[Resolu] Rogue System Check

cpcp01 · le 19 avril 2012

Bonjour,

Mon PC a été attaqué il y a quelques semaines par le Rogue Système Check. Les symptomes bien connus sont les suivants :

- menu démarrer vide

- fond d'écran disparu

- la plupart des fichiers et logiciels de "tous les programmes" dans menu démarrer sont vide.

- cascade de fenêtre annonçant des catastrophes : "failed to save all the components for the system file \ system32...".

Mon PC est configuré avec 4 comptes : "claude,michele,pauline,invité".

L'attaque a eu lieu sur le compte "claude" et comme je n'ai pas compris ce qui se passait j'ai tenté d'utiliser les autres comptes ce qui n'a fait que contaminer les autre comptes.

J'ai demandé de l'aide sur un forum qui m'a bien dépanné mais qui ne répond plus à mes messages. Il est sans doute pris par ailleurs, je ne l'incrimine pas mais l'éradication n'est pas terminée et je souhaiterais bien nettoyer mon PC.

Nous avons utilisé : RSIT, RogueKiller, ZHPDiag, ZHPFix.

Le travail est bien avancé mais pas terminé:

- RogueKiller a arrêté mais pas supprimé System Chek

- Le passage de ZHPDiag/ZHPFix a en partie (en partie seulement) rétabli me bureau

- System Chek est toujours présent dans "menu démarrer" "tous les programmes" du compte claude

- Les "menu démarrer" des comptes claude et michele sont en partie vide.

- Dans "menu démarrer" "tous les programmes" les applications et logiciels de menu démarrer sont pratiquement tous vides.

Il me semble que les comptes sont plus ou moins abimés car ils ne présentent pas tous les mêmes défauts.

Voila l'état de la situation et si vous pouviez m'aider à nettoyer mon PC je vous en saurais reconnaissant.

Cordialement.

Modifié le 23 avril 2012 par cpcp01

pear · le 19 avril 2012

Bonjour,

Télécharger RogueKiller (by tigzy) sur le bureau

Quitter tous les programmes

Lancer RogueKiller.exe.

Patienter le temps du Prescan ...

Cliquer sur Scan.

Cliquer sur Rapport et copier/coller le contenu

Nettoyage

Dans l'onglet "Registre", décocher les lignes suivantes:

(Lignes à décocher, si nécéssaire)

Cliquer sur Suppression. Cliquer sur r Rapport et copier/coller le contenu

Cliquer sur Host RAZ. Cliquer sur Rapport et copier/coller le contenu

Cliquer sur Proxy RAZ. Cliquer sur Rapport [/b]et copier/coller le contenu

Cliquer sur DNS RAZ. Cliquer sur Rapport[/b]etcopier/coller le contenu

Cliquer sur Racc. RAZ. Cliquer sur Rapport[/b] et copier coller le contenu du notepad

Dans l'onglet Driver, réparer les index SSDT suivants en faisant un clic droit sur leur ligne => Restaurer SSDT

Sauf avis contraire, ne touchez pas aux index SSDT

(Liste des indexes)

Note. Le boutton Suppression ne sera pas accessible dans que le scan n'a pas été fait

Téléchargez MBAM

ICI

ou LA

Avant de lancer Mbam

Vous devez d'abord désactiver vos protections mais vous ne savez pas comment faire

Cliquer ici

Branchez tous les supports amovibles avant de faire ce scan (clé usb/disque dur externe etc)

Exécuter avec droits d'administrateur.

Sous Vista , désactiver l'Uac

Double cliquez sur l'icône Download_mbam-setup.exe pour lancer le processus d'installation.

Enregistrez le sur le bureau .

Fermer toutes les fenêtres et programmes

Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet)

N'apportez aucune modification aux réglages par défaut et, en fin d'installation,

Vérifiez que les options Update et Launch soient cochées

MBAM démarrera automatiquement et enverra un message demandant de mettre à jour le programme avant de lancer une analyse.

cliquer sur OK pour fermer la boîte de dialogue..

Dans l'onglet "mise à jour", cliquez sur le bouton Recherche de mise à jour:

Si le pare-feu demande l'autorisation de connecter MBAM, acceptez.

Une fois la mise à jour terminée, allez dans l'onglet Recherche.

Sélectionnez "Exécuter un examen complet"

Cliquez sur "Rechercher"

.L' analyse prendra un certain temps, soyez patient !

