Personal Shield

Question

Bonjour à toutes et à tous, 

J'ai depuis cette après-midi, un "virus" sur mon pc, qui est personal shield.. 
Une fenêtre s'est ouverte avec un son d'alarme me disant que j'étais infecté ect ect.
Cette fenêtre est resté en premier page longtemps avant de disparaitre..

J'ai vu que quelqu'un avait deja eu ce problème, et j'ai essayé de suivre les indications, mais il m'est impossible d'installer quoi que ce soit, car une petite fenêtre s'ouvre en bas (elle vient de personal shield) et m'indique que ce n'est pas possible (en anglais)

Pouvez vous m'aider ? 

Merci beaucoup d'avance, Gaëtan


Configuration: Windows Vista / Firefox 3.5.19

juju666 · Accepted Answer

arf.

1/
Démarrer Windows en « mode sans échec »

- Au démarrage de l'ordinateur presser successivement (intervalle d'une seconde) la touche F8 jusqu'à arriver au menu de démarrage avancé permettant de sélectionner le Mode sans échec avec prise en charge réseau
- Vous naviguez dans le menu jusqu'à l'option « Mode sans échec avec prise en charge réseau» grâce aux flèches de direction.
- Validez avec la touche Entrée.
Note : Sur certains ordinateurs, c'est la touche F5 qu'il convient d'utiliser. 

_____________________________

2/
&#9654 Télécharge sur le bureau RogueKiller  (par tigzy)   

&#9654 &#9654 Sous Windows XP, double clic gauche   

&#9654 &#9654  Sous Vista/Seven, clique droit, lancer en tant qu''administrateur   

&#9654 Quitte tous tes programmes en cours   
&#9654 Lance RogueKiller.exe.   
&#9654 Un scan se lance, puis tu verra d''indiqué dans la fenêtre  
&#9654 &#9654 1. Scan (écrit en vert) 
&#9654 &#9654 2. Delete (écrit en rouge)  
&#9654 &#9654 3. Hosts RAZ (écrit en rouge)  
&#9654 &#9654 4. Proxy RAZ (écrit en rouge) 
&#9654 &#9654 5. DNS RAZ (écrit en rouge) 
&#9654 &#9654 6. Raccourcis RAZ (écrit en rouge) 
&#9654  A ce moment tape 2 et valide   
Note: s''il te demande de supprimer le proxy, tape 4   
&#9654 Un rapport (RKreport1.txt) a du se créer à côté de l''exécutable, colle son contenu dans la réponse 
&#9654 Si le programme a été bloqué, ne pas hésiter à essayer plusieurs fois ou a changer son nom en winlogon.exe
Tape 6, valide, et poste RKReport2

gaetarm · Answer

Personne pour m'aider ? Je ne peux ouvrir aucun logiciel..... 

merci, Gaetan

G-fusion · Answer

j'ai précisément le même problème :-((

juju666 · Answer

Yop :)
Met le rapport de pre_scan chez cijoint et donne moi le lien ;)

gaetarm · Answer

Voici l'adresse du lien: http://www.cijoint.fr/cjlink.php?file=cj201106/cijtp64dEx.txt

Merci :)

juju666 · Answer

wouaaaaaaaah me le faut ton security shiel, pinaize :D tu m'le loue ? \o/ 

fais glisser une icone de ton bureau sur pre_scan, pre_script va apparaître 
copie ce texte (sans les lignes) 
__________________________________ 
Processes::
ApplicationUpdater.exe
widestream6_air.exe

Registry:: 
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
"swg"=- 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
""=- 
"SearchSettings"=- 

files:: 
C:\ProgramData\oWwC3bqkHw.pspro 
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Navigateur OfferBox.lnk 
C:\Users\Gaëtan\AppData\Local\iztffalg_navps.dat 
C:\Users\Gaëtan\AppData\Local\iztffalg.dat 
C:\Users\Gaëtan\AppData\Local\iztffalg_nav.dat 
C:\ProgramData\SPL48F8.tmp
C:\ProgramData\SPL5E60.tmp

folder:: 
C:\Program Files\Common Files\Spigot\Search Settings 
C:\Users\Gaëtan\AppData\Roaming\OfferBox 
C:\Program Files\Widestream6
C:\Users\Gaëtan\AppData\Roaming\live-player    
C:\Users\Gaëtan\AppData\Roaming\widestream    
C:\ProgramData\Trymedia    
C:\ProgramData\Viewpoint    
C:\Users\Gaëtan\AppData\Local\Conduit    
C:\Users\Gaëtan\AppData\Local\widestream6 Air 
C:\Program Files\Common Files\Spigot    
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Norton Internet Security    

