Désinfection : modes d'emplois des logiciels

Gmer :

Télécharger Gmer depuis la page http://www.gmer.net/#files en cliquant sur Download EXE. Ceci permet de télécharger le programme renommé de facon aléatoire pour tromper les rootkits qui peuvent reconnaitre le programme.

ATTENTION : Avant de lancer Gmer, désactiver toutes les protections du pc (antivirus, antispywares, pare-feu).
Démarrer Gmer
Sous Vista/7/8, clic droit/exécuter en tant qu'admin.
Un pré-scan se fera au lancement.

En effectuant un clic droit sur la fenêtre, il est possible de choisir le type de scan. Pour un scan rapide, choisir l'option "Only non MS files". Cela évite de lister les fichiers légitimes de microsoft mais détecte la quasi totalité des infections.

Le scan se fait à partir de l’onglet Rootkit. Cocher "Files" et "Services" si ca n'est pas coché dans la colonne de droite, puis cliquer sur le bouton Scan en bas.

Les informations sur le scan s’affichent alors, les éléments détectés comme rootkit apparaissent en rouge dans chaque section.
Sur ces lignes rouges:
- Services: Clique droit puis delete service
- Process: Clique droit puis kill process
- Adl, file: Clique droit puis delete files

Tuto : http://www.malekal.com/tutorial_GMER.php
 
Le bouton Copy permet de récupérer le rapport pour effectuer un copier/coller.
Le bouton Save permet l’enregistrement du rapport sur le disque au format texte.
Héberger le rapport et coller le lien sur le forum.

Pourquoi l'utiliser : Gmer est un programme permettant la détection et la suppression de nombreux rootkits. Il peut supprimer les services, les processus et les fichiers en rapport avec un rootkit.

Malwarebytes Anti-rootkit :

Télécharger Malwarebytes Anti Rootkit : https://fr.malwarebytes.com/antirootkit/

Exécuter le fichier et choisir de décompresser le dossier mbar sur le bureau 
Malwarebytes anti-rootkit se lancera automatiquement
 
Sous Vista et Windows 7, il est préférable de fermer et relancer le fichier mbar.exe par clic-droit -> Exécuter en tant qu'administrateur

Dans la fenêtre d'introduction, cliquer sur "Next"
Cliquer sur l'option de mise à jour "Update" 
Patienter pendant la mise à jour, puis cliquez sur "Next" après l'apparition du message "Success..."
Si un message "couldn't load DDA Driver" apparaît, cliquer sur Oui et laisser le pc redémarrer, MBAR se relancera automatiquement.
Cocher les 3 cases (drivers, Sectors, System).
Cliquer sur "Scan" et patienter le temps de l'analyse.
Une fois le scan terminé, deux possibilités :
- Si le programme n'a rien trouvé, cliquer sur" Exit". 
- Si des infections sont détectées, cliquer sur "Cleanup".
Après le nettoyage, le programme proposera un redémarrage, cliquer sur "Yes"

2 Rapports seront enregistrés sur le Bureau.
==> system-log.txt
==> mbar-log-la date-(*****).txt

Héberger les 2 rapports et poster les liens.

Pourquoi l'utiliser : MBAR est un anti-rootkit permettant le nettoyage du système. Il est capable de supprimer les rootkit, réparer les fichiers système patchés par l'infection et réparer les dégâts causés par les rootkit.

AVG Rem_virut :

Télécharger avg_rem_virut sur le Bureau.
http://www.avg.com/fr-fr/remove-win32-virut
Redémarrer en mode sans échec SANS prise en charge réseau.
Double-cliquer sur avg_rem_virut pour lancer le scan.
Sous Vista/7/8 : clic droit/Exécuter en tant qu'administrateur
Il va analyser automatiquement tous les disques disponibles et essayer de réparer les fichiers infectés.
S'il demande un redémarrage, accepter.

Pourquoi l'utiliser : Ce programme n'est à utiliser que pour supprimer l'infection Virut. Cette infection se propage rapidement sur le système et peut conduire au formatage si elle n'est pas supprimé rapidement. Virut infectant les fichiers exécutables, le lancement d'un seul fichier infecté peut suffir à réinfecter tout le pc. En cas d'infection Virut, postez rapidement un sujet sur le forum.

