Virus Gendarmerie Résolu/Fermé

Question

Bonjour,   

Ce matin, j'étais sur Internet (Facebook, jeux internets : la routine quoi) puis je suis allé sur le site ytconv.net. Et depuis, j'ai une fenêtre qui s'ouvre à chaque démarrage et qui me met comme quoi j'ai abusé sur les droits d'auteurs ou que je suis allé sur un site pornographique sur enfants. Je ne comprend pas le truc car je suis seulement allé sur le site ytconv qui est un site de conversion de vidéo. Donc j'ai cherché un peu à traficoté le truc et j'ai redémarré (j'ai encore eu le message) donc j'ai appuyé sur le bouton pour éteindre l'ordi et là le message a disparu et ça faisait comme si c'était normal sauf que non ça ne l'est pas. J'ai testé MalwareBytes mais la fenêtre est toujours là.  

Pouvez-vous m'aider s'il vous plait ?  

PS : J'ai remarqué un truc anormal dans le menu démarrer < Tous les programmes < Démarrages, il y avait le fichier ctfmon (ou un truc du genre) alors qu'avant il y était pas. 

PS² : J'ai aussi redémarré l'ordi et là je viens de voir un message en bas à droite de mon écran de MalwareBytes qui me met comme quoi un site a été bloqué comme étant potentiellement malveillant et il y a une IP avec.

Configuration: Windows XP / Firefox 3.6.13

Utilisateur anonyme · Answer

bonjour,

est ce que tu as accès à windows en mode normal ou sans echec avec la prise en charge du réseau ?

sixemed · Answer

Euh comment ça ?

Utilisateur anonyme · Answer

tu vois ton bureau ou pas ?

sixemed · Answer

Euh oui je le vois (avec les icônes et tout).

Utilisateur anonyme · Answer

ok,

 *	[*] Télécharger et enregistre RogueKiller sur le bureau 
https://www.luanagames.com/index.fr.html (by tigzy) 
[*] Quitter tous les programmes
[*] Lancer RogueKiller.exe.
[*] Attendre que le Prescan ait fini ...
[*] Cliquer sur Scan. Cliquer sur Rapport et copier coller le contenu du notepad

Note : Si Roguekiller ne se lance pas, change son nom en Winlogon.

sixemed · Answer

Ah j'ai oublié de te dire, je l'ai téléchargé et je l'ai fait et il y avait un fichier infecté c'était ctfmon. Pensez-vous que le virus est parti ?

Utilisateur anonyme · Answer

bah, je ne sais pas, tu es devant le pc !


à mon avis, le pc est encore infecté !

* télécharge ce programme Ransomfix (merci à Xplode)    
   
* Un rapport sera créé sous C:\RansomFix_XXXX.txt ( XXXX correspond à la date et l'heure de création du rapport )    
* copie, colle le dans ta prochaine réponse.

