Virus "vista recovery system"

Salut,

* Télécharge sur le bureau RogueKiller (par tigzy)
https://www.luanagames.com/index.fr.html

*( Sous Vista/Seven,clique droit, lancer en tant qu'administrateur )

* Quitte tous tes programmes en cours
* Lance RogueKiller.exe.
* Lorsque demandé, tape 2 et valide
*Si le rogue empêche le lancement du programme, Renomme (RogueKiller) en "winlogon" ou "firefox". Sinon renomme le en winlogon.exe ou firefox.exe (rajouter l'extension .exe)
* Un rapport (RKreport.txt) a du se créer à côté de l'exécutable, colle son contenu dans la réponse
* Si le programme a été bloqué, ne pas hésiter a essayer plusieurs fois.

ma femme l'avait déjà lancé il y a quelques jurs mais impossible de remettre la main sur les rapports qu'elle avait sauvegardé/
Ce jour avec option 2:
RogueKiller V5.1.6 [21/05/2011] par Tigzy
contact sur https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur: FiSouli [Droits d'admin]
Mode: Suppression -- Date : 24/05/2011 18:32:28

Processus malicieux: 2
[SUSP PATH] KWIlAQhICeLnJub.exe -- c:\programdata\kwilaqhicelnjub.exe -> KILLED
[ROGUE ST] 45014776.exe -- c:\programdata\45014776.exe -> KILLED

Entrees de registre: 1
[SUSP PATH] HKCU\[...]\Run : KWIlAQhICeLnJub (C:\ProgramData\KWIlAQhICeLnJub.exe) -> DELETED

Fichier HOSTS:
127.0.0.1 localhost

Termine : << RKreport[1].txt >>
RKreport[1].txt

Re,

*Télécharges Malwarebytes' (mbam)

ICI >> Malwarebytes' (mbam)

* installes + mise a jour
* Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) sans les ouvrir
* Lances--> Malwarebytes (MBAM)
* Puis vas dans l'onglet "Recherche", coche >>Exécuter un examen complet
* puis "Rechercher"
* Sélectionnes tes disques durs" puis clique sur "Lancer l'examen"
* A la fin du scan, clique sur Afficher les résultats puis sur Enregistrer le rapport
*Si MalwareBytes' détecte des infections, clique sur ==>Afficher les résultats, puis sur ==>Supprimer la sélection
* S'il t' es demandé de redémarrer, clique sur "oui "
* aprés la suppression(s) de ou des infections trouvées --> poste le rapport ici
!!! Ne pas vider la quarantaine de MBAM sans avis !!!

@+

normalement j'ai déjà malwarebytes sur mon PC (+ combofix) avant de lancer la première fois roguekiller j'avais pu retrouver malwa. dans mes programmes mais pas la fonction exe.
Dois je quand même le télécharger à nouveau ou vois-tu une autre solution?

Re,

Non ne télécharge pas, lance Malwarebytes ensuite fais la mise à jour en cliquant l'onglet "mise à jour" puis fais une analyse complète!
Né redémarre pas ton PC !!d 'accord!

@+

ok mais il m'a caché tous les programmes donc je ne le retrouve plus. Quand je lance la rech via %ProgramFiles% tout ce que j'obtiens c'est BootC/ProgramFiles/windows collaboration.
Je ne sais donc pas si j'ai bien tjr Malwarebytes et si oui comment aller le rechercher

est ce que je ne devrais pas mettre Malwareb. sur une clé USB (via mon pc portable peut être) et tenter de le lancer via ce biais là?

idem quand je vais par le menu démarrer dans images (par exemple) il me dit que le fichier est vide, pourtant plus tôt j'ai pu lancer Antivir (via barre d'outil en bas à droite) et j'ai pu voir qu'Antivir scannait mes différents fichiers photos
par contre le PC s'est redemarré tout seul pendant l'opération :-s

Re,

On va désinstaller ta version de malwarebytes s'il existe, pour cela

-Clique sur :Démarrer, ensuite Ajout/suppression de programme et enfin choisis Malwarebytes pour le désinstaller.

Ensuite tu peux effectuer ces procédures déjà citées

heuuu je ne retrouve même pas Ajout/suppression de programme.
quand je vais simplement sur "tous les programmes" je n'ai que OpenOffice et dans le menu de gauche "progammes par défaut" sous "panneau de configuration".

