infection rootkit Fermé

Question

Bonjour, 


je suis infecté par un rootkit et souhaiterais m'en débarrassé ....


Et sur 2 machines en plus, je ne sais pas comment il est arrivé sur la seconde ???

Si quelqu'un pourrait me donner un coup de main ça serait sympa ?



Merci à vous

kalimusic · Answer

Bonjour,

As tu Avast! comme antivirus ?
Quel est le nom du fichier ?

1. Télécharge l'utilitaire TDSSKiller (de Kaspersky) sur ton Bureau.

&#x25CF; Lance TDSSKiller.exe 
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; Clique sur Start scan.
&#x25CF; Laisse l'outil balayer ton système sans l'interrompre et sans utiliser le PC.
&#x25CF; Conserve l'action proposée par défaut par l'outil
- Pour TDSS.tdl2 : l'option Delete sera cochée.
- Pour TDSS.tdl3 ou TDSS.tdl4 : assure toi que Cure est bien cochée.
- Pour "Suspicious object" laisse sur "Skip"
- Attention pour Rootkit.Win32.ZAccess : 
-- Choisir Cure pour les fichiers .sys et Delete pour le fichier .exe
&#x25CF; Clique sur Continue puis sur Reboot now si le redémarrage est proposé.
&#x25CF; Le rapport se trouve à la racine du disque principal : C:\TDSSKiller.n° de version_date_heure_log.txt 

2. Héberge le rapport sur un des sites suivants :
https://www.cjoint.com/
http://pjjoint.malekal.com/
https://textup.fr/ 
Tu obtiendras un lien que tu me donneras dans ton prochain message afin que je puisse le consulter.

A +

julien · Answer

merci à toi !

oui mon anti-virus est avast.

voila le lien du  rapport (que j'avais déja effectué en lisant un de tes commentaires sur une autre discussion)

http://textup.fr/10813Ce

et voila le rapport OTL si cela t'interresse ?

http://textup.fr/10814Ad

le OTL Complet et extra

http://textup.fr/10815X2
http://textup.fr/10816Sg


encore merci à toi ...

kalimusic · Answer

Bonsoir julien,

TDSSKiller semble avoir supprimé le rootkit zaccess

1. Vérifie sa suppression avec cet outil Webroot ZeroAccess/Sirefef remover
aide : https://www.malekal.com/zeroaccesssirefef-remover/

2. Relance OTL
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; Dans la partie "Personnalisation", copie/colle 

:OTL
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {D4027C7F-154A-4066-A1AD-4243D8127440} - No CLSID value found.     
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Low Rights present 
O33 - MountPoints2\{097a41e7-a97f-11df-a807-001fc68a64ae}\Shell\AutoRun\command - "" = C:\Windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL F:\jEs.exE 
O33 - MountPoints2\{ee38d3f1-46ff-11de-82f4-001fc68a64ae}\Shell\AutoRun\command - "" = J:\ReCycLEr\S-1-5-21-1482276501-1663491937-6831267430-1013\svchost.exe     
O33 - MountPoints2\{ee38d3f1-46ff-11de-82f4-001fc68a64ae}\Shell\OpEN\cOMMaND - "" = J:\ReCycLEr\S-1-5-21-1482276501-1663491937-6831267430-1013\svchost.exe     
@Alternate Data Stream - 126 bytes -> C:\ProgramData\TEMP:9D718DA3 
[2011/12/02 11:39:41 | 000,000,000 | -HSD | C] -- C:\Windows\System32\%APPDATA% 
[2011/12/02 11:35:44 | 000,000,000 | -HSD | C] -- C:\Users\Kro & Ju\AppData\Local\877d451b 
:Files
ipconfig /flushdns /c
:Commands 
[emptytemp]
&#x25CF; Clique sur le bouton Correction.
&#x25CF; Patiente pendant le travail de l'outil, il doit ensuite redémarrer le PC.   
&#x25CF; Accepte en cliquant sur OK. 
&#x25CF; Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément.   

Tu peux le retrouver le fichier à la racine du disque : C:\_OTL\MovedFiles 

3. Télécharge MBAM et installe le selon l'emplacement par défaut.
(l'essai de la version pro est facultative)

&#x25CF; Effectue la mise à jour et lance Malwarebytes' Anti-Malware
&#x25CF; Clique dans l'onglet du haut "Recherche"
&#x25CF; Coche l'option "Exécuter un examen complet" puis sur le bouton "Rechercher" 
&#x25CF; Choisis de scanner tous tes disques durs, puis clique sur 'Lancer l'examen"

A la fin de l'analyse, si MBAM n'a rien trouvé :

&#x25CF; Clique sur OK, le rapport s'ouvre spontanément

Si des menaces ont été détectées :

