Security-X

Forum Security-X => Désinfections => Discussion démarrée par: elo05 le novembre 17, 2012, 20:13:57

Titre: virus ministere de l'interieur resolu
Posté par: elo05 le novembre 17, 2012, 20:13:57
Bonsoir j'ai ete infecte par le virus ministere de l'interieur. Du coup j'ai suivit les consignes qui avaient ete donne à une autre utilisatrice en demarrant en mode sans echec puis en utilisant le logiciel OTC pour faire une analyse. Maintenant j'aimerai savoir ce que je dois faire avant de redemarrer mon ordinateur normalement?
merci beaucoup
Titre: Re : virus ministere de l'interieur
Posté par: kalimusic le novembre 17, 2012, 21:06:05
Bonjour et bienvenue sur SX

Si tu as utilisé OTL, tu as du obtenir 2 rapports : OTL.txt et extra.txt.

Pour les poster sur le forum, utilise ce service de rapport en ligne (http://security-x.fr/up/) : dépose les fichiers via "parcourir" et poste les liens obtenus dans ta prochaine réponse.

Aide : Héberger son rapport d'analyse et le poster sur un forum
 (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)

A +
Titre: Re : virus ministere de l'interieur
Posté par: elo05 le novembre 18, 2012, 08:38:42
Voila le lien pour OTC par contre je n'ai eu que celui la et rien d'autre apres l'analyse  :(
http://security-x.fr/up/file.php?h=Ref01c8196a55dbc9ece92a1db9bc9241

voila merci
Titre: Re : virus ministere de l'interieur
Posté par: elo05 le novembre 18, 2012, 09:47:48
J'ai réessayé l'analyse et de nouveau je n'ai eu qu'un seul rapport:

http://security-x.fr/up/file.php?h=Ra42b0303f443396ced3a3ecb89948430
Titre: Re : virus ministere de l'interieur
Posté par: kalimusic le novembre 18, 2012, 16:56:41
 :AAC elo05


Il faut lancer les outils de désinfection à partir du Bureau stp.


1. Désinstalle (si possible) :

Boxore
OfferBox

Aide : Comment désinstaller un programme (http://"http://windows.microsoft.com/fr-FR/windows-vista/Uninstall-or-change-a-program")


Ce script n'est valable que pour ce système, l'utiliser sur un autre ordinateur pourrait causer des problèmes.
Lorsque la correction commence, tous les processus en cours d'exécution vont être stoppés ce qui peut provoquer la perte momentanée du Bureau et des icônes. Ils reviendront au démarrage.

