2 rogues

vector369 -  
afideg Messages postés 10466 Date d'inscription   Statut Contributeur sécurité Dernière intervention   -
Bonjour,

Suite à un scan spyboot, j'ai un pc infecté par ces 2 rogues. J'ai vu différents posts déjà mais ne sais pas si la procédure d'analyse est valable pour tous les cas.

Merci pour votre aide.

Stéphane.

Win xp

25 réponses

  • 1
  • 2
Résumé de la discussion

Suite à un scan Spybot, un PC sous XP est infecté par deux rogues et nécessite une procédure d’analyse adaptée comme décrit dans les échanges. Les conseils principaux proposent RogueKiller avec l’option 3 HOSTSFIX, mise à jour de Malwarebytes et l’utilisation de ZHPDiag (Nicolas Coolman), puis le partage du rapport via CJoint. Plusieurs réponses échangent des liens et des rapports de ZHPDiag, recommandent d’ajouter une icône sur le bureau, exécuter en administrateur et de vérifier l’activation des outils comme TDSSKiller ou MBAM. D’autres échanges évoquent des blocages, des plantages lors de l’analyse ou l’arrêt des outils antivirus, et pensent à relancer les analyses après mises à jour ou redémarrage, en attendant le rapport final.

Bobot (l'IA à votre service)
  1. jlpjlp Messages postés 52399 Statut Contributeur sécurité 5 041
     
    bonjour quels rogues?

    puis

    Télécharge ZHPDiag ( de Nicolas coolman ).
    https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

    (outil de diagnostic)

    Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )

    Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin ( vista )

    Clique sur la loupe en haut à gauche, puis laisse l'outil scanner.

    Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau.

    Rend toi sur Cjoint : http://www.cijoint.fr/

    Clique sur "Parcourir " dans la partie " Joindre un fichier[...] "

    Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau

    Clique ensuite sur "Cliquez ici pour déposer le fichier " et copie/colle le lien dans ton prochain message
    0
  2. vector369 Messages postés 1 Date d'inscription   Statut Membre Dernière intervention  
     
    Re,

    Microsoft.windowsredirectedhosts et fraud.windowsprotectionsuite.....

    J'ai installé mais il plante le pc et reboot automatique.... arghhhh
    0
  3. jlpjlp Messages postés 52399 Statut Contributeur sécurité 5 041
     
    telécharge roguekiller et colle un rapport option 1
    0
  4. vector369
     
    Salut, voilà.

    http://www.cijoint.fr/cjlink.php?file=cj201103/cijNmHzkml.txt
    0

  5. Vous n’avez pas trouvé la réponse que vous recherchez ?

    Posez votre question
  6. jlpjlp Messages postés 52399 Statut Contributeur sécurité 5 041
     
    ok

    relance roguekiller, choisi l'option 3 et colle nous le rapport (option 3 = HOSTSFIX )

    puis télécharge malwarebyte , mets le à jour et colle un rapport d'analyse rapide avec

    puis

    Télécharge ZHPDiag ( de Nicolas coolman ).
    https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

    (outil de diagnostic)

    Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )

    Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin ( vista )

    Clique sur la loupe en haut à gauche, puis laisse l'outil scanner.

    Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau.

    Rend toi sur Cjoint : http://www.cijoint.fr/

    Clique sur "Parcourir " dans la partie " Joindre un fichier[...] "

    Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau

    Clique ensuite sur "Cliquez ici pour déposer le fichier " et copie/colle le lien dans ton prochain message
    0
  7. vector369
     
    roguekiller hostsfix

    http://www.cijoint.fr/cjlink.php?file=cj201103/cijYhZTQsn.txt

    malwarebyte

    http://www.cijoint.fr/cjlink.php?file=cj201103/cijOUhXLKf.txt

    et zhpdiag plante tjs le pc....

    merci
    0
  8. jlpjlp Messages postés 52399 Statut Contributeur sécurité 5 041
     
    pour malwarebyte il faut le mettre à jour avant l'analyse...
    0
  9. vector369
     
    voici,

    http://www.cijoint.fr/cjlink.php?file=cj201103/cijuLrkNV6.txt
    0
  10. vector369
     
    Je me suis permis de mettre le coco en quarantaine après le log de malwarebyte et le soucis qui se posait à la base, çad l'accès à google en page d'accueil est fonctionnel maintenant....

