Infection au rootkit mbr.exe
Fermé
a_djeloul
-
6 janv. 2009 à 07:44
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 - 7 janv. 2009 à 08:56
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 - 7 janv. 2009 à 08:56
A voir également:
- Infection au rootkit mbr.exe
- Anti rootkit - Télécharger - Antivirus & Antimalwares
- Rootkit hunter - Télécharger - Antivirus & Antimalwares
- Rootkit buster - Télécharger - Antivirus & Antimalwares
- Avg anti rootkit - Télécharger - Antivirus & Antimalwares
- Hacktool rootkit ✓ - Forum Virus
11 réponses
Lyonnais92
Messages postés
25159
Date d'inscription
vendredi 23 juin 2006
Statut
Contributeur sécurité
Dernière intervention
16 septembre 2016
1 536
6 janv. 2009 à 08:55
6 janv. 2009 à 08:55
Bonjour,
1) Télécharge mbr.exe de Gmer ici :
http://www2.gmer.net/mbr/mbr.exe
et enregistre le fichier sur le Bureau.
Merci à Malekal pour le tutoriel
Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident)
Double clique sur mbr.exe
Un rapport sera généré : mbr.log
En cas d'infection, ce message "MBR rootkit code detected" va apparaitre.
Dans le menu Démarrer- Exécuter tape : "%userprofile%\Bureau\mbr" -f
Dans le mbr.log cette ligne apparaitra "original MBR restored successfully !"
Réactive tes protections
Poste ce rapport et supprimes-le ensuite.
Pour vérifier
Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident)
Relance mbr.exe
Réactive tes protections.
Le nouveau mbr.log devrait être celui-ci :
Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
2) Relance Toolbar-S&D en double-cliquant sur le raccourci. Tape sur "2" puis valide en appuyant sur "Entrée".
! Ne ferme pas la fenêtre lors de la suppression !
Un rapport sera généré, poste son contenu ici.
1) Télécharge mbr.exe de Gmer ici :
http://www2.gmer.net/mbr/mbr.exe
et enregistre le fichier sur le Bureau.
Merci à Malekal pour le tutoriel
Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident)
Double clique sur mbr.exe
Un rapport sera généré : mbr.log
En cas d'infection, ce message "MBR rootkit code detected" va apparaitre.
Dans le menu Démarrer- Exécuter tape : "%userprofile%\Bureau\mbr" -f
Dans le mbr.log cette ligne apparaitra "original MBR restored successfully !"
Réactive tes protections
Poste ce rapport et supprimes-le ensuite.
Pour vérifier
Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident)
Relance mbr.exe
Réactive tes protections.
Le nouveau mbr.log devrait être celui-ci :
Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
2) Relance Toolbar-S&D en double-cliquant sur le raccourci. Tape sur "2" puis valide en appuyant sur "Entrée".
! Ne ferme pas la fenêtre lors de la suppression !
Un rapport sera généré, poste son contenu ici.
Bonjour,
J'ai tenter de faire executer "%userprofile%\Bureau\mbr" et sa me dit que Windows le trouve pas je fait quoi s.v.ppppppppppppppppppppppppp.
J'ai tenter de faire executer "%userprofile%\Bureau\mbr" et sa me dit que Windows le trouve pas je fait quoi s.v.ppppppppppppppppppppppppp.
Lyonnais92
Messages postés
25159
Date d'inscription
vendredi 23 juin 2006
Statut
Contributeur sécurité
Dernière intervention
16 septembre 2016
1 536
6 janv. 2009 à 19:15
6 janv. 2009 à 19:15
Re,
ça s.v.ppppppppppppppppppppppppp. ça m'énerve.
Tu as téléchargé le fichier mbr.exe sur ton Bureau comme demandé ?
Tu l'as exécuté en double cliquant dessus ?
Tu as eu ce message "MBR rootkit code detected" ?
ça s.v.ppppppppppppppppppppppppp. ça m'énerve.
Tu as téléchargé le fichier mbr.exe sur ton Bureau comme demandé ?
Tu l'as exécuté en double cliquant dessus ?
Tu as eu ce message "MBR rootkit code detected" ?
Utilisateur anonyme
6 janv. 2009 à 19:20
6 janv. 2009 à 19:20
Hello Lyonnais :
http://www.commentcamarche.net/forum/affich 10335281 infection avec mbr exe f?
