Virus dans secteur de démarrage Résolu/Fermé

Question

Bonjour, 
Depuis 4 jours mon PC est infecté par un virus sur le secteur de démarrage 
Il a traversé AVAST à jour qui ne le détecte pas
Il infecte les drivers de la carte Video
J'avais un CD Ubuntu que j'ai lancé , tout fonctionnait normalement
J'ai fait une réinstallation complete avec formatage mais il est réapparut 
Puis j'ai refait une réinstallation sans charger les drivers Video.J'ai un ecran à definition réduite mais je peux utiliser mon micro.
On voit clairement que quelque chose se charge avant le lancement de XP

Que me conseiller vous

Merci d'avance pour tout conseil



Configuration: Windows XP / Firefox 7.0

titus22 · Answer

" Il infecte les drivers de la carte Video " de quel manière ?!
Un virus ne survit pas à un formatage ! A moins qu'il soit stocké ailleurs ..

g3n-h@ckm@n · Answer

salut il aurait deja fallu qu il soit à jour ca aurait moins facilité les choses pour les infections . :) 

un bon paquet d'infections survivent au formatage

=========== 

&#9654 Télécharge Reload_TDSSKiller 

l'outil va telecharger la derniere version 

L'écran de TDSSKiller s'affiche: 

Illustration 

- Laisser cochées les 2 options par défaut -Visible via l'onglet "change parameter". 

Illustration 

&#9654 Et coche les 2 options supplémentaires: 

Illustration 

&#9654 Clique sur Start scan pour lancer l'analyse. 

- Si une menace est détectée (Threats detected) vérifie que, suivant le cas: 

En général, laisse les options proposées par défaut par l'outil 

l'option "delete" (effacer) est bien cochée pour la famille TDL2 
l'option "delete" (effacer) est bien cochée pour tout objet de la forme chiffre_aléatoire:chiffre_aléatoire.exe 
l'option "delete" (effacer) est bien cochée pour tout service de la forme chiffre et/ou lettre aléatoire (hidden file) 
l'option "cure" (réparer ) pour la famille TDL3. 
l'option "cure" (réparer ) pour la famille tdl4(\HardDisk0\MBR). 
l'option "cure" (réparer) pour la famille Rootkit.Win32.ZAccess 

&#9654 puis clique sur Continue. 

- laisse l'action par défaut "skip" (sauter) pour les "suspicious objects. low risks", avant de savoir ce que c'est, puis clique sur Continue. 

Illustration 

En fin d'analyse il peut être demandé de relancer la machine: 

&#9654 clique sur Reboot Now. 

&#9654 Si aucun reboot n'est demandé, clique sur le bouton Report et poste le contenu du fichier qui s'affiche. 
&#9654 Si un reboot est demandé, aprés redémarrage tu trouveras le contenu du rapport de TDSSKiller ici: 
SystemDrive\TDSSKiller.Version_Date_Heure_log.txt) 

[SystemDrive représente la partition sur laquelle est installé le système, généralement C:] 

==================== 

telecharge et enregistre ceci sur ton bureau : 

Pre_Scan 

Avertissement: tous les processus non-vitaux de windows seront coupés --> pas de panique.  

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition du rapport sur le bureau. 

si 'outil est bloqué par l'infection utilise cette version : Version .pif 

ou encore cette version renommée : Winlogon.exe 

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy" 

 Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler  

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan après redemarrage 

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long) 

heberge le rapport sur http://pjjoint.malekal.com et donne le lien obtenu  
¤¤¤¤¤¤¤¤¤¤_g3n-h@ckm@n_Developpement_¤¤¤¤¤¤¤¤¤¤ 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤_Pre_Scan_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Gerard25 · Answer

Merci pour cette indication

Je vais réaliser l'ensemble du processus dès que je serai de retour chez moi
le 11/02

Je vous informerai de son déroulement

Il me reste un Pb comment a t'il put traverser AVAST alors que les mises à jour automatique sont actives en permanence

