Commande executer et rechercher disparu.

--salut

Page d'accueil / Virus / Encyclopédie Virus
Virus.Win32.Gpcode.ai
Autre version: .ac, .ae, .af, .ag, .f

Date de détection 16 jul 2007 00:10 GMT
Date de publication 17 jul 2007
Comportement Virus

* Détails Techniques
* Action destructrice
* Conseils pour la suppression

Détails Techniques

Ce programme malicieux chiffre les fichiers de l’utilisateur sur l’ordinateur infecté. Il s’agit d’une application Windows (fichier PE EXE) compressée sous UPX. La taille du fichier archivé est de 58 368 octets.

Les fichiers exécutables des variantes connues du virus portent le nom de «ntos.exe».
Action destructrice

Après son exécution, le virus crée une clé unique pour le cryptage des fichiers et la sauvegarde dans la base de registre:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion]
"WinCode" = "<clé de chiffrement;"

Le programme malicieux s’ajoute dans la base de registre:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"UserInit" = "%System%\userinit.exe, %System%\ntos.exe"

La valeur de cette clé est régulièrement contrôlée par des processus système dans lesquels le code malfaisant s’est infiltré (par exemple «Winlogon.exe»).

Si la valeur de la clé change («%System%\ntos.exe» est supprimé), elle se réactive automatiquement à partir du processus système.

«%System%\ntos.exe» est protégé contre toute modification, changement de nom et copie. Si la date système indique une date entre le 10 et le 15 juillet 2007 compris, le virus amorce le chiffrement de tous les fichiers dont l'extension est la suivante :

.12m
.3ds
.3dx
.4ge
.4gl
.7z
.a
.a86
.abc
.acd
.ace
.act
.ada
.adi
.aex
.af3
.afd
.ag4
.ai
.aif
.aifc
.aiff
.ain
.aio
.ais
.akf
.alv
.amp
.ans
.ap
.apa
.apo
.app
.arc
.arh
.arj
.arx
.asc
.asm
.ask
.au
.bak
.bas
.bb
.bcb
.bcp
.bdb
.bh
.bib
.bpr
.bsa
.btr
.bup
.bwb
.bz
.bz2
.c
.c86
.cac
.cbl
.cc
.cdb
.cdr
.cgi
.cmd
.cnt
.cob
.col
.cpp
.cpt
.crp
.cru
.csc
.css
.csv
.ctx
.cvs
.cwb
.cwk
.cxe
.cxx
.cyp
.d
.db
.db0
.db1
.db2
.db3
.db4
.dba
.dbb
.dbc
.dbd
.dbe
.dbf
.dbk
.dbm
.dbo
.dbq
.dbt
.dbx
.dfm
.djvu
.dic
.dif
.dm
.dmd
.doc
.dok
.dot
.dox
.dsc
.dwg
.dxf
.dxr
.eps
.exp
.f
.fas
.fax
.fdb
.fla
.flb
.frm
.fm
.fox
.frm
.frt
.frx
.fsl
.gtd
.gif
.gz
.gzip
.h
.ha
.hh
.hjt
.hog
.hpp
.htm
.html
.htx
.ice
.icf
.inc
.ish
.iso
.jar
.jad
.java
.jpg
.jpeg
.js
.jsp
.key
.kwm
.lst
.lwp
.lzh
.lzs
.lzw
.ma
.mak
.man
.maq
.mar
.mbx
.mdb
.mdf
.mid
.mo
.myd
.obj
.old
.p12
.pak
.pas
.pdf
.pem
.pfx
.php
.php3
.php4
.pgp
.pkr
.pl
.pm3
.pm4
.pm5
.pm6
.png
.ppt
.pps
.prf
.prx
.ps
.psd
.pst
.pw
.pwa
.pwl
.pwm
.pwp
.pxl
.py
.rar
.res
.rle
.rmr
.rnd
.rtf
.safe
.sar
.skr
.sln
.swf
.sql
.tar
.tbb
.tex
.tga
.tgz
.tif
.tiff
.txt
.vb
.vp
.wps
.xcr
.xls
.xml
.zip

Le programme malicieux place un fichier « read_me.txt» dans chaque répertoire comportant des fichiers chiffrés, et on peut y lire ceci :

Bonjour, vos fichiers sont chiffrés par l’algorithme RSA-4096.
Sans l’aide de notre logiciel il vous faudra au moins plusieurs années pour déchiffrer ces fichiers. Toutes vos informations confidentielles de ces trois derniers mois ont été collectées et nous ont été envoyées. Pour déchiffrer ces fichiers notre logiciel est indispensable. Ce dernier coûte 300$.

Pour acheter notre logiciel veuillez contacter xxxxxxx@xxxxx.com et nous fournir votre code personnel – xxxxxxxxx. Une fois la transaction réussie nous vous enverrons l’outil de décryptage et vos informations confidentielles seront supprimées de notre système.

Si vous ne prenez pas contact avec nous avant le 15/07/2007, vos informations confidentielles seront partagées et vous perdrez toutes vos données.

