ZeroAccess - PC redemarage toute les 1 minute Résolu/Fermé

Question

Bonjour Voici mon histoire : J'utilise Windows Vista et Microsoft Security Essential. Problème depuis le vendredi 03/08/2012. 1 minute environ après que j'allume mon PC : Apache Open Office ( téléchargé le 02/08/2012 sur le premier résultat que m'a indiqué Google) s'ouvre tout seul, puis une fenêtre d'avertissement apparaît qui me dit que "Windows a rencontrer un problème critique et qu'il va redémarrer automatiquement dans 1 minute". ( j'ai essayé de desinstallé OpenOffice mais Windows refuse ) Microsoft Security Essential est inutile dans ce cas : Il m'indique que mon PC est sain puis quand la fenêtre d'avertissement apparaît qui me dit que "Windows a rencontrer un problème critique et qu'il va redémarrer automatiquement dans 1 minute", il m'indique que je suis infecté par 2 virus : trojan.win32.sirefef.al ET trojan.win32.sirefef.aq En "mode sans echec avec prise de réseau", Open Office ne s'ouvre plus mais la fenêtre apparaît toujours : je gagne environ 1 minute en plus sur le mode normal soit 3 minutes environ en tout. J'ai essayé d'empêcher le redémarrage en décochant la case "redémarrage automatique" dans "démarrage et récupération" mais aucun changement. J'ai aussi essayé d'empêcher le redémarrage en utilisant le Mode " Désactiver le redémarrage automatique en cas d'erreur du système" dans F8 mais aucun changement. J'ai découvert RogueKiller et des conseils sur le web. J'ai pu utiliser RogueKiller car il agit rapidement. Voici mon rapport "RogueKiller" ogueKiller V7.6.5 [03/08/2012] par Tigzy mail: tigzyRKgmailcom Remontees: https://www.luanagames.com/index.fr.html Blog: http://tigzyrk.blogspot.com Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version Demarrage : Mode sans echec avec prise en charge reseau Utilisateur: addour [Droits d'admin] Mode: Recherche -- Date: 07/08/2012 18:26:20 ¤¤¤ Processus malicieux: 0 ¤¤¤ ¤¤¤ Entrees de registre: 0 ¤¤¤ ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ [Susp.ASLR][ASLR WIPED-OFF] services.exe : c:\windows\system32\services.exe --> CANNOT FIX [ZeroAccess][Sig found] services.exe : c:\windows\system32\services.exe --> CANNOT FIX ¤¤¤ Driver: [NON CHARGE] ¤¤¤ ¤¤¤ Infection : ZeroAccess ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ 127.0.0.1 localhost ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: WDC WD32 00AAJS-22L7A SCSI Disk Device +++++ --- User --- [MBR] a811ebdb2a963ca0d2c5cb109bca09a5 [BSP] 202e3d69dde803e7dca781297891a587 : Acer tatooed MBR Code Partition table: 0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 16384 Mo 1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 33556480 | Size: 142490 Mo 2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 325376037 | Size: 146367 Mo User = LL1 ... OK! Error reading LL2 MBR! Termine : << RKreport[1].txt >> RKreport[1].txt RogueKiller m'a donc dirigé vers le blog de son créateur. http://tigzyrk.blogspot.com/ et m'a annocè que mon PC était infecté par "ZeroAccess" Le blog expliquait qu'il fallait utiliser TDSSKiller et Combofix. J'ai pu utiliser TDSSKiller car il agit rapidement. "TDSSKiller" m'indique "no treat found" (je n'ai pas pu copier son rapport) Je n'ai pas pu utiliser Combofix car 3 minutes sont insuffisante. Les 3 minutes me permettent seulement d'arriver au moment où Combofix demande 10 minutes pour son travail mais la fenêtre d'avertissement apparaît et le PC redémarre 1 minute plus tard. Le créateur de RogueKiller m'a dit que j'avais un problème avec mon fichier services.exe puis il m'a demandé de télécharger téléchargez SystemLook sur le Bureau à partir d'un des liens ci-dessous. SystemLook ou SystemLook et de|Coller dans la zone texte de SystemLook : :filefind services.exe J'ai donc telechargé et lancé SystemLook plusieurs fois en "Mode Normal" et en "Mode sans Echec avec prise du Reseau" mais le bouton "Scanning..." est toujours grisé. SystemLook n'a que 3 minutes pour agir environ, je ne sais pas si c'est suffisant un bloc note apparaît : SystemLook 30.07.11 by jpshortstuff Log created at 11:39 on 09/08/2012 by addour Administrator - Elevation successful ========== filefind ========== Searching for "services.exe " Que Faire ? Merci d'avance pour vos réponses

