FORUM D’ENTRAIDE INFORMATIQUE (FEI)Site d’assistance et de sécurité informatique

[guitar.bruno]

Hello,

Oops, j'ai accepté de passer un coup de Delfix avec l'ami Satchfan et Quickdiag est parti à la benne!

Je m'en remets donc à toi pour me le procurer à nouveau!

Seaf aussi parti....

Que penses-tu de 9-lab? Quelqu'un d'autre sur Bleepingcomputer me le conseille?

http://9-lab.com/

[g3n-h@ckm@n]

salut

je connais pas mais à mon avis il va pas trouver grand chose

regarde si tu as cette clé

[HKU\S-1-5-21-1413675022-3679237491-1003182551-1000\Software\{F51B5B89-A3AC-4BD6-b917-556C2DF511BC}]

http://gen-hackman.ddns.net:8123/QuickDiag.exe

[guitar.bruno]

et si tu fais un script avec quickdiag ?

Code : Tout sélectionner
Key::
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\AVAST Software\Avast\PUB-Removed]|"1d26db3bdd8d6a9"

http://www.cjoint.com/c/GABo0mu7riP

[guitar.bruno]

regarde si tu as cette clé

[HKU\S-1-5-21-1413675022-3679237491-1003182551-1000\Software\{F51B5B89-A3AC-4BD6-b917-556C2DF511BC}]

Non

[g3n-h@ckm@n]

Salut

ben ca alors !

[guitar.bruno]

Salut

ben ca alors !

Hello,

Possible que j'aie besoin de tes lumières pour chercher efficacement un élément de base de registre, parce qu'en fait je copie-colle ce que tu me demandes dans le moteur de recherche de "regedit" (édition > rechercher ou ctrl + F ) mais ça ne marche pas toujours! Si je me dirige manuellement en suivant pas à pas le chemin, je peux trouver ce que le moteur de recherche ne trouve pas, c'est très con !

[guitar.bruno]

Hello,

Je t'informe qu' en outre, il y a un gars qui m'a proposé divers outils comme celui que je t'avais cité , et d'autre comme Zoek (qui semble de la famille de Hijackthis qui n' existe plus je crois) , AVZ4 etc, eh bien je vais t'étonner: même chose, AdAnti revient encore et toujours! Je viens de lui dire "Stop!"

Même l' ami Satchfan commence à sécher...

En dernière date, créer un nouveau compte d'utilisateur semblait une bonne idée mais AdAnti se place aussi dans son Roaming.

Bref ils ont bien vu comme toi que Rundll32 replace systématiquement AdAnti dans le Roaming.

Qu'en dit ton copain que tu devais contacter?

[g3n-h@ckm@n]

coucou je te rapelle que tu as seaf pour chercher dans le registre

[Invité]

Hello,

Oui en effet pour Seaf!

[g3n-h@ckm@n]

apparemment il trouve pas non plus vu qu'il ne m'en a pas reparlé.....

[guitar.bruno]

Hello,

Oui , même scénario, il semblait que Satchfan ait été plus en profondeur avec qrlygr.sys (dans C:/Win/Sys32/drivers) que tu avait cerné je crois me souvenir, je te disais qu' il était invisible mais on le fait apparaitre grâce au fait de décocher "cacher les fichiers protégés par Windows" dans les options d'affichage. Mais AdAnti revient, bien-sûr , et qrlygr.sys aussi malgré son effacement forcé par FRST...

[g3n-h@ckm@n]

ah ben je te l'avais dit de la décocher cette case ^^

[guitar.bruno]

Oui tu vois, je t'avais fait cette "vacherie" de ne pas le faire! ^^

Mais si tu as suivi sur bleeping:

https://www.bleepingcomputer.com/forums ... try4171230

C 'est vrai que l'étau se resserre mais cet enfoiré d'Adanti trouve une échappatoire ....

[g3n-h@ckm@n]

rhââââa j'étais pas loin hein !!!! :/

[guitar.bruno]

Oui mais alors comme tu as vu, ces .sys qui reviennent (dans Sys32/drivers), nommés aléatoirement et différemment à chaque fois qu' on redémarre après les avoir effacés, comment empêcher ça?

Surtout que VirusTotal les considère comme qrlygr.sys, quelque soit leur nom qui change...

[g3n-h@ckm@n]

faudrait voir si drWeb les redétecte ou pas je me dis...

[guitar.bruno]

Hello,

Satchfan a jeté l'éponge, tu as peut-être vu, j'ai suivi son conseil de demander aide au forum Win 7, puisque qu'aucun soft n'aura marché:

https://www.bleepingcomputer.com/forums ... never-end/

[guitar.bruno]

Hello,

On me parle de reconfigurer le Roaming (mais pas sûr que ça marche bien sûr!) ici :

http://everyday-tech.com/re-build-a-win ... g-profile/

Par contre je sèche à l'étape 1 !!! "Reboot the Users PC and Log in under a Local Admin account"


C'est peut-être tout bête mais pourrais-tu m'éclairer, stp?

[g3n-h@ckm@n]

hello ca veut dire qu il faut que tu crées un compte admin local , donc avec un pseudo , pas avec une adresse mail microsoft tel que demandé à l ouverture de session mais je sais pas si ca va changer grand chose.

