Sujet Précédent Sujet Suivant

Infection Sirefef

Fermé
lindadk Messages postés 5 Date d'inscription dimanche 2 décembre 2012 Statut Membre Dernière intervention 4 décembre 2012 - 2 déc. 2012 à 13:34
lindadk Messages postés 5 Date d'inscription dimanche 2 décembre 2012 Statut Membre Dernière intervention 4 décembre 2012 - 4 déc. 2012 à 08:19
Bonjour,

Je viens d'être infecté par le trojan sirefef aux dires de mon antivirus. J'ai suivi la démarche proposé sur votre site et fais un scan aswBMR.exe, donc ci-dessous le log après scan :

aswMBR version 0.9.9.1707 Copyright(c) 2011 AVAST Software
Run date: 2012-12-02 13:14:53
-----------------------------
13:14:53.429 OS Version: Windows x64 6.1.7600
13:14:53.429 Number of processors: 2 586 0x170A
13:14:53.431 ComputerName: VAIO UserName:
13:15:08.544 Initialize success
13:15:08.909 AVAST engine defs: 12120101
13:15:11.964 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-1
13:15:11.969 Disk 0 Vendor: ST932032 0004 Size: 305245MB BusType: 3
13:15:11.976 Disk 1 \Device\Harddisk1\DR1 -> \Device\00000092
13:15:11.983 Disk 1 Vendor: RICOH 02 Size: 305245MB BusType: 0
13:15:11.991 Disk 2 \Device\Harddisk2\DR2 -> \Device\00000093
13:15:12.000 Disk 2 Vendor: RICOH 02 Size: 305245MB BusType: 0
13:15:12.039 Disk 0 MBR read successfully
13:15:12.048 Disk 0 MBR scan
13:15:12.058 Disk 0 Windows 7 default MBR code
13:15:12.073 Disk 0 Partition 1 00 27 Hidden NTFS WinRE NTFS 12057 MB offset 2048
13:15:12.095 Disk 0 Partition 2 80 (A) 07 HPFS/NTFS NTFS 100 MB offset 24694784
13:15:12.122 Disk 0 Partition 3 00 07 HPFS/NTFS NTFS 293086 MB offset 24899584
13:15:12.158 Disk 0 scanning C:\Windows\system32\drivers
13:15:22.944 Service scanning
13:15:40.389 Service sptd C:\Windows\System32\Drivers\sptd.sys **LOCKED** 32
13:15:47.175 Modules scanning
13:15:47.192 Disk 0 trace - called modules:
13:15:47.255 ntoskrnl.exe CLASSPNP.SYS disk.sys ACPI.sys iaStor.sys spmh.sys hal.dll
13:15:47.269 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0xfffffa8004c71060]
13:15:47.283 3 CLASSPNP.SYS[fffff880019b643f] -> nt!IofCallDriver -> [0xfffffa8004b121f0]
13:15:47.296 5 ACPI.sys[fffff880011b2781] -> nt!IofCallDriver -> \Device\Ide\IAAStorageDevice-1[0xfffffa8004b34050]
13:15:48.988 AVAST engine scan C:\Windows
13:15:52.672 AVAST engine scan C:\Windows\system32
13:17:45.518 File: C:\Windows\assembly\GAC_32\Desktop.ini **INFECTED** Win32:Sirefef-PL [Rtk]
13:17:47.957 File: C:\Windows\assembly\GAC_64\Desktop.ini **INFECTED** Win32:Sirefef-PL [Rtk]
13:19:45.007 AVAST engine scan C:\Windows\system32\drivers
13:20:00.537 AVAST engine scan C:\Users\Linda
13:24:35.881 Disk 0 MBR has been saved successfully to "C:\Users\Linda\Desktop\MBR.dat"
13:24:35.910 The log file has been saved successfully to "C:\Users\Linda\Desktop\aswMBR.txt"

Mille merci pour votre aide et conseils.