Dr.Web CureIt :

Attention l'analyse suivante peut durer plusieurs heures.
Éviter au maximum de se servir du pc en dehors de la désinfection.

- Déconnecter le PC infecté d'Internet et télécharger Dr.Web CureIt à partir d'un pc sain (de préférence, le graver sur CD) : https://free.drweb.fr/download+cureit+free/ (renommé de manière aléatoire)
- Placer le fichier téléchargé sur le bureau du pc à nettoyer 
- Connecter tous les supports amovibles (disque externe, clé usb, carte SD etc...) ayant été en contact avec le pc infecté sur ce dernier.
- Double cliquer le fichier téléchargé (sur Vista/7/8 : clic droit/exécuter en tant qu'admin)
- Accepter le lancement en protection renforcée si proposé, et la licence (ainsi que la participation aux statistiques)
- Cliquer sur l’icône de réglages (une clé anglaise) en haut à droite et cocher la case "appliquer les actions automatiquement"
- Vous pouvez laisser la case non cochée si vous préférez effectuer les actions manuellement après le scan.
- Cliquer ensuite sur Configuration et dans l'onglet Logs, choisir le réglage "Minimum"
- Cliquer sur Sélectionner des objets pour l'analyse et cocher toutes les cases
- En dessous, cliquer sur Sélectionner les fichiers/dossiers et cocher tous les disques/partitions
- Cliquer sur "Lancer l'analyse"
- Si vous avez choisis de faire les actions manuellement (déconseillé), Dr.Web proposera selon le type de fichier les actions Cure (désinfecter), move to quarantine (déplacer en quarantaine) ou delete (supprimer) 
- Après le nettoyage, cliquer sur "Ouvrir le rapport"
- Sauvegarder le rapport sur le bureau.
- En cas de problèmes, le rapport est automatiquement sauvegardé sous le nom cureit.log dans le dossier utilisateur (c:\users\.....\Doctor Web\cureit.log ou c:\doc&settings\....\Doctor Web\cureit.log).
- Fermer Dr.Web Cureit
- Redémarrer l'ordinateur (important car certains fichiers ne peuvent être déplacés/réparés qu'au redémarrage).
- Après redémarrage, héberger le rapport et poster le lien.

Pourquoi l'utiliser : Dr.Web CureIt est un anti-malware puissant, capable de détecter et d’éradiquer énormément d'infection. Il est surtout utile pour les infections coriaces comme Virut/Sality/Ramnit/Expiro/Mabezat. Ces infections font généralement de gros dégâts dans le système et Dr.Web est capable de désinfecter les fichiers porteurs de l'infection, il peut donc éviter le formatage du pc si l'infection est traitée à temps.

Dr.Web LiveDisk :

Graver l'iso (en tant qu'image) de Dr.Web LiveDisk, disponible ici : https://www.freedrweb.com/aid_admin/

Ensuite suivre les instructions suivantes : 
- Démarrer sur le CD et choisir English à l'aide des flèches du clavier et valider avec Entrée
- Un bureau s'affichera, et l'antivirus s'ouvrira automatiquement
- Cliquer sur Continue pour que le programme se lance
- Cliquer sur Select objects for scanning puis cocher toutes les cases
- Cliquer sur la icône de clé anglaise en haut a droite pour ouvrir les paramètres 
- Choisir l'option "Automatically apply actions to threats" (nettoyage automatique) et cliquer sur "Strart scanning"
- Dr.Web propose 3 options selon le type de menace détectée : Cure (désinfecter), move to quarantine (mise en quarantaine) ou delete (suppression) pour ceux qui préfèrent désinfecter manuellement chaque menace.
- A la fin de l'analyse, un popup s'ouvrira, cliquer sur Journal puis Export.
- Enregistrer le rapport sur le disque contenant Windows (par exemple dans le dossier Users)
- Le menu Journal contenant le rapport est également accessible dans le menu Tools
- Redémarrer le pc normalement pour vérifier l'état de Windows.
- Si des soucis sont encore visibles (bugs, crashs, alerte antivirus), poster un sujet sur le forum en expliquant le problème.

