svp,virus ukash police national, merci. Résolu/Fermé

Question

Bonjour, 



Voila j'ai chopé ce virus et j'ai pas mal chercher sur mon portable via internet, comment m'en débarraser mais il est pas top et j'ai beaucoup ramé mais quand meme tenté le peu que j'ai pu voir: J'ai fais un scan complet antivir en mode sans echec mais ca a pas fait bien sur, et j'ai betement supprimer les fichiers en quarantaines concernés, pensant supprimer le virus (oui j'ai pas un bon niveau informatique)!Puis refais le explorer.exe sous shell mais rien, puis adwcleaner  mais rien, quand cette étape m'as permis de comprendre que je pouvais me connecter au net en mode sans échec et connextion réseau ( je suis plus le terme exact)!

Sinon en mode normal le virus arrive très vite et ordi bloqué,c'est un avec la police national ,avec ID et lieu saint usage, avec paiement ukash et coprygth FCCU...J'ai vite compris que c'était un virus, mais pas réussi a m'en débarasser si vous pouvez m'aider, merci beaucoup a vous!j'ai windows vista.

anthony5151 · Answer

Bonjour, 


Bienvenue sur CCM ! 
Nous allons essayer de régler ton problème ensemble. D'abord, quelques rappels : 

- N'ouvre pas d'autres sujets pour le même problème (que ce soit sur ce forum ou sur un autre) 
- N'hésite pas à poser des questions en cas de besoin ;) 
- Sois patient(e) quand tu postes un message, je ne réponds pas instantanément : je suis bénévole et je ne suis pas en permanence devant mon ordinateur. Mais rassure toi, je ne laisse jamais tomber personne ;) 
- La désinfection (si nécessaire) va se dérouler en plusieurs étapes. Même si les symptômes de l'infection disparaissent, la désinfection ne sera terminée que quand je te le confirmerai --> Merci de revenir jusqu'au bout, sinon ce qu'on a fait n'aura servi à rien. 


1) Pour te débarrasser de cette infection, commence par utiliser RogueKiller qui est un outil spécifique aux logiciels escrocs de ce genre : 

- Télécharge RogueKiller (de Tigzy) sur le Bureau 
- Quitte tous tes programmes en cours 
- Lance le (si tu utilises Windows Vista ou 7 : fais un clic-droit dessus et choisis "Exécuter en tant qu'administrateur") 
- Lorsque demandé, tape 2 (suppression) et valide 
- S'il demande pour supprimer un proxy, tape 1 (supprimer) 
- Un rapport (RKreport.txt) a du se créer à côté de l'exécutable, copie/colle son contenu dans la réponse 
- Si le programme a été bloqué, ne pas hésiter a essayer plusieurs fois, ou renommer en winlogon.exe 


2) Puis utilise ce logiciel de désinfection généraliste : 

- Télécharge et installe Malwarebytes' Anti-Malware 
- A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée 
- Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme) 
- Puis va dans l'onglet "Recherche", coche "Exécuter un examen rapide" puis "Rechercher" 
- A la fin de l'analyse, clique sur Afficher les résultats 
- Coche tous les éléments  détectés puis clique sur Supprimer la sélection 
- Enregistre le rapport 
- S'il t'est demandé de redémarrer l'ordinateur, clique sur Yes 
- Poste dans ta prochaine réponse le rapport apparaissant après la suppression 


3) Enfin, fais redémarrer ton ordinateur en mode normal si tu le peux (sinon retourne en mode sans échec) et utilise ce logiciel de diagnostic : 

- Télécharge ZHPDiag (de Nicolas Coolman) 
- Lance le (si tu es sous Windows Vista ou Windows 7, fais le par un clic-droit --> Exécuter en temps qu'administrateur) 
- Laisse toi guider lors de l'installation (pense à cocher la case pour créer un raccourci sur le Bureau). Il se lancera automatiquement à la fin de l'installation. 
- Vérifie si tu trouves une icône "UAC" en haut à droite de ZHPDiag : si c'est le cas, clique dessus. 
- Clique sur l'icône représentant une loupe (« Lancer le diagnostic ») 
- Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette 
- Rends toi sur ce site, clique sur "Parcourir", sélectionne le rapport de ZHPDiag et clique sur Envoyer le fichier. Patiente pendant l'envoi du fichier, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum. 


