RKIT/bubnix.S

juste un merci ! rootkit de merde qu'aucun soft ne trouvait, pc tout propre grace a ce post !! :)

Salut guincho

Bien de rien, cela a été un plaisir de te dépanner, voilà je viens de mettre en résolu.

Je te dit pas a la prochaine :-))

@++ :)

Par contre comme indiqué j'ai vidé tout mes cookis et du coup je n'ai plus la main pour te mettre probleme resolu ou pour changer le titre............zut je vais signaler ma bourde..

Encore milles merci à toi d'avoir pris le temps de nous aider, nous t'en sommes tres reconnaissants et sans toi c'etait le formatage+ la crise de nerfs alors.....
MERCI au plaisir

Bonsoir dédétraqué,

OK pour les conseils... on a tout suivi puis mon mari a rebranché son PC sur le réseau de son boulot après que l'admin ait débloqué son IP. A priori, son IP n'a plus été bloqué par des activités anormales => Donc tu as fait du super boulot car tout est nickel !!!!!!!!
ENCORE UN MEGA MERCI!!!!!!!
Je mets en résolu
Guincho

Salut guincho

Je te donne quelques consignes de sécurité :

- Windows Update parfaitement à jour http://www.windowsupdate.com/windowsupdate/v6/default.aspx (catégories critique, Services Pack et Services Release)
- pare-feu bien paramétré, je te conseil ZoneAlarm :
https://www.malekal.com/tutoriel-zonealarm-firewall/
- antivirus bien paramétré et mis à jour régulièrement (quotidiennement s'il le faut) avec un scan complet régulier (journalier s'il le faut).
- une attitude prudente vis à vis de la navigation (pas de sites douteux : cracks, warez, sexe...) et vis à vis de la messagerie (fichiers joints aux messages doivent être scannés avant d'être ouverts)
- pas de téléchargement illégal, qui est le principal facteur d'infection (µTorrent, BitTorrent, eMule, Limewire, etc..) https://forum.malekal.com/viewtopic.php?t=893&start=
- une attitude vigilante (être à l'affût d'un fonctionnement inhabituel de son système)
- nettoyage hebdomadaire du système (suppression des fichiers inutiles, nettoyage de la base de registre, scandisk, defrag)
- scan hebdomadaire antispyware, je conseil MalwareByte's Anti-Malware :
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
- un contrôle régulier de la console JAVA pour s'assurer qu'elle est à jour :
https://www.java.com/en/download/uninstalltool.jsp
- faire régulièrement un scan de vulnérabilités afin de vérifier que tes logiciels soit à jour sans failles de sécurités :
https://www.malekal.com/tester-la-vulnerabilite-de-son-systeme-2/

De bonne lecture si tu veux en savoir plus sur la sécurité et le fonctionnement de Windows :
http://www.malekal.com/menu_windows_general.php
http://www.malekal.com/menu_windows_securite.php

Si tu considères ton problème comme résolu, tu pourras mettre en résolu :
https://www.commentcamarche.net/infos/25917-marquer-un-fil-de-discussion-comme-etant-resolu/

Bonne journée/soirée et bon surf

@++ :)

Bonjour dédétraqué,

J'ai tout fait : vulnérabilité, zonealarm...
On peut faire la suite si tu veux bien
Guincho

Salut guincho

C'est bizarre, pourquoi vouloir supprimer combofix, hijackthis et RSIT ?
Les outils sont mis à jour régulièrement, cela ne donne rien d'avoir des outils qui seront obsolètes dans quelque jours et très dangereux comme Combofix si mal utilisé.

