Nouveau Virus hadopi oclctic paiement 100€ Résolu/Fermé

Question

Bonjour, 


J'ai ete infecté par le virus qui ma l'air tristement célèbre de hadopi (page blanche avec ma photo prise avec ma webcam à mon insu évidemment, mon IP et autres données... 
En haut on peut voir écrit office central de lutte contre la criminalité liée aux technologies de l'information et de la communication (oclctic)

J'ai vu pas mal de commentaires sur le sujet mais ai peur d'avoir été touche par une version plus évoluée du virus :s 

En effet quand je démarre en mode sans échec avec prise de commande et que je tape la ligne suivante: 
cd%Windir% 
cd system32 
cd restore 
rstrui.exe 

Je peux restaurer mon Pc a une date choisie antérieure à la survenue du virus, cependant après redémarrage je retombe sur la fenêtre blanche hadopi sans pouvoir rien faire si ce n'est Ctrl alt suppr mais la impossible de faire gestionnaire de tâche sinon ça revient sur la page blanche... Que faire???!!!

Merci de votre aide!! 


Bonne soirée!

Configuration: iPad / Safari 5.1

g3n-h@ckm@n · Accepted Answer

pas bon ccleaner , suivant la variante tu perds tous tes documents du bureau ou autre. 

on voit bien là que tu n'as pas bien compris le role de cette infection suivant sa variante ...
  
  
¤¤¤¤¤¤¤¤¤¤_Pre_Scan_Concept_¤¤¤¤¤¤¤¤¤¤

Utilisateur anonyme · Answer

Bonjour

Télécharge OTLPE sur le bureau.
Prépare un CD vierge 
Utilise un logiciel de gravure dont tu disposes.
Ou celui-ci Cdburner
Attention il s'agit de graver une imageISO
Note : Le CD gravé, il faut maintenant redémarrer la machine sur le lecteur CDROM 
Pour se faire suivre ce lien : Booter sur un CD 
Tuto OTLPE 

Tu lances l'iso d'OTLPE que tu as gravé. 
Tu choisis le lecteur ou est installé ton système d'exploitation (par défaut C)
Et ensuite Windows
*	une fois le bureau de reatogo chargé , tu lances OTLPE , l'icône jaune 

*	Double-clique sur l'icone OTLPE 
*	quand demandé "Do you wish to load the remote registry", select Yes 
*	Tu choisis ta session
*	Sous Vista et Seven il faut développer l'arborescence du lecteur C qui par défaut embarque Windows et arriver sur le dossier Windows.
Rappel :Tutorial ici : https://forum.malekal.com/viewtopic.php?t=23453&start=
Ensuite
*	sous Custom Scan box 
1) copie_colle le contenu du cadre ci dessous: 

netsvcs 
msconfig 
safebootminimal 
safebootnetwork 
activex 
drivers32 
%ALLUSERSPROFILE%\Application Data\*. 
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%SYSTEMDRIVE%\*.exe 
/md5start 
eventlog.dll 
scecli.dll 
netlogon.dll 
cngaudit.dll 
sceclt.dll 
ntelogon.dll 
logevent.dll 
iaStor.sys 
nvstor.sys 
atapi.sys 
cdrom.sys 
disk.sys 
ndis.sys 
mountmgr.sys 
aec.sys 
rasacd.sys 
mrxsmb10.sys 
mrxsmb20.sys 
termdd.sys 
mrxsmb.sys 
win32k.sys 
storport.sys 
IdeChnDr.sys 
viasraid.sys 
explorer.exe 
winlogon.exe 
wininit.exe
AGP440.sys 
vaxscsi.sys 
nvatabus.sys 
viamraid.sys 
nvata.sys 
nvgts.sys 
iastorv.sys 
ViPrt.sys 
eNetHook.dll 
ahcix86.sys 
KR10N.sys 
nvstor32.sys 
ahcix86s.sys 
nvrd32.sys 
/md5stop 
%systemroot%\*. /mp /s 
%systemroot%\system32\*.dll /lockedfiles 
%systemroot%\Tasks\*.job /lockedfiles 
%systemroot%\system32\drivers\*.sys /lockedfiles 
%systemroot%\System32\config\*.sav 
CREATERESTOREPOINT 

*	copie colle ce texte dans un fichier texte|bloc note que tu enregistres sur clé usb que tu brancheras sous reatogo tu pourras alors facilement le copier\coller. 

*	2) Clic Run Scan pour démarrer le scan. 
*	Une fois terminé , le fichier se trouve là C:\OTL.txt 
*	Copie_colle le contenu dans ta prochaine réponse. 


 
 @+

Benramin · Answer

Merci guillaume, sais tu si je peux au lieu de graver otlpe je peux le télécharger depuis un autre Pc et le mettre sur clé USB? En effet j'ai un netbook et donc pas de lecteur cd :s

Merci en tout cas pour ton temps et ton expertise!

Bonne soiree

Utilisateur anonyme · Answer

Bonjour

Télécharger OTLPEUSB sur ton bureau.

http://sd-4.archive-host.com/membres/up/7739387536519291/OTLPEUSBInstall.exe

Merci à Anthony5151 pour hébergement

 Double-clic sur l'exécutable pour extraire et exécuter le programme.
Insère une clé usb avant de poursuivre.

