Antimalware DoctorRésolu/Fermé

Question

Bonjour, 

Ce matin, alors que j'étais sur internet (professionnellement parlant !) et j'ai le virus Antimalware Doctor qui est apparu.
J'ai tenté de le fermer avec le gestionnaire des taches, et j'ai pu le desactiver de msconfig pour qu'il ne se lance pas au démarrage.
C'est sur mon PC professionnel, et ca me dérangerait beaucoup de devoir formater !
(beaucoup de logiciels à remettre à jour, etc...)

Je ne sais pas comment m'y prendre pour supprimer ce virus !
J'ai essayer d'utiliser Malwarebytes' Anti-Malware, il a bien trouvé le virus, redemarré l'ordinateur pour supprimer la totalité, mais le virus est toujours la : quand j'essaye de le desinstaller par le panneau de configuration, au moment où je clique sur "supprimer", il se relance.

Pouvez-vous m'aider SVP ?

Merci !

Matthieu

Karel7 · Answer

Salut,

Examinons le PC ;-) :

¤ Télécharge ZHPDiag (de Nicolas Coolman).
¤ Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.
¤ Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
¤ Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
¤ Rend toi sur Cijoint et indique l'emplacement du rapport à l'aide du bouton "Parcourir..." Ensuite Clique sur "Cliquez ici pour déposer le fichier"
¤ Un lien se ra généré, copie colle le dans ta prochaine réponse.

Bonne chance @+

naokylon · Answer

Merci de ta réponse rapide !

http://www.cijoint.fr/cjlink.php?file=cj201009/cijp2bQkK6.txt

Matthieu

Karel7 · Answer

Salut,

Bon, il y a du nettoyage à faire, commençons par les adwares :

¤ Télécharge AD-Remover (de C_XX) sur ton Bureau.
/!\ Déconnecte toi et ferme toutes les applications en cours /!\
¤ Double-clique sur l'icône AD-Remover
¤ Au menu principal, clique sur "Nettoyer"
¤ Confirme le lancement de l'analyse et laisse l'outil travailler
¤ Poste le rapport qui apparait à la fin (il est aussi sauvegardé sous C:\Ad-report-CLEAN.txt )

(CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )

Ensuite, Combofix :

/!\ Attention /!\
Le logiciel qui suit peut faire des dégâts en cas de mauvaise utilisation ! A utiliser uniquement avec une aide appropriée.


/!\ Désactive tous tes logiciels de protection /!\

¤ Télécharge ComboFix (de sUBs) sur ton Bureau.
¤ Double-clique sur ComboFix.exe afin de le lancer.
¤ Si tu es sous Windows XP, il va te demander d'installer la console de récupération : tu dois absolument accepter.
¤ Ne touche à rien pendant le scan.
¤ Lorsque la recherche sera terminée, un rapport apparaîtra. Poste ce rapport (C:\Combofix.txt) dans ta prochaine réponse.

Tutoriel officiel de Combofix

En plus de ces deux rapports, refait un ZHPDiag (après avoir utilisé ces deux outils)
NOTE : il serait preferable que tu envoi tout les rapports sur Cijoint car ils risquent de ne pas etre complets si tu les poste ici

Bonne chance @+

naokylon · Answer

Re bonjour !

http://www.cijoint.fr/cjlink.php?file=cj201009/cijz1cuqbP.txt
http://www.cijoint.fr/cjlink.php?file=cj201009/cijcgQJHKh.txt
http://www.cijoint.fr/cjlink.php?file=cj201009/cijOS9mEaa.txt

Je tiens a préciser que jusqu'au lencement de combofix, tout s'est bien passé.
Ensuite, combofix a redemarré le pc pour s'initialiser, et m'a demandé une connexion internet active pour télécharger le module de restauration... sauf que je n'avais aucune main à ce moment là, car on était avant la fenetre de login !
Je n'ai pas pu faire de backup ni marche arriere !!

Ensuite lorsque j'ai redémarré, mes connexion reseaux étaient "double" dans le gestionnaire de périphériques (wifi et reseau local) et je ne pouvais plus acceder au réseau.
C'est seulement apres moultes redémarrages et desactivations de cartes que j'ai pu reprendre la main sur les connexion.

Que dois-je faire maintenant ?


