RogueKiller : application Windows antivirus/antimalware. Version pour les particuliers gratuite. Autres versions pour entreprises et pour techniciens.

cr  01.01.1999      r+  22.10.2024      r-  22.10.2024      Pierre Pinard.         (Alertes et avis de sécurité au jour le jour)

RogueKiller est un programme informatique, dans l'environnement Microsoft Windows, de type « logiciel de sécurité » (analyse du système et élimination de malveillances de diverses natures).

RogueKiller fonctionne sous les systèmes d'exploitation Microsoft Windows XP, Vista, 7, 8, 8.1 et 10. Il est entièrement compatible avec les versions 32 bits et 64 bits de Windows.

RogueKiller est utilisé contre les malwares dont, entre autres, contre les crapwares (dont une sous-classe, celle des logiciels trompeurs, s'appelle « rogues », d'où le nom de RogueKiller).

RogueKiller analyse ET supprime les malveillances identifiées (dans toutes les versions de RogueKiller, y compris la version gratuite).

RogueKiller est très rapide car il ne balaye pas les fichiers ou les processus pour voir s'ils constituent une menace mais, au contraire, cherche directement si les traces des menaces qu'il connait, et dont il connait les modes d'implantation, sont présentes (RogueKiller est un scanner d'emplacements privilégiés uniquement - il n'analyse aucun des fichiers et ne l'a jamais fait).

Aidez Tigzi

Le travail de création, maintenance, hébergement, assistance, etc. ... qu'exerce Tigzi (Julien Ascoet), l'auteur de RogueKiller, mérite rémunération, comme tout travail. Vous avez deux méthodes pour l'aider :

• Utiliser la version gratuite et faire une donation ici
• Acheter la version Premium (13€ pour le particulier)

Comparaison entre les versions de RogueKiller

Fonctionnalité	RogueKiller Gratuit	RogueKiller Premium pour particuliers	RogueKiller Premium pour techniciens de maintenance (field ingeneers)
Enregistrement requis - Type d'enregistrement		Persistant	Volatile
Nombre de machines enregistrables par licence		5	Illimité
Scanner d'analyse
Suppression des malveillances découvertes
Anti-Rootkit
Utilisation en ligne de commande possible
Support	Forum public	Privé, avec Tickets	Privé, avec Tickets
Mises à jour automatiques	Manuelle seulement
Personnalisation de l'analyse
Gestionnaire des rapports d'analyses et de suppressions
Gestionnaire des objets mis en quarantaine
Thèmes
Outils d'administration - Console d'administration d'un réseau local sur lequel RogueKiller est déployé		RogueKiller Admin	RogueKiller Admin
Configuration portable (Génération d'un fichier de licence portable)
Interface personnalisable (logo de la société, etc. ...) Rebranding / Marque blanche

RogueKiller s'exécute en deux temps (deux phases) :

1. Phase 1 (PréScan)

   Dès le lancement de son exécution, RogueKiller vérifie s'il existe une nouvelle version et propose de la télécharger (fortement recommandé) ou de continuer avec la version actuelle (fortement déconseillé). Dans la version Premium, la mise à jour est automatique, sans sollicitation de l'utilisateur.

   
   RogueKiller - La version actuelle est périmée, il est vivement recommandé de procéder à la mise à jour de RogueKiller
   
   
   RogueKiller - Tant que ce logo est rouge, le pilote de RogueKiller n'est pas chargé et RogueKiller n'est pas prêt (c'est la phase de « PréScan »)
   

   Puis RogueKiller exécute une pré-analyse (un « PréScan »). Il analyse les processus en cours d'exécution et tue tous ceux reconnus comme étant malicieux (processus et services) ou hostiles à son exécution et à l'exécution d'autres logiciels de sécurité.

   Durant cette phase, Le pilote de RogueKiller est enfin chargé en mémoire.

   Le logo Driver, en haut à droite de la fenêtre de RogueKiller, ne vire au vert que lorsque le driver de RogueKiller est chargé en mémoire et actif.

   
   RogueKiller - Lorsque ce logo est vert, le pilote de RogueKiller est chargé et RogueKiller est prêt (il attend votre ordre pour exécuter le « Scan »))
   

   Si, durant le « PréScan », des processus et/ou des services ont été tués, la liste apparaîtra, de manière informative, dans l'onglet Processus de RogueKiller.