    Est il utile de pousser plus en avant les investigations?

    Merci
    0
    1. afideg Messages postés 10466 Date d'inscription   Statut Contributeur sécurité Dernière intervention   602
       
      Salut Steph,

      Patienter un peu
      jlpjlp va revenir.

      c:\WINDOWS\system32\drivers\xzyurkm.sys (Rootkit.Agent) -> No action taken.
      Il faut supprimer cet élément trouvé par MBAM !
      Vider aussi la quarantaine de MBAM

      Pour ceci: « ... et zhpdiag plante tjs le pc.... » ; être plus précis.
      Si c'est un "blocage" à 44%, il faut patienter quelques minutes; ou suspendre la protection de l'antivirus la durée de l'analyse.


      Hello jlpjlp ;)
      Al.
      0
    2. vector369
       
      je teste à nouveau et reviens
      0
    3. vector369
       
      C'est pas un blocage, le pc plante et reboot vers peut être 44 % de l'analyse, ceci avec l antivirus off et la connexion réseau off...
      0
  11. afideg Messages postés 10466 Date d'inscription   Statut Contributeur sécurité Dernière intervention   602
     
    Re,

    En attendant jlpjlp

    Supprimer l'élément trouvé par MBAM
    Vider la quarantaine de MBAM

    Ensuite:

    Télécharger "load_tdsskiller" (de Loup Blanc) sur le bureau; à partir de ce lien http://fradesch.perso.cegetel.net/transf/Load_tdsskiller.exe .

    NOTE:
    Désactiver la protection en temps réel de l'antivirus.

    Ensuite:
    Lancer "load_tdsskiller.exe".
    - L'outil va se connecter au Net pour télécharger une copie à jour de TDSSKiller, puis va lancer le scan.
    - Une page noire en DOS s'affiche, superposée par une page couleur TDSSKiller 2.4.8.0 s'affiche; laisser les 2 cases cochées.

    Enfoncer le bouton radio [Start scan] pour lancer l'outil.

    * Lorsque l'outil a terminé son travail d'inspection, si des nuisibles ("Malicious objects") ont été trouvés, vérifier que l'option (Cure) est sélectionnée,
    * Si des objects suspects ("Suspicious objects") ont été détectés, sur l'écran de demande de confirmation, modifier l'action à entreprendre et indiquer Quarantine (au lieu de Skip),
    Note : "Cure" est sélectionné par défaut si TDSS est trouvé, et le PC va redémarrer.

    A la fin du scan, appuyer sur une touche pour continuer, comme l'indique le message dans la fenêtre noire d'invite de commande.

    Le rapport s'affichera automatiquement; faire un copier/coller son contenu dans la prochaine réponse.
    Le fichier est enregistré ici : C:\tdsskiller\report.txt

    Si l'outil "load_tdsskiller.exe" n'a pas redémarré le PC, il faut le redémarrer soi-même impérativement.

    Réactiver la protection de l'antivirus

    Ne rien faire avec le PC sans l'avis de jlpjlp.

    Al

    Patience-Vigilance-Amour.
    0
    1. vector369
       
      Voilà,

      http://www.cijoint.fr/cjlink.php?file=cj201103/cijU3SRaGR.txt
      0
    2. afideg Messages postés 10466 Date d'inscription   Statut Contributeur sécurité Dernière intervention   602
       
      Re,

      1)- Ceci avait-il été exécuté préalablement à "load_tdsskiller.exe" :
      Supprimer l'élément trouvé par MBAM
      Vider la quarantaine de MBAM       ?

      2)- Supprimer "load_tdsskiller" et ses composants.

      3)- Tenter de lancer ZHPDiag.

      Al.
      0
    3. vector369
       
      re,

      Quarantaine vidée et suppression load_tdsskiller ok et zhp diag plante encore le pc....
      0
  12. afideg Messages postés 10466 Date d'inscription   Statut Contributeur sécurité Dernière intervention   602
     
    Re,

    Ce n'est pas courant.
    Quel est l'antivirus actif de ce PC ?
    As-tu essayé en renommant ZHPDiag ?

