j'ai une machine sous vista qui a été infecté par ce rogue. J'ai voulu le désinstallé via la panneau de configuration en mode sans échec (je ne pouvais quasi plus rien faire en mode standard) mais sans succès, j'ai alors supprimé tout ce qu'il y avait dans le dossier "Live Security Platinum" (pas sur que ce fut une bonne idée ...) puis suis retourné dans "Programmes et fonctionnalités" mais il ne restait que "l'icône", rien à désinstaller. Bien que j'ai de nouveaux accès à toutes les commandes de la machine en mode standard, je ne serais pas étonné qu'il y ait encore trace de l'infection.
On va vérifier en établissant un diagnostic avec cet outil, suis bien les instructions indiquées :
OTL :
Télécharge OTL de Old_Timer et enregistre le sur le Bureau
Ferme toutes les autres fenêtres et double-clique sur OTL.exe /!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
Vérifie que les cases Tous les utilisateurs, Recherche Lop et Recherche Purity soient cochées
Dans le cadre Personnalisation, copie-colle l'intégralité de ce qui suit
Clique ensuite sur Analyse et patiente le temps du scan
A la fin de l'analyse, les rapports OTL.txt et Extras.txt s'affichent, poste ces rapports en pièces jointes dans ta prochaine réponse.
Les rapports sont sauvegardés sur le Bureau.
@+
La Connaissance s'accroît quand on la partage ! (Socrate)
Ton système présente des failles de sécurité importantes, le rogue a pu ainsi s'installer sans aucun problèmes.
Java, Flash Player, Reader, navigateur non à jour avec un UAC désactivé.
On s'en occupera en suivant.
Ferme toutes les autres fenêtres et double-clique sur OTL.exe /!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
Copie l'intégralité de ce script ci-dessous (y compris la 1ère ligne :OTL)
Code:
:OTL
FF - prefs.js..extensions.enabledItems: {CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}:6.0.22
CHR - Extension: SweetIM for Facebook = C:\Users\Sylvie et Eric\AppData\Local\Google\Chrome\User Data\Default\Extensions\jcdgjdiieiljkfkdcloehkohchhpekkn\1.0.0.0_0\Copy of
CHR - Extension: SweetIM for Facebook = C:\Users\Sylvie et Eric\AppData\Local\Google\Chrome\User Data\Default\Extensions\jcdgjdiieiljkfkdcloehkohchhpekkn\1.0.0.0_0\
CHR - Extension: SweetIM for Facebook = C:\Users\Sylvie et Eric\AppData\Local\Google\Chrome\User Data\Default\Extensions\jcdgjdiieiljkfkdcloehkohchhpekkn\1.0.0.0_0\Copy of
CHR - Extension: SweetIM for Facebook = C:\Users\Sylvie et Eric\AppData\Local\Google\Chrome\User Data\Default\Extensions\jcdgjdiieiljkfkdcloehkohchhpekkn\1.0.0.0_0\
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found.
O4 - HKLM..\Run: [Sweetpacks Communicator] C:\Program Files\SweetIM\Communicator\SweetPacksUpdateManager.exe File not found
O7 - HKU\S-1-5-21-1517622482-191134406-1102748452-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HideSCAHealth = 1
O33 - MountPoints2\{8a67ccf6-ec61-11dd-a746-001fe20334e6}\Shell\AutoRun\command - "" = 83fgj.com
O33 - MountPoints2\{8a67ccf6-ec61-11dd-a746-001fe20334e6}\Shell\explore\Command - "" = 83fgj.com
O33 - MountPoints2\{8a67ccf6-ec61-11dd-a746-001fe20334e6}\Shell\open\Command - "" = 83fgj.com
O33 - MountPoints2\{e970b470-276f-11de-83fc-001fe20334e6}\Shell\AutoRun\command - "" = C:\Windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RuNdLl32.EXE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
MsConfig - StartUpFolder: C:^Users^Sylvie et Eric^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^0.51690481658124.exe.lnk - - File not found
MsConfig - StartUpReg: LXDICATS - hkey= - key= - File not found
MsConfig - StartUpReg: NeroFilterCheck - hkey= - key= - File not found
MsConfig - StartUpReg: NokiaOviSuite2 - hkey= - key= - File not found
MsConfig - StartUpReg: VoipStunt - hkey= - key= - File not found
[2012/07/17 17:52:56 | 000,000,000 | ---D | C] -- C:\Users\Sylvie et Eric\Desktop\RK_Quarantine
[2012/07/14 18:59:34 | 000,000,000 | ---D | C] -- C:\Users\Sylvie et Eric\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Live Security Platinum
[2012/07/14 18:57:40 | 000,000,000 | ---D | C] -- C:\ProgramData\036E19324F859BA86624088E2F3B6FDA
[2 C:\ProgramData\*.tmp files -> C:\ProgramData\*.tmp -> ]
[2 C:\ProgramData\*.tmp files -> C:\ProgramData\*.tmp -> ]
[1 C:\Windows\*.tmp files -> C:\Windows\*.tmp -> ]
