Sujet Précédent Sujet Suivant

Root.MBR

Fermé
Wardric - 29 oct. 2012 à 23:56
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 - 30 oct. 2012 à 17:12
Bonjour,

Voilà aujourd'hui à 12h j'ai fais une analyse avec RogueKiller sur mon ordinateur donc rien à signaler
Puis dans la soirée j'ai installer webplayer et juste après un ami ma dit que c'était une connerie et qu'il fallait vite le supprimer , ce que j'ai fait puis j'ai refait une analyse avec roguekiller et là.Point d'exclamation avec écrit Root.MBR

alors avant tous j'ai 2-3 questions:
-es que webplayer est bien "une connerie"?Et est-il la cause de cela?
-Peut ton continuer d'utiliser normalement son ordinateur malgrès cette infectation ? car je suis aller voir sur google pour savoir comment les traité et cela ma l'air long et difficile =S
-Et quesqu'un Root.MBR?

Merci d'avance pour vaut réponses que j'attend avec impatience


7 réponses

Réponse 1 / 7
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 328
30 oct. 2012 à 00:13
Bonjour,

Est-ce que tu peux poster le rapport RogueKiller ?

Smart
0
Réponse 2 / 7
Wardric Messages postés 3 Date d'inscription mardi 30 octobre 2012 Statut Membre Dernière intervention 30 octobre 2012
30 oct. 2012 à 00:23
RogueKiller V8.2.1 [29/10/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html
Website: https://www.luanagames.com/index.fr.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Demarrage : Mode normal
Utilisateur : Cedric [Droits d'admin]
Mode : Recherche -- Date : 30/10/2012 00:14:18

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 0 ¤¤¤

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [NON CHARGE] ¤¤¤

¤¤¤ Infection : Root.MBR ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts



¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: TOSHIBA MK5065GSX +++++
--- User ---
[MBR] 89a8a4a42b3e229371cb8a3197a5bc8c
[BSP] 59cb27ecc7253d7b5695e715ccdfc6ea : Windows 7 MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 199 Mo
1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 409600 | Size: 460693 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 943908864 | Size: 15943 Mo
3 - [XXXXXX] FAT32-LBA (0x0c) [VISIBLE] Offset (sectors): 976560128 | Size: 103 Mo
User = LL1 ... OK!
User != LL2 ... KO!
--- LL2 ---
[MBR] 001cac54f8d6246fd6783486d77e47a2
[BSP] 3c767a1aa045c381893cc4552bd9e86e : MBR Code unknown
Partition table:
0 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 409600 | Size: 77824 Mo
1 - [ACTIVE] FAT32-LBA (0x0c) [VISIBLE] Offset (sectors): 159793152 | Size: 400 Mo

Termine : << RKreport[8].txt >>
RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt ; RKreport[5].txt ;
RKreport[6].txt ; RKreport[7].txt ; RKreport[8].txt


PS:Mon ordinateur a des partition pour la restauration esqu'un beug peut venir d'ici?
0
Réponse 3 / 7
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 328
30 oct. 2012 à 00:27
Tu as passé tellement de fois (8) RogueKiller que je ne sais plus quel rapport te demander
Essaie de poster ces deux là:
RKreport[6].txt
RKreport[7].txt

Smart
0
Réponse 4 / 7
Wardric Messages postés 3 Date d'inscription mardi 30 octobre 2012 Statut Membre Dernière intervention 30 octobre 2012
30 oct. 2012 à 01:14
Oui car j'ai essayé de le supprimé un supprimant tout ce qui était potentiellement liés

Je te met le 1 et le 2 qui me semble être les plus important
(ps:cacaoweb et depuis longtemp présent dans mon ordinateur et ne m'a encore posé aucun probleme donc je le laisse tranquille^^)

Rapport1:
RogueKiller V8.2.0 [22/10/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html
Website: https://www.luanagames.com/index.fr.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Demarrage : Mode normal
Utilisateur : Cedric [Droits d'admin]
Mode : Recherche -- Date : 29/10/2012 23:37:34

¤¤¤ Processus malicieux : 1 ¤¤¤
[SUSP PATH] cacaoweb.exe -- C:\Users\Cedric\AppData\Roaming\cacaoweb\cacaoweb.exe -> TUÉ [TermProc]