Driver::
Application Updater 

txt::
C:\Users\Gaëtan\AppData\Local\AtStart.txt      

attrib:: 
__________________________________ 
Lance pre_script, colle le texte 
fichier>enregistrer 
ferme le fichier texte 
poste le résultat 

================================================= 

2/ 
Ton pc présente diverses infections Adwares. 
CF : https://www.futura-sciences.com/tech/definitions/internet-adware-1857/ 

&#9654  Télécharge de AD-Remover sur ton Bureau. (TeamXScript)  

http://www.teamxscript.org/adremoverTelechargement.html ( Lien officiel )  
OU  
https://www.androidworld.fr/ ( Miroir )  

/!\ Ferme toutes applications en cours /!\  

&#9654 Double-clique sur l''icône Ad-remover située sur ton Bureau.  
&#9654 Sur la page, clique sur le bouton « Scanner »  
&#9654 Confirme lancement du scan  
&#9654 Laisse travailler l''outil.  
&#9654 Quand il a fini, un rapport s'ouvrira : ferme le. 

&#9830 Pour me transmettre le rapport 

clique sur ce lien : http://www.cijoint.fr/ 

&#9654 Clique sur Parcourir et cherche le fichier C:\Ad-Report-SCAN[1].txt 

&#9654 Clique sur Ouvrir. 

&#9654 Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt 

est ajouté dans la page. 

&#9654 Copie ce lien dans ta réponse.  
 .::. Contributeur Sécurité .::.

gaetarm · Answer

Qu'entends tu par "faire glisser un icone sur pre_scan" ? Quel icone ? Et sur le pre_scan que l'on a renommé ?

Merci beaucoup, je ne suis pas très doué en info...

gaetarm · Answer

RogueKiller V5.2.3 [16/06/2011] par Tigzy
contact sur https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html

Systeme d'exploitation: Windows Vista (6.0.6001 Service Pack 1) 32 bits version
Demarrage : Mode sans echec avec prise en charge reseau
Utilisateur: Gaëtan [Droits d'admin]
Mode: Raccourcis RAZ -- Date : 22/06/2011 00:24:07

Processus malicieux: 0

Attributs de fichiers restaures:
Bureau: Success 0 / Fail 0
Lancement rapide: Success 0 / Fail 0
Programmes: Success 19 / Fail 0
Menu demarrer: Success 1 / Fail 0
Dossier utilisateur: Success 125 / Fail 0
Mes documents: Success 8 / Fail 0
Mes favoris: Success 0 / Fail 0
Mes images: Success 0 / Fail 0
Ma musique: Success 2 / Fail 0
Mes videos: Success 0 / Fail 0
Disques locaux: Success 379 / Fail 0
Sauvegarde: [NOT FOUND]

Lecteurs:
[C:] \Device\HarddiskVolume1 -- 0x3 --> Restored
[D:] \Device\HarddiskVolume2 -- 0x3 --> Restored
[E:] \Device\CdRom0 -- 0x5 --> Skipped
[F:] \Device\CdRom1 -- 0x5 --> Skipped

Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt

gaetarm · Answer

RogueKiller V5.2.3 [16/06/2011] par Tigzy
contact sur https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html

Systeme d'exploitation: Windows Vista (6.0.6001 Service Pack 1) 32 bits version
Demarrage : Mode sans echec avec prise en charge reseau
Utilisateur: Gaëtan [Droits d'admin]
Mode: Raccourcis RAZ -- Date : 22/06/2011 00:24:07

Processus malicieux: 0

Attributs de fichiers restaures:
Bureau: Success 0 / Fail 0
Lancement rapide: Success 0 / Fail 0
Programmes: Success 19 / Fail 0
Menu demarrer: Success 1 / Fail 0
Dossier utilisateur: Success 125 / Fail 0
Mes documents: Success 8 / Fail 0
Mes favoris: Success 0 / Fail 0
Mes images: Success 0 / Fail 0
Ma musique: Success 2 / Fail 0
Mes videos: Success 0 / Fail 0
Disques locaux: Success 379 / Fail 0
Sauvegarde: [NOT FOUND]

