rootkit zaro access!

Question

Bonjour, 

Depuis plus d'un mois, mon ordinateur a de gros problèmes:connexion lente, redirection google vers sites dangereux, etc..
J'ai effectué des scans, mais rien n'a été détecté. Aujourd'hui, Roguekiller me trouve le rootkit zero access, comment puis-je m'en débarrasser? (je n'y connais presque rien en informatique)
Merci d'avance pour votre aide!


Configuration: Windows 7 / Firefox 3.6.24

Utilisateur anonyme · Answer

Bonjour

Tu peux me poster le rapport roguekiller??
RKreport.txt se trouve  à côté de l'exécutable

Frenchi · Answer

Merci de m'avoir répondu!
Voila le rapport :

RogueKiller V6.2.0 [12/12/2011] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Demarrage : Mode normal
Utilisateur: Fanny [Droits d'admin]
Mode: Recherche -- Date : 20/12/2011 16:11:15

¤¤¤ Processus malicieux: 3 ¤¤¤
[SUSP PATH] setup.exe -- C:\Windows\TEMP\qvdxdk\setup.exe -> KILLED [TermProc]
[SUSP PATH] setup.exe -- C:\Windows\TEMP\nywquc\setup.exe -> KILLED [TermProc]
[SVCHOST] svchost.exe -- C:\Windows\SysWOW64\svchost.exe -> KILLED [TermProc]

¤¤¤ Entrees de registre: 1 ¤¤¤
[SUSP PATH] HKLM\[...]\Wow6432Node\Run : 27l4ozqjbh (C:\ProgramData\27l4ozqjbh.exe) -> FOUND

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [NOT LOADED] ¤¤¤

¤¤¤ Infection : ZeroAccess ¤¤¤
[ZeroAccess] sys32\consrv.dll present!

¤¤¤ Fichier HOSTS: ¤¤¤

¤¤¤ MBR Verif: ¤¤¤
--- User ---
[MBR] c2dde333226f4ae9ba78d9e8eade202a
[BSP] 14ccff5913a51648566b37aac231682f : MBR Code unknown
Partition table:
0 - [ACTIVE] NTFS [HIDDEN!] Offset (sectors): 2048 | Size: 419 Mo
1 - [XXXXXX] NTFS [VISIBLE] Offset (sectors): 821248 | Size: 125029 Mo
2 - [XXXXXX] NTFS [VISIBLE] Offset (sectors): 245018624 | Size: 124609 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[4].txt >>
RKreport[1].txt ; RKreport[3].txt ; RKreport[4].txt

Utilisateur anonyme · Answer

effectivement tu es bien infecté.

Voici un lien t'expliquant les manips pour supprimer ce foutu 

https://www.malekal.com/zaccess-sur-windows-64-bits-consrv-winsrv/

Frenchi · Answer

Merci pour le lien, mais je ne comprends pas la démarche à suivre, pourriez-vous me guider?!

Utilisateur anonyme · Answer

télécharges combo et exécutes le en mode sans échec.

Démarrer Windows en « mode sans échec »


Avec la touche F8 
- Au démarrage de l'ordinateur presser successivement (intervalle d'une seconde) la touche F8 jusqu'à arriver au menu de démarrage avancé permettant de sélectionner le Mode sans échec.
- Vous naviguez dans le menu jusqu'à l'option « Mode sans échec avec prise en charge réseau» grâce aux flèches de direction.
- Validez avec la touche Entrée.
Note : Sur certains ordinateurs, c'est la touche F5 qu'il convient d'utiliser.


====================================================

/!\ A l'attention de ceux qui passent sur ce sujet /!\  
Le logiciel qui suit n'est pas à utiliser à la légère et peut faire des dégâts s'il est mal utilisé ! Ne le faites que si un helpeur du forum qui connait bien cet outil vous l'a recommandé.  

/!\ Désactive tous tes logiciels de protection  (Antivirus, Antispywares)  /!\  

* Télécharge combofix(de sUBs) sur ton Bureau.  
* Double-clique sur ComboFix.exe afin de le lancer.  
* Il va te demander d'installer la console de récupération : accepte. (important en cas de problème) 
/!\ Ne touche ni à la souris, ni au clavier durant le scan /!\  
* Lorsque la recherche sera terminée, un rapport apparaîtra.   
* Héberge le rapport C:\Combofix.txt  sur le site pjjoint.malekal.com ou cijoint.fr ou toofiles  puis copie/colle le lien fournit dans ta prochaine réponse sur le forum 
#Si combofix ne veut pas se lancer renommes le en ccm.exe et éxécutes le en mode sans échec . 
Tutoriel officiel de Combofix : Tuto Combofix

Frenchi · Answer

J'ai suivi la démarche et j'ai obtenu un rapport. Que faire maintenant, je vous le poste?

