MBR: \\.\PHYSICALDRIVE0\Partition2

guido -  
Bonjour,


je suis confronté depuis plusieurs jours à un rootkit. Il est détecté par avast!, qui ne sait pas l'éliminer.
Mon ordinateur tourne sous Windows XP.
Avast! me donne les informations suivantes concernant le rootkit:
- Nom du fichier = MBR: \\.\PHYSICALDRIVE0\Partition2
Au secours...

85 réponses

Résumé de la discussion

Plusieurs symptômes indiquent la présence d'un rootkit sous Windows XP avec Internet Explorer 7, Avast détectant un fichier MBR: \\.\PHYSICALDRIVE0\Partition2 et suggérant une infection au niveau du Master Boot Record. Des réponses proposent l'utilisation de Pre_Scan ou variantes (Winlogon.exe) et des rapports complexes, avec avertissements sur les risques et la nécessité d'héberger les rapports sur des services externes. D'autres interventions évoquent Malwarebytes Anti-Malware et ComboFix, signalant quarantines et réparations de clés de registre, paramètres Hijack et détections de fichiers malveillants, ainsi que des conseils de redémarrage en mode sans échec. D'autres nuances expliquent que l'efficacité dépend du mode de démarrage (mode sans échec) et de la gestion des processus résidents de l'antivirus, ce qui peut influencer la réussite du nettoyage.

Bobot (l’IA à votre service)
  1. g3n-h@ckm@n
    salut aucun outil conventionnel ne regle ce souci à mon souvenir...

    et jouer avec les partitions n'est pas un jouet....

    telecharge et enregistre Pre_Scan sur ton bureau :

    http://forums-fec.be/gen-hackman/Pre_Scan.exe

    Avertissement :Il y aura une extinction du bureau pendant le scan --> pas de panique.

    une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan_la_date_et_l'heure.txt" sur le bureau.

    si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Kill"

    si l'outil est bloqué par l'infection utilise cette version avec extension .pif :

    http://forums-fec.be/gen-hackman/Pre_Scan.pif

    ou cette version renommée winlogon.exe :

    http://forums-fec.be/gen-hackman/winlogon.exe

    si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

    Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

    Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan

    NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

    Heberge le rapport sur http://pjjoint.malekal.com puis donne le lien obtenu en echange sur le forum où tu te fais aider
    ¤¤¤¤¤¤¤¤¤¤_g3n-h@ckm@n_Developpement_¤¤¤¤¤¤¤¤¤¤
    ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤    _Pre_Scan_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
    2. guido
      Bonjour, dernière petite question, pour blinder mon pc contre les virus et autres sites malveillants, j' ai voulu installer ZONEALARM sachant qu' AVAST était installé sur mon poste et là plus rien tout planté, il a fallu que je redémarre en mode sans échec pour supprimer ZONEALARM, il y a un soucis entre les 2? Est-ce que le pare-feu de WINDOWS XP suffit? Si oui je reste la-dessus.
      Merci de ta dernière réponse
      1. g3n-h@ckm@n
        ok pense à installer WOT , Java à jour ainsi qu'adobe reader si tu t'en sers + flash player
        2. guido
          tout est réinstaller maintenant j' ai un soucis car mon gestionnaire de périphérique ne détecte plus la carte réseau comment faire pour la retrouver et ainsi refaire fonctionner internet,là j' écris d' un autre poste
          1. guido
            ça y est tout est ok, mise à jour en cours et j' ai retrouvé tous mes drivers
            encore une fois merci à toi (même si parfois j' étais un peu pressant) pour tout ce temps passé à m' aider.
            Bon courage pour la suite et merci à ce site vachement pratique et utile
            Christophe
        4. guido
          comment il faut faire, pour sauvegarder mes données je comprends mais formater le disque dur, il faut faire comment?
          1. g3n-h@ckm@n
            solution miracle rapide ?

            sauve tes données sur un support externe , et formates ton disque dur

            ensuite reinstalle windows
            1. guido
              par rapport aux dernières infos que je te donne, tu en penses quoi de mon problème car ça commence franchement à être pénible, je trouve que mon poste rame pas mal, plus accès à certaines choses dans le poste...
              Trouves moi une solution miracle
              2. guido
                Bonjour, toutes les cases pouvant l' être étaient cochées dans l' onglet ROOTKIT/MALWARE (voici une capture écran au moment du scan:http://pjjoint.malekal.com/files.php?id=20120414_z7n8n5w7h13)
                j' ai relancé un scan qui me donne ça:
                GMER 1.0.15.15641 - http://www.gmer.net
                Rootkit scan 2012-04-12 23:12:49
                Windows 5.1.2600 Service Pack 3
                Running: lghpne8t.exe; Driver: C:\DOCUME~1\Marc\LOCALS~1\Temp\pwndipob.sys

                ---- Registry - GMER 1.0.15 ----

                Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC
                Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@u0 0xD4 0xC3 0x97 0x02 ...
                Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0
                Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0xC4 0x75 0xD2 0x39 ...
                Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC (not active ControlSet)
                Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@u0 0xD4 0xC3 0x97 0x02 ...
                Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0
                Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0xC4 0x75 0xD2 0x39 ...
                Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@DeviceNotSelectedTimeout 15
                Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@GDIProcessHandleQuota 10000
                Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@Spooler yes
                Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@swapdisk
                Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@TransmissionRetryTimeout 90
                Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@USERProcessHandleQuota 10000

                ---- EOF - GMER 1.0.15 ----

                j' ai vu sur un autre site avec le même genre de problème une solution qui consistait à lancer tous ces scan depuis un cd copier sur un poste vierge afin d' éviter de passer par mes fichiers infectés, qu' en penses tu?
                2. guido
                  Pour une fois qu' un truc fonctionne...

