encore eux : Cryptorbit - Howdecrypt.txt et howdecrypt.gif Résolu/Fermé

Question

Bonjour, 

En lisant ce forum je me rends compte que je ne suis pas seule...
Mon pc est infecté par ce super virus de m... !!!!
Par contre, en lisant les explications, je ne comprends pas grand chose, je suis complètement inculte en informatique.

ma 1ere question est : est-il possible de récupérer mes données, même s'il faut avoir recourt à un antivirus payant ? si oui, lequel est le plus efficace ?

et bien sur, si non : Que dois-je faire ? Sachant que j'ai déjà téléchargé OTL, inscrit le message, et récupérer 2 fichiers un Extras.Txt et un OTL.Txt

autre question : c'est réalisable par des non-initiés ?

merci d'avance pour vos réponses !

Malekal_morte- · Answer

Salut,

Envoie les rapports OTL sur http://pjjoint.malekal.com
donne les liens ici.

moria2001 · Answer

merci

https://pjjoint.malekal.com/files.php?id=20140126_i6i10o157s5

https://pjjoint.malekal.com/files.php?id=20140126_u12d6n10s15o5

Malekal_morte- · Answer

Désinstalle :

MySearchDial.

Quel est l'antivirus installé sur le PC ?



Relance OTL. 
o sous Personnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:  


:OTL
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run: 44413 = c:\docume~1\alluse~1.win\msiwelo.exe (SolarSoftware Dev) 
[2014/01/25 15:18:40 | 000,150,016 | ---- | C] (j727q52OU9) -- C:\WINDOWS\System32\UmwakgAblikr.dll 
[2014/01/25 13:42:40 | 000,000,000 | ---D | C] -- C:\Documents and Settings\All Users.WINDOWS\Application Data\ettmj 
[2014/01/25 13:42:35 | 000,000,000 | ---D | C] -- C:\Documents and Settings\All Users.WINDOWS\Application Data	irk 
[2014/01/25 13:42:35 | 000,000,000 | ---D | C] -- C:\Documents and Settings\All Users.WINDOWS\Application Data\kllvkr 
[2014/01/25 13:42:35 | 000,000,000 | ---D | C] -- C:\Documents and Settings\All Users.WINDOWS\Application Data\ili 
[2014/01/25 13:42:28 | 000,000,000 | ---D | C] -- C:\Documents and Settings\All Users.WINDOWS\Application Data\fcarr 
[2014/01/25 13:22:05 | 000,000,000 | ---D | C] -- C:\Documents and Settings\All Users.WINDOWS\Application Data\wcxswh 
[2008/04/14 13:00:00 | 000,092,672 | -HS- | C] (SolarSoftware Dev) -- C:\Documents and Settings\All Users.WINDOWS\msiwelo.exe 
[2014/01/26 09:54:03 | 000,000,903 | ---- | M] () -- C:\WINDOWS\gtqsn.hso  
[2014/01/26 09:53:51 | 000,001,255 | ---- | M] () -- C:\WINDOWS
cejpsy.mre  
[2014/01/26 09:31:26 | 000,000,392 | ---- | M] () -- C:\WINDOWS\yxww.jga  
[2014/01/25 15:09:18 | 000,231,571 | ---- | M] (FLASH ) -- C:\DOCUME~1\Client\LOCALS~1\Temp\msi16318.exe 
[2014/01/25 13:29:56 | 000,240,663 | ---- | M] (FLASH ) -- C:\DOCUME~1\Client\LOCALS~1\Temp\msi18235.exe 
[2014/01/22 16:10:51 | 000,168,479 | ---- | M] (FLASH ) -- C:\DOCUME~1\Client\LOCALS~1\Temp\msi53738.exe 
[2014/01/25 15:18:40 | 000,231,571 | ---- | M] (FLASH ) -- C:\DOCUME~1\Client\LOCALS~1\Temp\msi54155.exe 
[2014/01/23 16:19:06 | 000,193,637 | ---- | M] (FLASH ) -- C:\DOCUME~1\Client\LOCALS~1\Temp\msi58512.exe 
  
