Infection Win32:Zacess-PB + win32 malware-gen

Question

Bonjour à toutes et tous, 

Configuration: Windows 7 / Firefox 22.0

C'est ma toute première fois sur le forum et de plus je demande de l'aide. Je me suis souvent inspiré des soluces postées ici pour résoudre mes problèmes, mais là :) pas moyen !!!

En résumé, je suis infecté depuis tout à l'heure par zacess et malware-gen me dit avast par le biais de son alarme toutes les 5 minutes. 

Un pti coup de main serait le bienvenu. Une autre bizarrerie : je viens de faire un scan complet malwarebytes, il me dit : aucun élément infecté. 

Merci pour vos réponses.

juju666 · Answer

Salut,

&#9654 Télécharge ici :  RogueKiller (choisir entre la version 32 et 64 bits selon ton Windows, si tu ne sais pas, demande moi!)
&#9654 Enregistre et ferme tous les programmes en cours
&#9654 Lance RogueKiller et attend que le Prescan ait fini
&#9654 Accepte l'EULA qui s'affiche puis clique sur Scan et enfin sur Suppression
&#9654 Une fois terminé, clique sur Rapport et copie/colle le rapport dans ta prochaine réponse. 

A+

Shoobi · Answer

Salut Juju,

En fait mon ordi a redémarré après le premier scan, je viens d'un relancer 1, voici le rapport :

RogueKiller V8.5.4 [Mar 18 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : https://www.luanagames.com/index.fr.html
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Demarrage : Mode normal
Utilisateur : Vince [Droits d'admin]
Mode : Recherche -- Date : 09/06/2013 15:39:09
| ARK || FAK || MBR |

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 6 ¤¤¤
[DNS] HKLM\[...]\ControlSet001\Services\Tcpip\Interfaces\{3D2C87D1-0497-48FF-B8D0-1DA063BE68D6} : NameServer (8.26.56.26,156.154.70.22) -> TROUVÉ
[DNS] HKLM\[...]\ControlSet001\Services\Tcpip\Interfaces\{A250A30C-354B-40E2-A876-534311DA4170} : NameServer (8.26.56.26,156.154.70.22) -> TROUVÉ
[DNS] HKLM\[...]\ControlSet001\Services\Tcpip\Interfaces\{CDD887B2-BA2D-4662-B61A-3B9069892A6D} : NameServer (8.26.56.26,156.154.70.22) -> TROUVÉ
[DNS] HKLM\[...]\ControlSet002\Services\Tcpip\Interfaces\{3D2C87D1-0497-48FF-B8D0-1DA063BE68D6} : NameServer (8.26.56.26,156.154.70.22) -> TROUVÉ
[DNS] HKLM\[...]\ControlSet002\Services\Tcpip\Interfaces\{A250A30C-354B-40E2-A876-534311DA4170} : NameServer (8.26.56.26,156.154.70.22) -> TROUVÉ
[DNS] HKLM\[...]\ControlSet002\Services\Tcpip\Interfaces\{CDD887B2-BA2D-4662-B61A-3B9069892A6D} : NameServer (8.26.56.26,156.154.70.22) -> TROUVÉ

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤
[ZeroAccess][FOLDER] U : C:\Windows\Installer\{78c267e7-ebc9-65ba-4cf3-d69b52d696d1}\U --> TROUVÉ
[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_32\Desktop.ini [-] --> TROUVÉ
[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_64\Desktop.ini [-] --> TROUVÉ

¤¤¤ Driver : [NON CHARGE] ¤¤¤

¤¤¤ Infection : ZeroAccess ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: Hitachi HTS545032B9A300 ATA Device +++++
--- User ---
[MBR] 24ccc10878cc18f03e7c950795a3d404
[BSP] fb34d65bfbd70442b88a819191bf2fb8 : Windows Vista MBR Code
Partition table:
0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 12000 Mo
1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 24578048 | Size: 100 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 24782848 | Size: 293143 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[3]_S_09062013_153909.txt >>
RKreport[1]_S_09062013_151750.txt ; RKreport[2]_D_09062013_152342.txt ; RKreport[3]_S_09062013_153909.txt

Merci pour ton aide
@+s

Shoobi · Answer

rapport après suppression :

