URGENT : Windows Security Alert / BestAntivirus2011.exe

[Suricat]

Bonjour,

Il s’agit d’un problème relativement urgent… (l’ordi n’est pas éteint).


La Fenêtre Windows Security Alert reste complètement bloquée.

Elle indique une liste de spyware et adaware détectés sur mon ordi et propose de les éliminer.

S’agissant d’une fenêtre de Windows (s’agit-il d’une usurpation de service ?), j’ai tenté de supprimer les Trojans.
Le système de sécurité d’Internet Explorer a bloqué le téléchargement des fichiers du site http://panta-antispyware.co.cc/fast-scan/, affiché dans les propriétés de la Fenêtre Windows Security Alert.

Cercle vicieux
La Fenêtre Windows Security Alert ne se ferme pas avec « cancel », mais ouvre une autre fenêtre pour le téléchargement du fichier dl.panta-antispyware.co.cc / BestAntivirus2011.exe (sans certificat), considéré comme un virus dans certains sites, que j’annule aussitôt.
La Fenêtre Windows Security Alert reste toujours ouverte, après avoir placé des indicateurs clignotants dans mon explorateur, précisant le disque et les dossiers dans lesquels se trouvent les virus.

Symantec
Dans la Fenêtre Résultats Auto-Protect, Symantec a détecté et signalé ce qui suit :

Suspicious AD / BestAntivirus2011.exe / Heuristiques /
Nettoyage du risque / Mise en Quarantaine / Analyse Auto-Protect / Le risque a été supprimé en partie
Fichier infecté : JOXU614W dans TIF, Content.IE5 (et autres fichiers de même type)
Oridnateur : référence en lettres d’un ordinateur (le mien ?)



Comment résoudre ce problème ?
Que se passe-t-il en cas de redémarrage de l’ordi, sans résoudre le problème ?
Est-il possible, si cela marche, de supprimer les spyware (liste ci-desous) directement depuis mon disque dur, sans risques ?



Voici le détail :

Liste des spyware détectés par Windows Security Alert :

Adware.Win32.Winad : noise.dat
W32.Yaha.B@mm : emptyregdb.dat
Magic DVD Ripper : mpr.dll
Trojan-PSW.Win32.LdPinch.abm : ieakui.dll
Trojan virtumonde : SET3.tmp
Trojan.Fakealert.355 : country.sys
Trojan.Qoologic - Key Logger : ahui.exe
Adware.Win32.Look2me.ab : popcinfo.dat
Trojan Horse IRC/Backdoor.SdBot4.FRV : dsdmo.dll
Win32/Hoax.Renos.HX : Active Setup Log.txt

Les propriétés de la Fenêtre Windows Security Alert indiquent

Fast Windows Antivirus
HyperText Transfer Protocol
Type : non disponible
Connexion : non chiffrée
URL : http://panta-antispyware.co.cc/fast-scan/
Taille : non disponible
Crée le : non disponible
Modifiée le : non disponible


Mille mercis de votre aide.

[Titus]

Salut,

Reste zen, d'après ce que j'en ai lu (en vitesse, et en diagonale), on dirait un scareware: le genre d'antivirus qui découvre un tas d'infection, bloque tout, et te fout la trouille afin que tu paies pour "désinfecter" la machine.

voici une solution lue sur un autre forum (infos-du-net):

1. lors du démarrage de ton ordi appuis sur F8 jusqu'à se qu'il te propose plusieurs démarrage:
choisis demarrage sans echec avec prise en charge de réseau tu auras ainsi accès a internet depuis l'ordi infecté

2 télécharge http://www.malwarebytes.org/mbam.php (download free version)
je peux t'assurer que ce logiciel fonctionne parfaitement et il et simple d'utilisation

--> Lance le programme d'instalation et laisse toi guider..
(installe le avec ces parametres par defaut)

--> Une fois installer Clique sur l'onglet mise a jour, et mets le a jour (sinon ineficace),

--> Retourne dans l'onglet recherche, et execute un examen complet,

--> Tu pourra si infection trouver, cliquer sur Afficher la Selection Puis >> Effacer la selection (si redemarage demander, alors accepte)

Ce que j'ajouterais, c'est que si tu as un autre ordi, tu télécharges MBAM et le met sur une clé USB.

