Security Center Alert (Rogue), que faire ?

[invite0fadfa80]

Bonsoir à tous,
j'ai un soucis avec mon PC qui est infecté par un Rogue appelé Securiy Center Alert (un faux centre de sécurité windows qui y ressemble comme deux gouttes d'eau et qui veut me faire acheter un logiciel antivirus). Il a même fait désinstaller mon antivirus (Antivir) en disant que deux antivirus ne peuvent pas être installé en même temps sur un PC, j'ai fait un scan avec SmitFraudfix :

########

C'est du chinois pour moi, si quelqu'un pouvait m'expliquer...
Merci d'avance
-----

[yoda1234]

Bonjour,

un petit rappel: Tous les rapports sans exception doivent être postés en pièces jointes.

Pour ton infection:
Consulte je te prie la procédure préliminaire du forum.

Reviens ensuite dans ce sujet pour poster les rapports générés par la procédure.

[invite0fadfa80]

Ok, j'ai fait comme indiqué dans le dossier, voilà ce que j'obtiens :

[b marlow]

Salut,
Télécharge et installe Malwarebytes' Anti-Malware
Fait un scan rapide,coche puis clique sur Supprimer la sélection
puis poste le rapport final.(si MBAM veut rebooter l'ordi accepte)

Aide en images.

[A voir en vidéo sur Futura]

[invite0fadfa80]

Merci pour votre aide.
Malheureusement Malwarebyte ne veut pas se lancer. J'ai déjà essayer de nombreuses fois, mais lui comme spybot et antivir ne s'ouvre plus. Je les ai désinstallés et reinstallés plusieurs fois mais rien n'y change. Quand je double clique dessus depuis les icones sur mon bureau j'ai un petit sablier pendant quelques secondes qui redevient ensuite la flêche mais rien ne s'est ouvert.

[b marlow]

Télécharge rkill
http://download.bleepingcomputer.com/grinler/rkill.exe
Enregistre-le sur ton Bureau
Double-clique sur l'icône rkill ( pour Vista/Seven clic-droit Exécuter en tant qu'Administrateur)
Un bref écran noir t'indiquera que le tool s'est correctement exécuter, s'il ne lance pas
change de lien de téléchargement en utilisant le suivant à partir d'ici:
http://download.bleepingcomputer.com/grinler/rkill.pif
http://download.bleepingcomputer.com/grinler/rkill.scr
http://download.bleepingcomputer.com/grinler/rkill.com

Tout de suite derriere re- lance MBAM.

[invite0fadfa80]

Bonjour.
J'ai bien téléchargé rkill mais même en faisant comme vous dites mais MBAM ne se lance pas quand j'essaye de l'ouvrir.

[b marlow]

Télécharge >>OTM<< (de Old_Timer) sur ton Bureau.
Double-clique sur OTM.exe pour le lancer.
Copie les lignes de la zone "Code" ci-dessous dans le Presse-papiers en les
sélectionnant TOUTES puis en appuyant simultanément sur les touches CTRL et C
(ou, après les avoir sélectionnées, en faisant un clic droit puis en choisissant Copier):

FS
:Processes
explorer.exe
 
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]      
"richtx64.exe"=-
"AntiMalware"=-
 
:Files
C:\WINDOWS\system32\tmp.txt       
C:\Program Files\AntiMalware
C:\DOCUME~1\Ghislain\LOCALS~1\Temp\richtx64.exe 
 
:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]

Retourne dans la fenêtre de OTMoveIt3, fais un clic droit dans la zone puis Coller.

Clique sur le bouton rouge
Le résultat apparaitra dans le cadre Results.
Clique sur Exit pour fermer.
Poste le rapport situé dans C:\_OTM\MovedFiles\*******_******.log


NB: Il te sera peut-être demandé de redémarrer le pc pour achever la suppression.
si c'est le cas accepte par Oui/Yes. (Quoi qu'il en soit redémarre l'ordi)

Ensuite met MBAM à jour et retente le scan.

[invite0fadfa80]

Ok, j'ai fait ce que vous m'avez dit et j'obtiens ceci :
Une icone Thumbs.db s'est aussi créee sur mon bureau.

