Infection Zaccess et Sirefef

Résolu
loritu Messages postés 7 Date d'inscription   Statut Membre Dernière intervention   -  
loritu Messages postés 7 Date d'inscription   Statut Membre Dernière intervention   -
Bonjour,

mon pc viens d'être infecté par les virus Zaccess et Sirefef, l'antivirus d'orange n'arrive pas à le supprimer totalement.

Voici le rapport ZHPDiag : https://pjjoint.malekal.com/files.php?id=ZHPDiag_20120720_g13n12q13u9c15

J'ai déjà essayer de détecter l'intrus avec TDSSKiller mais il ne l'a pas trouvé

11 réponses

Réponse 1 / 11
Utilisateur anonyme
 
Lol, F-Secure !

▶ Télécharge sur le bureau RogueKiller (merci à Tigzy).

▶ Quitte tous les programmes en cours !

▶ Sous Vista/Seven, clic droit -> lancer en tant qu'administrateur, sinon lance simplement RogueKiller.exe.

▶ Clique sur Scan.

▶ Puis clique sur Rapport et copie/colle le sur le forum
(le rapport est également sur le bureau).
0
Réponse 2 / 11
loritu Messages postés 7 Date d'inscription   Statut Membre Dernière intervention  
 
Le rapport avec RogueKiller :

RogueKiller V7.6.4 [17/07/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Demarrage : Mode normal
Utilisateur: Kevin [Droits d'admin]
Mode: Recherche -- Date: 20/07/2012 19:59:09

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 7 ¤¤¤
[BLACKLIST DLL] HKCU\[...]\Run : sdrsy (rundll32.exe "C:\Users\Kevin\AppData\Roaming\sdrsy.dll",DetachDatabase) -> FOUND
[BLACKLIST DLL] HKUS\S-1-5-21-1593568957-171074671-2854514286-1000[...]\Run : sdrsy (rundll32.exe "C:\Users\Kevin\AppData\Roaming\sdrsy.dll",DetachDatabase) -> FOUND
[ZeroAccess] HKCR\[...]\InprocServer32 : (C:\Users\Kevin\AppData\Local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\n.) -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
[HJ] HKCU\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND
[HJ] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤
[ZeroAccess][FILE] n : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\n --> FOUND
[ZeroAccess][FILE] @ : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\@ --> FOUND
[ZeroAccess][FOLDER] U : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U --> FOUND
[ZeroAccess][FOLDER] L : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\L --> FOUND

¤¤¤ Driver: [NON CHARGE] ¤¤¤

¤¤¤ Infection : ZeroAccess ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
127.0.0.1 localhost
::1 localhost
127.0.0.1 localhost
127.0.0.1 localhost


¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: WDC WD1002FAEX-00Y9A0 ATA Device +++++
--- User ---
[MBR] 31a5d46fd38c08afc9d8f05a08f96d05
[BSP] 2342bb73043f7ec3a120dc2b228a8efa : Windows 7 MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 100 Mo
1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 206848 | Size: 410000 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 839886848 | Size: 543766 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: WDC WD1002FAEX-00Y9A0 ATA Device +++++
--- User ---
[MBR] 23e8c577ada84fcbe528fabe02e45a39
[BSP] 62ab96ebcc1e87ac3cd53321f2e925b1 : Windows 7 MBR Code
Partition table:
0 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 953867 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[1].txt >>
RKreport[1].txt
0
Réponse 3 / 11
Utilisateur anonyme
 
▶ Quitte tous les programmes en cours !

▶ Relance RogueKiller.

▶ Sous Vista/Seven, clic droit -> lancer en tant qu'administrateur, sinon lance simplement RogueKiller.exe.

▶ Clique sur Suppression.

▶ Puis clique sur Rapport et copie/colle le sur le forum
(le rapport est également sur le bureau).
0
Réponse 4 / 11
loritu Messages postés 7 Date d'inscription   Statut Membre Dernière intervention  
 
J'ai recommencer après avoir redémarrer pour ne rien lancer :
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 11
Utilisateur anonyme
 
J'ai demandé le mode suppression, ça c'est recherche :)
0
Réponse 6 / 11
loritu Messages postés 7 Date d'inscription   Statut Membre Dernière intervention  
 
A oui pardon ^^ ok je recommence en suppression
0
Réponse 7 / 11
loritu Messages postés 7 Date d'inscription   Statut Membre Dernière intervention  
 
RogueKiller V7.6.4 [17/07/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Demarrage : Mode normal
Utilisateur: Kevin [Droits d'admin]
Mode: Suppression -- Date: 20/07/2012 20:13:56

