pc infecté par BOO/TDss.MRésolu/Fermé

Question

Bonjour, messieurs les spécialistes

mon PC est infecté depuis le 16/09  du virus  BOO/TDSS.M et je n'arrive pas à le supprimer ( je dois dire que je suis assez profane en info )

Configuration
VISTA
Disque dur partage  C/ pour l'applicatif  E/ pour stockage des données
deux cessions   X  ( administrateur )  et Y  sans mot de passe
antivirus  AVIRA
WINDOWS MAIL ET EXPORER

symptome

si j'ouvre la cession Y tout va bien mais mon PC est tres lent  et mon antivirus  m'informe    
      secteur d'amorcage maitre HDO  infecté  par virus BOO/TDSS.M
    - Secteur d'ammorcage  c/  et  e/  infecté   par virus BOO/TDSS.M
 Un SCAN Par AVIRA  ne permet pas de supprimer ce VIRUS

Par contre si j'ouvre ma cession X
tout mes programmes se chargent bien - ecran   et bureau - jusqu'au moment ou il veut  charger mes connexions internet
 
et la  message d'impossibilite d'acceder au programme
affichage  du message : file presentation font cache  .exe  infecté
affichage du programme : Personnel shield pro  qui effectue un SCAN   et  affichage du message  File schield.exe is infected

passage en mode MS DOS  avec un msg en anglais  qui semble dire  qu'il y a un pb  et 

le  PC s'eteint et redémarre .
 
si je redémarre  en mode sans echec et connection reseau  ca marche  mais avec beaucoup de lenteur


Que faire ??????????????????????????????

kalimusic · Accepted Answer

Bonsoir,

ComboFix a bien avancé le travail mais ton système est muti- infecté. Il reste du boulot, tout n'a pas été traité, voir ce qui a été dit plus haut. 

La plupart des infections nécessitent plusieurs outils et manipulations pour les supprimer complètement. Même si les symptômes disparaissent rapidement, il est préférable de terminer la procédure. 
A toi de voir.

A +

kalimusic · Answer

Bonjour et Bienvenue sur CCM 

&#x25CF;  La plupart des infections nécessitent plusieurs outils et manipulations pour les supprimer complètement. Même si les symptômes disparaissent rapidement, il est préférable de terminer la procédure.
&#x25CF;  N'utilise pas d'outil de désinfection de ta propre initiative, ne pas suivre également d'autres conseils afin de ne pas interférer sur la procédure en cours.
&#x25CF;  Prends le temps de lire ce qui est demandé, ne te lance pas dans une manipulation que tu n'as pas compris. 
&#x25CF;  Héberge les rapports des outils sur http://www.cijoint.fr/ ou https://www.cjoint.com/ ou http://pjjoint.malekal.com/ ou https://textup.fr/
&#x25CF;  Je t'aide bénévolement, je réponds quand je peux et dés que je peux, merci :)

 == == == == == == == == == == == == == == == == == == == == == ==

1. Télécharge l'utilitaire TDSSKiller (de Kaspersky) sur ton Bureau.

&#x25CF; Lance TDSSKiller.exe 
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; Clique sur Start scan.
&#x25CF; Laisse l'outil balayer ton système sans l'interrompre et sans utiliser le PC.
&#x25CF; Conserve l'action proposée par défaut par l'outil
- Pour TDSS.tdl2 : l'option Delete sera cochée.
- Pour TDSS.tdl3 ou TDSS.tdl4 : assure toi que Cure est bien cochée.
- Pour "Suspicious object" laisse sur "Skip"
&#x25CF; Clique sur Continue puis sur Reboot now si le redémarrage est proposé.
&#x25CF; Le rapport se trouve à la racine du disque principal : C:\TDSSKiller.n° de version_date_heure_log.txt 

2. Télécharge OTL  (de OldTimer) sur ton Bureau. 

 Ferme toutes tes applications en cours 

&#x25CF;  Lance OTL.exe  
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF;  L'interface principale s'ouvre : 
&#x25CF;  Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal 
&#x25CF;  Laisse tous les autres paramètres par défaut 
&#x25CF;  Dans la partie du bas "Personnalisation", copie/colle la liste en citation : 

