Virus Sirefef.y Aide svp Fermé

Question

Bonjour, 



Configuration: Windows 7 

http://pjjoint.malekal.com/files.php?id=20120605_l12n14u6x12q5 

Voici mon rapport.. J'ai le virus Sirefef depuis ce matin... Window Essential le detecte mais aussitot qu'il le detecte, le virus ferme l'ordi. 

Malware byte n'as pas ete capable de le supprimer.. 

J'ai runner Pre_Scan

maintenant j'arrive pas a m'en debarasser 

Si quelqun pourrais m'aider 

merci

g3n-h@ckm@n · Answer

salut le temps de lire le rapport..........

g3n-h@ckm@n · Answer

desinstalle tout Java on mettra le dernier

======

Fais analyser le(s) fichier(s) suivants sur Virustotal :

Virus Total

    clique sur "Parcourir" et trouve puis selectionne ce(s) fichier(s) :

C:\Windows\SaveStartDate.exe

    * Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
    * Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
    * Lorsque l'analyse est terminée colle le lien de(s)( la) page(s)  dans ta prochaine réponse.

Jpracing · Answer

Je ne trouve pas Savestartdate.exe..
Je suis sur Window 7*

jpracing · Answer

Window 7 64 bit

jpracing · Answer

J'ai fais un Scan avec ZHPDiag j'ignore si ça peu aider..!
 http://pjjoint.malekal.com/files.php?id=ZHPDiag_20120606_r7m6h9s157

jpracing · Answer

Le file etait:  C:\Windows\Prefetch\SAVESTARTDATE.EXE-E7BD5DB1.pf  

https://www.virustotal.com/file/08851bc3b0a0994b83a15e8a0038498638950b3d9ce765b5ba1ac0dbfc207b42/analysis/1338987584/

g3n-h@ckm@n · Answer

Selectionne tout le texte en gras ci-dessous sans les lignes de dessus-dessous, puis (clic droit/copier ou ctrl+c) :
___________________________________________________
Kill::

Registry::
[HKU\S-1-5-21-3132242301-3121610837-280955733-1138\Software\Microsoft\Internet Explorer\Toolbar] 
"Locked"=- 
[-HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}] 
[-HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0029-ABCDEFFEDCBA}]
[-HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}]

txt::
C:\Windows\System32\Tasks\{37052A57-B564-4B57-A53F-509CAB62F688} 
C:\Windows\System32\Tasks\{58C17284-70D4-4C72-A366-6798101613FF} 

Folder::
C:\Windows\Installer\{ec6dd41e-08d9-9206-ce3c-d6ec7d654f44}

MBR::

clean::

Reboot:: 
___________________________________________________

Relance Pre_scan puis choisis l'option "Script"

une page va s'ouvrir

logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler.

sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge.

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille 

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

===============

relance pre_scan , choisis tools puis tdsskiller

l'outil va automatiquement télécharger la derniere version puis 

TDSSKiller va s'ouvrir , clique sur "Start Scan"

Si TDSS.tdl2 est détecté l''option delete sera cochée par défaut.
Si TDSS.tdl3 est détecté assure toi que Cure est bien cochée.
Si TDSS.tdl4(\HardDisk0\MBR) est détecté assure toi que Cure est bien cochée.
Si Suspicious file est indiqué, laisse l''option cochée sur Skip 
Si Rootkit.Win32.ZAccess.* est détecté règle sur "cure" en haut , et "delete" en bas

une fois qu'il a terminé , redemarre s'il te le demande pour finir de nettoyer

sinon , ferme tdssKiller et le rapport s'affichera sur le bureau

&#9654 Copie/Colle son contenu dans ta prochaine réponse.

jpracing · Answer

http://pjjoint.malekal.com/files.php?id=20120606_w9x7p6n6k5

http://pjjoint.malekal.com/files.php?id=20120606_h12t15l15r11d12

g3n-h@ckm@n · Answer

refais un script avec juste ca mais en mode sans echec :

Folder::
C:\Windows\Installer\{ec6dd41e-08d9-9206-ce3c-d6ec7d654f44}

jpracing · Answer

http://pjjoint.malekal.com/files.php?id=20120606_u14h11d5y11k8

Voila..