Glamorous team

Le virus crée dans le répertoire système Windows un dossier masqué du nom de « wsnpoem » dans lequel se trouvent deux fichiers vides - «video.dll» et «audio.dll».
Conseils pour la suppression

Si votre ordinateur n’était pas protégé par un antivirus et est infecté par ce code malicieux, alors il est indispensable de suivre les instructions ci-après pour le supprimer :

1. Modifiez la valeur de la clé dans la base de registre en ajoutant un symbole à la fin du nom du module malicieux : Exemple :

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"UserInit" = "%System%\userinit.exe, %System%\ntos.exe_"

2. Redémarrez l’ordinateur.
3. Supprimez le fichier suivant dans le répertoire système de Windows :

ntos.exe

4. Afin de décrypter les fichiers chiffrés par le programme malicieux, nous mettons à votre disposition un utilitaire gratuit. Pour obtenir les informations sur les conditions d'utilisation de cette utilitaire et pour le télécharger, consultez le site du support technique de Kaspersky Lab (en anglais). Attention ! Veuillez lire attentivement les instructions d'utilisation de l'utilitaire. La mention d'une clé incorrecte pour le déchiffrage pourrait conduire à une altération irréversible des fichiers.
5. Effectuez une analyse complète de l’ordinateur à l’aide de Kaspersky Anti-Virus avec les bases antivirus mises à jour. Pour télécharger une version d’essai, cliquez ici .

Il n'y a pas de problèmes; il n'y a que des solutions.
L'esprit de l'homme invente ensuite le problème.

J'ai cliqué sur le post <17>.

Je vois pas trop ce que ça va lui apporter, mais bon...

Je te conseille plutot de voir le post <17>

J'ai jamais dis que ce qui est proposé post <18> était une finalité.

Blondin, AVG est trop faible devant win32.VB.fm!

Re,

**Télécharge la version d'essai d'AVG Anti-Spyware 7.5 ici :
https://www.avg.com/en-ww/free-antivirus-download
et l'installer.

Son tuto (merci malekal_morte) : https://www.malekal.com/avg-antivirus-free-antivirus-gratuit-pour-proteger-son-pc-des-virus/

Démarrer AVG antispyware. Cliquer sur "mise à jour", cliquer sur le bouton "Commencer la mise à jour" et attendre la fin de cette mise à jour puis, fermer le programme.
Redemarrer en mode sans échec, relancer AVG AS et cliquer sur l'onglet "scanner" puis sur "Analyse complète du système".
Une fois le scan terminé, il t'affiche un rapport. Cliquer sur "configurer..." en bas a gauche et choisir "supprimer". Ensuite cliquer sur "Appliquer toutes les actions ", ca va supprimer toutes les infections détectées.
Ensuite cliquer sur "Enregistrer le rapport d'analyse" -> "enregistrer sous" et enregistrer le rapport où bon te semble, afin de me l'envoyer dans ta prochaine réponse.

Pour vérifier, scanne ton PC avec cet antivirus en ligne (sous IE et accepte l’activX) :
http://www.bitdefender.fr/bd/site/search.php#
Clique sur « Bitdefender scan on line » suis les instructions.
Et colle le rapport.

salut clic ici

a+
Il n'y a pas de problèmes; il n'y a que des solutions.
L'esprit de l'homme invente ensuite le problème.

Merci, je trouvé tout sauf pour mon virus win32.VB.fm, que faire alors

Tu la désinfecte avec ça : https://www.kaspersky.fr/downloads/thank-you/free-virus-removal-tool
Cherche le nom et tu trouveras sûrment.

Enfin de compte c-est le virus win32.VB.fm qui m,a attaque.
Comment desinfecter ma machine
Merci!

Salut.

Peut être qu'avec les images, tu y arriveras mieux...

https://www.luanagames.com/index.fr.html

Merci amigo,
Mais tout cela je l'ai fait, rendez compte que l'endroit ou cocher pour activer executer n'est plus là!

Merci quand meme!

Voici la solution:
Clique sur la bare de tache et fais "propriété" .
Puis tu dois aller dans l'onglet démarrér .
Tu dois voir un bouton "personnalisé" , clique dessus.
Puis vas dans l'onglet "avancé" et tu véras les éléments du menu démarer .
Coche la case " commande executer "

Voila

Bonjour, le problème est que une fois que je fait restauration du système comme vous me l'aviez indiqué, je clic et rien ne viens!
Il ya des endroits ou je clic ( comme dans outils d'administration/local security police) et la machine me dit que suite à des restriction en vigeur sur cette machine cette option a été arreté, veuillez contact l'administrateur de votre système, or l'admin c'est bien moi.

Chose étonnante, lorsque je crée un autre utilisateur, les deux commandes executer et rechercher sont là mais lorsque je redemarre la machine les deux commandes disparaissent!

J'ai meme fait scanner la machine en ligne en suivant les instruction des CCM et le scan n'a rien trouvé de dangereux, sauf deux spyware de danger moyen!

Merci!

Merci,
Je m'y met tout de suite!

Bonjour,

Sous Windows XP, voici comment procéder à la Restauration Système :
Démarrer > Tous les Programmes > Accessoires > Outils Système > Restauration du Système et là apparaît le calendrier avec en gras les dates de restauration possibles.

NB : il ne faut pas insérer le CD.

salut c est normal lance la restauration systeme tout en bas et suis les instructions tu veras un calendrier avec des points de restaurations a+
Quand dans l'étable le boeuf se fâche, personne ne bouse!

Bonjour,

Je suis dans systeme/ restauration du systeme mais je ne vois pas ou cliquer pour mettre la date à laquelle je doit restaurer mon systeme!

Merci

on insert le cd windows on reboot avec ou va dans systeme restaurer le systeme et choisi la date a+

Et comment on fait pour réstaurer l'ordi à une date anterieure,
Ou comment faire pour config les programmes par défaut?

Merci