Abnow, un autre cas...

Résolu

tnerolf -
tnerolf - 4 mars 2012 à 16:48

Bonjour,
depuis hier, il ne m'est plus possible d'accéder à la plupart des sites web : lorsque je clique sur un lien ou que je tape une URL dans la barre d'adresse, je suis redirigé vers un site dont l'URL commence par abnow.com/.
J'ai un antique ordinateur portable Asus eee qui me permet d'avoir accès à ce forum, car depuis mon PC infecté, c'est impossible.
J'ai lu des posts au sujet de ce virus abnow, mais à chaque fois, on demande à la personne infectée de copier/coller des rapports et d'agir en conséquence, je n'ai pas trouvé de solution universelle.
Voilà pourquoi je vous demande votre aide !
Merci d'avance,
Florent

Afficher la suite

A voir également:

Minecraft launcher n’est actuellement pas disponible dans votre compte. assurez-vous que vous êtes connecté au microsoft store et réessayez. voici le code d’erreur, au cas où vous en auriez besoin : 0x803f8001
Microsoft office - Guide
Microsoft store download - Guide
Microsoft money - Télécharger - Comptabilité & Facturation
Code ascii - Guide
Cette technique secrète permet d'avoir Windows et Microsoft Office gratuitement et à vie - Accueil - Bureautique

17 réponses

Réponse 1 / 17

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Salut,

Télécharge et installe Malwarebyte : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Mets le à jour, fais un scan rapide, supprime tout et poste le rapport ici.
!!! Malwarebyte doit être à jour avant de faire le scan !!!
Supprime bien ce qui est détecté : bouton supprimer sélection.

puis :

Passe un coup de TDSSKiller : https://forum.malekal.com/viewtopic.php?t=28637&start=
Lire ce qui est écrit au niveau des suppressions/réparation (delete et cure), ne pas supprimer n'importe quoi.
Poste le rapport ici.

~~

Passe un coup d'aswmbr : https://forum.malekal.com/viewtopic.php?t=31619&start=
Télécharge le et mets le sur ton bureau.
Accepte l'installation des définitions virales d'Avast! et fais un scan.
Quand c'est terminé, fais save logs, ouvre le rapport et poste le ici.
Poste le rapport ici.

Réponse 2 / 17

tnerolf

Merci de ta réponse,
j'ai installé Malwarebytes, mais au moment de faire la mise à jour, il écrit "connexion au serveur", cherche un moment puis il plante : "une erreur s'est produite etc. PROGRAM_ERROR_UPDATING (11001, 0, Host not found)".
Que dois-je faire ?

Réponse 3 / 17

tnerolf

Là je viens de lancer le scan (sans les mises à jour), en plein milieu de scan ça m'a affiché un écran bleu disant en gros qu'il y avait un problème et que windows avait été arrêt pour éviter tout dommage" et ça m'a redémarré l'ordinateur.

Réponse 4 / 17

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

OK.
Tu peux tenter le reste mais à priori, ça devrait servir à rien.

C'est quoi la version de Windows ? 32 ou 64 bits ?

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question

Réponse 5 / 17

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Passe un coup de ça : http://www.malwarecity.com/community/index.php?app=downloads&showfile=34

Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left

Réponse 6 / 17

tnerolf

Finalement, après le plantage de l'ordi, j'ai réussi à fire un scan avec Malwarebytes non mis à jour. Ca a trouvé près de 80 fichiers infectés que j'ai supprimés. Après un redémarrage, j'ai pu mettre à jour le logiciel, et j'ai refait un scan puis supprimé les 5 fichiers infectés trouvés. Ci-dessous, les deux rapports. Que dois-je ensuite faire ?
PS : Avast me dit sans arrêt que des menaces son détectées.

1er RAPPORT :

Malwarebytes Anti-Malware 1.60.1.1000
www.malwarebytes.org

Version de la base de données: v2012.01.13.04

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Florent :: ORION [administrateur]

04/03/2012 13:41:32
mbam-log-2012-03-04 (13-41-32).txt

Type d'examen: Examen rapide
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 190476
Temps écoulé: 20 minute(s), 48 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 1
C:\WINDOWS\system32\VIAPFD.dll (Rootkit.0Access) -> Suppression au redémarrage.

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 1
HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon|Shell (Backdoor.Agent.Gen) -> Données: C:\Documents and Settings\Florent\Local Settings\Application Data\b3a16899\X -> Mis en quarantaine et supprimé avec succès.

