Smart Fortress 2012 Résolu/Fermé

Question

Bonsoir, 

Mon PC vient d'être infecté par Smart Fortress 2012.

En mode Normal, je ne peux ouvrir aucun programme, aucune application (j'ai essayé Ctrl+alt+supp, MBAM, AVG, Comodo, Firefox, etc.).

J'ai lu les threads des utilisateurs ayant eu le même problème, mais j'ai l'impression que les conseils et la marche à suivre varient à chaque fois.

Y aurait-il une âme charitable pour m'aider ?

Un énorme merci d'avance ! 

__________________
Là je suis en Mode sans échec avec prise en charge réseau.

Anti-Virus: AVG
Firewall: Comodo
__________________

Configuration: Windows 7 / Firefox 10.0.2

kalimusic · Answer

Bonjour,

Tu es infecté par un rogue, surtout ne tient pas compte de ses messages d'alertes. 

&#x25CF; Télécharge  RogueKiller  (par Tigzy) sur le bureau
&#x25CF;   Ferme toutes tes applications en cours 
&#x25CF;  Lance RogueKiller.exe  
Si l'infection bloque le programme, il faut le relancer plusieurs fois ou le renommer en winlogon.exe
&#x25CF; Laisse le prescan se terminer, clique sur Scan
&#x25CF; Clique sur Rapport pour l'ouvrir puis copie/colle le dans ton prochain message.

A +

charlotte31 · Answer

Bonsoir Hoststart,

voilà le le fichier:
http://pjjoint.malekal.com/files.php?id=ZHPDiag_20120401_g13s14q1512t8

kalimusic · Answer

re,

Fait ça : https://forums.commentcamarche.net/forum/affich-24842001-smart-fortress-2012#2

A +

charlotte31 · Answer

Bonsoir Kalimusic, heu... un peu perdue là. Où est passé Hoststart ? Du coup j'ai l'impression de m'être parlée toute seule :) Soit: RogueKiller V7.3.2 [03/20/2012] par Tigzy mail: tigzyRKgmailcom Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html Blog: http://tigzyrk.blogspot.com Systeme d'exploitation: Windows 7 (6.1.7601 Service Pack 1) 64 bits version Demarrage : Mode sans echec avec prise en charge reseau Utilisateur: Julie de Pindray [Droits d'admin] Mode: Recherche -- Date: 04/01/2012 20:43:59 ¤¤¤ Processus malicieux: 0 ¤¤¤ ¤¤¤ Entrees de registre: 5 ¤¤¤ [SUSP PATH] HKCU\[...]\RunOnce : F4D5630DEC373E5B20B78B3FB4EB2367 (C:\ProgramData\F4D5630DEC373E5B20B78B3FB4EB2367\F4D5630DEC373E5B20B78B3FB4EB2367.exe) -> FOUND [SUSP PATH] HKUS\S-1-5-21-1233034886-2771921467-1450124296-1000[...]\RunOnce : F4D5630DEC373E5B20B78B3FB4EB2367 (C:\ProgramData\F4D5630DEC373E5B20B78B3FB4EB2367\F4D5630DEC373E5B20B78B3FB4EB2367.exe) -> FOUND [SCRSV] HKCU\[...]\Desktop : SCRNSAVE.EXE (C:\windows\SAMSUN~1.SCR) -> FOUND [HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ ¤¤¤ Driver: [NON CHARGE] ¤¤¤ ¤¤¤ Infection : ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: WDC WD50 00BPVT-35HXZT1 SATA Disk Device +++++ --- User --- [MBR] 57bd1164a065b6e3108414cbeb3a0a46 [BSP] 800668422673a4050fa944e6d46529d7 : KIWI Image system MBR Code Partition table: 0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 100 Mo 1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 206848 | Size: 182272 Mo 2 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 373499904 | Size: 271758 Mo 3 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 930060288 | Size: 22807 Mo User = LL1 ... OK! User = LL2 ... OK! Termine : << RKreport[1].txt >> RKreport[1].txt

hoststart · Answer

désoler, j'avais pas vu que c'était un rogue alors je disparais :), suis les étapes de kali, désoler de mon message ne servant a rien :).

charlotte31 · Answer

@hoststart

pas de souci, merci quand même pour la réponse rapide !

kalimusic · Answer

charlotte31

&#x25CF; Relance RogueKiller.exe  
&#x25CF; Décoche la ou les cases suivantes :

[SCRSV] HKCU\[...]\Desktop : SCRNSAVE.EXE (C:\windows\SAMSUN~1.SCR) -> FOUND 
&#x25CF; Clique sur Suppression
&#x25CF; Clique sur Rapport pour l'ouvrir puis copie/colle le sur le dans ton prochain message.

