Virus "votre ordinateur a été bloqué" ukash

LucasFren -  
Bonjour,
J'ai eu hier la mauvaise surprise de voir mon ordinateur se faire bloquer par le célèbre virus indiquant "votre ordinateur a été bloqué pour violation de la loi de la France" :/
Je peux me connecter sur une autre session, j'ai essayer d'y utiliser Malwarebytes mais cela n'arrange pas la situation...
Si quelqu'un pourrait m'aider svp, merci beaucoup :)

Pour info, j'ai un Samsung NC10 et mon antivirus est Microsoft Security Essientials

21 réponses

Résumé de la discussion

Le problème concerne un ordinateur sous Windows XP bloqué par un message évoquant une violation de la loi, avec impossibilité d'utiliser normalement le poste et nécessite des outils de décontamination. Des échanges reportent l’utilisation d’AdwCleaner et l’obtention d’un rapport détaillé des traces restantes, tandis que Malwarebytes ne parvient pas à résoudre l’infection à ce stade. Des recommandations avancent d'exécuter Pre_Scan, récupérer un rapport sur le bureau et suivre les étapes, y compris la gestion des éléments de démarrage et des clés de registre, ainsi que le nettoyage de SweetIM. Plusieurs échanges soulignent que l’emploi d’outils externes comme Pre_Scan exige des précautions et peut provoquer des redémarrages, ce qui influence le choix de la procédure à suivre.

Bobot (l’IA à votre service)
  1. LucasFren
    Merci, voici le rapport :

    # AdwCleaner v2.005 - Rapport créé le 27/10/2012 à 16:03:28
    # Mis à jour le 14/10/2012 par Xplode
    # Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
    # Nom d'utilisateur : Famille - LULU
    # Mode de démarrage : Normal
    # Exécuté depuis : C:\Documents and Settings\Famille\Bureau\adwcleaner.exe
    # Option [Suppression]

    ***** [Services] *****

    ***** [Fichiers / Dossiers] *****

    ***** [Registre] *****

    ***** [Navigateurs] *****

    -\\ Internet Explorer v6.0.2900.5512

    [OK] Le registre ne contient aucune entrée illégitime.

    -\\ Mozilla Firefox v14.0.1 (fr)

    Nom du profil : default
    Fichier : C:\Documents and Settings\Famille\Application Data\Mozilla\Firefox\Profiles\kmnpcsyp.default\prefs.js

    [OK] Le fichier ne contient aucune entrée illégitime.

    -\\ Opera v12.2.1578.0

    Fichier : C:\Documents and Settings\Famille\Application Data\Opera\Opera\operaprefs.ini

    [OK] Le fichier ne contient aucune entrée illégitime.

    *************************

    AdwCleaner[S1].txt - [8555 octets] - [27/10/2012 15:58:38]
    AdwCleaner[S3].txt - [1065 octets] - [27/10/2012 16:03:28]

    ########## EOF - C:\AdwCleaner[S3].txt - [1125 octets] ##########
    2
    1. g3n-h@ckm@n
      salut le pc demarre-t-il en mode sans echec avec prise en charge reseau sur la session infectée ?
      0
      1. LucasFren
        Merci de me répondre mais j'aurais dû préciser que je ne suis pas très doué en informatique ;)
        La session infectée démarre environ 30s - 1min avant l'arrivée du message, ca me laisse le temps d'essayer de faire quelques trucs...
        Mais je ne sais pas comment lancer le mode sans échec ?
        0
    2. g3n-h@ckm@n
      Comment aller en Mode sans échec :

      Attention !!! : NE JAMAIS DEMARRER EN MODE SANS ECHEC AVEC L'UTILITAIRE MSCONFIG !!!!