Utilisateur anonyme · Answer

*	Pour héberger ton rapport : pjjoint.malekal.com   
*	 Cliques sur le bouton Parcourir 
*	 Sélectionne le fichier que tu veux héberger et cliques sur Ouvrir 
*	 Clique sur le bouton Envoyer  le fichier
*	 Un message de confirmation s'affiche (L'upload a réussi ! - Le lien à transmettre à vos correspondant pour visualiser le fichier est  )
*	 Fais un copié/collé du lien sur le forum.

Frenchi · Answer

Voila le lien : http://pjjoint.malekal.com/files.php?id=20111220_y1214r12v14k12

Utilisateur anonyme · Answer

Fais combofix en mode normal et postes le rapport.

Frenchi · Answer

Voila le rapport en mode normal, mais il me semble que j'ai toujours le virus !
http://pjjoint.malekal.com/files.php?id=20111221_o10y14o7y7c12

Utilisateur anonyme · Answer

-Télécharge l'utilitaire TDSSKiller (de Kaspersky) sur ton Bureau. 

http://fradesch.perso.cegetel.net/transf/Load_tdsskiller.exe

* Lance TDSSKiller.exe 

 -Sous XP double-clic sur l'icône pour lancer l'outil. 
 - Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 

* Clique sur Start scan. 
* Laisse l'outil balayer ton système sans l'interrompre et sans utiliser le PC. 
* Conserve l'action proposée par défaut par l'outil 
- Si TDSS.tdl2 : l'option Delete sera cochée. 
- Si TDSS.tdl3 ou TDSS.tdl4 : assure toi que Cure soit bien cochée. 
- Si "Suspicious object" laisse l'option cochée sur Skip 
- Si Rootkit.Win32.ZAccess.* est détecté règle sur cure en haut , et delete en bas 

* Clique sur Continue puis sur Reboot now si le redémarrage est proposé. 
* Le rapport se trouve à la racine du disque principal : C:\TDSSKiller.n° de version_date_heure_log.txt

Frenchi · Answer

Et bien j'ai lancé le scan, et le bilan est "no threats found"! Ca signifie que je me suis débarrasser de ce virus?

Utilisateur anonyme · Answer

Non je ne pense pas .On va faire une verif.

*  Télécharger aswMBR.exe sur votre bureau.
*  Double cliquez sur le aswMBR.exe pour l'exécuter
*  Cliquez sur le bouton «Scan» pour commencer le balayage
*  Cliquez sur Save log pour sauvegarder le rapport
*  Enregistrez le aswASW.log sur le bureau
*	Poster le rapport sur le forum.

Frenchi · Answer

En effet, il est toujours là..


aswMBR version 0.9.8.986 Copyright(c) 2011 AVAST Software
Run date: 2011-12-21 13:33:59
-----------------------------
13:33:59.828    OS Version: Windows x64 6.1.7601 Service Pack 1
13:33:59.828    Number of processors: 1 586 0x301
13:33:59.830    ComputerName: FANNY-TOSHIBA  UserName: Fanny
13:34:01.625    Initialize success
13:34:02.269    AVAST engine defs: 11122100
13:34:06.441    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP1T0L0-1
13:34:06.444    Disk 0 Vendor: TOSHIBA_MK2555GSX FG001M Size: 238475MB BusType: 11
13:34:08.522    Disk 0 MBR read successfully
13:34:08.528    Disk 0 MBR scan
13:34:08.536    Disk 0 Windows 7 default MBR code
13:34:08.546    Service scanning
13:34:10.587    Modules scanning
13:34:10.596    Disk 0 trace - called modules:
13:34:10.644    ntoskrnl.exe CLASSPNP.SYS disk.sys ataport.SYS PCIIDEX.SYS hal.dll msahci.sys 
13:34:10.649    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0xfffffa800304a060]
13:34:10.654    3 CLASSPNP.SYS[fffff8800169b43f] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP1T0L0-1[0xfffffa8002fe6060]
13:34:11.814    AVAST engine scan C:\Windows
13:34:15.192    AVAST engine scan C:\Windows\system32
13:34:31.165    File: C:\Windows\system32\consrv.dll  **INFECTED** Win64:Sirefef-C [Drp]
13:36:12.303    AVAST engine scan C:\Windows\system32\drivers
13:36:24.494    AVAST engine scan C:\Users\Fanny
13:38:35.384    Disk 0 MBR has been saved successfully to "C:\Users\Fanny\Desktop\MBR.dat"
13:38:35.395    The log file has been saved successfully to "C:\Users\Fanny\Desktop\aswMBR.txt"