    Relancer une analyse complète de malwarebyte
    Attention, il faut à nouveau le mettre à jour.
    Cette analyse prendra du temps ( > 1 heure ) ==> patienter.
    Si des éléments infectieux sont trouvés, les supprimer.
    Poster le rapport final.

    Al.

    Jlpjlp va bientôt revenir.
    Patience-Vigilance-Amour.
    0
  13. vector369
     
    re,

    c est antivir d'avira

    je peux renommer zyp diag mais par quoi?

    Je lance mbyte complet

    MMMMMerci
    0
    1. afideg Messages postés 10466 Date d'inscription   Statut Contributeur sécurité Dernière intervention   602
       
      (Pour la suite)

      A)- Spybot - Search & Destroy

      ==> ce logiciel n'est pas notre ami, il entrave les désinfections par nos outils.
      1)- Je recommande donc de supprimer Spybot !
      2)- Mais avant la désinstallation de Spybot il est recommandé de vérifier si la protection en temps réel Tea-Timer est bien désactivée (cela ne coûte rien); comme ce qui suit:

      Dans la fenêtre "Mode Avancé" dans Spybot
      1 - Options "Avancées"
      2 - menu "Mode" --> "Mode Avancé"
      3 - Dans le menu (partie gauche) de Spybot
      4 - Cliquer dans "Outils"
      5 - Cliquer dans "Résident"
      6 - Désactiver "Résident TeaTimer", en le décochant

      3)- Je peux proposer également de remplacer le fichier hosts implanté par Spybot, http://support.kaspersky.com/fr/faq/?qid=193238615


      B)- Renommer ZHPDiag.exe

      Dans "Program Files", chercher le dossier zhpdiag, et l'ouvrir > clic-droit sur le fichier zhpdiag.exe > le renommer en zhpdiag.com
      Maintenant faire clic-droit sur zhpdiag.com, choisir "Envoyer vers" > choisir "Bureau (Créer un raccourci)" .
      Lancer zhpdiag.com indiqué plus haut.

      Bonne chance
      Al.
      0
  14. vector369
     
    Voilà

    http://www.cijoint.fr/cjlink.php?file=cj201103/cijqQqrW4B.txt
    0
    1. afideg Messages postés 10466 Date d'inscription   Statut Contributeur sécurité Dernière intervention   602
       
      Re,

      Il fallait supprimer les éléments trouvés par MBAM; comme ceci:

      A la fin de l'analyse, un message s'affiche
      ==> Citation : L'examen s'est terminé normalement.
      ==> Cliquer sur "Ok" pour poursuivre.
      Si des malwares ont été détectés, cliquer sur "Afficher les résultats".
      Sélectionner tout (ou laisser coché) et cliquer sur "Supprimer la sélection" > MBAM va détruire les fichiers et clés de registre, et en mettre une copie dans la quarantaine.

      5°- MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse.
      Copier-coller ce rapport et le poster dans la prochaine réponse sur le topic en cours.

      NB : Si MBAM demande à redémarrer, il faut le faire, mais seulement après avoir posté le rapport.

      Une aide précieuse dans ce Tutoriel [ https://www.malekal.com/tutoriel-malwarebyte-anti-malware/ ]

      Dommage que ce ne soit pas fait dès l'issue de l'analyse.
      Il faut le faire.

      Al.
      0
  15. jlpjlp Messages postés 52399 Statut Contributeur sécurité 5 041
     
    slt je suis dispo ce jour

    slt Albert si tu veux finir vu que tu as tout fais?
    0
    1. afideg Messages postés 10466 Date d'inscription   Statut Contributeur sécurité Dernière intervention   602
       
      Salut J.
      Je veux bien, mais j'peux point !
      N'aurais-tu pas vu passer un vector369 furtif ? ;)
      Bonne nuit à toi.
      Albert
      0
    2. vector369
       
      Jour messieurs, le pc est au boulot et je suis en week end... je reprends ceci en main dès le début de semaine, vous remercie déjà
      0
    3. vector369
       
      Bonjour, je passe furtivement pour déposer ceci :-)

      spyboot désinstallé!

