Rootkit.Win32.backboot.genFermé

Question

Bonjour, 

ne pouvant plus accéder à la mise a jour auto de Windows, j'ai fais appel à un amis qui a détecter sur mon hardrive(?) un Rootkit.Win32.backboot.gen qui à priori bloque l'accès à Windows update. Sur ses conseils j'ai téléchargé et exécuté un combo fix. si une âme pouvait jeter un coup d'oeil  au rapport pour me dire quoi faire  . merci d'avance

<config>Windows 7

Excessimo · Answer

Combofix est puissant, ne PAS utiliser SEUL ou SANS l'avis d'un helper ! 

Bref, envois le rapport ici : https://www.cjoint.com/

scanadoo · Answer

ok ! voici le lien : https://www.cjoint.com/?0bEugvhBuMo

scanadoo · Answer

désolé , ce n'ai pas une blague et le seul rapport que j'ai su rmon ordi c'est celui là. j e viens d'en relancer un et après le scan j'ai un écran bleu qui apparaît et mon ordi redémarre tout seul?

Excessimo · Answer

Salut,

commence par désactiver l'UAC car elle pourrait entraver certains programmes :

https://www.commentcamarche.net/informatique/windows/261-desactiver-le-controle-de-compte-d-utilisateur-uac-de-windows/

Laisse désactivé durant toute la désinfection, je te dirai quand réactiver

LIS BIEN LES INSTRUCTIONS SI TU NE VEUX PAS PLANTER ton PC :) et tant que je ne t'ai PAS confirmé la fin de la désinfection il FAUT revenir consulter REGULIEREMENT le forum même si les symptômes ont disparu :)


1)
===============TDSSKiller====================

[X] Télécharge TDSSKiller sur ton bureau

https://support.kaspersky.com/downloads/utils/tdsskiller.zip

[X] Créer un nouveau dossier sur ton bureau puis décompresse l'archive dedans.

[X] Lance le programme en cliquant sur TDSSKiller.exe, laisse les 2 cases cochées et clique sur "start scan", attends la fin du scan, si l'infection est détectée, des éléments cachés (= hidden) seront alors affichés.

[X] Vérifier que l'option "Cure" est sélectionnée pour les infections (malicious). 

[X] Sélectionner "Skip" pour les fichiers suspects (suspicious), note le nom des fichiers supects et leur hash MD5 s'il y en a puis transmet les moi dans ta prochaine réponse.

[X] Un message peut ensuite apparaitre demandant de redémarrer le pc (reboot)pour finir le nettoyage. taper "Y" pour redémarrer le PC ("close all programs and choose Y to restart").

[X] Le rapport tdss se trouve ici : C:\ ; Postes le dans ta prochaine réponse

[X] Informations complémentaires sur cet outil :
https://support.kaspersky.com/5350



2)
===============ZHPDIAG====================

On va faire un diagnostic du PC :

[*]Télécharge ZHPDiag sur ton bureau :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

[*]Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.

/!\Utilisateur de Vista et Seven : Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur »

[*]Clique sur l'icône représentant une loupe en haut à gauche (« Lancer le diagnostic »)
[*]Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
[*]Héberge le rapport ZHPDiag.txt (qui se trouve sur ton bureau) sur Cjoint, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :

https://www.cjoint.com/

tuto zhpdiag :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html

scanadoo · Answer

voici en premier lieu mon rapport TDSSKiller :https://www.cjoint.com/?0bEuNwYEwc

scanadoo · Answer

je n'ai que suspicious object qui apparaît et ensuite skip .

scanadoo · Answer

pas moyen d'acceder à cijoint.com pour le moment !!!!

scanadoo · Answer

je ne peut faire que : skip 
                                   copy to quarantaine
                                   restore.

Excessimo · Answer

===============MBRCheck==================== 

[X] Télécharger, sur le Bureau, MBRCheck (par a_d_13) en cliquant sur l'un de ces liens: 

    * http://www.geekstogo.com/forum/files/file/441-mbrcheck/ 
    * https://download.bleepingcomputer.com/rootrepeal/MBRCheck.exe 
    * http://www.kernelmode.info/MBRCheck.exe 

[X] Fermer tout et cliquer sur MBRCheck.exe  

    * S'il te demande de taper "Y or N", tapes Y puis valider en tapant sur la touche entrée de ton clavier,  
    * Ensuite à la question "Enter the physical disk number to fix <0-99, -1 to cancel>" tapes 0 
    * Puis tapes 2 (Restore the MBR of physical disk with a standard boot code)
    * Sélectionne le chiffre correspondant à ton système d'exploitation
    * A la question "Do want to fix the MBR code?" Écris YES puis valide avec la touche entrée de ton clavier 

[X] Un rapport s'ouvre en fin de scan et sera automatiquement enregistré sur le Bureau. Il sera du type  MBRCheck_AA.JJ.MM_hh.mm.ss.txt (i.e. MBRCheck_07.21.10_18.08.06.txt).

scanadoo · Answer

voici le rapport MBRCheck : https://www.cjoint.com/?0bEvyZKoN7D

scanadoo · Answer

j'ai un msg d'erreur à chaque fois que je crée le lien sur cjoint.com. y a t'il moyen de passer par autre chose , ou le copier directement sur ce post?

