Virus "Alureon-K"

Résolu
whitewasteland -  
Hello,

Je me prends la tête depuis plusieurs jours avec une menace détectée par Avast : "Alureon-K" avec un entête qui ressemble à : MBR:\\.\PHYSICALDRIVE0\Partition3

Avast n'arrive pas à le supprimer, ni le mettre en quarantaine, ni le réparer.

Je sais pas si ça a un rapport (mais je suppose que si), ma connexion internet est assez fortement ralentie, et il arrive régulièrement que des liens sur lesquels je clique dans Google soient redirigés vers d'autres liens qui n'ont rien à voir.

Bref, ça sent le sapin :)

Après avoir consulté un peu des sujets ressemblant à mon cas, j'ai téléchargé TDSSKiller et aswMBR, mais aucun des deux ne veulent se lancer. Je clique et j'attends, rien.

Que puis-je faire ? Merci d'avance !!!

170 réponses

Résumé de la discussion

Problème central : une menace Alureon-K détectée au niveau du MBR (PHYSICALDRIVE0\Partition3) entraîne une connexion Internet plus lente et des redirections fréquentes lors de clics sur des liens. Plusieurs conseils préconisent de démarrer sur un live CD pour isoler l’infection et éviter que le rootkit ne tourne sous Windows, puis d’employer TDSSKiller, aswMBR ou PTEDIT32 selon les symptômes. D'autres interventions évoquent des pré-scans et des outils comme Pre_Scan et Pre_Scan.pif, ainsi que des commandes telles que Part_look et PTEDIT32, tout en avertissant des risques sur les partitions ou les processus vitaux. Note utile : la procédure recommande d’enregistrer et d’héberger les rapports sur une plateforme distante afin d’analyser les résultats sans compromettre le système.

Bobot (l’IA à votre service)
  1. whitewasteland Auteur
    Et voilà, c'est tout propre !
    Voici la dernière ligne du rapport de PureRa :
    Total space cleaned: 314.26 MB

    J'ai perdu le rapport de Delfix parce que Ccleaner m'a fermé Firefox dans lequel j'avais déjà fait mon copier coller... Mais en gros tout allait bien !

    Encore une fois merci pour ta patience et bravo, il était coton celui là ^^

    Sujet *roulement de tambours* RESOLU !
    1. g3n-h@ckm@n
      cool :D et attention de toujours tenir java et la gamme adobe à jour tu auras 70% de chances de moins d'etre infecté

      tu devrais installer PANDA USBVaccine pour te proteger des infection via clé usb
      (c'est gratuit)
      1. whitewasteland Auteur
        Oui j'ai lu ça pourJava et Adobe je vais faire attention !
        Et merci pour le truc USB à mon avis c'est comme ça que je choppe beaucoup de merde...
        Je suis ingénieur du son donc beaucoup de clients me ramènent des pistes par clé USB quand ils viennent au studio.
        J'installe ça tout de suite !
      2. g3n-h@ckm@n
        tiens c'est marrant ca je suis musicien à temps perdu ^^

        je crée sur Roland PMA-5 et je possède une guitare Jackson Soloist et un ampli Marshall MDG100FX série limitée
    2. whitewasteland Auteur
      Yeeha !
      Je fais tout ça ce soir et on pourra dire que ce sujet est RESOLU !
      Encore bravo ;) Et encore merci !
      1. g3n-h@ckm@n
        c'était un reel plaisir pour moi , je ne pensais pas gagner un tel défi , si j'avais pas vu que ta partition n'était pas active , je pense que tu n'aurais meme pas pu reinstaller windows en plus....je sais pas si l installation de windows rend la partition active ou pas...
      2. whitewasteland Auteur
        Bah écoute, reçois ma gratitude éternelle alors ^^
        Bonne opération pour nous deux :)
    7. whitewasteland Auteur
      Malwarebytes Anti-Malware 1.62.0.1300
      www.malwarebytes.org

      Version de la base de données: v2012.07.19.08

      Windows Vista Service Pack 2 x64 NTFS
      Internet Explorer 7.0.6002.18005
      White Wasteland :: LD2 [administrateur]

      19/07/2012 13:01:35
      mbam-log-2012-07-19 (13-01-35).txt

      Type d'examen: Examen complet (C:\|)
      Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
      Options d'examen désactivées: P2P
      Elément(s) analysé(s): 386620
      Temps écoulé: 50 minute(s), 8 seconde(s)

      Processus mémoire détecté(s): 0
      (Aucun élément nuisible détecté)

      Module(s) mémoire détecté(s): 0
      (Aucun élément nuisible détecté)

      Clé(s) du Registre détectée(s): 0
      (Aucun élément nuisible détecté)

      Valeur(s) du Registre détectée(s): 0
      (Aucun élément nuisible détecté)

      Elément(s) de données du Registre détecté(s): 0
      (Aucun élément nuisible détecté)

      Dossier(s) détecté(s): 0
      (Aucun élément nuisible détecté)

      Fichier(s) détecté(s): 0
      (Aucun élément nuisible détecté)

      (fin)
      1. g3n-h@ckm@n
        en trois jours il font à peu près 30/40 mises à jour

        et du 13 au 19 y'a 6 jours du coup ca fait presque une semaine ^^
        ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Scan_Concept ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
        4. whitewasteland Auteur
          Malwarebytes Anti-Malware 1.62.0.1300
          www.malwarebytes.org

