infesté par system progressive protectionRésolu/Fermé

Question

Bonjour, 

Comme d'autres, j'ai eu le virus system progressive protection sur mon ordi en fin de matinée aujourd'hui.
J'ai téléchargé Roguekiller et supprimé les logiciels détectés. Le virus a disparu et tout semble aller bien.
Cependant, en lisant plus en avant, je me rends compte que ce n'est peut-être pas complètement réglé.
Pourriez-vous me guider pour terminer ? en espérant que je n'ai pas fait de bêtises.

Voici les rapports de Roguekiller avant suppression : https://pjjoint.malekal.com/files.php?id=20130110_q14o15e7j5q12 
et après : https://pjjoint.malekal.com/files.php?id=20130110_p9h15f14f10v13

Merci de votre aide.

Configuration: Windows XP / Firefox 17.0

loumax91 · Answer

Bonjour, 

Effectivement le rogue (system progressive) n'était pas seul (ZAccess)..., fais ce qui suit:

Attention : Le logiciel qui suit peut faire des dégâts en cas de mauvaise utilisation ! Désactive tous tes logiciels de protection avant de l'utiliser. 

¶ Télécharge ComboFix (de sUBs) sur ton Bureau. 
¶ Double-clique sur ComboFix.exe afin de le lancer. 
¶ Si tu es sous Windows XP, il va te demander d'installer la console de récupération : tu dois absolument accepter. 
¶ Ne touche à rien pendant le scan. 
¶ Lorsque la recherche sera terminée, un rapport apparaîtra. Poste ce rapport (C:\Combofix.txt) dans ta prochaine réponse. 

Tutoriel officiel de Combofix : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix  
  
"Celui qui aime à apprendre est bien près du savoir" (Confucius)

xafest · Answer

Bonsoir,

Merci de votre aide.

Voici le rapport de Combofix : https://pjjoint.malekal.com/files.php?id=20130110_u7x7v14v7d9

loumax91 · Answer

/!\ Attention : Cette procédure n'est valable que pour xafest /!\ 

   *Ouvre le bloc-note ( Menu démarrer -> Programmes -> Accessoires -> Bloc-Note )
   *Copie/Colle le texte ci-dessous dans le bloc-note :
_____________________________________________________________________

    ClearJavaCache::
KillAll::
File::
c:\documents and settings\drUninst.exe      
Firefox::
FF - prefs.js: keyword.URL - hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT2851639&SearchSource=2&q=    
FF - ExtSQL: 2012-11-18 21:21; {05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}; c:\documents and settings\Christelle\Application Data\Mozilla\Firefox\Profiles\85wmewrv.default\extensions\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e} 
FF - user.js: keyword.URL - hxxp://redirecterror.sfr.fr/?q=    
_____________________________________________________________________

    *Enregistre ce fichier sur le bureau en le nommant CFScript.txt (pas autrement !)
    *Fais glisser le fichier CFScript.txt sur Combofix.exe

    Aide en image

    *Combofix va se lancer. Patiente pendant le scan puis poste le contenu du rapport qui s'ouvrira dans ta prochaine réponse.
    *Note : Le fichier est enregistré sous C:\Combofix.txt

xafest · Answer

Ca y est, c'est fait.

Et voici le rapport : https://pjjoint.malekal.com/files.php?id=20130110_h5d12l8w9x10

Du chinois pour moi !

loumax91 · Answer

Bonjour,

Peux-tu utiliser ce logiciel de diagnostic :

¶ Télécharge ZHPDiag (de Nicolas Coolman)
¶ Lance le (si tu es sous Windows Vista ou Windows 7, fais le par un clic-droit --> Exécuter en tant qu'administrateur)
¶ Laisse toi guider lors de l'installation (pense à cocher la case pour créer un raccourci sur le Bureau)
¶ Il se lancera automatiquement à la fin de l'installation
¶ Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
¶ Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
¶ Rends toi sur ce site, clique sur "Parcourir", sélectionne le rapport de ZHPDiag et clique sur Envoyer le fichier. Patiente pendant l'envoi du fichier, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.

xafest · Answer

Bonjour,

Voilà le lien vers le rapport ZHPDiag : https://pjjoint.malekal.com/files.php?id=ZHPDiag_20130111_j15e14w14n15t15

Merci de votre présence !

loumax91 · Answer

Nous allons procéder à de plus amples investigations, fais ce qui suit dans l'ordre:


*Télécharger sur le bureau RogueKiller (par tigzy)
    *Quitter tous les programmes en cours
    *Lancer RogueKiller.exe
    * Attendre la fin du Prescan ...
   *Cliquer sur Host RAZ
    *Cliquer sur Rapport et copier coller le contenu du notepad dans ta réponse 
Pour t'aider



*Télécharger Malwarebytes Anti-Rootkit Ici
*Décompresser le contenu du dossier dans un emplacement idéal.
*Ouvrir le dossier où le contenu a été décompressé et exécutez mbar.exe (Vista/7 exécuter en tant qu'administrateur)
*Suivre les instructions de l'assistant pour faire la mise à jour ensuite cliquer sur [Scan].
*Cliquer sur le bouton Nettoyage pour supprimer toutes les menaces et redémarrer si vous êtes invité à le faire.
*Attendre que le système s'arrête pour que le processus de nettoyage soit terminé.
*Effectuez une deuxième analyse avec Malwarebytes Anti-Rootkit pour vérifier qu'aucune menaces demeurent. Si c'est le cas, cliquez sur Nettoyage et répétez l'opération.
*Lorsque terminé, s'il vous plaît envoyer les deux rapports qui se trouvent dans MBAR dossier ..... mbar-log.txt et du système log.txt

xafest · Answer

Bonsoir, Voilà donc le rapport de Roguekiller : RogueKiller V8.4.3 [Jan 10 2013] par Tigzy mail : tigzyRKgmailcom Remontees : https://www.luanagames.com/index.fr.html Site Web : https://www.luanagames.com/index.fr.html Blog : http://tigzyrk.blogspot.com/ Systeme d'exploitation : Windows XP (5.1.2600 Service Pack 3) 32 bits version Demarrage : Mode normal Utilisateur : Christelle [Droits d'admin] Mode : HOSTS RAZ -- Date : 11/01/2013 21:15:21 ¤¤¤ Processus malicieux : 0 ¤¤¤ ¤¤¤ Entrees de registre : 0 ¤¤¤ ¤¤¤ Driver : [CHARGE] ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ --> C:\WINDOWS\system32\drivers\etc\hosts 127.0.0.1 localhost 216.239.32.20 www.google.ae # bck9 216.239.32.20 www.google.at # bck9 216.239.32.20 www.google.be # bck9 216.239.32.20 www.google.ca # bck9 216.239.32.20 www.google.ch # bck9 216.239.32.20 www.google.cl # bck9 216.239.32.20 www.google.co.il # bck9 216.239.32.20 www.google.co.in # bck9 216.239.32.20 www.google.co.jp # bck9 216.239.32.20 www.google.co.kr # bck9 216.239.32.20 www.google.co.nz # bck9 216.239.32.20 www.google.co.uk # bck9 216.239.32.20 www.google.co.ve # bck9 216.239.32.20 www.google.co.za # bck9 216.239.32.20 www.google.com # bck9 216.239.32.20 www.google.com.ar # bck9 216.239.32.20 www.google.com.au # bck9 216.239.32.20 www.google.com.br # bck9 [...] ¤¤¤ Nouveau fichier HOSTS: ¤¤¤ 127.0.0.1 localhost Termine : << RKreport[4]_H_11012013_211521.txt >> RKreport[1]_S_10012013_134358.txt ; RKreport[2]_D_10012013_134633.txt ; RKreport[3]_H_11012013_211501.txt ; RKreport[4]_H_11012013_211521.txt puis ici le 1er rapport de Mbar où il a trouvé un fichier douteux qui est Roguekiller que j'avais renommé winlogon afin de pouvoir l'ouvrir lorsqu'il y avait le virus: Malwarebytes Anti-Rootkit 1.01.0.1011 www.malwarebytes.org Database version: v2013.01.11.13 Windows XP Service Pack 3 x86 NTFS Internet Explorer 8.0.6001.18702 Christelle :: DOMICILE-98C57F [administrator] 11/01/2013 21:33:45 mbar-log-2013-01-11 (21-33-45).txt Scan type: Quick scan Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM | P2P Scan options disabled: Objects scanned: 26281 Time elapsed: 4 minute(s), 47 second(s) Memory Processes Detected: 0 (No malicious items detected) Memory Modules Detected: 0 (No malicious items detected) Registry Keys Detected: 0 (No malicious items detected) Registry Values Detected: 0 (No malicious items detected) Registry Data Items Detected: 0 (No malicious items detected) Folders Detected: 0 (No malicious items detected) Files Detected: 1 C:\Documents and Settings\Christelle\Bureau\Winlogon.exe (Heuristics.Reserved.Word.Exploit) -> Delete on reboot. (end) Voilà le 2ème rapport après élimination de winlogon : Malwarebytes Anti-Rootkit 1.01.0.1011 www.malwarebytes.org Database version: v2013.01.11.13 Windows XP Service Pack 3 x86 NTFS Internet Explorer 8.0.6001.18702 Christelle :: DOMICILE-98C57F [administrator] 11/01/2013 21:45:07 mbar-log-2013-01-11 (21-45-07).txt Scan type: Quick scan Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM | P2P Scan options disabled: Objects scanned: 26275 Time elapsed: 4 minute(s), 52 second(s) Memory Processes Detected: 0 (No malicious items detected) Memory Modules Detected: 0 (No malicious items detected) Registry Keys Detected: 0 (No malicious items detected) Registry Values Detected: 0 (No malicious items detected) Registry Data Items Detected: 0 (No malicious items detected) Folders Detected: 0 (No malicious items detected) Files Detected: 0 (No malicious items detected) (end) et enfin le rapport system-log trop long à copier ici donc il est ici : https://pjjoint.malekal.com/files.php?id=20130111_f10b15o12b14b5 merci de ta patience.

