Sujet Précédent Sujet Suivant

Windows passport utility

Fermé
Retas - 3 avril 2011 à 09:52
 Retas - 3 avril 2011 à 21:28


Bonjour,

Je suis victime d'un cheval de troye: "Windows passport utility". Apparemment ce programme se fait passer pour un anti virus assez convaincant, et si j'ai bien compris, son but est que l'utilisateur paniqué communique ses coordonnées bancaires pour acheter l'antivirus miraculeux.
En cherchant sur le net j'ai trouvé comment stopper le lancement du programme en renommant un fichier executable présent sous C:\Documents and Settings\Administrateur.SWEET-6E6989F07\Application Data\Microsoft
En revanche pour nettoyer le PC correctement j'ai tenté de charger un anti virus adéquat, mais je tombe sur des cites anglophones que je ne connais pas: j'aimerais éviter d'aggraver mon cas!
J'ai quand même chargé Troyan killer qui prétend me trouver 11 fichiers corrompus et qui me demande d'acheter la licence pour nettoyer....
Quand à mon anti virus Avira, il a tourné en boucle toute la nuit sans jamais s'arrêter...
Quelqu'un peut il me venir en aide?

Merci
A voir également:

1 réponse

Réponse 1 / 1
Xplode Messages postés 8820 Date d'inscription vendredi 21 août 2009 Statut Contributeur sécurité Dernière intervention 2 juillet 2015 726
3 avril 2011 à 09:55
Bonjour,

Laisse tomber les antivirus bidons et "troyan killer" , fais plutôt ceci :

▶▷▶▷▶▷▶▷▶▷ RogueKiller ◁◀◁◀◁◀◁◀◁◀


◈ Télécharge RogueKiller ( de Tigzy ) sur ton bureau.

◈ Quitte tout programme en cours d'exécution puis lance RogueKiller ( Clic droit -> Exécuter en tant qu'administrateur sous Vista/7 ).

◈ Lorsque le programme te le demanderas, tape 1 puis valide par [Entrée].

◈ Copie/Colle le contenu du rapport qui s'ouvrira à l'écran.

Note : Le rapport est également sauvegardé sous C:\RKreport.txt

Puis :

▶▷▶▷▶▷▶▷▶▷ Malwarebytes' Anti-Malware ◁◀◁◀◁◀◁◀◁◀


◈ Télécharge Malwarebytes' Anti-malware sur ton bureau.

◈ Installe le en suivant les instructions. Coche "Créer une icône sur le bureau"

◈ A la fin de l'installation, MBAM se mettra à jour automatiquement puis s'exécutera.

◈ Une fois lancé, clique sur "Exécuter un examen complet" puis sur [Rechercher]

◈ Sélectionne tout tes disques locaux et amovibles.

◈ Patiente pendant toute la durée du scan, puis clique sur [Ok] une fois l'analyse effectuée.

◈ Clique ensuite sur [Afficher les résultats] puis sur [Supprimer la sélection]. Valide ensuite par [Ok].

◈ MBAM ouvrira un rapport, copie/colle son contenu dans ta prochaine réponse.

◈ Tu peux ensuite vider la quarantaine de MBAM.

Note : MBAM t'invitera peut être à redémarrer ton PC, fais le. Le rapport se trouve dans la partie " Rapports/Logs " de MBAM.

◈ Si tu as des soucis, un tutoriel est disponible à cette adresse.
2
Retas
3 avril 2011 à 21:28
Merci de votre réponse rapide.

Ci dessous comme demandé les rapports de RogueKillet et de MBAM:


RogueKiller V4.3.6 par Tigzy
contact sur http://www.sur-la-toile.com
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur: Administrateur [Droits d'admin]
Mode: Recherche -- Date : 03/04/2011 20:28:51

Processus malicieux: 0

Entrees de registre: 10
[IFEO] HKLM\[...]\Image File Execution Options : afwserv.exe (svchost.exe) -> FOUND
[IFEO] HKLM\[...]\Image File Execution Options : avastsvc.exe (svchost.exe) -> FOUND
[IFEO] HKLM\[...]\Image File Execution Options : avastui.exe (svchost.exe) -> FOUND
[IFEO] HKLM\[...]\Image File Execution Options : egui.exe (svchost.exe) -> FOUND
[IFEO] HKLM\[...]\Image File Execution Options : ekrn.exe (svchost.exe) -> FOUND
[IFEO] HKLM\[...]\Image File Execution Options : msascui.exe (svchost.exe) -> FOUND
[IFEO] HKLM\[...]\Image File Execution Options : msmpeng.exe (svchost.exe) -> FOUND
[IFEO] HKLM\[...]\Image File Execution Options : msseces.exe (svchost.exe) -> FOUND
[HJ] HKLM\[...]\System : ConsentPromptBehaviorAdmin (0) -> FOUND
[HJ] HKLM\[...]\System : ConsentPromptBehaviorUser (0) -> FOUND

Fichier HOSTS:
127.0.0.1 localhost
127.0.0.1 www.newsleecher.com
127.0.0.1 newsleecher.com


Termine : << RKreport[1].txt >>
RKreport[1].txt



Malwarebytes' Anti-Malware 1.50
www.malwarebytes.org

Version de la base de données: 6258

Windows 5.1.2600 Service Pack 3
Internet Explorer 7.0.5730.11

03/04/2011 21:21:47
mbam-log-2011-04-03 (21-21-47).txt

Type d'examen: Examen complet (C:\|D:\|E:\|)
Elément(s) analysé(s): 246127
Temps écoulé: 46 minute(s), 30 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 6
Valeur(s) du Registre infectée(s): 3
Elément(s) de données du Registre infecté(s): 3
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\afwserv.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avastsvc.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avastui.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msascui.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msmpeng.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msseces.exe (Security.Hijack) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\ForceClassicControlPanel (Hijack.ControlPanelStyle) -> Value: ForceClassicControlPanel -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\egui.exe\Debugger (Security.Hijack) -> Value: Debugger -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ekrn.exe\Debugger (Security.Hijack) -> Value: Debugger -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\documents and settings\administrateur.sweet-6e6989f07\application data\microsoft\xvcphk_old.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.


Cela clôture t il la mésaventure ou y a t il encore quelque chose à faire?

Merci.
0