VIRUS WIN32 SKIMORPH ET ROODRO

Question

Bonjour,
j'aurai bien besoin d'aide personnalisée pour une infection par:

WIN32 SKIMORPH [ CRYP ]
WIN32 ROODRO [DRP ]

Au total 7 fichiers tous localisés C:\system volume information \_restor

Je traine cette infection depuis plus d'un an, et pensait m'en etre debarrassé mais et revenu depuis la mise a jour de MSN. C'est avast qui me sert d'anti virus version 4.7 edition familiale.

Merci de me repondre au plus vite.
Cordialement.
Aurélie

totobetourne · Answer

bonsoir

merci de faire cela.

1)telecharge

http://www.commentcamarche.net/telecharger/telecharger 34055374 msn fix

Décompresse-le (clique droit >> Extraire ici) et place les fichiers dans C:\MSNFix (très important).
Double cliquer sur le fichier MSNFix.bat.
- Exécutez l'option R.
-- Si l'infection est détectée, un message l'indiquera et il suffira de presser une touche pour lancer le nettoyage.

Note :
-Si une erreur de suppression est détectée un message s'affichera demandant de redémarrer l'ordinateur afin de terminer les opérations. Dans ce cas il suffit de redémarrer l'ordinateur en mode normal
- Le rapport sera enregistré dans le même dossier que MSNFix sous forme date_heure.txt
Sauvegardez ce rapport puis faites un copier/coller de ce rapport sur ce forum.




2)telecharge cela:util pour voir ce que peut etre l infection et agir ensuite.

http://www.commentcamarche.net/telecharger/telecharger 159 hijackthis

installe le normallement comme tout autre programme dans c/programme/...............
clique sur do a scan and save a logfile, tu obtiens un rapport que tu colles.
parfois alerte comme quoi, sans la fonction administrateur le rapport ne peut pas etre complet .
a ce moment relance hijack avec un clique droit sur le raccourci et executer en tant qu administrateur.

jacques.gache · Answer

bonjour, si tes infections sont toutes dans C:\system volume information \_restor  tu déactives et tu réactives la restauration système car cette adresse est celle de la restauration système et cela aura pour effet de la purger et de repartir sur un point de restauration système sain suis cette procédure et puis si tu as un doute et même par précaution passe malwarebytes en mode sans echec par précaution 

Supprimer les anciens points de restauration 

(1) Désactiver la Restauration du système

cliques sur Démarrer
Cliques droit sur Poste de travail 
cliques sur Propriétés
Cliques sur l'onglet Restauration du système
Coches Désactiver la Restauration du système sur tous les lecteurs
Cliques sur Appliquer, Lorsque le message de confirmation apparaît, 
cliques sur Oui.
Cliques sur OK.


(2) Activer la Restauration du système


cliques sur Démarrer
Cliques droit sur Poste de travail 
cliques sur Propriétés
Cliques sur l'onglet Restauration du système
Décoches Désactiver la Restauration du système sur tous les lecteurs
Cliques sur Appliquer, Lorsque le message de confirmation apparaît,
cliques sur Oui.
Cliques sur OK.

*****************************************************************************************

passes malwarebytes en mode sans echec comme expliqué

Télécharge Malwarebytes' Anti-Malware: https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

. sur la page cliques sur Télécharger Malwarebyte's Anti-Malware
. enregistres le sur le bureau
. Double cliques sur le fichier téléchargé pour lancer le processus d'installation.
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour
. si le pare-feu demande l'autorisation  de se connecter pour malwarebytes, acceptes
. Une fois la mise à jour terminée,fermes Malwarebytes
. redemarres en mode sans échec  pour savoir comment au cas ou tu ne saurrais pas regarde plus bas
. une fois en mode sans echec tu double-cliques sur l'icône de malwarebytes
. une fois ouvert rend-toi dans l'onglet, Recherche
. Sélectionnes  Exécuter un examen complet
. Cliques sur Rechercher
. Le scan démarre.
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.
. Cliques sur Ok pour poursuivre.
. Si des malwares ont été détectés, cliques sur Afficher les résultats
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
. redemarre le pc
. une fois redémarré en mode normal double-cliques sur malwarebytes
. rends toi dans l'onglet rapport/log
. tu cliques dessus pour l'afficher une fois affiché
. tu cliques sur edition en haut du boc notes,et puis sur sélectionner tous
. tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. tu cliques droit dans le cadre de la reponse et coller


Si tu as besoin d'aide regarde ce tutoriel :
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/


(attention : pas de connexion possible en mode sans échec , donc copies ou imprimes bien la manipe pour éviter les erreurs ...)