Bien Cordialement,

8 réponses

Réponse 1 / 8
Utilisateur anonyme
2 déc. 2012 à 14:44
Bonjour

* Télécharger sur le bureau RogueKiller (par tigzy)
* Quitter tous les programmes en cours
* Lancer RogueKiller.exe.
* Attendre la fin du Prescan ...
* Cliquer sur Scan.
* A la fin du scan Cliquer sur Rapport et copier coller le contenu du notepad dans ta réponse
0
Réponse 2 / 8
lindadk Messages postés 5 Date d'inscription dimanche 2 décembre 2012 Statut Membre Dernière intervention 4 décembre 2012
2 déc. 2012 à 15:28
Merci de ton retour rapide, ci dessous le report de roguekiller :

RogueKiller V8.3.1 [Nov 20 2012] by Tigzy
mail: tigzyRK<at>gmail<dot>com
Feedback: http://www.geekstogo.com/forum/files/file/413-roguekiller/
Website: http://www.geekstogo.com/forum/files/file/413-roguekiller/
Blog: http://tigzyrk.blogspot.com

Operating System: Windows 7 (6.1.7600 ) 64 bits version
Started in : Normal mode
User : Linda [Admin rights]
Mode : Scan -- Date : 12/02/2012 15:26:31

¤¤¤ Bad processes : 0 ¤¤¤

¤¤¤ Registry Entries : 8 ¤¤¤
[RUN][SUSP PATH] HKCU\[...]\Run : Spotify ("C:\Users\Linda\AppData\Roaming\Spotify\Spotify.exe" /uri spotify:autostart) -> FOUND
[RUN][SUSP PATH] HKCU\[...]\Run : Spotify Web Helper ("C:\Users\Linda\AppData\Roaming\Spotify\Data\SpotifyWebHelper.exe") -> FOUND
[RUN][SUSP PATH] HKUS\S-1-5-21-2238682521-659498600-3871907556-1000[...]\Run : Spotify ("C:\Users\Linda\AppData\Roaming\Spotify\Spotify.exe" /uri spotify:autostart) -> FOUND
[RUN][SUSP PATH] HKUS\S-1-5-21-2238682521-659498600-3871907556-1000[...]\Run : Spotify Web Helper ("C:\Users\Linda\AppData\Roaming\Spotify\Data\SpotifyWebHelper.exe") -> FOUND
[STARTUP][SUSP PATH] Dropbox.lnk @Linda : C:\Users\Linda\AppData\Roaming\Dropbox\bin\Dropbox.exe -> FOUND
[PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (hxxp=127.0.0.1:5555) -> FOUND
[HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
[HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND

¤¤¤ Particular Files / Folders: ¤¤¤
[ZeroAccess][FOLDER] U : C:\Windows\Installer\{064fd354-1fd6-e98f-a792-b56b8442a22f}\U --> FOUND
[ZeroAccess][FOLDER] L : C:\Windows\Installer\{064fd354-1fd6-e98f-a792-b56b8442a22f}\L --> FOUND
[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_32\Desktop.ini --> FOUND
[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_64\Desktop.ini --> FOUND

¤¤¤ Driver : [NOT LOADED] ¤¤¤

¤¤¤ Infection : ZeroAccess ¤¤¤

¤¤¤ HOSTS File: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts

127.0.0.1 activate.adobe.com
127.0.0.1 adobe.activate.com
127.0.0.1 practivate.adobe.com
127.0.0.1 ereg.adobe.com
127.0.0.1 adobeereg.com
127.0.0.1 activate.wip3.adobe.com
127.0.0.1 wip3.adobe.com
127.0.0.1 3dns-3.adobe.com
127.0.0.1 3dns-2.adobe.com
127.0.0.1 adobe-dns.adobe.com
127.0.0.1 adobe-dns-2.adobe.com
127.0.0.1 adobe-dns-3.adobe.com
127.0.0.1 ereg.wip3.adobe.com
127.0.0.1 activate-sea.adobe.com
127.0.0.1 wwis-dubc1-vip60.adobe.com
127.0.0.1 activate-sjc0.adobe.com
127.0.0.1 wwis-dubc1-vip60.adobe.com


¤¤¤ MBR Check: ¤¤¤

+++++ PhysicalDrive0: ST9320325AS +++++
--- User ---
[MBR] fec780c9ef25a6b278d48e76244c6c45
[BSP] 4e5d882cb53261cbd5a00a2ac61a80d1 : Windows 7/8 MBR Code
Partition table:
0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 12057 Mo
1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 24694784 | Size: 100 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 24899584 | Size: 293086 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Finished : << RKreport[2]_S_12022012_02d1526.txt >>
RKreport[1]_S_12022012_02d1522.txt ; RKreport[2]_S_12022012_02d1526.txt
0
Réponse 3 / 8
Utilisateur anonyme
2 déc. 2012 à 15:59
* ReLancer RogueKiller.exe.
* Attendre la fin du Prescan ...
* Cliquer sur Scan.
* A la fin du scan Cliquer sur Rapport et copier coller le contenu du notepad dans ta réponse