Matthieu

Karel7 · Answer

Bonjour,

Ok, il y a des rootkits et des patchs, il faut tout fixer puis optimiser ;-)
Reporte toi à cette page
Suis le tuto en utilisant WinFileReplace de Loup_Blanc mais attention à taper ceci dans bloc notes :

______________________________________________
c:\windows\explorer.exe
c:\windows\system32\winlogon.exe
______________________________________________

N'oublie pas de poster le rapport

Ensuite, utilise GMER :

/!\ Il faut impérativement désactiver tous tes logiciels de protection pour utiliser ce programme/!\

¤ Rends toi sur cette page, et clique sur "Download EXE" pour télécharger Gmer (sous un nom aléatoire, pour éviter qu'il soit bloqué par une infection)
¤ Lance Gmer (si tu es sous Windows Vista ou Windows 7, fais le par un clic-droit --> Exécuter en temps qu'administrateur)
¤ Dans l'onglet "Rootkit", clique sur "Scan" puis patiente.
¤ A la fin, clique sur "Save" et enregistre le rapport sur ton Bureau au format .txt
¤ Héberge le rapport sur ce site, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.

Bonne chance @+

naokylon · Answer

WinFileReplace ne fonctionne pas.

Quand je le lance, je choisi Francais.
Ensuite, il m'ouvre le fichier notepad dans lequel je met

c:\windows\explorer.exe
c:\windows\system32\winlogon.exe 

puis ensuite il me demande si j'accepte les termes, je met oui

mais ensuite il me dit
"decompression des fichiers"
-----------------------------
explorer.exe introuvable dans ce service pack
-----------------------------
winlogon.exe introuvable dans ce service pack
-----------------------------

je fais quoi ?

Matthieu

Karel7 · Answer

Re, Rend toi sur cette page et utilise MBR pour détecter puis supprimer Mebroot Ensuite, analyse ce fichier : ¤ Rend toi sur Virus Total ¤ Clique sur "Parcourir..." ¤ Dans la nouvelle fenêtre, dans le champ "Nom du Fichier", copie/colle ceci >>> C:\PROGRA~1\NOKIA\System32\gcssync.exe <<< ¤ Clique sur "Ouvrir" ¤ De retour sur Virus Total, clique sur "Envoyer le fichier" ¤ Un scan du fichier se fera et les résultat seront proposés sous forme de tableau, copie/colle l'adresse de la page des résultats dans ta prochaine réponse Ensuite, fait de même pour : C:\WINDOWS\system32\drivers disrd.sys C:\WINDOWS\system32 cimlby.exe Puis : ¤ Télécharge SEAF (de C_XX) sur ton Bureau et lance le. ¤ Dans les options, règler "Calculer le checksum" sur "MD5" puis coche "Informations supplémentaires" et "Chercher également dans le Registre" ¤ Tape msdrm.exe dans le champs de recherche, cliquer sur "Lancer la recherche" et patienter. ¤ Poster dans la prochaine réponse le rapport qui apparait à la fin de la recherche. Fait de même pour : winlogon.exe et winlogon.exe_ Bonne chance @+

Karel7 · Answer

Salut,

Tu doit chercher autour de toi un autre PC avec Win XP Service pack 3 Familial ou Professionnel selon le tient pour en importer un fichier winlogon.exe saint.
Ou, un CD de Win XP (aussi il faut exactement la même version)

RAS pour les fichiers analysés

Utilise Bootkit remover pour mebroot :

¤ Télécharge Bootkit Remover (de eSage Lab) et décompresse le sur ton Bbureau. 
¤ Télécharge BTKR_Runbox (de jeanmimigab) également sur ton Bureau. 
¤ Tu dois avoir ces deux fichiers sur ton Bureau : Remover.exe et BTKR_Runbox.exe 
¤ Lance BTKR_Runbox, puis sélectionne l'option n°1. Valide en appuyant sur Entrée 
¤ Suis les instructions et copie/colle le rapport dans ta prochaine réponse.

Bonne chance @+

Karel7 · Answer

Re, 

Beaucoup de fichiers ont étés ignorés... 

