Problème virus fake registration windows xp

Question

Bonjour à tous, 

Ce matin en démarrant mon pc portable, j'ai été très surpris par une sorte de virus que je n'aais jamais vu avant! 

Voici les symptomes du virus:
- ca m'empèche d'aller sur mon bureau et me met une page d'enregistrment de produit en allemand (voir photo ci dessous)
http://imageshack.us/photo/my-images/703/img0029hh.jpg/

- Il désactive mo antivirus ainsi que les mises à jour automatiques de windows
- Au démarrage j'ai un message qui me dit que rundll à un problème avec c:\windows\VUFRDz.dll


Avez vous déjà rencontré ce genre de virus ? car j'ai fait des recherches sur google à propos de ca mais aucune réponses j'ai bien êur d'être infecté par un virus récent.

D'avance merci et bonne journée.

Configuration: Windows XP / Internet Explorer 7.0

gen-hackman · Answer

salut :)

desactive ton antivirus
desactive Windows defender si présent
desactive ton pare-feu

Ferme toutes tes appilications en cours

telecharge et enregistre ceci sur ton bureau :

Pre_Scan

s'il n'est pas sur ton bureau coupe-le de ton dossier telechargements et colle-le sur ton bureau

Avertissement: Il y aura une extinction courte du bureau --> pas de panique. 

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan.txt" sur le bureau.

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

si l'outil semble ne pas avoir fonctionné renomme-le winlogon , ou change son extension en .com ou .scr

 Il se peut que l'outil soit un peu long sur la reattribution des fichiers tout depend combien tu en as , laisse-le travailler 

Poste Pre_Scan.txt qui apparaitra sur le bureau en fin de scan

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

&#9654 Copie ce lien dans ta réponse.

gen-hackman · Answer

est-ce que ca le fait aussi en mode sans echec ?

gen-hackman · Answer

ok reponds avec le bouton vert stp

oui fais en mode sans echec

djonekt · Answer

Désolé je n'avais pas été jusque dans le fond de la page :p

Merci pour ta réponse mais effectivement je n'aurai pas le temps de faire cette manipulation sauf en mode sans échec ! la ca passe 

par ocntre ici j'ai mis mon disque dur de portable dans mon pc fixe et la j'y ai accès sans aucun problèmes ! 

je ne sais pas le faire via le mode sans échec ou via mon fixe ? 

Merci beaucoup ;)

gen-hackman · Answer

je n'ai rien compris

djonekt · Answer

Bonjour, voici le lien de mon Pre_Scan.txt 

http://www.cijoint.fr/cjlink.php?file=cj201105/cijqajnslr.txt 

Merci ;)

gen-hackman · Answer

selectionne ce texte sans les lignes :
___________________________________________________
file::
C:\Documents and Settings\All Users\Application Data\2pkk52jox0h122we6f71l205h34l          
C:\WINDOWS\Tasks\vtscheduletask.job      

folder::
C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy                                           
___________________________________________________

copie-le (ctrl+c) puis lance Pre_Script qui est sur ton bureau

colle dans le document texte qui s'ouvre , puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte 

poste Pre_Script.txt qui apparaitra à coté de l'executable en fin de travail

djonekt · Answer

voila qui est fait ! alors j'obtient ceci


Script : 13:05:10

Supprimé : C:\Documents and Settings\All Users\Application Data\2pkk52jox0h122we6f71l205h34l 
Supprimé : C:\WINDOWS\Tasks\vtscheduletask.job 

Supprimé : C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy 

Fin: 13:05:12

gen-hackman · Answer

ok

Télécharge ici :OTL

&#9654 enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.

&#9654 => Configuration

&#9654Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

juste au niveau du bouton , en fin de chargement du fichier , Un lien de cette forme apparaitra :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

&#9654 Copie ce lien dans ta réponse.

&#9654&#9654 Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.

djonekt · Answer

Voila le fichier OTL.txt
http://www.cijoint.fr/cjlink.php?file=cj201105/cijAA34QoP.txt 

et ici le fichier Extra.txt
http://www.cijoint.fr/cjlink.php?file=cj201105/cijAA34QoP.txt

gen-hackman · Answer

y'a deux fois le extra ^^

gen-hackman · Answer

desinstalle spyware Doctor (dès ton retour en mode normal) il sert à rien

============================================

le proxy c'est normal ?

djonekt · Answer

ok je désinstallerai Spyware Doctor ! 

pour ce qui est du proxy je n'en utilise pas donc non j'en ai utilisé avant mais ca n'est plus d'actualité !

gen-hackman · Answer

pourquoi tu ne l'as pas supprimé quand pre_scan te l'a proposé ?

djonekt · Answer

ben il ne me l'a pas proposé :s

djonekt · Answer

est ce que je peux essayer de redémarrer en mode normal ?