   A ce stade de l'exécution de RogueKiller, aucune action n'est encore effectuée.

   Dans les versions « portables » de RogueKiller, à la fin de cette phase 1, et avant de passer à la phase 2, RogueKiller demande que soit accepté le contrat de licence EULA (End User Licence Agrement). S'il veut abandonner, l'utilisateur peut alors redémarrer son ordinateur sans que rien ne soit affecté par la phase 1, ou cliquer sur le bouton Scan et lancer la phase 2. (Dans la version installable de RogueKiller, le contrat doit être accepté dans l'installateur, avant l'installation).

2. Phase 2 (Scan)

   Après la pré-analyse (le pré-scan), on doit poursuivre avec une analyse (un scan) étendue, toujours par RogueKiller, en cliquant sur le bouton Scan, ou laisser RogueKiller en suspend après sa phase 1 et lancer l'exécution d'autres outils de sécurité et décontamination qui n'auraient pas pu se lancer sans la phase 1 de RogueKiller.

A l'issu de la phase 2, RogueKiller signale les malveillances qu'il a identifiées, classées sous plusieurs onglets, dans son interface graphique (Registre, Tâches, Fichier Hosts, AntiRootkit, Fichiers/Dossiers, MBR et Navigateurs Web).

RogueKiller, à votre demande, va détruire ces malveillances.

RogueKiller - Onglet Processus

Cet onglet est purement informatif et indique les processus et les services que RogueKiller a stoppé (tué) durant la phase dite de « PréScan ».

Attention : Fermez toutes vos applications avant de lancer RogueKiller.

RogueKiller - Onglet Processus - Un processus inconnu est tué par mesure de précaution, bien qu'il soit parfaitement sain et légitime - Risque de perte de travaux en cours

RogueKiller - Onglet Registre

En principe, tout cocher et cliquer sur le bouton Suppression.

RogueKiller - Onglet Tâches

En principe, tout cocher et cliquer sur le bouton Suppression.

RogueKiller - Onglet Hosts

Votre fichier Hosts, qui est un DNS local (un serveur de noms de domaine - lire Hosts et DNS - Un peu d'histoire), peut contenir des altérations vous empêchant d'atteindre certains sites, en bloquant totalement l'accès à certains sites ou en redirigeant vers d'autres sites à la place de ceux recherchés. Hosts peut aussi contenir, selon les outils de sécurisation de la navigation que vous avez installés, des dizaines de milliers de noms de domaines totalement hostiles et qu'il faut bloquer. S'il s'avère que votre fichier hosts est pollué, cliquez sur le bouton Réparation fichier Hosts qui remettra votre fichier hosts dans son état d'origine (vide sauf la ligne 127.0.0.1 localhosts qui est obligatoire sous les versions de Windows antérieures à Vista et implicite dans les versions suivantes de Windows). Vous pourrez, ensuite, réinstaller les listes hosts de blocage légitimes, si vous en aviez.

Contenus par défaut du fichier hosts

• Hosts par défaut pour Windows 7

  # Copyright (c) 1993-2006 Microsoft Corp.
  #
  # This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
  #
  # This file contains the mappings of IP addresses to host names. Each
  # entry should be kept on an individual line. The IP address should
  # be placed in the first column followed by the corresponding host name.
  # The IP address and the host name should be separated by at least one
  # space.
  #
  # Additionally, comments (such as these) may be inserted on individual
  # lines or following the machine name denoted by a '#' symbol.
  #
  # For example:
  #
  #      102.54.94.97     rhino.acme.com          # source server
  #       38.25.63.10     x.acme.com              # x client host
  # localhost name resolution is handle within DNS itself.
  #       127.0.0.1       localhost
  #       ::1             localhost 

• Hosts par défaut pour Windows Vista

  # Copyright (c) 1993-2006 Microsoft Corp.
  #
  # This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
  #
  # This file contains the mappings of IP addresses to host names. Each
  # entry should be kept on an individual line. The IP address should
  # be placed in the first column followed by the corresponding host name.
  # The IP address and the host name should be separated by at least one
  # space.
  #
  # Additionally, comments (such as these) may be inserted on individual
  # lines or following the machine name denoted by a '#' symbol.
  #
  # For example:
  #
  #      102.54.94.97     rhino.acme.com          # source server
  #       38.25.63.10     x.acme.com              # x client host
  127.0.0.1       localhost
  ::1             localhost

