Virus soit disant police nationale. Fermé

Question

Bonjour, dps qq smaines j'ai l'apparition d'onglets inattendus : lorsque je fais une recherche sur google, en cliquant sur un lien 2 fois sur 3 je me retrouve sur un site type ebay ou voyagiste et groupons.com ...
Malwarebytes, et antivir ne trouve rien et spybot rien de "nouveau" que des trackers (je crois que ça s'appelle comme ça) type doubleclick, rien de bien neuf.
La gêne n'étant pas majeure je me suis dis que je réglerais ça plus tard.
Mais, dps qq jours en plus de ce probleme, réguliérement quand j'ouvre une fenetre firefox (qui me donne un message d'erreur quand je le quitte d'ailleurs), une autre fenêtre s'ouvre avec une grande quantité d'onglets de sites divers (j'ai pas regardé, je ferme cette fenêtre dès qu'elle s'ouvre).
Et depuis ce matin c'est le drame !
D'un coup, une fenêtre du type : violation loi police nationale : pedophilie ..., payez 100 euros..."
Comme les autres victimes je ne peux pas fermer la fenêtre, sans accés bureau ou gestionnaire des taches,au redémarrage idem bien sur ...
En mode sans échec : idem ...
Seule solution : démarrage en mode invite de commande en mode sans echec (cmd.exe).
J'ai pu lancer ccleaner sans trouver de chose particuliere au démarrage, malware bytes à trouvé trojan.zbot.cbcgen : au redémarrage après suppression en mode normal : la fenêtre :-(
j'ai remarqué en essayant de lancer commande explorer.exe que le virus se lance au démarrage du bureau.
Nouveau scan avec malware : ne trouve plus rien...
Spybot : félicitations aucun mouchard trouvé !
antivir : Rien à signaler...

Au secours !!!
 
Suis sous windows XP.

Configuration: Windows 7 / Firefox 8.0.1

Malekal_morte- · Answer

Salut,

C'est ça : https://www.malekal.com/trojan-winlock-tropan-ransomware-virus-police-suite/

Normalement Malwarebyte le vire.
Poste le rapport Malwarebyte et fais ça :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/    

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.    
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)    

* Lance OTL    
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :    
netsvcs   
msconfig   
safebootminimal   
safebootnetwork   
activex   
drivers32   
%ALLUSERSPROFILE%\Application Data\*.   
%ALLUSERSPROFILE%\Application Data\*.exe /s   
%APPDATA%\*.   
%APPDATA%\*.exe /s   
%temp%\.exe /s   
%SYSTEMDRIVE%\*.exe   
%systemroot%\*. /mp /s   
%systemroot%\system32\*.dll /lockedfiles   
%systemroot%\Tasks\*.job /lockedfiles   
%systemroot%\system32\drivers\*.sys /lockedfiles   
%systemroot%\System32\config\*.sav   
/md5start   
explorer.exe   
winlogon.exe   
wininit.exe   
/md5stop   
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s   
CREATERESTOREPOINT   
nslookup www.google.fr /c   
SAVEMBR:0   
hklm\software\clients\startmenuinternet|command /rs   
hklm\software\clients\startmenuinternet|command /64 /rs    
* Clique sur le bouton Analyse.    
* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent), donne le ou les liens pjjoint qui pointent vers ces rapports ici dans un nouveau message.

kiko · Answer

Désolé pour le retard, en tout cas merci pour ta réponse, j'ai pas internet avec ce mode sans échec donc j'en bave un peu entre le portable, le fixe, les clefs usb et le gestionnaire de tache tout ça sans bureau dispo ...
Voici lien OTL : http://pjjoint.malekal.com/files.php?id=20111210_u5l5t14q15p9
Et rapport malwarebytes : le trojan n'est pas sur ce rapport :

Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 8336

Windows 5.1.2600 Service Pack 3 (Safe Mode)
Internet Explorer 8.0.6001.18702

10/12/2011 19:28:36
mbam-log-2011-12-10 (19-28-36).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 195832
Temps écoulé: 12 minute(s), 59 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)



En espérant que tu puisses m'aider.

