Security Central : comment s'en débarasser (les .exe sont bloqués...)

[inviteb3f33b02]

Bonsoir,

J'ai chopé le malware "Security Central" ce soir, et impossible de m'en débarasser...
En parcourant les divers forums (dont celui-ci bien sur) je me suis apperçu qu'il fallait lancer combofix et ensuite en analyser les rapports.
Seul hic : impossible de lancer quoi que ce soit (à part IE) et donc impossible d'installer le moindre logiciel.
J'ai tenté de suivre la démarche expliquée par b marlow ici mais rien n'y fait (ou alors je suis à la rue complet...)

Si une âme charitable pouvait me venir en aide, ce serait très sympatique.

En attendant, bonne nuit à vous
-----

[JPL]

Applique cette procédure qui est signalée en tête de ce forum dans les messages importants : http://www.futura-sciences.com/fr/do...701/c3/221/p1/

[inviteb3f33b02]

Bonjour,

Merci pour cette réponse rapide. Je testerai ça en début d'aprem, étant en déplacement ce matin. Par contre je vois qu'il faut installer des programmes. Mes précédentes tentatives se sont soldées par des échecs (le malware me dit qu'il ne peut ouvrir le fichier aaaa.exe car il est infecté par le W32/bbbb.worm....un comble!!! ).
J'espère que ce sera différent avec les fichiers de la procédure.

Merci encore en tout cas, et à tout à l'heure!

[invite4c6c2965]

Salut,
Es-tu bien sûr d'avoir bien appliquer la procédure décrite dans le sujet cité
notamment la partie rkill (ne pas redémarrer l'ordi après le passage de celui-ci):

Désactive ton antivirus, antipyware etc... le temps de cette manip.
Télécharge rkill et ComboFix (de sUBs):
Enregistre-les sur ton Bureau
Double-clique sur l'icone rkill ( pour Vista/Seven clic-droit Exécuter en tant qu'Administrateur)
Un bref écran noir t'indiquera que le tool s'est correctement exécuter, s'il ne lance pas
change de lien de téléchargement en utilisant le suivant à partir d'ici:
http://download.bleepingcomputer.com/grinler/rkill.pif
http://download.bleepingcomputer.com/grinler/rkill.scr
http://download.bleepingcomputer.com/grinler/rkill.com

Après avoir utilisé rkill (et seulement après)

- Double-clique sur Combofix.exe et suis les instructions.
- Lorsqu'il aura terminé, un rapport apparaîtra à l'écran (fichier texte).
- Poste le contenu du rapport dans ta prochaine réponse.

Le rapport est également sauvegardé ici : C:\ComboFix.txt

Ne pas cliquer dans la fenêtre de Combofix durant l'analyse ;
ceci provoquerait le gel du programme

Tuto ComboFix


NB: Si ca ne fonctionne pas, faire le Combofix en mode sans échec:

• Redémarrer l'ordinateur
• Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapoter la touche F8 (une pression par seconde).
• A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
• Choisir la première option, pour exécuter Windows en mode sans échec, puis appuyer sur "Entrée".
• Choisir ton compte.

[A voir en vidéo sur Futura]

[inviteb3f33b02]

Salut,

Plusieurs points qui m'embêtent fortement :
- la désactivation de l'antivirus (McAffee) n'est pas possible puisque je ne peux accéder au paneau de contrôle.
- les 4 rkill différents indiqués dans la procédure ne se lancent pas.
- le démarrage en mode sans échec plante et fait rebooter le PC dès qu'il se lance (à l'apparition de la fenêtre de confirmation 'êtes vous sur de vouloir démarrer en mode asns échec)

En bref, je suis dans l'impasse sauf si vous avez une solution. Etes vous prêt à relever le défi ?

En tout cas merci beaucoup pour vos réponses !

[invite4c6c2965]

Tuas essayé d'arrêter les processus lié à cette vérole et qui empêchent l'exécution des outils :
si tu les vois stoppe-les par Fin de tache puis lance ComboFix.

c:\WINDOWS\systemdb.exe
C:\windows\systemws.exe
c:\Program Files\SecurityCentral\SecurityCentral.exe

[inviteb3f33b02]

Oui j'ai essayé, et même résultat : c'est un .exe, et donc impossible de le lancer...

[invite4c6c2965]

tu as essayé le renommer en .com ?

[inviteb3f33b02]

Renommer ComboFix ? Ou le gestionnaire des tâches ?
Je tente, on verra...

