Sujet Précédent Sujet Suivant

Virus Smart HDD

Résolu/Fermé
milounette2 Messages postés 8 Date d'inscription lundi 16 avril 2012 Statut Membre Dernière intervention 17 avril 2012 - 16 avril 2012 à 20:03
milounette2 Messages postés 8 Date d'inscription lundi 16 avril 2012 Statut Membre Dernière intervention 17 avril 2012 - 17 avril 2012 à 19:01
Bonjour,


J'ai été infectée par le virus smart HDD, pas vraiment connaisseuse en informatique, j'ai visité plusieurs forums et suivi les premiers conseils.

J'ai téléchargé RogueKiller, fait un scan puis suppression et Racc. RAZ.

Voici le premier rapport :
RogueKiller V7.3.2 [20/03/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur: Emilie [Droits d'admin]
Mode: Recherche -- Date: 16/04/2012 19:48:07

¤¤¤ Processus malicieux: 2 ¤¤¤
[WINDOW : SMART HDD] xW4AHIVlM4MkJi.exe -- C:\ProgramData\xW4AHIVlM4MkJi.exe -> KILLED [TermProc]
[SUSP PATH] RgWtsvfNRFiS.exe -- C:\ProgramData\RgWtsvfNRFiS.exe -> KILLED [TermProc]

¤¤¤ Entrees de registre: 24 ¤¤¤
[SUSP PATH] HKCU\[...]\Run : cacaoweb ("C:\Users\Emilie\AppData\Roaming\cacaoweb\cacaoweb.exe" -noplayer) -> FOUND
[SUSP PATH] HKCU\[...]\Run : RgWtsvfNRFiS.exe (C:\ProgramData\RgWtsvfNRFiS.exe) -> FOUND
[SUSP PATH] HKUS\S-1-5-21-3133115949-3951184034-1942364088-1000[...]\Run : cacaoweb ("C:\Users\Emilie\AppData\Roaming\cacaoweb\cacaoweb.exe" -noplayer) -> FOUND
[SUSP PATH] HKUS\S-1-5-21-3133115949-3951184034-1942364088-1000[...]\Run : RgWtsvfNRFiS.exe (C:\ProgramData\RgWtsvfNRFiS.exe) -> FOUND
[HJ] HKCU\[...]\Internet Settings : WarnOnHTTPSToHTTPRedirect (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowMyComputer (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowSearch (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowMyDocs (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowRecentDocs (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowUser (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowMyPics (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowMyGames (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowMyMusic (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowControlPanel (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowHelp (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowPrinters (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowRun (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowSetProgramAccessAndDefaults (0) -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
[HJ] HKCU\[...]\ClassicStartMenu : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND
[HJ] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND
[HJ] HKCU\[...]\ClassicStartMenu : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> FOUND
[HJ] HKCU\[...]\NewStartPanel : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> FOUND

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [CHARGE] ¤¤¤
SSDT[75] : NtCreateSection @ 0x8265207F -> HOOKED (Unknown @ 0x8068D3B6)
SSDT[276] : NtRequestWaitReplyPort @ 0x82665F47 -> HOOKED (Unknown @ 0x8068D3C0)
SSDT[289] : NtSetContextThread @ 0x826D199B -> HOOKED (Unknown @ 0x8068D3BB)
SSDT[314] : NtSetSecurityObject @ 0x82615627 -> HOOKED (Unknown @ 0x8068D3C5)
SSDT[332] : NtSystemDebugControl @ 0x825EB94B -> HOOKED (Unknown @ 0x8068D3CA)
SSDT[334] : NtTerminateProcess @ 0x8266153F -> HOOKED (Unknown @ 0x8068D357)
S_SSDT[573] : Unknown -> HOOKED (Unknown @ 0x8068D3DE)
S_SSDT[576] : Unknown -> HOOKED (Unknown @ 0x8068D3E3)

¤¤¤ Infection : Rogue.FakeHDD ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
127.0.0.1 localhost
::1 localhost


¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: TOSHIBA MK1637GSX +++++
--- User ---
[MBR] 408b1eeeb3fa84d3d55d42396c71b4d9
[BSP] a12680e0732bf777ce22b13a2b19cafb : Acer tatooed MBR Code
Partition table:
0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 63 | Size: 9993 Mo
1 - [ACTIVE] FAT16 (0x06) [VISIBLE] Offset (sectors): 20467712 | Size: 71448 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 166793216 | Size: 71184 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[1].txt >>
RKreport[1].txt



Et voici le deuxième :

RogueKiller V7.3.2 [20/03/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur: Emilie [Droits d'admin]
Mode: Suppression -- Date: 16/04/2012 19:55:11

