XP ANTIVIRUS 2012

Résolu
PAPRIKA35 -  
Bonjour à tous,

Un de mes ordis, apres avoir attrappé le malware GENDARMERIE NATIONALE (résolu) est maintenant infecté par XP ANTIVIRUS 2012,

Quelqu'un peut il m'aider?
Je voudrai savoir si, en prenant le disque dur infecté, en le plaçant dans un boitier externe, et en le branchant en USB sur mon ordi non infecté, je peux lancer un scan avec MALWAREBITES' ANTIMALWARE ???? cela pourrait il marcher ????

Merci par avance de vos réponses.

41 réponses

Résumé de la discussion

Le souci porte sur la faisabilité de manipuler un disque dur infecté par XP ANTIVIRUS 2012 en le connectant via un boîtier externe à un ordinateur sain pour lancer Malwarebytes. Plusieurs répondants recommandent d'abord de supprimer l'exécutable et le rapport, puis de vérifier que Malwarebytes est à jour et d'utiliser RogueKiller en mode scan. En pratique, le conseil clé consiste à confirmer que MBAM est à jour et à lancer RogueKiller pour dépister résiduellement les menaces, tout en évitant d'infecter le système hôte. D'autres échanges évoquent des étapes complémentaires et des précautions, notamment la gestion de SEAF, et rappellent qu'un disque externe ne doit pas être branché sur un PC non protégé sans précautions.

Bobot (l’IA à votre service)
  2. crapoulou Modérateur
    Parfait.
    Tu peux supprimer Toolscleaner.exe téléchargé et le rapport généré : C:\TCleaner.txt.
    1. PAPRIKA35 Auteur
      merci !!!
  3. crapoulou Modérateur
    Avant de partir, peux-tu supprimer les outils nécessaires à la désinfection ainsi que les logs en suivant la procédure de ToolsCleaner ici :

    http://www.commentcamarche.net/faq/24877-supprimer-les-logiciels-de-desinfection#tools-cleaner-de-a-rothstein-dj-quiou
    1. PAPRIKA35 Auteur
      [ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

      --> Recherche:

      C:\Program Files\Ad-remover: trouvé !
      C:\Program Files\ZebHelpProcess\ZHPdiag.exe: trouvé !
      C:\Program Files\ZebHelpProcess\catchme.exe: trouvé !
      C:\Program Files\ZebHelpProcess\mbr.log: trouvé !
      C:\Program Files\ZebHelpProcess\mbr.exe: trouvé !
      C:\RECYCLER\S-1-5-21-1644491937-261903793-1417001333-1003\Dc4\mbr.log: trouvé !
      C:\RECYCLER\S-1-5-21-1644491937-261903793-1417001333-1003\Dc4\mbr.exe: trouvé !

      ---------------------------------
      --> Suppression:

      C:\Program Files\ZebHelpProcess\ZHPdiag.exe: supprimé !
      C:\Program Files\ZebHelpProcess\catchme.exe: supprimé !
      C:\Program Files\ZebHelpProcess\mbr.log: supprimé !
      C:\Program Files\ZebHelpProcess\mbr.exe: supprimé !
      C:\RECYCLER\S-1-5-21-1644491937-261903793-1417001333-1003\Dc4\mbr.log: supprimé !
      C:\RECYCLER\S-1-5-21-1644491937-261903793-1417001333-1003\Dc4\mbr.exe: supprimé !
      C:\Program Files\Ad-remover: supprimé !
  4. crapoulou Modérateur
    Pour mettre Office 2003 en Français, essaye de voir si tu trouves quelque chose dans ces menus :

    To update language settings by using the Language Settings tool

    On the taskbar, click Start, then point to All Programs (for Windows XP) or Start Programs (for Windows 2000).
    Point to Microsoft Office, point to Microsoft Office Tools, and then click Microsoft Office 2003 Language Settings.
    On the User Interface and Help tab, choose a language in the Display Office 2003 in drop-down list.

    Only languages for which you have installed a MUI Pack are displayed; therefore, the User Interface and Help tab is displayed in the Language Settings tools only when you have at least one MUI Pack installed on your computer.

    Choose a language in the Display Help in drop-down list.

    Only languages for which you have installed a MUI Pack are displayed.

    On the Enabled Languages tab, select a language in the scroll list, then click Add to enable the language for editing.
    Change the Installation Language by choosing a language in the Choose the language that defines default behavior in Microsoft Office applications drop-down list.


