ransonware/Virus de la gendarmerie Résolu/Fermé

Question

Bonjour, Le pc de ma soeur a été infecté par un ransonware (surement le virus de la gendarmerie). Elle a passé un malwarebyte antimalware et elle a de nouveau accès au bureau; par contre je n'ai pas retrouvé de trace de ce rapport dans malwarebyte. J'ai passé un coup de pre_scan; roguelkiller et adwcleaner après avoir parcouru les topic traitant de ce sujet. Voici les rapports de ces différents logiciels: Analyse de roguekiller: RogueKiller V7.6.2 [02/07/2012] par Tigzy mail: tigzyRKgmailcom Remontees: https://www.luanagames.com/index.fr.html Blog: http://tigzyrk.blogspot.com Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version Demarrage : Mode normal Utilisateur: Christelle [Droits d'admin] Mode: Recherche -- Date: 05/07/2012 14:21:26 ¤¤¤ Processus malicieux: 0 ¤¤¤ ¤¤¤ Entrees de registre: 5 ¤¤¤ [SUSP PATH] arg34649.exe.lnk @Franck et Christelle : C:\Windows\System32\rundll32.exe|C:\Users\FRANCK~1\AppData\Local\Temp\arg34649.exe -> FOUND [HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND [HJ] HKCU\[...]\ClassicStartMenu : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> FOUND [HJ] HKCU\[...]\NewStartPanel : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> FOUND ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ ¤¤¤ Driver: [CHARGE] ¤¤¤ ¤¤¤ Infection : ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ 127.0.0.1 localhost ::1 localhost ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: SAMSUNG HD642JJ ATA Device +++++ --- User --- [MBR] d468af596a6459d0f69fa779bba6452d [BSP] 289e742e7075f8ce6ccae3df265e32e8 : Windows Vista MBR Code Partition table: 0 - [XXXXXX] DELL-UTIL (0xde) [VISIBLE] Offset (sectors): 63 | Size: 70 Mo 1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 145408 | Size: 15360 Mo 2 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 31602688 | Size: 595048 Mo User = LL1 ... OK! User = LL2 ... OK! Termine : << RKreport[1].txt >> RKreport[1].txt rapport de suppresion de roguekiller: RogueKiller V7.6.2 [02/07/2012] par Tigzy mail: tigzyRKgmailcom Remontees: https://www.luanagames.com/index.fr.html Blog: http://tigzyrk.blogspot.com Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version Demarrage : Mode normal Utilisateur: Christelle [Droits d'admin] Mode: Suppression -- Date: 05/07/2012 14:41:11 ¤¤¤ Processus malicieux: 0 ¤¤¤ ¤¤¤ Entrees de registre: 5 ¤¤¤ [SUSP PATH] arg34649.exe.lnk @Franck et Christelle : C:\Windows\System32\rundll32.exe|C:\Users\FRANCK~1\AppData\Local\Temp\arg34649.exe -> DELETED [HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0) [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0) [HJ] HKCU\[...]\ClassicStartMenu : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> REPLACED (0) [HJ] HKCU\[...]\NewStartPanel : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> REPLACED (0) ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ ¤¤¤ Driver: [CHARGE] ¤¤¤ ¤¤¤ Infection : ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ 127.0.0.1 localhost ::1 localhost ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: SAMSUNG HD642JJ ATA Device +++++ --- User --- [MBR] d468af596a6459d0f69fa779bba6452d [BSP] 289e742e7075f8ce6ccae3df265e32e8 : Windows Vista MBR Code Partition table: 0 - [XXXXXX] DELL-UTIL (0xde) [VISIBLE] Offset (sectors): 63 | Size: 70 Mo 1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 145408 | Size: 15360 Mo 2 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 31602688 | Size: 595048 Mo User = LL1 ... OK! User = LL2 ... OK! Termine : << RKreport[2].txt >> RKreport[1].txt ; RKreport[2].txt rapport d'analyse de AdwCleaner: https://pjjoint.malekal.com/files.php?id=20120705_v155y15j13f6 Rapport de suppression de AdwCleaner: https://pjjoint.malekal.com/files.php?id=20120705_u10y5w8w13q15 Rapport de pre_scan: https://pjjoint.malekal.com/files.php?id=20120705_c12h9p7q6i11 Voilà; merci pour l'aide qui sera apporté.

