Machine infectée par Sirefef-ZT [Tjr]

Résolu
Sways -  
Bonjour,

Je me permets de poster ce sujet car ma machine semble avoir été infectée par un trojan selon avast, seulement ce dernier n'arrive pas à l'éliminer. Si une âme charitable voudrait bien m'accorder un peu de son temps et m'apporter un peu d'aide. Merci d'avance.

30 réponses

Résumé de la discussion

La machine est signalée infectée par un trojan par Avast sur Windows 7 et Chrome, et la suppression système n’aboutit pour l’instant malgré plusieurs tentatives. Plusieurs axes ont été préconisés, dont l’identification du fichier détecté par Avast et l’emploi de RogueKiller et ZHPDiag pour diagnostiquer et nettoyer le système en vue d’élimination. Le diagnostic évoqué par les échanges montre des éléments associés à VirtualDJ Home Free, avec des fichiers, liens et entrées de registre potentiellement liés à l’infection. D’autres éléments utiles incluent l’analyse des hash MD5 et des emplacements d’installation pour distinguer logiciel légitime et composant malveillant, ainsi que les rapports postés pour analyse complémentaire.

Bobot (l’IA à votre service)
  1. 2011N2 Contributeur sécurité
    Bonjour,

    Peux-tu me dire quel est le fichier détecté stp ?

    Gabriel.
    0
    1. 2011N2 Contributeur sécurité
      Re,

      Ok tu viens d'éditer ton titre, ça me convient.

      Passe RogueKiller en Scan (point 1/ du tutoriel) et poste le rapport : http://www.forum-entraide-informatique.com/support/roguekiller-tigzy-tutoriel-t15.html

      Gabriel.
      0
      1. Sways Auteur
        Ok, je lance le scan et je publie le rapport dès qu'il se termine.
        0
      2. 2011N2 Contributeur sécurité
        Ok ;)
        0
      3. Sways Auteur
        RogueKiller V8.7.2 [Oct 3 2013] par Tigzy
        mail : tigzyRK<at>gmail<dot>com
        Remontees : http://www.adlice.com/forum/
        Site Web : https://www.luanagames.com/index.fr.html
        Blog : http://tigzyrk.blogspot.com/

        Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version
        Demarrage : Mode normal
        Utilisateur : Serge Alct [Droits d'admin]
        Mode : Recherche -- Date : 10/13/2013 16:41:50
        | ARK || FAK || MBR |

        ¤¤¤ Processus malicieux : 0 ¤¤¤

        ¤¤¤ Entrees de registre : 4 ¤¤¤
        [HJ SMENU][PUM] HKCU\[...]\Advanced : Start_ShowMyDocs (0) -> TROUVÉ
        [HJ DESK][PUM] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> TROUVÉ
        [HJ DESK][PUM] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ
        [EXT RUN][SUSP PATH] HKCU\Serge Alct_ON_W:\[...]\Run : DellSystemDetect (C:\Users\Serge Alct\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Dell\Dell System Detect.appref-ms [-]) -> TROUVÉ

        ¤¤¤ Tâches planifiées : 0 ¤¤¤

        ¤¤¤ Entrées Startup : 0 ¤¤¤

        ¤¤¤ Navigateurs web : 0 ¤¤¤

        ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

        ¤¤¤ Driver : [NON CHARGE 0x0] ¤¤¤

        ¤¤¤ Ruches Externes: ¤¤¤
        -> W:\windows\system32\config\SYSTEM | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - FOUND]
        -> W:\windows\system32\config\SOFTWARE | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - FOUND]
        -> W:\windows\system32\config\SECURITY | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - FOUND]
        -> W:\windows\system32\config\SAM | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - FOUND]
        -> W:\windows\system32\config\DEFAULT | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - FOUND]
        -> W:\Users\Default\NTUSER.DAT | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - NOT_FOUND]
        -> W:\Users\Default User\NTUSER.DAT | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - NOT_FOUND]
        -> W:\Users\Serge Alct\NTUSER.DAT | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - FOUND]
        -> W:\Documents and Settings\Default\NTUSER.DAT | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - NOT_FOUND]
        -> W:\Documents and Settings\Default User\NTUSER.DAT | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - NOT_FOUND]
        -> W:\Documents and Settings\Public\NTUSER.DAT | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - NOT_FOUND]
        -> W:\Documents and Settings\Serge Alct\NTUSER.DAT | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - NOT_FOUND]

