infection par Personal Shield Pro

[lucke80]

bonjour à tous,
le PC portable de ma fille vient d'être infecté par "Personal Shield Pro". J'ai tenté de suivre la procédure décrite en tête de ce forum, mais le problème est que je ne peux ouvrir ni IE, ni firefox. j'obtiens une page blanche et de temps en temps les tableaux de personal shield pro qui apparaissent. Ma première question est: comment autoriser l'ouverture d'un des navigateurs internet pour pouvoir télécharger les nettoyeurs ou alors puis-je installer ces nettoyeurs sur une clé usb en forçant le bootage dessus ? Enfin, est-ce une bonne idée d'installer le disque dur en esclave sur un autre PC et passer un antivirus dessus ?
merci pour votre aide, ma fille a surtout peur pour ses photos ...
bien cordialement

Luc
-----

[invitec04351b8]

Bonsoir,

essaye de restaurer la connexion internet comme ça :

Ouvre Internet explorer, Outils, Options Internet

Choisis Connexions puis Paramètres réseau

Décoche la case devant "utiliser un serveur proxy ...."

Coche la case devant "Détecter automatiquement les paramètres de connexion".

Pour Firefox,

Outils, Options

Avancé, Réseau, Paramètres

Coche la case "Utiliser les paramètres proxy du système".

===

Si ça ne fonctionne pas, utilise une clé USB pour télécharger les logiciels et les recopier sur l'ordi infecté.

Prends soin de formater la clé deans l'ordi infecté avant d'y copier les rapports pour les transmettre (ce qui veut dire la vider de tout fichier utile avant).

* Télécharge sur le bureau RogueKiller (par tigzy)

http://www.sur-la-toile.com/RogueKiller/RogueKiller.exe

* Quitte tous tes programmes en cours
* Lance le.
* Lorsque demandé, tape 2 et valide
* Un rapport (RKreport.txt) a du se créer à côté de l'exécutable, colle son contenu dans la réponse
* Si le programme a été bloqué, ne pas hésiter a essayer plusieurs fois.

===

Télécharge ZHPDiag

Enregistre le sur ton Bureau.

Une fois le téléchargement achevé,fais un double clic sur ZHPDiag.exe et suis les instructions.

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

Double clique sur le raccourci ZHPDiag sur ton Bureau.

/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.

Clique sur la loupe pour lancer l'analyse.

A la fin de l'analyse, clique sur l'appareil photo et enregistre le rapport sur ton Bureau.

Ouvre le fichier sauvegardé (ZHPDiag.txt) avec le Bloc-Notes et copie son contenu dans ta réponse en pièce-jointe.

===

Pas d'affolement pour les fichiers (dont les photos). Si ils n'apparaissent plus, on les fera réapparaître.

De plus, on pourra toujours graver un CD avec un OS pour les récopier sur un DD externe.

@+

[lucke80]

bonjour,
merci pour cette réponse très rapide !
je m'y attelle dès ce soir et je vous transmets les résultats
A très bientôt
bien cordialement

Luc

[lucke80]

bonsoir,
ça m'a l'air assez grave, je ne peux toujours pas lancer les navigateurs suffisamment longtemps pour télécharger quoique ce soit.
J'ai donc téléchargé le roguekiller sur une clé usb puis transféré sur le bureau infecté. le problème c'est que personal shield pro empêche roguekiller de se dérouler même si je le lance dès l'ouverture du bureau après démarrage du PC... faut-il le renommer ?
merci pour votre réponse
cordialement

[A voir en vidéo sur Futura]

[invitec04351b8]

Re,

on repart du fichier sur la clé USB.

Tu supprime RogueKiller.exe sur le Bureau.

Tu renommes le fichier RogueKiller.exe de la clé en winlogon.exe (dans la clé).

Tu copies le fichier sur le Bureau et tu exécutes l'option 2.

