Comment RKIT/Kryptic.763904 Résolu

Question

Bonjour,
mon antivirus Avira Antivir m'a détecté RKIT/Kryptic.763904 dans le dossier C:\Windows\System32\drivers
et il n'arrive pas à le supprimer.
je ne sais pas quoi faire, ce virus est-il dangereux ?
si je ré-initialise à une date antérieur, cela peut-il régler le problème ?
Pouvez-vous m'aider ?

jlpjlp · Answer

slt colle le rapport d'antivir

puis


Téléchargez Gmer. (Przemyslaw Gmerek) sur votre bureau.
http://www2.gmer.net/gmer.zip

    * Dézippez-le dans un dossier dédié ou sur votre Bureau.
    * Déconnectez vous d'Internet puis fermez tous les programmes.
    * Double-cliquez sur Gmer.exe.
    * Cliquez sur l'onglet Rootkit.
    * A droite, cochez seulement Files, Services & Registry.
    * Cliquez maintenant sur Scan.
    * Lorsque le scan est terminé, cliquez sur Copy.
    * Ouvrez le Bloc-notes puis cliquez sur le Menu Édition / Coller.
    * Le rapport doit alors apparaitre.
    * Enregistrez le fichier sur votre Bureau et postez le contenu sur le forum forum Virus/Sécurité de CCM

jlpjlp · Answer

ok fais GMER

et par la suite 


Télécharge ici :

http://images.malwareremoval.com/random/RSIT.exe

random's system information tool (RSIT) par andom/random et sauvegarde-le sur le Bureau.

Double-clique sur RSIT.exe afin de lancer RSIT.

Clique Continue à l'écran Disclaimer.

Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu, si demandé) et tu devras accepter la licence.

Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront.

Poste le contenu de log.txt (<<qui sera affiché)
ainsi que de info.txt (<<qui sera réduit dans la Barre des Tâches).

NB : Les rapports sont sauvegardés dans le dossier C:\rsit

jlpjlp · Answer

# relancez Gmer
# Le programme se lance et fait un auto scan (il s'agit de l'onglet : Rootkit/Malware).
# Des lignes rouges doivent apparaître en cas d'infection :

    * Sur ces lignes rouges:
          o Services: Clic-droit puis delete service
          o Process: Clic-droit puis kill process
          o Adl, file: Clic-droit puis delete files 

__________________________



Télécharge Toolbar-S&D (Team IDN) sur ton Bureau.
https://77b4795d-a-62cb3a1a-s-sites.googlegroups.com/site/eric71mespages/ToolBarSD.exe?attachauth=ANoY7cpVobGk5bHnxrhQ4yaoEUDJvOYNnEGyYjgqHZz5GqZLfutR3fMFPlsC3-CGIilfupPAguYATNyua3csodN_frdMK8sSzUpit10Yac-QJCOkMqJKkbdKcP6ySs8trWPgoNVIq4TGGWCe6o0txXQv-ZueJF9vZzw3RXsGwFYIqN2lvF2LPdQzS8mE1d5kWOVOz6EMzQuE5-lClSJM869uq3oc7-t7yg%3D%3D&attredirects=3

* Lance l'installation du programme en exécutant le fichier téléchargé.
* Double-clique maintenant sur le raccourci de Toolbar-S&D.
* Sélectionne la langue souhaitée en tapant la lettre de ton choix puis en validant avec la touche Entrée.
* Choisis maintenant l'option 2. Patiente jusqu'à la fin de la recherche.
* Poste le rapport généré. (C:\TB.txt)

__________________________

scan avec malwarebyte , fais un scan rapide et colle le rapport obtenu et vire ce qui est trouvé:


https://www.malekal.com/tutoriel-malwarebyte-anti-malware/­

__________________________


mettre à jour adobe reader puis supprimer les anciennes version via le panneau de configuration
https://acrobat.adobe.com/fr/fr/acrobat/pdf-reader.html

ou passer a un lecteur alternatif ce qui évitera les virus circulant via les PDF comme foxit reader (ne pas mettre les barres foxit, ask, ebay..)

https://www.commentcamarche.net/telecharger/ 205 foxit reader



__________________________


remets ensuite un rapport rsit 

a plus

jlpjlp · Answer

ok alors fais à la place navilog
tu le lance et tu me collera le rapport

et fais le reste

jlpjlp · Answer

ok fais le reste

a plus

jlpjlp · Answer

ok
fais la suite

jlpjlp · Answer

ok


*Téléchargez Tools Cleaner 2 sur votre bureau. 
-->  https://www.commentcamarche.net/telecharger/securite/22061-toolscleaner/
Double cliquez sur ToolsCleaner 2 pour l’exécuter. ( si vous êtes sous vista cliquez droit sur  le fichier ToolsCleaner 2 et exécutez le en tant qu'administrateur  )  
*Cliquez sur Recherche et laissez la se dérouler 
* Cliquez sur Suppression pour finaliser. 
* Vous pouvez , si vous le souhaitez, vous servir des Options facultatives. 
* Cliquez sur Quitter pour obtenir le rapport. 
* Postez le rapport (TCleaner.txt) qui se trouve à la racine de votre disque dur (C:\) dans le forum où cela vous a été demandé. 