A +

charlotte31 · Answer

RogueKiller V7.3.2 [03/20/2012] par Tigzy mail: tigzyRKgmailcom Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html Blog: http://tigzyrk.blogspot.com Systeme d'exploitation: Windows 7 (6.1.7601 Service Pack 1) 64 bits version Demarrage : Mode sans echec avec prise en charge reseau Utilisateur: Julie de Pindray [Droits d'admin] Mode: Suppression -- Date: 04/01/2012 20:57:00 ¤¤¤ Processus malicieux: 0 ¤¤¤ ¤¤¤ Entrees de registre: 4 ¤¤¤ [SUSP PATH] HKCU\[...]\RunOnce : F4D5630DEC373E5B20B78B3FB4EB2367 (C:\ProgramData\F4D5630DEC373E5B20B78B3FB4EB2367\F4D5630DEC373E5B20B78B3FB4EB2367.exe) -> DELETED [SCRSV] HKCU\[...]\Desktop : SCRNSAVE.EXE (C:\windows\SAMSUN~1.SCR) -> NOT SELECTED [HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0) [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0) ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ ¤¤¤ Driver: [NON CHARGE] ¤¤¤ ¤¤¤ Infection : ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: WDC WD50 00BPVT-35HXZT1 SATA Disk Device +++++ --- User --- [MBR] 57bd1164a065b6e3108414cbeb3a0a46 [BSP] 800668422673a4050fa944e6d46529d7 : KIWI Image system MBR Code Partition table: 0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 100 Mo 1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 206848 | Size: 182272 Mo 2 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 373499904 | Size: 271758 Mo 3 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 930060288 | Size: 22807 Mo User = LL1 ... OK! User = LL2 ... OK! Termine : << RKreport[4].txt >> RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt

kalimusic · Answer

Bonsoir hoststart,

Il y a peu tu as demandé de l'aide sur CCM, tu as suivi une désinfection car ton pc était drôlement infecté : https://forums.commentcamarche.net/forum/affich-24784544-un-trojan-laisse-des-marques
Alors que dans la même journée sur un autre forum, tu t'autoproclamais spécialiste de la désinfection.
Alors fait toi plaisir, demande plein de rapports et de scan et amuse toi bien.

Bonne soirée

kalimusic · Answer

charlotte31,

Aucun conflit et pas de soucis.

As tu redémarrer en mode normal ?
Le scan de Malwarebytes est toujours en cours ?

A +

charlotte31 · Answer

Merci Kalimusic!

Le scan est toujours en cours, 4 éléments détectés jusqu'à présent.

Je comptais attendre la fin du scan pour redémarrer. Vaut-il mieux que je le fasse tout de suite ?

kalimusic · Answer

Malwarebytes est plus efficace en mode normal mais on fera avec, supprime les éléments puis poste le rapport.

A +

charlotte31 · Answer

Voilà, je vien de redémarrer en mode normal.

Malwarebytes Anti-Malware 1.60.1.1000
www.malwarebytes.org

Version de la base de données: v2012.04.01.03

Windows 7 Service Pack 1 x64 NTFS (Mode sans échec/Réseau)
Internet Explorer 9.0.8112.16421
Julie de Pindray :: JULIEDEPINDRAY [administrateur]

01.04.2012 21:07:46
mbam-log-2012-04-01 (21-07-46).txt

Type d'examen: Examen complet
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM | P2P
Options d'examen désactivées: 
Elément(s) analysé(s): 315305
Temps écoulé: 37 minute(s), 52 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Smart Fortress 2012 (Trojan.FakeAlert) -> Mis en quarantaine et supprimé avec succès.

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 3
C:\ProgramData\F4D5630DEC373E5B20B78B3FB4EB2367\F4D5630DEC373E5B20B78B3FB4EB2367.exe (Trojan.FakeAlert) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Julie de Pindray\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\TYVNBU25\197[1] (Trojan.FakeAlert) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Julie de Pindray\Desktop\RK_Quarantine\F4D5630DEC373E5B20B78B3FB4EB2367.exe.vir (Trojan.FakeAlert) -> Mis en quarantaine et supprimé avec succès.

(fin)

kalimusic · Answer

Ok,

On va regarder si des actions restent à faire :

Télécharge OTL  (de OldTimer) sur ton Bureau. 