Tu redémarres l'ordi suspect en mode sans échec, tu installes MBAM à partir de la clé, tu désinfectes et redémarre normalement.

[Titus]

Salut,

A part cela, installe un bon antivirus (Antivir en gratuit, ou Nod32 en payant, ce qui est mieux) un bon firewall (Comodo est gratuit, et très efficace), et fais confiance à Windows Defnder (gratuit, et intégré à Win 7).

Rien d'autre.

[Suricat]

Bonjour,

Merci pour la rapidité de la réponse…

Les opérations ont été suivies à la lettre… mais la seule façon d’interrompre le blocage a été l’arrêt simple de l’ordinateur.

Malwarebytes’ Anti-Malware a repéré C:\Windows\System32\Winlogon.Del, fichier considéré comme nuisible, à détruire, mais également reconnu comme « sain » s’il n’est pas infecté. Aucune opération n’a été effectuée automatiquement sur ce fichier par Malwarebytes’.

http://www.bestspywarescanner.net/error ... n.Del.html
http://www.removefakesoftware.com/file- ... n.Del.html
http://www.repair-dll.com/Dll-Files/winlogon.Del.html
http://www.instantspywareremoval.com/er ... n.Del.html

Malwarebytes’ Anti-Malware n’a relevé aucun des fichiers indiqués par Windows Security Alert, mais huit d’entre eux existent de manière visible dans mon PC. S’agit-il de fichiers « sains » ? En tous les cas, je n’ai pas demandé leur suppression par Windows Security Alert.

Si j’ai bien compris… BestAntivirus2011.exe se sert de Windows pour inciter à scanner et introduire, peut-être, d’autres virus ?


Je n’ai supprimé aucun des fichiers relevés par Windows Security Alert et Malwarebytes’ Anti-Malware, puisqu’ils ne sont pas analysés comme éléments infectés.

A+

[Suricat]

Salut,

A part cela, installe un bon antivirus (Antivir en gratuit, ou Nod32 en payant, ce qui est mieux) un bon firewall (Comodo est gratuit, et très efficace), et fais confiance à Windows Defnder (gratuit, et intégré à Win 7).

Rien d'autre.

Bonjour,

La question des logiciels de sécurité est un peu plus compliquée :
les choix sont nombreux, les avis très partagés, et Windows propose paraît-il un bon Firewall.

D’après certaines lectures, il semble que les anti-virus sont incompatibles entre eux, par contre, les anti-espions peuvent cohabiter, voire se compléter.

J’utilise actuellement :

- Anti-virus gratuit : Symantec
- Firewall : Windows
- Anti-espion gratuit : SUPERAntiSpyware; depuis hier, Malwarebytes’ Anti-Malware gratuit
- Anti-spam gratuit : SPAMfighter

McAfee s’est installé automatiquement avec Adobe Reader et scanne le PC une fois pas semaine, dans le but de détecter une lacune, dans mon cas, l’absence de « Web Protection », proposé par son service en cas d’abonnement.

Quels sont les bons logiciels de protection web ?
Sont-ils utiles ou bloquent-ils systématiquement des URL habituellement accessibles sans problème, comme l’affirment certains internautes dans les forums ou les pages réservées aux avis des utilisateurs ?

Précision : je ne visite pas des sites particulièrement sensibles !

A+

[Titus]

Salut,

La version gratuite de Symantec n'est pas trop efficace, au mieux, elle te dira si tu es infectée, et conseillera la version payante pour nettoyer.

le firewall de Windows est une passoire.

Les seuls bons, ce sont MBAM et SUPERantiSpyware.

Pour de bons moyens de protection, regarde le post du dessus (17h31).

[Suricat]

Salut,

A part cela, installe un bon antivirus (Antivir en gratuit, ou Nod32 en payant, ce qui est mieux) un bon firewall (Comodo est gratuit, et très efficace), et fais confiance à Windows Defnder (gratuit, et intégré à Win 7).

Rien d'autre.

