Variante de win32/sirefef.DT Résolu/Fermé

Question

Bonjour, lorsque j'ouvre ma session mon antivirus (nod32) m'affiche un message disant qu'une menace est détectée en mémoire, endroit: mémoire vive svchost(1100), menace: une variante de win32/sirefef.DT. Impossible a nettoyer, quelqu'un pourrait-il m'aider ?

kalimusic · Answer

Bonjour,

Télécharge l'utilitaire TDSSKiller (de Kaspersky) sur ton Bureau.

&#x25CF; Lance TDSSKiller.exe 
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; Clique sur Start scan.
&#x25CF; Laisse l'outil balayer ton système sans l'interrompre et sans utiliser le PC.
&#x25CF; Conserve l'action proposée par défaut par l'outil
- Pour TDSS.tdl2 : l'option Delete sera cochée.
- Pour TDSS.tdl3 ou TDSS.tdl4 : assure toi que Cure est bien cochée.
- Pour "Suspicious object" laisse sur "Skip"
- Attention pour Rootkit.Win32.ZAccess : 
-- Choisir Cure pour les fichiers .sys et Delete pour le fichier .exe
&#x25CF; Clique sur Continue puis sur Reboot now si le redémarrage est proposé.
&#x25CF; Le rapport se trouve à la racine du disque principal : C:\TDSSKiller.n° de version_date_heure_log.txt 

2. Héberge le rapport sur un des sites suivants :
https://www.cjoint.com/
http://pjjoint.malekal.com/
https://textup.fr/ 
Tu obtiendras un lien que tu me donneras dans ton prochain message afin que je puisse le consulter.

A +

tweaking54 · Answer

Re, voici le rapport.
https://pjjoint.malekal.com/files.php?read=20120114_6g59y5w6

kalimusic · Answer

re,

2 rootkits pour le prix d'un ! TDSS.tdl4 a eu son compte mais pas sûr pour ZAccess qui est beaucoup plus résistant. Nous allons utiliser cet outil de diagnostic :  

Télécharge OTL  (de OldTimer) sur ton Bureau. 

 Ferme toutes tes applications en cours 

&#x25CF;  Lance OTL.exe  
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF;  L'interface principale s'ouvre : 
&#x25CF;  Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal 
&#x25CF;  Coche la case également Tous les utilisateurs
&#x25CF;  Laisse tous les autres paramètres par défaut 
&#x25CF;  Dans la partie du bas "Personnalisation", copie/colle la liste en citation : 

msconfig 
safebootminimal 
safebootnetwork 
/md5start
volsnap.*
explorer.exe
winlogon.exe
userinit.exe
svchost.exe
/md5stop
%temp%\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.
%APPDATA%\*.exe /s 
%APPDATA%\*.
%SYSTEMDRIVE%\*.exe 
%systemroot%\*. /mp /s 
%systemroot%\assembly	mp\*.* /s 
hklm\system\CurrentControlSet\Control\Session Manager\SubSystems /s 
hklm\software\clients\startmenuinternet|command /rs
CREATERESTOREPOINT 
&#x25CF;  Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.   
&#x25CF;  2 rapports vont s'ouvrir au format bloc-note : 
OTL.txt (qui sera affiché) ainsi que Extras.txt (réduit dans la barre des tâches)  
&#x25CF;  Ne les poste pas sur le forum, ils seraient trop long  
&#x25CF;  Héberge les sur un des sites suivants :
https://www.cjoint.com/
http://pjjoint.malekal.com/
https://textup.fr/ 
&#x25CF;  Tu obtiendras 2 liens que tu me donneras dans ton prochain message. 

A +

tweaking54 · Answer

Re, voici les rapports:
OTL.txt: https://pjjoint.malekal.com/files.php?read=20120114_v10n7m6y7m15
Extras.txt: https://pjjoint.malekal.com/files.php?read=20120114_n12w9s7s13r11

kalimusic · Answer

re,

A quoi ça sert d'installer une version cr*ckée d'un antivirus payant ?
Il vaut mieux un gratuit fonctionnel qui protège.

 == == == == == == == == == == == == == == == == == == == == == ==

Sauvegarde tes documents les plus importants.

 == == == == == == == == == == == == == == == == == == == == == ==

Télécharge  ComboFix de sUBs sur ton bureau (et nulle part ailleurs ! ) 

!! Ferme toutes tes applications en cours et désactive les protections résidentes de ton PC (Antivirus, Antispywares, Firewall, etc...) !!   

Regarde attentivement ce tutoriel pour t'aider : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix 

Si besoin, imprime ce dont tu auras besoin, car ensuite toutes les fenêtres doivent être fermés.