/!\ Attention ta clé usb sera formaté pour la rendre bootable /!\

Lorsque la fenêtre s'ouvrira, sélectionne la clé que tu souhaites formater
Sélectionnes dans la zone Boot Option : XP (NTLDR) 
Coches la case : OTLPE_Network.iso 
Clic sur le bouton Lancer.
Patiente pendant le formatage et l'installation des fichiers nécessaires pour démarrer OLTPE_Network.
Une fois, terminer ferme le programme

Sur le PC en panne
Redémarre ton PC en t'assurant de booter sur la clé usb en modifiant ta séquence de boot (USB-FDD ou USB-HDD)
Au menu choisir OTLPE Into RAM, Patiente le temps du chargement...

Windows se charge tu arrives sur le bureau  REATOGO-X-PE
Ensuite
Double clique sur   OTLPE 
= Une fenêtre s'ouvre :   Do you wish to load the remote registry  ; Clique sur   YES 
= Une seconde :   Do you wish to load remote user profile(s) for scanning  ; Clique sur   YES 
= Veille à ce que la case   Automatically Load All Remaining Users  soit cochée et appuie sur   OK 

OTL se lance.

= Clique sur   Run Scan  pour démarrer le scanner, cela peut prendre quelques minutes
= Une fois fini le rapport s'ouvre, utilise l'icône d'Internet explorer pour copier coller son contenu dans la réponse.
Note : si tu n'as pas de connexion Internet, sauvegarde le rapport sur un 
périphérique USB
 
@+

Benramin · Answer

Bonjour Guillaume,

Merci encore de ton aide, ca marche jusqu'au lancement de OTLPE, la ca ne me pose pas les questions que tu cites, mais un explorateur windows et je click donc sur le lecteur C ya que un fichier iso, je click dessus et la il y a un msg box qui me dit "target is not windows 2000 or later". je ne sais pas quoi faire d'autre, j'ai tenté de retélécharger le otlpeusb et de le mettre en mode seven au lieu de xp, mais ca ne marche pas plus.

Que puis je faire?

Merci,

Benramin · Answer

Oui il est bien installé sur le C. C'est à dire je click pas sur le dossier windows? Sur le bureau je click sur otlpe une fois sur le bureau reatogo x pe, ce n'est pas ça qu'il faut faire? J'ai windows 7, je ne sais pas si ça a son importance :s

Merci encore de votre aide!!

g3n-h@ckm@n · Answer

deplie avec les petits "+" 

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows NT
\CurrentVersion
\Winlogon

clique gauche sur winlogon

tableau de droite , y'a t-il une valeur Shell avec comme donnée :

"explorer.exe,c:\documents and settings	a session\application data\skype.dat ?

g3n-h@ckm@n · Answer

non tu redemarres ton pc normalement  en tapant

shutdown -r

dans la fenetre noire
  
¤¤¤¤¤¤¤¤¤¤_Pre_Scan_Concept_¤¤¤¤¤¤¤¤¤¤

Benramin · Answer

Pohhhhh génial c'est résolu!!! Merci beaucoup à vous deux!! H@ckm@n et Guillaume!!

Bonne soirée et merci encore!!

Ps: peut être auriez vous des conseils pour finir de me désinfecter et me protéger pour ne plus que ça arrive? ;)

Merci les gars!!!

g3n-h@ckm@n · Answer

bon je continue

c'est pas fini :

tous les processus "non vitaux de windows" vont être coupés , enregistre ton travail. Il y aura une extinction du bureau pendant le scan --> pas de panique.

Désactive toutes tes protections si possible , antivirus , sandbox , pare-feux , etc....: https://forum.pcastuces.com/default.asp

telecharge et enregistre Pre_Scan sur ton bureau :

http://services.service-webmaster.fr/cpt-clics/clics-30453-6820.html (renommé winlogon)

ou , si le lien n'est pas fonctionnel :

http://www.security-helpzone.com/Tools/g3n/winlogon.exe (renommé winlogon)

si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Scan|Kill"

si l'outil est bloqué par l'infection utilise cette version avec ces autres extensions :

http://www.security-helpzone.com/Tools/g3n/Pre_Scan.scr
http://www.security-helpzone.com/Tools/g3n/Pre_Scan.pif
http://www.security-helpzone.com/Tools/g3n/Pre_Scan.com

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

Il se peut que des fenêtres noires clignotent , laisse-le travailler.

l'outil va envoyer sur un serveur les virus qu'il a mis en quarantaine afin que je puisse l'ameliorer et etudier ces infections plus en profondeur.

Laisse l'outil redemarrer ton pc.