      ▶ Redémarres ton ordi
      ▶ Tapote la touche F8 immédiatement, (F5 sur certains PC) juste après le "Bip"
      ▶ Tu verras un écran avec options de démarrage apparaître
      ▶ Choisis 2è option : Sans Échec avec prise en chage reseau, et valide avec "Entrée"
      ▶ Choisis ton compte habituel
      0
      1. LucasFren
        Alors non le mode sans échec avec prise en charge réseau ne fonctionne pas, que je le sélectionne je retombe à chaque fois sur ce menu...
        0
    3. g3n-h@ckm@n
      ok

      on va voir ce qu on peut faire à partir de la session qui tourne et suivant le cas on fera autrement

      Attention !!! : Seuls ces liens sont officiels ne pas telecharger l'outil sur d'autres liens !!
      Attention !!! : cet outil peut etre détecté à tort comme virus
      Attention !!! : cet outil est puissant suivre scrupuleusement les instructions ci-dessous

      tous les processus "non vitaux de windows" vont être coupés , enregistre ton travail.

      Désactive toutes tes protections si possible , antivirus , sandbox , pare-feux , etc....

      telecharge et enregistre Pre_Scan sur ton bureau :

      https://forums-fec.be/gen-hackman/Pre_Scan.exe

      si le lien ne fonctionne pas :

      http://www.archive-host.com

      Avertissement :Il y aura une extinction du bureau pendant le scan --> pas de panique.

      une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan_la_date_et_l'heure.txt" sur le bureau.

      si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Kill"

      si l'outil est bloqué par l'infection utilise cette version avec extension .pif :

      https://forums-fec.be/gen-hackman/Pre_Scan.pif

      si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

      Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

      Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan

      Il est possible que l'outil fasse redemarrer ton pc , laisse-le faire

      NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

      Heberge le rapport sur https://forums-fec.be/upload puis donne le lien obtenu en echange sur le forum où tu te fais aider

      0
      1. LucasFren
        Alors voici un peu tard le lien du rapport du scan que tu m'as demandé :
        https://forums-fec.be/upload/www/?a=d&i=2392261688
        Que dois-je faire ensuite ?
        0
    5. LucasFren
      Alors voici un peu tard le lien du rapport du scan que tu m'as demandé :
      https://forums-fec.be/upload/www/?a=d&i=2392261688
      Que dois-je faire ensuite stp ?
      0
      1. g3n-h@ckm@n
        salut

        Télécharge et enregistre ADWcleaner sur ton bureau :

        ADWCleaner (Merci à Xplode)

        Lance le,

        (Pour vista et seven => clic droit "executer en tant qu'administrateur")

        clique sur suppression et poste son rapport.

        il sera aussi : C:\Adwcleaner[Sx].txt
        0
        1. g3n-h@ckm@n
          relance pre_scan , choisis l option DiaG et heberge le rapport
          0
          1. LucasFren
            Le rapport Winlogon : https://forums-fec.be/upload/www/?a=d&i=6601266736
            0
            1. g3n-h@ckm@n
              fais voir ton dernir rapport de malwarebytes ?
              0
              1. LucasFren
                Je ne l'ai pas gardé, si j'en refais un maintenant ca marche ?
                0
              2. LucasFren
                En définitive je les ai retrouvés, je peux poster celui que tu veux... Je vais donc en mettre 2
                Voici celui que je viens de faire :

                Malwarebytes Anti-Malware 1.65.1.1000
                www.malwarebytes.org

                Database version: v2012.10.24.05

                Windows XP Service Pack 3 x86 NTFS
                Internet Explorer 6.0.2900.5512
                Famille :: LULU [administrator]

                27/10/2012 19:00:08
                mbam-log-2012-10-27 (19-00-08).txt

                Scan type: Quick scan
                Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM
                Scan options disabled: P2P
                Objects scanned: 213939
                Time elapsed: 9 minute(s), 35 second(s)

                Memory Processes Detected: 0
                (No malicious items detected)

                Memory Modules Detected: 0
                (No malicious items detected)

                Registry Keys Detected: 0
                (No malicious items detected)

                Registry Values Detected: 0
                (No malicious items detected)

                Registry Data Items Detected: 0
                (No malicious items detected)

                Folders Detected: 1
                C:\Documents and Settings\Lucas\Application Data\hellomoto (Trojan.Ransom.FGen) -> Quarantined and deleted successfully.

