Virus type rootkit

Résolu
mimoire -  
Bonjour à tous,
sur un PC windows XP SP3 j'ai un virus rootkit qui m'interdit le demarage sans echec, bloque tous les antivirus que j'ai essayé. Pour en finir avec ce virus, je décide de réinstaller windows à partir du CD rom d'installation.J'ai eu la mauvaise surprise de voir que je n'ai plus acces à mes lecteurs de cd room. Que puis-je faire? Fdisk? mais cette commande DOS est elle encore disponible? si oui comment? à partir de Démarrer...exécuter? Quand j'aurais fais cela pourais-je accéder au lecteur de cd room?. merci de votre aide.

190 réponses

Résumé de la discussion

Infection identifiée comme le ver Bagle, qui empêche le démarrage en mode sans échec et bloque les antivirus, rendant une réinstallation par CD problématique et le lecteur CD/DVD inutilisable à ce stade. Plutôt que de reformater, l’approche préconisée est d’utiliser Findykill, un outil de détection et de suppression qui s’exécute au démarrage et peut nettoyer l’infection après téléchargement sur un autre PC. L’utilisation implique de lancer Findykill en mode administrateur, de sélectionner l’option 1 (Recherche) puis, après le scan, l’option 2 (Suppression), puis de redémarrer et de consulter le rapport généré (FyK.txt). Après le nettoyage, il convient de sauvegarder les données sur des supports externes et de vérifier que le système démarre correctement et que les restes du malware sont supprimés.

Bobot (l’IA à votre service)
  1. Xplode Contributeur sécurité
    Ok, j'étais quasiment sûr que c'était bagle.

    Pas besoin de reformater ton ordi, fais ceci :

    -+-+-+-+-> Findykill - Recherche <-+-+-+-+-

    Note : Ton PC est infecté par le ver bagle. Celui ci se propage essentiellement via le P2P. Plus d'informations sur l'infection ici

    [x] Télécharge Findykill ( d'El desaparecido ) | Miroir.

    /!\ Branche toutes tes sources de données externes ( Clé USB, Disque dur externe, carte SD ) sur ton PC /!\

    [x] Lance Findykill ( Utilisateurs de vista/seven -> Clic droit puis "Exécuter en tant qu'administrateur" ).

    [x] Choisis la langue souhaitée ( F pour Français ) puis valide en appuyant sur Entrée.

    [x] Au menu principal, choisis l'option n°1 ( Recherche ) puis patiente pendant le scan.

    [x] A la fin du scan, un rapport s'ouvrira. Copie/Colle son contenu dans ta prochaine réponse.

    Notes -> Le rapport est également sauvegardé sous C:\FyK.txt
    -> Un tutoriel pour l'utilisation de findykill est disponible ici.
    2. mimoire
      dis bien à "tes clients" qu'il faut etre prudent: on ne fait pas n'importe quoi dans la base de régistre
      1. mimoire
        salut Gen,
        voila la procédure que j'ai suivie:
        1) sauvegarder sur le bureau la base de régistre au cas ou il y aurait un problème!
        2) faire Démarrer....executer
        3) taper regedit
        4) rechercher la clé:

        HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlClass{4D36E965-E325-11CE-BFC1-08002BE10318}

        Attention : Ils existent plusieurs clefs de registre identiques. Vérifiez que "Données" correspond à CD-ROM.

        * 4. Supprimez les valeurs UpperFilters & LowerFilters :
        * 5. Quittez l'éditeur du registre et redémarrez votre PC

        si tout est bon, effacer la sauvegarde effectuée en 1)

        salut.
        2. gen-hackman
          salut à vous

          c'est possible de savoir quelles valeurs tu as supprimées si tu t'en rapelles ?

          Merci ca pourra aider d'autres personnes :)
          1. mimoire
            @+.......pourquoi pas .....mais dans un autre contexte bien volontier !!!
            1. mimoire
              salut Xplode,
              j'ai tout fais ce que tu as dis sauf internet explorer car j'ai eu un message erreur disant pas assez de mémoire ce qui m'étonne: j'ai 780M de ram. Jeje l'installerais plus tard. J'ai aussi retrouver mes lecteurs de CD en supprimant 2 valeurs dans la base de régistre. Maintenant tout est OK. Encore un grand merci.
              1. Xplode Contributeur sécurité
                Pas de quoi, @+
            2. mimoire
              tccleaner:
              [ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

              --> Recherche:

              C:\Qoobox: trouvé !
              C:\Rsit: trouvé !
              C:\Documents and Settings\jean terrien\Bureau\Rsit.exe: trouvé !
              C:\Program Files\Ad-remover: trouvé !
              C:\Program Files\Ad-Remover\Backup\Ad-R.exe: trouvé !
              C:\Program Files\List_Kill'em\catchme.exe: trouvé !
              C:\Program Files\List_Kill'em\mbr.exe: trouvé !
              C:\Program Files\trend micro\HijackThis.exe: trouvé !
              C:\Program Files\trend micro\hijackthis.log: trouvé !
              C:\Program Files\trend micro\HijackThis: trouvé !
              C:\Program Files\trend micro\HijackThis\HijackThis.exe: trouvé !
              C:\Program Files\trend micro\HijackThis\hijackthis.log: trouvé !
              C:\Qoobox\Quarantine\catchme.log: trouvé !
              C:\WINDOWS\mbr.exe: trouvé !

