Tremblement de terre de virus: Rootkit.gen.KA, Delf [Résolu]

[APC]

Bonsoir Céline,

[L'orelei]

Chère Sev
bien reçu tes nouvelles instructions.
Par "éditer la procédure " excuse moi, mais profane, je n'avais pas saisis le sens de cette déclaration!!...
"J'ai restauré", par cette citation il faut comprendre j'ai abandonné le mode ss echec
pour restaurer le mode normal, je te rassure si il s'était agit d'une restauration du système
je crois que je t'en aurais touché un mot!
Je vais essayé de pousser vers Malékal les quatre "précieux" mais j'ai
comme l'impression qu'ils sont terriblement attachés à mon portable.
Des retour domicile j'engage le bras de fer.
Merci de tes conseils
Céline

[APC]

[APC]

Bonsoir Céline,

Juste une question :

[L'orelei]

Sev

Juste une réponse
oui
A bientôt

[APC]

Bonsoir Céline,

On va changer de procédure, je pense que tu n'as pas dû encore l'effectuer.
Elle annule et remplace la précédente.

Le driver DrmRDriverV32.sys semble appartenir à Tunebite que tu vas désinstaller après avoir fait ce qui suit :

• Ouvre le bloc notes et copie/colle l'intégralité de ce texte :
  
  
  Citation:

  http://www.assistepc.com/forum/tremblement-de-terre-de-virus-8-sur-l-echelle-hijackthis-vt723-90.html
  
  Collect::
  C:\WINDOWS\System32\drivers\lsccvtum.dat
  C:\WINDOWS\System32\drivers\yqofbcyz.dat
  C:\WINDOWS\system32\ext.dll
  
  Suspect::
  C:\WINDOWS\System32\drivers\DrmRDriverV32.sys
  
  Driver::
  vzopewpy
  
  
  
• Sauvegarde ce fichier sous le nom de CFScript.txt sur ton Bureau,
  
  
• Fais un glisser / déposer de CFScript.txt vers Combofix comme sur l'image ci-dessous :
  
  
  
  
• ComboFix va créer 2 fichiers sur ton Bureau de la forme :
  
  
  • Un fichier zippé nommé Submit [Date Time].zip
    
  • Un second fichier nommé - CF-Submit.htm,
  
  
  Il peut t'être demandé de redémarrer le PC pour que Combofix puisse compléter le travail, accepte.
  
  
• Lorsque l'outil aura terminé, un rapport ComboFix.log apparaîtra à l'écran.
  
  
• Une nouvelle fenêtre avec invite "Submit Files for further analysis" s'ouvrira. Clique [OK]
  
  
• Ton navigateur par défaut se lancera automatiquement avec le fichier CF-Submit.htm et une fenêtre s'ouvrira :
  
  
  • Clique sur le bouton "Browse"("Parcourir") et navigue vers le fichier Submit [Date Time].zip qui est sur ton Bureau,
    
  • Clique sur le fichier afin de le sélectionner,
    
  • Soumets le fichier en cliquant "OK"
  
  
  Note : Tu l'auras compris, cette manipulation va permettre l'upload du fichier qui sera récupéré par SubS, l'auteur de Combofix.
  
  
• Lorsque cette opération sera complétée, tu peux supprimer les deux fichiers qui se trouvent sur ton Bureau (ceux créés par Combofix)
  
  
• Poste le rapport de Combofix qui se trouve sous C:\Combofix.txt ainsi qu'un nouveau log HijackThis,
  
  
• Désinstalle Tunebite et salue ton ami de ma part

Bonne chance,

[L'orelei]

Sev

bien reçu tes nouvelles indications
des que je suis de retour j'entame
la procédure et t'adresse les rapports
merci A bientôt
Céline

[L'orelei]

Chère Sev bonjour

Je peux enfin reprendre mon travail de nettoyage, je ne sais pas
si tout s'est passé comme prévu, plutôt non car avec Combofix,
plusieurs fenètres se sont affichées durant l'opération:

Première fenètre

[APC]

Bonjour Céline,

Ton rapport de CF est plus que curieux.

Tu es certaine de l'avoir collé sur le forum, tel qu'il est en réalité ?

Peux-tu refaire l'essai s'il te plaît, le rapport se trouve sous C:\Combofix.txt. Tu vas sûrement en trouver plusieurs, poste le contenu du dernier en date d'aujourd'hui

-> Double clique dessus / Edition / Sélectionner Tout / Copier et colle sur ta prochaine réponse.

Je répondrai au reste de tes questions quand j'aurais vu ce rapport.

@+

[Edit] Ne redémarre pas ton PC pour le moment, parceque si mes doutes sont fondés, il va falloir restaurer quelques fichiers dont celui-ci : C:\WINDOWS\system32\lsass.exe, je te dirais comment faire.

[L'orelei]

j'ai un peu maltraité le rapport Combo
en effet (plusieurs copier coller que j'ai voulu effacer)
j'en poste un nouveau ainsi que le rapport de scan Antivir
bonne lecture

[APC]

[L'orelei]

je vais faire ce que tu demandes,
mais il m'avait semblé que le mail que je t'ai adressé
ce matin avec le méchant tout zippé
était parvenu à destination.
A tte
Céline

[APC]

[L'orelei]

La bête vient d'être uploader!
j'attends tes instructions
Céline

[L'orelei]

Le Pc ne fait plus d'alerte!
Le rapport d'Antivir m'encourage
à l'humilité car il reste un ext1 dans systeme 32
que je voudrais bien ne plus voir
Mais la tanière du méchant semble avoir été
desertée, le System32\ext.dll lui n'est plus
Un Karsher pour finir j'imagine!!
je recommence à espérer
Merci Céline