[invite0fadfa80]

par contre MBAM ne veut toujours pas se lancer. Un ptit sablier quand je clique dessus et rien qui ne s'ouvre.

[b marlow]

Télécharge ComboFix (de sUBs):
- Sauvegarde le sur ton Bureau.
- Double-clique sur Combofix.exe et suis les instructions.
- Lorsqu'il aura terminé, un rapport apparaîtra à l'écran (fichier texte).
- Poste le contenu du rapport dans ta prochaine réponse.

Le rapport est également sauvegardé ici : C:\ComboFix.txt

Ne pas cliquer dans la fenêtre de Combofix durant l'analyse ;
ceci provoquerait le gel du programme

Tuto ComboFix

Une icone Thumbs.db s'est aussi créee sur mon bureau.

tu peux la supprimer.

[invite0fadfa80]

de la même manière que MBAM, combofix ne s'ouvre pas quand je double clique dessus
A propos des fichiers Thumbs.db, il y'en a en fait un dans chacun de mes dossiers et lorsque je double clique dessus, on me dit que leur modification risque d'endommager le système. Comment puis je les faire tous disparaitre ?

[b marlow]

passe en mode sans echec pour exécuter Combofix et/ou MBAM.

[invite0fadfa80]

Je me suis renseigné via google et j'ai réussi à lancer MBAM (sans être en mode sans échec). J'ai désinstallé et réinstallé puis j'ai modifié le dossier mbam.exe en mb-am.exe comme j'ai pu le lire. Le scan rapide m'a trouvé 2 rogues que j'ai supprimé puis une fenêtre s'est ouvert est m'a inscrit ceci :


Tous les rapports doivent être postés en pièces jointes.

yoda1234.

[b marlow]

les rapports doivent etre postés en PJ. Tous les rapports...

Concernant les fichiers thumbs.db vérifie que tes fichiers cachés ne soient pas affichés.
http://b.marlow.free.fr/fichiers_caches.html
qu'en est-il de ton antivirus tu as pu le réinstaller ?

[invite0fadfa80]

Sorry pour le rapport, je pensais que c'était seulement pour les gros.
Pour les fichiers cachés tu avais raison.
J'ai désinstallé et réinstallé antivir, il apparait dans mon centre de sécurité par contre il ne s'ouvre pas (à noter qu'aucune icône (le parapluie) n'est apparue dans ma barre du bas lors de l'installation).
Tout à l'heure j'avais réussi à l'ouvrir mais lorsque j'ai fait la mise à jour il était inscrit scheduler not loaded alors je l'ai réinstallé mais maintenant il ne s'ouvre plus.

[b marlow]

passe quand même combofix puis poste le rapport.

[invite0fadfa80]

Combofix ne veut pas s'ouvrir. Je me demande si tous les logiciels que je possède : CCleaner, antivir, rkill, rsit, MBAM atf cleaner, OTP, Combofix, parefeu de windows XP ne se font pas la guerre.
Curieusement le petit parapluie d'antivir est maintenant présent dans ma barre du bas et il est ouvert, parcontre quand je double clique sur l'icone présente sur le bureau il ne se passe rien et je n'arrive pas à obtenir ce genre de page comme j'avais avant : http://www.gralon.net/annuaire/inter...ssic-v-7-6.jpg
J'ai juste ce genre de page : http://www.vista-xp.fr/forum/capture...ntivir-001.gif
A noter que antivir est maintenant présent dans mon centre de sécurité. J'ai parametrer antivir comme indiqué ici : http://www.commentcamarche.net/faq/s...tivir-personal

[b marlow]

antivir n'est pas en français chez toi ? si tu veux le lancer tu peux le faire par
l'icone de la zone de notification.
passe en mode sans échec et essaie de lancer combofix.

[invite0fadfa80]

Si si en français, mais c'est pas de la langue dont je parlé c'est du type de page.
Je vais essayer le mode sans échec

[b marlow]

pou avoir l'interface d'antivir tu fais clic-droit sur l'icône en zone de notification>Démarrer antivir.