Pourquoi l'utiliser : Dr.Web LiveDisk est destiné à désinfecter un pc qui ne démarre plus ou dont l'infection est trop profonde. Il permet le nettoyage du disque et peut sauver un pc gravement contaminé.

Kaspersky Virus Removal Tool :

Télécharger et installer Kaspersky Virus Removal Tool : https://www.kaspersky.com/downloads/thank-you/free-virus-removal-tool

Avant de lancer l'analyse, cliquer sur Change parameters
Vérifier que toutes les cases sont cochées et cliquer sur OK
Cliquer sur Start Scan pour lancer l'analyse

Le programme peut demander d'effectuer une "réparation des menaces actives", accepter si c'est le cas.
A la fin de l'analyse, il peut avoir besoin de redémarrer le pc pour désactiver les infections.
Un pop-up recommandant d'installer un des produits Kaspersky peu s'afficher, cliquer sur "Ne pas installer"

Il va alors se relancer au démarrage, accepter encore une fois la licence.
Reconfigurer les actions comme précédemment
Re-cliquer sur Lancer l'analyse et choisir "poursuivre l'analyse" pour reprendre le scan précédent
Laisser le scan aller jusqu'au bout pour tout désinfecter.

Une fois le nettoyage fini, cliquer sur l'icone "Rapport" à droite puis sur "Menaces détectées" et enfin sur "Exporter"
Enregistrer le rapport sur le bureau, l'héberger et donner le lien sur le forum.

Pourquoi l'utiliser : Kaspersky Removal Tool permet de supprimer la plupart des infections d'un pc. Il est essentiellement recommandé pour les infections coriaces telles que Ramnit/Virut/Sality/Expiro etc...

Kaspersky VirutKiller :

/!\ Déconnecter le pc d'internet et télécharger depuis un pc sain sur une clé usb vide.

Télécharger le zip et extraire Kaspersky VirutKiller.exe : https://support.kaspersky.com/fr/viruses/disinfection/2735
Exécuter le fichier (sous Vista/7/8 : clic droit/exécuter en tant qu'admin)
Le programme va lancer l'analyse automatiquement pour tous les disques connectés
Patienter jusqu'à la fin de la désinfection et l'affichage du résultat.
Après désinfection, formater la clé usb ayant servi pour le transfert, pour plus de sécurité.

Pourquoi l'utiliser : VirutKiller n'est destiné comme l'indique son nom, qu'a désinfecter les pc sur lesquels l'infection Virut est présente.

BitDefender Quick Scan:

Se rendre sur : http://quickscan.bitdefender.com/fr (avec Internet Explorer de préférence)
Cliquer sur le bouton Analyser maintenant
Accepter l'installation du module complémentaire pour le navigateur
L'analyse devrait débuter automatiquement
Si ca n'est pas le cas, re-cliquer sur le bouton Analyser maintenant
A la fin de l'analyse, héberger le rapport qui se trouve dans le dossier C:\Users\...\Appdata\Roaming\QuickScan
Donner le lien sur le forum.

Pourquoi l'utiliser : Une analyse en ligne est généralement recommandé suite à une grosse infection comme Ramnit/Virut/Sality etc... pour vérifier qu'aucun fichier n'est encore porteur de l'infection. Cependant aucun fichier ne sera nettoyé, seule une recherche d'infection est effectuée.

Eset Online Scanner :

/!\ Attention, l'analyse peut prendre plusieurs heures /!\
Se rendre sur : https://www.eset.com/fr/home/products/online-scanner/
Cliquer sur scanner maintenant pour lancer le téléchargement
lien alternatif : https://www.eset.com/fr/download/utilities/detail/family/16/#offline
Enregistrer et exécuter le fichier téléchargé
Cocher la case pour accepter la licence d'utilisation
Cliquer sur Start et patienter durant l'installation
Cliquer à nouveau sur Start pour lancer la mise à jour et l'analyse
A la fin de l'analyse, un recapitulatif apparaitra
Cliquer sur List of found threats pour afficher les detections (s'il y en a)
Cliquer sur Export to text file...
Enregistrer le rapport sur le bureau
L'héberger et poster le lien sur le forum.

