Virus Security Tool, "Gomeo" & co

Question

Bonjour, 

J'ai depuis une dizaine de jours des problèmes sur mon ordinateur. Tout d'abord, c'est un faux anti-virus qui s'est installé automatiquement - Security Tool - m'annonçant que mon ordinateur était infecté et ouvrant en permanence des messages d'alerte.
J'ai réussi à supprimer un fichier ".exe" et depuis je n'ai plus ni Security Tool ni les messages d'alerte, par contre l'ordinateur se bloque régulièrement nécessitant un redémarrage, des pages internet me sont bloquées (notamment celles qui nécessitent un mot de passe) et je subis des redirections inopinées sur des pages internet non souhaitées, notamment vers un site de recherche "Goméo" après avoir fait une recherche Google.

En faisant tourner mon antivirus "Avira AntiVir", j'ai découvert à plusieurs reprises des fichiers infectés (Trojan) que j'ai à chaque fois supprimés.

J'ai découvert une page sur Goméo sur le site Commentcamarche.net : https://www.commentcamarche.net/faq/2490-supprimer-les-adwares-publicites-intempestives-pop-up-etc

En suivant ces conseils, j'ai supprimé 6 fichiers après avoir fait tourner "Malwarebytes Anti-Malware", "ComboFix" ne semble pas pouvoir s'installer (se télécharge, puis disparaît automatiquement) et j'ai également fait tourner "AD-R.exe".

Voici le rapport issu de AD-R :


======= RAPPORT D'AD-REMOVER 2.0.0.2,B | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 11/11/10 à 11:40
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (SCAN [1]) -> Lancé à 01:47:25 le 30/11/2010, Mode normal

Microsoft Windows XP Édition familiale Service Pack 3 (X86) 
Steph@STEPHE ( ) 
 
============== RECHERCHE ==============


Dossier trouvé: C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Everest Poker
Dossier trouvé: C:\Program Files\Everest Poker
Fichier trouvé: C:\Documents and Settings\All Users\Bureau\Everest Poker.lnk

Clé trouvée: HKLM\Software\Poker 770
Clé trouvée: HKCU\Software\Grand Virtual
Clé trouvée: HKCU\Software\Poker 770
Clé trouvée: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\Everest Poker
Clé trouvée: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\Poker 770
Clé trouvée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Everest Poker


============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.6.12 (fr)] **

-- C:\Documents and Settings\Steph\Application Data\Mozilla\FireFox\Profilestegzbzp.default\Prefs.js --
browser.download.lastDir, K:\Eau'rizon\FINANCES\RIB
browser.startup.homepage, 
browser.startup.homepage_override.mstone, rv:1.9.2.12
privacy.popups.showBrowserMessage, false

-- C:\Documents and Settings\Laurent Fignon\Application Data\Mozilla\FireFox\Profiles\58kbhqu2.default\Prefs.js --
browser.download.lastDir, J:
browser.startup.homepage_override.mstone, rv:1.9.2.12

-- C:\Documents and Settings\Marie\Application Data\Mozilla\FireFox\Profiles\dx80r479.default\Prefs.js --
browser.startup.homepage_override.mstone, rv:1.9.2.12

========================================

** Internet Explorer Version [8.0.6001.18702] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
AutoHide: yes
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Search Page: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Show_ToolBar: yes
Start Page: about:blank
Use Custom Search URL: 1
Use Search Asst: no

[HKLM\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 1 Fichier(s)

C:\Ad-Report-SCAN[1].txt - 30/11/2010 (1186 Octet(s)) 

Fin à: 01:48:01, 30/11/2010 
 
============== E.O.F ============== 





Quelqu'un serait-il en mesure de m'aider ?


Stéphane

Stéphane · Answer

Bonjour,

En fait, j'écris depuis le travail, donc accès à internet en journée seulement (je reviendrai voir le forum lundi a priori). Mais pas d'autre accès au domicile. Nos échanges risquent donc d'être un peu plus longs...

Pour info, parmi les CD livrés à l'achat de l'ordinateur, j'ai :
- Fujitsu Siemens, Product Recovery CD-ROM - Windows XP Édition familiale SP2 ("ne peut être utilisé que pour réaliser des sauvegardes et assurer une reprise de votre ordinateur Fujitsu Siemens Computers")
- Drivers et Utilities, version 01/2006 bf

gen-hackman · Answer

ok il faut que tu graves un cd image de OTLPENet

http://oldtimer.geekstogo.com/OTLPENet.exe

double clique et suis les indications pour graver l'image

ensuite il nous faudra une clé usb formatée

un fois ceci fait , je te donne la suite 

je vais te preparer un programme que tu devras executer , puis une fois que tu m'auras communiqué ce dont j'ai besoin , j'en ferai un autre pour tout remettre en place commme avant

Stéphane · Answer

C'est bon, j'ai gravé le CD et ai des clés USB chez moi. De quelle capacité doit-elle être ?

