Virus gendarmerie nationale inactif ?

Question

Bonjour,  

Une personne a reçu le virus de la Gendarmerie Nationale, il y a moins d'une heure. 

L'anti-virus l'a apparement bloqué, et, il semble que ce virus n'a aucune conséquence. 
(Ou presque, lire la suite). 
  
Au moment de l'attaque, l'anti-virus avait détecté la menace, il a fait différentes étapes, mais n'a apparement pas su le détruire. Le simple fait d'éteindre brusquement l'ordinateur l'aurai alors supprimé, mais j'ai des doutes. 

Au redémarrage, tout semble normal, pas de problèmes particuliers. 

Par contre, déja une chose qui est bizarre, c'est que ma config soit notée Safari, alors que j'utilise Chrome. Configuration: Windows 7 / Safari 537.1

Autre chose : la page google n'est pas [https://] donc non sécurisée. 

Et en plus, l'étoile de l'historique semble avoir changée. 

Bref, je suis déja en train de faire un examen complet à l'aide de malwarebytes. 

Quelqu'un pourrait m'informer si le fait que le virus soit inactif est normal, et également le fait des quelques changements du naviguateur ? 

Merci à tous pour votre aide ! 





Configuration: Windows 7 / Safari 537.1

g3n-h@ckm@n · Answer

salut laisse tomber malwarebytes pour l instant

=====

Télécharge et enregistre ADWcleaner sur ton bureau :

ADWCleaner (Merci à Xplode)

Lance le,

(Pour vista et seven => clic droit "executer en tant qu'administrateur")

clique sur suppression et poste son rapport.


=====

Attention : cet outil peut etre détecté à tort comme virus

tous les processus "non vitaux de windows" vont être coupés , enregistre ton travail.

Désactive toutes tes protections si possible , antivirus , sandbox , etc....

telecharge et enregistre Pre_Scan sur ton bureau :

http://forums-fec.be/gen-hackman/Pre_Scan.exe
http://general-changelog-team.fr/fr/downloads/viewdownload/41-outils-de-gen-hackman/52-pre-scan

Avertissement :Il y aura une extinction du bureau pendant le scan --> pas de panique.

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan_la_date_et_l'heure.txt" sur le bureau.

si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Kill"

si l'outil est bloqué par l'infection utilise cette version avec extension .pif :

http://forums-fec.be/gen-hackman/Pre_Scan.pif

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan

Il est possible que l'outil fasse redemarrer ton pc plusieurs fois , laisse-le faire

NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

Heberge le rapport sur http://pjjoint.malekal.com puis donne le lien obtenu en echange sur le forum où tu te fais aider

Le Rénovateur · Answer

Mais malwarebytes vient de détecter un élément, j'attends la fin ?

g3n-h@ckm@n · Answer

non on s'en fout

Le Rénovateur · Answer

Quand tu dis : 


Attention : cet outil peut etre détecté à tort comme virus  

tous les processus "non vitaux de windows" vont être coupés , enregistre ton travail.  

Tu parles de quel logiciel ? 

Et quels sont les processus non vitaux ?

Le Rénovateur · Answer

Voici le rapport de ADWCleaner :

# AdwCleaner v1.800 - Rapport créé le 02/08/2012 à 17:02:41
# Mis à jour le 01/08/2012 par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : Mon nom - Mon PC
# Exécuté depuis : C:\Users\******\Music\Downloads\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Users\******\AppData\Local\Temp\Iminent
Dossier Supprimé : C:\Users\******\AppData\Local\Temp\{51a86bb3-6602-4c85-92a5-130ee4864f13}
Dossier Supprimé : C:\Users\******\AppData\Roaming\QuickStoresToolbar
Dossier Supprimé : C:\Users\******\AppData\Roaming\Mozilla\Firefox\Profiles\2hg9v8rv.default\CT2776682
Dossier Supprimé : C:\Users\******\AppData\Roaming\Mozilla\Firefox\Profiles\2hg9v8rv.default\extensions\{51a86bb3-6602-4c85-92a5-130ee4864f13}
Dossier Supprimé : C:\ProgramData\Trymedia
Dossier Supprimé : C:\Program Files (x86)\Mozilla Firefox\Extensions\quickstores@quickstores.de
Dossier Supprimé : C:\Windows\assembly\GAC_MSIL\QuickStoresToolbar
Fichier Supprimé : C:\Users\******\AppData\Roaming\Mozilla\Firefox\Profiles\2hg9v8rv.default\searchplugins\Conduit.xml

