Trojan peacomm j'arrive pas à telecharge AVG

Résolu
shleeha Messages postés 124 Statut Membre -  
 rudyrital -
Bonsoir,
j'ai eu un message d'alerte de propagation de norton m'informant de la presence de trojan.peacomm.
Je n'arrive pas à telecharger AVG spyware car mon ordinateur REDEMARRE AUSSITOT après toute tentative de téléchargement.
Que faire ???
Merci d'avance, je suis perdue
A voir également:
  • Trojan peacomm j'arrive pas à telecharge AVG
  • Avg free - Télécharger - Antivirus & Antimalwares
  • Telecharge - Télécharger - Traitement de texte
  • WinRAR - Télécharger - Compression & Décompression
  • Adobe Reader - Télécharger - PDF
  • WhatsApp - Télécharger - Messagerie

200 réponses

shleeha Messages postés 124 Statut Membre
 
Très bien, je m'en occupe demain.

J'ignore comment j'ai pu survivre sans ce forum avant. C'est tout simplement genial.
Bonne nuit.

;-)
0
afideg Messages postés 10970 Statut Contributeur sécurité 602
 
Re,

Merci salwa de confirmer l'authenticité du message de "l'inconnu"
0
shleeha Messages postés 124 Statut Membre
 
Re,

je le fais demain, mais déjà, je n'ai pas reussi à retrouver les fichiers en question

C:\Documents and Settings\HP_Propriétaire\Local settings\Application Data\winlogon.exe
C:\Documents and Settings\HP_Propriétaire\Local Settings\Application Data\services.exe
C:\Documents and Settings\HP_Propriétaire\Local Settings\Application Data\lsass.exe
C:\Documents and Settings\Zeeco\Local Settings\Application Data\lsass.exe
C:\Documents and Settings\Zeeco\Local Settings\Application Data\services.exe
C:\Documents and Settings\Zeeco\Local Settings\Application Data\winlogon.ex

en suivant le chemin indiqué. je ne trouve pas local settings..
tant pis on voit ça demain
0
Séb08 Messages postés 18169 Statut Contributeur 1 430
 
re,

Pour les voir et les virer :

Affiches tous les fichiers et dossiers…

Clique sur démarrer -> panneau de configuration (en affichage classique) ->option des dossiers -> onglet « affichage »

* [Coche] « afficher les dossiers et fichiers cachés »

* [Décoche] « Masquer les fichiers protégés du système d'exploitation (recommandé) »

* [Décoche] « masquer les extensions dont le type est connu »

Puis [valider] pour valider les changements.

Et [Ok]

Bon courage

Si tu peux refaire un scan avec Bitdefender ensuite ça serait bien . :)

a+
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
shleeha Messages postés 124 Statut Membre
 
Bonjour tout le monde.

J'ai sauté l'etape 109 sur laquelle je reviendrai plus tard.
( Isass.exe)

J'en suis pour l'instant au 110 pour lequel j'essaie de suivre la procedure indiquée par Seb au 114.

Le probléme:
une fois dans le panneau de configuration en affchage classique, je ne trouve pas option des dossiers".
0
afideg Messages postés 10970 Statut Contributeur sécurité 602
 
Re,

Télécharge ce script ici:
https://www.cjoint.com/?bzbmDDEL7Y (clic droit sur le lien et "enregistrer la cible sous")
Puis sauvegarde le sur ton bureau.
Ensuite redemarre en mode sans échec et fait un clic droit sur le fichier que tu viens de télécharger et clic sur "installer"
Normalement tu devrais de nouveau avoir accès au registre, et aux options des dossiers et si tout marche bien la plupart des fichiers infectés se lancant au démarrage seront supprimés.

à+...
0
shleeha Messages postés 124 Statut Membre
 
Re,

très bien.
1. je vais suivre ces indications comme étape préliminaire.
2. puis je passerai à la suppression manuelle de

C:\Documents and Settings\HP_Propriétaire\Local Settings\Application Data\winlogon.exe
C:\Documents and Settings\HP_Propriétaire\Local Settings\Application Data\services.exe
C:\Documents and Settings\HP_Propriétaire\Local Settings\Application Data\lsass.exe
C:\Documents and Settings\Zeeco\Local Settings\Application Data\lsass.exe
C:\Documents and Settings\Zeeco\Local Settings\Application Data\services.exe
C:\Documents and Settings\Zeeco\Local Settings\Application Data\winlogon.exe


en mode sans echec c'est bien ça
0
salwa5 Messages postés 7552 Statut Contributeur 1 670
 
bonjour sheelha , pas besoin de passer en mode sans echec :p normalement le script de "drUp" va les supprimé ( suis les instruction d'afideg sur le message numero 116)

a+++
0
Séb08 Messages postés 18169 Statut Contributeur 1 430
 
en mode sans echec c'est bien ça

Oui si tu n'arrives pas à les virer en mode normal. :)