Lecteurs:
[C:] \Device\HarddiskVolume1 -- 0x3 --> Restored
[D:] \Device\HarddiskVolume2 -- 0x3 --> Restored
[E:] \Device\CdRom0 -- 0x5 --> Skipped
[F:] \Device\CdRom1 -- 0x5 --> Skipped

Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt

juju666 · Answer

extra :)
redémarre ta machine en mode normal, passe roguekiller en scan (option 1) voir si tout a été viré

gaetarm · Answer

RogueKiller V5.2.3 [16/06/2011] par Tigzy
contact sur https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html

Systeme d'exploitation: Windows Vista (6.0.6001 Service Pack 1) 32 bits version
Demarrage : Mode sans echec avec prise en charge reseau
Utilisateur: Gaëtan [Droits d'admin]
Mode: Suppression -- Date : 22/06/2011 00:16:04

Processus malicieux: 0

Entrees de registre: 5
[SUSP PATH] HKCU\[...]\Run : iztffalg ("c:\users\gaëtan\appdata\local\iztffalg.exe" iztffalg) -> DELETED
[BLACKLIST DLL] HKCU\[...]\Run : Metropolis (rundll32.exe C:\Windows\system32\sshnas21.dll,GetHandle) -> DELETED
[SUSP PATH] HKCU\[...]\Run : oWwC3bqkHw.pspro (C:\ProgramData\oWwC3bqkHw.pspro --run) -> DELETED
[SUSP PATH] {810401E2-DDE0-454e-B0E2-AA89C9E5967C}.job : c:\windows\nviwya.exe -> DELETED
[HJ] HKLM\[...]\System : EnableLUA (0) -> REPLACED (1)

Fichier HOSTS:
127.0.0.1 localhost
::1 localhost

Termine : << RKreport[1].txt >>
RKreport[1].txt

gaetarm · Answer

RogueKiller V5.2.3 [16/06/2011] par Tigzy
contact sur https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html

Systeme d'exploitation: Windows Vista (6.0.6001 Service Pack 1) 32 bits version
Demarrage : Mode sans echec avec prise en charge reseau
Utilisateur: Gaëtan [Droits d'admin]
Mode: Suppression -- Date : 22/06/2011 00:16:04

Processus malicieux: 0

Entrees de registre: 5
[SUSP PATH] HKCU\[...]\Run : iztffalg ("c:\users\gaëtan\appdata\local\iztffalg.exe" iztffalg) -> DELETED
[BLACKLIST DLL] HKCU\[...]\Run : Metropolis (rundll32.exe C:\Windows\system32\sshnas21.dll,GetHandle) -> DELETED
[SUSP PATH] HKCU\[...]\Run : oWwC3bqkHw.pspro (C:\ProgramData\oWwC3bqkHw.pspro --run) -> DELETED
[SUSP PATH] {810401E2-DDE0-454e-B0E2-AA89C9E5967C}.job : c:\windows\nviwya.exe -> DELETED
[HJ] HKLM\[...]\System : EnableLUA (0) -> REPLACED (1)

Fichier HOSTS:
127.0.0.1 localhost
::1 localhost

Termine : << RKreport[1].txt >>
RKreport[1].txt

juju666 · Answer

parfait.

&#9654 Télécharge MBAM et installe le selon l'emplacement par défaut
https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/
&#9654 Effectue la mise à jour et lance Malwarebytes' Anti-Malware
&#9654 Clique dans l'onglet du haut "Recherche"
&#9654 Coche l'option "Exécuter un examen complet" puis sur le bouton "Rechercher"
&#9654 Choisis de scanner tous tes disques durs, puis clique sur 'Lancer l'examen"

A la fin de l'analyse, si MBAM n'a rien trouvé :

&#9654 Clique sur OK, le rapport s'ouvre spontanément

Si des menaces ont été détectées :

&#9654 Clique sur OK puis "Afficher les résultats"
&#9654 Choisis l'option "Supprimer la sélection"
&#9654 Si MBAM demande le redémarrage de Windows : Clique sur "Oui"
&#9654 Une fois le PC redémarré, le rapport se trouve dans l'onglet "Rapports/Logs"
&#9654 Sinon le rapport s'ouvre automatiquement après la suppression

Quelque soit le résultat, copie/colle le rapport dans le prochain message

&#9654 &#9654 Si tu n''arrive pas à le mettre à jour, télécharge ce fichier , ferme MBAM, et exécute le

gaetarm · Answer

Apparemment, la recherche est longue, donc je la ferai demain ! 

