Infection TR\Rootkit.Gen3 Résolu/Fermé

Question

Bonjour, 

J'ai été infecté par le trojan Rootkit.Gen3 aujourd'hui, en faisant une mauvaise manipulation sur Antivir lors de sa détection.

Depuis, j'utilise mon ordinateur portable en mode sans échec, et je cherche comment éradiquer l'intrus. Je n'en suis pas à combattre ma première attaque, mais je n'ai jamais eu affaire à ce trojan, et j'aurais souhaité que quelqu'un m'aide pour savoir quel fichiers supprimer, quelles modifications à apporter dans le registre, etc.

Je précise que le fichier infecté est: C:\WINDOWS\System32\drivers\602D432.sys

Je suis prêt à poster mon rapport d'analyse Malwarebytes, et à démarrer HighJackThis si besoin est.


Merci à quiconque m'apportera son aide!

Configuration: Windows Vista / Firefox 4.0.1

Utilisateur anonyme · Answer

bonjour,

* Télécharge ZHPDiag sur ton bureau :


https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 
ou 
http://www.premiumorange.com/zeb-help-process/zhpdiag.html 
ou 
https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/
 
* Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin. 

/!\Utilisateur de Vista et Seven : Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur »

* Clique sur l'icône représentant une loupe (« Lancer le diagnostic ») 
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette 
* Héberge le rapport ZHPDiag.txt sur Cijoint, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :
http://dl.free.fr
ou :
http://www.cijoint.fr/
ou :
http://ww38.toofiles.com/fr/documents-upload.html
ou : 
https://www.terafiles.net/


tuto zhpdiag : 
http://www.premiumorange.com/zeb-help-process/zhpdiag.html

JazzManiac · Answer

Salut Electricien 69, merci d'avoir répondu.

Voilà le rapport ZHPDiag: http://www.cijoint.fr/cjlink.php?file=cj201106/cijVYB6SBC.txt

Utilisateur anonyme · Answer

désinstalle deux de 3 antivirus qui sont instéallés sur le pc , il faut faire un choix entre Avira, Macafric, et symectec !



* Télécharge TDSSKiller sur ton bureau : 

https://support.kaspersky.com/downloads/utils/tdsskiller.exe 


*  Lance le ( Utilisateurs de vista/Seven -> Clic droit puis " Exécuter en tant qu'administrateur " )  

*  Clique sur [Start Scan] pour démarrer l'analyse.  

*  Si des élements sont trouvés, cliques sur [Continue] puis sur [Reboot Now]  

*  Un rapport s'ouvrira au redémarrage du PC.  

*  Copie/Colle son contenu dans ta prochaine réponse.  

Note : Le rapport se trouve également sous C:\TDSSKiller.N°deversion_Date_Heure_log.txt. 

O.o°*??? Membre, Contributeur sécurité CCMo°.Oø¤º°'°º¤ø  

O.o°* ??? Réspire à fond, Rédige ton message en bon français et de manière claire.Ca va bien se passer, tu verras, enfin on essaie !!! o°.Oø¤º°'°º¤ø

JazzManiac · Answer

Je ne peux pas l'exécuter, en double-cliquant ou en exécutant comme administrateur, rien ne se passe.
Je pense que c'est le trojan qui bloque. Il m'empêchait également d'ouvrir certaines pages internet ayant pour intitulé mon problème.

Y a-t-il un logiciel alternatif, ou une parade?