@+

[lucke80]

re-bonsoir,
j'ai réussi à lancer le mode sans échec avec invite de commande et j'ai pu lancer RogueKiller.
j'ai eu un rapport que je mets en PJ

RogueKiller V6.0.0 [13/09/2011] par Tigzy
contact sur http://www.sur-la-toile.com
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussi...Remontees.html

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode sans echec
Utilisateur: Eulalie HENNEVEUX [Droits d'admin]
Mode: Suppression -- Date : 21/09/2011 23:07:25

Processus malicieux: 0

Entrees de registre: 3
[SUSP PATH] HKCU\[...]\RunOnce : pO21703KgIkC21703 (C:\Documents and Settings\All Users\Application Data\pO21703KgIkC21703\pO21703 KgIkC21703.exe) -> DELETED
[HJ] HKLM\[...]\Security Center : AntiVirusDisableNotify (1) -> REPLACED (0)
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)

Fichiers / Dossiers particuliers:

Driver: [NOT LOADED]

Fichier HOSTS:


Termine : << RKreport[1].txt >>
RKreport[1].txt

[invitec04351b8]

Re,

les rapports toujours en pièce jointe.

Relance RogueKiller en mode normal et poste le rapport.

Regarde si il y a un proxy à décocher.

Essaye de faire tourner ZHPDiag.

N'utilise ni CCleaner ni ATFCleaner tant que je ne sais pas si certains fichiers sont cachés ou non.

@+

@+

[lucke80]

re-
voilà, j'ai relancé roguekiller et je mets le rapport en PJ
Pour info, quand j'ai relancé le PC, Antivir a détecté un virus que j'ai supprimé

[invitec04351b8]

Re,

et pour le proxy et ZHPDiag ?

@+

[lucke80]

bonjour,
pour les paramètres proxy je vois dans firefox "utiliser les paramètres proxy du système", quand à ZHPDiag il bloque à 80% (je l'ai laissé toute la nuit et ce matin il était toujours à 80% avec système figé. J'ai relancé tout à l'heure et il se bloque toujours à 80%
Par contre plus de manifestation de Personal Shield Pro et le PC a l'air de fonctionner normalement sauf IE qui me donne une page blanche
Que puis-je faire maintenant pour permettre à ZHPDiag de faire son analyse complète?
encore merci pour votre aide
cordialement

[invitec04351b8]

Bonjour,

pour ZHPDiag, avant de le lancer, tu cliques sur le tournevis et tu décoches la case devant la ligne O80 (infection du MBR).

Tu cliques sur la loupe pour lancer l'analyse.

@+

[lucke80]

re-bonjour,
voilà, le ZHPDiag est passé entièrement après avoir décoché la ligne 080

le contenu du rapport est trop long pour être copié ici donc je le mets en PJ

cordialement

Luc

[invitec04351b8]

Bonjour,

encore très infecté.

Ouvre ce lien et fait ce qui est dit sous Réparation du système infecté :

http://support.kaspersky.com/fr/faq/?qid=208280685

Poste le rapport.

===

Télécharge Malware Byte's Antimalware et installe le (assure toi qu'il se soit bien mis à jour avant de passer à la suite).[list]

• Lance MBAM et sélectionne "Exécuter un examen rapide". Patiente le temps du scan.
• Une fois le scan terminé,sélectionne tout ce qu'il a trouvé et clique sur "Supprimer la sélection".

Si MBAM a besoin de redémarrer pour terminer la suppression, accepte en cliquant sur Ok. Enregistre le rapport sur ton Bureau lorsqu'il s'affichera. Poste le en pièces jointes (vide le cache de ton navigateur si le bouton Gérer les pièces jointes n'apparait pas).

===
Télécharge AD-Remover sur ton Bureau.
http://www.teamxscript.org/adremoverTelechargement.html

/!\ Déconnecte-toi d'internet et ferme toutes applications en cours /!\

Désactive provisoirement et seulement le temps de l'utilisation de ADremover, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.

- Double-clique sur l'icône Ad-remover située sur ton Bureau.
- Sur la page, clique sur le bouton « NETTOYER »
- Confirme lancement du scan
- Laisse travailler l'outil.
- Poste le rapport qui apparaît à la fin.

(Le rapport est sauvegardé aussi sous C:\Ad-report(Scan/clean).Txt)

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller)

===

Fais redémarrer l'ordi, relance ZHPDiag (essaye de recocher la case O80, si ça bloque, laisse la décochée).

Poste le rapport.

