Lorsque vous faites une recherche, ou surfez sur internet, vos pages sont automatiquement redirigées vers des sites qui ne correspondent pas du tout à votre recherche initiale ? Ou bien l'accès à certains sites est bloqué, comme les scans d'antivirus en ligne ?
Vous êtes sans doute victime de malwares détournant à votre insu les pages internet.
Ce détournement peut se traduire de deux manières dans un rapport hijackthis :
1er cas : Détournement du fichier hosts
Voir partie en gras dans ce rapport :
Logfile of HijackThis v1.99.1
Scan saved at 12:22:35, on 03/02/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
O23 - Service: Windows Tribute Service - Unknown owner - C:Windowssystem32kd???.exe
( où les " ? " sont des lettres )
Il arrive aussi parfois qu'un PC présente les mêmes symptômes que ceux d'une infection par WareOut, alors que le rapport hijackthis n'indique aucune des lignes O17 pointant vers l'Ukraine ! Car cette dernière est passée au travers du scan par hijackthis. Voici comment mettre en évidence cette infection :
! Se déconnecter d'internet, fermer toutes applications en cours et désactiver ses défenses !
Lancez Smitfraudfix (Pour Vista : cliquez droit sur l'icône et choisir " Exécutez entant qu'administrateur ")
Appuyez sur une touche pour continuer .
Arrivez à l'invite de commande, saisir la lettre F afin de basculer le fix en langue française
Au second menu, choisir l'option 1 : Recherche
Exemple d'un rapport smitfraudfix dévoilant la présence d'une infection par WareOut :
SmitFraudFix v2.221
Rapport fait à 21:33:34,46, 09/09/2007
Executé à partir de C:Documents and SettingsjpimpyBureauSmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal
»»»»»»»»»»»»»»»»»»»»»»»» Process
.........
»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWindows]
"AppInit_DLLs"="C:\PROGRA~1\Google\GOOGLE~3\GOEC62~1.DLL"
"LoadAppInit_DLLs"=dword:00000001
»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon]
"System"="kdruc.exe"
kdruc.exe détecté !
»»»»»»»»»»»»»»»»»»»»»»»» Rustock
»»»»»»»»»»»»»»»»»»»»»»»» DNS
Descrïption: Broadcom 440x 10/100 Integrated Controller - Miniport d'ordonnancement de paquets
DNS Server Search Order: 212.27.54.252
DNS Server Search Order: 212.27.53.252
HKLMSYSTEMCCSServicesTcpip..{059176FA-E19D-4452-8209-7B512BEEE38C}: DhcpNameServer=85.255.115.67,85.255.112.122
HKLMSYSTEMCCSServicesTcpip..{161FD097-4634-474A-AD5E-337EFDBBB7C4}: DhcpNameServer=85.255.115.67,85.255.112.122
HKLMSYSTEMCCSServicesTcpip..{46EB21C7-C0F4-44CF-B6B0-2339DBD199CA}: DhcpNameServer=85.255.115.67,85.255.112.122
HKLMSYSTEMCCSServicesTcpip..{6FDA5244-517B-42E8-AB45-D2F1252194BC}: DhcpNameServer=85.255.115.67,85.255.112.122
HKLMSYSTEMCCSServicesTcpip..{F7D0A233-9673-4C53-924F-C676560D8E4E}: DhcpNameServer=212.27.54.252 212.27.53.252
HKLMSYSTEMCS1ServicesTcpip..{059176FA-E19D-4452-8209-7B512BEEE38C}: DhcpNameServer=85.255.115.67,85.255.112.122
HKLMSYSTEMCS1ServicesTcpip..{161FD097-4634-474A-AD5E-337EFDBBB7C4}: DhcpNameServer=85.255.115.67,85.255.112.122
HKLMSYSTEMCS1ServicesTcpip..{46EB21C7-C0F4-44CF-B6B0-2339DBD199CA}: DhcpNameServer=85.255.115.67,85.255.112.122
HKLMSYSTEMCS1ServicesTcpip..{6FDA5244-517B-42E8-AB45-D2F1252194BC}: DhcpNameServer=85.255.115.67,85.255.112.122
»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll
»»»»»»»»»»»»»»»»»»»»»»»» Fin
Méthodes de désinfection :
A- avec WORT:
(Pour ceux qui on Vista , bien désactiver l'UAC avant d'utiliser l'outil )
/! Ne jamais démarrer en mode sans échec via MSCONFIG /!
1) Redémarrez l'ordinateur .
2) Tapotez sur la touche F8 immédiatement, (F5 sur certains PC) juste après le "Bip" .
3) Tapotez jusqu' à l'apparition de l'écran avec les options de démarrage .
4) Choisissez la première option : Sans Échec , et valider en tapant sur [Entrée] .
5) Choisissez votre compte habituel ( et pas Administrateur ).