RogueKiller V8.5.4 [Mar 18 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : https://www.luanagames.com/index.fr.html
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Demarrage : Mode normal
Utilisateur : Vince [Droits d'admin]
Mode : Suppression -- Date : 10/06/2013 01:24:29
| ARK || FAK || MBR |

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 6 ¤¤¤
[DNS] HKLM\[...]\ControlSet001\Services\Tcpip\Interfaces\{3D2C87D1-0497-48FF-B8D0-1DA063BE68D6} : NameServer (8.26.56.26,156.154.70.22) -> NON SUPPRIMÉ, UTILISER DNS RAZ
[DNS] HKLM\[...]\ControlSet001\Services\Tcpip\Interfaces\{A250A30C-354B-40E2-A876-534311DA4170} : NameServer (8.26.56.26,156.154.70.22) -> NON SUPPRIMÉ, UTILISER DNS RAZ
[DNS] HKLM\[...]\ControlSet001\Services\Tcpip\Interfaces\{CDD887B2-BA2D-4662-B61A-3B9069892A6D} : NameServer (8.26.56.26,156.154.70.22) -> NON SUPPRIMÉ, UTILISER DNS RAZ
[DNS] HKLM\[...]\ControlSet002\Services\Tcpip\Interfaces\{3D2C87D1-0497-48FF-B8D0-1DA063BE68D6} : NameServer (8.26.56.26,156.154.70.22) -> NON SUPPRIMÉ, UTILISER DNS RAZ
[DNS] HKLM\[...]\ControlSet002\Services\Tcpip\Interfaces\{A250A30C-354B-40E2-A876-534311DA4170} : NameServer (8.26.56.26,156.154.70.22) -> NON SUPPRIMÉ, UTILISER DNS RAZ
[DNS] HKLM\[...]\ControlSet002\Services\Tcpip\Interfaces\{CDD887B2-BA2D-4662-B61A-3B9069892A6D} : NameServer (8.26.56.26,156.154.70.22) -> NON SUPPRIMÉ, UTILISER DNS RAZ

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤
[ZeroAccess][FOLDER] ROOT : C:\Windows\Installer\{78c267e7-ebc9-65ba-4cf3-d69b52d696d1}\U --> SUPPRIMÉ
[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_32\Desktop.ini [-] --> SUPPRIMÉ
[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_64\Desktop.ini [-] --> SUPPRIMÉ

¤¤¤ Driver : [NON CHARGE] ¤¤¤

¤¤¤ Infection : ZeroAccess ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: Hitachi HTS545032B9A300 ATA Device +++++
--- User ---
[MBR] 24ccc10878cc18f03e7c950795a3d404
[BSP] fb34d65bfbd70442b88a819191bf2fb8 : Windows Vista MBR Code
Partition table:
0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 12000 Mo
1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 24578048 | Size: 100 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 24782848 | Size: 293143 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[4]_D_10062013_012429.txt >>
RKreport[1]_S_09062013_151750.txt ; RKreport[2]_D_09062013_152342.txt ; RKreport[3]_S_09062013_153909.txt ; RKreport[4]_D_10062013_012429.txt

juju666 · Answer

Salut ok relance roguekiller click sur DNS RAZ

A+

Shoobi · Answer

Salut Juju,

Ci-après le rapport après DNS RAZ :

RogueKiller V8.5.4 [Mar 18 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : https://www.luanagames.com/index.fr.html
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Demarrage : Mode normal
Utilisateur : Vince [Droits d'admin]
Mode : DNS RAZ -- Date : 10/06/2013 19:20:04
| ARK || FAK || MBR |