Bon courage.

a+

0
salwa5 Messages postés 7552 Statut Contributeur 1 670
 
ree :) concernant le menu " option des dossiers" , je pense que le virus l'a desactivé :p je vais essayé de voir si il existe un script pour reparer ca

a+++
0
afideg Messages postés 10970 Statut Contributeur sécurité 602
 
Salwa,
il est là le script
relis le # 116
0
shleeha Messages postés 124 Statut Membre
 
RE,

1.j'ai donc franchi l'étape 116 :
ca ma redonné accès à option des dossiers
de même qu'au regedit

2. je suis à présent à l'étape 117, pour laquelle je dois supprimer manuellement

C:\Documents and Settings\HP_Propriétaire\Local Settings\Application Data\winlogon.exe
C:\Documents and Settings\HP_Propriétaire\Local Settings\Application Data\services.exe
C:\Documents and Settings\HP_Propriétaire\Local Settings\Application Data\lsass.exe
C:\Documents and Settings\Zeeco\Local Settings\Application Data\lsass.exe
C:\Documents and Settings\Zeeco\Local Settings\Application Data\services.exe
C:\Documents and Settings\Zeeco\Local Settings\Application Data\winlogon.exe


3. OR: dans le chemin
C:\Documents and Settings\Zeeco\Local Settings\Application Data

je n'ai ni winlogon.exe ni services.exe ni Isass.exe
j'ai par ailleurs plein de trucs dont*
une liste de Bron.tok 15-6 à Bron.tok15-24

4. Qu'est ce? à supprimer????
0
afideg Messages postés 10970 Statut Contributeur sécurité 602
 
Méthode symantec dans le registre .... dont le § 6 .
0
salwa5 Messages postés 7552 Statut Contributeur 1 670
 
bonjour normalement le script les a supprimer , refait un nouveau scan bitedefender pour voir si tout est ok

j'ai par ailleurs plein de trucs dont* 
une liste de Bron.tok 15-6 à Bron.tok15-24 


ils ont l'air suspect , tu peu les supprimer
a+++
0
shleeha Messages postés 124 Statut Membre
 
* Salwa : si j'ai bien compris, Bron.tok serait un ver?
Car j'ai aussi un Loc.Mail.Bron.Tok et Ok.sendmail.Bron.Tok
J'ai refait un scan rapide hier soir avec Bitdefender ( après nettoyage d'AVG) il n'a rien signalé

* Afideg : methode symantec dans le registre, tu veux dire :

5. To delete the value from the registry
Important: Symantec strongly recommends that you back up the registry before making any changes to it. Incorrect changes to the registry can result in permanent data loss or corrupted files. Modify the specified subkeys only. For instructions refer to the document: How to make a backup of the Windows registry.

1. Click Start > Run.
2. Type regedit
3. Click OK.

Note: If the registry editor fails to open the threat may have modified the registry to prevent access to the registry editor. Security Response has developed a tool to resolve this problem. Download and run this tool, and then continue with the removal.

4. Navigate to the subkey:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

5. In the right pane, delete the value:

"Bron-Spizaetus" = ""%Windir%\ShellNew\sempalong.exe""

6. Navigate to the subkey:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

7. In the right pane, delete the value:

"Tok-Cirrhatus" = "%UserProfile%\Local Settings\Application Data\smss.exe""

8. Navigate to the subkey:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

9. In the right pane, reset the value to its default value:

"Shell" = "Explorer.exe"

10. Navigate to the subkey:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

11. In the right pane, reset the following value to its default value if required:

"NoFolderOptions" = "0" or "NoFolderOptions" = "1"

12. Navigate to the subkey:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\explorer\advanced

13. In the right pane, reset the following values to their default value if required:

"Hidden" = "0" or "Hidden" = "1"
"ShowSuperHidden" = "0" or "ShowSuperHidden" = "1"
"HideFileExt" = "0" or "HideFileExt" = "1"

14. Exit the Registry Editor.



6. To delete the scheduled tasks added by the worm
a. Click Start, and then click Control Panel. (In Windows XP, switch to Classic View.)
b. In the Control Panel window, double click Scheduled Tasks.
c. Right click the task icon and select Properties from pop-up menu.

The properties of the task is displayed.

d. Delete the task if the contents of the Run text box in the task pane, matches the following:

%UserProfile%\Templates\Brengkolang.com


c'est tout ça?
0
afideg Messages postés 10970 Statut Contributeur sécurité 602
 
Oui

OUI

1)- Click Start > Run. Type regedit Click OK.

