PC XP-sp3 bloqué par virus "gendarmerie Ukash"

[Fango77]

Bonjour,
cet après-midi, alors que je naviguais sur le net, une fenêtre s'est ouverte affichant que mon PC était bloqué par la police. Effectivement impossible de fermer cette fenêtre. Le texte étant truffé de fautes d'orthographe j'ai flairé une supercherie. J'ai pu aller sur différents sites et exécuter différents outils tels que Malwarebyte's, roguekiller etc. Après plusieurs redémarrage la fenêtre n'apparait plus mais j'aimerais être sùre que mon PC est redevenue "clean".
Quelqu'un pourrait-il m'aider, svp ?!

[Ammonium]

Bonjour, nous allons jeter un coup d'oeil.

----------------------------------------------------------------------------------------------------------

Scan avec l'outil OTL

Télécharge OTL (de OldTimer) sur ton Bureau.

• Double-clique sur l'icône pour le lancer. Assure toi que toutes les autres fenêtres de Windows soient fermées et le laisse travailler.
• Coche les cases Recherche LOP et Recherche Purity (En bleu vers le bas de la fenêtre).
  
• Sous la zone Personnalisation, copie/colle ceci :
  
  

Code: [Sélectionner]

msconfig
netsvcs
/md5start
explorer.exe
wininit.exe
winlogon.exe
userinit.exe
svchost.exe
services.exe
/md5stop
%SYSTEMDRIVE%\*.exe
%SYSTEMDRIVE%\*.
%SYSTEMDRIVE%\
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%systemroot%\*. /mp /s
%systemroot%\Tasks\*.* /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
CREATERESTOREPOINT


• Clique sur le bouton Analyse. Ne change aucun paramètre si on ne te l'a pas demandé. L'analyse prendra peu de temps.
  

• A la fin de l'analyse, les rapports OTL.txt et Extras.txt s'affichent.
  

Héberge le(s) rapport(s) sur ce site d'hébergement de fichiers et indique les liens fournis dans ta réponse. Aide en images
Les rapports sont sauvegardés sur le Bureau.

----------------------------------------------------------------------------------------------------------

[Ammonium]

Re,

Fournis moi tous les rapports que tu as eu également avec les outils que tu as passé.

[Fango77]

Bonjour et merci pour l'aide.
Je viens de lancer OTL, j'attends la fin du processus.
Je n'ai pas gardé le rapport de malwarebytes et je ne sais pas si il y a un moyen de sortir le dernier rapport effectué.
Celui de Roguekiller a été fait dans le "mode sans échec" je vais essayer de le récupérer et de vous le transmettre.
J'avais un disque dur externe branché en permanence ainsi qu'une clé USB branché au moment du "drame", pensez-vous qu'ils aient pu être infecté ?

[Fango77]

OTL vient de finir le scan.
voici le lien pour le rapport :
http://up.security-x.fr/file.php?h=R3166daf3ee63893385408d037b50cee8
je ne sais pas si vous en aurez besoin mais voici le lien pour le fichier Extras.txt créé en même temps
http://up.security-x.fr/file.php?h=R15400f5166b7ffb1db0ad7b8405d1e23
Merci pour votre aide.

[Ammonium]

Bonjour Fango,

Je regarde les rapports OTL ce soir.
Pour le rapport de Rogue Killer tu le trouveras sur ton bureau.
Pour le rapport MBAM, tu devrais l'avoir dans la section des rapport quand tu lances MBAM.

A bientôt (je reviens vers toi dans la soirée).

[Ammonium]

Re,

On va enlever quelques restes.

