Virus Gendarmerie gestion et désinfection

Question

Bonjour, 

j'ai été victime d'une attaque virale de ce type là, après avoir brutalement débranché et rebranché mon PC de bureau.

j'ai réussi à me connecter en mode sans échec, cependant je ne peux recevoir de connection internet.

je vous envoie ce message depuis un pc portable connecté via linux.

quelqu'un a t'il des solutions à proposer svp.

J'ai aussi une autre question si je transfère des programmes via DD est ce que le virus peut se propager en entrant dans mon DD pour attaquer mon pc portable.

je ne comprends pas pourquoi ce genre de virus arrive comme par hasard juste après le fin de ma garantie pc

Configuration: Linux / Firefox 7.0.1

Darkstayer · Answer

le pc infecté est sous windows 7, je n'arrive pas à accéder à internet en mode sans echec et meme sans cela, internet ne fonctionne pas

g3n-h@ckm@n · Answer

salut via usb transfère :

telecharge et enregistre Pre_Scan sur ton bureau :

http://forums-fec.be/gen-hackman/Pre_Scan.exe

Avertissement :Il y aura une extinction du bureau pendant le scan --> pas de panique.

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan_la_date_et_l'heure.txt" sur le bureau.

si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Kill"

si l'outil est bloqué par l'infection utilise cette version avec extension .pif :

http://forums-fec.be/gen-hackman/Pre_Scan.pif

ou cette version renommée winlogon.exe :

http://forums-fec.be/gen-hackman/winlogon.exe

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan


NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

Heberge le rapport sur http://pjjoint.malekal.com puis donne le lien obtenu en echange

Darkstayer · Answer

avant que j'aille trop loin dis moi si il faut que je corrige tout cela.

Tout d'abord merci beaucoup!

je n'ai pas enregistré Pre_scan sur mon Bureau mais je l'ai laissé faire le travail.

il s'arretait souvent pour analyser mon lecteur CD qui etait vide, je cliquais à chaque fois sur annuler.

donc j'aimerai savoir si je dois refaire la procédure.

mon ordi vient de redémarrer en mode normal et maintenant le menu Pre_scan est affiché avec l'option Lancer le scan.

qu'en penses tu?

g3n-h@ckm@n · Answer

ferme ce menu , et haberge le rapport

Darkstayer · Answer

une fois que j'obtiens le rapport je l'envoie sur le lien que tu m'as remie!

merci pour ton aide

g3n-h@ckm@n · Answer

ben si il est pas sur le bureau dans tes icones il est peut-etre dans C:\

Darkstayer · Answer

le pre_scan ne répond pas pour le moment!

encore un beug! je ne sais pas si je dois arrêter le pc ou non?

g3n-h@ckm@n · Answer

precise ne repond pas

tu vois la fenetre avec ecrit ne repond pas dans le titre ou il se passe rien ?

Darkstayer · Answer

sur la fenêtre de Pre_Scan c'est inscrit "ne répond pas''

g3n-h@ckm@n · Answer

ton antivirus est Avast ?

Darkstayer · Answer

non Avira

g3n-h@ckm@n · Answer

ok ben redemarre le pc et heberge le rapport que tu trouveras dans c:\ ou sur le bureau

Darkstayer · Answer

ok!

le Kill n'a pas fonctionné, j'ai redémarré plusieurs fois mon pc:

voici le lien que je te remets concernant le contenu Pre_scan:

https://pjjoint.malekal.com/files.php?id=20120404_f11l13w9f13k12


merci :)

g3n-h@ckm@n · Answer

le Kill n'a pas fonctionné, j'ai redémarré plusieurs fois mon pc: 

j'ai pas compris

Darkstayer · Answer

j'ai voulu utiliser la fonction kill de Pre_scan dans mais mon pc a beugé.

là je suis tjs en mode sans échec!

qu'en penses tu, faut il relancer Pre_Scan ou alors le rapport est suffisant pour les infos.

g3n-h@ckm@n · Answer

ben non tu as pas eu une fenetre disant qu'il fallait laisser pre_scan demarrer en mode normal ?