    Source

    Sinon, essaye de poster un topic dédié sur le forum.
    1. PAPRIKA35 Auteur
      merci Crapoulou, je l'ai fait mais ça n'a pas marché.
      je poste un topic et je cloture celui ci.
      merci de ta précieuse aide et de ta dispo, idem pour g3n-h@ckm@nn
  6. crapoulou Modérateur
    Peux-tu m'envoyer le screenshot de ton problème avec Office ?
    Essaye de lancer une réparation du pack Office...?!
    1. PAPRIKA35 Auteur
      merci j'ai réussi à réparer le pb avec office. je suis allée chercher sur les forums.
      le pb que je rencontre maintenant, c'est que j'ai du desinstaller et reinstaller office 2003. c'est une version copiée de chez mon ancien boss avec leur licence qui doit etre enregistrée qqpart sur l'ordi car quand je réinstalle ça ne me demande rien comme clé. Le hic, c'est que maintenant j'ai tout en anglais. Pour la petite histoire je bosse avec logiciels word excel etc j'ai outlook aussi. Heureusement que par habitude, je sais où cliquer pour certaines manip !!!!!!!! Cependant j'aimerai récuperer la version en français (lors de l'install qui s'est déroulée en français, ça ne m'a pas demandé la langue souhaitée. de plus j'ai tjs le même CD d'install d'office 2003 et jusqu'à dernierement quand j'ai rebouté mon portable, je l'ai installée en français sans pb.
      Question qui est peut etre la réponse : faut il qu'en plus d'office 2003 je desinstalle puis réinstalle ce que j'ai en office pro 2003? c'est peut etre là la clé ??? help et merci de ta réponse.
      a bientot
  7. crapoulou Modérateur
    Essaye de faire ça pour Outlook :

    Télécharge SEAF.exe de C_XX sur ton bureau :
    = = = = =>>> En cliquant ici <<<= = = = =

    * Double clique sur SEAF.exe que tu viens de télécharger.
    * Une fenêtre va s'ouvrir.
    * Copie-colle ceci dans la barre de recherche blanche normal.dot
    * Ne coche pas sur la droite : "Chercher également dans le registre"
    * Coche en bas "Afficher les ADS" et "Informations supplémentaires".
    * Clique ensuite sur "Lancer la recherche".
    * Patiente pendant la recherche.
    * Une fenêtre avec un rapport au format ".txt" va s'afficher.
    * Copie/colle ce rapport dans ta prochaine réponse.

    Recommence avec en champ de recherche le mot clé Mazker.dot
    Et Coche la recherche dans le registre pour celui-ci.
    1. PAPRIKA35 Auteur
      bonjour, et bon dernier jour de l'année!!!! e reviens sur le sujet, pas de seaf.exe sur ton lien.
      pour l'alerte de securité windows elle revient toujours, je l'enlève par un scan et elle reapparait.... j'ai peur de brancher mon disque dur de peur qu'il s'infecte.le probleme c'est que je dois sauvegarder des trucs dessus...
    2. g3n-h@ckm@n
      hello j'en ai une copie ici :

      http://dl.dropbox.com/u/21363431/SEAF.exe
    3. PAPRIKA35 Auteur
      1. ========================= SEAF 1.0.1.0 - C_XX
      2.
      3. Commencé à: 14:23:11 le 31/12/2011
      4.
      5. Valeur(s) recherchée(s):
      6. normal.dot
      7.
      8. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
      9.
      10. (!) --- Informations supplémentaires
      11. (!) --- Affichage des ADS
      12.
      13. ====== Fichier(s) ======
      14.
      15.
      16. "C:\Documents and Settings\Erica\Application Data\Microsoft\Modèles\Normal.dot" [ ARCHIVE | 3123 Ko ]
      17. TC: 28/09/2009,15:00:15 | TM: 31/12/2011,12:58:02 | DA: 31/12/2011,12:58:01
      18.
      19.
      20. =========================
      21.
      22.
      23. "C:\Documents and Settings\Erica\Application Data\Microsoft\Modèles\~$Normal.dot" [ ARCHIVE | 162 o ]
      24. TC: 10/12/2009,15:46:01 | TM: 10/12/2009,15:46:01 | DA: 31/12/2011,12:58:02
      25.
      26.
      27. =========================
      28.
      29.
      30. "C:\Documents and Settings\Erica\Application Data\Microsoft\Office\Récent\Normal.dot.LNK" [ ARCHIVE | 859 o ]
      31. TC: 31/12/2011,09:50:17 | TM: 31/12/2011,12:58:11 | DA: 31/12/2011,12:58:11
      32.
      33.
      34. =========================
      35.
      36.
      37. "C:\Documents and Settings\Erica\Application Data\Microsoft\Templates\Normal.dotm" [ ARCHIVE | 16 Ko ]
      38. TC: 22/09/2009,10:04:31 | TM: 22/09/2009,10:04:31 | DA: 30/12/2011,11:14:03
      39.
      40.
      41. =========================
      42.
      43.
      44. "C:\WINDOWS\system32\config\systemprofile\Application Data\Microsoft\Modèles\Normal.dot" [ ARCHIVE | 33 Ko ]
      45. TC: 04/12/2009,15:33:33 | TM: 04/12/2009,15:33:33 | DA: 31/12/2011,11:46:47
      46.
      47.
      48. =========================
      49.
      50.
      51. =========================
      52.
      53. Fin à: 14:24:07 le 31/12/2011
      54. 113580 Éléments analysés
      55.
      56. =========================
      57. E.O.F
    4. PAPRIKA35 Auteur
      avec Mazker.dot