Je veux bien virer le mbr.exe dans windows : c'est quoi ???
C'est un outils installer avec Combofix, il permet de scanner la MBR

Celui de windows est nul ou quoi ?
J'appelle pas cela nul, disons vraiment nul :-)) (avec un vrai pare feu tu n'aurais pas eu ton problème de départ)
Voir avec Comodo alors si tu as eu des problème avec ZoneAlarm

@++ :)

Bonjour dédétraqué,

Voici les éléments trouvés par Toolscleaner :

[ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

--> Recherche:

C:\Combofix.txt: trouvé !
C:\Combofix: trouvé !
C:\Qoobox: trouvé !
C:\Rsit: trouvé !
C:\Alex_stockage\soft scan antivirus\ComboFix.exe: trouvé !
C:\Alex_stockage\soft scan antivirus\Rsit.exe: trouvé !
C:\Documents and Settings\alex\Bureau\ComboFix.exe: trouvé !
C:\Program Files\trend micro\HijackThis.exe: trouvé !
C:\Program Files\trend micro\hijackthis.log: trouvé !
C:\Qoobox\Quarantine\catchme.log: trouvé !
C:\WINDOWS\mbr.exe: trouvé !

C'est bizarre, pourquoi vouloir supprimer combofix, hijackthis et RSIT ?
Je veux bien virer le mbr.exe dans windows : c'est quoi ???

Suis je vraiment obligé de mettre le parefeu Zonealarm car je l'ai déjà eu et eu plein de problèmes ? Celui de windows est nul ou quoi ?

Je fais la vulnérabilité pendant ce temps

Guincho

Salut guincho

Installe un Pare feu comme ZoneAlarm ou Comodo :
https://www.commentcamarche.net/telecharger/securite/24867-zonealarm-security-elementaire/
https://www.commentcamarche.net/telecharger/securite/6291-comodo-firewall-free-windows/

Pour des raisons de sécurité et surtout pour garder ton PC propre, on va désactiver la restauration système sur tous les lecteurs :

- Clique droit sur le Poste de travail sur le bureau, dans propriété tu cliques sur l'onglet Restauration système

- Coche la case désactiver la restauration et applique

Redémarre l'ordinateur et réactive la restauration système.

Tutoriel XP : http://www.libellules.ch/desactiver_restauration.php

-----

On va faire un ménage des outils téléchargés pour la désinfection, télécharge Tools Cleaner sur le bureau :

http://pc-system.fr/

- Double clique sur ToolsCleaner2.exe sur le bureau
- Clique sur Recherche et laisse le scan agir.
- Clique sur Suppression pour finaliser.
- Tu peux, si tu le souhaites, te servir des Options facultatives.
- Clique sur Quitter pour obtenir le rapport.
- Poste le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur (C:\).
- Si des outils restes après le passage de Tools Cleaner, tu pourras les supprimer manuellement ainsi que tous les rapports qui on été généré lors de la désinfection.

-----

Important de mettre à jour Windows et tes logiciels :
Mettre Windows(catégories critique, Services Pack et Services Release) à jour : http://www.windowsupdate.com/windowsupdate/v6/default.aspx

Faire un scan de vulnérabilités afin de vérifier que tes logiciels soit à jour sans failles de sécurités et mettre à jour :
https://www.malekal.com/tester-la-vulnerabilite-de-son-systeme-2/

Faire un ménage des fichiers inutiles et de la base de registre :
https://www.malekal.com/tutoriel-ccleaner/

Dis moi quand cela est fais où si tu as des soucis et on passe à la résolution du sujet par la suite.

@++ :)

Waooohhhh Super Merci !!!!! Sans toi il aurait fallu reformater les disques... Gloups. C'est super !! On a évité le pire grâce à toi !!!!

J'aimerai savoir comment vérifier les flux sortants de l'ordi quand il est sur le net car c'est cette suractivité qui a été détecté par le proxy et qui a fait bloqué l'IP de l'ordi au boulot. As tu une idée ?

Guincho

Salut guincho

Cela est bon, as-tu d'autre souci?