Darkstayer · Answer

Si bien sûre!

donc il faut que je me remette en mode normal?

g3n-h@ckm@n · Answer

ben oui

Darkstayer · Answer

c'est fait!

le virus n'y est plus!

par contre j'ai l'écriture suivante:

RunDLL: Problème lors du démarrage de C:\Users
om-de-mon-ordi\AppData\Local\Temp\ch810.exe

le module spécifié est introuvable.


voilà pour le résultat!

g3n-h@ckm@n · Answer

donc il a repris son scan au demarrage non ?

Darkstayer · Answer

il a beugé juste aprés le scan!

g3n-h@ckm@n · Answer

ok et maintenant il en est où ?

g3n-h@ckm@n · Answer

j'ai remis un lien sur le site de malekal, qu'en penses tu?  

ben faut que tu me le colles ici... le lien
¤¤¤¤¤¤¤¤¤¤_g3n-h@ckm@n_Developpement_¤¤¤¤¤¤¤¤¤¤ 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤_Pre_Scan_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

g3n-h@ckm@n · Answer

desinstalle java update 29 

=========== 

relance pre_scan et choisis script , une page vierge va s'ouvrir. 

selectionne tout le texte en gras ci-dessous, puis (clic droit/copier ou ctrl+c) : 
___________________________________________________ 
Kill:: 

Registry:: 
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]  
"HP Software Update"=- 
""=-  
"iTunesHelper"=- 
"QuickTime Task"=- 
[HKU\S-1-5-21-3826211260-558647341-2583183910-1000\Software\Microsoft\Windows\CurrentVersion\RunOnce]  
"Application Restart #2"=- 
[-HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0029-ABCDEFFEDCBA}] 
[-HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{2fa28606-de77-4029-af96-b231e3b8f827}] 
[-HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{2fa28606-de77-4029-af96-b231e3b8f827}] 
[-HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2414}] 
[HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{80DB5475-BA99-4A36-B997-5331E263CC92}] | (dtUser.exe) -> C:\PROGRA~2\WIA6EB~1\Datamngr\ToolBar      

txt:: 
C:\Windows\System32\Tasks\{042B5865-11C7-4AC9-98E1-91DFB1C90508}  
C:\Windows\System32\Tasks\{0D945D46-8F75-46EF-A58F-5B7C0E7FA015}  
C:\Windows\System32\Tasks\{0F16050E-1BEE-4167-BBA7-AE48E211ABE1}  
C:\Windows\System32\Tasks\{0FF530E4-017B-4E11-AF67-4E976B4D6890}  
C:\Windows\System32\Tasks\{1497F5D5-E46A-490B-8DA7-B62B83AEC4C9} 
C:\Windows\System32\Tasks\{397BF896-81B4-4BD0-B18A-DD2B32694F40} 
C:\Windows\System32\Tasks\{3A2D962A-569B-4514-9B54-7EC92DAD06E5} 
C:\Windows\System32\Tasks\{57662EB8-87D6-4B7C-A5D1-D7D3DFB0CD22}  
C:\Windows\System32\Tasks\{7A97B28A-2B8D-4ACC-A645-8A85E9346DE7}  
C:\Windows\System32\Tasks\{8253C40B-A49D-4BDC-BE49-60F923B9ADF0}  
C:\Windows\System32\Tasks\{8579A2F7-B160-43FA-810E-E33EABCAF26C}  
C:\Windows\System32\Tasks\{8E4B0206-B815-42E8-8FE5-6933A54E8F96}  
C:\Windows\System32\Tasks\{9638AB5E-D882-41DB-9D81-41BFB87B877E} 
C:\Windows\System32\Tasks\{CA4B5120-8B65-44EA-87E8-9A5888603364}  
C:\Windows\System32\Tasks\{DE962EB0-CA08-441D-A666-51E3D1BDE676}  
C:\Windows\System32\Tasks\{E182B879-1D49-463B-ADD3-29F1DFBCF088}  
C:\Windows\System32\Tasks\{EC347268-2C54-479E-9ABE-01EF7EDBF820}  

file:: 
C:\Users\bloodays	mp1.35  
C:\Users\bloodays\Downloads\vlc-1.1.7-win32.exe  
C:\Users\bloodays\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ch8l0.exe.lnk  
C:\Users\bloodays\AppData\Roaming\GhostObjGAFix.xml  

folder:: 
C:\Program Files\Spybot - Search & Destroy          
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Spybot - Search & Destroy      
 C:\ProgramData\Spybot - Search & Destroy      

Mbr::     

clean::       

Reboot::         
___________________________________________________ 

colle-le ensuite (clic droit/coller ou ctrl+V) dans la page vierge. 

