Security-X
Forum Security-X => Désinfections => Discussion démarrée par: Emilien942702 le février 08, 2014, 14:45:09
-
Bonjour,
Mon PC (Windows 7 Edition Familiale Premium, 64 bits) a récemment été infecté par le virus décrit ici, http://www.malekal.com/2012/01/10/virus-hadopi-gendarmerie-office-central-lutte/ (http://www.malekal.com/2012/01/10/virus-hadopi-gendarmerie-office-central-lutte/) (le Reveton).
C'est à dire qu'en ouvrant mon ordinateur, je tombe sur une page avec une webcam (et ma tête) me demandant de payer.
Impossible de booter en mode sans échec, mode sans échec en ligne de commande ou mode sans échec avec prise en charge réseau (reboot sur windows normal, et donc sur le virus)
J'ai aussi essayer d'editer le registre avec mon dvd d'installation de windows (Réparer l'ordinateur, invite de commandes) mais le registre étant en chinois, pas facile de comprendre.
J'ai donc téléchargé sur mon autre ordinateur cette distribution http://www.malekal.com/2013/02/22/malekal-live-cd/ (http://www.malekal.com/2013/02/22/malekal-live-cd/) et ai lancé Rogue Killer, qui m'a désinfecté une première partie.
Le boot est normal, la n'est pas le problème
J'ai ensuite relancé RogueKiller, tdsskiller, malwares anti bytes, Malwarebytes Anti-Rootkit, adwcleaner, junkremoval tool et ComboFix afin de régler un problème qui persiste.
En effet, après avoir totalement désinfecté mon pc (22000 fichiers infectés d'après malwares anti bytes tout de même) il m'est impossible de lancer Avast (mon antivirus) ou même de lancer l'installeur de celui-ci.
Lorsque que je veux lancer le programme , ce message apparaît :
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fimageshack.com%2Fa%2Fimg842%2F4944%2Fa15k.png&hash=a9a539106451c63e581bcb30ce63d0ecbe35bef0)
Et lorsque je veux lancer l'installeur
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fimageshack.com%2Fa%2Fimg32%2F5410%2Fjz1q.png&hash=f157c0b8c4fddd3a77b86c6eb114d8fbadcfefaf)
Je peux, si besoin, relancer tout les programmes cités ci dessus et vous fournir les logs.
Si quelqu'un a une idée, je suis preneur.
Merci.
-
Bonjour Emilien,
Bienvenue sur Security-X,
C'est pour ce genre de raison que nous vous conseillons de venir nous voir, et profiter de notre expertise bénévole pour vous aider lorsque vous rencontrer ce genre de problème.
Car après, en ayant utilisé plusieurs outils par toi-même, il devient compliqué de savoir ce qui a été fait, nettoyé, endommagé, etc ...
On va commencer par un diagnostic pour s'assurer que l'infection a bien disparue :
Télécharge Farbar Recovery Scan Tool (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/) (de Farbar) sur ton Bureau.
Attention: Tu dois lancer la version compatible avec ton système : 32 ou 64bits.
Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même
- Double-clique sur l'outil pour le lancer. Quand l'outil se lance, clique sur Yes pour accepter le disclamer.
- Clique sur le bouton Scan.
- L'outil va créer un rapport nommé FRST.txt, enregistré dans le même dossier que l'outil.
- A son premier lancement, l'outil va aussi créer un fichier nommé Addition.txt).
Poste les deux rapports générés.
- Pour les rapports, merci d'utiliser ce service de rapport en ligne (http://security-x.fr/up/) : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
Une aide à l'utilisation ici (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)
-
Merci de ta réponse.
Je sais que j'aurais du venir plus tôt.