@+

[lucke80]

re-
j'ai réalisé la première partie du dernier post à savoir tdsskiller
l'analyse n'a rien trouvé, je mets quand même le rapport en PJ
pour le reste je crois que je vais devoir attendre d'être rentré chez moi car l'internet du bureau ne m'autorise pas les sites de téléchargement
A plus pour la suite des évènements !

cdlt

[invitec04351b8]

Re,

OK, il n'y a plus que des restes de TDL4.

A ce soir pour la suite.

@+

[lucke80]

re,
voilà, j'ai trouvé un PC avec une connexion internet normale, donc j'ai pu faire les dernières opérations
j'ai dû par contre redécocher la ligne 080 ...
je mets les rapports en PJ
petite question: dois-je ou puis-je laisser l'antimalware qui s'est installé comme un grand en surveillance à côté de l'antivirus ?
encore un grand merci pour ton aide précieuse !
bien cordialement

A plus !

[invitec04351b8]

Re,

quand tu parles de l'antimalware, tu parles de MBAM ? Si oui, garde le et fais lui utiliser "de temps en temps" après mise à jour (par l'onglet ad hoc).

===

Télécharge AdwCleaner ( d'Xplode ) sur ton bureau.
Lance le, clique sur [Suppression] puis patiente le temps du scan.
Une fois le scan fini, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse.

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

@+

[lucke80]

bonsoir,
j'ai réalisé la dernière opération et je mets le résultat en PJ
merci pour le temps passé sur mon cas !
cordialement

[invitec04351b8]

Re,

pas mal de choses nettoyées.

Fais redémarrer l'ordi, refais tourner ZHPDiag et poste le rapport.

@+

[lucke80]

re,
voilà, c'est fait !
par contre, ça bloque toujours à 80% sans décocher la ligne 080
cdlt

[invitec04351b8]

Copie dans le Presse-papier les lignes ci-dessous (sélectionne les avec la souris et fais simultanément Ctrl et C)

