Virus "gendarmerie"

Bonjour,

/!\ Une désinfection marche dans la plupart des cas, mais par sécurité sauvegarez vos données personnelles sur un disque dur externe !

Au démarrage, à l'écran du BIOS avec le logo, tapotez F8 pour avoir les options de démarrage avancé.

Cet écran propose plusieurs options: réparer Windows, démarrer en mode sans échec avec ou sans prise en cherge réseau, plusieurs options et mode de secours BD.

Une fois sur cet écran, deux solutions:

- Cliquez sur Réparer l'ordinateur. Une fois les fichiers chargés, choississez point de restauration. Choissisez alors le point de restauration qui correspond à un moment antérieur à l'infection. Tous vos fichiers personnels seront gardés, et l'infection va disparaitre, car Windows va charger une image de votre système au dernier moment connu où il fonctionnait normalement.

- Si la réparation ne fonctionne pas ou que le virus a effacé les données de restauration, démarrez en mode de secours BD. BD va alors démarrer sur un environnement Linux où le virus sera inactif. Faites la màj puis une analyse complète, qui normalement détruit l'infection. (Mais je ne suis pas sur si il rétablit les clés de boot, je me renseigne de ce côté)

Redémarrez le PC. Si il ne démarre pas, démarrez en mode sans échec: essayez avec prise en charge réseau. Si ça marche téléchargez rogue killer pour vérifier que l'infection a disparue. Si la prise en charge réseau ne marche pas, téléchargez Rogue Killer sur un autre PC et mettez le sur une clé USB.

Postez ici le rapport Rogue Killer

Essayez de démarrer BD. Faites une dernière analyse complète pour vérifier que l'infection a disparue.

Concernant la protection face au virus gendarmerie; sachez qu'une infection par un trojan est issue de nombreux facteurs:

- Tout d'abord l'humain ! En effet si vous cliquez sur "n'importe quoi", ou visitez des faux sites de crack ou autres, il y a de fortes chances de se faire infecter. N'acceptez jamais les téléchargements innopinés (pop-up) d'une taille d'environ 150ko, il y a de fortes chances que ce soit un dropper qui va télécharger l'infection.

Faites attention à ce que vous exécutez ! l'UAC met une pop-up "voulez vous que ce programme fasse des changement à l'orinateur ?" Ne prenez pas ce message à la légère: vous êtes responsable des élévations de privilège qui conduisent à l'infection.

- L'Antivirus est inutile si vos logiciels (tels Java, Adobe Flash, Adobe Reader...) ne sont pas à jour ! Car les 3/4 des infections sont issues d'exploits WEB qui utilisent les failles des logiciels non à jour. Maintenez absolument tous vos logiciels et Windows à jour. Votre navigateur internet doit absolument être à jour.

- Enfin, BD détecte normalement les virus de la famille gendarmerie; il est étonnant qu'il n'y a pas eu de protection ! BD était-il à jour ? Et de toute façon, même si BD ne connaît pas la signature, le module comportemental Active Virus Control doit détecter le dropper ! Avez vous autorisé un processus détecté ou désactivé l'AVC ?

Aucun AV n'est infaillible ! Et BD se situe bien niveau détection !

Bon courage,

N'hésitez pas à détailler les étapes de ce que vous faites pour savoir si l'infection part !

Par curiosité, comment avez vous eu le virus ?

Bonjour et merci de la réponse rapide. En résumé : avec la touche F8, je n'ai plus accès aux options de démarrage, systématiquement je démarre en mode sans échec, sans prise en compte réseau. La restauration à la veille de l'incident s'est apparemment bien déroulée - après plusieurs tentatives.

Comment démarrer en mode de secours BD ?

Pour Rogue killer, j'essaierai d'aller sur un autre PC, mais pas avant lundi...

J'essaierai de mettre mes logiciels à jour ! Quant à. BD, il était à jour (renouvellement récent + màj effectuées). Pas touchè à l'AVC (est-il en fonction par dèfaut ?).

Et à l'apparition de l'écran fatidique, je travaillais sur des photos (sur mon disque dur) pendant qu'Internet était lancé sur un site de cinéma (de mémoire cinemagaumont ou Iciné)

Si j'ai du neuf, je vous tiens au courant !

Bon WE à tous !

Bonsoir jplautre,

Bonjour et merci de la réponse rapide. En résumé : avec la touche F8, je n'ai plus accès aux options de démarrage, systématiquement je démarre en mode sans échec, sans prise en compte réseau.