L'habit ne fait pas le moine. 
Le savoir n'est utile que s'il est transmis

vinz71 · Answer

Bonjour et merci Anthony de m'aider a désinfecter mon ordinateur, et ne t'en fais pas j'irai jusqu'au bout : Etape 1 : RogueKiller V7.6.3 [08/07/2012] par Tigzy mail: tigzyRKgmailcom Remontees: https://www.luanagames.com/index.fr.html Blog: http://tigzyrk.blogspot.com Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version Demarrage : Mode sans echec avec prise en charge reseau Utilisateur: windows [Droits d'admin] Mode: Suppression -- Date: 12/07/2012 09:14:57 ¤¤¤ Processus malicieux: 0 ¤¤¤ ¤¤¤ Entrees de registre: 5 ¤¤¤ [SUSP PATH] ctfmon.lnk @windows : C:\Windows\System32\rundll32.exe|C:\Users\windows\AppData\Local\Temp\glom0_og.exe -> DELETED [HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0) [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0) [HJ] HKCU\[...]\ClassicStartMenu : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> REPLACED (0) [HJ] HKCU\[...]\NewStartPanel : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> REPLACED (0) ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ ¤¤¤ Driver: [NON CHARGE] ¤¤¤ ¤¤¤ Infection : ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ 127.0.0.1 localhost ::1 localhost ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: Hitachi HDT721032SLA SCSI Disk Device +++++ --- User --- [MBR] 4467aba28b999eb531d194e839b228bc [BSP] 271e59ad108e9b4ef5040e335be5bcc1 : Acer tatooed MBR Code Partition table: 0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 16384 Mo 1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 33556480 | Size: 144429 Mo 2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 329347072 | Size: 144430 Mo User = LL1 ... OK! Error reading LL2 MBR! Termine : << RKreport[2].txt >> RKreport[1].txt ; RKreport[2].txt Etape 2 : Malwarebytes Anti-Malware (Essai) 1.62.0.1300 www.malwarebytes.org Version de la base de données: v2012.07.12.03 Windows Vista Service Pack 2 x86 NTFS (Mode sans échec/Réseau) Internet Explorer 8.0.6001.19272 windows :: PC-DE-WINDOWS [administrateur] Protection: Désactivé 12/07/2012 09:25:28 mbam-log-2012-07-12 (09-25-28).txt Type d'examen: Examen rapide Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM Options d'examen désactivées: P2P Elément(s) analysé(s): 200143 Temps écoulé: 3 minute(s), 4 seconde(s) Processus mémoire détecté(s): 0 (Aucun élément nuisible détecté) Module(s) mémoire détecté(s): 0 (Aucun élément nuisible détecté) Clé(s) du Registre détectée(s): 0 (Aucun élément nuisible détecté) Valeur(s) du Registre détectée(s): 0 (Aucun élément nuisible détecté) Elément(s) de données du Registre détecté(s): 0 (Aucun élément nuisible détecté) Dossier(s) détecté(s): 0 (Aucun élément nuisible détecté) Fichier(s) détecté(s): 1 C:\Users\windows\AppData\Local\Temp\glom0_og.exe (Spyware.Zbot.DG) -> Mis en quarantaine et supprimé avec succès. (fin) A ce stade mon ordinateur à redémarrer normalement sans l'apparition du virus Etape 3 : https://pjjoint.malekal.com/files.php?id=ZHPDiag_20120712_g1210y7w15q9

anthony5151 · Answer

Les barres d'outils sont inutiles, elles ralentissent le navigateur et peuvent le rendre instable : je te conseille de les désinstaller. Pour ça, ouvre le menu démarrer --> panneau de configuration --> programmes et fonctionnalités --> Sélectionne "Google Toolbar" et désinstalle cette barre d'outil.


