Sujet Précédent Sujet Suivant

Infection par sirefef.k

Fermé
bilkot - 4 nov. 2011 à 09:34
Alex27930 Messages postés 1 Date d'inscription mardi 20 décembre 2011 Statut Membre Dernière intervention 20 décembre 2011 - 20 déc. 2011 à 16:44
Bonjour à tous,

mon pc est infecté par SIREFEF.K.

J'ai remarqué un consommation de ram plus importante depuis quelques jours mais surtout BITDEFENDER qui s'est activé hier, mais particulierement ce matin!

avec ceci :

http://img855.imageshack.us/img855/8823/sirefef.jpg

http://img69.imageshack.us/img69/2881/sirefef2.jpg

Curieux que BITdefender le bloque, mais le "sucre" pas. Pourquoi d'apres vous?

Que puisse je faire face a ça?

Merci d'avance.


9 réponses

Réponse 1 / 9
moment de grace Messages postés 29042 Date d'inscription samedi 6 décembre 2008 Statut Contributeur sécurité Dernière intervention 18 juillet 2013 2 274
4 nov. 2011 à 09:36
bonjour

Télécharge ZHPDiag ( de Nicolas coolman ).
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html


(outil de diagnostic)

Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )

Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin ( vista/Seven )

Clique sur la loupe en haut à gauche, puis laisse l'outil scanner.

Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau.

Rend toi sur http://pjjoint.malekal.com/

Clique sur "Parcourir "

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau

Clique ensuite sur "Envoyer le fichier " et copie/colle le lien dans ton prochain message


1
Alex27930 Messages postés 1 Date d'inscription mardi 20 décembre 2011 Statut Membre Dernière intervention 20 décembre 2011
Modifié par Alex27930 le 20/12/2011 à 16:45
Bonjour j'ai fais se que vous avez dit mais pour moi cela n'a pas fonctionner j'ai toujours le même problème
0
Réponse 2 / 9
bilkot
4 nov. 2011 à 09:52
RE!

voici le fameux lien :

http://pjjoint.malekal.com/files.php?id=ZHPDiag_k6u8k10z10w11b813p12f14y12m7l5j12c5f9m14n5v6y13o13

merci de ton aide!!
1
Réponse 3 / 9
moment de grace Messages postés 29042 Date d'inscription samedi 6 décembre 2008 Statut Contributeur sécurité Dernière intervention 18 juillet 2013 2 274
4 nov. 2011 à 10:03
ok

je suppose tu n'as aucun rapport avec la Russie ?
............

on le fais gentil pour voir

1)

Télécharge AdwCleaner ( d'Xplode ) sur ton bureau.

http://general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/28-adwcleaner

Lance le, clique sur SUPPRESSION puis patiente le temps du scan.
Une fois le scan fini, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse.

Note : Le rapport est également sauvegardé sous C:\AdwCleane.txt

.................

2)

Téléchargez MalwareByte's Anti-Malware (que tu pourras garder ensuite)

https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/

. Enregistres le sur le bureau
. Double cliques sur le fichier téléchargé pour lancer le processus d'installation.
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour
. Si le pare-feu demande l'autorisation de se connecter pour malwarebytes, accepte
. Une fois la mise à jour terminé
. Rend-toi dans l'onglet, Recherche
. Sélectionnes Exécuter un examen complet (examen assez long)
. Cliques sur Rechercher
. Le scan démarre.
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.
. Cliques sur Ok pour poursuivre.
. Si des malwares ont été détectés, clique sur Afficher les résultats
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
. Rends toi dans l'onglet rapport/log
. Tu cliques dessus pour l'afficher, une fois affiché
. Tu cliques sur edition en haut du boc notes, et puis sur sélectionner tous
. Tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. tu cliques droit dans le cadre de la reponse et coller


Si tu as besoin d'aide regarde ces tutoriels :
Aide: https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
http://www.infos-du-net.com/forum/278396-11-tuto-malwarebytes-anti-malware-mbam