              ---------------------------------
              --> Suppression:

              C:\Program Files\Ad-Remover\Backup\Ad-R.exe: supprimé !
              C:\Program Files\List_Kill'em\catchme.exe: supprimé !
              C:\Program Files\trend micro\HijackThis.exe: supprimé !
              C:\Program Files\trend micro\HijackThis\HijackThis.exe: supprimé !
              C:\Documents and Settings\jean terrien\Bureau\Rsit.exe: supprimé !
              C:\Program Files\List_Kill'em\mbr.exe: supprimé !
              C:\Program Files\trend micro\hijackthis.log: supprimé !
              C:\Program Files\trend micro\HijackThis\hijackthis.log: supprimé !
              C:\Qoobox\Quarantine\catchme.log: supprimé !
              C:\WINDOWS\mbr.exe: supprimé !
              C:\Qoobox: supprimé !
              C:\Rsit: supprimé !
              C:\Program Files\Ad-remover: supprimé !
              C:\Program Files\trend micro\HijackThis: supprimé !
              1. mimoire
                rapport java:
                JavaRa 1.15 Removal Log.

                Report follows after line.

                ------------------------------------

                The JavaRa removal process was started on Tue Jun 29 14:30:43 2010

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0000-0003-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0000-0004-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0000-0005-ABCDEFFEDCBA}

                Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.0.1

                Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.0.1_02

                Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.0.1_03

                Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.0.1_04

                Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.2

                Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.2.0_01

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0000-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0001-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0001-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0002-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0002-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0003-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0003-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0004-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0004-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0005-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0005-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0006-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0006-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0007-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0007-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0008-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0008-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0009-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0009-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0010-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0010-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0011-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0011-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0012-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0012-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0013-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0013-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0014-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0014-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0015-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0015-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0016-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0016-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0017-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0017-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0018-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0018-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0019-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0019-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0020-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0020-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0021-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0021-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0022-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0022-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0023-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0023-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0024-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0024-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0025-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0025-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0026-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0026-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0027-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0027-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0028-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0028-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0029-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0029-ABCDEFFEDCBB}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0030-ABCDEFFEDCBA}

                Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0030-ABCDEFFEDCBB}

                Found and removed: SOFTWARE\Microsoft\Active Setup\Installed Components\{08B0E5C0-4FCB-11CF-AAA5-00401C608500}

                ------------------------------------

                Finished reporting.
                2. mimoire
                  salut Xplode, tu as vu mon dernier message de remerciement? vous etes super.

                  La mise à jour ne fonctionne pas en utilisant jucheck
                  1. Xplode Contributeur sécurité
                    Hello,

                    -+-+-+-+-> Mise à jour du PC <-+-+-+-+-

                    [x] Il est important d'avoir les dernières mises à jour sur ton PC. En effet, celles ci corrigent des failles de sécurité qui peuvent parfois être exploitée par un programme malveillant.

                    1ère étape : Java

                    [o] Télécharge JavaRa puis décompresse le sur ton bureau.
                    [o] Ouvre le dossier JavaRa puis exécute JavaRa.exe.
                    [o] Clique sur "Search For Updates".
                    [o] Sélectionne "Update Using jucheck.exe" puis clique sur "Search".
                    [o] Autorise le processus à se connecter s'il te le demande, clique sur "install" et suis la procédure d'installation.
                    [o] Une fois l'installation terminée, revient à l'écran de JavaRa et clique sur "Remove Older Versions".
                    [o] Clique sur " Oui " pour confirmer. Laisse l'outil travailler, puis clique sur " Ok " et une nouvelle fois sur " Ok ".
                    [o] Un rapport s'ouvrira, copie/colle son contenu dans ton prochain message.

                    2ème étape : Internet Explorer

                    [x] Même si tu n'utilises pas Internet Explorer pour naviguer, il est important de le mettre à jour !
                    [o] Télécharge Internet Explorer 8 puis installe le.

                    3ème étape : Mise à jour des logiciels

                    [o] Il est également important de garder tes logiciels à jour. Pour ce faire, il existe un petit utilitaire, Update Checker.
                    [o] Télécharge le
                    [o] Un tutoriel pour son utilisation est disponible ici.