2. Relance OTL

Code: [Sélectionner]
:instructions
:OTL
SRV - [2012/10/09 12:56:44 | 000,139,576 | ---- | M] (Boxore OU.) [Disabled | Stopped] -- C:\Program Files (x86)\Software\Update\SoftwareUpdate.exe -- (supdate)     
FF - HKLM\Software\MozillaPlugins\@www.dlmanager.net/omaha/tools//Software Update;version=8: C:\Program Files (x86)\Software\Update\1.2.201.0\npSoftwareOneClick8.dll (Boxore OU.)
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found.     
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O4 - HKLM\..\Run: [Boxore Client] C:\Program Files (x86)\Boxore\BoxoreClient\boxore.exe (Boxore OU)     
O4 - HKU\S-1-5-21-2141892727-2299160407-3979116685-1001\..\Run: [] C:\Users\Elodie\AppData\Local\Temp\wgsdgsdgdsgsd.exe (www.luxoft.com)
O4 - HKU\S-1-5-21-2141892727-2299160407-3979116685-1001\..\Run: [dretr] rundll32.exe "C:\Users\Elodie\AppData\Roaming\dretr.dll",GetRecordPosition File not found
O4 - HKU\S-1-5-21-2141892727-2299160407-3979116685-1001\..\Run: [Liroleo] C:\Users\Elodie\AppData\Roaming\Eqero\yhazt.exe File not found
O4 - HKU\S-1-5-21-2141892727-2299160407-3979116685-1001\..\Run: [pcdfsvc] C:\ProgramData\pcdfdata\rcsenwmaxo.exe /min File not found
[2012/11/02 21:48:15 | 000,000,000 | ---D | C] -- C:\ProgramData\pcdfdata
[2012/11/10 09:36:30 | 000,167,696 | ---- | M] () -- C:\Users\Elodie\0.8657701908902469.exe
[2012/11/16 14:23:17 | 000,000,000 | ---D | M] -- C:\Users\Elodie\AppData\Roaming\Eqero
[2010/10/03 10:59:09 | 000,000,000 | ---D | M] -- C:\Users\Elodie\AppData\Roaming\OfferBox     
[2012/11/15 22:07:01 | 000,000,000 | ---D | M] -- C:\Users\Elodie\AppData\Roaming\Oxxita
[2012/11/17 20:21:40 | 000,000,000 | ---D | M] -- C:\Users\Elodie\AppData\Roaming\TestApp
[2012/11/10 09:35:43 | 000,000,000 | ---D | M] -- C:\Users\Elodie\AppData\Roaming\Ypyhi
[2012/11/17 18:30:05 | 000,001,082 | ---- | M] () -- C:\Windows\Tasks\SoftwareUpdateTaskMachineCore.job     
[2012/11/17 18:02:01 | 000,001,086 | ---- | M] () -- C:\Windows\Tasks\SoftwareUpdateTaskMachineUA.job     
@Alternate Data Stream - 135 bytes -> C:\ProgramData\Temp:4CF61E54
@Alternate Data Stream - 132 bytes -> C:\ProgramData\Temp:2F370DA6
@Alternate Data Stream - 128 bytes -> C:\ProgramData\Temp:A724744F
@Alternate Data Stream - 126 bytes -> C:\ProgramData\Temp:115CEE00
@Alternate Data Stream - 121 bytes -> C:\ProgramData\Temp:AB689DEA
@Alternate Data Stream - 109 bytes -> C:\ProgramData\Temp:DFC5A2B2
:Files
ipconfig /flushdns /c
:Commands
[emptytemp]Le rapport est sauvegardé à la racine du disque dans ce dossier C:\_OTL\MovedFiles


3.  Télécharge AdwCleaner ( d'Xplode ) sur ton bureau à partir de ce lien (http://"http://general-changelog-team.fr/fr/downloads/viewdownload/20-outils-de-xplode/2-adwcleaner").
Note : Le rapport est sauvegardé à la racine du disque C:\AdwCleaner[S1].txt


4. Héberge les rapports et poste les liens.


A +
Titre: Re : virus ministere de l'interieur
Posté par: elo05 le novembre 18, 2012, 22:27:42
Deja merci bcp pour votre reponse si rapide!
je n'ai pas reussi à desinstaller les logiciels demandé en plus comme je n'ai plus de connexion je suis obligé de telecharger les liens sur une clé et les mettre apres sur mon ordi mais j'ai reussi.
voici les 2 liens:

http://security-x.fr/up/file.php?h=R736c1e6c30c93bef15b88d68297fb78d

http://security-x.fr/up/file.php?h=R5ff07a4fa2cb939b22df1ca8c275f44e

merci =)
Titre: Re : virus ministere de l'interieur
Posté par: kalimusic le novembre 18, 2012, 23:26:37
 :AAC


1. Télécharge Malwarebytes Anti-Malware (http://"http://www.malwarebytes.org/mbam/program/mbam-setup.exe") et installe le selon l'emplacement par défaut (l'essai de la version pro est facultative).

Les rapports sont automatiquement enregistrés par MBAM et peuvent être consultés en cliquant sur l'onglet rapports/logs.

