Virus "Police nationale"

Question

Bonsoir,

Mes parents ont un virus sur leur ordinateur; n'ayant aucune connaissance je viens vous demander de l'aide afin d'éviter de faire des erreurs. J'ai constaté que d'autres personnes semblaient avoir eu le même problème, mais pour ne pas déterrer un topic voici le mien.

Il y a quelque jours mes parents ont reçu un virus de la "police nationale": un fond blanc recouvre tout l'écran au bout d'une seconde après avoir lancé la session, bloquant ainsi l'accès à la barre des tâches (mais j'arrive à aller dans le panneau de configuration): Il déclare que nous devons payer 100€ via un système de paiement (paypal-like) du fait d'avoir soit disant consulter des films pornographiques pédophiles. 
( Pour la petite histoire, mes parents m'ont dit que c'est en cliquant sur une pub facebook que c'est arrivé, donc je vais leur installer un bloqueur de pub à l'avenir).
Suite à cela, j'ai réussi à faire une restauration du système (je ne suis pas sûr que l'on dise ainsi) datant de trois jours plus tôt. En redémarrant l'ordinateur le virus n'était plus là, du moins rien ne s'affichait.

Cependant le virus vient de repointer son nez aujourd'hui, (toujours à travers les pub facebook...) et j'en ai marre.
Mais cette fois je ne vois pas tout les logos,etc... Seulement un fond blanc/gris avec une image qui ne s'affiche pas, seulement son code html (<img src="blablabla.....)

Les autres sessions de l'ordinateur son intact.

J'aurais donc besoin de votre aide pour me débarrasser définitivement de ce problème et faire en sorte de ne pas avoir ce genre de problème dans le futur.

Je vous remercie d'avance 
Bonne soirée 

Ps: Leur ordinateur est un Windows Seve, 64bits et l'antivirus est PandaCloud ( bien qu'ils ne l'utilise jamais...)

heraultais34600 · Answer

Bonsoir runrun,

Avant quoi que ce soit, peux-tu regarder si cet ordinateur démarre en mode sans échec avec prise en charge réseau.
-------------------------------------------------------------------------------------------------------
S'il démarre en mode sans échec avec prise en charge réseau, fais ceci:

* Télécharge Ransomfix
* Lance-le. Il n'y a pas d'interface graphique : c'est normal !
* Un rapport sera créé sous C:\RansomFix_XXXX.txt ( XXXX correspond à la date et l'heure de création du rapport )
* Héberge ce rapport sur ce site
* Fournis-moi le lien dans ta prochaine réponse.

-------------------------------------------------------------------------------------------------------
Si l'ordinateur ne démarre pas en mode sans échec avec prise en charge réseau, fais-le moi savoir, je te donnerai une procédure différente.

A bientôt.

runrun · Answer

Bonsoir heraultais34600 !

J'ai essayer mais le mode sans echec mais il n'y a pas de prise en charge réseau...

J'attends tes instructions :)

heraultais34600 · Answer

Bonjour runrun,

Etape 1:

Sur un ordinateur fonctionnant normalement :
        
* Télécharge RansomFix (d'Xplode)
* Enregistre-le à la racine d'une clé USB

Etape 2:

Sur l'ordinateur bloqué :
        
* Démarre l'ordinateur en mode "Invite de commandes"
* Insére la clé contenant RansomFix dans l'ordinateur.
* La fenêtre d'invite de commande s'ouvre, un curseur doit clignoter.
* Tape ceci : (attention le x doit être remplacé par la lettre de la clé USB : 
essaie plusieurs lettres jusqu'à trouver la bonne : F, G, E, D...)    x:\ransomfix.exe  et appuiez sur la touche Entrée de ton clavier.
 * Redémarre ensuite l'ordinateur.
-------------------------------------------------------------------------------------------------------       
Si celui-ci démarre normalement, le rapport a été créé sous C:\RansomFix_XXXX.txt (où XXXX correspond à la date et l'heure de création du rapport)
* héberge ce rapport sur ce site
* fournis-moi le lien dans ta prochaine réponse

