Virus Hadopi PC bloqué - Roguekiller - Rapport Résolu/Fermé

Question

Bonjour, 

L'idiot que je suis traîne sans anti-virus depuis...je ne pourrai dire, un oubli très facheux !!
J'ai été infecté ce soir par le virus hadopi...mon PC était bloqué sur cette "image"
Impossible de le redémarrer :
ni en mode sans echec
ni en passant par invite des commandes en mode sans echec

J'ai essayer de "réparer" l'ordinateur... idem, rien a faire

En parcourant ce forum (Suis un bille en Info -  et nottement Malekalmorte), j'ai fini par graver ( en sortant du tiroir un vieux PC portable plus allumé depuis très longtemps !!) : Malekal Live Cd
J'ai pû retrouver mon windows en changeant la séquence de démarrage.

J'ai fait une Analyse - Puis une suppression de clée shell Via Roguekiller

Et magie, le PC refonctionne "normalement" apparemment.

Suis en train de faire pareil avec Malwarebytes...pas terminé, mais rien de trouver depuis 28 minutes

J'ai réinstaller avast et je vais ajouter windows security essentiel également, je vais mettre mes logiciels à jour....

Que faire du rapport de Roguekiller ? J'ai lû qu'il fallat les poster...

Merci d'avance de vos réponse







Configuration: Windows 7 / Chrome 25.0.1364.152

Malekal_morte- · Answer

Salut,

Fais AdwCleaner aussi :

Télécharge http://general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/28-adwcleaner AdwCleaner ( d'Xplode ) sur ton bureau.  
Lance le, clique sur [Suppression] puis patiente le temps du scan (Pas besoin de faire de Recherche avant).  
Une fois le scan fini, un rapport s'ouvrira. Poste le contenu du rapport dans ta prochaine réponse par un copier/coller.
Si cela ne fonctionne pas, utilise le site http://pjjoint.malekal.com pour héberger le rapport, donne le lien du rapport dans un nouveau message.

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

mourinho71100 · Answer

Merci de ta rapidité...

Je le fait de ce pas et je repost ici

Merci

mourinho71100 · Answer

Heu...AdwCleaner me demande de fermer tous les programmes : Est-ce que je laisse Malwarebytes finir son scann avant ?
 Il en est à 46 minutes de scann.... Rien de trouvé pour l'instant

Malekal_morte- · Answer

AdwCleaner peux avoir besoin de redémarrer l'ordinateur.
Donc faut le faire après.

mourinho71100 · Answer

Je le laisse donc finir....
Je ne sais pas pour encore combien de temps.... 1h20, 5 éléments détectés...

mourinho71100 · Answer

voici enfin le rapport :