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte 

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille  

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail  

¤¤¤¤¤¤¤¤¤¤_g3n-h@ckm@n_Developpement_¤¤¤¤¤¤¤¤¤¤ 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤_Pre_Scan_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Darkstayer · Answer

Merci , tout c'est bien déroulé :)!

voici le Pre_script.txt:

https://pjjoint.malekal.com/files.php?id=20120405_o7z12w13q9p14

g3n-h@ckm@n · Answer

&#9654 Télécharge Malwarebytes' Anti-Malware (MBAM).

Malwarebytes : clique pour la version FREE

ou : lien mirroir

&#9654 enregistre l'exécutable sur le bureau. (attention! ne pas télécharger Registry booster ou autre chose que MBAM.)

&#9654 Installe-le puis configure-le comme ceci :

Configuration

si tu n'as rien modifié fais directement quitter sinon enregistrer 

&#9654 Si MBAM est déjà installé, aller directement à la mise à jour puis à l'analyse.

&#9654&#9654&#9654 Ce logiciel gratuit est à garder.

===================================================

Uniquement en cas de problème de mise à jour:

Télécharger mises à jour manuelles MBAM

&#9654 Exécute le fichier après l'installation de MBAM

===================================================

Connecter les supports amovibles (clés usb etc.) avant de lancer l'analyse.

&#9654 Double clique sur le fichier téléchargé pour lancer le processus d'installation.
&#9654 Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
&#9654 Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
&#9654 Sélectionne "Exécuter un examen complet"
&#9654 Clique sur "Rechercher"
&#9654 L'analyse démarre, le scan est relativement long, c'est normal.

A la fin de l'analyse, un message s'affiche :

 Citation :

    L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.

&#9654 Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
&#9654 Ferme tes navigateurs.
&#9654 Si des malwares ont été détectés, clique sur Afficher les résultats.
&#9654 Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
    MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. 

&#9654 Copie-colle ce rapport et poste-le dans ta prochaine réponse.

Si MBAM demande à redémarrer le pc : &#9654  fais-le.

Si au redémarrage Windows te dit qu'il a bloqué certains programmes de démarrage : &#9654 clique sur la bulle puis sur Exécuter les programmes bloqués/Malwarebytes Anti-Malware.

Darkstayer · Answer

Tout s'est bien passé! 

j'ai suivi toutes les instructions: 

il y a juste un problème, juste après l'analyse de Malwarebyte Anti-Malware: 

il a détecté le Virus, j'ai selectionné "supprimé". 

Lors du redémarrage, j'ai eu ce Message "Invalidor Damaged Boot" ;  j'ai donc éteint 2 fois mon ordinateur avant qu'il ne parvienne à redémarrer et à me retrouver miraculeusement connecté sur windows. 

j'ai retiré mes appareils à support USB pour parvenir à ce résultat. 


le trojan est encore présent car le redémarrage n'a pas pu avoir lieu voici le rapport du scan : 

Malwarebytes Anti-Malware 1.60.1.1000 
www.malwarebytes.org 

Version de la base de données: v2012.04.05.03 

Windows 7 Service Pack 1 x64 NTFS 
Internet Explorer 9.0.8112.16421 
bloodays :: BLOODAYS-HP [administrateur] 

Protection: Activé 

05/04/2012 12:40:57 
mbam-log-2012-04-05 (12-40-57).txt 

Type d'examen: Examen complet 
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM 
Options d'examen désactivées: P2P 
Elément(s) analysé(s): 488378 
Temps écoulé: 1 heure(s), 11 minute(s), 53 seconde(s) 

Processus mémoire détecté(s): 0 
(Aucun élément nuisible détecté) 

Module(s) mémoire détecté(s): 0 
(Aucun élément nuisible détecté) 

Clé(s) du Registre détectée(s): 0 
(Aucun élément nuisible détecté) 

Valeur(s) du Registre détectée(s): 0 
(Aucun élément nuisible détecté) 

Elément(s) de données du Registre détecté(s): 0 
(Aucun élément nuisible détecté) 

Dossier(s) détecté(s): 0 
(Aucun élément nuisible détecté) 

Fichier(s) détecté(s): 1 
C:\Pre_Scan\Quarantine\ch8l0.exe.P_S (Spyware.Passwords) -> Mis en quarantaine et supprimé avec succès. 