A bientôt.

runrun · Answer

Bonjour heraultais34600,

J'ai mis RansomFix à la racine d'un clef USB.
Petit soucis: Comment démarre t on en mode "Invite de Commandes" ?
Merci !

heraultais34600 · Answer

Bonjour,

Démarre en mode sans échec
Dans la zone de texte au-dessus du bouton "Démarrer" Tapes la commande suivante : cmd
Tapes sue la touche Entrée du clavier
Une fenêtre avec un curseur qui clignote s'ouvre.
A partir de là, la difficulté consiste à trouver la lettre de ta clé USB pour accéder au contenu de celle-ci
Une fis que tu auras accès à ta clé, tape la commande que je t'ai donnée plus haut.

A bientôt.
tu n'auras qu'à taper la commande que je t'ai donné plus haut

runrun · Answer

Tout c'est bien passé, voici le fichier ! 
http://pjjoint.malekal.com/files.php?id=20120226_q8h12p1513j9

Encore merci, j'attends la suite :)

heraultais34600 · Answer

Bonsoir runrun,

Cette infection est venue par un exploit sur site web. Il est impératif de mettre à jour tes logiciels (Java, Adobe Reader, etc.)

* Télécharge MalwareBytes
* Tu auras un tutoriel à ta disposition pour l'installer et l'utiliser correctement.
* Fais la mise à jour du logiciel (elle se fait normalement à l'installation)
* Lance une analyse complète en cliquant sur "Exécuter un examen complet"
* Sélectionne les disques que tu veux analyser et clique sur "Lancer l'examen"
* L'analyse peut durer un bon moment.....
* Une fois l'analyse terminée, clique sur "OK" puis sur "Afficher les résultats"
* Vérifie que tout est bien coché et clique sur "Supprimer la sélection" => et ensuite sur "OK"
* Un rapport va s'ouvrir dans le bloc note
* Sauvegarde ce rapport sur ton bureau
* Il se pourrait que certains fichiers demandent à être supprimés au redémarrage du PC... Fais-le en cliquant sur "oui" à la question posée
* Héberge-le sur ce site puis envoie-moi le lien fournit par l'hébergeur dans ta prochaine réponse.

A bientôt

runrun · Answer

Bonsoir ! 

J'ai suivis vos instructions et tout c'est bien passé, voici le fichier de l'analyse: 
http://pjjoint.malekal.com/files.php?id=20120226_d10q13s13x5b5 

Ais-je besoin d'effectuer d'autres manipulations pour sécuriser un maximum cet ordinateur ?  

Je vous remercie encore pour votre aide précieuse !

heraultais34600 · Answer

Bonjour runrun, 

1) Comment se comporte le pc? 

2) Peux-tu faire ceci: 
Utilise ce logiciel de diagnostic : 

* Télécharge sur ton bureau ZHPDiag (de Nicolas Coolman) 
* Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin. 
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic ») 
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette 
* Héberge le rapport ZHPDiag.txt sur ce site, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum 

A bientôt.

runrun · Answer

Bonjour Heraultais! 

Pour l'instant il me semble que le pc se comporte bien, j'ai mis à jour windows, java, adobe reader, installé un adblock et je vais enlever pandacloud pour antivir dans la semaine je pense.

Je suis vos instructions demain,

Bonne soirée :)

runrun · Answer

Bonsoir! 

Voici mon rapport ZHPDiag!
http://pjjoint.malekal.com/files.php?id=ZHPDiag_20120228_10x7t7g15u8

Passez une bonne soirée :)

heraultais34600 · Answer

Bonjour runrun,  

L'analyse de ton rapport ZHPDiag montre encore quelques infections. Avant de poursuivre la désinfection, j'aimerai que tu me dises si la désactivation du Contrôle d'accès utilisateur (UAC) est volontaire car sur ton ordinateur, elle est désactivée.  