Re,

Tu as windows vista, donc stp fais ceci :

Clique sur Démarrer, ensuite Panneau de configuration, puis tu trouves Programmes, tu cliques sur : Désinstaller un programme et enfin tu cherchers dans la liste indiquée Malwarebytes
OK!

désinstallation faite, ensuite j'ai cliqué sur le lien que tu m'as fourni, lancé le téléchargement Mainteant j'ai une fenetre avec "une erreur s'est produite. Veuillez transmettre ce code d'erreur à l'équipe de support
progam_error_updating (5.0.CreateFile) accès refusé

j'ai fait ok et il m'ouvre quand même le programme de recherche, je continue donc la procédure

alors que Malwarebytes travaille toujours, et a déjà trouvé 4 éléments infectés, j'ai antivir qui me dit avoir trouvé un logiciel malveillant, que l'accès a été refusé et qui me suggère de le supprimer. Je supprime?

Antivir:
Objet: about[1].exe
Résultat positif: TR/FakeSysdef.A.784
Action: Déplacer en quarantaine

j'applique?

Re,

Tu lances tout d'abord l'analyse de malwarebytes et tu laisses avira après.

J'attend donc le rapport de Malwarebytes et ne pas oublier de procèder comme indiqué ICI
@+

Re,

Nous allons effectuer un diagnostic de ton PC:
*Télécharge ZHPDiag sur ton bureau :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
ou :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html

* Laisse toi guider lors de l'installation,coche "Ajouter une icône sur le bureau" et décoche la case "Exécuter ZHPDiag"

/!\Utilisateur de Vista et Seven : Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur »

* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Héberge le rapport ZHPDiag.txt sur un des sites ci dessous, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :
http://pjjoint.malekal.com/

Si indisponible:
http://www.cijoint.fr/

* Tuto zhpdiag :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html

Hébergement de rapport sur pjjoint.malekal.com

* Rends toi sur http://pjjoint.malekal.com/
* Clique sur le bouton Parcourir
* Sélectionne le fichier que tu veux heberger et clique sur Ouvrir
*Clique sur le bouton Envoyer
* Un message de confirmation s'affiche, copie le lien dans ta prochaine réponse.

Re,

* Télécharge de AD-Remover sur ton Bureau.
http://www.teamxscript.org/adremoverTelechargement.html

/!\ Ferme toutes applications en cours /!\

- Double-clique sur l'icône Ad-remover située sur ton Bureau.
- Sur la page, clique sur le bouton « Nettoyer »
- Confirme lancement du scan
- Laisse travailler l'outil.
- Poste le rapport qui apparaît à la fin.

(Le rapport est sauvegardé aussi sous C:\Ad-report(Scan/clean).Txt)

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour c

NB:STP de répondre en cliquant sur le l'onglet vert "Répondre au sujet" juste en bas

@+

-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*
Membre, Contributeur

-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 21:59:25 le 24/05/2011, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Premium Service Pack 2 (X86)
FiSouli@PC-DE-FISOULI (MEDIONPC MS-7502)

============== ACTION(S) ==============

Dossier supprimé: C:\Users\FiSouli\AppData\Roaming\Mozilla\FireFox\Profiles\7pnrt0hz.default\conduit
Dossier supprimé: C:\Users\FiSouli\AppData\Roaming\Mozilla\FireFox\Profiles\7pnrt0hz.default\ConduitEngine
Dossier supprimé: C:\Users\FiSouli\AppData\Roaming\Mozilla\FireFox\Profiles\7pnrt0hz.default\extensions\engine@conduit.com
Dossier supprimé: C:\Users\FiSouli\AppData\LocalLow\Conduit
Dossier supprimé: C:\Program Files\Conduit
Dossier supprimé: C:\Users\FiSouli\AppData\LocalLow\ConduitEngine
Dossier supprimé: C:\Program Files\ConduitEngine
Dossier supprimé: C:\Users\FiSouli\AppData\LocalLow\PriceGong

(!) -- Fichiers temporaires supprimés.

