Rogue security shield [Réglé]

[fiona33240]

Bonjour,

Security shield vient de s'installer sur mon ordinateur. Impossible de le supprimer.
J'ai installé ad aware, mais il est bloqué par security shield ainsi que mon antivirus avira.

Si vous pouviez m'aider à supprimer cette menace.
Je précise que je suis d'un niveau moyen en terme d'ordinateur.

Cordialement.

[danakil]

Salut & bienvenue!

Applique cette procédure en images eb cliquant sur le lien ci-dessous :
tutoriel-malwarebytes-anti-malware-vt-46564.html

/!\Important/!\
N'oublie pas de mettre à jour le logiciel (expliqué dans le tutoriel) avant de lancer un scan complet.
Poste moi le Rapport de suppression en réponse ici en l'encadrant avec la balise Quote (bouton disponible au dessus de la fenêtre de réponse).
quote]Ton rapport[/quote

[fiona33240]

security shield me bloque l'accès pour éxecuter l'installation de malwarebytes'.
en me disant qu'il est infecté.

[fiona33240]

La menace me bloque petit à petit toute fonctionnabilitée.

Je ne peut plus me servir de mozilla, ni de mon gestionnaire de tâche.
Je ne peut installer aucun autre logiciel, ni utiliser.

[fiona33240]

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 5710

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

08/02/2011 15:22:11
mbam-log-2011-02-08 (15-22-11).txt

Type d'examen: Examen complet (C:\|D:\|E:\|F:\|)
Elément(s) analysé(s): 343196
Temps écoulé: 57 minute(s), 34 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Users\Fio\AppData\Roaming\microsoft\Windows\start menu\Programs\security shield.lnk (Rogue.SecurityShield) -> Quarantined and deleted successfully.

[danakil]

Re,

Comment as-tu fait pour réussir à faire fonctionner MalWareBytes?

[fiona33240]

Pour le faire fonctionner,
j'ai éteint mon ordinateur.

En le rallumant, j'ai direct insisté pour faire fonctionner mon ad-aware.
En même temps, j'ai re essayer d'installer malware, vu que le ad-aware fonctionné.

Ad aware a identifié un problème mais security shield à bloqué son fonctionnement.
malware à fonctionner de A à Z.

J'espère que le logiciel a été neutralisé entièrement
Je te remercie beaucoup !!! Parce que là, je voyais mon ordinateur ne plus fonctionner du tout.

[danakil]

OK!

Je comprends maintenant.

Voila ce que tu vas faire car dans ton rapport je ne vois que le raccourcis du Rogue ( faux anti-virus) supprimé et non le dossier (donc on peut supposer qu'il est en attente de se regéné).

Redémarre ton PC en mode sans échec comme ceci :
http://www.vista-xp.fr/forum/topic93.html
Lorsque tu auras obtenu le Bureau, relance MalWareBytes et effectue un Examen rapide de ton PC.
(Si suppression demandée > Accepte).
A l'issue, redémarre le PC en mode normal.
Ouvre Mbam > Ouvre l'onglet Rapports/Logs > Ouvre le dernier rapport (regarde la date et heure)
Copie et colle ici son contenu.

[fiona33240]

alors après avoir éteint mon ordinateur, puis rallumer en mode sans échec
. l'analyse du malwarebyte m'a dis qu'il n'y avais rien d'infecté.

voici le contenu du rapport/logs

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 5710

Windows 6.1.7600 (Safe Mode)
Internet Explorer 8.0.7600.16385

09/02/2011 14:09:50
mbam-log-2011-02-09 (14-09-50).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 159963
Temps écoulé: 2 minute(s), 39 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

[fiona33240]

J'ai oublié.
J'ai toujours le "rogue.security shield" en quarantaine.
Je ne sais pas ce qu'il faut que j'en fasse. Je le laisse là, ou je fais supprimer?

[danakil]

Salut!

Tu peux vider la quarantaine de Mbam.

On va faire un petit contrôle de ton PC maintenant afin d'être sûr que plus rien n'y traine et ne puisse réactiver l'infection.

