Cheval de Troie TR/Sirefef.A.61

Question

Bonjour à vous, 

Depuis maintenant 5h j'ai la présence d'un virus dans C:\$RECYCLE.BIN et contre lequel mon antivirus (avira)  ne peut rien faire: TR/Sirefef.A.61.
Je supprime ce trojan mais le message d'alerte reviens, ce message apparait toutes les 30 secondes.

Quelqu'un pourrait-il m'aider svp?


Merci d'avance. 

Configuration: Windows Vista / Firefox 18.0

juju666 · Answer

salut,

il est facile à abattre le vilain rootkit :)

Désactive toutes tes protections si possible , antivirus , sandbox , pare-feux , etc....: https://forum.pcastuces.com/default.asp

télécharge et enregistre Pre_Scan sur ton bureau : https://forums-fec.be/gen-hackman/Pre_Scan.exe

NOTE : si le lien ne fonctionne pas : http://www.archive-host.com

si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Scan|Kill"

NOTE : si l'outil est bloqué par l'infection utilise cette version avec extension .pif : https://forums-fec.be/gen-hackman/Pre_Scan.pif

si l'outil détecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

Il se peut que des fenêtres noires clignotent , laisse-le travailler.

Laisse l'outil redémarrer ton pc.

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra à la racine de ton disque système ( généralement C:\ )

NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

Héberge le rapport sur https://forums-fec.be/upload puis donne le lien obtenu en échange

Ne transmets pas le lien de suppression !!!

allovirus · Answer

re-bonjour...
et voilà le scan est fait...assez long mais utile je suppose...
donc l'outil s'est lancé, a rebooté mon pc après m'avoir demandé si je voulais vider ma corbeille car elle était endommagée (effectivement ça avait mis le trojan dedans...enfin je suppose, je suis pas un as sinon j'aurais pas demandé de coup de main)
alors j'ai renommé mon dossier Pre_Scan mais il n'y a plus de soucis, je n'ai plus de message d'alerte...du coup est-ce utile de le poster? que se passe t-il si je le supprime directement? (ça peut paraitre c... comme questions mais j'aime bien savoir)
Et sinon puis-je supprimer les raccourcis mis sur mon bureau (réseau, ordinateur, et mon dossier)?

Merci pour votre aide...heureusement que les forums existent ;)

juju666 · Answer

2h30 de scan O_O
Tu fais jamais le ménage sur ton ordi ?

Oui, j'aimerais avoir le rapport  STP, car ce n'est pas fini :-)
Donc poste moi le rapport comme demandé, via FEC Upload.

Ensuite :

&#9654 Télécharge et installe Malwarebytes' Anti-Malware (MBAM). 

&#9654 Exécute-le. Accepte la mise à jour.


&#9654 Sélectionne "Exécuter un examen complet" 
&#9654 Clique sur "Rechercher" 
&#9654 L'analyse démarre, le scan est relativement long, c'est normal. 

A la fin de l'analyse, un message s'affiche : 

 Citation :

    L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés. 

&#9654 Clique donc sur Afficher les résultats. 
&#9654 Clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
    MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse : ferme le. 

Si MBAM demande à redémarrer le pc : &#9654  fais-le. 

Au redémarrage, relance MBAM, onglet "Rapport/Logs", copie/colle celui qui correspond à l'analyse effectuée.  

@+

allovirus · Answer

salut...

si pourtant ça m'arrive de faire le ménage (j'ai ccleaner, auslogics et glary utilities)...mais apparemment je le fais pas assez souvent :$

voila j'ai posté: 	https://forums-fec.be/upload/www/?action=d&id=2565801702

tu me diras quand je pourrais supprimer ce lien merci

sinon j'ai un dossier Pre_Scan qui s'est créé dans mon disque C je le laisse ou je peux le supprimer?
et j'ai aussi des fichiers (commençant  par "~$" qui se sont mis sur mon bureau + des raccourcis (réseau, panneau de config, etc) je peux les supprimer?