/md5start
volsnap.*
explorer.exe
winlogon.exe
userinit.exe
svchost.exe
/md5stop
%temp%\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.
%APPDATA%\*.exe /s 
%APPDATA%\*.
%SYSTEMDRIVE%\*.exe 
%systemroot%\*. /mp /s 
%systemroot%\system32\*.dll /lockedfiles 
%systemroot%\Tasks\*.job /lockedfiles 
%systemroot%\system32\drivers\*.sys /lockedfiles 
%systemroot%\assembly	mp\*.* /s 
hklm\system\CurrentControlSet\Control\Session Manager\SubSystems /s 
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
SAVEMBR:0 
CREATERESTOREPOINT 
&#x25CF;  Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.   
&#x25CF;  2 rapports vont s'ouvrir au format bloc-note : 
OTL.txt (qui sera affiché) ainsi que Extras.txt (réduit dans la barre des tâches)  
&#x25CF;  Ne les poste pas sur le forum, ils seraient trop long  


3. Héberge les 3 rapports sur un des sites suivants :
https://www.cjoint.com/
http://www.cijoint.fr/
http://pjjoint.malekal.com/
https://textup.fr/ 
&#x25CF;  Tu obtiendras 3 liens que tu me donneras dans ton prochain message. 

A +

kalimusic · Answer

Bonjour,

OTL a réalisé simplement un diagnostic par contre TDSSKiller aurait du au moins voir l'infection de BOOT. Elle n'apparait pas mais par contre ton système présente de multiples infections.

1. Désinstalle :

Vuze Remote Toolbar     
Fast Browser Search (My Face LOL)     
Softonic_France Toolbar     
Conduit Engine     
Et celles ci sauf si tu les utilises :

Ask Toolbar  
Yahoo! Toolbar Helper
Sauvegarde tes documents les plus importants.

2. Télécharge  ComboFix de sUBs sur ton bureau (et nulle part ailleurs ! )

!! Ferme toutes tes applications en cours et désactive les protections résidentes de ton PC (Antivirus, Antispywares, etc...) !!   

Regarde attentivement ce tutoriel pour t'aider : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix 

Si besoin, imprime ce dont tu auras besoin, car ensuite toutes les fenêtres doivent être fermés.

&#x25CF; Lance ComboFix
&#x25CF; Accepte la licence d'utilisation et laisse toi guider par le programme
&#x25CF; Autorise ComboFix a se connecter à internet pour les mises à jour si le programme le demande.

 !! Surtout ne rien faire et ne rien toucher pendant le travail de l'outil !!  
(risque de plantage complet de l'ordinateur) 

&#x25CF; A la fin ComboFix indique l'emplacement du rapport et l'ouvre spontanément. 
&#x25CF; il est possible que ComboFix est besoin de redémarre l'ordinateur.
&#x25CF; Héberge le et donne moi le lien. 

!! Réactive les protections résidentes de ton PC !!   

Note : Le rapport se trouve normalement à la racine du disque: C:\ComboFix.txt 

A +

gilou83 · Answer

bonjour

ok pour pousuivre

que dois je faire maintenant

kalimusic · Answer

Bonjour,

1. Rends toi sur le site Virus Total

&#x25CF; Clique sur la case "Parcourir"
&#x25CF; Une nouvelle fenêtre s'ouvre te permettant de naviguer sur le disque dur
&#x25CF; Parcoure l'arborescence de ton disque dur dans ce répertoire : c:\users\Annie\AppData\Roaming pour sélectionner ce fichier lakerda1967.sys
&#x25CF; Clique sur le fichier puis sur "Ouvrir" en bas de la fenêtre 
&#x25CF; Clique maintenant sur le bouton "Send File (Envoyer le fichier)"

Si un message te dit que le fichier à déjà été analysé, ré-analyse le

Le fichier est mis en attente puis le scan débute, à la fin de l'analyse copie l'URL et colle la dans ta réponse, cela doit ressembler à ceci : http://www.virustotal.com/fr/analisis/4ad23c3e409a3845815fcc6d0c977fbeb90ba8d1bcdf6d41b22993907a7944aa-1270983527 

2. Relance OTL 

  - Sous Vista/Seven : clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
&#x25CF;  Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal
&#x25CF;  Coche la case Tous les utilisateurs
&#x25CF;  Laisse tous les autres paramètres par défaut
&#x25CF;  Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.
&#x25CF;  Après le balayage, un nouveau rapport  OTL.txt va s'ouvrir au format bloc-note 