Applique cette procédure :
Télécharge OTL sur ton Bureau.
• Fait un double-clic sur l'icône d'OTL pour le lancer. (Sous Vista & Seven> Clic droit > Exécuter en tant qu'Administrateur).
• Assure toi d'avoir fermé toutes les applications en court de fonctionnement.
• Quand la fenêtre d'OTL apparaît, assure toi que dans la section "Rapport" (en haut à droite) la case "Rapport Minimal" soit cochée.
• Copie et colle le contenu de cette citation dans la partie inférieure d'OTL "Personalisation" :

Code: Tout sélectionner

NetSvcs
%systemroot%\system32\drivers\*.sys /lockedfiles
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
sptd.sys
ahcix86s.sys
ahcix86.sys
AGP440.sys
atapi.sys
Changer.sys
cdrom.sys
cngaudit.dll
disk.sys
explorer.exe
eventlog.dll
eNetHook.dll
iastorv.sys
KR10N.sys
IdeChnDr.sys
logevent.dll
userinit.exe
winlogon.exe
wininit.exe
tcpip.sys
Sfloppy.sys
netlogon.dll
nvstor.sys
nvstor32.sys
nvrd32.sys
nvata.sys
nvgts.sys
ndis.sys
nvatabus.sys
usbscan.sys
usbprint.sys
tdtcp.sys
tdpipe.sys
swmidi.sys
splitter.sys
rdpwd.sys
RASACD.SYS
scecli.dll
viasraid.sys
vaxscsi.sys
viamraid.sys
ViPrt.sys
/md5stop
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles


• Clique sur l'icône "Analyse" (en haut à gauche) .
• Laisse le scan aller à son terme sans te servir du PC.
• A la fin du scan un ou deux rapports vont s'ouvrir "OTL.Txt" et ( ou ) "Extras.Txt"( dans certains cas).

...

Rend toi sur 1Ficher.com puis:

1/ Clique sur "Parcourir" afin de sélectionner le rapport "OTL.txt"
2/ Clique sur "Envoyer"


3/ Patiente quelques seconde, et copie le lien de partage qui apparait sous "Lien de téléchargement" afin de le coller dans ta réponse.


4/ Fait la même chose avec le rapport "Extrat.txt"

[fiona33240]

pour le otl.txt le lien de téléchargement: http://3le8mx.cjoint.net/

pour le extra.txt: http://9dp7a5.megadl.fr/

[danakil]

Ferme toutes les fenêtres actives sur ton PC.
Relance OTL > Clic droit dessus > "Exécuter en tant qu'Administrateur".
Dans l'interface d'OTL, vérifie que la case "Rapport minimal" soit bien cochée.
Copie (TOUT SELECTIONNER) et colle le contenue de cette citation dans la fenêtre "Personnalisation"

Code: Tout sélectionner

:files
c:\install.exe
C:\Program Files (x86)\ConduitEngine
C:\Users\Fio\AppData\Local\Conduit
C:\Program Files (x86)\SweetIM

