Virus gendarmerie / paYment demandé

Résolu
stolys67 -  
Bonjour,

je suis de retour malheureusement ....

J'ai le Virus de la Gendarmerie sur mon pc portable Toshiba...

J'ai utilisé l'astuce de remplacer la clé de registre explorer.exe par "explorer.exe" mais ça n'a pas fonctionné..

J'ai essayé d'installer rescue2usb et kavrescue10 mais je me suis peut-être planté dans les manips d'install ou dans le bios et ça n'a pas fonctionné.
J'ai essayé le clic droit "enregistrer l'image sous" mais ça ne fonctionne pas.

J'aimerai bien de l'aide svp. J'en appelle à juju666, à gen-hackman ou Mysterioh Siouplait (un autre est le bienvenu aussi :) )..en tout cas vous m'aviez bien aidé la dernière fois :'( ...

11 réponses

Résumé de la discussion

Infection par le virus de la Gendarmerie sur un PC Toshiba sous Windows 7 provoquant des tentatives infructueuses de suppression via modification de registre, secours USB et téléchargement d’outils. Plusieurs conseils incluent MBAM pour détecter et supprimer les malwares, l’emploi d’ADWCleaner et une mise en garde sur les logiciels additionnels téléchargés via Softonic ou 01Net. D’autres interventions mentionnent des nettoyages plus approfondis avec des outils comme ZHPFix et des procédures manuelles pour nettoyer les entrées de registre et les composants persistants. Des retours évoquent une restauration partielle comme solution possible, avec des discussions sur les outils de sécurité et l’évitement des téléchargements douteux lors des réparations.

Bobot (l’IA à votre service)
  1. juju666 Contributeur sécurité
    Salut

    Passe un coup de MBAM pour voir.
    1. g3n-h@ckm@n
      non deux coups de mbam ^^
    2. stolys67 Auteur
      Aaaah les anges gardiens du net ^^ ... ça fait plaisir.. J'espère que vous allez bien.

      voici le premier rapport mbam j'ai supprimé ce qu'il avait trouvé...ça appartient à 2 applications que je n'utilise pas
      http://cjoint.com/12mi/BEwaP0zvha5.htm
    3. stolys67 Auteur
      le 2nd rapport est ok.
  2. g3n-h@ckm@n
    Télécharge et enregistre ADWcleaner sur ton bureau :

    ADWCleaner (Merci à Xplode)

    Lance le,

    clique sur suppression et poste son rapport.
    1. juju666 Contributeur sécurité
      Pour compléter la réponse de GH

      Attention à ce que tu installes et où tu télécharge !
      Des logiciels additionnels sont proposés (barre d'outils, adwares) via l'installation de logiciel gratuit en général ou via certains sites de téléchargement comme Softonic ou 01Net.
      L'éditeur touche de l'argent à chaque installation réussie de ces programmes additionnels (un genre de sponsoring), ton PC se retrouve avec des barres d'outils qui ralentissent le navigateur ou des adwares qui ouvrent des popups de publicités.
      Les barres d'outils sont là pour t'affilier à un service (moteur de recherche de Yahoo! ou Google), ça rajoute des fonctionnalités mais en général les navigateurs les ont par défaut.
      De plus, elles enregistrent les sites que tu visites pour les transmettre (tracking) à faire de la publicité ciblée, c'est pas super niveau protection de la vie privée.
      Plusieurs toolbars ralentissent le PC et peuvent faire planter les navigateurs WEB.
      Au final, il est pas conseillé d'en utiliser.

      Lors de l'installation, attention à ce que tu installes, lire et décocher les programmes additionnels.

      Lire Les PUPs/LPIs : https://www.malekal.com/adwares-pup-protection/
      1. stolys67 Auteur
        oui juju mais je fais très attention à ça d'habitude...Je n'ai aucune barre additionnelle supplémentaire sur mon pc à ma connaissance.
      2. juju666 Contributeur sécurité
        Pourtant y'avait softonic ;)
      3. stolys67 Auteur
        :) ça a du être installé avec jv16 alors, et ça date d'hier justement...et j'ai bien mis ne pas installer avec. Parce que Softonic ça ne me dit rien autrement. J'espère que tu vas bien Juju à part ça..
    2. g3n-h@ckm@n
      sélectionne les lignes ci-dessous et copie les dans le Presse-papier (Ctrl C)

      [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoActiveDesktopChanges: Modified
      OPT:O4 - HKLM\..\Wow6432Node\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files (x86)\QuickTime\QTTask.exe
      C:\ProgramData\pocdrhszjbncgzf
      O56 - MWPE:[HKLM\...\policies\Explorer] - "NoActiveDesktop"=1
      O56 - MWPE:[HKLM\...\policies\Explorer] - "NoActiveDesktopChanges"=1
      [MD5.F1F36E72CE853FD1EA6452375B8F4C0F] [SPRF][01/03/2012] (...) -- C:\ProgramData\A98CE540EC.sys [88]
      [MD5.13F588D5F7225969E19F473246519245] [SPRF][01/03/2012] (...) -- C:\ProgramData\KGyGaAvL.sys [2828]
      [MD5.197215658B8015182192E1EBCA3BBCC3] [SPRF][07/01/2012] (.Ask.com - AskIC Dynamic Link Library.) -- C:\Users\########\AppData\Local\Temp\AskSLib.dll [246440]
      [HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{83ff80f4-8c74-4b80-b5ba-c8ddd434e5c4}]

      Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

      Pour Vista : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
      puis sélectionne 'Exécuter en tant qu'administrateur'.

      - Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
      - Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
      - Clique sur le bouton « GO » pour lancer le nettoyage,
      - Copie/colle la totalité du rapport dans ta prochaine réponse
      1. stolys67 Auteur
        Rapport de ZHPFix 1.12.3378 par Nicolas Coolman, Update du 10/01/2011
        Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-22-05-2012-12-53-29.txt
        Run by ########## at 22/05/2012 12:53:29
        Windows 7 Home Premium Edition, 64-bit Service Pack 1 (Build 7601)
        Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
        Web site : http://nicolascoolman.skyrock.com/

        ========== Module(s) mémoire ==========
        SUPPRIME Memory Module: C:\Users\##########\AppData\Local\Temp\AskSLib.dll

        ========== Clé(s) du Registre ==========
        SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{83ff80f4-8c74-4b80-b5ba-c8ddd434e5c4}

        ========== Valeur(s) du Registre ==========
        SUPPRIME RunValue: QuickTime Task
        SUPPRIME MWPE Value: NoActiveDesktop
        SUPPRIME MWPE Value: NoActiveDesktopChanges

        ========== Elément(s) de donnée du Registre ==========
        REMPLACE Value NoActiveDesktopChanges : Good (0) - Bad (1)

        ========== Dossier(s) ==========
        SUPPRIME Folder: c:\programdata\pocdrhszjbncgzf

        ========== Fichier(s) ==========
        SUPPRIME File: C:\ProgramData\A98CE540EC.sys
        SUPPRIME File: C:\ProgramData\KGyGaAvL.sys
        SUPPRIME File***: c:\programdata\kgygaavl.sys
        SUPPRIME File: c:\users\##########\appdata\local\temp\askslib.dll
    4. g3n-h@ckm@n
      t'as encore quels soucis là ?
      1.  stolys67 Auteur
        Aucun soucis...en tout cas depuis la restauration du pc je n'avais plus le virus gendarmerie. On a enlevé quoi avec le script (pour info) ?

        tu penses quoi de Microsoft security essentials?
      2. g3n-h@ckm@n
        bah on a legerement amelioré le demarrage et on a viré 2/3 trucs pas très catholiques :)

        pour l antivirus je n'en utilise pas et je n'ai jamais testé MSE donc je ne peux pas te dire , mais j'aurais plus confiance en Avast je pense , à choisir

        fais le menage :

        https://gen-hackman.kanak.fr/
      3. stolys67 Auteur
        yes GH.. Merci encore...
      4. stolys67 Auteur
        tu gères sans antivir..Trop fort ^^ je serais mal moi...
      5. g3n-h@ckm@n
        bah je sais ce que je fais avec le pc...

        pas de telechargements , pas de sites pornos , pas de cracks....
    5. stolys67 Auteur
      ok j'ai fais une restauration en redémarrant et jusqu'ici tout va bien.. Je repasserai pour un nettoyage complet. Merci encore pour ce forum ça fait toujours plaisir de savoir où se tourner quand c'est la m****..

      bonne soirée
      3. g3n-h@ckm@n
        salut tu as tronqué les rapports ?
        1.  stolys67 Auteur
          Salut, bien reposé?
          Si par tronquer tu veux dire enlevé quelque chose alors non, j'ai uniquement remplacé le nom de mon pc...boulette? La dernière fois j'ai retrouvé nos conversations sur google juste en tapant mon nom et prénom ...
      4. krazykat Contributeur
        Bonjour stolys67,
        Pourquoi avoir signalé trois de tes rapports à la modération de CCM ?
        1. stolys67 Auteur
          Bonjour,
          je les ai signalé parce que je les ai regroupé dans 1 message pour faciliter la lisibilité à ceux qui me donnent un coup de main. Je m'excuse de vous embêter je vais essayer de faire attention avec mes doublons.
        2. krazykat Contributeur
          OK, je m'en occupe ^^
        3. stolys67 Auteur
          Merci bien. Bonne journée
        4. krazykat Contributeur
          Ce ne sont pas les même liens, je préfère les laisser jusqu'à la fin de la désinfection...
        5. stolys67 Auteur
          Pas de soucis je t'assure...
      5. g3n-h@ckm@n
        l'ennuyeux est que si je te fais un script , tu sauras gérer de remettre tous les noms à leur place ?
        1.  stolys67 Auteur
          cela dépend, un script c'est sous format txt?
        2. stolys67 Auteur
          SINON je te les envois en mp? :)

      Discussions similaires

      Prélèvement Google Ireland Limited
      jaffa1961

      34 réponses
      Customer service epoch, c'est quoi ?
      olivier

      17 réponses
      Arnaque de Google Ireland Limited
      Sortideli

      1 réponse
      Arnaque frauduleuse Ireland ltd
      Mymy

      4 réponses
      Softonic,est-ce un virus ?
      techmel1

      6 réponses