¤¤¤ Processus malicieux: 2 ¤¤¤
[WINDOW : SMART HDD] xW4AHIVlM4MkJi.exe -- C:\ProgramData\xW4AHIVlM4MkJi.exe -> KILLED [TermProc]
[SUSP PATH] RgWtsvfNRFiS.exe -- C:\ProgramData\RgWtsvfNRFiS.exe -> KILLED [TermProc]

¤¤¤ Entrees de registre: 22 ¤¤¤
[SUSP PATH] HKCU\[...]\Run : cacaoweb ("C:\Users\Emilie\AppData\Roaming\cacaoweb\cacaoweb.exe" -noplayer) -> DELETED
[SUSP PATH] HKCU\[...]\Run : RgWtsvfNRFiS.exe (C:\ProgramData\RgWtsvfNRFiS.exe) -> DELETED
[HJ] HKCU\[...]\Internet Settings : WarnOnHTTPSToHTTPRedirect (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowMyComputer (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowSearch (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowMyDocs (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowRecentDocs (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowUser (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowMyPics (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowMyGames (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowMyMusic (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowControlPanel (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowHelp (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowPrinters (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowRun (0) -> REPLACED (1)
[HJ] HKCU\[...]\Advanced : Start_ShowSetProgramAccessAndDefaults (0) -> REPLACED (1)
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
[HJ] HKCU\[...]\ClassicStartMenu : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)
[HJ] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)
[HJ] HKCU\[...]\ClassicStartMenu : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> REPLACED (0)
[HJ] HKCU\[...]\NewStartPanel : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> REPLACED (0)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [CHARGE] ¤¤¤
SSDT[75] : NtCreateSection @ 0x8265207F -> HOOKED (Unknown @ 0x8068D3B6)
SSDT[276] : NtRequestWaitReplyPort @ 0x82665F47 -> HOOKED (Unknown @ 0x8068D3C0)
SSDT[289] : NtSetContextThread @ 0x826D199B -> HOOKED (Unknown @ 0x8068D3BB)
SSDT[314] : NtSetSecurityObject @ 0x82615627 -> HOOKED (Unknown @ 0x8068D3C5)
SSDT[332] : NtSystemDebugControl @ 0x825EB94B -> HOOKED (Unknown @ 0x8068D3CA)
SSDT[334] : NtTerminateProcess @ 0x8266153F -> HOOKED (Unknown @ 0x8068D357)
S_SSDT[573] : Unknown -> HOOKED (Unknown @ 0x8068D3DE)
S_SSDT[576] : Unknown -> HOOKED (Unknown @ 0x8068D3E3)

¤¤¤ Infection : Rogue.FakeHDD ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
127.0.0.1 localhost
::1 localhost


¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: TOSHIBA MK1637GSX +++++
--- User ---
[MBR] 408b1eeeb3fa84d3d55d42396c71b4d9
[BSP] a12680e0732bf777ce22b13a2b19cafb : Acer tatooed MBR Code
Partition table:
0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 63 | Size: 9993 Mo
1 - [ACTIVE] FAT16 (0x06) [VISIBLE] Offset (sectors): 20467712 | Size: 71448 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 166793216 | Size: 71184 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt




A présent j'ai récupéré la majorité de mes icones sauf les raccourcis vers les navigateurs et logiciels. Mon écran est toujours noir derrière et j'ai toujours un raccourci SMART HDD sur le bureau et dans la barre des tâches.
Que dois-je faire à présent?

Merci par avance pour vos réponses

4 réponses

Réponse 1 / 4
Utilisateur anonyme
16 avril 2012 à 20:47
Bonsoir

Télécharge TDSSKiller

*Créez un nouveau dossier sur votre bureau puis décompressez l'archive dedans
* Lancez le programme en cliquant sur TDSSKiller.exe, l'analyse se fait automatiquement, si l'infection est détectée, des éléments cachés (= hidden) seront alors affichés.


Si TDSS.tdl2 est détecté: l'option delete sera cochée par défaut.
Si TDSS.tdl3 est détecté: assure toi que Cure est bien cochée.
Si TDSS.tdl4(\HardDisk0\MBR) est détecté: assure toi que Cure est bien cochée.
Si Rootkit.Win32.ZAccess.* est détecté : règle sur "cure" en haut , et "delete" en bas
Si Suspicious file est indiqué, laisse l''option cochée sur Skip
une fois qu'il a terminé , redémarre s'il te le demande pour finir de nettoyer

sinon , ferme TDSSKiller et le rapport s'affichera sur le bureau

Poste moi son rapport à l'issue; merci

@+
0
milounette2 Messages postés 8 Date d'inscription lundi 16 avril 2012 Statut Membre Dernière intervention 17 avril 2012
16 avril 2012 à 22:55
Bonsoir,
Merci pour ta réponse