Utilisateur anonyme · Answer

*  Relancer aswMBR.exe pour l'exécuter
*  Cliquez sur le bouton «Scan» pour commencer le balayage
*  Cliquez sur  "Fix" 
*  Enregistrez le aswASW.log sur le bureau
*	Poster le rapport sur le forum.

Frenchi · Answer

aswMBR version 0.9.8.986 Copyright(c) 2011 AVAST Software
Run date: 2011-12-21 18:21:46
-----------------------------
18:21:46.259    OS Version: Windows x64 6.1.7601 Service Pack 1
18:21:46.260    Number of processors: 1 586 0x301
18:21:46.262    ComputerName: FANNY-TOSHIBA  UserName: Fanny
18:21:50.601    Initialize success
18:21:50.955    AVAST engine defs: 11122101
18:22:04.314    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP1T0L0-1
18:22:04.317    Disk 0 Vendor: TOSHIBA_MK2555GSX FG001M Size: 238475MB BusType: 11
18:22:06.443    Disk 0 MBR read successfully
18:22:06.449    Disk 0 MBR scan
18:22:06.489    Disk 0 Windows 7 default MBR code
18:22:06.504    Service scanning
18:22:08.674    Modules scanning
18:22:08.682    Disk 0 trace - called modules:
18:22:08.743    ntoskrnl.exe CLASSPNP.SYS disk.sys ataport.SYS PCIIDEX.SYS hal.dll msahci.sys 
18:22:08.752    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0xfffffa800304a060]
18:22:08.762    3 CLASSPNP.SYS[fffff8800169b43f] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP1T0L0-1[0xfffffa8002fe6060]
18:22:09.991    AVAST engine scan C:\Windows
18:22:16.602    AVAST engine scan C:\Windows\system32
18:22:32.103    File: C:\Windows\system32\consrv.dll  **INFECTED** Win64:Sirefef-C [Drp]
18:24:16.269    AVAST engine scan C:\Windows\system32\drivers
18:24:30.326    AVAST engine scan C:\Users\Fanny
18:25:39.488    Verifying
18:25:49.518    Disk 0 Windows 601 MBR fixed successfully
18:26:21.245    Verifying
18:26:31.277    Disk 0 Windows 601 MBR fixed successfully
18:27:49.832    AVAST engine scan C:\ProgramData
18:30:53.266    Scan finished successfully
18:31:02.931    Verifying
18:31:12.980    Disk 0 Windows 601 MBR fixed successfully
18:31:46.638    Disk 0 MBR has been saved successfully to "C:\Users\Fanny\Desktop\MBR.dat"
18:31:46.648    The log file has been saved successfully to "C:\Users\Fanny\Desktop\aswMBR2.txt"

Utilisateur anonyme · Answer

* Télécharge OTL sur ton bureau.

* Fais un double-clic sur l'icône d'OTL pour le lancer
/!\ pour Vista/Seven fais un clic-droit sur l'icône d'OTL et choisis "Exécuter en tant qu'administrateur"

* Assure toi d'avoir fermé toutes les applications en court de fonctionnement.

* Quand la fenêtre d'OTL apparaît, assure toi que dans la section "Rapport" (en haut à droite) la case "Rapport minimal" soit cochée.