@++ :)

Voici le rapport de ESET :

SETSmartInstaller@High as CAB hook log:
OnlineScanner.ocx - registred OK
# version=7
# iexplore.exe=8.00.6001.18702 (longhorn_ie8_rtm(wmbla).090308-0339)
# OnlineScanner.ocx=1.0.0.6211
# api_version=3.0.2
# EOSSerial=d58acd0fbbf53241bf3a6ce6f655b04a
# end=stopped
# remove_checked=true
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2010-05-08 02:58:52
# local_time=2010-05-08 04:58:52 (+0100, Paris, Madrid (heure d'été))
# country="France"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=512 16777215 100 0 23942 23942 0 0
# compatibility_mode=1797 16775145 100 100 242246 69394641 13968 0
# compatibility_mode=6143 16777215 0 0 0 0 0 0
# compatibility_mode=8192 67108863 100 0 2572 2572 0 0
# scanned=9
# found=0
# cleaned=0
# scan_time=67
esets_scanner_update returned -1 esets_gle=53251
# version=7
# iexplore.exe=8.00.6001.18702 (longhorn_ie8_rtm(wmbla).090308-0339)
# OnlineScanner.ocx=1.0.0.6211
# api_version=3.0.2
# EOSSerial=d58acd0fbbf53241bf3a6ce6f655b04a
# end=stopped
# remove_checked=true
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=true
# antistealth_checked=true
# utc_time=2010-05-08 03:26:13
# local_time=2010-05-08 05:26:13 (+0100, Paris, Madrid (heure d'été))
# country="France"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=512 16777215 100 0 25313 25313 0 0
# compatibility_mode=1797 16775145 100 100 243617 69396012 15339 0
# compatibility_mode=6143 16777215 0 0 0 0 0 0
# compatibility_mode=8192 67108863 100 0 3943 3943 0 0
# scanned=1457
# found=0
# cleaned=0
# scan_time=292
esets_scanner_update returned -1 esets_gle=53251
# version=7
# iexplore.exe=8.00.6001.18702 (longhorn_ie8_rtm(wmbla).090308-0339)
# OnlineScanner.ocx=1.0.0.6211
# api_version=3.0.2
# EOSSerial=d58acd0fbbf53241bf3a6ce6f655b04a
# end=stopped
# remove_checked=true
# archives_checked=false
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2010-05-08 03:27:25
# local_time=2010-05-08 05:27:25 (+0100, Paris, Madrid (heure d'été))
# country="France"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=512 16777215 100 0 25633 25633 0 0
# compatibility_mode=1797 16775145 100 100 243937 69396332 15659 0
# compatibility_mode=6143 16777215 0 0 0 0 0 0
# compatibility_mode=8192 67108863 100 0 4263 4263 0 0
# scanned=300
# found=0
# cleaned=0
# scan_time=46
esets_scanner_update returned -1 esets_gle=53251
# version=7
# iexplore.exe=8.00.6001.18702 (longhorn_ie8_rtm(wmbla).090308-0339)
# OnlineScanner.ocx=1.0.0.6211
# api_version=3.0.2
# EOSSerial=d58acd0fbbf53241bf3a6ce6f655b04a
# end=finished
# remove_checked=true
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2010-05-08 04:14:37
# local_time=2010-05-08 06:14:37 (+0100, Paris, Madrid (heure d'été))
# country="France"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=512 16777215 100 0 25741 25741 0 0
# compatibility_mode=1797 16775145 100 100 244045 69396440 15767 0
# compatibility_mode=6143 16777215 0 0 0 0 0 0
# compatibility_mode=8192 67108863 100 0 4371 4371 0 0
# scanned=20414
# found=0
# cleaned=0
# scan_time=2767
esets_scanner_update returned -1 esets_gle=53251
# version=7
# iexplore.exe=8.00.6001.18702 (longhorn_ie8_rtm(wmbla).090308-0339)
# OnlineScanner.ocx=1.0.0.6211
# api_version=3.0.2
# EOSSerial=d58acd0fbbf53241bf3a6ce6f655b04a
# end=finished
# remove_checked=true
# archives_checked=false
# unwanted_checked=true
# unsafe_checked=true
# antistealth_checked=true
# utc_time=2010-05-08 06:53:09
# local_time=2010-05-08 08:53:09 (+0100, Paris, Madrid (heure d'été))
# country="France"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=512 16777215 100 0 32679 32679 0 0
# compatibility_mode=1797 16775145 100 100 250983 69403378 22705 0
# compatibility_mode=6143 16777215 0 0 0 0 0 0
# compatibility_mode=8192 67108863 100 0 11309 11309 0 0
# scanned=73554
# found=0
# cleaned=0
# scan_time=5341

Qu'en penses tu ?

