Virus de la gendarmerie + Bureau disparu Fermé

Question

Bonjour, 

J'ai récemment été infecté par le virus de "la gendarmerie national" ..
Je suis sous windows 7.
J'ai suivi ce tuto : http://www.tech2tech.fr/virus/votre-ordinateur-a-ete-bloque-pour-violation-de-la-loi-francaise/

J'ai testé RogueKiller et MalwareByte, ils m'ont tout les deux corrigé certains problèmes..
Je pense donc que je n'ai plus le virus mais lorsque je redémarre, je me log sur ma session et là.. pouf.. écran noir..pas de bureau.. pas de barre des taches..

J'ai donc fait un CTRL+ALT+SUPPR puis relancé explorer.exe via le gestionnaire des taches.. pensant qu'il allait me relancé mon bureau et ma barre des taches.. mais nan, il m'ouvre une fenêtre windows (comme si j'appuyais sur la touche WINDOWS+E).. j'arrive donc a lancer firefox pour arriver ici..

J'ai essayé de lancer le panneau de configuration, impossible de lancer tout ce qui se rapproche de la barre des taches..

J'ai essayé de faire une restauration, aucun point de sauvegarde trouvé.

Est-ce-qu'il n'y a pas des valeurs dans la base de registre que le virus aurait changé pour éviter que j'accède au bureau ou a ma barre des taches ?
Ma question est donc : comment retrouver mon bureau et ma barre des taches ?

Merci de votre aide :) (parce là je commence a désespéré :/ )

g3n-h@ckm@n · Accepted Answer

salut

telecharge et enregistre ceci sur ton bureau :

Pre_Scan

Avertissement: tous les processus non-vitaux de windows seront coupés --> pas de panique. 

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition du rapport sur le bureau.

si 'outil est bloqué par l'infection utilise cette version : Version .pif

ou encore cette version renommée : Winlogon.exe

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

 Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler 

Si l'outil ouvre une fenetre "Lecteurs virtuels" , fais exactement ce qui est indiqué dans cettte fenetre

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan après redemarrage

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

heberge le rapport sur http://pjjoint.malekal.com et donne le lien obtenu

Tony37 · Answer

Alors, j'ai un petit soucis avec Pre_Scan, quand je le lance, je clic sur "Kill" .. les fenêtres se ferment comme prévu, le scan commence et hop.. erreur : 

---------------------------
AutoIt Error
---------------------------
Line 10486  (File "C:\Users\XXX\Desktop\Pre_scan.exe"):
Error: Subscript used with non-Array variable.

Du coup, je peux pas faire le reste :/
Une idée ?

g3n-h@ckm@n · Answer

/!\ ATTENTION SUIVRE A LA LETTRE CES INDICATIONS/!\

__________________________________________________________
>Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.<
>>>>>>>Ne pas utiliser en dehors de ce cas de figure : dangereux!<<<<<<<<
=====================================================

▶ Surtout , pense à l'enregistrement à renommer Combofix en "ton prenom.exe" avant qu'il soit enregistré sur ton disque dur

Telecharge ici : Combofix

Avant d'utiliser ComboFix :

Si tu utilises AVG, IL FAUT IMPERATIVEMENT LE DESINSTALLER avant d'utiliser Combofix car il peut causer des dégâts en interaction avec l'outil pouvant mener à la réinstallation totale du système.
La simple désactivation du résident n'est pas suffisante.
Télécharge le désinstalleur d'AVG sur ce lien : https://www.avg.com/fr-fr/avg-remover
Choisis la version adéquate (32 ou 64 bits)/!\

Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement :

▶ Télécharge Defogger (de jpshortstuff) sur ton Bureau

▶ Lance le

Une fenêtre apparait : clique sur "Disable"

▶ Fais redémarrer l'ordinateur si l'outil te le demande

Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable"

_________________________________________________________
>> referme les fenêtres de tous les programmes en cours.
>> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix,
>>la protection en temps réel de ton Antivirus et de tes Antispywares,
>>qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.
°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

sur combofix renommé

¤¤¤¤¤¤¤¤¤¤ LAISSE-LE INSTALLER LA CONSOLE DE RECUPERATION S'IL TE LE DEMANDE ¤¤¤¤¤¤¤¤¤¤

▶ !!!!!NE TOUCHE A RIEN PENDANT LE TRAVAIL DE COMBOFIX (SOURIS/CLAVIER.....)!!!!!

▶ n'oublie pas de reactiver la garde de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet.

▶▶ Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

Tony37 · Answer

J'ai lancé Combofix, il a bien fait toute ses étapes, il a redémarrer mais il n'a pas créer de Combofix.txt dans c:\

Par contre j'ai trouvé un Pre_Scan.txt dans c:\
Je l'ai mis ici : http://pjjoint.malekal.com/files.php?read=20120211_h7k7i6n8u6
Je ne sais pas si il est complet ou pas par contre :/

g3n-h@ckm@n · Answer

telecharge ceci et execute-le avec le clic droit "executer en tant qu'administrateur" : 

http://dl.dropbox.com/u/21363431/fichiers/Comboquarantine.bat 

poste le rapport qui en decoulera
¤¤¤¤¤¤¤¤¤¤_g3n-h@ckm@n_Developpement_¤¤¤¤¤¤¤¤¤¤ 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤_Pre_Scan_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Tony37 · Answer

C'est fait : 
http://pjjoint.malekal.com/files.php?id=20120211_p6k7p14t13k12

g3n-h@ckm@n · Answer

ok

plus haut tu as dit :

j'ai un petit soucis avec Pre_Scan, quand je le lance, je clic sur "Kill" .

tu l'avais donc deja lancé auparavant ?