A+

g3n-h@ckm@n · Answer

les antivirus n'arrêtent pas , pour la plupart ce genre d'infection

Gerard25 · Answer

Quoi mettre en place pour arreter ce genre d'infection

J'avais Zone alarme en fonction ainsi que spybot cherche and destroy

Mon PC infecté a 6ans d'age 

Suite à ce Pb j'en ai acheté un nouveau que mettre en place sur celui ci pour que cela n'arrive pas 

D'autre part j'ai fait une sauvegarde de mon user sur disque dur externe 10jours avant mon Pb Quelle chance a t il d'etre infecté 

Merci 

Gerard25

g3n-h@ckm@n · Answer

faire attention à ou on va sur le net et avoir java et adobe reader à jour ainsi que les navigateurs et windows

si ces conditions ne sont pas respectées , toute défense est inutile

titus22 · Answer

@g3n-h@ckm@n
Pouvez vous m'expliquer comment un virus peut survivre à un formatage ?

g3n-h@ckm@n · Answer

en se cachant dans le secteur d'amorçage du disque dur :)

GR3 · Answer

Existe t'il des anti virus qui sont plus performant que AVAST et qui scannent les secteurs de démarrage?

A+

g3n-h@ckm@n · Answer

oui mais ce ne sont pas des antivirus ^^

=========

Thumbs.db sont des fichiers utilisé par windows ce ne sont pas des virus 

le rapport il est où ?

gerard25 · Answer

Je suis en vacance chez des amis et je n'ai pas mon ordi avec moi
Je suis le forum avec l'ordi de mes amis 
Dès que je serai de retour je lancerai le processus que tu as décrit 
et je joindrai le rapport soirt après le 11Fevrier

A+

Gerard

g3n-h@ckm@n · Answer

salut ok :)

g3n-h@ckm@n · Answer

salut il manque le rapport tdsskiller 

========== 

desinstalle ASk.com 
dezsinstalle tout Java 
desinstalle adobe reader 6 

========== 

relance pre_scan , choisis l option script , une page vierge va s'ouvrir. 

selectionne tout le texte en gras ci-dessous, puis (clic droit/copier ou ctrl+c) : 
___________________________________________________ 
Kill:: 

Registry:: 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]  
"IMJPMIG8.1"=- 
"PHIME2002ASync"=- 
"PHIME2002A"=- 
"Cpqset"=- 
"iTunesHelper"=- 
"QuickTime Task"=- 
"HP Software Update"=- 
[HKEY_USERS\S-1-5-21-1644491937-1123561945-682003330-1003\Software\Microsoft\Windows\CurrentVersion\Run]  
"MSMSGS"=- 
[-HKEY_CLASSES_ROOT\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}] 
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}] 
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\settings\{D4027C7F-154A-4066-A1AD-4243D8127440}] 
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\stats\{D4027C7F-154A-4066-A1AD-4243D8127440}] 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks] 
"{D4027C7F-154A-4066-A1AD-4243D8127440}"=- 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\URLSearchHooks] 
"{D4027C7F-154A-4066-A1AD-4243D8127440}"=- 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar] 
"{D4027C7F-154A-4066-A1AD-4243D8127440}"=- 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser] 
"{0E5CBF21-D15F-11D0-8301-00AA005B4383}"=- 
"{D4027C7F-154A-4066-A1AD-4243D8127440}"=- 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] 
"{D4027C7F-154A-4066-A1AD-4243D8127440}"=- 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] 
"{D4027C7F-154A-4066-A1AD-4243D8127440}"=- 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved] 
"{D4027C7F-154A-4066-A1AD-4243D8127440}"=- 
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{86D4B82A-ABED-442A-BE86-96357B70F4FE}]      
[-HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}] 
[-HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}] 
[-HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0014-0002-0003-ABCDEFFEDCBA}] 
[-HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}]  
[-HKCU\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}] 
[-HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}] 
[-HKCU\Software\Ask.com]      
[-HKCU\Software\AskToolbar]      
[-HKLM\Software\AskToolbar]      
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]  
"1900:UDP"=- 
"2869:TCP"=- 

file:: 
C:\WINDOWS\SET3.tmp 
C:\WINDOWS\SET4.tmp      
C:\WINDOWS\SET8.tmp      

folder:: 
C:\Program Files\Ask.com 
C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3as2aegj.default\extensions	oolbar@ask.com      
C:\Documents and Settings\Propriétaire\Application Data\pdfforge      
C:\Documents and Settings\Propriétaire\Local Settings\Application Data\AskToolbar  

Mbr::     

clean::       

Reboot::         
___________________________________________________ 

colle-le ensuite (clic droit/coller ou ctrl+V) dans la page vierge. 