                  GMER 1.0.15.15641 - http://www.gmer.net
                  Rootkit scan 2012-04-12 17:29:46
                  Windows 5.1.2600 Service Pack 3
                  Running: dxhbhb7n.exe; Driver: C:\DOCUME~1\Marc\LOCALS~1\Temp\pwndipob.sys

                  ---- Registry - GMER 1.0.15 ----

                  Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC
                  Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@u0 0xD4 0xC3 0x97 0x02 ...
                  Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0
                  Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0xC4 0x75 0xD2 0x39 ...
                  Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC (not active ControlSet)
                  Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@u0 0xD4 0xC3 0x97 0x02 ...
                  Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0
                  Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0xC4 0x75 0xD2 0x39 ...
                  Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@DeviceNotSelectedTimeout 15
                  Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@GDIProcessHandleQuota 10000
                  Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@Spooler yes
                  Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@swapdisk
                  Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@TransmissionRetryTimeout 90
                  Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@USERProcessHandleQuota 10000

                  ---- EOF - GMER 1.0.15 ----
                  1. g3n-h@ckm@n
                    ▶ Télécharge : Gmer (by Przemyslaw Gmerek) clique sur "Download EXE" et enregistre-le sur ton bureau

                    Desactive toutes tes protections le temps du scan de gMer

                    Pour XP => double clique sur gmer.exe
                    Pour Vista et 7 => clique droit "executer en tant que...."

                    ▶ clique sur l'onglet rootkit,lances le scan,des lignes rouges vont apparaitre.

                    ▶ Les lignes rouges indiquent la presence d'un rootkit.Postes moi le rapport gmer (cliques sur copy,puis vas dans demarrer ,puis ouvres le bloc note,vas dans edition et cliques sur coller,le rapport gmer va apparaitre,postes moi le)
                    2. g3n-h@ckm@n
                      lance ce truc :

                      > Télécharge aswMBR.exe sur ton Bureau.
                      > Double clique sur aswMBR.exe pour l'exécuter (Clique droit/Exécuter en tant qu'administrateur pour Vista/7)
                      > Clique sur le bouton Scan
                      > Clique sur le bouton Fix si il n'est pas grisé.
                      > Clique sur save log. Enregistre le rapport sur ton bureau.
                      > Héberge le rapport sur https://www.cjoint.com/

                      1. GUIDO
                        Depuis Pre_scan, tdsskiller ne sait jamais ouvert...
                        J' ai téléchargé TDSSKILLER, j' ai le point exe sur mon poste mais il ne s' exécute jamais, j' ai double cliqué: rien, j' ai fait ouvrir: rien
                        c' est quoi le problème?
                        1. g3n-h@ckm@n
                          relance pre_scan , clique sur tools puis tdsskiller

                          l'outil va automatiquement télécharger la derniere version puis

                          TDSSKiller va s'ouvrir , clique sur "Start Scan"

                          Si TDSS.tdl2 est détecté l''option delete sera cochée par défaut.
                          Si TDSS.tdl3 est détecté assure toi que Cure est bien cochée.
                          Si TDSS.tdl4(\HardDisk0\MBR) est détecté assure toi que Cure est bien cochée.
                          Si Suspicious file est indiqué, laisse l''option cochée sur Skip
                          Si Rootkit.Win32.ZAccess.* est détecté règle sur "cure" en haut , et "delete" en bas

                          une fois qu'il a terminé , redemarre s'il te le demande pour finir de nettoyer

                          sinon , ferme tdssKiller et le rapport s'affichera sur le bureau

                          ▶ Copie/Colle son contenu dans ta prochaine réponse.
                          1. guido
                            Bon eh bien mode sans échec ou pas, ça ne change rien
                            Après environ 45min, l' écran bleu reste bloqué alors qu' il indique que ça ne devrait pas durer plus de 10min et que ça peut doubler si la machine est sérieusement infectée et là le curseur clignote sans arrêt et dès que je veux arrêter tout ça, l' ordi se bloque et je dois alors redémarrer
                            Au secours...
                            • 1
                            • 2
                            • 3
                            • 4
                            • 5

                            Discussions similaires

                            Convertir partition depuis support GPT en MBR
                            lenainjaune

                            17 réponses
                            MBR ERROR1 au démarrage
                            gregory92

                            2 réponses
                            MBR error 1
                            hugotheboss

                            5 réponses
                            Convertir disque MBR en GPT
                            TotoLeMarseillais

                            22 réponses
                            Presse any key to boot from floppy
                            morelia68

                            3 réponses