virus BOO/sinowal.C

[yop666]

la version de MRB que tu me demande de lancer s'ouvre et se ferme presque instantanément , j'arrive juste a lire que c'est infecté ...

j'ai la version 1.0.15, qui fonctionne sur mon ordi.

j'avais fait un log avant de venir sur ce forum, log confirmant l'infection

 

j'ai suivi la procédure "%userprofile%\Bureau\mbr" -f qui ne fonctionne que si l'on met le premier log a la poubelle :

 

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, GMER - Rootkit Detector and Remover

 

device: opened successfully

user: MBR read successfully

kernel: MBR read successfully

user & kernel MBR OK

MBR rootkit code detected !

malicious code @ sector 0x13153e99 size 0x1c8 !

 

il s'accroche !!!

[pear]

il s'accroche !!!

 

Si la procédure ne fonctionne pas , c'est normal.

C'est pourquoi je vous ai demandé si vous aviez un cd Xp pour accéder à la console de récupération.

[yop666]

j'ai effectivement un cd de xp,

 

j'ai tenté d'installer la console de récupération mais windows me dit qu'il manque le fichier system32\hal.dll

 

par contre j'y accède via le cd de xp : réparer touche r puis je rentre dans la console

[pear]

par contre j'y accède via le cd de xp : réparer touche r puis je rentre dans la console

 

Très bien.

 

Utilisation de la console

 

Lorsque l'invite pour %SystemRoot% (généralement C:\Windows) apparaît, vous pouvez commencer à taper les commandes appropriées pour diagnostiquer et réparer votre installation.

Windows vous demande quel système démarrer.

Appuyez la touche Verr Num pour activer le clavier numérique

Généralement , vous tapez 1 pour accéder au prompt C:\Windows>

Vous arrivez là:

C:\WINDOWS>

 

Saisissez tout d'abord dans la console la commande Set.

Ces commandes vont apparaître :

* AllowWildCards = FALSE

* AllowAllPaths = FALSE

* AllowRemovableMedia = FALSE

* NoCopyPrompt = FALSE

* Vous ne pouvez donc pas utiliser les extensions de commande (par exemple Del pour Delete) : "Le paramètre n'est pas valide. Essayez le commutateur /? Pour obtenir de l'aide."

* Vous ne pouvez pas parcourir les arborescences de votre disque dur : "Accès refusé".

* Vous ne pouvez pas accéder à des lecteurs amovibles comme un lecteur de disquettes.

* Vous ne pouvez pas copier des fichiers ou des dossiers.

Saisissez alors, en validant chaque commande par la touche Entrée :

* set allowwildcards = true

* Set allowallpaths = true

* Set allowremovablemedia = true

* Set NoCopyPrompt = true

[/color]

 

 

Exemple d'utilisation:

A l'invite C:\Windows>

tapez successivement:

Fixboot

fixmbr

exit

redémarrez

[yop666]

bonjour pear, et merci encore de t'occuper de mon probleme .

 

j'ai entré toutes les commandes dans la console, tout s'est bien passé,

 

le virus est toujours la au démarrage de GMER

[pear]

oui

[Mark]

Bonjour à vous deux

 

Si vous me permettez, j'aurais un autre outil à proposer :

 

@yop666 :

 

Télécharge MBRCheck.exe sur ton Bureau.

 

• Désactive tes programmes de sécurité avant de lancer le scan. (antispyware/antivirus)
  
• Double clique sur le fichier pour lancer le programme. (Note: Si tu utilises Vista/7, fais un clic droit sur le fichier puis choisir Exécuter en tant qu'administrateur).
  
• Une fenêtre va s'ouvrir sur ton Bureau: Patiente une dizaine de secondes pour permettre à l'outil de compléter l'analyse.
  
• Si un code de démarrage inconnu est détecté, des options s'afficheront
  
• Si c'est le cas, appuie alors sur la touche N puis [Entrée] deux fois.
  
• Si rien de particulier n'est détecté, presse juste sur la touche [Entrée]
  
• Un fichier texte nommé MBRCheck_mois/jour/année/_heure.minutes.secondes devrait apparaitre sur ton Bureau.
  
• Poste stp son contenu dans ton prochain message.
  

 

Je vais regarder le rapport dès que possible, et te donner la suite de la procédure.

 

@++

 

Mark

[yop666]

bonjour mark, j'ai pas vu ton message, j'attendais le retour de pear ...

 

je fait un rapport et te le post ce soir

 

fred.

[pear]

Bonjour,

 

Je ne pouvais pas revenir; un bug du site:chpas:

[yop666]

voila ce qui s'affiche : je n'ai pas d'options ...