[guitar.bruno]

Salut et merci,

C'est un peu la même chose que quand j'ai créé un 2eme compte il y a peu, à la demande de notre amie?

AdAnti revenait bel et bien!....

[g3n-h@ckm@n]

c'est bien ce que je pensais.......

t'as retenté un scan avec drweb à jour ?

[guitar.bruno]

t'as retenté un scan avec drweb à jour ?

Oops! Parti avec Delfix...

[g3n-h@ckm@n]

tu parles de l outil ou d'un rapport de nouvelle tentative qui est parti avec delfix ? ^^

regarde si tu fais une recherche de ceci dans le registre ce que ca donne

净广大师

[guitar.bruno]

tu parles de l outil ou d'un rapport de nouvelle tentative qui est parti avec delfix ? ^^

De l'outil

regarde si tu fais une recherche de ceci dans le registre ce que ca donne

净广大师

Rien trouvé.

[g3n-h@ckm@n]

https://www.freedrweb.com/download+cureit+free/?lng=fr

[guitar.bruno]

Merci!

Dr Web n'a détecté que ton Search_AdAnti ....

[g3n-h@ckm@n]

Coucou bon je vais installer Tencent dans une VM , voir un peu je te tiens au courant

Edit::

bon j'ai installé tout ce qu il y a d'inimaginable de la famille QQ et compagnie , y'a du chinois à donf dans la VM

QQbrowser, Tencent QQ international et j'en passe et des meilleures, mais pas l ombre d'un AdAnti quelqu'il soit lol ^^

Edit2::

j'ai réussi à choper AdAntiHS.exe je l ai executé mais il se met pas en startup mais m'a bien créé un dossier AdAnti en se recopiant dedans , dans Appdata\Roaming, ca tourne j'attends la suite il est en train de me faire clignoter explorer ^^

Edit3::

Je voudrais faire des comparaisons

copie C:\Windows\explorer.exe sur ton bureau
copie C:\Windows\system32\Rundll32.exe sur ton bureau

Si tu ne l'as plus, reprends Quickdiag : http://gen-hackman.ddns.net:8123/QuickDiag.exe

et fais un script avec ceci :

Code : Tout sélectionner

Search::
explorer.exe
rundll32.exe

ca va prendre un peu de temps , une vingtaine je pense ( de minutes lol ^^ )

[guitar.bruno]

Hello,

Je suis désolé, je n'avais pas vu de mail annonçant ton post, pourtant il était resté en surveillance!

Alors je te tiens au courant tout de même, avant de tenir compte de ta proposition:

Adanti a disparu et ne revient plus, durant ce temps j' avais juste maintenu ton Anti AdAnti au démarrage pour être tranquille.

Ce matin j'ai eu l'idée de relancer un MBAM et il m'a trouvé les fichiers suivant:

http://www.cjoint.com/c/GBztEfAKLmP

Redémarrage, et plus rien en désactivant Anti Adanti.

j'ai fait une recherche dans C:, plus de trace de AdAntiHS.dll

Pas mal mais qu 'en penses-tu?

[g3n-h@ckm@n]

salut effectivement mais c'est ce qu'on s'est tués à faire de supprimer ces rootkits et à chaque fois ils sont revenus donc je comprends pas comment ca se fait que là !!!!

[guitar.bruno]

Salut,

Eh bien oui en effet, j'ai beau réfléchir à ce qui a pu finalement le faire disparaitre, je ne trouve pas.

Enfin oui, C'est Malwarebyte Anti Malware, il a détecté, supprimé AdAnti pour ne vraiment plus revenir et encore à ce jour, je viens de vérifier, il ne pointe plus le bout du nez!

Est-ce sa mise à jour de définitions qui a enfin fait la différence...

On a envie de dire que c'est résolu.

[g3n-h@ckm@n]

hello même sur Bleeping computer elle te les avait fait sauter , un fichier reste un fichier tout de même..... c'est à s'arracher les cheveux

utilise delfix pour virer tous les tools et leurs rapports etc , tu coches tout

https://www.sosvirus.net/telecharger/delfix/

[guitar.bruno]

Salut,

utilise delfix pour virer tous les tools et leurs rapports etc , tu coches tout

C'est fait.

[g3n-h@ckm@n]

installe unchecky si ce n'est fait aussi

https://korben.info/comment-eviter-dins ... ateur.html

[guitar.bruno]

Fait, merci je ne connaissais pas!

[g3n-h@ckm@n]

par contre certains programmes n'ont pas de cases mais des boutons "Accept" et "Decline" , faut cliquer sur Decline ou Refuser , ca installe quand meme ton programme sans le surplus , et oui je sais c'est vicieux ^^

la plupart des gens se disent "si je clique sur decline ou refuser ca va pas m installer mon programme" , ben justement si , et que celui ci alors qu'en cliquant sur Accept , ca installe bien ton programme mais avec la merde en plus ^^

un exemple du vice ici avec le programme utorrent :



si tu cliques sur Terminer tu ramasses SearchPRotect avec ainsi que le moteur et la page d'accueil trovi.com lol ^^
si ca c'est pas vicieux !!!

[guitar.bruno]

Oui je connais ça, surtout les softs gratuits, comme disait le père d'un ami:


"Gratuit est déjà trop cher!"

[g3n-h@ckm@n]

looooooooooooooooooooool excellent !!!!