toutes les fenêtres qui sont ouvertes pendant la procédure.

1. Redémarre le PC en mode sans échec avec prise en charge du réseau

aide : https://www.malekal.com/demarrer-windows-mode-sans-echec/

2. Rétablit ce paramètre pour pouvoir télécharger les logiciels de désinfection

* Ouvre IE
* Outils > Options Internet > Onglet Connexions
* Rubrique Paramètres de réseau local > Paramètres du réseau
* Décoche la case Utiliser un serveur proxy pour votre réseau local et valide par OK, puis Appliquer
* Relance IE

3. Télécharge rkill (de Grinler) sur le bureau.

!! Ne pas tenir compte des messages du rogue disant que rkill est infecté !!

* Double-clique sur le rkill.exe
* Patiente pendant le travail de l'outil (le programme cherche et termine les programmes malveillants)
* A la fin, la fenêtre noire va se fermer automatiquement et tu peux passer à l'étape suivante.

!! Ne redémarre pas l'ordinateur après l'exécution de rkill sinon les programmes malveillants vont recommencer !!

Si rkill ne se lance pas, essaye les liens alternatifs suivants :
http://download.bleepingcomputer.com/grinler/rkill.pif
https://download.bleepingcomputer.com/grinler/rkill.scr
https://download.bleepingcomputer.com/grinler/rkill.com

4. Télécharge MBAM et installe le selon l'emplacement par défaut
* Effectue la mise à jour et lance Malwarebytes' Anti-Malware
* Clique dans l'onglet du haut "Recherche"
* Coche l'option "Exécuter un examen complet" puis sur le bouton "Rechercher"
* Choisis de scanner tous tes disques durs, puis clique sur 'Lancer l'examen"

A la fin de l'analyse, si MBAM n'a rien trouvé :

* Clique sur OK, le rapport s'ouvre spontanément

Si des menaces ont été détectées :

* Clique sur OK puis "Afficher les résultats"
* Choisis l'option "Supprimer la sélection"
* Si MBAM demande le redémarrage de Windows : Clique sur "Oui"
* Une fois le PC redémarré, le rapport se trouve dans l'onglet "Rapports/Logs"
* Sinon le rapport s'ouvre automatiquement après la suppression

Quelque soit le résultat, copie/colle le rapport dans le prochain message

A +
0
yoda1987
 
J'ai passé rkill et MBAM.

Voila le rapport de MBAM :

Que faire maintenant ?

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4445

Windows 6.1.7600 (Safe Mode)
Internet Explorer 8.0.7600.16385

18/08/2010 19:48:24
mbam-log-2010-08-18 (19-48-24).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 267945
Temps écoulé: 41 minute(s), 19 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 5
Valeur(s) du Registre infectée(s): 3
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 3
Fichier(s) infecté(s): 19

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\gabpath (Adware.Agent) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\resultdns (Adware.ResultDns) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\GabPath (Adware.Adparatus) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\ResultDns (Adware.ResultDns) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ResultDns Service (Adware.ResultDns) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\snsuxhcv (Trojan.FakeAlert.Gen) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\gabpath (Adware.GabPath) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\sfkg6wipusp (Trojan.Downloader) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
C:\Users\Prisca\AppData\Roaming\GabPath (Adware.Agent) -> Quarantined and deleted successfully.
C:\ProgramData\ResultDns (Adware.ResultDns) -> Quarantined and deleted successfully.
C:\Program Files (x86)\ResultDns (Adware.ResultDns) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):
C:\Users\Prisca\AppData\Local\tnldvvcpa\dfwmsrwshdw.exe (Trojan.FakeAlert.Gen) -> Quarantined and deleted successfully.
C:\Users\Prisca\AppData\Roaming\GabPath\gabpath.exe (Adware.GabPath) -> Quarantined and deleted successfully.
C:\Program Files (x86)\ResultDns\resultdns.exe (Adware.ResultDns) -> Quarantined and deleted successfully.
C:\ProgramData\ResultDns\resultdns110.exe (Adware.ResultDns) -> Quarantined and deleted successfully.
C:\Users\Prisca\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\7T57S61K\evwdlf[1].htm (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Users\Prisca\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\7T57S61K\qghoquc[1].htm (Adware.BHO) -> Quarantined and deleted successfully.
C:\Users\Prisca\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\7T57S61K\vmdkfnhp[1].htm (Trojan.FakeAlert.Gen) -> Quarantined and deleted successfully.
C:\Users\Prisca\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\7T57S61K\vmdkfnhp[3].htm (Trojan.FakeAlert.Gen) -> Quarantined and deleted successfully.
C:\Users\Prisca\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\AFJDHS75\qghoquc[2].htm (Adware.BHO) -> Quarantined and deleted successfully.
C:\Users\Prisca\AppData\Local\Temp\enrmsawcxo.exe (Malware.Packer.Gen) -> Quarantined and deleted successfully.
C:\Users\Prisca\AppData\Local\Temp\ewcklu.exe (Adware.BHO) -> Quarantined and deleted successfully.
C:\Users\Prisca\AppData\Local\Temp\nmsawrecox.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
C:\Users\Prisca\AppData\Local\Temp\rdns.exe (Adware.ResultDns) -> Quarantined and deleted successfully.
C:\Users\Prisca\AppData\Local\Temp\tjlgs.exe (Trojan.FakeAlert.Gen) -> Quarantined and deleted successfully.
C:\Users\Prisca\AppData\Roaming\GabPath\config.cfg (Adware.Agent) -> Quarantined and deleted successfully.
C:\Users\Prisca\AppData\Roaming\GabPath\GPUninstall.exe (Adware.Agent) -> Quarantined and deleted successfully.
C:\Program Files (x86)\ResultDns\resultdns.dll (Adware.ResultDns) -> Quarantined and deleted successfully.
C:\Program Files (x86)\ResultDns\uninstall.exe (Adware.ResultDns) -> Quarantined and deleted successfully.
C:\Users\Prisca\AppData\Roaming\Microsoft\Windows\jnipmo.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
0
kalimusic Messages postés 14619 Statut Contributeur sécurité 3 027
 
