Infecté par Privacy Protection ...

Bonjour,

● Télécharge sur le bureau RogueKiller
● Ferme toutes tes applications en cours
● Lance RogueKiller.exe
- Sous XP double-clic sur l'icône pour lancer l'outil.
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
● Lorsque demandé, tape 1 et valide.
● Un rapport à dû s'ouvrir (RKreport.txt se trouve également à côté de l'exécutable), copie/colle le sur le forum.

Si le programme a été bloqué, ne pas hésiter a essayer plusieurs fois. Si vraiment cela ne passe pas (ça peut arriver), le renommer en winlogon.exe

A +

Djoull,

Redémarre en mode sans échec avec prise en charge du réseau
ou télécharge l'outil sur un autre pc et transfère le via une clé USB

A +

Ok merci bcp. C'est fait.
Voici le rapport que j'obtiens :

RogueKiller V6.2.0 [12/12/2011] by Tigzy
mail: tigzyRK<at>gmail<dot>com
Feedback: http://www.geekstogo.com/forum/files/file/413-roguekiller/
Blog: http://tigzyrk.blogspot.com

Operating System: Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Started in : Safe mode with network support
User: jboulnois [Admin rights]
Mode: Scan -- Date : 12/16/2011 18:32:58

¤¤¤ Bad processes: 0 ¤¤¤

¤¤¤ Registry Entries: 8 ¤¤¤
[SUSP PATH] HKCU\[...]\Run : dplaysvr (C:\Users\jboulnois\AppData\Local\dplaysvr.exe) -> FOUND
[SUSP PATH] HKCU\[...]\Run : Privacy Protection (C:\Users\jboulnois\AppData\Roaming\privacy.exe) -> FOUND
[SUSP PATH] HKUS\S-1-5-21-1578248578-2396603601-3258558986-1000[...]\Run : dplaysvr (C:\Users\jboulnois\AppData\Local\dplaysvr.exe) -> FOUND
[SUSP PATH] HKUS\S-1-5-21-1578248578-2396603601-3258558986-1000[...]\Run : Privacy Protection (C:\Users\jboulnois\AppData\Roaming\privacy.exe) -> FOUND
[SUSP PATH] HKUS\.DEFAULT[...]\RunOnce : ClickToCallConfig (C:\ProgramData\Oracle\BaseImage\config\realplayerent_config.exe /SS=YES) -> FOUND
[SUSP PATH] HKUS\S-1-5-18[...]\RunOnce : ClickToCallConfig (C:\ProgramData\Oracle\BaseImage\config\realplayerent_config.exe /SS=YES) -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND

¤¤¤ Particular Files / Folders: ¤¤¤

¤¤¤ Driver: [NOT LOADED] ¤¤¤

¤¤¤ Infection : Rogue.AntiSpy-SP ¤¤¤

¤¤¤ HOSTS File: ¤¤¤

¤¤¤ MBR Check: ¤¤¤
--- User ---
[MBR] dfc3e80180e0bb8a498c5228941a83bd
[BSP] ee5a1317725c5c47de58d55e09f44e1a : MBR Code unknown
Partition table:
0 - [XXXXXX] NTFS [VISIBLE] Offset (sectors): 2048 | Size: 9788 Mo
1 - [ACTIVE] NTFS [VISIBLE] Offset (sectors): 19120128 | Size: 224050 Mo
2 - [XXXXXX] NTFS [VISIBLE] Offset (sectors): 456718336 | Size: 86232 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Finished : << RKreport[1].txt >>
RKreport[1].txt

ok,

1. Télécharge l'utilitaire TDSSKiller (de Kaspersky) sur ton Bureau.

● Lance TDSSKiller.exe
- Sous XP double-clic sur l'icône pour lancer l'outil.
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
● Clique sur Start scan.
● Laisse l'outil balayer ton système sans l'interrompre et sans utiliser le PC.
● Conserve l'action proposée par défaut par l'outil
- Pour TDSS.tdl2 : l'option Delete sera cochée.
- Pour TDSS.tdl3 ou TDSS.tdl4 : assure toi que Cure est bien cochée.
- Pour "Suspicious object" laisse sur "Skip"
- Attention pour Rootkit.Win32.ZAccess :
-- Choisir Cure pour les fichiers .sys et Delete pour le fichier .exe
● Clique sur Continue puis sur Reboot now si le redémarrage est proposé.
● Le rapport se trouve à la racine du disque principal : C:\TDSSKiller.n° de version_date_heure_log.txt

2. Télécharge MBAM et installe le selon l'emplacement par défaut.
(l'essai de la version pro est facultative)

● Effectue la mise à jour et lance Malwarebytes' Anti-Malware
● Clique dans l'onglet du haut "Recherche"
● Coche l'option "Exécuter un examen complet" puis sur le bouton "Rechercher"
● Choisis de scanner tous tes disques durs, puis clique sur 'Lancer l'examen"

A la fin de l'analyse, si MBAM n'a rien trouvé :

● Clique sur OK, le rapport s'ouvre spontanément

Si des menaces ont été détectées :

● Clique sur OK puis "Afficher les résultats"
● Choisis l'option "Supprimer la sélection"
● Si MBAM demande le redémarrage de Windows : Clique sur "Oui"
● Une fois le PC redémarré, le rapport se trouve dans l'onglet "Rapports/Logs"
● Sinon le rapport s'ouvre automatiquement après la suppression

3. Héberge les rapports sur un des sites suivants :
https://www.cjoint.com/
http://pjjoint.malekal.com/
https://textup.fr/
Tu obtiendras 2 liens que tu me donneras dans ton prochain message afin que je puisse les consulter.