&#x25CF; Clique sur OK puis "Afficher les résultats"
&#x25CF; Choisis l'option "Supprimer la sélection"
&#x25CF; Si MBAM demande le redémarrage de Windows : Clique sur "Oui"
&#x25CF; Une fois le PC redémarré, le rapport se trouve dans l'onglet "Rapports/Logs"
&#x25CF; Sinon le rapport s'ouvre automatiquement après la suppression 

4. Héberge les rapports et donne moi les liens.

A +

julien · Answer

voila le rapport otl

http://textup.fr/10890Zv

et celui mbam 

http://textup.fr/10891SU


@+

kalimusic · Answer

Bonsoir julien,

Pour Avast! il faudra sans soute le réinstaller.
Cette infection faisant pas mal de dégâts sur le système.

Par contre je n'ai pas compris la phrase suivante.
windows bloque des logiciels au démarrage mais je ne peut pas y acceder

A +

Julien · Answer

Bonjour 
Tout d'abord merci à toi de me dépanner . J'ai réinstallé avast  tout est ok où presque ....
Dans la barre à côté de l'heure lorsque l'ordinateur démarre  windows bloque des programmes et me l'annonce via un icône mais je n'ai pas accès au détail en cliquant sur cette icône . Je pense que sa correspond à tous les virus  qu'avast à trouvé et à mis en quarantaine( plusieurs fichiers)  ??? Que faire ??

kalimusic · Answer

Bonjour,

As tu modifier quelque chose dans MSConfig ?

Je n'ai plus accès aux rapports hébergés, peux tu refaire une analyse rapide OTL avec ces instructions :

msconfig 
/md5start
volsnap.*
explorer.exe
winlogon.exe
userinit.exe
svchost.exe
/md5stop
%APPDATA%\*.exe /s 
%APPDATA%\*.
%SYSTEMDRIVE%\*.exe 
CREATERESTOREPOINT 

A +

Julien · Answer

J'ai réinstallé avast , tout est ok . Et j'ai résolu le soucis de programme bloque
Au démarrage . Par contre j'ai l'impression que le root kit est encore la?! Par moment j'ai une page de redirection internet vers une adresse bizard comme au début des manip . Mais par contre tdskiller détecte rien ainsi que avast et malware non plus .serait-ce possible que le root kit est résiste  et qu'il se cache quelque part????

Merci a toi .

kalimusic · Answer

Bonjour,

Je n'ai jamais dit que la désinfection était terminé et que tu étais sorti d'affaire.
J'attends le denier rapport demandé pour la suite.

A +

Julien · Answer

Oups ....j'espérais je vais faire ça alors

julien · Answer

Bonsoir,

Voila le lien du rapport OTL.

http://textup.fr/11112Bw

kalimusic · Answer

Bonsoir,

Toujours des redirections ? avec n'importe quel navigateur ?

A +

julien · Answer

j'ai ai eu 1 ou 2 avec mozilla mais ce n'est pas tout le temps .. avec internet explorer apparemment non.

kalimusic · Answer

ok,

On va regarder si zaccess est toujours là ou s'il a des amis sur ton pc.

 == == == == == == == == == == == == == == == == == == == == == ==

Sauvegarde tes documents les plus importants.

 == == == == == == == == == == == == == == == == == == == == == ==

Télécharge  ComboFix de sUBs sur ton bureau (et nulle part ailleurs ! ) 

!! Ferme toutes tes applications en cours et désactive les protections résidentes de ton PC (Antivirus, Antispywares, Firewall, etc...) !!   

Regarde attentivement ce tutoriel pour t'aider : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix 

Si besoin, imprime ce dont tu auras besoin, car ensuite toutes les fenêtres doivent être fermés.

&#x25CF; Lance ComboFix
&#x25CF; Accepte la licence d'utilisation et laisse toi guider par le programme.
&#x25CF; Accepte d'installer la console de récupération si tu es sous XP
&#x25CF; Autorise ComboFix a se connecter à internet pour les mises à jour si besoin.
&#x25CF; Il est possible que l'outil est besoin de redémarre l'ordinateur.

 !! Surtout ne rien faire et ne rien toucher pendant le travail de l'outil !!  
(risque de plantage complet de l'ordinateur) 

&#x25CF; A la fin ComboFix indique l'emplacement du rapport et l'ouvre spontanément. 
&#x25CF; Héberge le rapport et donne moi le lien. 

!! Réactive les protections résidentes de ton PC !!   

Note : Le rapport se trouve normalement à la racine du disque: C:\ComboFix.txt 

A +

julien · Answer

bonsoir ,

je vais sauvegarder toutes mes données et je fais la manip après.

Je te tiens au courant.

@ +

kalimusic · Answer

ok,

A + avec le rapport de ComboFix

Infection rootkit

16 réponses

Discussions similaires