Enchainement d'attaques

Re

Je vois que tu cherches un peu partout une solution.

Donc ;persistes...

@+

Re Salut Guillaume,

Premièrement, voici un petit topo des avancées de la semaine:
J'ai refait un scan avast! dimanche dernier sans grand espoir mais celui-ci m'a signalé la présence de "MBR:\\.\PHYSICALDRIVE0\Partition4" (décrit comme MBR Alureon-K dans le rapport). Après vérif' il avait déjà été détecté auparavant et supprimé, du moins je le croyais. Ce truc reste malgré toutes les manip' (quarantaine, suppression puis redémarrage...)
De ce fait après recherche, j'ai suivi les conseils trouvé sur ce forum et effectué un nettoyage avec ComboFix. La manip a duré près de 4h mais au final (et à mon réveil), l'ordinateur ne soufflait plus et les 2 process qui pompait sur l'UC sont revenus à la normale. Mais avast détecte toujours ce défaut.

Il reste le problème du "Google redirects" (dans firefox et ie). TDDSKiller refuse toujours de se lancer, que ce soit en mode admin, en mode sans echec ou en normal.... Du coup je ne peux pas effectuer c que tu me demandes et je ne trouve toujours pas la solution pour le lancer!

Je sens que je suis proche de la résolution de mes problèmes tout de même!

Bonjour

Pour vérification:

Télécharge TDSSKiller

*Créez un nouveau dossier sur votre bureau puis décompressez l'archive dedans
* Lancez le programme en cliquant sur TDSSKiller.exe, l'analyse se fait automatiquement, si l'infection est détectée, des éléments cachés (= hidden) seront alors affichés.

Si TDSS.tdl2 est détecté: l'option delete sera cochée par défaut.
Si TDSS.tdl3 est détecté: assure toi que Cure est bien cochée.
Si TDSS.tdl4(\HardDisk0\MBR) est détecté: assure toi que Cure est bien cochée.
Si Rootkit.Win32.ZAccess.* est détecté : règle sur "cure" en haut , et "delete" en bas
Si Suspicious file est indiqué, laisse l''option cochée sur Skip
une fois qu'il a terminé , redémarre s'il te le demande pour finir de nettoyer

sinon , ferme TDSSKiller et le rapport s'affichera sur le bureau

Poste moi son rapport à l'issue; merci

@+

ok je serai patient alors:

http://pjjoint.malekal.com/files.php?read=ZHPDiag_20120429_y12d14q1112o14

Re

Je dois également m'absenter quelques jours pour vacances bien méritées.

Poste moi un nouveau rapport ZHPDiag;merci

@+

Après 1h30 de téléchargement, les mises à jour ont été effectuées.
En redémarrant l'ordi, windows m'a prévenu de l'élimination d'un truc:

http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?name=Trojan%3aDOS%2fAlureon.E

Par contre l'une des mises à jour a échoué:

http://i44.servimg.com/u/f44/11/14/71/17/update10.jpg

J'ai toujours 2 process qui pompent entre 20 et 30% de l'UC chacun: services.exe et svchost.exe(netsvcs)

Et maintenant?

(Par contre je dois partir bosser, je ne pourrais pas répondre avant demain)

Re

Met à jour ton Windows via Windows Update.

Tiens moi au courant;merci

@+

Voici le lien du rapport ZHPDiag:

http://pjjoint.malekal.com/files.php?read=ZHPDiag_20120428_g9l8q12y13z9

Re

Poste moi un nouveau rapport ZHPDiag;merci

@+

Le rapport malwarebytes qui ne trouve toujours rien et l'UC toujours frisant les 100% :

Malwarebytes Anti-Malware (Essai) 1.61.0.1400
www.malwarebytes.org

Version de la base de données: v2012.04.28.05

Windows 7 x64 NTFS
Internet Explorer 9.0.8112.16421
Damien :: DAMIEN-PC [administrateur]

Protection: Désactivé

28/04/2012 17:26:05
mbam-log-2012-04-28 (17-26-05).txt

Type d'examen: Examen rapide
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 200058
Temps écoulé: 6 minute(s), 28 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)

Voilà déjà le rapport Adwcleaner:

# AdwCleaner v1.604 - Rapport créé le 28/04/2012 à 17:17:11
# Mis à jour le 23/04/2012 par Xplode
# Système d'exploitation : Windows 7 Home Premium (64 bits)
# Nom d'utilisateur : Damien - DAMIEN-PC
# Exécuté depuis : C:\Users\Damien\Desktop\adwcleaner.exe
# Option [Suppression]