Malekal_morte- · Answer

Salut,

Le reboot est causé par MSE avec cette infection.

Roguekiller doit avoir remis services.exe
ça continue de rebooter ?

BOUFFONB · Answer

Bonjour et Merci J'ai desinstallé MSE. Puis le PC a arreté de redemmarer !!! Je me suis inscrit sur 2 autres forum avant celui ci, et personne n'a pu me donner une solution aussi simple (il suffit de voir les explications de mes démarches que j'expose avec ma question) J'ai lancé RogueKiller puis ils m'a envoyé sur le site du créateur de RogueKiller. Voici mon rapport RogueKiller RogueKiller V7.6.5 [03/08/2012] par Tigzy mail: tigzyRKgmailcom Remontees: https://www.luanagames.com/index.fr.html Blog: http://tigzyrk.blogspot.com Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version Demarrage : Mode normal Utilisateur: addour [Droits d'admin] Mode: Suppression -- Date: 11/08/2012 19:05:34 ¤¤¤ Processus malicieux: 0 ¤¤¤ ¤¤¤ Entrees de registre: 0 ¤¤¤ ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ [Susp.ASLR][ASLR WIPED-OFF] services.exe : c:\windows\system32\services.exe --> CANNOT FIX [ZeroAccess][Sig found] services.exe : c:\windows\system32\services.exe --> CANNOT FIX ¤¤¤ Driver: [CHARGE] ¤¤¤ ¤¤¤ Infection : ZeroAccess ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ 127.0.0.1 localhost ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: WDC WD32 00AAJS-22L7A SCSI Disk Device +++++ --- User --- [MBR] a811ebdb2a963ca0d2c5cb109bca09a5 [BSP] 202e3d69dde803e7dca781297891a587 : Acer tatooed MBR Code Partition table: 0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 16384 Mo 1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 33556480 | Size: 142490 Mo 2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 325376037 | Size: 146367 Mo User = LL1 ... OK! Error reading LL2 MBR! Termine : << RKreport[5].txt >> RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt ; RKreport[5].txt Il me demande d'utiliser TdssKiller et Combofix, doi-je le faire ? J'ai déja utiliseé TDsskiller et il m'annonce 0 threats Le virus a t-il disparu ? Dois-je utiliser Combofix? J'ai lu plusieurs fois que c'était un logiciel pour pro et dangereux pour les amateurs ( ce que je suis )? Et merci, merci et encore mille merci.

Malekal_morte- · Answer

Si ça reboot plus c'est bon. 

Le prb est que tu avais ZeroAccess qui touche le fichier services.exe et avec l'antivirus MSE, ça occasionne des reboots intempestifs... 


~~ 

Télécharge http://general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/28-adwcleaner AdwCleaner ( d'Xplode ) sur ton bureau.   
Lance le, clique sur [Suppression] puis patiente le temps du scan.   
Une fois le scan fini, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse.   

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt   

Like the angel you are, you laugh creating a lightness in my chest, 
Your eyes they penetrate me, 
(Your answer's always 'maybe') 
That's when I got up and left

BOUFFONB · Answer

Rebonjour et Remerci

Pour imformation :
Un forum m'a déja demandé d'utiliser ce logciel et je l'ai déja utilisé plusieurs fois 
Voici mon rapport adwcleaner

# AdwCleaner v1.800 - Rapport créé le 11/08/2012 à 20:46:58
# Mis à jour le 01/08/2012 par Xplode
# Système d'exploitation : Windows Vista (TM) Home Basic Service Pack 2 (32 bits)
# Nom d'utilisateur : addour - PC
# Exécuté depuis : C:\Users\addour\Desktop\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****


***** [Registre] *****


***** [Registre - GUID] *****


***** [Navigateurs] *****

-\ Internet Explorer v8.0.6001.19272

[OK] Le registre ne contient aucune entrée illégitime.

