Virus gendarmerie Ukash Résolu/Fermé

Question

Bonjour, 

Mon ordi vient d'être infecté par le virus gendarmerie Ukash, j'ai redemarré mon ordi en mode sans échec puis scanné avec malwarebytes qui en examen rapide n'a rien detecté. J'ai fais un 2eme scan complet qui m'a trouvé 2 infections que j'ai supprimé. Néanmoins quand je redémarre l'ordi, il reste bloqué sur cette page Ukash.
Je vais tenter d'installer roguekiller, mais que dois-je faire du rapport et quelles manipulations dois-je faire ?
Merci pour votre aide (Je suis sous windows Vista et IE 9)

Utilisateur anonyme · Answer

Bonjour

Poste ici dans ta prochaine réponse ce rapport de Roguekiller

Merci

@+

Pomme · Answer

Merci pour la réactivité ! Voici donc le rapport Mode: Recherche -- Date: 16/08/2012 10:56:59 ¤¤¤ Processus malicieux: 0 ¤¤¤ ¤¤¤ Entrees de registre: 4 ¤¤¤ [SUSP PATH] HKCU\[...]\Run : shellstyle (C:\Users\XR\AppData\Local\Microsoft\Windows\1183\shellstyle.exe) -> FOUND [SUSP PATH] HKUS\S-1-5-21-172732496-3670148719-2321533128-1000[...]\Run : shellstyle (C:\Users\XR\AppData\Local\Microsoft\Windows\1183\shellstyle.exe) -> FOUND [HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ ¤¤¤ Driver: [NON CHARGE] ¤¤¤ ¤¤¤ Infection : ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ 127.0.0.1 localhost ::1 localhost ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: WDC WD3200AAJS-65B4A0 ATA Device +++++ --- User --- [MBR] dfd27bbda9b6ea3d342c74ea0e5794af [BSP] cbe1a3892920c024e3e7b9efc684338e : HP tatooed MBR Code Partition table: 0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 292853 Mo 1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 599765040 | Size: 12388 Mo User = LL1 ... OK! User = LL2 ... OK! Termine : << RKreport[1].txt >> RKreport[1].txt

Utilisateur anonyme · Answer

Re

Relance Roguekiller option suppression et poste moi ensuite son rapport

Merci

@+

Pomme · Answer

Merci de me suivre :)

Dois-je laisser cochées les 4 entrées avant la suppression ? Je suppose que oui mais petite hésitation ...

Pomme · Answer

Voici donc le nouveau rapport après suppression ... Demarrage : Mode sans echec avec prise en charge reseau Utilisateur: XR [Droits d'admin] Mode: Suppression -- Date: 16/08/2012 11:54:27 ¤¤¤ Processus malicieux: 0 ¤¤¤ ¤¤¤ Entrees de registre: 3 ¤¤¤ [SUSP PATH] HKCU\[...]\Run : shellstyle (C:\Users\XR\AppData\Local\Microsoft\Windows\1183\shellstyle.exe) -> DELETED [HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0) [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0) ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ ¤¤¤ Driver: [NON CHARGE] ¤¤¤ ¤¤¤ Infection : ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ 127.0.0.1 localhost ::1 localhost ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: WDC WD3200AAJS-65B4A0 ATA Device +++++ --- User --- [MBR] dfd27bbda9b6ea3d342c74ea0e5794af [BSP] cbe1a3892920c024e3e7b9efc684338e : HP tatooed MBR Code Partition table: 0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 292853 Mo 1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 599765040 | Size: 12388 Mo User = LL1 ... OK! User = LL2 ... OK! Termine : << RKreport[2].txt >> RKreport[1].txt ; RKreport[2].txt

Utilisateur anonyme · Answer

Re

Démarre normalement ton PC et dit moi comment cela se passe

Merci

@+

Pomme · Answer

Merci pour cette aide détaillée et précieuse Guillaume ;)

Tout semble ok !

Dernière petite question : Roguekiller a crée sur le bureau un dossier quarantaine, faut-il supprimer le dossier ou uniquement son contenu ?

dans cette dernière attente merci encore de ton efficacité !!! ;)

Utilisateur anonyme · Answer

Re

Ce n'est pas fini.

Met à jour Malwaresbytes et lance une analyse rapide et poste ensuite son rapport

Merci

@+

Pomme · Answer

Oups !
l'examen rapide ne detecte rien, je suis en cours de scan avec microsoft security essential qui me dit que l'analyse préliminaire revèle des éléments nuisibles.



Malwarebytes Anti-Malware 1.62.0.1300
www.malwarebytes.org

Version de la base de données: v2012.08.15.04

Windows Vista Service Pack 2 x86 NTFS
Internet Explorer 9.0.8112.16421
XR :: PC-DE-XR [administrateur]

16/08/2012 14:50:41
mbam-log-2012-08-16 (14-50-41).txt

Type d'examen: Examen rapide
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 201874
Temps écoulé: 13 minute(s), 7 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)

Utilisateur anonyme · Answer

Re

Pour vérifier les mises à jour logiciels à appliquer sur ton PC
https://www.flexera.com/products/operations/software-vulnerability-management.html
Divers liens te seront proposés pour les logiciels non à jour.


