Virus gendarmerie / fichiers codés

Question

Bonjour, 

il y a quelques jours j'ai attrapé le virus gendarmerie mais j'ai réussie à m'en débarasser grace à un nettoyage avec "Malwarebytes Anti-Malware", mon ordinateur remarche donc parfaitement sauf que tous mes fichiers ont étés renomés "locked" et je ne peu plus les ouvrir.
J'ai vraiment besoin de votre aide car je ne connais rien en informatique et que ces dossiers sont importants.
Je vous remercie d'avance.

Configuration: Windows XP / Internet Explorer 7.0

g3n-h@ckm@n · Answer

salut tu peux fournir ton rapport de malwarebytes ?

g3n-h@ckm@n · Answer

onglet rapport/logs dans le programme , le dernier en date ou celui relatant la suppression des infections 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Scan_Concept ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Léana · Answer

je crois que le rapport n'existe plus car j'ai fait cette opération il y a environ 2 semaines :/

g3n-h@ckm@n · Answer

telecharge et enregistre Pre_Scan sur ton bureau :

http://forums-fec.be/gen-hackman/Pre_Scan.exe
http://general-changelog-team.fr/fr/downloads/viewdownload/41-outils-de-gen-hackman/52-pre-scan

Avertissement :Il y aura une extinction du bureau pendant le scan --> pas de panique.

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan_la_date_et_l'heure.txt" sur le bureau.

si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Kill"

si l'outil est bloqué par l'infection utilise cette version avec extension .pif :

http://forums-fec.be/gen-hackman/Pre_Scan.pif

ou cette version renommée winlogon.exe :

http://forums-fec.be/gen-hackman/winlogon.exe

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan


NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

Heberge le rapport sur http://pjjoint.malekal.com puis donne le lien obtenu en echange sur le forum où tu te fais aider

Léana · Answer

http://pjjoint.malekal.com/files.php?id=20120603_x10x7o10u15j5

g3n-h@ckm@n · Answer

desinstalle offerbox
desinstalle babylon
desinstalle Messenger plus france toolbar
desinstalle PenWes
desinstalle pricegong
desinstalle freeze.com
desinstalle open candy
desinstalle conduit/Conduit Engine
desinstalle adobe reader 9

================

Selectionne tout le texte en gras ci-dessous sans les lignes de dessus-dessous, puis (clic droit/copier ou ctrl+c) :
___________________________________________________
Kill::

Registry::
[-HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\${ELV_GUID}]     
[-HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\83187a6f-618f-4a37-b738-1abde9cbd780]
[-HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\9b689ec6-3638-4e0b-8211-8cde822c5055]
[-HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\a7ef4423-4f97-43f1-96ad-d086c8eaa0a9]
[-HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\c281e529-66c3-4114-84d3-0bed3d77445b]
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
"BabylonToolbar"=-
"offerbox"=-    
"PenWes"=-
[HKU\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Run] 
"upd_debug.exe"=-
[HKU\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Run] 
"upd_debug.exe"=-
[HKU\S-1-5-21-1986669890-3101221787-3951011054-1010\Software\Microsoft\Windows\CurrentVersion\Run] 
"CC40F38F"=-
[-HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Adobe Reader Speed Launcher]
[HKLM\Software\Microsoft\Internet Explorer\Toolbar] 
""=- 
"Locked"=-
"{98889811-442D-49dd-99D7-DC866BE87DBC}"=-    
[HKU\S-1-5-21-1986669890-3101221787-3951011054-1010\Software\Microsoft\Internet Explorer\Toolbar] 
"Locked"=-
[-HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{1631550F-191D-4826-B069-D9439253D926}]
[-HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{2EECD738-5844-4a99-B4B6-146BF802613B}]     
[-HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0018-ABCDEFFEDCBA}]
[-HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}]
[-HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}] 
[-HKU\S-1-5-21-1986669890-3101221787-3951011054-1010\Software\BabylonToolbar]     
[-HKU\S-1-5-21-1986669890-3101221787-3951011054-1010\Software\OfferBox]     
[-HKU\S-1-5-21-1986669890-3101221787-3951011054-1010\Software\PriceGong]     
[-HKLM\Software\BabylonToolbar]     
[-HKLM\Software\BrowserChoice]     
[-HKLM\Software\Freeze.com]     
[-HKLM\Software\OfferBox]     
[-HKLM\Software\OpenCandy NSIS SDK]     
[-HKLM\Software\PENSEWEB] 
[HKLM\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list] 
"C:\Program Files\Messenger\msmsgs.exe"=C:\Program Files\Messenger\msmsgs.exe:*:Enabled:Windows Messenger 
"C:\Documents and Settings\LEANA\Local Settings\Temp\Update_df75.exe"=-
"C:\Documents and Settings\LEANA\Local Settings\Temporary Internet Files\Content.IE5\HU66AUAE\Mp3ConverterSetup[1].exe"=-
"C:\Documents and Settings\LEANA\Local Settings\Temporary Internet Files\Content.IE5\HUVSTNSX\SweetImSetup[1].exe"=-
"C:\Documents and Settings\LEANA\Local Settings\Temp\SweetIMReinstall\SweetImSetup[1].exe"=-