* poste le rapport ici

~~~

Zip le dossier C:\_OTL 
Ouvre Mon Ordinateur / Poste de travail => Disque C 
Tu dois voir le dossier _OTL, ouvre le.
Là tu dois voir un dossier MovedFiles - NE PAS OUVRIR.
Dessus, fais : Clic droit / Envoyer vers dossier compressé.
Cela va créer un fichier MovedFiles.zip
Envoie ce fichier MovedFiles.zip sur http://upload.malekal.com

Ne pas envoyer OTL.exe qui se trouve sur le bureau, bien ouvrir Mon Ordinateur / Poste de travail puis le disque C.


 
 
Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left

moria2001 · Answer

voici le rapport 


========== OTL ==========
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\44413 deleted successfully.
c:\Documents and Settings\All Users.WINDOWS\msiwelo.exe moved successfully.
C:\WINDOWS\system32\UmwakgAblikr.dll moved successfully.
C:\Documents and Settings\All Users.WINDOWS\Application Data\ettmj folder moved successfully.
C:\Documents and Settings\All Users.WINDOWS\Application Data	irk folder moved successfully.
C:\Documents and Settings\All Users.WINDOWS\Application Data\kllvkr folder moved successfully.
C:\Documents and Settings\All Users.WINDOWS\Application Data\ili folder moved successfully.
C:\Documents and Settings\All Users.WINDOWS\Application Data\fcarr folder moved successfully.
C:\Documents and Settings\All Users.WINDOWS\Application Data\wcxswh folder moved successfully.
File C:\Documents and Settings\All Users.WINDOWS\msiwelo.exe not found.
C:\WINDOWS\gtqsn.hso moved successfully.
C:\WINDOWS
cejpsy.mre moved successfully.
C:\WINDOWS\yxww.jga moved successfully.
C:\Documents and Settings\Client\Local Settings\Temp\msi16318.exe moved successfully.
C:\Documents and Settings\Client\Local Settings\Temp\msi18235.exe moved successfully.
C:\Documents and Settings\Client\Local Settings\Temp\msi53738.exe moved successfully.
C:\Documents and Settings\Client\Local Settings\Temp\msi54155.exe moved successfully.
C:\Documents and Settings\Client\Local Settings\Temp\msi58512.exe moved successfully.
 
OTL by OldTimer - Version 3.2.69.0 log created on 01262014_180633



concernant l'antivirus, j'avais la version gratuite d'avast, on m'a conseillé de changer, parce que j'avais qlq problèmes. Ce matin, j'ai donc téléchargé norton (version payante avec 6 mois gratuits... vachement gratuit !!!) il a donc fallu que je désinstalle avast, et les gros problème ont commencé !!!
donc pour répondre à ta question, présentement, aucun antivirus (je sais c'est pas bien, mais chaque chose en son temps !)

moria2001 · Answer

upload réussi... mais, je ne suis pas si nulle que ça !!!

Malekal_morte- · Answer

[*] Télécharger sur le bureau https://forum.malekal.com/viewtopic.php?t=29444&start= (suivre le lien officiel) 
[*] !!! ATTENTION !! Sur la page de RogueKiller - "Prendre Lien de téléchargement" - avec les cercles violets. En cliquant sur ces cercles le programme se télécharge. 
[*] Quitter tous les programmes 
[*] Lancer RogueKiller.exe. 
[*] Attendre que le Prescan ait fini ... 
[*] Lance un scan afin de débloquer le bouton Suppression à droite. 
[*] Clic sur Suppression. 
[*] Copie/colle le contenu du rapport ici. 

!!! Je répète bien faire Suppression à droite et poster le rapport. !!! 


puis :


Télécharge et installe Malwarebyte : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Mets le à jour, fais un scan rapide, supprime tout et copie/colle le rapport ici dans une nouvelle réponse. 
!!! Malwarebyte doit être à jour avant de faire le scan !!! 
Coche tout ce qui est détecté en faisant un clic droit sur la liste puis cocher tout
puis bouton supprimer sélection pour tout supprimer. 

si Malwarebytes demande de redémarrer le PC, redémarre le avant de passer à l'étape suivante.

moria2001 · Answer