Salut guincho

Via Ajout/Suppression de programmes désinstalle Ask Toolbar

Supprime si encore présent : C:\Program Files\Ask.com

On va vérifier si rien de caché :
Faire un scan avec Nod32 en ligne (il faut utiliser Internet Explorer) ici :

https://www.eset.com/int/home/online-scanner/

(coche toutes les cases à chaque fois, sauf les deux dernières a la fin du scan, sinon le rapport est supprimer)
A la fin, colle le rapport : C:\Program Files\EsetOnlineScanner\log.txt

@++ :)

Bonjour,

Je reviens ce matin en ayant appliqué tes dernières recommandations. Tu trouveras sur ces liens les rapports de RSIT :

https://www.cjoint.com/?fikvkofDyR

https://www.cjoint.com/?fikwV271Qw

Ce qui me semble compliqué c'est que le virus Bredolab.AA est arrivé en premier puis il parait que ce virus télécharge ensuite d'autres virus. Penses tu que celui est vraiment effacé ? connais tu ce virus ?

Salut guincho

Plus de trace du Rootkit dans le dernier rapport.

Télécharge RSIT (de random/random) sur le bureau ici :
http://images.malwareremoval.com/random/RSIT.exe

- Double clique sur RSIT.exe qui est sur le bureau
- Clique sur Continue dans la fenêtre
- RSIT téléchargera HijackThis si il n'est pas présent où détecté, alors il faudra accepter la licence
- Poste le contenue des deux rapports, log.txt et info.txt(réduit dans la barre des tâches) à la fin de l'analyse

Utilise cjoint.com pour poster en lien tes rapports :
https://www.cjoint.com/

- Clique sur Parcourir pour aller chercher le rapport C:\rsit\log.txt
- Clique sur Ouvrir ensuite sur Créer le lien Cjoint

- Fais un copier/coller du lien qui est devant Le lien a été créé: dans ta prochaine réponse.

Et fais la même chose avec l'autre rapport C:\rsit\info.txt

@++ :)

voici le rapport de combofix suite à tes indications !
https://www.cjoint.com/?fibQiS8GF1

Guincho

ok je m'y met de suite....encore merci

Salut guincho

- Clique sur le menu démarrer/Exécuter, tape notepad à l'invite de commande et OK.

- Copie/colle ce qui est en gras ci-dessous dans le Bloc-Notes :

KillAll::

Driver::
mzgzep

Rootkit::
c:\windows\system32\drivers\mzgzep.sys

File::
c:\windows\system32\config\systemprofile\Application Data\qvjsge.dat

Registry::
[-HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\mzgzep]
[-HKEY_LOCAL_MACHINE\System\ControlSet001\Services\mzgzep]
[-HKEY_LOCAL_MACHINE\System\ControlSet002\Services\mzgzep]

- Enregistre ce fichier sur le bureau (Impératif)

-Nom du fichier : CFScript.txt
-Type du fichier : tous les fichiers

- Clique sur Enregistrer et quitte le Bloc Notes

Important Désactive ton Antivirus et antispyware avant de faire le glisser/déposer

- Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe sur le bureau, comme sur cette capture (l'icône est un lion) :

http://free0.hiboox.com/images/2409/9126d3b136f7db9ab6242ad715b44296.gif

* Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal!
Ne touche à rien tant que le scan n'est pas terminé.
* Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
* Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

@++ :)

Salut guincho

OK reste quelque fichier a supprimer, tu m'as reposté le rapport de Combofix sur cjoint, poste le rapport de GMER

@++ :)

Édit OK je viens de le voir