Rootkit Sirefef pb réseau

Re,

Tu vas faire maintenant ce grand ménage :

Updatechecker :

Téléchage updatechecker pour t'indiquer les logiciels qui ne sont pas à jour et te permet aussi d'effectuer ces mises à jour
===========================================
**Nettoyage

Suppression des outils de désinfections:
* Télécharge  Delfix   sur ton bureau.          
* Lance le, tape suppression puis valide          
* Patiente pendant le scan jusqu'à l'ouverture du rapport.          
* Copie/Colle le contenu du rapport dans ta prochaine réponse.          
Note : Le rapport se trouve également sous C:\DelFix.txt          
* Tu peux le desinstaller          

===========================================         
<code>Défragmentation : :

Défragmente tes disques dur par defraggler
===========================================

Nettoyage des fichiers et des clés de registre :

* Télécharge et installe CCleaner version Slim
* Lance-le.(clic droit "en tant qu'administrateur" pour Vista et Seven) Va dans Options puis
* Avancé et décoche la case Effacer uniquement les fichiers etc....
* Va dans Nettoyeur, choisis Analyse. Une fois terminé, lance le nettoyage.
* Ensuite, choisis Registre, puis Chercher des erreurs. Une fois terminé, répare toutes les erreurs tant de fois qu il en trouve a l analyse .
** Aide ici : https://www.malekal.com/tutoriel-ccleaner/
Tu peux utiliser Ccleaner une fois par semaine

===========================================

Purger les points de restauration système:

* Désactive et réactive la restauration de système en suivant les procédures indiquées dans ces liens :

Windows XP

Windows Vista

Windows 7

* Après avoir vidé la restauration du système, il est nécessaire de créer un nouveau point de restauration ...

===========================================
Conseils :
1/ Je te conseille d'utiliser le navigateur Firefox et d'installer les modules
complémentaires WOT pour t'indiquer les fichiers douteux et Adblock plus pour bloquer les publicités...

2/ Aussi tu peux garder Malwarebytes et l'utiliser aussi une fois par semaine.

3/ Un peu de lecture :
* Les dangers du Peer-To-Peer, Emule etc..
* Comment Sécuriser son ordinateur...
*Pourquoi et comment je me fais infecter
*pourquoi maintenir son navigateur à jour

@+

Il n'y avait pas de message d'erreur, juste un blocage sur l'écran du bureau (vide) après le "chargement des données personnelles".
Mais ca ne me l'a fait qu'une fois depuis hier, après le "sfc /scannow" et avant le ZHPFix. Je viens de redémarrer sans pb. Je verrai ce qui se passe dans les prochains jours. Merci

Re,
Y'a t'il un message d'erreur au démarrage ?

Est ce que tu peux m'envoyer une capture d'écran

@+

Bitdefender QuickScan
"Aucune infection active n'a été détectée sur votre PC"

Pour info,
Finalement, j'ai encore des pb de démarrage de session

Rapport de ZHPFix 1.12.3372 par Nicolas Coolman, Update du 22/11/2011
Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-30-05-2012-16-07-39.txt
Run by MLTurdu at 30/05/2012 16:07:39
Windows XP Professional Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Clé(s) du Registre ==========
SUPPRIME O49 - CSB:Control Safe Boot HKLM\...\CCS\Minimal\09181549.sys . (...) -- C:\WINDOWS\system32\Drivers\09181549.sys (.not file.)
SUPPRIME O49 - CSB:Control Safe Boot HKLM\...\CCS\Network\09181549.sys . (...) -- C:\WINDOWS\system32\Drivers\09181549.sys (.not file.)
SUPPRIME Key: HKLM\Software\N53

========== Fichier(s) ==========
ABSENT File: c:\windows\system32\drivers\09181549.sys

========== Autre ==========
NON TRAITE O42 - Logiciel: pdfforge Toolbar v5.6

========== Récapitulatif ==========
3 : Clé(s) du Registre
1 : Fichier(s)
1 : Autre

End of clean in 00mn 00s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 30/05/2012 16:07:39 [959]

Salut,
1/
Copie tout le texte présent en gras ci-dessous ( tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )

O49 - CSB:Control Safe Boot HKLM\...\CCS\Minimal\09181549.sys . (...) -- C:\WINDOWS\system32\Drivers\09181549.sys (.not file.)
O49 - CSB:Control Safe Boot HKLM\...\CCS\Network\09181549.sys . (...) -- C:\WINDOWS\system32\Drivers\09181549.sys (.not file.)
O42 - Logiciel: pdfforge Toolbar v5.6
[HKLM\Software\N53]

Puis Lance ZHPFix depuis le raccourci du bureau .

* Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .

* Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent .

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur le bouton GO

Copie/Colle le rapport à l'écran dans ton prochain message.

2/
Fais une analyse antivirus en ligne sur BitDefender on line avec Internet Explorer
Laisse-toi guider. Colle son rapport ici.

3/
Je te conseille de ne pas renouveler ton antivirus Norton et de le remplacer de changer par un autre gratuit et efficace

@+

Bonjour, et merci !
Je n'ai plus de pb au démarrage.
Il y a d'autres étapes à suivre ?
Comment puis-je savoir si le rootkit a completement disparu ?

Bonjour,

* Ouvre ton menu démarrer

-> Si tu es sur XP, ouvre exécuter, tape cmd et valide par pression sur la touche Enter

-> Sur Vista/Seven, dans le champ "Recherche" tape cmd , sur le résultat qui apparait, clic droit > exécuter en tant qu'administrateur

* Dans la fenêtre noire, tape sfc /scannow et laisse Windows réparer les fichiers.

@+

Bonjour, je répond tard, j'étais en vacances.

Le rapport :
https://pjjoint.malekal.com/files.php?id=ZHPDiag_20120529_y12q5w7v8u7

Depuis que j'ai lancé Dr Web Cureit (et supprimé certains fichiers), mon PC se "fige" au démarrage de ma session (ou ça met plus de 15min ?) . Par contre, j'arrive à ouvrir ma session rapidement, si je démarre d'abord mon PC avec une autre session.

Salut,

Lance ZHPDiag depuis le bureau, clique sur : l'onglet vert (flèche bas) pour faire la mise à jour et prépare stp un nouveau rapport ZHPDiag

@+

http://pjjoint.malekal.com/files.php?id=20120514_u15i10l14u9u8

Re,

En mode sans échec, il n'est pas demandé de désactiver ton antivirus!

tu vas effectuer les procédures exactement comme il est expliqué, merci

@+

Merci.
Je vais lancer Dr Web Cureit, mais je n'arrive pas à déactiver symantec en mode sans échec, ce n'est pas un problème ?

Je me demandais aussi si le plantage de Combofix n'était pas lié au démarrage automatique de symantec lors du redémarrage windows.
Je n'arrive pas à empêcher ce démarrage automatique, certains paramètres de symantec sont bloqués, parce que c'est mon PC professionnel et que symantec est géré par la DSI. Est-ce que ça pourrait aider si je leur demandais comment le désactiver ?

Salut,

Télécharge Dr Web CureIt sur ton Bureau :
? redemarre en mode sans échec
?- Double clique (clic droit "en tant qu'admin" sous Vista) <drweb-cureit.exe> et ensuite clique sur <Analyse>;
?- Clique <Ok> à l'invite de l'analyse rapide. S'il trouve des processus infectés alors clique le bouton <Oui>.
Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction" : Quitte en cliquant le "X".
?- Lorsque le scan rapide est terminé, clique sur le menu <Options> puis <Changer la configuration> ; Choisis l'onglet <Scanner>, et décoche <Analyse heuristique>. Clique ensuite sur <Ok>.
?- De retour à la fenêtre principale : clique pour activer <Analyse complète>
selectionne tous les disques

?- Clique le bouton avec flèche verte sur la droite, et le scan débutera.
?- Clique <Oui> pour tout à l'invite "Désinfecter ?" lorsqu'un fichier est détecté, et ensuite clique "Désinfecter".
?- Lorsque le scan sera complété, regarde si tu peux cliquer sur l' icône, adjacente aux fichiers détectés (plusieurs feuilles l'une sur l'autre). Si oui, alors clique dessus et ensuite clique sur l'icône <Suivant>, au dessous, et choisis <Déplacer en quarantaine l'objet indésirable>.
?- Du menu principal de l'outil, au haut à gauche, clique sur le menu <Fichier> et choisis <Enregistrer le rapport>. Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv
?-pour le rapport tu l enregistres sur ton bureau , tu clic droit dessus /envoyer vers / dossiers compresses
ensuite héberge le rapport sur : http://pjjoint.malekal.com/
?- Ferme Dr.Web Cureit
?- Redémarre ton ordi (important car certains fichiers peuvent être déplacés/réparés au redémarrage).

@+

Merci.