Avant de cliquer sur Finish pour fermer le programme, cocher la case Uninstall application on close pour désinstaller l'outil. Fermer la page Additional information pour finir.

Pourquoi l'utiliser : Une analyse en ligne est généralement recommandé suite à une grosse infection comme Ramnit/Virut/Sality etc... pour vérifier qu'aucun fichier n'est encore porteur de l'infection. Cependant aucun fichier ne sera nettoyé, seule une recherche d'infection est effectuée.

Kaspersky Security Scan :

Télécharger Kaspersky Security Scan : https://www.kaspersky.fr/downloads/thank-you/security-scan (avec Internet Explorer de préférence)
Exécuter le programme et patienter durant le téléchargement des fichiers
Installer Kaspersky Security Scan et attendre qu'il se lance automatiquement
Cliquer sur le bouton Analyse complète
Les problèmes détectés seront listés mais rien ne sera réparé. 
Héberger le rapport qui se trouve dans : C:\Users\...\ProgramData\Kaspersky Lab\KSS2\DataRoot\HtmlReport\index.html
Donner le lien sur le forum

Pourquoi l'utiliser : Une analyse en ligne est généralement recommandé suite à une grosse infection comme Ramnit/Virut/Sality etc... pour vérifier qu'aucun fichier n'est encore porteur de l'infection. Cependant aucun fichier ne sera nettoyé, seule une recherche d'infection est effectuée.

Farbar Service Scanner :

Télécharger Farbar Service Scanner sur le bureau : https://www.bleepingcomputer.com/download/farbar-service-scanner/
Lancer le programme puis cocher toutes les cases
(sous Vista/7/8, clic droit/exécuter en tant qu'admin)
Cliquer sur Scan.
Un rapport FSS.txt est crée dans le dossier où se trouve l'outil.
Héberger le rapport et poste le lien.

Pourquoi l'utiliser : Ce programme permet de vérifier l'état de différents services qui peuvent avoir été corrompus par une infection. Il analyse entre autre la restauration système, windows update, windows defender, le centre de securité, le pare-feu et les connexion internet.

Services Repair :

Télécharger Eset Services Repair sur le bureau.
Lancer le programme (sous Vista/7/8, clic droit/exécuter en tant qu'admin)
Cliquer sur Yes dans la boite de dialogue pour lancer la réparation.
A la fin, cliquer sur Yes pour autoriser le redémarrage.
L'outil va créer un dossier CC Support sur le bureau qui contiendra le rapport (enregistré sous CC Support/Logs/SvcRepair.txt).
Héberger le rapport et poster le lien

Pourquoi l'utiliser : Services Repair est capable de réparer les services importants de Windows qui peuvent avoir été corrompus par une infection.

AswMBR :

Télécharger aswmbr.exe sur le bureau : http://public.avast.com/~gmerek/aswMBR.htm
Double cliquer sur aswMBR.exe 
(Sous Vista/7/8, clic droit/exécuter en tant qu'admin.)
Le programme se présente comme ceci : http://public.avast.com/~gmerek/aswMBR1.png
Cliquer sur scan et une fois le scan fini, la ligne scan finished successfully apparaitra comme ici http://public.avast.com/~gmerek/aswMBR2.png

Si des lignes rouges apparaissent, il faut les réparer suivant ce qu'elles indiquent :
Si des lignes indiquent TDL4, cliquer sur le bouton Fix
Exemple : http://public.avast.com/~gmerek/aswMBR3.png

Si les lignes rouges indiquent [Whistler], cliquer sur le bouton FixMBR
Exemple : http://public.avast.com/~gmerek/aswMBR4.png

Si des lignes indiquent Suspicious, clic droit sur la ligne File correspondante et Copy File ...
Enregistrer le fichier par exemple sur le bureau, et scan le avec virustotal, puis donne le lien d'analyse
Exemple : http://public.avast.com/~gmerek/aswMBR5.png

Si des lignes indiquent ZeroAccess ou Sirefef, cliquer sur le bouton Fix
cliquer sur save log pour enregistrer le rapport.
Héberger le rapport et coller le lien sur le forum.