Malekal_morte- · Answer

Télécharge AdwCleaner ( d'Xplode ) sur ton bureau.  
Lance le, clique sur [Suppression] puis patiente le temps du scan.  
Une fois le scan fini, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse.  

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt  

~~~


bizare le hash de ton C:\WINDOWS\explorer.exe
Bamital ?

Tu peux scanner C:\WINDOWS\explorer.exe sur https://www.virustotal.com/gui/ et donner le lien de scan ici.

Kiko · Answer

Merci pour ton aide :
Rapport recherche :
# AdwCleaner v1.401 - Rapport créé le 11/12/2011 à 13:20:28
# Mis à jour le 06/12/11 à 19h par Xplode
# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
# Nom d'utilisateur : user - USER-38272F1996 (Administrateur)
# Exécuté depuis : C:\Documents and Settings\user\Bureau\adwcleaner.exe
# Option [Recherche]


***** [Services] *****


***** [Fichiers / Dossiers] *****


***** [Registre] *****


***** [Navigateurs] *****

-\ Internet Explorer v8.0.6001.18702

[OK] Le registre ne contient aucune entrée illégitime.

-\ Mozilla Firefox v8.0.1 (fr)

Profil : 2tw35lc1.default
Fichier : C:\Documents and Settings\user\Application Data\Mozilla\Firefox\Profiles\2tw35lc1.default\prefs.js

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [2287 octets] - [11/12/2011 13:07:23]
AdwCleaner[R1].txt - [883 octets] - [11/12/2011 13:20:28]

########## EOF - C:\AdwCleaner[R1].txt - [1010 octets] ##########


Rapport suppression :

# AdwCleaner v1.401 - Rapport créé le 11/12/2011 à 13:07:23
# Mis à jour le 06/12/11 à 19h par Xplode
# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
# Nom d'utilisateur : user - USER-38272F1996 (Administrateur)
# Exécuté depuis : C:\Documents and Settings\user\Bureau\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Documents and Settings\All Users\Application Data\Babylon
Dossier Supprimé : C:\Documents and Settings\user\Application Data\Babylon
Dossier Supprimé : C:\Documents and Settings\user\Application Data\Mozilla\Extensions\{ec8030f7-c20a-464f-9b0e-13a3a9e97384}
Dossier Supprimé : C:\Documents and Settings\user\Local Settings\Application Data\Conduit
Dossier Supprimé : C:\Program Files\Conduit
Dossier Supprimé : C:\Documents and Settings\user\Application Data\Mozilla\Firefox\Profiles\2tw35lc1.default\Conduit

***** [Registre] *****

[*] Clé Supprimée : HKLM\SOFTWARE\Classes\Toolbar.CT2613520
Clé Supprimée : HKCU\Software\Conduit
Clé Supprimée : HKCU\Software\ItsLabel
Clé Supprimée : HKLM\SOFTWARE\Conduit
Clé Supprimée : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\2796BAE63F1801E277261BA0D77770028F20EEE4
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{79FB5FC8-44B9-4AF5-BADD-CCE547F953E5}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\conduitEngine

***** [Navigateurs] *****

-\ Internet Explorer v8.0.6001.18702

[OK] Le registre ne contient aucune entrée illégitime.

-\ Mozilla Firefox v8.0.1 (fr)

Profil : 2tw35lc1.default
Fichier : C:\Documents and Settings\user\Application Data\Mozilla\Firefox\Profiles\2tw35lc1.default\prefs.js

C:\Documents and Settings\user\Application Data\Mozilla\Firefox\Profiles\2tw35lc1.default\user.js ... Supprimé !

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [2067 octets] - [11/12/2011 13:07:23]

*************************

Dossier Temporaire : 1 dossier(s)et 6 fichier(s) supprimés

########## EOF - C:\AdwCleaner[S1].txt - [2286 octets] ##########




J'ai pas pu faire scan en ligne, j'ai pas internet avec le seul mode qui fonctionne : pour mémoire  en invite de commande...