Malekal_morte- · Answer

Salut,

- Télécharge https://sourceforge.net/projects/hjt/ ton bureau.
- Pour lancer HijackThis :
* Sur Vista/Seven faire un clic droit puis executer en tant qu'administrater pour le lancer
* Sur XP un simple double-clic suffit
- Génère un rapport en suivant ces indications :
- Exécute le et clique sur Do a scan and save log file.
- Le rapport s'ouvre sur le Bloc-Note
- Enregistre le sur ton bureau
- Envoie le sur http://pjjoint.malekal.com
- Donne le lien pjjoint ici.

Utilisateur anonyme · Answer

Tient je pensais qu'hijackthis était sous la coupe (racheté) de trend micro depuis 3 ou 4 ans et qu'ils avaient abandonné ce logiciel.

Voilà le rapport demandé: https://pjjoint.malekal.com/files.php?id=HijackThis_20120705_r8o14r8z1115

Malekal_morte- · Answer

oui pour Hijackthis, c'est bien ça.


Reste ça en barre d'outils, enfin spointer ça doit afficher des pubs, à désinstaller : 

O2 - BHO: Interest recogniser for Moovida (powered by Spointer) - {E2A7BD67-0EAF-497f-B05B-748D7BF3C421} - C:\Program Files\Fluendo\Moovida\spointer\extensions\moovida_air_ie.dll (file missing)
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll



A faire lire à ta soeur - pour les PUPs (barre d'outils / Adwares ) :

Faire attention à ce que tu installes, tu peux installer ce programme pour filtrer ces PUPs/Adwares les plus fréquents : http://www.malekal.com/2012/01/10/hosts-anti-pupsadware/


Attention à ce que tu installes :
Des logiciels additionnels sont proposés (barre d'outils, adwares) via l'installation de logiciel gratuit en général ou via certains sites de téléchargement comme Softonic ou 01Net.
L'éditeur touche de l'argent à chaque installation réussie de ces programmes additionnels (un genre de sponsoring), ton PC se retrouve avec des barres d'outils qui ralentissent le navigateur ou des adwares qui ouvrent des popups de publicités.
Les barres d'outils sont là pour t'affilier à un service (moteur de recherche de Yahoo! ou Google), ça rajoute des fonctionnalités mais en général les navigateurs les ont par défaut.        
De plus, elles enregistrent les sites que tu visites pour les transmettre (tracking) à faire de la publicité ciblée, c'est pas super niveau protection de la vie privée.       
Plusieurs toolbars ralentissent le PC et peuvent faire planter les navigateurs WEB.        
Au final, il est pas conseillé d'en utiliser.

Enfin l'accumulation de ces programmes ralentissent l'ordinateur/navigateur WEB.

Ces programmes additionnels sont proposées à l'installation de programmes et très souvent ces ajouts sont précochés.
Dès lors, lorsque tu installes un programme, lis bien ce qui est proposé car tu risques d'installé des barres d'outils sans le savoir.

Lire Les PUPs/LPIs : https://www.malekal.com/adwares-pup-protection/


Pour le virus Gendarmerie :


Important - ton infection est venue par un exploit sur site web :   

Un exploit sur site WEB permet l'infection de ton ordinateur de manière automatiquement à la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à ton insu.  
Le fait de ne pas avoir des logiciels à jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système.  
Exemple avec : Exploit Java  

Il faut donc impérativement maintenir tes logiciels à jour afin de ne pas voir ces portes d'entrée sur ton système.
Tant que ces logiciels ne seront pas à jour, ton PC est vulnérable et les infections peuvent s'installer facilement.

IMPORTANT : mettre à jour tes programmes notamment Java/Adobe Reader et Flash : 
/faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite     
https://forum.malekal.com/viewtopic.php?t=15960&start=  

Passe le mot à tes amis !

Utilisateur anonyme · Answer

Pour les barres d'outils, je lui en ai parlé; mais oui c'est clair que je vais lui faire une piqûre de rappel.
Pour les mises à jour de java/flash et adobe; elle reconnais ne pas l'avoir fait. Elle pensait qu'en mettant à jour windows, l'antivirus et malwarebyte ça suffisait. Je vais donc lui mettre PSI de secunia, au moins ça lui montrera quand des mises à jour sont disponibles.

Pour hijackthis; je vais corriger ça ce n'est pas un problème. Quand au filtres pour le fichier host, je savais que ça existait mais je ne les ai jamais utilisé. Pour ma soeur, c'est vrai que ça peut lui rendre service (la preuve^^).

Merci Malekal_morte pour le coup de main.

Malekal_morte- · Answer

Pas de prb :)

Ransonware/Virus de la gendarmerie

5 réponses

Discussions similaires