Trojan Sirefef sous Windows 8 Résolu/Fermé

Question

Bonjour, 

Récemment infesté par les Trojan baptisés WIN64/SIREFEF.P et WIN32/SIREFEF.AB, connaissez vous une méthode relativement simple pour s'en débarrasser.
Il semble que MSE n'arrive pas à le faire disparaître, il réapparaît à chaque redémarrage... 

D'avance merci pour vos conseils avisés ! 

Configuration: Windows 8 / Chrome 30.0.1599.69

Malekal_morte- · Answer

Salut, 

Tu es infecté par ZeroAccess qui bloque les téléchargements. 
Tu peux aussi tenter de modifier la configuration de Firefox afin de rendre le téléchargement possible : https://www.malekal.com/sirefef-impossible-de-telecharger-sur-internet-explorer/
Si ça ne fonctionne pas, tu vas être obligé de transférer RogueKiller par clef USB en le téléchargeant depuis un autre PC.


[*] Télécharger sur le bureau https://forum.malekal.com/viewtopic.php?t=29444&start= (suivre le lien officiel) 
[*] !!! ATTENTION !! Sur la page de RogueKiller - "Prendre Lien de téléchargement" - avec les cercles violets. En cliquant sur ces cercles le programme se télécharge. 
[*] Quitter tous les programmes 
[*] Lancer RogueKiller.exe. 
[*] Attendre que le Prescan ait fini ... 
[*] Lance un scan afin de débloquer le bouton Suppression à droite. 
[*] Clic sur Suppression. 
[*] Copie/colle le contenu du rapport ici. 

!!! Je répète bien faire Suppression à droite et poster le rapport. !!! 