Pourquoi l'utiliser : aswMBR est un outil capable de détecter et supprimer les rootkit. Il permet aussi de réécrire le MBR si un rootkit l'a modifié (Attention, la modification du MBR peut rendre inaccessible certaines partitions. Si possible, sur les pc de grandes marques, il est préférable d'utiliser la restauration d'usine)

ESET Sirefef Cleaner :

Télécharger ESET Sirefef Cleaner sur le bureau
https://www.eset.com/fr/download/utilities/detail/family/168/
Lancer le programme qui va analyser le  pc a la recherche d'une infection. 
Si une alerte de sécurité apparait autoriser le démarrage 
Si une infection est detectée, il affichera : Win32/Sirefef.EV found in your system
Si c'est le cas, dire oui (Yes/touche Y) pour supprimer l'infection
Il redémarrera probablement le pc, puis après redémarrage,  il se relancera pour réparer les services, dire oui encore une fois (Yes ou Allow) pour qu'il lance la réparation, ce qui nécessitera un 2e redémarrage.

Pourquoi l'utiliser : Eset Sirefef Cleaner permet de détecter et supprimer l'infection Sirefef/Zeroaccess et de restaurer (à l'aide de servicerepair) les services principaux de Windows.

TDSSKiler :

Télécharger TDSSKiller sur le bureau 
https://support.kaspersky.com/fr/viruses/disinfection/5350#block1
Lancer le programme (Sous Vista/7/8, clic droit/exécuter en tant qu'admin.)
Accepter les licences d'utilisation
Cliquer sur Change parameters, cocher la case "Loaded modules"
Un redémarrage sera demander, accepter pour redémarrer aussitôt.

Au redémarrage, TDSSKiller se relancera
Recliquer sur Change parameters
Cocher les deux cases du bas "Verify file digital signatures" et "Detect TDLFS file system"
Cliquer sur Start scan pour démarrer l'analyse
Laisser l'outil scanner le disque dur sans l'interrompre et sans utiliser le PC.
Si des fichiers infectés sont trouvés, une fenêtre va s'ouvrir, Vérifier que :
Si TDSS.tdl2 est détecté l'option delete est cochée,
Si TDSS.tdl3 est détecté s'assurer que Cure est bien coché,
Si TDSS.tdl4(\HardDisk0\MBR) est détecté s'assurer que Cure est bien coché,
Si Suspicious file est indiqué, l'option Skip est cochée
Si Rootkit.Win32.ZAccess est détecté régler sur cure en haut , et delete en bas
Cliquer sur Continue puis sur Reboot now pour redémarrer le PC si c'est proposé.
Héberger le rapport généré et colle le lien 
Il est sauvegardé à la racine de la partition système sous le nom C:\TDSSKiller_Quarantine\JJ.MM.AA_HH.MM.SS. (JJ.MM.AA = date du passage de l'outil, HH.MM.SS heure de passage).
Pour mieux comprendre, voila un exemple de détection

Pourquoi l'utiliser : TDSSKiller est capable d’éradiquer la plupart des rootkit et de nettoyer les fichiers systèmes patchés par ce type d'infection.

ATTENTION : ComboFix peut avoir des effets secondaires, surtout si les indications ne sont pas suivies à la lettres (les manipulations suivantes concernent Windows 7, elle sont similaires sur les autres versions de Windows mais peuvent avoir quelques divergences) :

- Penser à noter les paramètres réseaux (adresse ip, masque de sous réseau, passerelle, et DNS) avant de lancer ComboFix. Il pourrait supprimer les paramètres de connexion.
Pour voir les paramètres actuels, ouvrir l'invite de commande (menu "démarrer"/exécuter, taper cmd.exe) et utiliser la commande ipconfig. L'adresse ip, le masque, et la passerelle s'afficheront, le DNS est identique à la passerelle, sauf modification de la part de l'utilisateur.