:OTL
PRC - C:\Program Files (x86)\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe (Google Inc.)
PRC - C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe (SweetIM Technologies Ltd.)
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://home.sweetim.com
IE - HKCU\..\URLSearchHook: {EEE6C35D-6118-11DC-9C72-001320C79847} - C:\Program Files (x86)\SweetIM\Toolbars\Internet Explorer\mgHelper.dll (SweetIM Technologies Ltd.)
IE - HKCU\..\URLSearchHook: {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files (x86)\Yahoo!\Companion\Installs\cpn\yt.dll (Yahoo! Inc.)
O2 - BHO: (Conduit Engine) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files (x86)\ConduitEngine\prxConduitEngine.dll (Conduit Ltd.)     
O2 - BHO: (&Yahoo! Toolbar Helper) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program Files (x86)\Yahoo!\Companion\Installs\cpn\yt.dll (Yahoo! Inc.)
O2 - BHO: (SweetIM Toolbar Helper) - {EEE6C35C-6118-11DC-9C72-001320C79847} - C:\Program Files (x86)\SweetIM\Toolbars\Internet Explorer\mgToolbarIE.dll (SweetIM Technologies Ltd.)
O3 - HKLM\..\Toolbar: (SweetIM Toolbar for Internet Explorer) - {EEE6C35B-6118-11DC-9C72-001320C79847} - C:\Program Files (x86)\SweetIM\Toolbars\Internet Explorer\mgToolbarIE.dll (SweetIM Technologies Ltd.)
O3 - HKLM\..\Toolbar: (Yahoo! Toolbar) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files (x86)\Yahoo!\Companion\Installs\cpn\yt.dll (Yahoo! Inc.)
O3 - HKCU\..\Toolbar\WebBrowser: (SweetIM Toolbar for Internet Explorer) - {EEE6C35B-6118-11DC-9C72-001320C79847} - C:\Program Files (x86)\SweetIM\Toolbars\Internet Explorer\mgToolbarIE.dll (SweetIM Technologies Ltd.)
O4 - HKLM..\Run: [SweetIM] C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe (SweetIM Technologies Ltd.)
O4 - HKCU..\Run: [swg] C:\Program Files (x86)\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe (Google Inc.)
[2010/10/02 13:03:38 | 000,294,912 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\browserchoice.exe
[2010/10/26 13:20:59 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Conduit
[2010/10/01 17:01:16 | 000,000,000 | ---D | C] -- C:\ProgramData\SweetIM
[2010/10/01 17:01:16 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\SweetIM
[2010/10/24 17:48:27 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Ask.com

:Commands
[emptytemp]
[emptyflash]
[resethosts]
[reboot]


Clique sur le bouton Correction.
Ne touche plus au PC avant son redémarrage.
A l'ouverture du PC un rapport va s'ouvrir --> OTL.txt ... Si ce n'est le cas tu le retrouveras sous le même nom sur le Bureau ou alors dans son dossier --> C:\OTL
Copie et colle ici en réponse le contenu de ce rapport.

[fiona33240]

voici le contenu du rapport.

Code: Tout sélectionner

All processes killed
========== FILES ==========
c:\install.exe moved successfully.
C:\Program Files (x86)\ConduitEngine folder moved successfully.
C:\Users\Fio\AppData\Local\Conduit\CT2504091 folder moved successfully.
C:\Users\Fio\AppData\Local\Conduit folder moved successfully.
File\Folder C:\Program Files (x86)\SweetIM not found.
File\Folder :OTL not found.
File\Folder PRC - C:\Program Files (x86)\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe (Google Inc.) not found.
File\Folder PRC - C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe (SweetIM Technologies Ltd.) not found.
Invalid Switch: home.sweetim.com
File\Folder IE - HKCU\..\URLSearchHook: {EEE6C35D-6118-11DC-9C72-001320C79847} - C:\Program Files (x86)\SweetIM\Toolbars\Internet Explorer\mgHelper.dll (SweetIM Technologies Ltd.) not found.
File\Folder IE - HKCU\..\URLSearchHook: {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files (x86)\Yahoo!\Companion\Installs\cpn\yt.dll (Yahoo! Inc.) not found.
File\Folder O2 - BHO: (Conduit Engine) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files (x86)\ConduitEngine\prxConduitEngine.dll (Conduit Ltd.) not found.
File\Folder O2 - BHO: (&Yahoo! Toolbar Helper) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program Files (x86)\Yahoo!\Companion\Installs\cpn\yt.dll (Yahoo! Inc.) not found.
File\Folder O2 - BHO: (SweetIM Toolbar Helper) - {EEE6C35C-6118-11DC-9C72-001320C79847} - C:\Program Files (x86)\SweetIM\Toolbars\Internet Explorer\mgToolbarIE.dll (SweetIM Technologies Ltd.) not found.
File\Folder O3 - HKLM\..\Toolbar: (SweetIM Toolbar for Internet Explorer) - {EEE6C35B-6118-11DC-9C72-001320C79847} - C:\Program Files (x86)\SweetIM\Toolbars\Internet Explorer\mgToolbarIE.dll (SweetIM Technologies Ltd.) not found.
File\Folder O3 - HKLM\..\Toolbar: (Yahoo! Toolbar) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files (x86)\Yahoo!\Companion\Installs\cpn\yt.dll (Yahoo! Inc.) not found.
File\Folder O3 - HKCU\..\Toolbar\WebBrowser: (SweetIM Toolbar for Internet Explorer) - {EEE6C35B-6118-11DC-9C72-001320C79847} - C:\Program Files (x86)\SweetIM\Toolbars\Internet Explorer\mgToolbarIE.dll (SweetIM Technologies Ltd.) not found.
File\Folder O4 - HKLM..\Run: [SweetIM] C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe (SweetIM Technologies Ltd.) not found.
File\Folder O4 - HKCU..\Run: [swg] C:\Program Files (x86)\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe (Google Inc.) not found.
Invalid Switch: 02 13:03:38 | 000,294,912 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\browserchoice.exe
Invalid Switch: 26 13:20:59 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Conduit
Invalid Switch: 01 17:01:16 | 000,000,000 | ---D | C] -- C:\ProgramData\SweetIM
Invalid Switch: 01 17:01:16 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\SweetIM
Invalid Switch: 24 17:48:27 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Ask.com
File\Folder :Commands not found.
File\Folder [emptytemp] not found.
File\Folder [emptyflash] not found.
File\Folder [resethosts] not found.
File\Folder [reboot] not found.
 
