Désinfection de Egdaccess : Navipromo & MailSkinner

[APC]

Cette procédure a été mise à jour le 12/01/2008 :

• Remplacement de BFU et BlackLight par Navilog1 de IL-MAFIOSO,
  
• Compatibilité avec Vista et Windows 2000

Elle se trouve ici :
http://www.assistepc.com/forum/desinfection-de-navipromo-egdaccess-magic-control-agent-vt884.html

---

Bonjour


Egdaccess est un adware utilisant la technique d'un rootkit, qui vous envoie de la publicité incessante (le plus souvent pornographique) lorsque vous naviguez sur Internet.

Sur ce topic, nous allons vous expliquer ce qu'il convient de faire, si vous êtes victime d'une infection d' Egdaccess (Adware.Slagent, Magic Control.Agent, ou Instant Access par exemple)


Les symptômes de l'infection :

• Vous pouvez avoir ce message d'erreur au démarrage de Windows : run dll erreur de chargement EGDACCESS_****.dll
  
  
• Lorsque vous naviguez sur internet vous recevez constamment de la publicité et vous dirige vers des sites à caractère pornographique.
  
  
• Afin de mieux cibler vos centres d'intérêt, il pirate vos surfs en communiquant la liste des sites que vous fréquentez le plus souvent.
  
  
• On vous invite à télécharger des logiciels de sécurité payants tels que Winantispyware, Error Safe, System Doctor, Winantivirus, etc...
  
  Il s'agit d'un matraquage incessant jusqu'à ce vous cédiez et installiez un de ces faux logiciels de sécurité.
  
  Ensuite il vous sera demandé une somme se situant aux alentours de 50€ pour acquérir le logiciel et pouvoir désinfecter votre PC.
  
  Il s'agit de fausses alertes de sécurité, ces rogues ne désinfectent rien du tout, vous êtes victime d'une arnaque si vous avez acquis un de ces logiciels.

Méthodes infectieuses :

Egdaccesss ne s'invite pas tout seul, il est livré avec des gratuiciels que vous avez vous-même installé :

• go-astro
  
• GoRecord
  
• HotTVPlayer
  
• MailSkinner
  
• Messenger Skinner
  
• Instant Access
  
• InternetGameBox
  
• sudoplanet
  
• Webmediaplayer
  
• hxxp://www.games-desktop.com (le lien a volontairement été désactivé)

Attention donc aux jeux gratuits


Précisions sur Mailskinner

Outre ces jeux gratuits, vous avez pu aussi télécharger MailSkinner.

Mailskinner est un gratuiciel, permettant d'insérer des smileys dans un mail avec Outlook Express ou des émoticônes sur un logiciel de messagerie instantanée comme MSN.

La page d'accueil du site de MailSkinner se présente de cette façon, sur laquelle on vous demandera d'installer un contrôle activeX (uniquement avec Internet Explorer):

Cliquez sur l'image pour l'agrandir

Vous noterez que la mention "No Spyware" n'est là que pour vous rassurer et mieux vous induire en erreur.

La première des choses à faire, pour que Egdaccess ne se réinstalle pas continuellement et pour que la désinfection soit efficace, est de vous débarasser de MailSkinner.


Comment supprimer Egdaccess:

1. Commencez par la voie classique, c'est à dire le supprimer via Ajout/Suppression de Programmes du Panneau de configuration tous les logiciels de la liste énoncée ci-dessus.

2. Enregistrez cette page pour avoir accès à la procédure en mode sans échec :


• Fichier
  
• Enregistrer Sous...
  