- Après ComboFix, si la connexion ne fonctionne plus : 
Clliquer sur "Ouvrir le centre Réseau et partage"
à gauche, cliquer sur "Modifier les paramètres de la carte"
clic droit sur l’icône correspondant à la connexion, puis "propriétés"
sélectionner "Protocole internet version 4 (TCP/ipv4), puis clic sur "propriétés"

Règler manuellement les paramètres IP, masque de sous réseau, passerelle par défaut et DNS comme ils étaient avant ComboFix.

si ca ne fonctionne pas :
- ouvrir le dossier : C:\Qoobox\Quarantine\Registry_backups
renommer tcpip.txt en tcpip.reg et ouvrir le fichier qui ajoutera les données au registre

Si la connexion internet ne fonctionne plus même après un redémarrage essayer ces solutions : https://morbak-home.forumgratuit.org/t642-reparer-la-connexion-internet

- Il se peut également que le menu démarrer soit vidé, pas d’inquiétude. Il existe plusieurs menu démarrer sur Windows, et ComboFix n'en videra qu'un seul, il suffit de copier le contenu d'un autre pour rétablir le menu Démarrer.
Le menu qui est affiché en cliquant sur le bouton Démarrer, se trouve dans ce dossier : C:\ProgramData\Microsoft\Windows\Start Menu\
Si celui-ci venait a être vidé par Combofix, il est possible de copier le contenu d'un autre dossier : C:\Users\.....\Start Menu\ ou encore C:\Users\.....\AppData\Roaming\Microsoft\Windows\Start Menu\

Même s'il ne s'agit là que de raccourcis, copier les contenu de ces dossiers sur une clé usb avant de passer ComboFix ou simplement les copier sur le bureau permet de restaurer la liste de programmes du menu démarrer. Il est possible, selon l'état du pc, que l'un de ces trois menus n'existe pas ou soit incomplet, le plus simple est donc de copier sur le bureau les différents menus existants et remplacer les dossiers vides après ComboFix.

- ComboFix changera également les paramètres des dossiers et rendra visibles tout les fichiers et dossiers cachés, il faudra donc rétablir les paramètres d'affichage des dossiers qui doivent être cachés.

- L'option "définir comme navigateur par défaut" des navigateurs web sera réinitialisée. Un message apparaitra lors de l'ouverture pour remettre ce réglage.

- Pour finir, il se peut que sur une version non légale de Windows, Combofix supprime les contournements de validation rendant l'utilisation de Windows instable ou impossible. Nous ne pourrons pas êtres tenus pour responsables si cela se produit et aucune aide ne sera apporté concernant une "validation" illégale de windows.

Si des choses ne sont pas claires, poser les questions AVANT d'utiliser ce programme.

RegToolExport :

Télécharger RegToolExport sur le bureau : https://toolslib.net/downloads/viewdownload/26-regtoolexport/
Coller les lignes demandées et cliquer sur Exporter.
Enregistrer le fichier sur le bureau.
L’héberger et donner le lien sur le forum
Si besoin, changer l'extension .reg du fichier en .txt

Pourquoi l'utiliser : RegToolExport permet d'enregistrer le contenu de clés de registre sans passer par regedit, utile pour faciliter les examen lors des désinfections car relativement simple à utiliser.

Emsisoft Emergency Kit :

Télécharger Emsisoft Emergency Kit : https://www.emsisoft.com/fr/software/eek/
Double-cliquer sur le fichier EmsisoftEmergencyKit.exe et choisir le dossier d'extraction du programme
A la fin de l'extraction le programme se lancera si vous avez laissé la case cochée
Si ca n'est pas le cas, ouvrir le dossier et lancer le fichier Start Emergency Kit Scanner.exe (clic droit/executer en tant qu'admin)
Une fois le programme lancé, s'il propose une mise à jour, accepter.
Après la mise à jour, choisir l'analyse personnalisée
Accepter la détection des PUP (programmes potentiellement indésirables)
Vérifier que tous les disques/partitions sont listés et cliquer sur Suivant
Laisser le scan se finir, et une fois terminé, cliquer sur "mettre choisis en quarantaine"
Le rapport s'ouvrira après le nettoyage, l'enregistrer et l'héberger sur www.cjoint.com
Poster le lien sur le forum pour analyse.

Pourquoi l'utiliser : EEK est un programme anti-malware portable, utile pour désinfecter un pc depuis une clé USB ou un CD Live.