-\ Google Chrome v21.0.1180.75

Fichier : C:\Users\addour\AppData\Local\Google\Chrome\User Data\Default\Preferences

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[R1].txt - [9508 octets] - [06/08/2012 13:34:28]
AdwCleaner[S1].txt - [731 octets] - [06/08/2012 13:34:42]
AdwCleaner[S2].txt - [370 octets] - [06/08/2012 13:48:15]
AdwCleaner[S3].txt - [9429 octets] - [06/08/2012 13:51:32]
AdwCleaner[R2].txt - [1136 octets] - [06/08/2012 18:20:21]
AdwCleaner[S4].txt - [1198 octets] - [06/08/2012 18:20:35]
AdwCleaner[S5].txt - [303 octets] - [07/08/2012 19:13:34]
AdwCleaner[S6].txt - [1317 octets] - [07/08/2012 19:13:47]
AdwCleaner[S7].txt - [1377 octets] - [08/08/2012 11:12:44]
AdwCleaner[S8].txt - [1308 octets] - [11/08/2012 20:46:58]

########## EOF - C:\AdwCleaner[S8].txt - [1436 octets] ##########


Et encore merci

Malekal_morte- · Answer

Sécurise ton PC ! 


Installe Malwarebyte et fais des scans réguliers avec :  https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

~~

Important - ton infection est venue par un exploit sur site web :    

Un exploit sur site WEB permet l'infection de ton ordinateur de manière automatiquement à la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à ton insu.   
Le fait de ne pas avoir des logiciels à jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système.   
Exemple avec : Exploit Java   

Il faut donc impérativement maintenir tes logiciels à jour afin de ne pas voir ces portes d'entrée sur ton système. 
Tant que ces logiciels ne seront pas à jour, ton PC est vulnérable et les infections peuvent s'installer facilement. 

IMPORTANT : mettre à jour tes programmes notamment Java/Adobe Reader et Flash :  
/faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite      
https://forum.malekal.com/viewtopic.php?t=15960&start=   

Passe le mot à tes amis !  

~~ 

Filtrer les PUPs/Adwares les plus fréquents avec HOSTS Anti-PUPs/Adwares : http://www.malekal.com/2012/01/10/hosts-anti-pupsadware/ 

~~ 

Le reste de la sécurité : http://forum.malekal.com/comment-securiser-son-ordinateur.html 


Like the angel you are, you laugh creating a lightness in my chest, 
Your eyes they penetrate me, 
(Your answer's always 'maybe') 
That's when I got up and left

BOUFFONB · Answer

Bonjour

A partir d'aujourd'hui, je vais suivre scrupuleusement tes conseils.

Voici quelque questions :

1) Dés que je démarre mon PC, une fenêtre s'ouvre : Pourquoi et Que Faire ?  SVP :

" Microsoft Security Client
An Error has occured in the program durind initialisation.
If this problem continuesplease contacter your system admnistrator.
Error code 0x80070002 "


2) Je ne peut pas activer le Pare Feu, quand j'essaye une fenêtre apparait : Pourquoi et Que Faire ? SVP :

" Un probléme non identifié empeche Windows d'afficher les parametre du pare feu Windows " 


3) Voici mon rapport Malwarbytes : Signification ? SVP :

Malwarebytes Anti-Malware 1.62.0.1300
www.malwarebytes.org

Version de la base de données: v2012.08.12.03

Windows Vista Service Pack 2 x86 NTFS
Internet Explorer 8.0.6001.19272
addour :: PC [administrateur]

12/08/2012 13:20:04
mbam-log-2012-08-12 (13-20-04).txt

Type d'examen: Examen complet (C:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 433082
Temps écoulé: 2 heure(s), 17 minute(s), 50 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 2
C:\Users\addour\Desktop\GAMMES\DIVERS JEUX\35.exe (Adware.TryMedia) -> Mis en quarantaine et supprimé avec succès.
C:\Users\addour\Desktop\RK_Quarantine
.vir (RootKit.0Access) -> Mis en quarantaine et supprimé avec succès.

