Infection par "Live security platinum"

ottie -  
Bonjour à tous,

Voilà, mon pc (portable acer/windos ultimate 7) à été infecté il y a environ 1 heure par "live security platinum", je n'ai plus accès à internet (le virus me bloque firefox), donc je passe par un autre ordi.
Après avoir survolé les différents sujets sur ce virus, je vous demande une aide puisqu'il me semble que les rapports doivent être lu par une personne qualifié.

Je remercie par avance les personnes qui me porteront aide.

8 réponses

  1.  kalimusic Contributeur sécurité
    Bonjour,

    Tu es infecté par un rogue, surtout ne tient pas compte de ses messages d'alertes.

    1. Redémarre en mode sans échec avec prise en charge réseau.

    2. Télécharge RogueKiller (par Tigzy) sur le bureau
    ● Ferme toutes tes applications en cours
    ● Lance RogueKiller.exe
    Si l'infection bloque le programme, il faut le relancer plusieurs fois ou le renommer en winlogon.exe
    ● Laisse le prescan se terminer, clique sur Scan
    ● Clique sur Rapport pour l'ouvrir puis copie/colle le dans ton prochain message.

    A +
    3
    1. ottie Auteur
      Bonjour kalimusic,

      Un grand merci pour l'attention que vous portez à mon souci.

      J'ai suivi la procédure, et voici le rapport de roguekiller :

      RogueKiller V7.6.3 [08/07/2012] par Tigzy
      mail: tigzyRK<at>gmail<dot>com
      Remontees: https://www.luanagames.com/index.fr.html
      Blog: http://tigzyrk.blogspot.com

      Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
      Demarrage : Mode sans echec avec prise en charge reseau
      Utilisateur: Administrateur [Droits d'admin]
      Mode: Recherche -- Date: 14/07/2012 10:13:50

      ¤¤¤ Processus malicieux: 0 ¤¤¤

      ¤¤¤ Entrees de registre: 18 ¤¤¤
      [SUSP PATH] HKCU\[...]\RunOnce : 036DFF8E83D68DBC66A07C267B07D287 (C:\Documents and Settings\All Users\Application Data\036DFF8E83D68DBC66A07C267B07D287\036DFF8E83D68DBC66A07C267B07D287.exe) -> FOUND
      [SUSP PATH] HKUS\S-1-5-21-57989841-1454471165-515967899-500[...]\RunOnce : 036DFF8E83D68DBC66A07C267B07D287 (C:\Documents and Settings\All Users\Application Data\036DFF8E83D68DBC66A07C267B07D287\036DFF8E83D68DBC66A07C267B07D287.exe) -> FOUND
      [HJPOL] HKCU\[...]\Policies\Explorer\Explorer : NoSMHelp (1) -> FOUND
      [] HKLM\[...]\System : () -> ACCESS DENIED
      [] HKLM\[...]\System : () -> ACCESS DENIED
      [] HKLM\[...]\System : () -> ACCESS DENIED
      [] HKLM\[...]\Policies\Explorer\Explorer : () -> ACCESS DENIED
      [] HKLM\[...]\Policies\Explorer\Explorer : () -> ACCESS DENIED
      [] HKLM\[...]\System : () -> ACCESS DENIED
      [] HKLM\[...]\System : () -> ACCESS DENIED
      [] HKLM\[...]\System : () -> ACCESS DENIED
      [HJ] HKLM\[...]\Security Center : AntiVirusDisableNotify (1) -> FOUND
      [HJ] HKLM\[...]\Security Center : FirewallDisableNotify (1) -> FOUND
      [HJ] HKLM\[...]\Security Center : UpdatesDisableNotify (1) -> FOUND
      [HJ] HKCU\[...]\Advanced : Start_ShowRecentDocs (0) -> FOUND
      [HJ] HKCU\[...]\Advanced : Start_ShowHelp (0) -> FOUND
      [HJ] HKCU\[...]\Advanced : Start_ShowSetProgramAccessAndDefaults (0) -> FOUND
      [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND

      ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

      ¤¤¤ Driver: [NON CHARGE] ¤¤¤

      ¤¤¤ Infection : ¤¤¤

      ¤¤¤ Fichier HOSTS: ¤¤¤
      127.0.0.1 localhost
      127.0.0.1 activate.adobe.com
      127.0.0.1 genuine.microsoft.com
      127.0.0.1 mpa.one.microsoft.com
      127.0.0.1 sa.windows.com
      127.0.0.1 se.windows.com
      127.0.0.1 ie.search.msn.com
      127.0.0.1 wustat.windows.com
      127.0.0.1 wutrack.windows.com
      127.0.0.1 catalog.microsoft.com
      127.0.0.1 sls.microsoft.com
      127.0.0.1 spynet2.microsoft.com
      127.0.0.1 spynettest.microsoft.com

      ¤¤¤ MBR Verif: ¤¤¤

      +++++ PhysicalDrive0: Hitachi HTS541616J9SA00 +++++
      --- User ---
      [MBR] 541148ffb863d1a17b4a1440b9a2e346
      [BSP] c6ed2682fd36741dc64c8fcb3666ee85 : Windows XP MBR Code
      Partition table:
      0 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 16065 | Size: 81305 Mo
      1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 166529790 | Size: 71311 Mo
      User = LL1 ... OK!
      User = LL2 ... OK!

