Worm.Win32.SkyNet [Résolu/Fermé]

Signaler
Messages postés
84
Date d'inscription
dimanche 10 janvier 2010
Statut
Membre
Dernière intervention
26 août 2013
-
fix200
Messages postés
3244
Date d'inscription
dimanche 28 décembre 2008
Statut
Contributeur sécurité
Dernière intervention
7 février 2011
-
Bonjour,

Voilà, ce matin, je vais sur Internet et ce virus infecte mon pc. Avast ne sait plus où donner de la tête et finalement, après avoir fait tout ce qui m'était conseillé, l'ordi redémarre.
Jusque là, rien d'étrange pendant le redémarrage mais finalement, après m'avoir souhaité la "Bienvenue", une fenêtre s'affiche et m'explique en anglais quel virus m'a touché, ce qu'il risque faire et ne me propose que de faire un scan complet. Je ne peux cliquer que sur OK, ce que je fais, mais là, le pc réfléchit énormément et finalement, plus rien ne répond.
Ma question est la suivante : que faire en sachant que je peux plus accéder aux fonctionnalités habituelles de mon pc ?

124 réponses

Messages postés
3244
Date d'inscription
dimanche 28 décembre 2008
Statut
Contributeur sécurité
Dernière intervention
7 février 2011
157
Salut,

Je vais t'aider à désinfecter ton PC, avant tout, tu dois prendre en compte ces quelque consignes pour le bon déroulement de la désinfection.

- Évite de créer des doublons pour le même problème (que ce soit sur ce forum ou sur un autre)
- Sois patient(e) pendant cette désinfection, je suis bénévole et je ne suis pas collé devant mon ordinateur ^^ Mais rassure toi, je ne laisse jamais tomber personne ;)
- La désinfection va se dérouler en plusieurs étapes et peux durer un certain temps selon l'infection et notre disponibilité. Même si les symptômes de l'infection disparaissent, cela ne veut pas dire que la désinfection est terminée -> Merci de revenir jusqu'au bout et attendre confirmation, sinon ça servira à rien.

=================

Je pense à un rootkit TDSS... fais ceci pour savoir + :

Télécharge ZHPDiag (de Nicolas Coolman) et enregistre le sur ton Bureau.

▶ Double clique sur ZHPDiag.exe pour lancer l'installation et suis les instructions , n'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

▶ Double clique sur le raccourci ZHPDiag sur ton Bureau. (l'outil a créé 2 icônes ZHPDiag et ZHPFix)
(Sous Vista/7: clic droit puis "exécuter en tant qu'administrateur")

▶ Clique sur la loupe pour lancer l'analyse.

⇒ Laisse l'outil travailler, il peut être assez long ...

▶ Une fois terminé , le rapport s'affiche : clique sur bouton "Disquette" pour sauvegarder le rapport obtenu .

Enregistre bien ZHPDiag.txt de façon à le retrouver facilement ( sur le bureau par exemple ).

Pour le transmettre ouvre ce lien

* Clique sur Parcourir et cherche le fichier ci-dessus.

* Clique sur Ouvrir.

* Clique sur "Cliquez ici pour déposer le fichier".

* Un lien de cette forme est ajouté dans la page :

hxxp://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt

Copie ce lien dans ta réponse.
Messages postés
84
Date d'inscription
dimanche 10 janvier 2010
Statut
Membre
Dernière intervention
26 août 2013

Merci de vouloir m'aider.
Ce processus que tu me demandes d'effectuer doit l'être sur le pc touché par le virus non ? Or, depuis ce dernier, que j'ai finalement pu démarrer en mode sans échec, je ne peux aps aller sur Internet et ne peux donc pas suivre tes instructions.
Donc, actuellement, mon pc "contaminé" est en mode sans échec et j'utilise un pc portable pour Internet, l'accès à Internet étant impossible depuis le pc touché par le Worm...
Messages postés
3244
Date d'inscription
dimanche 28 décembre 2008
Statut
Contributeur sécurité
Dernière intervention
7 février 2011
157
Re,

Alors transfère le logiciel depuis un autre pc sur une clé USB au système contaminé, suis le processus et transfère le rapport depuis le PC contaminé au pc sain et colle le rapport via cijoint...