1
Réponse 4 / 9
bilkot
4 nov. 2011 à 10:15
le rapport de AdwCleaner :



# AdwCleaner v1.316 - Rapport créé le 04/11/2011 à 10:08:19
# Mis à jour le 31/10/11 à 22h par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : Jean-Philippe Djipi - DJIPI (Droits Limités)
# Exécuté depuis : C:\Users\Jean-Philippe Djipi\Downloads\adwcleaner0.exe
# Option [Suppression]


***** [KillNav] *****

# firefox.exe [PID:872] -> Tué

***** [Processus] *****


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Users\Jean-Philippe Djipi\AppData\Roaming\Mozilla\Firefox\Profiles\8j6kfw1x.default\Conduit
Fichier Supprimé : C:\Program Files (x86)\Mozilla Firefox\searchplugins\SearchResults.xml
Fichier Supprimé : C:\Users\Jean-Philippe Djipi\AppData\Roaming\Mozilla\Firefox\Profiles\8j6kfw1x.default\searchplugins\SearchResults.xml

***** [Registre] *****

Clé Supprimée : HKCU\Software\Conduit
Clé Supprimée : HKCU\Software\DataMngr
Clé Supprimée : HKLM\SOFTWARE\DataMngr
Clé Supprimée : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\2796BAE63F1801E277261BA0D77770028F20EEE4

***** [Navigateurs] *****

-\\ Internet Explorer v9.0.8112.16421

Remplacé : [HKCU\Software\Microsoft\Internet Explorer\Main - Start Page] = hxxp://www.searchqu.com//406 --> hxxp://www.google.fr

-\\ Mozilla Firefox v7.0.1 (fr)

Profil : 8j6kfw1x.default
Fichier : C:\Users\Jean-Philippe Djipi\AppData\Roaming\Mozilla\Firefox\Profiles\8j6kfw1x.default\prefs.js

