Rootkit zaro access!

Merci beaucoup pour votre aide et votre patience, bonne continuation!

Effectivement plus de rootkit.
La procédure de frst a donc fonctionné mais avec un laps de temps.

Voila le rapport http://pjjoint.malekal.com/files.php?id=20111227_u7w8y14s6b12
En espérant que je n'ai pas crié victoire trop vite

Désolé de répondre longtemps après, j'ai eu des soucis d'internet depuis vendredi! Je n'ai pas réussi la dernière procédure mais j'ai remarqué que mon ordi fonctionne nouveau normalement, j'ai effectué un scan avec roguekiller et il ne me détecte plus d'infection !
Alors un grand merci pour votre aide!

Télécharges ce programme

https://www.clubic.com/telecharger-fiche25151-imgburn.html

installes le programme et extrais OTLPE

J'ai un problème, je n'arrive pas à extraire OTLPE, c'est bloqué à 0%. J'ai essayé plusieurs fois mais rien à faire!

OTLPE est un Live CD qui permet de démarrer sur un système d'exploitation lorsque Windows est planté ou si vous n'arrivez plus à faire tourner de programmes de diagnostic dessus.

OTLPE contient plusieurs programmes de diagnostics ou réparation qui ne seront pas détaillés, OTLPE contient aussi OTL qui permet de scanner l'ordinateur et généré un rapport de diagnostic afin d'éventuellement déterminer si l'ordinateur est infecté.
Il faut bien sûr pour cela avoir un minimum de connaissances.

Lien de téléchargement :
Version Standard:
http://oldtimer.geekstogo.com/OTLPEStd.exe
http://ottools.noahdfear.net/OTLPEStd.exe

tu dois le graver sur un cd et une fois gravé tu fais ceci.

https://forums.commentcamarche.net/forum/affich-23947388-rootkit-zaro-access?page=2#26

Au risque de paraître bête, je ne sais pas ce qu'est ce cd. Du coup, je ne fais pas la démarche avec OTL?

On va devoir passer par OTLPE.

Tu dois démarrer ton pc avec le cd gravé OTLPE.

Une fois chargé clic sur le petit drapeau bleu en bas a gauche.

Clic sur all programs ===> double clic sur Regedit ===> double clic sur local registry

Positionnes toi sur HKEY_LOCAL_MACHINE (Le cadre se noircit)

Cliques sur le menu File et Load Hive

En bas positionnes Files of Type sur All files, puis navigues dans tes dossiers pour aller dans C:\Windows\System32\config

Tu dois avoir une liste de fichiers
Double-cliquez sur SYSTEM (celui sans extension à la fin).

Inscris un nom dans l'encadré blanc par exemple désinfection nanard , ce sera le nom du dossier contenant la ruche de ton Windows.

Clic sur ok.
Déroules l'arborescence de désinfection nanard avec les petites fléches pour avoir Control001 puis Control ===> Session Manager et enfin SubSystems .

Un clic sur SubSystems et a droite, tu dois avoir Windows comme valeur, double-cliques dessus.

La value date est très longue, cherches ServerDll=consrv:ConServerDllInitialization
Remplacer le premier consrv par winsrv pour avoir ServerDll=winsrv:ConServerDllInitialization
Valides toutes les fenêtres.
Éventuellement supprimes C:\Windows\system32\consrv.dll toujours depuis le CD Live
Redémarres l'ordinateur. (Sans le cd OTLPE)

Postes un nouveau rapport aswMBR

relançe OTL .
Fais un double-clic sur l'icône d'OTL pour le lancer
/!\ pour Vista/Seven fais un clic-droit sur l'icône d'OTL et choisis "Exécuter en tant qu'administrateur"

Copies et colles le contenue de cette citation (en commençant bien à :OTL , les : inclus devant OTL) dans la partie inférieure d'OTL sous "Personalisation" et cette fois ci clic CORRECTION:

:OTL
FF - prefs.js..keyword.URL: "http://search.babylon.com/?babsrc=SP_ss&mntrId=f285e398000000000000701a0444970a&tlver=1.4.19.19&instlRef=sst&ss=1&affID=18026&q="
[2009/07/14 02:39:46 | 000,054,272 | ---- | M] (Microsoft Corporation) MD5=63E99B675A1337DB6D8430195EA3EFD2 -- C:\Windows\SysNative\consrv.dll
[2011/12/22 11:56:37 | 000,061,440 | ---- | C] () -- C:\Windows\SysWow64\drivers\ualausp.sys
[2011/12/22 11:36:00 | 000,061,440 | ---- | C] () -- C:\Windows\SysWow64\drivers\xddglbb.sys

:commands
[EmptyTemp]
[EmptyFlash]
[CREATERESTOREPOINT]
[ResetHosts]
[Reboot]

===>Copie_colle le contenu du rapport texte qui apparrait au redemarrage du pc .

voila le rapport OTL :
http://pjjoint.malekal.com/files.php?id=OTL_20111222_j12b6i11h12s13
le rapport aswASW:
http://pjjoint.malekal.com/files.php?id=20111222_w15z6w6o13z12

Tu peux refaire ce qui suit

Double cliquez sur le aswMBR.exe pour l'exécuter
* Cliquez sur le bouton «Scan» pour commencer le balayage
* Cliquez sur Save log pour sauvegarder le rapport
* Enregistrez le aswASW.log sur le bureau
* Poster le rapport sur le forum.

========================================
+nouveau rapport OTL

J'ai fait tout comme vous m'avez dit, seulement il n'y a pas de fenêtre noire qui s'est ouverte et le fichier C:\avenger.txt reste introuvable!