A la fin , un message affichera :

L'examen s'est terminé normalement.

Et un fichier Mbam.log apparaitra

Nettoyage

Relancez Mbam(Malewares'Bytes)

Sélectionnez "Exécuter un examen complet"

Cliquez sur "Rechercher"

L' analyse prendra un certain temps, soyez patient !

A la fin , un message affichera :

L'examen s'est terminé normalement.

Sélectionnez tout et cliquez sur Supprimer la sélection ,

MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

puis ouvrir le Bloc-notes et y copier le rapport d'analyse qui peut être retrouvé sous l'onglet Rapports/logs.

Copiez-collez ce rapport dans la prochaine réponse.

cpcp01 · le 19 avril 2012

Bonsoir,

Merci d'avoir répondu rapidement.

J'ai passé RogueKiller en appliquant les consignes, tout s'est bien déroulé sauf sur l'option Racc. RAZ qui a bloqué avec le message suivant:

Disque H Exception Processing Message C0000013 >paramètre 75afbfc 7c475afbf ........

J'ai forcé pour poursuivre le scan

Et je n'ai pas obtenu d'information particulière et la suppression s'est terminée sans message particulier.

J'ai gardé les différents rapports d'éxécution de RogueKiller.

L'éxécution de MBAM n'a pas posé de problème, il a détecté 3 nuisibles : hijackthis, removewga et spybot

Il ne me semble pas que ce soit de vrai nuisibles mais bon j'ai supprimé les éléments de la sélection.

Voici le rapport de MBAM que j'ai copié directement car je n'ai pas trouvé comment insérer un fichier.

----------------------------------------------------------------

Malwarebytes Anti-Malware 1.61.0.1400

www.malwarebytes.org

Version de la base de données: v2012.04.19.03

Windows XP Service Pack 3 x86 NTFS

Internet Explorer 6.0.2900.5512

claude :: PIRAULT [administrateur]

19/04/2012 20:03:10

mbam-log-2012-04-19 (20-03-10).txt

Type d'examen: Examen complet

Options d'examen désactivées: P2P

Elément(s) analysé(s): 371301

Temps écoulé: 59 minute(s), 47 seconde(s)

Processus mémoire détecté(s): 0

(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0

(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0

(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0

(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0

(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0

(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 3

D:\download\hijackthis_telechargement_01net.exe (PUP.Toolbar.Repacked) -> Mis en quarantaine et supprimé avec succès.

D:\download\removewga.exe (PUP.RemoveWGA) -> Mis en quarantaine et supprimé avec succès.

D:\download\spybot_telechargement_01net.exe (PUP.Toolbar.Repacked) -> Mis en quarantaine et supprimé avec succès.

---------------------------------------------------------------------------

J'éspère que ces informations te permettront d'en tirer des conclusions.

Je rappelle que l'exécution de RogueKiller et MBAM a été faite sur le compte "claude"

Cordialement.

pear · le 19 avril 2012

J'ai gardé les différents rapports d'éxécution de RogueKiller.

Postez les, svp.

C'est à vos conseillers qu'ils peuvent être utiles.

cpcp01 · le 20 avril 2012

Bonjour,

Voici la suite des 7 rapports fournis par RogueKiller.

N'y a-t-il pas un moyen pour mettre des fichiers joints plutôt que de coller les rapports dans le corps du message?

Cordialement.

RogueKiller V7.3.2 [20/03/2012] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/49)

Blog: tigzy-RK

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version

Demarrage : Mode normal

Utilisateur: claude [Droits d'admin]

Mode: Recherche -- Date: 19/04/2012 19:36:43

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 8 ¤¤¤

[WallPP] HKCU\[...]\Desktop : Wallpaper () -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowMyComputer (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowRecentDocs (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowUser (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowMyPics (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowMyGames (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowMyMusic (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowSetProgramAccessAndDefaults (0) -> FOUND

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [CHARGE] ¤¤¤

SSDT[25] : NtClose @ 0x805B1D8E -> HOOKED (Unknown @ 0xF8B5FCE4)

SSDT[41] : NtCreateKey @ 0x8061ACEC -> HOOKED (Unknown @ 0xF8B5FC9E)

SSDT[50] : NtCreateSection @ 0x805A0816 -> HOOKED (Unknown @ 0xF8B5FCEE)

SSDT[53] : NtCreateThread @ 0x805C736A -> HOOKED (Unknown @ 0xF8B5FC94)

