Virus Gendarmerie

Question

Bonjour, 

Sur mon second ordinateur j'ai eu la surprise de découvrir ce virus qui me bloque mon PC sauf en mode sans échec. J'ai fais comme dis sur cette page, gravé sur un CD Kapersky, mais le soucis, c'est que je ne sais pas comment le lancer, j'ai mis le lancement du CD-ROM en premier dans le BIOS, mais rien ne se passe quand je lance l'ordinateur, il se retrouve juste bloqué après quelques secondes par le virus. 

J'aimerai donc savoir comment lancer le CD pour pouvoir débloquer mon ordinateur, je suis sur Vista, et mon ordinateur est complètement bloqué sauf quand je le passe en mode sans échec, dans le CD, il n'y a que des dossiers et des fichiers où je dois définir un programme pour les ouvrir.

Merci d'avance pour votre aide !

Ellis · Answer

La page donc je parle est celle-ci : http://www.commentcamarche.net/faq/33857-ransomware-virus-gendarmerie-votre-ordinateur-est-bloque

billmaxime · Answer

salut

regarde ceci

https://toolslib.net

le lien pour le télécharger

https://toolslib.net

@+

Ellis · Answer

# RansomFix v1.0 - Xplode
# OS : Windows Vista (TM) Home Premium Service Pack 2 (32 bits)
# Username : Alan - PC-DE-KARINE (Administrateur)

_____| Winlogon - Shell |_____

Value : explorer.exe [OK]

_____| HKCU\..\Run |_____

No bad key found

_____| Explorer.exe |_____

Checking explorer.exe...
Found : C:\Windows\explorer.exe  [0xD07D4C3038F3578FFCE1C0237F2A1253]
[OK]

_____| EOF |_____

billmaxime · Answer

re

et ça donne quoi avec le pc?

la page n'est plus là?

@+

Ellis · Answer

Elle y est toujours quand je relance le PC malheureusement.
Mais je peux être en mode sans échec et avec prise en charge réseau.

billmaxime · Answer

ok

télécharge roguekiller (de tigzy) sur ton bureau et lance le en tant qu'administrateur

le lien https://www.luanagames.com/index.fr.html

le tuto https://www.luanagames.com/index.fr.html

le rapport s'affichera sur ton bureau et aussi dans C:\roguekiller_date_heure

tu peux envoyer le rapport via ce lien https://www.cjoint.com/

@+

Ellis · Answer

J'ai beau cliquer sur "Parcourir" ça ne fonctionne pas, même sur d'autres hébergeur, donc je le colle directement ici ..

RogueKiller V8.0.2 [31/08/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode sans echec avec prise en charge reseau
Utilisateur : Alan [Droits d'admin]
Mode : Recherche -- Date : 05/09/2012 15:35:03

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 4 ¤¤¤
[RUN][SUSP PATH] HKCU\[...]\Run : gtqsqkidudlbskh (C:\ProgramData\gtqsqkid.exe) -> TROUVÉ
[RUN][SUSP PATH] HKUS\S-1-5-21-3830614223-3139102944-1032725315-1003[...]\Run : gtqsqkidudlbskh (C:\ProgramData\gtqsqkid.exe) -> TROUVÉ
[HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> TROUVÉ
[HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [NON CHARGE] ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: +++++
--- User ---
[MBR] 19f996acde664f4b57f16f6fc4e46726
[BSP] 3d6edbff72f7436633ece5e3dfa728e8 : Acer tatooed MBR Code
Partition table:
0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 10240 Mo
1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 20973568 | Size: 71192 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 166774784 | Size: 67584 Mo
3 - [XXXXXX] COMPAQ (0x12) [VISIBLE] Offset (sectors): 305186816 | Size: 3609 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[1].txt >>
RKreport[1].txt

billmaxime · Answer

ok

va dans "registre" et supprime les 4 éléments trouvés

tu peux poster ici comme le rapport précédent

@+

Ellis · Answer

RogueKiller V8.0.2 [31/08/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode sans echec avec prise en charge reseau
Utilisateur : Alan [Droits d'admin]
Mode : Suppression -- Date : 05/09/2012 15:35:51

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 3 ¤¤¤
[RUN][SUSP PATH] HKCU\[...]\Run : gtqsqkidudlbskh (C:\ProgramData\gtqsqkid.exe) -> SUPPRIMÉ
[HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REMPLACÉ (0)
[HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [NON CHARGE] ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: +++++
--- User ---
[MBR] 19f996acde664f4b57f16f6fc4e46726
[BSP] 3d6edbff72f7436633ece5e3dfa728e8 : Acer tatooed MBR Code
Partition table:
0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 10240 Mo
1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 20973568 | Size: 71192 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 166774784 | Size: 67584 Mo
3 - [XXXXXX] COMPAQ (0x12) [VISIBLE] Offset (sectors): 305186816 | Size: 3609 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt

billmaxime · Answer

télécharge et exécute MBAM sur ton bureau et exécute le en tant qu'administrateur

le lien https://www.malwarebytes.com/ (prend le free)

ferme tous tes programmes en cours 

met le a jour si besoin (3ème bouton)

fais 1 scan complet (tous les disques)

le scan peut durer longtemps (laisse le bosser jusqu'à la fin)

le rapport s'affichera sur ton bureau et aussi dans C:\MBAM.txt

tu peux envoyer le rapport via ce lien https://www.cjoint.com/

@+

Ellis · Answer

Malwarebytes Anti-Malware 1.62.0.1300
www.malwarebytes.org

Version de la base de données: v2012.09.05.07

Windows Vista Service Pack 2 x86 NTFS (Mode sans échec/Réseau)
Internet Explorer 9.0.8112.16421
Alan :: PC-DE-KARINE [administrateur]

05/09/2012 16:15:23
mbam-log-2012-09-05 (16-15-23).txt

Type d'examen: Examen complet (C:\|D:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 473450
Temps écoulé: 1 heure(s), 21 minute(s), 34 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 7
C:\Program Files\CPUCooL\instser.exe (Adware.Agent) -> Mis en quarantaine et supprimé avec succès.
C:\ProgramData\gtqsqkid.exe (Trojan.Ransom) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Alan\AppData\Local\Temp\fest0r_ot.exe (Trojan.Dropper) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Alan\AppData\Local\Temp\guy12.exe (Trojan.Ransom) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Alan\Desktop\RK_Quarantine\gtqsqkid.exe.vir (Trojan.Ransom) -> Mis en quarantaine et supprimé avec succès.
C:\Users\karine\Downloads\SoftonicDownloader_pour_windows-live-messenger-msn-messenger (1).exe (PUP.OfferBundler.ST) -> Mis en quarantaine et supprimé avec succès.
C:\Users\karine\Downloads\SoftonicDownloader_pour_windows-live-messenger-msn-messenger.exe (PUP.OfferBundler.ST) -> Mis en quarantaine et supprimé avec succès.

(fin)

Ellis · Answer

Il n'y a plus de blocage merci, mais le PC est un peu plus lent, c'est normal ?

billmaxime · Answer

re

tu as redémarrer le pc?

@+

Ellis · Answer

Oui.

billmaxime · Answer

ok 

il faut encore supprimer les points de restaurations 

https://www.commentcamarche.net/faq/13214-vista-desactiver-reactiver-la-restauration-systeme-de-vista 

tu as cleaner?si oui dans le bouton "outil" tu cliques sur restauration système>>> 

supprimer 

si non le lien pour le télécharger https://filehippo.com/fr/search/?q=ccleaner 

ps:récrée 1 point de restauration après avoir supprimé les anciens 

https://www.thesiteoueb.net/faq-astuces/fiche-pratique-513-comment-creer-un-point-de-restauration-sous-vista.html 

après tu pourras faire 1 zhpdiag 

le lien https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 

le tuto https://www.malekal.com/tutoriels-logiciels/ 

lance le en tant qu'administrateur  

clic sur l'icône uac (1er bouton a droite)

puis lance le scan en cliquant sur la loupe (1er bouton a gauche)

le rapport s'affichera sur ton bureau et dans C:\zhp.txt 

envoie le rapport via ce lien https://www.cjoint.com/ 

le pc est beaucoup plus lent? 

@+

Ellis · Answer

Alors, je n'arrive vraiment pas à faire le rapport avec ZHPDiag ce n'est pas la même version que sur ton tuto.
Et le PC est plus lent un peu, mais juste au démarrage.

billmaxime · Answer

tu veux dire que si tu le télécharges tu n'arrives pas a faire l'analyse?

tu le télécharges sur ton bureau et tu l'exécutes en tant qu'administrateur(zhpdiag2)

tu auras 3 icônes zhpdiag/zhpfix/mbrcheck

tu lances zhpdiag en tant qu'administrateur et tu clic sur le bouton UAC (1er a droite)

puis tu lance le scan en cliquant sur la loupe (1er a gauche)

le rapport s'affichera sur ton bureau et dans C:\zhp.txt 

envoie le rapport via ce lien https://www.cjoint.com/ 

@+

Ellis · Answer

Voilà : http://cjoint.com/?BIgqJAJiIe7

billmaxime · Answer

re

ce n'est pas le rapport zhpdiag que tu as envoyé

mais le rapport zhpfix

pour désinstaller les outils de désinfections télécharge delfix

le lien http://general-changelog-team.fr/fr/downloads/viewdownload/20-outils-de-xplode/9-delfix

tu peux envoyer le rapport qui s'affichera sur ton bureau (delfix)

après tu relances delfix et tu cliques sur désinstaller

@+

Virus Gendarmerie

19 réponses

Discussions similaires

Newsletters