        ¤¤¤ Infection : ¤¤¤

        ¤¤¤ Fichier HOSTS: ¤¤¤
        --> %SystemRoot%\System32\drivers\etc\hosts

        127.0.0.1 localhost

        ¤¤¤ MBR Verif: ¤¤¤

        +++++ PhysicalDrive0: (\\.\PHYSICALDRIVE0 @ IDE) (Lecteurs de disque standard) - ST320LT020-9YG142 +++++
        --- User ---
        [MBR] e513fafa6dc73cf522caf0671e84d878
        [BSP] 94b116012dfd980c6f972e9fc6067c71 : Windows 7/8 MBR Code
        Partition table:
        0 - [XXXXXX] DELL-UTIL (0xde) [VISIBLE] Offset (sectors): 2048 | Size: 100 Mo
        1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 206848 | Size: 20000 Mo
        2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 41166848 | Size: 211575 Mo
        3 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 509024256 | Size: 56697 Mo
        User = LL1 ... OK!
        User = LL2 ... OK!

        Termine : << RKreport[0]_S_10132013_164150.txt >>
        0
    3. 2011N2 Contributeur sécurité
      Re,

      Passe-le en Suppression (point 2/ du tutoriel), et poste le rapport.

      Gabriel.
      0
      1. Sways Auteur
        Re, voici le nouveau rapport:

        RogueKiller V8.7.2 [Oct 3 2013] par Tigzy
        mail : tigzyRK<at>gmail<dot>com
        Remontees : http://www.adlice.com/forum/
        Site Web : https://www.luanagames.com/index.fr.html
        Blog : http://tigzyrk.blogspot.com/

        Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version
        Demarrage : Mode normal
        Utilisateur : Serge Alct [Droits d'admin]
        Mode : DNS RAZ -- Date : 10/13/2013 16:46:22
        | ARK || FAK || MBR |

        ¤¤¤ Processus malicieux : 0 ¤¤¤

        ¤¤¤ Entrees de registre : 0 ¤¤¤

        ¤¤¤ Driver : [NON CHARGE 0x0] ¤¤¤

        ¤¤¤ Ruches Externes: ¤¤¤
        -> W:\windows\system32\config\SYSTEM | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - FOUND]
        -> W:\windows\system32\config\SOFTWARE | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - FOUND]
        -> W:\windows\system32\config\SECURITY | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - FOUND]
        -> W:\windows\system32\config\SAM | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - FOUND]
        -> W:\windows\system32\config\DEFAULT | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - FOUND]
        -> W:\Users\Default\NTUSER.DAT | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - NOT_FOUND]
        -> W:\Users\Default User\NTUSER.DAT | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - NOT_FOUND]
        -> W:\Users\Serge Alct\NTUSER.DAT | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - FOUND]
        -> W:\Documents and Settings\Default\NTUSER.DAT | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - NOT_FOUND]
        -> W:\Documents and Settings\Default User\NTUSER.DAT | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - NOT_FOUND]
        -> W:\Documents and Settings\Public\NTUSER.DAT | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - NOT_FOUND]
        -> W:\Documents and Settings\Serge Alct\NTUSER.DAT | DRVINFO [Drv - W:] | SYSTEMINFO [Sys - C:] [Sys32 - FOUND] | USERINFO [Startup - NOT_FOUND]

        ¤¤¤ Infection : ¤¤¤

        Termine : << RKreport[0]_DN_10132013_164622.txt >>
        RKreport[0]_D_10132013_164216.txt;RKreport[0]_H_10132013_164615.txt;RKreport[0]_S_10132013_164150.txt
        0
      2. 2011N2 Contributeur sécurité
        Pourquoi DNS RAZ ?
        0
      3. Sways Auteur
        Euh.. du coup j'avais effectuer tous les points présent dans le tutoriel du lien que tu m'avais envoyé. Il ne fallait pas ?
        0
    6. 2011N2 Contributeur sécurité
      Re,

      Y'a que ça dans le rapport ?