Merci :)

gen-hackman · Answer

essaie

djonekt · Answer

non c'est toujours le même problème :s

gen-hackman · Answer

ok je crois avoir compris

fais ca :

demarrer/executer/puis tape : msconfig

regarde dans onglet démarrage ou démarrer si la case safeboot n'est pas cochée

si c'est la cas tu  la décoches

=================================

ATTENTION !!! : Script personnalisé pour cette machine uniquement , ne pas reproduire !! 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.


&#9654Copie la liste qui se trouve en gras ci-dessous,

&#9654 colle-la dans la zone sous "Personnalisation" :


:processes
explorer.exe
iexplore.exe
firefox.exe
msnmsgr.exe
Teatimer.exe

:Services
Bonjour Service

:OTL
IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = *.local;<local>      
IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = proxy.lan:3128      
[2009/03/08 17:14:01 | 000,000,000 | ---D | M] (Java Console) -- C:\Program Files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0011-ABCDEFFEDCBA}  
[2009/05/07 20:24:33 | 000,000,000 | ---D | M] (Java Console) -- C:\Program Files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0013-ABCDEFFEDCBA} 
[2009/06/29 14:58:18 | 000,000,000 | ---D | M] (Java Console) -- C:\Program Files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA}      
[2009/10/16 21:39:11 | 000,000,000 | ---D | M] (Java Console) -- C:\Program Files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0015-ABCDEFFEDCBA}
[2009/11/25 00:35:54 | 000,000,000 | ---D | M] (Java Console) -- C:\Program Files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0017-ABCDEFFEDCBA}
[2011/01/15 19:14:44 | 000,000,000 | ---D | M] (Java Console) -- C:\Program Files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA} 
O2 - BHO: (Spybot-S&D IE Protection) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll (Safer Networking Limited)
O2 - BHO: () - {70417EC6-BDD4-DFCA-7D1D-96AAD5CE5268} -  File not found
O4 - Startup: C:\Documents and Settings\dj-onekt\Menu Démarrer\Programmes\Démarrage\Dropbox.lnk =  File not found
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O9 - Extra 'Tools' menuitem : Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll (Safer Networking Limited)  
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_23-windows-i586.cab (Java Plug-in 1.6.0_23)   
O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} http://fpdownload.macromedia.com/get/flashplayer/current/ultrashim.cab (Reg Error: Key error.) 
O16 - DPF: {CAFEEFAC-0016-0000-0001-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_01-windows-i586.cab (Reg Error: Key error.)  
O16 - DPF: {CAFEEFAC-0016-0000-0002-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_02-windows-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0003-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_03-windows-i586.cab (Reg Error: Key error.)  
O16 - DPF: {CAFEEFAC-0016-0000-0005-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_05-windows-i586.cab (Reg Error: Key error.)  
O16 - DPF: {CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_07-windows-i586.cab (Reg Error: Key error.) 
O16 - DPF: {CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_23-windows-i586.cab (Java Plug-in 1.6.0_23)   
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_23-windows-i586.cab (Java Plug-in 1.6.0_23) 
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab (Reg Error: Key error.) 
O18 - Protocol\Handler\ipp - No CLSID value found
O18 - Protocol\Handler\msdaipp - No CLSID value found
     

:Reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"MSConfig"=-

:Files
C:\WINDOWS\System32\lsprst7.dll  
C:\WINDOWS\System32\ssprs.dll
C:\WINDOWS\System32\viuwbvj_nav.dat 
C:\WINDOWS\System32\viuwbvj.dat   
C:\WINDOWS\System32\viuwbvj_navps.dat 
C:\Documents and Settings\All Users\Application Data\TEMP:DFC5A2B2       

:commands
[start explorer]
[reboot]


&#9654 Clique sur "Correction" pour lancer la suppression.