rapport roguekiller : RogueKiller V8.8.3 [Jan 24 2014] par Tigzy mail : tigzyRKgmailcom Remontees : http://www.adlice.com/forum/ Site Web : https://www.luanagames.com/index.fr.html Blog : https://www.adlice.com/ Systeme d'exploitation : Windows XP (5.1.2600 Service Pack 3) 32 bits version Demarrage : Mode normal Utilisateur : Client [Droits d'admin] Mode : Suppression -- Date : 01/26/2014 18:36:15 | ARK || FAK || MBR | ¤¤¤ Processus malicieux : 0 ¤¤¤ ¤¤¤ Entrees de registre : 10 ¤¤¤ [RUN][SUSP PATH] HKCU\[...]\Run : Iklsoft (regsvr32.exe "C:\Documents and Settings\Client\Local Settings\Application Data\Iklsoft\NCryptSnap80.dll" [x][-]) -> SUPPRIMÉ [RUN][SUSP PATH] HKUS\S-1-5-21-1960408961-1220945662-1801674531-1004\[...]\Run : Iklsoft (regsvr32.exe "C:\Documents and Settings\Client\Local Settings\Application Data\Iklsoft\NCryptSnap80.dll" [x][-]) -> [0x2] Le fichier spécifié est introuvable. [RUN][SUSP PATH] HKCU\[...]\RunOnce : DelTr14195984 (cmd.exe /c rd /s /q "C:\Documents and Settings\Client\Application Data\mysearchdial" [x][-]) -> SUPPRIMÉ [RUN][SUSP PATH] HKLM\[...]\RunOnce : DelTr14195984 (cmd.exe /c rd /s /q "C:\Documents and Settings\Client\Application Data\mysearchdial" [x][-]) -> SUPPRIMÉ [RUN][SUSP PATH] HKUS\S-1-5-21-1960408961-1220945662-1801674531-1004\[...]\RunOnce : DelTr14195984 (cmd.exe /c rd /s /q "C:\Documents and Settings\Client\Application Data\mysearchdial" [x][-]) -> [0x2] Le fichier spécifié est introuvable. [SERVICE][Root.Necurs] HKLM\[...]\CCSet\[...]\Services : 6977410dc3d7bd21 (C:\WINDOWS\system32\6977410dc3d7bd21.sys [x]) -> SUPPRIMÉ [SERVICE][Root.Necurs] HKLM\[...]\CS001\[...]\Services : 6977410dc3d7bd21 (C:\WINDOWS\system32\6977410dc3d7bd21.sys [x]) -> [0x3] Le chemin d'accès spécifié est introuvable. [SERVICE][Root.Necurs] HKLM\[...]\CS002\[...]\Services : 6977410dc3d7bd21 (C:\WINDOWS\system32\6977410dc3d7bd21.sys [x]) -> SUPPRIMÉ [HJ POL][PUM] HKLM\[...]\System : EnableLUA (0) -> REMPLACÉ (1) [HJ DESK][PUM] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0) ¤¤¤ Tâches planifiées : 0 ¤¤¤ ¤¤¤ Entrées Startup : 0 ¤¤¤ ¤¤¤ Navigateurs web : 0 ¤¤¤ ¤¤¤ Addons navigateur : 0 ¤¤¤ ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ ¤¤¤ Driver : [NON CHARGE 0xc0000001] ¤¤¤ ¤¤¤ Ruches Externes: ¤¤¤ ¤¤¤ Infection : Root.Necurs ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ --> %SystemRoot%\System32\drivers\etc\hosts 127.0.0.1 localhost ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: (\.\PHYSICALDRIVE0 @ IDE) WDC WD5000AAKS-00UU3A0 +++++ --- User --- [MBR] a9523cc72421c1f2849c636b9bfb922b [BSP] 0a211cb8b14724c749d450ba668a8d2e : Windows XP MBR Code Partition table: 0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 476929 Mo User = LL1 ... OK! User = LL2 ... OK! Termine : << RKreport[0]_D_01262014_183615.txt >> RKreport[0]_S_01262014_183319.txt

moria2001 · Answer

j'ai télécharger malwarebytes, je l'ai lancé et lors de la mise à jour j'ai une message : PROGRAM_ERROR_UPDATING (0,0, Host not found)

je fais quoi maintenant ?

Malekal_morte- · Answer

Suis ce tutorial https://www.malekal.com/adwcleaner-supprimer-virus-adwares-pup/?t=33839&start= AdwCleaner ( d'Xplode ) sur ton bureau. 
Vas sur le lien, télécharge AdwCleaner comme indiqué.
Lance AdwCleaner, clique sur [Scanner]. 
Le scan peux durer plusieurs minutes, patienter. 
Une fois le scan terminé, clique sur [Nettoyer] 

Une fois le nettoyage terminé, un rapport s'ouvrira. Copie/colle le contenu du rapport dans ta prochaine réponse par un copier/coller. 
Si cela ne fonctionne pas, utilise le site http://pjjoint.malekal.com pour héberger le rapport, donne le lien du rapport dans un nouveau message. 

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt


~~

refais un scan de suppression sur RogueKiller et donne le rapport.

moria2001 · Answer

je crois que je n'ai pas de chance, le lien vers le site pour télécharger AdwCleaner est introuvable. J'ai fait une recherche par google et j'ai le même résultat... je ne peux me connecter à ma boite mail, j'ai plus accès à d'autres sites.... sinon, rapport de roguekiller RogueKiller V8.8.3 [Jan 24 2014] par Tigzy mail : tigzyRKgmailcom Remontees : http://www.adlice.com/forum/ Site Web : https://www.luanagames.com/index.fr.html Blog : https://www.adlice.com/ Systeme d'exploitation : Windows XP (5.1.2600 Service Pack 3) 32 bits version Demarrage : Mode normal Utilisateur : Client [Droits d'admin] Mode : Recherche -- Date : 01/26/2014 19:17:04 | ARK || FAK || MBR | ¤¤¤ Processus malicieux : 0 ¤¤¤ ¤¤¤ Entrees de registre : 0 ¤¤¤ ¤¤¤ Tâches planifiées : 0 ¤¤¤ ¤¤¤ Entrées Startup : 0 ¤¤¤ ¤¤¤ Navigateurs web : 0 ¤¤¤ ¤¤¤ Addons navigateur : 0 ¤¤¤ ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ ¤¤¤ Driver : [NON CHARGE 0xc0000001] ¤¤¤ ¤¤¤ Ruches Externes: ¤¤¤ ¤¤¤ Infection : ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ --> %SystemRoot%\System32\drivers\etc\hosts 127.0.0.1 localhost ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: (\.