Ensuite, utilise ce script qui va cibler certains éléments à supprimer :

¶ Ouvre ce lien, sélectionne le script en entier et copie le (Edition --> Copier)
¶ Fais un clic-droit sur le raccourci de ZHPFix et choisis "Exécuter en temps qu'administrateur"
¶ Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
¶ Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
¶ Clique sur le bouton « GO » pour lancer le nettoyage,
¶ Copie/colle la totalité du rapport dans ta prochaine réponse


Après ça, ton ordinateur devrait être totalement désinfecté. Dis moi si tu as encore des problèmes visibles ? Sinon on passera à la finition (notamment la sécurisation de ton ordinateur)

vinz71 · Answer

Rapport de ZHPFix 1.2.06 par Nicolas Coolman, Update du 17/05/2012
Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-12-07-2012-20-47-40.txt
Run by windows at 12/07/2012 20:47:40
Windows Vista Home Premium Edition, 32-bit Service Pack 2 (Build 6002)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Web site : http://nicolascoolman.skyrock.com/

========== Processus mémoire ==========
SUPPRIME Memory Process: C:\Users\windows\Desktop\IE7-WindowsXP-x86-fra.exe

========== Clé(s) du Registre ==========
SUPPRIME CLSID MPSK: {19246f11-bf8f-11de-9b05-001d72be9c01}
SUPPRIME CLSID MPSK: {2bc6a179-f506-11de-8088-001d72be9c01}

========== Valeur(s) du Registre ==========
ABSENT Valeur Domain Profile: FirewallRaz : 
SUPPRIME FirewallRaz (None) : {DE9B307E-A95C-4B28-AC5F-56BC61088BCE}
SUPPRIME FirewallRaz (Public) : TCP Query User{60C26DF2-D132-41BA-B412-06B2BAAD0230}C:\program files\electronic arts\eadm\core.exe
SUPPRIME FirewallRaz (Public) : UDP Query User{F42D32B3-20D5-4666-918D-C23251DB1694}C:\program files\electronic arts\eadm\core.exe

========== Dossier(s) ==========
SUPPRIME Temporaires Windows:
SUPPRIME Flash Cookies:

========== Fichier(s) ==========
SUPPRIME File: c:\users\windows\desktop\ie7-windowsxp-x86-fra.exe
SUPPRIME Temporaires Windows:
SUPPRIME Flash Cookies:


========== Récapitulatif ==========
1 : Processus mémoire
2 : Clé(s) du Registre
4 : Valeur(s) du Registre
2 : Dossier(s)
3 : Fichier(s)


End of clean in 00mn 00s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 12/07/2012 20:47:40 [1518]


Oui un problème c'est très bizarre, je fais l'étape que tu me dis et quand je veux écrire cette réponse, Firefox n'est plus ouvert en bas à droite, je me dis que je l'ai fermé par erreur....Je clic sur mon raccourci Firefox pour le ré-ouvrir et la, les pages sur lesquelles j'étais reviennent, et ça m'était arriver déjà une fois depuis qu'il y a plus le virus qui bloque l'ordi en redémarrant en mode normal, mais je l'avais arrêter par la tour (mais l'ordi a redémarrer et en lançant Firefox mes pages étais la!) !Et aussi l'ordi est très long à démarrer ou redémarrer (dans les étapes qu'on a fait + redémarrer deux fois) par rapport a d'habitude. Tout cela est peut-être normal au vu du virus et des actions qu'on a fait aujourd'hui, je t'en dirai + demain car il devrait reparti comme avant, aujourd'hui j'ai du l'arrêter et le redémarrer pas mal de fois depuis ce matin ou j'avais ce virus....

Un grand merci car tu m'as déjà sorti une grosse épine du pied, et quand je passerai demain, si j'ai remarqué quelque chose d'anormal je te le signalerai, Merci :)

anthony5151 · Answer

D'accord :)  Voici les conseils de finition, ils aideront peut-être à accélérer un peu ton ordinateur :


1) Sécurise ton ordinateur 

* Logiciels de protection : 
Garde un antivirus (AntiVir dans ton cas, que je te conseille de configurer comme ça) et en complément, garde MalwareBytes Anti-Malware pour faire des scans de vérification de temps en temps. Ni plus, ni moins. Je te conseille donc de désactiver Windows Defender.

* Pour naviguer sur internet plus en sécurité et à l'abri des publicités, je te conseille vivement d'utiliser le navigateur Mozilla Firefox avec les deux extensions de sécurité suivantes :
AdBlockPlus pour bloquer les publicités ;
WOT, pour t'avertir des sites web dangereux.

