Mebroot dans la mémoire vive

Bonjour.

*Téléchargez mbr.exe de Gmer sur le Bureau : mbr.exe
*Désactivez vos protections et coupez la connexion.
*Sous Windows XP : double-cliquez sur mbr.exe / Sous Windows Vista ou Seven, faites un clic-droit sur mbr.exe et choisissez "Exécuter en temps qu'administrateur"
*Un rapport sera généré : mbr.log

Tout d'abord, merci de votre aide
Voilà le rapport :

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: error reading MBR
kernel: MBR read successfully

Bizarre Mbrde gmer ne detecte aucune infection.

On va faire une analyse de ton systéme.

* Télécharge [https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html ZHPDiag ( de Nicolas coolman ).
/!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, " exécuter en tant qu'Administrateur /!\
* Laisse toi guider lors de l'installation
* Il se lancera automatiquement à la fin de l'installation
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Héberge le rapport ZHPDiag.txt sur le site cijoint.fr, puis copie/colle le lien fournit dans ta prochaine réponse sur le forum

Merci à vous 2

voilà le rapport

http://www.cijoint.fr/cjlink.php?file=cj201007/cijWDmlI4t.txt

desinstalles Mbr de gmer.Télécharges le a nouveau et directement sur le bureau et sans oublié de==========>Sous Windows Vista ou Seven, faites un clic-droit sur mbr.exe et choisissez "Exécuter en temps qu'administrateur"
Post le rapport a+

Toujours la meme chose

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: error reading MBR
kernel: MBR read successfully

Pour supprimer le rootkit :

*cliquez sur le Menu démarrer --> Exécuter, et tapez la commande suivante :

*Sous Vista/Seven : "%userprofile%\Desktop\mbr" -f
(veuillez à bien respecter les guillemets)
* dans le rapport mbr.log, la ligne suivante s'est ajoutée original MBR restored successfully !
Post le rapport.

La ligne ne s'ajoute pas au rapport, il reste le meme.

Si vous voulez vérifier que j'ai bien fait la manip, vous pouvez accéder à mon pc via teamviewer

1/ Télécharge Bootkit Remover et décompresse le sur ton bureau.

2/ Télécharge BTKR_Runbox ( de jeanmimigab ) également sur ton bureau.

Note : Tu dois avoir ces deux fichiers sur ton bureau -> Remover.exe et BTKR_Runbox.exe

3/ Lance BTKR_Runbox, puis sélectionne l'option n°1. Valide en appuyant sur [Entrée]

4/ Suis les instructions et copie/colle le rapport dans ta prochaine réponse.

Bootkit Remover
(c) 2009 eSage Lab
www.esagelab.com
Program version: 1.1.0.0
OS Version: Microsoft Windows 7 Ultimate Edition (build 7600), 32-bit
System volume is \\.\C:
\\.\C: -> \\.\PhysicalDrive0 at offset 0x0000001b'96440a00
Boot sector MD5 is: 1af81ee9fd1ba67cd6c7ee2405635334

Size Device Name MBR Status
--------------------------------------------
465 GB \\.\PhysicalDrive0 Unknown boot code

Unknown boot code has been found on some of your physical disks.
To inspect the boot code manually, dump the master boot sector:
remover.exe dump <device_name> [output_file]
To disinfect the master boot sector, use the following command:
remover.exe fix <device_name>

Done;

Press any key to quit...

1/ Relance BTKR_Runbox mais sélectionne cette fois ci l'option n°3 puis [Entrée]

2/ Confirme en appuyant sur " 1 " puis [Entrée]

3/ Ton PC redémarrera. Au redémarrage, relance BTKR_Runbox avec l'option n°1 et copie/colle le rapport.

Le pc ne veut plus démarrer ! Code d' erreur 0xc000000e, il me propose de faire une réparation a l aide du cd, je vais essayer, je suis actuellement sur mon itouch

Bonsoir,

Je suis exactement dans le même cas que toi, Chibi, exactement la même situation et du coup mon PC a planté comme toi, mais en mettant le CD de Windows j'arrive a redemarrer.

Quelqu'un a d'autres solutions pour ce "Mebroot"?