* Aller Dans l'onglet "Registre", vérifie que toutes les lignes sont cochées
* Cliquer sur Suppression.
* Cliquer sur Rapport et copier coller le contenu du notepad
0
Réponse 4 / 8
lindadk Messages postés 5 Date d'inscription dimanche 2 décembre 2012 Statut Membre Dernière intervention 4 décembre 2012
2 déc. 2012 à 16:24
Ci-dessous le nouveau rapport après la suppression :

RogueKiller V8.3.1 [Nov 20 2012] by Tigzy
mail: tigzyRK<at>gmail<dot>com
Feedback: http://www.geekstogo.com/forum/files/file/413-roguekiller/
Website: http://www.geekstogo.com/forum/files/file/413-roguekiller/
Blog: http://tigzyrk.blogspot.com

Operating System: Windows 7 (6.1.7600 ) 64 bits version
Started in : Normal mode
User : Linda [Admin rights]
Mode : Remove -- Date : 12/02/2012 16:21:14

¤¤¤ Bad processes : 0 ¤¤¤

¤¤¤ Registry Entries : 6 ¤¤¤
[RUN][SUSP PATH] HKCU\[...]\Run : Spotify ("C:\Users\Linda\AppData\Roaming\Spotify\Spotify.exe" /uri spotify:autostart) -> DELETED
[RUN][SUSP PATH] HKCU\[...]\Run : Spotify Web Helper ("C:\Users\Linda\AppData\Roaming\Spotify\Data\SpotifyWebHelper.exe") -> DELETED
[STARTUP][SUSP PATH] Dropbox.lnk @Linda : C:\Users\Linda\AppData\Roaming\Dropbox\bin\Dropbox.exe -> DELETED
[PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (hxxp=127.0.0.1:5555) -> NOT REMOVED, USE PROXYFIX
[HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
[HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)

¤¤¤ Particular Files / Folders: ¤¤¤
[Del.Parent][FILE] 00000008.@ : C:\Windows\Installer\{064fd354-1fd6-e98f-a792-b56b8442a22f}\U\00000008.@ --> REMOVED
[Del.Parent][FILE] 80000064.@ : C:\Windows\Installer\{064fd354-1fd6-e98f-a792-b56b8442a22f}\U\80000064.@ --> REMOVED
[ZeroAccess][FOLDER] ROOT : C:\Windows\Installer\{064fd354-1fd6-e98f-a792-b56b8442a22f}\U --> REMOVED
[ZeroAccess][FOLDER] ROOT : C:\Windows\Installer\{064fd354-1fd6-e98f-a792-b56b8442a22f}\L --> REMOVED
[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_32\Desktop.ini --> REMOVED AT REBOOT
[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_64\Desktop.ini --> REMOVED AT REBOOT

¤¤¤ Driver : [NOT LOADED] ¤¤¤

¤¤¤ Infection : ZeroAccess ¤¤¤

¤¤¤ HOSTS File: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts

127.0.0.1 activate.adobe.com
127.0.0.1 adobe.activate.com
127.0.0.1 practivate.adobe.com
127.0.0.1 ereg.adobe.com
127.0.0.1 adobeereg.com
127.0.0.1 activate.wip3.adobe.com
127.0.0.1 wip3.adobe.com
127.0.0.1 3dns-3.adobe.com
127.0.0.1 3dns-2.adobe.com
127.0.0.1 adobe-dns.adobe.com
127.0.0.1 adobe-dns-2.adobe.com
127.0.0.1 adobe-dns-3.adobe.com
127.0.0.1 ereg.wip3.adobe.com
127.0.0.1 activate-sea.adobe.com
127.0.0.1 wwis-dubc1-vip60.adobe.com
127.0.0.1 activate-sjc0.adobe.com
127.0.0.1 wwis-dubc1-vip60.adobe.com