      Gabriel.
      0
      1. Sways Auteur
        Euh .. si il n'y a rien d'autre...
        0
    8. Sways Auteur
      Même en le repassant en mode sans échec j'obtiens le même résultat [j'ai aussi noté qu'il m'affichait une erreur: "Line 556 (File"C:\Pre_Scan\Process\Pre_Scan_Protect.exe"): Error: Variable must be of type "Object" OK""]
      0
      1. 2011N2 Contributeur sécurité
        Re,

        Bon laisse Pre_Scan de côté.

        Fais un diagnostic de ton PC avec ZHPDiag et poste le rapport hébergé : http://www.forum-entraide-informatique.com/support/zhpdiag-tutoriel-t4831.html

        Gabriel.
        0
        1. Sways Auteur
          Ok, ça marche je le download tout de suite :)
          PS: désolé d'avoir mis du temps mais j'ai essayer plusieurs fois Pre_scan
          0
        2. 2011N2 Contributeur sécurité
          Pas de problème ce n'est pas une course. ;)
          0
        3. Sways Auteur
          Je crois que le lien pour ZHPDiag est mort, j'en ai cherché d'autres via Google mais aucun ne semble fonctionner...
          0
      2. 2011N2 Contributeur sécurité
        Chez moi ça marche...

        Essaye ici : https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

        Gabriel.
        0
        1. Sways Auteur
          C'est bon j'ai réussi à le télécharger et l'installer, je lance l'analyse.
          0
        2. 2011N2 Contributeur sécurité
          Ok :)
          0
        3. Sways Auteur
          http://www.cjoint.com/confirm.php?cjoint=CJnt2Gl4Xt8
          0
      4. 2011N2 Contributeur sécurité
        Re,

        Désinstalle Spybot il est obsolète.

        Est-ce que ton antivirus affiche toujours l'alerte ?

        Gabriel.
        0
        1. Sways Auteur
          Très bien je le désinstalle (il n'y aurait pas un produit qui pourrait remplacé Spybot ?)

          Je n'ai pas encore lancé d'analyse, je l'a fait et je te poste le résultat.
          0
      5. 2011N2 Contributeur sécurité
        Oui, je te donnerai un logiciel après.

        Ok, @+ :)

        Gabriel.
        0
        1. Sways Auteur
          Re,

          Avast n'a détecté aucun virus :) Merci beaucoup.

          Par contre il y'aurait t-il un soft qui pourrait remplacé Spybot ?
          0
        2. Sways Auteur
          Du coup j'ai vu que Malwarebytes était l'équivalent de Spybot donc à ce niveau tout va bien :) Dois-je faire une autre manipulation ou marqué comme résolu ce sujet ?
          0
        3. Bridget. Contributeur
          Salut Sways,

          MBAM est plus puissant et efficace que Spybot.
          Pose ta question concernant ton problème de software à Gabriel puisque c'est dans la continuité de la présente désinfection.

          Il est important de rester avec le même helper durant toute la désinfection car il connaît le problème dans sa globalité. Si plusieurs personnes se mettent sur un même sujet, il y a risque de passer des outils incompatibles ou de se tromper entre les rapports. C'est donc dans l'intérêt de la personne aidée.

          De plus, on n'est pas si nombreux que cela et cela permet d'aider d'autres personnes.
          L'autre sujet ouvert va être supprimé.