File::
C:\WINDOWS\Tasks\OfferBoxUpdate.job     

Folder::
C:\Program Files\BabylonToolbar
C:\Program Files\Messenger_Plus_Live_France
C:\Program Files\PenWes
C:\Program Files\OfferBox
C:\Program Files\PriceGong
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\PriceGong     
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\OfferBox.lnk 
C:\Documents and Settings\PHILIPPE\Application Data\BabylonToolbar     
C:\Documents and Settings\PHILIPPE\Application Data\OfferBox
C:\Documents and Settings\PHILIPPE\Application Data\PriceGong     
C:\Documents and Settings\FRANCOISE\Application Data\BabylonToolbar     
C:\Documents and Settings\FRANCOISE\Application Data\OfferBox 
C:\Documents and Settings\FRANCOISE\Application Data\PriceGong        
C:\Documents and Settings\Nouveau\Application Data\OfferBox     
C:\Documents and Settings\Nouveau\Application Data\PriceGong 
C:\Documents and Settings\Nouveau\Application Data\Risblznsrhi 
C:\Documents and Settings\All Users\Application Data\Just sing 
C:\Documents and Settings\PHILIPPE\Local Settings\Application Data\Conduit  
C:\Documents and Settings\PHILIPPE\Local Settings\Application Data\ConduitEngine  
C:\Documents and Settings\PHILIPPE\Local Settings\Application Data\Messenger_Plus_Live_France     
C:\Documents and Settings\FRANCOISE\Local Settings\Application Data\Conduit 
C:\Documents and Settings\FRANCOISE\Local Settings\Application Data\ConduitEngine
C:\Documents and Settings\FRANCOISE\Local Settings\Application Data\Messenger_Plus_Live_France           
C:\Program Files\BabylonToolbar     
C:\Program Files\OfferBox     
C:\Program Files\PenWes     
C:\Program Files\PriceGong     

MBR::

clean::

Reboot:: 
___________________________________________________

Relance Pre_scan puis choisis l'option "Script"

une page va s'ouvrir

logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler.

sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge.

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille 

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

Léana · Answer

http://pjjoint.malekal.com/files.php?id=20120603_u138v5i5s7

g3n-h@ckm@n · Answer

Télécharge et enregistre ADWcleaner sur ton bureau :

ADWCleaner (Merci à Xplode)

Lance le,

clique sur suppression et poste son rapport.

Léana · Answer

# AdwCleaner v1.608 - Rapport créé le 08/06/2012 à 14:54:37
# Mis à jour le 27/05/2012 par Xplode
# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
# Nom d'utilisateur : Nouveau - NETBOOK
# Exécuté depuis : C:\Documents and Settings\Nouveau\Local Settings\Temporary Internet Files\Content.IE5\JALZANIH\adwcleaner[1].exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Documents and Settings\Nouveau\Application Data\BabylonToolbar
Fichier Supprimé : C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Offerbox.lnk
Fichier Supprimé : C:\Program Files\Mozilla Firefox\searchplugins\babylon.xml
Fichier Supprimé : C:\WINDOWS\system32\conduitEngine.tmp

