System progressive protection Résolu/Fermé

Question

Bonjour, 

J'ai un pc infesté par ce virus. J'ai vu sur différent post qu'il fallait utiliser plusieurs logiciels (RogueKiller)pour en venir à bout, mais je suis incapable d'analyser les rapports...
Quelqu'un pour m'aider dans cette démarche ?
Merci !

Configuration: Windows 7 / Firefox 16.0

g3n-h@ckm@n · Answer

salut

Attention !!! : Seuls ces liens sont officiels ne pas telecharger l'outil sur d'autres liens !!
Attention !!! : cet outil peut etre détecté à tort comme virus
Attention !!! : cet outil est puissant suivre scrupuleusement les instructions ci-dessous

tous les processus "non vitaux de windows" vont être coupés , enregistre ton travail. Il y aura une extinction du bureau pendant le scan --> pas de panique.

Désactive toutes tes protections si possible , antivirus , sandbox , pare-feux , etc....: https://forum.pcastuces.com/default.asp

telecharge et enregistre Pre_Scan sur ton bureau :

https://forums-fec.be/gen-hackman/Pre_Scan.exe

si le lien ne fonctionne pas :

http://www.archive-host.com

si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Scan|Kill"

si l'outil est bloqué par l'infection utilise cette version avec extension .pif :

https://forums-fec.be/gen-hackman/Pre_Scan.pif

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

Il se peut que des fenêtres noires clignotent , laisse-le travailler.

Laisse l'outil redemarrer ton pc.

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra à la racine de ton disque système ( généralement C:\ )

NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

Heberge le rapport sur https://www.cjoint.com/ puis donne le lien obtenu en echange sur le forum où tu te fais aider

afin de faire une étude sur l'amelioration du deuxieme module de l'outil heberge aussi :

C:\Pre_Scan\Process\Close.log

benben34 · Answer

Salut,

Le rapport:
https://www.cjoint.com/?BLdww2LTcT3

Et le close:
https://www.cjoint.com/?BLdwzUOfZQv

Merci

g3n-h@ckm@n · Answer

selectionne ce texte : 

File|Fold:: 
C:\Recycler\S-1-5-18 

 Selectionne tout le texte qui s'y trouve CTRL+A puis CTRL+C ou clic droit/copier 

Relance Pre_scan puis choisis l'option "Script" 

une page va s'ouvrir 

logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler. 

sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge. 

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte 

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille  

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail 
  
¤¤¤¤¤¤¤¤¤¤ Pre_Scan_Concept ¤¤¤¤¤¤¤¤¤¤

benben34 · Answer

Je colle le résultat directement, vu qu'il est pas très long.

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script | 2.1202 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Denis : Microsoft Windows XP (32 bits)

Switchs : https://gen-hackman.kanak.fr/

New restorepoint created

Script : 23:17:10

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤


Impossible to move Folder : |SHD| - C:\Recycler\S-1-5-18 


End : 23:17:10

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

g3n-h@ckm@n · Answer

alors là ca le fait pas...

 Télécharge The Avenger par Swandog46 sur le Bureau

http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/

Clique sur Avenger.zip pour ouvrir le fichier
Extraire avenger.exe sur le bureau

2. Copier tout le texte en gras ci-dessous : mettre en surbrillance et appuyer sur les touches(Ctrl+C):

Folders to delete:
C:\Recycler\S-1-5-18 

IMPORTANT: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur.
si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système.

Ferme toutes les applications et ton navigateur

3. Maintenant, lance The Avenger en cliquant sur son icône du bureau.

Vérifie que la case devant "Automatically disable any rootkits found" n'est pas cochée.


Cclique sur l'icone de droite (en rose et bleu). Le texte va se copier dans la fenêtre.

Clique sur Execute

4. The Avenger va automatiquement faire ce qui suit:


Il va Re-démarrer le système.
Pendant le re-démarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur le bureau, ceci est NORMAL.
Après le re-démarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt
The Avenger aura également sauvegardé tous les fichiers, etc., que tu lui as demandé de supprimer, les aura compactés (zipped) et tranféré l'archive zip ici C:\avenger\backup.zip.

5. Pour finir copier/coller le contenu du ficher c:\avenger.txt dans ta réponse

benben34 · Answer

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform:  Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

Folder "C:\Recycler\S-1-5-18" deleted successfully.

Completed script processing.