• Hosts par défaut pour Windows Server 2008

  # Copyright (c) 1993-2006 Microsoft Corp.
  #
  # This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
  #
  # This file contains the mappings of IP addresses to host names. Each
  # entry should be kept on an individual line. The IP address should
  # be placed in the first column followed by the corresponding host name.
  # The IP address and the host name should be separated by at least one
  # space.
  #
  # Additionally, comments (such as these) may be inserted on individual
  # lines or following the machine name denoted by a '#' symbol.
  #
  # For example:
  #
  #      102.54.94.97     rhino.acme.com          # source server
  #       38.25.63.10     x.acme.com              # x client host
  127.0.0.1       localhost
  ::1             localhost

• Hosts par défaut pour Windows XP

  # Copyright (c) 1993-1999 Microsoft Corp.
  #
  # This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
  #
  # This file contains the mappings of IP addresses to host names. Each
  # entry should be kept on an individual line. The IP address should
  # be placed in the first column followed by the corresponding host name.
  # The IP address and the host name should be separated by at least one
  # space.
  #
  # Additionally, comments (such as these) may be inserted on individual
  # lines or following the machine name denoted by a '#' symbol.
  #
  # For example:
  #
  #      102.54.94.97     rhino.acme.com          # source server
  #       38.25.63.10     x.acme.com              # x client host
  127.0.0.1       localhost

• Hosts par défaut pour Windows Server 2003

  # Copyright (c) 1993-1999 Microsoft Corp.
  #
  # This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
  #
  # This file contains the mappings of IP addresses to host names. Each
  # entry should be kept on an individual line. The IP address should
  # be placed in the first column followed by the corresponding host name.
  # The IP address and the host name should be separated by at least one
  # space.
  #
  # Additionally, comments (such as these) may be inserted on individual
  # lines or following the machine name denoted by a '#' symbol.
  #
  # For example:
  #
  #      102.54.94.97     rhino.acme.com          # source server
  #       38.25.63.10     x.acme.com              # x client host
  127.0.0.1       localhost

• Hosts par défaut pour Windows 8 et 8.1

  # Copyright (c) 1993-2006 Microsoft Corp.
  #
  # This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
  #
  # This file contains the mappings of IP addresses to host names. Each
  # entry should be kept on an individual line. The IP address should
  # be placed in the first column followed by the corresponding host name.
  # The IP address and the host name should be separated by at least one
  # space.
  #
  # Additionally, comments (such as these) may be inserted on individual
  # lines or following the machine name denoted by a '#' symbol.
  #
  # For example:
  #
  #      102.54.94.97     rhino.acme.com          # source server
  #       38.25.63.10     x.acme.com              # x client host
  # localhost name resolution is handle within DNS itself.
  #       127.0.0.1       localhost
  #       ::1             localhost 

• Hosts par défaut pour Windows 10

  # Copyright (c) 1993-2006 Microsoft Corp.
  #
  # This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
  #
  # This file contains the mappings of IP addresses to host names. Each
  # entry should be kept on an individual line. The IP address should
  # be placed in the first column followed by the corresponding host name.
  # The IP address and the host name should be separated by at least one
  # space.
  #
  # Additionally, comments (such as these) may be inserted on individual
  # lines or following the machine name denoted by a '#' symbol.
  #
  # For example:
  #
  #      102.54.94.97     rhino.acme.com          # source server
  #       38.25.63.10     x.acme.com              # x client host
  # localhost name resolution is handle within DNS itself.
  #       127.0.0.1       localhost
  #       ::1             localhost 

RogueKiller - Onglet AntiRootkit

Cet onglet fait apparaître les dispositifs de crochetage (hook) existants. Ceux sur fond vert sont légitimes. Ceux sur fond orange sont suspicieux. Vous ne pouvez rien supprimer de ce qui apparaît ici. Reportez-vous vers un forum d'entraide et de décontamination.