-- Fichier ouvert: C:\Users\FiSouli\AppData\Roaming\Mozilla\FireFox\Profiles\7pnrt0hz.default\Prefs.js --
Ligne supprimée: user_pref("CommunityToolbar.EngineOwner", "CT2542115");
Ligne supprimée: user_pref("CommunityToolbar.EngineOwnerGuid", "{4daac69c-cba7-45e2-9bc8-1044483d3352}");
Ligne supprimée: user_pref("CommunityToolbar.EngineOwnerToolbarId", "softonic_france");
Ligne supprimée: user_pref("CommunityToolbar.IsMyStuffImportedToEngine", true);
Ligne supprimée: user_pref("CommunityToolbar.OriginalEngineOwner", "CT2542115");
Ligne supprimée: user_pref("CommunityToolbar.OriginalEngineOwnerGuid", "{4daac69c-cba7-45e2-9bc8-1044483d3352}");
Ligne supprimée: user_pref("CommunityToolbar.OriginalEngineOwnerToolbarId", "softonic_france");
Ligne supprimée: user_pref("CommunityToolbar.ToolbarsList", "ConduitEngine");
Ligne supprimée: user_pref("CommunityToolbar.alert.alertInfoInterval", 60);
Ligne supprimée: user_pref("CommunityToolbar.alert.alertInfoLastCheckTime", "Sat Feb 19 2011 19:54:12 GMT+0100");
Ligne supprimée: user_pref("CommunityToolbar.alert.clientsServerUrl", "hxxp://alert.client.conduit.com");
Ligne supprimée: user_pref("CommunityToolbar.alert.locale", "en");
Ligne supprimée: user_pref("CommunityToolbar.alert.loginIntervalMin", 1440);
Ligne supprimée: user_pref("CommunityToolbar.alert.loginLastCheckTime", "Sat Feb 19 2011 19:08:52 GMT+0100");
Ligne supprimée: user_pref("CommunityToolbar.alert.loginLastUpdateTime", "1291052234");
Ligne supprimée: user_pref("CommunityToolbar.alert.messageShowTimeSec", 20);
Ligne supprimée: user_pref("CommunityToolbar.alert.servicesServerUrl", "hxxp://alert.services.conduit.com");
Ligne supprimée: user_pref("CommunityToolbar.alert.showTrayIcon", false);
Ligne supprimée: user_pref("CommunityToolbar.alert.userCloseIntervalMin", 300);
Ligne supprimée: user_pref("CommunityToolbar.alert.userId", "3f2412b4-1a41-47b3-9c05-fa17a12d602f");
Ligne supprimée: user_pref("ConduitEngine.FirstTime", true);
Ligne supprimée: user_pref("ConduitEngine.FirstTimeFF3", true);
Ligne supprimée: user_pref("ConduitEngine.HasUserGlobalKeys", true);
Ligne supprimée: user_pref("ConduitEngine.Initialize", true);
Ligne supprimée: user_pref("ConduitEngine.InitializeCommonPrefs", true);
Ligne supprimée: user_pref("ConduitEngine.InstalledDate", "Sat Feb 19 2011 19:09:11 GMT+0100");
Ligne supprimée: user_pref("ConduitEngine.IsMulticommunity", false);
Ligne supprimée: user_pref("ConduitEngine.IsOpenThankYouPage", false);
Ligne supprimée: user_pref("ConduitEngine.IsOpenUninstallPage", true);
Ligne supprimée: user_pref("ConduitEngine.LanguagePackLastCheckTime", "Sat Feb 19 2011 19:54:12 GMT+0100");
Ligne supprimée: user_pref("ConduitEngine.LastLogin_3.2.5.2", "Sat Feb 19 2011 19:54:12 GMT+0100");
Ligne supprimée: user_pref("ConduitEngine.PublisherContainerWidth", 0);
Ligne supprimée: user_pref("ConduitEngine.SearchFromAddressBarIsInit", true);
Ligne supprimée: user_pref("ConduitEngine.SettingsLastCheckTime", "Sat Feb 19 2011 19:54:09 GMT+0100");
Ligne supprimée: user_pref("ConduitEngine.UserID", "UN96782104132584073");
Ligne supprimée: user_pref("ConduitEngine.engineLocale", "fr");
Ligne supprimée: user_pref("ConduitEngine.enngineContextMenuLastCheckTime", "Sat Feb 19 2011 19:08:56 GMT+0100");
Ligne supprimée: user_pref("ConduitEngine.initDone", true);
-- Fichier Fermé --

Clé supprimée: HKLM\Software\Classes\CLSID\{203E4C78-7324-4810-8E26-8BBC7452386F}
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{203E4C78-7324-4810-8E26-8BBC7452386F}
Clé supprimée: HKLM\Software\Classes\CLSID\{30F9B915-B755-4826-820B-08FBA6BD249D}
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{30F9B915-B755-4826-820B-08FBA6BD249D}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{30F9B915-B755-4826-820B-08FBA6BD249D}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{30F9B915-B755-4826-820B-08FBA6BD249D}
Clé supprimée: HKLM\Software\Classes\Conduit.Engine
Clé supprimée: HKLM\Software\Classes\Toolbar.CT2542115
Clé supprimée: HKLM\Software\Conduit
Clé supprimée: HKLM\Software\conduitEngine
Clé supprimée: HKCU\Software\AppDataLow\Toolbar
Clé supprimée: HKCU\Software\AppDataLow\Software\Conduit
Clé supprimée: HKCU\Software\AppDataLow\Software\conduitEngine
Clé supprimée: HKCU\Software\AppDataLow\Software\PriceGong
Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{5A00291F-154E-4D42-B6EC-EE4D8BA21322}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\conduitEngine
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\conduitEngine

