Virus prétextant des activités illégales Fermé

Question

Bonjour,

Je viens d'être infecté par un virus qui m'interdit l'accès complet à mon ordinateur en m'affichant une fenêtre d'avertissement avec logos d'antivirus (McAfee, Symantec, ...) me disant que mon système est vérouillé pour activités illégales et me demandant de l'argent.

J'ai suivi les conseils d'un expert en réponse à un post traitant du même sujet, et voici le rapport de RogueKiller:

Systeme d'exploitation: Windows Vista (6.0.6001 Service Pack 1) 32 bits version
Demarrage : Mode sans echec avec prise en charge reseau
Utilisateur: Iona [Droits d'admin]
Mode: Suppression -- Date : 06/12/2011 20:47:23

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 3 ¤¤¤
[SUSP PATH] HKCU\[...]\Run : avupdate (C:\Users\Iona\AppData\Roaming\mahmud.exe) -> DELETED
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [NOT LOADED] ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
127.0.0.1 localhost
::1 localhost

Termine : << RKreport[1].txt >>
RKreport[1].txt

Merci d'avance à ceux qui peuvent me venir en aide.

Hubert

anthony5151 · Answer

Bonjour,


RogueKiller a dû désactiver l'infection, on va pouvoir continuer la désinfection tranquillement. D'abord, utilise ce logiciel de désinfection généraliste :

¶ Télécharge et installe Malwarebytes' Anti-Malware
¶ A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
¶ Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
¶ Puis va dans l'onglet "Recherche", coche "Exécuter un examen rapide" puis "Rechercher"
¶ A la fin de l'analyse, clique sur Afficher les résultats
¶ Coche tous les éléments  détectés puis clique sur Supprimer la sélection
¶ Enregistre le rapport
¶ S'il t'est demandé de redémarrer l'ordinateur, clique sur Yes
¶ Poste dans ta prochaine réponse le rapport apparaissant après la suppression


Ensuite, utilise ce logiciel de diagnostic :

¶ Télécharge ZHPDiag (de Nicolas Coolman)
¶ Lance le (si tu es sous Windows Vista ou Windows 7, fais le par un clic-droit --> Exécuter en temps qu'administrateur)
¶ Laisse toi guider lors de l'installation (pense à cocher la case pour créer un raccourci sur le Bureau)
¶ Il se lancera automatiquement à la fin de l'installation
¶ Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
¶ Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
¶ Rends toi sur ce site, clique sur "Parcourir", sélectionne le rapport de ZHPDiag et clique sur Envoyer le fichier. Patiente pendant l'envoi du fichier, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.

hubhub · Answer

Bonsoir anthony5151,

Tout d'abord merci pour le temps que tu m'accordes.

Voici les rapports suite aux manipulations prescrites:

Malwarebytes:
Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 8323

Windows 6.0.6001 Service Pack 1
Internet Explorer 8.0.6001.19088

06/12/2011 21:18:48
mbam-log-2011-12-06 (21-18-48).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 160466
Temps écoulé: 3 minute(s), 41 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Users\Iona\AppData\Roaming\mahmud.exe (Trojan.Zbot.CBCGen) -> Quarantined and deleted successfully.


Et voici le lien vers le rapport ZHPDiag:
http://pjjoint.malekal.com/files.php?id=ZHPDiag_20111206_i9v6o14e13u12

A+

hubhub

anthony5151 · Answer

Les barres d'outils sont inutiles, elles ralentissent le navigateur et peuvent le rendre instable : je te conseille de les désinstaller. Pour ça, ouvre le menu démarrer --> panneau de configuration --> programmes et fonctionnalités --> Sélectionne les programmes suivants et désinstalle les :
Ask Toolbar 
Facemoods Toolbar 
McAfee Security Scan Plus (inutile)
Viewpoint Media Player 


Ensuite, utilise cet outil de désinfection spécifique aux logiciels publicitaires : 

¶ Télécharge AdwCleaner (de Xplode) sur ton Bureau.
¶ Lance le, clique sur Suppression puis patiente le temps du scan.
¶ Une fois la suppression terminée, un message de prévention va s'afficher, je te conseille de le lire attentivement (n'hésite pas à me poser des questions si tu n'as pas compris certaines choses dans ce message).
¶ Ensuite, le rapport s'ouvrira : poste le dans ta prochaine réponse.


Enfin, fais redémarrer ton ordinateur et poste un nouveau rapport ZHPDiag (pense à l'héberger sur pjjoint, comme le précédent).

hubhub · Answer

Voilà le rapport:

http://pjjoint.malekal.com/files.php?id=20111206_e5z5b13n12o11

Tout s'est bien déroulé.

Et dire que la barre Ask a été installée par Avira Antivir...

anthony5151 · Answer

"la barre Ask a été installée par Avira Antivir"
==> Elle a été proposée par AntiVir, c'est un peu différent (tu as le choix) ;)
Par contre, tu as oublié de poster le nouveau rapport ZHPDiag.

hubhub · Answer

Bonjour anthony5151,

Voilà le nouveau lien:
http://pjjoint.malekal.com/files.php?id=ZHPDiag_20111207_b11k10x15b7u7

Je m'étais trompé de fichier hier.

A+

anthony5151 · Answer

Ce script va cibler certains éléments à supprimer :

¶ Ouvre ce lien, sélectionne le script en entier et copie le (Edition --> Copier)
¶ Fais un clic-droit sur le raccourci de ZHPFix et choisis "Exécuter en temps qu'administrateur"
¶ Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
¶ Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
¶ Clique sur le bouton « GO » pour lancer le nettoyage,
¶ Copie/colle la totalité du rapport dans ta prochaine réponse


Puis fais redémarrer ton ordinateur et poste un nouveau rapport ZHPDiag (pense à l'héberger sur pjjoint, comme le précédent).

Virus prétextant des activités illégales

7 réponses

Discussions similaires