bonjour
j ai eu le virus de la gendarmerie hier j ai fais une restauration et le problème a été réglé je pense?
j ai d autre problème du type processus hôte pour les service windows a cessé de fonctionner et une autre erreur avec itunes que j ai du mal désinstaller.
pouvez vous m aider???
j ai fais un scanne avec otl si vous le voulez
merci d avance
Bonjour,
Nous allons regarder ça en commençant par établir un rapport de diagnostic mais plutôt avec cet outil :
---------------------------------------------------------------------------------------------
FRST :
- Sur cette page, télécharge la version FRST de Farbar, compatible avec ton système et enregistre le fichier sur ton Bureau
Comment savoir quelle version 32 bits ou 64 bits est exécutée sur mon système ?- Ferme toutes les applications, y compris ton navigateur
- Double-clique sur FRST.exe et clique sur Oui pour accepter le Disclaimer
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur- Sur le menu principal, clique sur Scan et patiente le temps de l'analyse
- A la fin du scan, les rapports FRST.txt et Addition.txt sont créés.
Les rapports sont enregistrés au même emplacement que l'outil et sous C:\FRST\Logs
Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même
---------------------------------------------------------------------------------------------
Sont attendus les rapports FRST.txt et Addition.txt
@+
Je suis Paris !
Bonsoir merci de m aider. Jai fais le scanne dejas deux raports et ensuite en reprenant le scanne error frst.exe
error:Can not redeclare a constant
Je vais clicker sur ok
Le scanne j leslancer en tant administrateur
Bon ben sa ferme frst quand j ai cliker sur ok
Re,
Tu as regardé si tu as les rapports FRST.txt et Addition.txt soit sur le Bureau, soit dans le dossier où tu as enregistré FRST ?Jai fais le scanne dejas deux raports
Dans Téléchargements peut-être ?
Sinon, supprime le fichier FRST.exe que tu as téléchargé et recommence la procédure indiquée en enregistrant un nouveau fichier FRST sur le Bureau.
Veille à ce que la case Addition.txt soit cochée pour le scan.
@+
Je suis Paris !
bonsoir
bon après un autre essai sa a marché je vous joins les pièces jointes.
bonne soirée
FRST_15-09-2013_20-41-27.txtAddition.txt
Re,
Le système est encore infecté. Le Virus Gendarmerie est venu accompagné d'un rootkit.
Nous allons procéder à la désinfection.
---------------------------------------------------------------------------------------------
- La procédure de désinfection nécessite parfois l'utilisation d'une succession d'outils puissants avec des procédures spécifiques.
Les indications sont détaillées pour chaque procédure, n'hésite pas à demander des précisions en cas de doute et à signaler tout problème rencontré.- Tant que la désinfection n'est pas terminée, n'utilise ton PC que pour un strict minimum, juste pour appliquer les procédures indiquées, évite de surfer sur le net et n'installe aucun autre programme (hormis les outils indiqués)
- Suis bien les instructions dans l'ordre où elles sont indiquées et n'utilise aucun outil de désinfection de ta propre initiative
- Signale si tu as ouvert le même sujet dans un autre forum, cela peut s'avérer fort dangereux pour ton système
- Selon l'infection, un blocage est toujours possible pendant la procédure de désinfection, sauvegarde toutes tes données personnelles dès que c'est possible (il est, de toutes façons, recommandé de sauvegarder régulièrement ses données personnelles)
- Il faut aller jusqu'au bout de la désinfection.
Que les symptomes ne se manifestent plus ne signifie pas que le système soit totalement désinfecté. Il y a d'autre part des mises à jour à faire pour éviter la ré-infection.
Un système qui n'est pas à jour présente des failles de sécurité importantes et est une cible de choix pour les malwares.
---------------------------------------------------------------------------------------------
- Télécharge TDSSKiller de Kaspersky et enregistre-le sur ton Bureau
- Double-clique sur TDSSKiller.exe
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur- Clique sur Change parameters et coche la case Loaded modules. Le message Reboot is required s'affiche.
Il faut le valider en cliquant sur Reboot now.- Au redémarrage, valider la demande Voulez-vous exécuter ce fichier (Editeur Kasperky.Labs).
L'outil TDSSKiller se relance.- Clique de nouveau sur Change parameters et coche dans Additionnal options les cases Verify driver digital signatures et Detect TDLFS file system. Valide par OK
- Clique sur Start scan pour lancer l'analyse. Laisse travailler l'outil sans l'interrompre.