* Copies et colles le contenue de cette citation dans la partie inférieure d'OTL "Personnalisation"


netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
explorer.exe
winlogon.exe
userinit.exe
wininit.exe
consrv.dll
/md5stop
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
nslookup www.google.fr /c
SAVEMBR:0 
CREATERESTOREPOINT



* Cliques sur l'icône "Analyse" (en haut à gauche) .
* Laisse le scan aller à son terme sans te servir du PC
* A la fin du scan un ou deux rapports vont s'ouvrir "OTL.Txt" et ( ou ) "Extras.Txt"( dans certains cas).
* Héberge le ou les rapports sur le site  pjjoint.malekal.com ou cijoint.fr ou toofiles , puis copie/colle le ou les  liens fournit dans ta prochaine réponse sur le forum   

PS:Tu peux  retrouver les rapports dans le dossier C:\OTL ou sur ton bureau en fonction des cas rencontrés

Frenchi · Answer

voila les liens :
http://pjjoint.malekal.com/files.php?id=20111221_m12c13d12d10g15
http://pjjoint.malekal.com/files.php?id=20111221_z13g610t13n8

Utilisateur anonyme · Answer

télécharger l'outil FRST et l'enregistrer sur le bureau 

Ouvrez le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes). Copier et coller le code ci dessous en gras dans le bloc note.

start
SubSystems: [Windows] ==> ZeroAccess 
end

Enregistrer le fichier sur le bureau a cote de FRST et nommer le fixlist.txt 

Exécuter FRST et appuyez sur le bouton Fix juste une fois et attendez.
Un rapport sera créer sur le bureau.Postes ce rapport.

Frenchi · Answer

Je suis pas sure d'avoir fait la bonne manip, je vous envoie quand même le lien:
http://pjjoint.malekal.com/files.php?id=20111222_k12l11k1010j15

Utilisateur anonyme · Answer

1. Télécharge http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/ par Swandog46 sur ton Bureau.

* Décompresse le fichier
* avenger.exe sur le bureau

2. Copie le contenu en gras ci-dessous (CTRL+C),




Files to delete:
C:\Windows\SysNative\consrv.dll    



Note: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur.
si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système.

3. Maintenant, lance The Avenger par clic droit, exécuter en tant qu'administrateur.

* Faites un clic droit sur la fenêtre sous "Input Script There":, Et choisissez Coller.A présent du dois avoir le script dans la fenétre blanche d' Avenger.
* Clique sur Exécuter
* Réponds "Yes" quand demandé.

4. The Avenger va automatiquement faire ce qui suit:

* Il va Redémarrer le système.
* Pendant le redémarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur le bureau, c'est normal.
* Après le redémarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt

5. Pour finir copie/colle le contenu du ficher c:\avenger.txt dans ta prochaine réponse. 

Tuto :
http://www.oxygenepc.com/forum/the-avenger-t594.html

Frenchi · Answer

J'ai fait tout comme vous m'avez dit, seulement il n'y a pas de fenêtre noire qui s'est ouverte et le fichier C:\avenger.txt  reste introuvable!

Utilisateur anonyme · Answer

Tu peux refaire ce qui suit

Double cliquez sur le aswMBR.exe pour l'exécuter
* Cliquez sur le bouton «Scan» pour commencer le balayage
* Cliquez sur Save log pour sauvegarder le rapport
* Enregistrez le aswASW.log sur le bureau
* Poster le rapport sur le forum. 

========================================
+nouveau rapport OTL

Frenchi · Answer

voila le rapport OTL :
http://pjjoint.malekal.com/files.php?id=OTL_20111222_j12b6i11h12s13
le rapport aswASW:
http://pjjoint.malekal.com/files.php?id=20111222_w15z6w6o13z12

Utilisateur anonyme · Answer

relançe OTL .
Fais un double-clic sur l'icône d'OTL pour le lancer
/!\ pour Vista/Seven fais un clic-droit sur l'icône d'OTL et choisis "Exécuter en tant qu'administrateur" 

Copies et colles le contenue de cette citation (en commençant bien à :OTL , les : inclus devant OTL) dans la partie inférieure d'OTL sous "Personalisation" et cette fois ci clic CORRECTION:

:OTL
FF - prefs.js..keyword.URL: "http://search.babylon.com/?babsrc=SP_ss&mntrId=f285e398000000000000701a0444970a&tlver=1.4.19.19&instlRef=sst&ss=1&affID=18026&q="     
[2009/07/14 02:39:46 | 000,054,272 | ---- | M] (Microsoft Corporation) MD5=63E99B675A1337DB6D8430195EA3EFD2 -- C:\Windows\SysNative\consrv.dll    
 [2011/12/22 11:56:37 | 000,061,440 | ---- | C] () -- C:\Windows\SysWow64\drivers\ualausp.sys      
 [2011/12/22 11:36:00 | 000,061,440 | ---- | C] () -- C:\Windows\SysWow64\drivers\xddglbb.sys      
  
:commands
[EmptyTemp]
[EmptyFlash]
[CREATERESTOREPOINT]
[ResetHosts]
[Reboot]


===>Copie_colle le contenu du rapport texte qui apparrait au redemarrage du pc .