Aide : Tutoriel MalwareByte's Anti-Malware (http://"http://forum.security-x.fr/tutoriels-317/%28tutoriel%29-malwarebyte%27s-anti-malware")


2. Relance OTL

3. Héberge les rapports et poste les liens.
Indique moi également comment va ton pc maintenant.

A +
Titre: Re : virus ministere de l'interieur
Posté par: elo05 le novembre 19, 2012, 00:12:46
Salut alors voici les 2 liens:

http://security-x.fr/up/file.php?h=Rd41dc77a94a8589697065c2920e73c3c

http://security-x.fr/up/file.php?h=Rb337a47d9019a8c6cdc40d6ac4aa677f

voila apres pour ce qui est du fonctionnement de mon ordi,  à l'ouverture ca m'affiche un message me disant "unable to find a compatible SRS Audio Device", je ne peut pas accéder à une connection internet ni avoir du son. Le graphisme est mauvais et qd je vais dans
panneau de config=>outil d'administration=>services  il y a preque toutes les commandes qui sont désactivés mais je ne sais pas comment les remettre en marche.

voila merci
Titre: Re : virus ministere de l'interieur
Posté par: kalimusic le novembre 19, 2012, 07:42:34
 :AAC elo05


Télécharge ComboFix (http://"http://download.bleepingcomputer.com/sUBs/ComboFix.exe") de sUBs.

TRÈS IMPORTANT : Enregistre ComboFix.exe sur le Bureau.

IMPORTANT : Ferme toutes tes applications en cours et désactive les programmes de protection (Antivirus, Antispywares, etc...).
Ils pourraient interférer avec le travail de l'outil. Aide : Désactiver le module résident de l'antivirus. (http://"http://assiste.forum.free.fr/viewtopic.php?t=27097")

Si besoin, imprime les instructions, car ensuite toutes les fenêtres doivent être fermés.

Le rapport se trouve normalement à la racine du disque: C:\ComboFix.txt

Notes :

Aide : Comment utiliser ComboFix  (http://"http://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix")

A +

Titre: Re : virus ministere de l'interieur
Posté par: elo05 le novembre 19, 2012, 19:35:12
voici le lien de combofix

http://security-x.fr/up/file.php?h=R1697a495c2b212a4c3fde5b2854cd8eb

voila
Titre: Re : virus ministere de l'interieur
Posté par: kalimusic le novembre 19, 2012, 20:30:34
 :AAC


Tu as désinstallé Antivir ?


1. Relance OTL



2. Télécharge  Service Repair  (http://kb.eset.com/library/ESET/KB%20Team%20Only/Malware/ServicesRepair.exe) (Eset)] sur ton Bureau.



3. Télécharge Farbar Service Scanner (http://"http://download.bleepingcomputer.com/farbar/FSS.exe") sur ton Bureau.


4. Héberge les rapports et poste les liens.


A +
Titre: Re : virus ministere de l'interieur
Posté par: elo05 le novembre 19, 2012, 22:41:20
oui j'ai enlevé l'antivirus pour faire fonctionner le dernier logiciel que tu m'avais dit.
voila les differents liens:

http://security-x.fr/up/file.php?h=R92de123665620d76d672f898c2089594

http://security-x.fr/up/file.php?h=Rca14b6800ee9ccee2cad880e08654afc

http://security-x.fr/up/file.php?h=Rcfcd3c63c2a718fe67217b633d2f695c

voila je crois que c'est tout bon... je m'inquiete qd meme un peu il y a de gros degats? il reste encore bcp de manip à faire avant que je retrouve les fonctions de base comme internet?

merci bcp pour ton aide!  :)
Titre: Re : virus ministere de l'interieur
Posté par: kalimusic le novembre 19, 2012, 23:39:36
 :AAC


Citer
oui j'ai enlevé l'antivirus pour faire fonctionner le dernier logiciel que tu m'avais dit.

Il fallait simplement le désactiver comme indiqué  ;)


Tu ne m'as pas donné le bon rapport de Eset mais de toutes façon, la réparation des services a échoué.
Il y a eu effectivement de gros dégâts mais on va essayer de réparer.