*******************

Finished!  Terminate.

g3n-h@ckm@n · Answer

bien !

relance pre_scan , clique sur Diag , puis heberge le rapport Pre_Diag et donne le lien

benben34 · Answer

Voila

https://www.cjoint.com/?BLeupbwY0jg

Et au fait, merci beaucoup pour ton aide ;)

g3n-h@ckm@n · Answer

Télécharge et enregistre ADWCleaner sur ton bureau :

Lance le,(Pour vista et seven => clic droit "executer en tant qu'administrateur")

clique sur suppression et poste C:\Adwcleaner[Sx].txt

benben34 · Answer

# AdwCleaner v2.011 - Rapport créé le 04/12/2012 à 21:14:36
# Mis à jour le 02/12/2012 par Xplode
# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
# Nom d'utilisateur : Denis - EEEBOX-1
# Mode de démarrage : Normal
# Exécuté depuis : C:\Documents and Settings\Denis\Bureau\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Documents and Settings\All Users\Application Data\Babylon
Dossier Supprimé : C:\Documents and Settings\Denis\Application Data\Babylon
Dossier Supprimé : C:\Program Files\BabylonToolbar
Dossier Supprimé : C:\Program Files\DAEMON Tools Toolbar
Fichier Supprimé : C:\Program Files\Mozilla Firefox\searchplugins\babylon.xml

***** [Registre] *****

Clé Supprimée : HKCU\Software\BabylonToolbar
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4D79-A620-CCE0C0A66CC9}
Clé Supprimée : HKLM\Software\Babylon
Clé Supprimée : HKLM\Software\BabylonToolbar
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{BDB69379-802F-4EAF-B541-F8DE92DD98DB}
Clé Supprimée : HKLM\SOFTWARE\Classes\Prod.cap
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{8375D9C8-634F-4ECB-8CF5-C7416BA5D542}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\BabylonToolbar
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\BabylonToolbar

***** [Navigateurs] *****

-\ Internet Explorer v8.0.6001.18702

[OK] Le registre ne contient aucune entrée illégitime.

-\ Mozilla Firefox v16.0.2 (fr)

Nom du profil : default 
Fichier : C:\Documents and Settings\Denis\Application Data\Mozilla\Firefox\Profiles	z2e2ev6.default\prefs.js

C:\Documents and Settings\Denis\Application Data\Mozilla\Firefox\Profiles	z2e2ev6.default\user.js ... Supprimé !

Supprimée : user_pref("browser.search.defaultenginename", "Search the web (Babylon)");
Supprimée : user_pref("browser.search.order.1", "Search the web (Babylon)");
Supprimée : user_pref("browser.startup.homepage", "hxxp://search.babylon.com/?affID=111020&tt=071012_ikanctrl_40[...]
Supprimée : user_pref("extensions.BabylonToolbar.admin", false);
Supprimée : user_pref("extensions.BabylonToolbar.aflt", "babsst");
Supprimée : user_pref("extensions.BabylonToolbar.appId", "{BDB69379-802F-4eaf-B541-F8DE92DD98DB}");
Supprimée : user_pref("extensions.BabylonToolbar.dfltLng", "en");
Supprimée : user_pref("extensions.BabylonToolbar.excTlbr", false);
Supprimée : user_pref("extensions.BabylonToolbar.id", "3c2695240000000000000015afdacae1");
Supprimée : user_pref("extensions.BabylonToolbar.instlDay", "15620");
Supprimée : user_pref("extensions.BabylonToolbar.instlRef", "sst");
Supprimée : user_pref("extensions.BabylonToolbar.prdct", "BabylonToolbar");
Supprimée : user_pref("extensions.BabylonToolbar.prtnrId", "babylon");
Supprimée : user_pref("extensions.BabylonToolbar.tlbrId", "base");
Supprimée : user_pref("extensions.BabylonToolbar.tlbrSrchUrl", "hxxp://search.babylon.com/?babsrc=TB_def&mntrId=[...]
Supprimée : user_pref("extensions.BabylonToolbar.vrsn", "1.8.0.7");
Supprimée : user_pref("extensions.BabylonToolbar.vrsni", "1.8.0.7");
Supprimée : user_pref("extensions.BabylonToolbar_i.newTab", true);
Supprimée : user_pref("extensions.BabylonToolbar_i.newTabUrl", "about:home");
Supprimée : user_pref("extensions.BabylonToolbar_i.smplGrp", "none");
Supprimée : user_pref("extensions.BabylonToolbar_i.vrsnTs", "1.8.0.721:32:23");
Supprimée : user_pref("keyword.URL", "hxxp://search.babylon.com/?affID=111020&tt=071012_ikanctrl_4012_1&babsrc=K[...]

