Macatte removal tool

Les faux Antivirus sont en pleine effervescence de nos jours, pas plus tard qu’avant-hier, un nouveau malware est apparu sur le net, il s’appelle macatte. Les créateurs de ces faux Antivirus accompagnent souvent leurs créations dans des cracks ou des fichiers téléchargeables sur des sites pirates. L’un des fichiers contenant ce virus est le crack d’un logiciel qui s’appelle Pro scan, l’adresse du fichier infecté est http://rapidshare.com/files/137433710/ProScan_5.1.rar. Ce fichier pèse normalement 1M et le reste, ce sont les fichiers du virus.

Il y a aussi un autre fichier infecté qui est le crack du logiciel « NTI Media Maker Premium v8 0 0 6366 ». Ce fichier peut-être téléchargé avec Limewire ou via le réseau P2P torrent. Heureusement que Limewire a bloqué le fichier. Une fois les fichiers infectés cliqués, votre système sera lui aussi infecté mais le virus attend 5 à 10 mn pour montrer sa présence par des fausses alertes. Il vous averti qu’il y a plein de virus dans votre système. Il affiche aussi des fausses attaques de votre système en affichant des messages bidon.

Il existe aussi des liens sur Internet dont l’un de ces liens est proscan5.info. Une fois, vous ouvrez cette page, une image d’un certain explorateur s’ouvre et vous êtes bombardés par des avertissements tel « Warning! Your PC is at risk of virus and malware attack. Your system requires immediate check! ». Une fois vous cliquez sur OK, un autre message apparait à l’écran, cette fois-ci, c’est plus sérieux. Si jamais, vous êtes tombés sur ses pages, ne touchez à rien, fermez votre navigateur en appuyant sur CTRL + ALT + DEL et terminez le processus de votre navigateur.

Malgré tout cela, si jamais ce maudit virus est déjà présent dans votre système, voici un petit outil de suppression (removal tool) pour supprimer facilement ce virus.

Pour supprimer le virus :

• Téléchargez ce patch en cliquant sur le bouton télécharger en bas
• Décompressez le fichier obtenu avec Winrar
• Lancez le patch
• Cliquez sur le bouton delete, quand ce sera fini, le patch vous averti
• Redémarrez votre système.

Tout devrait rentrer dans l’ordre maintenant.

Voici les détails du virus si vous voulez en savoir d'avantage.

Processus

• mstdl.exe
• msc.exe
• temp.exe
• mcull.exe
• msc.exe
• u7[1].exe
• protector.exe
• start.exe
• new.exe
• uninstall.exe

DLL

• WPtect.dll

Fichiers et dossiers

• %CommonAppData%\msca
• %CommonAppData%\msca\msca.ico
• %CommonAppData%\msca\mcull.exe
• %CommonAppData%\msca\msc.exe
• %CommonAppData%\msca\Viruses.dat
• %CommonAppData%\Microsoft\Media\WPtect.dll
  
  
• %CommonDesktop%\msca.lnk
• %CommoneStartMenu%\Programs\msca
• %CommoneStartMenu%\Programs\msca\msca.lnk
  
  
• [#Folder of your download]\temp.exe
• %TempInternetFiles%\Content.IE5\82EE5ZLE\u5[1].exe

Registres

• HKEY_CURRENT_USER\Software\msca
• HKEY_CURRENT_USER\Software\msca\imposs=02964
• HKEY_CURRENT_USER\Software\msca\Exename=%CommonAppData%\msca\protector.exe
• HKEY_CURRENT_USER\Software\msca\Sound=%CommonAppData%\msca\sound.wav
• HKEY_CURRENT_USER\Software\msca\Startup=%CommonAppData%\msca\start.exe
• HKEY_CURRENT_USER\Software\msca\New=%CommonAppData%\msca\new.exe
• HKEY_CURRENT_USER\Software\msca\Licensed=false
• HKEY_CURRENT_USER\Software\msca\boot=1
• HKEY_CURRENT_USER\Software\msca\complete_scan=true
  
  
• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{459b6bf8-5320-4c41-8833-85baedf31086}
• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{459b6bf8-5320-4c41-8833-85baedf31086}\DefaultIcon
• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{459b6bf8-5320-4c41-8833-85baedf31086}\Shell
• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{459b6bf8-5320-4c41-8833-85baedf31086}\Shell\Open
• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{459b6bf8-5320-4c41-8833-85baedf31086}\Shell\Open\Command
  
  
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{A73890FC-177F-4198-AE3D-C64F7D9E69D8}
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ControlPanel\NameSpace\{459b6bf8-5320-4c41-8833-85baedf31086}
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace\{459b6bf8-5320-4c41-8833-85baedf31086}
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MyComputer\NameSpace\{459b6bf8-5320-4c41-8833-85baedf31086}
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\NetworkNeighborhood\NameSpace\{459b6bf8-5320-4c41-8833-85baedf31086}
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\msca=%CommonAppData%\msca\start.exe
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\msca
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\msca\DisplayName=msca
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\msca\UninstallString=%CommonAppData%\msca\uninstall.exe
  
  
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\WarnOnPost=0
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\WarnOnPostRedirect=0
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\WarnonBadCertRecving=0

AttentionC’est un nouveau virus, on ne sait pas encore ni toutes les variantes ni tous les symptômes ni tous ses mécanismes de réplication.
Si jamais vos fichiers ne sont pas identiques aux notre, vous pouvez toujours supprimer le virus avec Windows Optimum, un tutoriel sur la suppression de ce virus sera disponible demain 5 novembre 2009.