un de plus : your privacy is in danger Fermé

Question

Bonjour,

voilà, moi aussi je suis infecté par your privacy is in danger, est ce que quelqu'un pourrait me donner un coup de main car je ne sais pas decrypter les rapports !
j'ai tenté de suivre les conseils donné pour un pb equivalent, tout a fonctionné et 1/4 heure plus tard le virus est réapparu
merci d'avance pour votre aide
Nico

g!rly · Answer

Bonsoir Nicolas,

Télécharge HijackThis ici : 

-> http://www.commentcamarche.net/telecharger/telecharger 159 hijackthis

Tutoriel d´instalation : (Merci a Balltrap34 pour cette réalisation)

-> http://pageperso.aol.fr/balltrap34/Hijenr.gif 

Tutoriel d´utilisation (video) : (Merci a Balltrap34 pour cette réalisation)

-> http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm

Post le rapport généré ici stp...

@+

g!rly · Answer

Tu me remercieras a la fin ;-)

Télécharge combofix.exe (par sUBs) sur ton Bureau.

-> http://download.bleepingcomputer.com/sUBs/ComboFix.exe     

-> Double clique combofix.exe.
-> Tape sur la touche 1 (Yes) pour démarrer le scan.
-> Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse. 

NOTE : Le rapport se trouve également ici : C:\Combofix.txt

Avant d'utiliser ComboFix :

-> Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours.

-> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent géner fortement la procédure de recherche et de nettoyage de l'outil.

Une fois fait, sur ton bureau double-clic sur Combofix.exe.

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.

- En fin de scan il est possible que ComboFix ait besoin de redemarrer le pc pour finaliser la désinfection\recherche, laisses-le faire.

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt)

-> Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet.

-> Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

-> Tutoriel https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Post également un nouveau hijack this stp

@+

g!rly · Answer

ok

Copie le texte ci-dessous :

File::
C:\WINDOWS\mkrndofl.dll
C:\WINDOWS\system32\ctfmona.exe
C:\WINDOWS\system32\uojpjwfq.dll
C:\WINDOWS\system32\oslqgxkv.dll
C:\DOCUME~1
icolas\LOCALS~1\Temp\ms1210235280.exe
C:\WINDOWS\privacy_danger\index.htm

Folder::
C:\WINDOWSeminder
C:\Program Files\WinIFixer
C:\Program Files\RXToolBar
C:\Program Files\XP Antivirus

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{26FC4874-ECF7-4D7B-AC0C-1040582BE725}"=-
[-HKEY_CLASSES_ROOT\clsid\{26fc4874-ecf7-4d7b-ac0c-1040582be725}]
[-HKEY_CLASSES_ROOT\mkrndofl.1]
[-HKEY_CLASSES_ROOT\TypeLib\{9C40AA92-7A24-49B5-8D4A-73D4A3C32D5B}]
[-HKEY_CLASSES_ROOT\mkrndofl]
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"fsc-reminder.exe"=-
"InetChk"=-
"e©ùýùæûïýóÎØøøËøôÖÊýáñûëÞó"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SemanticInsight"=-
"ctfmona"=-
"WinIFixer"=-
"BM87d7187e"=-
"84e42be2"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
"tdomgafw"=-
"wetkadmr"=-
"{92DD2690-877B-42C6-ADBF-D9D361AC1AFF}"=-
"{93993C48-333C-4AF7-AE80-5F56A7E18984}"=-

Ouvre le Bloc-Notes puis colle le texte copié.
(Démarrer\Tous les programmes\Accessoires\Bloc notes.)
Sauvegarde ce fichier sous le nom de CFScript.txt.

Glisse maintenant le fichier CFScript.txt dans Combofix.exe comme ci-dessous :

http://sd-1.archive-host.com/membres/up/1366464061/CFScript.gif

Cela va relancer Combofix, 

Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.

Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!

Ne touche à rien tant que le scan n'est pas terminé.

Après redémarrage, poste le contenu du rapport Combofix.txt accompagné d'un rapport Hijackthis.

S'il n'y a pas de rédémarrage, poste quand même les rapports.

@+

g!rly · Answer

ok bien joué,

a l´aide de hijack this coche et fix les lignes suivantes :

O8 - Extra context menu item: &Search - http://ko.bar.need2find.com/KO/menusearch.html?p=KO
O9 - Extra button: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - C:\Program Files\PartyGaming.Net\PartyPokerNet\RunPF.exe (file missing)
O9 - Extra 'Tools' menuitem: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - C:\Program Files\PartyGaming.Net\PartyPokerNet\RunPF.exe (file missing)
O16 - DPF: {86EEF11E-FF16-48CE-B1A2-474B663041A9} - http://www.sexequalite.com/39220/FanParis.exe

puis

* Télécharge OTMoveIt2 (de Old_Timer) sur ton bureau : http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe
* Double-clique sur OTMoveIt.exe pour lancer le programme,
* Copie la liste de fichiers ou de dossiers ci-dessous et colle-la dans la fenêtre du programme "Paste Custom List of Files/Folders to Move" :