A +

Tu es toujours en mode sans échec ?

A +

ok,

== == == == == == == == == == == == == == == == == == == == == ==

Sauvegarde tes documents les plus importants.

== == == == == == == == == == == == == == == == == == == == == ==

Télécharge ComboFix de sUBs sur ton bureau (et nulle part ailleurs ! )

!! Ferme toutes tes applications en cours et désactive les protections résidentes de ton PC (Antivirus, Antispywares, Firewall, etc...) !!

Regarde attentivement ce tutoriel pour t'aider : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Si besoin, imprime ce dont tu auras besoin, car ensuite toutes les fenêtres doivent être fermés.

● Lance ComboFix
● Accepte la licence d'utilisation et laisse toi guider par le programme
● Autorise ComboFix a se connecter à internet pour les mises à jour si besoin.

!! Surtout ne rien faire et ne rien toucher pendant le travail de l'outil !!
(risque de plantage complet de l'ordinateur)

● A la fin ComboFix indique l'emplacement du rapport et l'ouvre spontanément.
● Il est possible que l'outil est besoin de redémarre l'ordinateur.
● Héberge le rapport et donne moi le lien.

!! Réactive les protections résidentes de ton PC !!

Note : Le rapport se trouve normalement à la racine du disque: C:\ComboFix.txt

A +

Ok je viens de finir de faire tourner ComboFix.
Voici les liens pr les rapports :
TDSSkiller : http://cjoint.com/?3LqwfVOQJ9m
ComboFix : http://cjoint.com/?3LqwhAWzyvC

Sinon, dois-je supprimer/désinstaller tous ces logiciels / fichiers une fois que tout sera fini ?

Merci par avance de ton aide,

re,

La plupart des infections nécessitent plusieurs outils et manipulations pour les supprimer complètement. Même si les symptômes disparaissent rapidement, termine la procédure.
Je te guiderais jusqu'à la fin, on désinstallera proprement les outils.

Nous allons utiliser cet outil de diagnostic afin d'identifier les problèmes restants.

Télécharge OTL (de OldTimer) sur ton Bureau.

Ferme toutes tes applications en cours

● Lance OTL.exe
- Sous XP double-clic sur l'icône pour lancer l'outil.
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
● L'interface principale s'ouvre :
● Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal
● Coche la case également Tous les utilisateurs
● Laisse tous les autres paramètres par défaut
● Dans la partie du bas "Personnalisation", copie/colle la liste en citation :

%ALLUSERSPROFILE%\Application Data\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.
%APPDATA%\*.exe /s 
%APPDATA%\*.
%SYSTEMDRIVE%\*.exe 
CREATERESTOREPOINT 

● Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.
● 2 rapports vont s'ouvrir au format bloc-note :
OTL.txt (qui sera affiché) ainsi que Extras.txt (réduit dans la barre des tâches)
● Ne les poste pas sur le forum, ils seraient trop long
● Héberge les sur un des sites suivants :
https://www.cjoint.com/
http://pjjoint.malekal.com/
https://textup.fr/
● Tu obtiendras 2 liens que tu me donneras dans ton prochain message.

A +

Ok c'est fait !!
Rapport OTL : http://cjoint.com/?3LrhtjQUTbW
Rapport Extras : http://cjoint.com/?3LrhujE8qck

Bonjour,

1. Relance OTL
- Sous XP double-clic sur l'icône pour lancer l'outil.
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
● L'interface principale s'ouvre :
● Dans la partie "Personnalisation", copie/colle le script en citation :

:OTL
FF - prefs.js..extensions.enabledItems: {CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}:6.0.24 
[2011/04/15 10:17:26 | 000,000,000 | ---D | M] (Java Console) -- C:\Program Files (x86)\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA} 
[1 C:\windows\SysNative\*.tmp files -> C:\windows\SysNative\*.tmp -> ] 
[1 C:\windows\*.tmp files -> C:\windows\*.tmp -> ] 
:Files
ipconfig /flushdns /c
:Commands 
[emptytemp]

● Clique sur le bouton Correction.
● Patiente pendant le travail de l'outil, il doit ensuite redémarrer le PC.
● Accepte en cliquant sur OK.
● Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément.

Tu peux le retrouver le fichier à la racine du disque : C:\_OTL\MovedFiles

2. Relance une analyse avec Malwarebytes en le mettant à jour avant (merci de te reporter aux indications précédentes).

3. Donne moi les liens et dis moi comment se comporte le pc maintenant ?

A +

Bonjour,
Voici le rapport OTL : http://cjoint.com/?3LrnNCycCwG
En revanche, je ne comprends pas : MBAM se coupe automatiquement à la fin de son analyse sans ouvrir de rapport.
Qd je le relance, pas de rapport stocké non plus.
Malgré tout il semble tjrs trouvé 2 éléments infectés.

re,

Moi non plus, je ne comprends pas pour Malwarebytes.

1. Télécharge mbam-clean sur ton bureau puis exécute le.
Accepte de redémarrer l'ordinateur.

2. Télécharge MBAM et installe le selon l'emplacement par défaut.
(l'essai de la version pro est facultative)

Une fois la mise à jour effectuée, lance un scan rapide.

A+

Tjrs aucun rapport MBAM ...
Pas d'éléments infectés détectés avec l'examen rapide mais tjrs 2 avec l'examen complet.

Ouvre, l'interface du logiciel, tu n'as pas de rapport sous l'onglet rapports/Logs ?
Malwarebytes plante toujours en fin de scan ou pas ?

A +