Kaspersky se bloque, virus rootkill ?

Question

Bonjour, 

J'ai un gros problème de virus depuis quelques jours et viens vers vous car ne trouve pas de solution. J'ai essaye Malwarebytes et Avast auparavant mais soient ils ne trouvaient rien, soit se bloquaient.

Je ne peux pas faire d'examen complet, Kaspersky se bloque vers la fin, généralement quand il inspecte le dossier C:/Windows/winsxs


Est-ce un rootkill ? J'ai télécharger TDSS Killer de Kaspersky mais il ne trouve rien...


Je peux vous envoyer un rapport ZPH Diag si nécessaire...

Merci d'avance pour votre aide, je suis un peu perdu...




Configuration: Windows Vista / Chrome 26.0.1410.64

cabrier · Answer

Bonjour sam,


Oui, ok, fais un ZHPDiag (après mise à jour) 

mais n'envoie pas le rapport, héberge le sur cijoint ou  pjoint
 
A+
----------Contributeur Sécurité-----------
Heureux ceux qui peuvent donner sans s'en souvenir et prendre sans oublier !

samc75005 · Answer

Salut, merci beaucoup pour ton aide !

Le rapport ZHPDiag :

http://cjoint.com/?CDqqNNAaEnF

samc75005 · Answer

En lisant le rapport je vois que Malwarebytes n'a pas été désinstallé. 

Je n'arrive pas à le faire dans le Panneau de Configuration / Désinstaller un programme, un message d'erreur m'indique que le fichier suivant est introuvable :
unins000.mg

---

cabrier · Answer

OK sam, je regarde ton rapport.

Mais désinstalle tout de suite Adobe reader et java.
Ces versions ne sont pas à jour et présentent des failles de sécurité.

Je reviens avec des instructions pour la suite.

A+

cabrier · Answer

Re,

Tu as eu une infection par disque amovible.

Et je vois que tu as passé plusieurs fois hier AdwCleaner.
As-tu encore sur C: le rapport AdwCleaner[S1].txt
J'aimerai le voir !

-----------------------------------------------

¶ Télécharge USBFix (de El desaparecido et C_XX) sur ton Bureau
¶ Branche TOUTES tes sources de données externes à ton PC (clé USB, disque dur externe, lecteur mp3 etc...) sans les ouvrir
¶ Fais un clic droit sur le programme USBFix et choisis 'Exécuter en tant qu'administrateur'.
¶ Au menu principal, clique sur "Suppression"
¶ Ton Bureau va disparaitre, puis l'ordinateur va redémarrer : c'est normal
¶ Laisse travailler l'outil jusqu'au bout
¶ A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse.   
 
 A+

cabrier · Answer

Sam,

Bon, tes périph sont vaccinés c'est déjà ça !

mais rien de flagrant.

Quitte tous les programmes en cours !

---> Télécharge sur le bureau RogueKiller (créé par Tigzy)
https://www.luanagames.com/index.fr.html

---> Après le pre-scan, Lancer un Scan par le bouton Scan à droite.

---> Clique sur [Suppression]

---> Puis clique sur [Rapport] une fois le scan terminé, et copie/colle le rapport dans ta réponse.

---> Redémarre ton ordinateur.

(le rapport est également sur le bureau)

* Si le programme a été bloqué, ne pas hésiter à essayer plusieurs fois, ou renomme le en winlogon.exe 

Et si ça ne marche toujours pas , lance le en mode sans échec avec prise en charge du réseau.
====================
Aide ici : https://www.malekal.com/demarrer-windows-mode-sans-echec/
 
A+

cabrier · Answer

Voilà, j'espère voir le bout du tunnel ! :) 

Peut être mais en matière de désinfection on n'est jamais sur de rien !
Et la pratique du P2P est à risque.

A quoi correspondent tous ces liens bizarres ?

