Sirefef

leozz -  
Bonjour,

Je viens demander de l'aide suite à une probable infection de Sirefef detecté par Chrome et Avast.

En naviguant sur les forum, j'ai essayé d'utiliser le logiciel RogueKiller. Il a trouvé des données que j'au supprimé, voici ce qui semble être le rapport :

RogueKiller V8.5.4 [Mar 18 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : http://www.sur-la-toile.com/discussion-193725-1--RogueKiller-Remontees.html
Site Web : http://www.sur-la-toile.com/RogueKiller/
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 32 bits version
Demarrage : Mode normal
Utilisateur : Thibaut Cambon [Droits d'admin]
Mode : Suppression -- Date : 13/05/2013 20:19:33
| ARK || FAK || MBR |

¤¤¤ Processus malicieux : 1 ¤¤¤
[SUSP PATH] MusicManager.exe -- C:\Users\Thibaut Cambon\AppData\Local\Programs\Google\MusicManager\MusicManager.exe [-] -> TUÉ [TermProc]

¤¤¤ Entrees de registre : 6 ¤¤¤
[RUN][SUSP PATH] HKCU\[...]\Run : MusicManager ("C:\Users\Thibaut Cambon\AppData\Local\Programs\Google\MusicManager\MusicManager.exe") [-] -> NON SELECTIONNÉ
[RUN][SUSP PATH] HKUS\S-1-5-21-1526602329-3622394769-2401582177-1000[...]\Run : MusicManager ("C:\Users\Thibaut Cambon\AppData\Local\Programs\Google\MusicManager\MusicManager.exe") [-] -> NON SELECTIONNÉ
[HJ] HKLM\[...]\System : ConsentPromptBehaviorAdmin (0) -> REMPLACÉ (2)
[HJ] HKLM\[...]\System : EnableLUA (0) -> REMPLACÉ (1)
[HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REMPLACÉ (0)
[HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤
[ZeroAccess][JUNCTION] C:\Windows\$NtUninstallKB51983$ >> \systemroot\system32\config --> SUPPRIMÉ
[Del.Parent][FILE] 1739758770 : C:\Windows\$NtUninstallKB51983$\1739758770 [-] --> SUPPRIMÉ
[Del.Parent][FILE] @ : C:\Windows\$NtUninstallKB51983$\71159602\@ [-] --> SUPPRIMÉ
[Del.Parent][FILE] Desktop.ini : C:\Windows\$NtUninstallKB51983$\71159602\Desktop.ini [-] --> SUPPRIMÉ
[Del.Parent][FILE] 00000004.@ : C:\Windows\$NtUninstallKB51983$\71159602\L\00000004.@ [-] --> SUPPRIMÉ
[Del.Parent][FILE] 201d3dde : C:\Windows\$NtUninstallKB51983$\71159602\L\201d3dde [-] --> SUPPRIMÉ
[Del.Parent][FILE] 76603ac3 : C:\Windows\$NtUninstallKB51983$\71159602\L\76603ac3 [-] --> SUPPRIMÉ
[Del.Parent][FILE] xadqgnnk : C:\Windows\$NtUninstallKB51983$\71159602\L\xadqgnnk [-] --> SUPPRIMÉ
[Del.Parent][FOLDER] ROOT : C:\Windows\$NtUninstallKB51983$\71159602\L --> SUPPRIMÉ
[Del.Parent][FILE] 00000004.@ : C:\Windows\$NtUninstallKB51983$\71159602\U\00000004.@ [-] --> SUPPRIMÉ
[Del.Parent][FILE] 00000008.@ : C:\Windows\$NtUninstallKB51983$\71159602\U\00000008.@ [-] --> SUPPRIMÉ
[Del.Parent][FILE] 000000cb.@ : C:\Windows\$NtUninstallKB51983$\71159602\U\000000cb.@ [-] --> SUPPRIMÉ
[Del.Parent][FILE] 80000000.@ : C:\Windows\$NtUninstallKB51983$\71159602\U\80000000.@ [-] --> SUPPRIMÉ
[Del.Parent][FILE] 80000032.@ : C:\Windows\$NtUninstallKB51983$\71159602\U\80000032.@ [-] --> SUPPRIMÉ
[Del.Parent][FOLDER] ROOT : C:\Windows\$NtUninstallKB51983$\71159602\U --> SUPPRIMÉ
[Del.Parent][FOLDER] ROOT : C:\Windows\$NtUninstallKB51983$\71159602 --> SUPPRIMÉ AU REBOOT
[ZeroAccess][FOLDER] ROOT : C:\Windows\$NtUninstallKB51983$ --> SUPPRIMÉ AU REBOOT
[Faked.Drv][FILE] csc.sys : C:\Windows\system32\drivers\csc.sys [-] --> IMPOSSIBLE DE REPARER

¤¤¤ Driver : [CHARGE] ¤¤¤

¤¤¤ Infection : ZeroAccess ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts

127.0.0.1 www.007guard.com
127.0.0.1 007guard.com
127.0.0.1 008i.com
127.0.0.1 www.008k.com
127.0.0.1 008k.com
127.0.0.1 www.00hq.com
127.0.0.1 00hq.com
127.0.0.1 010402.com
127.0.0.1 www.032439.com
127.0.0.1 032439.com
127.0.0.1 www.0scan.com
127.0.0.1 0scan.com
127.0.0.1 www.1000gratisproben.com
127.0.0.1 1000gratisproben.com
127.0.0.1 1001namen.com
127.0.0.1 www.1001namen.com
127.0.0.1 100888290cs.com
127.0.0.1 www.100888290cs.com
127.0.0.1 www.100sexlinks.com
127.0.0.1 100sexlinks.com
[...]