&#9654 Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail appres le redemarrage.

djonekt · Answer

je n'ai pas de case safeboot :s mais je vais essayer d effecter la ligne de command eavec OTL

gen-hackman · Answer

ok :)

djonekt · Answer

voila j'ai effectué la correction et redémarré mais aucun rapport après le rédémarrage du pc !

djonekt · Answer

j'ai pu entrevoir le rapport en démarrant normalement mais direct l'écran indésirable que réapparait ! :s 

Je pense à effectuer une restauration du système via le mode sans échec mais impossible il me met ceci !

restauration du systeme ne peut pas protéger votre ordianteur

gen-hackman · Answer

non quand même !! ▶ Télécharge Dr Web CureIt sur ton Bureau : ▶ redemarre en mode sans échec ▶- Double clique (clic droit "en tant qu'admin" sous Vista) et ensuite clique sur ; ▶- Clique à l'invite de l'analyse rapide. S'il trouve des processus infectés alors clique le bouton . Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction" : Quitte en cliquant le "X". ▶- Lorsque le scan rapide est terminé, clique sur le menu puis ; Choisis l'onglet , et décoche . Clique ensuite sur . ▶- De retour à la fenêtre principale : clique pour activer selectionne tous les disques ▶- Clique le bouton avec flèche verte sur la droite, et le scan débutera. ▶- Clique pour tout à l'invite "Désinfecter ?" lorsqu'un fichier est détecté, et ensuite clique "Désinfecter". ▶- Lorsque le scan sera complété, regarde si tu peux cliquer sur l' icône, adjacente aux fichiers détectés (plusieurs feuilles l'une sur l'autre). Si oui, alors clique dessus et ensuite clique sur l'icône , au dessous, et choisis . ▶- Du menu principal de l'outil, au haut à gauche, clique sur le menu et choisis . Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv ▶-pour le rapport tu l enregistres sur ton bureau , tu clic droit dessus /envoyer vers / dossiers compresses ensuite : tu m'envoies l'archive comme ceci : clique sur ce lien : http://www.cijoint.fr/ ▶ Clique sur Parcourir et cherche le fichier ci-dessus. ▶ Clique sur Ouvrir. ▶ Clique sur "Cliquez ici pour déposer le fichier". Un lien de cette forme : http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt est ajouté dans la page. ▶ Copie ce lien dans ta réponse. ▶- Ferme Dr.Web Cureit ▶- Redémarre ton ordi (important car certains fichiers peuvent être déplacés/réparés au redémarrage).

djonekt · Answer

Nickel ca à l'air de fonctionner pour le moment mais je rencontre un autre soucis avant de poster sur ce forum j'avais essayer de récupérer le système avec le cd windows mais maintenant au démarrage j'ai toujours ceci:

Choisissez le système d'exploitation à démarrer
- Microsoft windows XP edition familiale
- Installation de Microsoft windows xp pro

J'ai bien XP pro installé sur mon pc et non le familiale !

que puis je faire pour résoudre ce problème ?

Car à l'arrivée sur xp je n'ai plus de son, la barre des têches à complètement changée elle est d'un beige uni ce n'est plus le mêmes polices ! 

Merci beaucoup

gen-hackman · Answer

attends je ne comprends pas tu as fait une reinstallation sur le xp que tu avais?

djonekt · Answer

hé bien avant de poster sur ce forum j'avais essayer de récuperer le système via mon cd XP mais il s'avère que windows se serai installé deux fois sur le HDD :s je n'y comprend rien ! 

c'est pourquoi au démarrage j'ai le choix 

Choisissez le système d'exploitation à démarrer 
- Microsoft windows XP edition familiale 
- Installation de Microsoft windows xp pro 


hors je n'ai pas de XP familiale installé sur le pc :s

gen-hackman · Answer

si tu choisis xp familial il se passe quoi ?

djonekt · Answer

si je choisis XP Familiale j'arrive sur le bureau que j'avais avant mais je n'ai plus le son, la barre des tâches est beige (style vieux windows) alors plus d'accès au réseaux, ... pleins de fonctionnalité de bases disparues en fait

j'ai un pop up au démarrage qui me dit :

Erreur de chargement de C:\WINDOWS\VUFRDz.dll
Le module spécifié est introuvable

ainsi que d'unn fenêtre bloc note avec écris
[.shellclassInfo]
LocalizedResourceName=@%SystemRoot%\system32\shell32.dll,-21787

voila en gros ce qui se pase je n'y comprend rien :s 

un tout gran merci pour ton aide en tout cas :)

gen-hackman · Answer

ca :

[.shellclassInfo]
LocalizedResourceName=@%SystemRoot%\system32\shell32.dll,-21787 

tu l'as dans ton vieux windows ou dans l'actuel ?

Problème virus fake registration windows xp - Page 2

Newsletters