# AdwCleaner v2.114 - Rapport créé le 11/03/2013 à 00:10:30
# Mis à jour le 05/03/2013 par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : lilly.isma - LILLYISMA-PC
# Mode de démarrage : Normal
# Exécuté depuis : C:\Users\lilly.isma\Downloads\AdwCleaner (1).exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Program Files (x86)\freeTVRadio
Dossier Supprimé : C:\Program Files (x86)\Software
Dossier Supprimé : C:\Program Files (x86)\SweetIM
Dossier Supprimé : C:\ProgramData\Babylon
Dossier Supprimé : C:\ProgramData\boost_interprocess
Dossier Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Media Finder
Dossier Supprimé : C:\ProgramData\Partner
Dossier Supprimé : C:\ProgramData\Software
Dossier Supprimé : C:\ProgramData\SweetIM
Dossier Supprimé : C:\Users\lilly.isma\AppData\Local\freetvradio Air
Dossier Supprimé : C:\Users\lilly.isma\AppData\Local\Google\Chrome\User Data\Default\Extensions\dednnpigldgdbpgcdpfppmlcnnbjciel
Dossier Supprimé : C:\Users\lilly.isma\AppData\Local\Software
Dossier Supprimé : C:\Users\lilly.isma\AppData\LocalLow\searchquband
Dossier Supprimé : C:\Users\lilly.isma\AppData\Roaming\Babylon
Dossier Supprimé : C:\Users\lilly.isma\AppData\Roaming\freeTVRadio
Dossier Supprimé : C:\Users\lilly.isma\AppData\Roaming\Media Finder
Dossier Supprimé : C:\Users\lilly.isma\AppData\Roaming\Mozilla\Extensions\{ec8030f7-c20a-464f-9b0e-13a3a9e97384}\gencrawler@some.com
Dossier Supprimé : C:\Users\lilly.isma\AppData\Roaming\OfferBox
Dossier Supprimé : C:\Users\LILLY~1.ISM\AppData\Local\Temp\boost_interprocess
Dossier Supprimé : C:\Windows\Installer\{38470B46-9BF1-40AE-A588-F6AD6D1C2D42}
Fichier Supprimé : C:\user.js
Fichier Supprimé : C:\Users\lilly.isma\AppData\Local\Google\Chrome\User Data\Default\Local Storage\hxxp_home.sweetim.com_0.localstorage
Fichier Supprimé : C:\Users\lilly.isma\AppData\Local\Google\Chrome\User Data\Default\Local Storage\hxxp_home.sweetim.com_0.localstorage-journal
Fichier Supprimé : C:\Users\lilly.isma\AppData\Local\Google\Chrome\User Data\Default\Local Storage\hxxp_search.sweetim.com_0.localstorage
Fichier Supprimé : C:\Users\lilly.isma\AppData\Local\Google\Chrome\User Data\Default\Local Storage\hxxp_search.sweetim.com_0.localstorage-journal
Fichier Supprimé : C:\Users\LILLY~1.ISM\AppData\Local\Temp\Searchqu.ini
Fichier Supprimé : C:\Users\LILLY~1.ISM\AppData\Local\Temp\searchqutoolbar-manifest.xml
Fichier Supprimé : C:\Users\LILLY~1.ISM\AppData\Local\Temp\SetupDataMngr_Searchqu.exe
Fichier Supprimé : C:\Users\Public\Desktop\eBay.lnk

***** [Registre] *****

Clé Supprimée : HKCU\Software\AppDataLow\Software\searchqutoolbar
Clé Supprimée : HKCU\Software\DataMngr
Clé Supprimée : HKCU\Software\freeTVRadio
Clé Supprimée : HKCU\Software\InstallCore
Clé Supprimée : HKCU\Software\MediaFinder
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\MenuExt\Download with &Media Finder
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{99079A25-328F-4BD4-BE04-00955ACAA0A7}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{99079A25-328F-4BD4-BE04-00955ACAA0A7}
Clé Supprimée : HKCU\Software\Offerbox
Clé Supprimée : HKCU\Software\Softonic
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4D79-A620-CCE0C0A66CC9}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2414}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}
Clé Supprimée : HKLM\Software\Babylon
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{BDB69379-802F-4EAF-B541-F8DE92DD98DB}
Clé Supprimée : HKLM\Software\Classes\Installer\Features\EB6AF8AEEB922FA4392548F13812E50B
Clé Supprimée : HKLM\Software\Classes\Installer\Products\EB6AF8AEEB922FA4392548F13812E50B
Clé Supprimée : HKLM\SOFTWARE\Classes\MF
Clé Supprimée : HKLM\SOFTWARE\Classes\Prod.cap
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\ConduitInstaller_RASAPI32
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\ConduitInstaller_RASMANCS
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\datamngrUI_RASAPI32
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\datamngrUI_RASMANCS
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\MyBabylontb_RASAPI32
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\MyBabylontb_RASMANCS
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\SearchquMediaBar_RASAPI32
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\SearchquMediaBar_RASMANCS
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\SetupDataMngr_Searchqu_RASAPI32
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\SetupDataMngr_Searchqu_RASMANCS
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\SweetIM_RASAPI32
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\SweetIM_RASMANCS
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\SweetPacksUpdateManager_RASAPI32
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\SweetPacksUpdateManager_RASMANCS
Clé Supprimée : HKLM\Software\Offerbox
Clé Supprimée : HKLM\Software\SimplyGen
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{99079A25-328F-4BD4-BE04-00955ACAA0A7}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{E46C8196-B634-44A1-AF6E-957C64278AB1}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Google\Chrome\Extensions\dednnpigldgdbpgcdpfppmlcnnbjciel
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Google\Chrome\Extensions\jcdgjdiieiljkfkdcloehkohchhpekkn
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Google\Chrome\Extensions\lpmkgpnbiojfaoklbkpfneikocaobfai
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2414}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{EA8FA6BE-29BE-4AF2-9352-841F83215EB0}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{79FB5FC8-44B9-4AF5-BADD-CCE547F953E5}
Clé Supprimée : HKLM\SOFTWARE\DataMngr
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2414}
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [Sweetpacks Communicator]
Valeur Supprimée : HKLM\SOFTWARE\Mozilla\Firefox\extensions [{1F30D846-4BEF-4246-B19E-7E503B0E6639}]
Valeur Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Toolbar [10]
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [10]