RogueKiller - Onglet Fichiers

En principe, tout cocher et cliquer sur le bouton Suppression.

RogueKiller - Onglet MBR

RogueKiller effectue une lecture du MBR (Master Boot Record) du disque système (et des autres disques s'il y en a, y compris les cartes SD/MMC). Les informations non conventionnelles qui pourraient s'y trouver peuvent vous être demandées par un analyste (helper) qui vous assiste, sur un forum d'entraide.

Le démarrage d'un ordinateur se passe toujours en trois temps.

1. Lors de la mise sous tension, le premier programme à s'exécuter et un micro programme, le BIOS (UEFI), codé dans une mémoire non effaçable (une ROM) sur la carte mère.
   
2. Après quelques tests et vérifications, le BIOS (UEFI) lance un second programme, le BootStrap, qui se trouve toujours piste 0, secteur 0 et 1, du disque système, dans une zone du disque de démarrage (disque désigné dans le BIOS (UEFI)), appelée MBR (Master Boot Record). Le MBR contient également la table des partitions avec les informations de taille et de localisation des différentes partitions logiques du volume physique.
   
3. Le BootStrap va, à son tout, lancer le système d'exploitation lui-même. Il peut y avoir une étape intermédiaire additionnelle si le système est multiboot (par exemple, Windows et Linux sont installés). Le BootStrap vous demande alors sur quel système démarrer.
   

Ces malveillances s'appellent des BootKits (ou Virus de Boot). C'est le cas des malveillances TDSS, MaxSST ou Stoned, qui modifient soit le code du BootStrap pour lancer leurs propres composants, soit la table des partitions pour booter sur une partition fantôme.

RogueKiller permet de détecter et supprimer lesBootKits (ou Virus de Boot), même lorsqu'ils masquent leur présence. Plusieurs indicateurs montrent la légitimité d'un MBR :

• Le BootStrap est connu, et légitime.
• La lecture à différents niveaux d’abstraction retourne les mêmes résultats (ce qui signifie que le MBR n'est pas masqué).

Voici des exemples donnés par Tigzy :

RogueKiller - Onglet Navigateurs Web

Cet onglet fait apparaître les dispositifs de crochetage (hook) existants. Ceux sur fond vert sont légitimes. Ceux sur fond orange sont suspicieux.

En principe, tout cocher.

RogueKiller - Suppression / Correction des malveillances et autres problèmes suggérés. Après avoir sélectionné (après avoir coché les cases), en tout ou partie, les objets que vous souhaitez supprimer/corriger, parmi ceux suggérés par RogueKiller dans les points 2 à 8 ci-dessus, cliquez sur le bouton Suppression. Tant que vous n'avez pas cliqué sur ce bouton, RogueKiller n'a rien modifié dans votre ordinateur.

RogueKiller - Bouton Suppression

RogueKiller est capable d'analyser et supprimer les clés de registre pointant vers des ressources malicieuses, mais aussi les processus malicieux qui s'inscrivent en taches planifiées afin d'être lancés régulièrement, les dossiers de démarrage automatique et les emplacements de fichiers suspects ou connus.

RogueKiller dispose d'une interface graphique qui permet de choisir facilement les modes à utiliser, et décocher d'éventuels faux positifs avant suppression.

RogueKiller détecte certains rootkits et leurs méthodes de contournement comme les hooks SSDT, Shadow SSDT, IRP, les processus cachés, les clés de registre cachées et les détournements du Master boot Record (MBR).

RogueKiller permet aussi de rétablir un accès internet fonctionnel dans certains cas comme le détournement de configuration DNS, la mise en place d'un Proxy malicieux, ou un détournement de l'utilisation du fichier Hosts.

RogueKiller permet de récupérer l'intégralité des fichiers / dossiers / raccourcis masqués par certains crapwares (appelés « rogues », d'où le nom de RogueKiller ) de type « Fake HDD » (System Check, System Restore, System Fix, .etc. ..).

Le 15.06.2013, Tigzy (Julien ASCOET) enregistre le nom de domaine adlice.com et met en place une enseigne commerciale : Adlice Software. Peu après, RogueKiller change de logo pour adopter une apparence plus... sérieuse, plus... professionnelle.

RogueKiller - Ancien logo de RogueKiller