Infection Zaccess et Sirefef

Résolu
loritu Messages postés 7 Statut Membre -  
loritu Messages postés 7 Statut Membre -
Bonjour,

mon pc viens d'être infecté par les virus Zaccess et Sirefef, l'antivirus d'orange n'arrive pas à le supprimer totalement.

Voici le rapport ZHPDiag : https://pjjoint.malekal.com/files.php?id=ZHPDiag_20120720_g13n12q13u9c15

J'ai déjà essayer de détecter l'intrus avec TDSSKiller mais il ne l'a pas trouvé

11 réponses

  1. Utilisateur anonyme
     
    Lol, F-Secure !

    ▶ Télécharge sur le bureau RogueKiller (merci à Tigzy).

    ▶ Quitte tous les programmes en cours !

    ▶ Sous Vista/Seven, clic droit -> lancer en tant qu'administrateur, sinon lance simplement RogueKiller.exe.

    ▶ Clique sur Scan.

    ▶ Puis clique sur Rapport et copie/colle le sur le forum
    (le rapport est également sur le bureau).
    0
  2. loritu Messages postés 7 Statut Membre
     
    Le rapport avec RogueKiller :

    RogueKiller V7.6.4 [17/07/2012] par Tigzy
    mail: tigzyRK<at>gmail<dot>com
    Remontees: https://www.luanagames.com/index.fr.html
    Blog: http://tigzyrk.blogspot.com

    Systeme d'exploitation: Windows 7 (6.1.7601 Service Pack 1) 64 bits version
    Demarrage : Mode normal
    Utilisateur: Kevin [Droits d'admin]
    Mode: Recherche -- Date: 20/07/2012 19:59:09

    ¤¤¤ Processus malicieux: 0 ¤¤¤

    ¤¤¤ Entrees de registre: 7 ¤¤¤
    [BLACKLIST DLL] HKCU\[...]\Run : sdrsy (rundll32.exe "C:\Users\Kevin\AppData\Roaming\sdrsy.dll",DetachDatabase) -> FOUND
    [BLACKLIST DLL] HKUS\S-1-5-21-1593568957-171074671-2854514286-1000[...]\Run : sdrsy (rundll32.exe "C:\Users\Kevin\AppData\Roaming\sdrsy.dll",DetachDatabase) -> FOUND
    [ZeroAccess] HKCR\[...]\InprocServer32 : (C:\Users\Kevin\AppData\Local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\n.) -> FOUND
    [HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
    [HJ] HKCU\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
    [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND
    [HJ] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND

    ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤
    [ZeroAccess][FILE] n : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\n --> FOUND
    [ZeroAccess][FILE] @ : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\@ --> FOUND
    [ZeroAccess][FOLDER] U : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U --> FOUND
    [ZeroAccess][FOLDER] L : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\L --> FOUND

    ¤¤¤ Driver: [NON CHARGE] ¤¤¤

    ¤¤¤ Infection : ZeroAccess ¤¤¤

    ¤¤¤ Fichier HOSTS: ¤¤¤
    127.0.0.1 localhost
    ::1 localhost
    127.0.0.1 localhost
    127.0.0.1 localhost

    ¤¤¤ MBR Verif: ¤¤¤

    +++++ PhysicalDrive0: WDC WD1002FAEX-00Y9A0 ATA Device +++++
    --- User ---
    [MBR] 31a5d46fd38c08afc9d8f05a08f96d05
    [BSP] 2342bb73043f7ec3a120dc2b228a8efa : Windows 7 MBR Code
    Partition table:
    0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 100 Mo
    1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 206848 | Size: 410000 Mo
    2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 839886848 | Size: 543766 Mo
    User = LL1 ... OK!
    User = LL2 ... OK!

    +++++ PhysicalDrive1: WDC WD1002FAEX-00Y9A0 ATA Device +++++
    --- User ---
    [MBR] 23e8c577ada84fcbe528fabe02e45a39
    [BSP] 62ab96ebcc1e87ac3cd53321f2e925b1 : Windows 7 MBR Code
    Partition table:
    0 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 953867 Mo
    User = LL1 ... OK!
    User = LL2 ... OK!

    Termine : << RKreport[1].txt >>
    RKreport[1].txt
    0
  3. Utilisateur anonyme
     
    ▶ Quitte tous les programmes en cours !

    ▶ Relance RogueKiller.

    ▶ Sous Vista/Seven, clic droit -> lancer en tant qu'administrateur, sinon lance simplement RogueKiller.exe.

    ▶ Clique sur Suppression.

    ▶ Puis clique sur Rapport et copie/colle le sur le forum
    (le rapport est également sur le bureau).
    0
  4. loritu Messages postés 7 Statut Membre
     
    J'ai recommencer après avoir redémarrer pour ne rien lancer :
    0

  5. Vous n’avez pas trouvé la réponse que vous recherchez ?

    Posez votre question
  6. Utilisateur anonyme
     
    J'ai demandé le mode suppression, ça c'est recherche :)
    0
  7. loritu Messages postés 7 Statut Membre
     
    A oui pardon ^^ ok je recommence en suppression
    0
  8. loritu Messages postés 7 Statut Membre
     
    RogueKiller V7.6.4 [17/07/2012] par Tigzy
    mail: tigzyRK<at>gmail<dot>com
    Remontees: https://www.luanagames.com/index.fr.html
    Blog: http://tigzyrk.blogspot.com

    Systeme d'exploitation: Windows 7 (6.1.7601 Service Pack 1) 64 bits version
    Demarrage : Mode normal
    Utilisateur: Kevin [Droits d'admin]
    Mode: Suppression -- Date: 20/07/2012 20:13:56