\PHYSICALDRIVE0 @ IDE) WDC WD5000AAKS-00UU3A0 +++++ --- User --- [MBR] a9523cc72421c1f2849c636b9bfb922b [BSP] 0a211cb8b14724c749d450ba668a8d2e : Windows XP MBR Code Partition table: 0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 476929 Mo User = LL1 ... OK! User = LL2 ... OK! Termine : << RKreport[0]_S_01262014_191704.txt >> RKreport[0]_D_01262014_183615.txt;RKreport[0]_S_01262014_183319.txt;RKreport[0]_S_01262014_185143.txt RKreport[0]_S_01262014_190124.txt

Malekal_morte- · Answer

Prends le là : https://www.commentcamarche.net/telecharger/securite/2759-adwcleaner/

et refais un scan OTL et donne le rapport.

moria2001 · Answer

j'ai déjà essayé, en fait, mais j'ai un message qui me dit que ma liaison internet est interrompu ??? si j'ouvre une nouvelle page ça bloque. J'utilise Mozilla actuellement, mais j'ai aussi explorer, je l'ai lancé et j'ai le même résultat....

j'ai relancé un scan OTL, fallait-il un message comme tout à l'heure ?

moria2001 · Answer

# AdwCleaner v3.017 - Rapport créé le 26/01/2014 à 20:27:09
# Mis à jour le 12/01/2014 par Xplode
# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
# Nom d'utilisateur : Client - ADMIN-1
# Exécuté depuis : C:\Documents and Settings\Client\Mes documents\Téléchargements\adwcleaner.exe
# Option : Nettoyer

***** [ Services ] *****


***** [ Fichiers / Dossiers ] *****

Dossier Supprimé : C:\Documents and Settings\All Users.WINDOWS\Application Data\ParetoLogic
Dossier Supprimé : C:\Program Files\ParetoLogic
Dossier Supprimé : C:\Program Files\Fichiers communs\ParetoLogic
Dossier Supprimé : C:\Documents and Settings\Client\Application Data\DriverCure
Dossier Supprimé : C:\Documents and Settings\Client\Application Data\Mysearchdial
Dossier Supprimé : C:\Documents and Settings\Client\Application Data\ParetoLogic
Dossier Supprimé : C:\Documents and Settings\Client\Menu Démarrer\Programmes\ParetoLogic
Dossier Supprimé : C:\Documents and Settings\Client\Application Data\Mozilla\Firefox\Profiles\db2gvbat.default\Extensions\{AD9A41D2-9A49-4FA6-A79E-71A0785364C8}
Fichier Supprimé : C:\Documents and Settings\Client\Local Settings\Application Data\mysearchdial-speeddial.crx
Fichier Supprimé : C:\Documents and Settings\Client\Application Data\Mozilla\Firefox\Profiles\db2gvbat.default\searchplugins\Mysearchdial.xml
Fichier Supprimé : C:\Documents and Settings\Client\Application Data\Mozilla\Firefox\Profiles\db2gvbat.default\user.js
Fichier Supprimé : C:\Documents and Settings\Client\Local Settings\Application Data\Google\Chrome\User Data\Default\Local Storage\chrome-extension_pflphaooapbgpeakohlggbpidpppgdff_0.localstorage
Fichier Supprimé : C:\WINDOWS\Tasks\paretologic registration3.job
Fichier Supprimé : C:\WINDOWS\Tasks\paretologic update version3.job
Fichier Supprimé : C:\WINDOWS\Tasks\PC Health Advisor Defrag.job
Fichier Supprimé : C:\WINDOWS\Tasks\PC Health Advisor.job

***** [ Raccourcis ] *****


***** [ Registre ] *****

Clé Supprimée : HKCU\Software\Google\Chrome\Extensions\pflphaooapbgpeakohlggbpidpppgdff
Clé Supprimée : HKLM\SOFTWARE\Google\Chrome\Extensions\pflphaooapbgpeakohlggbpidpppgdff
Clé Supprimée : HKLM\SOFTWARE\Classes\PCProxy.DataContainer
Clé Supprimée : HKLM\SOFTWARE\Classes\protector_dll.protectorbho
Clé Supprimée : HKLM\SOFTWARE\Classes\protector_dll.protectorbho.1
Clé Supprimée : HKLM\SOFTWARE\Classes\SearchBar.Client
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{9DC8FA51-B596-4F77-802C-5B295919C205}