- En fin d'analyse, si l'outil a trouvé des éléments suspects ou malicieux, laisse les options indiquées par l'outil pour l'action à effectuer :
- Si TDSS.tdl2 est détecté, l'option delete soit cochée par défaut
- Si TDSS.tdl3 est détecté, l'option Cure soit bien cochée
- Si TDSS.tdl4 (mbr) est détecté, l'option Cure soit bien cochée
- Si Suspicious object est indiqué, l'option Skip soit cochée- Clique ensuite sur Continue, puis clique sur Reboot computer (si l'option est proposée)
- Au redémarrage, poste le rapport TDSSKiller.Version_Date_Heure_ log.txt dans ta réponse sur le forum
Le rapport TDSSKiller.Version_Date_Heure_ log.txt est enregistré sous C:\TDSSKiller.Version_Date_Heu re_log.txt
note : 3 rapports TDSSKiller sont enregistrés sous C:\ - il faut poster le plus important en taille
Tutoriel d'utilisation TDSSKiller en images
---------------------------------------------------------------------------------------------
Si le programme a été bloqué, ne pas hésiter à essayer plusieurs fois. Au besoin le renommer en Winlogon.exe
- Télécharge RogueKiller (pour un système 32 bits) ou RogueKiller x64 (pour un système 64 bits) de Tigzy, en cliquant sur le lien de téléchargement et enregistre-le sur ton Bureau
- /!\ Important -> Quitte tous les programmes en cours
- Double-clique sur RogueKiller.exe sur ton Bureau
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur- Accepte l'EULA du programme
- Patiente le temps du Prescan, puis clique sur Scan
- Clique sur Rapport et poste ce rapport dans ta prochaine réponse
---------------------------------------------------------------------------------------------
- Télécharge TFC de OldTimer et enregistre-le sur ton Bureau
- Ferme toutes les applications en cours
- Double-clique sur TFC.exe sur ton Bureau
/!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur- Clique sur Start pour lancer l'analyse et patiente (le scan de suppression peut durer jusqu'à 1 ou 2 mn)
- Valide par Yes à la demande de redémarrage. Si le système ne redémarre pas, fais-le manuellement. Cette étape est impérative pour finaliser le nettoyage
--------------------------------------------------------------------------------------------------------------
Sont attendus les rapports :
TDSSKiller
RogueKiller Recherche
@+
Je suis Paris !
voila le rapport de tdsskiller en zip
TDSSKiller.2.9.2.0_15.09.2013_22.09.44_log.txt.zip
voici le rapport de roguekiller
RKreport[0]_S_09152013_232525.txt
merci je dois lancer TFC maintenant
merci
Bonjour,
OK pour les rapports.
RogueKiller a bien détecté le rootkit.
---------------------------------------------------------------------------------------------
Si le programme a été bloqué, ne pas hésiter à essayer plusieurs fois. Au besoin le renommer en Winlogon.exe
- /!\ Important -> Quitte tous les programmes en cours
- Double-clique sur RogueKiller.exe sur ton Bureau
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur- Patiente le temps du Prescan, puis clique sur Scan
- Clique sur Suppression
- Clique sur Rapport et poste ce rapport dans ta prochaine réponse
- Ensuite clique sur Host RAZ, puis sur Rapport et poste ce rapport dans ta prochaine réponse
---------------------------------------------------------------------------------------------
- Lance Malwarebyte's en double-cliquant sur l'icône sur le bureau
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur- Lance une mise à jour dans l'onglet Mise à jour et laisse les dernières mises à jour s'installer
- Dans l'onglet Paramètres, puis Paramètres d'examen, sélectionne Afficher dans les résultats, pré-coché pour suppression pour les 2 actions Programmes potentiellement indésirables (PUP) et Modifications potentiellement indésirables (PUM)
- Dans l'onglet Recherche, coche Exécuter un examen complet puis clique sur Rechercher
- Sélectionne ton disque dur, puis clique sur Lancer l'examen
- A la fin du scan, clique sur Afficher les résultats
- Pour supprimer les éléments détectés, clique sur Supprimer la sélection
- Si un redémarrage est demandé, clique sur Yes
- Le rapport mbam-log[date-heure].txt s'ouvre. Poste ce rapport dans ta prochaine réponse
---------------------------------------------------------------------------------------------
Sont attendus les rapports :
RogueKiller Suppression
RogueKiller Hosts RAZ
Malwarebytes
@+
Je suis Paris !