01.04.2011

Bonjour,

Je viens d’installer Antivir (utilisé pour la première fois) et la dernière version de CCleaner (après désinstallation de la version précédente).

J'ai désinstallé « Google Chrome » qui s’ouvre automatiquement depuis aujourd’hui (pourquoi aujourd’hui ?) depuis la liste de tous les programmes.

Constat : les liens dans les messages de Outlook Express ne s’ouvrent plus vers les sites Web, entre autres les liens vers les réponses du Forum Infoprat.



D’où vient le problème ?
Comment rétablir l’ouverture de liens dans Outlook Express ?
Ce problème est-il lié à ce qui précède ou à ce qui suit ?



Internet Explorer est le navigateur par défaut (par choix)
Outlook Express la messagerie par défaut (par choix)



Pour tenter de résoudre le problème des liens, je lis la Méthode 2 du site suivant, qui propose d’agir à partir la base de registre, solution proposée plus particulièrement pour MS Outlook.

http://www.commentcamarche.net/faq/2799 ... ns-outlook

Je m’aperçois que le fichier « RegSvr32 urlmon.dll » est introuvable dans le registre.

Je m’interroge alors sur la suppression possible du fichier « RegSvr32 urlmon.dll » au cours du premier scan Antivir (clic bouton « supprimer » dans les vignettes annonçant les infections, vers l’horloge)

Je ne me souviens plus des noms des 2 ou 3 fichiers supprimés au cours de ce premier scan.



Quelle sont la ou les sources du problème, et leur(s) réponse(s) ?

A+

P.S. Antivir est bon... peut-être en version Premium ?

[Titus]

Salut,

Tu fais erreur (il faut dire qu'il n'y a pas d'explication sur le site (les idées sont très valables, mais ça manque de détails)), tu ne trouvera pas RegSvr32 urlmon.dll, mais bien urlmon.dll.

Les dll (dynamic link library) sont des complément d'un programme, mais, contrairement au programme proprement dit (toujours en .EXE, ou .COM) qui est unique, les même dll peuvent servir à plusieurs programmes.

Quand un dll manque, il suffit généralement de le télécharger, et de le mettre dans C:\Windows\System32 (et parfois dans le répertoire d'installation du programme).

De temps à autres, il faut parfois les inscrire dans la base de registre, et c'est alors qu'on utilise RegSvr32, suivi du nom de la dll à inscrire (urlmon.dll, dans ce cas).

Donc, ne cherche pas ces dll dans le registre, mais dans C:\Windows\System32.

Pour les enregistrer, si tu es sous Seven, tu dois ouvrir une fenêtre de commande "en tant qu'administrateur" et quand c'est fait, tape RegSvr32 urlmon.dl et si ce n'est pas Seven, tu ouvres simplement une invite de commande.

[Suricat]

OK

Ces informations sont intéressantes.

Le fichier urlmon.dll se trouve dans différents dossiers :
system32
ServicePackFiles\i386
SoftwareDistribution\Download\...

En exécutant RegSvr32 urlmon.dll (IE8), la recherche (dans le registre) affiche cette donnée dans :

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU,

en deux exemplaires (a, b), vraisemblablement une double exécution de la même opération…
L’une d’entre elle pourrait être supprimée…



Quoiqu’il en soit, cela ne résout pas la question principale :
le problème de l’ouverture des liens à partir des messages dans Outlook Express…. Ce blocage a surgit soudainement, sans explication concernant l’action qui a pu engendrer ce problème… ???

Comment rétablir l’ouverture de ces liens ?
Peut-être s’agit-il d’une autre discussion...

A+

[Titus]

Salut,

Tu as fait cela?

Pour les enregistrer, si tu es sous Seven, tu dois ouvrir une fenêtre de commande "en tant qu'administrateur" et quand c'est fait, tape RegSvr32 urlmon.dl et si ce n'est pas Seven, tu ouvres simplement une invite de commande.

[Suricat]

Salut,

Tu as fait cela?

Pour les enregistrer, si tu es sous Seven, tu dois ouvrir une fenêtre de commande "en tant qu'administrateur" et quand c'est fait, tape RegSvr32 urlmon.dl et si ce n'est pas Seven, tu ouvres simplement une invite de commande.