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 69
C:\WINDOWS\system32\VIAPFD.dll (Rootkit.0Access) -> Suppression au redémarrage.
C:\WINDOWS\system32\GoBack2K.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\apache2.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\ASMMAP.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\atapi.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\ati.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\CX23880.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\defwatch.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\dnscache.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\enxpsvr.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\EPSON_EB_RPCV4_01.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\NETw3x32.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\iastor.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\irsir.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\ISAMSvc.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\psdvdisk.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\rwbackupsrv.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\s125obex.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\SaiNtHid.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\srv.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\sr_service.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\ssdiagn.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\ssm_bus.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\TCtrlIO.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\tfsnpool.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\BcmSqlStartupSvc.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\eventsystem.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\livesrv.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\nbf.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\ndasbus.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\ndisuio.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\nvmd.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\NvNdis.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\nwcworkstation.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\oracleorahome92pagingserver.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\oracleorahometnslistener.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\p2k.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\PNDIS5.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\qkbfiltr.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\raidmsvr.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\se45mdm.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\sisagp.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\smartwiservice.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\TPwSav.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\tvichw32.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\ulcdrhlp.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\mohfilt.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\btnetfilter.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\smstsmgr.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\spupdsvc.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\admservice.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\amdppm.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\raspti.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\RivaTuner32.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\roxwatch9.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\ATNT40K.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\avcgbfl.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\wusb54gv2svc.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\xcomm.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\xpadminserver.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\WinVd32.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\w300mdfl.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\w810obex.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\ZSMC211.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\{85ccb53b-23d8-4e73-b1b7-9ddb71827d9b}.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\PCDRSRVC.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\pdlndqll.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\pdlnshay.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\WINDOWS\system32\centennialiptransferagent.dll (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.

(fin)

2e RAPPORT :

Malwarebytes Anti-Malware 1.60.1.1000
www.malwarebytes.org

Version de la base de données: v2012.03.04.02

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Florent :: ORION [administrateur]

04/03/2012 14:12:22
mbam-log-2012-03-04 (14-12-22).txt

Type d'examen: Examen rapide
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 196885
Temps écoulé: 11 minute(s), 7 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 5
C:\Documents and Settings\Administrateur\Local Settings\Temp\{E9C1E1AC-C9B2-4c85-94DE-9C1518918D02}.tlb (Rootkit.Zeroaccess) -> Mis en quarantaine et supprimé avec succès.
C:\Documents and Settings\Florent\Local Settings\Temp\{E9C1E1AC-C9B2-4c85-94DE-9C1518918D02}.tlb (Rootkit.Zeroaccess) -> Suppression au redémarrage.
C:\Documents and Settings\LocalService\Local Settings\Temp\{E9C1E1AC-C9B2-4c85-94DE-9C1518918D02}.tlb (Rootkit.Zeroaccess) -> Suppression au redémarrage.
C:\Documents and Settings\NetworkService\Local Settings\Temp\{E9C1E1AC-C9B2-4c85-94DE-9C1518918D02}.tlb (Rootkit.Zeroaccess) -> Suppression au redémarrage.
C:\WINDOWS\Temp\{E9C1E1AC-C9B2-4c85-94DE-9C1518918D02}.tlb (Rootkit.Zeroaccess) -> Suppression au redémarrage.

(fin)

Réponse 7 / 17

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

OK passe le tool de BitDefender : https://forums.commentcamarche.net/forum/affich-24622726-abnow-un-autre-cas#5

Réponse 8 / 17

tnerolf

Je viens de passer le scan Bit Defender, il a supprimé un fichier, m'a redémarre l'ordinateur, et depuis, ma connexion Internet ne marche plus (là j'écris depuis un PC portable connecté au wifi de ma box).

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

il a viré quel fichier ?

Menu Démarrer / executer et tape : sfc /scannow et OK.
Ca donne quoi ?

Dans windows => system32 => divers
AF.SYS
TCPIP.SYS
IPNAT.SYS
IPSEC.SYS
sont présents ?

tnerolf

lorsque je tape scannow dans executer, il me demande d'insérer le CD de Windowss, mais le lecteur DVD semble ne plus marcher (j'ai essayé avec d'autres CD, rien n'est lu, pourtant hier il marchait encore). A noter que juste avant de passer l'outil Bit Defender, je n'étais plus redirigé vers abnow.com.
AF.SYS n'est pas là, TCPIP.SYS est là, IPNAT.SYS aussi, IPSES.SYS aussi.
,

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Faut remettre AFD.sys dans le dossier driver ?
T'as pas un XP SP3 ?
sinon j'ai un AFD.sys SP2 : http://www3.malekal.com/afd_SP2.sys

quand tu as remis le afd.sys dans drivers
redémarre l'ordinateur et vois ce que ça donne pour le réseau.

tnerolf

j'ai windows sp3 mais le lecteur DVD ne marche plus.
je le mets tel quel dans le dossier, avec ce nom afd_sp2.sys, ou alors je le renomme en afd.sys ?

