Infection par Cycbot.b

pear · le 2 mars 2011

Bonsoir,

Ceci sera à faire en 2 fois: la seconde pour suppression d'un proxy[/color][/b] Passer en Mode 2

Télécharger Rogue Killer par Tigzy sur le bureau

Sous Vista/Seven , clic droit -> lancer en tant qu'administrateur

Si le porgramme bloque, cliquez droit sur le lien ci-dessus->Enregistrer sous..

Dans la fenêtre qui s'ouvre renommez Roguekiller ->Winlogon.exe

Quittez tous tes programmes en cours et lancez le

Quand on vous le demande, tapez 1 et valider

Un rapport (RKreport.txt) apparait sur le bureau

montrant les processus infectieux tués

Copier/Coller son contenu dans la réponse

Nettoyage du registre ou suppression d'un proxy Passer en Mode 2

Si votre fichier HOSTS est corrompu (Section HOSTS du rapport), relancer RogueKiller en mode 3 pour en restaurer une copie saine

et dans la foulée on retente Mbam renommé( si besoin en mode sans échec)

Désinstallez Mbam, s'il est installé

Téléchargez MBAM sur le bureau

Renommez le Mabam.pif

[branchez tous les supports amovibles avant de faire ce scan (clé usb/disque dur externe etc)

Si vous utilisez Spybot

Pour désactiver TeaTimer qui ne set à rien et peut faire échouer une désinfection:!

Afficher d'abord le Mode Avancé dans SpyBot

->Options Avancées :

- >menu Mode, Mode Avancé.

Une colonne de menus apparaît dans la partie gauche :

- >cliquer sur Outils,

- >cliquer sur Résident,

Dans Résident :

- >décocher Résident "TeaTimer" pour le désactiver.

lancez Mabam.pif

Fermer toutes les fenêtres et programmes

Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet)

N'apportez aucune modification aux réglages par défaut et, en fin d'installation,

Vérifiez que les options Update et Launch soient cochées

MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse.

cliquer sur OK pour fermer la boîte de dialogue..

* Dans l'onglet "mise à jour", cliquez sur le bouton Recherche de mise à jour:

Si le pare-feu demande l'autorisation à MBAM de se connecter, acceptez.

* Une fois la mise à jour terminée, allez dans l'onglet Recherche.

* Sélectionnez "Exécuter un examen rapide"

* Cliquez sur "Rechercher"

* .L' analyse prendra un certain temps, soyez patient !

* A la fin , un message affichera :

L'examen s'est terminé normalement.

*Si MBAM n'a rien trouvé, il le dira aussi.

Cliquez sur "Ok" pour poursuivre.

*Fermez les navigateurs.

Cliquez sur Afficher les résultats .

*Sélectionnez tout et cliquez sur Supprimer la sélection ,

MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

puis ouvrir le Bloc-notes et y copier le rapport d'analyse qui peut être retrouvé sous l'onglet Rapports/logs.

* Copiez-collez ce rapport dans la prochaine réponse.

Jeronimo31 · le 2 mars 2011

Bonsoir,

Rapport après RogueKiller Mode1:

RogueKiller V4.0.1 by Tigzy

contact at Forum Sciences / Forum Informatique - Sur la Toile (SLT)

mail: tigzyRK<at>gmail<dot>com

Feedback: [RogueKiller] Remontées (1/9)

Operating System: Windows Vista (6.0.6001 Service Pack 1) 32 bits version

Started in : Safe mode with network support

User: Jérôme [Admin rights]

Mode: Scan -- Time : 28/02/2011 21:01:20

Bad processes: 0

Registry Entries: 9

[APPDT/TMP/PF ROGUE] HKCU\[...]\Run : conhost (C:\Users\Jérôme\AppData\Roaming\Microsoft\conhost.exe) -> FOUND

[APPDT/TMP/PF ROGUE] HKLM\[...]\Run : conhost (C:\Users\Jérôme\AppData\Roaming\Microsoft\conhost.exe) -> FOUND

[APPDT/TMP/PF ROGUE] HKUS\S-1-5-21-2754983384-293980505-1117310009-1000[...]\Run : conhost (C:\Users\Jérôme\AppData\Roaming\Microsoft\conhost.exe) -> FOUND

[APPDT/TMP] HKCU\[...]\Windows : Load (C:\Users\JRME~1\AppData\Local\Temp\csrss.exe) -> FOUND

[APPDT/TMP] HKUS\S-1-5-21-2754983384-293980505-1117310009-1000[...]\Windows : Load (C:\Users\JRME~1\AppData\Local\Temp\csrss.exe) -> FOUND

[PROXY IE] HKCU\[...]\Internet Settings : ProxyEnable (1) -> FOUND

[PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (http=127.0.0.1:63495) -> FOUND

[DNS] HKLM\[...]\ControlSet001\Parameters\Interfaces\{6080538F-DCF4-40F4-A197-BF17C83F2041} : NameServer (212.139.132.37 212.139.132.36) -> FOUND

[DNS] HKLM\[...]\ControlSet003\Parameters\Interfaces\{6080538F-DCF4-40F4-A197-BF17C83F2041} : NameServer (212.139.132.37 212.139.132.36) -> FOUND

HOSTS File:

127.0.0.1 localhost

::1 localhost

Finished