trojan win32 /Sirefef.AC et AH

Question

Bonjour, 

mon ordinateur a été infecté hier par un trojan win32/Sirefef. AC et AH. J'utilise microsoft security essentials, qui n'arrête pas de m'envoyer des alertes mais qui n'arrive pas à le supprimer complètement. Les fichiers malveillants se trouvent tous dans file:C/windows/system32/   les noms des fichiers changent à chaque fois, c'est surtout des .dll.

J'ai fait un scan avec Pre-scan, voici le rapport que j'ai obtenu: 
http://pjjoint.malekal.com/files.php?id=20120416_p14u13n12b12q6 

l'antivirus continu toujours de me faire des alertes en boucle.
Quelqu'un qui s'y connaît aurait-il l'amabilité de m'aider?

Depuis l'infection, je rencontre des problèmes avec google chrome qui bloque certains sites. Le virus m'a aussi installé une page d'accueil malveillante, mais ça je crois que j'ai réussi à la supprimer.

Merci d'avance 
Configuration: Windows 7 / Internet Explorer 8.0

g3n-h@ckm@n · Accepted Answer

HAHAHAHAHHAA

Zeroatme · Answer

Scan avec spybot , plusieurs fois , ou mode sans echec et supprime le fichier

Utilisateur anonyme · Answer

Bonjour.

Spybot contre Sirefef ?, je demande à voir :).

g3n-h@ckm@n · Answer

@Marianne :

Relance Pre_scan puis choisis l'option "Script"

une page vierge va s'ouvrir

selectionne tout le texte en gras ci-dessous, puis (clic droit/copier ou ctrl+c) :
___________________________________________________
Kill::

command::
copy /y "C:\Windows\winsxs\x86_microsoft-windows-winsock-core_31bf3856ad364e35_6.1.7600.16802_none_d81220b5bf827af7\afd.sys" "C:\afd.sys"
copy /y "C:\Windows\winsxs\x86_microsoft-windows-winsock-core_31bf3856ad364e35_6.1.7600.16802_none_d81220b5bf827af7\afd.sys" "C:\afd2.sys"

Replace::
"C:\afd.sys" "C:\Windows\System32\drivers\afd.sys"
"C:\afd2.sys" "C:\Windows\winsxs\x86_microsoft-windows-winsock-core_31bf3856ad364e35_6.1.7601.17603_none_d9f97e05bca8003a\afd.sys"

Reboot::        
___________________________________________________

colle-le ensuite (clic droit/coller ou ctrl+V) dans la page vierge.

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille 

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail 

si ton bureau ne reapparait pas => ctrl+alt+supp , gestionnaire des taches => onglet fichier => nouvelle tache puis tape explorer

Sylvain Mecano · Answer

salut, moi c est Sylvain

j ai le m[eme maudit probleme que Marianne

quand tu parles du Pre_scan, je ne comprends pas 

merci

Utilisateur anonyme · Answer

Bonjour Sylvain, 

Si ce n'est déjà fait, clique sur "Créer un nouveau sujet" et explique tes problèmes, tu sera pris en charge.

La procédure n'est pas la même pour tout le monde, 

Ne fait pas le script de g3n-h@ckm@n, c'est juste pour le pc de Marianne  :).

Marianne · Answer

Merci g3n-h@ckm@n pour ta réponse, voilà le script: 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script | 2.413 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Branchette : Windows 7 Professional (32 bits)

Switchs : http://gen-hackman.forum-pro.fr/t89-les-switchs

Script : 20:36:35

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Fichier Batch executé

¤


¤


explorer.exe -> Processus redémarré

Fin : 20:36:36

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

g3n-h@ckm@n · Answer

ok bonsoir Marianne , l'antivirus s'énerve toujours ?

on a pas fini je te prepare la suite

Marianne · Answer

Par contre j'ai toujours des alertes de microsoft essentials comme quoi mon ordinateur est en danger :(

