problème de rootkitRésolu/Fermé

Question

Bonjour, 


depuis quelques jours avast a détecté un rootkit, j'ai effectué 2 scanners au démarrage et rien, mais depuis hier mon ordi est bloqué, je ne peux plus accéder à internet et je ne peux plus ouvrir mes logiciels que puis-je faire pour y remédier ?
pouvez vous m'aider ?

juju666 · Answer

salut

Attention, avant de commencer, lit attentivement la procédure, et imprime la  

Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement :

&#9654 Télécharge Defogger (de jpshortstuff) sur ton Bureau

&#9654 Lance le

&#9654 Une fenêtre apparait : clique sur "Disable"

&#9654 Fais redémarrer l'ordinateur si l'outil te le demande

Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable" 

/!\ Ne pas utiliser ce logiciel en dehors du cadre de cette désinfection : DANGEUREUX /!\  
tutoriel combofix  

&#9654 Fais un clic droit sur le lien ci dessous, choisi "Enregistrer la cible du lien sous", comme destination : ton Bureau, change son nom (ton_pseudo.exe par exemple) :  

http://download.bleepingcomputer.com/sUBs/ComboFix.exe  

&#9654 /!\ Déconnecte-toi du net et ARRÊTE TES LOGICIELS DE PROTECTION /!\  

&#9654 Double-clique sur ComboFix.exe  
Un "pop-up" va apparaître qui dit que ComboFix est utilisé à vos risques et avec aucune garantie... Clique sur oui pour accepter  

&#9654 &#9654 SURTOUT INSTALLES LA CONSOLE DE RECUPERATION  
(si il te propose de l'installer remets internet)  

&#9654 Mets-le en langue française F  

&#9654 Tape sur la touche 1 (Yes) pour démarrer le scan.  
  

&#9654 Ne touche à rien(souris, clavier) tant que le scan n'est pas terminé, car tu risques de planter ton PC  

&#9654En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.  

&#9654 Une fois le scan achevé, un rapport va s'afficher : Poste son contenu  

&#9654 &#9654 /!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\  

&#9654 Note : Le rapport se trouve également là : C:\ComboFix.txt

patricializa · Answer

j'ai un message qui dit 
limitation de garanti du logiciel 
les sites web suivants ne sont en aucune façon affiliés à Combofix
aurais-je oublié quelque chose ?

juju666 · Answer

non non pas de soucis, l analyse va débuter, clique sur Ok

patricializa · Answer

je ne sais pas ou désactiver les antivirus oups!!

juju666 · Answer

avast : clic droit sur le logo avast de la barre des tâches, désactiver le résident

patricializa · Answer

je voulais envoyer le compte rendu de combofix, mais j'ai des soucis avec la manoeuvre

juju666 · Answer

c est  à dire ?
s'il ne passe pas ici, envoie le sur http://www.cijoint.fr/

puis copie le lien obtenu ici ;-)

patricializa · Answer

http://cjoint.com/?1elnJXVGdiq
désolé il m'a fallu du temps pour comprendre

juju666 · Answer

Ok vu, la suite :

&#9654 &#9654 DÉSACTIVE TES PROTECTIONS DURANT LA PROCÉDURE 

&#9654 Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes : 


KillAll::

Driver::
BOONTY_GAMES
USNJSVC

Registry::
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{30F9B915-B755-4826-820B-08FBA6BD249D}]
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{0579B4B1-0293-4d73-B02D-5EBB0BA0F0A2}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{30F9B915-B755-4826-820B-08FBA6BD249D}"=-

File::
c:\program files\AskSBar\SrchAstt\1.bin\A2SRCHAS.DLL
c:\program files\ConduitEngine\ConduitEngin0.dll

Reboot::


&#9654 Enregistre ce fichier sous le nom CFScript 

&#9654 Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture :http://i261.photobucket.com/albums/ii49/Malekal_morte/CFScript-2.gif 

&#9654 Combofix se lance, laisse toi guider.. 

&#9654 Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal! 
Ne touche à rien tant que le scan n'est pas terminé. 
&#9654 Une fois le scan achevé, un rapport va s'afficher: poste son contenu, en précisant où en sont tes soucis 

&#9654 Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt  

===============================

On vérifie le travail de combofix :

&#9654 Télécharge TDSS Killer (de Kaspersky Labs) sur ton Bureau  
&#9654 Double-clique sur tdsskiller.exe (sous Vista/Seven, clic droit  
dessus, et sur exécuter en tant qu'administrateur)  
&#9654 Clique sur Start Scan  
&#9654 Si l'outil a trouvé des éléments, choisi Cure,   
puis sur Reboot Now  
&#9654 Le PC va redémarrer, et un rapport va s'ouvrir  
&#9654 Copie/colle le rapport (il est sauvegardé dans C:\TDSS Killer  
N° de version_Date_Heure_log.txt)  

===============================

&#9654  Télécharge de AD-Remover sur ton Bureau. (Merci à C_XX) 

http://www.teamxscript.org/adremoverTelechargement.html ( Lien officiel ) 
OU 
https://www.androidworld.fr/ ( Miroir ) 

/!\ Ferme toutes applications en cours /!\ 

&#9654 Double-clique sur l'icône Ad-remover située sur ton Bureau. 
&#9654 Sur la page, clique sur le bouton « Nettoyer » 
&#9654 Confirme lancement du scan 
&#9654 Laisse travailler l'outil. 
&#9654 Poste le rapport qui apparaît à la fin. 

(Le rapport est sauvegardé aussi sous C:\Ad-Report-CLEAN[1].txt) 

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller)  

===============================

DÉSACTIVE TON ANTIVIRUS ET TON PARE-FEU SI PRÉSENTS !!!!! (car l'outil est détecté a tort comme infection contenant un module qui sert à arrêter des processus , et un autre servant à prendre des droits dans le registre pour effectuer des suppressions) 

&#9654 Télécharge ici :List_Kill'em de gen-hackman 

et télécharge Pre_scan de gen-hackman 

 et enregistre les sur ton bureau  

&#9654 Exécute Pre_scan. Sii l'outil detecte un proxy  et que tu n'en as pas installé  clique sur "supprimer le proxy"

&#9830 Colle le contenu de " rapport.txt" qui apparaitra à son terme , sur le bureau. 

Puis: 

Exécute  List_Kill'em_Instal.exe  sur ton bureau pour lancer l'installation 

Laisse coché : 

&#9830 Exécuter List_Kill'em 

une fois terminée , clic sur "terminer"  

&#9654 &#9654 Une fois le programme lancé choisis l'option Recherche 

&#9654 laisse travailler l'outil 

&#9654 Envoie list'em.txt sur ton bureau 

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/  

&#9654 Clique sur Parcourir et cherche le fichier List'em.txt sur ton bureau  

&#9654 Clique sur Ouvrir.  

&#9654 Clique sur "Cliquez ici pour déposer le fichier".  

Un lien de cette forme :  

http://www.cijoint.fr/cjlink.php?file=265368/cijSKAP5fU.txt  

est ajouté dans la page.  

&#9654 Fais de même avec more.txt qui se trouve sur ton bureau 

&#9654 Copie ces liens dans ta réponse.  

A+

patricializa · Answer

voici le rapport AD
http://cjoint.com/?0elpyzCfzgz

patricializa · Answer

rapport tdss
http://cjoint.com/?0elpDbg8Er

patricializa · Answer

rapport list me
http://cjoint.com/?0elpW9IYrIG

patricializa · Answer

pre scan
http://cjoint.com/?0elp4fYFvzo

more
http://cjoint.com/?0elpY68IDFO

j'espère que ça marche

juju666 · Answer

cool tu as un XP avec un MBR de windows 98 :P

attends je reviens ;)

juju666 · Answer

As tu ton CD de windows ?

patricializa · Answer

non 
tout ce que j'ai c'est le cd de restauration packard bell

juju666 · Answer

on va tenter mais sans conviction ...

desactive tes protections

telecharge ici :

MBR_Repair

enregistre-le sur ton bureau ,

lance-le , choisis "Repair"

choisis "Windows XP"

ton pc va redemarrer

à ton retour , relance MBR_Repair puis fais l'option "Verify"

MBR_Verify.txt se mettra sur ton bureau poste ici son contenu

patricializa · Answer

voici le rapport de mbr j'espère que ça a fonctionné
http://cjoint.com/?1elqzFcTyEx

juju666 · Answer

eh non ^^ 

bref la suite, on reviendra au mbr plus tard :

&#9654 Télécharge Malwarebytes' Anti-Malware  et enregistre le sur ton bureau.  

&#9654 &#9654 Miroir 1 si inaccessible  

&#9654 &#9654 Miroir 2 si inaccessible 

&#9654 &#9654 /!\ Utilisateur de Vista et Windows 7 : Clique droit sur le logo de Malwarebytes' Anti-Malware, « exécuter en tant qu'Administrateur »  

&#9654 Double clique sur le fichier téléchargé pour lancer le processus d'installation.  
&#9654 Dans l'onglet "mise à jour", clique sur le bouton Recherche de mise à jour  
&#9654 si le pare-feu demande l'autorisation de se connecter pour Malwarebytes, accepte  
&#9654  Une fois la mise à jour terminée  
&#9654 rends-toi dans l'onglet Recherche 
&#9654 Sélectionne Exécuter un examen complet 
&#9654 Clique sur Rechercher  
&#9654 &#9654 Le scan démarre.  
&#9654 A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.  
&#9654 Clique sur Ok pour poursuivre.  
&#9654 Si des malwares ont été détectés, cliques sur Afficher les résultats 
&#9654 Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection . Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.  
&#9654 Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. Copie/colle le ici (ctrl+a pour tout sélectionner, ctrl+c pour copier, ctrl+v pour coller) 

&#9654 &#9654  Il se peut que MBAM ait besoin de redémarrer le pc pour finaliser la suppression, donc pas de panique, redémarre ton pc !!!  
&#9654 Une fois le PC redémarré, rends toi dans l'onglet rapport/log  
&#9654 Tu clique dessus pour l'afficher, une fois affiché  
&#9654 Copie/colle le ici (ctrl+a pour tout sélectionner, ctrl+c pour copier, ctrl+v pour coller) 

Si tu as besoin d'aide regarde ce tutoriel :  
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/   

&#9654 &#9654 Si tu n'arrive pas à le mettre à jour, télécharge ce fichier

patricializa · Answer

voila la suite.
Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6333

Windows 5.1.2600 Service Pack 2
Internet Explorer 7.0.5730.13

11/04/2011 17:38:03
mbam-log-2011-04-11 (17-38-03).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 300098
Temps écoulé: 56 minute(s), 46 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Qoobox\quarantine\C\program files\winsudate\gibidl.dll.vir (Adware.Gibmedia) -> Quarantined and deleted successfully.
Malwarebytes' Anti-Malware 1.50
www.malwarebytes.org

Version de la base de données: 6333

Windows 5.1.2600 Service Pack 2
Internet Explorer 7.0.5730.13

11/04/2011 16:39:03
mbam-log-2011-04-11 (16-39-03).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 45738
Temps écoulé: 5 minute(s), 20 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

Problème de rootkit

34 réponses

Discussions similaires

Newsletters