sixemed · Answer

Je te met le rapport (celui de RogueKiller) et je te mettrai celui de RansomFix après. RogueKiller V7.6.3 [08/07/2012] par Tigzy mail: tigzyRKgmailcom Remontees: https://www.luanagames.com/index.fr.html Blog: http://tigzyrk.blogspot.com Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version Demarrage : Mode normal Utilisateur: kiki [Droits d'admin] Mode: Recherche -- Date: 08/07/2012 14:34:03 ¤¤¤ Processus malicieux: 2 ¤¤¤ [SUSP PATH] glom0_og.exe -- C:\DOCUME~1\kiki\LOCALS~1\Temp\glom0_og.exe -> KILLED [TermProc] [SUSP PATH] glom0_og.exe -- C:\DOCUME~1\kiki\LOCALS~1\Temp\glom0_og.exe -> KILLED [TermProc] ¤¤¤ Entrees de registre: 3 ¤¤¤ [SUSP PATH] ctfmon.lnk @kiki : C:\WINDOWS\system32\rundll32.exe|C:\DOCUME~1\kiki\LOCALS~1\Temp\glom0_og.exe -> FOUND [ZeroAccess] HKCR\[...]\InprocServer32 : (C:\Documents and Settings\kiki\Local Settings\Application Data\{6cbe444d-08dc-0ec8-7392-0375385b0f71}\n.) -> FOUND [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ [ZeroAccess][FILE] @ : c:\documents and settings\kiki\local settings\application data\{6cbe444d-08dc-0ec8-7392-0375385b0f71}\@ --> FOUND [ZeroAccess][FOLDER] U : c:\documents and settings\kiki\local settings\application data\{6cbe444d-08dc-0ec8-7392-0375385b0f71}\U --> FOUND [ZeroAccess][FOLDER] L : c:\documents and settings\kiki\local settings\application data\{6cbe444d-08dc-0ec8-7392-0375385b0f71}\L --> FOUND ¤¤¤ Driver: [CHARGE] ¤¤¤ ¤¤¤ Infection : ZeroAccess ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ 127.0.0.1 localhost ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: WDC WD16 00AAJS-60M0A SCSI Disk Device +++++ --- User --- [MBR] 550715294f7f5ecc515397b1f47a213b [BSP] 744cba92fe37568f055f334fa6c50172 : Windows XP MBR Code Partition table: 0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 20002 Mo 1 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 40965750 | Size: 132614 Mo User = LL1 ... OK! Error reading LL2 MBR! Termine : << RKreport[1].txt >> RKreport[1].txt Rogue Killer: mail: tigzyRKgmailcom Remontees: https://www.luanagames.com/index.fr.html Blog: http://tigzyrk.blogspot.com Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version Demarrage : Mode normal Utilisateur: kiki [Droits d'admin] Mode: Suppression -- Date: 08/07/2012 14:36:04 ¤¤¤ Processus malicieux: 2 ¤¤¤ [SUSP PATH] glom0_og.exe -- C:\DOCUME~1\kiki\LOCALS~1\Temp\glom0_og.exe -> KILLED [TermProc] [SUSP PATH] glom0_og.exe -- C:\DOCUME~1\kiki\LOCALS~1\Temp\glom0_og.exe -> KILLED [TermProc] ¤¤¤ Entrees de registre: 3 ¤¤¤ [SUSP PATH] ctfmon.lnk @kiki : C:\WINDOWS\system32\rundll32.exe|C:\DOCUME~1\kiki\LOCALS~1\Temp\glom0_og.exe -> DELETED [ZeroAccess] HKCR\[...]\InprocServer32 : (C:\Documents and Settings\kiki\Local Settings\Application Data\{6cbe444d-08dc-0ec8-7392-0375385b0f71}\n.) -> REPLACED (c:\windows\system32\shell32.dll) [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0) ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ [ZeroAccess][FILE] @ : c:\documents and settings\kiki\local settings\application data\{6cbe444d-08dc-0ec8-7392-0375385b0f71}\@ --> REMOVED [Del.Parent][FILE] 00000004.@ : c:\documents and settings\kiki\local settings\application data\{6cbe444d-08dc-0ec8-7392-0375385b0f71}\U\00000004.@ --> REMOVED [ZeroAccess][FOLDER] U : c:\documents and settings\kiki\local settings\application data\{6cbe444d-08dc-0ec8-7392-0375385b0f71}\U --> REMOVED [ZeroAccess][FOLDER] L : c:\documents and settings\kiki\local settings\application data\{6cbe444d-08dc-0ec8-7392-0375385b0f71}\L --> REMOVED ¤¤¤ Driver: [CHARGE] ¤¤¤ ¤¤¤ Infection : ZeroAccess ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ 127.0.0.1 localhost ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: WDC WD16 00AAJS-60M0A SCSI Disk Device +++++ --- User --- [MBR] 550715294f7f5ecc515397b1f47a213b [BSP] 744cba92fe37568f055f334fa6c50172 : Windows XP MBR Code Partition table: 0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 20002 Mo 1 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 40965750 | Size: 132614 Mo User = LL1 ... OK! Error reading LL2 MBR! Termine : << RKreport[2].txt >> RKreport[1].txt ; RKreport[2].txt

sixemed · Answer

Euh, le RansomFix ne se lance pas.

PS : Avant, je n'arrivais pas à voir le gestionnaire des tâches (il s'ouvrait et se fermait direct) mais maintenant j'arrive à le voir.

Utilisateur anonyme · Answer

pas cool,

tu as zeroaccess sur ton pc !



*		/!\Avertissement :
Ce logiciel n'est à utiliser que prescrit par un helper qualifié.
Ne pas utiliser en dehors de ce cas de figure : dangereux! 



	
&#9658; Télécharges ComboFix à partir de ce lien et enregistres le sur ton bureau :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe 
ou ici :
https://forum.pcastuces.com/combofix_renomme_au_telechargement-f31s22.htm 
A lire 
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix 

Avant d'utiliser ComboFix :
 
&#9658; ferme les fenêtres de tous les programmes en cours.
 
&#9658; Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. 
Une fois fait, sur ton bureau double-clic sur Combofix.exe. 



- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.
 