Utilisateur anonyme · Answer

lance ceci avant de passer à la suite :

*	Télécharge en enregistre sur le bureau RogueKiller (par tigzy) 
https://www.luanagames.com/index.fr.html
* Quitte tous tes programmes en cours 
* Lance RogueKiller.exe.
* Sous Vista/Seven, clique droit, lancer en tant qu'administrateur 
tu n'as qu'à cliquer dessus ou les lancer! 
* Quitte tous tes programmes en cours 
* Lance RogueKiller.exe. 
* Lorsque demandé, tape 2 et valide 

* puis l'option 4  


* Un rapport (RKreport.txt) a du se créer à côté de l'exécutable, colle son contenu dans la réponse 
* Si le programme a été bloqué, ne pas hésiter a essayer plusieurs fois. * 
	==>S'il ne passe pas, change son nom en Winlogon.exe.<==

JazzManiac · Answer

J'ai réussi à l'exécuter, seulement quand je valide l'option 2 ("suppression"), quelques commandes s'exécutent puis le terminal se ferme tout seul, mais aucun rapport n'est créé...(tous les dossiers et fichiers cachés sont affichés dans mon environnent)

Utilisateur anonyme · Answer

ok,

relance le en option 4, puis passe à Tdsskiller  :-)

JazzManiac · Answer

RogueKiller m'a créé un rapport après avoir lancé l'option 4, mais toujours impossible de lancer Tdskiller.

Utilisateur anonyme · Answer

désinstalle Spybot, il est inutile !


télécharge et enregistre ce fichier sur ton bureau ;
http://www.cijoint.fr/cjlink.php?file=cj201106/cijeL9JDLl.txt
 
*	Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag en cliquant sur l'écusson vert) 

fais un glisser/ Déposer du fichier dans la fenêtre de zhpfix.

 
- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse
Tuto :

http://www.premiumorange.com/zeb-help-process/zhpfix.html

JazzManiac · Answer

Bon, je ne sais pas pourquoi, mais finalement l'option 2 est passée sur RogueKiller, seulement il ne me détecte rien (c'est ce qu'on peut lire dans le rapport).
Puisque RogueKiller est censé tuer les rogues, ne faut-il pas démarrer windows en mode normal, afin que ces derniers s'exécutent, puisqu'ils ne le font pas en mode sans échec je suppose?

Utilisateur anonyme · Answer

un rogue ou une infection reste toujours en mémoire, qu'il s'agit d'un mode normal, ou mode sans echec !!!

ce tu as choppé, c'est un Tld4 !

il reste dans le MBR jusqu'à ce qu'on le déniche !

le fichier est manquant, mais le mal est fait !

suis ceci :
https://forums.commentcamarche.net/forum/affich-22418560-infection-tr-rootkit-gen3#9

au pire, tente une restauration système  :-)