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: FUJITSU MHX2300BT ATA Device +++++
--- User ---
[MBR] c82d8438ba2479c2c513966a99dfc176
[BSP] 3f5889865b7e80f15b9509b049480514 : Windows 7/8 MBR Code
Partition table:
0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 11125 Mo
1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 22786048 | Size: 275042 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: PIXIKA USB Flash Drive USB Device +++++
--- User ---
[MBR] 334f879b7b3c18a4590f5dab9fe2b3ea
[BSP] 25f3024595f3b7dfbbc81cdc98cec57c : Empty MBR Code
Partition table:
0 - [ACTIVE] FAT16 (0x06) [VISIBLE] Offset (sectors): 32 | Size: 1007 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Termine : << RKreport[2]_D_13052013_201933.txt >>
RKreport[1]_S_13052013_201657.txt ; RKreport[2]_D_13052013_201933.txt

Maintenant, Chrome et Avast ne detectent plus rien. Par contre, je ne peux plus télécharger de fichier (problème analyse antivirus) et je ne peux plus activer le pare feu windows (erreur : 0x80070424).

Que faire ?

Merci de votre aide

108 réponses

Résumé de la discussion

Une infection potentielle de Sirefef/ZeroAccess est évoquée après l'utilisation d'un outil de détection sous Windows 7 32 bits, signalant des éléments malveillants et des modifications du système. Le rapport RogueKiller détaille un processus malicieux actif, des entrées de registre modifiées et des suppressions de fichiers, ainsi que des modifications du fichier hosts et des informations sur le MBR. Plusieurs pistes évoquées incluent Combofix, le formatage d'une clé USB bootable et des essais avec différents navigateurs, tout en signalant des blocages antivirus et l'impossibilité d'activer le pare-feu Windows. Des éléments supplémentaires évoquent une persistance via certains chemins utilisateur et des paramètres système modifiés, et suggèrent que certaines actions de nettoyage apparaissent partiellement efficaces ou réversibles.

Bobot (l’IA à votre service)
  1. g3n-h@ckm@n
    bah si t'as toujours des soucis réinstalle... mais formate le disque entier avec killdisc
    1. g3n-h@ckm@n
      Transformer un ISO en UDF
      bah c'est la meme chose non ?
      1. g3n-h@ckm@n
        sauf que l udf c est sur le cd et l iso c est en fichier
      2. leozz
        C'était pour crééer une clé USB bootable pour windows 7
      3. g3n-h@ckm@n
        bof tu te prends la tete pour rien

        decompresse l'iso avec 7zip et copie les fichiers sur la clé
      4. leozz
        Non, mais c'est bon ça, c'est fait, merci !

        Et pour mes virus ya une solution ou pas ?
    7. g3n-h@ckm@n
      tu joues à quoi avec les logiciels de gravre ?

      [28/05/2013 21:10:57] - |D| - [6048901] - C:\Program Files\UltraISO
      [28/05/2013 21:18:34] - |D| - [6131891] - C:\Program Files\PowerISO
      [28/05/2013 21:42:26] - |D| - [3103863] - C:\Program Files\MagicISO
      [28/05/2013 21:51:29] - |D| - [3054760] - C:\Program Files\ImgBurn

      4. leozz
        Je refais un pré_scan là.
        Pas tant que ça les CR@acks.

        Non mais si on peut rien faire de plus je formate moi, jai besoin du PC pour bosser et la je suis complètement bloqué.

        Tu penses que le virus va rester après un formatage ?
        2. leozz
          Non, mais blague.
          Je vais pas changger de PC quanmême. me

          Tu penses qu'un formatage classique ne fonctionnera pas ?
          2. leozz
            Oula, ça a l'air de faire peur ça.
            C'est facile à utiliser ?

            Le soucis c'est que mon lecteur cd ne fonctionne plus.
            (je formate avec une clé usb bootable avec Wibdows 7)
            2. leozz
              Je vais peut etre formater mon PC, ça ira plus vite non ?
              1. Destrio5 Modérateur
                C'est fort possible ^^
              2. leozz
                pfff, la loose !

                Ya pas de risque si je transfert mes données sur DD que les virus suivent ?
            3. leozz
              Ok, c'est fait.

              Il a supprimé : BlockDoor.Maxplus

              Par contre, ce n'était pas du tout comme sur le tuto ...

              J'ai réactivé Avast, et il a fait des alertes dans tout les sens.
              Je n'au plus accès aux paramètres pour le pare feu windows et je n'ai plus accès à google :
              "Le certificat de sécurité du site a été révoqué !
              Vous avez tenté d'accéder à www.google.fr, mais le certificat présenté par le serveur a été révoqué par son émetteur. Cela signifie que le certificat présenté par le serveur ne doit pas être approuvé. Il est donc possible que vous communiquiez avec un pirate informatique.
              Impossible de continuer, car l'opérateur du site Web exige une sécurité renforcée pour ce domaine."

              ... Ca a empiré !
              • 1
              • 2
              • 3
              • 4
              • 5
              • 6