Suit ces manips en Mode sans echec : 

importe un nouveau fichier winlogon.exe de chez ton collegue (et oui, tu doit l'embeter encore une fois :/) et place le à la racine du disque (c:\) 

Vide ta restauration : 

¤ Sous XP : 

              o Aller au menu démarrer et cliquer droit sur "Poste de travail" et sélectionner "Propriétés" 
              o Dans l'onglet "Restauration du système", cocher "Désactiver la restauration du système sur tout les lecteurs" 
              o Cliquer sur appliquer et confirmer (tout les points de restauration sont supprimés). 
              o Décocher la case "Désactiver la restauration du système sur tout les lecteurs" et cliquer sur Appliquer pour réactiver la restauration du système. 

et crée un nouveau point de restauration : 

¤ Sous XP : 

          o Aller au menu demarrer 
          o Dans "Tous les programmes" 
          o Dans "Accessoires" 
          o Dans "outils système" 
          o Cliquer sur "restauration du système" 
          o Cocher "Créer un point de restauration" et cliquer sur "Suivant" 
          o Entrer une description n'importe du point de restauration puis cliquer sur "Créer" 
          o Le point se crée, cliquer sur fermer pour quitter la restauration du système 


Redémarre et passe en mode console de récupération : 

Quand tu pourra Utiliser des commandes, utilise les suivantes : 

del C:\WINDOWS\explorer.exe 
del c:\windows\explorer.exe 
del C:\WINDOWS\system32\winlogon.exe 
del C:\WINDOWS\system32\dllcache\winlogon.exe avec une entrée à la fin de chacune bien sur) 

Après toutes ces suppressions, remplace les fichiers : 

expand c:\i386\explorer.ex_ c:\windows\explorer.exe  
xcopy c:\winlogon.exe c:\windows\system32 

Après, refait une analyse avec Avast! (en mode sans echec si possible) mais seulement du dossier c:\windows et n'oublie pas de poster le rapport 

Bonne chance @+ 
Le meilleur d'entre nous serai surement celui qui ne dépend de personne, il serai parfait, c'est pour ca qu'il n'existe pas et qu'il n'existera jamais

Karel7 · Answer

Re,

Ca a l'air clean, fixons quelques lignes ...

¤ Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag) (Sous Vista/Seven, clique droit "Executer en tant qu'administrateur") 
¤ Clique sur l'icone représentant la lettre H (« coller les lignes Helper ») 
¤ Copie/colle les lignes suivantes et place les dans ZHPFix : 

______________________________________________ 
O4 - HKUS\S-1-5-18\..\Run: [msdrm] msdrm.exe
O4 - HKUS\S-1-5-18\..\Run: [msdrm] msdrm.exe
______________________________________________ 

¤ Clique sur « Tous », puis sur « Nettoyer » 
¤ Copie/colle la totalité du rapport dans ta prochaine réponse 

Après ce rapport, j'attendrai demain ou même après demain le rapport d'analyse des fichiers explorer.exe et winlogon.exe