***** [Registre] *****

[*] Clé Supprimée : HKLM\SOFTWARE\Classes\Toolbar.CT2567681
Clé Supprimée : HKCU\Software\Offerbox
Clé Supprimée : HKCU\Software\PriceGong
Clé Supprimée : HKLM\SOFTWARE\Conduit
Clé Supprimée : HKLM\SOFTWARE\Freeze.com
Clé Supprimée : HKLM\SOFTWARE\Offerbox
Clé Supprimée : HKLM\SOFTWARE\OpenCandy NSIS SDK
Clé Supprimée : HKLM\SOFTWARE\Messenger Plus!\OpenCandy
Clé Supprimée : HKLM\SOFTWARE\Classes\Conduit.Engine
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\escort.DLL
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\conduitEngine
Clé Supprimée : HKLM\SOFTWARE\Google\Chrome\Extensions\dhkplhfnhceodhffomolpfigojocbpcb

***** [Registre - GUID] *****

Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{BDB69379-802F-4EAF-B541-F8DE92DD98DB}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{2EECD738-5844-4A99-B4B6-146BF802613B}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8EEE}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{826D7151-8D99-434B-8540-082B8C2AE556}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{E46C8196-B634-44A1-AF6E-957C64278AB1}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8EEE}
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{09C554C3-109B-483C-A06B-F14172F1A947}
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{2D5E2D34-BED5-4B9F-9793-A31E26E6806E}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\{E2E2DD38-D088-4134-82B7-F2BA38496583}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{1631550F-191D-4826-B069-D9439253D926}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{2EECD738-5844-4A99-B4B6-146BF802613B}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{98889811-442D-49DD-99D7-DC866BE87DBC}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{1631550F-191D-4826-B069-D9439253D926}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{2EECD738-5844-4A99-B4B6-146BF802613B}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{98889811-442D-49DD-99D7-DC866BE87DBC}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E2E2DD38-D088-4134-82B7-F2BA38496583}

***** [Navigateurs] *****

-\ Internet Explorer v8.0.6001.18702

[OK] Le registre ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [3250 octets] - [08/06/2012 14:54:37]

########## EOF - C:\AdwCleaner[S1].txt - [3378 octets] ##########

g3n-h@ckm@n · Answer

mets malwarebytes à jour puis fais unscan complet

Léana · Answer

j'ai finit le scan est j'ai 2 resultats je les supprimes ?

Léana · Answer

j'ai supprimé les 2 objets, j'attends de tes nouvelles pour la suite des opérations :)

g3n-h@ckm@n · Answer

je peux avoir le rappport ?

je serai pas très present ce week end...

Léana · Answer

Malwarebytes Anti-Malware 1.61.0.1400
www.malwarebytes.org

Database version: v2012.06.03.03

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Nouveau :: NETBOOK [administrator]

08/06/2012 18:50:57
mbam-log-2012-06-08 (18-50-57).txt

Scan type: Quick scan
Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM
Scan options disabled: P2P
Objects scanned: 267371
Time elapsed: 1 hour(s), 58 minute(s), 45 second(s)

Memory Processes Detected: 0
(No malicious items detected)

Memory Modules Detected: 0
(No malicious items detected)

Registry Keys Detected: 0
(No malicious items detected)

Registry Values Detected: 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegedit (Hijack.Regedit) -> Data: 0 -> Quarantined and deleted successfully.

Registry Data Items Detected: 0
(No malicious items detected)

Folders Detected: 0
(No malicious items detected)

Files Detected: 1
C:\Documents and Settings\Nouveau\Bureau\winlogon.exe (Heuristics.Reserved.Word.Exploit) -> Quarantined and deleted successfully.

(end)

g3n-h@ckm@n · Answer

re

Selectionne tout le texte en gras ci-dessous sans les lignes de dessus-dessous, puis (clic droit/copier ou ctrl+c) :
___________________________________________________
Command::
For /f "tokens=*" %%a in ('dir /a /b /s "%Homedrive%\*.*" ^|findstr /I "\Locked-*"') do if exist "%%~a" ( echo %%~a >> %Homedrive%\Pre_script.txt ) 
___________________________________________________

Relance Pre_scan puis choisis l'option "Script"

une page va s'ouvrir

logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler.

sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge.

