Rogue

Question

Bonjour, 

J'ai déja posté sur un autre sujet mais apparemment ce n'était pas le bon endroit. 
Alors je m'explique : mon pc a était infecté par un Rogue. J'ai donc utiliser ce tutoriel ci pour résoudre le problème . 
https://forums.commentcamarche.net/forum/affich-24824007-smart-hdd
Me voila donc arrivé au stade ou je dois donner mon lien:
 https://pjjoint.malekal.com/files.php?id=20120401_g514w13f7h13
J'ai récupéré mes disque dur sauf appremment  Window qui ne figure plus sur mon disque merci d'avance.
<config>Windows 7 /config>

g3n-h@ckm@n · Answer

salut

telecharge et enregistre Pre_Scan sur ton bureau :

http://sd-4.archive-host.com/membres/up/829108531491024/Pre_Scan.exe

Avertissement :Il y aura une extinction du bureau pendant le scan --> pas de panique.

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan_la_date_et_l'heure.txt" sur le bureau.

si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Kill"

si l'outil est bloqué par l'infection utilise cette version renommée winlogon.exe :

http://sd-4.archive-host.com/membres/up/829108531491024/winlogon.exe

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan


NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

Heberge le rapport sur http://pjjoint.malekal.com puis donne le lien obtenu en echange sur le forum où tu te fais aider

GlouTarD · Answer

Merci,
J'ai utilisé Pre-Scan en le télechargent à partir de ton 1er lien. 
 https://pjjoint.malekal.com/files.php?id=20120402_f59w9j15c8
Voici mon lien merci :)

g3n-h@ckm@n · Answer

firefox à mettre à jour
desinstalle adobe reader 9
desinstalle java update 20

========================

relance pre_scan et choisis script , une page vierge va s'ouvrir.

selectionne tout le texte en gras ci-dessous, puis (clic droit/copier ou ctrl+c) :
___________________________________________________
Kill::

Registry::
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
"QuickTime Task"=-
[-HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0017-0000-0000-ABCDEFFEDCBA}]
[-HKCU\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{5C0D11B8-C5F6-4be3-AD2C-2B1A3EB94AB6}]

txt::
C:\Windows\W7T.txt 
C:\Windows\System32\Tasks\{2259DDD1-C622-4648-B118-2713CE6128D0} 
C:\Windows\System32\Tasks\{3D15BE74-83CC-40AD-A18F-5E3541C334D3} 

file::
C:\Windows\Døt 
C:\ProgramData\-6qeFnBFfCYh8K7 
C:\Users\Administrateur\Desktop\SMART_HDD.lnk 

folder::
C:\Windows\C5C1C0F0D62F4DBF81D4D7EF397C228B.TMP   
C:\Users\Administrateur\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\SMART HDD 

Mbr::    

clean::      

Reboot::        
___________________________________________________

colle-le ensuite (clic droit/coller ou ctrl+V) dans la page vierge.

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille 

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

GlouTarD · Answer

J'ai fais tout ce que tu as demandé voici le lien de Pre_Script.txt : 
 https://pjjoint.malekal.com/files.php?id=20120402_l6z6l714j6 


Une question qu'elle est la derniere version de mozila?

g3n-h@ckm@n · Answer

celle qu'on trouve chez mozilla

https://www.mozilla.org/fr/firefox/

=============

&#9654 Télécharge Malwarebytes' Anti-Malware (MBAM).

Malwarebytes : clique pour la version FREE

ou : lien mirroir

&#9654 enregistre l'exécutable sur le bureau. (attention! ne pas télécharger Registry booster ou autre chose que MBAM.)

&#9654 Installe-le puis configure-le comme ceci :

Configuration

si tu n'as rien modifié fais directement quitter sinon enregistrer 

&#9654 Si MBAM est déjà installé, aller directement à la mise à jour puis à l'analyse.

&#9654&#9654&#9654 Ce logiciel gratuit est à garder.

===================================================

Uniquement en cas de problème de mise à jour:

Télécharger mises à jour manuelles MBAM

&#9654 Exécute le fichier après l'installation de MBAM

===================================================

Connecter les supports amovibles (clés usb etc.) avant de lancer l'analyse.

&#9654 Double clique sur le fichier téléchargé pour lancer le processus d'installation.
&#9654 Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
&#9654 Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
&#9654 Sélectionne "Exécuter un examen complet"
&#9654 Clique sur "Rechercher"
&#9654 L'analyse démarre, le scan est relativement long, c'est normal.

A la fin de l'analyse, un message s'affiche :

 Citation :

    L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.

&#9654 Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
&#9654 Ferme tes navigateurs.
&#9654 Si des malwares ont été détectés, clique sur Afficher les résultats.
&#9654 Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
    MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. 

