Virus Alureon impossible à supprimer

Résolu

Lionskunk -
Lionskunk - 11 déc. 2011 à 16:22

Bonjour,

Avira a détecté un virus 'TR/Alureon.TK.3' dans le fichier 'C:\Windows\assembly\temp\U\80000032.@' et il m'est impossible de le supprimer ou de le mettre en quarantaine.

J'ai donc consulté votre tuto "Supprimer le rootkit : W32/TDSS - Alureon" :

J'ai testé Malwarebytes'Anti-Malware et j'ai supprimer tout les fichiers comme il est dit de faire, mais le virus est toujours présent.

J'ai testé TDSSKiller et j'ai fait de même, mais le virus est toujours détecté par Avira.

Et enfin, j'ai établit un rapport avec Gmer que voici :
GMER 1.0.15.15641 - http://www.gmer.net
Rootkit scan 2011-12-10 11:52:27
Windows 6.1.7601 Service Pack 1
Running: gmer.exe

---- Registry - GMER 1.0.15 ----

Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg@s1 771343423
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg@s2 285507792
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg@h0 1
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@u0 0xD4 0xC3 0x97 0x02 ...
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0x36 0xAB 0x56 0xF8 ...
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@p0 C:\Program Files (x86)\DAEMON Tools Lite\
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@hdf12 0xC1 0xFE 0xEA 0x94 ...
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@a0 0x20 0x01 0x00 0x00 ...
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0@hdf12 0x10 0x25 0x0A 0xD1 ...
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@u0 0xD4 0xC3 0x97 0x02 ...
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0xF2 0x20 0x43 0x7C ...
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@p0 C:\Program Files (x86)\DAEMON Tools Lite\
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@hdf12 0xC1 0xFE 0xEA 0x94 ...
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@a0 0x20 0x01 0x00 0x00 ...
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0@hdf12 0x10 0x25 0x0A 0xD1 ...

---- Files - GMER 1.0.15 ----

File C:\ADSM_PData_0150 0 bytes
File C:\ADSM_PData_0150\DB 0 bytes
File C:\ADSM_PData_0150\DB\SI.db 624 bytes
File C:\ADSM_PData_0150\DB\UL.db 1040 bytes
File C:\ADSM_PData_0150\DB\VL.db 6160 bytes
File C:\ADSM_PData_0150\DB\WAL.db 2048 bytes
File C:\ADSM_PData_0150\DragWait.exe 315392 bytes executable
File C:\ADSM_PData_0150\_avt 512 bytes
File C:\Users\thomas\Documents sécurisés 0 bytes
File C:\Users\thomas\Documents sécurisés\_avt 512 bytes
File C:\Users\thomas\Documents sécurisés\_lit 512 bytes
File C:\Users\thomas\Musique sécurisée 0 bytes
File C:\Users\thomas\Musique sécurisée\_avt 512 bytes
File C:\Users\thomas\Musique sécurisée\_lit 512 bytes
File C:\Users\thomas\Vidéos sécurisées 0 bytes
File C:\Users\thomas\Vidéos sécurisées\_avt 512 bytes
File C:\Users\thomas\Vidéos sécurisées\_lit 512 bytes

---- EOF - GMER 1.0.15 ----

Quelqu'un peut m'aider, svp ?

Afficher la suite

A voir également:

Virus Alureon impossible à supprimer
Supprimer rond bleu whatsapp - Guide
Fichier impossible à supprimer - Guide
Impossible de supprimer une page word - Guide
Comment supprimer fausse alerte virus mcafee - Accueil - Piratage
Supprimer pub youtube - Accueil - Streaming

26 réponses

Réponse 1 / 26

juju666 Messages postés 35446 Date d'inscription Statut Contributeur sécurité Dernière intervention 4 796

Hello,

▶ Fais un clic droit sur le lien ci dessous, choisi "Enregistrer la cible du lien sous", comme destination : ton Bureau, change son nom (ton_pseudo.exe par exemple) :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

▶ Double-clique sur ComboFix.exe

♦ Ne touche à rien (souris, clavier) tant que le scan n'est pas terminé, car tu risques de planter ton PC

▶ En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.</gras>
▶ Une fois le scan achevé, un rapport va s''afficher : Poste son contenu

Notes:
♦ Le rapport se trouve également là : C:\ComboFix.txt
♦ tutoriel combofix

Lionskunk

Bon, impossible de poster le rapport à cause de l'orthographe, l'anglais n'est pas reconnue comme orthographe correct . . . génial -_-' C'est possible de t'envoyer le rapport en pièce jointe par mp ou autre ?