----------------------------------------------------------------------------------------------------------
----------------------------------------------------------------------------------------------------------

Désinstallations des Adwares/PUP/Logiciels non à jour

• Va dans le panneau de configuration.
• Clique sur ajouter/supprimer des programmes.
• Désinstalle si présent :

Java(TM) 6 Update 39 (tu as une version plus récente)
Java 2 Runtime Environment, SE v1.4.2_05 (vieille version)




----------------------------------------------------------------------------------------------------------
----------------------------------------------------------------------------------------------------------

AdwCleaner - Suppression :

• Sur cette page AdwCleaner de Xplode , clique sur Télécharger et enregistre le fichier sur ton Bureau
  
• Double-clique sur l'icône AdwCleaner.exe pour lancer l'installation
  /!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  Sous IE9, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même
  
• Sur le menu principal, clique sur Suppression et patiente le temps que l'outil travaille. A la fin, l'ordinateur va redémarrer.
  
• Une fois redémarrer, le rapport AdwCleaner.txt s'ouvre, poste le sur ce site d'hébergement en ligne.
  Le rapport se trouve sous C:\AdwCleaner[Sx].txt (ou x est un nombre)
  

Les rapports sont sauvegardés sur le Bureau.

----------------------------------------------------------------------------------------------------------
----------------------------------------------------------------------------------------------------------

Suppression avec OTL

• Relance OTL.exe.
  (Sous windows vista/7, cliques droit, Exécuter en tant qu'administrateur)
  Utilisateur AVAST, ne lancez pas OTL sous la sandbox
  
• Copie (Ctrl+C) le texte se situant dans le cadre ci-dessous :

Code: [Sélectionner]

:OTL
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {EE2AC4E5-B0B0-4EC6-88A9-BCA1A32AB107} - No CLSID value found.
O32 - AutoRun File - [2013/02/10 11:53:59 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
[4 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
[1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]

:Files
ipconfig /flushdns /c
:Commands
[CREATERESTOREPOINT]
[EMPTYTEMP]


• Colle (ou Ctrl+V) le texte précédemment copié dans le cadre Personnalisation en bas à gauche.
  
• Cliques maintenant sur le bouton Correction en haut à gauche.

Ton PC va redémarrer automatiquement, si ce n'est pas le cas, fais le manuellement.
Le rapport de suppression s'ouvrira une fois le PC redémarré. Héberge le sur http://up.security-x.fr/ et poste le dans ta prochaine réponse.

Le rapport est situé dans C:\_OTL\MovedFiles\********_******.log
les *** sont des chiffres représentant la date [MoisJourAnnée] et l'heure.

/!\ Ce script est exclusivement réservé à l'utilisateur actuel du sujet, vous ne devez en aucun cas l'utiliser de votre propre chef sur un autre pc, sous risque d'endommager le système /!\

----------------------------------------------------------------------------------------------------------
----------------------------------------------------------------------------------------------------------

SX Check&Update :

• Télécharge SX Check&Update et enregistre-le sur ton Bureau
  
• Ferme toutes les applications, y compris ton navigateur
  
• Double-clique sur SXC&U.exe pour lancer l'application
  /!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  
• Au menu principal, clique sur le bouton Rapport
  
• Heberge le rapport sur http://up.security-x.fr/ et poste le lien dans ta nouvelle réponse.

Si ton antivirus émet une alerte ou bloque l'outil, il faut le désactiver temporairement (le fichier SXC&U.exe est sûr)

----------------------------------------------------------------------------------------------------------

A bientôt.

[Fango77]

Bonsoir Ammonium,
voici le rapport de Malwarebytes :
http://up.security-x.fr/file.php?h=R892b93095888e904ca6a2c584cb86c1a
et ceux de RogueKiller :
http://up.security-x.fr/file.php?h=Rd05216c680867088df8a3ba62b87a1c9
http://up.security-x.fr/file.php?h=R44bd9e964fc8f6807c12923ddb92a9ea

[Fango77]