&#9654 Copie-colle ce rapport et poste-le dans ta prochaine réponse.

Si MBAM demande à redémarrer le pc : &#9654  fais-le.

Si au redémarrage Windows te dit qu'il a bloqué certains programmes de démarrage : &#9654 clique sur la bulle puis sur Exécuter les programmes bloqués/Malwarebytes Anti-Malware.

GlouTarD · Answer

J'ai retrouvé le rapport. Le voici :
Malwarebytes Anti-Malware 1.60.1.1000
www.malwarebytes.org

Version de la base de données: v2012.04.02.05

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
Administrateur :: PROPRIETAIRE [administrateur]

02/04/2012 17:57:00
mbam-log-2012-04-02 (17-57-00).txt

Type d'examen: Examen complet
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 390181
Temps écoulé: 35 minute(s), 9 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 3
C:\Pre_Scan\Quarantine\6qeFnBFfCYh8K7.exe.P_S (Rogue.FakeHDD) -> Mis en quarantaine et supprimé avec succès.
C:\Pre_Scan\Quarantine\FdrllxJJnSf.exe.P_S (Trojan.Agent) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Administrateur\Desktop\RK_Quarantine\FdrllxJJnSf.exe.vir (Trojan.Agent) -> Mis en quarantaine et supprimé avec succès.

(fin)

J'ai redémarré le pc.

g3n-h@ckm@n · Answer

bien 

des soucis persistent ?

GlouTarD · Answer

J'ai bien le designe de windows 7 mais c'est comme si j'avais l'interface de vista. 
C'est il me semble le seul problème avec le fait que le menu démaré soit vide.
Un screen pour se rendre compte: https://www.imagup.com/data-recovery-solutions-for-small-businesses-of-san-francisco/

g3n-h@ckm@n · Answer

si tu cliques sur tous les programmes c est vide aussi ?

GlouTarD · Answer

Non quand je clique sur tous les programmes c'est bon, ils sont la. Mais c'est du détail je n'utilise jamais ces raccourci là. Par contre y a t'il un moyen de récupérer la "barre démaré" si c'est comme ça que l'on l'appelle d'origine sur windows 7?

g3n-h@ckm@n · Answer

tu dois pouvoir en remettant le theme non ?

GlouTarD · Answer

J'ai essayé mais changer de thème ne change rien à part la couleur des barres and co...  Je vais chercher par moi même.

g3n-h@ckm@n · Answer

propriétés dans le menu demarrer...?

GlouTarD · Answer

Merci beaucoup,
Grace à toi mon pc est il me semble exactement dans le meme état qu'avant l'attaque !

g3n-h@ckm@n · Answer

le ménage :

https://gen-hackman.kanak.fr/

GlouTarD · Answer

J'ai un léger problèmle pour mettre Java (x86) à jour je suis en version 1.7.0 et je ne trouve pas la version 1.7.0_03...

g3n-h@ckm@n · Answer

https://www.java.com/fr/

GlouTarD · Answer

Alors voici mon 1er rapport:
WhyIGotInfected v1.5.2(by Tigzy)
********************************

Run : 03/04/2012 10:48:05 [Normal Mode]
Machine : PROPRIETAIRE (4 CPUs) [Administrateur : ADMIN]
OS: Microsoft Windows 7 Édition Familiale Premium Service Pack 1 (x64)

~~ Plugins check: ~~

UPTODATE [Microsoft Windows 7 Édition Familiale Premium ] Current : Service Pack 1 -- Latest : Service Pack 1
OUTDATED [Firefox (x86)] Current : 9.0.1 -- Latest : 11.0
UPTODATE [Internet Explorer] Current : 9.0.8112.16421 -- Latest : 9.0.8112.16421
UPTODATE [Internet Explorer (x86)] Current : 9.0.8112.16421 -- Latest : 9.0.8112.16421
OUTDATED [Java (x86)] Current : 1.7.0 -- Latest : 1.7.0_03
UPTODATE [Adobe Flash] Current : 11.2.202.228 -- Latest : 11.2.202.228
UPTODATE [Adobe Flash (x86)] Current : 11.2.202.228 -- Latest : 11.2.202.228
UPTODATE [Adobe Flash ActiveX] Current : 11.2.202.228 -- Latest : 11.2.202.228
UPTODATE [Adobe Flash ActiveX (x86)] Current : 11.2.202.228 -- Latest : 11.2.202.228
UPTODATE [Adobe Flash FF Plugin] Current : 11.2.202.228 -- Latest : 11.2.202.228
UPTODATE [Adobe Flash FF Plugin (x86)] Current : 11.2.202.228 -- Latest : 11.2.202.228