Supprimée : user_pref("CT2438727.AboutPrivacyUrl", "hxxp://www.conduit.com/privacy/Default.aspx");
Supprimée : user_pref("CT2438727.CTID", "CT2438727");
Supprimée : user_pref("CT2438727.CurrentServerDate", "10-5-2010");
Supprimée : user_pref("CT2438727.DialogsAlignMode", "LTR");
Supprimée : user_pref("CT2438727.FirstServerDate", "10-5-2010");
Supprimée : user_pref("CT2438727.FirstTime", true);
Supprimée : user_pref("CT2438727.FirstTimeFF3", true);
Supprimée : user_pref("CT2438727.GroupingServerCheckInterval", 1440);
Supprimée : user_pref("CT2438727.GroupingServiceUrl", "hxxp://grouping.services.conduit.com/");
Supprimée : user_pref("CT2438727.Initialize", true);
Supprimée : user_pref("CT2438727.InitializeCommonPrefs", true);
Supprimée : user_pref("CT2438727.InstalledDate", "Mon May 10 2010 01:36:29 GMT+0200");
Supprimée : user_pref("CT2438727.IsGrouping", false);
Supprimée : user_pref("CT2438727.IsMulticommunity", false);
Supprimée : user_pref("CT2438727.IsOpenThankYouPage", true);
Supprimée : user_pref("CT2438727.IsOpenUninstallPage", true);
Supprimée : user_pref("CT2438727.LanguagePackLastCheckTime", "Mon May 10 2010 01:36:29 GMT+0200");
Supprimée : user_pref("CT2438727.LanguagePackReloadIntervalMM", 1440);
Supprimée : user_pref("CT2438727.LanguagePackServiceUrl", "hxxp://translation.users.conduit.com/Translation.ashx");
Supprimée : user_pref("CT2438727.LastLogin_2.5.8.6", "Mon May 10 2010 01:36:38 GMT+0200");
Supprimée : user_pref("CT2438727.LatestVersion", "2.1.0.18");
Supprimée : user_pref("CT2438727.Locale", "en");
Supprimée : user_pref("CT2438727.LoginCache", 4);
Supprimée : user_pref("CT2438727.MCDetectTooltipHeight", "83");
Supprimée : user_pref("CT2438727.MCDetectTooltipUrl", "hxxp://@EB_INSTALL_LINK@/rank/tooltip/?version=1");
Supprimée : user_pref("CT2438727.MCDetectTooltipWidth", "295");
Supprimée : user_pref("CT2438727.SHRINK_TOOLBAR", 1);
Supprimée : user_pref("CT2438727.SearchEngine", "Search||hxxp://search.conduit.com/Results.aspx?q=UCM_SEARCH_TERM&ctid=CT2438727&octid=EB_ORIGINAL_CTID&SearchSource=1");
Supprimée : user_pref("CT2438727.SearchFromAddressBarIsInit", true);
Supprimée : user_pref("CT2438727.SearchFromAddressBarUrl", "hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT2438727&q=");
Supprimée : user_pref("CT2438727.SearchInNewTabEnabled", true);
Supprimée : user_pref("CT2438727.SearchInNewTabIntervalMM", 1440);
Supprimée : user_pref("CT2438727.SearchInNewTabLastCheckTime", "Mon May 10 2010 01:36:39 GMT+0200");
Supprimée : user_pref("CT2438727.SearchInNewTabServiceUrl", "hxxp://newtab.conduit-hosting.com/newtab/?ctid=EB_TOOLBAR_ID");
Supprimée : user_pref("CT2438727.SearchInNewTabUsageUrl", "hxxp://Usage.Hosting.conduit-services.com/UsageService.asmx/UsersRequests?ctid=EB_TOOLBAR_ID");
Supprimée : user_pref("CT2438727.SettingsCheckIntervalMin", 120);
Supprimée : user_pref("CT2438727.SettingsLastCheckTime", "Mon May 10 2010 01:36:28 GMT+0200");
Supprimée : user_pref("CT2438727.SettingsLastUpdate", "1272193463");
Supprimée : user_pref("CT2438727.ThirdPartyComponentsInterval", 504);
Supprimée : user_pref("CT2438727.ThirdPartyComponentsLastCheck", "Mon May 10 2010 01:36:28 GMT+0200");
Supprimée : user_pref("CT2438727.ThirdPartyComponentsLastUpdate", "1269281492");
Supprimée : user_pref("CT2438727.TrusteLinkUrl", "hxxp://www.truste.org/pvr.php?page=validate&softwareProgramId=101&sealid=112");
Supprimée : user_pref("CT2438727.UserID", "UN06883953380815659");
Supprimée : user_pref("CT2438727.ValidationData_Toolbar", 0);
Supprimée : user_pref("CT2438727.alertChannelId", "832836");
Supprimée : user_pref("CT2438727.clientLogIsEnabled", false);
Supprimée : user_pref("CT2438727.clientLogServiceUrl", "hxxp://clientlog.users.conduit.com/ClientDiagnostics.asmx/ReportDiagnosticsEvent");
Supprimée : user_pref("CT2438727.myStuffEnabled", true);
Supprimée : user_pref("CT2438727.myStuffPublihserMinWidth", 400);
Supprimée : user_pref("CT2438727.myStuffSearchUrl", "hxxp://Apps.conduit.com/search?q=SEARCH_TERM&SearchSourceOrigin=29&ctid=EB_TOOLBAR_ID&octid=EB_ORIGINAL_CTID");
Supprimée : user_pref("CT2438727.myStuffServiceIntervalMM", 1440);
Supprimée : user_pref("CT2438727.myStuffServiceUrl", "hxxp://mystuff.conduit-services.com/MyStuffService.ashx?ComponentId=EB_MY_STUFF_INSTANCE_GUID&lut=EB_MY_STUFF_LUT");
Supprimée : user_pref("CT2438727.uninstallLogServiceUrl", "hxxp://uninstall.users.conduit.com/Uninstall.asmx/RegisterToolbarUninstallation");
Supprimée : user_pref("CommunityToolbar.SearchFromAddressBarSavedUrl", "chrome://browser-region/locale/region.properties");
Supprimée : user_pref("CommunityToolbar.ToolbarsList", "CT2438727");
Supprimée : user_pref("CommunityToolbar.ToolbarsList2", "CT2438727");
Supprimée : user_pref("CommunityToolbar.alert.alertInfoInterval", 60);
Supprimée : user_pref("CommunityToolbar.alert.alertInfoLastCheckTime", "Mon May 10 2010 02:36:28 GMT+0200");
Supprimée : user_pref("CommunityToolbar.alert.clientsServerUrl", "hxxp://alert.client.conduit.com");
Supprimée : user_pref("CommunityToolbar.alert.locale", "en");
Supprimée : user_pref("CommunityToolbar.alert.loginIntervalMin", 1440);
Supprimée : user_pref("CommunityToolbar.alert.loginLastCheckTime", "Mon May 10 2010 01:36:28 GMT+0200");
Supprimée : user_pref("CommunityToolbar.alert.loginLastUpdateTime", "1234796400");
Supprimée : user_pref("CommunityToolbar.alert.messageShowTimeSec", 20);
Supprimée : user_pref("CommunityToolbar.alert.servicesServerUrl", "hxxp://alert.services.conduit.com");
Supprimée : user_pref("CommunityToolbar.alert.showTrayIcon", false);
Supprimée : user_pref("CommunityToolbar.alert.userCloseIntervalMin", 300);
Supprimée : user_pref("CommunityToolbar.alert.userId", "{d8fdaf63-0c37-48a9-aa0f-c2678e8f06a4}");
Supprimée : user_pref("keyword.URL", "hxxp://www.searchqu.com/web?src=ffb&appid=102&systemid=406&sr=0&q=");