loumax91 · Answer

Impeccable, tu peux refaire une analyse ZHPDiag, stp (pense à héberger le rapport)

xafest · Answer

Et voilà !
https://pjjoint.malekal.com/files.php?id=ZHPDiag_20130111_w9r8p9o11p14

Est-ce que ça semble bien ?

loumax91 · Answer

Il y a du mieux, maintenant on va faire le ménage :)


        Téléchargez RstHosts sur votre bureau.
        Lancez-le et appuiez sur [Restaurer].
        Un message vous indiquera la réussite de l'opération, cliquez sur [OK] puis cliquez sur [Créer un rapport].

Note : Le rapport est également sauvegardé à la racine du disque dur (C:\RstHosts.txt)

--------------

Utilise cet outil de désinfection spécifique aux logiciels publicitaires : 

      *Télécharge AdwCleaner ( d'Xplode ) sur ton bureau.
    *Lance le puis clique sur [Suppression]. Sauvegarde tout travail en cours puis accepte la fermeture des programmes en cours d'exécution.
    *Patiente le temps du nettoyage.
    *Une fois le scan fini, il te sera proposé de redémarrer.
    *Au redémarrage du PC, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse.
    *Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

xafest · Answer

Bonjour,

Voici le rapport de RStHosts :
-|x| RstHosts v2.0 - Rapport créé le 12/01/2013 à 07:25:18
-|x| Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
-|x| Nom d'utilisateur : Christelle - DOMICILE-98C57F (Administrateur)

-|x|- Informations -|x|-

Emplacement : C:\WINDOWS\System32\drivers\etc\hosts
Attribut(s) : RASH
Propriétaire : Christelle - DOMICILE-98C57F
Taille : 89 bytes
Date de création : 14/04/2008 - 13:00:00
Date de modification : 12/01/2013 - 07:25:12
Date de dernier accès : 12/01/2013 - 07:25:12

-|x|- Contenu du fichier -|x|-

# Fichier Hosts créé par RstHosts

127.0.0.1       localhost
::1             localhost

-|x|- E.O.F - C:\RstHosts.txt - 638 bytes -|x|-


 puis celui d'Adwcleaner ici : http://dl.free.fr/getfile.pl?file=/63zXJ4ke (ca ne marchait pas avec pjjoint)

Bon début de journée,

loumax91 · Answer

Bonjour,


1) Utilise ce logiciel de désinfection généraliste :

¶ Télécharge et installe Malwarebytes' Anti-Malware
¶ A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
¶ Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
¶ Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet" puis "Rechercher"
¶ Sélectionne tes disques durs" puis clique sur "Lancer l'examen" 
¶ A la fin de l'analyse, clique sur Afficher les résultats
¶ Coche tous les éléments  détectés puis clique sur Supprimer la sélection
¶ Enregistre le rapport
¶ S'il t'est demandé de redémarrer l'ordinateur, clique sur Yes
¶ Poste dans ta prochaine réponse le rapport apparaissant après la suppression 



