Virus gendarmerie nationale again... Fermé

Question

Bonsoir ,



Configuration: Windows Vista / Firefox 8.0.1

Voila j'ai ce fameux virus depuis 17H et avant de poster j'ai parcouru ce forum essayer de comprendre , lire et faire ce qu'on demandait mais rien n'y fait.(je dois pas être trés doué) Ayant téléchargé malwarebytes et l'ayant lancé il m'a trouvé deux problemes qu'il a semble t-il supprimé/résolu (j'ai suivi le processus à la règle)  j'ai redemmaré mon pc mais toujours la même chose...
je suis actuellement en mode sans echec en réseau.
Une aide serait la bienvenue merci

Utilisateur anonyme · Answer

Bonsoir

*	Télécharger sur le bureau RogueKiller(par Tigzy)
*	Quitter tous les programmes en cours 
*	Sous Vista/Seven , clic droit -> lancer en tant qu'administrateur 
*	Sinon lancer simplement RogueKiller.exe 
*	Lorsque demandé, taper 2 et valider 
*	Un rapport à dû s'ouvrir (RKreport.txt se trouve également à côté de l'exécutable), donner son contenu à la personne qui vous aide 
*	Si le programme a été bloqué, ne pas hésiter a essayé plusieurs fois. Si vraiment cela ne passe pas (ça peut arriver), le renommer en winlogon.exe


@+

Bidochon · Answer

Merci Guillaume5188 je vois que tu es trés actif et je t'en remercie. j'ai obtenu ce rapport

RogueKiller V6.2.0 [12/12/2011] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows Vista (6.0.6001 Service Pack 1) 64 bits version
Demarrage : Mode sans echec avec prise en charge reseau
Utilisateur: Rudy [Droits d'admin]
Mode: Suppression -- Date : 13/12/2011 19:04:08

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 6 ¤¤¤
[SUSP PATH] HKCU\[...]\Run : Spotify ("C:\Users\Rudy\AppData\Roaming\Spotify\Spotify.exe" /uri spotify:autostart) -> DELETED
[SUSP PATH] HKCU\[...]\Run : ibpzkha5.exe (C:\Users\Rudy\AppData\Roaming\ibpzkha5.exe) -> DELETED
[HJ] HKLM\[...]\System : EnableLUA (0) -> REPLACED (1)
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)
[HJ] HKCU\[...]\ClassicStartMenu : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> REPLACED (0)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [NOT LOADED] ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
127.0.0.1 localhost
::1 localhost

¤¤¤ MBR Verif: ¤¤¤
--- User ---
[MBR] bafd190d0ee20d35c7edde1df8838a4e
[BSP] 991f83da1d35f6b75f229bff59d7e6e3 : MBR Code unknown
Partition table:
0 - [XXXXXX] NTFS [HIDDEN!] Offset (sectors): 2048 | Size: 1572 Mo
1 - [ACTIVE] NTFS [VISIBLE] Offset (sectors): 3074048 | Size: 125029 Mo
2 - [XXXXXX] NTFS [VISIBLE] Offset (sectors): 247271424 | Size: 123456 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Bidochon · Answer

merci de ta réponse. j'ai fait ce que tu m'as demandé malwaresbytes à jour tout antivirus et autres éteint et ca ma mis ça .

Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 8365

Windows 6.0.6001 Service Pack 1 (Safe Mode)
Internet Explorer 7.0.6001.18000

13/12/2011 20:44:56
mbam-log-2011-12-13 (20-44-56).txt

Type d'examen: Examen complet (C:\|D:\|F:\|)
Elément(s) analysé(s): 412507
Temps écoulé: 58 minute(s), 52 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)



je ne comprends pas a priori tout marche mais bon

Utilisateur anonyme · Answer

Re

Ce n'est pas fini...



Pour vérifications, fait ceci stp

Ouvre ce lien et télécharge ZHPDiag de Nicolas Coolman : 

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

Ou

https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

Serveur N°2

Ou

http://www.premiumorange.com/zeb-help-process/zhpdiag.html 
en bas de la page ZHP avec un numéro de version.
 
Une fois le téléchargement achevé, dé zippe le fichier obtenu et place ZHPDiag.exe sur ton Bureau.

Double-clique sur l'icône pour lancer le programme. Sous Vista ou Seven clic droit «  exécuter en tant que administrateur »


Clique sur la loupe pour lancer l'analyse.

Laisse l'outil travailler, il peut être assez long. 

Ferme ZHPDiag en fin d'analyse. 


Pour transmettre le rapport clique sur ce lien : 

 
http://pjjoint.malekal.com/

https://www.cjoint.com/

Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag). 

Sélectionne le fichier ZHPDiag.txt. 

Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt 

est ajouté dans la page. 