Réponse 2 / 26

juju666 Messages postés 35446 Date d'inscription Statut Contributeur sécurité Dernière intervention 4 796

Hébergement de rapports

▶ Rends toi sur pjjoint.malekal.com
▶ Clique sur le bouton Parcourir
▶ Sélectionne le fichier que tu veux héberger et clique sur Ouvrir
▶ Clique sur le bouton Envoyer
▶ Un message de confirmation s'affiche (L'upload a réussi ! - Le lien à transmettre à vos correspondant pour visualiser le fichier est : https://pjjoint.malekal.com/files.php?id=df5ea299241015

▶ Copie le lien dans ta prochaine réponse.

Réponse 3 / 26

Lionskunk

Voici le lien : http://pjjoint.malekal.com/files.php?id=20111210_e15g8r7g15l5
Bizarrement, des fois l'antivirus détecte le trojan toute les 2min, et là, ça fait un bail qu'il ne s'est pas manifesté ^^

Réponse 4 / 26

juju666 Messages postés 35446 Date d'inscription Statut Contributeur sécurité Dernière intervention 4 796

tu m'as fait quoi là ??
je te demande le rapport de combofix pas GMER

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question

Réponse 5 / 26

Lionskunk

Ah ouais désolé.

http://pjjoint.malekal.com/files.php?id=20111210_s10w12f14i13u11

Réponse 6 / 26

juju666 Messages postés 35446 Date d'inscription Statut Contributeur sécurité Dernière intervention 4 796

AV: AntiVir Desktop *Disabled/Updated* {090F9C29-64CE-6C6F-379C-5901B49A85B7}
AV: avast! Antivirus *Disabled/Updated* {2B2D1395-420B-D5C9-657E-930FE358FC3C}

C'est l'un ou l'autre, mais pas les deux !!!

~~

c:\program files (x86)\Spybot - Search & Destroy

à désinstaller

~~

Télécharge AdwCleaner ( d'Xplode ) sur ton bureau.
Lance le, clique sur [Recherche] puis patiente le temps du scan.
Une fois le scan fini, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse.

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[R1].txt

Tutoriel : http://forums-fec.be/entraide/viewtopic.php?f=55&t=16

Réponse 7 / 26

Lionskunk

J'ai déjà désinstallé avast, même avec le logiciel de désinstallation en mode sans échec (une merde pas croyable) et il n'est plus actif (j'espère).
Il est pas bien spybot ?
Rapport de adwcleaner : http://pjjoint.malekal.com/files.php?id=20111210_i6d12n15o11u6

Réponse 8 / 26

juju666 Messages postés 35446 Date d'inscription Statut Contributeur sécurité Dernière intervention 4 796

J'aimerais voir celui là : AdwCleaner[S2].txt - [13800 octets] - [10/12/2011 18:02:11]

~~

Spybot la réponse est là : https://www.malekal.com/superantispyware-et-spybot-vs-malwarebyte/

Une merde quoi (:

Réponse 9 / 26

Lionskunk

http://pjjoint.malekal.com/files.php?id=20111210_m8i14o12y9x9

Réponse 10 / 26

juju666 Messages postés 35446 Date d'inscription Statut Contributeur sécurité Dernière intervention 4 796

▶ Télécharge AD-Remover sur ton Bureau : (TeamXScript)

http://www.teamxscript.org/adremoverTelechargement.html ( Lien officiel )
OU
https://www.androidworld.fr/ ( Miroir )

/!\ Ferme toutes applications en cours /!\

▶ Double-clique sur l'icône Ad-remover située sur ton Bureau.
▶ Sur la page, clique sur le bouton « Scanner »
▶ Confirme le lancement du scan
▶ Laisse travailler l'outil.
▶ Quand il a fini, un rapport s'ouvrira : ferme le.