Valeur supprimée: HKLM\Software\Microsoft\Internet Explorer\Toolbar|{30F9B915-B755-4826-820B-08FBA6BD249D}
Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{30F9B915-B755-4826-820B-08FBA6BD249D}

============== SCAN ADDITIONNEL ==============

**** Mozilla Firefox Version [3.6.8 (fr)] ****

FIREFOX.EXE\Shell\Open\Command - "C:\Program Files\Mozilla Firefox\firefox.exe"
HKCU_Extensions|smartwebprinting@hp.com - C:\Program Files\HP\Digital Imaging\Smart Web Printing\MozillaAddOn2

-- C:\Users\FiSouli\AppData\Roaming\Mozilla\FireFox\Profiles\7pnrt0hz.default --
Extensions\{4daac69c-cba7-45e2-9bc8-1044483d3352} (Softonic_France Community Toolbar)
Prefs.js - browser.startup.homepage_override.mstone, rv:1.9.2.8

========================================

**** Internet Explorer Version [9.0.8112.16421] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKCU_URLSearchHooks|{4daac69c-cba7-45e2-9bc8-1044483d3352} - "Softonic_France Toolbar" (C:\Program Files\Softonic_France\tbSoft.dll)
HKLM_URLSearchHooks|{4daac69c-cba7-45e2-9bc8-1044483d3352} - "Softonic_France Toolbar" (C:\Program Files\Softonic_France\tbSoft.dll)
HKCU_Toolbar\WebBrowser|{4DAAC69C-CBA7-45E2-9BC8-1044483D3352} (C:\Program Files\Softonic_France\tbSoft.dll)
HKLM_Toolbar|{4daac69c-cba7-45e2-9bc8-1044483d3352} (C:\Program Files\Softonic_France\tbSoft.dll)
HKCU_ElevationPolicy\{0D5980E3-4826-448F-A7BF-E714C9EED2E7} - C:\Program Files\CyberLink\PowerDVD\PowerDVD.exe (CyberLink Corp.)
HKCU_ElevationPolicy\{3E8944DC-79B5-4650-9C2E-83885548A119} - C:\Users\FiSouli\AppData\Roaming\Juniper Networks\Setup Client\JuniperSetupClient.exe (Juniper Networks)
HKLM_ElevationPolicy\{3EEDF1D3-9D79-4b3e-B8EB-84DB35D7F282} - C:\Users\FiSouli\AppData\Roaming\Juniper Networks\Setup Client\JuniperSetupClient.exe (Juniper Networks)
HKLM_ElevationPolicy\{3FB35533-A034-42dc-B051-95F1819F6A9A} - C:\Windows\Downloaded Program Files\JuniperExt.exe (?)
HKLM_ElevationPolicy\{4866F811-A1C3-41B6-9D95-43D293F21CC9} - C:\Program Files\Citrix\ICA Client\pnagent.exe (Citrix Systems, Inc.)
HKLM_ElevationPolicy\{569591D2-F221-4115-9A89-762956BEB3C0} - C:\Program Files\HP\Digital Imaging\Smart Web Printing\SmartWebPrintExe.exe (?)
HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files\Internet Explorer\iedw.exe (x)
HKLM_ElevationPolicy\{98D6E2AD-7673-4742-8B34-6D327771A66D} - C:\Program Files\Citrix\ICA Client\wfcrun32.exe (Citrix Systems, Inc.)
HKLM_Extensions\{CCA281CA-C863-46ef-9331-5C8D4460577F} - "@btrez.dll,-4015" (C:\Program Files\WIDCOMM\Bluetooth Software\bt_cold_icon.ico)
BHO\{4daac69c-cba7-45e2-9bc8-1044483d3352} - "Softonic_France Toolbar" (C:\Program Files\Softonic_France\tbSoft.dll)
BHO\{C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - "Google Dictionary Compression sdch" (C:\Program Files\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll) (x)

========================================

C:\Program Files\Ad-Remover\Quarantine: 97 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 16 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 24/05/2011 21:59:41 (9609 Octet(s))

Fin à: 22:00:33, 24/05/2011

============== E.O.F ==============

Je reste à ton écoute pour la suite ;-)