Avira Antivirus fermé, désactivé par un virus

Je vous livre mon expérience d'hier, peut être que ça pourra aider.

Bonjour,

Voilà, j'ai fait une connerie en voulant utiliser un crack pour un logiciel acheté, je précise. Bon, et résultat c'est que je suis infecté. Pas grave, c'est à ce moment qu'entre en action l'antivirus me direz-vous !

Question: Quel est le comble pour un antivirus ? Réponse dans le titre du post. Donc, plus de Guard, de MailGuard, de WebGuard, le seul truc qui fonctionne c'est le Firewall (semble-t-il).

Le pire scénario, c'est de voir son antivirus vous planter en cas de coup dur. C'est même pire qu'un virus, car il te fait croire que tu es en sécurité alors que non, en fait pas du tout ! Pourtant Avira Premium Security Suite semble bien noté dans les comparatifs. Je constate, c'est tout. Un virus qui n'utilise pas les procédures habituelles, modifie un peu sa façon de procéder, et ça ne colle plus avec les systèmes de détections super sophistiqués qui interrogent et remplissent leurs bases virales de milliers de signatures, a celui qui aura la plus grosse ! Ca me fait penser aux putains de formulaires informatiques d'aujourd'hui, ça ne rentre pas dans les cases, ou la case voulue n'existe pas. Je ne sais pas pourquoi, mais je pense à pôle-emploi... ou ma carte vitale, je m'appelle jean-franc, Ouahhh

En attendant votre hôte se retrouve invité sur son ordinateur tandis que le ver, lui se dote de super pouvoirs. Il devient l'administrateur, rien de moins. Autre remarque au passage, avec Win98, il fallait le mot de passe pour être le chef. Je croyais que toute cette gestion des droits lourde et obscure était là pour nous protéger (à défaut de nous faire chier) et voilà que les virus malins en exploitent les failles ? La faute à qui ? Microsoft qui a voulu rentabiliser le développement de Windows en utilisant une base commune pour ses systèmes ? De fait, les voyous ont accès aux mêmes systèmes que les pros visés, et peuvent se faire la main sur des innocents. Et Microsoft de rajouter des couches et des surcouches pour protéger son système, pendant que le nombre de voyous ne cesse de croître, maîtrisant les techniques d'infiltration, augmentant proportionnellement le nombre d'explorateurs découvreurs de failles nouvelles. Une histoire sans fin... et un jour sans fin pour moi.

Alors commence la galère. J'ai essayé les solutions en ligne, BitDefender, Trend, DrWeb, Secuser, McAfee, rien donné, tous en échec, le virus bloque les applications en ligne et tout ce qui essaie de scanner des fichiers. Et puis peinard, il change les droits des applications et les ferme quand celles-ci ne lui plaisent pas. J'ai essayé de désinstaller mon antivirus (qui ne servait à rien) qui au passage m'a enlevé ma licence, il a fallu que je la réactive en le réinstallant plus tard pour le même résultat que précédemment, merci Avira. J'ai essayé ensuite d'installer Nod32, Kaspersky et Avast, mais rien, le virus est là et bloque les installations et le démarrage des services correspondants. Il empêche aussi le lancement des sysinternals, des killers de proccess, enfin tout ce qui liste et peut faire apparaître une faiblesse. C'est drôlement bien fait ces trucs-là. Je passe sur les reboots et les écrans bleus de la mort qui tue!
Autre surprise, le mode sans échec (sans réseau), qui semble à peu près stable, ne permet pas l'installation d'antivirus !!? Message des programmes d'installation des antivirus : Ca ne colle pas avec le Windows Installer qu'est super classe pour les installations, ou d'autres conneries du genre. Non mais des fois... De toute façon, ce Windows installer qui n'installe rien voit aussi ses pouvoirs réduits à néant empêchant toutes les installations futures...