2)- Navigate to the subkey: ( naviguer dans les clés sous HKLM ) jusqu'à:
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
In the right pane, delete the value: ( dans le panneau de droite, supprimer la valeur : )
"Bron-Spizaetus" = ""%Windir%\ShellNew\sempalong.exe""
Navigate to the subkey: ( naviguer dans les clés sous HKCU ) jusqu'à:
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
In the right pane, delete the value: ( dans le panneau de droite, supprimer la valeur : )
"Tok-Cirrhatus" = "%UserProfile%\Local Settings\Application Data\smss.exe""

3)- Faire idem pour, mais:

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
In the right pane, reset the value to its default value: ( restaurer les valeurs suivantes: )
"Shell" = "Explorer.exe"

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
In the right pane, reset the following value to its default value if required: ( restaurer la valeur suivante si nécessaire ):
"NoFolderOptions" = "0" or ( ou ) "NoFolderOptions" = "1"
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\explorer\advanced
In the right pane, reset the following values to their default value if required: ( ( restaurer les valeurs suivantes si nécessaire ):
"Hidden" = "0" or "Hidden" = "1"
"ShowSuperHidden" = "0" or "ShowSuperHidden" = "1"
"HideFileExt" = "0" or "HideFileExt" = "1"

4)- Exit the Registry Editor.

5)- À la dernière étape §6 de Symantec ( 6. To delete the scheduled tasks added by the worm ), cela correspond bien à ce que DrUp écrivait :
[ Ouvre le "panneau de configuration" et clic sur "tâches planifiés", dans le menu du haut, clic sur "avancé" puis sur "afficher les tâches masquées"
Fais un clic droit sur chaque tâche planifiée (s'il y en a) et clic sur "propriétés".
Recherche et supprime celles qui contiennent dans le champ "exécuter" ce nom de fichier: Brengkolang.com ]

6)- Redémarre le PC et réactive la restauration système.
0
shleeha Messages postés 124 Statut Membre
 
J'ai commencé à suivre tout ce procédé, mais

au 3)-
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
In the right pane, reset the value to its default value: ( restaurer les valeurs suivantes: )
"Shell" = "Explorer.exe"


je n'ai pas de "Shell" = "Explorer.exe"
ce que j'ai c'est:

- ab ( par défaut)
- HTPP11SAVED.................(0)
- HTPP11SAVED_VAL..........(0)



PUIS •HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
In the right pane, reset the following value to its default value if required: ( restaurer la valeur suivante si nécessaire ):
"NoFolderOptions" = "0" or ( ou ) "NoFolderOptions" = "1"



=> moi j'ai

- ab par defaut
- No close.........(0)>
- Nodrive Type Autorun................(145)

et "nofolderoptions" n'apparait pas


ENFIN

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\explorer\advanced
In the right pane, reset the following values to their default value if required: ( ( restaurer les valeurs suivantes si nécessaire ):
"Hidden" = "0" or "Hidden" = "1"
"ShowSuperHidden" = "0" or "ShowSuperHidden" = "1"
"HideFileExt" = "0" or "HideFileExt" = "1"


MOI J'ai :

- Hidden.....(1)
- Hide File Ext.........(0)
- ShowSuper Hidden.........(1)

que veut dire" restaurer" par 1 ou 0 dans ce cas precis? est-ce que laisse tel quel?

merci...
0
salwa5 Messages postés 7552 Statut Contributeur 1 670
 
* Salwa : si j'ai bien compris, Bron.tok serait un ver? 
Car j'ai aussi un Loc.Mail.Bron.Tok et Ok.sendmail.Bron.Tok 
J'ai refait un scan rapide hier soir avec Bitdefender ( après nettoyage d'AVG) il n'a rien signalé 


ree :) oui je pense que ces fichiers sont verolé d'ailleur le noms des fichier ressemble bcp au nom du virus qui t'as infecté (Win32.Brontok)

donc tu peu les supprimer :)

c'est bizzare que ton antivirus ne les detectent pas :p

a+++
0
salwa5 Messages postés 7552 Statut Contributeur 1 670
 
bonjour afideg , si je ne dit pas de betise ces manips sont deja inclus dans le script de drup :p

a+++
0
afideg Messages postés 10970 Statut Contributeur sécurité 602
 
Salwa

Je le pensais également
Mais l'internaute ajoute un # 122 qui me fout la trouille.
Je ne sais plus quoi
D'autant plus qu'elle ne confirme pas avoir refait le §6 de la notice ( = celle de l'inconnu )

Elle ne dit mot de la restauration système, non plus.
Je crois que c'est trop rapide pour elle.

Si j'accepte la manip dans la BdR c'est pour avoir l'occasion de vérification
Je suppose et j'espère que si elle ne trouve pas les éléments recherchés, elle le dira . Et c'est que la manip avec le module de l'inconnu aura réussi. Mais il faut qu'elle fasse la manip ENTIEREMENT.

;)

EDIT #103 je disais ceci :« Si je comprends bien, ton lien ne concerne que les accès interrompus par l'infection ? »
Pas reçu réponse de DrUp !!
0
shleeha Messages postés 124 Statut Membre
 
hello,

que se passe-t-il?
0