scanadoo · Answer

après 40 tentatives ,pas moyens ! pourtant c'est juste du .txt comme les autres !

scanadoo · Answer

oui, et après lecture du rapport ZHPDiag j'ai ceci à la fin: Warning: possible TDL4 rootkit infection !
TDL4 rootkit infection detected ! Use: "mbr.exe -f" to fix.

scanadoo · Answer

enfin le rapport ZHPDiag  : https://www.cjoint.com/?0bEvTH6Csq
et le rapport après l'option restore de TDSSK :https://www.cjoint.com/?0bEwbPxUTpG

Excessimo · Answer

C'est bon débarrassé du rootkit :)

############### Malwarebytes' Anti-Malware ###############

[x] Télécharge Malwarebytes' Anti-malware sur ton bureau.

http://www.malwarebytes.org/mbam-download.php

* NB : pour lancer le téléchargement, cliquer à droite sur Download NOW"

[x] Désactive ton Antivirus pour éviter les conflits

[x] Installe le en laissant les options par défaut ( Cocher seulement " Créer une icône sur le bureau " )

[x] A la fin de l'installation, laisse les 2 cases pour l"éxécution et la mise à jour cochées.

[x] Une fois lancé, clique sur " Exécuter un examen rapide" puis sur " Rechercher "

[x] Clique ensuite sur " Afficher les résultats " puis sur " SUPPRIMER LA SELECTION !!! ". Valide ensuite par " Ok ".

[x] MBAM ouvrira un rapport, copie/colle son contenu dans ta prochaine réponse.

[x] Note : Tu devra peut être redémarrer ton PC, accepte. Le rapport se trouve dans la partie " Rapports/Logs " du logiciel.

* (NB : S'il te manque"COMCTL32.OCX" lors de l'installe, alors télécharge le ici : https://www.malekal.com/tutorial-aboutbuster/

scanadoo · Answer

ok voici le rapport mbam :https://www.cjoint.com/?0bEwo7GjwGC

scanadoo · Answer

aprés la suppression: https://www.cjoint.com/?0bEwvojOadv

Excessimo · Answer

===============ZHPFIX====================

* Lance ZHPFix il se trouve sur le bureau (si tu es sous Windows Vista ou Windows 7, lance le par un clic-droit dessus --> exécuter en temps qu'administrateur).

    * Copie les lignes suivantes :