*************************

AdwCleaner[S1].txt - [3710 octets] - [04/12/2012 21:14:36]

########## EOF - C:\AdwCleaner[S1].txt - [3770 octets] ##########

g3n-h@ckm@n · Answer

fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.


&#9654 Télécharge ici :

Malwarebytes  

&#9654 Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

relance malwarebytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

&#9654 Lance Malwarebyte's .

Fais un examen dit "Complet" .

&#9654 Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
&#9654 à la fin tu cliques sur "résultat" .
&#9654 Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

&#9654 Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !


&#9654 Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

benben34 · Answer

Malwarebytes Anti-Malware (Essai) 1.65.1.1000
www.malwarebytes.org

Version de la base de données: v2012.12.04.09

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Denis :: EEEBOX-1 [administrateur]

Protection: Activé

04/12/2012 21:35:04
mbam-log-2012-12-04 (21-35-04).txt

Type d'examen: Examen complet (C:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 246643
Temps écoulé: 39 minute(s), 37 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 2
HKCR\CLSID\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\InProcServer32| (Trojan.0Access) -> Mauvais: (C:\RECYCLER\S-1-5-18\$345ab88d5783afe426b9c2693332f5f5
.) Bon: (fastprox.dll) -> Mis en quarantaine et réparé avec succès
HKCR\CLSID\{FBEB8A05-BEEE-4442-804E-409D6C4515E9}\InProcServer32| (Trojan.0Access) -> Mauvais: (C:\RECYCLER\S-1-5-21-1812347847-1898765379-921095489-1006\$345ab88d5783afe426b9c2693332f5f5
.) Bon: (shell32.dll) -> Mis en quarantaine et réparé avec succès

Dossier(s) détecté(s): 1
C:\Documents and Settings\Denis\Menu Démarrer\Programmes\System Progressive Protection (Rogue.SystemProgressiveProtection) -> Mis en quarantaine et supprimé avec succès.

Fichier(s) détecté(s): 9
C:\Avenger\S-1-5-18\$345ab88d5783afe426b9c2693332f5f5
 (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\Avenger\S-1-5-18\$345ab88d5783afe426b9c2693332f5f5\U\800000cb.@ (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\Pre_Scan\Quarantine\C'_DOCUME~1_Denis_LOCALS~1_Temp_asknpavbb.exe.P_S (Trojan.Agent.GNI) -> Mis en quarantaine et supprimé avec succès.
C:\Pre_Scan\Quarantine\C'_Documents and Settings_All Users_Application Data_3C2B72716AD3952400003C2B364A9989_3C2B72716AD3952400003C2B364A9989.exe.P_S (Trojan.Lameshield) -> Mis en quarantaine et supprimé avec succès.
C:\Pre_Scan\Quarantine\C'_Recycler_S-1-5-21-1812347847-1898765379-921095489-1006_$345ab88d5783afe426b9c2693332f5f5.P_S
 (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\Pre_Scan\Quarantine\C'_Documents and Settings_Denis_Local settings_Application Data_Sun_Java_Deployment_cache_6.0.P_S\57\7bb77af9-11aa6273 (Trojan.Agent.GNI) -> Mis en quarantaine et supprimé avec succès.
C:\Documents and Settings\Denis\Bureau\System Progressive Protection.lnk (Rogue.SystemProgressiveProtection) -> Mis en quarantaine et supprimé avec succès.
C:\Documents and Settings\Denis\Menu Démarrer\Programmes\System Progressive Protection\System Progressive Protection.lnk (Rogue.SystemProgressiveProtection) -> Mis en quarantaine et supprimé avec succès.
C:\Documents and Settings\Denis\Bureau\winlogon.exe (Heuristics.Reserved.Word.Exploit) -> Mis en quarantaine et supprimé avec succès.

(fin)

benben34 · Answer

Et y'en avait un autre...