                Files Detected: 3
                C:\Documents and Settings\Lucas\Application Data\hellomoto\TujP.dat (Trojan.Ransom.FGen) -> Quarantined and deleted successfully.
                C:\Documents and Settings\Lucas\Application Data\hellomoto\BukF.dat (Trojan.Ransom.FGen) -> Quarantined and deleted successfully.
                C:\Documents and Settings\Famille\Bureau\winlogon.exe (Heuristics.Reserved.Word.Exploit) -> Quarantined and deleted successfully.

                (end)

                Et voici celui que j'ai fait le 24 octobre :
                Malwarebytes Anti-Malware 1.65.1.1000
                www.malwarebytes.org

                Database version: v2012.10.24.05

                Windows XP Service Pack 3 x86 NTFS
                Internet Explorer 6.0.2900.5512
                Famille :: LULU [limited]

                24/10/2012 17:43:36
                mbam-log-2012-10-24 (17-43-36).txt

                Scan type: Quick scan
                Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM
                Scan options disabled: P2P
                Objects scanned: 150205
                Time elapsed: 5 minute(s),

                Memory Processes Detected: 0
                (No malicious items detected)

                Memory Modules Detected: 0
                (No malicious items detected)

                Registry Keys Detected: 1
                HKCU\Software\EoRezo (Rogue.Eorezo) -> Quarantined and deleted successfully.

                Registry Values Detected: 0
                (No malicious items detected)

                Registry Data Items Detected: 0
                (No malicious items detected)

                Folders Detected: 0
                (No malicious items detected)

                Files Detected: 0
                (No malicious items detected)

                (end)

                En espérant que tu pourras en faire quelquechose...
                0
            2. g3n-h@ckm@n
              il est dans l onglet rapport/logs de malwarebytes
              0
              1. g3n-h@ckm@n
                relance winlogon, clique sur Diag et heberge le rapport
                0
                1. LucasFren
                  Alors le logiciel ne finit pas sa tâche... Je l'ai relancé 3 fois et il reste toujours bloqué à environ 80% en indiquant realiser les actions "Listing : Software Keys" et "Tapiv"
                  0
              3. LucasFren
                Le lien du rapport : https://forums-fec.be/upload/www/?a=d&i=3456834981
                0
                1. g3n-h@ckm@n
                  desinstalle adobe reader 8
                  desinstalle eojet 2.0
                  desinstalle tout java
                  desinstalle SweetIM Toolbar for Internet Explorer 3.3
                  desinstalle SweetIM for Messenger 2.7

                  =========================

                  Attention !!! pense à re-désactiver tes protections

                  Clique sur ce lien : https://www.cjoint.com/?BJCbDAzvkUs

                  Selectionne tout le texte qui s'y trouve CTRL+A puis CTRL+C ou clic droit/copier

                  Relance Pre_scan puis choisis l'option "Script"

                  une page va s'ouvrir

                  logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler.

                  sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge.

                  puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

                  des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille

                  poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail
                  0
                  1. LucasFren
                    Je tiens à préciser que je n'ai pas réussi à supprimer "SweetIM Toolbar for Internet Explorer 3.3" qui me dit qu'il y a une "erreur irrécupérable lors de l'installation"...
                    Aussi, tu m'as demandé de supprimer mes protections, et en fait je n'ai rien trouvé à supprimer, je pense donc que mon pc est très peu protégé, pourrais-tu me conseiller quelquechose stp ? merci beaucoup :)

                    Voici le rapport :

                    ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script | 2.1027 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

                    Famille : Microsoft Windows XP (32 bits)

                    Switchs : http://gen-hackman.forum-pro.fr/t89-les-switchs

                    Impossible to create restorepoint !!!