Bonjour,
Vous m avez pas repondu pour le soft tfc dois je faire le scanne avant tout?
Pour la supression je le ferais ce soir quand je rentre du boulot avec tous les scannes ça peut prendre du temps
Merci bonne journée
Re,
Oui, les outils sont à passer dans l'ordre où c'est indiqué.
Donc TFC aurait du être passé déjà hier avant l'extinction du PC.
Donc ce soir, tu allumes ton PC, tu lances TFC comme indiqué, puis tu lances RogueKiller en mode Suppression puis pour réinitialiser le fichier Hosts.
Tu postes déjà ces 2 rapports.
Puis tu lances Malwarebytes en examen complet, analyse qui risque en effet de prendre un peu de temps.
@+
Je suis Paris !
ok merci je le ferais ce soir je lancerais tfc et après je reprends les indications du poste de rogkiller pour supprimer
une petit question, j ai regardé dans le fichier texte roguekiller vous dite qu il la reconnu, donc par curiosité,
j ai lancé une recherche dans le texte et je n ai pas vu rootkit?? est il nommé sous un notre nom??
Re,
C'est le rootkit ZeroAccess qui accompagne très souvent le Virus Gendarmerie
Je suis Paris !
bon ben voila j ai tous fais
voici les rapports RKreport[0]_D_09162013_222916.txtRKreport[0]_H_09162013_223412.txt
par contre je crois que j ai fais une connerie je croyais que mbam ce sauvegardait automatiquement ce qui n est pas le cas n est ce pas?
faut il que je refasse un scanne?
bonne journée
Bonjour,
Tu trouveras le rapport Malwarebytes dans l'onglet Rapports/Logs de l'application.
Tu peux le poster s'il te plaît ?
Désinstalle Iminent par le Panneau de configuration -> Désinstaller un programme
---------------------------------------------------------------------------------------------
- Télécharge AdwCleaner de Xplode et enregistre le fichier sur ton Bureau
- Ferme toutes les applications, y compris ton navigateur
- Double-clique sur l'icône AdwCleaner.exe pour lancer l'installation
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur- Sur le menu principal, clique sur Scanner
- Les éléments détectés s'affichent dans les différents onglets. Clique sur Nettoyer et valide par OK la fermeture des programmes
- Patiente le temps de l'analyse et valide le message d'informations
- Un redémarrage est demandé, valider par OK
- Au redémarrage, un rapport AdwCleaner(S).txt s'ouvre. Poste ce rapport dans ta prochaine réponse
Le rapport se trouve sous C:\AdwCleaner\AdwCleaner(S).tx t
Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même
Si ton antivirus émet une alerte ou bloque l'outil, il faut le désactiver temporairement (le fichier AdwCleaner.exe est sûr)
Tutoriel d'utilisation AdwCleaner en images
---------------------------------------------------------------------------------------------
Ensuite, tu relances FRST.exe par clic-droit -> Exécuter en tant qu'administrateur, puis tu cliques sur le bouton Scan pour lancer une nouvelle analyse et tu postes le nouveau rapport FRST.txt.
---------------------------------------------------------------------------------------------
Sont attendus les rapports :
Malwarebytes (celui enregistré dans l'onglet Rapports/Logs)
AdwCleaner
FRST
@+
Je suis Paris !
re je sais pas si je me suis pas trompé sur le rapport de suprimer j ai envoyé celui-la RKreport[0]_D_09162013_222916.txt
sa serait celui-la le bon avec le S devant pour supprimer
RKreport[0]_S_09162013_222713.txt
re
voici Malware
mbam-log-2013-09-16 (22-40-55).txt
il faut que je lance AdwCleaner ce soir ??? car la je vais au boulot
merci
Re,
Non, j'avais le bon rapport de suppression pour RogueKiller.
OK pour le rapport Malwarebytes.
Tu es conscient qu'en installant des cracks et keygens, tu mets en danger ton système ?
C'est l'un des vecteurs principaux d'infections.
Ton Virus Gendarmerie avec son rootkit en est le résultat.
Sache qu'il y a des variantes du Virus Gendarmerie qui crypte tous les fichiers personnels de l'utilisateur et qu'il est parfois impossible de les décrypter. Les fichiers sont perdus !