***** [Navigateurs] *****

-\ Internet Explorer v9.0.8112.16464

[OK] Le registre ne contient aucune entrée illégitime.

-\ Google Chrome v25.0.1364.152

Fichier : C:\Users\lilly.isma\AppData\Local\Google\Chrome\User Data\Default\Preferences

Supprimée [l.1931] : homepage = "hxxp://home.sweetim.com/?barid={71E553F2-7C77-4540-A156-D3691AB609B8}",
Supprimée [l.2484] : urls_to_restore_on_startup = [ "hxxp://home.sweetim.com/?barid={71E553F2-7C77-4540-A156-D3691[...]

-\ Chromium vnstall: 18002

Fichier : C:\Users\lilly.isma\AppData\Local\Chromium\User Data\Default\Preferences

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [374 octets] - [10/03/2013 22:01:29]
AdwCleaner[S2].txt - [7422 octets] - [11/03/2013 00:10:30]

########## EOF - C:\AdwCleaner[S2].txt - [7482 octets] ##########

bthierry · Answer

bonjour moi je l ai enlever avec malaweresbites mais ca a tourne pendant huit heure a larrivee i y a fait qu une seule infection je l ai supprime et c etait la bonne par contre comme je ne pouvais pas acceder au menu de mon pc j ai demonte le disque dur que j ai place dans un boitier de disque dur externe et je les desinfecte avec mon autre pc quand j ai cliquer droit sur le dd externe j ai mis analyser avec malexerebites vola si ca peut aider quelqu un bon courage a tous

Malekal_morte- · Answer

@mourinho71100 :

Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt 
Fournir les deux rapports :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/    

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.    
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)    

Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

* Lance OTL    
* En haut à droite de Analyse rapide, coche "tous les utilisateurs"
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :    



netsvcs   
msconfig   
safebootminimal   
safebootnetwork   
activex   
drivers32   
%ALLUSERSPROFILE%\Application Data\*.   
%ALLUSERSPROFILE%\Application Data\*.exe /s   
%APPDATA%\*.   
%APPDATA%\*.exe /s   
%temp%\.exe /s   
%SYSTEMDRIVE%\*.exe   
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%systemroot%\system32\*.dll /lockedfiles   
%systemroot%\Tasks\*.job /lockedfiles   
%systemroot%\system32\drivers\*.sys /lockedfiles   
%systemroot%\System32\config\*.sav   
/md5start   
explorer.exe   
winlogon.exe   
wininit.exe   
/md5stop
HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
CREATERESTOREPOINT   
nslookup www.google.fr /c   
SAVEMBR:0   
hklm\software\clients\startmenuinternet|command /rs   
hklm\software\clients\startmenuinternet|command /64 /rs    



* Clique sur le bouton Analyse.

NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT
* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent), donne le ou les liens pjjoint qui pointent vers ces rapports ici dans un nouveau message. 
NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT

mourinho71100 · Answer

Me voilà de retour après une bonne journée de boulot.
Merci d'avoir pris le temps de me répondre.