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{C292AD0A-C11F-479B-B8DB-743E72D283B0}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{1D970ED5-3EDA-438D-BFFD-715931E2775B}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{3E28F712-0D6C-4EE3-AC8C-8F060F5D7C33}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{533403E2-6E21-4615-9E28-43F4E97E977B}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{6CE321DA-DC11-45C6-A0FC-4E8A7D978ABC}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{6EEBC7FF-67DA-4B90-9251-C2C5696E4B48}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{74137531-80F7-406F-9543-7D11385FA8C8}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{832599B2-55BF-4437-8F3E-030CF5AEB262}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{AE91F9CE-0900-4E2A-B673-F3F6E4FC54D9}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{B1A429DB-FB06-4645-B7C0-0CC405EAD3CD}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{C9A6357B-25CC-4BCF-96C1-78736985D412}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{D40753C7-8A59-4C1F-BE88-C300F4624D5B}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{DD67706E-819E-4EBD-BF8D-6D6147CC7A49}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{F62A4AF9-58B4-4FEC-89CC-D717A547D8E8}
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{C292AD0A-C11F-479B-B8DB-743E72D283B0}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{1D970ED5-3EDA-438D-BFFD-715931E2775B}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{1D970ED5-3EDA-438D-BFFD-715931E2775B}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{3004627E-F8E9-4E8B-909D-316753CBA923}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{C9A6357B-25CC-4BCF-96C1-78736985D412}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EF5625A3-37AB-4BDB-9875-2A3D91CD0DFD}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{1D970ED5-3EDA-438D-BFFD-715931E2775B}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{3004627E-F8E9-4E8B-909D-316753CBA923}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{C9A6357B-25CC-4BCF-96C1-78736985D412}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{EF5625A3-37AB-4BDB-9875-2A3D91CD0DFD}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{77AA745B-F4F8-45DA-9B14-61D2D95054C8}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{77AA745B-F4F8-45DA-9B14-61D2D95054C8}
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [{C9A6357B-25CC-4BCF-96C1-78736985D412}]
Clé Supprimée : HKCU\Software\InstallCore
Clé Supprimée : HKCU\Software\mysearchdial.com
Clé Supprimée : HKCU\Software\ParetoLogic
Clé Supprimée : HKCU\Software\YahooPartnerToolbar
Clé Supprimée : HKLM\Software\mysearchdial
Clé Supprimée : HKLM\Software\ParetoLogic
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{3CBF3EBB-235D-4c29-A68B-2BB1F428586E}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{A047FE02-C91C-41CB-898C-4ED21B86025A}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{3CBF3EBB-235D-4c29-A68B-2BB1F428586E}
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\464AA55239C100F32AF2D438EDDC0F47
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\5652BA3D5FB98AE31B337BF0AF939856
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\86EB95E1AFCBABE3DB9ECCC669B99494

***** [ Navigateurs ] *****

-\ Internet Explorer v8.0.6001.18702

Paramètre Restauré : HKLM\SOFTWARE\Microsoft\Internet Explorer\Main [Start Page]
Paramètre Restauré : HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURls [Tabs]

-\ Mozilla Firefox v26.0 (fr)

[ Fichier : C:\Documents and Settings\Client\Application Data\Mozilla\Firefox\Profiles\db2gvbat.default\prefs.js ]

Ligne Supprimée : user_pref("browser.search.defaultenginename", "Mysearchdial");
Ligne Supprimée : user_pref("browser.search.order.1", "Mysearchdial");
Ligne Supprimée : user_pref("browser.search.selectedEngine", "Mysearchdial");
Ligne Supprimée : user_pref("extensions.mysearchdial.AL", 2);
Ligne Supprimée : user_pref("extensions.mysearchdial.aflt", "tele0103");
Ligne Supprimée : user_pref("extensions.mysearchdial.appId", "{CA5CAA63-B27C-4963-9BEC-CB16A36D56F8}");
Ligne Supprimée : user_pref("extensions.mysearchdial.cd", "2XzuyEtN2Y1L1QzutDtDtC0F0CyC0B0Ezz0DzytC0A0DyB0DtN0D0Tzu0SyByDyCtN1L2XzutBtFtBtFtCyDtFtCyCtAtCtN1L1CzutBtAtDtC1N1R");
Ligne Supprimée : user_pref("extensions.mysearchdial.cntry", "FR");
Ligne Supprimée : user_pref("extensions.mysearchdial.cr", "729292807");
Ligne Supprimée : user_pref("extensions.mysearchdial.dfltLng", "");
Ligne Supprimée : user_pref("extensions.mysearchdial.dfltSrch", true);
Ligne Supprimée : user_pref("extensions.mysearchdial.dnsErr", true);