C:\WINDOWS	domgafw.dll
C:\WINDOWS\wetkadmr.dll

* Clique sur MoveIt! pour lancer la suppression,
* Le résultat appraraîtra dans le cadre Results.
* Clique sur Exit pour fermer le programme.
* Poste le rapport qui est situé ici : C:\\_OTMoveIt\MovedFiles
* Il te sera peut-être demandé de redémarrer ton PC. Dans ce cas, clique sur Yes.

puis

Fais un scan avec cet antispyware :

Telecharge malwarebytes + tutoriel :

-> https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

Tu l´instale; le programme va se mettre automatiquement a jour.

Une fois a jour, le programme va se lancer; click sur l´onglet parametre, et coche la case : "Arreter internet explorer pendant la suppression".

Click maintenant sur l´onglet recherche et coche la case : "executer un examun complet".

Puis click sur "rechercher".

Laisse le scanner le pc... 

Si des elements on ete trouvés > click sur supprimer la selection.

si il t´es demandé de redemarrer > click sur "yes".

A la fin un rapport va s´ouvrir; sauvegarde le de maniere a le retrouver en vu de le poster sur le forum.

Copie et colle le rapport stp.

Donc dans ta prochaine réponse post le rapport d´ot_move it celui de malwarebytes ainsi qu´un nouveau rapport hijack this

@+

g!rly · Answer

tu as un tuto ici :

Tutoriel d´utilisation (video) : (Merci a Balltrap34 pour cette réalisation)

-> http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm

c´est bien que tu soie revenue car en faite j´ai des fichiers a rajouter a la supression a l´aide de ot_move it :

C:\WINDOWS\system32\404Fix.exe
C:\WINDOWS\system32\cdsifjlo.exe
C:\WINDOWS\BM87d7187e.xml
C:\WINDOWS\knxsrgte.exe
C:\WINDOWS\system32\kr_done1de
C:\Documents and Settings
icolas\Application Data\serial2.dat

tu les rajoute avec  :

C:\WINDOWS	domgafw.dll
C:\WINDOWS\wetkadmr.dll 

puis passes malwarebytes...

@+

g!rly · Answer

pas terrible...

tu as passé malwarebytes ? 

tu as un nouveau hijack this a me montrer ?

g!rly · Answer

Salut Nicolas,

A l´aide de hijack this coche et fix les lignes ci dessous :
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') 
O21 - SSODL: tdomgafw - {93993C48-333C-4AF7-AE80-5F56A7E18984} - C:\WINDOWS	domgafw.dll (file missing)
O21 - SSODL: wetkadmr - {92DD2690-877B-42C6-ADBF-D9D361AC1AFF} - C:\WINDOWS\wetkadmr.dll (file missing)
O24 - Desktop Component 0: Privacy Protection - (no file)

puis

Télécharge Clean:

-> http://www.malekal.com/download/clean.zip

-> Dézippe tout le contenu dans un dossier que tu auras cré au préalable (sur ton bureau par exemple). Double clic sur clean ou clean.cmd choisie l'option 1.
   
   Un rapport va s'ouvrir, copie et colle le contenu sur le forum.

-> pour ceux ou celles qui auraient un doute sur comment deziper un fichier :

   http://www.tutopat.com/viewtopic.php?t=933&sid=34215b238376bfb22ef9e8eca9995914

et dis moi ce que tu pensse de ca :

A propos de Boonty games

Utilises tu des jeux de boonty games depuis longtemps ?

Voici une petite information sur Boonty games

Leur politique :

"Il se peut que nous partageons aussi des informations payantes avec des tiers
qui fournissent des services payants et partage des données regroupées montrant le type
et le nombre de jeux vidéos que vous téléchargez, votre age, votre sexe, vos occupations,
niveau d'éducation, localité géographique, données sur l'équipement de votre ordinateur,
internet et intérêts pour les jeux vidéos, activités et entraînement des jeux édités.
De plus, nous partageons les adresses email avec des tiers fournisseurs de compte mails
qui nous assistent en envoyant nos mails a de nombreux clients en même temps..."

Si tu es d'accord avec eux, pas de problèmes sinon...

@+

g!rly · Answer

Salut Marie,
Merci oui, je fais aller, tu voie je reprends meme quelques topiks ;)
"On reviend toujours sur le lieu du "crime"..."
Dbisoux`

g!rly · Answer

Re,

ok pas de probleme post le rapport demain...

pour ton histoire de stries, n´aurais tu pas un probleme avec ta carte graphique ?