J'ai lancé TDSSKiller, a priori rien n'a été détecté, en tout cas rien de ce que tu m'as mis ne s'est affiché.
Voici le rapport :
https://pjjoint.malekal.com/files.php?id=20120416_z7b6q11s5j15
0
Réponse 2 / 4
Tigzy Messages postés 7498 Date d'inscription lundi 15 février 2010 Statut Contributeur sécurité Dernière intervention 15 septembre 2021 582
17 avril 2012 à 09:53
Salut

Normalement RogueKiller a du t'ouvrir la page de désinfection du rogue.
Dans cette page il est dit qu'il faut également passer le mode "Raccourci RAZ"

;)
0
milounette2 Messages postés 8 Date d'inscription lundi 16 avril 2012 Statut Membre Dernière intervention 17 avril 2012
17 avril 2012 à 10:04
Oui oui je l'ai passé!
Je viens de voir d'ailleurs que j'avais un 3e rapport RogueKiller, le voici au cas ou :
https://pjjoint.malekal.com/files.php?id=20120417_e68v8i7t12
0
Tigzy Messages postés 7498 Date d'inscription lundi 15 février 2010 Statut Contributeur sécurité Dernière intervention 15 septembre 2021 582
17 avril 2012 à 10:17
Ok, tu as tout retrouvé?
0
milounette2 Messages postés 8 Date d'inscription lundi 16 avril 2012 Statut Membre Dernière intervention 17 avril 2012
17 avril 2012 à 10:21
Oui j'ai l'impression, à part quelques raccourcis mais je les remettrais manuellement.
Par contre j'ai toujours un raccourci Smart HDD sur mon bureau, sur la barre des tâches , sur la barre de lancement rapide ET un dossier dans mes programmes!
J'ose plus y toucher du coup!
0
Tigzy Messages postés 7498 Date d'inscription lundi 15 février 2010 Statut Contributeur sécurité Dernière intervention 15 septembre 2021 582
17 avril 2012 à 10:22
Ce sont juste des raccourcis. Clique droit => supprimer (surtout pas de double clic dessus!)
0
milounette2 Messages postés 8 Date d'inscription lundi 16 avril 2012 Statut Membre Dernière intervention 17 avril 2012
17 avril 2012 à 10:31
Aie... J'ai cliqué par inadvertance sur le raccourci dans la barre de lancement rapide (vraiment trop rapide!), la page s'est ouverte et je l'ai refermée via le gestionnaire de tâches!
Est-ce que j'ai gagné un retour à la case départ? (a priori rien n'a bougé tout est normal)
0
Réponse 3 / 4
Tigzy Messages postés 7498 Date d'inscription lundi 15 février 2010 Statut Contributeur sécurité Dernière intervention 15 septembre 2021 582
17 avril 2012 à 10:57
ok, c'est bon.
Si TDSSKiller n'a rien trouvé, alors passe un scan avec Malwarebytes et ça ira
0
milounette2 Messages postés 8 Date d'inscription lundi 16 avril 2012 Statut Membre Dernière intervention 17 avril 2012
17 avril 2012 à 14:12
Super c'est tout bon, Malwarebytes a trouvé des ptits trucs qu'il a supprimé!
Mille fois merci de ton aide!
J'oserais abuser pour une toute dernière question: est-ce que par hasard tu saurais comment remettre les boutons de lancement rapide pour changer de page et pour retourner sur le bureau?
0
Réponse 4 / 4
Utilisateur anonyme
17 avril 2012 à 18:35
Bonsoir

Voilà:https://forums.cnetfrance.fr/tutoriels-windows-7-8-et-autres-sytemes/102787-barre-de-lancement-rapide-vista-xp

Si tu n'as plus de problème ,je te propose de clore ce post

@+
0
milounette2 Messages postés 8 Date d'inscription lundi 16 avril 2012 Statut Membre Dernière intervention 17 avril 2012
17 avril 2012 à 19:01
Pas de problème, merci beaucoup pour vos réponses!
0

Discussions similaires

Est ce que le site tlauncher est dangereux ?
caribou -
bazfile -

1 réponse
Comment savoir si j'ai attrapé un virus sur mon téléphone ?
Infolock -
bell -

66 réponses
4 virus en raison d’un porno ????
valou -
Bello040420 -

9 réponses
Virus Altruistic
Mael03250 -
MisteryBean -

11 réponses
Supprimer notifications myavids.com sous Android.
Guy72 -
Liline -

7 réponses