(fin)

g3n-h@ckm@n · Answer

ok des fois ca boote pas a cause des usb ^^

encore quels soucis ?

g3n-h@ckm@n · Answer

&#9654 Téléchargez UsbFix (créé par El Desaparecido) sur votre Bureau.

&#9654 Si votre antivirus affiche une alerte, ignorez-la et désactivez l'antivirus temporairement.
&#9654 Branchez toutes vos sources de données externes à votre PC (clé USB, disque dur externe, etc...) sans les ouvrir.
&#9654 Double cliquez sur UsbFix.exe.  

&#9654 Cliquez sur Suppression.
&#9654 Laissez travailler l'outil. 

&#9654 À la fin du scan, un rapport va s'afficher, postez-le dans votre prochaine réponse sur le forum.

&#9654 Le rapport est aussi sauvegardé à la racine du disque système ( C:\UsbFix.txt ).
&#9654 Tutoriel vidéo

Darkstayer · Answer

ça ne fonctionne pas!

USBFix ne fonctionne plus( USBFix ne répond pas)  au bout de 14%, j'ai du le re-booter 2 fois l'ordi sauvagement car Alt+Ctrl+Suppr ne fonctionne pas

g3n-h@ckm@n · Answer

essaie en mode sans echec

Darkstayer · Answer

ok je vais essayer :)

Darkstayer · Answer

ça ne s'appelle pas le mode sans echec pour rien:

voici le lien concernant le rapport d'USBFix:

https://pjjoint.malekal.com/files.php?id=20120408_u7z12j15m12b6

g3n-h@ckm@n · Answer

c'est OK si plus de soucis on finalise

g3n-h@ckm@n · Answer

tu peux me faire une capture d ecran ???

Darkstayer · Answer

comment est ce que l'on peut faire ça?

après un redémarrage en mode normal, je me connecte et je trouve une fenêtre bizarre qui finit par se fermer (si il n'y avait pas eu désinfection, j'aurai le trojan virus gendarmerie qui serai apparu

g3n-h@ckm@n · Answer

Télécharge ici :OTL

&#9654 enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.

&#9654 Copie et colle le contenu de ce qui suit en gras dans la partie inférieure d'OTL "Personnalisation"

/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop 
netsvcs
safebootminimal
safebootnetwork 
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\system32\*.ini
%systemroot%\Tasks\*.*
%systemroot%\system32\Tasks\*.*
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\system32\config\*.exe /s
%systemroot%\system32\*.sys 
HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa /s
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
CREATERESTOREPOINT 

&#9654 Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\<Bureau ou Desktop>\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

heberge OTL.txt et extra.txt sur http://pjjoint.malekal.com et donne les liens

Darkstayer · Answer

l'analyse est terminé voici les rapports:

pour OTL:

https://pjjoint.malekal.com/files.php?id=20120409_t8h5l8d9p6

pour Extras:

https://pjjoint.malekal.com/files.php?id=20120409_n11v7t14q5k10


:)

g3n-h@ckm@n · Answer

Fais analyser le(s) fichier(s) suivants sur Virustotal :

Virus Total

    clique sur "Parcourir" et trouve puis selectionne ce(s) fichier(s) :

C:\windows\system32
tmarta.dll 

    * Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
    * Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
    * Lorsque l'analyse est terminée colle le lien de(s)( la) page(s)  dans ta prochaine réponse.

=============================

ATTENTION !!! : Script personnalisé pour cette machine uniquement , ne pas reproduire !! 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.