Marianne · Answer

merci, j'ai fait ce que tu m'as dit g3n-h@ckm@n: voilà le script!

http://pjjoint.malekal.com/files.php?id=20120419_c6f10i13s10v15

Marianne · Answer

Bon, mon antivirus a l'air de s'être calmé depuis tout à l'heure, je n'ai plus d'alerte. Pourvu que ça dure!!

g3n-h@ckm@n · Answer

relancepre_scan , choisis tools puis TDSSKiller

l'outil va automatiquement télécharger la derniere version puis 

TDSSKiller va s'ouvrir , clique sur "Start Scan"

Si TDSS.tdl2 est détecté l''option delete sera cochée par défaut.
Si TDSS.tdl3 est détecté assure toi que Cure est bien cochée.
Si TDSS.tdl4(\HardDisk0\MBR) est détecté assure toi que Cure est bien cochée.
Si Suspicious file est indiqué, laisse l''option cochée sur Skip 
Si Rootkit.Win32.ZAccess.* est détecté règle sur "cure" en haut , et "delete" en bas

une fois qu'il a terminé , redemarre s'il te le demande pour finir de nettoyer

sinon , ferme tdssKiller et le rapport s'affichera sur le bureau

&#9654 Copie/Colle son contenu dans ta prochaine réponse.

Marianne · Answer

http://pjjoint.malekal.com/files.php?id=20120419_r12y14d5l15k15

g3n-h@ckm@n · Answer

formidable


fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.


&#9654 Télécharge ici :

Malwarebytes  

&#9654 Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

relance malwarebytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

&#9654 Lance Malwarebyte's .

Fais un examen dit "Complet" .

&#9654 Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
&#9654 à la fin tu cliques sur "résultat" .
&#9654 Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

&#9654 Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !


&#9654 Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

Marianne · Answer

ça y est! voilà ce que ça donne:

http://pjjoint.malekal.com/files.php?id=20120420_t8y12g13o7f10

g3n-h@ckm@n · Answer

supprime ce dossier :

C:\Windows\Temp	rsuny

Marianne · Answer

oui, c'est fait :)

g3n-h@ckm@n · Answer

encore des soucis ou on finalise ?  

Edit::

hop !!! 

2mn j'ai oublié de te faire virer les ramasse- merd$$ de tes navigateurs : 

Télécharge et enregistre ADWcleaner sur ton bureau : 

ADWCleaner (Merci à Xplode) 

Lance le, 

clique sur suppression et poste son rapport. 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤_Pre_Scan_Concept_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Marianne · Answer

non, ça a l'air d'aller! c'est nikel! un ENORME MERCI à toi!! merci d'avoir pris le temps de m'aider, tes explications étaient très claires, ça fait vraiment plaisir :D

g3n-h@ckm@n · Answer

hep' j'ai édité regarde :)

Marianne · Answer

;)

g3n-h@ckm@n · Answer

allez allez allez le rapport ad<wcleaner ^^

Marianne · Answer

ah oui oulà j'étais à l'ouest hier soir j'ai pas capté l'histoire du rapport adw cleaner! tiens, le voilà tout frais de ce matin!

http://pjjoint.malekal.com/files.php?id=20120420_l13e97v13l7

g3n-h@ckm@n · Answer

hello

et j'avais demandé suppression ^^

Marianne · Answer

ah mince, décidément, désolée... je suis au taf là, je ferai ça ce soir en rentrant.

g3n-h@ckm@n · Answer

ok ^^

Marianne · Answer

voilà le rapport de suppression:

http://pjjoint.malekal.com/files.php?id=20120420_l11j7f713t9

g3n-h@ckm@n · Answer

re 

ce dossier a-t-il bien été supprimé ? 