2) Fais une nouvelle analyse ZHPDiag (héberge le rapport).

xafest · Answer

Bonjour,

Voici le rapport de MBAM : https://pjjoint.malekal.com/files.php?id=20130113_k8w7w5g5z11

et celui de ZHPDiag : https://pjjoint.malekal.com/files.php?id=ZHPDiag_20130113_u13w5j13e9m11

Merci pour votre aide et bon dimanche,

loumax91 · Answer

Bonjour, Ceci: System drive C: has 3 GB (2%) free of 117 GB => Seuil critique dépassé Il faudra penser à faire de la place en désinstallant les programmes/logiciels que tu n'utilise plus ou peu. ---------------- 1) Ce script va cibler certains éléments à supprimer : ________________________________________________________________ SysRestore O42 - Logiciel: neroxml - (.Nero AG.) [HKLM] -- {56C049BE-79E9-4502-BEA7-9754A3E60F9B} [HKCU\Software\YahooPartnerToolbar] [HKLM\Software\BrowserChoice] [HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{0F6E720A-1A6B-40E1-A294-1D4D19F156C8}] [HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{0F6E720A-1A6B-40E1-A294-1D4D19F156C8}] [HKLM\Software\Classes\CLSID\{0F6E720A-1A6B-40E1-A294-1D4D19F156C8}] [HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{0F6E720A-1A6B-40E1-A294-1D4D19F156C8}] [HKLM\Software\Google\Chrome\Extensions\elhjaoldnkkbifioodjndkijecdeinld] [HKLM\Software\Google\Chrome\Extensions\paoponfhfdfnjgddpnpjkambkcgdaaib] [HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{56C049BE-79E9-4502-BEA7-9754A3E60F9B}] [HKLM\Software\Classes\NeroSearch.NeroSearchQuerySourceSettings] [HKLM\Software\Classes\NMSearch.NMSearchQueryConfigManager] [HKLM\Software\Classes\NMSearch.NMSearchQuerySyntaxTree] EmptyFlash FirewallRaz EmptyTemp ________________________________________________________________ ¶ Sélectionne le script ci-dessus en entier et copie le (Édition --> Copier) ¶ Lance ZHPFix à partir du raccourci sur ton Bureau ¶ Clique sur l'icône représentant le presse-papier (« coller le presse-papier ») ¶ Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes >>les lignes ci-dessus sont celles qui doivent apparaître dans la fenêtre de ZHPFix. Si ce n'est pas le cas, ne surtout pas cliquer sur le bouton GO. Il faut veiller à bien copier les lignes<< ¶ Clique sur le bouton « GO » pour lancer le nettoyage, ¶ Copie/colle la totalité du rapport dans ta prochaine réponse Pour t'aider 2) Mise à jour: *Désinstalle via Ajout/suppression programmes: -Adobe Reader X -Java 6 Update 20 -Java 6 Update 35 *Télécharge et installe: -Java 7 Update 10 (si proposé "décoche" la barre Ask) -Adobe Reader XI *Sécuriser ses navigateurs : Si ce n'est pas déjà fait, installe Wot sur tes navigateurs : https://chrome.google.com/webstore/detail/wot-web-of-trust-website/bhmmomiinigofkjcapegjjndpbikblnp -Adblock plus > Firefox > Chrome Lire: L'importance de maintenir à jour son PC 3) Redémarre l'ordinateur et refais une analyse de contrôle ZHPDiag (héberge le rapport), et dis moi dans ta prochaine réponse comment fonctionne le PC.

xafest · Answer

Bonsoir,

J'avais bien noté qu'il manquait sérieusement d'espace sur mon disque dur donc je projette l'achat d'un disque dur externe pour stocker mes photos. J'ai quand même supprimé quelques programmes inutilisés.