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille 

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

Léana · Answer

http://pjjoint.malekal.com/files.php?id=20120612_j12c9i8y12h7

g3n-h@ckm@n · Answer

recupere ce fichier sain apres avoir dézippéle dossier

https://www.cjoint.com/?BFmwucVyCeM

====================

[*] Télécharge matsnu1decrypt.exe de Dr.Web ici -> ftp://ftp.drweb.com/pub/drweb/tools/matsnu1decrypt.exe
et enregistre-le sur ton Bureau
[*] Exécute matsnu1decrypt.exe par clic-droit -> Exécuter en tant qu'administrateur
[*] Indique le chemin du fichier non crypté donc dans le dossier que tu as dézippé , le fichier Galerie de composants Web Slice

[*] Ensuite, indique le chemin du même fichier crypté : C:\Documents and Settings\Default User\Favoris\Liens\locked-Galerie de composants Web Slice.url.tjtn

[*] L'outil va, par comparaison entre les 2 fichiers, identifier le mode de cryptage et pouvoir ainsi appliquer le décryptage correspondant à tous tes fichiers locked
[*] Un message de réussite apparaît, referme l'outil et indique dans ta prochaine réponse si tes fichiers ont bien été décryptés./list

Aide en images sur la fiche Malekal (Voir EDIT Fin Avril - Fix Dr.Web - matsnu1decrypt, tout en bas de la fiche)

On croise les doigts  :D 

===================

Léana · Answer

Le logiciel me dit que le fichier est trop petit, après de nombreux essais il ne veut rien savoir :/

g3n-h@ckm@n · Answer

heu precise stp exactement ou fais une capture

Léana · Answer

il me dit : "Selected file is too small. At least 4kb of input data required"

g3n-h@ckm@n · Answer

mets ce fichier de coté :

C:\Documents and Settings\FRANCOISE\Mes documents\OpenOffice.org 3.2 (fr) Installation Files\locked-setup.exe.ckyp

retelecharge open office puis fais la procedure avec le setup.exe en premier fichier , puis celui-ci en second :

C:\Documents and Settings\FRANCOISE\Mes documents\OpenOffice.org 3.2 (fr) Installation Files\locked-setup.exe.ckyp

Léana · Answer

cette fois ci il me dit : "No match between files found. Second should be like first, just encrypted" --'

g3n-h@ckm@n · Answer

t'as du mettre deux fois le fichier Locked...

Léana · Answer

Pourtant nan, j'ai essayé 20 fois .. :/

g3n-h@ckm@n · Answer

ah alors ca veut dire que les fichiers ne sont pas bons...

explique exactement comment tu t'y prends ?

Léana · Answer

je pense que le problème est que je n'arrive plus à télécharger open office en version 3.2 (la version codée que je possède)

g3n-h@ckm@n · Answer

tu as un message d'erreur , quelque chose ?

Léana · Answer

il me dit que les fichiers ne sont pas compatibles :/

g3n-h@ckm@n · Answer

ma question concernait ceci :

je pense que le problème est que je n'arrive plus à télécharger open office

Léana · Answer

Aucun message d'erreur mais tous les liens me renvoi vers la derniere version, c'est à dire 3.4

g3n-h@ckm@n · Answer

hhahaaaa !!!! d'accord !!! ben alors là...!

Léana · Answer

Il n'y a plus de solution ? :/

g3n-h@ckm@n · Answer

essaie de retrouver un des fichiers originaux de ton dossier chant & guitare

Léana · Answer

désolé du temps de réponse mais je ne trouve pas de fichier originaux dans ce dossier :/

g3n-h@ckm@n · Answer

non je parlais de trouver un fichier original ailleurs mais le meme que l'un de ceux dont je te parle

Léana · Answer

Je ne trouve pas :/

g3n-h@ckm@n · Answer

ce morceau de musique tu l'as en original ?

derniere dance.WMA

Léana · Answer

Non :S

g3n-h@ckm@n · Answer

bah trouve-le sous le format WMA (extrait du cd d'origine par windows media player si tu n'as pas touché les reglages) une fois que tu l'aura on pourra tout decrypter tes fichiers :)

Virus gendarmerie / fichiers codés

39 réponses

Discussions similaires

Newsletters