Nous allons poursuivre de la sorte:  

Etape 1:

* Mets en surbrillance les lignes en gras ci-dessous:  

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoActiveDesktopChanges: Modified  
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System] DisableTaskMgr: Modified  
[HKCU\Software\AppDataLow\Software\AskToolbar]  
[HKCU\Software\AppDataLow\Software\Conduit]  
[HKCU\Software\AppDataLow\Toolbar]  
O17 - HKLM\System\CCS\Services\Tcpip\..\{ADDD806B-037D-47D0-BCE6-5258DAF3F973}: DhcpDomain = sgt.automation.net  
O42 - Logiciel: Favorit (isdqc) - (.Pas de propriétaire.) [HKLM] -- isdqc  
O43 - CFD: 08/04/2010 - 17:39:54 - [0,497] ----D- C:\Program Files (x86)\Conduit  
O59 - HSMI:Heuristic Search MagicControl Infection - (...) -- C:\Users\Guillaume\AppData\Local\psbeoyb_nav.dat  
O59 - HSMI:Heuristic Search MagicControl Infection - (...) -- C:\Users\Guillaume\AppData\Local\psbeoyb_navps.dat  
[MD5.00000000000000000000000000000000] [APT] [{17AA5318-495A-46EA-B778-E45017D0973F}] (...) -- C:\Users\Thierry\Downloads\msxmll4.exe (.not file.)  
[MD5.00000000000000000000000000000000] [APT] [{7EBFFE5A-2FA7-433A-BC74-50BF1D403355}] (...) -- C:\Users\Thierry\AppData\Local\isdqc.bat (.not file.)  
O87 - FAEL: "{EE3B308B-721E-439D-AD97-029D40F7625F}" |In - Private - P6 - TRUE | .(...) -- C:\Users\Public\Games\World of Warcraft\WoW-3.1.3.9947-to-3.2.0.10192-frFR-downloader.exe (.not file.)  
O87 - FAEL: "{43FE2AED-C94E-4B52-A2EE-9EE574171E81}" |In - Private - P17 - TRUE | .(...) -- C:\Users\Public\Games\World of Warcraft\WoW-3.1.3.9947-to-3.2.0.10192-frFR-downloader.exe (.not file.)  
O87 - FAEL: "{B626A95C-118C-4F3F-A5EE-9378895879C0}" |In - Private - P6 - TRUE | .(...) -- C:\Program Files\World of Warcraft\WoW-3.2.0.10314-to-3.2.2.10482-frFR-downloader.exe (.not file.)  
O87 - FAEL: "{226E1F9E-B561-462D-A738-EE8DF792E44B}" |In - Private - P17 - TRUE | .(...) -- C:\Program Files\World of Warcraft\WoW-3.2.0.10314-to-3.2.2.10482-frFR-downloader.exe (.not file.)  
O87 - FAEL: "{420DACD8-D168-4F3F-9F0B-5C0854FB2FD2}" |In - Private - P6 - TRUE | .(...) -- C:\Program Files\World of Warcraft\WoW-3.2.2.10482-to-3.2.2.10505-frFR-downloader.exe (.not file.)  
O87 - FAEL: "{D57796A5-7A75-432E-811F-C74BDEB22E6E}" |In - Private - P17 - TRUE | .(...) -- C:\Program Files\World of Warcraft\WoW-3.2.2.10482-to-3.2.2.10505-frFR-downloader.exe (.not file.)  
O87 - FAEL: "TCP Query User{30D16B67-F59F-4144-B648-06818476DF7F}C:\python31\pythonw.exe" |In - Private - P6 - TRUE | .(...) -- C:\python31\pythonw.exe (.not file.)  
O87 - FAEL: "UDP Query User{7F704923-8C1E-45D4-9D0B-1496809B91E3}C:\python31\pythonw.exe" |In - Private - P17 - TRUE | .(...) -- C:\python31\pythonw.exe (.not file.)  
O87 - FAEL: "TCP Query User{17FECF34-ECDA-4724-B464-2D2EDAEDF7E1}C:\python31\pythonw.exe" |In - Public - P6 - TRUE | .(...) -- C:\python31\pythonw.exe (.not file.)  
O87 - FAEL: "UDP Query User{C431FDA3-8D8D-43B9-B02A-199C076C4EB8}C:\python31\pythonw.exe" |In - Public - P17 - TRUE | .(...) -- C:\python31\pythonw.exe (.not file.)  
O87 - FAEL: "{EC4B1803-429E-4FE4-ABA4-46EBC8263950}" | In - Private - P6 - TRUE | .(.Apple Inc. - Bonjour Service.) -- C:\Program Files (x86)\Bonjour\mDNSResponder.exe    
O87 - FAEL: "{C053537B-8E34-49A3-91DE-AEE9AF566B7E}" | In - Private - P17 - TRUE | .(.Apple Inc. - Bonjour Service.) -- C:\Program Files (x86)\Bonjour\mDNSResponder.exe    
C:\Program Files (x86)\Conduit  