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 6 ¤¤¤
[DNS] HKLM\[...]\ControlSet001\Services\Tcpip\Interfaces\{3D2C87D1-0497-48FF-B8D0-1DA063BE68D6} : NameServer (8.26.56.26,156.154.70.22) -> REMPLACÉ ()
[DNS] HKLM\[...]\ControlSet001\Services\Tcpip\Interfaces\{A250A30C-354B-40E2-A876-534311DA4170} : NameServer (8.26.56.26,156.154.70.22) -> REMPLACÉ ()
[DNS] HKLM\[...]\ControlSet001\Services\Tcpip\Interfaces\{CDD887B2-BA2D-4662-B61A-3B9069892A6D} : NameServer (8.26.56.26,156.154.70.22) -> REMPLACÉ ()
[DNS] HKLM\[...]\ControlSet002\Services\Tcpip\Interfaces\{3D2C87D1-0497-48FF-B8D0-1DA063BE68D6} : NameServer (8.26.56.26,156.154.70.22) -> REMPLACÉ ()
[DNS] HKLM\[...]\ControlSet002\Services\Tcpip\Interfaces\{A250A30C-354B-40E2-A876-534311DA4170} : NameServer (8.26.56.26,156.154.70.22) -> REMPLACÉ ()
[DNS] HKLM\[...]\ControlSet002\Services\Tcpip\Interfaces\{CDD887B2-BA2D-4662-B61A-3B9069892A6D} : NameServer (8.26.56.26,156.154.70.22) -> REMPLACÉ ()

¤¤¤ Driver : [NON CHARGE] ¤¤¤

Termine : << RKreport[5]_DN_10062013_192004.txt >>
RKreport[1]_S_09062013_151750.txt ; RKreport[2]_D_09062013_152342.txt ; RKreport[3]_S_09062013_153909.txt ; RKreport[4]_D_10062013_012429.txt ; RKreport[5]_DN_10062013_192004.txt

juju666 · Answer

coucou :)

super, vois si sur ta version de roguekiller il y a déjà le menu Outils -> Réparer le services ou non

si ça n'est pas encore implanté, fais ça :

&#x25CF; Télécharge Service Repair (Eset) sur ton Bureau.

&#x25CF; Exécute le, clique sur Yes dans la boite de dialogue.
&#x25CF; A la fin, clique sur Yes pour autoriser le redémarrage.
&#x25CF; L'outil va créer un dossier CC Support dans le répertoire où l'outil a été exécuté.
&#x25CF; Héberge le rapport CC Support\Logs\SvcRepair.txt sur FEC Upload et poste le lien obtenu en échange 

A+

Shoobi · Answer

Yepaaa Juju,

Encore merci pour tes conseils :)

Ci-après le lien du rapport service repair :

https://forums-fec.be/upload/www/?a=d&i=5999116094

juju666 · Answer

Yop,

On va vérifier si tout est bien réparé :)

Télécharge  Farbar Service Scanner  sur ton Bureau.

&#x25CF; Coche les cases suivantes :

Internet Services
Windows Firewall
System Restore
Security Center
Windows Update
Windows Defender
Others Services


&#x25CF; Clique sur "Scan".
&#x25CF; Un rapport FSS.txt est crée dans le dossier où se trouve l'outil.

Héberge le rapport sur FEC Upload et poste le lien obtenu en échange

Shoobi · Answer

Yeppaa Juju,

Ci-dessous le lien du fichier texte. Je n'y comprends pas grand chose je réalise juste que je me suis chopé une grosse m###e :)

Merci pour ton aide

@+s

 	https://forums-fec.be/upload/www/?a=d&i=8304118745

juju666 · Answer

Salut,

Oui effectivement :(

Passe un coup de Pre_Scan : https://www.commentcamarche.net/faq/29469-utilisation-de-pre-scan

Shoobi · Answer

Yep Juju,

J'ai effectué le prescan qui a pris 3 plombes hier, mon ordi a redémarré mais je ne sais pas où il m'a mis le txct, en tous cas pas sur le bureau où j'ai installé winlog, je cherche, j'essaie de poster. 

Premier constat : j'ai récupéré windows defender mais je n'arrive quand-même pas à le lancer.

Je te tiens au courant

@+s

juju666 · Answer

Salut,

Regarde à C:\Pre_Scan_Date_Heure.txt

shoobi · Answer

Yep Juju, 

Oui oui je viens de le trouver juste avant, du coup j'ai refait un scan, ci-joint le rapport. 

Merci pour ton aide :)

@+s

https://forums-fec.be/upload/www/?a=d&i=0173156477

shoobi · Answer

https://forums-fec.be/upload/www/?a=d&i=0173156477

Voilà :)

juju666 · Answer

Hi :)

Dis-moi, tu as encore des soucis ou le pare-feu windows fonctionne correctement ?

g3n-h@ckm@n · Answer

bonjour si tu ne suis pas les conseils inutile de demander de l'aide 

on demande de desactiver les protections et rien n'a été desactivé ! 

et comment ca se fait que tu as un pre_script sur le bureau ? C:\Users\Vince\Desktop\Pre_script.txt

alors que personne ne t'a demandé de scripter ?
 