***** [Services] *****

***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Users\Damien\AppData\Local\OpenCandy
Dossier Supprimé : C:\Program Files (x86)\Conduit
Fichier Supprimé : C:\Users\Damien\AppData\Roaming\Mozilla\Firefox\Profiles\mgo3wnr1.default\searchplugins\Ask.xml
Fichier Supprimé : C:\Users\Damien\AppData\Roaming\Mozilla\Firefox\Profiles\mgo3wnr1.default\searchplugins\web-search.xml
Fichier Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\eBay.lnk

***** [Registre] *****

[*] Clé Supprimée : HKLM\SOFTWARE\Classes\Toolbar.CT2653012
Clé Supprimée : HKCU\Software\Conduit
Clé Supprimée : HKCU\Software\Softonic
Clé Supprimée : HKCU\Software\StartSearch
Clé Supprimée : HKCU\Software\AppDataLow\Software\Conduit
Clé Supprimée : HKLM\SOFTWARE\Conduit

***** [Registre - GUID] *****

Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{AFDBDDAA-5D3F-42EE-B79C-185A7020515B}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{CF739809-1C6C-47C0-85B9-569DBB141420}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{AFDBDDAA-5D3F-42EE-B79C-185A7020515B}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{78F3A323-798E-4AEA-9A57-88F4B05FD5DD}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{7AC3E13B-3BCA-4158-B330-F66DBB03C1B5}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{8F97BFF8-488B-4107-BCEE-B161AB4E4183}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{8F97BFF8-488B-4107-BCEE-B161AB4E4183}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{A1B48071-416D-474E-A13B-BE5456E7FC31}
[x64] Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{3D782BB2-F2A5-11D3-BF4C-000000000000}

***** [Navigateurs] *****

-\\ Internet Explorer v9.0.8112.16421

[OK] Le registre ne contient aucune entrée illégitime.

-\\ Mozilla Firefox v11.0 (fr)

Nom du profil : default
Fichier : C:\Users\Damien\AppData\Roaming\Mozilla\Firefox\Profiles\mgo3wnr1.default\prefs.js

Supprimée : user_pref("browser.search.order.1", "Web Search");
Supprimée : user_pref("extensions.illimitux.ilx_pref_pt_veoh", true);
Supprimée : user_pref("extensions.snipit.askTbInstalled", true);
Supprimée : user_pref("extensions.snipit.chromeURL", "hxxp://toolbar.ask.com/toolbarv/askRedirect?o=10611&gct=&g[...]
Supprimée : user_pref("vshare.install.date", "1282521600000");
Supprimée : user_pref("vshare.install.finished", "1.0.0");
Supprimée : user_pref("vshare.install.guid", "{c2a7171e-4057-4a08-b1c3-29a749759346}");
Supprimée : user_pref("vshare.install.isHidden", true);
Supprimée : user_pref("vshare.install.laststatreq", "1300838400000");

*************************

AdwCleaner[S1].txt - [289 octets] - [28/04/2012 17:10:50]
AdwCleaner[S2].txt - [3193 octets] - [28/04/2012 17:17:11]

########## EOF - C:\AdwCleaner[S2].txt - [3321 octets] ##########

Re

1)Télécharge AdwCleaner ( d'Xplode ) sur ton bureau.
Lance le, clique sur [Suppression] puis patiente le temps du scan.
Une fois le scan fini, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse.

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

Les toolbars, c'est pas obligatoire ( par Malekal ) :https://forum.malekal.com/viewtopic.php?t=6173&start=

2)Tu disposes de Malwaresbytes.
met le à jour et lace une analyse rapide et poste moi ce rapport.
Supprime bien tout ce qu'il trouve.

@+

Voilà le rapport ZHPDiag:

http://pjjoint.malekal.com/files.php?read=ZHPDiag_20120428_s13s6l611z11

Re

Poste moi un nouveau rapport ZHPDiag;merci

@+

Si si je te l'ai copié!

Voici le rapport malwarebytes (rien detecté comme prévu, je l'avais déjà fait tout à l'heure...)

Malwarebytes Anti-Malware (Essai) 1.61.0.1400
www.malwarebytes.org

Version de la base de données: v2012.04.28.04

Windows 7 x64 NTFS
Internet Explorer 9.0.8112.16421
Damien :: DAMIEN-PC [administrateur]

Protection: Désactivé

28/04/2012 16:29:54
mbam-log-2012-04-28 (16-29-54).txt

Type d'examen: Examen rapide
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 199583
Temps écoulé: 4 minute(s), 19 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)

Re

Il manque le rapport suppression mais si tu l'a fait...

