Gros virus, gros problèmes

Question

Bonjour,
J'ai récemment chopé un rogue qui a l'air de bien avoir amoché mon ordinateur :
1/ Quelques fichiers du bureau effacés
2/ Le reste du bureau en "caché" - Resolu avec l'option 6 de roguekiller
3/ Menu démarré vide ( en gros, les dossiers de "tous les programmes" sont vides, je n'ai même plus d'outils système et autres outils de base manquants
4/ J'ai déjà fait un scan malware bytes + passé un coup de ccleaner

Que me conseiller-vous de faire si vous avez déjà vu un cas semblable ? Un formatage en préservant les données préservables ? Parce que là vu la tête de mon Windows, j'ai l'impression que le virus m'a détruit tout ce qui était important...

NoDiez · Answer

Je me permet de up car la situation a changé ( message originel modifié ), et je ne sais vraiment plus quoi faire là... 
Est-il possible de formater uniquement la partie "Windows" ? Enfin tout ce qui touche au système sans toucher aux données de l'utilisateur ? Car j'ai énormément de choses importantes sur cet ordi et pas de support de stockage suffisant...

moment de grace · Answer

bonjour

on peut tenter encore de "réparer"

desactive tes protections puis enregistre ceci sur ton bureau

Pre_Scan
http://dl.dropbox.com/u/21363431/Pre_scan.exe

Avertissement: Il y aura une extinction courte du bureau --> pas de panique.

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan.txt" sur le bureau.

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

si l'outil semble ne pas avoir fonctionné clique plusieurs fois très rapidement dessus ou renomme-le winlogon , ou change son extension en .com ou .scr

NE LE POSTE PAS SUR LE FORUM

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

 Clique sur Parcourir et cherche le fichier ci-dessus(Pre_Scan.txt).

 Clique sur Ouvrir.

 Clique sur "Cliquez ici pour déposer le fichier".

juste au niveau du bouton , en fin de chargement du fichier , Un lien de cette forme apparaitra :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

? Copie ce lien dans ta réponse.

NoDiez · Answer

Bonjour et merci de la réponse. 
Néanmoins, j'ai bien désactivé mon antivirus ( Avira ), et mon pare-feu windows, et placé Pre_Scan sur le bureau, mais à chaque lancement j'ai une fenêtre d'erreur : 
"Autolt Error" 
"Line 4681 (File "C:\d&settings\utilisateur\bureau\Pre_scan.exe"): 
Error : Error parsing function call." 

Et lancer plusieurs fois le programme avant que le bureau disparaisse renvoie toujours l'erreur.



PS : Par contre pas d'erreur lorsque je renomme en .com ou .scr, mais pas de rapport non plus. J'ai juste un fichier "key" sans extension, mais il était apparu pendant les erreurs.

moment de grace · Answer

essai en mode sans echec 

https://www.micro-astuce.com/depannage/demarrer-mode-sans-echec.php 

______ 

peux tu poster le ou les rapports roguekiller 

________ 

Télécharge ZHPDiag ( de Nicolas coolman ).  
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 

ou 

https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/ 

 
(outil de diagnostic) 

 Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " ) 
  
Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin pour Vista ou Seven) 

Clique sur la loupe en haut à gauche, puis laisse l'outil scanner.  

Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau.  

Rend toi sur http://pjjoint.malekal.com/ 

Clique sur "Parcourir "  

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau  

Clique ensuite sur "Envoyer le fichier " et copie/colle le lien dans ton prochain message 


CONTRIBUTEUR SECURITE 

En désinfection, c'est la fin le plus important ! 
"Restez" jusqu'au bout...merci

NoDiez · Answer

Je viens d'essayer en mode sans échec, et toujours même problème : Pas de rapport.  
Néanmoins j'ai un fichier key sur le bureau, qui lorsqu'ouvert avec le bloc notes, m'indique visiblement autant de messages que j'ai lancé pre_scan :  
C:\Documents and Settings\utilisateur.HP_PROPRIETAIRE\Application Data\utilisateur3SQLite3.dll ( environ une dizaine de fois ce message )  
C:\Documents and Settings\utilisateur.HP_PROPRIETAIRE\Bureau\Pre_scan.scr.exe  

