[Rogue] Security Sphere 2012

Comment supprimer Security Sphere 2012

How to get rid of Security Sphere 2012

• Télécharger et lancer RogueKiller en mode 2 (Suppression) -- Download and start RogueKiller with mode 2 (Delete)
• S'il ne peut pas se lancer, renommez le en "winlogon.exe" -- Il you are unable to lauch it, rename it as "winlogon.exe"

• Vous devriez avoir le rapport suivant -- You should obtain the following report

RogueKiller V6.1.3 [14/10/2011] par Tigzy
contact sur http://www.sur-la-toile.com

mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur: tigzy [Droits d'admin]
Mode: Suppression -- Date : 21/10/2011 07:43:03

Processus malicieux: 1
[SUSP PATH] eP02401NmFnE02401.exe -- c:\documents and settings\all users\application data\ep02401nmfne02401\

ep02401nmfne02401.exe -> KILLED [TermProc]

Entrees de registre: 2
[SUSP PATH] HKCU\[...]\RunOnce : eP02401NmFnE02401 (C:\Documents and Settings\All Users\Application Data\eP02401NmFnE02401\eP02401NmFnE02401.exe) -> DELETED
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED ()

Fichiers / Dossiers particuliers:

Driver: [LOADED]

Fichier HOSTS:
127.0.0.1       localhost
::1             localhost


Termine : << RKreport[1].txt >>
RKreport[1].txt

• Ensuite passer un scan avec Malwarebytes -- Then do a scan with Malwarebytes 

 Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org
Version de la base de données: 7991

Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

21/10/2011 07:57:05
mbam-log-2011-10-21 (07-57-05).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 156378
Temps écoulé: 3 minute(s), 37 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 4

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\documents and settings\all users\application data\ep02401nmfne02401\

ep02401nmfne02401.exe (Rogue.SecuritySphere) -> Quarantined and deleted successfully.
c:\documents and settings\tigzy\Bureau\securitysphere.exe (Rogue.SecuritySphere) -> Quarantined and deleted successfully.
c:\documents and settings\tigzy\Bureau\rk_quarantine\ep02401nmfne02401.exe.vir (Rogue.SecuritySphere) -> Quarantined and deleted successfully.
c:\documents and settings\tigzy\local settings\temporary internet files\Content.IE5\ZXYKNMW2\securitysphere[1].vir (Rogue.SecuritySphere) -> Quarantined and deleted successfully.

• Le rogue devrait être supprimé -- The rogue must have been deleted

[Rogue] Cloud Protection

Comment supprimer Cloud Protection

How to get rid of Cloud Protection

• Ce rogue inove un peu en copiant ses fichiers dans le repertoire %system32%. Il intègre aussi souvent un rootkit TDSS -- This rogue uses quite new behaviour, by dropping its files in %sys32%. It often comes with rootkit TDSS.

• Télécharger et lancer RogueKiller en mode 2 (Suppression) -- Download and start RogueKiller with mode 2 (Delete)
• S'il ne peut pas se lancer, renommez le en "winlogon.exe" -- Il you are unable to lauch it, rename it as "winlogon.exe"

• Vous devriez avoir le rapport suivant -- You should obtain the following report

RogueKiller V6.1.3 [14/10/2011] par Tigzy
contact sur http://www.sur-la-toile.com
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur: tigzy [Droits d'admin]
Mode: Suppression -- Date : 15/10/2011 08:50:02

Processus malicieux: 2
[RANDOMNAME] UQAX6jQXymZtOrI.exe -- c:\windows\system32\uqax6jqxymztori.exe -> KILLED [TermProc]
[SUSP PATH] svhostu.exe -- c:\documents and settings\tigzy\application data\svhostu.exe -> KILLED [TermProc]

Entrees de registre: 3
[RANDOMNAME] HKLM\[...]\Run : kdvUJwsY0aTNzB8234A (C:\WINDOWS\system32\UQAX6jQXymZtOrI.exe) -> DELETED
[SUSP PATH] HKLM\[...]\Run : oZ4tgOLrbKev1c0 (C:\Documents and Settings\tigzy\Application Data\svhostu.exe) -> DELETED
[BLACKLIST] crss.exe : C:\Documents and Settings\tigzy\Menu Démarrer\Programmes\Démarrage\crss.exe -> DELETED

Fichiers / Dossiers particuliers:

Driver: [LOADED]

Fichier HOSTS:
127.0.0.1       localhost
::1             localhost


Termine : << RKreport[1].txt >>

• Faire un scan avec TDSSKiller et supprimer tous les éléments trouvés -- Do a scan with TDSSKiller and delete all found elements

• Ensuite passer un scan avec Malwarebytes -- Then do a scan with Malwarebytes 

 Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 7950

Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

15/10/2011 08:59:32
mbam-log-2011-10-15 (08-59-32).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 158867
Temps écoulé: 3 minute(s), 50 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 1
Fichier(s) infecté(s): 12

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
c:\documents and settings\tigzy\menu démarrer\programmes\cloud protection (Rogue.CloudProtection) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):
c:\documents and settings\tigzy\application data\svhostu.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
c:\documents and settings\tigzy\Bureau\rk_quarantine\iaxtg9prboiw6q6.exe.vir (Backdoor.Bot) -> Quarantined and deleted successfully.
c:\documents and settings\tigzy\Bureau\rk_quarantine\pledviks6ja5m4n.exe.vir (Backdoor.Bot) -> Quarantined and deleted successfully.
c:\documents and settings\tigzy\Bureau\rk_quarantine\svhostu.exe.vir (Backdoor.Bot) -> Quarantined and deleted successfully.
c:\documents and settings\tigzy\Bureau\rk_quarantine\uqax6jqxymztori.exe.vir (Backdoor.Bot) -> Quarantined and deleted successfully.
c:\documents and settings\tigzy\local settings\Temp\svhostu.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
c:\WINDOWS\system32\iaxtg9prboiw6q6.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
c:\WINDOWS\system32\pledviks6ja5m4n.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
c:\WINDOWS\system32\uqax6jqxymztori.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
c:\documents and settings\tigzy\menu démarrer\programmes\cloud protection\cloud protection.lnk (Rogue.CloudProtection) -> Quarantined and deleted successfully.
c:\documents and settings\tigzy\Bureau\cloud protection.lnk (Rogue.CloudProtection) -> Quarantined and deleted successfully.
c:\documents and settings\tigzy\application data\ldr.ini (Malware.Trace) -> Quarantined and deleted successfully.

• Le rogue devrait être supprimé -- The rogue must have been deleted