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 6 ¤¤¤
[BLACKLIST DLL] HKCU\[...]\Run : sdrsy (rundll32.exe "C:\Users\Kevin\AppData\Roaming\sdrsy.dll",DetachDatabase) -> DELETED
[ZeroAccess] HKCR\[...]\InprocServer32 : (C:\Users\Kevin\AppData\Local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\n.) -> REPLACED (c:\windows\system32\shell32.dll)
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
[HJ] HKCU\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)
[HJ] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤
[ZeroAccess][FILE] n : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\n --> REMOVED AT REBOOT
[ZeroAccess][FILE] @ : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\@ --> REMOVED AT REBOOT
[Del.Parent][FILE] 00000004.$ : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\00000004.$ --> REMOVED
[Del.Parent][FILE] 00000004.0 : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\00000004.0 --> REMOVED
[Del.Parent][FILE] 00000008.$ : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\00000008.$ --> REMOVED
[Del.Parent][FILE] 00000008.0 : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\00000008.0 --> REMOVED
[Del.Parent][FILE] 000000cb.$ : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\000000cb.$ --> REMOVED
[Del.Parent][FILE] 000000cb.0 : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\000000cb.0 --> REMOVED
[Del.Parent][FILE] 80000000.$ : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\80000000.$ --> REMOVED
[Del.Parent][FILE] 80000000.0 : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\80000000.0 --> REMOVED
[Del.Parent][FILE] 80000032.$ : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\80000032.$ --> REMOVED
[Del.Parent][FILE] 80000032.0 : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\80000032.0 --> REMOVED
[Del.Parent][FILE] 80000064.$ : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\80000064.$ --> REMOVED
[Del.Parent][FILE] 80000064.0 : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\80000064.0 --> REMOVED
[ZeroAccess][FOLDER] U : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U --> REMOVED
[Del.Parent][FILE] 00000004.@ : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\L\00000004.@ --> REMOVED
[ZeroAccess][FOLDER] L : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\L --> REMOVED

¤¤¤ Driver: [NON CHARGE] ¤¤¤

¤¤¤ Infection : ZeroAccess ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
127.0.0.1 localhost
::1 localhost
127.0.0.1 localhost
127.0.0.1 localhost


¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: WDC WD1002FAEX-00Y9A0 ATA Device +++++
--- User ---
[MBR] 31a5d46fd38c08afc9d8f05a08f96d05
[BSP] 2342bb73043f7ec3a120dc2b228a8efa : Windows 7 MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 100 Mo
1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 206848 | Size: 410000 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 839886848 | Size: 543766 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: WDC WD1002FAEX-00Y9A0 ATA Device +++++
--- User ---
[MBR] 23e8c577ada84fcbe528fabe02e45a39
[BSP] 62ab96ebcc1e87ac3cd53321f2e925b1 : Windows 7 MBR Code
Partition table:
0 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 953867 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt




Il ne m'affiche plus de message d'infection, apparemment un redémarrage et c'est bon ???
0
Réponse 8 / 11
Utilisateur anonyme
 
Exact :)

Mais on va vérifier :

Ferme et enregistre toutes tes applications en cours.

Télécharge et enregistre ceci sur ton bureau :

Pre_Scan (renommé Winlogon.exe pour duper l'infection)

Une fois téléchargé, lance-le et laisse faire le scan. Du fait du nom Winlogon.exe, l'antivirus peut le détecter comme un virus. Si c'est le cas, désactive ton antivirus.

Tous les processus non vitaux seront coupés durant le scan.

Si l'outil détecte un proxy et que tu n'en as pas installé ou que tu ne sais pas de quoi il s'agit, clique sur "supprimer le proxy".

Héberge Pre_Scan_la_date_et_l'heure.txt qui apparaîtra sur le bureau en fin de scan grâce à ce qui suit :

▶ Clique sur ce lien : https://www.cjoint.com/

▶ Clique sur Parcourir, et sélectionne le fichier Pre_Scan_la_date_et_l'heure.txt de ton bureau.

▶ Donne-moi le lien en résultant.

▶ Si Cjoint ne fonctionne pas, consulte cette page : Autres hébergeurs en ligne
0
Réponse 9 / 11
loritu Messages postés 7 Date d'inscription   Statut Membre Dernière intervention  
 
Voila : https://www.cjoint.com/?0GuvHxPwJgC

Il ne ma pas montrer de proxy
0
Réponse 10 / 11
Utilisateur anonyme
 
Nickel !
0
Réponse 11 / 11
loritu Messages postés 7 Date d'inscription   Statut Membre Dernière intervention  
 
OK merci beaucoup !
0

Discussions similaires

Virus : infection Win32:Malware-gen et Win64:Sirefef-A [Trj]
BCK -
kalimusic -

15 réponses
infection
gladiator1952 -
gladiator1952 -

6 réponses
Infection et rame permanente
dbz83 -
buckhulk -

15 réponses
infection ou pas?
jpn1000 -
mcvivien2 -

5 réponses
Infection ou pas ???
karissia -
helpcenter -

1 réponse