Gendarmerie, Roguekiller n'a pas marché

Salut,

Lance une restauration en invite de commandes en mode sans échec -voir paragraphe restauration: https://www.malekal.com/trojan-fake-police-virus-gendarmerie-nation/

Salut,

Comme tu as pu télécharger RogueKiller, tu devrais pouvoir télécharger cet autre programme !

EDIT : à toi l'honneur mak \o/

.::. Contributeur Sécurité .::.

Malekal, l'ordi malade est sous XP !
Là, je suis sur l'ordi de mon mari (en espérant que je ne chope rien sinon il va m'étriper, St-Valentin ou pas !!)
J'ai lancé un scan avec malwarebytes...
Tout ce que je peux faire c'est accéder à internet via le gestionnaire de tâches, les autres manip en mode sans échec... échouent !!

Hé ben, 57 mn et une recherche rapide + tard, il n'a rien détecté l'animal !! Menteur, va !!
C'est quoi ce bazar ??

Mille excuses Tigzi !
Le RK quarantine est vide
Voilà le rapport de Malware
Malwarebytes Anti-Malware 1.60.1.1000
www.malwarebytes.org

Version de la base de données: v2012.02.14.03

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
karine :: KLMTOSHIBA [administrateur]

14/02/2012 15:33:36
mbam-log-2012-02-14 (15-33-36).txt

Type d'examen: Examen rapide
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 306055
Temps écoulé: 57 minute(s), 39 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)

si ça peut vous aider à m'aider !

Tu as fiat la restauration du système ?

- Télécharge http://www.trendsecure.com/portal/fr/_download/HJTInstall.exe ton bureau.
- Double-clic sur HijackThis
- Génère un rapport en suivant ces indications :
- Exécute le et clique sur Do a scan and save log file.
- Le rapport s'ouvre sur le Bloc-Note
- Enregistre le sur ton bureau
- Envoie le sur http://pjjoint.malekal.com
- Donne le lien pjjoint ici.

https://forums.commentcamarche.net/forum/affich-24440831-la-gendarmerie-a-encore-frappe#p24448802

Voilà le lien
https://pjjoint.malekal.com/files.php?id=HijackThis_20120214_q13m5u14f9b15

J'espère que c'est bon !

Et pdt que j'y suis

LE RK REPORT 1

RogueKiller V7.0.4 [08/02/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur: karine [Droits d'admin]
Mode: Recherche -- Date : 14/02/2012 15:00:29

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 1 ¤¤¤
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [CHARGE] ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
127.0.0.1 localhost

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: HTS541010G9SA00 +++++
--- User ---
[MBR] 6c172371f023fe1ae39c305251d35ec5
[BSP] 51cfd179cad246967a088274c973faeb : Windows XP MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 95142 Mo
3 - [XXXXXX] UNKNOWN (0x88) [VISIBLE] Offset (sectors): 194852385 | Size: 251 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[1].txt >>
RKreport[1].txt

ET LE NUMERO 2

RogueKiller V7.0.4 [08/02/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur: karine [Droits d'admin]
Mode: Suppression -- Date : 14/02/2012 15:02:00

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 1 ¤¤¤
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [CHARGE] ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
127.0.0.1 localhost

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: HTS541010G9SA00 +++++
--- User ---
[MBR] 6c172371f023fe1ae39c305251d35ec5
[BSP] 51cfd179cad246967a088274c973faeb : Windows XP MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 95142 Mo
3 - [XXXXXX] UNKNOWN (0x88) [VISIBLE] Offset (sectors): 194852385 | Size: 251 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt

Désinstalle :
Realplayer
RecFree Toolbar
Google Toolbar

Relance HijackThis et coche ces lignes :

O3 - Toolbar: RecFree Toolbar - {0508F8F1-08E3-43EE-AAA8-09AD09803084} - C:\Program Files\RecFree.com\RecFreeToolbar\1.3.13.0\escorTlbr.dll
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded /nodetect
O4 - HKLM\..\Run: [NVRotateSysTray] rundll32.exe C:\WINDOWS\system32\nvsysrot.dll,Enable
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [LtMoh] C:\Program Files\ltmoh\Ltmoh.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [SmoothView] C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe
O4 - HKLM\..\Run: [DLA] C:\WINDOWS\System32\DLA\DLACTRLW.EXE
O4 - HKLM\..\Run: [CFSServ.exe] CFSServ.exe -NoClient
O4 - HKLM\..\Run: [Canal Widget] "C:\Program Files\Canal\Canal Widget\Launcher.exe"
O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\FICHIE~1\INSTAL~1\UPDATE~1\isuspm.exe -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Program Files\Fichiers communs\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [TkBellExe] "C:\program files\real\realplayer\update\realsched.exe" -osboot
O4 - HKLM\..\Run: [APSDaemon] "C:\Program Files\Fichiers communs\Apple\Apple Application Support\APSDaemon.exe"
O4 - HKLM\..\Run: [DivXUpdate] "C:\Program Files\DivX\DivX Update\DivXUpdate.exe" /CHECKNOW
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [swg] "C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"
O4 - HKCU\..\Run: [MyTomTomSA.exe] "C:\Program Files\MyTomTom 3\MyTomTomSA.exe"
O4 - HKCU\..\Run: [TomTomHOME.exe] "C:\Program Files\TomTom HOME 2\TomTomHOMERunner.exe" -s