      rapport analyse http://www.cijoint.fr/cjlink.php?file=cj201103/cijK1vMu5V.txt

      Et mon raccourci.com plante le pc vers 48%

      merkiii
      0
    4. vector369
       
      up :-)
      0
  16. jlpjlp Messages postés 52399 Statut Contributeur sécurité 5 041
     
    remets un rapport zhpdiag

    si il passe pas

    Téléchargez OTL.exe
    http://www.itxassociates.com/OT-Tools/OTL.exe
    * Enregistrez le sur votre Bureau.
    o Si vous avez XP => double cliquez
    o Si vous avez Vista ou windows 7 => clic droit "exécuter en tant que administrateur"

    sur OTL.exe pour le lancer.

    * Cochez les 2 cases Lop et Purity
    * Cochez la case devant tous les utilisateurs
    * Réglage du fichier sur "60 jours"
    * Dans la moitié gauche, mettez tout sur "Tous", ne modifiez pas ceci :

    - "Fichiers créés"
    et
    - "Fichiers Modifiés"

    * Cliquez sur "Analyse".

    A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

    Ce fichier est sur votre Bureau (en général C:\Documents and settings\le_nom_de_ta_session\Bureau\OTL.txt)

    * NE LE POSTEZ PAS SUR LE FORUM car il est trop volumineux pour passer facilement dans un message, et ne le postez pas en plusieurs morceaux, ce n'est pas facile à analyser pour la personne qui vous viendra en aide.
    * Pour le transmettre, rendez-vous sur le site de Cijoint.
    * Cliquez sur Parcourir et cherchez le fichier ci-dessus.
    * Cliquez sur Ouvrir.
    * Cliquez sur "Cliquez ici pour déposer le fichier".
    * Juste au niveau du bouton, en fin de chargement du fichier, un lien de cette forme apparaitra :

    http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

    * Copiez ce lien dans votre réponse.
    * Vous ferez la même chose avec le "Extra.txt" qui logiquement sera aussi sur le bureau.

    Remarque : Si le site Cijoint ne fonctionne pas, essayer un autre site comme indiqué dans cette astuce
    0
  17. vector369
     
    voici

    http://www.cijoint.fr/cjlink.php?file=cj201103/cij3KUqgVd.txt
    0
  18. jlpjlp Messages postés 52399 Statut Contributeur sécurité 5 041
     
    si tu as XP => double clique
    si tu as Vista ou windows 7 => clic droit "executer en tant que...."

    sur OTL.exe pour le lancer.

    ?Copie la liste qui se trouve en gras ci-dessous,

    ? colle-la dans la zone sous "Personnalisation" :


    :processes
    explorer.exe
    iexplore.exe
    firefox.exe
    :services
    xzyurkm
    :Files
    C:\WINDOWS\System32\drivers\xzyurkm.sys
    C:\Documents and Settings\NetworkService\Application Data\rbuwzv.dat
    C:\Documents and Settings\All Users\Application Data\5ab0723
    :commands
    [emptytemp]
    [start explorer]
    [reboot]

    ? Clique sur "Correction" pour lancer la suppression.

    ? Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail appres le redemarrage.
    0
  19. vector369
     
    Bonjour JL, voici,

    http://www.cijoint.fr/cjlink.php?file=cj201103/cijiH7zTtq.txt
    0
  20. jlpjlp Messages postés 52399 Statut Contributeur sécurité 5 041
     
    ok

    remets un rapport OTL tout neuf et explique tes problèmes actuels
    0
  21. vector369
     
    Jour, j'espère avoir fait la bonne manip

    http://www.cijoint.fr/cjlink.php?file=cj201104/cijOxVRplv.txt

    Concernant les problèmes actuels, il y a du mieux déjà mais la vérole travaille en secret.... dans l'ensemble, le pc fonctionne déjà bcp mieux....

    merci
    0
  • 1
  • 2

Discussions similaires

Comment faire le signe au carré ² sur iPhone ?
Chloe0007 -
Jaks- -

5 réponses
Erreur CE-35888-2
Melvyn -
MPMP10 -

1 réponse
Quelqu'un regarde ma webcam ?
Anonyme123 -
jag72 -

2 réponses