problème après infection rootkit zero access

Question

Bonjour, 

je viens demander votre aide après avoir fait le tour sur Internet pour trouver des solutions à mon problème. Je suis novice en informatique et je n'ose pas tenter des solutions en me basant sur des problèmes qui ne sont peut-être pas tout à fait comme le mien....
Hier mon antivirus avast a détecté un cheval de troie sur mon ordinateur et m'a demandé de redémarrer l'ordi, ce que j'ai fait. Je me suis retrouvée sans clavier ni pad qui fonctionne. J'ai appelé un ami qui s'y connait bien, il m'a fait passer en mode sans échec pour accéder via "administrateur" (mon profil habituel, bloqué par mot de passe, m'était inacessible) au gestionnaire de périphériques pour remettre en ordre le problème. Problème résolu, mais en me reconnectant en mode normal, je n'avais plus internet. Il m'a conseillé de télécharger combofix via un autre ordi et de le faire tourner sur ma machine. J'ai un peu galéré mais j'ai réussi. Je l'ai d'abord fait en mode normal, il a tourné, a détecté rootkit zero access, a fait toutes les étapes, mais après redémarrage de l'ordi (plusieurs fois), toujours pas d'internet, et antivirus bloqué (ne peut pas exécuter pare feu ni quoi que ce soit d'autre). A chaque fois, rebloquage du clavier.
J'ai laissé tomber là hier soir.
Ce matin, mon ami qui s'y connait n'est pas dispo. Après avoir regardé les solutions sur internet, je suis retournée en mode sans échec, j'ai fait un scan avast (seule chose qui marche), il a détecté plein de trucs que j'ai du coup supprimé (c'était des fichiers marqués trojan). ça ne marchait toujours pas. J'ai refait tourner combofix en mode sans échec puis nouveau scan avast. Il ne trouve plus rien, mais le problème n'est pas résolu.
Je me retrouve là à ne pas savoir quoi faire, en plus je suis dégoutée car je ne fais aucun téléchargement ni rien, je ne sais pas comment j'ai récupéré cette cochonnerie...
Votre aide serait vraiment la bienvenue !!! J'ai un ordi qui tourne sur XP pro, pas de possibilité de télécharger quoique ce soit sur internet à partir de celui-là, mais un autre ordi qui a une connexion si nécessaire. Et je suis nulle en informatique, alors je peux faire des choses pas à pas, mais c'est tout...
Je peux fournir les comptes-rendus combofix si nécessaire.
Merci d'avance !!!!!

sherred · Answer

salut
oui fournis donc ces rapports combo

et 

* Télécharge ZHPDiag (de Nicolas Coolman).  https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
* Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin. 
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic ») 
Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette

? Rends toi sur pjjoint.malekal.com 
? Clique sur le bouton Parcourir 
? Sélectionne le fichier que tu veux héberger et clique sur Ouvrir 
? Clique sur le bouton Envoyer 
? Un message de confirmation s'affiche (L'upload a réussi ! - Le lien à transmettre à vos correspondant pour visualiser le fichier est : https://pjjoint.malekal.com/files.php?id=df5ea299241015 

? Copie le lien dans ta prochaine réponse. 

Tutoriel : http://forums-fec.be/entraide/viewtopic.php?f=55&t=13

littletiny · Answer

Bonjour, et merci sherred pour le coup de main.
Voici le lien pour ZHP Diag : http://pjjoint.malekal.com/files.php?id=ZHPDiag_20120213_o10x11o6i8o8
Je cherche un moyen de mettre en ligne les 2 fichiers combofix, et je les mets ici

littletiny · Answer

voilà un lien pour accéder au premier rapport combofix (en mode normal) : http://dl.free.fr/l1kS1h4dk
puis le second (mode sans échec) : http://dl.free.fr/dp7x1Ypwk

littletiny · Answer

quelqu'un pour m'aider ??? c'est mon ordi de boulot, et c'est vraiment la galère....

sherred · Answer

télécharge Malwarebyte's ici 
http://data-cdn.mbamupdates.com/v0/program/data/mbam-setup-1.46.exe
ou ici
https://www.clubic.com/telecharger-fiche215092-malwarebytes-anti-malware.html
le programme va se mettre automatiquement a jour. 

Une fois a jour, le programme va se lancer; click sur l'onglet paramètre, et coche la case : "Arrêter internet explorer pendant la suppression". 

Click maintenant sur l'onglet recherche et coche la case : "executer un examen rapide". 

