Virus "votre ordinateur a été bloqué" ukash

Question

Bonjour, 
J'ai eu hier la mauvaise surprise de voir mon ordinateur se faire bloquer par le célèbre virus indiquant "votre ordinateur a été bloqué pour violation de la loi de la France" :/
Je peux me connecter sur une autre session, j'ai essayer d'y utiliser Malwarebytes mais cela n'arrange pas la situation...
Si quelqu'un pourrait m'aider svp, merci beaucoup :)

Pour info, j'ai un Samsung NC10 et mon antivirus est Microsoft Security Essientials

Configuration: Windows XP / Opera 9.80

LucasFren · Accepted Answer

Merci, voici le rapport :

# AdwCleaner v2.005 - Rapport créé le 27/10/2012 à 16:03:28
# Mis à jour le 14/10/2012 par Xplode
# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
# Nom d'utilisateur : Famille - LULU
# Mode de démarrage : Normal
# Exécuté depuis : C:\Documents and Settings\Famille\Bureau\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****


***** [Registre] *****


***** [Navigateurs] *****

-\ Internet Explorer v6.0.2900.5512

[OK] Le registre ne contient aucune entrée illégitime.

-\ Mozilla Firefox v14.0.1 (fr)

Nom du profil : default 
Fichier : C:\Documents and Settings\Famille\Application Data\Mozilla\Firefox\Profiles\kmnpcsyp.default\prefs.js

[OK] Le fichier ne contient aucune entrée illégitime.

-\ Opera v12.2.1578.0

Fichier : C:\Documents and Settings\Famille\Application Data\Opera\Opera\operaprefs.ini

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [8555 octets] - [27/10/2012 15:58:38]
AdwCleaner[S3].txt - [1065 octets] - [27/10/2012 16:03:28]

########## EOF - C:\AdwCleaner[S3].txt - [1125 octets] ##########

g3n-h@ckm@n · Answer

salut le pc demarre-t-il en mode sans echec avec prise en charge reseau sur la session infectée ?

g3n-h@ckm@n · Answer

Comment aller en Mode sans échec :

Attention !!! : NE JAMAIS DEMARRER EN MODE SANS ECHEC AVEC L'UTILITAIRE MSCONFIG !!!!

&#9654 Redémarres ton ordi 
&#9654 Tapote la touche F8 immédiatement, (F5 sur certains PC) juste après le "Bip" 
&#9654 Tu verras un écran avec options de démarrage apparaître 
&#9654 Choisis 2è option : Sans Échec avec prise en chage reseau, et valide avec "Entrée" 
&#9654 Choisis ton compte habituel

g3n-h@ckm@n · Answer

ok

on va voir ce qu on peut faire à partir de la session qui tourne et suivant le cas on fera autrement

Attention !!! : Seuls ces liens sont officiels ne pas telecharger l'outil sur d'autres liens !!
Attention !!! : cet outil peut etre détecté à tort comme virus
Attention !!! : cet outil est puissant suivre scrupuleusement les instructions ci-dessous

tous les processus "non vitaux de windows" vont être coupés , enregistre ton travail.

Désactive toutes tes protections si possible , antivirus , sandbox , pare-feux , etc....

telecharge et enregistre Pre_Scan sur ton bureau :

https://forums-fec.be/gen-hackman/Pre_Scan.exe

si le lien ne fonctionne pas :

http://www.archive-host.com

Avertissement :Il y aura une extinction du bureau pendant le scan --> pas de panique.

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan_la_date_et_l'heure.txt" sur le bureau.

si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Kill"

si l'outil est bloqué par l'infection utilise cette version avec extension .pif :

https://forums-fec.be/gen-hackman/Pre_Scan.pif

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan

Il est possible que l'outil fasse redemarrer ton pc , laisse-le faire

NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

Heberge le rapport sur https://forums-fec.be/upload puis donne le lien obtenu en echange sur le forum où tu te fais aider

LucasFren · Answer

Alors voici un peu tard le lien du rapport du scan que tu m'as demandé : 
https://forums-fec.be/upload/www/?a=d&i=2392261688 
Que dois-je faire ensuite stp ?

g3n-h@ckm@n · Answer

salut 

Télécharge et enregistre ADWcleaner sur ton bureau :

ADWCleaner (Merci à Xplode)

Lance le,

(Pour vista et seven => clic droit "executer en tant qu'administrateur")

clique sur suppression et poste son rapport.

il sera aussi : C:\Adwcleaner[Sx].txt

g3n-h@ckm@n · Answer

relance pre_scan , choisis l option DiaG et heberge le rapport

LucasFren · Answer

Le rapport Winlogon : https://forums-fec.be/upload/www/?a=d&i=6601266736

g3n-h@ckm@n · Answer

fais voir ton dernir rapport de malwarebytes ?

g3n-h@ckm@n · Answer

il est dans l onglet rapport/logs de malwarebytes

g3n-h@ckm@n · Answer

relance winlogon, clique sur Diag et heberge le rapport

g3n-h@ckm@n · Answer

retelecharge-le

LucasFren · Answer

Le lien du rapport : https://forums-fec.be/upload/www/?a=d&i=3456834981

g3n-h@ckm@n · Answer

desinstalle adobe reader 8
desinstalle eojet 2.0
 desinstalle tout java
desinstalle SweetIM Toolbar for Internet Explorer 3.3 
desinstalle SweetIM for Messenger 2.7 

=========================

Attention !!! pense à re-désactiver tes protections

Clique sur ce lien : https://www.cjoint.com/?BJCbDAzvkUs

Selectionne tout le texte qui s'y trouve CTRL+A puis CTRL+C ou clic droit/copier

Relance Pre_scan puis choisis l'option "Script"

une page va s'ouvrir

logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler.

sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge.