¤¤¤ Entrees de registre : 5 ¤¤¤
[RUN][SUSP PATH] HKCU\[...]\Run : cacaoweb ("C:\Users\Cedric\AppData\Roaming\cacaoweb\cacaoweb.exe" -noplayer) -> TROUVÉ
[RUN][SUSP PATH] HKUS\S-1-5-21-3624817755-1425363473-2937153298-1001[...]\Run : cacaoweb ("C:\Users\Cedric\AppData\Roaming\cacaoweb\cacaoweb.exe" -noplayer) -> TROUVÉ
[TASK][SUSP PATH] HPSA Upgrade : C:\ProgramData\Hewlett-Packard\HPSAUpgrade3\HpSAUpgrade.exe -> TROUVÉ
[HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> TROUVÉ
[HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [NON CHARGE] ¤¤¤

¤¤¤ Infection : Root.MBR ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts



¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: TOSHIBA MK5065GSX +++++
--- User ---
[MBR] 89a8a4a42b3e229371cb8a3197a5bc8c
[BSP] 59cb27ecc7253d7b5695e715ccdfc6ea : Windows 7 MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 199 Mo
1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 409600 | Size: 460693 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 943908864 | Size: 15943 Mo
3 - [XXXXXX] FAT32-LBA (0x0c) [VISIBLE] Offset (sectors): 976560128 | Size: 103 Mo
User = LL1 ... OK!
User != LL2 ... KO!
--- LL2 ---
[MBR] 001cac54f8d6246fd6783486d77e47a2
[BSP] 3c767a1aa045c381893cc4552bd9e86e : MBR Code unknown
Partition table:
0 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 409600 | Size: 77824 Mo
1 - [ACTIVE] FAT32-LBA (0x0c) [VISIBLE] Offset (sectors): 159793152 | Size: 400 Mo

Termine : << RKreport[1].txt >>
RKreport[1].txt


Rapport 2:

RogueKiller V8.2.0 [22/10/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html
Website: https://www.luanagames.com/index.fr.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Demarrage : Mode normal
Utilisateur : Cedric [Droits d'admin]
Mode : Suppression -- Date : 29/10/2012 23:37:48

¤¤¤ Processus malicieux : 1 ¤¤¤
[SUSP PATH] cacaoweb.exe -- C:\Users\Cedric\AppData\Roaming\cacaoweb\cacaoweb.exe -> TUÉ [TermProc]

¤¤¤ Entrees de registre : 4 ¤¤¤
[RUN][SUSP PATH] HKCU\[...]\Run : cacaoweb ("C:\Users\Cedric\AppData\Roaming\cacaoweb\cacaoweb.exe" -noplayer) -> SUPPRIMÉ
[TASK][SUSP PATH] HPSA Upgrade : C:\ProgramData\Hewlett-Packard\HPSAUpgrade3\HpSAUpgrade.exe -> SUPPRIMÉ
[HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REMPLACÉ (0)
[HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [NON CHARGE] ¤¤¤

¤¤¤ Infection : Root.MBR ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts



¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: TOSHIBA MK5065GSX +++++
--- User ---
[MBR] 89a8a4a42b3e229371cb8a3197a5bc8c
[BSP] 59cb27ecc7253d7b5695e715ccdfc6ea : Windows 7 MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 199 Mo
1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 409600 | Size: 460693 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 943908864 | Size: 15943 Mo
3 - [XXXXXX] FAT32-LBA (0x0c) [VISIBLE] Offset (sectors): 976560128 | Size: 103 Mo
User = LL1 ... OK!
User != LL2 ... KO!
--- LL2 ---
[MBR] 001cac54f8d6246fd6783486d77e47a2
[BSP] 3c767a1aa045c381893cc4552bd9e86e : MBR Code unknown
Partition table:
0 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 409600 | Size: 77824 Mo
1 - [ACTIVE] FAT32-LBA (0x0c) [VISIBLE] Offset (sectors): 159793152 | Size: 400 Mo

Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 7
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 328
30 oct. 2012 à 10:10
Je ne pense pas qu'il ya ait infection ici, le MBR doit être masqué par un logiciel de sécuriyé?