JazzManiac · Answer

Voilà le rapport ZHPFix: Rapport de ZHPFix 1.12.3320 par Nicolas Coolman, Update du 20/06/2011 Fichier d'export Registre : Run by aurel2 at 20/06/2011 18:57:00 Windows Vista Home Premium Edition, 32-bit Service Pack 2 (Build 6002) Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html ========== Clé(s) du Registre ========== ERREUR CLSID MPSK: {5092196b-a11e-11de-bc9d-00238b961385} ERREUR CLSID MPSK: {b07903a2-1998-11df-8df3-00238b961385} SUPPRIME Key: StartupReg: SearchSettings SUPPRIME Key: HKLM\Software\Classes\CLSID\{761f6a83-f007-49e4-8eac-cdb6808ef06f} SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E312764E-7706-43F1-8DAB-FCDD2B1E416D} ABSENT Key: StartupReg: SearchSettings ABSENT Key: HKLM\Software\Classes\CLSID\{761f6a83-f007-49e4-8eac-cdb6808ef06f} ABSENT Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E312764E-7706-43F1-8DAB-FCDD2B1E416D} SUPPRIME Key: Service Legacy: LEGACY_602D432 ========== Valeur(s) du Registre ========== ABSENT Explorer Association Data: DisableTaskMgr ========== Dossier(s) ========== SUPPRIME Temporaires Windows: : 80 ========== Fichier(s) ========== ABSENT File: c:\program files\pdfforge toolbar\searchsettings.exe SUPPRIME Temporaires Windows: : 113 ========== Master Boot Record ========== Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net Windows 6.0.6002 Disk: FUJITSU_ rev.891F -> Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0 device: opened successfully user: MBR read successfully Disk trace: called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys acpi.sys hal.dll >>UNKNOWN [0x86D7C1ED]<< 1 ntkrnlpa!IofCallDriver[0x83048912] -> \Device\Harddisk0\DR0[0x86CB41D0] 3 CLASSPNP[0x897A08B3] -> ntkrnlpa!IofCallDriver[0x83048912] -> [0x862A4690] 5 acpi[0x890166BC] -> ntkrnlpa!IofCallDriver[0x83048912] -> \Device\Ide\IAAStorageDevice-0[0x862A5030] kernel: MBR read successfully detected disk devices: detected hooks: \Driver\atapi -> 0x8621d1f8 \Driver\iaStor -> 0x86d7c1ed user & kernel MBR OK Warning: possible MBR rootkit infection ! Resultat après le fix : Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net Windows 6.0.6002 Disk: FUJITSU_ rev.891F -> Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0 device: opened successfully user: MBR read successfully Disk trace: called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys acpi.sys hal.dll >>UNKNOWN [0x86D7C1ED]<< 1 ntkrnlpa!IofCallDriver[0x83048912] -> \Device\Harddisk0\DR0[0x86CB41D0] 3 CLASSPNP[0x897A08B3] -> ntkrnlpa!IofCallDriver[0x83048912] -> [0x862A4690] 5 acpi[0x890166BC] -> ntkrnlpa!IofCallDriver[0x83048912] -> \Device\Ide\IAAStorageDevice-0[0x862A5030] kernel: MBR read successfully detected disk devices: detected hooks: \Driver\atapi -> 0x8621d1f8 \Driver\iaStor -> 0x86d7c1ed user & kernel MBR OK Warning: possible MBR rootkit infection ! ========== Autre ========== NON TRAITE detected hooks: NON TRAITE Warning: possible MBR rootkit infection ! ========== Récapitulatif ========== 9 : Clé(s) du Registre 1 : Valeur(s) du Registre 1 : Dossier(s) 2 : Fichier(s) 1 : Master Boot Record 2 : Autre ========== Chemin du fichier rapport ========== C:\Program Files\ZHPFix\ZHPFixReport.txt End of the scan

Utilisateur anonyme · Answer

*		/!\Avertissement :
Ce logiciel n'est à utiliser que prescrit par un helper qualifié.
Ne pas utiliser en dehors de ce cas de figure : dangereux! 


/!\ Utilisateur de Vista : Ne pas oublier de désactiver l'UAC juste le temps de désinfection de ton pc, il sera à réactiver plus tard :
Tuto : https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac
	
&#9658; Télécharges ComboFix à partir de ce lien et enregistres le sur ton bureau :
https://forum.pcastuces.com/combofix_renomme_au_telechargement-f31s22.htm 
ou ici :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe 
A lire 
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix 

Avant d'utiliser ComboFix :
 
&#9658; ferme les fenêtres de tous les programmes en cours.
 
&#9658; Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. 
Une fois fait, sur ton bureau double-clic sur Combofix.exe. 
/!\Utilisateur de Vista : Clique droit sur le logo de Combofix, « exécuter en tant qu'Administrateur »

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.
 
- il se peut que Combofix ait besoin de se connecter à internet pour trouver les mises à jour, donc il faut l'autoriser.

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.
 
- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire. 
- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\ComboFix\ComboFix.txt) 
&#9658; Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. 
&#9658; Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

JazzManiac · Answer

Désolé pour le délai, j'ai eu des problèmes avec mon PC, je pense qu'il chauffe un peu trop et il a coupé automatiquement pendant l'exécution de ComboFix. Par chance rien n'a été endommagé.