Etrange... Excusez moi, la fonction réparer l'ordinateur n'apparait que sur Windows 7. Néanmoins vous devez avoir cet écran (cf photo)

La restauration à la veille de l'incident s'est apparemment bien déroulée - après plusieurs tentatives.

Pouvez vous démarrer WIndows normalement ? car ça doit être le cas; sinon il y a toujours un problème, soit l'ordinateur est toujours infecté, ou windows n'arrive pas à démarrer correctement.

Si la réparation ne s'est pas déroulée correctement:

Pour réparer Windows, vous devez alors insérez le DVD de Windows Vista. A l'écran du BIOS tapotez F2 ou la touche entrée (dépen du PC) et vous aurez les options de boot. Choississez lecteur DVD.

Les fichiers Windows vont se charger en mémoire. Une fois la console affichée choississez Réparer l'oridnateur (SURTOUT PAS installer maintenant !) et Restaurer. Choississez une date antérieure à vos tentatives (au moins une semaine). Cette fois la restauration devrait marcher.

Comment démarrer en mode de secours BD ?

F2 ou touche entrée à l'écran de BIOS; qui mène aux options de boot. Choississez Mode de Secours en bas du menu. Choississez ensuite la résolution d'écran la plus appropriée et suivez les étapes.

Pour Rogue killer, j'essaierai d'aller sur un autre PC, mais pas avant lundi...

J'essaierai de mettre mes logiciels à jour ! Quant à. BD, il était à jour (renouvellement récent + màj effectuées).

Ok c'est noté

Pas touchè à l'AVC (est-il en fonction par dèfaut ?).

Oui normalement.

Et à l'apparition de l'écran fatidique, je travaillais sur des photos (sur mon disque dur) pendant qu'Internet était lancé sur un site de cinéma (de mémoire cinemagaumont ou Iciné)

Etrange aussi car un virus ne s'installe pas tout seul, il y a forcément une action de l'utilisateur (autoriser un programme...) C'est improbable qu'un virus "tombe du ciel" comma ça. Ceci dit un ****** vérolé d'une page WEB peut entrainer l'infection même sans clic.

A tout hasard, aviez vous une clé USB branchée à ce moment là ? Potentiellement infectée ?

Bon Week-End,

Cordialement

Bonsoir jplautre,

Etrange... Excusez moi, la fonction réparer l'ordinateur n'apparait que sur Windows 7. Néanmoins vous devez avoir cet écran (cf photo)

Pouvez vous démarrer WIndows normalement ? car ça doit être le cas; sinon il y a toujours un problème, soit l'ordinateur est toujours infecté, ou windows n'arrive pas à démarrer correctement.

Si la réparation ne s'est pas déroulée correctement:

Pour réparer Windows, vous devez alors insérez le DVD de Windows Vista. A l'écran du BIOS tapotez F2 ou la touche entrée (dépen du PC) et vous aurez les options de boot. Choississez lecteur DVD.

Les fichiers Windows vont se charger en mémoire. Une fois la console affichée choississez Réparer l'oridnateur (SURTOUT PAS installer maintenant !) et Restaurer. Choississez une date antérieure à vos tentatives (au moins une semaine). Cette fois la restauration devrait marcher.

F2 ou touche entrée à l'écran de BIOS; qui mène aux options de boot. Choississez Mode de Secours en bas du menu. Choississez ensuite la résolution d'écran la plus appropriée et suivez les étapes.

Ok c'est noté

Oui normalement.

Etrange aussi car un virus ne s'installe pas tout seul, il y a forcément une action de l'utilisateur (autoriser un programme...) C'est improbable qu'un virus "tombe du ciel" comma ça. Ceci dit un ****** vérolé d'une page WEB peut entrainer l'infection même sans clic.

A tout hasard, aviez vous une clé USB branchée à ce moment là ? Potentiellement infectée ?

Bon Week-End,

Cordialement

Dernier essai avant les Doliprane !

Inséré le DVD de Vista. Au boot, le système me demande bien d'appuyer sur une touche pour démarrer sur le DVD, mais celui-çi n'est pas lu : je me retrouve comme d'habitude en mode sans échec sans réseau.

J'ai bien essayé de lancer le setup depuis le DVD, mais il me propose d'installer Vista(no de série, etc)

Donc j'ai préféré abandonner l'option !

Mais pourquoi ne démarre-je (!) QU'en mode sans échec ?

J'attends donc lundi pour récupérer Rogue Killer (s'il lit ma clé USB)

A plus tard (hélas !)