Oui, pas de souci.il faut que je lance AdwCleaner ce soir ??? car la je vais au boulot
En attente donc du rapport AdwCleaner et du nouveau rapport FRST.
@+
Je suis Paris !
bonsoir voilà les rapports de AdwCleaner et frst, Malwarebytes je l'es envoyé en fin de matiné
AdwCleaner[S0].txt
FRST_17-09-2013_22-08-48.txt
bonne soirée
Bonjour,
OK pour les rapports.
Encore un peu de nettoyage à faire.
---------------------------------------------------------------------------------------------
/!\ Crée un point de restauration manuel avant d'appliquer le correctif - Tutoriel en images /!\
- Ouvre le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes)
- Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes
Code:start Task: {5BCE7B86-E69F-4B30-BD5C-67BE9241B495} - System32\Tasks\EPUpdater => C:\Users\JEAN-P~1\AppData\Roaming\BABSOL~1\Shared\BabMaint.exe Task: {64A16064-5C6C-44B5-8928-896B4E68642E} - \LyricsContainer Update No Task File Task: {6FE9AF34-5DC1-49FF-B447-6E9E295DE747} - System32\Tasks\{BBAEAEAF-1275-40e2-BD6C-BC8F88BD114A} => C:\Users\JEAN-P~1\AppData\Local\Temp\Lpy.exe AlternateDataStreams: C:\ProgramData\TEMP:03412444 AlternateDataStreams: C:\ProgramData\TEMP:1C322B97 AlternateDataStreams: C:\ProgramData\TEMP:373E1720 AlternateDataStreams: C:\ProgramData\TEMP:6F58EB8B AlternateDataStreams: C:\ProgramData\TEMP:70B2B2B7 AlternateDataStreams: C:\ProgramData\TEMP:ABA49B0C AlternateDataStreams: C:\ProgramData\TEMP:D1B5B4F1 AlternateDataStreams: C:\ProgramData\TEMP:D4D37A9D AlternateDataStreams: C:\ProgramData\TEMP:EBACC189 AlternateDataStreams: C:\Users\Jean-Philippe\Downloads\Essais.eml:OECustomProperty AlternateDataStreams: C:\Users\Jean-Philippe\Downloads\Trans. TR Bons Voeux sur rails (1).eml:OECustomProperty AlternateDataStreams: C:\Users\Jean-Philippe\Downloads\Trans. TR Bons Voeux sur rails.eml:OECustomProperty HKCU\...\Winlogon: [Shell] explorer.exe <==== ATTENTION BootExecute: autocheck autochk /p \??\C:autocheck autochk * HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.duxet.com/ SearchScopes: HKLM - DefaultScope value is missing. Toolbar: HKLM - No Name - {0BF43445-2F28-4351-9252-17FE6E806AA0} - No File Toolbar: HKCU - No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No File Toolbar: HKCU - No Name - {1017A80C-6F09-4548-A84D-EDD6AC9525F0} - No File Winsock: Catalog5 01 mswsock.dll File Not found (Microsoft Corporation) ATTENTION: The LibraryPath should be "%SystemRoot%\system32\NLAapi.dll" Winsock: Catalog5 05 mswsock.dll File Not found (Microsoft Corporation) ATTENTION: The LibraryPath should be "%SystemRoot%\System32\mswsock.dll" cmd: netsh winsock reset FF Extension: LyricsContainer - C:\Users\Jean-Philippe\AppData\Roaming\Mozilla\Firefox\Profiles\o5xcrnui.default\Extensions\130 FF Extension: pluswinks - C:\Users\Jean-Philippe\AppData\Roaming\Mozilla\Firefox\Profiles\o5xcrnui.default\Extensions\pluswinks@PlusWinks.xpi FF Extension: speedanalysis02 - C:\Users\Jean-Philippe\AppData\Roaming\Mozilla\Firefox\Profiles\o5xcrnui.default\Extensions\speedanalysis02@SpeedAnalysis.com.xpi FF HKCU\...\Firefox\Extensions: [{7b0cf048-099d-48e0-93a6-9812fac2b75a}] - C:\Program Files\LyricsContainer\130.xpi CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION C:\ProgramData\8Cx8HePqa.dat C:\Users\Jean-Philippe\AppData\Local\Temp\Quarantine.exe cmd: for /d %f in (C:\Users\Jean-Philippe\AppData\Local\{*}) do rd /s /q "%f" end- Enregistre le fichier sur ton Bureau (au même endroit que FRST) sous le nom fixlist.txt
- Ferme toutes les applications, y compris ton navigateur
- Double-clique sur FRST64.exe
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur- Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction
- L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.