Je n'arrive pas à totalement déconnecté Antivir. Quand je lance le centre de contrôle de l'antivirus, celui-ci m'indique que  la protection en temps réel est inactive, toutefois, ComboFix me dit qu'elle est toujours active.
J'ai vu dans ton profil que tu utilisais aussi Antivir. Quelle est la manipulation à faire pour bien désactiver l'antivirus?

Utilisateur anonyme · Answer

il suffit de désactiver le Guard d'antivir, c'est tout simple  :-)

fais un clique droit sur le parrapluie d'avire, en bas à droite de on ecran,

décoche la case d'antivir guard  :-)

lance combofix  :-)

JazzManiac · Answer

En mode sans échec, le parapluie n'apparaît pas en bas à droite comme d'habitude. Mais dans le centre de contrôle d'antivir, l'activité de l'antivirus est signalée comme "Stopped service", donc je pense que c'est ok.

J'ai exécuté ComboFix, qui m'a encore signalé qu'Antivir était actif. Tant pis. J'ai continué, il a réalisé ses 50 étapes, et à redémarrer le pc; je l'ai laissé aller sur le mode normal, et là, il terminait sa procédure quand soudain: écran bleu, avec indication de l'adresse de mémoire qui a fait planté. 

J'ai pu redémarrer en mode sans échec.

Je vais relancer ComboFix, et je voulais savoir, puis-je sauvegarder mes fichiers (openoffice, musique, etc) présents dans "Mes documents" sur un DD externe sans infecter ce dernier? 
Car si ComboFix beugue à nouveau, je repartirai sur une restauration.

Utilisateur anonyme · Answer

ne relance pas Combofix,

essaie de redemarrer ton pc une ou 2 fois, ça va redemarrer normalement  :-)

JazzManiac · Answer

Bonjour,

J'ai donc redémarré min pc plusieurs fois, mais le trojan est encore présent.
De plus, j'ai vérifié et COmboFix n'a pas eu le temps d'écrire son rapport la fois précédente, le pc ayant coupé au redémarrage; je ne peux donc pas le poster.

Dois-je abandonner? N'y a-t-il pas une dernière manipulation à tenter? (avant la restauration)

Utilisateur anonyme · Answer

bonsoir, une dernière manipulation si Combofix ne passe toujours pas ! * Télécharge Dr Web CureIt sur ton Bureau : ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe - Double clique et ensuite clique sur ; - Clique à l'invite de l'analyse rapide. S'il trouve des processus infectés alors clique le bouton . Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction" : Quitte en cliquant le "X". - Lorsque le scan rapide est terminé, clique sur le menu puis ; Choisis l'onglet , et décoche . Clique ensuite sur . - De retour à la fenêtre principale : clique pour activer - Clique le bouton avec flèche verte sur la droite, et le scan débutera. - Clique pour tout à l'invite "Désinfecter ?" lorsqu'un fichier est détecté, et ensuite clique "Désinfecter". - Lorsque le scan sera complété, regarde si tu peux cliquer sur l' icône, adjacente aux fichiers détectés (plusieurs feuilles l'une sur l'autre). Si oui, alors clique dessus et ensuite clique sur l'icône , au dessous, et choisis . - Du menu principal de l'outil, au haut à gauche, clique sur le menu et choisis . Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv - Ferme Dr.Web Cureit - Redémarre ton ordi (important car certains fichiers peuvent être déplacés/réparés au redémarrage). - Suite au redémarrage, poste (Copie/Colle) le contenu du rapport de Dr.Web dans ta prochaine réponse

JazzManiac · Answer

Bonjour,

J'ai essayé DrWeb, mais l'analyse complète prenait bien trop de temps, et faisait surchauffer mon pc. J'ai décidé de la stopper....et  de restaurer.
Tout marche bien présent. Il ne reste plus qu'à tout ré installer.

Merci pour toute l'aide.

Infection TR\Rootkit.Gen3

20 réponses

Discussions similaires