ensuite pour voir si malwarebyte a bien viré le rootkit de départ colle un rapport avec GMER et/ou antivir


a plus

jlpjlp · Answer

ok si présent alors:


Désactive le contrôle des comptes utilisateurs (tu le réactiveras après ta désinfection): 

- Va dans démarrer puis panneau de configuration 
- Double Clique sur l'icône "Comptes d'utilisateurs" 
- Clique ensuite sur désactiver et valide. 


télécharge combofix (par sUBs) ici : 

http://download.bleepingcomputer.com/sUBs/ComboFix.exe 

et enregistre le sur le bureau
sous le nom de antibagle. Fais le avant que le fichier ne soit enregistré sur le bureau] 

déconnecte toi d'internet et ferme toutes tes applications. 

désactive tes protections (antivirus, parefeu, garde en temps réel de l'antispyware) 


double-clique sur combofix.exe et suis les instructions 

à la fin, il va produire un rapport C:\ComboFix.txt 

réactive ton parefeu, ton antivirus, la garde de ton antispyware 

copie/colle le rapport C:\ComboFix.txt dans ta prochaine réponse. 

Attention, n'utilise pas ta souris ni ton clavier (ni un autre système de pointage) pendant que le programme tourne. Cela pourrait figer l'ordi. 

Tu as un tutoriel complet ici : 

https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

jlpjlp · Answer

Windows Defender est ton anti espion :)

jlpjlp · Answer

il te suffit de le désactiver et tu peux faire combofix

jlpjlp · Answer

ok analyse ce fichier sur virus total et colle moi le rapport:https://www.virustotal.com/gui/

C:\uglcapow.sys


_______________




je me mets ceci de coté:

C:\Windows\system32\Drivers\fwyia.sys (Rootkit.Agent) -> Quarantined and deleted successfully.


2010-01-11 21:07 . 2009-03-07 09:27 -------- d-----w- c:\program files\pdfforge Toolbar

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{B922D405-6D13-4A2B-AE89-08A030DA4402}]
2009-01-30 14:12 650752 ----a-w- c:\program files\pdfforge Toolbar\WidgiToolbarIE.dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{B922D405-6D13-4A2B-AE89-08A030DA4402}"= "c:\program files\pdfforge Toolbar\WidgiToolbarIE.dll" 


[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\fwyia]

jlpjlp · Answer

Pour fusionner:

http://img.photobucket.com/albums/v666/sUBs/CFScript.gif

_______________

telecharge combofix:

http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Sauvegarde le sur ton bureau et pas ailleurs !

_________________

Ferme tous tes navigateurs (donc copie ou imprime les instructions avant)

Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes :




Service::
fwyia
File::
C:\Windows\system32\Drivers\fwyia.sys 
c:\program files\pdfforge Toolbar
Registry::
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{B922D405-6D13-4A2B-AE89-08A030DA4402}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{B922D405-6D13-4A2B-AE89-08A030DA4402}"=-
[-HKEY_LOCAL_MACHINE\system\ControlSet001\Services\fwyia]



Enregistre ce fichier sous le nom CFscript


Fait un glisser/déposer de ce fichier CFscrïpt sur le fichier ComboFix.exe

Clique sur le fichier CFScript, maintient le doigt enfoncé et glisse la souris pour que l'icône du CFScript vienne recouvrir l'icône de Combofix. Relache la souris. Combofix va démarrer.

Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.

Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!

Ne touche à rien tant que le scan n'est pas terminé.

Une fois le scan achevé, un rapport va s'afficher: poste son contenu.


Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

jlpjlp · Answer

ok tenace

fais ceci

Télécharger OAD (Outil d'Aide au Diagnostic) < http://sosvirus.changelog.fr/OAD.exe >
&#8594; Enregistre-le sur ton bureau
&#8594; Lancer 'OAD.exe' en faisant un double clique sur le fichier
&#8594; Saisir la valeur recherchée -> ' fwyia ' ( fait un copier/coller )
&#8594; Type de recherche : sélectionner l'option 6 puis valide [entrée]
&#8594; OAD va maintenant rechercher le fichier.
&#8594; Laisse-le travailler jusqu'à ce qu'il en ait terminé.
&#8594; Suivant la taille des disques durs, cette recherche peut prendre plusieurs minutes.

------------- Patienter. --------------

&#8594; Le rapport de recherche s'affichera automatiquement dès qu'il en aura terminé.
&#8594; Faire un copier/coller de ce rapport dans ton prochain post.


(CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

Note: Certains Antivirus peuvent émettre une alerte lors du téléchargement / utilisation > ignore

jlpjlp · Answer

Ferme tous tes navigateurs (donc copie ou imprime les instructions avant)

Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes :




Driver ::
fwyia
File::
C:\Windows\system32\Drivers\fwyia.sys



Enregistre ce fichier sous le nom CFscript


Fait un glisser/déposer de ce fichier CFscrïpt sur le fichier ComboFix.exe

Clique sur le fichier CFScript, maintient le doigt enfoncé et glisse la souris pour que l'icône du CFScript vienne recouvrir l'icône de Combofix. Relache la souris. Combofix va démarrer.

Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.

Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!

Ne touche à rien tant que le scan n'est pas terminé.

Une fois le scan achevé, un rapport va s'afficher: poste son contenu.


Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt


puis


Télécharge SF.exe de C_XX
http://pagesperso-orange.fr/NosTools/C_XX/SF.exe
Double-clique sur le fichier SF.exe.
Dans la fenêtre DOS tape  fwyia
Valide par Entrer.
Le scan prendra quelques minutes et un fichier texte va s'ouvrir que tu postes par copier-coller.
Tu refermes le fichier et l'outil.

jlpjlp · Answer

ok refais après démarrage pour voir si c'est present

jlpjlp · Answer

fais le message 34

jlpjlp · Answer

pour SF.exe le nom a changé en SEAF ici

http://pagesperso-orange.fr/NosTools/C_XX/SEAF.exe

jlpjlp · Answer

ok vire le fichier quarantine aussi en suivant le lien

C:\Qoobox\Quarantine

et vidange ce qui est dans les quarantaine de malwarebyte et antivir

a plus

jlpjlp · Answer

*Téléchargez Tools Cleaner 2 sur votre bureau. 
-->  https://www.commentcamarche.net/telecharger/securite/22061-toolscleaner/
Double cliquez sur ToolsCleaner 2 pour l’exécuter. ( si vous êtes sous vista cliquez droit sur  le fichier ToolsCleaner 2 et exécutez le en tant qu'administrateur  )  
*Cliquez sur Recherche et laissez la se dérouler 
* Cliquez sur Suppression pour finaliser. 
* Vous pouvez , si vous le souhaitez, vous servir des Options facultatives. 
* Cliquez sur Quitter pour obtenir le rapport. 
* Postez le rapport (TCleaner.txt) qui se trouve à la racine de votre disque dur (C:\) dans le forum où cela vous a été demandé. 

____________________


Désactive ta restauration système puis redémarre ton ordi puis réactive là comme ceci:
https://www.informatruc.com


_______________________


encore des soucis?????

jlpjlp · Answer

ok parfait


pour te proteger regarde ici  https://www.commentcamarche.net/faq/24687-les-logiciels-de-securite-gratuits-indispensables







pour protéger gratos ton ordi

https://www.commentcamarche.net/telecharger/securite/­te


vacciner son ordi après avoir branché toutes ses clés usb avec usbfix ou flash disinfector ou rav antivirus car beaucoup actuellement transitent par les supports externes :
http://ww25.evosla.com/compteur.php?soft=rav_antivirus
http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfec­tor.exe
http://sd-1.archive-host.com/membres/up/127028005715545653/U­sbFix.exe

---------
mettre un antivirus

ANTIVIR ou AVG8 ou (AVAST ) ou Microsoft Security Essentials

http://forum.telecharger.01net.com/forum/
http://www.free-av.com/fr/products/1/avira_antivir_personal_­_free_antivirus.html
-------------
des anti-espions :
MalwareByte's Anti-Malware + SPYBOT +/- si tea timer non active de spybot:
WINDOWS DEFENDER ou SPYWARE TERMINATOR ou SPYWARE GUARD
+
SPYWAREBLASTER pour immuniser le système contre vundo notamment mais en anglais (mais facile d'utilisation : il suffit de faire "update" pour mettre à jour tous les mois et ensuite" enable all protection" pour immuniser)...

Rq : spybot … sortent de nouvelles versions régulièrement, vérifiez que vous avez la dernière version
--------
un pare feu :
celui de (Windows) ou mieux Online armor ou KERIO ou JETICO ou ZONE ALARM (mettre que le parefeu gratuit) ou COMODO

http://www.commentcamarche.net/...
https://www.01net.com/telecharger/windows/Securite/firewall/fiches/39911.html
https://forum.pcastuces.com/sujet.asp?f=25&s=35606
https://www.clubic.com/telecharger-fiche11071-sunbelt-personal-firewall-ex-kerio.html
https://manuelsdaide.com/contact/
http://www.open-files.com/forum/index.php?showtopic=29277
https://www.01net.com/
https://www.zonealarm.com/software/free-firewall

-----------
CCLEANER pour effacer les traces de surf
---------
naviguer avec firefox ou safari ou opera et non internet explorer plus touché par les virus
http://www.mozilla-europe.org/fr/products/firefox/

jlpjlp · Answer

pour malwarebyte il faut le mettre à jour avant de faire l'analyse!

jlpjlp · Answer

ok
impec!

cri · Answer

Pour info j'avais exactement le meme virus et le logiciel sophos rootkit killer a reussi a me le virer. Malwarebytes, gmer, avira etc... n'avaient pas reussi à le virer.

Comment RKIT/Kryptic.763904 - Page 2

Newsletters