***** [Registre] *****

Clé Supprimée : HKCU\Software\AVG Secure Search
Clé Supprimée : HKCU\Software\DataMngr
Clé Supprimée : HKCU\Software\Iminent
Clé Supprimée : HKCU\Software\Softonic
Clé Supprimée : HKCU\Software\SweetIm
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\Iminent_RASAPI32
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\Iminent_RASMANCS
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\IncredibarToolbar_RASAPI32
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\IncredibarToolbar_RASMANCS

***** [Registre - GUID] *****

Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{10EDB994-47F8-43F7-AE96-F2EA63E9F90F}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{1F096B29-E9DA-4D64-8D63-936BE7762CC5}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{95B7759C-8C7F-4BF1-B163-73684A933233}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{AFDBDDAA-5D3F-42EE-B79C-185A7020515B}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{10EDB994-47F8-43F7-AE96-F2EA63E9F90F}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{10EDB994-47F8-43F7-AE96-F2EA63E9F90F}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{10EDB994-47F8-43F7-AE96-F2EA63E9F90F}
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [{10EDB994-47F8-43F7-AE96-F2EA63E9F90F}]

***** [Navigateurs] *****

-\ Internet Explorer v9.0.8112.16421

[OK] Le registre ne contient aucune entrée illégitime.

-\ Mozilla Firefox v14.0.1 (fr)

Nom du profil : default 
Fichier : C:\Users\******\AppData\Roaming\Mozilla\Firefox\Profiles\fxxanhsp.default\prefs.js

[OK] Le fichier ne contient aucune entrée illégitime.

Nom du profil : default 
Fichier : C:\Users\******\AppData\Roaming\Mozilla\Firefox\Profiles\2hg9v8rv.default\prefs.js