Copie ce lien dans ta réponse.

Merci

A+

Bidochon · Answer

OK voila le lien que ca me donne. est-ce correct ? http://pjjoint.malekal.com/files.php?id=ZHPDiag_20111213_n15h13o12w5y11

par ailleurs rien a voir mais j'ai voulu m'acheter minecraft en payant par cb sur internet je n'ai pas pu est-ce du a cela ?

Utilisateur anonyme · Answer

Re

1)Utilisation de l'outil ZHPFix : 

* Copie  tout le texte présent dans l'encadré ci-dessous (tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C ) 
-------------------------------------------------------------------------------------------------


[MD5.B97F985EC8EF19F0365F75E32A6A04D6] [SPRF][13/12/2011] (.Arcsoft, Inc. - UACTokenSvc.) -- C:\Users\Rudy\AppData\Roaming\ibpzkha5.exe   [173056] 
O4 - Global Startup: C:\Users\Rudy\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\System Fix.lnk . (...)  -- C:\ProgramData\xCMxekFoh0k9AV.exe (.not file.) 
O41 - Driver:  (SSHDRV76) . (. - .) - C:\Windows\system32\drivers\SSHDRV76.sys (.not file.) 
O42 - Logiciel: PokerStars.fr - (.PokerStars.fr.) [HKLM] -- PokerStars.fr     
O43 - CFD: 08/11/2011 - 14:55:24 - [0,631] --H-D- C:\Users\Rudy\AppData\Local\PokerStars.FR     
O43 - CFD: 08/11/2011 - 14:55:22 - [64,586] ----D- C:\Program Files (x86)\PokerStars.FR     
O53 - SMSR:HKLM\...\startupreg\qcJRllLRFlik.exe  [Key] . (...) -- C:\ProgramData\qcJRllLRFlik.exe (.not file.) 
O3 - Toolbar: DAEMON Tools Toolbar [64Bits] - {32099AAC-C132-4136-9E9A-4E364A424E17} . (...) -- C:\Program Files (x86)\DAEMON Tools Toolbar\DTToolbar64.dll     
O43 - CFD: 04/04/2010 - 23:57:56 - [0,026] --H-D- C:\Users\Rudy\AppData\Roaming	eamspeak2     
O43 - CFD: 22/11/2011 - 17:08:04 - [0,001] ----D- C:\Program Files (x86)\DAEMON Tools Toolbar     
[HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]:{32099aac-c132-4136-9e9a-4e364a424e17}     
[HKLM\Software\Microsoft\Internet Explorer\Toolbar]:{32099aac-c132-4136-9e9a-4e364a424e17}     
C:\Program Files (x86)\DAEMON Tools Toolbar     
FirewallRAZ
Emptytemp

--------------------------------------------------------------------------------------------
Puis lance  ZHPFix depuis le raccourci du bureau. Sous Vista :Clic droit sur l'icône ZHPFix.exe  
 « Exécuter en tant qu'administrateur »
. 

* Une fois l'outil ZHPFix ouvert, clique sur le bouton [ H ] ( "coller les lignes Helper" ) . 

*Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

*Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes  
- Clique sur le bouton « GO » pour lancer le nettoyage, 


-> laisse travailler l'outil et ne touche à rien ... 


-> Si il t'est demandé de redémarrer le PC pour finir le nettoyage, fais le ! 

Une fois terminé, un nouveau rapport s'affiche : poste le contenu de ce dernier dans ta prochaine réponse ... 

( ce rapport est en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag\ ZHPFixReport.txt ) 



2)Télécharge AdwCleaner ( d'Xplode ) sur ton bureau. 
Lance le, clique sur  [Suppression]  puis patiente le temps du scan. 
Une fois le scan fini, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse. 

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt


A+

Bidochon · Answer

Ok alors le rapport de ZHP fix me donne : 

========== Logiciel(s) ==========
ABSENT Software Key: PokerStars.fr

========== Processus mémoire ==========
SUPPRIME Memory Process: C:\Users\Rudy\AppData\Roaming\ibpzkha5.exe

========== Clé(s) du Registre ==========
SUPPRIME Driver Key: SSHDRV76
SUPPRIME Key**:  StartupReg: qcJRllLRFlik.exe