O4 - Global Startup: C:\Documents And Settings\All Users\Menu Démarrer\Programmes\Moovida.lnk . (...)  -- C:\Program Files\Fluendo\Moovida\Moovida.exe (.not file.)
O42 - Logiciel: Moovida - (.Fluendo.) [HKLM] -- Moovida
[HKCU\Software\Moovida]
O43 - CFD: 22/09/2011 - 09:23:10 - [792017] ----D- C:\Documents and Settings\Eulalie HENNEVEUX\Local Settings\Application Data\moovida Air
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe
[HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\ForceRenive]    => Infection PUP (PUP.OfferBox)
[HKLM\Software\Classes\Toolbar.CT2542115]    => Infection BT (Adware.Hotbar)
[HKLM\Software\Classes\TypeLib\{14816CF6-426C-40D7-904C-E5600F015EC2}]    => Infection PUP (PUP.OfferBox)
[HKLM\Software\Classes\TypeLib\{282D18C0-5424-44F4-A531-55F9AC5B8FD8}]    => Infection PUP (PUP.OfferBox)
[HKLM\Software\Classes\CLSID\{58EFBE9C-4621-4d79-90E7-8BEE265CA951}]    => Infection BT (Adware.SmartShopper)
[HKLM\Software\Classes\CLSID\{7935436E-8F14-4C84-9ECF-BEB791296619}]    => Infection BT (Adware.SmartShopper)
[HKLM\Software\Classes\Interface\{7935436E-8F14-4C84-9ECF-BEB791296619}]    => Infection BT (Adware.SmartShopper)
[HKLM\Software\Classes\Interface\{7CF4E72E-C9C0-4CA8-A039-1F5BAD426CCE}]    => Infection BT (Adware.BHO)
[HKLM\Software\Classes\Interface\{81B32B9F-AFDC-4F7E-8F13-E39BB8ECF638}]    => Infection BT (Adware.BHO)
[HKLM\Software\Classes\Interface\{925C24DC-0C0B-4AE7-98F5-18252822C89C}]    => Infection BT (Adware.BHO)
[HKLM\Software\Classes\TypeLib\{937936af-28ca-4973-b8ae-f250406149a2}]    => Infection BT (Adware.BHO)
[HKLM\Software\Classes\CLSID\{B3DBB2D5-5F06-4EC2-904D-812ECE520509}]    => Infection BT (Adware.SmartShopper)
[HKLM\Software\Classes\Interface\{B3DBB2D5-5F06-4EC2-904D-812ECE520509}]    => Infection BT (Adware.SmartShopper)
[HKLM\Software\Classes\CLSID\{C4A743DE-EAAC-4cd0-9BF6-378E8141868B}]    => Infection BT (Adware.SmartShopper)
[HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{C4A743DE-EAAC-4cd0-9BF6-378E8141868B}]    => Infection BT (Adware.SmartShopper)
[HKLM\Software\Classes\Interface\{CA1BC665-4B6B-435C-80C1-0E12D993ED49}]    => Infection BT (Adware.BHO)
[HKLM\Software\Classes\Interface\{D5AB027D-C91A-4324-8C78-12CF1A588C48}]    => Infection PUP (PUP.OfferBox)
[HKLM\Software\Classes\CLSID\{DCE997C8-5920-4c09-99EE-59F46634FE2C}]    => Infection BT (Adware.SmartShopper)
[HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{DCE997C8-5920-4c09-99EE-59F46634FE2C}]    => Infection BT (Adware.SmartShopper)
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E2A7BD67-0EAF-497f-B05B-748D7BF3C421}]    => Infection BT (Adware.SPointer)
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{E2A7BD67-0EAF-497f-B05B-748D7BF3C421}]    => Infection BT (Adware.SPointer)
[HKLM\Software\Classes\CLSID\{E2A7BD67-0EAF-497f-B05B-748D7BF3C421}]    => Infection BT (Adware.SPointer)
[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E2A7BD67-0EAF-497f-B05B-748D7BF3C421}]    => Infection BT (Adware.SPointer)
[HKLM\Software\Classes\Interface\{E5DB89B8-5BE1-461C-A7EF-89B68211889D}]    => Infection PUP (PUP.OfferBox)
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{FC0D62C2-9640-4AEB-A5D5-CF25DF11FA8C}]    => Infection BT (Hijack.Browser)
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{FC0D62C2-9640-4AEB-A5D5-CF25DF11FA8C}]    => Infection BT (Hijack.Browser)
[HKLM\Software\Classes\TypeLib\{FD06B491-1EA6-4F5C-86D2-C86D3A3A3731}]    => Infection PUP (PUP.OfferBox)
[HKCU\Software\Spointer]    => Infection BT (Adware.SPointer)
[HKLM\Software\Mozilla\Firefox\Extensions]:moovida@spointer.com    => Infection BT (Adware.SPointer)
C:\Documents and Settings\Eulalie HENNEVEUX\Local Settings\Application Data\moovida air    => Infection BT (Adware.SPointer)
C:\Documents and Settings\Eulalie HENNEVEUX\Application Data\Mozilla\Firefox\Profiles\pc5zpcw0.default\user.js (.not file.)
O4 - HKLM\..\Run: [KernelFaultCheck] Clé orpheline
M3 - MFPP: Plugins - [Eulalie HENNEVEUX] -- C:\Documents and Settings\Eulalie HENNEVEUX\Application Data\Mozilla\Firefox\Profiles\pc5zpcw0.default\searchplugins\conduit.xml
M0 - MFSP: prefs.js [Eulalie HENNEVEUX - pc5zpcw0.default] http://search.conduit.com
M2 - MFEP: prefs.js [Eulalie HENNEVEUX - pc5zpcw0.default\{364d4e0c-543f-4b85-abe3-19551139da4f}] [] Softonic_France Toolbar v2.7.1.3 (.Conduit Ltd..)
O43 - CFD: 19/03/2011 - 14:58:48 - [25107] ----D- C:\Program Files\Messenger_Plus_FR
O43 - CFD: 19/03/2011 - 14:58:48 - [517165] ----D- C:\Documents and Settings\Eulalie HENNEVEUX\Local Settings\Application Data\Messenger_Plus_FR
O69 - SBI: C:\Documents and Settings\Eulalie HENNEVEUX\Application Data\Mozilla\Firefox\Profiles\pc5zpcw0.default\searchplugins\conduit.xml
O69 - SBI: prefs.js [Eulalie HENNEVEUX - pc5zpcw0.default] user_pref("browser.search.defaulturl", "http://search.conduit.com/ResultsExt.aspx?ctid=CT2719315
O69 - SBI: prefs.js [Eulalie HENNEVEUX - pc5zpcw0.default] user_pref("browser.startup.homepage", "http://search.conduit.com/?ctid=CT2719315&SearchSource=13");
[HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\conduitEngine]
[HKLM\Software\Classes\toolband.easyhidebtn]
[HKLM\Software\Classes\toolband.easyhidebtn.1]
[HKLM\Software\Classes\toolband.skypeiehelper]
[HKLM\Software\Classes\toolband.skypeiehelper.1]
[HKLM\Software\Classes\Toolbar.CT2719315]
[HKLM\Software\Classes\Interface\{115ccbae-27b0-47c3-ba42-bab708424393}]
[HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{5DB24F50-8C65-4772-9844-47FE8701BE57}]
C:\Documents and Settings\Eulalie HENNEVEUX\Application Data\Mozilla\Firefox\Profiles\pc5zpcw0.default\SearchPlugins\conduit.xml

