Eradiquer virus mbr:\.\phisicaldriveo ?

Question

Bonjour,

Je viens juste d'installer internet et Aavst que me voilà avec un messsage de virus qui ne se supprime pas...
rootkit : fichiers cachés
mbr:\.\physicaldriveo

Quelqu'un connait il la marche à suivre pour arriver à le supprimer definitivement ???

Merci d'avance

sylsop

Lyonnais92 · Accepted Answer

Bonjour,

probablement la nouvelle infection Mebroot (au passage, détectée par Avast et pas par Antivir).

Pour éradiquer :

Télécharge mbr.exe de Gmer ici :
http://www2.gmer.net/mbr/mbr.exe
et enregistre le fichier sur le Bureau.

Merci à Malekal pour le tutoriel

Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident)
Double clique sur mbr.exe
Un rapport sera généré : mbr.log
En cas d'infection, ce message  "MBR rootkit code detected" va apparaitre.

Dans le menu Démarrer- Exécuter tape : "%userprofile%\Bureau\mbr" -f
Dans le mbr.log cette ligne apparaitra "original MBR restored successfully !"

Réactive tes protections
Poste ce rapport et supprimes-le ensuite.

Pour vérifier

Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident)
Relance mbr.exe et le nouveau mbr.log devrait être celui-ci :

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

Réactive tes protections.


device: opened successfully

user: MBR read successfully

kernel: MBR read successfully

user & kernel MBR OK


Sous Vista, ne pas oublier de lancer mbr.exe par clic droit et Exécuter en tant qu'administrateur.
Note : Si le fichier mbr.exe se trouve dans Téléchargement, cela fonctionne aussi et mbr.log s'y inscrira.

ludsfa · Answer

salut,

Télécharge puis installe Hijackthis (Trend Micro)
Poste ensuite un rapport dans ta prochaine réponse.
AIDE : Comment utiliser Hijackthis v2.0.2 :
http://www.infos-du-net.com/forum/271838-11-tuto-utiliser-hijackthis

ludsfa · Answer

salut,


Fix les lignes dans le cadre ci-dessous avec Hijackthis : AIDE EN IMAGES :
http://dcangeldark.blogspot.com/2008/02/hijackthis-202-corriger-des-lignes.html

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - Global Startup: Wireless PCI_CardBus utility V1.01.exe.lnk = ?
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O23 - Service: Network Windows Service (MSWindows) - Unknown owner - C:\WINNT\System32\urdvxc.exe



Télécharge OTMoveIt (d'OldTimer). Sauvegarde-le sur ton Bureau:
http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe

Sélectionne tous ce qui est en gras ci-dessous:


C:\WINNT\System32\urdvxc.exe


---> Clique-droit puis Copier (ou Ctrl+C)
 
Double-clique sur OTMoveIt.exe afin de le lancer.
Fais un Clique-droit sur le cadre de gauche puis choisis Coller (ou Ctrl+V).
Clique maintenant sur MoveIt!
 
Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer.  
Accepte en cliquant sur YES.
 
Poste le rapport situé dans ce dossier : C:\_OTMoveIt\MovedFiles\
Le nom du rapport correspond au moment de sa création : date_heure.log

Chocoboy5 · Answer

Bonjour, j'ai un problème avec le même virus MBR://./PHYSICALDRIVE0

La démarche sera-t-elle la même pour mon PC?

J'ai également remarqué que IE était bloqué depuis que j'ai choppé ce virus, est-ce lié?

Merci d'avance pour vos réponses

ludsfa · Answer

salut chocoboy 5


bon normalement il faut créer ton propre sujet.


1/ Télécharge VundoFix.exe : http://www.atribune.org/ccount/click.php?id=4

Double-clique VundoFix.exe .
Clique sur  Scan for Vundo.
Lorsque le scan est complété, clique sur le bouton Remove Vundo.
Ensuite  clique sur YES
Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers.
Tu auras un message comme quoi l’ordinateur va s’éteindre, fais ok 


Poste le rapport qui se trouve dans C:\vundofix.txt 



2/ Télécharge Combofix (par sUBs) sur ton Bureau:http://download.bleepingcomputer.com/sUBs/ComboFix.exe

tuto:http://mickael.barroux.free.fr/securite/combofix.php

Double clique combofix.exe.
Tape sur la touche 1 (Yes) pour démarrer le scan.  
Lorsque le scan sera complété, un rapport apparaîtra. Poste ce rapport dans ta prochaine réponse.  
 