&#x25CF; Lance ComboFix
&#x25CF; Accepte la licence d'utilisation et laisse toi guider par le programme.
&#x25CF; Accepte d'installer la console de récupération si tu es sous XP
&#x25CF; Autorise ComboFix a se connecter à internet pour les mises à jour si besoin.
&#x25CF; Il est possible que l'outil est besoin de redémarrer l'ordinateur.

 !! Surtout ne rien faire et ne rien toucher pendant le travail de l'outil !!  
(risque de plantage complet de l'ordinateur) 

&#x25CF; A la fin ComboFix indique l'emplacement du rapport et l'ouvre spontanément. 
&#x25CF; Héberge le rapport et donne moi le lien. 

!! Réactive les protections résidentes de ton PC !!   

Note : Le rapport se trouve normalement à la racine du disque: C:\ComboFix.txt 

A +

tweaking54 · Answer

Re, C'est bon j'ai fait ce que tu m'as dis voici le rapport:
https://pjjoint.malekal.com/files.php?read=20120114_w15f10c14b8h14

PS: je n'utilise pas une version cr*ckée d'antivirus ^^

kalimusic · Answer

Re, 

Une ligne du rapport me l'a fait croire, si ce n'est pas le cas, bien entendu ne tiens pas compte de ma remarque. 

1. Rends toi sur le site Virus Total pour analyser ce fichier :  
c:\windows\system32\XDva387.sys  
tuto : Analyser un fichier avec VirusTotal 

2. Télécharge AdwCleaner ( d'Xplode ) sur ton bureau.  
? Lance  AdwCleaner 
- Sous XP double-clic sur l'icône pour lancer l'outil.  
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.  
? clique sur Recherche   
? Patiente le temps du scan, le rapport doit s'ouvrir spontanément à la fin.  
? Clique sur Quitter  

Le rapport est sauvegardé à la racine du disque C:\AdwCleaner[R1].txt  

3. Poste les liens 

A + 
«La raison et la logique ne peuvent rien contre l'entêtement et la sottise.»

tweaking54 · Answer

Re, 


c:\windows\system32\XDva387.sys , quand je veux l'ouvrir pour le virus total une fenêtre s'affiche disant "fichier introuvable, verifiez que le nom de fichier correcte a été entré".

kalimusic · Answer

Ok, tu peux passer à la suite.

A +

tweaking54 · Answer

Voila le lien:

https://pjjoint.malekal.com/files.php?read=20120114_z5x5d7v6p9

kalimusic · Answer

re,

Tu as une carte graphique NVidia ?

1. Relance AdwCleaner 

&#x25CF; Clique sur Suppression 
&#x25CF; Patiente le temps du scan, accepte de redémarrer si l'outil le demande
&#x25CF; Le rapport doit s'ouvrir spontanément.
&#x25CF; Clique sur Quitter 

Le rapport est sauvegardé à la racine du disque C:\AdwCleaner[S1].txt 

2. Relance OTL 

&#x25CF;  Dans la section Rapport , coche Rapport minimal
&#x25CF;  Laisse tous les autres paramètres par défaut
&#x25CF;  Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.
&#x25CF;  Un nouveau rapport  OTL.txt va s'ouvrir au format bloc-note 

3. Héberge les rapports et donne moi les liens.

A +

tweaking54 · Answer

Re, 

Oui j'ai une carte graphique NVidia. Rapports: 

Adwcleaner [S2]: https://pjjoint.malekal.com/files.php?read=20120114_z118l8y7q11 

OTL.txt: https://pjjoint.malekal.com/files.php?read=20120114_x13j5x15i13n11

kalimusic · Answer

ok,

Donc je pense que les drivers de type XDva***.sys sont liés à ta carte.

1. Relance OTL

&#x25CF; Dans la partie "Personnalisation", copie/colle les instructions hébergées ici 
&#x25CF; Clique sur le bouton Correction.
&#x25CF; Patiente pendant le travail de l'outil, il doit ensuite redémarrer le PC.   
&#x25CF; Accepte en cliquant sur OK. 
&#x25CF; Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément.   

Tu peux le retrouver le fichier à la racine du disque : C:\_OTL\MovedFiles 


2. Télécharge MBAM et installe le selon l'emplacement par défaut.
(l'essai de la version pro est facultative)

&#x25CF; Effectue la mise à jour et lance Malwarebytes' Anti-Malware
&#x25CF; Clique dans l'onglet du haut "Recherche"
&#x25CF; Coche l'option "Exécuter un examen complet" puis sur le bouton "Rechercher" 
&#x25CF; Choisis de scanner tous tes disques durs, puis clique sur 'Lancer l'examen"

A la fin de l'analyse, si MBAM n'a rien trouvé :

&#x25CF; Clique sur OK, le rapport s'ouvre spontanément

Si des menaces ont été détectées :

&#x25CF; Clique sur OK puis "Afficher les résultats"
&#x25CF; Choisis l'option "Supprimer la sélection"
&#x25CF; Si MBAM demande le redémarrage de Windows : Clique sur "Oui"
&#x25CF; Une fois le PC redémarré, le rapport se trouve dans l'onglet "Rapports/Logs"
&#x25CF; Sinon le rapport s'ouvre automatiquement après la suppression. 