* Fais un clic droit dessus puis sélectionne "Copier"  
* Lance ZHPFix qui est sur ton bureau (clic droit sur l'icône --> "Exécuter en tant qu'administrateur")  
* Clique sur l'icône représentant le presse papier (icône immédiatement à droite de l'icône représentant l'appareil photo)  
* Les lignes que tu as copiées se sont collées dans ZHPFix  
* Clique sur "GO"  
* Laisse travailler l'outil  
* A la fin un rapport s'ouvrira  
* Enregistre ce rapport sur ton bureau  
* Héberge-le  sur ce site puis copie/colle le lien dans ta prochaine réponse sur le forum.  

---------------------------------------------------------------------------------------------------  
Etape 2:

* Une fois l'étape 1 réalisée,   
* Lance ces commandes en invite de commande pour la réinitialisation de la pile TCP/IP et winsock : (commande par commande et après chacune de ces commandes tu valides en appuyant sur la touche Entrée  

netsh int ip reset all   [réinitialisation de la pile]  

netsh winsock reset   [réinitialisation de winsock]     

Pour accéder à l'invite de commande, tu cliques sur "démarrer" puis dans la zone de texte (juste au dessus du bouton "Démarrer"), tu tapes cmd puis touche Entrée du clavier  
* Redémarre ton ordinateur  

Etape 3:

* Relance un ZHPDiag   
* Laisse travailler l'outil  
* A la fin un rapport s'ouvrira  
* Enregistre ce rapport sur ton bureau  
* Héberge-le  sur ce site puis copie/colle le lien dans ta prochaine réponse sur le forum.  

A bientôt.

runrun · Answer

Bonjour heraultais34600

Désolé du retard ! J'ai suivis vos instructions et voici les rapports:

Rapport ZHPfix: http://pjjoint.malekal.com/files.php?id=20120302_x15y5g12x9h12

Rapport ZHPDiag: http://pjjoint.malekal.com/files.php?id=ZHPDiag_20120302_f6w811x7t11

Encore merci et bonne journée à vous!

heraultais34600 · Answer

Bonsoir runrun,

Très bien pour le rapport ZHPFix

par contre le rapport de ZAHPDiag que tu m'as envoyé est incomplet.
Peux-tu recommencer stp

Bonne soirée.

runrun · Answer

Bonsoir heraultais34600!

Voilà j'ai refais une analyse avec ZHPDiag et voici le rapport: http://pjjoint.malekal.com/files.php?id=ZHPDiag_20120304_k8z12f14o11h10

Ps: Pour ce qui est du Contrôle d'Accès Utilisateur c'est moi qui l'avait désactivé.