3. Héberge le rapport et donne moi le lien

A+

gilou83 · Answer

bonsoir

voici l'analyse virus total

http://www.virustotal.com/file-scan/report.html?id=e4b37c0265379b7ee6439d0e388b099c0cefc68a43c204abcb8ec3a720f5d2a1-1316373243#

gilou83 · Answer

BONSOIR

Lien pour le CR OTL

http://cjoint.com/?AIswjPYylVW

kalimusic · Answer

Bonsoir,

1. Relance OTL
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; L'interface principale s'ouvre :
&#x25CF; Dans la partie du bas "Personnalisation", copie/colle la liste en citation :

:OTL
SRV - (LiveUpdate Notice Ex) --  File not found
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - No CLSID value found.     
O3: - HKU\S-1-5-21-3596952048-1311643252-1276022058-1000\..\Toolbar\WebBrowser - No CLSID value found.
O3 - HKU\S-1-5-21-3596952048-1311643252-1276022058-1000\..\Toolbar\WebBrowser: (no name) - {A057A204-BACC-4D26-9990-79A187E2698E} - No CLSID value found.     
O3: - HKU\S-1-5-21-3596952048-1311643252-1276022058-1001\..\Toolbar\WebBrowser - No CLSID value found.
O3 - HKU\S-1-5-21-3596952048-1311643252-1276022058-1001\..\Toolbar\WebBrowser: (no name) - {30F9B915-B755-4826-820B-08FBA6BD249D} - No CLSID value found.     
O3: - HKU\S-1-5-21-3596952048-1311643252-1276022058-1001\..\Toolbar\WebBrowser - No CLSID value found.
O3 - HKU\S-1-5-21-3596952048-1311643252-1276022058-1001\..\Toolbar\WebBrowser: (no name) - {4DAAC69C-CBA7-45E2-9BC8-1044483D3352} - No CLSID value found.     
O3: - HKU\S-1-5-21-3596952048-1311643252-1276022058-1001\..\Toolbar\WebBrowser - No CLSID value found.
O3: - HKU\S-1-5-21-3596952048-1311643252-1276022058-1001\..\Toolbar\WebBrowser - No CLSID value found.
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present 
O16 - DPF: {CAFEEFAC-0016-0000-0000-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0-windows-i586.cab (Java Plug-in 1.6.0)     
[1 C:\Windows\System32\*.tmp files -> C:\Windows\System32\*.tmp -> ] 
[1 C:\Windows\*.tmp files -> C:\Windows\*.tmp -> ] 

:Files
ipconfig /flushdns /c

:Commands 
[emptyflash]
[emptytemp]
&#x25CF; Clique sur le bouton Correction.
&#x25CF; Patiente pendant le travail de l'outil, il doit ensuite redémarrer le PC.   
&#x25CF; Accepte en cliquant sur OK. 
&#x25CF; Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément.   
&#x25CF; Copie/colle le dans ton prochain message.   

Tu peux le retrouver le fichier à la racine du disque : C:\_OTL\MovedFiles (Vérifie la date si besoin : jjmmaaaa_xxxxxxxx.log) 

2. Relance OTL 
  - Sous Vista/Seven : clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
&#x25CF; Dans la partie du bas "Personnalisation", copie/colle la liste en citation :

C:\Windows\System32\Ä]Ä]\*.* /s
C:\Windows\System32\ÄSÄS\*.* /s
&#x25CF;  Coche la case Aucun
&#x25CF;  Clique sur le bouton Analyse
&#x25CF;  Un nouveau rapport  OTL.txt va s'ouvrir au format bloc-note.
&#x25CF; Copie/colle le dans ton prochain message.

A +

gilou83 · Answer

j'ai du faire une fausse manip precedemment ci joint les deux liens demandés etape 1 http://cjoint.com/?AItamB416Ib etape 2 OTL logfile created on: 19/09/2011 00:15:43 - Run 4 OTL by OldTimer - Version 3.2.28.0 Folder = C:\Users\Millot\Desktop Windows Vista Home Premium Edition Service Pack 2 (Version = 6.0.6002) - Type = NTWorkstation Internet Explorer (Version = 9.0.8112.16421) Locale: 0000040C | Country: France | Language: FRA | Date Format: dd/MM/yyyy 2,00 Gb Total Physical Memory | 1,06 Gb Available Physical Memory | 53,06% Memory free 4,23 Gb Paging File | 2,88 Gb Available in Paging File | 68,07% Paging File free Paging file location(s): ?:\pagefile.sys [binary data] %SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files Drive C: | 116,21 Gb Total Space | 72,73 Gb Free Space | 62,59% Space Free | Partition Type: NTFS Drive E: | 115,21 Gb Total Space | 25,60 Gb Free Space | 22,22% Space Free | Partition Type: NTFS Computer Name: PC-DE-MILLOT | User Name: Millot | Logged in as Administrator. Boot Mode: Normal | Scan Mode: Current user Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: Off | File Age = 30 Days [color=#E56717]========== Custom Scans ==========/color [color=#A23BEC]< C:\Windows\System32\Ä]Ä]\*.* /s >/color [color=#A23BEC]< C:\Windows\System32\ÄSÄS\*.* /s >/color < End of report > bonne nuit !!!!!!!

kalimusic · Answer

Bonjour,

Quelle mauvaise manip ? Tout est ok.