Je te remercie énormément !! Et je t'envoies le rapport après l'analyse ! 

Merci à toi ! Il en faudrait plus des personnes comme toi sur terre ! lol

Merci encore, et bonne nuit ! 

Gaëtan

juju666 · Answer

mdr :) oui ça peut durer quelques heures ... bonne nuit à demain :)
tu seras plus embêté pour l instant avec ce rogue (ses clés de démarrage ont sauté avec rogue killer) MAIS ta machine est toujours vérolé, donc reviens demain !!
bonne nuit :))

gaetarm · Answer

Malwarebytes' Anti-Malware 1.51.0.1200
www.malwarebytes.org

Version de la base de données: 6913

Windows 6.0.6001 Service Pack 1
Internet Explorer 7.0.6001.18000

22/06/2011 21:51:20
mbam-log-2011-06-22 (21-51-20).txt

Type d'examen: Examen complet (C:\|D:\|E:\|F:\|)
Elément(s) analysé(s): 426606
Temps écoulé: 2 heure(s), 21 minute(s), 45 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 5
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 8

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Live-Player (Trojan.WinTrim) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\4ECYTQ9SIC (Trojan.FakeAlert.SA) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\W1WIWQ1NPG (Trojan.FakeAlert.SA) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\Microsoft\idgbn5xehg (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\ (Hijack.Zones) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\program files\live-player\live-player.exe (Adware.Dropper) -> Quarantined and deleted successfully.
c:\program files\live-player\uninst.exe (Trojan.WinTrim) -> Quarantined and deleted successfully.
c:\Users\Gaëtan\Desktopk_quarantine
viwya.exe.vir (Malware.Gen) -> Quarantined and deleted successfully.
c:\Users\Gaëtan\Desktopk_quarantine\owwc3bqkhw.pspro.vir (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\Gaëtan\Desktopk_quarantine\sshnas21.dll.vir (Malware.Gen) -> Quarantined and deleted successfully.
c:\Users\Gaëtan\downloads\plugin_vlc.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
c:\Windows\System32\sshnas21.dll (Malware.Gen) -> Quarantined and deleted successfully.
c:\Users\Gaëtan\Desktop\winlogon.pif (Heuristics.Reserved.Word.Exploit) -> Quarantined and deleted successfully.

juju666 · Answer

Ok.

Ton pc présente diverses infections Adwares.
CF : https://www.futura-sciences.com/tech/definitions/internet-adware-1857/

&#9654  Télécharge de AD-Remover sur ton Bureau. (TeamXScript) 

http://www.teamxscript.org/adremoverTelechargement.html ( Lien officiel ) 
OU 
https://www.androidworld.fr/ ( Miroir ) 

/!\ Ferme toutes applications en cours /!\ 

&#9654 Double-clique sur l''icône Ad-remover située sur ton Bureau. 
&#9654 Sur la page, clique sur le bouton « Scanner » 
&#9654 Confirme lancement du scan 
&#9654 Laisse travailler l''outil. 
&#9654 Quand il a fini, un rapport s'ouvrira : ferme le.

&#9830 Pour me transmettre le rapport

clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier C:\Ad-Report-SCAN[1].txt

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

&#9654 Copie ce lien dans ta réponse.

gaetarm · Answer

Voilà:  http://www.cijoint.fr/cjlink.php?file=cj201106/cijWPzPMg7.txt

Merci de ton aide !!!

juju666 · Answer

Avec plaisir :)

Dossier trouvé: C:\Program Files\OfferBox -> OfferBox (adware)
Fichier trouvé: C:\Users\Gaëtan\AppData\Local\iztffalg_nav.dat -> Navipromo (Adware)
Dossier trouvé: C:\Program Files\ConduitEngine -> Conduit Toolbar
Etc ...

&#9654 Relance AD-Remover, clique sur Nettoyer
&#9654 Laisse le pc redémarrer.
&#9654 Une fois revenu sur le bureau, héberge ce rapport: C:\AD-Report[CLEAN]1.txt

Je m'absente, je reviens fin d'après-midi ,) bonne journée :-)

Personal Shield

19 réponses

Discussions similaires

Newsletters