trojan fakealert logiciels hs Fermé

Question

Bonjour, 

Un trojan fakealert a envahi mon portable sous vista. Après un nettoyage avec MBAM puis une analyse en ligne avec HouseCall et nettoyage, j'accède au bureau sous vista. Mais dès que je click sur un icône de programme, j'obtiens la fenêtre Ouvrir avec/Choississez le programme à utiliser pour ouvrir le fichier. Idem si j'essaie d'ouvrir en passant par le chemin direct, par exemple C/PROGRAMMES/AUDACITY/AUDACITY.EXE.

Pas d'amélioration en lançant viste en mode sans échec. La restauration d'une sauvegarde système ne fonctionne pas : j'obtiens un message qui m'informe qu'il n'y en a pas alors que j'en faisais régulièrement.

Bref, j'arrive bien sur le bureau de vista mais je ne peux plus rien faire. Quelqu'un peut-il m'aider à sortir de cette situation ? Un grand merci par avance.

Configuration: Windows XP / Internet Explorer 8.0

Malekal_morte- · Accepted Answer

Salut,

Télécharge ça : https://www.luanagames.com/index.fr.html  

Affiche les extensions de fichiers : https://www.commentcamarche.net/informatique/windows/185-afficher-les-extensions-et-les-fichiers-caches-sous-windows/
Renomme RogueKiller.exe en RogueKiller.com

Lances en option 2 (Suppression).  
Poste le rapport ici.

philitey · Answer

Hello, Tout d'abord merci pour ta réponse rapide. J'ai lançé RoguKiller option 2, rapport1 ci-après. Mes programmes refonctionnent normalement. J'ai relançé RogueKiller après avoir redémarré, rapport2 ci-après. A première vue, tout fonctionne correctement. J'espère qu'il ne reste aucunes traces de ce truc. Merci encore pour ton aide. rapport1 : RogueKiller V5.2.5 [24/06/2011] par Tigzy contact sur http://www.sur-la-toile.com mail: tigzyRKgmailcom Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version Demarrage : Mode normal Utilisateur: phinat [Droits d'admin] Mode: Suppression -- Date : 26/06/2011 09:39:01 Processus malicieux: 0 Entrees de registre: 15 [ROGUE ST] HKCU\[...]\Run : 1448430075 (C:\Users\phinat\AppData\Local\qtx.exe) -> DELETED [BLACKLIST DLL] HKLM\[...]\Run : PLFSet (rundll32.exe C:\Windows\PLFSet.dll,PLFDefSetting) -> DELETED [IFEO] HKLM\[...]\Image File Execution Options : acrun.exe ("C:\Program Files\TuneUp Utilities 2011\TUAutoReactivator32.exe") -> DELETED [IFEO] HKLM\[...]\Image File Execution Options : acstart.exe ("C:\Program Files\TuneUp Utilities 2011\TUAutoReactivator32.exe") -> DELETED [IFEO] HKLM\[...]\Image File Execution Options : excel.exe ("C:\Program Files\TuneUp Utilities 2011\TUAutoReactivator32.exe") -> DELETED [IFEO] HKLM\[...]\Image File Execution Options : mstore.exe ("C:\Program Files\TuneUp Utilities 2011\TUAutoReactivator32.exe") -> DELETED [IFEO] HKLM\[...]\Image File Execution Options : onenote.exe ("C:\Program Files\TuneUp Utilities 2011\TUAutoReactivator32.exe") -> DELETED [IFEO] HKLM\[...]\Image File Execution Options : pmk.exe ("C:\Program Files\TuneUp Utilities 2011\TUAutoReactivator32.exe") -> DELETED [IFEO] HKLM\[...]\Image File Execution Options : powerpnt.exe ("C:\Program Files\TuneUp Utilities 2011\TUAutoReactivator32.exe") -> DELETED [IFEO] HKLM\[...]\Image File Execution Options : presentationhost.exe ("C:\Program Files\TuneUp Utilities 2011\TUAutoReactivator32.exe") -> DELETED [IFEO] HKLM\[...]\Image File Execution Options : winword.exe ("C:\Program Files\TuneUp Utilities 2011\TUAutoReactivator32.exe") -> DELETED [HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0) [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0) [FILE ASSO] HKCU\[...]Software\Classes\.exe\shell\open\command : ("C:\Users\phinat\AppData\Local\qtx.exe" -a "%1" %*) -> REPLACED : ("%1" %*) [FILE ASSO] HKCU\[...]Software\Classes\exefile\shell\open\command : ("C:\Users\phinat\AppData\Local\qtx.exe" -a "%1" %*) -> REPLACED : ("%1" %*) Fichier HOSTS: 127.0.0.1 localhost ::1 localhost 127.0.0.1 www.007guard.com 127.0.0.1 007guard.com 127.0.0.1 008i.com 127.0.0.1 www.008k.com 127.0.0.1 008k.com 127.0.0.1 www.00hq.com 127.0.0.1 00hq.com 127.0.0.1 010402.com 127.0.0.1 www.032439.com 127.0.0.1 032439.com 127.0.0.1 www.0scan.com 127.0.0.1 0scan.com 127.0.0.1 www.1000gratisproben.com 127.0.0.1 1000gratisproben.com 127.0.0.1 www.1001namen.com 127.0.0.1 1001namen.com 127.0.0.1 100888290cs.com 127.0.0.1 www.100888290cs.com [...] Termine : << RKreport[1].txt >> RKreport[1].txt *************************************************************** *************************************************************** rapport2: RogueKiller V5.2.5 [24/06/2011] par Tigzy contact sur http://www.sur-la-toile.com mail: tigzyRKgmailcom Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version Demarrage : Mode normal Utilisateur: phinat [Droits d'admin] Mode: Suppression -- Date : 26/06/2011 10:00:45 Processus malicieux: 0 Entrees de registre: 0 Fichier HOSTS: 127.0.0.1 localhost Termine : << RKreport[2].txt >> RKreport[1].txt ; RKreport[2].txt