J'ai retenté un démarrage : tjs ce .... de virus

Malekal_morte- · Answer

ha ok il est encore actif.
Je me demande s'il a pas remplacé explorer.exe

Comment tu as pu faire tous ces scans si tu es en invite de commande?
Tu peux envoyer explorer.exe sur http://upload.malekal.com ?

kiko · Answer

En fait je passe par créer une nouvelle tache et de là j'ai accès aux fichiers et je peux copier coller, ouvrir ... et je passe par un portable pour envoyer les fichiers, j'en bave un peu ! 
Je pense que t'as raison, j'ai 2 fichiers explorer.exe, un de windows et un en application de Luis inc Louise que je te met sur site. 
Je peux essayer de le supprimer tu crois ? 
N.B. : je vais être plus réactif à tes réponse à partir de maintenant. 
J'ai uploadé le fichier m'a dit réussi mais m'a pas donné de lien, tu vas pouvoir le récupérer ?

Malekal_morte- · Answer

C:\Windows\explorer.exe a été remplacé par une version malicieuse.
Faut le remettre.

Donc voir cette procédure : https://www.malekal.com/trojan-fake-police-virus-gendarmerie-nation/

kiko · Answer

Ca a presque bien fonctionné : j'ai accés à tout mais qd j'allume il se passe rien, c tjs mieux que le virus, j'ai lancé explorer.exe : accés dossiers mais tjs pas de bureau.
Je dois remettre explorer.exe dans le shell je pense ?
Puis pour le bureau au démarrage ?
Je fais rien en attendant ta réponse ;-)

kiko · Answer

Juste pour info, j'ai la technique "tour de passe passe" et iexplorer c'est pas lancé au redémarrage normal.

kiko · Answer

En fait j'ai craqué, j'ai remis explorer dans shell et le bureau est réapparu au démarrage suivant.
Je pense avoir encore besoin de toi, si tu te rappelles (voir 1er message) j'ai toujours les fenetres publicitaires (je suis tombé sur un site de comparatif quand j'ai cliqué sur comment ça marche sur google) or je pense que c'est un des sites des fenêtres de pub qui m'a filé cette buse car je ne vais pas sur des sites de streaming (je ne suis pas un ange mais je ne pratique pas ça) !
Faut-il que j'ouvre un nouveau topic pour ce probleme ou tu veux bien m'aider sur celui-ci ?

En tout cas merci beaucoup pour le virus "gendarmerie nationale, vos papiers bonjour" ;-)

egyptea · Answer

MOI J'ai eu le mm probleme sous windows xp + firefox et j'ai suivi vos conseils en faisant un redemarrage en mode sans echec, sans echec avec prise en charge réseau et autres rien n'a marché ! la seule chose que j'ai faite et que la ca a vraiment marché c'est de restaurer le systeme avec cd system32 etc... la fonctionne j'ai internet et j'ai fait un scan il y a bien un virus du nom de potatol un truc j'ai tt viré

Malekal_morte- · Answer

Pour ceux qui ont réussi à virer l'infection : 

Important - ton infection est venue par un exploit sur site web : 

Un exploit sur site WEB permet l'infection de ton ordinateur de manière automatiquement à la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à ton insu. 
Le fait de ne pas avoir des logiciels à jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système. 
Exemple avec : Exploit Java

IMPORTANT : mettre à jour tes programmes notamment Java/Adobe Reader et Flash ==> https://forum.malekal.com/viewtopic.php?t=15960&start= 


Pour aller plus loin dans la sécurité de ton PC : http://forum.malekal.com/comment-securiser-son-ordinateur.html 

Passe le mot à tes amis ! 


Like the angel you are, you laugh creating a lightness in my chest, 
Your eyes they penetrate me, 
(Your answer's always 'maybe') 
That's when I got up and left

Virus soit disant police nationale.

12 réponses

Discussions similaires