bon je suis en train de faire la suite (MBAM)..ya plus qu'à attendre

Merci beaucoup ^^

(je pensais avoir déjà posté ma réponse mais ça a du déconné)

juju666 · Answer

Coucou,

auslogics et glary utilities => poubelle
Auslogic ça sert à rien sur Vista & 7, la défragmentation se fait seule, plus besoin de ça
Glary => poubelle ça détruit plus le pc qu'autre chose

Pour l'instant laisse le rapport Pre_Scan en ligne, je pense que g3n-h@ckm@n sera heureux d'y jeter un oeil.
Malwarebytes va virer les dernières traces de ZAccess et après on a encore du travail car y'a d'autres logiciels indésirables sur ton ordi. Faut toujours faire attention quand on installe un programme, choisir de préférence le site de l'éditeur et décocher les programmes alternatifs qui sont proposés lors de l'installation.
01 pas net du tout à bannir
Softonic à bannir

et j'ai aussi des fichiers (commençant par "~$" qui se sont mis sur mon bureau + des raccourcis (réseau, panneau de config, etc) je peux les supprimer? 
Fait une capture d'écran stp, et envoie la capture sur FEC Upload
 
@ toute

allovirus · Answer

Bien le bonsoir,

c'est fait et de retour pour te donner la suite.

voici le rapport (j'ai remplacé le nom de l'administrateur par x)

Malwarebytes Anti-Malware (Essai) 1.70.0.1100
www.malwarebytes.org

Version de la base de données: v2013.01.17.04

Windows Vista Service Pack 2 x86 NTFS
Internet Explorer 9.0.8112.16421
x :: PC-DE-x [administrateur]

Protection: Activé

17/01/2013 15:09:58
mbam-log-2013-01-17 (15-09-58).txt

Type d'examen: Examen complet (C:\|D:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 445027
Temps écoulé: 2 heure(s), 24 minute(s), 26 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 10
C:\Pre_Scan_1701_3h32\Quarantine\C'_$Recycle.bin_S-1-5-18_$ff24043d55f85ce9a20a8337d9b4b888.P_S
 (Backdoor.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\Pre_Scan_1701_3h32\Quarantine\C'_$Recycle.bin_S-1-5-18_$ff24043d55f85ce9a20a8337d9b4b888.P_S\U\800000cb.@ (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\Pre_Scan_1701_3h32\Quarantine\C'_$Recycle.bin_S-1-5-21-1614533194-1546092323-3692082063-1000_$ff24043d55f85ce9a20a8337d9b4b888.P_S
 (Backdoor.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\captura.bmp (Malware.Traces) -> Mis en quarantaine et supprimé avec succès.
C:\codigo1.bmp (Malware.Traces) -> Mis en quarantaine et supprimé avec succès.
C:\codigo2.bmp (Malware.Traces) -> Mis en quarantaine et supprimé avec succès.
C:\codigo3.bmp (Malware.Traces) -> Mis en quarantaine et supprimé avec succès.
C:\codigo4.bmp (Malware.Traces) -> Mis en quarantaine et supprimé avec succès.
C:\error.bmp (Malware.Traces) -> Mis en quarantaine et supprimé avec succès.
C:\Users\x\Desktop\winlogon.exe (Heuristics.Reserved.Word.Exploit) -> Mis en quarantaine et supprimé avec succès.

(fin)


sinon pour les captures les voici : https://forums-fec.be/upload/www/?action=d&id=5891553005
Pareil tu me dis quand je peux aller sur le lien pour les supprimer ;)

Pour tout ce qui est logiciels à bannir ^^ je vais m'en occuper, mais je les trouvais pas mal en plus ils sont gratuits. Je peux télécharger quoi en alternative?
Pour les téléchargements je passe principalement par 01net...