Le rapport se trouve ici : C:\Combofix.txt 


3/ Télécharge Hijackthis :http://www.trendsecure.com/portal/en-US/threat_analytics/HJTInstall.exe
Poste un rapport en suivant ce tuto.:http://forum.telecharger.01net.com/microhebdo/questions_techniques_diverses/securite/tuto_hijackthisv202_version_install-346620/messages-1.html
(en ayant renommé HiJackthis.exe en SCANNER.EXE)

ludsfa · Answer

Chaque cas est différent.

fais suivres les rapports suivant.

ludsfa · Answer

bien repasse combofix encore une fois et envois le rapport stp.

Chocoboy5 · Answer

Bon j'ai essayé de redémarrer la pc. Il détecte encore une altération du MASTER BOOT RECORD mais avast ne détecte plus de virus.
IE refonctionne également.

Merci beaucoup pour ton aide n_n

Question bonus : y a-t-il un moyen de réparer le master boot sans avoir à reformater le PC?

ludsfa · Answer

refais un hijackthis stp.

ludsfa · Answer

Télécharge MalwareByte's Anti-Malware sur ton Bureau:
https://www.majorgeeks.com/files/details/malwarebytes_anti_malware.html

Installe-le en double-cliquant sur le fichier Download_mbam-setup.exe. 

Une fois l'installation et la mise à jour effectuées, redémarre en mode sans échec.
AIDE :http://www.infos-du-net.com/forum/272325-11-tuto-demarrer-mode-echec

    *  Exécute maintenant MalwareByte's Anti-Malware. Si cela n'est pas déjà fait, sélectionne "Exécuter un examen complet".
    * Afin de lancer la recherche, clic sur"Rechercher".
    * Une fois le scan terminé, une fenêtre s'ouvre, clic sur OK. Deux possibilités s'offrent à toi : 

-- si le programme n'a rien trouvé, appuie sur OK. Un rapport va apparaître, ferme-le.
-- si des infections sont présentes, clic sur "Afficher les résultats" puis sur "Supprimer la sélection". Enregistre le rapport sur ton Bureau afin de le poster dans ta prochaine réponse.
REMARQUE : Si MalwareByte's Anti-Malware a besoin de redémarrer pour terminer la suppression, accepte en cliquant sur Ok. 

AIDE : Tuto en images sur MBAM :
http://www.infos-du-net.com/forum/278396-11-tuto-malwarebytes-anti-malware-mbam

ludsfa · Answer

bien voilà ce que tu va faire


désinstalle correctement avast ci-dessous le lien pour la désinstallation d'avast:

https://www.avast.com/fr-fr/uninstall-utility


télécharge AntiVir à la place d'avast (beaucoup plus performant)

voici ce tuto qui te le prouve:
http://forum.malekal.com/ftopic3528.php


ta première analyse tu la fait en mode sans échec:
http://forum.telecharger.01net.com/forum/high-tech/SECURITE/Securite/redemarrer-mode-echec-sujet_1526_1.htm


si antivir trouve un virus une fenêtre s'ouvre et te demande ce que tu veux faire: tu clic sur delete à chaque fois qu'il trouve un virus delete veut dire supprimé.


tuto antivir: tu as toutes les explications sur le tuto antivir.
https://www.malekal.com/avira-free-security-antivirus-gratuit/


envois moi le rapport à la fin du scan en mode sans échec.

ludsfa · Answer

salut chocoboy 5


peux tu me refaire un hijackthis.

dis moi si il y à du mieux en même temps.

ludsfa · Answer

ne formate pas ,ce n'est pas des virus.


on essaye quelque chose avant:

C'est peut être un soucis orange ou toshiba .


Copie le texte en gras ci-dessous:


registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
"WINSOS VERIFY"=
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
"TFncKy"=

Ouvre le Bloc-Notes puis colle le texte copié.
(Démarrer\Tous les programmes\Accessoires\Bloc notes.)
Sauvegarde ce fichier sous le nom de CFScript.txt.
 
Glisse maintenant le fichier CFScript.txt dans Combofix.exe comme ci-dessous :clic pour voir comment on fait
http://img.photobucket.com/albums/v666/sUBs/CFScript.gif
 
Cela va relancer Combofix, tape sur 1 puis valide. Après redémarrage, poste le contenu du rapport Combofix.txt accompagné d'un rapport Hijackthis.
S'il n'y a pas de rédémarrage, poste quand même les rapports.

ludsfa · Answer

bien,

on continue,


télécharge smitfraudfix sur ton bureau:http://www.geekstogo.com/forum/files/file/6-smitfraudfix/


Doudle clique sur le raccourci smitfraudfix du bureau.