2012/12/04 21:33:15 +0100	EEEBOX-1	Denis	MESSAGE	Starting protection
2012/12/04 21:33:15 +0100	EEEBOX-1	Denis	MESSAGE	Protection started successfully
2012/12/04 21:33:15 +0100	EEEBOX-1	Denis	MESSAGE	Starting IP protection
2012/12/04 21:33:49 +0100	EEEBOX-1	Denis	MESSAGE	IP Protection started successfully
2012/12/04 21:33:49 +0100	EEEBOX-1	Denis	MESSAGE	Starting database refresh
2012/12/04 21:33:49 +0100	EEEBOX-1	Denis	MESSAGE	Stopping IP protection
2012/12/04 21:33:50 +0100	EEEBOX-1	Denis	MESSAGE	IP Protection stopped successfully
2012/12/04 21:34:05 +0100	EEEBOX-1	Denis	MESSAGE	Database refreshed successfully
2012/12/04 21:34:05 +0100	EEEBOX-1	Denis	MESSAGE	Starting IP protection
2012/12/04 21:34:39 +0100	EEEBOX-1	Denis	MESSAGE	IP Protection started successfully
2012/12/04 21:48:06 +0100	EEEBOX-1	Denis	MESSAGE	Executing scheduled update:  Daily
2012/12/04 21:48:09 +0100	EEEBOX-1	Denis	ERROR	Scheduled update failed:  Host not found failed with error code 0
2012/12/04 22:20:23 +0100	EEEBOX-1	Denis	MESSAGE	Starting protection
2012/12/04 22:20:24 +0100	EEEBOX-1	Denis	MESSAGE	Protection started successfully
2012/12/04 22:20:24 +0100	EEEBOX-1	Denis	MESSAGE	Starting IP protection
2012/12/04 22:20:42 +0100	EEEBOX-1	Denis	MESSAGE	IP Protection started successfully

g3n-h@ckm@n · Answer

ok des soucis persistent ?

benben34 · Answer

Non, tout semble ok (ca semblait ok des le premier scan).
Merci !

g3n-h@ckm@n · Answer

ok ben on fait le menage alors ^^

https://gen-hackman.kanak.fr/

benben34 · Answer

ok. Voila pour delfix

# DelFix v6.2 - Rapport créé le 05/12/2012 à 20:18:55
# Mis à jour le 11/11/2012 par Xplode
# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
# Nom d'utilisateur : Denis - EEEBOX-1
# Exécuté depuis : C:\Documents and Settings\Denis\Bureau\delfix.exe
# Option [Suppression]


~~~~~~ Dossier(s) ~~~~~~

Supprimé : C:\pre_scan

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\AdwCleaner[S1].txt
Supprimé : C:\Pre_Diag_04_12_2012_20_03_07.txt
Supprimé : C:\Pre_Scan_03_12_2012_21_19_24.txt
Supprimé : C:\Documents and Settings\Denis\Bureau\adwcleaner.exe
Supprimé : C:\Documents and Settings\Denis\Bureau\avenger.zip
Supprimé : C:\Documents and Settings\Denis\Bureau\Defogger.exe
Supprimé : C:\Documents and Settings\Denis\Bureau\defogger_disable.log
Supprimé : C:\Documents and Settings\Denis\Bureau\Pre_script.txt

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKCU\Software\g3n-h@ckm@n
Clé Supprimée : HKLM\SOFTWARE\AdwCleaner

~~~~~~ Autres ~~~~~~

-> Prefetch Vidé

*************************

DelFix[S1].txt - [1037 octets] - [05/12/2012 20:18:55]

########## EOF - C:\DelFix[S1].txt - [1161 octets] ##########

benben34 · Answer

Et Slowin Killer 

https://www.cjoint.com/?BLfuBqEnMOc

PureRa:
Total space cleaned: 14.08 MB

g3n-h@ckm@n · Answer

vu :)

benben34 · Answer

Bon bah si l'incident est définitivement résolu, me reste plus qu'à te remercier pour ton aide et ta disponibilité !
Alors merci ;)

g3n-h@ckm@n · Answer

:)

chirraa · Answer

IL Y A UNE AUTRE SOLUTION PLUS SIMPLE : 
1- Cliquez  droite de la souris sur le raccourcis de ce virus qui ce trouve sur le bureau. 
2-  En bas de la fenêtre cliquez sur le button  "Emplacement du fichier". 
3- Supprimez tous les fichiers si possible, sinon supprimez le dossier qui contiens ces fichiers. et redémarrer. 

et c'est fini !!!!! 

Aprés : n'oubliez pas d'utiliser un antivirus et un anti-spyware   

je vous conseille Ad-Aware le dernier.

System progressive protection

22 réponses

Discussions similaires