g3n-h@ckm@n · Answer

/!\ ATTENTION SUIVRE A LA LETTRE CES INDICATIONS/!\ __________________________________________________________ >Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.< >>>>>>>Ne pas utiliser en dehors de ce cas de figure : dangereux!<<<<<<<< ===================================================== ▶ Surtout , pense à l'enregistrement à renommer Combofix en "ton prenom.exe" avant qu'il soit enregistré sur ton disque dur Telecharge ici : Combofix Avant d'utiliser ComboFix : Si tu utilises AVG, IL FAUT IMPERATIVEMENT LE DESINSTALLER avant d'utiliser Combofix car il peut causer des dégâts en interaction avec l'outil pouvant mener à la réinstallation totale du système. La simple désactivation du résident n'est pas suffisante. Télécharge le désinstalleur d'AVG sur ce lien : https://www.avg.com/fr-fr/avg-remover Choisis la version adéquate (32 ou 64 bits)/!\ Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement : ▶ Télécharge Defogger (de jpshortstuff) sur ton Bureau ▶ Lance le Une fenêtre apparait : clique sur "Disable" ▶ Fais redémarrer l'ordinateur si l'outil te le demande Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable" _________________________________________________________ >> referme les fenêtres de tous les programmes en cours. >> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, >>la protection en temps réel de ton Antivirus et de tes Antispywares, >>qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. °°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°° si tu as XP => double clique si tu as Vista ou windows 7 => clic droit "executer en tant que...." sur combofix renommé ¤¤¤¤¤¤¤¤¤¤ LAISSE-LE INSTALLER LA CONSOLE DE RECUPERATION S'IL TE LE DEMANDE ¤¤¤¤¤¤¤¤¤¤ ▶ !!!!!NE TOUCHE A RIEN PENDANT LE TRAVAIL DE COMBOFIX (SOURIS/CLAVIER.....)!!!!! ▶ n'oublie pas de reactiver la garde de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. ▶▶ Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message. ▶▶▶ Si, après le redémarrage de votre pc par combofix, vous avez des erreurs "Clé marquée pour suppression" ou des soucis de connexion internet, redémarrez à nouveau votre ordinateur

Jpracing · Answer

Quand je pars Combofix la procedure dure 10 seconde et la fenetre se ferme. Jai renommer en tonnom.exe et erreur lors douverture du fichier "C:\32788R22FWJFW\License\iexplore.exe

g3n-h@ckm@n · Answer

telecharge ca :

http://public.avast.com/~gmerek/aswMBR.exe

clic sur scan , ensuite une fois le scan fini clic sur savelog et colle le contenu

jpracing · Answer

http://pjjoint.malekal.com/files.php?id=20120606_t9k14r14e7v14

g3n-h@ckm@n · Answer

MSE le détecte toujours là ?

Jpracing · Answer

Oui.. sirefef.Y et Sirefef.W

g3n-h@ckm@n · Answer

ouù ?

Jpracing · Answer

Sa dit Window Essentiel a detecteur une menace potentielle avec un pop-up

g3n-h@ckm@n · Answer

mais ca dit pas plus que ca ?

Jpracing · Answer

Le fichier ces c/windows/system32/services

g3n-h@ckm@n · Answer

ok je vois avec quelqu'un qui étudie l'infectioon en ce moment il interviendra surement

Jpracing · Answer

Daccord Merci beaucoup

g3n-h@ckm@n · Answer

en attendant fais ceci :

Selectionne tout le texte en gras ci-dessous sans les lignes de dessus-dessous, puis (clic droit/copier ou ctrl+c) :
___________________________________________________
search::
services.exe 
___________________________________________________

Relance Pre_scan puis choisis l'option "Script"

une page va s'ouvrir

logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler.

sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge.

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille 

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

jpracing · Answer

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script | 2.605 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Admin : Windows 7 Professional (64 bits)

Switchs : http://gen-hackman.forum-pro.fr/t89-les-switchs

Script : 14:13:06

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤


¤¤¤¤¤¤¤¤¤¤ | Recherche fichiers


Fin : 14:14:51

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

g3n-h@ckm@n · Answer

mmmm...t'es sur que t'as collé les deux lignes ?

jpracing · Answer

Oui mais je vais recommencer pour faire sur

jpracing · Answer

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script | 2.605 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Admin : Windows 7 Professional (64 bits)

Switchs : http://gen-hackman.forum-pro.fr/t89-les-switchs

Script : 14:23:54

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤


¤¤¤¤¤¤¤¤¤¤ | Recherche fichiers

[MD5.014A9CB92514E27C0107614DF764BC06] -- [13/07/2009 19:19:46] | [13/07/2009 21:39:37] -- (.© Microsoft Corporation. Tous droits réservés. - Applications Services et Contrôleur.) -- [321 Ko] -- C:\Windows\System32\services.exe -> (6.1.7600.16385)
[MD5.24ACB7E5BE595468E3B9AA488B9B4FCB] -- [13/07/2009 19:19:46] | [13/07/2009 21:39:37] -- (.© Microsoft Corporation. Tous droits réservés. - Applications Services et Contrôleur.) -- [321 Ko] -- C:\Windows\winsxs\amd64_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.1.7600.16385_none_2b54b20ee6fa07b1\services.exe -> (6.1.7600.16385)

Fin : 14:24:56

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

jpracing · Answer

Ils s'est comme incruster a Services.exe et Window ne me laisse pas le supprimer...