      1. ========================= SEAF 1.0.1.0 - C_XX
      2.
      3. Commencé à: 14:25:41 le 31/12/2011
      4.
      5. Valeur(s) recherchée(s):
      6. Mazker.dot
      7.
      8. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
      9.
      10. (!) --- Informations supplémentaires
      11. (!) --- Affichage des ADS
      12. (!) --- Recherche registre
      13.
      14. ====== Fichier(s) ======
      15.
      16. Aucun fichier trouvé
      17.
      18.
      19. ====== Entrée(s) du registre ======
      20.
      21. Aucun élément dans le registre trouvé
      22.
      23. =========================
      24.
      25. Fin à: 14:27:32 le 31/12/2011
      26. 415435 Éléments analysés
      27.
      28. =========================
      29. E.O.F
  8. crapoulou Modérateur
    Supprime ce fichier :
    C:\Documents and Settings\Erica\Mes documents\Téléchargements\WebPlayer.exe

    Explique-nous ton problème Outlook pour qu'on voie ce que c'est.
  9. PAPRIKA35 Auteur
    bonjour,
    scan en cours et déjà 1 détecté. on attend la suite. merci
    1. PAPRIKA35 Auteur
      Malwarebytes Anti-Malware (Essai) 1.60.0.1800
      www.malwarebytes.org

      Version de la base de données: v2011.12.24.05

      Windows XP Service Pack 3 x86 NTFS
      Internet Explorer 6.0.2900.5512
      Erica :: ECO [administrateur]

      Protection: Activé

      28/12/2011 08:12:31
      mbam-log-2011-12-28 (09-11-32).txt

      Type d'examen: Examen complet
      Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
      Options d'examen désactivées: P2P
      Elément(s) analysé(s): 287334
      Temps écoulé: 58 minute(s), 43 seconde(s)

      Processus mémoire détecté(s): 0
      (Aucun élément nuisible détecté)

      Module(s) mémoire détecté(s): 0
      (Aucun élément nuisible détecté)

      Clé(s) du Registre détectée(s): 0
      (Aucun élément nuisible détecté)

      Valeur(s) du Registre détectée(s): 0
      (Aucun élément nuisible détecté)

      Elément(s) de données du Registre détecté(s): 0
      (Aucun élément nuisible détecté)

      Dossier(s) détecté(s): 0
      (Aucun élément nuisible détecté)

      Fichier(s) détecté(s): 1
      C:\Documents and Settings\Erica\Mes documents\Téléchargements\WebPlayer.exe (Adware.Dropper) -> Aucune action effectuée.