♦ Pour me transmettre le rapport

clique sur ce lien : https://www.cjoint.com/

▶ Clique sur Parcourir et cherche le fichier C:\Ad-Report-SCAN[1].txt

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cjoint.com/SKAP5fU.txt

est ajouté dans la page.

▶ Copie ce lien dans ta réponse.

Tutoriel : http://forums-fec.be/entraide/viewtopic.php?f=55&t=3

Réponse 11 / 26

Lionskunk

Rapport de ad remover : http://cjoint.com/11dc/ALkt0xopsp2.htm

Réponse 12 / 26

juju666 Messages postés 35446 Date d'inscription Statut Contributeur sécurité Dernière intervention 4 796

re

▶ Relance AD-Remover, clique sur [ Nettoyer ]
▶ Laisse le pc redémarrer.
▶ Une fois revenu sur le bureau, le rapport devrait s'ouvrir : ferme-le

♦ Pour me transmettre le rapport

clique sur ce lien : https://www.cjoint.com/

▶ Clique sur Parcourir et cherche le fichier C:\Ad-Report-CLEAN[1].txt

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cjoint.fr/SKAP5fU.txt

est ajouté dans la page.

▶ Copie ce lien dans ta réponse.

Tutoriel : http://forums-fec.be/entraide/viewtopic.php?f=55&t=3

Réponse 13 / 26

Lionskunk

Nouveau rapport de ad remover : http://cjoint.com/11dc/ALkvkw52kn6.htm
L'antivirus et tout les autres logiciels d'analyse ne le détectent plus.

Réponse 14 / 26

juju666 Messages postés 35446 Date d'inscription Statut Contributeur sécurité Dernière intervention 4 796

Re,

Oui oui mais on a pas fini ;)

▶ Télécharge MBAM et installe le selon l'emplacement par défaut
https://www.malwarebytes.com/mwb-download/
▶ Effectue la mise à jour et lance Malwarebytes' Anti-Malware

▶ ▶ Si tu n''arrive pas à le mettre à jour, télécharge ce fichier , ferme MBAM, et exécute le

▶ Clique dans l'onglet du haut "Recherche"
▶ Coche l'option "Exécuter un examen complet" puis sur le bouton "Rechercher"
▶ Choisis de scanner tous tes disques durs, puis clique sur 'Lancer l'examen"

A la fin de l'analyse, si MBAM n'a rien trouvé :

▶ Clique sur OK, le rapport s'ouvre spontanément

Si des menaces ont été détectées :

▶ Clique sur OK puis "Afficher les résultats"
▶ Choisis l'option "Supprimer la sélection"
▶ Si MBAM demande le redémarrage de Windows : Clique sur "Oui"
▶ Une fois le PC redémarré, le rapport se trouve dans l'onglet "Rapports/Logs"
▶ Sinon le rapport s'ouvre automatiquement après la suppression

Quelque soit le résultat, copie/colle le rapport dans le prochain message

Tutoriel : http://forums-fec.be/entraide/viewtopic.php?f=55&t=10

Réponse 15 / 26

Lionskunk

Re,
Il ne restait que cette infection :
c:\Windows\assembly\temp\kwrd.dll (PUP.BitMiner) -> Quarantined and deleted successfully.

Réponse 16 / 26

Lionskunk

Merci pour ton aide !

Réponse 17 / 26

juju666 Messages postés 35446 Date d'inscription Statut Contributeur sécurité Dernière intervention 4 796

je peux avoir le rapport complet stp ?

Réponse 18 / 26

Lionskunk

yep

http://cjoint.com/11dc/ALlnIoWQ6Br.htm

Réponse 19 / 26

juju666 Messages postés 35446 Date d'inscription Statut Contributeur sécurité Dernière intervention 4 796

le rapport MBAM !

Réponse 20 / 26

Lionskunk

Ouais j'me suis trompé de bon matin. Je refais une analyse mbam.

Votre réponse