Au moment où démarre l'ordi, si vous ne faites aucune manipulation, windows démare normalement et échoue, ou démarre directement en mode sans échec ?

http://www.malekal.com/2011/12/11/trojan-f...armerie-nation/

(Désolé pour le double post, mais trop tard pour éditer)

Quelle est votre version du virus gendarmerie ? Voici une petite liste (non exhaustive) avec les procédures de désinfection, au cas où votre version corresponde.

Néanmoins tenez nous au courant des avancées sur la désinfection.

Aussi, petit complément sur les restaurations système, à lire:

http://www.malekal.com/2010/11/14/restaura...eme-vistaseven/

Bonne soirée !

De tête (!), c'est l'écran avec le logo jaune et blanc "Gendarmerie" en bas â droite. Car je ne vois plus puisque je boote systématiquement en mode sans échac...

Et désolé des fautes éventuelles (pas évident la saisie sur un smartphone !)

De tête (!), c'est l'écran avec le logo jaune et blanc "Gendarmerie" en bas â droite. Car je ne vois plus puisque je boote systématiquement en mode sans échac...

Et désolé des fautes éventuelles (pas évident la saisie sur un smartphone !)

Ok, en mode sans échec allez dans:

tous les programmes -> Accessoires -> Exécuter -> tapez msconfig -> Démarrage normal

Bonjour.

Même punition : je me retrouve en mode sans échec...

http://forum.bitdefender.com/index.php?showtopic=35775

Bonjour.

Même punition : je me retrouve en mode sans échec...

bonjour jplautre,

tu a eu le virus gendarmerie avec bitdefender?

si oui cela n'est pas normal.

il y a eu surement une mauvaise config de l'antivirus,un conflit avec une autre protection(antivirus,antispywares,antimalware,etccc).

il y a deja un topic concernant le virus gndarmerie dont certainne manip que minolt ta envoyer:

a tu des fichiers crypter?

si oui ne touche plus a rien et attendre le support technique demain matin(-yann-,-max-).

bon week end.

Bonjour Fedor. La seule nouveauté est...le renouvellement de la licence BD qq jours avant (!?) avec les iptions par défaut.Je n'ai pas d'autres anti-virus, pas de fichiers cryptés (à ma connaissance).

J'ai passé "Spybot..." qui n'a rien trouvé.

Demain, je vais récupérer "Malware..." et "Roguekiller" et les lancer. Wait and see. Je peux quand même travailler sur mes photos de voyage en attendant des jours meilleurs...

Encore merci et Bon Dimanche.

http://www.sur-la-toile.com/RogueKiller/RogueKiller.exe

Bonjour Fedor. La seule nouveauté est...le renouvellement de la licence BD qq jours avant (!?) avec les iptions par défaut.Je n'ai pas d'autres anti-virus, pas de fichiers cryptés (à ma connaissance).

J'ai passé "Spybot..." qui n'a rien trouvé.

Demain, je vais récupérer "Malware..." et "Roguekiller" et les lancer. Wait and see. Je peux quand même travailler sur mes photos de voyage en attendant des jours meilleurs...

Encore merci et Bon Dimanche.

bonjour jplautre,

attention risque de conflits entre bd et spybot!!!!!

peut tu mettre sur une cle usb malwarebyte et roguekiller?

si oui suit cette procedure:

Concernant cette infection, veuillez trouver ci-dessous une procédure qui va normalement vous permettre d'éradiquer ce ransomware (choisissez la méthode selon le type d'infection que vous subissez) :

1) forme simple non active en mode sans échec :

Si vous arrivez à démarrer Windows en mode sans échec, suivez cette procédure que -yann- a poster:

Téléchargez l'outil roguekiller au lien ci-dessous :

Lors du premier affichage des écritures en blanc sur fond noir appuyez sur la touche F5 ou F8 de manière successive sans vous arrêter jusqu'à obtention d'un menu d'options avancées.Choisissez avec les flèches haut et bas du clavier le mode sans échec (ou mode sans échec avec prise en charge réseau si vous n'avez pas pu télécharger plus haut Roguekiller, vous le ferez depuis cette session) puis appuyez sur entrée.

À l'ouverture de session prenez la session administrateur (ou votre session Windows qui dispose des privilèges administrateur). Faites oui sur le message de confirmation d'utilisation du mode sans échec. Le programme va également tuer les processus infectieux,

mais aussi supprimer les clés de registre permettant au ransomware de se relancer au démarrage.

2) Méthode de suppression forme 2

Méthode à suivre si l'ouverture de session de Windows est impossible en mode sans échec.