[2012/07/16 10:03:57 | 000,002,000 | ---- | M] () -- C:\Users\Sylvie et Eric\Desktop\Live Security Platinum.lnk
:files
ipconfig /flushdns /c
:Commands
[EMPTYTEMP]
[RESETHOSTS]
[CREATERESTOREPOINT]
Colle l'intégralité du script dans le cadre Personnalisation
Clique ensuite sur le bouton Correction
L'outil lance la suppression, ne pas l'interrompre
Si l'outil te demande de redémarrer le PC, tu acceptes
Poste le rapport situé dans C:\_OTL\MovedFiles\********_** ****.log dans ta prochaine réponse
les *** sont des chiffres représentant la date [MoisJourAnnée] et l'heure
/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\
Sur cette page, télécharge AdwCleaner de Xplode en cliquant sur le bouton Télécharger et enregistre le fichier sur ton Bureau
Ferme toutes les applications, y compris ton navigateur
Double-clique sur l'icône AdwCleaner0.exe pour lancer l'installation /!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur Sous IE9, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même
Sur le menu principal, clique sur Suppression et patiente le temps de l'analyse
A la fin du scan, un rapport AdwCleaner(S).txt s'ouvre. Poste ce rapport dans ta prochaine réponse Le rapport se trouve sous C:\AdwCleaner(S).txt
Double-clique sur le fichier mbam-setup.exe pour lancer l'installation /!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
A la fin de l'installation, veille à ce que l'option Mettre à jour Malwarebytes' Anti-Malware soit cochée
Clique sur Terminer
Lance Malwarebyte's en double-cliquant sur l'icône sur le bureau /!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
Les Mises à jour se téléchargent, puis ouvre Malwarebyte's
Dans l'onglet Paramètres, puis Paramètres d'examen, sélectionne Afficher dans les résultats, pré-coché pour suppression pour les 2 actions Programmes potentiellement indésirables (PUP) et Modifications potentiellement indésirables (PUM)
Dans l'onglet Recherche, coche Exécuter un examen complet puis clique sur Rechercher
Sélectionne ton disque dur, puis clique sur Lancer l'examen
A la fin du scan, clique sur Afficher les résultats
Pour supprimer les éléments détectés, clique sur Supprimer la sélection
Si un redémarrage est demandé, clique sur Yes
Le rapport mbam-log[date-heure].txt s'ouvre. Poste ce rapport dans ta prochaine réponse
Mbam a detecté un logiciel de poker comme un trojan, et d'après quelques forums il semblerait que ça soit une erreur. Il a également détecté un fichier comme "Backdoor.IRCBot" c'est quoi ?
Télécharge SX Check&Update de igor51 et enregistre-le sur ton Bureau
Ferme toutes les applications, y compris ton navigateur
Double-clique sur SXC&U.exe pour lancer l'application /!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
Au menu principal, clique sur le bouton Update Flash et installe la nouvelle version Flash Playersous chaque navigateur qui s'est ouvert, Internet Explorer et Firefox dans ton cas
A titre indicatif, la page de téléchargement http://get.adobe.com/fr/flashplayer/
Ensuite, clique sur le bouton Update Adobe Reader et installe la dernière version proposée
A titre indicatif, la page de téléchargement http://get.adobe.com/fr/reader/?promoid=HTEGU
N'oublie pas de décocher à chaque fois les options proposées (Barre Google et autre)
Referme l'outil et relance-le pour générer un rapport en cliquant sur le bouton Rapport
Copie-colle le contenu de ce rapport dans ta prochaine réponse.
Ferme toutes les autres fenêtres et double-clique sur OTL.exe /!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
Copie l'intégralité de ce script ci-dessous
Code:
:Commands
[CLEARALLRESTOREPOINTS]
[EMPTYTEMP]
Colle l'intégralité du code dans le cadre Personnalisation
Clique ensuite sur le bouton Correction
Si l'outil te demande de redémarrer le PC, tu acceptes
Tu peux garder Malwarebytes et scanner ton système régulièrement avec en complément des analyses de ton antivirus.
Ne pas oublier toutefois, avant de lancer l'analyse, de faire une recherche de mises à jour de Malwarebytes, dans l'onglet Mise à jour
Ferme toutes les autres fenêtres et double-clique sur OTL.exe /!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
Clique sur Purge d'outils
Valide l'avertissement par OK et laisse le pc redémarrer
Partager
Poursuivez votre recherche :
OTL :
