Virus Ukash

normal, Roguekiller a trouvé un proxy sur son pc :

[PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (hxxp=127.0.0.1:8877;hxxps=127.0.0.1:8877) -> NON SUPPRIMÉ, UTILISER PROXY RAZ
 [PROXY IE] HKCU\[...]\Internet Settings : ProxyEnable (1) -> NON SUPPRIMÉ, UTILISER PROXY RAZ
 [PROXY FF] s2kb366b.default\ 127.0.0.1:8877 -> NON SUPPRIMÉ, UTILISER PROXY RAZ 

d'ou la difficulté de se connetcer !

il faut qu'il relance roguekiller et clique sur Proxy Raz.

sauf s'il se connecte à internet par un Proxy !

Dernière question : scan de MBAM, je ne sais pas ce que c'est.

PS : elle a du mal à se connecter au net ... enfin !!!

tu n'es pas sorti d'affaire et ton cas n'est pas un cas général selon les variantes qu'on a ressensé à ce sjour :D

lance un scan de MBAM et tu verras qu'il te trouvera pleines d'autres infections !

Je tente de formater via le lecteur externe mais tu te doutes cela a échoué et mon bureau apparaît.
Un peu par dépit, je coupe la connexion wifi et miracle pas de UKASH...
Je mets vite ma clé USB avec Roquekiller et je lance un scan.
Il établit deux rapports :

RogueKiller V8.4.2 [Dec 31 2012] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : http://www.sur-la-toile.com/discussion-193725-1--RogueKiller-Remontees.html
Site Web : http://www.sur-la-toile.com/RogueKiller/
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows 7 (6.1.7600 ) 32 bits version
Demarrage : Mode normal
Utilisateur : PC [Droits d'admin]
Mode : Recherche -- Date : 01/01/2013 17:48:12

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 6 ¤¤¤
[STARTUP][Rans.Gendarm] runctf.lnk @PC : C:\Windows\System32\rundll32.exe|c:\users\pc\wgsdgsdgdsgsd.dll,H1N1 -> TROUVÉ
[PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (hxxp=127.0.0.1:8877;hxxps=127.0.0.1:8877) -> TROUVÉ
[PROXY IE] HKCU\[...]\Internet Settings : ProxyEnable (1) -> TROUVÉ
[PROXY FF] s2kb366b.default\ 127.0.0.1:8877 -> TROUVÉ
[HJ DLL][Rans.Gendarm] HKLM\[...]\ControlSet001\Services\winmgmt\Parameters : ServiceDll (C:\Users\PC\wgsdgsdgdsgsd.dll) -> TROUVÉ
[HJ DLL][Rans.Gendarm] HKLM\[...]\ControlSet002\Services\winmgmt\Parameters : ServiceDll (C:\Users\PC\wgsdgsdgdsgsd.dll) -> TROUVÉ

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤

¤¤¤ Infection : Rans.Gendarm ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts

127.0.0.1 validation.sls.microsoft.com

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: +++++
--- User ---
[MBR] 8a7b298d1b14bfdf0490f5834bbb4043
[BSP] 95292ec84e2aa423cd2f44ad0b4cc31d : Windows 7/8 MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 100 Mo
1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 206848 | Size: 102900 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 210946048 | Size: 202242 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: +++++
--- User ---
[MBR] 67f04ec4840c7d6ed526906650e88149
[BSP] 975b953c1cba4097d86317d9018ec6c0 : Standard MBR Code
Partition table:
0 - [ACTIVE] FAT32 (0x0b) [VISIBLE] Offset (sectors): 63 | Size: 3882 Mo
1 - [XXXXXX] UNKNOWN (0x21) [VISIBLE] Offset (sectors): 7952175 | Size: 0 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Termine : << RKreport[1]_S_01012013_174812.txt >>
RKreport[1]_S_01012013_174812.txt

et

RogueKiller V8.4.2 [Dec 31 2012] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : http://www.sur-la-toile.com/discussion-193725-1--RogueKiller-Remontees.html
Site Web : http://www.sur-la-toile.com/RogueKiller/
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows 7 (6.1.7600 ) 32 bits version
Demarrage : Mode normal
Utilisateur : PC [Droits d'admin]
Mode : Suppression -- Date : 01/01/2013 17:56:12