& Bonne année.
++
http://www.commentcamarche.net/forum/affich 10335281 infection avec mbr exe f?
& Bonne année.
++
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question
Bonjour,
J'ai fait le log le voici
Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
MBR rootkit code detected !
malicious code @ sector 0x12a14c0 size 0x1ad !
copy of MBR has been found in sector 62 !
MBR rootkit infection detected ! Use: "mbr.exe -f" to fix.
et pour le "%userprofile%\Bureau\mbr" peu pas y acceder car windows le trouve pas
J'ai fait le log le voici
Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
MBR rootkit code detected !
malicious code @ sector 0x12a14c0 size 0x1ad !
copy of MBR has been found in sector 62 !
MBR rootkit infection detected ! Use: "mbr.exe -f" to fix.
et pour le "%userprofile%\Bureau\mbr" peu pas y acceder car windows le trouve pas
Lyonnais92
Messages postés
25159
Date d'inscription
vendredi 23 juin 2006
Statut
Contributeur sécurité
Dernière intervention
16 septembre 2016
1 536
7 janv. 2009 à 00:37
7 janv. 2009 à 00:37
re,
Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident)
Dans le menu Démarrer- Exécuter tape :
Dans le mbr.log cette ligne apparaitra "original MBR restored successfully !"
Réactive tes protections
Poste ce rapport et supprimes-le ensuite.
Pour vérifier
Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident)
Relance mbr.exe
Réactive tes protections.
Le nouveau mbr.log devrait être celui-ci :
Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident)
Dans le menu Démarrer- Exécuter tape :
C:\Documents and Settings\amina.AMINA-11BA4E643\Bureau\mbr -f
Dans le mbr.log cette ligne apparaitra "original MBR restored successfully !"
Réactive tes protections
Poste ce rapport et supprimes-le ensuite.
Pour vérifier
Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident)
Relance mbr.exe
Réactive tes protections.
Le nouveau mbr.log devrait être celui-ci :
Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
Bonjour,
J'ai fait la manip et sa marche pas windows le trouve pas je doit faire quoi encore stp je suis désespérer.
J'ai fait la manip et sa marche pas windows le trouve pas je doit faire quoi encore stp je suis désespérer.
bonjour,
voila je suis la colocataire de la personne et je m'y connait pas mal en pc et je suis a tenter toute les manip déjà proposée et rien a y faire le système remet toujours la même erreur '' Window ne trouve pas c:\documents... vérifiez que vous avez entré le nom correctement et essayez a nouveau.Pour rechercher un ficjier cliquez sur le bouton démarrer puis sur rechercher.''. Mais lorsque j,effectue le scan avec Stealth MBR rootkit detector 0.2.4..Il identifie vraiment le rootkit..je me sens un peu perplexe et j'avoue que les performance de son PC sont en ce moment vraiment compromise de redémarrage en redémarrage le PC ralentit de plus en plus..Je crois qu'il serait peut-être possible que d'autre virus se retrouve au PC mais ce rootkit semble vraiment me bloquer le chemin quand je fait un scan avec un autre logiciel de recherche de rootkit( un anti rootkit) il identifie le meme rootkit mais semble pas être en mesure de l'éliminer alors qu'il es conçu pour cela... l'anti rootkit es fait par le même programmeur que le programme offert pour l'identifier directement..mais rien a faire le programme de Gmer ne semble pas en mesure lui non plus de résoudre l'énigme..Peut-être qu'a plusieurs on pourrait ouvrir d'autre piste puisque les piste régulière ne semble pas nous permettre aucun accès au dossier peu importe la façon..que faire je ne sait plus par ou commencer mais j'espère qu'en groupe nous saurons résoudre l'énigme..Merci pour vos post ils on su me guider jusqu'à maintenant pour les étapes ne reste qu'a se creuser un peu plus la tête de mon coté je vais continuer des recherche avec google et voir ce que je trouve je partagerai mes découvertes avec vous si c'est le cas...bref j'attendrai vos idées et solutions..Et merci encore de votre grande aide et ce malgrée que ce cas en semble un qui teste a nous tous notre patience..merci mille fois