      Termine : << RKreport[1].txt >>
      RKreport[1].txt

      Quelle sera la prochaine étape ?

      Encore merci.
      0
      1. kalimusic Contributeur sécurité
        Bonjour,

        1. Relance RogueKiller.exe
        ● Clique sur Suppression
        ● Clique sur Rapport pour l'ouvrir

        2. Télécharge MBAM et installe le selon l'emplacement par défaut.
        (l'essai de la version pro est facultative)
        Effectue la mise à jour, lance un examen rapide et supprime les éléments trouvés.
        Tuto : https://forum.security-x.fr/archives/(tutoriel)-malwarebyte's-anti-malware/?PHPSESSID=bl3ngphatppbfl2g9p5j9fnppb

        3. Poste les 2 rapports

        A +
        0
        1. ottie Auteur
          Merci,

          Voici les 2 rapports:

          - Rogue killer

          RogueKiller V7.6.3 [08/07/2012] par Tigzy
          mail: tigzyRK<at>gmail<dot>com
          Remontees: https://www.luanagames.com/index.fr.html
          Blog: http://tigzyrk.blogspot.com

          Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
          Demarrage : Mode sans echec avec prise en charge reseau
          Utilisateur: Administrateur [Droits d'admin]
          Mode: Suppression -- Date: 14/07/2012 13:31:17

          ¤¤¤ Processus malicieux: 0 ¤¤¤

          ¤¤¤ Entrees de registre: 17 ¤¤¤
          [SUSP PATH] HKCU\[...]\RunOnce : 036DFF8E83D68DBC66A07C267B07D287 (C:\Documents and Settings\All Users\Application Data\036DFF8E83D68DBC66A07C267B07D287\036DFF8E83D68DBC66A07C267B07D287.exe) -> DELETED
          [HJPOL] HKCU\[...]\Policies\Explorer\Explorer : NoSMHelp (1) -> DELETED
          [] HKLM\[...]\System : () -> ACCESS DENIED
          [] HKLM\[...]\System : () -> ACCESS DENIED
          [] HKLM\[...]\System : () -> ACCESS DENIED
          [] HKLM\[...]\Policies\Explorer\Explorer : () -> ACCESS DENIED
          [] HKLM\[...]\Policies\Explorer\Explorer : () -> ACCESS DENIED
          [] HKLM\[...]\System : () -> ACCESS DENIED
          [] HKLM\[...]\System : () -> ACCESS DENIED
          [] HKLM\[...]\System : () -> ACCESS DENIED
          [HJ] HKLM\[...]\Security Center : AntiVirusDisableNotify (1) -> REPLACED (0)
          [HJ] HKLM\[...]\Security Center : FirewallDisableNotify (1) -> REPLACED (0)
          [HJ] HKLM\[...]\Security Center : UpdatesDisableNotify (1) -> REPLACED (0)
          [HJ] HKCU\[...]\Advanced : Start_ShowRecentDocs (0) -> REPLACED (1)
          [HJ] HKCU\[...]\Advanced : Start_ShowHelp (0) -> REPLACED (1)
          [HJ] HKCU\[...]\Advanced : Start_ShowSetProgramAccessAndDefaults (0) -> REPLACED (1)
          [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)

          ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

          ¤¤¤ Driver: [NON CHARGE] ¤¤¤

          ¤¤¤ Infection : ¤¤¤

          ¤¤¤ Fichier HOSTS: ¤¤¤
          127.0.0.1 localhost
          127.0.0.1 activate.adobe.com
          127.0.0.1 genuine.microsoft.com
          127.0.0.1 mpa.one.microsoft.com
          127.0.0.1 sa.windows.com
          127.0.0.1 se.windows.com
          127.0.0.1 ie.search.msn.com
          127.0.0.1 wustat.windows.com
          127.0.0.1 wutrack.windows.com
          127.0.0.1 catalog.microsoft.com
          127.0.0.1 sls.microsoft.com
          127.0.0.1 spynet2.microsoft.com
          127.0.0.1 spynettest.microsoft.com

          ¤¤¤ MBR Verif: ¤¤¤

          +++++ PhysicalDrive0: Hitachi HTS541616J9SA00 +++++
          --- User ---
          [MBR] 541148ffb863d1a17b4a1440b9a2e346
          [BSP] c6ed2682fd36741dc64c8fcb3666ee85 : Windows XP MBR Code
          Partition table:
          0 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 16065 | Size: 81305 Mo
          1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 166529790 | Size: 71311 Mo
          User = LL1 ... OK!
          User = LL2 ... OK!