-\\ Google Chrome v15.0.874.106

Fichier : C:\Users\Jean-Philippe Djipi\AppData\Local\Google\Chrome\User Data\Default\Preferences

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[R1].txt - [7579 octets] - [04/11/2011 10:08:11]
AdwCleaner[S1].txt - [7691 octets] - [04/11/2011 10:08:19]

*************************

Dossier Temporaire : 87 dossier(s)et 24193 fichier(s) supprimés

########## EOF - C:\AdwCleaner[S1].txt - [7915 octets] ##########
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 9
bilkot
4 nov. 2011 à 10:24
Erfff, la russie!

A quoi tu le vois?
0
moment de grace Messages postés 29042 Date d'inscription samedi 6 décembre 2008 Statut Contributeur sécurité Dernière intervention 18 juillet 2013 2 274
4 nov. 2011 à 10:30
aux numéros dns indiqués

as tu des redirections internet ?
0
bilkot
4 nov. 2011 à 10:49
non, enfin plus du moins.
j'ai eu search.qu fut un temps.
0
Réponse 6 / 9
moment de grace Messages postés 29042 Date d'inscription samedi 6 décembre 2008 Statut Contributeur sécurité Dernière intervention 18 juillet 2013 2 274
4 nov. 2011 à 11:02
ok

=> Malwarebytes
0
Réponse 7 / 9
bilkot
4 nov. 2011 à 13:10
La suite avec Malware' :


Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 8081

Windows 6.1.7601 Service Pack 1
Internet Explorer 9.0.8112.16421

04/11/2011 13:09:47
mbam-log-2011-11-04 (13-09-47).txt

Type d'examen: Examen complet (C:\|D:\|G:\|)
Elément(s) analysé(s): 673940
Temps écoulé: 2 heure(s), 27 minute(s), 38 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 5