========== Valeur(s) du Registre ==========
SUPPRIME Toolbar: {32099AAC-C132-4136-9E9A-4E364A424E17}
SUPPRIME [HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]:{32099aac-c132-4136-9e9a-4e364a424e17}
ABSENT [HKLM\Software\Microsoft\Internet Explorer\Toolbar]:{32099aac-c132-4136-9e9a-4e364a424e17}
ABSENT Valeur Standard Profile: FirewallRaz : 
ABSENT Valeur Domain Profile: FirewallRaz : 
SUPPRIME FirewallRaz (Public) : {39A8AE7D-4996-442E-99B9-89646E1B8AD6}
SUPPRIME FirewallRaz (Public) : {8104AAF8-F14E-4A03-8CD2-9F5AC9F299C3}
SUPPRIME FirewallRaz (Public) : {B00E4ED1-2A84-478B-B6F5-B350232B162B}
SUPPRIME FirewallRaz (Public) : {D3E9C3D9-742B-4CDB-B14B-85912A0DFBB7}
SUPPRIME FirewallRaz (None) : {56B02E4E-FBDC-4008-A0EF-72811E8581A3}

========== Dossier(s) ==========
SUPPRIME Folder: C:\Users\Rudy\AppData\Local\PokerStars.FR
SUPPRIME Folder: C:\Program Files (x86)\PokerStars.FR
SUPPRIME Folder: C:\Users\Rudy\AppData\Roaming	eamspeak2
SUPPRIME Folder: C:\Program Files (x86)\DAEMON Tools Toolbar
SUPPRIME Temporaires Windows: : 74

========== Fichier(s) ==========
SUPPRIME File: c:\usersudy\appdataoaming\ibpzkha5.exe
SUPPRIME File: c:\usersudy\appdataoaming\microsoft\internet explorer\quick launch\system fix.lnk
ABSENT File: c:\programdata\xcmxekfoh0k9av.exe
ABSENT File: c:\programdata\qcjrlllrflik.exe
ABSENT File: c:\program files (x86)\daemon tools toolbar\dttoolbar64.dll
ABSENT Folder/File: c:\program files (x86)\daemon tools toolbar
SUPPRIME Temporaires Windows: : 9


========== Récapitulatif ==========
1 : Processus mémoire
2 : Clé(s) du Registre
10 : Valeur(s) du Registre
5 : Dossier(s)
7 : Fichier(s)
1 : Logiciel(s)


End of clean in 01mn 10s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 13/12/2011 22:37:38 [2373]


je n'ai pas eu besoin de redemarrer mon pc j'ai enchaine ssur adwcleaner qui m'a donné comme rapport :


# AdwCleaner v1.402 - Rapport créé le 13/12/2011 à 22:39:57
# Mis à jour le 11/12/11 à 19h par Xplode
# Système d'exploitation : Windows (TM) Vista Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : Rudy - PC-DE-RUDY (Administrateur)
# Exécuté depuis : D:\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Users\Rudy\AppData\Roaming\Mozilla\Extensions\{ec8030f7-c20a-464f-9b0e-13a3a9e97384}

***** [Registre] *****

Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\SoftwareUpdate.exe
Clé Supprimée : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\2796BAE63F1801E277261BA0D77770028F20EEE4
Clé Supprimée : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\DE28F4A4FFE5B92FA3C503D1A349A7F9962A8212

***** [Registre (x64)] *****

Clé Supprimée : HKLM\SOFTWARE\Software

***** [Navigateurs] *****

-\ Internet Explorer v7.0.6001.18000

[OK] Le registre ne contient aucune entrée illégitime.

-\ Mozilla Firefox v8.0.1 (fr)

Profil : zddvs64g.default
Fichier : C:\Users\Rudy\AppData\Roaming\Mozilla\Firefox\Profiles\zddvs64g.default\prefs.js

[OK] Le fichier ne contient aucune entrée illégitime.

-\ Google Chrome v0.0.0.0

Fichier : C:\Users\Rudy\AppData\Local\Google\Chrome\User Data\Default\Preferences

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [1444 octets] - [13/12/2011 22:39:57]

*************************

Dossier Temporaire : 0 dossier(s)et 0 fichier(s) supprimés

########## EOF - C:\AdwCleaner[S1].txt - [1663 octets] ##########


la par contre ils m'ont dit que si j'avais lancé ce programme c'est que je devais avoir eu des soucis sur internet puis ensuite mon écran est resté "bloqué" je ne pouvais plus aller sur internet j'ai donc redemarrer mon pc.

Utilisateur anonyme · Answer

Re

Ok;-)

1)Procède à la mise à jour de windows via windows update

2)Désinstalle les anciennes versions de Java

Installe ensuite la dernière:https://www.java.com/fr/

3)Désinstalle Adobe reader  ;un logiciel plus léger suffit amplement pour lire un fichier au format Pdf>>Foxit reader

@+

Bidochon · Answer

tout est fait chef!! instructions suivi à la lettre!!! est-ce finit maintenant ou dois-je faire quelque chose d'autre ?

par rapport a mon probleme de cb sur minecraft sur internet il n'y a aucun lien avec le virus non ?

tout cas merci à toi

Utilisateur anonyme · Answer

Re

Ok;pas de soucis d'escroquerie;à surveiller mais pas de raison.

