Virus Ukash (Gendarmerie nationale)

[Armel]

Bonjour le forum,

 

 

J'ai récemment été touché par l'infection citée en objet,

 

J'ai résolu ce problème en mode sans échec, avec la restauration du système à une date antérieure,

 

Avec la commande, rstrui.exe dans la fenêtre "Exécuter" vous accédez directement à la page de restauration.

 

Tout semble être rentré en ordre comme avant, mais j'aimerais savoir s'il est possible que l'infection soit toujours présente (cachéé) malgré tout ??

 

Faut-il lancer un scan du système et comment ??

 

P.S : entre temps j'ai mis à jour les principaux programmes comme Adobe Reader, Java (j'ai supprimé les anciennes versions de Java), Flash et navigateur Firefox,

 

Merci d'avance pour votre aide et réponse.

 

Cordialement

Modifié le 21 juillet 2012 par Armel

[pear]

Bonjour,

 

Normalement la restauration suffit à supprimer ce malware.

 

Si vous souhaitez savoir si votre machine n'est plus infectée:

 

Lancez cet outil de diagnostic:

Zhpdiag 1.31

 

Double-cliquer sur ZHPDiag.exe pour installer l'outil

Sur le bureau ,il y aura 3 icônes

 

Sous XP, double clic sur l'icône ZhpDiag

Sous Vista/7, faire un clic droit et Exécuter en tant qu'administrateur

 

 

Cliquez sur le bouton en haut, à droite et choisissez Tous

Pour éviter un blocage, décochez 045 et 061

 

Clic sur la Loupe en haut, à gauche pour lancer le scan

Postez le rapport ZhpDiag.txt qui apparait sur le bureau

 

Comment poster les rapports

Cliquez sur ce bouton en haut, à droite

Appuyez sur Parcourir et chercher le rapport ,

Cliquer sur Envoyer

>> dans la page suivante -->

Cliquer Pjjoint Uploader ,,

une adresse http//.. sera créée

Copier /coller cette adresse dans votre prochain message.

 

[Armel]

Bonjour Pear,

 

Merci pour votre réponse et le lien pour l’utilisation du programme.

Je viens de faire un scan et voici le rapport de ZHPDiag.

 

Vous remerciant d'avance,

Cordialement

[pear]

Vous devez trouver sur le bureau ou ,sinon, dans le dossier où vous avez installé Zhpdiag ces 3 icônes .

Cliquer sur l'icône Zhpfix

Sous Vista/7 clic-droit, "Exécuter En tant qu'Administrateur

Copiez/Collez les lignes vertes dans le cadre ci dessous:

pour cela;

Clic gauche maintenu enfoncé, Balayer l'ensemble du texte à copier avec la souris pour le mettre en surbrillance ,de gauche à droite et de haut en bas

Ctrl+c mettre le tout en mémoire

Ctrl+v pour inscrire le texte dans le Document

Vous ne verrez rien avant d'avoir Cliqué sur le H-

 

[MD5.ED797D8DC2C92401985D162E42FFA450] [sPRF][05/11/2010] (.Microsoft Corporation - Microsoft® Resource File To COFF Object Conversion Utility.) -- C:\Users\Armel\AppData\Roaming\WinSec.exe [32072] => Infection FakeAlert (Possible)

O4 - HKCU\..\Run: [AdobeBridge] Clé orpheline => Orphean Key not necessary

O4 - HKUS\S-1-5-21-1883889223-2537772362-393943498-1001\..\Run: [AdobeBridge] Clé orpheline => Orphean Key not necessary

O23 - Service: Lavasoft Ad-Aware Service (Lavasoft Ad-Aware Service) . (.Lavasoft Limited - Ad-Aware Service Application.) - C:\Program Files (x86)\Lavasoft\Ad-Aware\AAWService.exe => Lavasoft%Ad-Aware Service

[MD5.5608E451B9D69B548103BA9CF39A3527] [APT] [Ad-Aware Update (Weekly)] (.Lavasoft Limited.) -- C:\Program Files (x86)\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe

[MD5.00000000000000000000000000000000] [APT] [{E58CA75B-F3AD-4993-A38A-0F4F8DC0C2A1}] (...) -- E:\RembMaladie\RembMaladie.exe (.not file.) => Fichier absent