                    Script : 02:49:23

                    ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

                    ¤¤¤¤¤¤¤¤¤¤ | File search

                    ¤¤¤¤¤¤¤¤¤¤ | Registry Deletions

                    Value Deleted : [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:Alcmtr
                    Value Deleted : [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:
                    Value Deleted : [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:iTunesHelper
                    Value Deleted : [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:QuickTime Task
                    Value Deleted : [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:shellstyle
                    Key Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\81424eea-6092-4ac5-be58-cdace2afed60
                    Key Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\b4428fd0-73fb-4e76-84e2-9eaf7738091d
                    Key Deleted : HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}
                    Key Deleted : HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0015-0000-0000-ABCDEFFEDCBA}
                    Key Deleted : HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA}
                    Key Deleted : HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0026-ABCDEFFEDCBA}
                    Key Deleted : HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}
                    Key Deleted : HKU\S-1-5-21-2206497157-1332336362-778467367-1006\Software\SweetIM
                    Key Deleted : HKLM\Software\ASKINSTALLER
                    Key Deleted : HKLM\Software\SweetIM
                    Value Deleted : [HKLM\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]:C:\Documents and Settings\Lucas\Local Settings\Temp\Update_5979.exe
                    Value Deleted : [HKLM\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]:C:\Documents and Settings\Lucas\Bureau\SweetImSetup.exe

                    ¤

                    C:\Documents and Settings\Lucas\Local Settings\Application Data\Microsoft\Windows\883 : Not Found !
                    File Quarantined and Deleted Successfully : |A| - C:\temp.txt
                    File Quarantined and Deleted Successfully : |A| - C:\Documents and Settings\All Users\Application Data\vptgaemkbglcedj
                    Folder Quarantined and Deleted Successfully : |D| - C:\Documents and Settings\LocalService\Local Settings\Application Data\SafeUpdater

                    ¤¤¤¤¤¤¤¤¤¤ | MBR

                    Windows Version: Windows XP Home Edition
                    Windows Information: Service Pack 3 (build 2600)
                    Logical Drives Mask: 0x0000000c

                    Analysis of file "C:\Pre_Scan\MBR.bin":
                    Unknown MBR code

                    ¤

                    ¤¤¤¤¤¤¤¤¤¤ | Disk cleaning

                    Disk cleaned

                    ¤

                    Fin : 02:51:52

                    ¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤
                    0
                    1. g3n-h@ckm@n
                      re

                      je t'ai rien demandé de supprimer mais de desactiver !
                      0
                      1. LucasFren
                        Oui je voulais dire désactiver désolé, je n'ai rien supprimé tkt pas :)
                        Que dois-je faire ensuite ? J'aurai besoin de mon pc lundi, tu penses qu'il sera opérationel à nouveau ? Merci
                        0
                    2. g3n-h@ckm@n
                      ouais si t'as plus de soucis on peut faire le menage final ....
                      0
                      1. LucasFren
                        Merci beaucoup là je suis sur ma session anciennement infectée !
                        J'ai aussi récupéré le son de mon ordi qui avait disparu un peu avant la découverte du virus...
                        Qu'entends-tu par ménage final ?
                        Si tu pouvais aussi me conseiller des pare-feu, antivirus ou un outil de protection... Merci :)
                        0
                        2. LucasFren
                          Merci,
                          tu me demandes de poster quelques rapports,
                          voici celui de Delfix :

                          # DelFix v9.0 - Rapport créé le 28/10/2012 à 19:33:32
                          # Mis à jour le 23/09/12 par Xplode
                          # Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
                          # Nom d'utilisateur : Lucas - LULU (Administrateur)
                          # Exécuté depuis : C:\Documents and Settings\Lucas\Bureau\delfix.exe
                          # Option [Suppression]

                          ~~~~~~ Dossiers(s) ~~~~~~

                          ~~~~~~ Fichier(s) ~~~~~~

                          ~~~~~~ Registre ~~~~~~

                          ~~~~~~ Autres ~~~~~~

                          -> Prefetch Vidé

                          *************************

                          DelFix[S1].txt - [479 octets] - [28/10/2012 19:33:32]

                          ########## EOF - C:\DelFix[S1].txt - [602 octets] ##########

                          Voici aussi la dernière ligne du rapport de PureRa :
                          Total space cleaned: 310.18 MB

                          Merci pour tout ! :)
                          0
                          • 1
                          • 2

                          Discussions similaires

                          Clavier bloqué qui n'écrit plus : comment le débloquer
                          pomad

                          5 réponses
                          J'aimerais verrouiller mon clavier. Comment faire ?
                          marc

                          20 réponses