[Marie]

(Ce tuto a été réalisé à l'aide des informations trouvées sur le site de Malekal_Morte)


Symptômes de l'infection:

• Publicités incessantes pour des sites adultes.
  
• Publicités pour des antivirus bidons genre System Doctor, ErrorSafe, Winantivirus Pro, WinAntispyware, Drivecleaner....
  
• Chez les utilisateurs du navigateur Firefox, le walware provoque une erreur dans le plugin Shockwave Flash: Le plugin a effectué une opération illégale
  
  
  

Sources d'infection:

Egdaccess/Navipromo s'installe avec les logiciels dits "gratuits" suivants:

• go-astro
  
• GoRecord
  
• HotTVPlayer
  
• MailSkinner
  
• Messenger Skinner
  
• Instant Access
  
• InternetGameBox
  
• sudoplanet
  
• Webmediaplayer
  
• Sur le site -www.games-desktop.com (n'allez pas dessus!! )
  

Aprés désinfection, il faut donc éviter de réinstaller ces logiciels.

Procédure de désinfection:

Egdaccess utilise la technique des rootkits ce qui le rend indétectable par les antispywares traditionnels. Il faut donc utiliser des utilitaires de nettoyage spécifiques pour s'en débarrasser.



1) Procédure pour les utilisateurs de Windows XP

Commencez par Afficher les fichiers cachés du système

Désinstallez le ou les logiciels vecteurs de l'infection par Ajout/Suppression de programmes (Go-astro, GoRecord, HotTVPlayer, MailSkinner, Messenger Skinner, Instant Access, Internet GameBox, Sudoplanet...).

Téléchargez AVG Antispyware.
Installez le.

Allez jusqu'au bout de l'installation. A la fin, le programme se lance.

• Mettez à jour la base virale: Dans la fenêtre principale, cliquez sur le lien Mise à jour.
  
• Une fois la mise à jour terminée, allez dans le menu Analyse, choisissez l'onglet Paramètres. Sous Comment réagir, cliquez sur Actions recommandées et choisissez Quarantaine. <-- Important
  (Ne lancez pas le scan pour le moment).
  

Recherchez les fichiers infectés avec l'outil de désinfection spécifique Navilog1.

• Avant de commencer, lisez la licence de Blacklight (F-Secure)
  En lisant ce document, vous avez pris connaissance et accepté les conditions d'utilisation de ce programme inclus dans Navilog1.zip.
  
  
• Téléchargez maintenant Navilog1.zip de Il Mafioso.
  Enregistrez-le sur votre Bureau.
  Dézippez le contenu de l'archive en faisant un Clic droit sur Navilog1.zip puis en choisissant Tout Extraire.
  
  
• Double cliquez sur Navilog1.bat.
  Laissez-vous guider par l'utilitaire. Choisissez l'option 1 puis validez.
  
  /!\ N'utilisez pas l'option 2,3 et 4 sans savoir précisément ce que vous faites /!\
  
  
• Patientez jusqu'à l'apparition de ce message :
  "*** Analyse Termine le ..... ***"
  Appuyez sur une touche comme demandé. Le Bloc-notes va s'ouvrir contenant le rapport du scan.
  
  
• Recherchez dans ce rapport la rubrique intitulée: *** Recherche avec BlackLight Engine/F-secure ***
  Vous devez y trouver une liste de fichiers dont le nom ressemble à ce qui suit:
  
  
  

  Citation:

  Fichier(s) caché(s) dans C:\WINDOWS\system32 : c:\WINDOWS\system32\sxjlydh.dat C:\windows\system32\sxjlydh.exe c:\WINDOWS\system32\sxjlydh_nav.dat c:\WINDOWS\system32\sxjlydh_navps.dat Processus caché(s) dans C:\WINDOWS\system32 : C:\windows\system32\sxjlydh.exe

  
  
  Remarques:
  
  
  • La partie du nom de fichier en rouge est caractéristique des infections par NaviPromo.
    La partie du nom de fichier en bleu est une suite aléatoire de caractères qui sera donc différente sur votre rapport.
    
  • Si aucun fichier n'apparait dans votre rapport, c'est que les pages publicitaires n'ont pas pour source une infection par NaviPromo.
    Dans ce cas, inutile d'aller plus loin, demandez de l'aide dans le forum Virus et Sécurité
    
  
  
  
• Une fois les fichiers cachés repérés, notez soigneusement la partie en bleu commune à tous les noms de fichiers. Dans notre exemple, il s'agit de sxjlydh.
  
  
• Redémarrez le PC en mode sans échec: Pour démarrer en mode sans échec.
  
  
• Double-cliquez sur Navilog1.bat pour relancer l'utilitaire.
  
  
• Choisissez cette fois l'option 4 (Désinfection manuelle par saisie nom adaware).
  
  
• Saisissez la suite de caractères correspondant à la partie fixe du nom des fichiers infectés. Dans notre exemple sxjlydh
  
  
• L'outil vous demande de saisir une 2ème fois la suite de caractères pour vérification.
  
  
• Attendez la fin du nettoyage.
  
  
• Redémarrez le PC en mode normal. A ce stade vous ne devriez plus avoir de pages publicitaires intempestives.
  Si ce n'est pas le cas, demandez de l'aide sur le forum Virus et Sécurité.
  
  
• Pour finir la désinfection, lancez AVG Anti-Spyware. Dans le menu Analyse/Onglet Analyser, choisissez Analyse complète du système.
  
  A la fin du scan, cliquez sur le bouton Appliquer toutes les actions pour mettre en quarantaine les objets trouvés par l'analyse.
  Cliquez enfin sur Enregistrer le rapport puis, sur Enregistrer le rapport sous.
  Enregistrez le rapport de scan dans le répertoire Mes Documents de façon à le retrouver facilement si besoin.
  
  

2) Procédure pour les utilisateurs d'autres versions de Windows

Commencez par Afficher les fichiers cachés du système

Désinstallez le ou les logiciels vecteurs de l'infection par Ajout/Suppression de programmes (Go-astro, GoRecord, HotTVPlayer, MailSkinner, Messenger Skinner, Instant Access, Internet GameBox, Sudoplanet...).

Téléchargez Blacklight de F-Secure et sauvegardez le sur le Bureau.

Pour ça, sur la page de BlackLight cliquez sur et sur la page suivante, cliquez sur (Download Blacklight Beta graphical user interface version).
Double-cliquez sur blbeta.exe et acceptez la licence. Cliquez Scan puis Next et n'utilisez pas votre PC tout le temps du scan.

Un rapport va être créé sur le Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres).

Attention: Ne pas utiliser l'option "Rename" de BlackLight : Il peut y avoir des faux-positifs.

BlackLight donne la liste des fichiers nocifs mis en place par le rootkit.
Le rapport d'un PC infecté par Egdaccess doit ressembler à ça: