Virus BOO/TDss.M

Question

Bonjour,

Depuis quelques jours j'ai un virus qui me ralenti mon pc et qui bloque certaine application et je voudrais savoir comment m'en débarrasser!

J'ai Avira AntiVir comment Antivirus et lorsque je lance l'analyse il me dit cela sur le virus:

Le fichier 'Secteur d'amorçage 'C:\''
 contenait un virus ou un programme indésirable 'BOO/TDss.M' [virus].
Action(s) exécutée(s) :
Contient le code du virus de secteur dapos;amorçage BOO/TDss.M.
Le secteur n'a pas été réécrit !

Et

Le fichier 'Secteur d'amorçage maître HD0'
 contenait un virus ou un programme indésirable 'BOO/TDss.M' [virus].
Action(s) exécutée(s) :
Contient le code du virus de secteur dapos;amorçage BOO/TDss.M.
Le secteur n'a pas été réécrit !

Si quelqu'un peut me dire comment m'en débarrasser!
Merci d'avance.

Utilisateur anonyme · Accepted Answer

Bonjour
C'est bien beau de dire cela, il faut savoir si le PC est tatoué

olpascal
Télécharge TDSSKiller sur ton bureau
https://support.kaspersky.com/downloads/utils/tdsskiller.zip
Crée un nouveau dossier sur ton bureau puis décompresse l'archive dedans
Lance le programme en cliquant sur TDSSKiller.exe, l'analyse se fait automatiquement, si l'infection est détectée, des éléments cachés (= hidden) seront alors affichés.
Coche les, et clique sur Dele

karirovax · Answer

Salut

Soit vous devrez essayer avec un outil de désinfection comme ( Cure-It  DrWeb, ...etc )

ou d'éssayer de réecrir le 1er secteur de démarrage ( MBR ), il ya pleinement des tutoriaux sur comment booter et réparer un système comme ( XP, Vista, Win7 ...etc )

olpascal · Answer

Quelqu'un peut me dire pourquoi TDSSKiller ne veut pas se lancer!

A chaque fois j'arrive à 80% de l'initialisation et ensuite ça beug et il me marque que ça à cessé de fonctionner!

Merci d'avance!

Utilisateur anonyme · Answer

C'est parce que tu as une variante TDL 4 qui est une vraie crasse, et qui
s'est bien installé dans le secteur d'amorçage du disque dur (MBR)

Je vais me renseigner, je ne te laisse pas tomber

olpascal · Answer

Est-ce que quelqu'un aurait une solution pour se débarrasser de ce virus, je ne sais vraiment pas quoi faire!

Merci d'avance!

Utilisateur anonyme · Answer

Est-ce que ton PC possède une partition cachée pour le restaurer à l'état
d'usine ? S'il est tatoué, ça va être difficile de se débarrasser de ce rootkit

olpascal · Answer

Je ne sais pas. Mais cela voudrait dire que je perd toute mes données alors que j'ai des dossiers importants qui sont assez lourds et que je ne peut pas stocker ailleurs.

Utilisateur anonyme · Answer

C'est quel genre de PC quelle marque ? C'est pour savoir s'il est tatoué

olpascal · Answer

Voila la description de l'ordinateur:

Ordinateur portable ST86 M 020 FR Edition Limitée Intel® Core 2 Duo P7450 - 17" - 4 Go RAM - ST86 M 020 FR

Utilisateur anonyme · Answer

Il y a une solution pour supprimer ce rootkit, mais si ton PC est tatoué, la méthode de désinfection risque d'endommager les données de restauration d'usine du fabricant du PC

olpascal · Answer

Sa veut dire quoi qu'un pc est tatoué?

Et il existe aucune solution efficace sans endommager le pc?
Personne n'a eu ce problème avant?

gen-hackman · Answer

salut on m'a demandé d'intervenir

essaie celui-ci de tdsskiller

http://dl.dropbox.com/u/21363431/Reload_Tdsskiller.exe

tu fais directement "lancer le nettoyage" , et à la fin quand tu fermes , le rapport sera sur ton bureau

olpascal · Answer

Merci de ton aide,

Alors voila j'ai lancée le nettoyage et pareil il s'arrête après 80% de chargement mais il m'a laissé un message sur le bureau qui est le suivant:

2011/04/30 23:22:11.0588 5164	TDSS rootkit removing tool 2.4.21.0 Mar 10 2011 12:26:28
2011/04/30 23:22:11.0732 5164	================================================================================
2011/04/30 23:22:11.0732 5164	SystemInfo:
2011/04/30 23:22:11.0732 5164	
2011/04/30 23:22:11.0732 5164	OS Version: 6.0.6002 ServicePack: 2.0
2011/04/30 23:22:11.0732 5164	Product type: Workstation
2011/04/30 23:22:11.0732 5164	ComputerName: PC-DE-PASCAL
2011/04/30 23:22:11.0732 5164	UserName: Pascal
2011/04/30 23:22:11.0732 5164	Windows directory: C:\Windows
2011/04/30 23:22:11.0732 5164	System windows directory: C:\Windows
2011/04/30 23:22:11.0733 5164	Processor architecture: Intel x86
2011/04/30 23:22:11.0733 5164	Number of processors: 2
2011/04/30 23:22:11.0733 5164	Page size: 0x1000
2011/04/30 23:22:11.0733 5164	Boot type: Normal boot
2011/04/30 23:22:11.0733 5164	================================================================================
2011/04/30 23:22:12.0660 5164	!crdlk

juju666 · Answer

2011/04/30 23:22:12.0660 5164 !crdlk

J'ai jamais vu ça !

Bon courage Gen !

gen-hackman · Answer

Télécharge ici :OTL

&#9654 enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.

&#9654 => Configuration

&#9654Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

juste au niveau du bouton , en fin de chargement du fichier , Un lien de cette forme apparaitra :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

&#9654 Copie ce lien dans ta réponse.

&#9654&#9654 Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.

olpascal · Answer

Voila c'est fait, voici le lien pour OTL.txt;

http://www.cijoint.fr/cjlink.php?file=cj201104/cijZIyj7B6.txt

et celui pour extra.txt;

http://www.cijoint.fr/cjlink.php?file=cj201104/cijfuKMvcC.txt

gen-hackman · Answer

&#9654 Télécharge ici : Ad-remover sur ton bureau : 


&#9654 Déconnecte toi et ferme toutes applications en cours ! 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

&#9654 sur "Ad-R.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut . 

&#9654 clique le raccourci Ad-remover qui est sur ton bureau pour lancer l'outil .
 
&#9654 Au menu principal choisis "option Nettoyer" et tape sur [entrée] .

&#9654 Laisse travailler l'outil et ne touche à rien ... 

&#9654 Poste le rapport qui apparait à la fin , sur le forum ...

( Le rapport est sauvegardé aussi sous C:\Ad-report.log ) 
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller ) 

=========================================

desactive tes protections puis enregistre ceci sur ton bureau

Pre_Scan

Avertissement: Il y aura une extinction courte du bureau --> pas de panique. 

une fois telechargé lance-le , laisse faire le scan puis colle le contenu de "Pre_scan.txt" qui apparaitra à son terme , sur le bureau.

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

si l'outil semble ne pas avoir fonctionné clique plusieurs fois très rapidement dessus

olpascal · Answer

Voila deja pour le rapport;

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 00:04:41 le 01/05/2011, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Premium  Service Pack 2 (X86) 
Pascal@PC-DE-PASCAL (Packard Bell BV EasyNote ST86) 
 
============== ACTION(S) ==============


Fichier supprimé: C:\Users\Pascal\AppData\Roaming\Mozilla\FireFox\Profiles\m0ejjax5.default\searchplugins\askcom.xml
Dossier supprimé: C:\Users\Pascal\AppData\Roaming\EoRezo
Dossier supprimé: C:\Program Files\EoRezo
Dossier supprimé: C:\Users\Pascal\AppData\Roaming\OfferBox

(!) -- Fichiers temporaires supprimés.


-- Fichier ouvert: C:\Users\Pascal\AppData\Roaming\Mozilla\FireFox\Profiles\m0ejjax5.default\Prefs.js --
Ligne supprimée: user_pref("browser.search.defaultengine", "Ask.com"); 
Ligne supprimée: user_pref("browser.search.defaultenginename", "Ask.com"); 
Ligne supprimée: user_pref("browser.search.order.1", "Ask.com"); 
Ligne supprimée: user_pref("extensions.Fissa.Uninstall.lastRunTime", "Tue, 12 Apr 2011 20:57:27 GMT"); 
-- Fichier Fermé --
 

Clé supprimée: HKLM\Software\Classes\Interface\{DB885111-F39F-4D88-9EE5-C88460B6DF7B}
Clé supprimée: HKLM\Software\Classes\TypeLib\{4509D3CC-B642-4745-B030-645B79522C6D}
Clé supprimée: HKLM\Software\Classes\TypeLib\{AA2E16F2-387A-415F-BA95-B89BAF3AF109}
Clé supprimée: HKLM\Software\EoRezo
Clé supprimée: HKLM\Software\OfferBox
Clé supprimée: HKCU\Software\EoRezo
Clé supprimée: HKCU\Software\FissaSearch
Clé supprimée: HKCU\Software\Grand Virtual
Clé supprimée: HKCU\Software\OfferBox
Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}
Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{19F2B849-4ADE-4d4b-85F9-C31C643DBDE9}
Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{35E360E1-7889-498e-A1EB-D3FEBF885E48}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKLM\Software\Google\Chrome\Extensions\bjeikeheijdjdfjbmknpefojickbkmom

Valeur supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Run|Eoengine
Valeur supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Run|Eorezo
Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks|{91C18ED5-5E1C-4AE5-A148-A861DE8C8E16}
Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}


============== SCAN ADDITIONNEL ==============

**** Mozilla Firefox Version [3.5.13 (fr)] ****

Components\aboutCertError.js
Components\aboutPrivateBrowsing.js
Components\aboutRights.js
Components\aboutRobots.js
Components\aboutSessionRestore.js
Components
sPostUpdateWin.js

-- C:\Users\Pascal\AppData\Roaming\Mozilla\FireFox\Profiles\m0ejjax5.default --
Searchplugins\firefox-modules.xml (?)
Searchplugins\googlecom-in-english.xml (?)
Prefs.js - browser.search.selectedEngine, Yahoo
Prefs.js - browser.startup.homepage, hxxp://www.google.com/
Prefs.js - browser.startup.homepage_override.mstone, rv:1.9.1.13

========================================

**** Google Chrome Version [11.0.696.60] ****


-- C:\Users\Pascal\AppData\Local\Google\Chrome\User Data\Default --
Preferences - default_search_provider: "Google" (Activé: true) (?)
Preferences - homepage: hxxp://www.google.fr/
Preferences - homepage_is_newtabpage: false
Plugin - "DivX\u00AE Content Upload Plugin" (Activé: true)
Plugin - "DivX Player Netscape Plugin" (Activé: true)
Plugin - "DivX\u00AE Web Player" (Activé: true)

========================================

**** Internet Explorer Version [8.0.6001.19048] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKCU_SearchScopes\{67A2568C-7A0A-4EED-AECC-B5405DE63B64} - "?" (?)
HKCU_SearchScopes\{70D46D94-BF1E-45ED-B567-48701376298E} - "Google Desktop" (hxxp://127.0.0.1:4664/search&s=h_wI4WJ_Ozm4XpS3WtgkRisqBoo?q={searchTerms})
HKCU_Toolbar\WebBrowser|{32099AAC-C132-4136-9E9A-4E364A424E17} (C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll)
HKLM_Toolbar|{32099AAC-C132-4136-9E9A-4E364A424E17} (C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll)
HKCU_ElevationPolicy\{A94C8BAE-AC32-40C2-A513-D4C3D74D709A} - C:\Program Files\K-Lite Codec Pack\Media Player Classic\mplayerc.exe (mpc-hc@Sourceforge)
HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files\Internet Explorer\iedw.exe (x)
HKLM_ElevationPolicy\{74351F14-5437-4d87-805B-04D409B09976} - C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe (Google)
BHO\{5C255C8A-E604-49b4-9D64-90988571CECB} (?)
BHO\{8A9D74F9-560B-4FE7-ABEB-3B2E638E5CD6} (?)

========================================

C:\Program Files\Ad-Remover\Quarantine: 14 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 16 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 01/05/2011 00:05:49 (5780 Octet(s)) 

Fin à: 00:06:43, 01/05/2011 
 
============== E.O.F ==============

olpascal · Answer

Et voici le Pre scan;

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Scan 1.0.0.40 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 ¤¤¤¤¤

Mis à jour le 30/04/2011 | 18.50 par g3n-h@ckm@n
Utilisateur : Pascal (Administrateurs)
Ordinateur : PC-DE-PASCAL

Système d'exploitation : Windows Vista (TM) Home Premium (32 bits)
Internet Explorer : 8.0.6001.19048
Mozilla Firefox : 3.5.13 (fr)

Scan : 00:09:38 | 01/05/2011

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

[HKCU\..\..\Winlogon] | Shell -> Modification apportée :  -> explorer.exe

¤

[HKLM\..\..\Winlogon] | Shell -> Aucune modification : explorer.exe -> explorer.exe
[HKLM\..\..\Winlogon] | AutoRestartShell -> Aucune modification : 1 -> 1
[HKLM\..\..\Winlogon] | userinit -> Modification apportée : C:\Windows\system32\userinit.exe -> C:\Windows\system32\userinit.exe,
[HKLM\..\..\Winlogon] | PowerDownAfterShutdown -> Modification apportée : 0 -> 1

¤¤¤¤¤¤¤¤¤¤ Associations

[.exe] : exefile
[exefile | command] : "%1" %*
[.com] : comfile
[comfile | command] : "%1" %*
[.reg] : regfile
[regfile | command] : regedit.exe "%1"
[.scr] : scrfile
[scrfile | command] : "%1" /S
[.bat] : batfile
[batfile | command] : "%1" %*
[.cmd] : cmdfile
[cmdfile | command] : "%1" %*
[.pif] : piffile
[piffile | command] : "%1" %*

¤

[Firefox | Command] | @ -> Modification apportée : C:\Program Files\Mozilla Firefox\firefox.exe -> "C:\Program Files\Mozilla Firefox\Firefox.exe"
[Firefox - Safemode | Command] | @ -> Aucune modification : "C:\Program Files\Mozilla Firefox\firefox.exe" -safe-mode -> "C:\Program Files\Mozilla Firefox\firefox.exe" -safe-mode
[IE | Command] | @ -> Modification apportée : C:\Program Files\Internet Explorer\iexplore.exe -> "C:\Program Files\Internet Explorer\iexplore.exe"
[Applications | IE | Command] | @ -> Aucune modification : "C:\Program Files\Internet Explorer\iexplore.exe" %1 -> "C:\Program Files\Internet Explorer\iexplore.exe" %1
[Chrome | Command] | @ -> Modification apportée : "C:\Users\Pascal\AppData\Local\Google\Chrome\Application\chrome.exe" -> "C:\Program Files\Google\Chrome\Application\chrome.exe"

¤

[Assoc | Applications] | @ -> Modification apportée : http://go.microsoft.com/fwlink/?LinkId=57426&Ext=%s -> http://shell.windows.com/fileassoc/%04x/xml/redir.asp?Ext=%s

¤


¤


¤¤¤¤¤¤¤¤¤¤ Services

[Ndisuio] | Start -> Aucune modification : 3 -> 3
[lmhosts] | Start -> Aucune modification : 2 -> 2 : Service Actif
[LanmanWorkstation] | Start -> Aucune modification : 2 -> 2 : Service Actif
[LanmanServer] | Start -> Aucune modification : 2 -> 2 : Service Actif
[agp440] | Start -> Modification apportée : 3 -> 2 : Service Redemarré
[AudioEndpointBuilder] | Start -> Aucune modification : 2 -> 2 : Service Actif
[Audiosrv] | Start -> Aucune modification : 2 -> 2 : Service Actif
[BFE] | Start -> Aucune modification : 2 -> 2 : Service Actif
[Bits] | Start -> Aucune modification : 2 -> 2 : Service Actif
[CryptSvc] | Start -> Aucune modification : 2 -> 2 : Service Actif
[EapHost] | Start -> Modification apportée : 3 -> 2 : Service Actif
[Wlansvc] | Start -> Aucune modification : 2 -> 2 : Service Actif
[SharedAccess] | Start -> Modification apportée : 3 -> 2 : Service Redemarré
[windefend] | Start -> Aucune modification : 2 -> 2 : Service Redemarré
[wuauserv] | Start -> Aucune modification : 2 -> 2 : Service Actif
[WerSvc] | Start -> Aucune modification : 2 -> 2 : Service Actif
[wscsvc] | Start -> Aucune modification : 2 -> 2 : Service Actif

¤¤¤¤¤¤¤¤¤¤ Internet Explorer

[HKCU | Main] | Start Page -> Modification apportée : http://fr.msn.com/ -> http://www.google.com/
[HKCU | Main] | Local Page -> Aucune Modification : C:\Windows\system32\blank.htm -> C:\Windows\system32\blank.htm
[HKCU | Main] | Search Page -> Modification apportée :  -> http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

[HKLM | Main] | Start Page -> Modification apportée : http://fr.msn.com/ -> http://go.microsoft.com/fwlink/?LinkId=69157
[HKLM | Main] | Local Page -> Aucune Modification : C:\Windows\System32\blank.htm -> C:\Windows\System32\blank.htm
[HKLM | Main] | Default_Search_URL -> Modification apportée : http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch -> http://go.microsoft.com/fwlink/?LinkId=54896
[HKLM | Main] | Default_Page_URL -> Modification apportée : http://go.microsoft.com/fwlink/?LinkId=54896 -> http://go.microsoft.com/fwlink/?LinkId=69157
[HKLM | Main] | Search Page -> Modification apportée : http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch -> http://go.microsoft.com/fwlink/?LinkId=54896

¤¤¤¤¤¤¤¤¤¤ Processus

C:\Windows\explorer.exe -> Processus stoppé 

¤¤¤¤¤¤¤¤¤¤ Clés supprimées et Fichier mis en quarantaine


¤¤¤¤¤¤¤¤¤¤ IFEO


¤¤¤¤¤¤¤¤¤¤ Mountpoints2

Supprimé : [HKCU\..\..\Mountpoints2\{56bbcb86-9887-11de-8dd8-0022fa0f21cc}] -> command : E:\AutoRun.exe
Supprimé : [HKCU\..\..\Mountpoints2\{56bbcc33-9887-11de-8dd8-e4af467cdddf}] -> command : E:\AutoRun.exe
Supprimé : [HKCU\..\..\Mountpoints2\{56bbcc43-9887-11de-8dd8-e4af467cdddf}] -> command : E:\AutoRun.exe
Supprimé : [HKCU\..\..\Mountpoints2\{583a08da-b7e7-11de-af42-ffe1563ac4dd}] -> command : E:\AutoRun.exe
Supprimé : [HKCU\..\..\Mountpoints2\{5b24159c-b583-11de-adb1-9bdca1f925a7}] -> command : wd_windows_tools\setup.exe
Supprimé : [HKCU\..\..\Mountpoints2\{8e2240b2-01f6-11df-859d-0022fa0f21cc}] -> command : "E:\WD SmartWare.exe" autoplay=true
Supprimé : [HKCU\..\..\Mountpoints2\{c2e100ed-b1b3-11df-b7a9-0022fa0f21cc}] -> command : "E:\WD SmartWare.exe" autoplay=true
Supprimé : [HKCU\..\..\Mountpoints2\{d0acd79b-64be-11df-99cc-9e29aeec17c8}] -> command : I:\Windows\CHECK\DriveNavigator.exe
Supprimé : [HKCU\..\..\Mountpoints2\{ecfd34af-7a0a-11de-805a-0022fa0f21cc}] -> command : F:\autorun.exe


¤¤¤¤¤¤¤¤¤¤ MBR

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:			-za C:\MBR\MBR.bin 
Windows Version:		Windows Vista Home Premium Edition
Windows Information:		Service Pack 2 (build 6002), 32-bit
Base Board Manufacturer:	Packard Bell BV
BIOS Manufacturer:		American Megatrends Inc.
System Manufacturer:		Packard Bell BV
System Product Name:		EasyNote ST86
Logical Drives Mask:		0x0000002c

Analysis of file "C:\MBR\MBR.bin":
Windows 2008 MBR code detected


Done!

¤¤¤

Fin : 00:12:51

¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤

gen-hackman · Answer

&#9654 Télécharge ici : USBFIX sur ton bureau 

branche tous tes periphériques sans les ouvrir

/!\ Désactive provisoirement et seulement le temps de l'utilisation d'USBFIX, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur l'icône Usbfix située sur ton Bureau.
Sur la page, clique sur le bouton :

&#9654 choisi l option Suppression

&#9654 UsbFix scannera ton pc , laisse travailler l outil.

&#9654 Ensuite post le rapport UsbFix.txt qui apparaitra avec le bureau .

&#9654 Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

gen-hackman · Answer

refais OTL selon les indications stp

olpascal · Answer

Voila le lien OTL;

http://www.cijoint.fr/cjlink.php?file=cj201105/cijsrbOoo9.txt

gen-hackman · Answer

Fais analyser le(s) fichier(s) suivants sur Virustotal :

Virus Total

    clique sur "Parcourir" et trouve puis selectionne ce(s) fichier(s) :

C:\Windows\System32\custmon32.dll       

    * Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
    * Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
    * Lorsque l'analyse est terminée colle le lien de(s)( la) page(s)  dans ta prochaine réponse.

======================================

ATTENTION !!! : Script personnalisé pour cette machine uniquement , ne pas reproduire !! 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.


&#9654Copie la liste qui se trouve en gras ci-dessous,

&#9654 colle-la dans la zone sous "Personnalisation" :


:processes
explorer.exe
iexplore.exe
firefox.exe
msnmsgr.exe
Teatimer.exe

:OTL
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 1  
FF - prefs.js..extensions.enabledItems: {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}:6.0.20  
FF - prefs.js..extensions.enabledItems: {CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA}:6.0.23  
O2 - BHO: (no name) - {8A9D74F9-560B-4FE7-ABEB-3B2E638E5CD6} - No CLSID value found. 
O3 - HKLM\..\Toolbar: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll ()  
O3 - HKCU\..\Toolbar\WebBrowser: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll () 
O15 - HKCU\..Trusted Domains: everestpoker.com ([account] https in Trusted sites)      
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_23-windows-i586.cab (Java Plug-in 1.6.0_23)  
O16 - DPF: {CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_23-windows-i586.cab (Java Plug-in 1.6.0_23) 
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_23-windows-i586.cab (Java Plug-in 1.6.0_23) 

:Reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"eRecoveryService"=-

:Files
C:\Program Files\DAEMON Tools Toolbar
C:\ProgramData\pE31000LhLhA31000      
@Alternate Data Stream - 121 bytes -> C:\ProgramData\TEMP:07BF512B      
 
:commands
[emptytemp]
[start explorer]
[reboot]


&#9654 Clique sur "Correction" pour lancer la suppression.


&#9654 Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail appres le redemarrage.

olpascal · Answer

Voici déjà le lien pour Virus Total;

http://www.virustotal.com/...

gen-hackman · Answer

inscris-toi sur commentcamarche et redonne le lien je n'y ai pas accès de la sorte

olpascal01 · Answer

Voila;

http://www.virustotal.com/file-scan/reanalysis.html?id=aad7e6d5941cecd1bd7a53fb849fa8a4c72af59d8d17e64e5d9b9b160e5116b6-1304208282

gen-hackman · Answer

ok la suite :)

olpascal01 · Answer

Voila la suite,
En tout cas merci beaucoup pour ton aide;

All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
No active process named iexplore.exe was found!
No active process named firefox.exe was found!
Process msnmsgr.exe killed successfully!
No active process named Teatimer.exe was found!
========== OTL ==========
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable|dword:0 /E : value set successfully!
Prefs.js: {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}:6.0.20 removed from extensions.enabledItems
Prefs.js: {CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA}:6.0.23 removed from extensions.enabledItems
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{8A9D74F9-560B-4FE7-ABEB-3B2E638E5CD6}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8A9D74F9-560B-4FE7-ABEB-3B2E638E5CD6}\ not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\{32099AAC-C132-4136-9E9A-4E364A424E17} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{32099AAC-C132-4136-9E9A-4E364A424E17}\ deleted successfully.
C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll moved successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{32099AAC-C132-4136-9E9A-4E364A424E17} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{32099AAC-C132-4136-9E9A-4E364A424E17}\ not found.
File C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\everestpoker.com\account\ deleted successfully.
Starting removal of ActiveX control {8AD9C840-044E-11D1-B3E9-00805F499D93}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Starting removal of ActiveX control {CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA}\ not found.
Starting removal of ActiveX control {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
========== REGISTRY ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\eRecoveryService deleted successfully.
========== FILES ==========
C:\Program Files\DAEMON Tools Toolbar\Resources folder moved successfully.
C:\Program Files\DAEMON Tools Toolbar folder moved successfully.
C:\ProgramData\pE31000LhLhA31000 folder moved successfully.
ADS C:\ProgramData\TEMP:07BF512B deleted successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: Pascal
->Temp folder emptied: 63119377 bytes
->Temporary Internet Files folder emptied: 2379442 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 87872595 bytes
->Google Chrome cache emptied: 7238732 bytes
->Flash cache emptied: 1966756 bytes
 
User: Public
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 284160 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 0 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 0 bytes
RecycleBin emptied: 162 bytes
 
Total Files Cleaned = 155,00 mb
 
 
OTL by OldTimer - Version 3.2.22.3 log created on 05012011_021515

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...

gen-hackman · Answer

reessaie Reload_Tdsskiller maintenant

olpascal01 · Answer

Toujours pareil, sa plante à 80% et j'ai ça comme rapport;

2011/05/01 03:08:52.0094 5804	TDSS rootkit removing tool 2.4.21.0 Mar 10 2011 12:26:28
2011/05/01 03:08:52.0245 5804	================================================================================
2011/05/01 03:08:52.0245 5804	SystemInfo:
2011/05/01 03:08:52.0245 5804	
2011/05/01 03:08:52.0245 5804	OS Version: 6.0.6002 ServicePack: 2.0
2011/05/01 03:08:52.0245 5804	Product type: Workstation
2011/05/01 03:08:52.0245 5804	ComputerName: PC-DE-PASCAL
2011/05/01 03:08:52.0245 5804	UserName: Pascal
2011/05/01 03:08:52.0245 5804	Windows directory: C:\Windows
2011/05/01 03:08:52.0245 5804	System windows directory: C:\Windows
2011/05/01 03:08:52.0245 5804	Processor architecture: Intel x86
2011/05/01 03:08:52.0245 5804	Number of processors: 2
2011/05/01 03:08:52.0245 5804	Page size: 0x1000
2011/05/01 03:08:52.0245 5804	Boot type: Normal boot
2011/05/01 03:08:52.0245 5804	================================================================================
2011/05/01 03:08:56.0946 5804	!crdlk

gen-hackman · Answer

ok essaie cette solution à graver en image disque

https://support.kaspersky.com/fr/viruses/krd2018

olpascal01 · Answer

J'ai monter l'image avec daemon tools mais il n'y a aucun exécutable dedans, que dois-je faire une fois l'image monter?

gen-hackman · Answer

tu l'as gravé sur un cd ?

olpascal01 · Answer

Non je n'ai pas de cd sous la main c'est pour cela que je suis passer par Daemon tools. Je pourrais essayer demain si il faut vraiment le mettre sur cd!

gen-hackman · Answer

je ne sais pas comment fonctionne daemon tools

olpascal01 · Answer

J'ai essayé de suivre le tutoriel du lien mais à l'étape 4 je ne sais pas comment on fait!

https://support.kaspersky.com/fr/14226

Comment fait-on pour démarrer à partir d'une clé usb?

Utilisateur anonyme · Answer

Bonjour olpascal 
Pourrais tu essayer ceci 


Télécharge aswMBR (de Alwil Software) sur ton bureau 
http://public.avast.com/~gmerek/aswMBR.exe 
Double-clique sur aswMBR.exe pour le lancer (avec Vista/Seven, clic droit 
sur l'outil, et sur exécuter en tant qu'administrateur) 
Clique sur le bouton Scan 
Clique sur le bouton Fix si une infection a été trouvée 
Clique sur le bouton Save Log, et enregistre le rapport sur le bureau 
Copie/colle le contenu du rapport dans ta prochaine réponse 

O.o°*??? Ex Nathandre aux 12938 messages depuis le 27.10.2008 °.Oø¤º°'°º¤ø

gen-hackman · Answer

faut que tu fasses tourner le cd de karspersky en bootant dessus......

olpascal01 · Answer

J'ai essayé mais ça ne marche pas !?!?

J'ai graver l'image sur un cd, je suis aller dans la bios et j'ai mit lancer le cd-rom en premier mais il ne se passe rien et après il revient au mode normale!

gen-hackman · Answer

explique comment tu l'as gravé et avec quoi ?

olpascal01 · Answer

J'ai ouvert l'image qui m'a ouvert nero. Ensuite je suis sur une page ou je rentre les paramètres pour graver. Je grave sur un dvd vierge.
C'est bizarre parce que après quand je regarde se qu'il y a sur le dvd, je vois une image iso comme au début mais pas avec le même nom!

gen-hackman · Answer

fais un screen du contenu du dvd?

olpascal01 · Answer

Ca veut dire quoi faire un screen?

gen-hackman · Answer

une capture d'image que tu heberges sur cijoint.fr ou autre

olpascal01 · Answer

Voila le lien;

http://www.cijoint.fr/cjlink.php?file=cj201105/cijdoux1Vv.jpg

gen-hackman · Answer

ok pas bon

installe ca :

http://isorecorder.alexfeinman.com/download/ISORecorderV3RC1x86.zip

ensuite , tu cliques droit sur l'image iso , ouvrir avec , Isorecorder , et tu le graves

olpascal01 · Answer

Je comprend pas, ça fait plusieurs fois que j'essaie de graver l'image sur un dvd et à chaque fois après 100% il me dit "L'opération a échoué. Code: c0aa0402, Raison: L'opération demandée n'est valide qu'avec le média pris en charge." Qu'est ce que cela veut dire? J'ai essayé avec plusieurs dvd et c'est toujours la même chose!

gen-hackman · Answer

essaie de le faire d'un autre pc

olpascal01 · Answer

Ok c'est bon j'ai gravé sur un cd.

Mais par contre je le lance et après je ne sais pas quelle option je dois choisir!
J'ai le choix entre:

1 - Kaspersky Rescue Disk. Mode graphique
2 - Kaspersky Rescue Disk. Mode texte
3 - Informations sur le matériel
4 - démarrer a partir du disque dur

Laquelle choisir?

olpascal01 · Answer

Parce que j'ai essayé mode graphique et l'ordi a affiché une page noir pendant trois heures et rien ne c'est passer!

gen-hackman · Answer

mmmm.....normalement mode graphique ca marche je comprends pas

Apo · Answer

Bonsoir,

J'ai eu le même pbl, avec la génération 4 du virus. J'ai utilisé NPE de Norton et il semble l'avoir éradiqué.

Après le Scan, Norton m'a demandé si je voulais lancer le fix. J'ai dit OK

Aviva ne trouve plus le virus.

Cdt,

olpascal01 · Answer

Effectivement Norton Power Eraser à enlevé le virus de l'ordi!
Merci à tous ceux qui ont passé du temps pour m'aider!

gen-hackman · Answer

reessaie reload_tdsskiller voir ?

olpascal01 · Answer

Oue c'est bon cette fois il marche, il ne m'a pas détecté d'erreur.

Si tu veux voir le rapport;

http://www.cijoint.fr/cjlink.php?file=cj201105/cijyIQOV4I.txt

Virus BOO/TDss.M

55 réponses

Discussions similaires

Newsletters