[invite0fadfa80]

Oui, je sais comment ouvrir antivir (je l'avais avant) mais là il ne s'ouvre pas quand je lui demande.
J'ai essayé combofix en mode sans échec mais il ne s'est pas non plus ouvert. Je l'ai désinstallé, réinstallé mais ça ne marche toujours pas. A noter que lorsque je fait MBAM, il trouve toujous trois problèmes : deux qui sont appelés Trojan.FakeAlert et un appelé Rootkit.TDSS.
PS : Je vais m'acheter un portable ces jours ci et acheter un antivirus payant en espérant ne plus avoir de problème (surement Kaspersky) mais j'aimerais le raccoder à mon fixe(celui que j'essaye de réparer) pour récuperer des dossiers. Est ce que cela risque d'infecter aussi mon portable ? Si oui comment dois je procéder pour éviter l'infection ?
Merci d'avance

[b marlow]

A noter que lorsque je fait MBAM, il trouve toujous trois problèmes : deux qui sont appelés Trojan.FakeAlert et un appelé Rootkit.TDSS.

malheureusement nous ne sommes pas au courant de ce qu'il te trouve puisque
tu ne nous a pas posté ces rapports...Il ne nous reste plus qu'à consulterla boule de cristal.

Télécharge>load_tdsskiller< de Loup Blanc sur ton Bureau

Cet outil est conçu pour automatiser différentes tâches proposées par TDSSKiller, un fix de Kaspersky.

• Lance load_tdsskiller en double-cliquant dessus : l'outil va se connecter au Net pour télécharger une copie à jour de TDSSKiller, puis va lancer le scan
• A la fin du scan, appuie sur une touche pour continuer, comme l'indique le message dans la fenêtre noire d'invite de commande
• Le rapport s'affichera automatiquement : copie-colle son contenu dans ta prochaine réponse (le fichier est également présent ici : C:\tdsskiller\report.txt)
• Fais redémarrer ton PC

[invite0fadfa80]

Bonjour, j'ai executer TDSSKILLER :

[b marlow]

quand tu veux pour le rapport de MBAM.

[invite0fadfa80]

Le voici :

[b marlow]

démarrer>>executer>>copie-colle:
combofix /uninstall
puis valide par entrée.


Télécharge ComboFix (de sUBs) renommé en yabon.exe
- Sauvegarde le sur ton Bureau.
- Double-clique sur yabon.exe et suis les instructions.
- Lorsqu'il aura terminé, un rapport apparaîtra à l'écran (fichier texte).
- Poste le contenu du rapport dans ta prochaine réponse.

Le rapport est également sauvegardé ici : C:\ComboFix.txt

Ne pas cliquer dans la fenêtre de Combofix durant l'analyse ;
ceci provoquerait le gel du programme

Tuto ComboFix

Si le tool ne se lance pas, passe en mode sans échec pour l'exécuter.

[invite0fadfa80]

Combofix s'est lancé (même pas besoin du mode sans échec), l'autoscan a eu lieu et de nombreux programmes ont été supprimés. Antivir s'est aussi mis en route, il m'a indiqué juste avant l'autoscan qu'il y avait un programme malveillant que j'ai mis en quarantaine. La mise à jour d'antivir s'est également faite et maintenant j'ai bien la page d'acceuil antivir quand je double clique sur l'icone( une icone avec le parapluie ouvert est aussi apparue dans ma barre du bas). Par contre je sais pas où est passé le rapport combofix, dans BOOT(:C) j'ai maintenant un dossier yabon(surement combofix renommé) mais dedans y'a plein de dossier : mbr.log , mbr.txt version.txt ....

[b marlow]

le rapport est à la racine du disque C , pas dans le dossier combo ni yabon, juste dans C
ce sera comboFix.txt ou yabon.txt

[invite0fadfa80]

J'ai trois txt dans la racine de C : 2 de TDSSkiller et un moduleName.txt
Y'avait il quelquechose de spécial à faire pour que le rapport soit enregistré ? ou s'enregistre t'il automatiquement ?