Appuyez sur une touche de votre clavier pour continuer.

Vous arrivez au menu principal de SmitfraudFix :
Tapez 1, puis appuyez sur la touche Entrée de votre clavier.
Laissez SmitfraudFix travailler, soyez patient, ce n'est pas très long...

Une fois terminé, SmitfraudFix ouvre le rapport qu'il aura généré.
poste le rapport.

ludsfa · Answer

certain logiciels de désinfection font parfois alerté l'antivirus notament navilog 1 ou alors lopsd ou encore smitfraudfix.

Il faut que tu désactive ton anti virus avant de faire le test là je pense qu'il va falloir recommencer la procédure.

Je t'explique le logiciel de désinfection c'est comme un vaccin qui contient des fragment de microbes morts.

Mais ne t'inquiète pas .

Télécharge à nouveau smitfraufix mais cette fois désactive antivir.

ludsfa · Answer

oui sans aucun doute .

ludsfa · Answer

bien ,

Si SmitfraudFix a détecté des fichiers infectieux sur ton PC, il te permet de vous en débarasser.

Pour une plus grande efficacité, il est préférable de le faire en mode sans échec. Lis cet article pour redémarrer ton PC en mode sans échec, si tu ne sais pas comment faire:
http://mickael.barroux.free.fr/securite/desinfection.php#mode_sans_echec



Ensuite relance SmitfraudFix, et dans le menu, tape 2, puis appui sur la touche Entrée de ton clavier.

A la question : voulez-vous nettoyer le registre ? tapez O (oui) et appuyez sur la touche Entrée de votre clavier.

A la question : corriger le fichier infecté ? tapez O (oui) et appuyez sur la touche Entrée de votre clavier.

Sois ensuite patients, SmitfraudFix va supprimer les fichiers infectieux détectés dans la recherche effectuée précédemment.

Un redemarrage sera peut être necessaire pour terminer la procédure de nettoyage (SmitfraudFix te le dira si besoin).

Une fois terminé, SmitfraudFix te propose un nouveau rapport.
poste ce rapport suivi d'un nouveau rapport hijackthis.

ludsfa · Answer

Fix les lignes  ci-dessous avec Hijackthis : AIDE EN IMAGES :
http://dcangeldark.blogspot.com/2008/02/hijackthis-202-corriger-des-lignes.html


O4 - HKCU\..\Run: [WINSOS VERIFY] "C:\Program Files\Winsos\WINSOS.EXE" MINI



Télécharge OTMoveIt (d'OldTimer). Sauvegarde-le sur ton Bureau:http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe
Sélectionne tous les emplacements dans le cadre ci-dessous :

C:\Program Files\Winsos\WINSOS.EXE


---> Clique-droit puis Copier (ou Ctrl+C)
 
Double-clique sur OTMoveIt.exe afin de le lancer.
Fais un Clique-droit sur le cadre de gauche puis choisis Coller (ou Ctrl+V).
Clique maintenant sur MoveIt!
 
Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer.  
Accepte en cliquant sur YES.
 
Poste le rapport situé dans ce dossier : C:\_OTMoveIt\MovedFiles\
Le nom du rapport correspond au moment de sa création : date_heure.log

ludsfa · Answer

bien je t'ai envoyé l'autre procédure sur l'autre poste.

Lyonnais92 · Answer

Bonsoir,

Super.

C'est la première fois que je suis confronté à cette infection.

C'est très satisfaisant de voir que l'outil de désinfection fonctionne parfaitement.

Je regarde demain (je crois que ludsfa prend quelques jours de congés) si il faut faire quelques manips de sécurisation en plus.

james · Answer

qui pourrais aider un pauvre calimero comme moi qui connait pas grand chose en informatique
bon j'ai suivi plusieurs forum mais comment savoir quelles lignes "fixer"

Lyonnais92 · Answer

Bonjour,

james, Il serait préférable que tu fasses ton message personnel, cela rendra les postes plus compréhensibles et la réponse à ton problème sera plus efficace
Procèdes comme ceci :
http://perso.orange.fr/rginformatique/section%20virus/demofairesontmessage.htm
A bientôt 

sylsop, on en est où ? ludsfa  est intervenu sur l'autre post ?

Il ne doit plus rester grand chose, mais autant finir proprement.

Eradiquer virus mbr:\\.\phisicaldriveo ?

22 réponses

Votre réponse

Discussions similaires