1. Supprime ces 2 dossiers vides :

C:\Windows\System32\Ä]Ä]
C:\Windows\System32\ÄSÄS
2. Fait un scan de routine avec MalwareBytes puisqu'il déjà sur ton pc.
  ! Effectue la mise à jour ! > Poste le résultat du scan

3. Télécharge Security Check (by screen317 ) sur ton Bureau.

&#x25CF;  Double-clic sur l'icône SecurityCheck.exe 
&#x25CF;  Continue en appuyant sur une touche et patiente pendant l'analyse
&#x25CF;  Le rapport checkup.txt doit s'ouvrir spontanément à la fin du scan. 
&#x25CF;  Copie/colle le rapport dans ton prochain message. 

A +

gilou83 · Answer

ci joint CR  de l'analyse MALWARE

Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 7746

Windows 6.0.6002 Service Pack 2
Internet Explorer 9.0.8112.16421

19/09/2011 12:00:58
mbam-log-2011-09-19 (12-00-06).txt

Type d'examen: Examen complet (C:\|E:\|)
Elément(s) analysé(s): 331694
Temps écoulé: 1 heure(s), 21 minute(s), 43 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Qoobox\quarantine\C\programdata\pg21703hepam21703\pg21703hepam21703.exe.vir (Trojan.FakeAlert) -> No action taken.

kalimusic · Answer

Ok, le fichier est déjà en quarantaine.

Passe à la suite, et on finalisera par la désinstallation des outils de désinfection et les mises à jour.

A +

gilou83 · Answer

VOICI le CR

 Results of screen317's Security Check version 0.99.18  
 Windows Vista Service Pack 2 [color=red][b](UAC is disabled!)[/b][/color] 
 Internet Explorer 8  
[b]'''''''''''''''''''''''''''''' 
[u]Antivirus/Firewall Check:[/u][/b] 
 Avira AntiVir Personal - Free Antivirus 
 [size=1]WMI entry may not exist for antivirus; attempting automatic update.[/size] 
 Avira successfully updated! 
[b]''''''''''''''''''''''''''''''' 
[u]Anti-malware/Other Utilities Check:[/u][/b] 
 Malwarebytes' Anti-Malware    
 CCleaner (remove only)   
 Java(TM) 6 Update 26  
 Java(TM) SE Runtime Environment 6 
 Adobe Flash Player   
 Mozilla Thunderbird (2.0.0) [color=red][b]Thunderbird Out of Date![/b][/color]  
[b]'''''''''''''''''''''''''''''''' 
Process Check:  
[u]objlist.exe by Laurent[/u][/b] 
 Avira Antivir avgnt.exe 
 Avira Antivir avguard.exe 
[b]''''''''''End of Log''''''''''''[/b]

kalimusic · Answer

Bonsoir,

1. Désinstalle ComboFix comme indiqué 

2. Lance OTL
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
&#x25CF; Dans la partie du bas "Personnalisation", copie/colle:

:commands
[clearallrestorepoints]
&#x25CF; Clique sur le bouton Correction. 

3. Relance OTL en tant qu'administrateur  
&#x25CF; Clique sur le bouton Purge outils
&#x25CF; Clique ensuite sur OK dans la boite de dialogue qui t'invite à redémarrer le système.

4. Désinstalle les versions obsolètes de Java : 
Java(TM) 6 Update 26
Java(TM) SE Runtime Environment 6 
5. Télécharge et installe JRE 6 Update 27 

6. Mets à jour Thunderbird

 == == == == == == == == == == == == == == == == == == == == == ==

les choses simples qui font la différence

&#x25CF; Maintenir Windows à jour

&#x25CF; Maintenir les logiciels à jour avec Secunia OSI (merci australien)
Ou en utilisant leur logiciel Secunia Personal Software Inspector
Ou celui-ci :  Update Checker

&#x25CF;  Ne pas surfer en droits administrateurs

&#x25CF; Ne pas installer n'importe quel logiciel sur son PC (surtout via des liens publicitaires), toujours se renseigner avant. Les télécharger dans la mesure du possible sur le site de l'éditeur. Éviter d'installer les diverses barres d'outils ou de recherches, etc....proposées lors de l'installation. 