Quels liens ? ceux du fichier Hosts ? 
Pas grave https://fr.wikipedia.org/wiki/Hosts

Ce script va cibler certains éléments à supprimer :

* Copie tout le texte ci-dessous (en gras et italique) tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C

[MD5.00000000000000000000000000000000] [APT] [Desk 365 RunAsStdUser] (...) -- C:\Program Files\Desk 365\desk365.exe (.not file.)   [0]
[MD5.00000000000000000000000000000000] [APT] [Your File Updater] (...) -- C:\Program Files\YourFileDownloader\YourFileUpdater.exe (.not file.)   [0]
[HKCU\Software\SweetIM]
[HKLM\Software\SweetIM]
O87 - FAEL: "{367637DB-6797-485D-98CC-27BB82AAFE83}" |In - Private - P6 - TRUE | .(...) -- C:\Program Files\YourFileDownloader\Downloader.exe (.not file.)
O87 - FAEL: "{F2250F71-0644-45BA-852C-A3860D07E55F}" |In - Private - P17 - TRUE | .(...) -- C:\Program Files\YourFileDownloader\Downloader.exe (.not file.)
O87 - FAEL: "{3EEB336C-5DAF-4E71-829A-AF1EF2DA3169}" |In - Private - P6 - TRUE | .(...) -- C:\Program Files\YourFileDownloader\YourFile.exe (.not file.)    
O87 - FAEL: "{AE1A009A-E890-4E25-83FF-7D242211C779}" |In - Private - P17 - TRUE | .(...) -- C:\Program Files\YourFileDownloader\YourFile.exe (.not file.)    
O87 - FAEL: "{0F16C8DB-A402-48A3-8F12-11582E77D115}" |In - Private - P6 - TRUE | .(...) -- C:\Program Files\SweetIM\Communicator\SweetPacksUpdateManager.exe (.not file.) 
O87 - FAEL: "{892CD9E1-87BF-462A-8627-30C439FC99C8}" |In - Private - P17 - TRUE | .(...) -- C:\Program Files\SweetIM\Communicator\SweetPacksUpdateManager.exe (.not file.)
[HKLM\Software\Classes\CLSID\{35b8892d-c3fb-4d88-990d-31db2ebd72bd}]    
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{fee1002d-90a5-4a5d-aabe-01803ffbcf7a}]
[HKCU\Software\SweetIM]
[HKLM\Software\SweetIM]
[HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\Application\desksvc]
[MD5.00000000000000000000000000000000] [APT] [{5892B039-4761-4667-BF5F-0EC4EB7C5E2E}] (...) -- E:\Games\Mortal Kombat 4\Setup.exe (.not file.)   [0]    => Empty File not necessary
[MD5.00000000000000000000000000000000] [APT] [{59197C0B-CAE8-4819-BB19-6F06BEED6464}] (...) -- C:\Users\Samuel\Desktop\Jimmy\AZon\ioncube_loaders_setup.exe (.not file.)   [0]
[MD5.00000000000000000000000000000000] [APT] [{5F5024A8-C8F7-42F6-99C4-CC9980351BFB}] (...) -- C:\Users\Samuel\AppData\Local\Temp\Temp1_road_rash.zip\roadrash.part01.exe (.not file.)   [0]
[MD5.00000000000000000000000000000000] [APT] [{80761EAA-6A50-4A85-A6C8-B5E1588C6325}] (...) -- C:\Windows\Pacman 2002 demo\uninstall.exe (.not file.)   [0]
[MD5.00000000000000000000000000000000] [APT] [{FE825C4F-A494-4627-A99B-CA137687D5A5}] (...) -- C:\Users\Samuel\Documents\Jeux\road_rash\roadrash.part01.exe (.not file.)   [0]
O44 - LFC:[MD5.C2E82881EB115EC5D58D8E1B6C11A95C] - 15/04/2013 - 21:09:36 ---A- . (...) -- C:\Windows\msxml4-KB2758694-enu.LOG   [267598]    
O49 - CSB:Control Safe Boot HKLM\...\CCS\Minimal\14355118.sys . (...) -- C:\Windows\System32\Drivers\14355118.sys (.not file.)
O49 - CSB:Control Safe Boot HKLM\...\CCS\Network\14355118.sys . (...) -- C:\Windows\System32\Drivers\14355118.sys (.not file.)
O51 - MPSK:{14adc422-85aa-11de-91cb-00238bca2795}\AutoRun\command. (...) -- C:\Windows\system32\D:\RavMonE.exe (.not file.)
[MD5.A042C0EB991CC4F5ACB2448FD9AEE0C5] [SPRF][02/04/2007] (.Windows  2000 DDK provider - Windows Setup API.) -- C:\Users\Samuel\AppData\Local\Temp\DeviceSetup.exe   [19456]
[MD5.CB0107FDE27B05772F79977D05DEFA6E] [SPRF][14/04/2013] (...) -- C:\Users\Samuel\AppData\Local\Temp\mlv_ar_qvo6.exe   [93776]
O51 - MPSK:{46e70f0e-ef16-11de-9b25-0022fadf5b1a}\AutoRun\command. (...) -- D:\autorun.exe (.not file.)
O51 - MPSK:{46e70f0f-ef16-11de-9b25-0022fadf5b1a}\AutoRun\command. (...) -- D:\autorun.exe (.not file.)
O51 - MPSK:{60527e07-cf9c-11de-9c22-002258e9354e}\AutoRun\command. (...) -- D:\autorun.exe (.not file.)
O51 - MPSK:{60527e0c-cf9c-11de-9c22-002258e9354e}\AutoRun\command. (...) -- D:\autorun.exe (.not file.)
OPT:O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe
EmptyTemp
EmptyFlash
EmptyCLSID
FirewallRAZ