Puis click sur "rechercher". 

Laisse le scanner le pc... 

Si des éléments on été trouvés > click sur supprimer la sélection. 

si il t'es demandé de redémarrer > click sur "yes". 

A la fin un rapport va s'ouvrir; sauvegarde le de manière a le retrouver en vu de le poster sur le forum. 

Copie et colle le rapport stp. 

PS : les rapport sont aussi rangé dans l onglet rapport/log

littletiny · Answer

J'ai pu télécharger malwarebyte's, je l'ai mis sur mon ordi à problème, mais comme je n'ai pas internet dessus, je n'ai pas pu mettre la base de données à jour. J'ai lancé la recherche rapide qui a été interrompue vers 5 min, mon ordi a affiché un écran bleu disant "problème de l'ordinateur" ou je ne sais quoi, et il s'est redémarré.
Je viens de lancer une 2e recherche, on va voir ce que ça donne.

littletiny · Answer

malwarebyte's a pu terminer sa 2e analyse et n'a rien détecté. C'est parce qu'il n'était pas à jour peut-être ? comment faire ?

sherred · Answer

normalement tu doit avoir un démarrage sans échec avec prise en charge réseau

et là tu a internet

essaye , sinon on fera le nettoyage a la main ;)

littletiny · Answer

Bon alors, j'ai testé plusieurs choses :
- démarrage en mode sans échec avec connexion réseau : toujours pas d'internet, il m'affiche la même chose qu'en mode normal quand j'essaie de me connecter à internet : "windows a détecté un problème avec le catalogue de fournisseur winstock". Comme en mode normal, il m'indique pourtant que je suis connectée (que ce soit en filaire ou en wi fi), et dans les propriétés de la connexion, j'ai 3 paquets envoyés, 3 paquets reçus
- j'ai essayé d'actualiser malwarebyte's différemment avec : http://www.donnemoilinfo.com/sujet/Astuce/maj-malwarebytes.php
Mais ça n'a pas marché. Au contraite, après installation de ce programme, ça a effacé la base de données malwarebyte's, et quand j'ai redémarré l'ordi ensuite, mon clavier s'est de nouveau bloqué, puis l'ordi entier
- j'ai réussi à refaire tout marcher en passant en mode sans échec
- j'ai fait, à la demande de mon patron, une restauration système qui n'a rien donné, donc je l'ai annulé

 je ne sais plus quoi faire, j'envisage de chercher un informaticien près de chez moi pour me reformater ma machine ????

sherred · Answer

on va tenter autrement  

télécharger et appliquer WinSock XP Fix

https://www.snapfiles.com/get/winsockxpfix.html

si tu retrouve internet  , essaie de nouveau MBAM

et ne fait pas ce qui suit




si ca n'a pas marcher

 tu a sur ton bureau ZHPFix que l'on va utiliser plus bas 

  
1) 
* Copie le tout le texte présent en gras ci-dessous ( tu le sélectionne avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )  

[MD5.E205A5EB19D55A5D7E69D1EE9FE9711B] - (.Spigot, Inc. - Application Updater.) -- C:\Program Files\Application Updater\ApplicationUpdater.exe   [748440] [PID.]    

[MD5.11395157C0B05A272E21BDCC3C4D8033] - (.Spigot, Inc. - Search Settings.) -- C:\Program Files\Fichiers communs\Spigot\Search Settings\SearchSettings.exe   [922976] [PID.4076]     

O4 - HKLM\..\Run: [SearchSettings] . (.Spigot, Inc. - Search Settings.) -- C:\Program Files\Fichiers communs\Spigot\Search Settings\SearchSettings.exe     

O23 - Service: Application Updater (Application Updater) . (.Spigot, Inc. - Application Updater.) - C:\Program Files\Application Updater\ApplicationUpdater.exe   

O42 - Logiciel: pdfforge Toolbar v4.9 - (.Spigot, Inc..) [HKLM] -- {26ED1160-22B1-4b19-8C21-42A1BACAAF75}     

[HKCU\Software\AppDataLow\Software\Search Settings]     

[HKLM\Software\Application Updater]    => Infection PUP (PUP.Dealio) 
[HKLM\Software\SOFTWARE]    

[HKLM\Software\Search Settings]     

[HKLM\Software\pdfforge]   

O43 - CFD: 24/12/2011 - 08:41:38 - [0,714] ----D- C:\Program Files\Application Updater    

O43 - CFD: 24/12/2011 - 08:41:38 - [1,136] ----D- C:\Program Files\pdfforge Toolbar   