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille 

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

LucasFren · Answer

Je tiens à préciser que je n'ai pas réussi à supprimer "SweetIM Toolbar for Internet Explorer 3.3" qui me dit qu'il y a une "erreur irrécupérable lors de l'installation"...
Aussi, tu m'as demandé de supprimer mes protections, et en fait je n'ai rien trouvé à supprimer, je pense donc que mon pc est très peu protégé, pourrais-tu me conseiller quelquechose stp ? merci beaucoup :)

Voici le rapport :

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script | 2.1027 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Famille : Microsoft Windows XP (32 bits)

Switchs : http://gen-hackman.forum-pro.fr/t89-les-switchs

Impossible to create restorepoint !!!


Script : 02:49:23

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤


¤¤¤¤¤¤¤¤¤¤ | File search

¤¤¤¤¤¤¤¤¤¤ | Registry Deletions

Value Deleted : [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:Alcmtr
Value Deleted : [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:
Value Deleted : [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:iTunesHelper
Value Deleted : [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:QuickTime Task
Value Deleted : [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:shellstyle
Key Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\81424eea-6092-4ac5-be58-cdace2afed60
Key Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\b4428fd0-73fb-4e76-84e2-9eaf7738091d
Key Deleted : HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}
Key Deleted : HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0015-0000-0000-ABCDEFFEDCBA}
Key Deleted : HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA}
Key Deleted : HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0026-ABCDEFFEDCBA}
Key Deleted : HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}
Key Deleted : HKU\S-1-5-21-2206497157-1332336362-778467367-1006\Software\SweetIM    
Key Deleted : HKLM\Software\ASKINSTALLER    
Key Deleted : HKLM\Software\SweetIM    
Value Deleted : [HKLM\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]:C:\Documents and Settings\Lucas\Local Settings\Temp\Update_5979.exe
Value Deleted : [HKLM\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]:C:\Documents and Settings\Lucas\Bureau\SweetImSetup.exe

¤

C:\Documents and Settings\Lucas\Local Settings\Application Data\Microsoft\Windows\883 : Not Found !
File Quarantined and Deleted Successfully :  |A| - C:	emp.txt     
File Quarantined and Deleted Successfully :  |A| - C:\Documents and Settings\All Users\Application Data\vptgaemkbglcedj 
Folder Quarantined and Deleted Successfully : |D| - C:\Documents and Settings\LocalService\Local Settings\Application Data\SafeUpdater 

¤¤¤¤¤¤¤¤¤¤ | MBR

Windows Version:		Windows XP Home Edition
Windows Information:		Service Pack 3 (build 2600)
Logical Drives Mask:		0x0000000c

Analysis of file "C:\Pre_Scan\MBR.bin":
Unknown MBR code




¤


¤¤¤¤¤¤¤¤¤¤ | Disk cleaning

Disk cleaned

¤


Fin : 02:51:52

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

g3n-h@ckm@n · Answer

re

je t'ai rien demandé de supprimer mais de desactiver !

g3n-h@ckm@n · Answer

ouais si t'as plus de soucis on peut faire le menage final ....

LucasFren · Answer

Merci beaucoup là je suis sur ma session anciennement infectée !
J'ai aussi récupéré le son de mon ordi qui avait disparu un peu avant la découverte du virus...
Qu'entends-tu par ménage final ?
Si tu pouvais aussi me conseiller des pare-feu, antivirus ou un outil de protection... Merci :)

g3n-h@ckm@n · Answer

tout est là :

https://gen-hackman.kanak.fr/

LucasFren · Answer

Merci,
tu me demandes de poster quelques rapports,
voici celui de Delfix :

# DelFix v9.0 - Rapport créé le 28/10/2012 à 19:33:32
# Mis à jour le 23/09/12 par Xplode
# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
# Nom d'utilisateur : Lucas - LULU (Administrateur)
# Exécuté depuis : C:\Documents and Settings\Lucas\Bureau\delfix.exe
# Option [Suppression]


~~~~~~ Dossiers(s) ~~~~~~


~~~~~~ Fichier(s) ~~~~~~


~~~~~~ Registre ~~~~~~


~~~~~~ Autres ~~~~~~

-> Prefetch Vidé

*************************

DelFix[S1].txt - [479 octets] - [28/10/2012 19:33:32]

########## EOF - C:\DelFix[S1].txt - [602 octets] ##########



Voici aussi la dernière ligne du rapport de PureRa : 
Total space cleaned: 310.18 MB

Merci pour tout ! :)

g3n-h@ckm@n · Answer

t'as utilisé delfix plusieurs fois ? ou tu avais supprimé tout ce qui concernait pre_scan avant ?

Virus "votre ordinateur a été bloqué" ukash

21 réponses

Votre réponse

Discussions similaires

Newsletters