@+

Karel7 · Answer

Salut, Clean !!! Finalisons la désinfection : <|> Utilise MBAM pour bien tout nettoyer : ¤ Télécharge Malwarebytes Antimalware ¤¤¤> Tutoriel MBAM ¤ Fais la mise à jour du logiciel (elle se fait normalement à l'installation) ¤ Lance une analyse complète en cliquant sur "Exécuter un examen complet" ¤ Sélectionne les disques que tu veux analyser et clique sur "Lancer l'examen" ¤ L'analyse peut durer un bon moment..... ¤ Une fois l'analyse terminée, clique sur "OK" puis sur "Afficher les résultats" ¤ Vérifie que tout est bien coché et clique sur "Supprimer la sélection" => et ensuite sur "OK" ¤ Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse sur le forum * Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... Fais le en cliquant sur "oui" à la question posée <|> Pour supprimer tout les outils : ¤ Relancer ZHPDiag et générer un rapport en appuyant sur la loupe en haut à gauche. ¤ A la fin du chargement, cliquer en haut à droite sur l'icône du bouclier vert pour lancer ZHPfix. ¤ Appuyer maintenant sur le A rouge en haut pour lancer la suppression des outils. ¤ Sélectionner tout les outils en appuyant sur "Tous" (tous les outils sont cochés par défaut) et cliquer ensuite sur "Nettoyer". ¤ Redémarrer à la demande. <|> Un petit coup de Ccleaner : Utilise ce programme pour optimiser ton ordinateur : ¤ Télécharge CCleaner Slim. ¤ Installe le puis lance le. ¤ Clique sur Nettoyeur > Analyse > Lancer le nettoyage, puis sur OK dans la fenêtre qui s'affiche. ¤ Enfin, clique sur Registre > corrige toutes les erreurs et recommence jusqu'à ce que CCleaner ne trouve plus d'erreurs. Tu peux garder ce programme et l'utiliser régulièrement (une fois par mois). <|> La restauration du système a peut être été touchée, le mieux est de la purger (la désactiver et la réactiver) : ¤ Sous XP : o Aller au menu démarrer et cliquer droit sur "Poste de travail" et sélectionner "Propriétés" o Dans l'onglet "Restauration du système", cocher "Désactiver la restauration du système sur tout les lecteurs" o Cliquer sur appliquer et confirmer (tout les points de restauration sont supprimés). o Décocher la case "Désactiver la restauration du système sur tout les lecteurs" et cliquer sur Appliquer pour réactiver la restauration du système. ¤ Sous Vista/Seven : o Aller au menu démarrer et cliquer droit sur "Ordinateur" puis sélectionner "Propriétés" o Cliquer sur "Protection du système" o Décocher la case du ou des disques pour lesquels on veut désactiver la restauration du système o Cliquer sur OK et confirmer (tout les points de restauration sont supprimés). o Recocher la case des disques pour lesquels on veut réactiver la restauration du système et valider. Créer un point de restauration propre pour finir : ¤ Sous XP : o Aller au menu demarrer o Dans "Tous les programmes" o Dans "Accessoires" o Dans "outils système" o Cliquer sur "restauration du système" o Cocher "Créer un point de restauration" et cliquer sur "Suivant" o Entrer une description n'importe du point de restauration puis cliquer sur "Créer" o Le point se crée, cliquer sur fermer pour quitter la restauration du système ¤ Sous Vista : o Dans le menu démarrer, puis "Rechercher", taper "restauration", puis cliquer sur "Centre de sauvegarde et de restauration" o Puis sur le volet de gauche, cliquer sur "Créer un point de restauration ou modifier les paramètres" o L'onglet Protection du système s'ouvre, vérifier que votre disque soit bien coché, puis cliquer sur "Créer" o Entrer une description pour identifier facilement le point de restauration, puis cliquer sur Créer o Le point de restauration se crée, un message de réussite apparaît : le point a été créé, refermer les fenêtres. ¤ Sous Seven : o Dans Démarrer, puis "Rechercher", taper "restauration", puis cliquer sur "Créer un point de restauration" o L'onglet Protection du système s'ouvre, vérifier que la protection sur votre disque soit bien activée, puis cliquer sur "Créer" o Entrer une description pour identifier facilement le point de restauration, puis cliquer sur "Créer" o Le point de restauration se crée, un message de réussite apparaît : le point a été créé, refermer les fenêtres. <|> Pour garder un PC propre, il faut tout d'abord installer une protection, ce qui veut dire, installer un antivirus, un antispyware et un pare feu, voila quelques conseils : Antivirus payant -> Kaspersky, Antivirus gratuit -> Avira antivir / Avast Antispyware payant -> Malwarebytes Antimalware, Antispyware gratuit -> SuperAntispyware Pare feu payant -> ZoneAlarm, Pare feu gratuit -> COMODO.>>> Tuto COMODO Toute fois, on est jamais assez prudent, il faut faire attention à son comportement sur le net, les cracks les keygens la P2P sont tous à bannir. Une autre précaution à prendre, les mises à jour, celles ci sont contrairement à ce que la plupart des gens pensent très très importantes, les application les plus importantes à mettre à jour sont : Adobe Reader, Java, Flash player et les mises à jour windows (mise à jour du navigateur incluse, que ce soit Internet Explorer, Firefox, Opera, Safari ou autre ...), voilà un logiciel très léger et utile pour les mises à jour (éviter les bêtas) > File Hippo Update Cheker Si vous utilisez Firefox (ce que je conseil vu qu'il protège bien contre les attaques malware) il y a quelques extensions utiles, tel que WOT pour identifier les sites dangereux, AD BlockPlus qui bloque les publicités intempestives et aussi NoScript qui protège contre les scripts malware. Voilà aussi quelques liens utiles Les mises à jour Windows Les mises de Adobe Reader et Java et Flash player Le danger des cracks Les toolbars Comparatif Antivirus Comparatif Antivirus Les infections USB J'attends tes rapports ;-)

Antimalware Doctor

11 réponses

Discussions similaires

Newsletters