~~

Utilisateur anonyme · Answer

Voilà les résultats du scan, par contre je n'ai aucun problème pour télécharger sur Chrome ou Mozilla... RogueKiller V8.7.2 _x64_ [Oct 3 2013] par Tigzy mail : tigzyRKgmailcom Remontees : http://www.adlice.com/forum/ Site Web : https://www.luanagames.com/index.fr.html Blog : http://tigzyrk.blogspot.com/ Systeme d'exploitation : Windows 8 (6.2.9200 ) 64 bits version Demarrage : Mode normal Utilisateur : Noélie [Droits d'admin] Mode : Suppression -- Date : 10/12/2013 15:55:39 | ARK || FAK || MBR | ¤¤¤ Processus malicieux : 0 ¤¤¤ ¤¤¤ Entrees de registre : 9 ¤¤¤ [RUN][SUSP PATH] HKCU\[...]\Run : Yontoo Desktop ("C:\Users\Noélie\AppData\Roaming\Yontoo\YontooDesktop.exe" [7]) -> SUPPRIMÉ [RUN][ZeroAccess] HKCU\[...]\Run : Google Update ("C:\Users\Noélie\AppData\Local\Google\Desktop\Install\{877bddee-9e39-5b3e-c18b-1cd2efcf6824}\?????????\?????????\?????\{877bddee-9e39-5b3e-c18b-1cd2efcf6824}\GoogleUpdate.exe" >) -> SUPPRIMÉ [RUN][SUSP PATH] HKUS\S-1-5-21-132149775-2795180181-35489451-1002\[...]\Run : Yontoo Desktop ("C:\Users\Noélie\AppData\Roaming\Yontoo\YontooDesktop.exe" [7]) -> [0x2] Le fichier spécifié est introuvable. [RUN][ZeroAccess] HKUS\S-1-5-21-132149775-2795180181-35489451-1002\[...]\Run : Google Update ("C:\Users\Noélie\AppData\Local\Google\Desktop\Install\{877bddee-9e39-5b3e-c18b-1cd2efcf6824}\?????????\?????????\?????\{877bddee-9e39-5b3e-c18b-1cd2efcf6824}\GoogleUpdate.exe" >) -> [0xc0000034] Unknown error [HJ DESK][PUM] HKCU\[...]\ClassicStartMenu : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REMPLACÉ (0) [HJ DESK][PUM] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REMPLACÉ (0) [HJ DESK][PUM] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0) [HID SVC][Masqué de l'API] HKLM\[...]\CCSet\[...]\Services : . e () -> [0x3] Le chemin d???accès spécifié est introuvable. [HID SVC][Masqué de l'API] HKLM\[...]\CS001\[...]\Services : . e () -> [0x3] Le chemin d???accès spécifié est introuvable. ¤¤¤ Tâches planifiées : 1 ¤¤¤ [V2][SUSP PATH] Updater21810.exe : C:\Users\Noélie\AppData\Local\Updater21810\Updater21810.exe - /extensionid=21810 /extensionname="Giant Savings Extension" /chromeid=halffneccaebicfdfajnbfgpglahfgoe [-][x] -> SUPPRIMÉ ¤¤¤ Entrées Startup : 0 ¤¤¤ ¤¤¤ Navigateurs web : 0 ¤¤¤ ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ [ZeroAccess][Fichier] Desktop.ini : C:\Windows\assembly\GAC_32\Desktop.ini [-] --> SUPPRIMÉ AU REBOOT [ZeroAccess][Fichier] Desktop.ini : C:\Windows\assembly\GAC_64\Desktop.ini [-] --> SUPPRIMÉ AU REBOOT [ZeroAccess][Repertoire] Install : C:\Users\Noélie\AppData\Local\Google\Desktop\Install [-] --> SUPPRIMÉ [ZeroAccess][Fichier] GoogleUpdate.exe : C:\Users\Noélie\AppData\Local\Google\Desktop\Install\{877bddee-9e39-5b3e-c18b-1cd2efcf6824}\?????????\?????????\?????\{877bddee-9e39-5b3e-c18b-1cd2efcf6824}\GoogleUpdate.exe [-] --> SUPPRIMÉ [ZeroAccess][Repertoire] L : C:\Users\Noélie\AppData\Local\Google\Desktop\Install\{877bddee-9e39-5b3e-c18b-1cd2efcf6824}\?????????\?????????\?????\{877bddee-9e39-5b3e-c18b-1cd2efcf6824}\L [-] --> SUPPRIMÉ [ZeroAccess][Repertoire] U : C:\Users\Noélie\AppData\Local\Google\Desktop\Install\{877bddee-9e39-5b3e-c18b-1cd2efcf6824}\?????????\?????????\?????\{877bddee-9e39-5b3e-c18b-1cd2efcf6824}\U [-] --> SUPPRIMÉ [ZeroAccess][Repertoire] {877bddee-9e39-5b3e-c18b-1cd2efcf6824} : C:\Users\Noélie\AppData\Local\Google\Desktop\Install\{877bddee-9e39-5b3e-c18b-1cd2efcf6824}\?????????\?????????\?????\{877bddee-9e39-5b3e-c18b-1cd2efcf6824} [-] --> SUPPRIMÉ [ZeroAccess][Repertoire] ????? : C:\Users\Noélie\AppData\Local\Google\Desktop\Install\{877bddee-9e39-5b3e-c18b-1cd2efcf6824}\?????????\?????????\????? [-] --> SUPPRIMÉ [ZeroAccess][Repertoire] ????????? : C:\Users\Noélie\AppData\Local\Google\Desktop\Install\{877bddee-9e39-5b3e-c18b-1cd2efcf6824}\?????????\????????? [-] --> SUPPRIMÉ [ZeroAccess][Repertoire] ????????? : C:\Users\Noélie\AppData\Local\Google\Desktop\Install\{877bddee-9e39-5b3e-c18b-1cd2efcf6824}\????????? [-] --> SUPPRIMÉ [ZeroAccess][Repertoire] {877bddee-9e39-5b3e-c18b-1cd2efcf6824} : C:\Users\Noélie\AppData\Local\Google\Desktop\Install\{877bddee-9e39-5b3e-c18b-1cd2efcf6824} [-] --> SUPPRIMÉ ¤¤¤ Driver : [NON CHARGE 0x0] ¤¤¤ ¤¤¤ Ruches Externes: ¤¤¤ ¤¤¤ Infection : ZeroAccess ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ --> %SystemRoot%\System32\drivers\etc\hosts ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: (\.\PHYSICALDRIVE0 @ IDE) (Lecteurs de disque standard) - WDC WD7500BPKT-22PK4T0 +++++ --- User --- [MBR] 39cd0c56cb65f5d50ecf3ed9079c4a97 [BSP] 6a0f9b61f62fe64ac0e2ae7f8f9683ef : Empty MBR Code Partition table: 0 - [XXXXXX] UNKNOWN (0x00) [VISIBLE] Offset (sectors): 1 | Size: 2097152 Mo User = LL1 ... OK! User = LL2 ... OK! +++++ PhysicalDrive1: (\.\PHYSICALDRIVE1 @ USB) (Lecteurs de disque standard) - SAMSUNG HM500JI USB Device +++++ --- User --- [MBR] aade4f7f71131aada1b9ec4dbe39c461 [BSP] 58b203abcb81489740d66b8b6399355c : Empty MBR Code Partition table: 0 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 476937 Mo User = LL1 ... OK! Error reading LL2 MBR! Termine : << RKreport[0]_D_10122013_155539.txt >> RKreport[0]_S_10122013_155520.txt