(fin)


4 ) Dois-je retélécharger MSE (ou un autre antivirus) ? SVP ?

5) Mon PC est-il maintenant sain et sauf à présent et les problémes éliminés ? 

Et encore une fois, Merci pour tout

Malekal_morte- · Answer

Désinstalle Microsoft Security Essentials.

~~


Sauvegarde tes documents importants.
A lire en entier.


Désactive les logiciels de protection (Antivirus, Antispywares) 
En Général, cela se fait par un clic droit sur l'icône de ton antivirus en bas à droite et désactiver protection/agent ou autres.

ensuite :

Télécharge Combofix sUBs : http://download.bleepingcomputer.com/sUBs/ComboFix.exe et sauvegarde le sur ton bureau et pas ailleurs!       

Double-clic sur combofix, accepte la licence d'utilisation et laisse toi guider.       

Eventuellement, installe la console de récupération comme cela est conseillé       

Attends que combofix ait terminé, un rapport sera créé. Poste le rapport.
Si le rapport ne passe pas, envoie le sur ce site : http://pjjoint.malekal.com/
et donne le lien ici :)     

Tu as le tutorial sur ce lien pour t'aider : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix       

PS : si Combofix ne se lance pas, renomme le fichier Combofix et retente.       

Si pas mieux, tente en mode sans échec sans prise en charge du réseau : Redémarre en mode sans échec, pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec et appuye sur la touche entrée du clavier.    

Si Combofix émet toujours une alerte sur l'antivirus : Si tu es en mode sans échec continue, si tu es en mode normal et que l'antivirus est bien désactivé. Continue.
Hébergement du rapport : Utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport, donne le lien pjjoint qui pointent vers ce rapport dans un nouveau message.


~~

Réinstalle le pour voir.

BOUFFONB · Answer

BONSOIR et MERCI

Voici mon rapport COMBOFIX


https://pjjoint.malekal.com/files.php?read=20120812_d15o6b13h12b7

Malekal_morte- · Answer

ça donne quoi ?

BOUFFONB · Answer

BONSOIR 

J'ai réinstallé MSE et tout va bien, il ne reboote plus.

Merci

Malekal_morte- · Answer

Sécurise ton PC :

Important - ton infection est venue par un exploit sur site web :   

Un exploit sur site WEB permet l'infection de ton ordinateur de manière automatiquement à la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à ton insu.  
Le fait de ne pas avoir des logiciels à jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système.  
Exemple avec : Exploit Java  

Il faut donc impérativement maintenir tes logiciels à jour afin de ne pas voir ces portes d'entrée sur ton système.
Tant que ces logiciels ne seront pas à jour, ton PC est vulnérable et les infections peuvent s'installer facilement.

IMPORTANT : mettre à jour tes programmes notamment Java/Adobe Reader et Flash : 
/faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite     
https://forum.malekal.com/viewtopic.php?t=15960&start=  

Passe le mot à tes amis ! 

~~

Filtrer les PUPs/Adwares les plus fréquents avec HOSTS Anti-PUPs/Adwares : http://www.malekal.com/2012/01/10/hosts-anti-pupsadware/

~~

Le reste de la sécurité : http://forum.malekal.com/comment-securiser-son-ordinateur.html

Bioubiounette · Answer

Bonjour.

J'ai le même problème que BouffonB ! Aidez-moi svp je n'arrive pas à faire comme lui.

Voici le lien ou j'ai posée ma question: https://forums.commentcamarche.net/forum/affich-25823992-mon-pc-s-eteint-et-se-rallume-seul-sans-arret#p25826889

Répondez où j'ai postée svp !!! :'(

g3n-h@ckm@n · Answer

malekal est competant il t'aidera

Bioubiounette · Answer

Merci.

BOUFFONB · Answer

Une derniére fois : 
MERCI Malekal

Bioubiounette · Answer

Moi je n'y arrive toujours pas je n'y comprend rien du tout !!!