¤¤¤ MBR Check: ¤¤¤

+++++ PhysicalDrive0: ST9320325AS +++++
--- User ---
[MBR] fec780c9ef25a6b278d48e76244c6c45
[BSP] 4e5d882cb53261cbd5a00a2ac61a80d1 : Windows 7/8 MBR Code
Partition table:
0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 12057 Mo
1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 24694784 | Size: 100 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 24899584 | Size: 293086 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Finished : << RKreport[4]_D_12022012_02d1621.txt >>
RKreport[1]_S_12022012_02d1522.txt ; RKreport[2]_S_12022012_02d1526.txt ; RKreport[3]_S_12022012_02d1619.txt ; RKreport[4]_D_12022012_02d1621.txt
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 8
Utilisateur anonyme
2 déc. 2012 à 16:29
Télécharger sur le bureau RogueKiller (par tigzy)
Quitter tous les programmes
Lancer RogueKiller.exe.
Si RogueKiller ne se lance pas renommer son extension en .com
Attendre que le Prescan ait fini ...
Cliquer sur Proxy RAZ. Cliquer sur Rapport et copier coller le contenu du notepad

========================================================

A faire aprés Roguekiller

* Télécharge OTL sur ton bureau.

* Fais un double-clic sur l'icône d'OTL pour le lancer
/!\ pour Vista/Seven fais un clic-droit sur l'icône d'OTL et choisis "Exécuter en tant qu'administrateur"

* Assure toi d'avoir fermé toutes les applications en court de fonctionnement.

* Quand la fenêtre d'OTL apparaît, assure toi que dans la section "Rapport" (en haut à droite) la case "Rapport minimal" soit cochée.

* Copies et colles le contenue de cette citation dans la partie inférieure d'OTL "Personnalisation"


netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
explorer.exe
winlogon.exe
userinit.exe
wininit.exe
services.exe
/md5stop
%systemroot%\system32\consrv.dll
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
nslookup www.google.fr /c
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
SAVEMBR:0
CREATERESTOREPOINT



* Cliques sur l'icône "Analyse" (en haut à gauche) .
* Laisse le scan aller à son terme sans te servir du PC
* A la fin du scan un ou deux rapports vont s'ouvrir "OTL.Txt" et ( ou ) "Extras.Txt"( dans certains cas).
* Héberge le ou les rapports sur le site pjjoint.malekal.com ou cijoint.fr ou toofiles , puis copie/colle le ou les liens fournit dans ta prochaine réponse sur le forum

PS:Tu peux retrouver les rapports dans le dossier C:\OTL ou sur ton bureau en fonction des cas rencontrés




0
Réponse 6 / 8
lindadk Messages postés 5 Date d'inscription dimanche 2 décembre 2012 Statut Membre Dernière intervention 4 décembre 2012
2 déc. 2012 à 22:21
Encore merci pour votre aide,

Je ne comprends pas encore toute les manoeuvres mais j'ai effectué le scan que tu m'as précisé via OTL, ci-joint les 2 fichiers :
https://pjjoint.malekal.com/files.php?id=20121202_u10h11l5o12q9
https://pjjoint.malekal.com/files.php?id=20121202_t14g12d14e5m5

A vous lire et merci d'avance,
0
Réponse 7 / 8
Utilisateur anonyme
2 déc. 2012 à 23:05
Tu as bien relancé Roguekiller avec l'option Proxy RAZ?

* Télécharge AdwCleaner sur ton Bureau. (Merci à Xplode)

*Double-clique sur l'icône AdwCleaner située sur ton Bureau.
*Sur la page, clique sur le bouton «Suppression»
*Laisse travailler l'outil.
*Poste le rapport qui apparaît à la fin.
(Le rapport est sauvegardé aussi sous C:\ AdwCleaner[SX].Txt)
0
Réponse 8 / 8
lindadk Messages postés 5 Date d'inscription dimanche 2 décembre 2012 Statut Membre Dernière intervention 4 décembre 2012
4 déc. 2012 à 08:19
Bonjour,

J'ai essayé de faire tourner adwcleaner, mais malheureusement le scan ne se lance pas. Avez vous éventuellement d'autres idées.

Merci d'avance de votre retour,
0

Discussions similaires

HELP! Comment supprimer le virus Trojan.Sirefef.YS ?!
Akram64 -
Malekal_morte- -

22 réponses
TROJAN win32/Sirefef!cfg
septimus -
sawpas -

5 réponses
Virus : infection Win32:Malware-gen et Win64:Sirefef-A [Trj]
BCK -
kalimusic -

15 réponses
Infection ?
Tomy -
MisteryBean -

10 réponses
infection ou pas?
jpn1000 -
mcvivien2 -

5 réponses