          Bonne continuation. Cordialement Bridget.
          0
        4. Sways Auteur
          Bonjour Bridget,

          Je note pour MBAM et au sujet de la question je m'étais permis de la poser sur un autre sujet car j'avais vu de nombreuses fois que dans des cas comme celui-ci on demandait d'ouvrir un nouveau sujet.
          0
        5. Sways Auteur
          Je me suis également permis d'effectuer une analyse avec Malwarebytes qui a détecté deux positifs, voici le rapport:

          Malwarebytes Anti-Malware 1.75.0.1300
          www.malwarebytes.org

          Version de la base de données: v2013.10.13.03

          Windows 7 Service Pack 1 x64 NTFS
          Internet Explorer 10.0.9200.16721
          Serge Alct :: PC-DE-SERGE [administrateur]

          14/10/2013 14:05:02
          mbam-log-2013-10-14 (14-05-02).txt

          Type d'examen: Examen rapide
          Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
          Options d'examen désactivées: P2P
          Elément(s) analysé(s): 206993
          Temps écoulé: 9 minute(s), 1 seconde(s)

          Processus mémoire détecté(s): 0
          (Aucun élément nuisible détecté)

          Module(s) mémoire détecté(s): 0
          (Aucun élément nuisible détecté)

          Clé(s) du Registre détectée(s): 1
          HKLM\SOFTWARE\SWEETIM (PUP.Optional.SweetIM.A) -> Mis en quarantaine et supprimé avec succès.

          Valeur(s) du Registre détectée(s): 1
          HKLM\Software\SweetIM|simapp_id (PUP.Optional.SweetIM.A) -> Données: 11111111 -> Mis en quarantaine et supprimé avec succès.

          Elément(s) de données du Registre détecté(s): 0
          (Aucun élément nuisible détecté)

          Dossier(s) détecté(s): 0
          (Aucun élément nuisible détecté)

          Fichier(s) détecté(s): 0
          (Aucun élément nuisible détecté)

          (fin)
          0
      6. Bridget. Contributeur
        " Rapport de ZHPDiag v1.28.1346 par Nicolas Coolman, Update du 29/08/2011"

        Ta version de ZHPDiag date de plus de 2 ans ! Autant dire du temps de "Noé et son arche", en informatique ! Les menaces évoluent constamment et les outils de désinfection aussi, c'est pourquoi il ne faut pas les conserver. C'est comme si tu n'avais pas mis à jour ton antivirus depuis 2 ans ! ZHPDiag change de versions plusieurs fois par semaine.

        1) Désinstalle cette antiquité :)

        2) Télécharge la dernière version de ZHPDiag ici : http://www.commentcamarche.net/download/telecharger-34066799-zhpdiag
        L'interface a bien changé. Aussi suis ces indications.

        - Laisse-toi guider lors de l'installation et coche "Ajouter une icône sur le bureau".
        Tu verras alors 2 nouvelles icônes sur ton bureau : ZHPDiag et ZHPFix.
        Seul ZHPDiag nous intéresse pour l'instant.

        3) Pour lancer ZHPDiag :

        - Ferme tout exceptée cette page web.

        - Sous Windows xp, lance ZHPDiag par double-clic sur l'icône en forme de parchemin.
        Tu dois avoir les droits d'administration du pc.
        - Sous Windows Vista / 7 et 8, faîs un clic droit sur l'icône ZHPDiag en forme de parchemin et choisis "Exécuter en tant qu'administrateur".

        - Si la photo du créateur apparaît, clique sur "Ok".

        - Le logiciel s'ouvre. Tu vois deux gros boutons : "Rechercher" et "Configurer"

        - Clique sur "Configurer", puis sur la loupe du mileu en bas à gauche.
        (Diagnostic Toutes Options).

        - Laisse l'examen se dérouler sans toucher à rien. Il ne dure que quelques minutes.
        Le logiciel peut s'arrêter un moment sur une ligne puis repartir, c'est normal.
        Ne le relance pas. Attends patiemment la fin du scan.

        - En fin de scan, un message en bas de la page prévient que c'est terminé.

        4) Pour le rapport :

        - Héberge-le sur http://pjjoint.malekal.com
        - Copie et colle ce lien dans ta réponse.
        @+
        0
        3. 2011N2 Contributeur sécurité
          Re,

          Bien, on finalise.
          Voici la procédure : http://www.forum-entraide-informatique.com/support/finalisation-t8237.html
          Tiens moi au courant de ton avancée au fur et à mesure.