Ensuite met à jour Malwaresbytes et lance une analyse rapide.Supprime bien tout ce qu'il trouve.
Poste son rapport

@+

Rapport Host RAZ

RogueKiller V7.3.3 [22/04/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows 7 (6.1.7600 ) 64 bits version
Demarrage : Mode normal
Utilisateur: Damien [Droits d'admin]
Mode: HOSTS RAZ -- Date: 28/04/2012 16:20:49

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Driver: [NON CHARGE] ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
46.4.179.84 yahoo.com
212.124.122.156 google.com
46.4.179.84 myspace.com
46.4.179.84 ebay.com
46.4.179.84 amazon.com
212.124.122.156 youtube.com
46.4.179.84 craigslist.org
212.124.122.156 wikipedia.org
46.4.179.110 cnn.com
46.4.179.84 facebook.com
46.4.179.110 go.com
46.4.179.84 flickr.com
46.4.179.84 Expedia.com
46.4.179.84 imdb.com
46.4.179.84 digg.com
46.4.179.84 Monster.com
212.124.122.156 Paypal.com
46.4.179.110 comcast.net

¤¤¤ Nouveau fichier HOSTS: ¤¤¤
127.0.0.1 localhost

Termine : << RKreport[4].txt >>
RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt

Rapport "Racc RAZ"

RogueKiller V7.3.3 [22/04/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows 7 (6.1.7600 ) 64 bits version
Demarrage : Mode normal
Utilisateur: Damien [Droits d'admin]
Mode: Raccourcis RAZ -- Date: 28/04/2012 16:20:15

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Driver: [NON CHARGE] ¤¤¤

¤¤¤ Attributs de fichiers restaures: ¤¤¤
Bureau: Success 0 / Fail 0
Lancement rapide: Success 0 / Fail 0
Programmes: Success 3 / Fail 0
Menu demarrer: Success 0 / Fail 0
Dossier utilisateur: Success 83 / Fail 0
Mes documents: Success 0 / Fail 0
Mes favoris: Success 0 / Fail 0
Mes images: Success 0 / Fail 0
Ma musique: Success 0 / Fail 0
Mes videos: Success 0 / Fail 0
Disques locaux: Success 39 / Fail 0
Sauvegarde: [NOT FOUND]

Lecteurs:
[C:] \Device\HarddiskVolume2 -- 0x3 --> Restored
[D:] \Device\HarddiskVolume3 -- 0x3 --> Restored
[E:] \Device\CdRom0 -- 0x5 --> Skipped

¤¤¤ Infection : ¤¤¤

Termine : << RKreport[3].txt >>
RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt

Rapport Option suppression:

RogueKiller V7.3.3 [22/04/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows 7 (6.1.7600 ) 64 bits version
Demarrage : Mode normal
Utilisateur: Damien [Droits d'admin]
Mode: Recherche -- Date: 28/04/2012 16:11:22

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 5 ¤¤¤
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
[HJ] HKCU\[...]\ClassicStartMenu : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND
[HJ] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND
[HJ] HKCU\[...]\ClassicStartMenu : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> FOUND

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [NON CHARGE] ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
46.4.179.84 yahoo.com
212.124.122.156 google.com
46.4.179.84 myspace.com
46.4.179.84 ebay.com
46.4.179.84 amazon.com
212.124.122.156 youtube.com
46.4.179.84 craigslist.org
212.124.122.156 wikipedia.org
46.4.179.110 cnn.com
46.4.179.84 facebook.com
46.4.179.110 go.com
46.4.179.84 flickr.com
46.4.179.84 Expedia.com
46.4.179.84 imdb.com
46.4.179.84 digg.com
46.4.179.84 Monster.com
212.124.122.156 Paypal.com
46.4.179.110 comcast.net

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: TOSHIBA MK5055GSX ATA Device +++++
--- User ---
[MBR] 8f0a96ab2a3b609e2485b92706220b89
[BSP] bd2d1f3c4967b7549b56bbb24e208145 : Windows Vista/7 MBR Code
Partition table:
0 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 199 Mo
1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 409600 | Size: 463458 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 949571584 | Size: 13281 Mo
3 - [ACTIVE] NTFS (0x17) [HIDDEN!] Offset (sectors): 976771072 | Size: 1 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[1].txt >>
RKreport[1].txt

Re

Relance Roguekiller option suppression ensuite sur Racc. RAZ et enfin sur Host RAZ

Poste moi ces trois rapports;merci

@+