voila je suis la colocataire de la personne et je m'y connait pas mal en pc et je suis a tenter toute les manip déjà proposée et rien a y faire le système remet toujours la même erreur '' Window ne trouve pas c:\documents... vérifiez que vous avez entré le nom correctement et essayez a nouveau.Pour rechercher un ficjier cliquez sur le bouton démarrer puis sur rechercher.''. Mais lorsque j,effectue le scan avec Stealth MBR rootkit detector 0.2.4..Il identifie vraiment le rootkit..je me sens un peu perplexe et j'avoue que les performance de son PC sont en ce moment vraiment compromise de redémarrage en redémarrage le PC ralentit de plus en plus..Je crois qu'il serait peut-être possible que d'autre virus se retrouve au PC mais ce rootkit semble vraiment me bloquer le chemin quand je fait un scan avec un autre logiciel de recherche de rootkit( un anti rootkit) il identifie le meme rootkit mais semble pas être en mesure de l'éliminer alors qu'il es conçu pour cela... l'anti rootkit es fait par le même programmeur que le programme offert pour l'identifier directement..mais rien a faire le programme de Gmer ne semble pas en mesure lui non plus de résoudre l'énigme..Peut-être qu'a plusieurs on pourrait ouvrir d'autre piste puisque les piste régulière ne semble pas nous permettre aucun accès au dossier peu importe la façon..que faire je ne sait plus par ou commencer mais j'espère qu'en groupe nous saurons résoudre l'énigme..Merci pour vos post ils on su me guider jusqu'à maintenant pour les étapes ne reste qu'a se creuser un peu plus la tête de mon coté je vais continuer des recherche avec google et voir ce que je trouve je partagerai mes découvertes avec vous si c'est le cas...bref j'attendrai vos idées et solutions..Et merci encore de votre grande aide et ce malgrée que ce cas en semble un qui teste a nous tous notre patience..merci mille fois
Lyonnais92
Messages postés
25159
Date d'inscription
vendredi 23 juin 2006
Statut
Contributeur sécurité
Dernière intervention
16 septembre 2016
1 536
7 janv. 2009 à 08:15
7 janv. 2009 à 08:15
Bonjour,
la meilleure piste semble être le nom du fichier (puisqu'il s'exécute sans le commutateur -f).
Supprime la version actuelle.
Nettoie avec CCleaner.
Crée une session (un compte ad hoc) nommée Temp avec des droits d'administrateur.
Réexécute intégralement le post 1 avec, pour la commande Exécuter :
(attention à l'espace entre r" et -f).
la meilleure piste semble être le nom du fichier (puisqu'il s'exécute sans le commutateur -f).
Supprime la version actuelle.
Nettoie avec CCleaner.
Crée une session (un compte ad hoc) nommée Temp avec des droits d'administrateur.
Réexécute intégralement le post 1 avec, pour la commande Exécuter :
"%userprofile%\Bureau\mbr" -f
(attention à l'espace entre r" et -f).
Lyonnais92
Messages postés
25159
Date d'inscription
vendredi 23 juin 2006
Statut
Contributeur sécurité
Dernière intervention
16 septembre 2016
1 536
7 janv. 2009 à 08:56
7 janv. 2009 à 08:56
Bonjour,
je ne sais pas ce qu'il est advenu de la tour, mais elle est encore infectée, d'où danger.
J'aurai bien aimmé pouvoir aller au bout pour vérifier que l'on a pas une nouvelle variante résistante.
Si il est possible de faire démarrer la tour, faire la manip du post 9.
Si elle échoue encore, faire ceci :
ouvrir le Bloc-nates (notepad)
y copier
sauvegarder sur le Bureau sous mbr.bat et exécuter par double clic.
réexécuter mbr pour vérifier.
je ne sais pas ce qu'il est advenu de la tour, mais elle est encore infectée, d'où danger.
J'aurai bien aimmé pouvoir aller au bout pour vérifier que l'on a pas une nouvelle variante résistante.
Si il est possible de faire démarrer la tour, faire la manip du post 9.
Si elle échoue encore, faire ceci :
ouvrir le Bloc-nates (notepad)
y copier
C:\Documents and Settings\Temp\Bureau\mbr.exe -f
sauvegarder sur le Bureau sous mbr.bat et exécuter par double clic.
réexécuter mbr pour vérifier.