Bonne soirée :)

heraultais34600 · Answer

Bonsoir runrun, 

Etape 1: 

* Mets en surbrillance la ligne en gras ci-dessous: 

O42 - Logiciel: Favorit (isdqc) - (.Pas de propriétaire.) [HKLM] -- isdqc 

* Fais un clic droit dessus puis sélectionne "Copier" 
* Lance ZHPFix qui est sur ton bureau (clic droit sur l'icône --> "Exécuter en tant qu'administrateur") 
* Clique sur l'icône représentant le presse papier (icône immédiatement à droite de l'icône représentant l'appareil photo) 
* Les lignes que tu as copiées se sont collées dans ZHPFix 
* Clique sur "GO" 
* Laisse travailler l'outil 
* A la fin un rapport s'ouvrira 
* Enregistre ce rapport sur ton bureau 
* Héberge-le sur ce site puis copie/colle le lien dans ta prochaine réponse sur le forum. 

Etape 2: 

Mets à jour Adobe reader 
Télécharge-le sur ton Bureau ICI 
Décoche Mac Afee scan gartuit avant de télécharger 
Une fois téléchargé, double-clique dessus et passe à la phase d'installation 

Etape 3 

Mets à jour Internet Explorer ICI 
Télécharge le programme sur ton bureau 
Une foistéléchargé, passe à la phase d'installation sur ton ordinateur 
Une fois installé, supprime le programme exécutable que tu as téléchargé sur le bureau (clic droit dessus --->  Supprimer) 

Etape 4: 

Mets sun microsystems à jour ICI 

A bientôt.

runrun · Answer

Bonjour :) 

Voici mon rapport ZHPFix: http://pjjoint.malekal.com/files.php?id=20120307_k6y6i10h13l15 

(Ps: comme il n'y avait pas de ligne en gras j'ai selectionner "O42 - Logiciel: Favorit (isdqc) - (.Pas de propriétaire.) [HKLM] -- isdqc" ) 

J'ai mis à jour Java et Adobe Reader! Je n'ai pas réussi à installer internet explorer 8 avec ton lien (problème de compatibilité avec windows 7 64bits je crois), j'ai donc installer Internet explorer 9 depuis le site de microsoft, cela pose-t-il problème? 

J'ai une question: Mon antivirus est PandaCloud, est il fiable? Si non que me conseillerais tu (une solution gratuite pour le moment) 

Bonne soirée heraultais!

heraultais34600 · Answer

Bonsoir runrun, Tu dis: << j'ai donc installé Internet explorer 9 depuis le site de microsoft, cela pose-t-il problème? >> Au contraire c'est ce qu'il fallait faire. C'est très bein, autant pour moi car le lien que je t'ai donné installé effectivement IE 8 et avec Windows 7, il faut bien IE 9. Tu dis: << J'ai une question: Mon antivirus est PandaCloud, est il fiable? Si non que me conseillerais tu (une solution gratuite pour le moment) >> Tu sais il n'y a aucun antivirus fiable à 100%. Au niveau des gratuits je te conseille Antivir d'Avira Bien maintenant revenons à ce logiciel "Favorit (isdqc)". Pourrais-tu regarder dans panneau de configuration, "Programmes et Fonctionnalités" si ce programme existe. S'il existe je te donnerai une méthode pour le supprimer. A bientôt

runrun · Answer

Bonsoir :)

Oui j'ai trouvé le logiciel "Favorit" (mais sans le "isdqc"), j'attends tes instructions !

Je vais installer Antivir aussi!

Bonne soirée à toi!

heraultais34600 · Answer

Bonjour runrun,

Tu vas faire ceci:

* Télécharge Revo uninstaller
Voici un tutoriel pour l'utiliser
* Désinstalle le logiciel Favorit. 

A bientôt.

runrun · Answer

Merci beaucoup Heraultais34600, tu m'auras été d'une grande aide, vraiment merci!  
Bonne continuation à toi et bonne journée :)  

Runrun

Ps: Je voudrais bien fermer le topic comme tout est rentré dans l'ordre!

heraultais34600 · Answer

Bonsoir runrun,

Heureux d'avoir pu te rendre service.
Bonne soirée.

Un administrateur mettra bien le sujet en résolu, sinon envoies un message à un administrateur.

Virus "Police nationale" - Page 2

Discussions similaires

Newsletters