Virus Ukash

bonjour,

Grave le CD OTLPE :

https://forum.malekal.com/viewtopic.php?t=23453&start=#p195540

Ensuite tu démarres sur OTLPE.
Le but étant d'arriver sur un système d'exploitation tiers qui permet l'accès à tes fichiers Windows en autre.

La procédure est la suivante :

- Télécharger le CD OTLPE (fichier image ISO)
- Graver le CD OTLPE ou le mettre sur clef USB (les liens explicatifs sont donnés dans le lien plus haut) - on peux graver depuis un PC sain.
- Mettre le CD / Clef USB sur le PC infecté
- Redémarre l'ordinateur et changer la séquence de démarrage https://forum.malekal.com/viewtopic.php?t=9447&start=
pour faire démarrer sur le CD ou clef USB (Démarrage sur la clé Usb n'est pas supporté par tous les pc, à voir Dans les options de démarrage).

- OTLPE se charge

une fois sur l'interface d'OTLPE,

avec un autre pc, télécharge ceci et transfère le via une clé usb sur le pc infecté :

* [*] Télécharger et enregistre RogueKiller sur le bureau
https://www.luanagames.com/index.fr.html (by tigzy)
[*] Quitter tous les programmes
[*] Lancer RogueKiller.exe.
[*] Attendre que le Prescan ait fini ...
[*] Cliquer sur Supprimer Cliquer sur Rapport et copier coller le contenu du notepad

Note : Si Roguekiller ne se lance pas, change son nom en Winlogon.

Tuto :
http://tigzyrk.blogspot.fr/2012/10/fr-roguekiller-tutoriel-officiel.html

après cette opération, tu peux redémarre ton pc en mode normal, connecte toi à internet et reviens ici pour qu'on le nettoie :D

Bonjour.

Après de multiples installations de OLTPE sur diverses clés, toutes testées sur le pc malade, un message revient.
Il boote bien sur la clé mais il note :
BOOTMGR is missing
Press any key to restart.

Une idée ?

Merci.

essaie de trouver un lecteur externe pour mettre le cd !

depuis l'interface d'OTLPE,

clique sur l'icone d'OTL

* Sous Peronnalisation, copie-colle ce qu'il y a dans le cadre ci-dessous :

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%temp%\*.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
CREATERESTOREPOINT
nslookup www.google.fr /c
SAVEMBR:0
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs

* Clique sur le bouton Analyse.
* Quand le scan est fini, 2 rapports vont apparaitre

enregistre les sur ton bureau,

transsfère les via une clé usb sur un pc ayant une conenxion à internet

héberge les sur le site cjoint, Copie et colle les liens fournis par le site Cijoint sur ton prochain message :

https://www.cjoint.com/ => https://www.commentcamarche.net/faq/29493-utiliser-cjoint-pour-heberger-des-fichiers

J'ai essayé Dr Web et cela a fonctionné.

Il a trouvé 12 Threads :
- 7 infected
- 5 malicious

Les trojans sont :
- Siggen2.24588
- PNS Stealer 612
- Muldrop 3.22.75 (3 fois)
- downloader7 18897
- tool.douwnloader 5.2 (intrusion).

J'utilise le bouton "Cure" et je laisse travailler.

Je redémarre le bureau s'affiche, l'onglet internet aussi puis un message de KIES AIR (Samsung GSM) puis UKASH revient ....

Je laisse tomber, je vais opter pour le formatage.

Je te remercies surtout en ces temps de fêtes.

Bonne continuation.

Je tente de formater via le lecteur externe mais tu te doutes cela a échoué et mon bureau apparaît.
Un peu par dépit, je coupe la connexion wifi et miracle pas de UKASH...
Je mets vite ma clé USB avec Roquekiller et je lance un scan.
Il établit deux rapports :

RogueKiller V8.4.2 [Dec 31 2012] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : http://www.sur-la-toile.com/discussion-193725-1--RogueKiller-Remontees.html
Site Web : http://www.sur-la-toile.com/RogueKiller/
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows 7 (6.1.7600 ) 32 bits version
Demarrage : Mode normal
Utilisateur : PC [Droits d'admin]
Mode : Recherche -- Date : 01/01/2013 17:48:12

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 6 ¤¤¤
[STARTUP][Rans.Gendarm] runctf.lnk @PC : C:\Windows\System32\rundll32.exe|c:\users\pc\wgsdgsdgdsgsd.dll,H1N1 -> TROUVÉ
[PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (hxxp=127.0.0.1:8877;hxxps=127.0.0.1:8877) -> TROUVÉ
[PROXY IE] HKCU\[...]\Internet Settings : ProxyEnable (1) -> TROUVÉ
[PROXY FF] s2kb366b.default\ 127.0.0.1:8877 -> TROUVÉ
[HJ DLL][Rans.Gendarm] HKLM\[...]\ControlSet001\Services\winmgmt\Parameters : ServiceDll (C:\Users\PC\wgsdgsdgdsgsd.dll) -> TROUVÉ
[HJ DLL][Rans.Gendarm] HKLM\[...]\ControlSet002\Services\winmgmt\Parameters : ServiceDll (C:\Users\PC\wgsdgsdgdsgsd.dll) -> TROUVÉ

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤

¤¤¤ Infection : Rans.Gendarm ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts

127.0.0.1 validation.sls.microsoft.com

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: +++++
--- User ---
[MBR] 8a7b298d1b14bfdf0490f5834bbb4043
[BSP] 95292ec84e2aa423cd2f44ad0b4cc31d : Windows 7/8 MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 100 Mo
1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 206848 | Size: 102900 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 210946048 | Size: 202242 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: +++++
--- User ---
[MBR] 67f04ec4840c7d6ed526906650e88149
[BSP] 975b953c1cba4097d86317d9018ec6c0 : Standard MBR Code
Partition table:
0 - [ACTIVE] FAT32 (0x0b) [VISIBLE] Offset (sectors): 63 | Size: 3882 Mo
1 - [XXXXXX] UNKNOWN (0x21) [VISIBLE] Offset (sectors): 7952175 | Size: 0 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Termine : << RKreport[1]_S_01012013_174812.txt >>
RKreport[1]_S_01012013_174812.txt

et

RogueKiller V8.4.2 [Dec 31 2012] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : http://www.sur-la-toile.com/discussion-193725-1--RogueKiller-Remontees.html
Site Web : http://www.sur-la-toile.com/RogueKiller/
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows 7 (6.1.7600 ) 32 bits version
Demarrage : Mode normal
Utilisateur : PC [Droits d'admin]
Mode : Suppression -- Date : 01/01/2013 17:56:12

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 6 ¤¤¤
[STARTUP][Rans.Gendarm] runctf.lnk @PC : C:\Windows\System32\rundll32.exe|c:\users\pc\wgsdgsdgdsgsd.dll,H1N1 -> SUPPRIMÉ
[PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (hxxp=127.0.0.1:8877;hxxps=127.0.0.1:8877) -> NON SUPPRIMÉ, UTILISER PROXY RAZ
[PROXY IE] HKCU\[...]\Internet Settings : ProxyEnable (1) -> NON SUPPRIMÉ, UTILISER PROXY RAZ
[PROXY FF] s2kb366b.default\ 127.0.0.1:8877 -> NON SUPPRIMÉ, UTILISER PROXY RAZ
[HJ DLL][Rans.Gendarm] HKLM\[...]\ControlSet001\Services\winmgmt\Parameters : ServiceDll (C:\Users\PC\wgsdgsdgdsgsd.dll) -> REMPLACÉ (%SystemRoot%\system32\wbem\WMIsvc.dll)
[HJ DLL][Rans.Gendarm] HKLM\[...]\ControlSet002\Services\winmgmt\Parameters : ServiceDll (C:\Users\PC\wgsdgsdgdsgsd.dll) -> REMPLACÉ (%SystemRoot%\system32\wbem\WMIsvc.dll)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤

¤¤¤ Infection : Rans.Gendarm ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts

127.0.0.1 validation.sls.microsoft.com

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: +++++
--- User ---
[MBR] 8a7b298d1b14bfdf0490f5834bbb4043
[BSP] 95292ec84e2aa423cd2f44ad0b4cc31d : Windows 7/8 MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 100 Mo
1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 206848 | Size: 102900 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 210946048 | Size: 202242 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: +++++
--- User ---
[MBR] 67f04ec4840c7d6ed526906650e88149
[BSP] 975b953c1cba4097d86317d9018ec6c0 : Standard MBR Code
Partition table:
0 - [ACTIVE] FAT32 (0x0b) [VISIBLE] Offset (sectors): 63 | Size: 3882 Mo
1 - [XXXXXX] UNKNOWN (0x21) [VISIBLE] Offset (sectors): 7952175 | Size: 0 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Termine : << RKreport[2]_D_01012013_175612.txt >>
RKreport[1]_S_01012013_174812.txt ; RKreport[2]_D_01012013_175612.txt

Je redémarre, je connecte le wifi et ça marche !!!