O43 - CFD: 18/01/2012 - 21:47:57 - [0] ----D C:\Users\Armel\AppData\Local\Stimulsoft => Empty Folder not necessary

O43 - CFD: 01/07/2012 - 14:53:34 - [0] ----D C:\Users\Armel\AppData\Local\{01A9BB91-26FE-477A-87AA-A4D041C1FABD} => Empty Folder not necessary

O43 - CFD: 24/06/2012 - 14:19:23 - [0] ----D C:\Users\Armel\AppData\Local\{04D7F9A1-824F-458E-8D73-F83EFB8C6F93} => Empty Folder not necessary

O43 - CFD: 30/06/2012 - 00:32:33 - [0] ----D C:\Users\Armel\AppData\Local\{05C71E00-0919-4968-B076-6C0B0CD02CCE} => Empty Folder not necessary

O43 - CFD: 08/07/2012 - 15:12:40 - [0] ----D C:\Users\Armel\AppData\Local\{09E8CF3D-86BC-41AE-9E86-4BC5C3635A79} => Empty Folder not necessary

O43 - CFD: 19/07/2012 - 19:46:46 - [0] ----D C:\Users\Armel\AppData\Local\{13C96370-6131-472B-8281-53C498381077} => Empty Folder not necessary

O43 - CFD: 27/06/2012 - 20:44:59 - [0] ----D C:\Users\Armel\AppData\Local\{197C6DD7-374E-47F1-90F1-D8AB72E915CB} => Empty Folder not necessary

O43 - CFD: 26/06/2012 - 21:00:41 - [0] ----D C:\Users\Armel\AppData\Local\{19C0A54E-2E4B-45B7-954F-9CDB0875A642} => Empty Folder not necessary

O43 - CFD: 06/07/2012 - 19:47:36 - [0] ----D C:\Users\Armel\AppData\Local\{1D656A6F-8537-438A-B28F-4D78A2DAC6C2} => Empty Folder not necessary

O43 - CFD: 19/07/2012 - 19:46:58 - [0] ----D C:\Users\Armel\AppData\Local\{1DA646C0-44FC-465D-A14E-FBF0DE7AC937} => Empty Folder not necessary

O43 - CFD: 17/07/2012 - 21:40:46 - [0] ----D C:\Users\Armel\AppData\Local\{1EAB925E-1960-426E-9865-00D6260BD111} => Empty Folder not necessary

O43 - CFD: 13/07/2012 - 21:18:49 - [0] ----D C:\Users\Armel\AppData\Local\{23650EE2-C304-4C8C-ABB3-DF929312C542} => Empty Folder not necessary

O43 - CFD: 20/07/2012 - 21:02:16 - [0] ----D C:\Users\Armel\AppData\Local\{2807761E-65A4-473D-88F2-A4F7984F6739} => Empty Folder not necessary

O43 - CFD: 02/07/2012 - 20:33:26 - [0] ----D C:\Users\Armel\AppData\Local\{2A75F4A3-DECB-4B41-AC67-2C491D1E76B1} => Empty Folder not necessary

O43 - CFD: 10/07/2012 - 21:01:24 - [0] ----D C:\Users\Armel\AppData\Local\{2AC259DB-25A1-4EF2-823F-D1F452533F7D} => Empty Folder not necessary

O43 - CFD: 14/07/2012 - 16:40:24 - [0] ----D C:\Users\Armel\AppData\Local\{2DAD1EED-A748-46ED-8B07-677577822BEC} => Empty Folder not necessary

O43 - CFD: 16/07/2012 - 20:02:18 - [0] ----D C:\Users\Armel\AppData\Local\{3AB594F5-D68B-45CF-A698-0C26C698C430} => Empty Folder not necessary

O43 - CFD: 23/06/2012 - 13:03:45 - [0] ----D C:\Users\Armel\AppData\Local\{3B0CB3EA-FF2E-43C1-B4EF-20906C1B96FD} => Empty Folder not necessary

O43 - CFD: 07/07/2012 - 10:33:02 - [0] ----D C:\Users\Armel\AppData\Local\{3EE9C737-D28D-455F-AAEA-FC9B20B1FA41} => Empty Folder not necessary

