Virus : AV Security Suite

Question

Bonjour, 

Hier sont apparus sur mon pc des messages d'alertes du logiciel AV Security Suite (que je n'ai jms installé...) me disant bloquer des attaques virales...

J'ai lancé un scan d'avast puis de malwarebytes, tenté de supprimer les éléments infectés détectés mais le problème persistait au redémarrage de mon ordinateur...

Ci dessous les rapports.

Merci d'avance à ceux qui pourront m'aider! :)

Configuration: Windows XP / Firefox 3.6.3

kaak · Answer

Malwarebytes' Anti-Malware 1.44
Version de la base de données: 3831
Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

11/06/2010 20:46:57
mbam-log-2010-06-11 (20-46-57).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 352151
Temps écoulé: 1 hour(s), 39 minute(s), 25 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 7
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\avsoft (Trojan.Fraudpack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\dwwinxp.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.Exe (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\procexp.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rstrui.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\avsoft (Trojan.Fraudpack) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\regdiit (Backdoor.PoisonIvy) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue (Hijack.System.Hidden) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\WINDOWS\system32\winxp.exe (Backdoor.PoisonIvy) -> Quarantined and deleted successfully.

NicoVA · Answer

Bonjour,

Pourrais tu poster les rapports ??

++

kaak · Answer

2ème analyse que j'ai faite ensuite :

Malwarebytes' Anti-Malware 1.44
Version de la base de données: 3831
Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

11/06/2010 21:48:27
mbam-log-2010-06-11 (21-48-27).txt

Type de recherche: Examen rapide
Eléments examinés: 197637
Temps écoulé: 21 minute(s), 12 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 5
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\dwwinxp.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.Exe (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\procexp.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rstrui.exe (Security.Hijack) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\regdiit (Backdoor.PoisonIvy) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue (Hijack.System.Hidden) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\WINDOWS\system32\winxp.exe (Backdoor.PoisonIvy) -> Quarantined and deleted successfully.

NicoVA · Answer

Oups, j'avais pas vu. Dsl.

On va faire un diagnostique de ton pc pour voir si il y a des restes d'infections :

&#x25B6; Télécharge ZHPDiag

&#x25B6; Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.

&#x25B6; Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)

&#x25B6; Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette

&#x25B6; Héberge le rapport ZHPDiag.txt sur ce site, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.

++

kaak · Answer

Voici le lien du rapport :
http://www.cijoint.fr/cjlink.php?file=cj201006/cij5QQO3qR.txt

merci !

NicoVA · Answer

Ouahh! Il y a du monde la dedans ! 

* Sous Vista : ? Désactive le contrôle des comptes utilisateurs (tu le réactiveras après ta désinfection): 

? Clique sur Démarrer puis sur panneau de configuration 
? Double Clique sur l'icône "Comptes d'utilisateurs" 
? Clique ensuite sur désactiver et valide. 
? Redémarre le PC 

? Télécharge Combofix de sUBs 

? et enregistre le sur le Bureau. 

 ? désactive tes protections et ferme toutes tes applications(antivirus, parefeu, garde en temps réel de l'antispyware) 

? Installe la console de réparation !!

Voici le tutoriel officiel de Bleeping Computer pour savoir l utiliser : 

https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix 

ensuite envois le rapport stp   

++

kaak · Answer

Impossible de télécharger combofix... :(
Je tombe sur ce message d'erreur quand je clique sur le lien : http://www.cijoint.fr/cjlink.php?file=cj201006/cij9agqB2V.docx

J'arrive à ouvrir la page du tuto, j'ai même essayé l'autre lien proposé pour combofix, rien à faire...

NicoVA · Answer

Salut  

On va essayer deux choses : 
 
1/ 

? Télécharge Rkill de Grinler 

? Double-cliquez dessus pour le lancer, le logiciel peut prendre du temps !  

Note : Si vous avez un message qui signale que Rkill est un indésirable, ignorez la et lancez de nouveau Rkill après désactivation du logiciel le considérant comme néfaste. 

--> Enchaine avec la procédure de ComboFix 

/!\ Si tu a encore le message d'erreur malgrès ceci alors : 

Redémarre en mode sans échec avec prise en charge réseau  ( ne surtout pas utiliser la méthode avec msconfig !! )

--> Fait la procédure avec ComboFix 

Tiens moi au jus ! 