Cordialement

Bon, la réparation Windows a fonctionné, et 2 bonnes nouvelles :

1.Nod32 ne m'affiche plus d'alerte
2.Le nouveau scan m'a l'air clean, meme si je ne m'y connais pas

Bootkit Remover
(c) 2009 eSage Lab
www.esagelab.com
Program version: 1.1.0.0
OS Version: Microsoft Windows 7 Ultimate Edition (build 7600), 32-bit
System volume is \\.\C:
\\.\C: -> \\.\PhysicalDrive0 at offset 0x0000001b'96440a00
Boot sector MD5 is: bb4f1627d8b9beda49ac0d010229f3ff

Size Device Name MBR Status
--------------------------------------------
465 GB \\.\PhysicalDrive0 OK (DOS/Win32 Boot code found)

Done;

Press any key to quit...

ok

Mebroot a disparu mais il reste une infection.Fais ce qui suis.
Ton pc a finalement redémarré.Pourrais tu me dire comment tu as procédé pour le redémarrage.cela pourrais servir pour les prochaines désinfections.Merci

* Télécharge et installe : Malwarebyte's Anti-Malware
* (NB : S'il te manque"COMCTL32.OCX" lors de l'installe, alors télécharge le ici : https://www.malekal.com/tutorial-aboutbuster/
* A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
* Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
* Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet" puis "Rechercher"
* Sélectionne tes disques durs" puis clique sur "Lancer l'examen"
* A la fin du scan, clique sur Afficher les résultats
* Coche tous les éléments détectés puis clique sur Supprimer la sélection
* Enregistre le rapport
* S'il t'est demandé de redémarrer, clique sur Yes
* Poste le rapport de scan après la suppression ici.(poste le rapport, même si rien n'est détecté.)
* Si tu as besoin d'aide regarde ce tutorial
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

J'ai simplement booté sur le cd de windows et j'ai été dans réparer l'ordinateur, après une courte analyse ca m'a indique que des problèmes au démarrage avaient été détectés, le pc a redémarré et c'était bon

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4363

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

28/07/2010 22:43:14
mbam-log-2010-07-28 (22-43-14).txt

Type d'examen: Examen complet (C:\|D:\|E:\|)
Elément(s) analysé(s): 327328
Temps écoulé: 49 minute(s), 44 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 2
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 22

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{8m6e5332-h2ef-8oad-2h4w-7a7ub3ue33um} (Generic.Bot.H) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{nav68y0i-1e2k-1aqb-524x-xa30q0rtmajp} (Generic.Bot.H) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\policies (Trojan.Agent) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Users\Chibi\Desktop\ZSZC_V1-674\private_server_bot.exe (Trojan.Refroso) -> Quarantined and deleted successfully.
C:\Users\Chibi\Desktop\ZSZC_V1-674 - Copie\Autoselect.exe (HackTool.Patcher) -> Quarantined and deleted successfully.
C:\Users\Chibi\Desktop\ZSZC_V1-674 - Copie\private_server_bot.exe (Trojan.Refroso) -> Quarantined and deleted successfully.
C:\Users\Chibi\Desktop\ZSZC_V1-674 - Copie (2)\private_server_bot.exe (Trojan.Refroso) -> Quarantined and deleted successfully.
C:\Users\Chibi\Documents\Nouveau dossier\Separator - Copie.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Users\Chibi\Documents\Nouveau dossier\Separator.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Windows\System45\updates.exe (Trojan.Agent) -> Quarantined and deleted successfully.
E:\System Volume Information\_restore{108F08FC-025A-4F58-8154-6E74CA0AA58F}\RP414\A0020356.exe (Backdoor.Graybird) -> Quarantined and deleted successfully.
C:\Users\Chibi\AppData\Roaming\addons.dat (Bifrose.Trace) -> Quarantined and deleted successfully.
C:\Users\Chibi\AppData\Roaming\chrtmp (Malware.Trace) -> Quarantined and deleted successfully.
C:\Users\Chibi\AppData\Roaming\logs.dat (Bifrose.Trace) -> Quarantined and deleted successfully.
C:\Windows\Temp\ctv1053.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
C:\Windows\Temp\ctv1126.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
C:\Windows\Temp\ctv1188.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
C:\Windows\Temp\ctv1256.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
C:\Windows\Temp\ctv1338.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
C:\Windows\Temp\ctv1430.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
C:\Windows\Temp\ctv1492.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
C:\Windows\Temp\ctv1554.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
C:\Windows\Temp\ctv1616.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
C:\Windows\Temp\ctv1680.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
C:\Windows\Temp\ctv2342.exe (Trojan.Dropper) -> Quarantined and deleted successfully.

* Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag)
* Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
* Copie/colle les lignes suivantes et place les dans ZHPFix :

----------------------------------------------------------
O4 - HKCU\..\policies\Explorer\Run: [Policies] C:\Windows\install\svchost.exe (.not file.)
O53 - SMSR:HKLM\...\startupreg\Adobe Reader Speed Launcher [Key] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe
[HKLM\Software\BrowserChoice] => Microsoft BrowserChoice

----------------------------------------------------------

* Clique sur « Tous », puis sur « Nettoyer »
* Copie/colle la totalité du rapport dans ta prochaine réponse

Désolé pour la réponse tardive, j'étais au boulot

au boot de mon pc, nouvel écran noir avec l'erreur 0xc000000e, j'ai du à nouveau refaire une réparation windows

Photo prise avec mon portable :

http://img831.imageshack.us/img831/2987/photo0005a.jpg

Et le rapport de ZHPFix :

Rapport de ZHPFix v1.12.3129 par Nicolas Coolman, Update du 27/07/2010
Fichier d'export Registre : C:\ZHPExportRegistry-29-07-2010-15-05-10.txt
Run by Chibi at 29/07/2010 15:05:10
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Clé(s) du Registre ==========
O53 - SMSR:HKLM\...\startupreg\Adobe Reader Speed Launcher [Key] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe => Clé supprimée avec succès

========== Valeur(s) du Registre ==========
O4 - HKCU\..\policies\Explorer\Run: [Policies] C:\Windows\install\svchost.exe (.not file.) => Valeur absente

========== Fichier(s) ==========
c:\program files\adobe\reader 9.0\reader\reader_sl.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
1 : Clé(s) du Registre
1 : Valeur(s) du Registre
1 : Fichier(s)

End of the scan

Ton erreur me surprends.Je crains que l'infection est endommagé le mbr.

Il te faut donc faire des scandisks :

1) Ordinateur -> Clic-droit sur C -> Propriétés -> onglet Outils -> Vérifier maintenant -> aucune case cochée -> tu valides. L'analyse se fait immédiatement.

2) Ordinateur -> Clic-droit sur C -> Propriétés -> onglet Outils -> Vérifier maintenant -> coche la case " Réparer automatiquement les erreurs de système de fichiers -> tu réponds "oui" à la demande de planification -> tu redémarres le PC et tu laisses faire l'analyse, le PC redémarrera tout seul.

3) Ordinateur -> Clic-droit sur C -> Propriétés -> onglet Outils -> Vérifier maintenant -> coche la case " Rechercher et tenter une récupération des secteurs défectueux" -> tu réponds "oui" à la demande de planification -> tu redémarres le PC et tu laisses faire l'analyse, le PC redémarrera tout seul.

4) Ordinateur -> Clic-droit sur C -> Propriétés -> onglet Outils -> Vérifier maintenant -> cocher les 2 cases -> tu réponds "oui" à la demande de planification -> tu redémarres le PC et tu laisses faire l'analyse, le PC redémarrera tout seul.

Si tu as un autre écran bleu, il te faut nous donner le message d'erreur dans son entier (pas un seul paramètre), c'est-à-dire ce qui est indiqué après STOP

Aprés les différentes manip redémarres ton pc et dis moi s'il boot normalement.

encore désolé pour la réponse en retard, en rendant visite à une amie on a eu quelques soucis et on a fini au poste, je passe les détails

je me suis arreté à l'étape 2 car après l'étape 1 l'erreur était encore là, j'ai donc fait "démarrer avec la dernière configuration valide connue" et maintenant plus de soucis...

merci beaucoup!