          Gabriel.
          0
          1. Sways Auteur
            Voilà, j'ai fini tout le tutoriel sauf la partie sur UsbFix car je n'ai aucun port usb à brancher :)
            0
          2. Bridget. Contributeur
            Salut Gabriel,

            Cet après-midi, Sways avait ouvert un autre sujet pour un logiciel qu'il n'arrive pas à désinstaller depuis son infection, il faudrait peut-être voir ça avec lui avant de finaliser en particulier si tu as besoin de ZHPFix pour le lui enlever.

            Cordialement Bridget
            Bonne soirée à tous les deux.
            0
          3. 2011N2 Contributeur sécurité
            Salut Bridget,

            Ok merci, je n'étais pas au courant.

            Sways, quel est le logiciel en question ?
            0
          4. Sways Auteur
            Euh.. le logiciel en question est Virtual DJ Home Free

            (merci Bridget d'avoir soulevé ce point, bonne soirée à toi aussi).
            0
        4. 2011N2 Contributeur sécurité
          En 10 minutes tu as eu le temps de tout faire ? :O ^^
          0
          1. Sways Auteur
            Oui, enfin le défragmenteur est toujours en route, mais sinon oui ^^
            0
        5. 2011N2 Contributeur sécurité
          Et les rapports Delfix et Security Check ?^^

          Gabriel.
          0
          1. Sways Auteur
            Voici le rapport de Security Check:

            Results of screen317's Security Check version 0.99.74
            Windows 7 Service Pack 1 x64 (UAC is enabled)
            Internet Explorer 10
            [b][u]''''''''''''''Antivirus/Firewall Check:''''''''''''''[/b][/u]
            [size=1]WMI entry may not exist for antivirus; attempting automatic update.[/size]
            [b][u]'''''''''Anti-malware/Other Utilities Check:'''''''''[/b][/u]
            Malwarebytes Anti-Malware version 1.75.0.1300
            Java 7 Update 40
            Adobe Flash Player 11.9.900.117
            Adobe Reader 10.1.8 [color=red][b]Adobe Reader out of Date![/b][/color]
            Mozilla Firefox (24.0)
            Google Chrome 29.0.1547.76
            Google Chrome 30.0.1599.69
            [b][u]''''''''Process Check: objlist.exe by Laurent''''''''[/b][/u]
            AVAST Software Avast AvastSvc.exe
            AVAST Software Avast AvastUI.exe
            [b][u]'''''''''''''''''System Health check'''''''''''''''''[/b][/u]
            Total Fragmentation on Drive C:
            [b][u]''''''''''''''''''''End of Log''''''''''''''''''''''[/b][/u]
            0
          2. Sways Auteur
            Par contre dans quel dossier se trouve le rapport de DelFix ? Parce que mon Pc a redémarrer entre temps..
            0
          3. 2011N2 Contributeur sécurité
            Dans C:\ Pour Delfix à priori.
            0
          4. Sways Auteur
            Exact, je le poste tout de suite :)
            0
        6. 2011N2 Contributeur sécurité
          Re,

          Ok mets Adobe Reader à jour.

          Il se passe quoi lorsque tu tentes de désinstaller Virtual DJ Home Free ? Tu procèdes comment ?

          Gabriel.
          0
          1. Sways Auteur
            Ok, je le fait de suite :)

            Euh.. au départ j'avais essayer de le lancer, je suis tombé sur un message d'erreur du soft qui m'a demandé de le réinstaller; puis lors de la réinstallation une erreur s'est affiché lorsque la nouvelle version de VirtualDJ a essayé de supprimer l'ancienne version présente sur mon PC. J'ai donc tenté de le supprimer via CCleaner en vain.
            0
        • 1
        • 2

        Discussions similaires

        Carte bancaire dans machine à laver
        Nicolas

        5 réponses
        Machine à laver CB
        Imane

        2 réponses
        Carte bleu passé a la machine à laver
        Fi

        8 réponses
        message"press a key to reboot"
        patli

        7 réponses
        ma machine affiche "No Boot Device Found. Presse any key to reboot the mach
        assoua@

        6 réponses