A+

kaak · Answer

Ça y est! J'ai réussi à télécharger combofix après rkill.

Voici donc le rapport :
http://www.cijoint.fr/cjlink.php?file=cj201006/cij63VWGHx.txt

Thx !

NicoVA · Answer

Salut  

Y'a encore du taf ! 

Désactive la protection de ton antivirus, anti-spyware et ferme internet et tes applications  

-> Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes : 

KillAll:: 

Folder:: 
d:\documents and settings\kaki\Local Settings\Application Data\jfkkipwmt 
d:\documents and settings\kaki\Local Settings\Application Data
lypdewnn 
d:\documents and settings\kaki\Local Settings\Application Data\fgostpvkt 
d:\documents and settings\kaki\Local Settings\Application Data\aeprql 
d:\documents and settings\kaki\Local Settings\Application Data\geitylqlx 
d:\documents and settings\wissam\Local Settings\Application Data\hxjsqbjuj 
d:\documents and settings\kaki\Local Settings\Application Data\vfgotwa 
d:\documents and settings\kaki\Local Settings\Application Data\yhlajckt 
d:\documents and settings\uham\Local Settings\Application Data\lljfcyhft 

File:: 
c:\windows\system32\Smab0.dll     

Driver:: 
gAGP440p 

Mbr:: 
 

-> Enregistre ce fichier sous le nom CFScript 

-> Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe 

-> Patiente le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!

* Ne touche à rien tant que le scan n'est pas terminé. 

-> Une fois le scan achevé, un rapport va s'afficher: poste son contenu. 

-> Si le fichier n'apparait pas, il se trouve ici dans C:\ sous le nom de ComboFix.txt 

=================================== 

AV: avast! Antivirus *On-access scanning disabled* (Updated) {7591DB91-41F0-48A3-B128-1A293FD8233D} 
AV: Norton Internet Security *On-access scanning enabled* (Updated) {E10A9785-9598-4754-B552-92431C1C35F8} 

=> La règle : 1 seul antivirus donc désinstalle Norton. 

A++

kaak · Answer

Slt!

J'ai suivi tes instructions, voici le nouveau rapport : http://www.cijoint.fr/cjlink.php?file=cj201006/cijbrWktYo.txt

Deux ptites choses :
- il y a eu une mise à jour de combofix au tout début, le logiciel a redémarré donc j'espère que ça n'a pas "zappé" le script que j'avais glissé/déposé...
- pour norton, je n'ai trouvé que des raccourcis sur mon ordi, dans ajout/suppression de programmes aucune trace de norton, donc je n'arrive pas à le désinstaller, pourtant combofix m'a remis le même message que lors du 1er scan ( me demandant de désactiver norton)...

Merci !

NicoVA · Answer

Salut

Ok, c'est déjà mieux. 

1/

Utilise ceci pour enlever toutes les traces de norton

2/

Relance un scan complet avec MBAM en n'oubliant pas de faire la mise à jour !

++

kaak · Answer

Ci-dessous le rapport mbam, aucun nuisible détecté! Donc plus de virus? 
Concernant les périphériques (dde, clés usb) je dois vérifier qch en particulier?

Je sais pas du tout comment agit un rootkit, mais est-ce que je dois par exemple changer mes mots de passe(boite mail...)? Des docs confidentiels sont présents sur mon rdi (genre relevés de banque...), il y a un risque que des donnés aient été volées? 

Merci++ pour ton aide en tout cas! :) 


------------------------------------------------------ 
Malwarebytes' Anti-Malware 1.46 
www.malwarebytes.org 

Version de la base de données: 4194 

Windows 5.1.2600 Service Pack 3 
Internet Explorer 8.0.6001.18702 

13/06/2010 20:15:46 
mbam-log-2010-06-13 (20-15-46).txt 

Type d'examen: Examen complet (C:\|D:\|) 
Elément(s) analysé(s): 318119 
Temps écoulé: 1 heure(s), 9 minute(s), 11 seconde(s) 

Processus mémoire infecté(s): 0 
Module(s) mémoire infecté(s): 0 
Clé(s) du Registre infectée(s): 0 
Valeur(s) du Registre infectée(s): 0 
Elément(s) de données du Registre infecté(s): 0 
Dossier(s) infecté(s): 0 
Fichier(s) infecté(s): 0 

