Infecté par Win32.Qandr [Rtk] ! Résolu

Question

Bonjour, 

J'ai récemment eu une alerte d'avast qui me signalait un Rootkit (cité dans le titre). Je l'ai mis en quarantaine. Et chaque jour, j'ai une ou deux annonces d'Avast sur ce même Rtk. Aidez moi svp à le supprimer ! Merci d'avance.



Configuration: Windows XP / Firefox 3.6.6

NicoVA · Answer

Salut

Pourrais tu poster le chemin d'accès du rootkit ?
-> exemple : C:\windows\system32\rootkit.exe

++

sacha_91 · Answer

C:\WINDOWS\System32\Drivers\lryqidsi.sys

J'ai aussi essayé de lancer ZHPDiag mais dès que j'appuie sur la loupe, Avast se met à me trouver des Dropper-gen de partout ! J'avais tout supprimé avec MBAM mais j'en ai à chaque fois des nouveaux !

NicoVA · Answer

Ok,

* Sous Vista : &#x25B6; Désactive le contrôle des comptes utilisateurs (tu le réactiveras après ta désinfection):

&#x25B6; Clique sur Démarrer puis sur panneau de configuration
&#x25B6; Double Clique sur l'icône "Comptes d'utilisateurs"
&#x25B6; Clique ensuite sur désactiver et valide.
&#x25B6; Redémarre le PC

&#x25B6; Télécharge Combofix de sUBs

&#x25B6; et enregistre le sur le Bureau.

 &#x25B6; désactive tes protections et ferme toutes tes applications(antivirus, parefeu, garde en temps réel de l'antispyware)

Voici le tutoriel officiel de Bleeping Computer pour savoir l utiliser :

https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

&#x25B6; Je te conseille d'installer la console de récupération !!
 
ensuite envois le rapport stp

@+

sacha_91 · Answer

J'en ai marre !! Avast me signale à chaque fois un nouveau virus ! Meme après Combofix ! Ex : C:\Documents and Settings\All Users\Application Data\yJkNpwbd.exe, c'est un malware . Puis des Dropper-gen aussi :'(

NicoVA · Answer

Salut

Pourrais tu me mettre le rapport de ComboFix sur http://www.cijoint.fr/ stp et me fournir le lien ? Sinon il y a des choses que je ne peux pas bien voir dans le rapport :) Après on supprimera des éléments néfastes.

@++

sacha_91 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201007/cijygYJhGE.txt

sacha_91 · Answer

[url=https://www.luanagames.com/index.fr.html]log.txt[/url]

NicoVA · Answer

Salut !

Désactive la protection de ton antivirus, anti-spyware et ferme internet et tes applications 

-> Télécharge le fichier suivant sur ton bureau et pas ailleurs !

CFScript.txt

-> Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe

-> Patiente le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!

* Ne touche à rien tant que le scan n'est pas terminé.

-> Une fois le scan achevé, un rapport va s'afficher: poste son contenu.

-> Si le fichier n'apparait pas, il se trouve ici dans C:\ sous le nom de ComboFix.txt

-> Héberge le fichier sur up.sur-la-toile et poste le lien

@+

sacha_91 · Answer

Impossible d'ouvrir mon navigateur internet. Ma connexion est pourtant activée ! C'est depuis que j'ai glissé CFScript sur Combofix.

NicoVA · Answer

Ok sa a bien marché :-) Je te poste la suite ce soir 

@++

sacha_91 · Answer

Donc c'est normal ! :D Ok je l'attend merci

NicoVA · Answer

Salut  

--> Désinstalle QuickTime puis ré-installe le ici 

--> Peux tu me refaire un ZHPdiag et le mettre sur up-sur-la-toile ( comme le rapport Combofix ) 

@++

sacha_91 · Answer

Rapport ZHPDiag !
[url=https://www.luanagames.com/index.fr.html]ZHPDiag.Txt[/url]

NicoVA · Answer

Salut Il y a présence d'un rootkit TDSS sur ton ordi, pour le supprimer : --> télécharge sur ton bureau TDSSkiller.zip , de zippe le et exécute le , un rapport sera crée ici: * C:\TDSSKillerVersion_Date_Time_log.txt.<< copie_colle son contenu --> tu as aussi directement l'exécutable là : http://support.kaspersky.com/downloads/ ... killer.exe --> si TDSSKiller fait apparaître ce message: Hidden service detected: nom du service caché: Type "delete" (without quotes) to delete it: 14:30:08:000 0256 --> tape delete et valide par la touche Enter. @++

sacha_91 · Answer

Le problème c'est que je ne peux de nouveau pas accéder à mon navigateur. Il se charge à moitié puis il se bloque comme la dernière fois pourtant quand j'avais réinstaller Quicktime il fonctionnait mais la non.

NicoVA · Answer

Salut,

-> Lance ZHPfix soit par le raccourci présent sur ton bureau ou via ZHPdiag ( dans ce cas clique sur le bouclier vert ) en faisant clic doirt -> Exécuter en tant qu'administrateur

-> Clique sur le H bleu ( "coller les lignes Helper" )

-> Copie ceci

O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe


-> Colle le dans ZHPfix

-> Clique sur [ OK ] puis sur [ TOUS ] et enfin sur [ NETTOYER ]

-> copie et colle le rapport de ZHPfix

========================================================

Quel est ton navigateur ?

@++

sacha_91 · Answer

Je peux pas copier le truc, je ne peux pas accéder à internet! Mon navigateur est Mozilla Firefox.

sacha_91 · Answer

J'ai essayé avec Internet Explorer, il se charge puis se bloque aussi !

NicoVA · Answer

Salut 

Pour supprimer QuickTime essaye avec Revo Uninstalleur puis désintalle QuickTime

Tiens moi au jus! 

@++

sacha_91 · Answer

j'ai essayé avec Revo Uninstalleur mais le désinstalleur QT se gel au vers le milieu de la désinstallation ! Il a quand meme scanné "les fichiers restants" et je les ai tous supprimés ! Je tente de redésinstaller QT ! Je te tiens au courant ! 

Sinon du côté du rapport de ZHPFix quoi de beau ?!

NicoVA · Answer

On est dans la bonne voie, on a viré le + gros :-)

++

sacha_91 · Answer

Bon bah ma tour est HS ! Elle s'est éteinte et ne veut plus se rallumer ! J'ai récupéré celle de la maison ! Merci encore pour ton aide !! Continue comme ça ! 
tchao

Infecté par Win32.Qandr [Rtk] !

22 réponses

Votre réponse

Discussions similaires

Newsletters