O43 - CFD: 23/06/2012 - 13:03:32 - [0] ----D C:\Users\Armel\AppData\Local\{4075EE8C-1855-446B-BB08-527DADE6F5F7} => Empty Folder not necessary

O43 - CFD: 08/07/2012 - 15:12:29 - [0] ----D C:\Users\Armel\AppData\Local\{43E4C7F9-1184-4A7F-91EA-B05D21722FFB} => Empty Folder not necessary

O43 - CFD: 02/07/2012 - 20:33:12 - [0] ----D C:\Users\Armel\AppData\Local\{44DC2610-E4AB-4BD6-AA66-F84EE9F7CE5A} => Empty Folder not necessary

O43 - CFD: 11/07/2012 - 21:20:59 - [0] ----D C:\Users\Armel\AppData\Local\{45B20B4E-3853-4E29-A6E5-F72E0D2C6DDF} => Empty Folder not necessary

O43 - CFD: 04/07/2012 - 19:21:15 - [0] ----D C:\Users\Armel\AppData\Local\{45D32E8B-C4A3-4AFE-BC4A-16434C63CC31} => Empty Folder not necessary

O43 - CFD: 01/07/2012 - 14:53:48 - [0] ----D C:\Users\Armel\AppData\Local\{498E5898-8409-4651-A832-4C0E75BFAB3D} => Empty Folder not necessary

O43 - CFD: 10/07/2012 - 21:01:36 - [0] ----D C:\Users\Armel\AppData\Local\{4B376F86-58FC-43A9-A422-C6D517B88D74} => Empty Folder not necessary

O43 - CFD: 25/06/2012 - 19:03:36 - [0] ----D C:\Users\Armel\AppData\Local\{4E480548-4A2A-4B34-BDC6-5BEE6B1F8987} => Empty Folder not necessary

O43 - CFD: 18/07/2012 - 20:24:58 - [0] ----D C:\Users\Armel\AppData\Local\{545E651E-BB0D-4A01-A1A7-93C344965236} => Empty Folder not necessary

O43 - CFD: 03/07/2012 - 21:25:12 - [0] ----D C:\Users\Armel\AppData\Local\{57C959F3-FFDE-4897-A53B-DB61879767EE} => Empty Folder not necessary

O43 - CFD: 07/07/2012 - 10:32:50 - [0] ----D C:\Users\Armel\AppData\Local\{595E3D9F-5BD3-4AA1-8185-697DF6C5C9B2} => Empty Folder not necessary

O43 - CFD: 26/06/2012 - 21:00:53 - [0] ----D C:\Users\Armel\AppData\Local\{5E2F554B-3A8B-4362-B53E-442018EF9330} => Empty Folder not necessary

O43 - CFD: 24/06/2012 - 14:19:38 - [0] ----D C:\Users\Armel\AppData\Local\{6131BDCB-975C-4C50-B8C0-E792CFE607FA} => Empty Folder not necessary

O43 - CFD: 08/07/2012 - 02:00:24 - [0] ----D C:\Users\Armel\AppData\Local\{6E6A842A-D835-476C-BDE1-3FAAEA9C3A67} => Empty Folder not necessary

O43 - CFD: 18/07/2012 - 20:24:46 - [0] ----D C:\Users\Armel\AppData\Local\{797E33F3-191C-4AFA-9EE8-B850336F0880} => Empty Folder not necessary

O43 - CFD: 05/07/2012 - 20:59:06 - [0] ----D C:\Users\Armel\AppData\Local\{7E8B53E0-BB5B-4CE0-8CA5-B466BEF037A5} => Empty Folder not necessary

O43 - CFD: 27/06/2012 - 20:45:11 - [0] ----D C:\Users\Armel\AppData\Local\{7EF20B1F-3AE6-4BE2-A112-C1EB13D6787B} => Empty Folder not necessary

O43 - CFD: 30/06/2012 - 13:08:11 - [0] ----D C:\Users\Armel\AppData\Local\{8017FF45-7526-413B-B4F3-7641C6AF1441} => Empty Folder not necessary