Re,
voici les rapports d'aujourd'hui pour AdwCleaner :
http://up.security-x.fr/file.php?h=R07e8e19545c3837d0a4bcbe8333c2a1b
j'avais utilisé AdwCleaner en premier lorsque le problème s'est déclaré, je te les communique également, je ne sais pas si ils pourront t'être utile :
http://up.security-x.fr/file.php?h=R38b7e1a794af2a0a7d17cad9104ac8f8
http://up.security-x.fr/file.php?h=R700fb77119ac02e67d5aa8962853b90b
Je continue les opérations tels que tu me les as indiquées

[Fango77]

Bonjour Ammonium,

j'en suis à l'étape de correction avec OTL ; est-ce que le processus est long ?
Je l'ai lancé plusieurs fois et chaque fois le PC semble se bloquer après avoir cliqué sur "corrections".
Au bout de quelques minutes je l'ai forcé à s'arrêter et redémarrer ; le dossier de rapport se créé à l'endroit que tu m'as indiqué mais il ne contient aucun rapport *.log, il est juste vide.
J'ai recommencé en le laissant tourné le reste de la nuit (de 2h à 9h) mais ça ne change rien.
J'ai recommencé en désactivant l'antivirus (Avira) mais ça ne change rien.
Je vais recommencer sans antivirus et en le laissant tourner toute la matinée je verrai ce midi si quelque chose s'est modifié.

[Ammonium]

Salut fango,

Fait le plutôt en mode sans échec.
Si cela ne marche toujours pas, nous utiliserons un autre outil.

[Fango77]

J'ai recommencé en désactivant Avira et Malwarebytes et en fermant firefox et ça a marché.
Voici donc le rapport :
http://up.security-x.fr/file.php?h=R883d0eca43a44859e32cbaec7d7c901f
Je continue la procédure.

[Fango77]

voici le rapport de SX :
http://up.security-x.fr/file.php?h=R0fc204f328d4c7fb7220c8cc31ac491c
Merci pour ton aide.

[Ammonium]

Re,

---------------------------------------------------------------------------------

Ferme toutes les fenêtres ouvertes.

Sx Check & Update : Mise à Jour

• Relance SX C&U.
• Clique sur le bouton Update Flash
  
• Télécharge et installe flash player sur tous les navigateurs qui se sont ouvert.
  Dans ton cas, Internet Explorer et Google Chrome
  =>Lien si besoin : http://get.adobe.com/fr/flashplayer/
  => Décocher la case "Oui, installer McAffee..."
  

---------------------------------------------------------------------------------

----------------------------------------------------------------------------------------------------------

Temp File Cleaner

• Télécharge TFC de OldTimer et enregistre-le sur ton Bureau
  
• Ferme toutes les applications en cours
• Double-clique sur TFC.exe sur ton Bureau
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  
• Clique sur Start pour lancer l'analyse et patiente (le scan de suppression peut durer jusqu'à 1 ou 2 mn)
  
• Valide par Yes à la demande de redémarrage. Si le système ne redémarre pas, fais-le manuellement. Cette étape est impérative pour finaliser le nettoyage

----------------------------------------------------------------------------------------------------------

----------------------------------------------------------------------------------------------------------

Dell Fix

Télécharge DelFix (de Xplode) sur ton bureau.

• Ferme toutes tes fenêtres, puis double clique sur DelFix.exe pour le lancer.
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
  
• Coches les cases suivantes :
  
• * Supprimer les outils de désinfections.
• * Purge de la restauration système.
• * Restaurer les paramètres systèmes.
• Clique sur le bouton "Exécuter"
  
• Laisse travailler l'outil.
• Le rapport est enregistré dans à la base de ton disque dur, (C:\DelFix.txt généralement) merci de copier-coller son contenu dans ta prochaine réponse.
  
• Supprime tous les outils et rapports restant manuellement, n'oublie pas de vider ta corbeille par la suite.

----------------------------------------------------------------------------------------------------------
----------------------------------------------------------------------------------------------------------

Recommandations et conseils

• Pourquoi et comment je me fais infecter ?
  