Supprimée : user_pref("CT2776682..clientLogIsEnabled", false);
Supprimée : user_pref("CT2776682..clientLogServiceUrl", "hxxp://clientlog.users.conduit.com/ClientDiagnostics.as[...]
Supprimée : user_pref("CT2776682..uninstallLogServiceUrl", "hxxp://uninstall.users.conduit.com/Uninstall.asmx/Re[...]
Supprimée : user_pref("CT2776682.ALLOW_SHOWING_HIDDEN_TOOLBAR", false);
Supprimée : user_pref("CT2776682.AboutPrivacyUrl", "hxxp://www.conduit.com/privacy/Default.aspx");
Supprimée : user_pref("CT2776682.BrowserCompStateIsOpen_129681725882385585", true);
Supprimée : user_pref("CT2776682.BrowserCompStateIsOpen_129736214107504978", true);
Supprimée : user_pref("CT2776682.BrowserCompStateIsOpen_129762727427121022", true);
Supprimée : user_pref("CT2776682.BrowserCompStateIsOpen_3074119389266289102", true);
Supprimée : user_pref("CT2776682.BrowserCompStateIsOpen_482266491", true);
Supprimée : user_pref("CT2776682.BrowserCompStateIsOpen_492045628", true);
Supprimée : user_pref("CT2776682.CT2776682", "CT2776682");
Supprimée : user_pref("CT2776682.CurrentServerDate", "31-7-2012");
Supprimée : user_pref("CT2776682.DSInstall", true);
Supprimée : user_pref("CT2776682.DialogsAlignMode", "LTR");
Supprimée : user_pref("CT2776682.DialogsGetterLastCheckTime", "Tue Jul 31 2012 16:07:25 GMT+0200");
Supprimée : user_pref("CT2776682.DownloadReferralCookieData", "");
Supprimée : user_pref("CT2776682.FirstServerDate", "22-6-2012");
Supprimée : user_pref("CT2776682.FirstTime", true);
Supprimée : user_pref("CT2776682.FirstTimeFF3", true);
Supprimée : user_pref("CT2776682.FirstTimeHiddenVer", true);
Supprimée : user_pref("CT2776682.FixPageNotFoundErrors", true);
Supprimée : user_pref("CT2776682.GroupingServerCheckInterval", 1440);
Supprimée : user_pref("CT2776682.GroupingServiceUrl", "hxxp://grouping.services.conduit.com/");
Supprimée : user_pref("CT2776682.HPInstall", true);
Supprimée : user_pref("CT2776682.HasUserGlobalKeys", true);
Supprimée : user_pref("CT2776682.Initialize", true);
Supprimée : user_pref("CT2776682.InitializeCommonPrefs", true);
Supprimée : user_pref("CT2776682.InstallationAndCookieDataSentCount", 3);
Supprimée : user_pref("CT2776682.InstallationType", "Unknown");
Supprimée : user_pref("CT2776682.InstalledDate", "Fri Jun 22 2012 20:32:59 GMT+0200");
Supprimée : user_pref("CT2776682.IsGrouping", false);
Supprimée : user_pref("CT2776682.IsInitSetupIni", true);
Supprimée : user_pref("CT2776682.IsMulticommunity", false);
Supprimée : user_pref("CT2776682.IsOpenThankYouPage", true);
Supprimée : user_pref("CT2776682.IsOpenUninstallPage", true);
Supprimée : user_pref("CT2776682.LanguagePackLastCheckTime", "Tue Jul 31 2012 16:07:25 GMT+0200");
Supprimée : user_pref("CT2776682.LanguagePackReloadIntervalMM", 1440);
Supprimée : user_pref("CT2776682.LanguagePackServiceUrl", "hxxp://translation.users.conduit.com/Translation.ashx[...]
Supprimée : user_pref("CT2776682.LastLogin_3.13.0.6", "Tue Jul 31 2012 16:07:25 GMT+0200");
Supprimée : user_pref("CT2776682.LastLogin_3.14.1.0", "Tue Jul 31 2012 17:18:41 GMT+0200");
Supprimée : user_pref("CT2776682.LatestVersion", "3.14.1.0");
Supprimée : user_pref("CT2776682.Locale", "en");
Supprimée : user_pref("CT2776682.MCDetectTooltipHeight", "83");
Supprimée : user_pref("CT2776682.MCDetectTooltipUrl", "hxxp://@EB_INSTALL_LINK@/rank/tooltip/?version=1");
Supprimée : user_pref("CT2776682.MCDetectTooltipWidth", "295");
Supprimée : user_pref("CT2776682.MyStuffEnabledAtInstallation", true);
Supprimée : user_pref("CT2776682.OriginalFirstVersion", "3.13.0.6");
Supprimée : user_pref("CT2776682.SavedHomepage", "chrome://branding/locale/browserconfig.properties");
Supprimée : user_pref("CT2776682.SearchCaption", "BrotherSoft Extreme Customized Web Search");
Supprimée : user_pref("CT2776682.SearchFromAddressBarIsInit", true);
Supprimée : user_pref("CT2776682.SearchFromAddressBarUrl", "hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT277[...]
Supprimée : user_pref("CT2776682.SearchInNewTabEnabled", true);
Supprimée : user_pref("CT2776682.SearchInNewTabIntervalMM", 1440);
Supprimée : user_pref("CT2776682.SearchInNewTabLastCheckTime", "Tue Jul 31 2012 16:07:24 GMT+0200");
Supprimée : user_pref("CT2776682.SearchInNewTabServiceUrl", "hxxp://newtab.conduit-hosting.com/newtab/?ctid=EB_T[...]
Supprimée : user_pref("CT2776682.SendProtectorDataViaLogin", true);
Supprimée : user_pref("CT2776682.ServiceMapLastCheckTime", "Tue Jul 31 2012 16:07:24 GMT+0200");
Supprimée : user_pref("CT2776682.SettingsLastCheckTime", "Tue Jul 31 2012 16:07:23 GMT+0200");
Supprimée : user_pref("CT2776682.SettingsLastUpdate", "1343563221");
Supprimée : user_pref("CT2776682.TBHomePageUrl", "hxxp://search.conduit.com/?ctid=CT2776682&SearchSource=13");
Supprimée : user_pref("CT2776682.ToolbarShrinkedFromSetup", false);
Supprimée : user_pref("CT2776682.TrusteLinkUrl", "hxxp://trust.conduit.com/CT2776682");
Supprimée : user_pref("CT2776682.TrustedApiDomains", "conduit.com,conduit-hosting.com,conduit-services.com,clien[...]
Supprimée : user_pref("CT2776682.UserID", "UN32793031532784045");
Supprimée : user_pref("CT2776682.alertChannelId", "1168776");
Supprimée : user_pref("CT2776682.components.1000034", true);
Supprimée : user_pref("CT2776682.components.1000234", true);
Supprimée : user_pref("CT2776682.generalConfigFromLogin", "{\"ApiMaxAlerts\":\"12\",\"SocialDomains\":\"social.c[...]
Supprimée : user_pref("CT2776682.homepageProtectorEnableByLogin", true);
Supprimée : user_pref("CT2776682.initDone", true);
Supprimée : user_pref("CT2776682.myStuffEnabled", true);
Supprimée : user_pref("CT2776682.myStuffPublihserMinWidth", 400);
Supprimée : user_pref("CT2776682.myStuffSearchUrl", "hxxp://Apps.conduit.com/search?q=SEARCH_TERM&SearchSourceOr[...]
Supprimée : user_pref("CT2776682.myStuffServiceIntervalMM", 1440);
Supprimée : user_pref("CT2776682.myStuffServiceUrl", "hxxp://mystuff.conduit-services.com/MyStuffService.ashx?Co[...]
Supprimée : user_pref("CT2776682.navigateToUrlOnSearch", false);
Supprimée : user_pref("CT2776682.revertSettingsEnabled", true);
Supprimée : user_pref("CT2776682.searchProtectorDialogDelayInSec", 10);
Supprimée : user_pref("CT2776682.searchProtectorEnableByLogin", true);
Supprimée : user_pref("CT2776682.testingCtid", "");
Supprimée : user_pref("CT2776682.toolbarAppMetaDataLastCheckTime", "Tue Jul 31 2012 16:07:25 GMT+0200");
Supprimée : user_pref("CommunityToolbar.ConduitHomepagesList", "hxxp://search.conduit.com/?ctid=CT2776682&Search[...]
Supprimée : user_pref("CommunityToolbar.ConduitSearchList", "BrotherSoft Extreme Customized Web Search");
Supprimée : user_pref("CommunityToolbar.ETag.hxxp://Settings.toolbar.search.conduit.com/root/CT2776682/CT2776682[...]
Supprimée : user_pref("CommunityToolbar.ETag.hxxp://appsmetadata.toolbar.conduit-services.com/?ctid=CT2776682", [...]
Supprimée : user_pref("CommunityToolbar.ETag.hxxp://dynamicdialogs.toolbar.conduit-services.com/DLG.pkg?ver=3.13[...]
Supprimée : user_pref("CommunityToolbar.ETag.hxxp://servicemap.conduit-services.com/Toolbar/?ownerId=CT2776682",[...]
Supprimée : user_pref("CommunityToolbar.ETag.hxxp://translation.toolbar.conduit-services.com/?locale=en", "\"504[...]
Supprimée : user_pref("CommunityToolbar.SearchFromAddressBarSavedUrl", "");
Supprimée : user_pref("CommunityToolbar.ToolbarsList", "CT2776682");
Supprimée : user_pref("CommunityToolbar.ToolbarsList2", "CT2776682");
Supprimée : user_pref("CommunityToolbar.ToolbarsList4", "CT2776682");
Supprimée : user_pref("CommunityToolbar.globalUserId", "22581730-25f9-41d8-9928-893670901626");
Supprimée : user_pref("CommunityToolbar.keywordURLSelectedCTID", "CT2776682");
Supprimée : user_pref("CommunityToolbar.originalHomepage", "chrome://branding/locale/browserconfig.properties");
Supprimée : user_pref("CommunityToolbar.originalSearchEngine", "chrome://browser-region/locale/region.properties[...]
Supprimée : user_pref("browser.search.defaultthis.engineName", "BrotherSoft Extreme Customized Web Search");
Supprimée : user_pref("browser.search.defaulturl", "hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT2776682&Sea[...]
Supprimée : user_pref("browser.search.selectedEngine", "BrotherSoft Extreme Customized Web Search");
Supprimée : user_pref("browser.startup.homepage", "hxxp://search.conduit.com/?ctid=CT2776682&SearchSource=13");
Supprimée : user_pref("keyword.URL", "hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT2776682&SearchSource=2&q=[...]