      (fin)
    2. PAPRIKA35 Auteur
      problème résolu pour alerte sécurité. PB outlook à regler maintenant...
  10. g3n-h@ckm@n
    ok mise à jour de malwarebytes + scan complet => suppression de ce qu il trouve => rapport
    1. PAPRIKA35 Auteur
      bonsoir, sur mon C j'ai un fichier qui se nomme kill'm, et dedans je vois PRESCAN, j'en fais quoi ? merci à toi
  11. g3n-h@ckm@n
    ouaip reinstalle-le voir....
    1. PAPRIKA35 Auteur
      ok ce soir :)
    2. PAPRIKA35 Auteur
      autre truc bizarre, le logo d'alerte de sécurité windows (en bas à droite) reste rouge indiquant que les mises à jour automatiques sont désactivées et d'aller les activer dans le panneau de confi etc. j'y suis allée, elles sont activées et pourtant le message est tjs en niveau alerte...
      bon à plus, j'arrete et je vais bosser un peu :) (je travaille à la maison)
  13. g3n-h@ckm@n
    si tout fonctionne maintenant il n'y a pas de raisons que ca continue pas :)
    1. PAPRIKA35 Auteur
      oui sauf mon oultloock mais je vais le reinstaller :)
  14. g3n-h@ckm@n
    bonjour tout est revenu en ordre alors ?
    1. PAPRIKA35 Auteur
      bonjour, je te dirai quand j'aurai redemarré ce soir. merci à +
  15. PAPRIKA35 Auteur
    bonjour, oui ça s'ouvre bien.
    ce matin, l'ordi a démarré plus vite. je ne sais pas ce qui s'est passé hier soir.
    si tu permets je te dirai au prochain demarrage comment ça se passe.
    merci
    1. g3n-h@ckm@n
      je ne vois pas quel beug pourrait le faire bloquer....

      la chaine de caracteres c'est normal qu'elle ne soit pas dans l'autre pc , c'est l'infection qui l'a mise

      quand tu fais ctrl+alt+supp as-tu le gestionnaire des taches qui s'ouvre ?
      1. PAPRIKA35 Auteur
        Bonsoir à Crapoulou et G3n-h@ckm@n,

        Je vais devoir laisser tomber pour ce soir, j'espère avoir de vos nouvelles demain. Je ne pourrai pas m'y remettre avant demain soir, donc on reste en contact si vous le voulez bien car mon ordi a mis encore 15 minutes avant d'etre opérationnel... un bug non ???
        Merci de votre précieuse aide.
        A demain.
        1. PAPRIKA35 Auteur
          Bonsoir g3n-h@ckm@n

          Ne vous faites pas la guerre avec Crapoulou, il m'a bien aidée toute la journée et je lui en suis reconnaissante.

          J'ai procédé à la manip regedit etc, et j'ai cliqué droit sur cette ligne :fAfvfSfP [fVf#f" fEfBfU [fh'Å ¶ ¬'³'ê'½f [fJf< fAfvfSfP [fVf#f", et je l'ai supprimée.

          J'ai lancé le truc avec pre-script et le txt est apparu sur le bureau.

          Comme j'avais un fichier ouvert (non enregistré) je n'ai pas laisser l'ordi redemmarrer.

          Apres avoir enregistré et fermé mon document, j'ai relancé la manip avec le pre-script
          le fichier txt est venu. OK

          L'ordi a redemarrer.

          Et il a bloqué longuement. seule la fleche de la souris se promenait sur l'écran (là j'écris de mon portable sain) et apres 5 min j'ai vu que des fenetre s'ouvraient (mon logiciel dessin). je les ai fermées. J'ai vu que la commande "executer" était ouverte avec "notepad" écrit dedans...
          bref
          je vais y retourner pour chercher le txt sur une clé.

          Le voici :

          ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script | 2.005 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

          ¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

          Mise à jour : 24/12/2011 | 03.10 Par g3n-h@ckm@n
          Utilisateur : Erica (Administrateurs)
          Ordinateur : ECO
          Système d'exploitation : Microsoft Windows XP (32 bits)
          Internet Explorer : 6.0.2900.5512
          Mozilla Firefox : 8.0.1 (fr)

          Switchs possibles :

          processes:: | file:: | folder:: | Registry::
          Driver:: | replace:: | DNS:: | Command::
          txt:: | Host:: | NsLook::
          list:: | IP:: | ADS:: | Kill:: | clean::
          Reboot:: | MBR:: | Fixmbr:: | 40:: | Zip::
          Tray::

          Script : 23:04:30

          ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

          Modification du registre effectuée

          ¤

          Absent : C:\WINDOWS\SwSys1.bmp
          Absent : C:\WINDOWS\SwSys2.bmp
          Absent : C:\WINDOWS\_delis32.ini
          Absent : C:\Documents and Settings\All Users\Application Data\j3b4hsrwa4lut6d2380nbp55tkla
          Absent : C:\Documents and Settings\Erica\Local Settings\Application Data\j3b4hsrwa4lut6d2380nbp55tkla
          Absent : C:\WINDOWS\Tasks\Install.job

          ¤

          Absent : C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy
          Absent : C:\Program Files\Spybot - Search & Destroy