          Termine : << RKreport[4].txt >>
          RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt

          Le Malwarebytes

          Malwarebytes Anti-Malware (Essai) 1.62.0.1300
          www.malwarebytes.org

          Version de la base de données: v2012.07.14.04

          Windows XP Service Pack 3 x86 NTFS (Mode sans échec/Réseau)
          Internet Explorer 8.0.6001.18702
          Administrateur :: B8FC1398B5A044F [administrateur]

          Protection: Désactivé

          14/07/2012 13:36:53
          mbam-log-2012-07-14 (13-36-53).txt

          Type d'examen: Examen rapide
          Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
          Options d'examen désactivées: P2P
          Elément(s) analysé(s): 170353
          Temps écoulé: 2 minute(s), 10 seconde(s)

          Processus mémoire détecté(s): 0
          (Aucun élément nuisible détecté)

          Module(s) mémoire détecté(s): 0
          (Aucun élément nuisible détecté)

          Clé(s) du Registre détectée(s): 1
          HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Live Security Platinum (Trojan.Lameshield) -> Mis en quarantaine et supprimé avec succès.

          Valeur(s) du Registre détectée(s): 0
          (Aucun élément nuisible détecté)

          Elément(s) de données du Registre détecté(s): 0
          (Aucun élément nuisible détecté)

          Dossier(s) détecté(s): 0
          (Aucun élément nuisible détecté)

          Fichier(s) détecté(s): 1
          C:\Documents and Settings\All Users\Application Data\036DFF8E83D68DBC66A07C267B07D287\036DFF8E83D68DBC66A07C267B07D287.exe (Trojan.Lameshield) -> Mis en quarantaine et supprimé avec succès.

          (fin)
          0
          2. kalimusic Contributeur sécurité
            ok,

            Nous allons utiliser cet outil de diagnostic afin d'identifier les problèmes restants.

            Télécharge OTL (de OldTimer) sur ton Bureau.

            Ferme toutes tes applications en cours

            ● Lance OTL.exe, l'interface principale s'ouvre.
            ● Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal
            ● Coche la case Tous les utilisateurs
            ● Laisse tous les autres paramètres par défaut
            ● Dans la partie du bas "Personnalisation", copie/colle la liste en citation : 

            msconfig 
netsvcs 
/md5start
explorer.exe
winlogon.exe
userinit.exe
svchost.exe
services.exe
/md5stop
%temp%\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.
%APPDATA%\*.exe /s 
%SYSTEMDRIVE%\*.exe 
CREATERESTOREPOINT

            ● Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.
            ● 2 rapports vont s'ouvrir au format bloc-note :
            ▸ ▸ OTL.txt (qui sera affiché) ainsi que Extras.txt (réduit dans la barre des tâches)
            ● Ne les poste pas sur le forum, ils seraient trop long
            ● Héberge les sur un des sites suivants :
            https://www.cjoint.com/
            http://pjjoint.malekal.com/
            http://threat-rc.com/
            https://textup.fr/
            ● Tu obtiendras 2 liens que tu me donneras dans ton prochain message.

            Aide : Tutorial OTL (par Malekal)

            A +
            0
            2. kalimusic Contributeur sécurité
              re,

              Ta version de Windows n'est pas officielle, voir : https://www.commentcamarche.net/faq/2981-j-utilise-une-version-piratee-de-windows
              Tu utilises une astuce pour utiliser gratuitement des produits payants de l'éditeur de logiciels Adobe.
              Et je ne parle même pas des divers logiciels de P2P installés.

              Dans ces conditions nettoyer un système est peine perdue, non ?

              A +
              0
              1. ottie Auteur
                Bonjour,

                Suite à un plantage de mon pc il y a 2 ans , la personne qui me l'a réparé m'avait prévenu que c'était une version de Windows légèrement modifiés, je ne me doutais pas que cette dernière soit piratée (sachant que je lui avait fournit ma clef windows), il en va de même pour les logiciels Adobe.

                Dans le cas présent, si je comprends bien, il me faut retrouver une version windows officielle idem pour le reste.

                Puis-je tout de même récupérer mes fichiers personnels sans y trouver de virus!
                Je comptais changer de pc (celui ci chauffe et l'écran est cassé), serait-il l'heure?

                Merci
                0

                Discussions similaires

                Security boot fail lors du démarrage
                Steu

                5 réponses
                SecurityHealth est a désactiver ou pas au démarrage de W10 Pro 64 ?
                Walti55

                2 réponses
                Comment retirer le SECURE BOOT ?
                Elparigo60

                10 réponses
                Security Boot Fail Windows 10 Acer
                benjamin5800

                22 réponses
                Live tiktok
                Dialmari

                11 réponses