Je viens de lancer OTL

mourinho71100 · Answer

Voici donc le lien pour le rapport OTL.txt :

https://pjjoint.malekal.com/files.php?id=20130311_i6c15n10u11u7

Et le lien pour le rapport Extra.txt :

 https://pjjoint.malekal.com/files.php?id=20130311_f7m6j11v15t14

Sinon, a première vu, tout semble bien se passer MAIS je trouve le PC très lent, et il a mis un temps infini a me donner la main au démarrage sous windows....

Malekal_morte- · Answer

Vas dans le Panneau de Configuration puis Programmes et Fonctionnalités
Désinstalle McAfee Security Scan.
Sécurise quedalle, c'est juste un programme pour tenter de te refourguer l'antivirus.

Désinstalle Google Toolbar


Les barres d'outils sont là pour t'affilier à un service (moteur de recherche de Yahoo! ou Google), ça rajoute des fonctionnalités mais en général les navigateurs les ont par défaut. 
De plus, elles enregistrent les sites que tu visites pour les transmettre (tracking) à faire de la publicité ciblée, c'est pas super niveau protection de la vie privée.
Plusieurs toolbars ralentissent le PC et peuvent faire planter les navigateurs WEB. 
Au final, il est pas conseillé d'en utiliser. 
Lire : 
Les toolbars c'est pas obligatoire!

Relance OTL. 
o sous Persfonnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:  

:OTL
[2013/03/10 17:09:27 | 000,000,004 | ---- | C] () -- C:\Users\lilly.isma\AppData\Roaming\skype.ini 

* redemarre le pc sous windows et poste le rapport ici  
 

~~

Installe Malwarebyte's Anti-Malware : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Fais des scans réguliers avec, il est efficace.


Sécurise ton PC !

Important - ton infection est venue par un exploit sur site web :   

Un exploit sur site WEB permet l'infection de ton ordinateur de manière automatiquement à la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à ton insu.  
Le fait de ne pas avoir des logiciels à jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système.  
Exemple avec : Exploit Java  

Il faut donc impérativement maintenir tes logiciels à jour afin de ne pas voir ces portes d'entrée sur ton système.
Tant que ces logiciels ne seront pas à jour, ton PC est vulnérable et les infections peuvent s'installer facilement.

IMPORTANT : mettre à jour tes programmes notamment Java/Adobe Reader et Flash : 
/faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite     
https://forum.malekal.com/viewtopic.php?t=15960&start=  

Désactive Java de tes navigateurs WEB  : https://www.commentcamarche.net/faq/35621-desactiver-java-sur-ses-navigateurs-web


Passe le mot à tes amis ! 

~~

Filtrer les PUPs/Adwares les plus fréquents avec HOSTS Anti-PUPs/Adwares : http://www.malekal.com/2012/01/10/hosts-anti-pupsadware/

~~

Le reste de la sécurité : http://forum.malekal.com/comment-securiser-son-ordinateur.html

mourinho71100 · Answer

Bonjour,

Merci pour tous ses conseils. J'avoue que j'hésitais pour la mise a jour d'Adobe car il y a qq années, j'ai été infecté en le mettant "à jour"

Voici le rapport OTL :

========== OTL ==========
C:\Users\lilly.isma\AppData\Roaming\skype.ini moved successfully.
 
OTL by OldTimer - Version 3.2.69.0 log created on 03122013_070009


Je redemarre le PC....

Mourinho71100 · Answer

Re-

J'ai donc redémarré le PC, mais je n'ai pas eû de nouveaux rapports qui s'est ouvert.... normal ? (j'ai l'impression qu'il a été plus rapide cette fois)

Dernière petite question : Je peux supprimer le dossier créer sur le bureau par Rogue Killer qui s'appelle "quarantaine" ?

mourinho71100 · Answer

Encore Merci !! Merci Beaucoup !!
Problème réglé... je serai plus vigilant a l'avenir