Live Security Platinum

[MalwareBot]

Live Security Platinium est un rogue (faux anti-spyware) qui s'installe sans permission, le malware affiche de fausses alertes vous indiquant que vous êtes infecté par un spyware et vous recommande d'acheter ce faux anti-spyware pour soit disant désinfecter votre ordinateur.

Pour supprimer le rogue suivre les indications de la page suivante : http://forum.malekal.com/supprimer-les- ... t5472.html

[Malekal_morte]

Dropper : http://www3.malekal.com/malwares/index. ... b643176285

SHA256: 5639d01e990588e113c159832ab7f1c67d2867c545a21eeb6ec71f139c6f5eef
File name: 8b49185f4d60c66af619fbb643176285
Detection ratio: 1 / 42
Analysis date: 2012-06-04 21:15:14 UTC ( 10 minutes ago )

Fortinet W32/Kryptik.EA!tr 20120603

On retrouve les composants habituels de la famille Security Tool/Security* : http://forum.malekal.com/est-que-les-ro ... ml#p127033

Un bonne vieille popup "Warning : Your Computer is infected!"

Une clef RunOnce :

O4 - HKCU\..\RunOnce: [529C50B40000265B000069152830AC72] C:\Documents and Settings\All Users\Application Data\529C50B40000265B000069152830AC72\529C50B40000265B000069152830AC72.exe

RogueKiller lui fait la peau sans soucis.
A renomer en winlogon.exe pour ne pas être bloqué par le rogue.

RogueKiller V7.5.2 [30/05/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion- ... ntees.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur: Mak [Droits d'admin]
Mode: Recherche -- Date: 04/06/2012 23:23:00

¤¤¤ Processus malicieux: 1 ¤¤¤
[HJ NAME] winlogon.exe -- C:\Documents and Settings\Mak\Bureau\winlogon.exe -> KILLED [TermProc]

¤¤¤ Entrees de registre: 4 ¤¤¤
[SUSP PATH] HKCU\[...]\RunOnce : 529C50B40000265B000069152830AC72 (C:\Documents and Settings\All Users\Application Data\529C50B40000265B000069152830AC72\529C50B40000265B000069152830AC72.exe) -> FOUND
[SUSP PATH] HKUS\S-1-5-21-823518204-725345543-786100373-1003[...]\RunOnce : 529C50B40000265B000069152830AC72 (C:\Documents and Settings\All Users\Application Data\529C50B40000265B000069152830AC72\529C50B40000265B000069152830AC72.exe) -> FOUND
[IFEO] HKLM\[...]\Image File Execution Options : taskmgr.exe ("C:\DOCUMENTS AND SETTINGS\MAK\BUREAU\PROCEXP.EXE") -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [CHARGE] ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
127.0.0.1 localhost


¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: VMware Virtual IDE Hard Drive +++++
--- User ---
[MBR] 0b3f2c19a288a19aca69e293c07efb06
[BSP] 63c9c941ff43fd9a1d68d3be0623ce40 : Windows XP MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 8181 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[1].txt >>
RKreport[1].txt

[Malekal_morte]

Le scareware est distribué via le hack du site dû à des vols de compte FTP par le malware PSW.Win32.Tepfer - lire : https://www.malekal.com/2012/07/18/psw- ... -de-sites/

[Malekal_morte]

System Progressive Protection remplace cette variante : http://forum.malekal.com/system-progres ... 40431.html