Et un fichier nommé "txt" dans C:/ avec :   
C:\Documents and Settings\utilisateur.HP_PROPRIETAIRE\Bureau\Pre_scan.scr.exe  

Bref, néanmoins voici les rapports Roguekiller :  
Celui fait pendant l'infection, quand j'ai reçu un premier faux message prétextant un problème de disque dur :  
http://www.cijoint.fr/cjlink.php?file=cj201105/cijXem6G6S.txt  

Celui fait après l'infection et le scan malware bytes, qui a restauré mes icones sur le bureau ( enfin les a démasqué, car le virus a visiblement modifié des clés du registre, j'ai par exemple vu "NoDesktop" avec la valeur 1 ) :  
http://www.cijoint.fr/cjlink.php?file=cj201105/cijmkNSAnY.txt  


Je suis en train de faire le rapport ZHPDiag, mais j'ai l'impression qu'il a planté à "Logiciels installés", sur Spybot Search & Destroy, à 43%. 


Edit : Voici le rapport ZHPDiag :  

Double Edit : Je me suis trompé de lien : https://pjjoint.malekal.com/files.php?id=138509b4fa7106

moment de grace · Answer

hello vous...bien sûr que l'ai vu !! euh...

@ NoDiez

plusieurs choses à faire

1)

* Télécharge à nouveau sur le bureau RogueKiller (par tigzy) 
https://www.luanagames.com/index.fr.html 
(vire l'autre)


*( Sous Vista/Seven,clique droit, lancer en tant qu'administrateur )

* Quitte tous tes programmes en cours 
* Lance RogueKiller.exe. 
* Lorsque demandé, tape 2 et valide 

* puis l'option 6
* Un rapport (RKreport.txt) a du se créer à côté de l'exécutable, colle son contenu dans la réponse 
* Si le programme a été bloqué, ne pas hésiter a essayer plusieurs fois. ou renommer l'outil en firefox.exe ou roguekiller.com

_____________________

2)

* Télécharge de AD-Remover sur ton Bureau. (Merci à C_XX) 
http://www.teamxscript.org/adremoverTelechargement.html

/!\ Déconnecte-toi d'internet et ferme toutes applications en cours /!\ 

 Désactive provisoirement et seulement le temps de l'utilisation de ADremover, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. 

- Double-clique sur l'icône Ad-remover située sur ton Bureau. 
- Sur la page, clique sur le bouton « NETTOYER » 
- Confirme lancement du scan 
- Laisse travailler l'outil. 
- Poste le rapport qui apparaît à la fin. 

(Le rapport est sauvegardé aussi sous C:\Ad-report(Scan/clean).Txt) 

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller) 

____________

3)

Téléchargez MalwareByte's Anti-Malware (que tu pourras garder ensuite)

https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/
 
. Enregistres le sur le bureau
. Double cliques sur le fichier téléchargé pour lancer le processus d'installation. 
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour
. Si le pare-feu demande l'autorisation de se connecter pour malwarebytes, accepte
. Une fois la mise à jour terminé
. Rend-toi dans l'onglet, Recherche
. Sélectionnes Exécuter un examen rapide 
. Cliques sur Rechercher
. Le scan démarre. 
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés. 
. Cliques sur Ok pour poursuivre.
. Si des malwares ont été détectés, clique sur  Afficher les résultats
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. 
. Rends toi dans l'onglet rapport/log 
. Tu cliques dessus pour l'afficher, une fois affiché
. Tu cliques sur edition en haut du boc notes, et puis sur sélectionner tous 
. Tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. tu cliques droit dans le cadre de la reponse et coller 


Si tu as besoin d'aide regarde ces tutoriels : 
 Aide: https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
 http://www.infos-du-net.com/forum/278396-11-tuto-malwarebytes-anti-malware-mbam