* Double-clic droit sur le raccourci portant le nom "ZHPFix" (sur ton bureau).
/ !\Utilisateurs de Vista et Windows 7 : Clic droit sur le logo de ZHPFix.exe, « exécuter en tant qu'Administrateur »/ !\ 
* Clique sur la 2ème icône en haut à gauche ("coller le presse-papier")
Le script doit automatiquement apparaitre dans ZHPFix, sinon, colle-le (Ctrl+v) 
* Vérifie que toutes les lignes que je t''ai demandé de copier (et seulement elles) sont dans la fenêtre. 
* Clique sur le bouton «GO » pour lancer le nettoyage 
* Le rapport s'ouvre automatiquement après l'exécution du script. Il se trouve aussi sous C:\ZHP\ZHPPFix[R1].txt
* Transmets-moi le lien du fichier comme indiqué en préambule "Dépôt de fichier"
*Rappel des dépôts : cijoint ou  pjoint
-------------------------------------------------------------
Lors de l'utilisation de Zhpfix le processus "explorer exe" peut se fermer.
Ton bureau apparaitra sans icones et sans barre des taches.
Pour relancer "explorer.exe" appuie simultanément sur les touches ctrl+alt+suppr pour ouvrir le gestionnaire de tâches.
Cliques sur "fichier" et sur "nouvelle tâche" et dans le champ de saisie, tu tapes explorer.exe et cliques sur OK.

A+

cabrier · Answer

Bonjour Sam, 

Plusieurs infections : 

Exemples :  
Hijacker.Qvo6 
cf/ voir cet article : http://cleanbytes.net/how-to-remove-qvo6-com-virus  

Pour l'infection USB 
cf/ C:\Windows\system32\D:\RavMonE.exe (.not file.) 
C'est caractéristique d'une infection par disque amovible même si le fichier a été détruit. 

-----------------------------------------------

On va restaurer ton fichier Hosts.
? Télécharge RstHosts (de Xplode) sur ton Bureau.
? Lance le et clique sur Restaurer
? Un message t'indiquera de la réussite de l'opération, clique sur [OK] puis clique sur Créer un rapport.
? Copie/colle le contenu du rapport qui s'ouvrira à l'écran dans ton prochain message.

Note : Le rapport est également sauvegardé à la racine du disque dur ( C:\RstHosts.txt )

---------------------------------------------

Puis on va réutiliser MalwareByte : 
* Télécharge Malwaresbytes anti malware ici 
* Choisis la version -Download Now- 
* Installe le (choisis bien "français" ; ne modifie pas les paramètres d'installation ) et mets le à jour . 
* Tu as un tuto si tu en as besoin : tuto 

* Avant de lancer le programme Déconnecte toi d'Internet et ferme toutes tes applications. 

* /I\ Sous Vista ou Seven ---> clic droit "Exécuter en tant qu'administrateur"/I\ 
* Clique sur l'onglet "Mise à jour" si celle ci ne t'a pas été proposée lors de l'installation. 
* Clique ensuite sur l'onglet "Recherche" puis coche "Exécuter un examen Complet" 
* Le scan peut durer plusieurs heures, aussi ne t'impatiente pas et laisse tourner le programme sans rien faire d'autre sur ta machine. 
* Lorsque le scan est terminé clique sur "Afficher les résultats" 
* Vérifie que toutes les lignes des objets infectés soient cochées, puis clique sur "Supprimer la sélection" 

PS : Redémarre ta machine pour achever le nettoyage. 