Finished
<C:\Users\Administrateur\Desktop\WIGIReport[0].txt>
WIGIReport[0].txt

Et voici le deuxième:
WhyIGotInfected v1.5.2(by Tigzy)
********************************

Run : 03/04/2012 11:23:17 [Normal Mode]
Machine : PROPRIETAIRE (4 CPUs) [Administrateur : ADMIN]
OS: Microsoft Windows 7 Édition Familiale Premium Service Pack 1 (x64)

~~ Plugins check: ~~

UPTODATE [Microsoft Windows 7 Édition Familiale Premium ] Current : Service Pack 1 -- Latest : Service Pack 1
UPTODATE [Firefox (x86)] Current : 11.0 -- Latest : 11.0
UPTODATE [Internet Explorer] Current : 9.0.8112.16421 -- Latest : 9.0.8112.16421
UPTODATE [Internet Explorer (x86)] Current : 9.0.8112.16421 -- Latest : 9.0.8112.16421
UPTODATE [Java 7] Current : 1.7.0_03 -- Latest : 1.7.0_03
OUTDATED [Java (x86)] Current : 1.7.0 -- Latest : 1.7.0_03
UPTODATE [Java (x86)] Current : 1.6.0_31 -- Latest : 1.6.0_31
UPTODATE [Adobe Flash] Current : 11.2.202.228 -- Latest : 11.2.202.228
UPTODATE [Adobe Flash (x86)] Current : 11.2.202.228 -- Latest : 11.2.202.228
UPTODATE [Adobe Flash ActiveX] Current : 11.2.202.228 -- Latest : 11.2.202.228
UPTODATE [Adobe Flash ActiveX (x86)] Current : 11.2.202.228 -- Latest : 11.2.202.228
UPTODATE [Adobe Flash FF Plugin] Current : 11.2.202.228 -- Latest : 11.2.202.228
UPTODATE [Adobe Flash FF Plugin (x86)] Current : 11.2.202.228 -- Latest : 11.2.202.228

Finished
<C:\Users\Administrateur\Desktop\WIGIReport[2].txt>
WIGIReport[0].txt ; WIGIReport[1].txt ; WIGIReport[2].txt

Tout est à jour sauf la fameuse version de Java(x86)

GlouTarD · Answer

Voici mon rapport avec del fix:
# DelFix v8.8 - Rapport créé le 03/04/2012 à 11:39:39
# Mis à jour le 12/02/12 par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : Administrateur - PROPRIETAIRE (Administrateur)
# Exécuté depuis : C:\Users\Administrateur\Desktop\delfix.exe
# Option [Suppression]


~~~~~~ Dossiers(s) ~~~~~~

Supprimé : C:\Users\Administrateur\Desktop\RK_Quarantine

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\PhysicalMBR.bin
Non Supprimé : C:\Users\Administrateur\Desktop\WhyIGotInfected.exe
Supprimé : C:\Users\Administrateur\Downloads\RogueKiller.exe

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKCU\Software\g3n-h@ckm@n
Clé Supprimée : HKLM\SOFTWARE\OldTimer Tools

~~~~~~ Autres ~~~~~~

-> Prefetch Vidé

*************************

DelFix[S1].txt - [799 octets] - [03/04/2012 11:39:39]

########## EOF - C:\DelFix[S1].txt - [922 octets] ##########

g3n-h@ckm@n · Answer

desinstalle-le en mode avancé avec revo uninstaller , supprime tout ce qu il trouve puis retourne sur le site de java pour une réinstallation propre

https://www.commentcamarche.net/telecharger/utilitaires/19405-revo-uninstaller/

GlouTarD · Answer

Je lance maintenant CCleaner? Est il obligatoire que l'analyse soit aussi longue ( 35 verifications)

g3n-h@ckm@n · Answer

35 passes....bah au moins c est propre ^^

et puis un peu tous les jours c est rapide....

GlouTarD · Answer

Je le faisais un peu tous les jours déjà ^^ mais bon c'est pas grave mais j'en ai pour l'après midi si je fais 35 passages ^^

GlouTarD · Answer

C'est bon j'ai fais les 35 passages finalement ça n'a pas été aussi long que ça

GlouTarD · Answer

J'ai fini de nettoyer mon pc mais il me reste un problème qui n'est, je penses, pas du à ma connection : régulierement quelque soit le navigateur, mon navigateur ce met à ramer énormément pendant environ 10 minutes puis va mieux 10 minutes et ainsi de suite... T'as une idée d'ou ça peu venir?

Rogue

25 réponses

Discussions similaires

Newsletters