Le fichier FRST.txt :
Le fichier Addition.txt :
-
Re,
Ok, un peu de ménage déjà :
1) Désinstalle les programmes suivants dans ta liste des programmes (si présents) :
Note : Si tu rencontres une erreur passe au suivant et poursuis la procédure
- Bitcoin (sauf si installé par tes soins, volontairement)
- avast! Free Antivirus (on réinstallera proprement après, utilises aussi cet utilitaire pour supprimer les restes : http://www.inforumatique.fr/index.php/utilitaires/nettoyeurs-et-desinstallateurs/item/117-d%C3%A9sinstallateur-avast.html
[Info]Suite Windows Live : Windows live messenger ayant été remplacé par Skype, il peut être intéressant dès à présent de supprimer les logiciels devenus inutile de la suite Windows Live.
Pour cela, dans la liste des programmes, cliquer sur "Windows Live"/"Installation Windows Live" puis "Désinstaller" et choisir les logiciels à supprimer (ex : Windows Live Messenger, Complément Messenger, Windows Live Writer, Windows Live Mesh, etc ...)
/!\ Crée un point de restauration manuel avant d'appliquer le correctif - Tutoriel en images (http://forum.security-x.fr/windows-7/%28tutoriel%29-creer-un-point-de-restauration-sous-windows-7/) /!\
- Ouvre le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes)
- Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes
start
(AVAST Software) C:\Program Files\AVAST Software\Avast\AvastSvc.exe
HKLM-x32\...\Run: [AvastUI.exe] - C:\Program Files\AVAST Software\Avast\AvastUI.exe [3767096 2014-02-02] (AVAST Software)
HKLM-x32\...\RunOnce: [Malwarebytes Anti-Rootkit (cleanup)] - rundll32.exe "C:\ProgramData\Malwarebytes' Anti-Malware (portable)\cleanup.dll",ProcessCleanupScript "C:\ProgramData\Malwarebytes' Anti-Malware (portable)" [1651512 2014-01-08] (Malwarebytes Corporation)
HKLM Group Policy restriction on software: C:\Documents and Settings\All Users\Application Data\AVAST Software <====== ATTENTION
HKLM Group Policy restriction on software: C:\Documents and Settings\All Users\Application Data\Malwarebytes <====== ATTENTION
HKLM Group Policy restriction on software: C:\Program Files\AVAST Software <====== ATTENTION
CHR HKLM-x32\...\Chrome\Extension: [dkinklhnkmkhkhofcnapakaoehijaoih] - C:\Program Files (x86)\OnlineHD.TV\onhd11.crx [2013-08-25]
C:\Program Files (x86)\OnlineHD.TV
R2 avast! Antivirus; C:\Program Files\AVAST Software\Avast\AvastSvc.exe [50344 2014-02-02] (AVAST Software)
R2 aswMonFlt; C:\windows\system32\drivers\aswMonFlt.sys [78648 2014-02-02] (AVAST Software)
R1 aswRdr; C:\windows\system32\drivers\aswRdr2.sys [92544 2013-10-21] (AVAST Software)
R0 aswRvrt; C:\Windows\System32\Drivers\aswRvrt.sys [65776 2013-10-21] ()
R1 aswSnx; C:\windows\system32\drivers\aswSnx.sys [1038072 2014-02-02] (AVAST Software)
R1 aswSP; C:\windows\system32\drivers\aswSP.sys [421704 2014-02-02] (AVAST Software)
R3 aswStm; C:\windows\system32\drivers\aswStm.sys [80184 2014-02-02] (AVAST Software)
R0 aswVmm; C:\Windows\System32\Drivers\aswVmm.sys [207904 2013-12-26] ()
S3 catchme; \??\C:\ComboFix\catchme.sys [X]
Task: {3B2D34BC-8054-472A-B6D8-12B2391F9727} - System32\Tasks\avast! Emergency Update => C:\Program Files\AVAST Software\Avast\AvastEmUpdate.exe [2014-02-02] (AVAST Software)
Task: {4FAFD8FC-67F6-49FE-A468-B1F26EC5BA8E} - System32\Tasks\Go for FilesUpdate => C:\Program Files (x86)\GoforFiles\GFFUpdater.exe <==== ATTENTION
AlternateDataStreams: C:\windows\System32:{4B9A1497-0817-47C4-9612-D6A1C53ACF57}
AlternateDataStreams: C:\windows\System32:{DA6227CB-326B-4B4D-9A81-04B61F1538DD}
AlternateDataStreams: C:\ProgramData\Temp:56E2E879
C:\Program Files (x86)\GoforFiles
C:\Program Files\AVAST Software
C:\Documents and Settings\All Users\Application Data\AVAST Software
end- Enregistre le fichier sur ton Bureau (au même endroit que FRST) sous le nom fixlist.txt
- Ferme toutes les applications, y compris ton navigateur
- Double-clique sur FRST.exe
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
- Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fup.security-x.fr%2Ffile.php%3Fh%3DR05cf1fa17f5d244a9c65be205bacfeab&hash=b3152d40400f1435eb46d75f6cf70ecc0edb4c0e)
- L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.