&#9654Copie la liste qui se trouve en gras ci-dessous,

&#9654 colle-la dans la zone sous "Personnalisation" :


:processes
explorer.exe
iexplore.exe
firefox.exe
msnmsgr.exe
Teatimer.exe

:OTL
IE - HKLM\..\SearchScopes\{2fa28606-de77-4029-af96-b231e3b8f827}: "URL" = https://uk.ask.com{searchterms}&l=dis&o=HPDTDF 
IE - HKLM\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2414}: "URL" = http://www1.search-results.com/web?l=dis&q=&o=APN10649&apn_dtid=%5EBND414%5EYY%5EFR&shad=s_0043&gct=ds&apn_ptnrs=%5EAGA&d=414-0&lang=en&atb=sysid%3D414%3Aappid%3D0%3Auid%3D5bfb6aad590043ca%3Asrc%3Dieb%3Ao%3DAPN10649%3Atg%3D&p2=%5EAGA%5EBND414%5EYY%5EFR{searchTerms} 
IE - HKCU\..\SearchScopes\{2fa28606-de77-4029-af96-b231e3b8f827}: "URL" = https://uk.ask.com{searchterms}&l=dis&o=HPDTDF 
IE - HKCU\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2414}: "URL" = http://www1.search-results.com/web?l=dis&q=&o=APN10649&apn_dtid=%5EBND414%5EYY%5EFR&shad=s_0043&gct=ds&apn_ptnrs=%5EAGA&d=414-0&lang=en&atb=sysid%3D414%3Aappid%3D0%3Auid%3D5bfb6aad590043ca%3Asrc%3Dieb%3Ao%3DAPN10649%3Atg%3D&p2=%5EAGA%5EBND414%5EYY%5EFR{searchTerms} 
FF - user.js - File not found
FF - HKLM\Software\MozillaPlugins\@microsoft.com/GENUINE: disabled File not found
FF - HKLM\Software\MozillaPlugins\@Apple.com/iTunes,version=:  File not found
FF - HKLM\Software\MozillaPlugins\@microsoft.com/GENUINE: disabled File not found
[2012/04/04 01:18:30 | 000,000,000 | ---D | M] (Ant Video Downloader) -- C:\Users\bloodays\AppData\Roaming\Mozilla\Firefox\Profiles\hn934g8o.default\extensions\anttoolbar@ant.com 
[2012/03/25 22:03:14 | 000,040,436 | ---- | M] () -- C:\Users\bloodays\AppData\Roaming\Mozilla\Firefox\Profiles\hn934g8o.default\searchplugins\jerecherche.xml 
O3 - HKLM\..\Toolbar: (no name) - 10 - No CLSID value found.
O4 - Startup: C:\Users\bloodays\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\OpenOffice.org 3.3.lnk
O4 - Startup: C:\Users\bloodays\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Registration Heroes of Might & Magic 5 - Tribes of the East.LNK
O4 - Startup: C:\Users\bloodays\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Xfire.lnk
[1 C:\Windows\*.tmp files -> C:\Windows\*.tmp -> ] 
[1 C:\Users\bloodays\Documents\*.tmp files -> C:\Users\bloodays\Documents\*.tmp -> ] 


:Reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
""=-

:Files
C:\Users\bloodays\AppData\Local\{*}      

:commands
[CLEARALLRESTOREPOINTS]
[emptytemp]
[start explorer]
[reboot]


&#9654 Clique sur "Correction" pour lancer la suppression.


&#9654 Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail appres le redemarrage.

Darkstayer · Answer

salut , j'ai oublié de demander, est ce que je peux passer directement à la suite en attendant l'analyse de Virus Totale?

et d'autre part, est ce que je peux mettre en veille mon pc en attendant que l'analyse de Virus totale se termine?

g3n-h@ckm@n · Answer

quel est le souci avec virus total ?

Darkstayer · Answer

File already analysed
This file was already analysed by VirusTotal on 2012-04-09 15:04:18.

Detection ratio: 0/42

You can take a look at the last analysis or analyse it again now.