          Version de la base de données: v2012.07.13.06

          Windows Vista Service Pack 2 x64 NTFS
          Internet Explorer 7.0.6002.18005
          White Wasteland :: LD2 [administrateur]

          19/07/2012 11:45:38
          mbam-log-2012-07-19 (11-45-38).txt

          Type d'examen: Examen complet (C:\|)
          Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
          Options d'examen désactivées: P2P
          Elément(s) analysé(s): 407877
          Temps écoulé: 56 minute(s), 15 seconde(s)

          Processus mémoire détecté(s): 0
          (Aucun élément nuisible détecté)

          Module(s) mémoire détecté(s): 0
          (Aucun élément nuisible détecté)

          Clé(s) du Registre détectée(s): 0
          (Aucun élément nuisible détecté)

          Valeur(s) du Registre détectée(s): 0
          (Aucun élément nuisible détecté)

          Elément(s) de données du Registre détecté(s): 0
          (Aucun élément nuisible détecté)

          Dossier(s) détecté(s): 0
          (Aucun élément nuisible détecté)

          Fichier(s) détecté(s): 0
          (Aucun élément nuisible détecté)

          (fin)
          1. g3n-h@ckm@n
            c'est fini :)

            fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.

            ▶ Télécharge ici :

            Malwarebytes

            ▶ Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

            relance malwarebytes en suivant scrupuleusement ces consignes :

            ! Déconnecte toi et ferme toutes applications en cours !

            ▶ Lance Malwarebyte's .

            Fais un examen dit "Complet" .

            ▶ Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
            ▶ à la fin tu cliques sur "résultat" .
            ▶ Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

            ▶ Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !

            ▶ Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

            1. whitewasteland Auteur
              Bah écoute ça a l'air d'aller très bien... J'ai rien rencontré d'anormal jusqu'à maintenant :)

              Pas de bugs/plantages, internet très rapide... On dirait que tout roule !

              Tu as vraiment assuré, merci beaucoup :)
              1. g3n-h@ckm@n
                voila il a fait exactement le travail que je voulais

                commment se comporte la machine pour l'instant ?
                2. g3n-h@ckm@n
                  Télécharge et enregistre ADWcleaner sur ton bureau :

                  ADWCleaner (Merci à Xplode)

                  Lance le,

                  (Pour vista et seven => clic droit "executer en tant qu'administrateur")

                  clique sur suppression et poste son rapport.
                  1. whitewasteland Auteur
                    Hello !
                    Voilà le nouveau rapport Combofix :
                    http://cjoint.com/12ju/BGtlqbA5N6W.htm
                    1. g3n-h@ckm@n

                      __________________________________________________
                      =>/!\Le script qui suit a été écrit spécialement cet ordinateur/!\ <=
                      =>il est fort déconseillé de le transposer sur un autre ordinateur !<=
                      ----------------------------------------------------------------------------

                      Toujours avec toutes les protections désactivées, fais ceci :

                      ▶ Ouvre le bloc-notes (Menu démarrer --> programmes --> accessoires --> bloc-notes)
                      ▶ Copie/colle dans le bloc-notes ce qui entre les lignes ci dessous (sans les lignes) :

                      ----------------------------------------------------------
                      KillAll::

                      ClearJavaCache::

                      Folder::
                      c:\windows\Pre_Scan
                      c:\users\White Wasteland\AppData\Roaming\pdfforge

                      Registry::
                      [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                      "Spotify Web Helper"=-
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
                      "QuickTime Task"=-
                      "iTunesHelper"=-

                      Netsvc::
                      Themes

                      RegLock::
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\InprocServer32]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\MiscStatus]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ProgID]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\TypeLib]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Version]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\InprocServer32]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ProgID]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\TypeLib]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\Version]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\TypeLib\{D27CDB6B-AE6D-11CF-96B8-444553540000}]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\TypeLib\{D27CDB6B-AE6D-11CF-96B8-444553540000}\1.0]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\TypeLib\{FAB3E735-69C7-453B-A446-B6823C6DF1C9}]
                      [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\TypeLib\{FAB3E735-69C7-453B-A446-B6823C6DF1C9}\1.0]


                      ------------------------------------------------------------------

                      ▶ Enregistre ce fichier sur ton Bureau (et pas ailleurs !) sous le nom CFScript.txt
                      ▶ Quitte le Bloc Notes

                      ▶ Fais un glisser/déposer de ce fichier CFScript sur le fichier combofix comme sur cette : illustration

                      ▶ Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal ! Ne touche à rien tant que le scan n'est pas terminé.
                      ▶ Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
                      ▶ Si le fichier ne s'ouvre pas, il se trouve ici => C:\ComboFix.txt

                      1. whitewasteland Auteur
                        Voici le rapport de Combofix !

                        http://cjoint.com/12ju/BGsruEIJLk1.htm
                        • 1
                        • 2
                        • 3
                        • 4
                        • 5
                        • 6
                        • 7
                        • 8
                        • 9

                        Discussions similaires

                        convertir en k€
                        domi

                        2 réponses
                        Conversion k€ en €
                        cycy

                        10 réponses
                        Rendre un montant en Millions d'Euro
                        Kaka_67

                        2 réponses
                        Softonic,est-ce un virus ?
                        techmel1

                        6 réponses
                        Chrome://newtab
                        Nova

                        14 réponses