/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\
Télécharge Farbar Service Scanner (http://www.bleepingcomputer.com/download/farbar-service-scanner/dl/62/) (de Farbar) sur ton bureau.
- Ferme toutes tes fenêtres, puis double clique sur FSS.exe pour le lancer.
(Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
- Coche toutes les options
- Clique sur le bouton "Scan"
- Laisse travailler l'outil, un rapport va apparaitre.
- Poste son contenu dans ta prochaine réponse
(S'il n'apparait pas, tu le trouveras à l'emplacement du fichier FSS.exe, sous le nom FSS.txt )
:AAN
-
Je n'ai pas pu désinstaller Avast depuis le panneau de configuration (vous n'avez pas les droits nécessaires, veuillez contactez votre administrateur système)
Quant à Bitcoin, c'est une installation de ma part.
Je ne vois pas de quoi tu parles, je n'ai pas Windows Live Messenger (du moins il me semble)
J'ai ensuite appliqué le fix
Mon pc a reboot, Avast s'est lancé
ici le log :
J'ai ensuite lancé Farbar Service Scanner, ici le log :
-
Re,
Je n'ai pas pu désinstaller Avast depuis le panneau de configuration (vous n'avez pas les droits nécessaires, veuillez contactez votre administrateur système)
Tu n'as pas utilisé le désinstallateur que je t'ai proposé en lien ?
http://www.inforumatique.fr/index.php/utilitaires/nettoyeurs-et-desinstallateurs/item/117-d%C3%A9sinstallateur-avast.html
Si ce n'est pas le cas, fais-le maintenant, ou retente la désinstallation, j'ai corrigé certaines choses dans le registre.
Je ne vois pas de quoi tu parles, je n'ai pas Windows Live Messenger (du moins il me semble)
:D Si, tu l'as, comme plein d'autre truc inutile de la suite Windows Live ...
Tu dois lancer ceci pour ensuite choisir quoi désinstaller parmi les programmes de la suite :
- Windows Live
(comme expliquer dans la procédure ;) )
Dis-moi si tu as pu désinstaller Avast! ou pas.
:AAN
-
Je pensais que comme la première étape de la désinstallation n'avait pas fonctionné, l'outil ne fonctionnerait pas.
Je viens de le faire, Avast est correctement désinstallé.
J'ai aussi désinstallé Windows Messenger x)
Je suis prêt pour la suite :p
-
Re,
Parfait, donc tu peux retenter l'installation d'Avast! à présent :
http://files.avast.com/iavs9x/avast_free_antivirus_setup.exe
On finira ensuite avec le nettoyage des outils.
Dis-moi aussi si tu as encore d'autres problèmes/symptômes sur le pc.
:AAN
-
Avast installé correctement, prêt pour la suite :)
PS: Si tu connais un antivirus plus performant et gratuit, je suis preneur
-
Re,
En gratuit, Avast! est le plus complet, quoique parfois un peu machine à gaz ...