Malekal_morte- · Answer

Télécharge et installe Malwarebyte : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/  
Mets le à jour, fais un scan rapide, supprime tout et poste le rapport ici.  
!!! Malwarebyte doit être à jour avant de faire le scan !!! 

ensuite : 

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/ 

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau. 
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur) 

* Lance OTL 
* Sous Peronnalisation, copie-colle ce qu'il y a dans le cadre ci-dessous : 
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%temp%\.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop
CREATERESTOREPOINT
nslookup www.google.fr /c
SAVEMBR:0
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs 
* Clique sur le bouton Analyse. 
* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer les rapports. 
Donnes le liens pjjoint ici ensuite pour pouvoir être consultés.

philitey · Answer

Voici le rapport de MBAM puis celui de OTL :


1ERE ANALYSE :

Malwarebytes' Anti-Malware 1.51.0.1200
www.malwarebytes.org

Version de la base de données: 6953

Windows 6.0.6002 Service Pack 2
Internet Explorer 9.0.8112.16421

26/06/2011 16:42:54
mbam-log-2011-06-26 (16-42-54).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 268748
Temps écoulé: 55 minute(s), 35 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_CLASSES_ROOT\exefile\shell\open\command\(default) (Broken.OpenCommand) -> Bad: () Good: ("%1" %*) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)


******************************************************************
******************************************************************

2EME ANALYSE :


Malwarebytes' Anti-Malware 1.51.0.1200
www.malwarebytes.org

Version de la base de données: 6954

Windows 6.0.6002 Service Pack 2
Internet Explorer 9.0.8112.16421

26/06/2011 17:46:05
mbam-log-2011-06-26 (17-46-05).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 268557
Temps écoulé: 56 minute(s), 12 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)





******************************************************************
******************************************************************
RAPPORT OTL :

http://pjjoint.malekal.com/files.php?id=23ee140cfe7159

philitey · Answer

Aïe, les ennuis continuent : alors que tout semblait fonctionner de nouveau hier, lorsque j'ai allumé mon portable ce matin, j'arrive sur un écran noir avec uniquement le pointeur de la souris. Je n'ai pas eu le logo windows ni la page d'ouverture de session. 

S'agit-t-il de restes du trojan? Les commandes OTL ci-dessus peuvent-elles en être la cause ?

Merci de votre aide précieuse

Trojan fakealert logiciels hs

5 réponses

Discussions similaires