Attention : pas de connexion possible en mode sans échec , donc copiez ou imprimez bien la manipe pour éviter les erreurs ...
Double-cliquez sur le fichier WORT.exe ( Sous Vista , cliquer droit -> "lancer en tant qu'administrateur" ) et sélectionnez le bureau à l'aide du bouton "Browse".
Suivez les instructions et double-cliquez sur le fichier WareOut_Removal_Tool.bat (Clique droit -> "lancer en tant qu'administrateur" si sous Vista) qui vient d'être créé sur le Bureau pour lancer l'outil ...
Sélectionnez l'option 1 et valider par [entrée] .
Ne touchez à rien et laissez tavailler l'outil !
> A la fin du scan , le rapport "WORT_report.txt" s'ouvre : il contiendra tout ce dont vous avez besoin pour savoir si une infection a été trouvée et si elle a été supprimmée . Sauvegardez ce rapport au besoin .
A la fermeture du bloc-notes, le programme se terminera .
( Puis redémarrez simplement le PC pour retourner en mode normal )
S'il manque le fichier COMCTL32.OCX, le télécharger ICI.
Lancez MalwareBytes' Anti-Malware,
Faites les mises à jour (Onglet Mises à jour puis Recherche de mises à jour).
Vérifiez que la case :Exécuter un examen complet soit bien cochée
Cliquer sur "Rechercher" , Sélectionnez les disques durs puis cliquez sur "Lancer l'examen"
Patientez ... Et une fois l'analyse terminée, cliquez sur "Afficher les résultats"
Vérifiez que tout est coché et cliquez enfin sur "Supprimer la sélection" => et ensuite sur "OK"
Note Importante : Si MalwareByte's a besoin de redémarrer pour terminer la suppression, acceptez en cliquant sur Ok.
> Le rapport de scan est sauvegardé dans l'onglet "Rapport/log"de Malwarebytes .
Note :
Il sera parfois nécessaire de conjuguer les deux méthodes pour éradiquer l'infection .
Vérification :
Relancer HijackThis, les lignes O17 ne devraient à présent plus apparaitre, si ce n'est pas le cas, choisir do a system scan only, puis cocher la case devant les lignes ci-dessous et cliquer en bas sur fix checked :
Refaire un scan hijackthis, et s'assurer que les lignes O17 pointant vers l'Ukraine ont bien disparues.
Si après avoir fait plusieurs fois la manipulation ( à savoir passage de WORT, Malwarebytes et fixer les lignes avec hijackthis ), celles-ci "font de la résistances ", voici comment vous en débarrasser definitivement :
Sous XP :
Allez dans Démarrer > Panneau de configuration > Connexions > clique droit sur la connexion > Propriétés > onglet Gestion de réseau
Mettez en surbrillance Protocole Internet (tcp/ip) puis cliquez sur le bouton Propriétés.
Dans les options (serveur DNS préféré et serveur DNS auxiliaire) on trouvera une de ces adresses présentes dans le rapport hijackthis en ligne O17 ( exemple : 85.255.116.37 85.255.112.85 )
Pour les éliminer, cocher : Obtenir les adresses des serveurs DNS automatiquement puis cliquez 2 fois sur Ok et redémarrer le PC.
(Merci à Incognito02 pour cette astuce ;-))
Sous Vista :
Aller dans Démarrer > Panneau de configuration > Centre réseau et partage .
Cliquez sur voir le Statut > Bouton Propriétés.
Dans Protocole TCP/IPv4 > Propriétés > cocher : Obtenir les adresses des serveurs DNS automatiquement puis cliquer 2 fois sur Ok et redémarrer le PC.
! Se déconnecter d'internet, fermez toutes applications en cours et désactivez les défenses !
Lancez Smitfraudfix (Pour Vista : cliquez droit sur l'icône / " Exécutez entant qu'administrateur ... ")
Appuyez sur une touche pour continuer .
Arrivé à l'invite de commande, saisissez la lettre F afin de basculer le fix en langue française
Au menu, choisir l'option 5 : Recherche et suppression détournement DNS
Laissez travailler l'outil .
Une fois terminé, un rapport est sauvegardé ici : C:Rapport.txt
En résumé :
Pour s'en débarrasser, il faut passer un antispyware comme Malwarebytes' Anti-Malware qui traite cette infection, puis vérifier si nécessaire que l'infection wareout a bien été neutralisée avec l'option 5 de Smitfraudfix : (Recherche et suppression détournement DNS)
Il ne vous reste plus qu'à faire un nettoyage pour éliminer les malwares qui restent, et à installer un Pare feu si vous n'en avez pas déjà un !
En cas d'échec , ne pas hésiter à créer un sujet sur le forum Virus/Sécurité et joindre les différents rapports obtenus .
Cet article est régulièrement mis à jour par des experts sous la direction de Jean-François Pillou, fondateur de CommentCaMarche et directeur délégué au développement numérique du groupe Figaro.