1) Télécharge DelFix de Xplode

* Lance le.
* A l'invite,  [Suppression]  
* Un rapport va s'ouvrir à la fin, colle le dans la réponse

Ensuite pour le désinstaller ; tu relances et tu passes à l'option  [Désinstallation] 


2)C - Ccleaner :   

https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/

.enregistres le sur le bureau  
.double-cliques sur le fichier pour lancer l'installation  
.sur la fenêtre de l'installation langage bien choisir français et OK 
.cliques sur <gras>suivant  
.lis la licence et j'accepte  
.cliques sur suivant 
.la tu ne gardes de coché que mettre un raccourci sur le bureau  et puis contrôler automatiquement les mises à jour de Ccleaner 
.cliques sur installer 
.cliques sur fermer  
.double-cliques sur l'icône  de Ccleaner pour l'ouvrir 
.une fois ouvert tu cliques sur option  et puis avancé  
.tu décoches  effacer uniquement les fichiers, du dossier temp de windows plus vieux que 24 heures 
.cliques sur nettoyeur  
.cliques sur windows et dans la colonne avancé  
. coches  la première case vieilles données du perfetch  ce qui te donnes la case vielles données du perfetch  
.cliques sur analyse  une fois l'analyse terminé 
.cliques sur lancer le nettoyage  et sur la demande de confirmation OK  il vas falloir que tu le refasses une autre fois une fois fini vérifies en appuyant de nouveau sur analyse pour être sur qu'il n'y est plus rien 
.clique maintenant sur registre  et puis sur rechercher les erreurs 
.laisse tout coché et clique sur réparer les erreurs sélectionnées 
.il te demande de sauvegarder OUI 
.tu lui donnes un nom pour pouvoir la retrouver et enregistre 
.clique sur corriger toutes les erreurs sélectionnées  et sur la demande de confirmation OK   
.il supprime et une fois fermé   tu vérifies en relançant rechercher les erreurs  
.tu retournes dans option  et tu recoches la case effacer uniquement les fichiers, du dossier temp de windows plus vieux que 48 heures et sur nettoyeur, windows sous avancé tu décoches la première case vieilles données du perfetch  
.tu peux fermer Ccleaner.


3)Purge la restauration sur Vista.
Comment faire :

https://www.commentcamarche.net/faq/13214-vista-desactiver-reactiver-la-restauration-systeme-de-vista

Cela supprime toutes traces des diverses infections ;et permettra une éventuelle restauration sans infections


@+

Bidochon · Answer

OK merci bien patron! je ferais tout ça demain aprés le boulot! en tout cas énorme merci pour ta gentilesse rapidité et patience. je vous tiendrais au courant!

Bidochon · Answer

bonjour voila le rapport de delfix : 

# DelFix v8.7 - Rapport créé le 14/12/2011 à 12:12:11
# Mis à jour le 01/12/11 à 20h par Xplode
# Système d'exploitation : Windows (TM) Vista Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : Rudy - PC-DE-RUDY (Administrateur)
# Exécuté depuis : D:\delfix.exe
# Option [Suppression]


~~~~~~ Dossiers(s) ~~~~~~

Supprimé : C:\ZHP
Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZHP
Supprimé : C:\Users\Rudy\Desktop\RK_Quarantine
Supprimé : C:\Program Files (x86)\ZHPDiag

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\AdwCleaner[S1].txt
Supprimé : C:\PhysicalDisk0_MBR.bin
Supprimé : C:\Users\Rudy\Desktop\RKreport[1].txt
Supprimé : C:\Users\Rudy\Desktop\ZHPDiag.txt
Supprimé : C:\Users\Rudy\Desktop\ZHPFixReport.txt
Supprimé : C:\Users\Public\Desktop\ZHPDiag.lnk
Supprimé : C:\Users\Public\Desktop\ZHPFix.lnk
Supprimé : C:\Users\Public\Desktop\MBRCheck.lnk

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKLM\SOFTWARE\AdwCleaner
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1

~~~~~~ Autres ~~~~~~

-> Prefetch Vidé

*************************

DelFix[R1].txt - [1221 octets] - [14/12/2011 12:12:04]
DelFix[S1].txt - [1190 octets] - [14/12/2011 12:12:11]

########## EOF - C:\DelFix[S1].txt - [1314 octets] ##########

cecilia1359 · Answer

bonjour g été victime du virus de la gendarmeriie nationale et maintenant g un liens mais je ne c pas quoii en faiire quelqu'un pourrez m'aiider ??

Bidochon · Answer

bonsoir j'ai envoyé mon dernier rapport . plus rien a faire donc ? merci bien

Virus gendarmerie nationale again...

14 réponses

Discussions similaires