C'est une infection de type rootkit.
- Note importante pour les machines Dell : une réparation du MBR peut retirer l'accès à l'utilitaire de restauration d'usine, qui permet une restauration à l'état d'origine via une touche du clavier, au démarrage. Il existe quelques méthodes pour y remédier, mais celles-ci sont quelque peu complexes. Si le risque te semble trop important, il est alors déconseillé de laisser l'outil exécuter la commande "mbr -f" ou d'exécuter cette dernière manuellement ; si c'est la cas, tu devras alors restaurer la machine à son état d'origine (ce qui correspond à un formatage), ou bien ne rien faire et conserver un Master Boot Record infecté (non recommandé). (Helper Mark de Zebulon)
- Note importante: Il faut donc dans tous les cas créer un DVD de réinstallation de son ordinateur en suivant le manuel du constructeur!
Première méthode : Gmer
- Téléchargez mbr.exe de Gmer sur le Bureau : mbr.exe
- Désactivez vos protections et coupez la connexion.
- Sous Windows XP : double-cliquez sur mbr.exe / Sous Windows Vista ou Seven, faites un clic-droit sur mbr.exe et choisissez "Exécuter en temps qu'administrateur"
- Un rapport sera généré : mbr.log
- En cas d'infection, le message MBR rootkit code detected va apparaître dans le rapport. Si c'est le cas, cliquez sur le Menu démarrer --> Exécuter, et tapez la commande suivante :
- Sous XP : "%userprofile%\Bureau\mbr" -f
- Sous Vista/Seven : "%userprofile%\Desktop\mbr" -f
- Dans le mbr.log cette ligne apparaîtra : original MBR restored successfully !
- Postez le rapport si cela vous a été demandé par un helpeur dans le Forum Virus / Sécurité.
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.netevice: opened successfullyduser: MBR read successfullyuser & kernel MBR OKkernel: MBR read successfully
Deuxième méthode : antiboot de Kaspersky
Toute la procédure sur le lien suivant:Troisième méthode : Combofix
Pour tous les lecteurs : -- Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil. -- Ne pas utiliser en dehors de ce cas de figure :dangereux !- Faire un clic droit ici.
- Choisir : Enregistrer la cible du lien sous
- Choisir le Bureau comme destination.
- Dans le champ "Nom du fichier", renommer ComboFix.exe en CCM.exe par exemple, puis enregistrer.
- Attention ! L'étape de renommage est obligatoire sous peine de voir afficher le message "ComboFix.exe n'est pas une application win32 valide" et de le rendre ainsi totalement inutile et inefficace.
- Déconnectez-vous d'Internet et fermez toutes les applications et programmes en cours d'exécution.
- Double-cliquez sur CCM.exe pour lancer le fix (Sous Vista et Seven, il faut cliquer droit sur CCM.exe et choisir "Exécuter en tant qu'administrateur").
- Acceptez le message d'avertissement et acceptez l'installation de la Console de récupération (Sous XP).
- Le rapport sera créé sous la racine : C:\Combofix.txt
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.netevice: opened successfullyduser: MBR read successfullyPCTCore.sys ACPI.sys hal.dll atapi.sys spzt.sys >>UNKNOWN [0x86F80938]<< kernel: MBR read successfullycalled modules: ntkrnlpa.exe CLASSPNP.SYS disk.sysdetected MBR rootkit hooks:\Driver\Disk -> CLASSPNP.SYS @ 0xf7749f28\Driver\ACPI -> ACPI.sys @ 0xf7422cb8IoDeviceObjectType -> DeleteProcedure -> ntkrnlpa.exe @ 0x\Driver\atapi -> atapi.sys @ 0xf739fb40 805836a8 ParseProcedure -> ntkrnlpa.exe @ 0x805827e8Procedure -> ntkrnlpa.exe @ 0x805827e8 NDIS: Broadcom NetLink (TM) Gi\Device\Harddisk0\DR0 -> DeleteProcedure -> ntkrnlpa.exe @ 0x805836a8 Parsegabit Ethernet -> SendCompleteHandler -> NDIS.sys @ 0xf72b5bb0 PacketIndicateHandler -> NDIS.sys @ 0xf72a4a0dSendHandler -> NDIS.sys @ 0xf72b8b40user & kernel MBR OK
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.netdevice: opened successfullyuser: MBR read successfullykernel: MBR read successfullyMBR rootkit code detected !malicious code @ sector 0x12a14c0 size 0x1ad !copy of MBR has been found in sector 62 !MBR rootkit infection detected ! Use: "mbr.exe -f" to fix.
Quatrième méthode: Bootkit Remover
- Téléchargez Bootkit Remover puis décompressez le sur le bureau.
- Téléchargez BTKR_Runbox sur le bureau.
- Lancez BTKR_Runbox puis sélectionnez l'option n°3
- Validez en appuyant sur "3" puis [Entrée]
- Le PC redémarrera. Au redémarrage, relancez BTKR_Runbox en sélectionnant l'option n°1
- Si la procédure a bien fonctionné, il devrait être écrit " OK [DOS/Win32 Boot code found] "
Cinquième Méthode: MBRCheck
- Téléchargez MBRCheck sur le bureau.
- Fermez toutes les applications.
- Lancez MBRCheck (pour les utilisateurs de Vista et Seven Faire un clic droit sur l'exécutable puis choisir Exécuter en tant qu'administrateur pour le lancer.)