Note : Si l'outil t'indique qu'il faut télécharger une nouvelle version, tu valides par Oui et tu télécharges la dernière version proposée
/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\
--------------------------------------------------------------------------------------------------------------
Nous allons aussi contrôler les services, souvent corrompus après un ZeroAccess.
- Télécharge Farbar Service Scanner et enregistre le fichier sur ton Bureau
- Double-clique sur l'icône FSS.exe pour lancer l'application
/!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur- Coche toutes les options et clique sur Scan
- Poste le rapport FSS.txt dans ta prochaine réponse.
---------------------------------------------------------------------------------------------
Sont attendus les rapports :
Fixlog
FSS
@+
Je suis Paris !
voici les rapports attendus
FSS.txt
Fixlog_18-09-2013_22-26-54.txt
bonne soirée
Bonsoir,
L'ordinateur a bien été redémarré après le correctif FRST ?
Le rootkit ZeroAccess a causé quelques dégâts sur les services.
On va tenter de réparer.
---------------------------------------------------------------------------------------------
- Télécharge Services Repair de Eset et enregistre le fichier sur ton Bureau
- Ferme toutes les applications, y compris ton navigateur
- Double-clique sur ServicesRepair.exe pour lancer l'application
/!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur- Valide par Yes pour confirmer le lancement de l'outil
- Laisse l'outil travailler (cela peut prendre quelques minutes)
- Valide par Yes pour redémarrer le PC
- Au redémarrage, le dossier CC Support a été crée sur ton bureau
- Poste le rapport SvcRepair.txt, qui se trouve dans CC Support\Logs dans ta prochaine réponse
---------------------------------------------------------------------------------------------
Puis tu relances Farbar Service Scanner comme indiqué précédemment pour générer un nouveau rapport FSS.txt
---------------------------------------------------------------------------------------------
Sont attendus les rapports :
Services Repair
FSS
@+
Je suis Paris !
Bonjour
J ai du oublier de le redémarrer après frst. Quesque je fais je suis les indications que tu m as donnée???
Bonne journée
Bonjour,
Le PC a redémarré depuis hier, non ?
Sinon, redémarre-le manuellement.
@+
Je suis Paris !
Non je l ai pas démarré depuis hier soir, je vais le redemarrer et je suis tes instruction d avant ?
Oui, tout à fait
Je suis Paris !
voila les deux rapports
SvcRepair.log
FSS.txt
je n ais pas de fichier txt pour services reapair par contre un point log
Re,
Tout n'a pas été réparé.
On va passer à cet outil.
---------------------------------------------------------------------------------------------
- Télécharge Windows Repair de Tweaking.com et enregistre le fichier sur ton Bureau
-- Autre lien de téléchargement Windows Repair --- Double-clique sur l'icône tweaking.com_windows_repair_ai o_setup.exe pour lancer l'installation et suis les instructions en cliquant sur Next
/!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur- Sur le menu principal, clique sur l'onglet Step 3 puis sur Do It et laisse l'outil procéder à la vérification et réparation des fichiers système
- A la fin de l'analyse, referme Windows Repair et redémarre le PC
- Au redémarrage, relance Windows Repair, clique sur l'onglet Start Repairs puis sur Start
- L'outil propose la création d'un point de restauration, clique sur Oui pour la question Would you like to do both now ? et laisse l'outil travailler
- Clique de nouveau sur Start et coche exactement les mêmes options indiquées ci-dessous
- Ferme toutes les applications, y compris ton navigateur et clique sur Start
- Laisse l'outil travailler et redémarre le PC si cela ne s'est pas fait automatiquement
Tutoriel d'utilisation Windows Repair en images
---------------------------------------------------------------------------------------------
Puis tu relances Farbar Service Scanner comme indiqué précédemment pour générer un nouveau rapport FSS.txt
---------------------------------------------------------------------------------------------
Est attendu le nouveau rapport FSS
@+
Je suis Paris !
bonsoir ou bonjour
voila le rapport FSS je pense que tous n est pas résolu.
FSS.txt
je sais pas si j ai bien fais avec Tweaking j ai télécharger une version plus ressente, il y avait des options en plus du coups je les ai pas coché.
sur ce je vais faire dodo a demain pour le verdict