ç signifie quoi? mon analyse est fini?

g3n-h@ckm@n · Answer

clic sur reanalyze

Darkstayer · Answer

voici le lien concernant Antivirus Scan:

https://www.virustotal.com/gui/file/b47a8d9985d9b71eb870816a0ab2b6403d394ccbdf7de5378d5721d58d68d28d

Darkstayer · Answer

Concernant la réparation d'OTL, voici le rapport:

https://pjjoint.malekal.com/files.php?id=20120410_j11j9e8z15f5

je viens d'identifier ce qui se passait lors du redémarrage de mon PC:

AML Device Install s'active dorénavant alors qu'avant ce "virus de la gendarmerie" rien n'arrivait.

c'est juste pour merci!

merci pour les tuyaux! ;)

g3n-h@ckm@n · Answer

chouette 1.3 Go de gagnés ^^

AML Device Install il semblerait que ca viennne de ta carte graphique

on fait le menage :

https://gen-hackman.kanak.fr/

Darkstayer · Answer

Tout ça de gagner!  cool :)!

est ce qu'il y a quelquechose à faire quotidiennement pour ne pas être surchargé de tout ça?

je vais cliquer sur le lien que tu m'as donné

g3n-h@ckm@n · Answer

re

je comprends pas bien le sens de ta question.....;

Darkstayer · Answer

je poste ici les Rapport WIGI: rapport (0): WhyIGotInfected v1.5.2(by Tigzy) ******************************** Run : 10/04/2012 10:30:39 [Normal Mode] Machine : BLOODAYS-HP (4 CPUs) [bloodays : ADMIN] OS: Microsoft Windows 7 Édition Familiale Premium Service Pack 1 (x64) ~~ Plugins check: ~~ UPTODATE [Microsoft Windows 7 Édition Familiale Premium ] Current : Service Pack 1 -- Latest : Service Pack 1 UPTODATE [Firefox (x86)] Current : 11.0 -- Latest : 11.0 UPTODATE [Internet Explorer] Current : 9.0.8112.16421 -- Latest : 9.0.8112.16421 UPTODATE [Internet Explorer (x86)] Current : 9.0.8112.16421 -- Latest : 9.0.8112.16421 UPTODATE [Adobe Reader (x86)] Current : 10 -- Latest : 10 OUTDATED [Adobe Flash (x86)] Current : 11.1.102.55 -- Latest : 11.2.202.228 OUTDATED [Adobe Flash ActiveX (x86)] Current : 11.1.102.55 -- Latest : 11.2.202.228 UPTODATE [Adobe Flash FF Plugin] Current : 11.2.202.228 -- Latest : 11.2.202.228 UPTODATE [Adobe Flash FF Plugin (x86)] Current : 11.2.202.228 -- Latest : 11.2.202.228 Finished WIGIReport[0].txt rapport (1): WhyIGotInfected v1.5.2(by Tigzy) ******************************** Run : 10/04/2012 10:35:35 [Normal Mode] Machine : BLOODAYS-HP (4 CPUs) [bloodays : ADMIN] OS: Microsoft Windows 7 Édition Familiale Premium Service Pack 1 (x64) ~~ Plugins check: ~~ UPTODATE [Microsoft Windows 7 Édition Familiale Premium ] Current : Service Pack 1 -- Latest : Service Pack 1 UPTODATE [Firefox (x86)] Current : 11.0 -- Latest : 11.0 UPTODATE [Internet Explorer] Current : 9.0.8112.16421 -- Latest : 9.0.8112.16421 UPTODATE [Internet Explorer (x86)] Current : 9.0.8112.16421 -- Latest : 9.0.8112.16421 UPTODATE [Adobe Reader (x86)] Current : 10 -- Latest : 10 UPTODATE [Adobe Flash] Current : 11.2.202.228 -- Latest : 11.2.202.228 UPTODATE [Adobe Flash (x86)] Current : 11.2.202.228 -- Latest : 11.2.202.228 UPTODATE [Adobe Flash ActiveX] Current : 11.2.202.228 -- Latest : 11.2.202.228 UPTODATE [Adobe Flash ActiveX (x86)] Current : 11.2.202.228 -- Latest : 11.2.202.228 UPTODATE [Adobe Flash FF Plugin] Current : 11.2.202.228 -- Latest : 11.2.202.228 UPTODATE [Adobe Flash FF Plugin (x86)] Current : 11.2.202.228 -- Latest : 11.2.202.228 Finished WIGIReport[0].txt ; WIGIReport[1].txt