Voici le rapport de ZHPDiag ensuite : https://pjjoint.malekal.com/files.php?id=ZHPDiag_20130113_g9i9r7k15f12

Bonne fin de journée,

loumax91 · Answer

Ce script va cibler certains éléments à supprimer : ¶ Ouvre ce lien, sélectionne le script en entier et copie le (Édition --> Copier) ¶ Lance ZHPFix à partir du raccourci sur ton Bureau ¶ Clique sur l'icône représentant le presse-papier (« coller le presse-papier ») ¶ Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes >>les lignes ci-dessus sont celles qui doivent apparaître dans la fenêtre de ZHPFix. Si ce n'est pas le cas, ne surtout pas cliquer sur le bouton GO. Il faut veiller à bien copier les lignes<< ¶ Clique sur le bouton « GO » pour lancer le nettoyage, ¶ Copie/colle la totalité du rapport dans ta prochaine réponse Pour t'aider *Quand l'outil aura terminé, fais redémarrer le PC.

loumax91 · Answer

Bonsoir,

Nous allons lancer une analyse en ligne de ton ordinateur :

    * Rends toi sur cette page.
    * Clique sur "Lancer ESET Online Scanner".
    * Laisse toi guider pour installer les éléments nécessaires au lancement de l'analyse.
    * Poste le rapport qui apparaitra à la fin de l'analyse.

loumax91 · Answer

Bonsoir,

Non ton PC est clean, on termine :)
__________________________________________________________________ 

1) Vacciner les supports amovibles :
*Télécharge MKV (créé par El Desaparecido) sur ton Bureau.
*Si ton antivirus affiche une alerte, ignore-la et désactive l'antivirus temporairement.
*Branche toutes tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir.
*Double clique sur MKV.exe.
*Clique sur Vacciner.

2) Il faut supprimer tous les outils que nous avons utilisés : Télécharge DelFix (de Xplode) sur ton Bureau --> Lance le et coche toutes les cases sauf "Effectuer une sauvegarde du registre" --> Clique ensuite sur Exécuter.
* Le rapport sera enregistré dans le presse-papier. Copie/Colle le dans ta prochaine réponse (Ouvre le Bloc-Note et fais Coller pour faire apparaître le rapport). 

3) Optimisation :
* Télécharge CCleaner, lance le.
* Clique sur Nettoyeur >> Analyse >> Lancer le nettoyage, puis sur OK dans la fenêtre qui s'affiche.
* Enfin, clique sur Registre >> corrige toutes les erreurs et recommence jusqu'à ce que CCleaner ne trouve plus d'erreurs.

* Télécharge Defraggler. Installe le (décoche l'installation de la barre d'outil Yahoo qui est proposée lors de l'installation) puis lance le.
Ferme tous tes autres programmes, sélectionne ton disque dur et clique sur "Défragmentation rapide".

4) Prévention :
Je te conseille vivement de lire cet article qui t'apportera des informations de prévention et de protection contre les infections (environ 15 minutes de lecture très instructive et utile) : Prévention et sécurité sur internet

5) Précautions :
Fais régulièrement une sauvegarde de tes documents importants sur un support externe (disque dur externe, CD/DVD réinscriptible...)
Ici, nous avons pu désinfecter ton ordinateur, mais ce n'est pas toujours le cas. Certaines infections cryptent les documents et demandent une rançon pour les récupérer, d'autres les modifient pour diffuser des infections, obligeant donc à les effacer... Il faut donc toujours avoir une sauvegarde saine de tes documents, sinon tu risques de les perdre.

Conseils :
-Désinstalles tout ce qui ne te sert pas, ça te fait de l'espace en plus.
-Il est important d'avoir les dernières mises à jour sur ton PC. En effet, celles ci corrigent des failles de sécurité qui peuvent parfois être exploitées par un programme malveillant.
-Garde Malwarebyte's et passe des scans complet de temps en temps, ne pas oublier de le mettre à jour avant un scan.



Bonne lecture et bon courage, n'hésite pas à poser des questions en cas de besoin ;)

PS: J'attends le rapport de DelFix.

loumax91 · Answer

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\{80b8c23c-16e0-4cd8-bbc3-cecec9a78b79}]
C'est Antivir plus précisément : antivir_workstation_winu_en.exe

Une astuce pour ne plus être embêté avec cette détection :

Ouvre CCleaner, section Options => Exclure => Ajouter une clé du registre, exclure : "{80b8c23c-16e0-4cd8-bbc3-cecec9a78b79}" dans la boîte de dialogue qui s'ouvre et vérifies que HKCR est sélectionné correspondant à "HKEY_CLASSES_ROOT". 

Sinon pour le rapport c'est bon ;)
Passer un sujet en résolu

Infesté par system progressive protection

27 réponses

Discussions similaires

Newsletters