O43 - CFD: 24/12/2011 - 08:41:38 - [0,892] ----D- C:\Program Files\Fichiers Communs\Spigot    

O43 - CFD: 09/06/2010 - 12:15:00 - [0,004] ----D- C:\Documents and Settings\utilisateur\Application Data\pdfforge     

O43 - CFD: 24/12/2011 - 08:41:44 - [0] ----D- C:\Documents and Settings\utilisateur\Application Data\Search Settings    

O64 - Services: CurCS - 14/12/2011 - C:\Program Files\Application Updater\ApplicationUpdater.exe (Application Updater)  .(.Spigot, Inc. - Application Updater.) - LEGACY_APPLICATION_UPDATER     

[HKLM\Software\Classes\TypeLib\{2D5E2D34-BED5-4B9F-9793-A31E26E6806E}]     

[HKLM\SYSTEM\CurrentControlSet\Services\Application Updater]     

[HKLM\Software\Application Updater]     

[HKLM\Software\pdfforge]   

[HKCU\Software\AppDataLow\Software\Search Settings]    

[HKLM\Software\Search Settings]     

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]:SearchSettings     

C:\Program Files\Application Updater     

C:\Program Files\pdfforge Toolbar     

C:\Documents and Settings\utilisateur\Application Data\pdfforge     

C:\Documents and Settings\utilisateur\Application Data\Search Settings     

SR - | Auto 14/12/2011 748440 |  (Application Updater) . (.Spigot, Inc..) - C:\Program Files\Application Updater\ApplicationUpdater.exe     

 




2) 
Lance ZHPFix depuis le raccourci du bureau .  

* Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .  

* Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent .  

Vérifie :  
- que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.  
- que les lignes soient disposées les unes en dessous des autres .  

* Puis clique sur le bouton [ OK ] .  
> à ce moment là , il apparaitra au début de chaque ligne une petite case vide .  

Ne touche plus à rien !  

!! Déconnecte toi, désactive tes défenses ( anti-virus,anti-spyware ) et ferme bien toutes autres applications ( navigateurs compris ) !!  


* Clique sur le bouton [ Tous ] . Vérifies que toutes les lignes soient bien cochées .  

* Enfin clique sur le bouton [ Nettoyer ] .  


-> laisse travailler l'outil et ne touche à rien ...  


-> Si il t'est demandé de redémarrer le PC pour finir le nettoyage , fais le ( redémarre en mode normal ) !  

Une fois terminé , un nouveau rapport s'affiche : poste le contenu de ce dernier dans ta prochaine réponse ...  

( ce rapport est en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag\ZHPFixReport.txt ) 
Quand les bornes sont franchies, il n'y a plus de limite 
Ce que j'ai écrit, je l'ai écrit

littletiny · Answer

OK; nettoyage en cours. Il m'a demandé de confirmer si je voulais bien supprimer windows installer après "nettoyer", j'ai mis OK

littletiny · Answer

voilà le rapport : http://dl.free.fr/k0ewxsvMR
à la fin, le logiciel a essayé de charger une page internet, ce qui n'a pas marché. il ne m'a pas demandé de redémarrer l'ordi.

littletiny · Answer

j'ai voulu redémarrer l'ordi pour voir s'il y avait un changement, et je n'avais à nouveau plus de clavier, j'ai du repasser par le mode sans échec

sherred · Answer

tu a essayer WinSock XP Fix ?

littletiny · Answer

non, mais j'ai vu ça sur un autre post. Je vais essayer.

littletiny · Answer

je suis désolée sherred, je n'avais pas vu ton premier post à propos de winsock xp fix à faire avant zhp fix. Du coup, je l'ai fait après, ça a fait redémarrer l'ordi, mais au redémarrage plus de clavier, repassage en mode sans échec, et en mode normal, toujours pas de connexion internet ni d'antivirus :(

littletiny · Answer

sherred, je te remercie vivement pour ton aide. Je me suis résolue à ammener ma machine chez un réparateur, car c'est très préjudiciable pour mon boulot de ne pas avoir un ordi au top de sa forme. Après avoir jeté un coup d'oeil, il en a conclu que même s'il arrivait à éradiquer une grande partie des problèmes, l'ordi était trop infecté, et qu'il valait mieux faire un formatage. 
Je te tiendrai au courant de la résolution du problème (d'ici demain ou vendredi)

Problème après infection rootkit zero access

17 réponses

Discussions similaires

Newsletters