_____________

4)

Fais un nouveau rapport ZHPdiag stp

Rend toi sur http://pjjoint.malekal.com/

Clique sur "Parcourir " 

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau 

Clique ensuite sur "Envoyer le fichier " et copie/colle le lien dans ton prochain message

NoDiez · Answer

Re.
En fait en regardant un peu le forum, je me suis rendu compte que mes problèmes étaient similaires à ceux causés par Windows Vista Recovery ( en fait je n'ai jamais su le nom exact du virus car j'ai utilisé roguekiller dès la première fausse alerte du virus.
Du coup j'ai déjà fait cette démarche ( Ad-remove + scan MB ).

Néanmoins je posterai un rapport demain ( je ne suis pas sur mon PC actuellement histoire d'être sur que la menace a été écartée et ainsi clore le sujet.

Merci pour l'aide.

moment de grace · Answer

ok

1)

Copie  tout le texte présent en gras ci-dessous ( tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )

[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified     
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified     
[MD5.CC8EA1F041997B6F67F89592C89440F1] - (...) -- C:\Program Files\cacaoweb\cacaoweb.exe   [385776]     
M2 - MFEP: prefs.js [Laget Yann - g1a5ovrw.default\cacaoweb@cacaoweb.org] [] cacaoweb v1.0.15 (.http://www.cacaoweb.org/     
O2 - BHO: Ask Toolbar BHO - {D4027C7F-154A-4066-A1AD-4243D8127440} Clé orpheline     
O4 - HKCU\..\Run: [cacaoweb] . (...) -- C:\Program Files\cacaoweb\cacaoweb.exe     
O4 - HKUS\S-1-5-21-839522115-562591055-2146403267-1003\..\Run: [cacaoweb] . (...) -- C:\Program Files\cacaoweb\cacaoweb.exe     
O42 - Logiciel: Plantes contre Zombies - (.PopCap Games.) [HKLM] -- Plantes contre Zombies     
[HKCU\Software\cacaoweb]     
O43 - CFD: 10/10/2010 - 11:28:26 - [385776] ----D- C:\Program Files\cacaoweb     
O43 - CFD: 11/09/2009 - 18:50:54 - [172425] ----D- C:\Documents and Settings\Laget Yann\Local Settings\Application Data\AskToolbar     
O47 - AAKE:Key Export SP - "C:\Program Files\cacaoweb\cacaoweb.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) -- C:\Program Files\cacaoweb\cacaoweb.exe     
[HKLM\Software\Classes\AppID\SoftwareUpdate.exe]     
[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}]     
C:\Program Files\cacaoweb     
C:\Documents and Settings\Laget Yann\Local Settings\Application Data\AskToolbar     
O42 - Logiciel: TeamSpeak 2 RC2 - (.Dominating Bytes Design.) [HKLM] -- Teamspeak 2 RC2_is1     
O43 - CFD: 14/12/2010 - 13:48:00 - [7790341] ----D- C:\Program Files\Teamspeak2_RC2     
O43 - CFD: 26/08/2009 - 20:36:20 - [28579] ----D- C:\Documents and Settings\Laget Yann\Application Data	eamspeak2    
HiddenFix

Puis Lance ZHPFix depuis le raccourci du bureau . (Clique droit -> Executer en tant qu'admin pour Vista ou Seven)

* Une fois l'outil ZHPFix ouvert ,

- Clique sur l'icone représentant la lettre H (« coller les lignes Helper ») 
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes 
- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse



le rapport se trouve dans le dossier de zhpdiag dans program files sous le nom de ZHPFixReport 

___________

2)

redemarre le pc et dis moi si tu as encore des soucis

NoDiez · Answer

Re
Euh que va faire ZHPFix ? Parce que je lis dans la liste que tu m'indiques, Cacaoweb, teamspeak2, etc, ce sont des programmes que j'utilise et sans virus ( ils sont bien antérieurs à mes problèmes, et je les utilises fréquemment ), même si l'analyse sur pjjoint indique que ce sont des malwares.