* Si tu préfères utiliser Google Chrome, il existe des extensions équivalentes : 
- WOT 
- AdBlock 

* Java n'est pas à jour, c'est une faille de sécurité.
Il faut d'abord désinstaller l'ancienne version : Ouvre le menu démarrer --> panneau de configuration --> Programmes et fonctionnalités --> sélectionne toutes les versions de java présentes et désinstalle les.
Ensuite, télécharge et installe la nouvelle version depuis le site officiel de java (n'installe pas la barre d'outil proposée lors de l'installation)

* Adobe Reader n'est pas à jour, c'est une faille de sécurité. Désinstalle le en allant dans menu démarrer --> panneau de configuration --> Programmes et fonctionnalités. Puis télécharge et installe la nouvelle version (tu peux décocher le programme qui est proposé en option avant de cliquer sur "Télécharger").

* Pour les mêmes raisons, mets à jour Flash Player : Ferme ton navigateur, puis désinstalle toutes les versions de Adobe Flash Player. Ensuite, télécharge et installe la nouvelle version (tu peux décocher le programme qui est proposé en option lors du téléchargement).

* Pour éviter d'autres failles de sécurité à l'avenir, je me permets de te signaler l'existence d'une lettre d'information proposée en bas à gauche de ce site (pour information, je suis l'une des personnes qui rédigent ces newsletters). En t'inscrivant, tu reçois occasionnellement un e-mail lorsque des mises à jour importantes pour la sécurité sont à effectuer, avec des explications pour savoir comment procéder.

* Vaccine tes disques amovibles à l'aide de MKV (de ElDesaparecido et C_XX) : il suffit de brancher tous tes disques amovibles (clé USB, disque dur externe, lecteur mp3, cartes mémoire...) sans les ouvrir, puis de lancer MKV et cliquer sur "Vacciner".



2) Optimisation : 

* Télécharge Ccleaner. Installe le et lance le. Clique sur Nettoyeur --> Analyse --> Lancer le nettoyage, puis sur OK dans la fenêtre qui s' affiche. Enfin, Registre --> corrige toutes les erreurs, et recommence jusqu'à ce qu'il ne trouve plus d'erreurs.

* Pour limiter le nombre de programmes qui se lancent automatiquement au démarrage, clique sur Outils --> Démarrage --> Sélectionne les lignes suivantes et clique sur "Désactiver" : Windows Defender / PCMMediaSharing / RtHDVCpl / StartCCC / SystrayORAHSS / Skytel /  TkBellExe / Adobe Reader Speed Launcher / Adobe ARM / WindowsWelcomeCenter / ProductReg / ehTray.exe / OrangePlayer / Sidebar / swg / Google Desktop Search (tu peux même désinstaller ce programme, sauf si tu l'utilises)

* Télécharge ce fichier --> lance le --> accepte la modification du Registre.

* Télécharge Defraggler. Installe le puis lance le. Ferme tous tes autres programmes, sélectionne ton disque dur et clique sur "Défragmentation rapide".



3) Il faut supprimer tous les outils que nous avons utilisés : Télécharge DelFix (de Xplode) sur ton Bureau --> Lance le et clique sur Suppression --> quand il aura terminé, clique sur Désinstallation.



4) Pour terminer le nettoyage, il faut purger la restauration du système (pour supprimer les points de restauration infectés). Pour ça, suis ce tutoriel.



5) Prévention : Je te conseille vivement de lire cet article qui t'apportera des informations de prévention et de protection contre les infections (environ 15 minutes de lecture très instructive et utile) : Prévention et sécurité sur internet



6) Précautions Pour finir, je t'invite à changer tous tes mots de passe importants (banque, ebay, paypal...), car certaines infections les récupèrent... De même, fais régulièrement une sauvegarde de tes documents importants sur un support externe (disque dur externe, CD/DVD réinscriptible...) 
Ici, nous avons pu désinfecter ton ordinateur, mais ce n'est pas toujours le cas. Certaines infections cryptent les documents et demandent une rançon pour les récupérer, d'autres les modifient pour diffuser des infections, obligeant donc à les effacer... Il faut donc toujours avoir une sauvegarde saine de tes documents, sinon tu risques de les perdre. 




Bonne lecture, bon courage, et n'hésite pas à poser des questions en cas de besoin ;)

vinz71 · Answer

Je m'occupe de tout ça et si j'ai des questions je repasserai, en tout cas c'est un super service que tu me rends la,alors je te dis un grand grand merci ;)

JOJO · Answer

Bonjour, j'ai le même problème et je m'apprête à suivre la procédure, y a t-il quelqu'un pour suivre ma démarche ??

Svp,virus ukash police national, merci.

7 réponses

Discussions similaires