-\ Google Chrome v21.0.1180.60

Fichier : C:\Users\******\AppData\Local\Google\Chrome\User Data\Default\Preferences

[OK] Le fichier ne contient aucune entrée illégitime.

Fichier : C:\Users\******\AppData\Local\Google\Chrome\User Data\Default\Preferences

Supprimée :          "path": "C:\Users\******\AppData\LocalLow\Unity\WebPlayer\loader\npUnity3D3[...]

*************************

AdwCleaner[S1].txt - [46439 octets] - [17/06/2012 13:49:11]
AdwCleaner[S2].txt - [10701 octets] - [17/06/2012 20:18:43]
AdwCleaner[S3].txt - [12176 octets] - [02/08/2012 17:02:41]

########## EOF - C:\AdwCleaner[S3].txt - [12305 octets] ##########

g3n-h@ckm@n · Answer

alors la suite..... et ne tronques pas le rapport sinon je pourrai pas te faire de script
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Scan_Concept ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ 
ne gardez pas les outils de desinfection dans le pc , ils sont mis à jour tous les jours

Le Rénovateur · Answer

Pre_Scan a travaillé pendant 1/4 d'heure, puis ça me dit qu'il a cessé de fonctionner, il est alors fermé. :/
Tout à recommencer.
Je dois utiliser l'extension ?

g3n-h@ckm@n · Answer

oui en mode sans echec

g3n-h@ckm@n · Answer

https://forums.commentcamarche.net/forum/affich-25737728-virus-gendarmerie-nationale-inactif#11

javascript c'est comment ca marche qui deco$ne

Le Rénovateur · Answer

Je fais comment pour le mode sans échec ??

g3n-h@ckm@n · Answer

Comment aller en Mode sans échec :

Attention !!! : NE JAMAIS DEMARRER EN MODE SANS ECHEC AVEC L'UTILITAIRE MSCONFIG !!!!