pour redémarrer en mode sans échec : /!\ Ne jamais démarrer en mode sans échec via MSCONFIG /!\ 
 


. Cliques sur Démarrer
. Cliques sur Arrêter
. Sélectionnes Redémarrer et au redémarrage
. Appuis sur la touche F8 sans discontinuer "1 appuis seconde" dès qu'un écran de texte apparaît puis disparaît
. Utilises les touches de direction pour sélectionner mode sans échec
. puis appuis sur ENTRÉE
. Il faudra choisir ta session habituelle, pas le compte "Administrateur" ou une autre
une fois démarré ne t'inquiette pas si les couleurs et les icônes ne sont pas comme d'abitude 

tuto:http://www.vista-xp.fr/forum/topic93.html

totobetourne · Answer

je ne suis pas vraiment d accord a enlever les points de restauration maintenant car si le systeme plante on a meme pas un point pour reprendre la desinfection.

il faut mieux efectuer avant malwarebyte car si il reconnait l infection il verifie la restauration et ellimine ce qui est infecte.

jacques.gache · Answer

totobetourne bonsoir, tout à fait d'accord avec toi , j'aurai du par sécurité faire faire malwarebytes en premier .
lilly54 passes malwarebytes en premier avant de purger la restauration

totobetourne · Answer

fait comme indique , il n y a aucun fichier a mettre juste a extraire.

totobetourne · Answer

passe malwarebyte a ce moment comme indique et colle le rapport.

totobetourne · Answer

maintenant

colle le rapport d'un scan en ligne.cela se fait avec internet explorer et il faut acepter un active x pour que le scan puisse s effectuer.

bitdefender en ligne :il desinfecte en meme temps
http://www.bitdefender.fr/scan_fr/scan8/ie.html

Panda en ligne :
http://pandasoftware.fr

Kaspersky en ligne
https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr

totobetourne · Answer

cela a l air d etre bon.

mais il reste encore des choses a effectuer.

1)Relance hijack et clique sur "Do a system scan only"
Ensuite recherche ces lignes et coches les cases

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime     
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe     
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background     
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User '?')     
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User '?')     
O4 - HKUS\S-1-5-21-708540555-4029948336-3178217619-1008\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe (User '?')     
O4 - HKUS\S-1-5-21-708540555-4029948336-3178217619-1011\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe (User '?')     
O4 - HKUS\S-1-5-18\..\Run: [Picasa Media Detector] C:\Program Files\Picasa2\PicasaMediaDetector.exe (User '?')     
O4 - HKUS\.DEFAULT\..\Run: [Picasa Media Detector] C:\Program Files\Picasa2\PicasaMediaDetector.exe (User 'Default user')     
 O4 - .DEFAULT User Startup: AutoTBar.exe (User 'Default user')  



Ensuite clique sur "Fix checked"





2)pare-feu gratuits:regle un seul pare feu sur un ordi.telecharge un des suivants ensuite deconnecte toi.
puis desactive le pare feu windows(aller dans le centre de securite puis pare feu windows et la desactive le)
puis installe celui de ton choix.

je te conseille un des 2(en anglais mais simple avec le tuto qui est donne) 

Comodo pro Firewall
http://www.commentcamarche.net/telecharger/telecharger 34055041 comodo firewall pro
Tuto pour la 3.0
https://infomars.fr/forum/index.php?showtopic=1225

ou 

OnlineArmor :
téléchargement:https://www.commentcamarche.net/telecharger/ 34055356 online armor personal firewall

tutoriels:https://forum.pcastuces.com/sujet.asp?f=25&s=35606
:http://www.malekal.com/tutorial_Online_Armor.ph

il y en a d autres mais d apres les test de matousec en gratuit il n y en a pas bcp d autre.
http://www.matousec.com/index.html





3)passe a mozilla 3 au lieu d internet explorer car c est bien plus sur.

http://www.commentcamarche.net/telecharger/telecharger 111 firefox




4)aussi avast est un peu depasse pour l instant de mieux en gratuit il y a antivir ou avg 8 antivirus

totobetourne · Answer

a ce moment refais le mais en mode sans echec , mais si tu n y arrives pas , ce n est pas bien grave.

lilly54 · Answer

bonjour me revoila !

       Alors j'ai essayé de supprimer cette fameuse ligne en mode sans echec, mais pas possible, elle revient a chaque scan... 

04 - .DEFAULT User Startup: AutoTBar.exe (User 'Default user') 


       Et j'ai eu la surprise de retrouver d'autres lignes qui avaient pourtant été bien " fick checked"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKUS\S-1-5-21-708540555-4029948336-3178217619-1008\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe (User '?')
O4 - HKUS\S-1-5-21-708540555-4029948336-3178217619-1011\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe (User '?')