OTL by OldTimer - Version 3.2.20.6 log created on 02112011_070427

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...


[danakil]

Salut!
Encore un petit passage de OTL.

Relance OTL, copie et colle cette citation dans la fenêtre "Personnalisation" :

:OTL
FF - prefs.js..browser.search.defaulturl: "http://search.conduit.com/ResultsExt.aspx?ctid=CT2504091&SearchSource=3&q={searchTerms}"
FF - prefs.js..keyword.URL: "http://search.conduit.com/ResultsExt.aspx?ctid=CT2504091&q="
[2010/04/15 16:18:24 | 000,000,903 | ---- | M] () -- C:\Users\Fio\AppData\Roaming\Mozilla\Firefox\Profiles\d336n8qn.default\searchplugins\conduit.xml
[2011/01/18 12:53:16 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\ConduitEngine
IE - HKLM\..\URLSearchHook: {ba14329e-9550-4989-b3f2-9732e92d17cc} - C:\Program Files (x86)\Vuze_Remote\prxtbVuze.dll (Conduit Ltd.)
IE - HKCU\..\URLSearchHook: {ba14329e-9550-4989-b3f2-9732e92d17cc} - C:\Program Files (x86)\Vuze_Remote\prxtbVuze.dll (Conduit Ltd.)
FF - prefs.js..extensions.enabledItems: {ba14329e-9550-4989-b3f2-9732e92d17cc}:2.7.2.0
[2010/08/22 20:58:55 | 000,000,000 | ---D | M] (Vuze Remote Toolbar) -- C:\Users\Fio\AppData\Roaming\mozilla\Firefox\Profiles\d336n8qn.default\extensions\{ba14329e-9550-4989-b3f2-9732e92d17cc}
O2 - BHO: (Conduit Engine) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files (x86)\ConduitEngine\prxConduitEngine.dll (Conduit Ltd.)
O2 - BHO: (Vuze Remote Toolbar) - {ba14329e-9550-4989-b3f2-9732e92d17cc} - C:\Program Files (x86)\Vuze_Remote\prxtbVuze.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (Conduit Engine) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files (x86)\ConduitEngine\prxConduitEngine.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (Vuze Remote Toolbar) - {ba14329e-9550-4989-b3f2-9732e92d17cc} - C:\Program Files (x86)\Vuze_Remote\prxtbVuze.dll (Conduit Ltd.)
[2011/01/18 12:53:14 | 000,000,000 | ---D | C] -- C:\Users\Fio\AppData\Local\Conduit


:Commands
[emptytemp]
[emptyflash]
[resethosts]
[reboot]

> Clique sur "Correction" > Poste moi le rapport de suppression!