Win32:rebhip-B

Question

Bonjour, 

Depuis aujourd'hui, j'ai un virus récalcitrant, suite à une téléchargement. Avast n'arrête pas de la bloquer, toutes les 10 secondes environ. Son doux nom est indiqué dans le titre :  Win32:rebhip-B. Il est mis en quarantaine automatiquement à chaque fois. Pas moyen de le trouver à l'emplacement indiqué par Avast. Voici le screen du message d'alerte :

http://nsa27.casimages.com/img/2011/10/30/111030043224883651.png

Je ne sais vraiment pas quoi faire. Donc je m'en remet à vous, en espérant que vous vous y connaîtrez plus que moi (pas bien difficile j'ai envie de dire). D'après mes recherches, c'est un virus vraiment pas cool qui peut récupérer des données personnelles. Une chance qu'il soit bloqué par Avast. Voici un site qui donne le nom du virus en fonction du logiciel utilisé :

http://katabudi.blogspot.com/2011/03/trojwarewin32pswdelf-aka-win32rebhip.html

J'espère trouver l'aide que je cherche, merci d'avance !

Configuration: Windows 7 / Safari 535.2

g3n-h@ckm@n · Answer

salut

desactive ton antivirus
desactive Windows defender si présent
desactive ton pare-feu

Ferme toutes tes appilications en cours

telecharge et enregistre ceci sur ton bureau :

Pre_Scan

si le lien ne fonctionne pas :

http://www.archive-host.com

Avertissement: Il y aura une extinction du bureau pendant le scan --> pas de panique. 

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan.txt" sur le bureau.

si 'outil est bloqué par l'infection utilise cette version : Version .pif

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

si l'outil semble ne pas avoir fonctionné renomme-le winlogon , ou change son extension en .com ou .scr

 Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler 

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

&#9654 Copie ce lien dans ta réponse. 

si ton bureau ne reapparait pas => ctrl+alt+supp , gestionnaire des taches => onglet fichier => nouvelle tache puis tape explorer

Ellenack · Answer

Et voilà le rapport :

http://www.cijoint.fr/cjlink.php?file=cj201110/cijjxlYsoa.txt

g3n-h@ckm@n · Answer

desinstalle BabylonToolbar 

=================================== 

fais glisser une icone n'importe quel fichier sur Pre_scan , pre_script va apparaitre 

Lance Pre_script , une page vierge va s'ouvrir. 

selectionne tout le texte en gras ci-dessous, puis (clic droit/copier ou ctrl+c) : 
___________________________________________________ 
Kill:: 

Registry:: 
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
"AdobeBridge"=-       
"HKCU"=- 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
"Adobe Reader Speed Launcher"=- 
"LManager"=- 
"pcsafedoctor.exe"=- 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar]   
"Locked"=-      
"{98889811-442D-49dd-99D7-DC866BE87DBC}"=- 
[-HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{2EECD738-5844-4a99-B4B6-146BF802613B}] 
[-HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{1F096B29-E9DA-4D64-8D63-936BE7762CC5}] 
[-HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\${ELV_GUID}] 
[-HKCU\Software\BabylonToolbar] 
[-HKCU\Software\PCSafeDoctor]       
[-HKLM\Software\BabylonToolbar] 
[-HKLM\Software\Trymedia Systems]  

file:: 
C:\Windows	mpcpyis.bat  
C:\Windows	mpdelis.bat       
C:\Windows\winstart.bat                
C:\Users\pb\AppData\Roaming\chrtmp     

folder:: 
C:\Users\pb\AppData\Roaming\KB56678899     
C:\bc40732a7475418d121b4c2e7a       
C:\ProgramData\Trymedia     
C:\Users\pb\AppData\Local\Media Get LLC  
C:\Users\pb\AppData\Local\MediaGet2    
C:\Program Files (x86)\BabylonToolbar     
  
Host::     
   
attrib::                           

clean::           
___________________________________________________ 

colle-le ensuite (clic droit/coller ou ctrl+V) dans la page vierge. 

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte 

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille  

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail  

si ton bureau ne reapparait pas => ctrl+alt+supp , gestionnaire des taches => onglet fichier => nouvelle tache puis tape explorer 
¤¤¤¤¤¤¤¤¤¤_g3n-h@ckm@n_developpement_¤¤¤¤¤¤¤¤¤¤ 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤_Pre_scan_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Ellenack · Answer

Voici le deuxième rapport :

http://www.cijoint.fr/cjlink.php?file=cj201110/cijRImVNI3.txt

Et encore merci du temps que vous accordez à ma demande.

g3n-h@ckm@n · Answer

avais-tu bien desinstallé Babylon comme conseillé avant cette action ?