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 6 ¤¤¤
[STARTUP][Rans.Gendarm] runctf.lnk @PC : C:\Windows\System32\rundll32.exe|c:\users\pc\wgsdgsdgdsgsd.dll,H1N1 -> SUPPRIMÉ
[PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (hxxp=127.0.0.1:8877;hxxps=127.0.0.1:8877) -> NON SUPPRIMÉ, UTILISER PROXY RAZ
[PROXY IE] HKCU\[...]\Internet Settings : ProxyEnable (1) -> NON SUPPRIMÉ, UTILISER PROXY RAZ
[PROXY FF] s2kb366b.default\ 127.0.0.1:8877 -> NON SUPPRIMÉ, UTILISER PROXY RAZ
[HJ DLL][Rans.Gendarm] HKLM\[...]\ControlSet001\Services\winmgmt\Parameters : ServiceDll (C:\Users\PC\wgsdgsdgdsgsd.dll) -> REMPLACÉ (%SystemRoot%\system32\wbem\WMIsvc.dll)
[HJ DLL][Rans.Gendarm] HKLM\[...]\ControlSet002\Services\winmgmt\Parameters : ServiceDll (C:\Users\PC\wgsdgsdgdsgsd.dll) -> REMPLACÉ (%SystemRoot%\system32\wbem\WMIsvc.dll)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤

¤¤¤ Infection : Rans.Gendarm ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts

127.0.0.1 validation.sls.microsoft.com

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: +++++
--- User ---
[MBR] 8a7b298d1b14bfdf0490f5834bbb4043
[BSP] 95292ec84e2aa423cd2f44ad0b4cc31d : Windows 7/8 MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 100 Mo
1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 206848 | Size: 102900 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 210946048 | Size: 202242 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: +++++
--- User ---
[MBR] 67f04ec4840c7d6ed526906650e88149
[BSP] 975b953c1cba4097d86317d9018ec6c0 : Standard MBR Code
Partition table:
0 - [ACTIVE] FAT32 (0x0b) [VISIBLE] Offset (sectors): 63 | Size: 3882 Mo
1 - [XXXXXX] UNKNOWN (0x21) [VISIBLE] Offset (sectors): 7952175 | Size: 0 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Termine : << RKreport[2]_D_01012013_175612.txt >>
RKreport[1]_S_01012013_174812.txt ; RKreport[2]_D_01012013_175612.txt

Je redémarre, je connecte le wifi et ça marche !!!

Si mon conseil peut aider d'autres victimes dans ma situation, c'est à dire pas d'accès à quoi que ce soit ni mode sans échec avec ou sans prise en compte du réseau et pas le temps le lancer un scan de quoi que ce soit, avec un mix de tes précieux conseils, c'est de mettre Roquekiller sur USB, démarrer l'ordi et aussitôt couper toute connexion internet et utiliser Roquekiller, et redémarrer.

Merci encore une fois.

@+

ok,

comme tu veux,

bonne fête :D

J'ai essayé Dr Web et cela a fonctionné.

Il a trouvé 12 Threads :
- 7 infected
- 5 malicious

Les trojans sont :
- Siggen2.24588
- PNS Stealer 612
- Muldrop 3.22.75 (3 fois)
- downloader7 18897
- tool.douwnloader 5.2 (intrusion).

J'utilise le bouton "Cure" et je laisse travailler.

Je redémarre le bureau s'affiche, l'onglet internet aussi puis un message de KIES AIR (Samsung GSM) puis UKASH revient ....

Je laisse tomber, je vais opter pour le formatage.

Je te remercies surtout en ces temps de fêtes.

Bonne continuation.

OK !!!

Je tente Dr Web car je n'y arrive pas avec OTLPE.