g3n-h@ckm@n · Answer

ok 

telecharge roguekiller , lance-le , attends la fin du prescan puis poste le rapport 

https://www.luanagames.com/index.fr.html 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Scan_Concept ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

jpracing · Answer

RogueKiller V7.5.3 [05/06/2012] par Tigzy mail: tigzyRKgmailcom Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html Blog: http://tigzyrk.blogspot.com Systeme d'exploitation: Windows 7 (6.1.7601 Service Pack 1) 64 bits version Demarrage : Mode normal Utilisateur: Admin [Droits d'admin] Mode: Recherche -- Date: 06/06/2012 16:12:22 ¤¤¤ Processus malicieux: 0 ¤¤¤ ¤¤¤ Entrees de registre: 3 ¤¤¤ [] HKLM\[...]\Wow6432Node\Windows : () -> ACCESS DENIED [HJ] HKLM\[...]\System : ConsentPromptBehaviorAdmin (0) -> FOUND [HJ] HKLM\[...]\System : EnableLUA (0) -> FOUND ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ ¤¤¤ Driver: [NON CHARGE] ¤¤¤ ¤¤¤ Infection : ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: ST31000524AS ATA Device +++++ --- User --- [MBR] e7ccb16d2f8e40cf167fbf104519cebe [BSP] 4bde09b99fa16728623f692ade241928 : Windows 7 MBR Code Partition table: 0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 100 Mo 1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 206848 | Size: 953767 Mo User = LL1 ... OK! User = LL2 ... OK! Termine : << RKreport[1].txt >> RKreport[1].txt

g3n-h@ckm@n · Answer

Fais analyser le(s) fichier(s) suivants sur Virustotal :

Virus Total

    clique sur "Parcourir" et trouve puis selectionne ce(s) fichier(s) :

 C:\Windows\System32\services.exe

    * Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
    * Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
    * Lorsque l'analyse est terminée colle le lien de(s)( la) page(s)  dans ta prochaine réponse.

Jp · Answer

Je capote.. Je click sur le Fichier dans la liste : FICHIER INTROUVABLE

le virus m'empeche de l'analyser, le supprimer, etc...

g3n-h@ckm@n · Answer

je m'en doutais.....

regarde dans c:\windows\assembly\GAC si tu as un fichier desktop.ini

(affiche les fichiers cachés et les fichiers cachés du systeme)

Jpracing · Answer

Je fais quoi si il en a un?

g3n-h@ckm@n · Answer

tu me dis s il y en a un , et si oui , tu l ouvres et tu colles son contenu

pour l'ouvrir => clic droit modifier , ne double clique pas dessus

Tigzy · Answer

Tu vas pas pouvoir
Le GAC est un dossier special.

il faut le faire depuis OTLPE.

juju666 · Answer

Y'a moyen d'avoir une copie de services.exe via GMER pour l'analyser ensuite sur virustotal :)

Jp · Answer

Donc... je fais quoi?

g3n-h@ckm@n · Answer

ca

https://forums.commentcamarche.net/forum/affich-25321971-virus-sirefef-y-aide-svp?page=2#35

Jp · Answer

Il a pas de GAC dans Assembly..

g3n-h@ckm@n · Answer

meme en affichant les fichiers cachés et system ?

Jp · Answer

Oui.

NB : Ya plus rien sur le bureau et jai lerreur 

C/Windows/system32/config/systemprofil/desktop n'est pas accessible

Acces Refuse

Jp · Answer

En fait... Je ne peu pas afficher les fichier cacher avec le virus il m'en empeche J'ai beau faire Ctrl  f10 et les afficher je ne suis pas capable..

g3n-h@ckm@n · Answer

C/Windows/system32/config/systemprofil/desktop

je ne vois pas le rapport...

Jp · Answer

Quand je click pour faire afficher dossier cacher ces ce qui mapparait... j'ai plus acces a mes document etc...

Ni au dans le haut de la page... Fichier, Affichage propriété,

Jp · Answer

J'ai reussi a faire reaparraitre le bureau ainsi que dafficher les fichiers caché.. cependant assembly/GAC n'apparait pas plus

g3n-h@ckm@n · Answer

faut passer par un live cd apparemment là il apparait....

télécharge ici : http://www.forums-fec.be/gen-hackman/7pe_x86_E.exe

double-clique sur le fichier , patiente quelques secondes , puis un logiciel de gravure va s'ouvrir

insère un cd dans ton graveur puis clique sur "BURN ISO"

(normalement le fichier à graver est deja selectionné)

ensuite change le démarrage de ton pc malade en mettant le cd en premier démarrage dans le bios

comment Faire ? : https://www.commentcamarche.net/faq/7322-booter-sur-cd-changer-sequence-de-boot

démarre le pc malade sur le cd.

Laisse faire jusqu'à l'affichage complet du bureau

navigue voir si tu le trouves dans ces conditions

Paul · Answer

Ca a finit qu'il a formatté ou??
Sirefef est vraiment tout un virus, en effet il m'en fais baver !!

Virus Sirefef.y Aide svp

48 réponses

Discussions similaires