J'arrive à me connecter mais par moment ça rame... (sur mon autre PC moins puissant, ça ne le fait pas, ça ne vient donc pas de l'accès)

Le rapport :

# AdwCleaner v1.606 - Rapport créé le 11/05/2012 à 09:39:35
# Mis à jour le 10/05/2012 par Xplode
# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
# Nom d'utilisateur : MLturdu - L-2CE0150H43
# Exécuté depuis : C:\Documents and Settings\MLturdu\Bureau\adwcleaner.exe
# Option [Suppression]

***** [Services] *****

Arrêté & Supprimé : Application Updater

***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Documents and Settings\MLturdu\Application Data\pdfforge
Dossier Supprimé : C:\Documents and Settings\MLturdu\Application Data\Search Settings
Dossier Supprimé : C:\Program Files\Application Updater
Dossier Supprimé : C:\Program Files\pdfforge Toolbar
Dossier Supprimé : C:\Program Files\Fichiers communs\spigot

***** [Registre] *****

Clé Supprimée : HKCU\Software\pdfforge
Clé Supprimée : HKCU\Software\Search Settings
Clé Supprimée : HKCU\Software\Softonic
Clé Supprimée : HKCU\Software\AppDataLow\Software\pdfforge
Clé Supprimée : HKCU\Software\AppDataLow\Software\Search Settings
Clé Supprimée : HKLM\SOFTWARE\Application Updater
Clé Supprimée : HKLM\SOFTWARE\pdfforge
Clé Supprimée : HKLM\SOFTWARE\Search Settings
Clé Supprimée : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\0563B8630D62D75ABBC8AB1E4BDFB5A899B24D43
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [SearchSettings]

***** [Registre - GUID] *****

Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{2D5E2D34-BED5-4B9F-9793-A31E26E6806E}

***** [Navigateurs] *****

-\\ Internet Explorer v8.0.6001.18702

[OK] Le registre ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [1521 octets] - [11/05/2012 09:39:27]

########## EOF - H:\AdwCleaner[S1].txt - [1587 octets] ##########

Salut,

Est ce que ta connexion internet est rétablie ?
Vérifie si tu as un problème de cablage ou utilise un autre navigateur!

============================

Télécharge AdwCleaner (merci à Xplode)
Lance AdwCleaner
Clique sur le bouton [ Suppression ]
Patiente...
Poste le rapport qui apparait en fin de recherche.
(Le rapport est sauvegardé aussi sous C:\ AdwCleaner[SX].Txt)

@+

Malwarebytes Anti-Malware 1.61.0.1400
www.malwarebytes.org

Version de la base de données: v2012.05.09.04

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
MLTurdu :: L-2CE0150H43 [administrateur]

10/05/2012 08:59:10
mbam-log-2012-05-10 (08-59-10).txt

Type d'examen: Examen complet
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 517626
Temps écoulé: 2 heure(s), 12 minute(s), 20 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 1
HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Mauvais: (1) Bon: (0) -> Mis en quarantaine et réparé avec succès

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)

Re,
Télécharge MBAM-CLEANER et enregistre-le sur ton bureau

Lance-le et suis les instructions.
Il va te demander ensuite de redémarrer le PC. Accepte.

==========================

Après redémarrage de la machine :

Télécharge et enregistre sur ton bureau MBAM
Installe-le.
Fais les mises à jour.
Fais une analyse complète, coche tout et supprime tout, et poste le rapport.

@+

_ _ _ Fish66_ _ _ I''"""""I_ _ membre contributeur sécurité_ _I''"""""I_ _ _
¤¤¤ Le meilleur remède pour tous les problèmes, c'est la patience.... ¤¤¤

Webroot AntiZeroAccess 0.8 Log File
Execution time: 09/05/2012 - 17:40
Host operation System: Windows Xp X86 version 5.1.2600 Service Pack 3
17:41:04 - CheckSystem - Begin to check system...
17:41:04 - OpenRootDrive - Opening system root volume and physical drive....
17:41:05 - C Root Drive: Disk number: 0 Start sector: 0x00000800 Partition Size: 0x07724000 sectors.
17:41:05 - PrevX Main driver extracted in "C:\WINDOWS\system32\drivers\ZeroAccess.sys".
17:41:05 - InstallAndStartDriver - Main driver was installed and now is running.
17:41:05 - CheckSystem - Disk class driver state is OK.
17:41:20 - StopAndRemoveDriver - AntiZeroAccess Driver is stopped and removed.
17:41:20 - StopAndRemoveDriver - File "ZeroAccess.sys" was deleted!
17:41:20 - Execution Ended!

Webroot AntiZeroAccess 0.8 Log File
Execution time: 09/05/2012 - 17:44
Host operation System: Windows Xp X86 version 5.1.2600 Service Pack 3