    ¤¤¤ Processus malicieux: 0 ¤¤¤

    ¤¤¤ Entrees de registre: 6 ¤¤¤
    [BLACKLIST DLL] HKCU\[...]\Run : sdrsy (rundll32.exe "C:\Users\Kevin\AppData\Roaming\sdrsy.dll",DetachDatabase) -> DELETED
    [ZeroAccess] HKCR\[...]\InprocServer32 : (C:\Users\Kevin\AppData\Local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\n.) -> REPLACED (c:\windows\system32\shell32.dll)
    [HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
    [HJ] HKCU\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
    [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)
    [HJ] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)

    ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤
    [ZeroAccess][FILE] n : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\n --> REMOVED AT REBOOT
    [ZeroAccess][FILE] @ : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\@ --> REMOVED AT REBOOT
    [Del.Parent][FILE] 00000004.$ : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\00000004.$ --> REMOVED
    [Del.Parent][FILE] 00000004.0 : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\00000004.0 --> REMOVED
    [Del.Parent][FILE] 00000008.$ : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\00000008.$ --> REMOVED
    [Del.Parent][FILE] 00000008.0 : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\00000008.0 --> REMOVED
    [Del.Parent][FILE] 000000cb.$ : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\000000cb.$ --> REMOVED
    [Del.Parent][FILE] 000000cb.0 : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\000000cb.0 --> REMOVED
    [Del.Parent][FILE] 80000000.$ : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\80000000.$ --> REMOVED
    [Del.Parent][FILE] 80000000.0 : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\80000000.0 --> REMOVED
    [Del.Parent][FILE] 80000032.$ : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\80000032.$ --> REMOVED
    [Del.Parent][FILE] 80000032.0 : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\80000032.0 --> REMOVED
    [Del.Parent][FILE] 80000064.$ : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\80000064.$ --> REMOVED
    [Del.Parent][FILE] 80000064.0 : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U\80000064.0 --> REMOVED
    [ZeroAccess][FOLDER] U : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\U --> REMOVED
    [Del.Parent][FILE] 00000004.@ : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\L\00000004.@ --> REMOVED
    [ZeroAccess][FOLDER] L : c:\users\kevin\appdata\local\{533e6ce3-f684-5b67-601e-461e4d4ee5cf}\L --> REMOVED

    ¤¤¤ Driver: [NON CHARGE] ¤¤¤

    ¤¤¤ Infection : ZeroAccess ¤¤¤

    ¤¤¤ Fichier HOSTS: ¤¤¤
    127.0.0.1 localhost
    ::1 localhost
    127.0.0.1 localhost
    127.0.0.1 localhost

    ¤¤¤ MBR Verif: ¤¤¤

    +++++ PhysicalDrive0: WDC WD1002FAEX-00Y9A0 ATA Device +++++
    --- User ---
    [MBR] 31a5d46fd38c08afc9d8f05a08f96d05
    [BSP] 2342bb73043f7ec3a120dc2b228a8efa : Windows 7 MBR Code
    Partition table:
    0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 100 Mo
    1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 206848 | Size: 410000 Mo
    2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 839886848 | Size: 543766 Mo
    User = LL1 ... OK!
    User = LL2 ... OK!

    +++++ PhysicalDrive1: WDC WD1002FAEX-00Y9A0 ATA Device +++++
    --- User ---
    [MBR] 23e8c577ada84fcbe528fabe02e45a39
    [BSP] 62ab96ebcc1e87ac3cd53321f2e925b1 : Windows 7 MBR Code
    Partition table:
    0 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 953867 Mo
    User = LL1 ... OK!
    User = LL2 ... OK!

    Termine : << RKreport[2].txt >>
    RKreport[1].txt ; RKreport[2].txt

    Il ne m'affiche plus de message d'infection, apparemment un redémarrage et c'est bon ???
    0
  9. Utilisateur anonyme
     
    Exact :)

    Mais on va vérifier :

    Ferme et enregistre toutes tes applications en cours.

    Télécharge et enregistre ceci sur ton bureau :

    Pre_Scan (renommé Winlogon.exe pour duper l'infection)

    Une fois téléchargé, lance-le et laisse faire le scan. Du fait du nom Winlogon.exe, l'antivirus peut le détecter comme un virus. Si c'est le cas, désactive ton antivirus.

    Tous les processus non vitaux seront coupés durant le scan.

    Si l'outil détecte un proxy et que tu n'en as pas installé ou que tu ne sais pas de quoi il s'agit, clique sur "supprimer le proxy".

    Héberge Pre_Scan_la_date_et_l'heure.txt qui apparaîtra sur le bureau en fin de scan grâce à ce qui suit :

    ▶ Clique sur ce lien : https://www.cjoint.com/

    ▶ Clique sur Parcourir, et sélectionne le fichier Pre_Scan_la_date_et_l'heure.txt de ton bureau.

    ▶ Donne-moi le lien en résultant.

    ▶ Si Cjoint ne fonctionne pas, consulte cette page : Autres hébergeurs en ligne
    0
  12. loritu Messages postés 7 Statut Membre
     
    OK merci beaucoup !
    0

Discussions similaires

Infection
toast3r -
toast3r -

44 réponses
infection
céline0034 -
totobetourne -

12 réponses
problème infection ?
emma -
juju666 -

76 réponses
Infection et rame permanente
dbz83 -
buckhulk -

15 réponses
Avast detecte une menace "infection URL:MAL"
elbreton -
cloclomaz -

36 réponses