&#x25CF; Bannir les sites à risques (pornographiques, etc...) et les comportements à risques (P2P, cracks, warez....)

&#x25CF; Ne pas cliquer aveuglement sur des liens contenus dans les e-mails, les messageries instantanées, les réseaux sociaux, etc ...même si l'expéditeur est connu et à plus forte raison s'il est inconnu ou suspect.

&#x25CF; Utiliser un navigateur alternatif et le sécuriser (par exemple Firefox avec des modules complémentaires comme AdBlock, Noscript, WOT, etc...) 

 == == == == == == == == == == == == == == == == == == == == == ==

Bonne continuation

gilou83 · Answer

bonjour
 
comment faire pour désinstaller Combofix   car  apres avoir suivi les instructions  je ne tombe pas sur l'image prevue  mais sur des fichiers texte
c:\combofix.txt
c:\Qoobox\combofix -quarantined-files.txt
 
et
 
sur deux applicatif  du 17/9
 
comboxfix  et combofix(1)  dans c:\utilisateurs\millot	elechargement
 
puis-je passer à l'étape 2  sans l'avoir supprimer  

ou bien retelecharger combofix

kalimusic · Answer

Bonjour,

Oui, tu peux faire les étapes suivantes et ensuite tu fais une recherche avec DelFix et tu me donnes son rapport.

A +

kalimusic · Answer

re,

J'avais oublié de te dire de réactiver L'UAC 

https://forum.malekal.com/viewtopic.php?t=20646&start=

A +

kalimusic · Answer

gilou83,

Relance Delfix
Suppression puis Désinstallation.

Pour l'UAC, l'article était destiné à comprendre son utilité et son fonctionnement.
Je ne t'ai pas donné les explications pour le réactiver, pensant que tu les connaissais.

Démarrer > Panneau de configuration 
Choisir l'affichage classique > Comptes d'utilisateurs
Activer ou désactiver le contrôle des comptes d'utilisateurs
Cocher la case Utiliser le contrôle des comptes d'utilisateurs pour vous aider à protéger votre ordinateur puis sur OK.
Redémarrer l'ordinateur.

A+

gilou83 · Answer

Bonsoir

merci beaucoup pour ton aide qui m'aura été tres précieuse  et pour tes conseils , 
dictés par le bon sens ,et que j'essaierais de suivre

questions subsidiaires
est il préférable d'utiliser firefox  au lieu d'internet explorer ?
est il préférable  d'utiliser tunderbird au  lieu de Windows mail ?
avira est il un bon antivirus ?

Encore un fois  un grand merci

kalimusic · Answer

Bonsoir,

est il préférable d'utiliser firefox au lieu d'internet explorer ? En terme de sécurité, la différence est moindre désormais.
La différence se fait au niveau des modules complémentaires.
Google Chrome est bien aussi et possède des addons similaires.

est il préférable d'utiliser tunderbird au lieu de Windows mail ?  C'est aussi une question de gout.

avira est il un bon antivirus ? La version gratuite de Avira a longtemps été au dessus des autres versions gratuites, désormais c'est discutable.
La version payante, plus complète est proposé à un prix abordable.

De toute façon, le plus important n'est pas là, lire :
 La sécurité de son PC, c'est quoi ? (par Malekal)  

Bonne soirée

yo_one · Answer

Bonsoir,

je m'appelle yoann, des amis m'ont confié leur PC parcequ'il ne démare plus "verifying DMI pool data"... et quand je branche leur disque dur sur mon PC via USB, j'accède bien aufichiers. Mais avira me dis que le secteur d'amorçage de ce disque est infecté par boo/tdss.m.

Comme je vois qu'il y a déjà des dizaines de post sur ce virus, j'ai préféré prendre la suite de celui ci.

Ma question: est-on obligé de suivre un "cursius" si personnalisé pour se débarasser de ce virus? ou bien est-ce que je peux suivre ce post à la lettre tout seul, sans qu'un des spécialistes que vous êtes vienne lire les differents compte rendus?

Merci d'avance et bonne soirée.

kalimusic · Answer

Bonsoir,

Merci de créer votre propre sujet si vous avez besoin d'aide.

Bonne soirée

Pc infecté par BOO/TDss.M

22 réponses

Newsletters