Zero Access [résolu]

tu n'arrive pas a installer ubcd sur clé usb c'est ca?

Mon portable a seven d'installé d'origine et il n'y a pas de fichier i386 sous cet OS.
Impossible donc d'utiliser UBCD pour créer un fichier de démarrage

j'ai fait un petit tuto a l'instant pour faire une clé usb bootable, je met des captures dans quelques minutes
tu peux te servir de ca pour faire ta clé usb, il te faut juste les fichier iso correspondant a ubcd et d'autres programmes si tu veux en mettre plusieurs
https://morbak-home.forumgratuit.org/t301-yumi-multiboot-usb-creator

Si tu as besoin de lien pour telecharger les iso, je peux te les fournir

J'ai créé une clé usb bootable windows 7 en utilisant WiNToBootic_v1.2 (vraiment très simple)
Le Pc boute bien dessus.
Par contre après je ne sais pas que faire (j'ai le choix entre réinstallation et réparation...)
Le but du jeux étant bien entendu de ne pas perdre de donnée.

Evidemment ne pas perdre tes données c'est l'essentiel.

Le problème c'est que rien ne garanti que la reparation ou la réinstallation du système supprime l'infection. Beaucoup d'infections resistent au formatage.

Si tu suis le tuto que j'ai fait, tu peux creer une clé usb bootable et mettre plusieurs elements dessus. L'ideal serait de tenter un nettoyage avec drweb (comme dans l'exemple que j'ai mis) sans système lancé, DrWeb aura tout le champs libre pour désinfecter le pc et il est utilisé souvent pour nettoyer les infections les plus coriaces.

Lors du test que j'ai fait avec Yumi pour creer une clé multiboot, j'ai mis dessus Drweb (antivirus), ubcd (pour pouvoir reparer le disque, tester la ram etc...) et OTLPE (pour acceder a un environnement similaire a windows xp). Et lors du lancement, la clé te demande ce que tu veux demarrer.

Choisi antivirus, puis selectionne Drweb, et lorsqu'il te demandera drweb, drweb safe mode ou local HDD comme ici, choisi le premier (drweb liveCD) et tu aura une image de ce genre. Selectionne la premiere icone (le symbole de drweb ressemblant à une araignée). Tu auras ceci, clic sur Setting puis Preferences et enfin sur l'onglet Actions, tu auras ca.

Pour la categorie Infected, selectionne Cure afin de stériliser les dll sans les supprimer. Cela permettra de supprimer le virus sans endommager le système. Dans l'onglet "checking" clic sur "Full check". Valide les options pour revenir au choix du disque dur, lance le scan 'en cliquant sur le "symbole LECTURE" et si jamais tu as la liste des fichiers infectés mais que DrWeb ne les nettoie pas lui meme comme ici, sélectionne consrv.dll si il est detecté, et clic sur cure.

Le CD dispose d'une version portable de firefox qui lui permet de se connecter a internet. Tu pourras donc te connecter sur le forum à partir du CD si jamais il y a un soucis.

Bonjour,
J'ai installé la même config que toi sur la clé bootable avec yumi.
Résultat:
J'ai essayé Drweb, il n'a rien donné.
Firefox ne se connecte pas
J'ai installé deux fois OTLPE, il ne veux pas se lancer (Je voulais accéder et modifier la base de registre comme sur le tuto)
Une idée de pourquoi OTLPE ne marche pas ?
(Pour l'installer dans Yumi j'ai coché "try an unlisted iso (run from RAM)")

J'ai réessayé OTLPE avec yumi sans "run from RAM"
La pc se boot bien sur la clé, accès au menu de boot, je lance OTLPE puis écran bleu.
J'ai essayé aussi l'installation avec OTLPEUSBInstall et c'est le même problème.

C'est exactement le même problème qu'ici...http://www.commentcamarche.net/forum/affich-25119260-otlpe-ne-se-lance-pas
La personne n'a pas réussit à faire tourner OTLPE sous seven non plus
J'ai les même écrans

Il y a plusieurs choses qui peuvent entrer en compte. En particulier (mon cas personnel) le fichier utilisé pour copier OTLPE sur la clé usb. Parfois l'instalation est corrompue ou incomplète.