==> clic sur fix checked

Redémarre l'ordinateur

~~

Important - ton infection est venue par un exploit sur site web :

Un exploit sur site WEB permet l'infection de ton ordinateur de manière automatiquement à la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à ton insu.
Le fait de ne pas avoir des logiciels à jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système.
Exemple avec : Exploit Java

Il faut donc impérativement maintenir tes logiciels à jour afin de ne pas voir ces portes d'entrée sur ton système.
Tant que ces logiciels ne seront pas à jour, ton PC est vulnérable et les infections peuvent s'installer facilement.

IMPORTANT : mettre à jour tes programmes notamment Java/Adobe Reader et Flash :
/faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite
https://forum.malekal.com/viewtopic.php?t=15960&start=

Passe le mot à tes amis !
Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left

Alors ??
Je vais dans programmes files via le gestionnaire et bureau, j'essaie de trouver realplayer, google toolbar et recfree toolbar et je fais supprimer?
Si oui, je prends quel dossier car il y en a plein, je prends celui avec l'icone jaune (folder je crois) ?
Parce que je ne vois rien d'autre !
Y'a rien qui me propose uninstall... comme en mode normal !! Ce serait trop simple !!

Supprimer ça suffira, si je trouve les fichiers ?
Ou pas ?
Parce que je ne vois comment accéder à la désinstallation !
Merci...

Un chacal? Oh, un petit rat musqué, tout au plus !!
J'y accède comment à ajout/suppression par le gestionnaire de tâches ??

Hé hé, sur un autre sujet, le petit rat musqué a trouvé la manip !
https://forums.commentcamarche.net/forum/affich-10326241-plus-d-icones-ni-de-de-barre-de-tache
Je lance une nouvelle tâche "appwiz.cpl " via le gestionnaire de tâches et hop j'ai désinstallé les 3 programmes sus-cités
Maintenant je vais continuer la manip et je vous dis quoi !

Alors, j'ai redémarré mon ordi et maintenant j'ai un bel écran noir !
Plus de bureau ni de barre de tâches ...

Alors... j'ai tout récupéré !
Par le biais du gestionnaire, j'ai tapé cmd (toujours grâce au lien sus-cité) et je suis tombée sur les invites de commande !
Après j'ai suivi la procédure regedit
J'ai installé update notifier dans la foulée
Avira m'a aussi détecté un machin à l'ouverture... 3 sec de panique, j'ai cru que la gendarmerie ressortait du placard !

Est-ce que je dois refaire un scan avec roguekiller ou malware pour être sûre ?

+ tard ? A quelles fréquences ?

En tous les cas, merci cent milliards de fois pour tout !!
Vous êtes super, tous, autant que vous êtes !
Internet c'est top pour ça : un problème, une solution !
Même si ça apporte aussi des gros soucis !

Donc quand tu démarres, tu as ton bureau maintenant ?

Oui oui oui, j'ai tout comme avant mardi 7 !

Je dois faire quelque chose maintenant ?
Un scan ou je ne sais quoi ?

Important - ton infection est venue par un exploit sur site web :

Un exploit sur site WEB permet l'infection de ton ordinateur de manière automatiquement à la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à ton insu.
Le fait de ne pas avoir des logiciels à jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système.
Exemple avec : Exploit Java

Il faut donc impérativement maintenir tes logiciels à jour afin de ne pas voir ces portes d'entrée sur ton système.
Tant que ces logiciels ne seront pas à jour, ton PC est vulnérable et les infections peuvent s'installer facilement.

IMPORTANT : mettre à jour tes programmes notamment Java/Adobe Reader et Flash :
/faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite
https://forum.malekal.com/viewtopic.php?t=15960&start=

Passe le mot à tes amis !

Où puis-je télécharger RogueKiller dernière version qui marche toujours, dès que j'en télécharge et que je veux scanner, il cesse de fonctionner, je nepeux utiliser mon ordi que en mode sans échec, sans RogueKiller, ça le restera toujours, il faudra attendre la prochaine version de RogueKiller.