  Il faut toujours privilégier le téléchargement d'une application sur le site de l'éditeur, cela évite d'avoir de mauvaises surprises, comme des PUBS.
  
  /!\ Etre vigilant au moment de l'installation d'une application, Stop la pub !
  
  /!\ Ne jamais ouvrir une pièce-jointe dans un mail d'un expéditeur inconnu
  
  
• Maintenir son antivrus à jour et analyser le système régulièrement, avec en parallèle un scan avec Malwarebytes
  
  
  
• Tenir son système à jour, au niveau des mises à jour Windows Update, sans oublier les logiciels installés.
  Vérifier aussi d'avoir toujours la dernière version de Java et Flash Player
  Il faut l'installer Flash Player sous chaque navigateur présent sur le système
  Penser à décocher les options proposées en même temps que Java et Flash Player (Barre Google, Scan McAfee ....
  
  Il faut ABSOLUMENT maintenant son PC à jour, sur adobe (reader/flash), java et windows update. Sans mise à jour, ils deviennent les vecteurs principaux d'infection, et souvent les plus dangereuses !
  
  La meilleur protection contre les Pubs/PUP/Malwares, c'est TOI !
  Evite les comportements à risques (cracks/keygens, P2P, streaming illégal, pornographie, etc.)
  
  

Pour en savoir plus, clique sur l'image pour télécharger ce PDF



----------------------------------------------------------------------------------------------------------

Comment marquer son sujet résolu ?

• Clique sur le bouton : Meilleur solution (quand le sujet le permet)
• Le sujet sera alors automatiquement passé en résolu
  
• Sinon édite ton premier message et rajoute [Résolu] dans le titre.

----------------------------------------------------------------------------------------------------------

C'est tout bon de mon côté.
Ton PC n'est plus infecté.

Bonne soirée.

[Fango77]

Bonsoir Ammonium,
voici le rapport de delfix :
http://up.security-x.fr/file.php?h=R41f06e8a286e8fd397f539fabebb2a96
J'ai téléchargé le PDF "dites non aux infections" que je viens de parcourir et que je vais lire plus attentivement un peu plus tard.
Il me semble cette information n'est pas précisé :
le firewall de base de windows xp-sp3 est-il efficace ou bien vaut il mieux faire appel à un autre ?
Je ne sais pas si tu me répondras mais sache qu'en tout cas je te remercie beaucoup pour ton aide.
Cordialement

Fango77

[Ammonium]

Bonsoir,

Je surveilles toujour sles ujets que je prend en charge afin de répondre à des questions
Donc sur windows XP, nous conseillons l'usage d'un firewall externe, car celui intégré est une vraie passoire.

A partir de Windows Vista/Seven, et maintenant Windows 8, le firewall intégré est largement suffisant et marche bien.

Pour XP, je vois que tu as zone alarm en tant que parefeu, c'est ce que j'utilisais également.
Si tu veux en essayer un autre, il y a Comodo qui en fait de bon, mais le paramétrage demande du temps pour bien le comprendre.

Bonne soirée.

[Fango77]

Aie !! rechute !
j'avais pourtant fais attention.
Je tenterai bien de refaire les manip de la dernière fois mais je préférerais que quelqu'un qui a plus d'expérience contrôle les rapports, si possible, svp.

[Fango77]

Le différence avec la dernière fois c'est que cette fois-ci je n'arrive pas à fermer la fenêtre.

[Fango77]

Je ne sais pas si je dois relancer un nouveau sujet ou si je peux continuer sur celui-ci ?
Les différents programmes de nettoyage sont téléchargés.
Si il y a, ailleurs sur le forum, un sujet qui me permettrait d'apprendre à analyser le contenu des rapports cela m'intéresserait.
J'éviterais ainsi d'embêter tout le monde quand j'ai un problème.
Merci par avance.

Fango

[chantal11]

Bonjour,

C'est une nouvelle infection, il te faut donc ouvrir un nouveau sujet   

[Fango77]

Ok, merci !