Déconnecte toi d'Internet et ferme toutes les applications ouvertes.


Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

Pour Vista et W7 : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

Clique successivement sur l'icône H (pour effacer le rapport qui s'est affiché) puis sur l'icône de la malette cachée par la feuille.

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur OK, ce qui fait apparaître un carré à gauche de chaque ligne.

Clique sur "Tous" puis sur "Nettoyer".

Laisse l'outil travailler.

Si il te demande de redémarrer l'ordi pour achever le nettoyage, fais le immédiatement.

Le rapport d'exécution va apparaître dans la fenêtre.

Copie le dans ta réponse.

@+

[lucke80]

bonjour,
petite question: qu'entends tu par "malette cachée par la feuille"?
par rapport au "H" où se situe cette case ?
merci pour ta réponse
cdlt

[lucke80]

re-,
bon, j'ai tenté avec la touche la plus ressemblante (2ème à partir de la gauche) et tout s'est bien déroulé
je t'ai mis le rapport en PJ
à bientôt !
cdlt

Luc

[invitec04351b8]

Bonjour,

c'était bien ça.

Fais redémarrer l'ordi, refais tourner ZHPDiag et poste le rapport.

@+

[lucke80]

re,

voilà, j'ai repassé ZHPDiag qui coince toujours ligne 080

résultat en PJ

cdlt

[invitec04351b8]

Bonsoir,

bizarre que les outils d'analyse du MBR ne fonctionnent pas.


On va utiliser ComboFix.exe. Rends toi sur cette page web pour obtenir les liens de téléchargement, ainsi que des instructions pour exécuter l'outil:

http://www.bleepingcomputer.com/comb...liser-combofix


* Vérifie que tu as fermé/désactivé tous les programmes anti-virus, anti-malware ou anti-spyware afin qu'ils n'interfèrent pas avec le travail de ComboFix.

Envoie le contenu de C:\ComboFix.txt dans ta prochaine réponse afin que je l'examine.

@+

[lucke80]

bonjour,
j'ai essayé de passer l'outil combofix en respectant la procédure, mais il a l'air de planter quand il dit que l'opération dure 10 mn ou le double si le PC est très infecté. J'ai relancé 2 fois en attendant la première fois 1 heure et la deuxième fois 2 heures, mais ça ne progresse pas et le PC est figé à chaque fois.... tout est désactivé pourtant (antivirus, firewall et anti spywares)
qu'en penses tu ?
cdlt

Luc

[invitec04351b8]

Bonjour,

essaye de lancer Combofix en mode sans échec.

@+

[lucke80]

re,
j'ai lancé combofix en mode sans echec, mais l'opération ne dure que 30 secondes: dans le cadre je vois défiler des suppression, des extractions, ... puis tout se ferme. Je n'ai plus le message comme ce matin: l'opération dure 10 mn .... De plus, je n'ai aucun rapport à la fin de l'opération.
dois-je tenter de le relancer normalement ?
cdlt

[invitec04351b8]

Re,

pas de fichier c:/combofix.txt ?

Si oui, poste son contenu.

Si non, essaye de lancer combofix en mode normal.

@+