Il te faut procéder aux diverses mises à jour demandées;sinon ton problème se reproduira.

Tiens moi au courant;merci

@+

Pomme · Answer

re

Secunia a detecté 4 mises à jour à effectuer ce que je vais faire.
J'attends le résultat final de mon anti virus et te tiens au courant :)

Pomme · Answer

re
Effectivement mon anti virus m'a detecté 4 menaces liés à JAVA que j'ai désinstallé après avoir supprimé les menaces.
J'ai repéré dans mes programmes des petites choses du genre "Babylone" (Toolbar on IE, objectinstaller, browser manager, dealply, yontoo) . 
J'ai utilisé adwcleaner qui a repéré certains éléments nuisibles que j'ai supprimé mais il subsiste des éléments browser downloder :(( Que faire ? j'ai l'impression qu'il reste du nettoyage à faire ...

Utilisateur anonyme · Answer

Re

As tu procédé à ces diverses mises  à jour?

Pomme · Answer

Pour te répondre : oui j'avais adobe à mettre à jour ce que j'ai fait et java que j'ai téléchargé depuis le site de l'éditeur après l'avoir supprimé...
Entre temps mon fils a fait une erreur en téléchargeant downloader et je pense que c'est ce qui nous a donné le joli paquet surprise babylone ! Le pied quoi !

Utilisateur anonyme · Answer

Bonjour


Ouvre ce lien et télécharge ZHPDiag de Nicolas Coolman : 

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

Ou

https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

Serveur N°2

Ou

http://www.premiumorange.com/zeb-help-process/zhpdiag.html 
en bas de la page ZHP avec un numéro de version.
 
Une fois le téléchargement achevé, dé zippe le fichier obtenu et place ZHPDiag.exe sur ton Bureau.

Double-clique sur l'icône pour lancer le programme. Sous Vista ou Seven clic droit «  exécuter en tant que administrateur »


Clique sur  la loupe   pour lancer l'analyse.

Laisse l'outil travailler, il peut être assez long. 

Ferme ZHPDiag en fin d'analyse. 


Pour transmettre le rapport clique sur ce lien : 

 
http://pjjoint.malekal.com/

https://www.cjoint.com/

Regarde sur le bureau
 
Sélectionne le fichier ZHPDiag.txt. 

Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt 

est ajouté dans la page. 

Copie ce lien dans ta réponse.

Merci

@+

Pomme · Answer

Bonjour :) 

voici le rapport scanné avec ZHPDIAG 

Petite question, est-ce normal qu'au moment de l'installation de ZHPDIAG je me retrouve avec 3 raccourcis sur le bureau : ZHPDIAG, MBRCHECK et ZHPFIX ? 


http://pjjoint.malekal.com/files.php?id=ZHPDiag_20120817_p7o13r11b14s9

http://pjjoint.malekal.com/files.php?read=ZHPDiag_20120817_p7o13r11b14s9

Utilisateur anonyme · Answer

Re

Oui c'est normal ces 3 raccourcis

Utilisation de l'outil ZHPFix : 

* Copie  tout le texte présent dans l'encadré ci-dessous (tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C ) 
-------------------------------------------------------------------------------------------------


O2 - BHO: Babylon toolbar helper - {2EECD738-5844-4a99-B4B6-146BF802613B} Clé orpheline     
O3 - Toolbar: (no name) - [HKLM]{98889811-442D-49dd-99D7-DC866BE87DBC} . (...) --  (.not file.)     
[MD5.00000000000000000000000000000000] [APT] [DealPlyUpdate] (...) -- C:\Program Files\DealPly\DealPlyUpdate.exe (.not file.)     
O43 - CFD: 17/11/2008 - 22:35:04 - [0,487] ----D C:\ProgramData\{3276BE95_AF08_429F_A64F_CA64CB79BCF6}     
[HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ecdf796-c2dc-4d79-a620-cce0c0a66cc9}]     
[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{2EECD738-5844-4a99-B4B6-146BF802613B}]     
[HKLM\Software\Classes\CLSID\{98889811-442D-49dd-99D7-DC866BE87DBC}]     
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{A6174F27-1FFF-E1D6-A93F-BA48AD5DD448}]     
O4 - HKLM\..\Run: [hpqSRMon] Clé orpheline 
[MD5.00000000000000000000000000000000] [APT] [{90B7E64D-A9C6-432F-9544-41DFDA88B0AF}] (...) -- C:\Users\XR\AppData\Local\Temp\HpUpdate\15234\sp44626.exe (.not file.) 
[MD5.00000000000000000000000000000000] [APT] [{F882E50E-6042-4FE5-9D52-D21EED2516B2}] (...) -- E:\bluetooth driver\uninstall.exe (.not file.) 
R3 - URLSearchHook: (no name) - {6ec85fcf-87ad-41d7-ae1f-f116f8ad4848} . (.Adobe Systems Inc. - Adobe PDF Plug-In For Firefox and Netscape 10.1.4.) (No version) -- (.not file.)     
[MD5.00000000000000000000000000000000] [APT] [Scheduled Update for Ask Toolbar] (...) -- C:\Program Files\Ask.com\UpdateTask.exe (.not file.)     
[HKCU\Software\AppDataLow\Software\Avanquest_FR]     
O69 - SBI: SearchScopes [HKCU] {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} [DefaultScope] - (Search the web (Babylon)) - http://search.babylon.com     
[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{2EECD738-5844-4A99-B4B6-146BF802613B}]     
C:\Windows\System32\Tasks\Scheduled Update for Ask Toolbar     