¤¤¤¤¤¤¤¤¤¤_Pre_Scan_Concept_¤¤¤¤¤¤¤¤¤¤
Windows 8 => meme flop que Vista X 10

Shoobi · Answer

En réponse à Juju, non windows defender ne veut toujours pas se lancer

En réponse à g3n : c'est bien d'accepter les non initiés comme moi je fais ce que je peux. 

On me dit d'enlever les applications actives : quand je vais dans le gestionnaire de tâches APPLICATIONS je n'en ai aucune active

Le script est une erreur de manip, je me suis trompé de bouton. 

Sur le principe, tu as certainement raison, sur la forme t'as l'air agacé, si tu veux m'aider fais le. Dans la cas contraire, je me passe de tes commentaires.

@+s

g3n-h@ckm@n · Answer

j'ai récupéré windows defender mais je n'arrive quand-même pas à le lancer. 

précise

Shoobi · Answer

Ok, je te remercie g3, c'est à dire que le centre des sécurité de windows ainsi que windows defender étaient inaccessibles avant le pre_scan

Maintenant, WD est accessible mais quand je réponds à mon ordi WD doit analyser votre ordi , il me donne le message suivant après avoir patienter pour le lancer : 

le service s'est arrêté Un problème a provoqué l'arrêt du service de ce programme.Pour démarrer le service, cliquez sur démarrer maintenant ou redémarrez votre ordi

Au final, message d'erreur suivant : cette opération s'est terminée car le délai d'attente a expiré code d'erreur 0x800705b4

juju666 · Answer

Il sert à rien de toute façon le WD ^^ 
 
 .::. Contributeur Sécurité .::.

g3n-h@ckm@n · Answer

bien !!! on avance !!!!

on va verifier un truc ! parce que si on le désinstalle comme ça le pc va plus booter et tu vas te retrouver dans la mer$e......

sélectionne ce texte :

cmd::
dir "%Homedrive%\*" /S /A:L >> %Homedrive%\Pre_Script.txt 

Relance Pre_scan puis choisis l'option "Script"

une page va s'ouvrir

logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler.

sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge.

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille 

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

Shoobi · Answer

Okayy

Ci-après le rapport : 

https://forums-fec.be/upload/www/?a=d&i=7850674794

g3n-h@ckm@n · Answer

desinstalle-le

Shoobi · Answer

Hum Ok une idée pour le désinstaller car il apparait pas dans démarrer tous les programmes

Il est juste dans le panneau de config mais le click droit me propose uniquement de créer un raccourci ?

@+s

g3n-h@ckm@n · Answer

avec ca , ca donne quoi ?

https://forum.malekal.com/viewtopic.php?t=16524&start=
 
¤¤¤¤¤¤¤¤¤¤_Pre_Scan_Concept_¤¤¤¤¤¤¤¤¤¤
Windows 8 => meme flop que Vista X 10

Shoobi · Answer

Oui j'ai trouvé ce lien, je peux uniquement désactiver mais pas arrêter puisque la fonction outils ne m'est plus accessible (grisée en résumé)

Même en désactivant et en redémarrant, il me dit toujours de lancer l'analyse<; 

<tant pis pas grave, du moment que j'ai éradiqué zacees je ferais avec

Encore merci g3

g3n-h@ckm@n · Answer

fais en mode sans echec , avec ceci en mode avancé :

https://www.commentcamarche.net/telecharger/utilitaires/19405-revo-uninstaller/

ignore les messages d'erreur et supprime tout ce qu il trouve à chaque fois

Shoobi · Answer

Yep g3 

Non ça marche pas, toujours présent : j'ai lancé en mode sans échec, je peux pas désinstaller 81 de mes applications 1 à 1, j'ai nettoyé où je pouvais win def toujours présent :)

Coriace cte saloperie

@+s

g3n-h@ckm@n · Answer

je t'ai jamais demandé de desinstaller toutes tes applications !! il va de soi !

Shoobi · Answer

Ok, on est d'accord alors

Infection Win32:Zacess-PB + win32 malware-gen

30 réponses

Discussions similaires

Newsletters