Salut,

Sous Windows XP, version 5.1, je viens d'ouvrir l'invite de commande (écran noir), en tant qu'administrateur (C:\documents and settings\User>) et de taper « RegSVR32 urlmon.dll », enregistrement confirmé.

Après redémarrage du PC, pas de modification pour l’ouverture des liens dans Outlook Express.

J’ai donc tenté d’enregsitrer les *.dll suivants; voici le résultat avec explications :

RegSvr32 Mshtml.dll :
Mshtml.dll a été chargé, mais le point d’entrée D||Register Server est introuvable

RegSvr32 Actxprxy.dll : REUSSI
RegSvr32 Oleaut32.dll : REUSSI
RegSvr32 Shell32.dll : REUSSI
RegSvr32 Shdocvw.dll : REUSSI
RegSvr32 Msjava.dll : module spécifié introuvable
RegSvr32 Browseui.dll : REUSSI

Redémarrage… et problème non résolu.

En fait, en cliquant sur les URL dans les messages, le menu contextuel n’affiche plus la commande « ouvrir ».

?!?!?!

A+

[Titus]

Salut,

En tant que bon belge, je suis adepte des compromis, et des moyens détournés d'arriver à mes fins, donc, au lieu de me prendre la tête à essayer de résoudre un problème, j'essaierai plutôt de remplacer le programme incriminé.

Tu as déjà pensé à remplacer OE par Mozilla Thunderbird?

Cela fait des années que je l'emploie (depuis les premières versions, en fait), et je ne voudrais plus m'en passer (par exemple: quand tu crées un compte sur la nouvelle version, celle-ci détermine automatiquement (et dans 99% des cas, à bon escient) le serveur de courrier et ses paramètres).

Bon, à part cela, on dirait une solution valable: http://www.faqoe.com/rep/k.htm (la 4e, réinstaller OE sur lui même).

[Suricat]

Salut,

En tant que bon belge, je suis adepte des compromis, et des moyens détournés d'arriver à mes fins, donc, au lieu de me prendre la tête à essayer de résoudre un problème, j'essaierai plutôt de remplacer le programme incriminé.

Tu as déjà pensé à remplacer OE par Mozilla Thunderbird?

Cela fait des années que je l'emploie (depuis les premières versions, en fait), et je ne voudrais plus m'en passer (par exemple: quand tu crées un compte sur la nouvelle version, celle-ci détermine automatiquement (et dans 99% des cas, à bon escient) le serveur de courrier et ses paramètres).

Bon, à part cela, on dirait une solution valable: http://www.faqoe.com/rep/k.htm (la 4e, réinstaller OE sur lui même).

Salut,

Sage pensée… et pourquoi pas un autre logiciel de messagerie… ne serait-ce que par curiosité.

Peut-être pas aussi simple…

Si des fichiers modifiés, infectés ou supprimés…, des fichiers programme par exemple, sont défaillants dans le système, le problème ne risque-t-il pas de réapparaître dans n’importe quelle messagerie… et de conduire à la décision finale de tout réinstaller.

En changeant de messagerie, retrouverai-je les fonctions régulièrement utilisées dans Outlook Express… il est vrai appelé à disparaître dans les systèmes Windows ultérieurs !

Pour la réinstallation d’Outlook Express sur lui-même, que faire si cela plante ? Quelqu’un a-t-il essayé cette méthode ? Quelqu’un peut-il traduire la ligne de commande ?
Une petite visite dans le répertoire C:\WINDOWS\inf : je clique sur msoe.inf, mais le menu ne dispose pas de la commande « installer » !
Se pourrait-il que Windows soit amputé d’une partie de ses commandes ?

