Virus gendarmerie DLCC

[sureptil]

viruspart1.JPG

viruspart2.JPG

Bonjour à tous.

J'ai attrapé le virus gendarmerie. Ca m'était déjà arriver il y a quelques années de ça et j'avais réglé mon problème grâce aux indications sur le site. Mais là je ne trouve pas la version qui s'est affiché dans les différents cas présentés içi. Pourrait-on m'indiquer quels moyen de désinfection appliquer svp. J'avoue qu' après avoir lu plusieurs solutions de désinfection je ne sais laquelle retenir...

Merci

[Malekal_morte]

Salut,

Vu l'URL, j'ai l'impression que c'est seulement au niveau du navigateur WEB.

Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt
Fournir les deux rapports :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/2010/11/12/tutorial-otl/

* Télécharge http://oldtimer.geekstogo.com/OTL.exe sur ton bureau.
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)

Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

* Lance OTL
* En haut à droite de Analyse rapide, coche "tous les utilisateurs"
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :



netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%temp%\*.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
services.exe
wininit.exe
/md5stop
HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor /s
HKEY_CURRENT_USER\Software\Microsoft\Command Processor /s
CREATERESTOREPOINT
nslookup http://www.google.fr /c
SAVEMBR:0
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs



* Clique sur le bouton Analyse.

* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent).
Donne le ou les liens pjjoint qui pointent vers ces rapports ici dans un nouveau message.
Je répète : donne le lien du rapport pjjoint ici dans un nouveau message.

<gras>NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT DANS UN NOUVEAU MESSAGE</gras>

[sureptil]

Effectivement c'est un peu différent. Quand j'ai rallumé mon ordi la fenêtre avait disparu. Je doute que le virus se soit envolé.

otl.txt
http://pjjoint.malekal.com/files.php?id ... 47h1415r12
extras.txt
http://pjjoint.malekal.com/files.php?id ... 12o6y13t14

[Malekal_morte]

Donne la liste des extensions sur Firefox : Menu Outils / Modules Complémentaires et Extensions.
C'est bien avec Firefox que le problème se présente ?

[sureptil]

C'est arrivé avec google chrome (que j'utilise rarement en fait).

Sinon pour firefox ca donne ça:
adblock plus
All-in-one-sidebar
Avast! online security
OneClickDownloader (ce truc là ca me dit rien)
Personas Expression
Personas Plus

[Malekal_morte]

OneClickDownloader c'est une merde que tu installes quand tu télécharges un torrent, c'est pas le fautif, mais c'est de la merde.

Les Trois là je connais pas :
All-in-one-sidebar
Personas Expression
Personas Plus

Donc tu les désactives et tu vois si ça continue.
Essaye de déterminer le fautif.

[sureptil]

ok. merci
Je les ai désactive.

Comme je disais depuis que j'ai rallumé mon PC la fenêtre virus n'est plus là. Je vais analyser avec malwarebytes (+cccleaner) voir si il restes des trucs louches.

Merci

[Malekal_morte]

Tu peux déterminer quelle extension est la fautive : All-in-one-sidebar ?
Tu as moyen de retrouver le site porno qui distribue ça ?

[Malekal_morte]

Il semblerait que des redirections opérées par des publicités ont tendance aussi à ouvrir la page : https://www.malekal.com/2013/07/21/viru ... alicieuse/

Mais je n'ai pas trouvés d'infections qui installent une extension qui conduit de manière systématique et qui bloquerait Firefox avec cette page.

[sureptil]

Pour le site à l'origine du virus je ne sais malheureusement pas. Je n'ai pas de "favoris" et plus d'historique.

Par contre je ré-précise que la page virus est apparu sur google chrome et pas Firefox. Je ne pouvais pas fermer la page mais je pouvais utiliser normalement mon ordi ou ouvrir d'autres onglets sur google chrome. Et après le redémarrage le matin , plus rien...

Donc je ne sais pas si les extensions sont réellement fautives (et comme j'ai plus la "page virus" difficile de vérifier).

Après analyse rapide malware j'ai supprimé deux trojans (je sais pas si ça a un rapport).
C:\ProgramData\coidot.dat (Trojan.FakeMS)
C:\ProgramData\qejmazd.dat (Trojan.FakeMS)

Voilà je vois pas d'autres précisions pour ce nouveau (?) virus.

[Malekal_morte]

Les détections c'est du Reveton.
Je pense que sur Google Chrome, tu as l'ouverture sur la dernière page qui devait être le malware.
Du coup il s'ouvrait à chaque fois.
Y a pas d'extension malicieuse pour cette page virus gendarmerie DLCC.

[Ced33]

Bonjour

Suite à problème avec nouvelle page virus gendarmerie voici le lien otl généré

otl : http://pjjoint.malekal.com/files.php?id ... 13l13z15h6

[Malekal_morte]

Tu peux faire ça pour voir :


Passe un coup de TDSSKiller : http://forum.malekal.com/tdsskiller-kas ... 28637.html
Fais skip sur les détections.
Clic en haut à droite sur reports.
Vas sur http://pjjoint.malekal.com et copie/colle le contenu du rapport TDSSKiller en bas, fais envoyer.
Donne le lien du rapport pjjoint ici dans un nouveau message.

[ld02350]

http://pjjoint.malekal.com/files.php?re ... w10o6y13o8

[ld02350]

que dois je faire maintenant?