Tony37 · Answer

Bah je l'ai lancé après ta première réponse..
Quand je le lance, il me laisse plusieurs choix : Kill, Script, etc etc..
il a merdé et c'est fermé.. donc logiquement il à pas été jusqu'au bout de ce qu'il devait faire :/

Je viens de le lance à l'instant en cliquant sur 'Verif Syst.' , pareil, même message d'erreur..  quand il arrive sur la vérification d'explorer.exe :/

g3n-h@ckm@n · Answer

verif.sys ne verifie pas explorer.exe

qu'as-tu comme antivirus ?

Tony37 · Answer

Euhhh... j'ai fais un screen : http://img268.imageshack.us/img268/6967/sanstitreyf.jpg , il a quand même l'air de passer par explorer.exe ^^

J'ai kaspersky qui était désactivé.. je viens d'ailleurs de le désinstaller complètement, pareil pour spybot, j'ai fais un scan hier, il a supprimer des trucs, je viens de le désinstaller aussi.

g3n-h@ckm@n · Answer

il te manque explorer.exe dans le system32 si je ne m'abuse ?

Tony37 · Answer

Tu ne t'abuse pas, en effet.. il n'y a pas d'explorer.exe dans system32..

g3n-h@ckm@n · Answer

copie celui qui s'y trouve dans syswow64

Tony37 · Answer

J'ai copier celui qu'il y avait dans syswow64 dans system32, j'ai redémarrer mais c'est toujours pareil :/

Une autre idée ? :)

g3n-h@ckm@n · Answer

relance pre_scan et fais kill

Tony37 · Answer

"Pre_Scan a cesser de fonctionner" quand il arrive a la recherche d'orphelins de WLM (numéro 20 ??!).

J'ai quand même mis le Pre_Scan.txt ici : http://pjjoint.malekal.com/files.php?read=20120211_d6m7u12u7r12

g3n-h@ckm@n · Answer

c'est quoi ce numero 20 ?

Tony37 · Answer

Quand il y a plein de truc qui défile, lorsque le programme cesse de fonctionner, le dernier truc qu'il affiche c'est "20"... je sais pas ce qu'il liste..

Tu vois un truc bizarre dans le rapport de Pre_Scan ?

g3n-h@ckm@n · Answer

fais voir le dernier rapport de malwarebytes ?

Tony37 · Answer

http://pjjoint.malekal.com/files.php?id=20120211_e6p9p13x14x6

g3n-h@ckm@n · Answer

non je parlais du rapport ou il a viré les infections que tu cites au depart

Tony37 · Answer

Je ne l'ai plus, j'ai supprimer les rapports :/

g3n-h@ckm@n · Answer

bureau toujours pas revenu ?

Tony37 · Answer

Nan toujours pas :/

g3n-h@ckm@n · Answer

c'est quoi ton antivirus ?

Tony37 · Answer

J'en ai pas.. j'ai tout désinstaller..

Par hasard, le virus de la gendarmerie, il changerai pas des clés dans la base de registre pour cacher le bureau et la barre des taches ?
Il suffirait de les remettre et il devrait ré-apparaitre nan ?

Est-ce-qu'il est possible qu'il est modifier explorer.exe dans le répertoire windows ? qu'il n'affiche plus le bureau ou un truc comme ça ?

g3n-h@ckm@n · Answer

oui mais logiquement pre_scan repare tout ca 
¤¤¤¤¤¤¤¤¤¤_g3n-h@ckm@n_Developpement_¤¤¤¤¤¤¤¤¤¤ 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤_Pre_Scan_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Tony37 · Answer

Tu peux me dire ce qu'il change dans la base de registre ? que je regarde manuellement si il l'a bien fait ou pas..

g3n-h@ckm@n · Answer

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer", "NoDesktop" => la valeur doit être à 0
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer", "NoDesktop" => la valeur doit être à 0

Tony37 · Answer

Les deux clés n'étaient pas créées... je l'ai donc fait.. par contre j'ai créé des valeurs DWORD 32 bits, données hexadécimal et je l'ai mis a zéro.. par contre pareil.. toujours pas de bureau :/

Une autre idée ?

g3n-h@ckm@n · Answer

&#9654 Téléchargez UsbFix (créé par El Desaparecido) sur votre Bureau.

&#9654 Si votre antivirus affiche une alerte, ignorez-la et désactivez l'antivirus temporairement.
&#9654 Branchez toutes vos sources de données externes à votre PC (clé USB, disque dur externe, etc...) sans les ouvrir.
&#9654 Double cliquez sur UsbFix.exe.  

&#9654 Cliquez sur Suppression.
&#9654 Laissez travailler l'outil. 

&#9654 À la fin du scan, un rapport va s'afficher, postez-le dans votre prochaine réponse sur le forum.

&#9654 Le rapport est aussi sauvegardé à la racine du disque système ( C:\UsbFix.txt ).
&#9654 Tutoriel vidéo

Tony37 · Answer

J'ai pas d'autres sources de données :/

g3n-h@ckm@n · Answer

? pas de clé usb ,mp3 , mp4 , appareil photo , etc?

Tony37 · Answer

Bon bah finalement j'ai restauré l'ordi.. comme ça c'est réglé :)

Merci de ton aide et de ta patience ^^

g3n-h@ckm@n · Answer

lol

au plaisir

Virus de la gendarmerie + Bureau disparu

35 réponses

Discussions similaires