Trojan Rootkit.Boot.Cidox.b

[ayanah]

Bonsoir à tous!

J'ai besoin de votre aide!

Depuis quelques jours, mon ordi est super lent, cpu à 100%, clignote avant de s'éteindre et des programmes veulent que je les execute.

Avg me dit : Cheval de troie Zbot IDQ .
J'ai lancé un scan Kapersky Security Scan: Rootkit.Boot.Cidox.b

Je n'ai jamais eu de virus ou de problèmes de ce genre, je n'y comprend rien!!

Je vous remercie par avance si quelqu'un peut m'aider^^

[guugues]

Hello et bienvenue !


Je vais te prendre en charge pour la désinfection, mais d'abord, je vais te demander de prendre connaissance de ces quelques règles :

La désinfection ne sera terminée que lorsque je le dirai. Merci de continuer jusqu'au bout, même si les symptômes apparents ont disparu.

Les outils que je te demanderai de télécharger devront être enregistrés sur ton bureau : aide en images
(merci à H.A.W.X).

Tous les rapports devront être joints sur le forum comme mentionné dans ce tutoriel.

Ne suis pas plusieurs procédures de désinfection sur différents forums, au risque d'endommager ton système d'exploitation.

Ne fais rien de ta propre initiative.

Je suis bénévole : je ne pourrai donc pas toujours te répondre de suite.

FRST – Scan :

• Si ton Windows est en 32 bits, télécharge FRST sur ton bureau (← Important !).
• Si ton Windows est en 64 bits, télécharge FRST64 sur ton bureau (← Important !).
• Le téléchargement se lance automatiquement, tu n'as donc pas besoin de cliquer sur un lien.
  
  Aide : comment savoir si Windows est en 32 ou 64 bits.

• Ferme toutes les applications en cours, y compris ton navigateur.
• Lance FRST.

Sous Windows Vista/Seven/8, clique droit sur FRST puis Exécuter en tant qu'administrateur

• Accepte les conditions d'utilisation, puis clique sur le bouton Scan :

• A la fin du scan, deux rapports s'ouvriront.
• Ceux-ci sont présents sur ton bureau sous le nom de FRST.txt et Addition.txt.
• Joins ces 2 rapports dans ta prochaine réponse en suivant ce tutoriel.

---------------------------------------------------

Sont donc attendus les 2 rapports de FRST.

[ayanah]

Salut !

Merci de ton aide !

Voici les rapports:

FRST.txt

FRST.txt

[guugues]

Re !

C'est parti pour la suppression de la bestiole :


1- TDSSKiller :

• Télécharge TDSSKiller sur ton bureau.
• Lance TDSSKiller.

Sous Windows Vista/Seven/8, clique droit sur TDSSKiller puis Exécuter en tant qu'administrateur

• Une fois le logiciel ouvert, clique sur Change parameters.

• Coche la case Loaded modules : un redémarrage est demandé, accepte en cliquant sur Reboot now.

• L’ordinateur redémarre. Au redémarrage, TDSSKiller se relance automatiquement.
• Clique de nouveau sur Change parameters.
• Coche les cases Verify file digital signatures et Detect TDLFS file system.
• Assure-toi que la case Use KSN to scan objects soit cochée.
• Valider par OK.

• Clique sur Start scan pour lancer l'analyse. Laisse l’outil travailler sans l'interrompre.

• Si l'outil a trouvé des éléments suspects ou malicieux, laisse les options indiquées par l'outil pour l'action à effectuer et vérifie bien ceci :

Si TDSS.tdl2 est détecté, assure toi que Delete est sélectionné.
Si TDSS.tdl3 est détecté, assure toi que Cure est sélectionné.
Si TDSS.tdl4 est détecté, assure toi que Cure est sélectionné.
Si Suspicious objects est indiqué, assure toi que Skip est sélectionné.
Si un fichier du type C:\Windows\123456789:987654321.exe (C:\Windows\chiffres_aléatoires:chiffres_aléatoires.exe) est détecté, assure toi que Delete est sélectionné.
Si un fichier TDSS File System est détecté, assure toi que Delete est sélectionné.