 Ferme toutes tes applications en cours 

&#x25CF;  Lance OTL.exe  
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF;  L'interface principale s'ouvre : 
&#x25CF;  Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal 
&#x25CF;  Coche la case également Tous les utilisateurs
&#x25CF;  Laisse tous les autres paramètres par défaut 
&#x25CF;  Dans la partie du bas "Personnalisation", copie/colle la liste en citation : 

msconfig 
safebootminimal 
safebootnetwork 
/md5start
volsnap.*
explorer.exe
winlogon.exe
userinit.exe
svchost.exe
consrv.dll
/md5stop
%temp%\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.
%APPDATA%\*.exe /s 
%APPDATA%\*.
%SYSTEMDRIVE%\*.exe 
%systemroot%\Tasks\*.* /s
%temp%\smtmp\*.* /s
%systemroot%\*. /mp /s 
%systemroot%\assembly	mp\*.* /s 
hklm\system\CurrentControlSet\Services\lanmanserver\parameters /s 
hklm\system\CurrentControlSet\Control\Session Manager\SubSystems /s 
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
CREATERESTOREPOINT 
&#x25CF;  Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.   
&#x25CF;  2 rapports vont s'ouvrir au format bloc-note : 
OTL.txt (qui sera affiché) ainsi que Extras.txt (réduit dans la barre des tâches)  
&#x25CF;  Ne les poste pas sur le forum, ils seraient trop long  
&#x25CF;  Héberge les sur un des sites suivants :
https://www.cjoint.com/
http://pjjoint.malekal.com/
http://threat-rc.com/ 
https://textup.fr/ 
&#x25CF;  Tu obtiendras 2 liens que tu me donneras dans ton prochain message. 

A +

charlotte31 · Answer

Voilà :

http://cjoint.com/?BDbwsfAQw4p  pour extras
http://cjoint.com/?BDbwtgJ9n6U pour otl

Et une autre question. Au moment où l'ordi a été infecté, j'avais une clé usb branchée. Que faire ?

kalimusic · Answer

Ce rogue n'infecte pas les clés USB, et les rapports ne montrent rien dans ce sens.

Si la protection en temps réel de Malwarebytes Anti-Malware est activée (version PRO ou période d'essai de la version gratuite). Il faut absolument la désactiver temporairement par clic-droit "Quitter" sur son icône prés de l'heure avant de faire la correction OTL.

Relance OTL
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; Dans la partie "Personnalisation", copie/colle les instructions hébergées ici 
&#x25CF; Clique sur le bouton Correction.
&#x25CF; Patiente pendant le travail de l'outil, il doit ensuite redémarrer le PC.   
&#x25CF; Accepte en cliquant sur OK. 
&#x25CF; Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément.   

Tu peux le retrouver le fichier à la racine du disque dans ce dossier : C:\_OTL\MovedFiles 

A +

charlotte31 · Answer

Voilà :
	http://cjoint.com/?BDbwTWzoXse

kalimusic · Answer

ok,

1. Lance ZHPFix (il a du être crée sur ton bureau lorsque tu as installé ZHPDiag)
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
&#x25CF; Clique sur le A rouge

2. Lance OTL
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
&#x25CF; Dans la partie "Personnalisation", copie/colle:

:commands
[clearallrestorepoints]
&#x25CF; Clique sur le bouton Correction. 

3. Relance OTL en tant qu'administrateur  
&#x25CF; Clique sur le bouton Purge outils
&#x25CF; Puis sur OK dans la boite de dialogue qui t'invite à redémarrer le système.
&#x25CF; Supprime les outils et les rapports restants éventuellement sur ton Bureau

4. Vérifie que les logiciels pouvant présenter des failles de sécurité sont à jour :

&#x25CF; Désinstalle Java 6 Update 29    
&#x25CF; Télécharge et installe JRE 6 Update 31 

&#x25CF; Désinstalle Adobe Reader 9.4.6 - Français    
&#x25CF; Télécharge et installe Adobe Reader X (10.1.2)

&#x25CF; Vérifie ta version de FlashPlayer
Si nécéssaire télécharge et installe Adobe Flash Player 11.2.202.228 pour chaque navigateur.

!! Décoche les cases proposant des logiciels partenaires pendant les installations !! 

4. (bis) ou avec cet outil : Vérifier et mettre à jour facilement les logiciels à risque avec SX Check&Update

 == == == == == == == == == == == == == == == == == == == == == ==

 La sécurité de son PC, c'est quoi ? (par Malekal)    

 == == == == == == == == == == == == == == == == == == == == == ==
 
Bonne continuation

charlotte31 · Answer

Eh bien, cher Kalimusic, je te remercie pour ton aide précieuse et professionnelle !

Tout est à jour, tout fonctionne.

Bonne soirée et bonne continuation !

kalimusic · Answer

Bonne fin de soirée à toi aussi

Smart Fortress 2012

20 réponses

Discussions similaires