- Si vous avez ceci :
- Ensuite, vous aurez ceci :
- Ensuite, vous verrez ceci :
- Vous aurez maintenant un choix à faire, avec des codes de MBR :
- Ensuite, vous aurez ceci :
- En principe, vous devriez maintenant voir ceci (ajouté au bout de la ligne) :
- A la suite de ça, redémarrez votre ordinateur
- Postez le rapport obtenu si vous vous faîtes aider
Sixième méthode
Téléchargez aswMBR.exe sur votre Bureau ici: http://public.avast.com/~gmerek/aswMBR.exe Double-cliquez sur aswMBR.exe pour l'exécuter Double-cliquez sur aswMBR.exe présent sur votre bureau.(Clic droit -> "Exécuter en tant qu'administrateur" pour VISTA / SEVEN) Cliquez sur le bouton «Scan» Cliquez sur le bouton "Fix" en cas d'infection Cliquez sur save log ,Enregistrez le rapport sur le bureau Postez le rapport dans votre prochaine réponse sur le forum si vous vous faites aider.Septième méthode: ZhpFix
- Si vous avez utilisé ZhpDiag et que une infection de ce type est retrouvée comme le montre le rapport suivant:
- Lancez ZHPFix depuis le raccourci du Bureau (en mode administrateur si Vista/W7) ou depuis ZhpDiag qui contient le raccourci vers ZhpFix dans un icône situé en haut,
- Cliquez sur le bouton MBRfix situé dans la partie droite de l'écran (encadré en rouge sur l'image),
- Cliquez sur 'Non' au message qui s'affiche à l'écran,
- Laissez travailler l'outil,
- A la fin du traitement, un rapport s'affiche
- Copiez ce rapport si cela vous l'a été demandé sur le forum
- Redémarrez le pc pour prendre en compte les modifications et vérifiez avec Zhpdiag que l'infection n'est plus retrouvée.
Huitième méthode : console de récupération et fixmbr
Vous devez avoir en votre possession le CD de Windows. Démarrez sur le CD de Windows. Démarrez sur la console de récupération comme cela est expliqué ici :http://support.microsoft.com/kb/307654/fr Une fois sur la console de récupération, saisissez la commande suivante : fixmbr \device\harddisk0 puis valider par la touche [Entrée] de votre clavier. si cela ne parche pas tapez fixmbr c: Tapez exit pour sortir Retirez le Cd de windows Redémarrez le PC- Exemple sous XP ici: http://www.thesiteoueb.net/modules/wffaq/article.php?t=122
Neuvième méthode: MBR Repair
- Désactivez vos protections
- Téléchargez : MBR_Repair (par gen-hackman) ici: http://dl.dropbox.com/u/21363431/Mbr_Repair.exe
- Enregistrez-le sur ton bureau ,
- Lancez-le , choisissez "Repair"
- Choisissez votre système d'exploitation : "Windows Vista ou Seven"
- Votre pc va redémarrer
- Relancez MBR_Repair puis faites l'option "Verify"
- MBR_Verify.txt se mettra sur votre bureau, postez le rapport sur le forum si vous vous faîtes aider.
Dixième méthode : Avira AntiVir Boot Sector Repair Tool
Onzième méthode: MBR_Repair
MBR_Repair permet de restaurer le MBR sous Vista et Seven 32/64 bits uniquement c'est en quelque sortes un "Upgrader" de MBR , et qui , le cas echéant permet de le desinsfecter l'architecture 32/64 est detectée automatiquement ATTENTION AUX PC DE MARQUE !! LA REPARATION DU MBR PEUT PROVOQUER LA PERTE DE LA PARTITION RECOVERY SI EXISTANTE NE PAS UTILISER SANS L'AVIS D'UN HELPER CONFIRME!! téléchargez ici : http://dl.dropbox.com/u/21363431/Mbr_Repair.exe enregistrez-le sur ton bureau , lancez-le , choisis "Repair" choisissez "Windows Vista ou windows 7" votre pc va redémarrer au retour du bureau, relancez MBR_Repair puis faîtes l'option "Verify" MBR_Verify.txt se mettra sur votre bureau, postez son contenu pour que la personne qui vous aide puisse en vérifier le contenu.Douzième méthode: Hitman pro
Treizième méthode: Trend Micro RootkitBuster
Autres méthodes
Les logiciels suivants ne sont pas tous mis à jour mais peuvent être efficaces. 1- MacAfee antirootkit http://www.commentcamarche.net/... 2- Sophos Anti rootkit Sophos Anti-Rootkit 3- F Secure Black Light Rootkit Eliminator http://www.f-secure.com/... 4- Avira AntiRootkit http://www.free-av.com/fr/outils/4/avira_antirootkit_tool.html 5- Vba32 AntiRootkit http://www.anti-virus.by/en/vba32arkit.shtml 6- G Data Remover G Data Remover 7- Panda AntiRootkit Panda Anti-RootkitAprès nettoyage ou formatage
- Pour vérifier qu'il ne reste rien,ensuite il est préférable de passer un antivirus en ligne ou vérifier avec votre antivirus que rien n'est détécté.
- Si après formatage l'infection resiste c'est probablement que vous avez utilisé la restauration présente dans une partition de votre disque et pas le DVD de restauration du PC (à créer à l'achat d'un PC si il n'est pas fourrni.
Sauvgarder son MBR
- http://fr.wikipedia.org/wiki/Master_boot_record
- http://www.google.fr/...
- http://www.commentcamarche.net/forum/affich-1936797-sauvegarder-et-restaurer-son-mbr
No comments:
Post a Comment