à quoi correspond "01 pas net du tout" je ne le retrouve pas dans désinstaller un programme (de meme pour softonic)

Voilà je crois que c'est tout pour l'instant...je vais me lancer au nettoyage de logiciel lol

Merci pour la rapidité des réponses

@+

juju666 · Answer

Bonsoir,

Haaaan ce sont des copies de sauvegarde de documents word qui sont sur ton bureau ça :)
Normalement ils doivent être cachés. Ouais tu peux les supprimer si tu veux :)
Tu peux supprimer la capture hébergée sur mes serveurs.

 je vais m'en occuper, mais je les trouvais pas mal en plus ils sont gratuits. Je peux télécharger quoi en alternative? 
CCleaner est largement suffisant. C'est que de la poudre au yeux les 2 autres. T'inquiète on y reviendra.
 
Pour les téléchargements je passe principalement par 01net...
à quoi correspond "01 pas net du tout"
Ben je viens de te le dire ^^
01net font des contrats douteux avec des sociétés douteuses, en plus ils "repackent" les logiciels gratuit avec leur toolbar moisie ...
C'est ça que je dis, faut télécharger sur le site de l'éditeur ... ou sur CCM, ici on repacke pas encore les logiciels :-)

&#9654 Télécharge sur cette page: AdwCleaner (de Xplode) 

&#9654 Lance-le

clique sur Suppression et patiente le temps du nettoyage.

&#9654 Poste le contenu du rapport que tu trouveras dans ton disque dur c:\ADwcleaner[Sx].txt ou son contenu s'il s'ouvre.

allovirus · Answer

ok ca marche! merci pour ces infos ;)
alors le rapport: https://forums-fec.be/upload/www/?action=d&id=5891553005
(ca prenait trop de place à l'écran j'ai trouvé ca plus simple de le mettre sur le site d'hébergment) ;)

Et pour les autres dossiers que j'ai mis en capture?(du disque C) je touche pas j'imagine lol

juju666 · Answer

Tu m'as remis tes captures là, pas le rapport AdwCleaner ^^

Oui oui tout ça va disparaitre, t'en fait pas, tout est prévu et programmé :)

allovirus · Answer

Autant pour moi c'est que j'ai copié les 2 derniers liens dans le même bloc note, ça a du se décaler :$
voilà , je l'ai vérifié c'est ok : 
https://forums-fec.be/upload/www/?action=d&id=2131635677

ok je touche pas alors lol  ;)

juju666 · Answer

Nickel il a fait de la place :)

Relance Pre_scan (winlogon) ( vu que MBAM a supprimé celui sur le bureau, prends sa copie dans C:\Pre_Scan\winlogon.exe ) clique sur Diag au menu qui apparait et envoie le rapport sur FEC :)

On va supprimer les restes avec un script puis je t'enverrais le final :)

@+

allovirus · Answer

Pre_scan relancé mais j'avais pas "Diag" donc j'ai cliqué dessus ça l'a relancé directement... j'espère que c'est ok

voici le lien : 
https://forums-fec.be/upload/www/?action=d&id=2267966987
ca aura pris du temps encore :$

bientôt le final!!! et mon pc sera parfait (ou presque je suppose)

juju666 · Answer

Ben ... 
Normalement si tu relance pre_scan il doit t'afficher un menu ...
et il me faudrait ce rapport Pre_Diag pour scripter ^^

g3n-h@ckm@n · Answer

bonsoir

Pre_scan relancé mais j'avais pas "Diag" 

impossible

allovirus · Answer

ah j'ai fais une boulette alors, le rapport envoyé ne sert à rien donc?

je vais voir ça 
dsl

g3n-h@ckm@n · Answer

du moment que tu relances le programme deux fois minimum tu as un menu à moins que tu aies supprimé le dossier Pre_scan qui est dans C'\........
  