Malekal_morte- · Answer

Télécharge et installe Malwarebyte MBAR : https://www.malekal.com/malwarebytes-anti-rootkit-mbar-beta/
Mets le à jour, fais un scan rapide, supprime tout et poste le rapport ici.  
Enregistre le rapport sur http://pjjoint.malekal.com
Donne le lien pjjoint ici.

Utilisateur anonyme · Answer

Voilà le lien :
https://pjjoint.malekal.com/files.php?id=20131012_o7n13h7d9t15

Malekal_morte- · Answer

ca doit aller mieux :)


Suis ce tutorial https://www.malekal.com/adwcleaner-supprimer-virus-adwares-pup/?t=33839&start= AdwCleaner ( d'Xplode ) sur ton bureau. 
Vas sur le lien, télécharge AdwCleaner comme indiqué.
Lance AdwCleaner, clique sur [Scanner]. 
Le scan peux durer plusieurs minutes, patienter. 
Une fois le scan terminé, clique sur [Nettoyer] 

Une fois le nettoyage terminéi, un rapport s'ouvrira. Copie/colle le contenu du rapport dans ta prochaine réponse par un copier/coller. 
Si cela ne fonctionne pas, utilise le site http://pjjoint.malekal.com pour héberger le rapport, donne le lien du rapport dans un nouveau message. 

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

Utilisateur anonyme · Answer

https://pjjoint.malekal.com/files.php?id=20131012_h9q8i9u125

Oui ça va beaucoup mieux, MSE ne m'harcèle plus toutes les 30 secondes pour me signaler que le virus est toujours là ^^

Malekal_morte- · Answer

c'est good,


Installe Malwarebyte's Anti-Malware : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Fais des scans réguliers avec, il est efficace.


Sécurise ton PC - surtout désactive bien java de tes navigateurs WEB !

Important - ton infection est venue par un exploit sur site web :   

Un exploit sur site WEB permet l'infection de ton ordinateur de manière automatiquement à la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à ton insu.  
Le fait de ne pas avoir des logiciels à jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système.  
Exemple avec : Exploit Java  

Il faut donc impérativement maintenir tes logiciels à jour afin de ne pas voir ces portes d'entrée sur ton système.
Tant que ces logiciels ne seront pas à jour, ton PC est vulnérable et les infections peuvent s'installer facilement.

IMPORTANT : mettre à jour tes programmes notamment Java/Adobe Reader et Flash : 
/faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite     
https://forum.malekal.com/viewtopic.php?t=15960&start=  

Désactive Java de tes navigateurs WEB  : https://www.commentcamarche.net/faq/35621-desactiver-java-sur-ses-navigateurs-web


Passe le mot à tes amis ! 

~~

Filtrer les PUPs/Adwares les plus fréquents avec HOSTS Anti-PUPs/Adwares : http://www.malekal.com/2012/01/10/hosts-anti-pupsadware/

~~

Le reste de la sécurité : http://forum.malekal.com/comment-securiser-son-ordinateur.html