Smart HDD toujours présent après ROGUE KILLER Résolu/Fermé

Question

Bonjour, 
J'ai attrapé le virus smart HDD. 
J'ai suivi la procédure suivante : 
j'ai lancé Roguekiller et retrouvé une partie seulement mes programmes et icônes
j'ai lancé et exécuté ComboFix qui m'a permis de retrouvé les raccourcis manquants
J'ai également lancé en suivant les procédures lues sur divers forums adwcleaner, pre-scan, OTL, MbRscan, lancé malwaresbytes anti-malware, spybot, scanner à de multiples reprises avec mon antivirus avira, etc.. et fixé les diverses erreurs et infections rencontrées.
Malgré tout celà, j'ai toujours le dossier smart HDD dans le menu démarrer, ainsi que le raccourcis de smart hdd sur mon bureau.
Finalement j'ai téléchargé et exécuté ZHPDiag, et lancé une analyse où on retrouve à divers endroits les traces du rogue, comme smart HDD_lnk, voici le rapport ZHPdiag.txt : 
https://pjjoint.malekal.com/files.php?id=ZHPDiag_20120409_v7x9g5k15g7
merci de votre aide 


Configuration: Windows Vista / Safari 534.55.3

Malekal_morte- · Answer

Salut, 

Supprime les raccourcis qui restent, c'est rien. 

~~ 

Passe un coup d'aswmbr : https://forum.malekal.com/viewtopic.php?t=31619&start= 
Télécharge le et mets le sur ton bureau. 
Accepte l'installation des définitions virales d'Avast! et fais un scan. 
Quand c'est terminé, fais save logs, ouvre le rapport et poste le ici. 
Poste le rapport ici. 


Like the angel you are, you laugh creating a lightness in my chest, 
Your eyes they penetrate me, 
(Your answer's always 'maybe') 
That's when I got up and left

Rogué_09042012 · Answer

Merci pour ta réponse Malekal_morte-

J'ai supprimé le dossier du menu démarer et les raccourcis, et suivi tes instructions. Voici le rapport

Run date: 2012-04-09 15:46:16
-----------------------------
15:46:16.407    OS Version: Windows 6.0.6002 Service Pack 2
15:46:16.407    Number of processors: 2 586 0x6B01
15:46:16.408    ComputerName: PC-DE-NADA  UserName: Nada
15:46:17.078    Initialize success
15:50:39.860    AVAST engine defs: 12040900
16:04:02.230    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\0000006a
16:04:02.233    Disk 0 Vendor: ST332062 3.AD Size: 305245MB BusType: 6
16:04:02.253    Disk 0 MBR read successfully
16:04:02.257    Disk 0 MBR scan
16:04:02.263    Disk 0 Windows VISTA default MBR code
16:04:02.267    Disk 0 Partition 1 00     DE Dell Utility Dell 8.0       54 MB offset 63
16:04:02.276    Disk 0 Partition 2 00     07    HPFS/NTFS NTFS        10240 MB offset 112640
16:04:02.294    Disk 0 Partition 3 80 (A) 07    HPFS/NTFS NTFS       294949 MB offset 21084160
16:04:02.312    Disk 0 scanning sectors +625139712
16:04:02.375    Disk 0 scanning C:\Windows\system32\drivers
16:04:15.262    Service scanning
16:04:41.196    Modules scanning
16:04:45.637    Disk 0 trace - called modules:
16:04:46.004    ntkrnlpa.exe CLASSPNP.SYS disk.sys acpi.sys hal.dll storport.sys nvstor32.sys 
16:04:46.012    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x858e4ac8]
16:04:46.020    3 CLASSPNP.SYS[881a38b3] -> nt!IofCallDriver -> [0x85414b68]
16:04:46.029    5 acpi.sys[806166bc] -> nt!IofCallDriver -> \Device\0000006a[0x8466ab88]
16:04:47.315    AVAST engine scan C:\Windows
16:04:50.914    AVAST engine scan C:\Windows\system32
16:08:53.263    AVAST engine scan C:\Windows\system32\drivers
16:09:09.766    AVAST engine scan C:\Users\Nada
16:13:27.038    Disk 0 MBR has been saved successfully to "C:\Users\Nada\Desktop\Nouveau dossier\MBR.dat"
16:13:27.039    The log file has been saved successfully to "C:\Users\Nada\Desktop\Nouveau dossier\aswMBR.txt"

Malekal_morte- · Answer

Ca doit être bon.

Spybot tu peux désinstaller, sert à rien.



Important - ton infection est venue par un exploit sur site web :   

Un exploit sur site WEB permet l'infection de ton ordinateur de manière automatiquement à la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à ton insu.  
Le fait de ne pas avoir des logiciels à jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système.  
Exemple avec : Exploit Java  

Il faut donc impérativement maintenir tes logiciels à jour afin de ne pas voir ces portes d'entrée sur ton système.
Tant que ces logiciels ne seront pas à jour, ton PC est vulnérable et les infections peuvent s'installer facilement.

IMPORTANT : mettre à jour tes programmes notamment Java/Adobe Reader et Flash : 
/faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite     
https://forum.malekal.com/viewtopic.php?t=15960&start=  

Passe le mot à tes amis !

Rogué_09042012 · Answer

OK, merci encore pour avoir suivi mon problème et pour les conseils de sécurité

J'avais effectivement détecté l'origine de l'infection comme provenant d'une mise à jour non effectuée d'un plugin java sur firefox et d'adobe reader x 

Je ne manquerai pas de passer le mot autour de moi

Merci et bonne soirée

g3n-h@ckm@n · Answer

salut s'il te reste le rapport de pre_scan dans le coin , je prends

heberge-le sur http://pjjoint.malekal.com et donne le lien merci

Rogué_09042012 · Answer

Salut g3n-h@ckm@n

Justement, je n'ai jamais réussi à finir un pre_Scan (ni avec le .pif ni en le rennomant winlogon), c'est la raison pour laquelle je pensais que le virus était toujours présent.
Au moment de scanner les "orphelins WLM", soit il bloquait en me mettant un message d'erreur du genre: "le programme a été arrêté", soit il bloquait sans message d'erreur et me laissait sur une page sans icône, et dans tous les cas j'étais obligé de fermer la session et de revenir ou d'arrêter l'ordi à la main pour pouvoir reprendre la main.

g3n-h@ckm@n · Answer

regarde dans c:\

Rogué_09042012 · Answer

Effectivement, il m'avait généré un rapport (un sur au moins 5 ou 6 tentatives):

http://pjjoint.malekal.com/files.php?id=20120411_q155u6f13r5

g3n-h@ckm@n · Answer

ok merci c'est le rootkit qui le bloquait pour les suppressions

Mis à jour le 02/04/2012 | 15.40 par g3n-h@ckm@n

quoi que le version utilisée n'était pas codée de la meme maniere mais bon

merci en tout cas , je lis les rapports pour surveiller une certaine clé de registre :)

Smart HDD toujours présent après ROGUE KILLER

9 réponses

Discussions similaires