Bug de téléchargement et 'Crypt.XPACK.Gen3', virus ?

Amara -  
Bonsoir à tous,

J'ai besoin de votre aide :)

Je suis sur un pc où il y a apparemment un problème dès que la personne souhaite télécharger une pièce jointe... j'ai fait des essais sur différents webmails, différents navigateurs (Chrome, Firefox et IE), à chaque fois, impossible de télécharger la pièce jointe et même souci pour un simple téléchargement d'un point .exe

AntiVir indique ce message :

'TR/Crypt.XPACK.Gen3' was found in file 'C;\Program Files (x86)\Windows Defender \MpOAV.dll'

Et bien sûr impossible de le supprimer.

Quelqu'un serait-il dispo pour m'aider pas à pas à trouver d'où ça vient et comment supprimer ce virus si ça en est un ?

6 réponses

  1.  Malekal_morte- Modérateur
    Salut,

    A transférer depuis un PC sain avec une clef USB sur le PC infecté, vu que les téléchargements sont impossibles :

    [*] Télécharger sur le bureau https://forum.malekal.com/viewtopic.php?t=29444&start= (suivre le lien officiel)
    [*] !!! ATTENTION !! Sur la page de RogueKiller - "Prendre Lien de téléchargement" - avec les cercles violets. En cliquant sur ces cercles le programme se télécharge.
    [*] Quitter tous les programmes
    [*] Lancer RogueKiller.exe.
    [*] Attendre que le Prescan ait fini ...
    [*] Lance un scan afin de débloquer le bouton Suppression à droite.
    [*] Clic sur Suppression.
    [*] Copie/colle le contenu du rapport ici.

    !!! Je répète bien faire Suppression à droite et poster le rapport. !!!

    Like the angel you are, you laugh creating a lightness in my chest,
    Your eyes they penetrate me,
    (Your answer's always 'maybe')
    That's when I got up and left
    0
    1. Amara
      Merci d'avance de t'occuper de mon cas !

      J'ai téléchargé le logiciel sur un autre pc, transféré sur celui qui est infecté...

      Et là Windows SmartScreen empêche l'exécution, je peux forcer cet obstacle mais ensuite une fenêtre de Paramètre de contrôle de compte utilisateur m'avertit à nouveau, j'accepte quand même.. et rien ne se lance, un dossier vide s'est créé sur le bureau "RK_Quarantine"...

      J'ai retenté la manoeuvre plusieurs fois, un fichier texte s'est alors ajouté, avec ça comme texte :

      [00:00:0016] ***** Global Init *****
      [00:00:0016] Has crashed before : 1
      [00:00:0016] Create mutex : RogueKiller
      [00:00:0032] Mutex Created : 0x228
      [00:00:0032] Fill lists

      J'attends tes directives pour la suite...
      0
      1. Malekal_morte- Modérateur
        et en mode sans échec ?
        0
        1. Amara
          Je n'arrive à rien en faisant F5 ou F8... Quand je fais F12, j'accède aux options de Boot, mais pas d'accès au mode sans échec.. tu saurais comment y accéder sur un DELL ?
          0
        2. Amara
          Je viens de trouver le tuto pour Windows8 -_-
          j'y retourne !
          0
        3. Malekal_morte- Modérateur
          faut faire F8 après l'écran DELL.
          Juste au changement d'écran, vers l'écran qui charge Windows.
          0
        4. Amara
          Bon, après un essai en mode sans échec, même constat : ça ne se lance pas et ça créé un dossier "RK_Quarantine" sur le bureau...
          0
      2. Malekal_morte- Modérateur
        ok ça passe ça ?
        a transférer par clef USB :

        Télécharge et installe Malwarebyte MBAR : https://www.malekal.com/malwarebytes-anti-rootkit-mbar-beta/
        Mets le à jour, fais un scan rapide, supprime tout et poste le rapport ici.
        Enregistre le rapport sur http://pjjoint.malekal.com
        Donne le lien pjjoint ici.

        Attention ce n'est pas Malwarebyte "normal" - Lire le contenu de la page donnée ci-dessus.

        0
        1. Amara
          A la fin du scan : "Scan finished : no malware found" O.o

          Voilà le log :
          http://pjjoint.malekal.com/files.php?id=20130904_u13r14r7l15o15

          Merci !
          0
      4. Malekal_morte- Modérateur
        Télécharge ce fichier sur ton bureau : https://www.malekal.com/download/ZeroAccess_ReparsePoint.cmd
        (sur le lien - Clic droit / enregistrer la cible du lien sous et mets sur le ton bureau).

        Tu dois donc avoir sur ton bureau ZeroAccess_ReparsePoint.cmd

        Redémarre en mode sans échec, pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec et appuye sur la touche entrée du clavier.

        Mets toi sur ta session.

        Sur ZeroAccess_ReparsePoint.cmd
        Clic droit / executer en tant qu'administrateur.
        Une fenêtre noire va s'ouvrir et se fermer.
        Un fichier texte va s'ouvrir, enregistre le sur le bureau (Menu Fichier / Enregistrer sous).

        Redémarre en mode normal.

        Regarde ce que ça donne pour Windows Defender et MSE.
        Donne le contenu du fichier texte.
        0
        1. Amara
          "Regarde ce que ça donne pour Windows Defender et MSE. " C'est à dire ?
          Les téléchargements sont toujours bloqués...