1. Télécharge et dézippe sur ton Bureau  Windows Repair (all in one) (http://www.tweaking.com/content/page/windows_repair_all_in_one.html)

Choisir Version portable (3.04 MB)> Download > Direct Download


(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fsecurity-x.fr%2Fimg%2Fpublic%2FWindowsrepair%2FWindowsrepair10.png&hash=3a3f048c725b8b3577f2f668fcceb81e2b365ed2)


http://forum.security-x.fr/tutoriels-317/reparer-widnows-avec-windows-repair-%28all-in-one%29/


2. Relance un scan avec Farbar Service Scanner et poste son nouveau rapport


A +
Titre: Re : virus ministere de l'interieur
Posté par: elo05 le novembre 20, 2012, 10:50:36
Alors voici le dernier scan:
http://security-x.fr/up/file.php?h=Rc3d941d44212d3ef6fff7723d4e8061a

et à l'ouverture apres avoir passé windows repair j'ai récupéré les fonctions de connection internet, de son et d'image!  :BAN
ca fait bien plaisir de voir que ca commence à fonctionner merci  :)

Titre: Re : virus ministere de l'interieur
Posté par: kalimusic le novembre 20, 2012, 15:53:23
Bonjour,


Le rapport FSS indique toujours qu'il n'y a pas de connexion  :NNN
Confirme moi qu'elle est bien fonctionnelle.

Réinstalle un antivirus : http://forum.security-x.fr/tutoriels-317/%28tutoriel%29-antivir-personal-free-antivirus-installation/

Refait une analyse rapide avec OTL et poste le rapport.


A +
Titre: Re : virus ministere de l'interieur
Posté par: elo05 le novembre 20, 2012, 22:13:27
Alors oui je te confirme que la totalité des fonctions remarchent correctement. Si tu as des conseils pour que ce genre de probleme ne m'arrive plus je suis preneuse. J'ai réinstallé avira antivirus. Voici le rapport:

http://security-x.fr/up/file.php?h=R118cb199674598bd7a8be09902848de9

merci bcp sans ton aide j'aurai bien galéré  :)
Titre: Re : virus ministere de l'interieur
Posté par: kalimusic le novembre 20, 2012, 22:46:05
 :NNN

Tu es allé télécharger Antivir sur le site à éviter à tout prix :
http://www.lesnumeriques.com/logiciel-bureautique/telecharger-depuis-01net-nuit-gravement-a-sante-pc-n26763.html

1. Désinstalle Giant Savings

2. Relance AdwCleaner ( d'Xplode )
Note : Le rapport est sauvegardé à la racine du disque C:\AdwCleaner[S2].txt



Ce script n'est valable que pour ce système, l'utiliser sur un autre ordinateur pourrait causer des problèmes.
Lorsque la correction commence, tous les processus en cours d'exécution vont être stoppés ce qui peut provoquer la perte momentanée du Bureau et des icônes. Ils reviendront au démarrage.

3. Relance OTL

Code: [Sélectionner]
:instructions
:OTL
O2 - BHO: (Giant Savings) - {11111111-1111-1111-1111-110011441179} - C:\Program Files (x86)\Giant Savings\Giant Savings.dll (215 Apps)
O3:[b]64bit:[/b] - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - No CLSID value found.
[2012/11/20 11:02:45 | 000,000,000 | ---D | C] -- C:\Users\Elodie\AppData\Local\Giant Savings
[2012/11/20 11:02:44 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Giant Savings
[2012/11/18 14:09:07 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Multi Virus Cleaner 2012
:Files
ipconfig /flushdns /c
:Commands
[emptytemp]Le rapport est sauvegardé à la racine du disque dans ce dossier C:\_OTL\MovedFiles


4. Héberge les rapports et poste les liens.


A +
Titre: Re : virus ministere de l'interieur
Posté par: elo05 le novembre 21, 2012, 08:42:46
voici le rapport adwcleaner:
http://security-x.fr/up/file.php?h=R6427716b6be5832bf7ac57cf07ac544a
Titre: Re : virus ministere de l'interieur
Posté par: elo05 le novembre 21, 2012, 08:47:25
et le rapport OTC:
http://security-x.fr/up/file.php?h=R0351fdc29b5743a69ef25b7f093b7925

voila  :)
Titre: Re : virus ministere de l'interieur
Posté par: kalimusic le novembre 21, 2012, 16:59:35
 :AAC elo05,