¤¤¤¤¤¤¤¤¤¤ Pre_Scan_Concept ¤¤¤¤¤¤¤¤¤¤

g3n-h@ckm@n · Answer

c'est quoi ce dossier ?

g3n-h@ckm@n · Answer

à moins que tu aies supprimé le dossier Pre_scan

ou renommé cela-va-de-soi....

allovirus · Answer

c'est ok, j'ai relancé, et la deuxième fois j'avais ce menu
voici : https://forums-fec.be/upload/www/?action=d&id=5591947649

bon courage ^^

merci encore pour votre aide!!!

g3n-h@ckm@n · Answer

il sort d'où ce Vista ?

allovirus · Answer

ben du PC lol, il était dessus

g3n-h@ckm@n · Answer

tu l'as jamais amené à faire reparer  ce pc ? chez un informaticien ?

allovirus · Answer

non non jamais, j'avais jamais eu de soucis , à part des petits soucis de bug mais rien de bien grave car c'était réparé avec des logiciels que j'avais téléchargé à l'époque (ccleaner, spybot search & destroy) et depuis pas de soucis particulier...à part le trojan (ou je autres d'ailleurs) d'hier que j'arrivais pas à supprimer...
pourquoi ya des soucis?


j'aurai une question supplémentaire (j'en profites): 
la barre de droite de mon pavé tactile (pour aller de haut en bas des pages) ne fonctionne plus depuis aujourd'hui...c'est lié au manip?

g3n-h@ckm@n · Answer

possible que le pilote ait sauté le mien fait pareil et je ne m'en suis jamais inquiété je me sers d'une souris sur usb ^^  

   
   
¤¤¤¤¤¤¤¤¤¤ Pre_Scan_Concept ¤¤¤¤¤¤¤¤¤¤

allovirus · Answer

ok, merci c'etait pratique (j'avais pris l'habitude ;) )

je peux supprimer les différents rapports envoyés (Pre_scan 1 &2, AdWcleaner)?

g3n-h@ckm@n · Answer

tu peux retrouver le pilote sur ma-config.com toutefois

allovirus · Answer

cool, merci j'irai voir ça alors. 

dsl mais je vais vous abandonner...on reprend demain matin ^^

merci pour l'assistance ;)

juju666 · Answer

Ma-config ? Beurk !
Faudra que tu donne marque et modele du pc :)

allovirus · Answer

Bien le bonjour...

ok autant pour ma-config, ça sera sans, je suis aller voir et demande de démarrer une détection etc. mais merci quand meme ;)

allovirus · Answer

c'est revenu (le pavé tactile) donc c'est tout bon! ^^

allovirus · Answer

Bonjour à vous,

Je reviens vers vous pour savoir si je peux supprimer les liens que j'ai envoyé dernièrement (adwcleaner, prescan...) svp?
Avez vous pu faire ce que vous voulez (vous aviez eu un souci avec mon vista)?

J'en profites pour vous demander si c'est normal que j'ai des dossier perso qui ont changés d'icones (dossier jaune remplacé par dossier jaune mais avec 2 personnages en icone...je sais pas si c'est bien clair)?

Par quoi je pourrai remplacer Malwarebytes anti-malware (version d'essai)?(en logiciel gratuit ^^)

En vous remerciant par avance!!!

g3n-h@ckm@n · Answer

salut c'est parce ce que tu partages le dossier il faut l'enlever du partage dans les propriétés

allovirus · Answer

ok merci, bizarre c la premiere fois que ça me fais ça.. 

et concernant les liens c'est ok je peux tous les supprimer?

g3n-h@ckm@n · Answer

pour malwarebytes au fait , attends que la version d'essai PRO finisse et tu te retrouveras avec la version gratuite qui est tout aussi efficace , sauf que tu devras faire la mise à jour toi-même avec le scan hebdomadaire 

pour ce qui est des liens , s ils ne sont pas consultés il seront automatiquement redirigés sur une page 404 ou du style

allovirus · Answer

d'accord super ;)

je vais attendre pour avoir la version gratuite ^^ et pour les liens je vais directement les supprimer ;)

merci pour votre aide

Cheval de Troie TR/Sirefef.A.61 - Page 2

Discussions similaires

Newsletters