          Voilà le rapport :

          Le volume dans le lecteur C s'appelle OS
          Le num'ro de s'rie du volume est 3833-C5A7

          R'pertoire de C:\Program Files\Windows Defender

          16/08/2013 20:26 <DIR> .
          16/08/2013 20:26 <DIR> ..
          08/11/2012 01:04 1ÿ558ÿ912 DbgHelp.dll
          02/07/2013 00:08 153ÿ248 EppManifest.dll
          16/08/2013 20:26 <DIR> fr-FR
          02/07/2013 00:08 150ÿ688 MpAsDesc.dll
          02/07/2013 00:08 911ÿ032 MpClient.dll
          02/07/2013 02:44 352ÿ208 MpCmdRun.exe
          02/07/2013 00:08 363ÿ976 MpCommu.dll
          02/07/2013 00:08 109ÿ728 MpEvMsg.dll
          02/07/2013 00:08 113ÿ024 MpOAV.dll
          02/07/2013 00:08 516ÿ216 MpRtp.dll
          02/07/2013 00:08 1ÿ606ÿ112 MpSvc.dll
          02/07/2013 00:08 52ÿ848 MpTpmAtt.dll
          02/07/2013 00:08 30ÿ080 mpuxhostproxy.dll
          02/07/2013 00:08 60ÿ648 MpUXSrv.exe
          02/07/2013 00:08 1ÿ420ÿ112 MSASCui.exe
          02/07/2013 00:29 74ÿ240 MsMpCom.dll
          02/07/2013 02:44 16ÿ048 MsMpEng.exe
          02/07/2013 00:08 20ÿ408 MsMpLics.dll
          02/07/2013 00:08 438ÿ944 MsMpRes.dll
          08/11/2012 01:04 149ÿ264 SymSrv.dll
          08/11/2012 01:04 1 SymSrv.yes
          20 fichier(s) 8ÿ097ÿ737 octets
          3 R'p(s) 429ÿ202ÿ804ÿ736 octets libres
          Le volume dans le lecteur C s'appelle OS
          Le num'ro de s'rie du volume est 3833-C5A7

          R'pertoire de C:\Program Files\Windows Defender

          16/08/2013 20:26 <DIR> .
          16/08/2013 20:26 <DIR> ..
          08/11/2012 01:04 1ÿ558ÿ912 DbgHelp.dll
          02/07/2013 00:08 153ÿ248 EppManifest.dll
          16/08/2013 20:26 <DIR> fr-FR
          02/07/2013 00:08 150ÿ688 MpAsDesc.dll
          02/07/2013 00:08 911ÿ032 MpClient.dll
          02/07/2013 02:44 352ÿ208 MpCmdRun.exe
          02/07/2013 00:08 363ÿ976 MpCommu.dll
          02/07/2013 00:08 109ÿ728 MpEvMsg.dll
          02/07/2013 00:08 113ÿ024 MpOAV.dll
          02/07/2013 00:08 516ÿ216 MpRtp.dll
          02/07/2013 00:08 1ÿ606ÿ112 MpSvc.dll
          02/07/2013 00:08 52ÿ848 MpTpmAtt.dll
          02/07/2013 00:08 30ÿ080 mpuxhostproxy.dll
          02/07/2013 00:08 60ÿ648 MpUXSrv.exe
          02/07/2013 00:08 1ÿ420ÿ112 MSASCui.exe
          02/07/2013 00:29 74ÿ240 MsMpCom.dll
          02/07/2013 02:44 16ÿ048 MsMpEng.exe
          02/07/2013 00:08 20ÿ408 MsMpLics.dll
          02/07/2013 00:08 438ÿ944 MsMpRes.dll
          08/11/2012 01:04 149ÿ264 SymSrv.dll
          08/11/2012 01:04 1 SymSrv.yes
          20 fichier(s) 8ÿ097ÿ737 octets
          3 R'p(s) 429ÿ202ÿ804ÿ736 octets libres
          0
      5. Malekal_morte- Modérateur
        A priori, pas de junction.
        Si tu as des ficheirs relatifs à Windows Defender qui sont dans la quarantaine d'Antivir, restaure les.

        Menu Démarrer, dans la barre de recherche tape services.msc
        Dans la liste en bas, vérifie que le service Windows Defender est démarré.
        S'il n'est pas, clic droit / Démarrer.
        Ca donne quoi ?
        0
        1. Amara
          Dans la quarantaine d'AntiVir, j'ai une dizaine de fichiers avec détection de TR/ATRAPS.Gen2
          sur le fichier vssapi.dll.

          Comment savoir s'ils sont en lien avec Windows Defender ? Je les restaure tous ?
          0
        2. Amara
          Et pour l'instant, sans avoir restauré ces fichiers, quand je tape services.msc, Windows Defender n'apparaît pas dans la liste...
          0
        3. Malekal_morte- Modérateur
          c'est tous des faux positifs ça.
          A mon avis, t'as pas installé la bonne version d'Antivir, tu as dû mettre une ancienne non compatible Windows 8 et t'as mis plein de fichiers qu'il faut pas en quarantaine.

          Restaure tout et désinstalle Antivir.
          0
        4. Amara
          Alors.. quand j'essaie de les restaurer, il me dit que ces fichiers existent déjà, me demande si je suis sure de les remplacer, je dis oui... et pourtant ces fichiers restent dans la quarantaine... :/
          0
        5. Amara
          Une chose étrange, quand j'ai voulu désinstaller AntiVir, le pc s'est redémarré avec l'erreur "BAD POOL HEADER", un lien ?
          0

      Discussions similaires

      Iptv beug
      leogauthier15

      1 réponse
      Problème IPTV SMARTER
      eneleh49

      1 réponse
      Smart IPTV met un temps fou à charger depuis que je suis passé à la fibre
      Ancaro13

      3 réponses