Pc infécté par le ver Win32/blaster.worm

Question

Bonjour a tous,
Depuis hier je suis infectée par le virus win32/blaster.worm
Ca a commencé par un message d'alerte de trend micro security soit internet security qui m'empeche d'ouvrir toutes mes applications ainsi que firefox
J'ai voulu restaurer le systeme est la ... je ne peux plus acceder au bureau sans le mode sans échec. Quand je me mets en mode sans echec avec connexion reseau le message revient, mais rien ne se passe quand je suis en mode sans echec normal

Je ne sais plus quoi faire, si quelqu'un a la solution ce serait vraiment super

Merci a tous
alexia

g3n-h@ckm@n · Answer

salut

telecharge et enregistre ceci sur ton bureau :

Pre_Scan

Avertissement: tous les processus non-vitaux de windows seront coupés --> pas de panique. 

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition du rapport sur le bureau.

si 'outil est bloqué par l'infection utilise cette version : Version .pif

ou encore cette version renommée : Winlogon.exe

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

 Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler 

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan après redemarrage

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

heberge le rapport sur http://pjjoint.malekal.com et donne le lien obtenu

alexia07_4 · Answer

merci beaucoup pour ta réponse
J'ai tout exécuté en 'mode sans échec avec prise en charge réseau' car je ne parviens pas a accéder à mon bureau en mode normal, on me dit que l'ordinateur n'a pu démarrer mais il ne trouve pas de solution au problème

voici le lien pour le rapport :
http://pjjoint.malekal.com/files.php?read=20120201_d15j8s13w5n6
Merci
alexia

g3n-h@ckm@n · Answer

quel est le message exact quand tu demarres en mode normal ?

alexia07_4 · Answer

tout est normal au début sauf un ecran bleu au milieu du démarrage qui m'indique que mon pc a eu un pb, que si c'est la première fois je dois le redémarrer et après si ce n'est pas la première fois je devrais voir avec les BIOS et il me parle de software mais je comprends pas tout .. Ensuite il me demande de choisir entre 
-Démarrer windows normalement
-un autre démarrage (recommandé)
Je choisis le recommandé puis j'ai une fenetre avec écrit "system recovery option" ou je dois choisir une langue pour le keyboard
Ensuite une fenetre s'affiche avec 'startup repair', puis searching for problems.
Par la suite une seconde fenetre s'ouvre avec 
'do you want to restore your computer using system restore ?'
Startup repair can try to restore your computer to an earlier point in time when it worked correctly
Si je mets cancel mon ordi redemarre, et si je mets restore il tourne pendant des heures et ne restaure finalement rien ...

g3n-h@ckm@n · Answer

&#9654 Télécharge Reload_TDSSKiller

l'outil va telecharger la derniere version

L'écran de TDSSKiller s'affiche:

Illustration

- Laisser cochées les 2 options par défaut -Visible via l'onglet "change parameter".

Illustration

&#9654 Et coche les 2 options supplémentaires:

Illustration

&#9654 Clique sur Start scan pour lancer l'analyse.

- Si une menace est détectée (Threats detected) vérifie que, suivant le cas:

En général, laisse les options proposées par défaut par l'outil

l'option "delete" (effacer) est bien cochée pour la famille TDL2
l'option "delete" (effacer) est bien cochée pour tout objet de la forme chiffre_aléatoire:chiffre_aléatoire.exe
l'option "delete" (effacer) est bien cochée pour tout service de la forme chiffre et/ou lettre aléatoire (hidden file)
l'option "cure" (réparer ) pour la famille TDL3.
l'option "cure" (réparer ) pour la famille tdl4(\HardDisk0\MBR).
l'option "cure" (réparer) pour la famille Rootkit.Win32.ZAccess

&#9654 puis clique sur Continue.

- laisse l'action par défaut "skip" (sauter) pour les "suspicious objects. low risks", avant de savoir ce que c'est, puis clique sur Continue.

Illustration

En fin d'analyse il peut être demandé de relancer la machine:

&#9654 clique sur Reboot Now.