Processus mémoire infecté(s): 
(Aucun élément nuisible détecté) 

Module(s) mémoire infecté(s): 
(Aucun élément nuisible détecté) 

Clé(s) du Registre infectée(s): 
(Aucun élément nuisible détecté) 

Valeur(s) du Registre infectée(s): 
(Aucun élément nuisible détecté) 

Elément(s) de données du Registre infecté(s): 
(Aucun élément nuisible détecté) 

Dossier(s) infecté(s): 
(Aucun élément nuisible détecté) 

Fichier(s) infecté(s): 
(Aucun élément nuisible détecté)

NicoVA · Answer

Salut !

Concernant les périphériques (dde, clés usb) je dois vérifier qch en particulier?

--> Si tu le souhaite on peux les vacciner.

Je sais pas du tout comment agit un rootkit, mais est-ce que je dois par exemple changer mes mots de passe(boite mail...)? Des docs confidentiels sont présents sur mon rdi (genre relevés de banque...), il y a un risque que des donnés aient été volées?

--> Généralement il est très déconseillé de garder des documents confidentiels sur un ordinateur. 
Tu peux changer tes MDP si tu le souhaite, mais je ne pense pas que cela ait été pris par l'infection ;)

++

kaak · Answer

Je prends note de tes conseils... :)

Pour la vaccination, jveux bien que tu m'indiques quel logiciel utiliser!

Et concernant la protection de mon pc, je ne suis pas sure d'avoir un anti spyware en fait... j'ai juste avast je crois, je devrais installer quoi en plus?

NicoVA · Answer

Salut !

1/

Option 1 - Recherche : 

&#x25B6; Télécharge UsbFix et enregistre-le sur ton bureau

&#x25B6; tutoriel recherche

&#x25B6; Double-clique sur  UsbFix présent sur ton bureau, l'installation se fera automatiquement

&#x25B6; Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

&#x25B6; Choisi  l'option 1 (recherche)

&#x25B6; Laisse travailler l'outil

&#x25B6; Ensuite post le rapport UsbFix.txt qui apparaîtra

* Note : le rapport UsbFix.txt est sauvegardé a la racine du disque

* Note : Si le Bureau ne réapparait pas presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tapes explorer.exe et valides

2/

--> Désinstalle Avast! via ajout/suppression. Si cela ne marche pas essaye avec ceci

--> Installe Antivir d'AVIRA ( tuto+installation )


--> Tu peux garder MBAM et faire un scan régulier si tu le souhaite ;)

++

kaak · Answer

Salut!

Je sais pas si tu reviendras lire ce sujet, mais je tente quand même : avast détecte toujours des fichiers suspects, et là il vient de bloquer un droper :
- infection Win32:crypt-GQN [DRP]
- processus : C:\WINDOWS\system32\wscript.exe
Dans la zone de quarantaine d'avast, il y a aussi plusieurs autres fichiers...

Ça veut dire qu'il reste des virus sur mon ordi?
Qu'est-ce que je peucx faire?

J'ai pas du tout eu le temps de vacciner mes périph ni de changer avast pour antivir...

Merci encore si tu peux m'aider!

NicoVA · Answer

Salut 

Bien sur que je reviens lire le sujet je te laisserais pas tomber comme une chaussette ^^ 

EDIT : Fais le scan UsbFix, C:\WINDOWS\system32\wscript.exe  provient d'une infection par disques amovibles.

++

kaak · Answer

Tu me sauves la vie! ;)

J'enregistre usbfix, mais quand je veux l'ouvrir avast le bloque en disant détecter un cheval de troie (WIN:VB-JI [Trj])...

kaak · Answer

Salut!

Mon ordi a replanté comme au départ, avec av security suite toussa...
J'ai donc suivi la même procédure que la 1ère fois, j'ai exécuté combofix (après rkill pare que j'arrivais pas à le lancer directement!).

J'ai ensuite lancé usb fix (suppression puis vaccination).

Je poste les rapports, peux-tu me dire s'il reste des traces d'infections??