Le pire c'est qu'il me nargue, je le vois dans les processus, il m'empêche de le killer, il porte un nom unique à mon ordi en plus, histoire de ne pas avoir de référence sur internet. Il s'appelle chez moi "10chiffres:10chiffres.exe" (je ne donne pas les chiffres des fois qu'ils seraient sensibles...).
J'ai aussi essayé des utilitaires comme MyHost, drw_remover.exe, ZHPDiag2.exe, et d'autres... mais rien non plus, de toute façon, je suis à la limite de mes compétences, je ne connais pas ces utilitaires et ce qu'ils font.

A ce moment, tout a échoué, il faut pourtant que je scanne mon PC pour en extirper le mal. Mais comment ? Je me souviens nostalgiquement de Win98 (encore lui), et des scanners de virus sur disquettes, comme c'était bien. Mais maintenant, avec NTFS, tu peux la mettre sur la tranche et t'asseoir dessus (la disquette). C'est marrant comme tous ces progrès ces dernières années servent une petite tranche infime des utilisateurs, ceux qui savent. Dans ceux qui savent, il y a ceux qui sont gentils qui t'empêchent de faire des conneries avec le portable de la société, parce que tu es trop con et tu pourrais flinguer l'ordinateur en y insérant ta clé USB, ordinateur qui sera de toute façon reformaté toutes les semaines, et les méchants, qui veulent reformater ton ordinateur ou que tu y insères une clé USB.

Alors j'ai pensé que peut-être, un antivirus installé sur un CD bootable sur Linux pourrait me sauver la vie.
Trop balèze, ça existe, et j'ai trouvé ça chez Kaspersky. Je fabrique non pas mon CD bootable, mais une clé USB bootable. Finalement, il semblerait que je vais enfin pouvoir me servir de ma clé !

La clé boot, linux se charge, kaspersky aussi, détection automatique de ma connexion internet, mise à jour de l'antivirus, scanne... j'avais plus l'habitude, ça fait un choc tout de même. Kaspersky ne trouve rien, sauf le virus original dans le fichier zip que j'avais conservé pour envoyer à Avira. Avant de le détruire, il me donne son nom, quelque chose comme Backdoor.Win32.ZAccess.lk, un voleur de cartes de crédit et de mots de passe.

Premier pas en avant, ça fait plus de 10 heures que je bataille quand même. Sur le site de kaspersky, je trouve un removal tool qui ressemble à ce nom, j'ai peut-être une variante, je vais essayer. Je télécharge TDSSKiller et je le lance sur le PC infecté. Évidemment, le ZAccess est là et il veille au grain, il me kill le removal tool sans procès, sauf que j'ai le temps d'apercevoir quelque chose, je relance donc et je fais une capture d'écran juste avant la fermeture forcée de l'utilitaire.
Je vois, fichier suspect, C:\WINDOWS\SYSTEM32\DRIVERS\afd.sys
A ce stade, je ne réfléchis plus, je reboote en mode invite de commande, je supprime afd.sys, je réitère dans le dossier DLLCACHE aussi. Je reboote, ça doit bien faire la 100ème fois depuis ce matin, j'ai les doigts déformés par les Ctrl+Alt+Del, on dirait un rapace.

L'ordinateur redémarre en mode normal, et ce devait être effectivement un reboot anniversaire, parce que quelque chose va changer. J'ai toujours le fichier aux numéros dans les process, mais lorsque je relance TDDSKiller.exe, il continue, turbine et miracle, me trouve un fichier caché dans Windows XXXXXXXXXX :XXXXXXXXXX.exe et un autre dans C:\WINDOWS\SYSTEM32\Drivers\sptd.sys
Merveilleux non, et vous savez quoi ? Il ose me demander ce que je veux en faire !?

Voilà, je m'en suis débarrassé, et pu réinstaller un antivirus, checker mon système. Le système hélas a souffert, ZAccess m'a foutu le bordel dans les droits des fichiers, des applications ne fonctionnent plus, d'autres ne se lancent pas.

J'ai fini par réinstaller Windows (xp sp3) par-dessus le précédent pour garder toutes mes applications et mes réglages, tout semble reparti comme avant. Roule ma poule, pas de formatage, tout fini bien. J'ignore la procédure normale pour tuer un ver, mais je sais que j'ai eu de la chance dans mon malheur, je sais.

Bon courage.