Darkstayer · Answer

le rapport DelFix:


# DelFix v8.8 - Rapport créé le 10/04/2012 à 10:42:38
# Mis à jour le 12/02/12 par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : bloodays - BLOODAYS-HP (Administrateur)
# Exécuté depuis : C:\Users\bloodays\Desktop\delfix.exe
# Option [Suppression]


~~~~~~ Dossiers(s) ~~~~~~

Supprimé : C:\USBFix
Supprimé : C:\_OTL

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\AdwCleaner[R1].txt
Supprimé : C:\AdwCleaner[R2].txt
Supprimé : C:\AdwCleaner[S1].txt
Supprimé : C:\AdwCleaner[S2].txt
Supprimé : C:\AdwCleaner[S3].txt
Supprimé : C:\PhysicalMBR.bin
Supprimé : C:\UsbFix.txt
Supprimé : C:\UsbFix_Upload_Me_BLOODAYS-HP.zip
Supprimé : C:\Users\bloodays\Desktop\AdwCleaner[S2].txt
Supprimé : C:\Users\bloodays\Desktop\Extras.Txt
Supprimé : C:\Users\bloodays\Desktop\Extras1.Txt
Supprimé : C:\Users\bloodays\Desktop\OTL.exe
Supprimé : C:\Users\bloodays\Desktop\OTL.Txt
Supprimé : C:\Users\bloodays\Desktop\Pre_Scan.exe
Supprimé : C:\Users\bloodays\Downloads\adwcleaner.exe
Supprimé : C:\Users\bloodays\Downloads\adwcleaner0.exe
Supprimé : C:\Users\bloodays\Downloads\Extras1.Txt
Supprimé : C:\Users\bloodays\Downloads\LES INCONNUS AU CASINO DE PARIS (BOURDON,CAMPAN,LEGITIMUS 1993 SPECTACLE) DVDRIP DIVX FR-AVI.torrent
Supprimé : C:\Users\bloodays\Downloads\usbfix0.exe
Non Supprimé : C:\Users\bloodays\Downloads\WhyIGotInfected.exe

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKCU\Software\g3n-h@ckm@n
Clé Supprimée : HKCU\Software\USBFix
Clé Supprimée : HKLM\SOFTWARE\OldTimer Tools
Clé Supprimée : HKLM\SOFTWARE\AdwCleaner
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\USBFix

~~~~~~ Autres ~~~~~~

-> Prefetch Vidé

*************************

DelFix[S1].txt - [1764 octets] - [10/04/2012 10:42:38]

########## EOF - C:\DelFix[S1].txt - [1888 octets] ##########

g3n-h@ckm@n · Answer

ok :)

Darkstayer · Answer

j'ai une toute derniere question:

j'ai fermé toutes les fenêtres internet et pourtant il me reste dans le nettoyeur des fichiers à supprimer (2 seulement), est ce que c'es tnormal:

j'ai le cache des vignettes le + souvent.

je pense qu'ensuite ça devrait être bon :-)!


merci en tout cas!

g3n-h@ckm@n · Answer

re

quels fichiers ?

Darkstayer · Answer

Exploreur Windows: Cache de vignettes 

il n'y a que lui qui apparait pour le moment!

g3n-h@ckm@n · Answer

tout est expliqué sur mon lien , il y a des liens interessants à la fin

https://forums.commentcamarche.net/forum/affich-24859088-virus-gendarmerie-gestion-et-desinfection?full#55

ca veut dire que t'as pas fini tout le menage...^^

Darkstayer · Answer

ça m'affiche C:\autorun.inf a été bloqué par Avira.

Pourtant j'ai vérifié tout mes supports USB

g3n-h@ckm@n · Answer

pour éviter les alertes @ autorun.inf , il suffit de désactiver le bloquage par Antivir:
Configuration > cocher mode expert > Guard > recherche > actions si resultat positif et décocher la case bloquer la fonction d'autodémarrage.

Virus Gendarmerie gestion et désinfection

57 réponses

Discussions similaires

Newsletters