Si mon conseil peut aider d'autres victimes dans ma situation, c'est à dire pas d'accès à quoi que ce soit ni mode sans échec avec ou sans prise en compte du réseau et pas le temps le lancer un scan de quoi que ce soit, avec un mix de tes précieux conseils, c'est de mettre Roquekiller sur USB, démarrer l'ordi et aussitôt couper toute connexion internet et utiliser Roquekiller, et redémarrer.

Merci encore une fois.

@+

Merci Electricien 69.

Je prépare et effectue les instructions, je te tiens au courant.

ok,

mais si je ne réponds pas ce soir, ne t'inquiette pas ;-)

@ ++

Je dois partir pour le réveillon.
Je suis les diverses procédures mais j'ai bien des difficultés notamment pour initier le fichier OTLPE du bureau pour le transférer sur ma clé USB via le logiciel PeToUSB.
Je retente tout demain car là je ne suis plus efficace, énervement oblige ...
Joyeux Noel, je te tiens informé demain de l'évolution.
Merci encore.

une fois que tu as téléchargé OTLPE,

tu le lance, il fait tout automatiquement,

passe plutôt par un CD :D

bonjour,

passe par la gravure d'un CD !

Je ne peux pas lecteur HS ...

Bonjour et tous mes voeux !!!

J'ai trouvé un lecteur/graveur externe.
Après 5 gravures différentes, le système se lance en Windows XP, je lance l'icône jaune de OTP et là le même message "run scanner error : target is not Windows 2000 or later".

J'ai qu'en même essayé avec une clé USB de faire des scans avec Roguekiller et deux autres de ce genre.
Deux veulent un accès internet mais je ne parviens pas à me connecter et l'autre me trouve deux fichiers que j'ai supprimé via ce logiciel mais rien ... toujours le virus à l'affichage dès le démarrage.

Une idée ?

bonjour et bonne année également,

le pc infecté est sous quelel version de winodws?

peut tu me donner le rapport de Roguekiller ?

Windows 7 premium family.

Rapport ADW Cleaner, Roguekiller ne fonctionne pas :

# AdwCleaner v2.102 - Logfile created 01/01/2013 at 13:31:05
# Updated 23/12/2012 by Xplode
# Operating system : Microsoft Windows XP (32 bits)
# User : SYSTEM - REATOGO
# Boot Mode : Normal
# Running from : G:\AdwCleaner.exe
# Option [Search]

***** [Services] *****

***** [Files / Folders] *****

***** [Registry] *****

***** [Internet Browsers] *****

-\\ Internet Explorer v6.0.2800.2180

[OK] Registry is clean.

*************************

AdwCleaner[R1].txt - [603 octets] - [01/01/2013 13:30:41]
AdwCleaner[R2].txt - [537 octets] - [01/01/2013 13:31:05]

########## EOF - \AdwCleaner[R2].txt - [596 octets] ##########

Nouveau fait, je relançais Roguekiller quand un écran bleu est apparu avec une liste d'erreurs :
0x00000003 - 0x8A735C94 - 0x8A735B20 - 0x805237A8

Ca s'accumule.

En tout cas merci de prendre le temps ...

L'ordinateur me laisse rien faire ...
Dans la même idée que ton système d'aide, j'ai lu un article sur DrWeb CD Live. Qu'en penses tu ?
Lors de ma dernière tentative, j'avais mis sur clé, CCleaner, Ad Aware, Spybot ... Seul CCleaner a trouvé deux fichiers que j'ai supprimé. J'ai redémarré normalement mais toujours pareil UKASH dès que la connexion internet se fait.
Pour les autres, l'ordi met que je n'ai pas assez de place ...
Dur dur ...
Sur un autre article, il parlait de Install_HOSTS_Anti-Adware. Qu'en penses tu ?
J'en profites pour me renseigner vu tes connaissances en la matière pour prévoir une meilleure protection de mes ordinateurs.
As tu des conseils sur des logiciels pour les popup et autres casses pieds (pub ...)

laisse tomber les autres logiciels,

les seuls ui puissent vraiment te tirer d'affaires sont :

live Cd Dr. Web
Rogeukiller avec Otlpe

ou en mode dans echec, MBAM

sinon, tu pourras toujours, si tu as accès au mode sans echec, de restaurer le pc :D

OK !!!

Je tente Dr Web car je n'y arrive pas avec OTLPE.

Je t'informe du résultat.

ok,

comme tu veux,

bonne fête :D

tu n'es pas sorti d'affaire et ton cas n'est pas un cas général selon les variantes qu'on a ressensé à ce sjour :D

lance un scan de MBAM et tu verras qu'il te trouvera pleines d'autres infections !