Si tu a OTLPEusbInstall, coche la case pour XP et non Seven, et n'oublie pas de selectionner en bas Network , pour pouvoir acceder a Firefox a partir d'OTLPE.

Ensuite démarre a partir de la clé puis selectionne OTLPE (run from ram) . Si OTLPE fonctionne enfin, (tu aura un chargement de windows XP puis un bureau Reatogo) fais ceci : http://www.malekal.com/2011/10/19/zaccess-sur-windows-64-bits-consrv-winsrv/

Je viens de voir ton message et depuis j'ai un peu avancé...
J'ai télécharger http://www.forums-fec.be/gen-hackman/7pe_x86_E.exe
suite à la lecture de ce forum http://www.commentcamarche.net/faq/34284-pre-scan-pe-sous-environnement-win-7-live
J'ai pu donc booté sur la clé avec un environnement OTDPE
J'ai ouvert le registre, chargé la ruche.
J'ai ouvert la ruche et suivi l'arborescence comme indiquée dans le tuto et surprise la value date est la bonne.
Je n'ai pas supprimé consrv.dll car apparemment le fichier n'avait pas été modifié depuis 2009.
J'ai relancé windows
Relancé Roguekiller et là il me met toujours  [ZeroAccess] sys32\consrv.dll present!
Je n'ai pas lancer pré-scan sous le boot (je ne me rappelai plus de la manip et je ne sais pas pourquoi je n'ai pas accès à internet et c'est très embêtant...)
Qu'en penses-tu ?

En relisant mon post, je ne suis pas sur d'avoir été clair : J'ai réalisé cette manip avant de voir de message

Est ce que tu peux me donner l'emplacement exacte du fichier consrv.dll?
c'est bien c:\windows\system32\consrv.dll?
Qu'est ce que tu veux dire par : la valeur est bonne? tu as bien ca? ServerDll=winsrv:ConServerDllInitialization

C:\Windows\System32\consrv.dll
Apparement, il n'a pas été modifié depuis le 14/07/2009

Pardon,
J'ai oublié de répondre à la deuxième question.
Tu as bien compris, j'ai déjà çà:
ServerDll=winsrv:ConServerDllInitialization

la date de modification n'est pas bien grave, il peut très bien avoir été créé en 2009 et être utilisé sans qu'aucun changement ne soit apporté au fichier.

On va voir si il est utile au système. Démarre à partir de ta clé usb sous l'environnement Seven. Si tu vois le fichier en explorant ton disque dur, renomme le par exemple "virus" et si tu as les extensions d'affichées, change egalement l'extention et nomme le "virus.txt" par exemple ou simplement "virus" en effacant l'extension .dll

Ca devrait le rendre inutilisable et donc inactif? Ensuite redemarre ton pc normalement à partir de ton disque dur et sit moi si le démarrage se passe bien. Si le pc ne demarre pas, remet le bon nom sur le fichier avec l'extension dll

Si le pc demarre bien avec le fichier renommé, c'est qu'il n'est pas essentiel a windows et qu'on peut le supprimer sans risques. J'ai moi même 3 pc avec chacun un système different (XP, vista et seven) et je n'ai pas cette dll dans mon dossier syetm32, mais par securité je préfère que tu le renomme avant de l'effacer.

Edit : comme c'est précisé sur le forum de malekal : consrv = valeur mise par l’infection
winsrv = valeur par défaut dans Windows.
Tu avais la bonne valeur, ca veut dire que l'infection n'est logiquement pas active même si elle est présente (probablement combofix ou roguekiller qui ont rétabli la valeur par défaut). Donc tu devrais pouvoir renommer le fichier sans soucis.

Alors j'ai renommé le fichier avec le nom virus.
Le pc à bien redémarré.
J'ai relancé RK, ci-joint le rapport :http://cjoint.com/?BGmouOnC9Zs
Peut-on supprimer ces 2 entrées de registre ?