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra à la racine de ton disque système ( généralement C:\ )

NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

Heberge le rapport sur https://www.cjoint.com/ puis donne le lien obtenu en echange sur le forum où tu te fais aider

Benramin · Answer

Aucun des 2 liens ne marche et je n'arrive pas à désactiver mon mcafee car n'ai visiblement pas la même version que celle du site du 1er lien. J'ai paramètres rapides et dedans analyse virale à lacces - activée sinon j'ai propriété d'analyse lors de lacces mais dedans je ne peux modifier aucun critère (c'est un Pc fourni par mon école et n'ai donc peut être pas tous les droits :s

g3n-h@ckm@n · Answer

reessaie en mode sans echec avec prise en charge reseau

Benramin · Answer

Pas mieux :s

g3n-h@ckm@n · Answer

faut que tu voies avec l'ecole  alors...

Benramin · Answer

Le truc c que c un Pc qui date dil y a 3ans quand j'étais à l'école mais ne l'étant plus je ne sais pas comment arranger cela :s il n'y a aucune autre façon de se débarrasser définitivement de ce virus?

g3n-h@ckm@n · Answer

si formater l'ordinateur avec un cd de windows

Benramin · Answer

Oh le dégoût!!

g3n-h@ckm@n · Answer

est-ce que tu as une session administrateur en mode sans echec ?

g3n-h@ckm@n · Answer

plus haut tu as dit :

Aucun des 2 liens ne marche

tu peux donner des precisions ?

Benramin · Answer

Vas t'en savoir pourquoi, j'ai refait la manip et ca a marché!!

Voici le lien pour le rapport de winlogon

https://www.cjoint.com/c/CCysSam6945

Merci de ton aide,

Benramin · Answer

Pour info je fais une analyse complete avec Malwarebyte et ai fait un adwcleaner.

Que puis je faire d'autre gen?


Merci,

g3n-h@ckm@n · Answer

poste les deux rapports

g3n-h@ckm@n · Answer

et celuid'adwcleaner ?

g3n-h@ckm@n · Answer

fallait pas lol ^^

y'en a une copie dans le dossier C:\pre_scan 

relance-le , clique sur diag et heberge le rapport Pre_Diag et donne le lien

Benramin · Answer

https://www.cjoint.com/c/CCBlVONaokl

g3n-h@ckm@n · Answer

?

Benramin · Answer

https://www.cjoint.com/c/CCCiswBKDv8

Désolé c'était pas le bon lien :s

g3n-h@ckm@n · Answer

re

desinstalle adobe reader 9
desinstalle tout java

============================= 
 
Pourquoi ton systeme est coupé en deux ? (C et D)

=============================

Fais analyser le(s) fichier(s) suivants sur Virustotal :

Virus Total

    clique sur "Parcourir" et trouve puis selectionne ce(s) fichier(s) :

C:\Windows\system32\370prop.ax 

    * Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
    * Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
    * Lorsque l'analyse est terminée colle le lien de(s)( la) page(s)  dans ta prochaine réponse.

===========================

selectionne ce texte , puis CTRL + C :

Kill::

Key::
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]|[]
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]|[QuickTime Task] 
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]|[iTunesHelper]
[HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\QuickTime Task] 
[HKLM\Software\MozillaPlugins\@microsoft.com/GENUINE]
[HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}] 
[HKCR\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}]
[HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0025-ABCDEFFEDCBA}] 
[HKCR\CLSID\{CAFEEFAC-0016-0000-0025-ABCDEFFEDCBA}] 
[HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}]
[HKCR\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}]   
[HKU\S-1-5-21-3772028017-4244622243-1160242127-32054\Software\YahooPartnerToolbar]     
[HKLM\Software\BrowserChoice]     
[HKCR\Installer\Products\4EA42A62D9304AC4784BF238120652FF]
[HKCR\Installer\Products\4EA42A62D9304AC4784BF238120770FF]

File|Fold::
D:\Users\b.dussault\AppData\Roaming\skype.ini 
D:\Users\b.dussault\AppData\Local\{*} 
D:\Users\B2A6A~1.DUS\AppData\Local\Temp\Low\*.tmp 
C:\Windows\System32\Tasks\CreateChoiceProcessTask         

Clean::

MBR::

Reboot::       

Relance Pre_scan puis choisis l'option "Script"

une page va s'ouvrir

logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler.

sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge.

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille 

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

g3n-h@ckm@n · Answer

d'ac la suite :)

g3n-h@ckm@n · Answer

tu peux preciser ?

Robin des boitiers · Answer

Bonsoir

Je comprend pas toutes ces manipulations, quand j'ai cette page qui s'affiche je fais alt + control + supp eteindre le pc, annuler et ca repare ensuite je passe ccleaner ou je nettoie le cache du navigateur et je passe mon antivirus qui du coup ne trouve rien.

Pour moi ce n'est qu'un gros bebete cookie persistant decliné à toutes les sauces.

Voila mon experience, essayez de faire la même manip si ca vous arrive, je vois pas pourquoi ca ne marcherais pas chez vous aussi.

Cdt.

Benramin · Answer

Salut à tous,

Mon prescan s'interompt au milieu et ne répond plus, ca fait 3 fois que je le lance, 3 fois qu'il fait ca :s

g3n-h@ckm@n · Answer

ôk fais le script en mode sans echec

g3n-h@ckm@n · Answer

bah si tu selectionnes ni copies aucun texte....

Nouveau Virus hadopi oclctic paiement 100€

34 réponses

Discussions similaires