&#9654 Si aucun reboot n'est demandé, clique sur le bouton Report et poste le contenu du fichier qui s'affiche.
&#9654 Si un reboot est demandé, aprés redémarrage tu trouveras le contenu du rapport de TDSSKiller ici:
SystemDrive\TDSSKiller.Version_Date_Heure_log.txt)

[SystemDrive représente la partition sur laquelle est installé le système, généralement C:]

alexia07_4 · Answer

Merci je m'y attèle. que penses tu du rapport de pre scan ?

alexia07_4 · Answer

au bout de 2.04mn il a 'processed' 264 objets mais je n'ai pas de menaces .. je ferme simplement et redémarre mon ordinateur ?

alexia07_4 · Answer

Voici le lien pour le rapport de tdsskiller :

http://pjjoint.malekal.com/files.php?read=20120201_f15h15h13r6h9
Merci

g3n-h@ckm@n · Answer

quel age a le pc ?

alexia07_4 · Answer

je l'ai acheté en juillet 2010 donc pas tres vieux...

g3n-h@ckm@n · Answer

&#9654 Télécharge Sur cette page : AdwCleaner (de Xplode) 

&#9654 clique sur Télécharger et enregistre le fichier sur ton Bureau

&#9654 Double-clique sur l'icône AdwCleaner0.exe pour lancer l'installation

==================================

&#9654&#9654&#9654  Sous Vista et Windows 7 /!\ :

il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

==================================

Sur le menu principal :
    
&#9654 clique sur Suppression et patiente le temps de l'analyse

&#9654 poste le contenu du rapport que tu trouveras dans ton disque dur c:\ADwcleaner[Sx].txt ou son contenu s'il s'ouvre.

alexia07_4 · Answer

Voila le rapport : 

http://pjjoint.malekal.com/files.php?read=20120201_k5w8z12d5s6

g3n-h@ckm@n · Answer

Télécharge ici :OTL

&#9654 enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.

&#9654 => Clique ici pour voir la Configuration

&#9654 Copie et colle le contenu de ce qui suit en gras dans la partie inférieure d'OTL "Personnalisation"

/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop 
netsvcs
safebootminimal
safebootnetwork 
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\system32\*.ini
%systemroot%\Tasks\*.*
%systemroot%\system32\Tasks\*.*
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\system32\config\*.exe /s
%systemroot%\system32\*.sys 
HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa /s
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
CREATERESTOREPOINT 

&#9654 Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\<Bureau ou Desktop>\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

heberge OTL.txt et extra.txt sur http://pjjoint.malekal.com et donne les liens

alexia07_4 · Answer

Voici le lien pour le rapport OTL :
http://pjjoint.malekal.com/files.php?read=OTL_20120201_m11r12r7m9e13

g3n-h@ckm@n · Answer

l'en manque un

alexia07_4 · Answer

J'ai un bloc note qui s'est ouvert mais y'a rien ecrit .. je recommence ?

g3n-h@ckm@n · Answer

non il doit etre sur ton bureau dans tes icones

Alexia07_4 · Answer

Je ne le trouve pas.. C est bien extra.txt ? Je l ai meme tapé dans la barre de recherche mais rien.. Je relance le processus et te renvoie les liens
Merci en tout cas de m aider cest vraiment gentil

g3n-h@ckm@n · Answer

ou alors dans c:\ ;)

alexia07_4 · Answer

ca a marché cette fois ;)
http://pjjoint.malekal.com/files.php?read=OTL_Extras_20120201_e7h15j6d12h5

http://pjjoint.malekal.com/files.php?read=OTL_20120201_f9e6o5p9i15

g3n-h@ckm@n · Answer

je comprends pas

&#9654 Télécharge ZHPDiag (de Nicolas Coolman) 

ou :ZHPDiag

&#9654 Enregistre le sur ton Bureau.

Une fois le téléchargement achevé, 

&#9654 Installe et lance ZHPDiag.exe 

&#9654 Clique sur le tournevis puis sur Tous pour cocher toutes les cases des options.