FirewallRAZ
Emptytemp
EmptyCLSID


--------------------------------------------------------------------------------------------
Puis lance  ZHPFix depuis le raccourci du bureau. Sous Vista :Clic droit sur l'icône ZHPFix.exe  
 « Exécuter en tant qu'administrateur »
. 

* Une fois l'outil ZHPFix ouvert, clique sur le bouton [ H ] ( "coller les lignes Helper" ) . 

*Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

*Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes  
- Clique sur le bouton « GO » pour lancer le nettoyage, 


-> laisse travailler l'outil et ne touche à rien ... 


-> Si il t'est demandé de redémarrer le PC pour finir le nettoyage, fais le ! 

Une fois terminé, un nouveau rapport s'affiche : poste le contenu de ce dernier dans ta prochaine réponse ... 

( ce rapport est en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag\ ZHPFixReport.txt ) 



@+

Pomme · Answer

Re :) 

Voici le rapport du nettoyage avec ZHPFIX !
Encore merci pour ton aide ! 

http://pjjoint.malekal.com/files.php?id=20120817_q13s5n5w109

Utilisateur anonyme · Answer

Re

On finalise

1)  Télécharge DelFix de Xplode

* Lance le.
* A l'invite,  [Suppression]  
* Un rapport va s'ouvrir à la fin, colle le dans la réponse

Ensuite pour le désinstaller ; tu relances et tu passes à l'option  [Désinstallation] 


2)Tu disposes de Ccleaner ;met le à jour et lance une analyse avec ces réglages.
.double-cliques ou clic droit sous Vista ou Seven  sur l'icône  de Ccleaner pour l'ouvrir 
.une fois ouvert tu cliques sur option  et puis avancé  
.tu décoches  effacer uniquement les fichiers, du dossier temp de windows plus vieux que 24 heures 
.cliques sur nettoyeur  
.cliques sur windows et dans la colonne avancé  
. coches  la première case vieilles données du perfetch  ce qui te donnes la case vielles données du perfetch  
.cliques sur analyse  une fois l'analyse terminé 
.cliques sur lancer le nettoyage  et sur la demande de confirmation OK  il vas falloir que tu le refasses une autre fois une fois fini vérifies en appuyant de nouveau sur analyse pour être sur qu'il n'y est plus rien 
.clique maintenant sur registre  et puis sur rechercher les erreurs 
.laisse tout coché et clique sur réparer les erreurs sélectionnées 
.il te demande de sauvegarder OUI 
.tu lui donnes un nom pour pouvoir la retrouver et enregistre 
.clique sur corriger toutes les erreurs sélectionnées  et sur la demande de confirmation OK   
.il supprime et une fois fermé   tu vérifies en relançant rechercher les erreurs  
.tu retournes dans option  et tu recoches la case effacer uniquement les fichiers, du dossier temp de windows plus vieux que 48 heures et sur nettoyeur, windows sous avancé tu décoches la première case vieilles données du perfetch  
.tu peux fermer Ccleaner.


3)Purge la restauration sur Vista.
Comment faire :

https://www.commentcamarche.net/faq/13214-vista-desactiver-reactiver-la-restauration-systeme-de-vista

Cela supprime toutes traces des diverses infections ;et permettra une éventuelle restauration sans infections


@+

Pomme · Answer

Voici le rapport DelFix, je passe à la suite! 

http://pjjoint.malekal.com/files.php?id=20120817_f15v5x7m15e5

Pomme · Answer

J'ai deux disques le C et le D (factory image), n'ayant que des points de restaurations sur C, je n'ai désactivé et reactivé la restauration uniquement sur celui-ci.
Dois-je créer un nouveau point de restauration ? Est ce que tout est ok pour ça ?

Utilisateur anonyme · Answer

Re

Oui tu peux créer un point de restauration.
Le plus important est bien le lecteur C (disque système Windows)
Je te propose donc de clore ce sujet si tu n'as plus de problèmes 
 

@+

Pomme · Answer

Pour l'instant tout semble correct ...
J'imagine que je suis débarrassé de toutes ces choses néfastes !

Merci pour tes indications et ta prise en charge efficace :))

Virus gendarmerie Ukash

23 réponses

Discussions similaires