yoda1987

On va utiliser cet outil de diagnostic afin d'identifier les problèmes restants.

Télécharge OTL (de OldTimer) sur ton Bureau.

Ferme toutes tes applications en cours

* Lance OTL.exe
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
* L'interface principale s'ouvre :
* Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal
* Laisse tous les autres paramètres par défaut
* Dans la partie du bas "Personnalisation" , copie/colle la liste en citation :

netsvcs
drivers32
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles 
%systemroot%\system32\drivers\*.sys /lockedfiles

* Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.
* Après le balayage, 2 rapports vont s'ouvrir au format bloc-note : OTL.txt (qui sera affiché) ainsi que de Extras.txt (réduit dans la barre des tâches)

Ne les poste pas sur le forum, ils seraient trop long

Pour me les transmettre tu dois te rendre sur ce site http://www.cijoint.fr/ , tu cliques sur parcourir et tu sélectionnes le premier rapport sur ton bureau, tu coches "Rendre public le fichier" et ensuite tu cliques sur "Cliquez ici pour déposer le fichier", il va te donner un lien de ce type http://www.cijoint.fr/cjlink.php?file=cj200906/XcijvLjYL5L.txt que tu copies/colles dans ton message. idem pour le 2nd rapport.

A +
0
yoda1987
 
Voila les deux rapports :

http://www.cijoint.fr/cjlink.php?file=cj201008/cij8Je91pq.txt

http://www.cijoint.fr/cjlink.php?file=cj201008/cijWazuqzY.txt

Qu'en dire ?
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
kalimusic Messages postés 14619 Statut Contributeur sécurité 3 027
 
yoda1987,

Comment va le PC maintenant ?
Malwarebytes a bien bossé et il n'y a pas d'autres infections apparentes, un peu de nettoyage et des mises à jour et ça devrait aller.

Relance OTL
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
* L'interface principale s'ouvre :
* Dans la partie du bas "Personnalisation", copie/colle la liste en citation :

:OTL
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = http=127.0.0.1:6522     
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found.     
O15 - HKLM\..Trusted Domains: tellmemorecampus.com ([www4] http in Trusted sites) 
O15 - HKCU\..Trusted Domains: tellmemorecampus.com ([www4] http in Sites de confiance) 
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_14-windows-i586.cab (Java Plug-in 1.6.0_14) 
O16 - DPF: {CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_14-windows-i586.cab (Java Plug-in 1.6.0_14) 
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_14-windows-i586.cab (Java Plug-in 1.6.0_14) 

:Files
C:\Users\Prisca\AppData\Local\tnldvvcpa
C:\ProgramData\ezsidmv.dat 

:Commands 
[emptyflash]
[emptytemp]

* Clique sur le bouton Correction, patiente pendant le travail de l'outil, il va redémarrer le PC.
* Accepte en cliquant sur OK
* Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément
* Copie/colle le dans ton prochain message

Tu peux le retrouver le fichier à la racine du disque : C:\_OTL\MovedFiles (Vérifie la date si besoin : jjmmaaaa_xxxxxxxx.log)

A +
0