• Clique sur Continue puis sur Reboot computer si l‘outil te le demande.
• Un rapport sera créé ici : C:\TDSSKillerVersion_Date_Heure_log.txt.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

2- Malwarebytes Anti-Rootkit :

• Télécharge Malwarebytes Anti-Rootkit sur ton bureau.
• Lance le fichier exécutable mbar-xxx.exe.

Sous Windows Vista/Seven/8, clique droit sur mbar-xxx.exe puis Exécuter en tant qu'administrateur

• Une fenêtre apparaît. Clique sur le bouton Ok.
• Un dossier mbar est créé sur le bureau et l'application se lance automatiquement.
• Dans la fenêtre, clique sur le bouton Next.
• Clique sur le bouton Update pour mettre à jour le logiciel.
• Puis clique sur le bouton Next.

• Clique ensuite sur le bouton Scan pour démarrer l'analyse.
• Patiente sans toucher au PC.
• Si des infections sont trouvées, clique sur le bouton Cleanup.
• Redémarre le PC si demandé :

• Sinon, clique sur le bouton Exit.
• 2 rapports sont créés dans le dossier mbar : mbar-log-date (heure).txt et system-log.txt.
• Joins ces 2 rapports dans ta prochaine réponse en suivant ce tutoriel.

----------------------------------------------------------------

Sont attendus les rapports de TDSSKiller et MBAR.

[ayanah]

Salut Guugues!

Voici le rapport de TDSSKiller:
J'espère que c'est bien cela:

"L’extension ini n’est pas autorisée"

Je te copie-colle ce qu'il y a écrit :

[InfectedObject]
Verdict: Rootkit.Boot.Cidox.b

J'envoie Malwarebytes et te poste le rapport

[ayanah]

Mr Malwarebytes à fait son travail, je te poste les rapports:

[guugues]

Hello !

Tu t'es trompé(e) pour le rapport de TDSSKiller, celui-ci est enregistré à cet endroit sous la forme suivante :

C:\TDSSKillerVersion_Date_Heure_log.txt


Il faut que tu me le joignes comme tu l'as fait avec le rapport de MBAR.

[ayanah]

Re!

Désolée, j'avais cherché dans le dossier Tdsskiller...!

Par contre le fichier fait 550 ko, je ne trouve pas dans le tuto comment le joindre^^
Peux tu me l'expliquer? Merci par avance !

[guugues]

Héberge-le via cjoint.com puis poste le lien dans ta prochaine réponse, ce sera plus simple.

[ayanah]

Merci Guugues!

Voici le lien:
http://cjoint.com/?0EjbhVcZ2lJ

[guugues]

Re !

Le problème, c'est que le rapport date d'il y a 30 minutes, donc je ne vois pas ce qui a été supprimé par tdsskiller tout à l'heure (ce dernier rapport ne montre plus de rootkit).

Tu dois avoir un autre rapport de TDSSKiller qui date de cet aprem, j'aimerais bien que tu me le postes.

[ayanah]

Oui effectivement, ne trouvant pas le fichier, j'ai relancé TDSSkiller
Rapport de cet aprèm: (Il y en a 3, j'espère que c'est le bon^^)

http://cjoint.com/?0EjbtW1gs0k

[guugues]

Hello !

Impeccable, c'est le rapport que je voulais : normalement, tu ne dois plus avoir d'alertes concernant le rootkit, il a bien été supprimé.

Cependant, par mesure de précaution, sachant que ce genre d'infections peut dérober des informations personnelles :


Change tous tes mots de passe : banque, réseaux sociaux, jeux en ligne, sites de musique etc.


-------------------------------------------------------------------------------------


Ton PC est aussi infecté par des PUP / Adwares, qui ont les caractéristiques d'afficher des pubs intempestives, de collecter tes habitudes de navigation et d'installer des toolbars , car tu n'es pas assez vigilant(e) lors de l'installation de logiciels gratuits, qui proposent souvent ces PUP / Adwares pré-cochés pour l'installation.