3. Héberge les rapports et donne moi les liens. 

A +

tweaking54 · Answer

Je dois aller me coucher, j'ai fait la correction OTL il ne me reste plus qu'a lancer l'examen de NBAM. Je posterais les liens demain.

kalimusic · Answer

Pas de soucis, le plus dur a été éradiqué.
Termine la procédure, la désinfection sera plus efficace.

A +

tweaking54 · Answer

Salut Kalimusic, voila les rapports:

OTL : https://pjjoint.malekal.com/files.php?read=20120115_h7g14t10c6m10

MBAM: https://pjjoint.malekal.com/files.php?read=20120115_w12k12u5i11j13

kalimusic · Answer

Bonjour,

Comment se comporte le pc maintenant ?

As tu encore des alertes ou des détections avec ESET ?

Télécharge SX Check&Update (de igor 51) sur le Bureau.
Au menu principal, clique sur Rapport et poste le.
Tuto : https://forum.security-x.fr/tutoriels-317/(tutoriel)-sx-checkupdate/

Poste le rapport, A +

tweaking54 · Answer

Mon pc va beaucoup mieux, nod32 ne détecte plus de menaces.

Je t'envois le rapport et j'update après: https://pjjoint.malekal.com/files.php?read=20120115_n10m9l13r9i5

kalimusic · Answer

ok, 

Une fois que tu as mis à jour les logiciels sensibles aux failles de sécurité.

1. Relance AdwCleaner 
&#x25CF; Clique sur Désinstallation  

2. Ouvre la commande Exécuter en pressant Windows + R 
&#x25CF; Dans la boite de dialogue, tape ComboFix /Uninstall 
&#x25CF; Valide par Ok puis suivre les invites à l'écran.
&#x25CF; Un message confirme que ComboFix a été désinstallé. 

3. Lance OTL
&#x25CF; Dans la partie "Personnalisation", copie/colle:

:commands
[clearallrestorepoints]
&#x25CF; Clique sur le bouton Correction. 

4. Relance OTL 
&#x25CF; Clique sur le bouton Purge outils
&#x25CF; Clique ensuite sur OK dans la boite de dialogue qui t'invite à redémarrer le système.
&#x25CF; Supprime les outils et les rapports restants éventuellement sur ton Bureau

5. Tu peux garder Malwarebytes Anti-Malware comme logiciel complémentaire à ton antivirus et t'en servir contrôler ton PC avec un scan rapide de temps en temps sans oublier de le mettre à jour avant 

6. Désinstalle les versions obsolètes de Java si encore présentes : 

Java(TM) 6 Update 26 
Java(TM) 6 Update 29
 == == == == == == == == == == == == == == == == == == == == == ==

les choses simples qui font la différence

&#x25CF; Maintenir Windows à jour

&#x25CF; Maintenir les logiciels à jour 


&#x25CF;  Ne pas surfer en droits administrateurs

&#x25CF; Ne pas installer n'importe quel logiciel sur son PC (surtout via des liens publicitaires), toujours se renseigner avant. Les télécharger dans la mesure du possible sur le site de l'éditeur. Éviter d'installer les diverses barres d'outils ou de recherches, etc....proposées lors de l'installation. 

&#x25CF; Bannir les sites à risques (pornographiques, etc...) et les comportements à risques (P2P, cracks, warez....)

&#x25CF; Ne pas cliquer aveuglement sur des liens contenus dans les e-mails, les messageries instantanées, les réseaux sociaux, etc ...même si l'expéditeur est connu et à plus forte raison s'il est inconnu ou suspect.

&#x25CF; Utiliser un navigateur alternatif et le sécuriser (par exemple Firefox avec des modules complémentaires comme AdBlock, Noscript, WOT, etc...) 

 == == == == == == == == == == == == == == == == == == == == == ==

 La sécurité de son PC, c'est quoi ? (par Malekal)    

 == == == == == == == == == == == == == == == == == == == == == ==
 
Bonne continuation

tweaking54 · Answer

Je te remercie tu as de super bonnes astuces !

Variante de win32/sirefef.DT

20 réponses

Discussions similaires