Ligne Supprimée : user_pref("extensions.mysearchdial.dpkLst", "3654782829,1334533236,1121012847,231756876,1895130307,603719297,4288797614,3754950497,426401714,3046281807,752626116,1657571787,3224935090,2597085128,18285[...]
Ligne Supprimée : user_pref("extensions.mysearchdial.excTlbr", false);
Ligne Supprimée : user_pref("extensions.mysearchdial.hdrMd5", "01182DA243ECCD4311885E4BB7DD4D25");
Ligne Supprimée : user_pref("extensions.mysearchdial.hmpg", true);
Ligne Supprimée : user_pref("extensions.mysearchdial.hmpgUrl", "hxxp://start.mysearchdial.com/?f=1&a=tele0103&cd=2XzuyEtN2Y1L1QzutDtDtC0F0CyC0B0Ezz0DzytC0A0DyB0DtN0D0Tzu0SyByDyCtN1L2XzutBtFtBtFtCyDtFtCyCtAtCtN1L1CzutBt[...]
Ligne Supprimée : user_pref("extensions.mysearchdial.id", "001FC6BE8D91AD7D");
Ligne Supprimée : user_pref("extensions.mysearchdial.instlDay", "16096");
Ligne Supprimée : user_pref("extensions.mysearchdial.instlRef", "");
Ligne Supprimée : user_pref("extensions.mysearchdial.lastB", "hxxp://start.mysearchdial.com/?f=1&a=tele0103&cd=2XzuyEtN2Y1L1QzutDtDtC0F0CyC0B0Ezz0DzytC0A0DyB0DtN0D0Tzu0SyByDyCtN1L2XzutBtFtBtFtCyDtFtCyCtAtCtN1L1CzutBtAt[...]
Ligne Supprimée : user_pref("extensions.mysearchdial.lastVrsnTs", "1.8.21.011:44:6");
Ligne Supprimée : user_pref("extensions.mysearchdial.newTabUrl", "hxxp://start.mysearchdial.com/?f=2&a=tele0103&cd=2XzuyEtN2Y1L1QzutDtDtC0F0CyC0B0Ezz0DzytC0A0DyB0DtN0D0Tzu0SyByDyCtN1L2XzutBtFtBtFtCyDtFtCyCtAtCtN1L1Czut[...]
Ligne Supprimée : user_pref("extensions.mysearchdial.pnu_base", "{\"newVrsn\":\"90\",\"lastVrsn\":\"90\",\"vrsnLoad\":\"\",\"showMsg\":\"false\",\"showSilent\":\"false\",\"msgTs\":0,\"lstMsgTs\":\"0\"}");
Ligne Supprimée : user_pref("extensions.mysearchdial.prdct", "mysearchdial");
Ligne Supprimée : user_pref("extensions.mysearchdial.prtnrId", "mysearchdial");
Ligne Supprimée : user_pref("extensions.mysearchdial.sg", "none");
Ligne Supprimée : user_pref("extensions.mysearchdial.srchPrvdr", "Mysearchdial");
Ligne Supprimée : user_pref("extensions.mysearchdial.tlbrId", "base");
Ligne Supprimée : user_pref("extensions.mysearchdial.tlbrSrchUrl", "hxxp://start.mysearchdial.com/?f=3&a=tele0103&cd=2XzuyEtN2Y1L1QzutDtDtC0F0CyC0B0Ezz0DzytC0A0DyB0DtN0D0Tzu0SyByDyCtN1L2XzutBtFtBtFtCyDtFtCyCtAtCtN1L1Cz[...]
Ligne Supprimée : user_pref("extensions.mysearchdial.vrsn", "1.8.21.0");
Ligne Supprimée : user_pref("extensions.mysearchdial.vrsni", "1.8.21.0");
Ligne Supprimée : user_pref("extensions.mysearchdial_i.hmpg", true);
Ligne Supprimée : user_pref("extensions.mysearchdial_i.newTab", false);
Ligne Supprimée : user_pref("extensions.mysearchdial_i.smplGrp", "none");
Ligne Supprimée : user_pref("extensions.mysearchdial_i.vrsnTs", "1.8.21.011:44:6");
Ligne Supprimée : user_pref("extensions.wrc.SearchRules.ask.com.style", ".WRCN {display:none} #yui-main .tsrc_vnru .title + .WRCN, #yui-main #teoma-results .title + .WRCN {display:inline !important; background: url(\"I[...]
Ligne Supprimée : user_pref("extensions.wrc.SearchRules.ask.com.url", "^hxxp(s)?\:\/\/(.+\.)?ask\.com\/.*");
Ligne Supprimée : user_pref("extensions.wrc.SearchRules.rambler.ru.style", ".WRCN {display:none} .search-results .title + .WRCN {display:inline !important; background: url(\"IMAGE\") right no-repeat}");

-\ Google Chrome v32.0.1700.76

[ Fichier : C:\Documents and Settings\Client\Local Settings\Application Data\Google\Chrome\User Data\Default\preferences ]

Supprimée : homepage

*************************

AdwCleaner[R0].txt - [11421 octets] - [26/01/2014 20:24:33]
AdwCleaner[S0].txt - [11133 octets] - [26/01/2014 20:27:09]

########## EOF - C:\AdwCleaner\AdwCleaner[S0].txt - [11194 octets] ##########

moria2001 · Answer

https://pjjoint.malekal.com/files.php?id=20140126_u9u13b105c8

et voici le lien pour le 2nd rapport OTL...

je lirais la suite de tes instructions demain.

merci pour ton aide, et bonne soirée

Malekal_morte- · Answer

Relance OTL. 
o sous Personnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:  


:OTL
DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Program Files\Enigma Software Group\SpyHunter\esgiguard.sys -- (esgiguard)  
[2008/04/14 13:00:00 | 000,092,672 | -HS- | C] (SolarSoftware Dev) -- C:\Documents and Settings\All Users.WINDOWS\msiwelo.exe 


* poste le rapport ici