SSDT[63] : NtDeleteKey @ 0x8061B188 -> HOOKED (Unknown @ 0xF8B5FCA3)

SSDT[65] : NtDeleteValueKey @ 0x8061B358 -> HOOKED (Unknown @ 0xF8B5FCAD)

SSDT[68] : NtDuplicateObject @ 0x805B39A2 -> HOOKED (Unknown @ 0xF8B5FCDF)

SSDT[98] : NtLoadKey @ 0x8061CF10 -> HOOKED (Unknown @ 0xF8B5FCB2)

SSDT[122] : NtOpenProcess @ 0x805C13F8 -> HOOKED (Unknown @ 0xF8B5FC80)

SSDT[128] : NtOpenThread @ 0x805C1684 -> HOOKED (Unknown @ 0xF8B5FC85)

SSDT[177] : NtQueryValueKey @ 0x80618F10 -> HOOKED (Unknown @ 0xF8B5FD07)

SSDT[193] : NtReplaceKey @ 0x8061CDC0 -> HOOKED (Unknown @ 0xF8B5FCBC)

SSDT[200] : NtRequestWaitReplyPort @ 0x805981BA -> HOOKED (Unknown @ 0xF8B5FCF8)

SSDT[204] : NtRestoreKey @ 0x8061C6CC -> HOOKED (Unknown @ 0xF8B5FCB7)

SSDT[213] : NtSetContextThread @ 0x805C7A8C -> HOOKED (Unknown @ 0xF8B5FCF3)

SSDT[237] : NtSetSecurityObject @ 0x805B6114 -> HOOKED (Unknown @ 0xF8B5FCFD)

SSDT[247] : NtSetValueKey @ 0x8061925E -> HOOKED (Unknown @ 0xF8B5FCA8)

SSDT[255] : NtSystemDebugControl @ 0x8060EC2C -> HOOKED (Unknown @ 0xF8B5FD02)

SSDT[257] : NtTerminateProcess @ 0x805C8DA6 -> HOOKED (Unknown @ 0xF8B5FC8F)

S_SSDT[549] : Unknown -> HOOKED (Unknown @ 0xF8B5FD16)

S_SSDT[552] : Unknown -> HOOKED (Unknown @ 0xF8B5FD1B)

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤

127.0.0.1 localhost

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: Maxtor 6Y160M0 +++++

--- User ---

[MBR] 3cef655be9e69e1f360c747203073765

[bSP] 6054093e61c894fad5c882af8d5919a5 : Windows XP MBR Code

Partition table:

0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 39997 Mo

1 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 81915435 | Size: 116322 Mo

Error reading LL1 MBR!

Error reading LL2 MBR!

+++++ PhysicalDrive1: SONY Storage Media USB Device +++++

--- User ---

[MBR] 0b40a1382d32d3e5bc55ab50940e0bdd

[bSP] 2ed589843f35a7614d8e130db068c400 : Standard MBR Code

Partition table:

0 - [ACTIVE] FAT16 (0x06) [VISIBLE] Offset (sectors): 32 | Size: 495 Mo

User = LL1 ... OK!

Error reading LL2 MBR!

Termine : << RKreport[1].txt >>

RKreport[1].txt

----------------------------------------------------------------------------

RogueKiller V7.3.2 [20/03/2012] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/49)

Blog: tigzy-RK

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version

Demarrage : Mode normal

Utilisateur: claude [Droits d'admin]

Mode: Suppression -- Date: 19/04/2012 19:39:50

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 8 ¤¤¤

[WallPP] HKCU\[...]\Desktop : Wallpaper () -> REPLACED (C:\WINDOWS\Web\Wallpaper\Colline verdoyante.bmp)

[HJ] HKCU\[...]\Advanced : Start_ShowMyComputer (0) -> REPLACED (1)

[HJ] HKCU\[...]\Advanced : Start_ShowRecentDocs (0) -> REPLACED (1)

[HJ] HKCU\[...]\Advanced : Start_ShowUser (0) -> REPLACED (1)

[HJ] HKCU\[...]\Advanced : Start_ShowMyPics (0) -> REPLACED (1)

[HJ] HKCU\[...]\Advanced : Start_ShowMyGames (0) -> REPLACED (1)

[HJ] HKCU\[...]\Advanced : Start_ShowMyMusic (0) -> REPLACED (1)

[HJ] HKCU\[...]\Advanced : Start_ShowSetProgramAccessAndDefaults (0) -> REPLACED (1)