Je t'informe du résultat.

laisse tomber les autres logiciels,

les seuls ui puissent vraiment te tirer d'affaires sont :

live Cd Dr. Web
Rogeukiller avec Otlpe

ou en mode dans echec, MBAM

sinon, tu pourras toujours, si tu as accès au mode sans echec, de restaurer le pc :D

L'ordinateur me laisse rien faire ...
Dans la même idée que ton système d'aide, j'ai lu un article sur DrWeb CD Live. Qu'en penses tu ?
Lors de ma dernière tentative, j'avais mis sur clé, CCleaner, Ad Aware, Spybot ... Seul CCleaner a trouvé deux fichiers que j'ai supprimé. J'ai redémarré normalement mais toujours pareil UKASH dès que la connexion internet se fait.
Pour les autres, l'ordi met que je n'ai pas assez de place ...
Dur dur ...
Sur un autre article, il parlait de Install_HOSTS_Anti-Adware. Qu'en penses tu ?
J'en profites pour me renseigner vu tes connaissances en la matière pour prévoir une meilleure protection de mes ordinateurs.
As tu des conseils sur des logiciels pour les popup et autres casses pieds (pub ...)

depuis l'interface d'OTLPE,

clique sur l'icone d'OTL

* Sous Peronnalisation, copie-colle ce qu'il y a dans le cadre ci-dessous :

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%temp%\*.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
CREATERESTOREPOINT
nslookup www.google.fr /c
SAVEMBR:0
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs

* Clique sur le bouton Analyse.
* Quand le scan est fini, 2 rapports vont apparaitre

enregistre les sur ton bureau,

transsfère les via une clé usb sur un pc ayant une conenxion à internet

héberge les sur le site cjoint, Copie et colle les liens fournis par le site Cijoint sur ton prochain message :

https://www.cjoint.com/ => https://www.commentcamarche.net/faq/29493-utiliser-cjoint-pour-heberger-des-fichiers

Windows 7 premium family.

Rapport ADW Cleaner, Roguekiller ne fonctionne pas :

# AdwCleaner v2.102 - Logfile created 01/01/2013 at 13:31:05
# Updated 23/12/2012 by Xplode
# Operating system : Microsoft Windows XP (32 bits)
# User : SYSTEM - REATOGO
# Boot Mode : Normal
# Running from : G:\AdwCleaner.exe
# Option [Search]

***** [Services] *****

***** [Files / Folders] *****

***** [Registry] *****

***** [Internet Browsers] *****

-\\ Internet Explorer v6.0.2800.2180

[OK] Registry is clean.

*************************

AdwCleaner[R1].txt - [603 octets] - [01/01/2013 13:30:41]
AdwCleaner[R2].txt - [537 octets] - [01/01/2013 13:31:05]

########## EOF - \AdwCleaner[R2].txt - [596 octets] ##########

Nouveau fait, je relançais Roguekiller quand un écran bleu est apparu avec une liste d'erreurs :
0x00000003 - 0x8A735C94 - 0x8A735B20 - 0x805237A8

Ca s'accumule.

En tout cas merci de prendre le temps ...

bonjour et bonne année également,

le pc infecté est sous quelel version de winodws?

peut tu me donner le rapport de Roguekiller ?

Bonjour et tous mes voeux !!!

J'ai trouvé un lecteur/graveur externe.
Après 5 gravures différentes, le système se lance en Windows XP, je lance l'icône jaune de OTP et là le même message "run scanner error : target is not Windows 2000 or later".

J'ai qu'en même essayé avec une clé USB de faire des scans avec Roguekiller et deux autres de ce genre.
Deux veulent un accès internet mais je ne parviens pas à me connecter et l'autre me trouve deux fichiers que j'ai supprimé via ce logiciel mais rien ... toujours le virus à l'affichage dès le démarrage.

Une idée ?

essaie de trouver un lecteur externe pour mettre le cd !

Je ne peux pas lecteur HS ...

bonjour,

passe par la gravure d'un CD !

Bonjour.

Après de multiples installations de OLTPE sur diverses clés, toutes testées sur le pc malade, un message revient.
Il boote bien sur la clé mais il note :
BOOTMGR is missing
Press any key to restart.

Une idée ?

Merci.

une fois que tu as téléchargé OTLPE,

tu le lance, il fait tout automatiquement,

passe plutôt par un CD :D

Je dois partir pour le réveillon.
Je suis les diverses procédures mais j'ai bien des difficultés notamment pour initier le fichier OTLPE du bureau pour le transférer sur ma clé USB via le logiciel PeToUSB.
Je retente tout demain car là je ne suis plus efficace, énervement oblige ...
Joyeux Noel, je te tiens informé demain de l'évolution.
Merci encore.

ok,

mais si je ne réponds pas ce soir, ne t'inquiette pas ;-)

@ ++