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte 

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille  

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail  

si ton bureau ne reapparait pas => ctrl+alt+supp , gestionnaire des taches => onglet fichier => nouvelle tache puis tape explorer 
¤¤¤¤¤¤¤¤¤¤_g3n-h@ckm@n_Developpement_¤¤¤¤¤¤¤¤¤¤ 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤_Pre_Scan_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

gerard25 · Answer

lien du fichier manquant :rapport tdsskiller 
http://pjjoint.malekal.com/files.php?id=20120215_d13v13l10u8k12

gerard25

g3n-h@ckm@n · Answer

la suite

gerard25 · Answer

Voici la suite
http://pjjoint.malekal.com/files.php?id=20120215_z10t10z811q12

gerard25 · Answer

Une question : avec quel programme dois je scanner mes disques durs externes
pour verifier qu'ils ne sont pas infectés ?

Merci d'avance

g3n-h@ckm@n · Answer

une question pourquoi as-tu tronqué le rapport de pre_scan ?

gerard25 · Answer

Je n'ai rien tronqué ou alors involontairement 

Dois je refaire le script ?

g3n-h@ckm@n · Answer

tu as desinstallé le service pack 3 entre temps ?

gerard25 · Answer

non mais un amis bien intentionné à eu la mauvaise idée de venir m'installer un anti virus différent  sans désinstaller AVAST
 Résultat  PC bloqué et  relancer avec formatage  
Je n'avais pas remarqué que parmis les 71  updates chargés il manquait le SP3  

Il est en train de se charger je relancerait le scan ensuite  

Remarque quand je lance le scan le PC me dit qu'il ne connait pas Kill 
Mais le lance quand j'appuie sur OK

g3n-h@ckm@n · Answer

hello

j'ai rien compris

le PC me dit qu'il ne connait pas Kill

gerard25 · Answer

Bonjour 
Après installation du pack SP3 et realisation du script

http://pjjoint.malekal.com/files.php?id=20120219_n5i13z12w15n10

Gerard25

g3n-h@ckm@n · Answer

Télécharge ici :OTL

&#9654 enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.

&#9654 => Clique ici pour voir la Configuration

&#9654 Copie et colle le contenu de ce qui suit en gras dans la partie inférieure d'OTL "Personnalisation"

/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop 
netsvcs
safebootminimal
safebootnetwork 
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\system32\*.ini
%systemroot%\Tasks\*.*
%systemroot%\system32\Tasks\*.*
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\system32\config\*.exe /s
%systemroot%\system32\*.sys 
HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa /s
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
CREATERESTOREPOINT 

&#9654 Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\<Bureau ou Desktop>\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

heberge OTL.txt et extra.txt sur http://pjjoint.malekal.com et donne les liens

gerard25 · Answer

Bonjour 
 J'ai un furieux problème depuis que j'ai télécharge OTL 
Dès que j'ai cliqué dessus j'ai eu droit à un écran noir 
Puis l'ecran c'est mis à clignoter sans que je puisse lire quoi que ce soit 
J'ai relancé en mode sans echec mais je n'rrive plus à me connecter à internet  
C'est le nouveau PC qui me permet de te transmettre ce message  
En le relançant en mode normal j'ai de nouveau un ecran illisible comme avant

Gerard

g3n-h@ckm@n · Answer

et ?

gerard25 · Answer

Merci à l'aide que m'a apporté g3n-h@ckm@n

Gerard25

Virus dans secteur de démarrage

27 réponses

Discussions similaires