O43 - CFD: 30/06/2012 - 13:08:25 - [0] ----D C:\Users\Armel\AppData\Local\{84F90992-3C2F-4E2D-9219-0A75A70E7E1A} => Empty Folder not necessary

O43 - CFD: 14/07/2012 - 16:40:35 - [0] ----D C:\Users\Armel\AppData\Local\{852D43E8-1BC0-411A-A40D-B844DBAB9819} => Empty Folder not necessary

O43 - CFD: 08/07/2012 - 02:00:36 - [0] ----D C:\Users\Armel\AppData\Local\{85AE486E-46EF-462E-8FDE-4D557811911F} => Empty Folder not necessary

O43 - CFD: 30/06/2012 - 00:32:21 - [0] ----D C:\Users\Armel\AppData\Local\{86E88847-322B-4E22-87F6-FA36E1354C80} => Empty Folder not necessary

O43 - CFD: 16/07/2012 - 20:02:06 - [0] ----D C:\Users\Armel\AppData\Local\{93B77592-E982-46F0-AB12-A6955D93DDCC} => Empty Folder not necessary

O43 - CFD: 13/07/2012 - 21:18:36 - [0] ----D C:\Users\Armel\AppData\Local\{981CBA8C-BE2F-4412-8E3E-3734C45783B6} => Empty Folder not necessary

O43 - CFD: 09/07/2012 - 19:58:57 - [0] ----D C:\Users\Armel\AppData\Local\{98D25B68-992D-4F43-9676-B87175BFF7E8} => Empty Folder not necessary

O43 - CFD: 15/07/2012 - 19:54:46 - [0] ----D C:\Users\Armel\AppData\Local\{A7A7202F-DA43-4F08-BBE6-D2E53D325A89} => Empty Folder not necessary

O43 - CFD: 04/07/2012 - 19:21:03 - [0] ----D C:\Users\Armel\AppData\Local\{B209B530-07F8-4545-89E9-BE5BEC5A0E96} => Empty Folder not necessary

O43 - CFD: 25/06/2012 - 19:03:50 - [0] ----D C:\Users\Armel\AppData\Local\{B33CAA92-6B46-4D95-963C-60F03DE455DF} => Empty Folder not necessary

O43 - CFD: 03/07/2012 - 21:24:53 - [0] ----D C:\Users\Armel\AppData\Local\{B3EFBCA1-FC26-41E4-92CE-36B4FAEEB0B4} => Empty Folder not necessary

O43 - CFD: 09/07/2012 - 19:59:08 - [0] ----D C:\Users\Armel\AppData\Local\{B9836370-7EE0-4EEC-9A03-9A222E77F576} => Empty Folder not necessary

O43 - CFD: 15/07/2012 - 21:49:33 - [0] ----D C:\Users\Armel\AppData\Local\{D2A2D3F9-42E5-43D6-AA10-16B548AF71DB} => Empty Folder not necessary

O43 - CFD: 05/07/2012 - 20:58:54 - [0] ----D C:\Users\Armel\AppData\Local\{D5C6991F-752F-4CF3-9BA8-7A6C372C7CA6} => Empty Folder not necessary

O43 - CFD: 06/07/2012 - 19:47:48 - [0] ----D C:\Users\Armel\AppData\Local\{DB5A37A5-97C2-4B77-812B-E5A8D8D63948} => Empty Folder not necessary

O43 - CFD: 17/07/2012 - 21:40:34 - [0] ----D C:\Users\Armel\AppData\Local\{E26DF7B3-17CC-43F2-9595-93D968E43EEB} => Empty Folder not necessary

O43 - CFD: 15/07/2012 - 19:54:47 - [0] ----D C:\Users\Armel\AppData\Local\{E3888005-2716-417D-B3C4-33DBDCC533A7} => Empty Folder not necessary

O43 - CFD: 11/07/2012 - 21:20:47 - [0] ----D C:\Users\Armel\AppData\Local\{E8671F7B-1386-4B07-8E76-9D36567985D2} => Empty Folder not necessary

O43 - CFD: 22/06/2012 - 21:44:09 - [0] ----D C:\Users\Armel\AppData\Local\{F0481BCD-8DC9-48BE-B346-2BADF10BC51F} => Empty Folder not necessary