Merci (again!) :)


Combofix :http://www.cijoint.fr/cjlink.php?file=cj201006/cijYLcAQd2.txt

Usbfix : http://www.cijoint.fr/cjlink.php?file=cj201006/cijLmdyPjf.txt

NicoVA · Answer

Salut 

Tu est infecté par un rootkit MBR. Un rootkit MBR se charge dès l'allumage de l'ordinateur c'est pour cela qu'ils sont difficile à éliminer.

Informations sur le MBR

&#x25B6; Télécharge mbr.exe de Gmer sur le Bureau : http://www2.gmer.net/mbr/mbr.exe

&#x25B6; Menu Démarrer --> Exécuter... et tapez la commande : "%userprofile%\Bureau\mbr" -f ( ne pas oublier les guillemets )

&#x25B6; dans le rapport mbr.log, la ligne suivante s'est ajoutée original MBR restored successfully !

&#x25B6; Poster le rapport mbr.log

++

kaak · Answer

Voici le rapport :

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net 

device: opened successfully 
user: MBR read successfully 
kernel: MBR read successfully 
copy of MBR has been found in sector 0x017499F00  
malicious code @ sector 0x017499F03 ! 
PE file found in sector at 0x017499F19 ! 
MBR rootkit infection detected ! Use: "mbr.exe -f" to fix. 
original MBR restored successfully !

NicoVA · Answer

Salut 

Hum bizarre, re-essaye ceci :

--> Menu Démarrer --> Exécuter... et tapez la commande : "%userprofile%\Bureau\mbr" -f ( ne pas oublier les guillemets )

--> dans le rapport mbr.log, la ligne suivante s'est ajoutée original MBR restored successfully !

--> Poster le rapport mbr.log 

++

kaak · Answer

Ok! ;)

Alors voici le nouveau rapport, mais cette fois par rapport au 1er il manque la dernière ligne original MBR restored successfully ! 



Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK 
copy of MBR has been found in sector 0x017499F00 
malicious code @ sector 0x017499F03 !
PE file found in sector at 0x017499F19 !

NicoVA · Answer

Mouai mouai mouai 

On va faire autrement :-) 

Désactive la protection de ton antivirus, anti-spyware et ferme internet et tes applications 

-> Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes :

KillAll::

Folder::
d:\documents and settings\wissam\Local Settings\Application Data\dieybj

Mbr::


-> Enregistre ce fichier sous le nom CFScript

-> Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe

-> Patiente le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!

* Ne touche à rien tant que le scan n'est pas terminé.

-> Une fois le scan achevé, un rapport va s'afficher: poste son contenu.

-> Si le fichier n'apparait pas, il se trouve ici dans C:\ sous le nom de ComboFix.txt

=============================================

Utilise tu un proxy ? J'en vois un ici =>
 uInternet Settings,ProxyServer = http=127.0.0.1:5555


@++

NicoVA · Answer

Salut !  

Bon bonne nouvelle, le rootkit a bougé. 

Peux tu refaire un ZHPdiag ??

@++

kaak · Answer

C'est sur la bonne voie, j'arrive de nouveau à mettre mon ordi en veille! :)

Rapport zhpdiag : http://www.cijoint.fr/cjlink.php?file=cj201006/cijgy34BDY.txt

NicoVA · Answer

Ok, 

Il reste encore des choses à faire :

-> Lance ZHPfix soit par le raccourci présent sur ton bureau ou via ZHPdiag ( dans ce cas clique sur le bouclier vert ) en faisant clic doirt -> Exécuter en tant qu'administrateur

-> Clique sur le H bleu ( "coller les lignes Helper" )

-> Copie ceci

[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified 
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:5555 
O43 - CFD:Common File Directory ----D- C:\Program Files\Everest Poker 
O43 - CFD:Common File Directory ----D- C:\Program Files\PokerStars    

MBRfix


-> Colle le dans ZHPfix

-> Clique sur [ OK ] puis sur [ TOUS ] et enfin sur [ NETTOYER ]

-> copie et colle le rapport de ZHPfix

==========================================

&#x25B6; Télécharge malwarebyte's anti-malware

&#x25B6; Un tutoriel sera à ta disposition pour l'installer et l'utiliser correctement.
 