&#9654 Clique sur la loupe pour lancer l'analyse.

A la fin de l'analyse, 

&#9654 clique sur l'appareil photo et enregistre le rapport sur ton Bureau.

héberge le rapport sur http://pjjoitn.malekal.com puis donne le lien

alexia07_4 · Answer

http://pjjoint.malekal.com/files.php?read=ZHPDiag_20120201_v15b5l9v12h8
=(

g3n-h@ckm@n · Answer

la sandbox d'avast est activée dans "protections supplementaires" ?

Alexia07_4 · Answer

C est bizarre car qd j ouvre avast je ne parviens pas a trouver l icone 'protection supplementaire' alors que qd je vais dans le centre d aide elle y est mais je n arrive pas a voir ou l activer.. Elle devrait dans le menu avec 'zone de quarantaine '? Je lai pas.. Desole vraiment =(

g3n-h@ckm@n · Answer

dans le menu de gauche

Alexia07_4 · Answer

Jai tout fait, jai resumé, scan, protection permanente mais cest tout..

g3n-h@ckm@n · Answer

&#9654 Télécharge : Gmer (by Przemyslaw Gmerek) clique sur "Download EXE" et enregistre-le sur ton bureau

Desactive toutes tes protections le temps du scan de gMer

Pour XP => double clique sur gmer.exe
Pour Vista et 7 => clique droit "executer en tant que...."

&#9654 clique sur l'onglet rootkit,lances le scan,des lignes rouges vont apparaitre.

&#9654 Les lignes rouges indiquent la presence d'un rootkit.Postes moi le rapport gmer (cliques sur copy,puis vas dans demarrer ,puis ouvres le bloc note,vas dans edition et cliques sur coller,le rapport gmer va apparaitre,postes moi le)

alexia07_4 · Answer

Je n'ai pas eu de lignes rouges, a la fin j'ai eu un message qui disait 'GMER hasn't found any systelm modification'
Qu'est ce que tu penses que je dois faire ? tu penses qu'il y a un espoir de le sauver ?

g3n-h@ckm@n · Answer

/!\ ATTENTION SUIVRE A LA LETTRE CES INDICATIONS/!\

__________________________________________________________
>Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.<
>>>>>>>Ne pas utiliser en dehors de ce cas de figure : dangereux!<<<<<<<<
=====================================================

▶ Surtout , pense à l'enregistrement à renommer Combofix en "ton prenom.exe" avant qu'il soit enregistré sur ton disque dur

Telecharge ici : Combofix

Avant d'utiliser ComboFix :

Si tu utilises AVG, IL FAUT IMPERATIVEMENT LE DESINSTALLER avant d'utiliser Combofix car il peut causer des dégâts en interaction avec l'outil pouvant mener à la réinstallation totale du système.
La simple désactivation du résident n'est pas suffisante.
Télécharge le désinstalleur d'AVG sur ce lien : https://www.avg.com/fr-fr/avg-remover
Choisis la version adéquate (32 ou 64 bits)/!\

Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement :

▶ Télécharge Defogger (de jpshortstuff) sur ton Bureau

▶ Lance le

Une fenêtre apparait : clique sur "Disable"

▶ Fais redémarrer l'ordinateur si l'outil te le demande

Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable"

_________________________________________________________
>> referme les fenêtres de tous les programmes en cours.
>> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix,
>>la protection en temps réel de ton Antivirus et de tes Antispywares,
>>qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.
°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

sur combofix renommé

¤¤¤¤¤¤¤¤¤¤ LAISSE-LE INSTALLER LA CONSOLE DE RECUPERATION S'IL TE LE DEMANDE ¤¤¤¤¤¤¤¤¤¤

▶ !!!!!NE TOUCHE A RIEN PENDANT LE TRAVAIL DE COMBOFIX (SOURIS/CLAVIER.....)!!!!!

▶ n'oublie pas de reactiver la garde de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet.

▶▶ Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

Pc infécté par le ver Win32/blaster.worm

29 réponses

Votre réponse

Newsletters