C:\Program Files\Boxore
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤_Pre_Scan_Concept_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Marianne · Answer

Il n'y est plus dans le disque C mais il apparaît toujours dans les programmes du panneau de configuration. Je viens de le désinstaller et il a disparu.

g3n-h@ckm@n · Answer

on peut faire le ménage :

https://gen-hackman.kanak.fr/

Marianne · Answer

Voilà les 2 premiers rapports pour les scans des plugin: WhyIGotInfected v1.5.2(by Tigzy) ******************************** Run : 20/04/2012 23:34:04 [Normal Mode] Machine : BRANCHETTE-PC (2 CPUs) [Branchette : ADMIN] OS: Microsoft Windows 7 Professionnel Service Pack 1 (x86) ~~ Plugins check: ~~ UPTODATE [Microsoft Windows 7 Professionnel ] Current : Service Pack 1 -- Latest : Service Pack 1 UPTODATE [Internet Explorer] Current : 9.0.8112.16421 -- Latest : 9.0.8112.16421 UPTODATE [Adobe Reader] Current : 10 -- Latest : 10 UPTODATE [Adobe Flash] Current : 11.2.202.233 -- Latest : 11.2.202.233 UPTODATE [Adobe Flash ActiveX] Current : 11.2.202.233 -- Latest : 11.2.202.233 Finished WIGIReport[0].txt WhyIGotInfected v1.5.2(by Tigzy) ******************************** Run : 20/04/2012 23:34:04 [Normal Mode] Machine : BRANCHETTE-PC (2 CPUs) [Branchette : ADMIN] OS: Microsoft Windows 7 Professionnel Service Pack 1 (x86) ~~ Plugins check: ~~ UPTODATE [Microsoft Windows 7 Professionnel ] Current : Service Pack 1 -- Latest : Service Pack 1 UPTODATE [Internet Explorer] Current : 9.0.8112.16421 -- Latest : 9.0.8112.16421 UPTODATE [Adobe Reader] Current : 10 -- Latest : 10 UPTODATE [Adobe Flash] Current : 11.2.202.233 -- Latest : 11.2.202.233 UPTODATE [Adobe Flash ActiveX] Current : 11.2.202.233 -- Latest : 11.2.202.233 Finished WIGIReport[0].txt

Marianne · Answer

voilà la suppression delfix:



# DelFix v8.8 - Rapport créé le 20/04/2012 à 23:40:07
# Mis à jour le 12/02/12 par Xplode
# Système d'exploitation : Windows 7 Professional Service Pack 1 (32 bits)
# Nom d'utilisateur : Branchette - BRANCHETTE-PC (Administrateur)
# Exécuté depuis : C:\Users\Branchette\Downloads\delfix.exe
# Option [Suppression]


~~~~~~ Dossiers(s) ~~~~~~


~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\AdwCleaner[R1].txt
Supprimé : C:\AdwCleaner[S1].txt
Supprimé : C:\Users\Branchette\Desktop\Pre_Scan.exe
Supprimé : C:\Users\Branchette\Desktop\Pre_Scan_16_04_2012_14_08_40.txt
Supprimé : C:\Users\Branchette\Desktop\Pre_script.txt
Supprimé : C:\Users\Branchette\Desktop\TDSSKiller.2.7.29.0_19.04.2012_22.07.15_log.txt
Supprimé : C:\Users\Branchette\Downloads\adwcleaner.exe
Supprimé : C:\Users\Branchette\Downloads\Pre_Scan.exe
Supprimé : C:\Users\Branchette\Downloads\WhyIGotInfected (1).exe
Supprimé : C:\Users\Branchette\Downloads\WhyIGotInfected.exe

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKCU\Software\g3n-h@ckm@n
Clé Supprimée : HKLM\SOFTWARE\AdwCleaner

~~~~~~ Autres ~~~~~~

-> Prefetch Vidé

*************************

DelFix[S1].txt - [1148 octets] - [20/04/2012 23:40:07]

########## EOF - C:\DelFix[S1].txt - [1272 octets] ##########

g3n-h@ckm@n · Answer

magnifico !!

Trojan win32 /Sirefef.AC et AH

33 réponses

Votre réponse

Discussions similaires

Newsletters