[inviteb3f33b02]

les .com sont aussi bloqués.
Toujours la bulle Security Central qui apparait en disant que les fichiers sont contaminés par le W32/Blaster.worm

[invite4c6c2965]

Télécharge DDS.scr (de sUBs) sur le Bureau.

• L'outil ne nécessite pas d'installation.
• Lance-le cliquant sur l'icône dds.scr
• Le scan ne doit pas dépasser trois minutes.
• Un premier rapport va s'ouvrir que tu enregistreras sous DDS.txt (par défaut) sur ton bureau.
• Il te sera demandé si tu veux faire le scan optionnel, accepte par Oui
• Un nouveau rapport s'ouvre que tu enregistres sous Attach.txt sur ton Bureau.
• Poste les rapports DDS.txt et Attach.txt dans ta prochaine réponse.

edit:: c'était renommer Combofix en .com

[inviteb3f33b02]

"dds.scr can not run"...

Je ne peux pas lancer les .exe, les .com, et donc pas les .scr non plus...

[invite4c6c2965]

Poste le fichier liste.txt que tu vas créer comme ceci :
fais démarrer>exécuter>tapes : cmd
copie-colle tasklist > c:\liste.txt

[inviteb3f33b02]

Arrrrrgh. Impossible d'exécuter cmd convenablement. C'est un nouvel échec!!
Ca en devient frustrant...

Merci pour ta patience en tout cas

[invite4c6c2965]

Si tu as Vista ou Seven désactive ton UAC pour pouvoir faire les manips correctement.
Puis s'il le faut clic-droit executer en tant qu'admin sur le cmd.

edit:: redémarrer pour que l'UAC soit désactivé...

[inviteb3f33b02]

Désolé, j'aurais du te dire avant, mais je suis sous XP.

[invite4c6c2965]

fais un clic-droit sur ce lien puis enregistre le fichier sur le Bureau:
http://www.silentrunners.org/Silent%20Runners.vbs
ensuite double-clique dessus. Laisse-le travailler, enfin poste le rapport.

[inviteb3f33b02]

Malheureusement ça ne marche pas non plus. Le programme s'arrête, il a juste eu le tps de créer un fichier .txt mais pratiquement vide. Je te le copie au cas où...

[invite4c6c2965]

tous les rapports doivent posté en pièces jointes sur le forum. repostent l'integralité
des rapports en pj.

[inviteb3f33b02]

Voci le rapport complet.

Merci !

[invite4c6c2965]

Fais un clic-droit sur le bureau, "Nouveau"> "Document Texte".
Ouvre-le et copie-colle dedans de ce qui est dans le cadre ci-dessous, (copie tout d'un trait)

On Error Resume Next
Set WshShell = CreateObject("Wscript.Shell")
WshShell.RegDelete"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\updtr.exe"
WshShell.RegDelete"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Security Central"
Set objFSO = CreateObject("Scripting.FileSystemObject")
objFSO.DeleteFile("c:\Program Files\SecurityCentral\SecurityCentral.exe")
objFSO.DeleteFolder("c:\Program Files\SecurityCentral")

Puis Fichier>>Enregistrer sous :
dans : Bureau
Nom du fichier : Del.vbs
Type de fichier : Tous les fichiers
clique sur Enregistrer

Double-clique ensuite sur le fichier Del.vbs si rien ne se passe, c'est normal.
Recommence une seconde fois, si une de tes protections réagit, autorise les changements.
Redémarre l'ordi et vois si tu peux utiliser ComboFix.

[inviteb3f33b02]

Salut,

Je n'ai pas eu le temps de m'occuper de ça hier soir (boulot boulot ). Je tente à nouveau ce soir.
Mais en tout cas j'ai essayé de redémarrer le PC, et la fenêtre Security Central est réapparue, et de nouveau je ne peux lancer de programmes.
Est-ce le fait d'avoir rebooté ?

Merci encore

[invite4c6c2965]

Il eut été préférable de ne pas rebooter avant d'avoir exécuter le script vbs.

[inviteb3f33b02]

Salut b marlow,
La solution a été trouvée : le formatage !
Las de ne pouvoir rien lancer, j'ai pris cette décision.
Depuis aucun souci évidemment, à part une connection internet ultra lente. Je vais ouvrir un nouveau sujet dans la rubrique adéquate.
Merci en tout cas pour ta patience, tes conseils et ton aide. Toujours très agréable de se sentir écouté et soutenu dans ces circonstances ultra frustrantes

A+ et Joyeux Noel (voire Boxing Day !!!)