- il se peut que Combofix ait besoin de se connecter à internet pour trouver les mises à jour, donc il faut l'autoriser.

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.
 
- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire. 
- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\ComboFix\ComboFix.txt) 
&#9658; Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. 
&#9658; Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

sixemed · Answer

Salut, j'ai utilisé le ComboFix et pour l'instant, il n'y a plus de trace du virus (d'ailleurs je pense que j'en avais d'autres avant l'infection d'aujourd'hui).  
Malheureusement, je n'ai pas trouvé le fichier ComboFix.txt mais je te remercie comme même d'avoir utilisé ton temps pour m'aider.  

Je marque le sujet comme résolu.  
Je pourrai pas te parvenir des informations pendant 1 mois et demi car je pars en vacances mais au cas où qu'il y a un problème, je ré-ouvre le sujet.  

Merci  
Cordialement, Kylian

Utilisateur anonyme · Answer

attention, il faut términer le nettoyage !

Télécharge Malwarebytes' Anti-Malware et enregistre le sur ton bureau:

https://fr.malwarebytes.com/mwb-download/
ou :

https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
 
ou ici :
 https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/

 
/!\Utilisateur de Vista et Windows 7 : Clique droit sur le logo de Malwarebytes' Anti-Malware, « exécuter en tant qu'Administrateur »

. Double cliques sur le fichier téléchargé pour lancer le processus d'installation. 
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour 
. si le pare-feu demande l'autorisation de se connecter pour malwarebytes, acceptes 
. Une fois la mise à jour terminé
. rend-toi dans l'onglet, Recherche 
. Sélectionnes Exécuter un examen complet
. Cliques sur Rechercher
. Le scan démarre. 
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés. 
. Cliques sur Ok pour poursuivre. 
. Si des malwares ont été détectés, cliques sur Afficher les résultats 
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. 
. rends toi dans l'onglet rapport/log 
. tu cliques dessus pour l'afficher une fois affiché 
. tu cliques sur edition en haut du boc notes,et puis sur sélectionner tous 
. tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse 
. Tu cliques droit dans le cadre de la réponse et coller 
. À la fin du scan, il se peut que MBAM ait besoin de redémarrer le pc pour finaliser la suppression, donc pas de panique, redémarre ton pc !!!

Si tu as besoin d'aide regarde ce tutoriel : 
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

sixemed · Answer

Voilà le rapport : 
Malwarebytes Anti-Malware (Essai) 1.61.0.1400 
www.malwarebytes.org 

Version de la base de données: v2012.07.08.04 

Windows XP Service Pack 3 x86 NTFS 
Internet Explorer 8.0.6001.18702 
kiki :: KYLIAN [administrateur] 

Protection: Activé 

08/07/2012 Kylian 18:15:08 
mbam-log-2012-07-08 (20-58-10).txt 

Type d'examen: Examen complet 
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM 
Options d'examen désactivées: P2P 
Elément(s) analysé(s): 493348 
Temps écoulé: 2 heure(s), 42 minute(s), 46 seconde(s) 

Processus mémoire détecté(s): 0 
(Aucun élément nuisible détecté) 

Module(s) mémoire détecté(s): 0 
(Aucun élément nuisible détecté) 

Clé(s) du Registre détectée(s): 4 
HKCR\ShopperReports.Reporter (Adware.ShopperReports) -> Aucune action effectuée. 
HKCR\ShopperReports.Reporter.1 (Adware.ShopperReports) -> Aucune action effectuée. 
HKCU\SOFTWARE\Malware Scanner (Rogue.MalwareScanner) -> Aucune action effectuée. 
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Malware Scanner_is1 (Rogue.MalwareScanner) -> Aucune action effectuée. 

Valeur(s) du Registre détectée(s): 1 
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\User Agent\Post Platform|SRS_IT_E8790471B0765B5035AE97 (Malware.Trace) -> Données:  -> Aucune action effectuée. 

Elément(s) de données du Registre détecté(s): 0 
(Aucun élément nuisible détecté) 

Dossier(s) détecté(s): 4 
C:\Program Files\MalwareRemover.com (Rogue.MalwareScanner) -> Aucune action effectuée. 
C:\Program Files\MalwareRemover.com\Malware Scanner (Rogue.MalwareScanner) -> Aucune action effectuée. 
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\MalwareRemover.com (Rogue.MalwareScanner) -> Aucune action effectuée. 
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\MalwareRemover.com\Malware Scanner (Rogue.MalwareScanner) -> Aucune action effectuée. 