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

à renommer!

Réponse 9 / 17

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Désactive les logiciels de protection (Antivirus, Antispywares)
En Général, cela se fait par un clic droit sur l'icône de ton antivirus en bas à droite et désactiver protection/agent ou autres.

ensuite :

Télécharge Combofix sUBs : http://download.bleepingcomputer.com/sUBs/ComboFix.exe et sauvegarde le sur ton bureau et pas ailleurs!

Double-clic sur combofix, accepte la licence d'utilisation et laisse toi guider.

Eventuellement, installe la console de récupération comme cela est conseillé

Attends que combofix ait terminé, un rapport sera créé. Poste le rapport.
Si le rapport ne passe pas, envoie le sur ce site : http://pjjoint.malekal.com/
et donne le lien ici :)

Tu as le tutorial sur ce lien pour t'aider : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

PS : si Combofix ne se lance pas, renomme le fichier Combofix et retente.

Si pas mieux, tente en mode sans échec sans prise en charge du réseau : Redémarre en mode sans échec, pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec et appuye sur la touche entrée du clavier.

Si Combofix émet toujours une alerte sur l'antivirus : Si tu es en mode sans échec continue, si tu es en mode normal et que l'antivirus est bien désactivé. Continue.
Hébergement du rapport : Utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport, donne le lien pjjoint qui pointent vers ce rapport dans un nouveau message.

Réponse 10 / 17

tnerolf

Je n'ai pas pu installer la console car il fallait une connexion internet sur la machine exécutant le programme, ce que je n'ai pas.

Verdict : "Votre verdict est infecté par Rootkit.ZeroAccess ! il s'est inséré dans la pile tcp/ip. C'est une infection particulièrement compliquée".

Le logiciel vient de me faire redémarreer le PC.

Réponse 11 / 17

tnerolf

oups, ce n'est pas mon verdict qui est infecté mais bien mon ordinateur:)

Réponse 12 / 17

tnerolf

Hourra, Internet remarche !
Voici le rapport de Combo fix : http://pjjoint.malekal.com/files.php?id=20120304_d9g13m12p14z13

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

arf ok.. \o
c:\windows\system32\drivers\netbt.sys était absent

Réponse 13 / 17

tnerolf

C'est bon du coup, l'ordi est tout clean ?

Réponse 14 / 17

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

Important - ton infection est venue par un exploit sur site web :

Un exploit sur site WEB permet l'infection de ton ordinateur de manière automatiquement à la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à ton insu.
Le fait de ne pas avoir des logiciels à jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système.
Exemple avec : Exploit Java

Il faut donc impérativement maintenir tes logiciels à jour afin de ne pas voir ces portes d'entrée sur ton système.
Tant que ces logiciels ne seront pas à jour, ton PC est vulnérable et les infections peuvent s'installer facilement.

IMPORTANT : mettre à jour tes programmes notamment Java/Adobe Reader et Flash :
/faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite
https://forum.malekal.com/viewtopic.php?t=15960&start=

Passe le mot à tes amis !

Réponse 15 / 17

tnerolf

ah, le lecteur DVD ne marche toujours pas par contre

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

il doit manquer encore des drivers style cdrom.sys :/

Réponse 16 / 17

tnerolf

Merci pour tes explications, je vais mettre à jours tous ces logiciels.
Je viens de vérifier, le fichier netbt.sys est bien présent maintenant.
Et pour le lecteur DVD, une idée d'où ça vient ?

Malekal_morte- Messages postés 180304 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention 24 685

cdrom.sys est présent ?

tnerolf

oui

tnerolf

Dans le gestionnaire de périphériques, il est écrit "Windows a chargé le pilote de périphérique de ce matériel mais ne trouve pas le périphérique matériel."

Réponse 17 / 17

tnerolf

J'ai essayé de réinstaller le pilote du graveur DVD, pas moyen. Le problème n'est plus du tout le même qu'au départ, mais as tu une idée de comment le résoudre ?

Votre réponse