On va faire quelques vérifications

Il se peut que tu aies un émulateur de CD également

On va faire ceci:

* Télécharge Defogger (de jpshortstuff) sur ton Bureau
* Lance le
* Une fenêtre apparait : clique sur "Disable"
* Fais redémarrer l'ordinateur si l'outil te le demande
* Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable"

Ensuite ceci:

* Télécharge TDSSKiller (de Kaspersky Labs) sur ton Bureau.
* Lance le (si tu utilises Windows Vista ou 7 : fais un clic-droit dessus et choisis "Exécuter en tant qu'administrateur")
* Clique sur Start Scan pour démarrer l'analyse.
* Si TDSS.tdl2 : l'option Delete sera cochée.
* Si TDSS.tdl3 ou TDSS.tdl4 : assure toi que Cure soit bien cochée.
* Si "Suspicious object" laisse l'option cochée sur Skip
* Si Rootkit.Win32.ZAccess.* est détecté règle sur cure en haut , et delete en bas
* Ensuite, clique sur Continue puis sur Reboot Now si nécessaire.
* Un rapport s'ouvrira au redémarrage de l'ordinateur.
* Copie/colle son contenu dans ta prochaine réponse.
Note : Le rapport se trouve également sous C:\TDSSKiller.N°deversion_Date_Heure_log.txt

Si le rapport est trop long, tu ne pourras pas le coller entièrement dans ta réponse, héberge le en utilisant ce site: http://pjjoint.malekal.com/
Et poste le lien pour que j'y accède

Smart
0
Réponse 6 / 7
Wardric Messages postés 3 Date d'inscription mardi 30 octobre 2012 Statut Membre Dernière intervention 30 octobre 2012
Modifié par Wardric le 30/10/2012 à 15:46
Désolé pour le temps d'attente et encore merci de te préoccuper de moi.
Quand j'ai rallumé mon ordinateur aujourd'hui j'ai remarqué que 2 icônes étaient apparues sur mon bureau 1 était l'ordinateur et l'autre était mon dossier personnel de ma session (ce n'était pas des raccourci)
Alors j'ai suivi les étape que tu m'a dit mais TDSSKiller n'a rien trouver je te laisse regarder par toi même:
https://pjjoint.malekal.com/files.php?id=20121030_b6r11o9t14w15

Je te met aussi le rapport de defogger (si sa peut te servir...):
defogger_disable by jpshortstuff (23.02.10.1)
Log created at 15:34 on 30/10/2012 (Cedric)

Checking for autostart values...
HKCU\~\Run values retrieved.
HKLM\~\Run values retrieved.

Checking for services/drivers...


-=E.O.F=-
0
Réponse 7 / 7
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 328
30 oct. 2012 à 17:12
En effet rien trouvé par TDSSKiller

"Quand j'ai rallumé mon ordinateur aujourd'hui j'ai remarqué que 2 icônes étaient apparues sur mon bureau 1 était l'ordinateur et l'autre était mon dossier personnel de ma session "
Rien de surprenant, il est normal d'avoir sur le bureau les icônes Ordinateur et dossier personnel. Quelle est ton inquiétude ?

Pour moi il n'y a pas d'infection MBR et l'alerte de RogueKiller est surement dû à un logiciel de sécurité qui cache le MBR.

On va faire un diagnostic du PC pour voir s'il n'y a pas d'autres infections

Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
ou depuis ce lien si le premier a des soucis:
http://www.forums-fec.be/ZHP/ZHPDiag2.exe

Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions.

/!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur »

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.
- Double clique sur le raccourci ZHPDiag sur ton Bureau pour le lancer.
- Si tu possèdes Avast 6 ou 7 comme antivirus, à l'alerte choisis "lancer normalement"
- Si tu obtiens le message "Voulez-vous autoriser le programme suivant..." tu réponds Oui
(/!\L'outil a créé 2 icônes ZHPDiag et ZHPFix)
- Clique sur le tournevis à droite et coche toutes les cases
- Clique sur la loupe pour lancer l'analyse.
- Laisse l'outil travailler, il peut être assez long.
- Ferme ZHPDiag en fin d'analyse.
- Pour transmettre le rapport clique sur ce lien: http://pjjoint.malekal.com/
- Clique sur Parcourir et cherche le répertoire C:\ZHP
- Sélectionne le fichier ZHPDiag.txt. puis clique sur "Ouvrir"
- Ensuite Clique sur "Envoyer le fichier".
- Copie le lien obtenu dans ta réponse.

Smart
0