    ---------------------------------------------------

[MD5.00000000000000000000000000000000] [APT] [{22116563-108C-42c0-A7CE-60161B75E508}] (.Pas de propriétaire.) -- C:\Users\SCANAD~1\AppData\Local\Temp\Vtl.exe (.not file.)
[MD5.00000000000000000000000000000000] [APT] [{62C40AA6-4406-467a-A5A5-DFDF1B559B7A}] (.Pas de propriétaire.) -- C:\Users\SCANAD~1\AppData\Local\Temp\Vtk.exe (.not file.)
[MD5.00000000000000000000000000000000] [APT] [{66BA574B-1E11-49b8-909C-8CC9E0E8E015}] (.Pas de propriétaire.) -- C:\Users\SCANAD~1\AppData\Local\Temp\Vtl.exe (.not file.)
[MD5.00000000000000000000000000000000] [APT] [{BBAEAEAF-1275-40e2-BD6C-BC8F88BD114A}] (.Pas de propriétaire.) -- C:\Users\SCANAD~1\AppData\Local\Temp\Vtm.exe (.not file.)
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe
OPT:O4 - Global Startup: C:\Documents And Settings\Scanaddoo\Desktop\AIRDROP.lnk . (.Adobe Systems, Inc..)  -- C:\AIRDROP\START.EXE
OPT:O4 - Global Startup: C:\Documents And Settings\Scanaddoo\Desktop\ARCTIFYER.lnk . (.Adobe Systems, Inc..)  -- C:\ARCTI FLYER\ARCTICFLYER_PICO\START.EXE
OPT:O4 - Global Startup: C:\Documents And Settings\Scanaddoo\Desktop\Charlie.lnk . (.Pas de propriétaire.)  -- C:\Users\Scanaddoo\Documents\Ou est Charlie Le Voyage Fantastique VF\Charlie.exe
OPT:O4 - Global Startup: C:\Documents And Settings\Scanaddoo\Desktop\FIRE RESCUE.lnk . (.Adobe Systems, Inc..)  -- C:\FIRE RESCUE\FIRERESCUE_PICO\START.EXE
OPT:O4 - Global Startup: C:\Documents And Settings\Scanaddoo\Desktop\MLA RESCUE.lnk . (.Adobe Systems, Inc..)  -- C:\SEARESCUE\START.EXE
OPT:O4 - Global Startup: C:\Documents And Settings\Scanaddoo\Desktop\Tcpview.exe - Raccourci.lnk . (.Sysinternals - www.sysinternals.com.)  -- C:\Users\Scanaddoo\Downloads\TcpView\Tcpview.exe
OPT:O4 - Global Startup: C:\Users\Scanaddoo\Desktop\AIRDROP.lnk . (.Adobe Systems, Inc..)  -- C:\AIRDROP\START.EXE
OPT:O4 - Global Startup: C:\Users\Scanaddoo\Desktop\ARCTIFYER.lnk . (.Adobe Systems, Inc..)  -- C:\ARCTI FLYER\ARCTICFLYER_PICO\START.EXE
OPT:O4 - Global Startup: C:\Users\Scanaddoo\Desktop\Charlie.lnk . (.Pas de propriétaire.)  -- C:\Users\Scanaddoo\Documents\Ou est Charlie Le Voyage Fantastique VF\Charlie.exe
OPT:O4 - Global Startup: C:\Users\Scanaddoo\Desktop\FIRE RESCUE.lnk . (.Adobe Systems, Inc..)  -- C:\FIRE RESCUE\FIRERESCUE_PICO\START.EXE
OPT:O4 - Global Startup: C:\Users\Scanaddoo\Desktop\MLA RESCUE.lnk . (.Adobe Systems, Inc..)  -- C:\SEARESCUE\START.EXE
O4 - Global Startup: C:\Users\Scanaddoo\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\.lnk - Clé orpheline
[MD5.00000000000000000000000000000000] [APT] [Launch 9873] (.Pas de propriétaire.) -- C:\Program Files\PC Sync\Voxsync.exe (.not file.)
[MD5.00000000000000000000000000000000] [APT] [{2A5D672F-0CE6-4FAB-9BBC-9A18C1BE4F95}] (.Pas de propriétaire.) -- C:\Program Files\SpaceShuttleMission2007\unins000.exe (.not file.)
O87 - FAEL: "TCP Query User{800C1454-ED35-426B-99EC-8545D7DA9405}C:\program files\mobiscope\mobiscope_server.exe" |In - Private - TRUE | .(...) -- C:\program files\mobiscope\mobiscope_server.exe (.not file.)
O87 - FAEL: "UDP Query User{64CFED60-FBAA-4549-BBD3-770BFD05EC61}C:\program files\mobiscope\mobiscope_server.exe" |In - Private - TRUE | .(...) -- C:\program files\mobiscope\mobiscope_server.exe (.not file.)
O87 - FAEL: "TCP Query User{42DBAA66-9D0E-415A-BCF8-B5C661B2B139}C:\program files\senstic\air cam\aircamwin.exe" |In - Private - TRUE | .(...) -- C:\program files\senstic\air cam\aircamwin.exe (.not file.)
O87 - FAEL: "UDP Query User{848CF4B8-E6A0-49FB-A7CE-690C03348217}C:\program files\senstic\air cam\aircamwin.exe" |In - Private - TRUE | .(...) -- C:\program files\senstic\air cam\aircamwin.exe (.not file.)
O87 - FAEL: "TCP Query User{B24F1D7E-6F59-4804-85EC-F656B84254A8}C:\program files\senstic\air cam\aircamwin.exe" |In - Public - TRUE | .(...) -- C:\program files\senstic\air cam\aircamwin.exe (.not file.)
O87 - FAEL: "UDP Query User{5CA603FF-BFEA-4D87-A1AD-25510043C2B8}C:\program files\senstic\air cam\aircamwin.exe" |In - Public - TRUE | .(...) -- C:\program files\senstic\air cam\aircamwin.exe (.not file.)
R3 - URLSearchHook: Vuze Remote Toolbar - {ba14329e-9550-4989-b3f2-9732e92d17cc} . (.Conduit Ltd. - Conduit Toolbar.) (5, 7, 3, 1) -- C:\Program Files\Vuze_Remote	bVuz1.dll
R3 - URLSearchHook: Vuze Remote Toolbar - {ba14329e-9550-4989-b3f2-9732e92d17cc} . (.Conduit Ltd. - Conduit Toolbar.) (5, 7, 3, 1) -- C:\Program Files\Vuze_Remote	bVuz1.dll
O2 - BHO: Vuze Remote Toolbar - {ba14329e-9550-4989-b3f2-9732e92d17cc} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\Vuze_Remote	bVuz1.dll
O3 - Toolbar: Vuze Remote Toolbar - {ba14329e-9550-4989-b3f2-9732e92d17cc} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\Vuze_Remote	bVuz1.dll
[HKCU\Software\AppDataLow\Software\Conduit]
[HKCU\Software\AppDataLow\Toolbar]
[HKCU\Software\Conduit]
[HKLM\Software\Conduit]
O43 - CFD: 29/08/2010 - 12:19:42 ----D- C:\Program Files\Conduit


    ---------------------------------------------------

    * Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
    * Les lignes se collent automatiquement dans ZHPFix.
    * Clique sur « Ok » puis sur « Tous », puis sur « Nettoyer »

postes le rapport

scanadoo · Answer

pas moyen d'effectuer l'opération en question: apparition de l'écran bleu vide mémoire et redémarage  avec boot error.

scanadoo · Answer

je dois m'absenter un moment . je vous recontacte sous peu. Grand merci pour le coup de main !!!

Rootkit.Win32.backboot.gen

20 réponses

Newsletters