* Enregistre-le rapport de Suppression (onglet "rapport/log", le dernier en date) dans un endroit approprié pour le retrouver et héberge-le sur cijoint ou  pjoint 

*  Envoie-moi le lien fourni dans ta prochaine réponse. 


A+ 
  
----------Contributeur Sécurité----------- 
Heureux ceux qui peuvent donner sans s'en souvenir et prendre sans oublier !

juju666 · Answer

Salut, 
Concernant le fichier hosts c'est un reste de Spybot :)
A+

samc75005 · Answer

Bonsoir !

J'ai donc lancé MBAM en suivant tout à la lettre, malheureusement l'ordi s'est bloqué au bout de 6 heures de scan.

Décidément, Kaspersky et MBAM sont complètement alergiques aux scans complets sur mon ordi...

samc75005 · Answer

J'ai donc désinstallé Malwarebytes, et essaye de faire un scan avec Kaspersky (dernière version, à jour)

L'analyse complète Kaspersky prend désormais beaucoup plus de temps qu'avant... il reste 8 heures....

samc75005 · Answer

Ca a été poussif au début puis plus rapide, l'analyse complète était à 92%, toujours dans ce fameux dossier winsxs, et l'ordi s'est complètement bloqué.   

Bref, toujours impossible de faire une analyse complète avec les principaux logiciels anti-virus.    

Je veux simplement pouvoir utiliser mon ordi normalement en étant sûr qu'il n'y a plus de malware...

cabrier · Answer

samc, Je veux simplement pouvoir utiliser mon ordi normalement en étant sûr qu'il n'y a plus de malware... C'est ce que je suis en train d'essayer de te faire faire depuis le début. Ce n'est pas moi qui ait installé des malwares sur ta machine et sache que nous ne sommes que des bénévoles....alors si tu t'impatiente tu vas voir le pro du coin et tu sors ta carte bleue ! Redémarre en mode sans échec . * Télécharge Dr Web CureIt sur ton Bureau : ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe - Double clique et ensuite clique sur ; - Clique à l'invite de l'analyse rapide. S'il trouve des processus infectés alors clique le bouton . Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction" : Quitte en cliquant le "X". - Lorsque le scan rapide est terminé, clique sur le menu puis ; Choisis l'onglet , et décoche . Clique ensuite sur . - De retour à la fenêtre principale : clique pour activer - Clique le bouton avec flèche verte sur la droite, et le scan débutera. - Clique pour tout à l'invite "Désinfecter ?" lorsqu'un fichier est détecté, et ensuite clique "Désinfecter". - Lorsque le scan sera complété, regarde si tu peux cliquer sur l' icône, adjacente aux fichiers détectés (plusieurs feuilles l'une sur l'autre). Si oui, alors clique dessus et ensuite clique sur l'icône , au dessous, et choisis . - Du menu principal de l'outil, au haut à gauche, clique sur le menu et choisis . Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv - Ferme Dr.Web Cureit - Redémarre ton ordi (important car certains fichiers peuvent être déplacés/réparés au redémarrage). - Suite au redémarrage, poste (Copie/Colle) le contenu du rapport de Dr.Web dans ta prochaine réponse A+ ----------Contributeur Sécurité----------- Heureux ceux qui peuvent donner sans s'en souvenir et prendre sans oublier !

cabrier · Answer

sam,

On va sortir l'artillerie lourde.

Attention : Le logiciel qui suit peut faire des dégâts en cas de mauvaise utilisation ! Désactive tous tes logiciels de protection (antivirus et pare-feu) et ferme toutes les fenêtres ouvertes avant de l'utiliser.

¶ Télécharge ComboFix (de sUBs) sur ton Bureau.
¶ Double-clique sur ComboFix.exe afin de le lancer.

¶ Ne touche à rien pendant le scan.

¶ Lorsque la recherche sera terminée, un rapport apparaîtra. Poste ce rapport (C:\Combofix.txt) dans ta prochaine réponse.