&#x25B6; Fais la mise à jour du logiciel (elle se fait normalement à l'installation)

&#x25B6; Lance une analyse complète en cliquant sur "<gras>Exécuter un examen complet"

&#x25B6; Sélectionnes les disques que tu veux analyser et cliques sur "Lancer l'examen"

&#x25B6; L'analyse peut durer un bon moment.....

&#x25B6; Une fois l'analyse terminée, cliques sur "OK" puis sur "Afficher les résultats"

&#x25B6; Vérifies que tout est bien coché et cliques sur "Supprimer la sélection" => et ensuite sur "OK"

&#x25B6; Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse sur le forum


* Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... Faites le en cliquant sur "oui" à la question posée

@++

kaak · Answer

Rapport zhpfix :


ZHPFix v1.12.3108  by Nicolas Coolman - Rapport de suppression du 24/06/2010 14:14:06
Fichier d'export Registre : C:\ZHPExportRegistry-24-06-2010-14-14-06.txt
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

Processus mémoire :
(Néant)

Module mémoire :
(Néant)

Clé du Registre :
(Néant)

Valeur du Registre :
(Néant)

Elément de données du Registre :
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified  => Donnée supprimée avec succès
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified  => Donnée supprimée avec succès
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:5555  => Donnée supprimée avec succès

Préférences navigateur :
(Néant)

Dossier :
C:\Program Files\Everest Poker  => Supprimé et mis en quarantaine
C:\Program Files\PokerStars  => Supprimé et mis en quarantaine

Fichier :
(Néant)

Logiciel :
(Néant)

Script Registre :
(Néant)

Master Boot Record :
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys atapi.sys hal.dll pciide.sys 
kernel: MBR read successfully
user & kernel MBR OK 
copy of MBR has been found in sector 0x017499F00 
malicious code @ sector 0x017499F03 !
PE file found in sector at 0x017499F19 !
 
Resultat après le fix :
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK 
copy of MBR has been found in sector 0x017499F00 
malicious code @ sector 0x017499F03 !
PE file found in sector at 0x017499F19 !

Autre :
(Néant)


Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 0
Valeur du Registre : 0
Elément de données du Registre : 3
Dossier : 2
Fichier : 0
Logiciel : 0
Master Boot Record : 21
Préférences navigateur : 0
Autre : 0


End of the scan

kaak · Answer

Et rapport mbam : 

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4232

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

24/06/2010 16:38:27
mbam-log-2010-06-24 (16-38-27).txt

Type d'examen: Examen complet (A:\|C:\|D:\|)
Elément(s) analysé(s): 342024
Temps écoulé: 2 heure(s), 1 minute(s), 30 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

NicoVA · Answer

Ok, peux tu me dire comment va le pc ?

@+

kaak · Answer

Alors au démarrage, l'icône avast m'indique qu'il est désactivé; qd j'ouvre avast en effet la protection est désactivée, mais elle se rétablit toute seule au bout d'un moment (j'arrive pas à la rétablir manuellement). 

Sinon au démarrage la barre des taches est "bloquée" pendant une dizaine de minutes, quand je passe la souris dessus rien ne se passe, je ne peux ni cliquer sur "démarrer", ni sur les icônes...  Mais je peux cliquer sur les autres icônes du bureau (poste de travail, divers raccourcis...).
Après par contre tout remarche impec, jusqu'au démarrage suivant! 
Voilou...

NicoVA · Answer

Salut

"Tous ces fichiers sont apparemment infectés par win32:trojan-gen ... "

Peux tu me dire quels fichiers ?

kaak · Answer

Cf imprim-écran : http://www.cijoint.fr/cjlink.php?file=cj201006/cijMNaPvk7.jpg.

(je pars en vacances demain matin donc je serai loiiiin de mon ordi et de ses tracas pdt 15 jours, énoooorme merci pour le temps que tu as passé à m'aider!) :)

NicoVA · Answer

Salut

Tu peux supprimer la quarantaine de Avast!

gen-hackman · Answer

hello en fait sur le lien precedent il fallait juste enlever le point final qui a été effectué trop près et pris en compte dans l'URL :)

gen-hackman · Answer

gen-hackman · Answer

Nan, je pense que sa doit être un reste inactif a moins que je me trompe

ca c'est OK :)

Virus : AV Security Suite

38 réponses

Discussions similaires

Newsletters