Ellenack · Answer

Veuillez m'excuser pour le retard de cette réponse. Effectivement, j'ai désinstallé Babylon. J'ai lu le second rapport, et effectivement, il indique "non-supprimé". D'un autre côté, si je l'ai désinstallé, ça parait normal. Je reste à l'écoute, et merci encore.

g3n-h@ckm@n · Answer

re

non le dossier est encore present sinon il aurait été indiqué : absent :)

Ellenack · Answer

J'ai cherché partout, et pas de Babylon Toolbar. J'ai vraiment aucune idée d'où il est ! ^^ Je l'ai pourtant bel et bien désinstallé. Une idée ? Là je sèche.

g3n-h@ckm@n · Answer

Télécharge et enregistre ADWcleaner sur ton bureau :

ADWCleaner (Merci à Xplode)

Lance le,

clique sur suppression et poste son rapport.

======================


&#9654 Télécharge ici : Ad-remover sur ton bureau : 


&#9654 Déconnecte toi et ferme toutes applications en cours ! 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

&#9654 sur "Ad-R.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut . 

&#9654 clique le raccourci Ad-remover qui est sur ton bureau pour lancer l'outil .
 
&#9654 Au menu principal choisis "option Nettoyer" et tape sur [entrée] .

&#9654 Laisse travailler l'outil et ne touche à rien ... 

&#9654 Poste le rapport qui apparait à la fin , sur le forum ...

( Le rapport est sauvegardé aussi sous C:\Ad-report.log ) 
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )

Ellenack · Answer

Voici le rapport de ADWCleaner, que je trouve surprenant, vu que j'avais désinstallé Babylon Toolbar... M'enfin :

http://www.cijoint.fr/cjlink.php?file=cj201111/cijJuYd2hR.txt

Et le rapport de Ad-Remover :

http://www.cijoint.fr/cjlink.php?file=cj201111/cijHofT97T.txt

g3n-h@ckm@n · Answer

Télécharge ici :OTL

&#9654 enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.

&#9654 => Clique ici pour voir la Configuration

&#9654 Copie et colle le contenu de ce qui suit en gras dans la partie inférieure d'OTL "Personnalisation"

netsvcs
safebootminimal
safebootnetwork 
%systemroot%\system32\config\*.exe /s
%systemroot%\system32\*.sys 
HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa /s
CREATERESTOREPOINT 

&#9654 Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

juste au niveau du bouton , en fin de chargement du fichier , Un lien de cette forme apparaitra :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

&#9654 Copie ce lien dans ta réponse.

&#9654&#9654 Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.

Ellenack · Answer

Voici le fichier OTL :

http://www.cijoint.fr/cjlink.php?file=cj201111/cijPx3tzKh.txt

Et le fichier Extra :

http://www.cijoint.fr/cjlink.php?file=cj201111/cijX2JWTh7.txt

Et bonne chance pour vous y retrouver, moi, je vois strictement rien ! ^^

g3n-h@ckm@n · Answer

ATTENTION !!! : Script personnalisé pour cette machine uniquement , ne pas reproduire !! 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.


&#9654Copie la liste qui se trouve en gras ci-dessous,

&#9654 colle-la dans la zone sous "Personnalisation" :


:processes
explorer.exe
iexplore.exe
firefox.exe
msnmsgr.exe
Teatimer.exe

:OTL
FF - HKLM\Software\MozillaPlugins\@microsoft.com/GENUINE: disabled File not found
[2011/07/21 14:36:16 | 000,000,000 | ---D | M] (Java Console) -- C:\Program Files (x86)\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}  
[2011/07/21 16:05:20 | 000,000,000 | ---D | M] (Java Console) -- C:\Program Files (x86)\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0026-ABCDEFFEDCBA}      
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O4 - Startup: C:\Users\pb\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\OpenOffice.org 3.3.lnk 
O8 - Extra context menu item: ????3?? - Reg Error: Value error. File not found
O8 - Extra context menu item: ????3?????? - Reg Error: Value error. File not found

:Files
C:\Users\pb\AppData\Local\{*}    
C:\Users\pb\Application Data\Microsoft\Internet Explorer\Quick Launch\pcsafedoctor.lnk
C:\Users\pb\Desktop\pcsafedoctor.lnk      

:commands
[CLEARALLRESTOREPOINTS]
[emptytemp]
[start explorer]
[reboot]


&#9654 Clique sur "Correction" pour lancer la suppression.


&#9654 Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail appres le redemarrage.

Ellenack · Answer

Et voici le fichier texte :

http://www.cijoint.fr/cjlink.php?file=cj201111/cije1zMk60.txt

Sur ce, je vous laisse, j'ai 4H de route dans les pattes. Merci encore.

Win32:rebhip-B

14 réponses

Discussions similaires

Newsletters