PS : si Combofix ne se lance pas, renomme le fichier Combofix et retente.

Si pas mieux, tente en mode sans échec sans prise en charge du réseau : Redémarre en mode sans échec, pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec et appuie sur la touche entrée du clavier.

Tutoriel officiel de Combofix : http://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix 

A+

cabrier · Answer

sam,

Non aucun souci, force le téléchargement.
Il n'y a pas de risque.

A+

cabrier · Answer

Parfait sam,

Refais un scan avec ZHPDiag pour vérification.

* A l'ouverture du programme vérifie en haut à droite si le texte "Version à jour" apparait. Si ce n'est pas le cas cliques sur l'icône de la flèche verte pointant vers le bas (la nouvelle version sera téléchargée et installée).
* Maintenant clique en haut à droite sur l'icône du tournevis et choisis "Tous"
Puis clique à coté du tournevis sur la loupe . 

A+

cabrier · Answer

Voila qui est mieux,

- Désinstalle java 6 v 6 et télécharge la dernière version https://www.java.com/fr/

- Vide le cache de ton navigateur chrome


 Ce script va cibler certains éléments à supprimer :

* Copie tout le texte ci-dessous (en gras et italique) tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C

O45 - LFCP:[MD5.E1E8E232CA55F7DD0651A3415D54C933] - 14/04/2013 - 16:55:05 ---A- - C:\Windows\Prefetch\EXQ.EXE-A731CCF6.pf
O45 - LFCP:[MD5.DEAFE8300D12550C251C48579C3105C1] - 14/04/2013 - 16:55:11 ---A- - C:\Windows\Prefetch\DESK365.EXE-9A46C2A9.pf
O45 - LFCP:[MD5.622B21E63487F31715779043790713E7] - 14/04/2013 - 17:01:25 ---A- - C:\Windows\Prefetch\DESKSVC.EXE-EC84F846.pf
[MD5.626A24ED1228580B9518C01930936DF9] [APT] [GoogleUpdateTaskMachineCore] (.Google Inc..) -- C:\Program Files\Google\Update\GoogleUpdate.exe   [133104]
[MD5.626A24ED1228580B9518C01930936DF9] [APT] [GoogleUpdateTaskMachineUA] (.Google Inc..) -- C:\Program Files\Google\Update\GoogleUpdate.exe   [133104]
[HKLM\Software\Amazon]
[HKCU\Software\YahooPartnerToolbar]
[HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}]
EmptyTemp
EmptyFlash
EmptyCLSID
FirewallRAZ


* Double-clic droit sur le raccourci portant le nom "ZHPFix" (sur ton bureau).
/ !\Utilisateurs de Vista et Windows 7 : Clic droit sur le logo de ZHPFix.exe, « exécuter en tant qu'Administrateur »/ !\ 
* Clique sur la 2ème icône en haut à gauche ("coller le presse-papier")
Le script doit automatiquement apparaitre dans ZHPFix, sinon, colle-le (Ctrl+v) 
* Vérifie que toutes les lignes que je t''ai demandé de copier (et seulement elles) sont dans la fenêtre. 
* Clique sur le bouton «GO » pour lancer le nettoyage 
* Le rapport s'ouvre automatiquement après l'exécution du script. Il se trouve aussi sous C:\ZHP\ZHPPFix[R1].txt
* Transmets-moi le lien du fichier comme indiqué en préambule "Dépôt de fichier"
*Rappel des dépôts : cijoint ou  pjoint
-------------------------------------------------------------
Lors de l'utilisation de Zhpfix le processus "explorer exe" peut se fermer.
Ton bureau apparaitra sans icones et sans barre des taches.
Pour relancer "explorer.exe" appuie simultanément sur les touches ctrl+alt+suppr pour ouvrir le gestionnaire de tâches.
Cliques sur "fichier" et sur "nouvelle tâche" et dans le champ de saisie, tu tapes explorer.exe et cliques sur OK.

- Redémarre et dis moi si tout est OK 

A+

cabrier · Answer

sam

Je n'ai donc pas installé Java. (est-il vraiment utile ?)  

Non, pas forcément. Mais bizarre.

Pour le reste c'est ok ?

Kaspersky se bloque, virus rootkill ?

18 réponses

Votre réponse

Discussions similaires

Newsletters