Sinon j'ai relancé malwarebytes en mode complet, comme je m'y attendais il plante toujours sur C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Internet Explorer\DOMStore\W21ZR80L\www.powerlineblog[1].xml

Tu es connecté par cable ethernet ou par wifi? Ces deux entrée correspondent a ton DNS, si roguekiller les detecte c'est parce qu'il est probable que l'infection ai modifié ton DNS. Pour les supprimer, utilise la fonction DNS RAZ de roguekiller (ne touche pas aux autres, surtout raccourci, elle n'est pas sans consequences)

Cependant, roguekiller supprimera les données mais si tu es en wifi, il se peut que tu perde la connexion internet, dans ce cas, clic dessus et sur Reparer. Si la reparation echoue, regarde dans les propriété de la connexion (clic droit sur l'icone en bas a droite) puis dans les properiété du protocole TCP/IPv4, verifie que tout est en automatique. Si ca ne fonctionne pas, redemarre le pc

Ensuite, puisque le pc demarre bien, refais un scan zhpdiag pour voir si il detecte encore l'infection.

Malwarebytes bloque peut-être a cause de l'infection justement, on ne l'utilisera qu'a la fin.

M'a l'air coriace cette infection, je vais suivre de près pour "apprendre"

Tu connais les Zeroacces rhooo, celle la c'est probablement une variante récente, c'est surement pour ca que combofix ou malwarebytes n'arrivent pas a la degommer seul. Il faut virer le dropper qui ramène l'infection a chaque redemarrage pour pouvoir definitivement netoyer.

La galère...J'ai perdu ma connexion internet pendant 4 h
En fait, freebox configuré en mode routeur et suppression des DNS avec RK.
Bref, connexion rétablie...
Voici le rapport ZHPdiag : http://cjoint.com/?BGmtxq3Tbj6
(Je ne suis pas capable de le lire)
Dans l'intermède j'ai relancé malwarebytes en mode complet
Il y a des trucs bizarres, au bout de 20 mn il m'ouvre une fenêtre me demandant de confirmer l'abandon de l'analyse en cour..J'ai bien sur cliqué sur non et il est reparti.
Ensuite j'ai l'impression qu'il tourne en boucle dans le répertoire
C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Internet
Explorer\
Je suis retourné voir dans mon répertoire
C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft
Je ne suis pas en fichier caché et je n'ai pas de dossier Internet Explorer
C'est déconcertant !

Le temps que Morbak reprenne, je peux t'apporter quelques précision :

tu n'as pas vu le dossier probablement parce qu'il est tout de même caché. Essaye de voir dans les options des dossiers, sous la ligne "afficher les fichiers cachés" tu as une autre case qui est "Masquer les fichiers protégés du système". décoche cette case, et accepte la confirmation, ca devrait faire apparaitre la totalité des fichiers cachés et tu devrait trouver le dossier.

Bonne nouvelle, le scan zhpdiag n'indique plus le rootkit, et roguekiller non plus sur ton dernier scan. Qui te donnait l'alerte a ton arrivée sur le forum?

A part le soucis d'internet qui semble résolu, tu n'a pas d'autres soucis? Si non, deplace le fichier infecté (renommé virus donc) dans la corbeille sans la vider.

Redemarre pour voir si avec le fichier dans la corbeille tout va bien. Si tout va bien, tu peux vider la corbeille. Ca reglera probablement le soucis de malwarebytes par la même occasion.

Ensuite, tu as quelques Adwares sur ton pc installés avec les toolbar babylon et compagnie, si tu veux désinfecter complètement ton pc et pas seulement le rootkit, on pourra continuer. Je déplacerai simplement le sujet dans la section "désinfection complète", mais il faut que tu soit présent jusqu'au bout, un pc qui va bien n'est pas forcemment clean.

Edit : Je n'ai pas vu d'antivirus sur le raport zhpdiag, tu n'a aucun programme de protection?

J'ai suivi tes conseils et pourtant je n'ai toujours pas trouvé le dossier
ça m'intrigue vraiment.

Sinon j'ai déplacé le fichier "virus" dans la corbeille  : le pc à bien redémarré.

C'est RogueKiller qui me donnait l'alerte...