Plusieurs solutions en invite de commande en mode sans échec :

Lors du premier affichage des écritures en blanc sur fond noir appuyez sur la touche F5 ou F8 de manière successive sans vous arrêter jusqu’à obtention d'un menu d'options avancées. Choisissez avec les flèches haut et bas du clavier "l'invite de commandes en mode sans échec" et validez par Entrée.

a)Restaurer explorer

Sur la fenêtre cmd.exe – tapez la commande copy :

copy c:\Windows\twexx32.dll C:\windows\explorer.exe

puis valider par entrée. Si un message vous demande de remplacer le fichier, acceptez. Vous devez avoir un message 1 fichier(s) copié(s).

Saisir exit pour redémarrer l’ordinateur, redémarrez l’ordinateur et vérifiez si l’infection continue à se lancer.

cool.gif Sur la fenêtre cmd.exe tapez la commande SFC /scannow

c) Restauration du système

Sur la fenêtre cmd.exe saisir les commandes suivantes en validant par

entrée :

cd %windir%

cd system32

cd restore

rstrui.exe

La fenêtre de restauration système apparaîtra afin de choisir une date antérieure à l'infection.

mon je les ai mis sur une cle pour desinfecter plusieurs pc (pas le mien).

bon week end.

Roby Net

bonjour jplautre,

attention risque de conflits entre bd et spybot!!!!!

Salut,

Même avis, pas la peine de chercher plus loin la cause de l'infection.

Bonjour jplautre,

Franchement je vous conseille d'abandonner toutes ces m**des (spybot, adaware...) car en général leur efficacité est proche de zéro, cela prend des ressources systèmes et en plus cela peut générer des conflits avec BD. Dès lors des virus ne sont plus détectés et au contraire des fichiers sains peuvent être détectés comme faux-positif. C'est peut-être pourquoi le virus gendarmerie est passé.

On croit que la sécurité est meilleure avec plus de protections, mais en réalité elle se détériore !

DONC:

- Gardez uniquement BD et désinstallez tous les autres

- Abandonnez aussi TuneUp ou tout autre logiciel pseudo d'amélioration registre etc...

- Perso j'ai BD Internet Security, Rogue Killer à jour sur le disque dur au cas où j'ai une infection sans accéder à internet, et je vous recommande Secunia PSI.

Ce n'est pas un logiciel de sécurité, mais un petit logiciel qui scanne tous vos programmes pour chercher les màj et les installer automatiquement. Comme ça vos logiciels sont à jour !

- Dû à la faille Java actuelle (qui fait couler beaucoup d'encre...) je vous conseille de désactiver le plugin Java dans votre navigateur pour éviter les exploits.

La désinfection se déroule comment ?

Bonne journée

(Re)bonjour.

Pour info, Spybot n'esp pas résident, je ne le lance que volontairement.

OK pour les conseils.

Sinon, la désinfection en est au point mort puisque je n'ai pas d'autre PC sous la main, j'attends demain.

Sinon (2), je suis sous Firefox : je croyais qu'il était moins attaqué qu'IE ?

A + (?)

(Re)bonjour.

Pour info, Spybot n'esp pas résident, je ne le lance que volontairement.

OK pour les conseils.

Sinon, la désinfection en est au point mort puisque je n'ai pas d'autre PC sous la main, j'attends demain.

Sinon (2), je suis sous Firefox : je croyais qu'il était moins attaqué qu'IE ?

A + (?)

bonjour jplautre,

peux tu demander a un voisin,ami,etcc si tu peux telecharger malwarebyte,roguekiller sur une cle usb.

et ensuite lancer la procedure.

pour le virus gendarmerie ou toute autre virus;que ce soit ie,firefox,ou un autre navigateur c'est pareil.

bon week end.

Pour info, Spybot n'est pas résident, je ne le lance que volontairement.

Cela ne change rien, car même s'il n'est pas résident ses drivers rentrent en conflits avec ceux de BitDefender. De plus BD est bien plus complet et efficace, virez Spybot; ça ne sera que mieux.

Sinon, la désinfection en est au point mort puisque je n'ai pas d'autre PC sous la main, j'attends demain.

Un petit conseil: profitez du mode sans échec pour sauvegarder TOUTES vos données personnelles (photos, documents etc...) sur un disque dur externe. Comme ça vous êtes à l'abri au cas où il y a une fausse manip lors de la désinfection de demain et que windows ne démarre plus ou que les données soient perdues.

Bonne fin d'après-midi !

OK pour tous ces conseils, ça ira mieux (?) demain.

Pour info, en relançant + touche F8, cette fois-çi, j'ai pu démarrer en mode sans échec AVEC réseau, mais si j'ai accès au net, je ne peux faire aucune sauvegarde (Roguekiller par ex.)

J'ai même créé un document Word : sauvegarde impossible.