Ca va les supprimer ?

Parce que concrètement je n'ai plus de soucis maintenant depuis que j'ai mis à jour roguekiller et fait divers scans.

moment de grace · Answer

Cacaoweb c'est ca...et donc encore des soucis à venir

https://www.broadcom.com/

pour le reste, ce n'est que les toolbars à supprimer (nid à spyware)

NoDiez · Answer

Pourtant ce n'est qu'un addon implémanté à firefox qui permet juste de visionner plus aisément du contenu en streaming, et je l'ai téléchargé depuis : 
https://www.commentcamarche.net/telecharger/tv-video/5277-cacaoweb/

C'est un bon logiciel. 

Pour la toolbar, je suis d'accord, je sais même pas ce qu'elle fait là, mais cacaoweb et teamspeak ce sont des logiciels normaux normalement, en tout cas je les ai tous téléchargé depuis des sources "normales", du genre site officiel ou telecharger.com .

moment de grace · Answer

alors tu laisses les portes ouvertes de ton pc !

je ne remets pas en cause leur bon fonctionnement mais les conséquences qui en découlent...

teamspeak ok, juste la toolbar de trop

mais l'autre il te faut trouver un équivalent ou t'en passer....

NoDiez · Answer

Ben après quelques recherches sur le net, beaucoup disent que c'est un faux positif, notamment avec cette preuve : 
http://www.virustotal.com/file-scan/report.html?id=e53bb66f235d449eabecf3321865930911c16069b137047f5e58d4f6f91a488c-1285760376 

Apparemment les anti-virus qui considèrent cacaoweb comme un virus, donnent une telle réponse car celui-ci pourrait avoir un comportement suspect ( en gros, il ouvre une nouvelle fenêtre lorsque l'on regarde du contenu via megavideo ). Peut-être qu'il considère ça comme un générateur de pop up.


Edit : Enfin visiblement le plus suspect dans cacaoweb, c'est la "difficulté" à le supprimer, mais concrètement c'est juste un processus à tuer puis supprimer l'application, car cacaoweb tourne en permanence.

moment de grace · Answer

je n'ai pas grand chose à dire de +, je suis formé pour ce genre de prise en charge et celle ci passe par la manip zhpfix indiquée

c'est pour ton interet pas le mien, mais faut pas être surpris si des infections "trouvent" le chemin pour rentrer dans ton pc

NoDiez · Answer

Je sais bien que tu es là pour aider, mais tu as bien vu par exemple qu'il signale Teamspeak comme étant un malware. Je viens à l'instant d'upload ma version de cacaoweb sur virustotal, dans le doute que d'une version à l'autre, un comportement suspect se soit instauré, et le site indique : Detection ratio: 1/43 . Ce 1/43 étant l'antivirus "Comodo", avec comme motif "Heur.Suspicious". Des "pointures" si je puis dire comme KasperSky, Avira, etc ne détectent rien. 

De plus les résultats google avec comme mots clés "cacaoweb virus" sont assez restreints. http://cacaoweb.softonic.fr/scan-antivirus 

Peut-être qu'il y a de "fausses" versions de cacaoweb qui circulent ( du à son succès et donc au large panel de victimes potentielles,), mais la plupart disent que les éventuelles alertes sont de faux-positifs. 

Je ne veux pas aller à l'encontre de ta décision, mais j'utilise cacaoweb depuis assez longtemps, et je n'ai jamais eut de soucis avec ...


Edit : Ah d'accord, je comprend peut-être pourquoi il est signalé comme malveillant, dans ta liste il y a "Pas de propriétaire - Pas de description.". C'est la raison ? Car cacaoweb a signalé ça dans sa FAQ indiquant ce fait comme normal.

moment de grace · Answer

http://www.itouchfrance.fr/forum/viewtopic.php?pid=6641

Gros virus, gros problèmes

16 réponses

Votre réponse

Discussions similaires

Newsletters