• Nom du fichier : Procédure
  
• Type : Page Web, complète
  
• Pour l'emplacement, choisir votre Bureau
  
• Cliquez maintenant sur Enregistrer


3. Téléchargez :


• Brute Force Uninstaller (de Merijn).
  Créez un nouveau dossier directement sur le C:\ et nommez-le BFU. Décompressez le fichier téléchargé dans ce nouveau dossier (C:\BFU)
  
  
• CCleaner :
  Installez-le dans un répertoire dédié, lors de l'installation décochez : "Ajouter la Barre d'Outils Yahoo! Ccleaner"
  
  
• Navipromo.zip (mis à jour) et décompressez-le sur votre bureau,
  
  
• EGDACCESS.bfu : Faites un clic droit sur le lien et choisissez "Enregistrer la cible du lien sous" afin de télécharger EGDACCESS.bfu (de Metallica). Sauvegardez-le dans le dossier créé (C:\BFU).
  
  Note : Si vous utilisez Internet Explorer ; lors de la sauvegarde, assurez-vous que le champ Type affiche "Tous les fichiers". Vous devez maintenant avoir deux fichiers dans le dossier C:\BFU : EGDACCESS.bfu et BFU.exe (très important) comme ceci :
  
  
  


4. Redémarrez votre pc en mode sans échec.

5. Lancez le fichier Navipromo.bat qui se trouve dans le dossier Navipromo, patientez pendant le scan.

S'il trouve quelque chose, vous verrez défiler des lignes dans la fenêtre de commande, il faudra que vous appuyez sur une touche pour lancer le nettoyage. Un rapport sera généré à cet emplacement : C:\Navipromo.txt

6. Démarrez "Brute Force Uninstaller" en double-cliquant BFU.exe (du dossier C:\BFU) :


• Cliquez sur le dossier (qui correspond à Parcourir) :
  
  
  
  
  
  
• L'arborescence du disque va s'ouvrir, sélectionnez le fichier EGDACCESS.bfu, puis cliquez sur Ouvrir
  
  
  
  
  
  
• Le chemin du fichier doit s'afficher comme dans le cadre rouge sur l'image. Ensuite cochez la case Scriptfile to execute, puis cliquez sur Execute
  
  
  
  
  
  
• Le scan s'effectue :
  
  
  
  
  
  
• A la fin de l'analyse, à l'apparition, cliquez sur [Ok]
  
  
  
  
  
  
• Cliquez ensuite sur Save pour sauvegarder le rapport :
  
  
  
  
  
  
• Par défaut, il est proposé de l'enregistrer dans le dossier d'installation mais vous pouvez le sauvegarder ailleurs. Nommez-le rapport.txt par exemple :
  
  
  
  
  
  
• Fermez le programme Brute Force Uninstaller en cliquant sur le bouton Exit
  
  
• Si vous avez sauvegardé le rapport dans le dossier de BFU, vous devez obtenir ceci :
  
  
  


7. Lancez un nettoyage avec CCleaner :


• Cliquez sur le bouton "Analyse" puis "Lancer le Nettoyage"
  
• Nettoyer aussi les "Erreurs" pour supprimer les clés du registre appartenant à Egdaccess.


8. Redémarrez normalement.


Désinfection deEgdaccess

Un des meilleurs outils, est Blacklight Rootkit Eliminator de F-Secure.


1. Téléchargez Blacklight et placez le dans son propre dossier, sur le bureau :
   
   
   • Fermez toutes les applications en cours y compris Internet Explorer.
     
   • Double cliquez sur blbeta.exe et lancez le scan.
     
   • A l'issue du scan, vous trouverez un fichier de forme fsbl + date du jour.log dans le dossier de Blacklight.
   
   
   
2. Téléchargez & installez HijackThis, générez un rapport --> Voir procédure.
   
   
3. Postez les trois rapports obtenus (HijackThis + Blacklight+ Navipromo.bat) en ouvrant un nouveau sujet sur le forum Désinfection des virus & analyses de logs HijackThis
   
   On vous expliquera comment procéder pour la suite selon l'analyse de vos rapports.

Certaines informations ont été prises sur le site de Malekal_Morte
Merci a AngelDark pour sa participation à l'élaboration de cette procédure.