1. Télécharge http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/ par Swandog46 sur ton Bureau.

* Décompresse le fichier
* avenger.exe sur le bureau

2. Copie le contenu en gras ci-dessous (CTRL+C),

Files to delete:
C:\Windows\SysNative\consrv.dll

Note: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur.
si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système.

3. Maintenant, lance The Avenger par clic droit, exécuter en tant qu'administrateur.

* Faites un clic droit sur la fenêtre sous "Input Script There":, Et choisissez Coller.A présent du dois avoir le script dans la fenétre blanche d' Avenger.
* Clique sur Exécuter
* Réponds "Yes" quand demandé.

4. The Avenger va automatiquement faire ce qui suit:

* Il va Redémarrer le système.
* Pendant le redémarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur le bureau, c'est normal.
* Après le redémarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt

5. Pour finir copie/colle le contenu du ficher c:\avenger.txt dans ta prochaine réponse.

Tuto :
http://www.oxygenepc.com/forum/the-avenger-t594.html

Je suis pas sure d'avoir fait la bonne manip, je vous envoie quand même le lien:
http://pjjoint.malekal.com/files.php?id=20111222_k12l11k1010j15

télécharger l'outil FRST et l'enregistrer sur le bureau

Ouvrez le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes). Copier et coller le code ci dessous en gras dans le bloc note.

start
SubSystems: [Windows] ==> ZeroAccess
end

Enregistrer le fichier sur le bureau a cote de FRST et nommer le fixlist.txt

Exécuter FRST et appuyez sur le bouton Fix juste une fois et attendez.
Un rapport sera créer sur le bureau.Postes ce rapport.

voila les liens :
http://pjjoint.malekal.com/files.php?id=20111221_m12c13d12d10g15
http://pjjoint.malekal.com/files.php?id=20111221_z13g610t13n8

* Télécharge OTL sur ton bureau.

* Fais un double-clic sur l'icône d'OTL pour le lancer
/!\ pour Vista/Seven fais un clic-droit sur l'icône d'OTL et choisis "Exécuter en tant qu'administrateur"

* Assure toi d'avoir fermé toutes les applications en court de fonctionnement.

* Quand la fenêtre d'OTL apparaît, assure toi que dans la section "Rapport" (en haut à droite) la case "Rapport minimal" soit cochée.

* Copies et colles le contenue de cette citation dans la partie inférieure d'OTL "Personnalisation"

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
explorer.exe
winlogon.exe
userinit.exe
wininit.exe
consrv.dll
/md5stop
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
nslookup www.google.fr /c
SAVEMBR:0
CREATERESTOREPOINT


* Cliques sur l'icône "Analyse" (en haut à gauche) .
* Laisse le scan aller à son terme sans te servir du PC
* A la fin du scan un ou deux rapports vont s'ouvrir "OTL.Txt" et ( ou ) "Extras.Txt"( dans certains cas).
* Héberge le ou les rapports sur le site pjjoint.malekal.com ou cijoint.fr ou toofiles , puis copie/colle le ou les liens fournit dans ta prochaine réponse sur le forum

PS:Tu peux retrouver les rapports dans le dossier C:\OTL ou sur ton bureau en fonction des cas rencontrés

aswMBR version 0.9.8.986 Copyright(c) 2011 AVAST Software
Run date: 2011-12-21 18:21:46
-----------------------------
18:21:46.259 OS Version: Windows x64 6.1.7601 Service Pack 1
18:21:46.260 Number of processors: 1 586 0x301
18:21:46.262 ComputerName: FANNY-TOSHIBA UserName: Fanny
18:21:50.601 Initialize success
18:21:50.955 AVAST engine defs: 11122101
18:22:04.314 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP1T0L0-1
18:22:04.317 Disk 0 Vendor: TOSHIBA_MK2555GSX FG001M Size: 238475MB BusType: 11
18:22:06.443 Disk 0 MBR read successfully
18:22:06.449 Disk 0 MBR scan
18:22:06.489 Disk 0 Windows 7 default MBR code
18:22:06.504 Service scanning
18:22:08.674 Modules scanning
18:22:08.682 Disk 0 trace - called modules:
18:22:08.743 ntoskrnl.exe CLASSPNP.SYS disk.sys ataport.SYS PCIIDEX.SYS hal.dll msahci.sys
18:22:08.752 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0xfffffa800304a060]
18:22:08.762 3 CLASSPNP.SYS[fffff8800169b43f] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP1T0L0-1[0xfffffa8002fe6060]
18:22:09.991 AVAST engine scan C:\Windows
18:22:16.602 AVAST engine scan C:\Windows\system32
18:22:32.103 File: C:\Windows\system32\consrv.dll **INFECTED** Win64:Sirefef-C [Drp]
18:24:16.269 AVAST engine scan C:\Windows\system32\drivers
18:24:30.326 AVAST engine scan C:\Users\Fanny
18:25:39.488 Verifying
18:25:49.518 Disk 0 Windows 601 MBR fixed successfully
18:26:21.245 Verifying
18:26:31.277 Disk 0 Windows 601 MBR fixed successfully
18:27:49.832 AVAST engine scan C:\ProgramData
18:30:53.266 Scan finished successfully
18:31:02.931 Verifying
18:31:12.980 Disk 0 Windows 601 MBR fixed successfully
18:31:46.638 Disk 0 MBR has been saved successfully to "C:\Users\Fanny\Desktop\MBR.dat"
18:31:46.648 The log file has been saved successfully to "C:\Users\Fanny\Desktop\aswMBR2.txt"

* Relancer aswMBR.exe pour l'exécuter
* Cliquez sur le bouton «Scan» pour commencer le balayage
* Cliquez sur "Fix"
* Enregistrez le aswASW.log sur le bureau
* Poster le rapport sur le forum.