~~~

Zip le dossier C:\_OTL 
Ouvre Mon Ordinateur / Poste de travail => Disque C 
Tu dois voir le dossier _OTL, ouvre le.
Là tu dois voir un dossier MovedFiles - NE PAS OUVRIR.
Dessus, fais : Clic droit / Envoyer vers dossier compressé.
Cela va créer un fichier MovedFiles.zip
Envoie ce fichier MovedFiles.zip sur http://upload.malekal.com

Ne pas envoyer OTL.exe qui se trouve sur le bureau, bien ouvrir Mon Ordinateur / Poste de travail puis le disque C.

 
 
Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left

moria2001 · Answer

========== OTL ==========
Service esgiguard stopped successfully!
Service esgiguard deleted successfully!
File C:\Program Files\Enigma Software Group\SpyHunter\esgiguard.sys not found.
C:\Documents and Settings\All Users.WINDOWS\msiwelo.exe moved successfully.
 
OTL by OldTimer - Version 3.2.69.0 log created on 01272014_083630


et upload réussi !

Malekal_morte- · Answer

https://www.virustotal.com/gui/file/83bb144568e28c136322d0bcb7fe423b4c589eaa0b840167baf0c813db47bdcf

AntiVir	 TR/Crypt.ZPACK.46577	 20140127
Avast	 Win32:Rootkit-gen [Rtk]	 20140127
Baidu-International	 Backdoor.Win32.Androm.aUL	 20140127
Comodo	 UnclassifiedMalware	 20140127
ESET-NOD32	 Win32/TrojanDownloader.Wauchos.Z	 20140126
Emsisoft	 Backdoor.Win32.Androm (A)	 20140127
Fortinet	 W32/Wauchos.Z!tr.dldr	 20140127
Kaspersky	 Backdoor.Win32.Androm.bmdt	 20140127
Kingsoft	 Win32.Hack.Androm.bm.(kcloud)	 20130829
Malwarebytes	 Backdoor.Bot	 20140127
McAfee	 Artemis!1A7D3AA4036D	 20140127
McAfee-GW-Edition	 Artemis!1A7D3AA4036D	 20140127
Qihoo-360	 HEUR/Malware.QVM10.Gen	 20140122
Sophos	 Mal/Generic-S	 20140127
Symantec	 WS.Reputation.1	 20140127
TrendMicro-HouseCall	 TROJ_GEN.F47V0125	 20140127 


~~

Tu as le contrôle parental mais je suis pas sûr que tu aies un antivirus ?
 
Installe Avast! : https://www.malekal.com/tutoriel-antivirus-avast

Mets à jour Malwarebytes et refais un scan avec et donne le rapport.

moria2001 · Answer

Je sais que je n'ai pas d'antivirus. Hier matin, j'ai désinstallé la version gratuite d'Avast pour installer Norton. Mais j'avais déjà ce virus puisque j'ai du l'avoir samedi vers 13h (date de création de ces fichiers howdecrypt).
Lorsque mon mari a allumé l'ordinateur dimanche matin, il m'a demandé si c'était moi qui avait enlevé le fond d'écran... de plus j'avais un message au démarrage :
DllRegisterServer Iklsolft\NCryptSnap80.dll  ne s'applique pas correctement ou qlq chose comme ça.

Au départ j'ai cru que c'était un problème de l'ordi et non un virus, d'où l'installation de paretologic PC et d'autres trucs... et puis j'ai vu ces fameux fichiers et j'ai fait des recherches et je suis tombée sur ce site...

bon bref, je ne comprends pas le début de ton message...
j'ai lancé Malwarebytes, j'attends qu'il ait fini de tourner et je réinstalle Avast.

je vais y arriver, je vais y arriver !!!

moria2001 · Answer

Malwarebytes Anti-Malware (Essai) 1.75.0.1300
www.malwarebytes.org

Version de la base de données: v2014.01.27.04

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Client :: ADMIN-1 [administrateur]

Protection: Désactivé

27/01/2014 09:58:32
MBAM-log-2014-01-27 (10-35-28).txt

Type d'examen: Examen complet (C:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 406653
Temps écoulé: 36 minute(s), 1 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 1
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run|44413 (Backdoor.Bot) -> Données: c:\docume~1\alluse~1.win\msiwelo.exe -> Aucune action effectuée.

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 19
C:\Documents and Settings\All Users.WINDOWS\msiwelo.exe (Backdoor.Bot) -> Aucune action effectuée.
C:\RECYCLER\S-1-5-21-1960408961-1220945662-1801674531-1004\Dc12.rar (Backdoor.Bot) -> Aucune action effectuée.
C:\RECYCLER\S-1-5-21-1960408961-1220945662-1801674531-1004\Dc13.zip (Backdoor.Bot) -> Aucune action effectuée.
C:\System Volume Information\_restore{E435D957-9F2E-4D82-B27F-0AD5F66542CC}\RP901\A0142640.exe (Trojan.LVBP) -> Aucune action effectuée.
C:\System Volume Information\_restore{E435D957-9F2E-4D82-B27F-0AD5F66542CC}\RP901\A0142641.exe (Trojan.Agent.ED) -> Aucune action effectuée.
C:\System Volume Information\_restore{E435D957-9F2E-4D82-B27F-0AD5F66542CC}\RP902\A0142734.exe (Trojan.LVBP) -> Aucune action effectuée.
C:\System Volume Information\_restore{E435D957-9F2E-4D82-B27F-0AD5F66542CC}\RP902\A0142786.exe (Trojan.Inject) -> Aucune action effectuée.
C:\System Volume Information\_restore{E435D957-9F2E-4D82-B27F-0AD5F66542CC}\RP902\A0142787.exe (Trojan.Inject) -> Aucune action effectuée.
C:\System Volume Information\_restore{E435D957-9F2E-4D82-B27F-0AD5F66542CC}\RP902\A0142788.exe (Trojan.Inject) -> Aucune action effectuée.
C:\System Volume Information\_restore{E435D957-9F2E-4D82-B27F-0AD5F66542CC}\RP902\A0142789.exe (Trojan.Inject) -> Aucune action effectuée.
C:\_OTL\MovedFiles.zip (Backdoor.Bot) -> Aucune action effectuée.
C:\_OTL\MovedFiles\01262014_180633\c_Documents and Settings\All Users.WINDOWS\msiwelo.exe (Backdoor.Bot) -> Aucune action effectuée.
C:\_OTL\MovedFiles\01262014_180633\c_Documents and Settings\Client\Local Settings\Temp\msi16318.exe (Trojan.Zbot) -> Aucune action effectuée.
C:\_OTL\MovedFiles\01262014_180633\c_Documents and Settings\Client\Local Settings\Temp\msi18235.exe (Trojan.Zbot) -> Aucune action effectuée.
C:\_OTL\MovedFiles\01262014_180633\c_Documents and Settings\Client\Local Settings\Temp\msi53738.exe (Backdoor.Bot) -> Aucune action effectuée.
C:\_OTL\MovedFiles\01262014_180633\c_Documents and Settings\Client\Local Settings\Temp\msi54155.exe (Trojan.Zbot) -> Aucune action effectuée.
C:\_OTL\MovedFiles\01262014_180633\c_Documents and Settings\Client\Local Settings\Temp\msi58512.exe (Trojan.Zbot) -> Aucune action effectuée.
C:\_OTL\MovedFiles\01272014_083506\C_Documents and Settings\All Users.WINDOWS\msiwelo.exe (Backdoor.Bot) -> Aucune action effectuée.
C:\_OTL\MovedFiles\01272014_083630\C_Documents and Settings\All Users.WINDOWS\msiwelo.exe (Backdoor.Bot) -> Aucune action effectuée.