Mais il ne te protégera pas si en contrepartie tu n'adoptes pas un comportement vigilant sur ton pc : je te donnerais des conseils en fin de réponse.
à suivre :
Télécharge DelFix (http://general-changelog-team.fr/fr/downloads/viewdownload/20-outils-de-xplode/9-delfix) (de Xplode) sur ton bureau.
- Ferme toutes tes fenêtres, puis double clique sur DelFix.exe pour le lancer.
(Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
- Ne touche pas aux options cochées
- Coche en plus "Purger la restauration système"
- Clique sur le bouton "Exécuter"
- Laisse travailler l'outil.
- Le rapport est enregistré dans à la base de ton disque dur, (C:\DelFix.txt généralement) merci de copier-coller son contenu dans ta prochaine réponse.
Pour aller plus loin dans ta protection et éviter de te faire réinfecter voici quelques conseils supplémentaires :
- Attention lors de l'installation de logiciel :
Veiller à toujours lire les conditions d'utilisation (CLUF), afin de déceler la gestion des données personnelles, l'installation de sponsors publicitaires ou tout autre atteintes à la vie privée. Refuser les toolbars et autres addons proposés.
A lire ! (http://forum.security-x.fr/securite-generale/stop-la-pub/) et à lire (http://forum.security-x.fr/tutoriels-317/installation-d%27une-application-sponsorisee-les-pieges-a-eviter)
- Firefox (http://www.mozilla-europe.org/fr/firefox/) et/ou Chrome (http://www.google.fr/chrome?hl=fr) offrent une meilleure sécurité par rapport à Internet Explorer, surtout si on les complète de quelques plugins très intéressant : Noscript (https://addons.mozilla.org/fr/firefox/addon/722) et WOT (https://addons.mozilla.org/fr/firefox/addon/3456) par exemple. (pour Chrome : NoScript (https://chrome.google.com/webstore/detail/odjhifogjcknibkahlpidmdajjpkkcfn) ; WOT (https://chrome.google.com/webstore/detail/bhmmomiinigofkjcapegjjndpbikblnp?hl=fr) )
- Maintenir ses logiciels et son système à jour :
De nombreuses infections sont dû à des failles de windows, mais aussi de logiciel tiers, comme Sun Java, Adobe Acrobat Reader, etc
Tu peux faire un scan de vulnérabilité (http://secunia.com/vulnerability_scanning/online/) pour connaitre tes logiciels présentant des failles non corrigées ou à mettre à jour.
Ou utiliser un outil comme SXCU (http://forum.security-x.fr/tutoriels-317/(tutoriel)-sx-checkupdate/) pour vérifier occasionnellement.
Enfin, le plus important reste ton comportement sur ton PC, tu restes la plus importante protection : Évites les comportement à risque : P2P, cracks, téléchargements et installations douteux via des pubs, les messageries instantanées, ou des sites inconnu, sites pornographiques.
A lire ! (http://www.tomsguide.fr/forum/id-2134891/prevention-protection-securiser-ordinateur.html)
Ici aussi ! (http://www.tomsguide.fr/forum/id-416930/dossier-prevention-protection.html)
Tu peux indiquer ton sujet "réglé" en cliquant sur le bouton "modifier" (en haut à droite) dans ton tout premier message.
-> Ajoute ensuite "résolu" à coté de ton titre et valide.
A bientôt sur Security-X
:AAN
-
Le rapport de DelFix :
Merci de tout ces conseils :)
Je les suis déjà tous en vérité, je fais attention en installant des logiciels, j'utilise chrome (sans les deux plugins que tu cites) et je met systématiquement à jour mes programmes :)
Je sais d'où vient l'infection en réalité ^^
En tout cas merci beaucoup de l'aide procurée.
(j'ai fait un tout petit don :D)
-
Re,
L'équipe de Security-X t'en remercie, l'intention est déjà très louable.
:AAN