Utilisateur anonyme · Answer

On va devoir passer par OTLPE.

Tu dois démarrer ton pc avec le cd gravé OTLPE.

Une fois chargé clic sur le petit drapeau bleu en bas a gauche.

Clic sur all programs ===> double clic sur Regedit ===> double clic sur local registry

Positionnes toi sur HKEY_LOCAL_MACHINE (Le cadre se noircit)

Cliques sur le menu File et Load Hive

En bas positionnes Files of Type sur All files, puis navigues dans tes dossiers pour aller dans C:\Windows\System32\config

Tu dois avoir une liste de fichiers 
Double-cliquez sur SYSTEM (celui sans extension à la fin).

Inscris un nom dans l'encadré blanc par exemple désinfection nanard , ce sera le nom du dossier contenant la ruche de ton Windows.

Clic sur ok.
Déroules l'arborescence de désinfection nanard avec les petites fléches pour avoir Control001 puis Control ===> Session Manager et enfin SubSystems . 

Un clic sur SubSystems et a droite, tu dois avoir Windows comme valeur, double-cliques dessus.

La value date est très longue, cherches ServerDll=consrv:ConServerDllInitialization
Remplacer le premier consrv par winsrv pour avoir ServerDll=winsrv:ConServerDllInitialization 
Valides toutes les fenêtres. 
Éventuellement supprimes C:\Windows\system32\consrv.dll toujours depuis le CD Live 
Redémarres l'ordinateur. (Sans le cd OTLPE)


Postes un nouveau rapport aswMBR

Frenchi · Answer

Au risque de paraître bête, je ne sais pas ce qu'est ce cd. Du coup, je ne fais pas la démarche avec OTL?

Utilisateur anonyme · Answer

OTLPE est un Live CD qui permet de démarrer sur un système d'exploitation lorsque Windows est planté ou si vous n'arrivez plus à faire tourner de programmes de diagnostic dessus.

OTLPE contient plusieurs programmes de diagnostics ou réparation qui ne seront pas détaillés, OTLPE contient aussi OTL qui permet de scanner l'ordinateur et généré un rapport de diagnostic afin d'éventuellement déterminer si l'ordinateur est infecté.
Il faut bien sûr pour cela avoir un minimum de connaissances.



Lien de téléchargement :
Version Standard:
http://oldtimer.geekstogo.com/OTLPEStd.exe
http://ottools.noahdfear.net/OTLPEStd.exe

tu dois le graver sur un cd et une fois gravé tu fais ceci.

https://forums.commentcamarche.net/forum/affich-23947388-rootkit-zaro-access?page=2#26

Frenchi · Answer

J'ai un problème, je n'arrive pas à extraire OTLPE, c'est bloqué à 0%. J'ai essayé plusieurs fois mais rien à faire!

Utilisateur anonyme · Answer

Télécharges ce programme

https://www.clubic.com/telecharger-fiche25151-imgburn.html

installes le programme et extrais OTLPE

Frenchi · Answer

Désolé de répondre longtemps après, j'ai eu des soucis d'internet depuis vendredi! Je n'ai pas réussi la dernière procédure mais j'ai remarqué que mon ordi fonctionne nouveau normalement, j'ai effectué un scan avec roguekiller et il ne me détecte plus d'infection !
Alors un grand merci pour votre aide!

Frenchi · Answer

Voila le rapport http://pjjoint.malekal.com/files.php?id=20111227_u7w8y14s6b12
En espérant que je n'ai pas crié victoire trop vite

Utilisateur anonyme · Answer

Effectivement plus de rootkit.
La procédure de frst a donc fonctionné mais avec un laps de temps.

Frenchi · Answer

Merci beaucoup pour votre aide et votre patience, bonne continuation!

Rootkit zaro access!

34 réponses

Discussions similaires

Newsletters