&#9654 Redémarres ton ordi 
&#9654 Tapote la touche F8 immédiatement, (F5 sur certains PC) juste après le "Bip" 
&#9654 Tu verras un écran avec options de démarrage apparaître 
&#9654 Choisis la première option : Sans Échec, et valide avec "Entrée" 
&#9654 Choisis ton compte habituel,

Le Rénovateur · Answer

Alors j'ai fait ce que tu m'as dit, mais le programme a disparu du bureau; apparement il me bloque l'ordinateur car mon PC démarre automatiquement en mode sans échec:( 
Je suis actuellement en mode sans échec avec prise en charge du réseau, comment pourrai-je avoir de nouveau l'affichage habituel svp ?? 
Et que s'est il passé avec ce logiciel ? 
Quand je démarre le gestionnaire des taches, je le trouve. 
Alors ??

g3n-h@ckm@n · Answer

t'as pas desactivé une sandbox je pense

Le Rénovateur · Answer

Et je fais quoi maintenant ??
Le PC démarre uniquement en mode sans échec!!
Que faire ?? Svp !

g3n-h@ckm@n · Answer

je peux savoir comment tu t'y est pris pour demarrer le pc en mode sans echec ?

Le Rénovateur · Answer

Bah j'ai tapoté F8, puis j'ai choisi le mode sans échec au démarrage comme t'as dit pour lancer le Pre_scan qui a disparu, et depuis que j'ai redémarré, il ne fait que se mettre en mode sans échec, même quand je démarre "normalement"!  
Le pré scan a disparu pendant l'analyse, étrange, je le trouve dans le gestionnaire de taches.

g3n-h@ckm@n · Answer

ptain vous etes fatiguants à pas lire les instuctions et à cliquer betement sur le lien et executer le programme sans l enregistrer sur le bureau et à l'executer directement d'internet !!!!

résultat au redemarrage ben le programme est plus trouvé et ca plante !!!!!!!!!

Le Rénovateur · Answer

Bah désolé je n'avais pas vu qu'il fallait l'enregister car j'ai assez secoué par ce qui venait de se produire. :/
Je fais comment sinon ?
Je le vire ou je le réinstalle en l'enregistrant sur le bureau ?

g3n-h@ckm@n · Answer

ok j'ai reprogrammé pre_scan 

lance c:\windows\regedit.exe

deplie avec les petits "+" 

HKEY_LOCAL_MACHINE
\Software\Microsoft
\Windows NT
\CurrentVersion
\Winlogon

clic gauche sur winlogon

à droite tu dois avoir une valeur shell contenant ceci :

explorer.exe,le chemin de pre_scan (donc je suppose que ca renvoie sur tes fichiers temporaires internet)

bref vire tout et mets juste ca :

explorer.exe

puis valide et redemarr le pc

Le Rénovateur · Answer

Je supprime Shell ? Car à coté j'ai juste explorer.exe!
Merci pour les réponses en tous cas!

g3n-h@ckm@n · Answer

t'as que explorer.exe ? ben alors je comprends pas...

Le Rénovateur · Answer

J'ai ça :
http://www.noelshack.com/2012-31-1343937434-capture.png

g3n-h@ckm@n · Answer

ouais ben non c'est bon il devrait demarrer normalement...

Le Rénovateur · Answer

Mais je dois faire quoi? :o)

g3n-h@ckm@n · Answer

ben je comprends pas alors fais une restauration systeme et on virera les merdes que ca t'aura remis

Le Rénovateur · Answer

Je peux pas en mode sans échec.. 
Je le fait au démarrage en tapotant la touche F8 ?
Et sinon je peux rien faire avec le dossier Shell?

g3n-h@ckm@n · Answer

Je peux pas en mode sans échec.. 

precise ?

Gilph05501 · Answer

Bonjour,

J'ai trouvé ce tuto sur You Tube

https://www.youtube.com/watch?v=74ldZXlDFq0&list=FLnZBckgruiK8OAqwpMHtBPQ&index=1&feature=plpp_video

Bonne chance à vous.

Virus gendarmerie nationale inactif ?

28 réponses

Votre réponse

Discussions similaires

Newsletters