Afin d'éviter ce genre d'infections, quelques recommandations :

En cas de téléchargements de logiciels, les effectuer uniquement via les sites officiels des éditeurs.

Ne télécharge donc pas tes logiciels sur des sites comme Softonic ou 01.net.

Prends connaissance de ce qui est indiqué lors de l'installation de logiciels : assure-toi de décocher les éventuelles cases pré-sélectionnées.

A lire impérativement : Stop les publicités intempestives



1- Désinstallation des PUP / Adwares / logiciels inutiles via le panneau de configuration :


Désinstalle les logiciels suivants via : Démarrer → Panneau de configuration → Programmes → Programmes et fonctionnalités :

• Promo-détective (Logiciel foireux, de type PUP)
  Spybot - Search & Destroy (Inutile et obsolète)

Si certains ne veulent pas se désinstaller, ce n'est pas grave, passe aux suivants.


2- FRST – Fix :

• Télécharge la pièce jointe suivante sur ton bureau (au même endroit que FRST) :

fixlist.txt

• Ferme toutes les applications, y compris ton navigateur.

• Relance FRST.

Sous Windows Vista/Seven/8, clique droit sur FRST puis Exécuter en tant qu'administrateur

• Clique sur le bouton Fix :

• Un rapport du nom de Fixlog.txt sera créé sur ton bureau.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

3- AdwCleaner – Nettoyage :

• Télécharge AdwCleaner sur ton bureau.
• Lance AdwCleaner.

Sous Windows Vista/Seven/8, clique droit sur AdwCleaner puis Exécuter en tant qu'administrateur

• Clique sur le bouton Scanner.

• Une fois le scan terminé, clique sur le bouton Nettoyer.
• Accepte le message d'informations en cliquant sur OK.
• Il te sera demandé de redémarrer l'ordinateur : accepte en cliquant sur OK.
• Une fois le PC redémarré, un rapport s'ouvrira automatiquement.
• Celui-ci est disponible ici : C:\AdwCleaner\AdwCleaner[S0].txt.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

4- Shortcut_Module :

• Désactive temporairement ton antivirus : aide en images.
• Télécharge Shortcut_Module sur ton bureau.
• Lance Shortcut_Module.

Sous Windows Vista/Seven/8, clique droit sur Shortcut_Module puis Exécuter en tant qu'administrateur

• Clique sur le bouton Nettoyer :

• Si l'outil détecte un proxy que tu ne connais pas, clique alors sur Supprimer le proxy.
• Le PC va redémarrer.
• Une fois le PC redémarré, un rapport est généré ici : C:\Shortcut_Module_ Date_Heure.
• Héberge ce rapport sur cjoint.com puis poste moi le lien dans ta prochaine réponse.

-------------------------------------------------------------------------------

Sont attendus les rapports de FRST, AdwCleaner et Shortcut_Module.

[ayanah]

Salut Guugues,

Voici le rapport:

Par contre pour AdwCleaner, avg prend cela comme une menace, j'ai donc cliquer sur "Me protéger", du coup il a été supprimé.

Je dois aussi désactiver Avg pour ce logiciel ? Désolée c'est sans doute une question con, mais je préfère avoir ton avis

Par contre, je n'arrive pas à désinstaller Promo-détective...

Merci par avance !!

P.S: J'ai encore eu une alerte de ce genre, ça ne craint pas de désactiver l'anti virus?
http://cjoint.com/?3Ejos6ZHJYA

[guugues]

Hello !

P.S: J'ai encore eu une alerte de ce genre, ça ne craint pas de désactiver l'anti virus?

Tu n'aurais pas essayé de mettre à jour Adobe Flash Player en cliquant sur une bannière ou une pub par hasard ?
Si c'est le cas, ne fais surtout pas ça (c'est de cette manière que le Rootkit est arrivé sur ton PC à priori) : afin de mettre à jour ou installer Flash Player, c'est via le site officiel de Adobe (on fera ça plus tard ensemble).

Désactive temporairement AVG pour effectuer les manipulations avec AdwCleaner et Shortcut_Module.
Tu le réactiveras après leur passage.