Complément d’enquête sur les divers problèmes (collatéraux ?) constatés :

Les liens placés dans les messages (Outlook Express) ne s’ouvrent plus.
Un symptôme : le menu contextuel n’affiche plus la commande « ouvrir ».
Après ouverture d’un compte dans MS Outlook, clic-test sur un lien, je lis : « Cette opération a été annulée à cause de restrictions en vigueur sur cet ordinateur. Contactez votre administrateur système ». Quelles restrictions ? Depuis quand ? De quoi s’agit-il ?
Idem depuis Word...
Lorsque j’ouvre un message enregistré sur mon disque dur dans Windows Live Mail, je lis : « application introuvable »
Autre défaillance récente : quelques URL (raccourcis) installés sur le bureau ne s’ouvrent qu’après avoir précisé le programme avec lequel il doit s’ouvrir. Cela ne se produit pas depuis les favoris !

Quelles solutions ?

Mozilla Thunderbird (ou autre messagerie) ?
Restauration du système ?
Réinstallation d’Outlook Express sur lui-même ?
Réinstallation du PC ?
Protection en temps réel ?

A suivre…


A+++


P.S.

Ces problèmes informatiques ont débuté par une insuffisance de la mémoire virtuelle, un nettoyage Windows, le signal d’un fichier programme endommagé *, le blocage de Windows Security Alert et d’indicateurs de virus clignotants dans l’Explorateur Windows.
Puis redémarrage en mode sans échec, sans déblocage préalable, téléchargement et scan Malwarebytes’ Anti-Malware, sans fichiers infectés détectés.
Puis redémarrage en mode normal, installation d’Antivir Personal, scan… et plein de fichiers infectés mis en quarantaine.

* FICHIERS ENDOMMAGES

C:\WINDOWS\Downloaded Program Files\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}, qui pourrait avoir un lien avec un programme Adobe :
http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
Le fichier {E2883E8F-472F-4FB0-9522-AC9BF37916A7} dépend de 3 applications Java 0, dont deux sont endommagées :
C:\WINDOWS\Downloaded Program Files\GP.OCX
C:\WINDOWS\Downloaded Program Files\BP.INF
WINDOWS\SYSTEM32\ATL.DLL : 61'440 Ko

Observation :

Symantec Antivirus Free semble avoir détecté des fichiers infectés dans les données temporaires d’AntiVir :
Cette observation a-t-elle une signification ?

C:\Documents and Settings\All Users\Application Data\Avira\AntiVir Desktop\TEMP\AVSCAN-20110401-001729-4EE715F0\0000965F-B782A4F8.av$ : Adware.NetOptimizer, W32.Netsky.Y@mm
C:\Documents and Settings\All Users\Application Data\Avira\AntiVir Desktop\TEMP\AVGUARD_0f1a1fdf\00009660-D52A5AF0.av$ : W32.Netsky.Y@mm

[Titus]

Salut,

Je ne recommande pas souvent un formatage et une réinstallation, mais sans cela, tu auras dur à en sortir (ça commence par des liens de courriel qui ne fonctionnent plus, et on ne sait pas ce qui arrivera dans un mois, donc, il vaut peut-être mieux remettre tout à plat).

Si ta fiche de config est à jour, tu devrais vraiment songer à rajouter 1024 mégas de mémoire (si ta carte mère le permet, bien sûr, ça ne coute pas cher, et tout tourne plus fluidement), et si elle n'est plus à jour, modifie-la.

Tant qu'à faire, je te conseilles Windows 7, au lieu de XP, il est plus sécurisé (beaucoup plus, d'ailleurs), et fonctionne très bien sur des config modestes. Tu cherche bien tes marques pendant quelques jours, mais une fois habituée, tu ne veux plus retourner à XP.

[Suricat]

Salut,

Je ne recommande pas souvent un formatage et une réinstallation, mais sans cela, tu auras dur à en sortir (ça commence par des liens de courriel qui ne fonctionnent plus, et on ne sait pas ce qui arrivera dans un mois, donc, il vaut peut-être mieux remettre tout à plat).

Si ta fiche de config est à jour, tu devrais vraiment songer à rajouter 1024 mégas de mémoire (si ta carte mère le permet, bien sûr, ça ne coute pas cher, et tout tourne plus fluidement), et si elle n'est plus à jour, modifie-la.

Tant qu'à faire, je te conseilles Windows 7, au lieu de XP, il est plus sécurisé (beaucoup plus, d'ailleurs), et fonctionne très bien sur des config modestes. Tu cherche bien tes marques pendant quelques jours, mais une fois habituée, tu ne veux plus retourner à XP.