          ¤

          Fichier Batch executé

          ¤

          ¤¤¤¤¤¤¤¤¤¤ | Nettoyage disque

          Nettoyage du disque effectué

          ¤

          explorer.exe -> Processus redémarré

          Fin : 23:07:07

          ¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤
          1. crapoulou Modérateur
            T'en fait pas, je ne fais la guerre à personne et gen ne me fait pas du tout la guerre ;-).
          2. PAPRIKA35 Auteur
            Oula !!!!!!!! g3n-h@ckm@n !!!!!!!!!! je viens de redemarrer l'ordi !!!!!! il bloque grave. je crois que ta manip n'était pas bienvenue sur mon ordi, les caracteres bizarres que j'ai supprimé n'était ce pas une erreur (PS: ces caracteres n'existent pas sur le PC portable, comment cela se fait il ???) merci de ton aide et de celle de Crapoulou s'il est toujours là ???
          3. crapoulou Modérateur
            il bloque grave
            On pourrait avoir un maximum de détails stp ?
            Je dois filer. A demain.
          4. PAPRIKA35 Auteur
            ok je plaisantais, pour la guerre :)))
            quand je dis qu'il bloque = il ne demarre pas vite et meme plutot tres lent mais ce matin ça avait l'air d'aller. @+ merci
        2. g3n-h@ckm@n
          salut pre_scan a bien bossé je suis fier de mon outil ^^

          @Crapoulou :

          le rapport pre_scan passe dans ZHPH :)
          Pre_scan a bien tué le rogue cependant il reste des fichiers systeme de celui-ci qu'aucun outil n'a vu je poste donc un script de suppression pour faire propre :

          ========

          @PAPRIKA35

          touche windows +R , puis tape regedit

          deplie l'arborescence avec les petits "+"

          HKEY_CURRENT_USER
          Software
          fAfvfSfP [fVf#f" fEfBfU [fh'Å ¶ ¬'³'ê'½f [fJf< fAfvfSfP [fVf#f"

          clic droit sur les caracteres bizarres , puis "supprimer"

          ===========================

          fais glisser une icone n'importe quel fichier sur Pre_scan , pre_script va apparaitre

          Lance Pre_script , une page vierge va s'ouvrir.

          selectionne tout le texte en gras ci-dessous, puis (clic droit/copier ou ctrl+c) :
          ___________________________________________________
          Kill::

          Registry::
          [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
          "QuickTime Task"=-
          "TkBellExe"=-
          "iTunesHelper"=-
          [-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]
          "{0E5CBF21-D15F-11D0-8301-00AA005B4383}"=-
          [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{A1194237-547A-461d-BD44-B97B1574A7DA}]
          [-HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0029-ABCDEFFEDCBA}]
          [-HKLM\Software\424]
          [-HKLM\Software\644]
          [HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
          "1900:UDP"=-
          "2869:TCP"=-
          [HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\sharedaccess\parameters\firewallpolicy\domainprofile\GloballyOpenPorts\List]
          "1900:UDP"=-
          "2869:TCP"=-

          command::
          copy /y "C:\Kill'em\Explorer.exe" "C:\windows\system32\dllcache\explorer.exe"

          file::
          C:\WINDOWS\SwSys1.bmp
          C:\WINDOWS\SwSys2.bmp
          C:\WINDOWS\_delis32.ini
          C:\Documents and Settings\All Users\Application Data\j3b4hsrwa4lut6d2380nbp55tkla
          C:\Documents and Settings\Erica\Local Settings\Application Data\j3b4hsrwa4lut6d2380nbp55tkla
          C:\WINDOWS\Tasks\Install.job

          folder::
          C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy
          C:\Program Files\Spybot - Search & Destroy

          clean::

          Reboot::
          ___________________________________________________

          colle-le ensuite (clic droit/coller ou ctrl+V) dans la page vierge.

          puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

          des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille

          poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

          si ton bureau ne reapparait pas => ctrl+alt+supp , gestionnaire des taches => onglet fichier => nouvelle tache puis tape explorer
          1. PAPRIKA35 Auteur
            Bonsoir Crapoulou

            Penses tu que mon ordi est sain maintenant ?

            Merci de ta réponse.

            Bonne soirée
            • 1
            • 2
            • 3

            Discussions similaires

            Ou trouver le pilote pour epson xp-2205
            lutttinette

            19 réponses
            probleme configuration wifi epson xp-225
            sam099

            35 réponses