Par contre, démarrage Windows mode normal me lance quand même le mode sans échec.

Allez, ça suffit pour aujourd'hui !

Yann A.

Bonjour jplautre,

Je pense que vous gagnerez du temps en sauvegardant vos données personnelles en mode sans échec sur un disque externe, puis en formatant et en réinstallation Windows (qu'il faudra mettre à jour une fois installé avant d'installer Bitdefender et vos applications).

Cordialement,

Yann

I'm back...

Récupéré et lancé "Roguekiller" (Scan + Suppr). Par contre, pas facile de voir s'il a été efficace : je me retrouve toujours dans l'impossibilité de lancer Windows en mode "Normal" : seuls le mode sans échec sans ou avec réseau fonctionnent.

Any ideas ?

I'm back...

Récupéré et lancé "Roguekiller" (Scan + Suppr). Par contre, pas facile de voir s'il a été efficace : je me retrouve toujours dans l'impossibilité de lancer Windows en mode "Normal" : seuls le mode sans échec sans ou avec réseau fonctionnent.

Any ideas ?

bonsoir jplautre,

a tu suivi ce que -yann- a ecrit plus haut?

apparemment tu a lançer que roguekiller.

il faut proceder etape par etape,suit ce que -yann- ta dit et ensuite ça ira un peut mieux.

cette mer... n'est pas a prendre a la legère!!!!!!!!!!!!

bonne soiree.

Bonsoir, fedor. En gros, yann me demande de formater et de réinstaller Windows. Alors, pourquoi avoir passé Roguekiller si je repars avec un disque vierge et que je réinstalle tout ?

http://www.sur-la-toile.com/RogueKiller/RogueKiller.exe

Bonsoir, fedor. En gros, yann me demande de formater et de réinstaller Windows. Alors, pourquoi avoir passé Roguekiller si je repars avec un disque vierge et que je réinstalle tout ?

bonjour jplautre,

pour redemarrer au propre et effectuer les maj windows.

logiquement apres reformatage le virus ne sera plus sur ton pc.

sinon tu peut tenter la manip complete:

1) forme simple non active en mode sans échec :

Si vous arrivez à démarrer Windows en mode sans échec, suivez cette procédure que -yann- a poster:

Téléchargez l'outil roguekiller au lien ci-dessous :

mais aussi supprimer les clés de registre permettant au ransomware de se relancer au démarrage.

2) Méthode de suppression forme 2

Méthode à suivre si l'ouverture de session de Windows est impossible en mode sans échec.

Plusieurs solutions en invite de commande en mode sans échec :

a)Restaurer explorer

Sur la fenêtre cmd.exe – tapez la commande copy :

copy c:\Windows\twexx32.dll C:\windows\explorer.exe

puis valider par entrée. Si un message vous demande de remplacer le fichier, acceptez. Vous devez avoir un message 1 fichier(s) copié(s).

Saisir exit pour redémarrer l’ordinateur, redémarrez l’ordinateur et vérifiez si l’infection continue à se lancer.

cool.gif Sur la fenêtre cmd.exe tapez la commande SFC /scannow

c) Restauration du système

Sur la fenêtre cmd.exe saisir les commandes suivantes en validant par

entrée :

cd %windir%

cd system32

cd restore

rstrui.exe

La fenêtre de restauration système apparaîtra afin de choisir une date antérieure à l'infection.

apres si ça ne fonctionne pas,reformate.

bonne journee.

Merci de la réponse, fedor, mais c'est ce qu'il m'avait été dit de faire précédemment et qui n'a rien donné.

Donc, je crains d'avoir à formater, mais en attendant, je vais continuer à travailler sur mes photos puisque j'ai encore accès à mon PC, même de façon limitée...

Merci de la réponse, fedor, mais c'est ce qu'il m'avait été dit de faire précédemment et qui n'a rien donné.

Donc, je crains d'avoir à formater, mais en attendant, je vais continuer à travailler sur mes photos puisque j'ai encore accès à mon PC, même de façon limitée...

bonsoir jplautre,

oui sauvegarde et reformate ton pc.

est tu conscient que ton pc est infecter!!!!!!!!!!!!!

mon a ta place j'arreterais de travailler sur mes photos et m'activerais sur la desinfection de mon pc.

comme je t'ai deja dit:

cette mer..... n'est pas a prendre a la legère.

apres c'est a toi a voir,moi je te donne juste un conseil.

bonne soiree.

OK, mais il me semble (?) que l'on ne peut pas formater le disque C en direct (Windows ne va pas vouloir se suicider) Ou il faut que je le démonte pour le formater sur un autre PC ?