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Backdoor.Agent) -> Value: Shell -> Delete on reboot.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\programdata\Adobe\Acrobat\10.0\replicate\Security\CORE10k.EXE (Dont.Steal.Our.Software) -> Quarantined and deleted successfully.
c:\Users\jean-philippe djipi\AppData\Local\fefff3fc\X (Rootkit.Agent) -> Quarantined and deleted successfully.
g:\prog\cad\autocad 2008 fra\Crack\autocad-2008-keygen.exe (RiskWare.Tool.CK) -> Quarantined and deleted successfully.
g:\prog\cad\autocad 2008 fra\Crack\kiss_cad08.exe (RiskWare.Tool.CK) -> Quarantined and deleted successfully.
g:\prog\cad\autocad 2010 fr\autodesk_key_2010\x86\xf-a2010.exe (Trojan.Agent) -> Quarantined and deleted successfully.
0
Réponse 8 / 9
bilkot
4 nov. 2011 à 13:29
Super!!
il est parti comme un bouton noir! :)

c:\Users\jean-philippe djipi\AppData\Local\fefff3fc\X (Rootkit.Agent) -> Quarantined and deleted successfully.

je vois que j'avais 3 suprises!

g:\prog\cad\autocad 2008 fra\Crack\autocad-2008-keygen.exe (RiskWare.Tool.CK) -> Quarantined and deleted successfully.
g:\prog\cad\autocad 2008 fra\Crack\kiss_cad08.exe (RiskWare.Tool.CK) -> Quarantined and deleted successfully.
g:\prog\cad\autocad 2010 fr\autodesk_key_2010\x86\xf-a2010.exe (Trojan.Agent) -> Quarantined and deleted successfully.

par contre celle la.... inattendu!
c:\programdata\Adobe\Acrobat\10.0\replicate\Security\CORE10k.EXE (Dont.Steal.Our.Software) -> Quarantined and deleted successfully.

Merci du coup de main!!
c'est super gentil!
0
antho
4 nov. 2011 à 13:41
salut je dois avoir le même virus que toi :(
tu as juste installé "Malwarebytes Anti-Malware 1.51.2.1300" ??
Il y a beaucoup de manipulation a faire ???
Merci
0
bilkot
4 nov. 2011 à 15:51
Salut,

J'ai juste suivie les conseils, mis les rapports d'analyse, et une fois que tout etait fait...
dire un grand merci! :)
0
Réponse 9 / 9
moment de grace Messages postés 29042 Date d'inscription samedi 6 décembre 2008 Statut Contributeur sécurité Dernière intervention 18 juillet 2013 2 274
4 nov. 2011 à 16:40
je ne suis pas convaincu

Attention, avant de commencer, lit attentivement la procédure, et imprime la

Aide à l'utilisation
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix



Télécharge ComboFix de sUBs sur ton Bureau :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

/!\ Déconnecte-toi du net et <gras>DESACTIVES TOUTES LES DEFENSES, antivirus et antispyware y compris /!\ </gras>

---> Double-clique sur ComboFix.exe
Un "pop-up" va apparaître qui dit que ComboFix est utilisé à vos risques et avec aucune garantie... Clique sur oui pour accepter

SURTOUT INSTALLES LA CONSOLE DE RECUPERATION
(si il te propose de l'installer remets internet)

---> Mets-le en langue française F
Tape sur la touche 1 (Yes) pour démarrer le scan.

Ne touche à rien(souris, clavier) tant que le scan n'est pas terminé, car tu risques de planter ton PC

En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.

Une fois le scan achevé, un rapport va s'afficher : Poste son contenu

/!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\

Note : Le rapport se trouve également là : C:\ComboFix.txt



0

Discussions similaires

Virus détecté
Koony -
MisteryBean -

6 réponses
infecté par des virus
Lisy59120 -
Lisy59120 -

5 réponses
mustapha
mustapha -
Ainillia -

1 réponse
Infection d'une URL.blacklist
marina41 -
Malekal_morte- -

6 réponses
Infection par : ONLYPC Flow.co.in
Jackot17 -
bazfile -

3 réponses