== == == == == == == == DÉSINSTALLATION DES OUTILS == == == == == == == ==


1.  Ouvre la commande Exécuter en pressant les touches Windows + R
2. Relance AdwCleaner en tant qu'administrateur >  Clique sur Désinstallation 

3. Lance OTL

Citer
:commands
[clearallrestorepoints]
4. Relance OTL


== == == == == == == == == ==   MISES A JOUR   == == == == == == == == == ==


Vérifie que les logiciels pouvant présenter des failles de sécurité sont à jour, c'est par ce biais que les infections arrivent :

 Vérifier et mettre à jour facilement les logiciels à risque avec SX Check&Update (http://forum.security-x.fr/tutoriels-317/%28tutoriel%29-sx-checkupdate/)

!! Décoche les cases proposant des logiciels partenaires pendant les installations !!

 Désinstalle les anciennes versions de Java si tu en as encore installées (http://www.java.com/fr/download/faq/remove_olderversions.xml)



 La sécurité de son PC, c'est quoi ? (http://"http://forum.malekal.com/securite-son-est-quoi-t15761.html") (par Malekal)   


 
Bonne soirée
Titre: Re : virus ministere de l'interieur
Posté par: elo05 le novembre 21, 2012, 17:54:41
Parfait merci bcp pour ton aide  ;D

bonne soirée
Titre: Re : virus ministere de l'interieur
Posté par: kalimusic le novembre 21, 2012, 18:24:24
ok  :)


Pour aller plus loin dans ta protection et éviter de te faire réinfecter voici quelques conseils supplémentaires :

Attention lors de l'installation de logiciel :
Veiller à toujours lire les conditions d'utilisation (CLUF), afin de déceler la gestion des données personnelles, l'installation de sponsors publicitaires ou tout autre atteintes à la vie privée. Refuser les toolbars et autres addons proposés.
A lire ! (http://forum.security-x.fr/securite-generale/stop-la-pub/)

Firefox (http://www.mozilla-europe.org/fr/firefox/) et/ou Chrome (http://www.google.fr/chrome?hl=fr) offrent une meilleure sécurité par rapport à Internet Explorer, surtout si on les complète de quelques plugins très intéressant : Noscript (https://addons.mozilla.org/fr/firefox/addon/722) et WOT (https://addons.mozilla.org/fr/firefox/addon/3456) par exemple. (pour Chrome : NoScript (https://chrome.google.com/webstore/detail/odjhifogjcknibkahlpidmdajjpkkcfn) ; WOT (https://chrome.google.com/webstore/detail/bhmmomiinigofkjcapegjjndpbikblnp?hl=fr) )

Maintenir ses logiciels et son système à jour :
De nombreuses infections sont dû à des failles de windows, mais aussi de logiciel tiers, comme Sun Java, Adobe Acrobat Reader, etc
Tu peux faire un scan de vulnérabilité (http://secunia.com/vulnerability_scanning/online/) pour connaitre tes logiciels présentant des failles non corrigées ou à mettre à jour.

Enfin, le plus important reste ton comportement sur ton PC, tu restes la plus importante protection : Évites les comportement à risque : P2P, cracks, téléchargements et installations douteux via des pubs, les messageries instantanées, ou des sites inconnu, sites pornographiques.
A lire ! (http://www.infos-du-net.com/forum/id-2134891/prevention-protection.html)
Ici aussi ! (http://www.infos-du-net.com/forum/275481-11-dossier-prevention-protection)


Tu peux indiquer ton sujet "réglé" en cliquant sur le bouton "modifier" (en haut à droite)  dans ton tout premier message.
-> Ajoute ensuite "résolu" à coté de ton titre et valide.

A bientôt sur Security-X