@+

g!rly · Answer

tu as moyen de l´essayer sur un autre pc ?

g!rly · Answer

Ha oui c´est sur un portable c´est vrai; pas tres pratique...
huum, tu as pas des incompatibilité avec quelque logiciel ou jeux ?

g!rly · Answer

ok`
@dem1.
Bonne soirée`

g!rly · Answer

bonsoir nicolas,

ok le rapport de clean est plutot encourageant ;)

pour le probleme lié a ton ecran , j´avais un ami qui avait un peu les memes symptomes, c´etait du au drivers d´un jeu qu´il avait installé...

sinon :

tu surf avec internet explorer 6.0 = failles de securitées importantes

alors fais les mises a jour windows : tu veux la version 7.0 

https://support.microsoft.com/en-US/topic/internet-explorer-downloads-d49e1f0d-571c-9a7b-d97e-be248806ca70 

et pourquoi ne pas surfer avec firefox? = plus sur,  tout en gardant ie 7.0 pour les mises a jour windows car impossible a effectuer sous firefox

http://www.mozilla-europe.org/fr/

plugins : ad block plus ect...

https://www.hugedomains.com/domain_profile.cfm?d=geckozone&e=org

puis

ta version de acrobat reader n´est pas a jour, tu veux la version 8.1 derniere en date alors desinstale ta version par le panneau de configuration / ajoue et suppression de programme

et instale la derniere :

https://get2.adobe.com/reader/otherversions/

ou oublie completement acrobat reader et instales foxit plus léger a la place:

https://www.clubic.com/telecharger-fiche13808-foxit-reader.html

et

regarde ce tutorial pour mettre ta console java a jour :
 
https://www.malekal.com/maintenir-java-adobe-reader-et-le-player-flash-a-jour/

il faudrait egalement installer un par feu :

je te propose celui ci :

Online armor :

http://www.commentcamarche.net/telecharger/telecharger 34055356 online armor personal firewall

tuto : https://www.malekal.com/tutorial-online-armor-free/

puis tu peux ajouter ceci :

spywareblaster :

http://www.brightfort.com/spywareblaster.html

c´est un resident, il suffit de le mettre a jour de temps en temps car la version gratuite ne le fait pas toute seul , une fois installé et mis a jour tu mets toutes les protections sur "enable"

tuto : https://www.malekal.com/tutorial-spywareblaster/

@+

g!rly · Answer

ok

Pour tes infections, on a irradiqué ce que je voyais dans le hijack this...

Il faudra que l´on fasse un scan a l´aide d´antivir par exemple pour nous assurer que tout va bien :

si tu veux prendre les devant : en meme temps ca serait preferable de le faire avant d´installer le par feu, maintenant que j´y pensse...

voici les reglages pour antivir que j´utilise :

une fois antivir ouvert click surconfiguration et coche la case "expert mode" puis sur l´onglet scanner dans la fenetre du dessous tu va voir : rootkit search click sur le petit + pour deployer et coche la case a coté de ton disk dur
puis click sur configuration en haut a droite; dans la nouvelle fenetre a gauche >scanner > coche "scan all files" et en dessous >scanner priority = High
coche : allow stopping the scanner, comme cela tu peux faire une pause pendant le scan si tu le desir.
puis sur la droite coche les case suivantes : 
scan boot sectors of selected drives
scan master boot sectors
scan memory
search foe rootkit before scan
decoche :
ignore off line files
toujours a gauche > scan > deploie > heuristique > macrovirus heuristic = coché et en dessous > win32 heuristic la case coché et high detection level

Ps : effectue le scan en mode sans echec et post son rapport ;)

@+

g!rly · Answer

Bonsoir,

Click sur le parapluie dans la barre des taches, puis une fois la fenetre d´ antivir ouverte tu click sur configuration en haut a droite, une nouvelle fenetre va s´ouvrir, la tu va voire la case expert mode en haut a gauche...

@+

jlpjlp · Answer

vu le temps dehors il est vrai qu'il faut ouvrir le parapluie :) g!rly

g!rly · Answer

Ah bon y pleut vers chez toi ? snif; par ici ca va...
Un jolie week end en perspective :)

jlpjlp · Answer

chanceuse!!!

g!rly · Answer

Oui mais le reste de l´année c´est pas la joie a helsinki, grrrr fait froid !

jlpjlp · Answer

a oui je vois :)

g!rly · Answer

Cependant la neige et la glace c´est bien aussi, faut juste bien se couvrir...
J´ai par exemple experimenté l´un des talents de jesus : moi aussi je marche sur l´eau; hi hi

jlpjlp · Answer

:)  :)  :)

jlpjlp · Answer

mets la version 8

https://www.malekal.com/avira-free-security-antivirus-gratuit/

g!rly · Answer

merci jlpjlp ;)
oui helsinki c´est sympa`

jlpjlp · Answer

oui cela doit valoir le coup surtout le premier avril pour ses poissons...

g!rly · Answer

j´ai un vague souvenir, oui; l´odeur quand a elle est restée incrusté lol

Un de plus : your privacy is in danger

26 réponses