Je suis entièrement d'accord avec toi "Un pc qui va bien n'est pas forcément clean"

Je ne suis pas sur que le mien aille si bien que çà :
-problème malwarebytes
-truc bizarre dans secunia PSI  (exemple mise à jour java 6 alors que java 7 est installé est que je pensais avoir désinstallé java 6 et çà fait çà avec d'autres logiciels)

Je suis donc partant pour faire une désinfection complète...et serai présent jusqu'au bout (C'est quand même la moindre des choses ...çà m'énerve profondément dans mon asso quand les gens ne respectent pas leur engagement).

J'en profite pour vous remercier chaleureusement pour votre aide et votre patience ...

Ok, donc je deplacerai ton sujet après ton prochain message.

Pour continuer fait ceci :
Télécharger AdwCleaner ( d'Xplode ) sur le bureau.
http://general-changelog-team.fr/fr/outils/3-adwcleaner
Sous XP double-clic sur le fichier d'execution.
Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
Cliquer sur Recherche
Patienter le temps du scan, le rapport doit s'ouvrir spontanément à la fin.
Le rapport est sauvegardé à la racine du disque C:\AdwCleaner[R1].txt
Poster le rapport sur le forum
si il est long, l'héberger sur http://www.cjoint.com et poster le lien.

ATTENTION :
Si tu utilise MSN Plus, il est possible que Adwcleaner supprime le fichier msimg32.dll de ton dossier windows live\messenger, rendant ainsi MSN plus! inactif. Par sécurité, copie le fichier msimg32.dll sur ton bureau, tu pourras a le replacer dans le dossier Program Files (x86)\Windows Live\Messenger après le nettoyage de Adwcleaner.

Sur ton rapport zhpdiag, je n'ai pas vu d'antivirus actif, tu n'as aucune protection ou c'est le rapport qui a bugué?

Pour le dossier de malwarebytes, il scanne en boucle le même dossier et tu as l'impression que le scan n'avance pas? Si oui ca arrive parfois, notamment si c'est ton premier scan (Morbak m'a dit que son premier avait duré 8h)

Pour java, désinstalle tout et installe la dernière version : http://www.java.com/fr/

Fais analyser le fichier suivant sur www.virustotal.com et donne moi le lien de l'analyse (l'adresse dans ton navigateur) :
C:\Users\Erwan\Downloads\PVsyst.v5.20.Multilingual.WinAll.Incl.Keygen-CRD.zip

C'est gentil de dire merci, ça touche beaucoup le chef, même s'il le dit pas forcément.

Pour la patience, c'est normal, le forum a été créé pour ça et on y consacre énormément de temps ^^.

J'arrête là le H.S., je laisse le chef continuer à t'aider.

Lien des analyse pour PV Syst:
https://www.virustotal.com/file/143fa35358784452cb2f7fac490f53c0ff82f2335ddaa31e107ce0390567739c/analysis/

Désolé j'ai agit trop vite et pas vraiment suivi ta procédure : J'ai cliqué sur supprimer dans AdwCleaner et voici le rapport : http://cjoint.com/?BGmwldo09Am
Je l'avais déjà utilisé hier et il n'avait rien supprimé donc il y a du mieux.
Je n'utilise pas MSN plus et MSN est désinstallé normalement (je suis plutôt skype)

Celà fait 3 ans que j'utilise ce PC sans aucune protection (je considère peu être à tort que l'antivirus amène les virus...j'ai touché du bois jusque ici. Plusieurs personnes autour de moi font la même chose et je dois dire que l'on semble moins touché que ceux autour de nous qui ont des protections) Sans doute que la freebox en mode routeur me protege un peu aussi.

Pour java, j'ai déjà fait cette procédure hier et cela n'a pas changé la donne (identique avec google earth, j'ai désinstallé adobe shockwave et il apparait toujours...Foxit reader est à jour et Secunia me dit qu'il ne l'est pas..)
Je crois que je vais désinstallé et réinstallé Sécunia.

Oui j'ai l'impression que malwarebytes scanne en boucle le même dossier...Le problème c'est qu'il s'agit du dossier invisible (un des répertoire précédent m'indique 35 MO - Cela à tourné pendant plus d'1h30 sur ce fichier, c'est long pour 35 MO)