(fin)


et maintenant je lance avast...

moria2001 · Answer

j'ai lancé avast, puis redémarrer mon pc. un scan (sous dos, c'est possible ?) s'est lancé et j'ai mis correction automatique...

j'ai toujours pas accès à mes fichiers...
il faut que j'aille mettre un cierge à l'église ?

Malekal_morte- · Answer

Pour tes fichiers, c'est mort.
On ne peux rien faire, désolé.

moria2001 · Answer

concrètement, maintenant je fais quoi ?
- Je formate tout et je réinstalle le système ?
- Je supprime tous mes fichiers...
- Je cours voir la boite d'informatique la plus proche de chez moi ? parce que je ne sais pas formater et tout réinstaller...
 - Je pleure....

mon pc est encore infecté ou pas, ou c'est juste mes fichiers qui sont foutus ? (j'avais quoi comme virus ?)

Malekal_morte- · Answer

Normalement on devrait pouvoir désinfecter le PC.
Par contre pour tes documents, c'est fini, personne ne pourra les récupérer.

Refais un scan OTL et donne le rapport.

moria2001 · Answer

je ne mets rien dans personnalisation ?

moria2001 · Answer

https://pjjoint.malekal.com/files.php?id=20140127_9w13d12e13k14

verdict, docteur ?

Malekal_morte- · Answer

Ca doit être bon.
Change tous tes mots de passe.

Fais des scans Malwarebytes ne le mettant à jour, ces prochains jours.

##


Important - ton infection est venue par un exploit sur site web :   

Un exploit sur site WEB permet l'infection de ton ordinateur de manière automatiquement à la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à ton insu.  
Le fait de ne pas avoir des logiciels à jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système.  
Exemple avec : Exploit Java  

Il faut donc impérativement maintenir tes logiciels à jour afin de ne pas voir ces portes d'entrée sur ton système.
Tant que ces logiciels ne seront pas à jour, ton PC est vulnérable et les infections peuvent s'installer facilement.

IMPORTANT : mettre à jour tes programmes notamment Java/Adobe Reader et Flash : 
/faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite     
https://forum.malekal.com/viewtopic.php?t=15960&start=  

Désactive Java de tes navigateurs WEB  : https://www.commentcamarche.net/faq/35621-desactiver-java-sur-ses-navigateurs-web


Passe le mot à tes amis ! 

~~

Filtrer les PUPs/Adwares les plus fréquents avec HOSTS Anti-PUPs/Adwares : http://www.malekal.com/2012/01/10/hosts-anti-pupsadware/

~~

Le reste de la sécurité : http://forum.malekal.com/comment-securiser-son-ordinateur.html

 
 
Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left

moria2001 · Answer

merci pour ton aide, je vais lire avec attention les infos sur tes liens, et tenter de ne plus me faire avoir...

vince · Answer

Je vois que pas mal de monde s'est fait avoir par cette saleté de virus .
Pour infos ne supprimez pas vos fichier qui ont été cryptés par cryptorbit.
En fait seul les entête des fichiers sont cryptées . Les données elles sont intactes .
Et on est chanceux car des sociétés se sont spécialisées dans la réparation de fichiers. Pour ma part j'ai récupéré toutes  mes photos grâce à pixrecovery  http://www.officerecovery.com/pixrecovery/  . Le logiciel est payant mais efficace. Donc à vous de voir !

Encore eux : Cryptorbit - Howdecrypt.txt et howdecrypt.gif

28 réponses