O43 - CFD: 15/07/2012 - 21:49:44 - [0] ----D C:\Users\Armel\AppData\Local\{F3374E13-1FE0-4CEA-8567-80FB823AE296} => Empty Folder not necessary

O43 - CFD: 20/07/2012 - 21:02:04 - [0] ----D C:\Users\Armel\AppData\Local\{F641DE27-9868-4D20-A5AC-A06AE9FD7642} => Empty Folder not necessary

O43 - CFD: 22/06/2012 - 21:43:28 - [0] ----D C:\Users\Armel\AppData\Local\{F914A4F0-BFEB-4495-84A2-08AA8481D29C} => Empty Folder not necessary

O44 - LFC:[MD5.09FA23776CC4350E9320503F19B3280D] - 26/06/2012 - 20:16:31 ---A- . (...) -- C:\SuperDAT.log [421] => Fichier de rapport

O87 - FAEL: "TCP Query User{EA674953-A67E-4DFD-83C9-117FC4B7ABAA}D:\ebp_2008_compta_gestion_etc_+cerises\ebp_2008_compta_gestion_etc_+cerises\ebp batiment pro 2008\crack ebpbatiment pro 2008\batimentpro.exe" | In - Public - P6 - TRUE | .(.EBP-Informatiqu => Crack, KeyGen, Keymaker - Possible Malware

O87 - FAEL: "UDP Query User{44A79343-98BD-4FA2-8B4D-B3485F9D8A2F}D:\ebp_2008_compta_gestion_etc_+cerises\ebp_2008_compta_gestion_etc_+cerises\ebp batiment pro 2008\crack ebpbatiment pro 2008\batimentpro.exe" | In - Public - P17 - TRUE | .(.EBP-Informatiq => Crack, KeyGen, Keymaker - Possible Malware

SR - | Auto 20/05/2012 2152152 | (Lavasoft Ad-Aware Service) . (.Lavasoft Limited.) - C:\Program Files (x86)\Lavasoft\Ad-Aware\AAWService.exe => Lavasoft%Ad-Aware Service

 

 

SysRestore

EmptyFlash

EmptyTemp

FirewallRaz

Proxyfix

Hostfix

 

 

Cliquer sur "OK", ce qui fait apparaître un carré à gauche de chaque ligne.

Cliquer sur "Tous" puis sur "Nettoyer" .

Redémarrer pour achever le nettoyage.

Un rapport apparait:

Si le rapport n'apparait pas,cliquer sur

Copier-coller le rapport de suppression dans la prochaine réponse.

[Armel]

Re,

 

Je ne sais pas si j'ai tout compris, mais voici 2 rapports obtenus, l'un suite avec ZHPFix et l'autre d'un nouveau scan avec ZHPDiag,

 

En fait, je ne savais pas s'il fallait rajouter les lignes ci-dessous que vous aviez indiquées en bas de votre message dans ZHPFix...!!

 

Qu'est-ce qu'il fallait faire avec ces 6 mots ??

 

SysRestore

EmptyFlash

EmptyTemp

FirewallRaz

Proxyfix

Hostfix

 

Sinon, est-ce que toutes les lignes collées et nettoyées avec ZHPFix correspondent à des clés obsolètes??

 

Y a-t-il la trâce d'infections ou de programmes malveillants dans mon 1er rapport ??

 

pjjoint.malekal.com - Submit a file

 

pjjoint.malekal.com - Submit a file

 

Merci encore à vous

 

Bonne soirée

Modifié le 21 juillet 2012 par Armel

[pear]

Y a-t-il la trâce d'infections dans mon 1er rapport ??

 

Non, c'est propre.

[Armel]

Merci encore pour tout Pear,

 

Bon dimanche

 

Cordialement

[Dylav]

Bonjour Armel,

 

Si tu considères que la question est réglée, n'oublie pas de le signaler en taguant du mot [Résolu] le titre de ton sujet…

 

[1] En bas du premier message de ton sujet, clique sur [Modifier]

[2] En bas de l'éditeur qui s'ouvre, clique sur [Utiliser l'éditeur complet]

[3] En haut de l'éditeur complet, ajoute [Résolu] au titre de ton sujet.