Malware & mode sans échec

Fermé
laurent75016 - 9 févr. 2009 à 12:09
 laurent75016 - 9 févr. 2009 à 18:49
Bonjour,
Bonjour,

Je fonctionne sous xp sp 2 familiale, bios flashé en 2008.

Lors d’une récup’ de données, j’ai dû me réattribuer des fichiers situés sur un vieux DDinterne-système — monté en externe/slave — que je savais virussé. (Je dis «réattribuer», parceque ces données se trouvaient dans un profil requérant des droits d’autorisation et n’étaient par conséquent pas accessibles à partir de mon nouveau profil administrateur «clean»...)
Problème : pour ce faire avec l’édition familiale (qui bride nombre de fonctionnalités de sécurité/contrôle...), c’est de passer par le mode sans échec (afin d’accéder à clic droit -> propriétés -> sécurité -> etc...), or ce mode ne charge pas l’antivirus (en l’occurrence AVIRA, alias Antivir), pas plus qu’il ne m’en a permis le lancement en mode «guard» (= protection en temps réel). Je me suis donc réattribué tous les fichiers EN PRENANT GARDE DE N’EN EXECUTER AUCUN, ai redémarré la bécane sous mon profil normal, puis ai passé le DD à la moulinette de mon antivirus (résultat hautement positif : troyens, backdoor "servics" etc...)
Depuis, j’ai des symptômes bizarres : broutage en permanence de mon DD externe lorsque je fais une recherche sur C:\, problèmes pour quitter l’explorateur...

Je me demandais par conséquent si une CONTAMINATION/PROPAGATION DE MALWARE ETAIT POSSIBLE durant le simple processus de réattribution des fichiers. Je précise également que lorsque j’ai booté en mode ss échec, le DDur virussé était connecté via USB (mais il me semble que les périphériques USB ne "bootent" pas...).

Merci d’avance pour vos lumières...
A voir également:

11 réponses

totobetourne Messages postés 5592 Date d'inscription dimanche 23 mars 2008 Statut Membre Dernière intervention 6 juin 2012 65
9 févr. 2009 à 14:09
bonjour

Télécharge Random's System Information Tool (RSIT) de random/random et enregistre l'exécutable sur ton Bureau.

-> http://images.malwareremoval.com/random/RSIT.exe

! Déconnecte toi et ferme toutes tes applications en cours !

Double-clique sur " RSIT.exe " pour le lancer .

-> Une première fenêtre s'ouvre avec en titre : " Disclaimer of warranty " .

* Devant l'option "List files/folders created ..." , tu choisis : 2 months

* clique ensuite sur " Continue " pour lancer l'analyse ...


-> laisse faire le scan et ne touche pas au PC ...


Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront (probablement avec le bloc-note).

Poste le contenu de " log.txt " (c'est celui qui apparait à l'écran), ainsi que de " info.txt " (que tu verras dans la barre des tâches), pour analyse et attends la suite ...

Important : poste un rapport, puis l'autre dans la réponse suivante
Si tu essaies de poster les deux en même temps, cela risque d'être trop long pour le forum


( Note : les rapports seront en outre sauvegardés dans ce dossier -> C:\rsit )
0
Merci t. !

Je poste ci-dessous un résumé de mon fichier log réalisé sous avira, auquel je reste fidèle (je ne désinstalle pas la protection active de mon antivirus, dont le md5 n’a du reste pas bougé...).

Et je repose ma question (pour le cas où je n’aurais pas été clair) : est-il, au vu de ce que je me trimballe sur un DD monté en slave, durant un simple boot + processus de réattribution des droits sur des fichiers réalisé en mode sans échec (et donc sans protection antivirus en temps réel) possible de contaminer mon DD interne ? Parce que dans l’affirmative, ce serait une sacrée faille de sécurité de XP familiale...


-----------------
Virus W32/Virut.AX
Dldr.Iframe.K
les deux infections les plus fréquentes, une centaine d’occurrences...


TR/Drop.OneStep.A
JAVA/Femad
JAVA/ClassLdr.I.2
JAVA/BlackBox.AA.1 à 4 !
JS/OpenConnect.J.1
plusieurs occurrences heuristiques

quelques msg d’erreur :
ACCESS_VIOLATION
EAX = 00000000 EBX = 024D36C0
ECX = 00000200 EDX = 024BF578
ESI = 024BF450 EDI = 024bf450
EIP = 00000000 EBP = 024BF450
ESP = 017BE90C Flg = 00010202
CS = 00000023 SS = 0000001B
0
Il va sans dire qu’un scan de mon DD interne avec Avira ne détecte rien...
Mais alors, pourquoi perséverer à brouter tout périphérique usb lors de mes recherches sous l’explorateur ?...
Et je suis certain de l’état non-contaminé de mon DD interne avant la réattribution litigieuse...