gen-hackman · Answer

c'est pas important , une 1Go ou 512 Mo suffiront 

je me charge de te faire le premier prog.... 

boote deja sur le cd et dis-moi si tu as accès à internet ca simplifiera les choses
¤¤¤¤¤¤?G3?-?@¢??@?(TM)©®?¤¤¤¤¤&#164

Stephane · Answer

Ca y est

Avec le CD, j ai acces a internet depuis mon ordinateur a partir d une version de Windows "Reatogo X Pe"

Desole d avoir tarde, j ai eu d autres petits soucis par ailleurs...

gen-hackman · Answer

salut pas de soucis :

telecharge et execute ceci :

http://sd-4.archive-host.com/membres/up/829108531491024/Mes_Tools/Tmp/List_Quarant.exe

poste le rapport via cijoint.fr
ainsi que Kill'em.txt sue le bureau de la session (donc C:\Documents and settings	a session\Bureau\Kill'em.txt)

Stéphane · Answer

Voici le fichier :

Pour accéder au fichier cliquez sur le lien ci-dessous et entrez les identifiants...
Fichier : http://www.partage-fichiers.com/dl.php?f=Kill_em.txt
Taille du fichier : 256.49 KB
Utilisateur : lb77eihr

Étonnament, le site www.cijoint.fr n'était plus accessible depuis les 2 ordinateurs surlesquels j'ai essayé (redirigé vers un site online.net).

gen-hackman · Answer

j'ai pas accès on me demande un mot de passe envoie-le via : https://www.cjoint.com/

gen-hackman · Answer

ok c'est bon je m'occupe du reste

gen-hackman · Answer

en attendant inscris-toi sur le site , tu pourras voir plus facilement quand je t'aurai repondu plutot que de chercher le sujet à l'aveuglette :)

ca apparaitra en gras sur ta droite dans "Mes interventions"

y a du boulot ! :) (pour moi ) lol

gen-hackman · Answer

pas de soucis j'ai deja refait une bonne moitié :)

demain ton pc devrait tourner :)

gen-hackman · Answer

https://forums.commentcamarche.net/forum/affich-19995473-virus-security-tool-gomeo-co?page=2#54

Téphan · Answer

Ca y est, j ai un compte.

J ai telecharge puis decompresse le pack3 sur un autre ordinateur, copie le dossier I386 sur mon C:\, mais je bloque ensuite. Je n ai pas l impression que cela fasse grand chose lorsque j execute directement le fichier Exp.bat, et je ne comprends pas comment utiliser OTLPE present sur mon bureau : faut il que je lance un scan ?

Stephane

gen-hackman · Answer

tu l'as executé directement d'internet ? il faut le telecharger et l'enregistrer sur le bureau , l'executer ensuite

gen-hackman · Answer

regarde si ton pc demarre normalement sinon c'est que ca n'a pas fonctionné...

Téphan · Answer

Le PC ne redemarre toujours pas si j enleve le CD dernierement grave, donc ca n a pas marche.

gen-hackman · Answer

tu es sur d'avoir copié le dossier I386 dans C:\ ?

Téphan · Answer

Oui oui.

Simplement, une fois le fichier décompressé sur un ordi professionnel qui n'était pas le mien, une fenêtre me proposait de rendre active l'opération que je venais d'effectuer (ou quelque chose du genre). Par mesure de précaution, j'ai cliqué sur "non", et j'ai ensuite récupéré le fichier I386 pour le copier dans le répertoire C:\ de mon ordinateur malade.

Comme il n'y a pas eu d'effet, j'ai ensuite réessayé en téléchargeant directement depuis mon ordinateur "malade", mais lorsque j'ai décompressé, au moment où le téléchargement devait se terminer, il y a eu une erreur (plus de palce disponible apparemment) et cela n'a pas pu fonctionner.

Y a t-il quelque chose qui n'a pas été dans mon déroulement ?

gen-hackman · Answer

non vire tout ca j'ai un autre moyen car sinon c'est vraiment un travail de fou :)

on va y arriver :

telecharge ceci , mets le dans ta clé usb , redemarre ton pc malade sous OTLPE , et execute ce fichier , peu importe son emplacement.

http://sd-4.archive-host.com/membres/up/829108531491024/Mes_Tools/Tmp/restor.exe

une fois fait , fais redemarrer ton pc normalement (pas avec le bouton de l'alim , avec le bouton "Demarrer/redemarrer" puis enleve le cd pendant le redemarrage

s'il te dit "boot device blabla....tu remets le disque dur en premier boot dans le bios

Téphan · Answer

Ok.

Juste une question en passant : est ce que le formatage est encore possible et est ce qu il a du sens ? 
Pour info, aurait il ete utile de chercher a formater au prealable (comme je ne l ai jamais fait, je n avais pas trop envie de me lancer la dedans non plus).

Virus Security Tool, "Gomeo" & co

36 réponses

Discussions similaires

Newsletters