Salut,

En évitant de focaliser sur les problèmes de liens et de raccourcis à la loupe, et sur les nouveaux logiciels de sécurité prompts à détecter nombre de fichiers malveillants, dont on ne sait pas s’il faut les détruire ou les mettre en quarantaine, parfois le choix n’existe pas (leur destruction est irréversible et peut apporter son lot de nouveaux incidents), l’impression générale en utilisant l’ordi n’est pas si mauvaise.

Mais l’acharnement à vouloir trouver des solutions a parfois raison de notre patience mise à rude épreuve (!), de même que de ne plus pouvoir ouvrir les liens simplement…

Depuis plusieurs jours, je songe donc à formater et réinstaller la « bécane », bien que ce travail ait été fait en août dernier (!), et peut-être sous Windows 7. J’y réfléchis.

Pour la config, elle est mise à jour : 2048 mégas de mémoire RAM, ce qui n’a pas empêché le problème d’insuffisance de la mémoire virtuelle de réapparaître. Ce problème était récurrent avant la dernière réinstallation et devenait insoluble.

Le nettoyage, nécessaire dans cette situation, peut également avoir des conséquences ou « effets secondaires » : des commandes qui ne fonctionnent plus normalement, par exemple. Je crains d’ailleurs l’utilisation de CCleaner, pourtant recommandé, pour ces mêmes raisons (suppression de fichiers indispensables ou que l’on ne souhaite pas supprimer ?).

Il me semble également avoir lu des critiques concernant Windows 7 qui, pour une meilleure sécurité, imposerait trop de limitations… ?


Voici quelques questions pour un temps de réflexion :



1) Le choix de Windows 7 pose les alternatives suivantes :

OEM ou Normal ?
Edition familiale ou Edition Pro : question de sécurité et option Mode XP ?
32 bits ou 64 bits (la 2ème est plus volumineuse)

Problème de compatibilité avec d’anciens logiciels ?
Le mode XP permet-il d’utiliser d’anciens logiciels incompatibles avec Windows 7 ?



2) Choix d’un ou plusieurs logiciels de sécurité complémentaires à Windows 7 :

Les systèmes en temps réel ont-ils un véritable effet préventif et empêchent-ils l’installation de fichiers ou programmes malveillants ?

Les différents systèmes de protection [ antivirus, pare-feu, antispyware, antispam, web protection (=pare-feu ?) ] sont-ils plus efficaces séparément ou regroupés dans un logiciel « Internet Security » ?

Critères de sélection :

• Efficacité
  Place occupée sur le DD
  Polyvalence et simplicité
  Sécurité en temps réel
  Sans problème de désinstallation
  Pas d’objets malveillants intégrés et/ou téléchargés depuis le logiciel de sécurité

Quelques logiciels :

• Avira Antivir Premium Security Suite 2011
  Avira Antivir Rescue System
  AVG Internet Security
  Bitfender Internet Security 2011
  Bitfender Total Security 2011
  Eset Smart Security 4.2 (base Nod32)
  F-Secure Internet Security
  G Data Internet Security (excellente notation d’experts)
  G Data Total Care
  Kaspersky Internet Security
  McAfee Internet Security Suite
  Microsoft Security Essentials
  Norton Internet Security 2011
  PC Tools Internet Security
  Sophos Security Suite SBE
  Trend Micro Internet Security
  ZoneAlarm Pro
  Check Point ZoneAlarm Internet Security Suite
  ZoneAlarme Extreme Security

• Multi Virus Cleaner 2011
  Online Armor + Antivirus
  Spy Sweeper + Antivirus
  Sunbelt Kerio Personal Firewall
  Sygate Personal Firewall
  Wot (fiabilité des sites)

SCAN EN LIGNE / FREE ONLINE SCANNER
Les moins dangereux pour autant qu’ils puissent l’être

• http://www.f-secure.com/en_EMEA-Labs/se ... ZSD&bhcp=1

Mille mercis pour la patience de lire tout ce texte !

A+



P.S. - « tu auras dur à en sortir » : une expression belge ?