Une telle hypothèse de contamination, alors qu’on n’exécute aucun fichier, est quand même virtuellement impossible, non (je précise qu’autorun est désactivé sur mon système...) ?
0
totobetourne Messages postés 5592 Date d'inscription dimanche 23 mars 2008 Statut Membre Dernière intervention 6 juin 2012 65
9 févr. 2009 à 16:29
donc voila pourquoi et je me repete egalement que rsit va nous etre util.
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Totobetoune, rebonjour,

Ma priorité n’est pas au dévirussage à proprement parler : je n’ai pas de données sur mon système (ai bien pris soin de déconnecter mon DD de données avant de faire tout ce que je décris plus haut). Au pire, je reformate le tout... Je m’amuserai peut être avec RSIT avant, si j’ai le temps...

Ma question est un question THEORIQUE qui porte sur la faisabilité technique (ou non) d’une contamination en mode sans échec (avec DD litigieux branché en cours de boot). Partout, on me dit qu’il faut qu’un fichier soit chargé en MBR et/ou exécuté par le système (via exécution manuelle ou via autorun), choses que j’ai précisément essayer d’éviter en prenant mes précautions (cf mon post initial)... En gros, je veux que quelqu’un me confirme (ou infirme) les choses suivantes :

- les bios modernes sont capables de booter sur un périph USB (en l’occurrence mon DD ext)
- le mode sans échec, contrairement à ce que l’on peut lire, exécute les fichiers "autorun.inf"/ active autoplay
- Il existe des parades à autorun, ç-à-d des fichiers qui ont la capacité de s’autoexécuter sous windows.

Merci de m’éclairer sur ces points (peut-etre devrais-je poster dans le forum Windows ?).

--Laurent
0
totobetourne Messages postés 5592 Date d'inscription dimanche 23 mars 2008 Statut Membre Dernière intervention 6 juin 2012 65
9 févr. 2009 à 17:10
je ne connais pas tout mais surement tu as un vers(les vers aime bien se rependre un peu partout et donc aller chercher de nouveaux systeme a infecte), je suis la sur le forum pour enlever les salete.

rsit c est pour voir ce qu il y a dans ton systeme et cela me donne des informations pour l eliminer avec d autres programmes.

sinon tu as une autre methode pour l eliminer mais la je ne suis pas sur de l effet.

le premier pour te l enlever si il le reconnait , le 2 eme pour creer de nouveaux autorun donc l infection est stoppee.

1/ # Télécharge RavAntivirus d'Evosla :
http://ww25.evosla.com/compteur.php?soft=rav_antivirus

# Si tu as une clé USB, disque dur externe, etc, branche-les sans les ouvrir avant de lancer ce FIX
# Fais un clic droit sur le fichier .ZIP > Extraire sur > le Bureau
# Doucle-clique sur >> RAV.exe << afin de lancer l'outil.
# Une fois RAV ANTIVIRUS lancé, laisse-le réagir , il scanne automatiquement tout les lecteurs (disques fixes et amovibles)
# Si infection > un log s'établira, sinon le soft affichera (très rapide) ==>Votre Ordinateur est sain .
# Retire tes disques amovibles et redémarrez votre ordinateur.
# Poste le rapport, si infection!

2/ Télécharge sur le bureau Flash Disinfector (de SUBS) à cette adresse : http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe

Double-clique sur l’icône.
Les icônes vont disparaître. C’est normal.
Si un rapport est généré en cas d'infection, sauvegarde-le sur le bureau, et poste le ensuite
Redémarre ensuite le PC.
0
Merci pour tes conseils !

Je vais voir ce que je peux faire dans le peu de temps que j’ai, concernant ma contamination potentielle...

(Au pire, je reformate tout : en bootant avec le CD de win, je ne risque pas de garder quoi que ce soit, non ? Qu’en penses-tu ?).

Pour ce qui est de mes questions théoriques, je vais pt-etre faire un tour sur la section CCM consacrée à Windows...

Merci encore...
0
totobetourne Messages postés 5592 Date d'inscription dimanche 23 mars 2008 Statut Membre Dernière intervention 6 juin 2012 65
9 févr. 2009 à 17:42
forum ccm windows enormement de questions donc pas sur que tu ais une reponse, poste la tout de meme.

inutil de reformater tout c est plus rapide avec ces methodes logiquement.
0
OK, c’est noté. Mais si j’opte pour le reformatage, je cours un risque de garder mes (hypothétiques) virus en rebootant à partir du CD dkinstallation windows ?
0
totobetourne Messages postés 5592 Date d'inscription dimanche 23 mars 2008 Statut Membre Dernière intervention 6 juin 2012 65
9 févr. 2009 à 18:14
oui surement car lorsque apres tu vas rebrancher ton disque externe la saloperie va se rammener.
0
Euhhh, je ne compte pas rebrancher mon DD Externe sans précaution (= la présence de mon antivirus favori sur mon système), cela va sans dire... Alors, c’est bon ?
Du reste, je prendrai évidemment soin de réinstaller la version pro d’XP, afin de pouvoir me réattribuer les fichiers en mode normal (et non plus sans échec).
0