                    -+-+-+-+-> Toolscleaner <-+-+-+-+-

                    [x] Télécharge ToolsCleaner ( d'A.Rothstein & Dj Quiou ) sur ton bureau.

                    [x] Lance le puis clique sur [Recherche]

                    [x] Patiente pendant le scan puis clique sur [Suppression]

                    [x] Clique maintenant sur [Quitter] ( pas sur la croix rouge ) pour afficher le rapport.

                    [x] Copie/Colle le contenu du rapport dans ta prochaine réponse.

                    Note : Le rapport se trouve également sous C:\TCleaner.txt
                    Note : Il se peut que le logiciel affiche la mention "Ne répond pas" car il consomme beaucoup de ressources. Il faut patienter quelques minutes.

                    [x] Un tutoriel est disponible ici.

                    -+-+-+-+-> Optimisation <-+-+-+-+-

                    1ère étape : Suppression des fichiers inutiles

                    [o] Télécharge CCleaner
                    [o] Installe le, puis lance le.
                    [o] Va dans l'onglet "Options" puis " Avancé "</gras et décoche <gras>" Effacer uniquement les fichiers[...] ".
                    [o] Cliques sur l'onglet " Nettoyeur " puis cliques sur [Analyser] . A la fin de l'analyse, clique sur <gras>[Nettoyer].
                    [o] Rends toi à l'onglet " Registre " puis cliques sur [Chercher les erreurs]. Cliques ensuite sur [Corriger les erreurs séléctionnées.
                    [o] Accepte la sauvegarde puis enregistre la dans tes documents ( tu pourras la supprimer si aucun problème n'apparaît après la suppression )
                    [o] Cliques ensuite sur [Corriger toutes les erreurs sélectionnées] puis sur [Fermer]
                    [o] Tu peux renouveller ces opérations tous les jours.

                    2ème étape : Défragmentation

                    [x] Au fur et à mesure que tu installes des logiciels, copies des fichiers etc.. le disque dur se fragmente et les accès en lecture/écriture sont plus longs.
                    [o] Télécharge Defraggler.
                    [o] Un tutoriel pour son utilisation est disponible ici.

                    3ème étape : Vérification des disques

                    [x] Ouvre l'explorateur, puis fais un clique droit sur ta partition principale ( généralement C:\ )
                    [x] Clique sur [Propriété] puis sur l'onglet [Outils]
                    [x] Clique sur [Vérifier maintenant] puis coche les deux cases présentes.
                    [x] Clique sur [Démarrer] ( Tu devras éventuellement redémarrer ton PC et le scan du disque s'effectuera au prochain démarrage )

                    -+-+-+-+-> Purger la restauration système <-+-+-+-+-

                    [x] La restauration système est un endroit que windows utilise pour créer des sauvegardes. En cas de soucis, tu peux utiliser ces sauvegardes pour revenir à un état antérieur au problème.

                    [x] Après une désinfection, il faut purger la restauration système pour supprimer toutes traces de malwares y résidant.

                    [x] Tutoriels :

                    - Windows XP
                    - Windows Vista
                    - Windows 7

                    -+-+-+-+-> Liens utiles <-+-+-+-+-

                    - Les dangers du P2P
                    - La sécurité de son PC, c'est quoi?
                    - Sécuriser son ordinateur
                    - Pourquoi maintenir son navigateur à jour?
                    3. mimoire
                      OK. Je te remercie pour ton aide sans laquelle je ne m'en serais pas tiré. Vous avez été super toi et Xplode avec beaucoup de patience envers nous. Je te charge de remercier pour moi Xplode car lui aussi s'est bien investi pour me sortir de problèmes qu'apres tout j'avais bien cherchés. Je suis ravi Merci encore
                      2. mimoire
                        OK je désinstalle firefox puis je réinstalle. Est-ce utile de passer un coup de "glary utilities"? pour remettre tout carré
                        1. gen-hackman
                          ca a l'air...

                          pour firefox , il faudrait voir de desintaller puis reinstaller la derniere version

                          si ca delire encore....ben....on avisera
                          • 1
                          • 2
                          • 3
                          • 4
                          • 5
                          • 6
                          • 7
                          • 8
                          • 9
                          • 10

                          Discussions similaires

                          Faiblesse des pokémon spectre
                          Matthias77

                          17 réponses
                          Softonic,est-ce un virus ?
                          techmel1

                          6 réponses
                          Chrome://newtab
                          Nova

                          14 réponses
                          Désinstaller Softonic
                          Diguimette

                          5 réponses
                          Supprimer New Tab
                          tysaozon

                          8 réponses