      J'ai donc tous recoché et re " fick checked" , puis relancer un nouveau scan et la il ne reste donc plus que la ligne. 

04 - .DEFAULT User Startup: AutoTBar.exe (User 'Default user') 

      Merci de votre aide si précieuse !!!
      Cordialement
      Aurélie

totobetourne · Answer

pour autotbar c est pas grave meme si je ne sais pas pourquoi elle ne part pas.


lorsque tu as installe tout le pare feu , mozilla et le reste fait moi un autre hijack, on approche de la fin.

totobetourne · Answer

pour l antivirus regarde AVG 8 antivirus tres bien egalement.pour le francais je ne sais aps regarde.

pour les pare feu c est plutot l anglais , tu as zone alarm en francais ou jetico(pas sur) mais ils sont bien inferieur aux autres.

totobetourne · Answer

pourquoi pas mais tout de meme 2 mois c est un peu long a la detente.comme quoi un antivirus c est bien mais il faut un vrai pare feu egalement.un pare feu seul peut  t eviter une infection. j en ai marre de le repeter.

refais un rapport hijack et colle le.

jacques.gache · Answer

lilly54 bonjour, tu dis  j'ai changer internet explorer par Mozilla  j'espère que tu ne l'as pas supprimé ???

totobetourne · Answer

la je ne vois rien sur ton rapport.
repasse malwarebyte et colle le rapport.

jacques.gache · Answer

bonjour, tu me rassures car si tu désinstalles IE tu ne pourras plus faire les mises à jour automatique pour Windows donc il faut impérativement le conserver et à jour

jacques.gache · Answer

bonjour, oui il arrive que l'orsque tu installe le service pack 3 "SP3" perso moi sur les pc de la maison je n'ai jamais pu l'installer de puis les mise à jour je l'ai télécharger ICI et  enregistré sur le bureau et installer

totobetourne · Answer

comment fonctionne ton ordi?

totobetourne · Answer

ram au demarrage ou psur internet.

pense au pare feu, TRES IMPORTANT.

totobetourne · Answer

AVANT DE FAIRE CELA IL Y A UNE AUTRE MANIP car ta ram est minuscule.


Relance hijack et clique sur "Do a system scan only"
Ensuite recherche ces lignes et coches les cases

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime     
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe     
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background     
O4 - HKUS\S-1-5-21-708540555-4029948336-3178217619-1008\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe (User '?')     
O4 - HKUS\S-1-5-21-708540555-4029948336-3178217619-1008\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background (User '?')     
O4 - HKUS\S-1-5-21-708540555-4029948336-3178217619-1008\..\Run: [MsgCenterExe] "C:\Program Files\Fichiers communs\Real\Update_OB\RealOneMessageCenter.exe" -osboot (User '?')     
O4 - HKUS\S-1-5-21-708540555-4029948336-3178217619-1011\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe (User '?')     




Ensuite clique sur "Fix checked"



tu peux desinstaller ad aware , il est inutil. maintenant malwarebyte le remplace largement.

totobetourne · Answer

faux positif. sors le de la quarantaine et va sur virus total pour verifier si tu veux.tu obtiens un rapport que tu colles.

comment se comporte ton pc?


apres on verra pour en finir.

totobetourne · Answer

fait bien les mise a jour d antivir, et il ne devrait plus apparaitre comme infecte d ici peu.

pare-feu gratuits:regle un seul pare feu sur un ordi.telecharge un des suivants ensuite deconnecte toi.
puis desactive le pare feu windows(aller dans le centre de securite puis pare feu windows et la desactive le)
puis installe celui de ton choix.

je te conseille un des 2(en anglais mais simple avec le tuto qui est donne) 

Comodo pro Firewall(juste le pare feu)
http://www.commentcamarche.net/telecharger/telecharger 34055041 comodo firewall pro
Tuto pour la 3.0
https://infomars.fr/forum/index.php?showtopic=1225

ou 

OnlineArmor :
téléchargement:https://www.commentcamarche.net/telecharger/ 34055356 online armor personal firewall

tutoriels:https://forum.pcastuces.com/sujet.asp?f=25&s=35606
:http://www.malekal.com/tutorial_Online_Armor.ph

il y en a d autres mais d apres les test de matousec en gratuit il n y en a pas bcp d autre.
http://www.matousec.com/index.html

VIRUS WIN32 SKIMORPH ET ROODRO

22 réponses

Votre réponse

Discussions similaires

Newsletters