Fichier(s) détecté(s): 7 
C:\System Volume Information\_restore{B510FDDA-CAE3-40AA-9AAF-481A43C1BE14}\RP377\A0233877.dll (Keylogger.PerfectKeylogger) -> Aucune action effectuée. 
C:\Documents and Settings\kiki\Bureau\Malware Scanner.lnk (Rogue.MalwareScanner) -> Aucune action effectuée. 
C:\WINDOWS\system32\inst.dat (Keylogger) -> Aucune action effectuée. 
C:\WINDOWS\system32\pk.bin (Keylogger) -> Aucune action effectuée. 
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\MalwareRemover.com\Malware Scanner\Help.lnk (Rogue.MalwareScanner) -> Aucune action effectuée. 
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\MalwareRemover.com\Malware Scanner\Malware Scanner.lnk (Rogue.MalwareScanner) -> Aucune action effectuée. 
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\MalwareRemover.com\Malware Scanner\Uninstall.lnk (Rogue.MalwareScanner) -> Aucune action effectuée. 

(fin)


J'ai posté celui avant la suppression.

sixemed · Answer

Voici celui après la suppression :

Malwarebytes Anti-Malware (Essai) 1.61.0.1400
www.malwarebytes.org

Version de la base de données: v2012.07.08.04

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
kiki :: KYLIAN [administrateur]

Protection: Activé

08/07/2012 Kylian 18:15:08
mbam-log-2012-07-08 (18-15-08).txt

Type d'examen: Examen complet
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 493348
Temps écoulé: 2 heure(s), 42 minute(s), 46 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 4
HKCR\ShopperReports.Reporter (Adware.ShopperReports) -> Mis en quarantaine et supprimé avec succès.
HKCR\ShopperReports.Reporter.1 (Adware.ShopperReports) -> Mis en quarantaine et supprimé avec succès.
HKCU\SOFTWARE\Malware Scanner (Rogue.MalwareScanner) -> Mis en quarantaine et supprimé avec succès.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Malware Scanner_is1 (Rogue.MalwareScanner) -> Mis en quarantaine et supprimé avec succès.

Valeur(s) du Registre détectée(s): 1
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\User Agent\Post Platform|SRS_IT_E8790471B0765B5035AE97 (Malware.Trace) -> Données:  -> Mis en quarantaine et supprimé avec succès.

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 4
C:\Program Files\MalwareRemover.com (Rogue.MalwareScanner) -> Mis en quarantaine et supprimé avec succès.
C:\Program Files\MalwareRemover.com\Malware Scanner (Rogue.MalwareScanner) -> Mis en quarantaine et supprimé avec succès.
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\MalwareRemover.com (Rogue.MalwareScanner) -> Mis en quarantaine et supprimé avec succès.
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\MalwareRemover.com\Malware Scanner (Rogue.MalwareScanner) -> Mis en quarantaine et supprimé avec succès.

Fichier(s) détecté(s): 7
C:\System Volume Information\_restore{B510FDDA-CAE3-40AA-9AAF-481A43C1BE14}\RP377\A0233877.dll (Keylogger.PerfectKeylogger) -> Mis en quarantaine et supprimé avec succès.
C:\Documents and Settings\kiki\Bureau\Malware Scanner.lnk (Rogue.MalwareScanner) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\inst.dat (Keylogger) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\pk.bin (Keylogger) -> Mis en quarantaine et supprimé avec succès.
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\MalwareRemover.com\Malware Scanner\Help.lnk (Rogue.MalwareScanner) -> Mis en quarantaine et supprimé avec succès.
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\MalwareRemover.com\Malware Scanner\Malware Scanner.lnk (Rogue.MalwareScanner) -> Mis en quarantaine et supprimé avec succès.
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\MalwareRemover.com\Malware Scanner\Uninstall.lnk (Rogue.MalwareScanner) -> Mis en quarantaine et supprimé avec succès.

(fin)

sixemed · Answer

Après le redémarrage, plus aucune trace du virus.
Merci de ton aide, je marque le sujet comme résolu et je t'informerai de la situation quand je reviendrai de mes vacances.

Cordialement, Kylian

Utilisateur anonyme · Answer

il faut aller jusqu'au bout pour que l'infection ne revienne plus ! 




O.o°*??? Membre, Contributeur sécurité CCM o°.Oø¤º°'°º¤ø  

O.o°* ??? Réspire à fond, Rédige ton message en bon français et de manière claire.Ca va bien se passer, tu verras, enfin on essaie !!! o°.Oø¤º°'°º¤ø

Virus Gendarmerie

16 réponses

Discussions similaires