THX.
Messages postés
84
Date d'inscription
dimanche 10 janvier 2010
Statut
Membre
Dernière intervention
26 août 2013

Je ne peux pas accéder à ma clé USB depuis le pc contaminé... Je sens que j'ai beaucoup de chance aujourd'hui...
Messages postés
3244
Date d'inscription
dimanche 28 décembre 2008
Statut
Contributeur sécurité
Dernière intervention
7 février 2011
157
Re,

Il ne faut pas baisser les bras ^^

Tu as un message d'erreur quand tu essayes de te connecter ?
Messages postés
84
Date d'inscription
dimanche 10 janvier 2010
Statut
Membre
Dernière intervention
26 août 2013

Non, pas du tout. En fait, ça ne m'affiche strictement rien. D'ailleurs, quand je clique sur Poste de Travail, ça m'ouvre une fenêtre (comme d'habitude) mais après, ça ne va pas plus loin.
Messages postés
3244
Date d'inscription
dimanche 28 décembre 2008
Statut
Contributeur sécurité
Dernière intervention
7 février 2011
157
Re,

Quand tu ouvres le poste de travail ça affiche normalement c'est ça ?

Si oui, fais ce qui est écrit en haut. Mais pour ouvrir la clé Usb, clique sur la flèche qui se trouve en haut à droite (juste devant le bouton "-> OK") et choisis ta clé usb et dis si ça s'ouvre.
Messages postés
84
Date d'inscription
dimanche 10 janvier 2010
Statut
Membre
Dernière intervention
26 août 2013

Non, non, ça ne s'affiche pas normalement (pardon si je me fais mal comprendre). La fenêtre s'ouvre mais aucune icône n'apparait et ça me signale que le poste de travail ne répond pas (avec "terminer maintenant", etc...).
Messages postés
3244
Date d'inscription
dimanche 28 décembre 2008
Statut
Contributeur sécurité
Dernière intervention
7 février 2011
157
Ok,
Alors démarrer => exécuter
tape la lettre correspondante a ta clé usb, ex: F:\

Dis si la clé s'ouvre...
Messages postés
84
Date d'inscription
dimanche 10 janvier 2010
Statut
Membre
Dernière intervention
26 août 2013

Une fenêtre s'affiche à chaque fois avec écrit :
"F:\ n'est pas accessible. Impossible de satisfaire à la demande en raison d'une erreur de périphérique E/S."
Messages postés
3244
Date d'inscription
dimanche 28 décembre 2008
Statut
Contributeur sécurité
Dernière intervention
7 février 2011
157
Re,

Tu peux démarrer en mode sans échec avec prise en charge réseau ?

Si non essaye de récupérer ta connexion internet:
http://www.commentcamarche.net/...
Messages postés
84
Date d'inscription
dimanche 10 janvier 2010
Statut
Membre
Dernière intervention
26 août 2013

J'ai lancé le redémarrage avec prise en charge réseau. En premier lieu, ça m'a affiché une fenêtre comme celle dont je parlais tout à l'heure (quand ça me présente le virus). En voici le contenu (je ne sais pas si ça peut être utile) :
"Sécurity Warning !
Worm.Win32.SkyNet detected on your machine. This virus is distributed via the Internet through e-mail and Active-x objects. The worm has its own SMTP engine which means it gathers e-mails from your local computer and re-distributes itself. In worst cases, this worm can allow attachers to access your computer, stealing passwords and personnal data. Virus cas damage your confidential data and work on your computer. Continue working in unprotected mode is very dangerous.
Type : Virus.
System affected : Windows 2000, NT, ME, XP, Vista, 7.
Security risk (0-5) : 5.
Recommandations : It is necessary to perform a full system scan."

Sinon, la connexion à Internet est revenue. Je me lance dans les démarches que tu m'as données.
Messages postés
3244
Date d'inscription
dimanche 28 décembre 2008
Statut
Contributeur sécurité
Dernière intervention
7 février 2011
157
Re,

Bien, c'est un rogue ça. (faux logiciel de sécurité)

J'attends le rapport alors....

++
Messages postés
84
Date d'inscription
dimanche 10 janvier 2010
Statut
Membre
Dernière intervention
26 août 2013

Messages postés
3244
Date d'inscription
dimanche 28 décembre 2008
Statut
Contributeur sécurité
Dernière intervention
7 février 2011
157
Re,

Télécharge sur le bureau ExeHelper

- Double-clique sur exeHelper.com pour le lancer
- Une fenêtre va s'ouvrir, patienter quelques instants et appuyer sur une touche quand le scan sera terminé
- Un rapport s'ouvre, copie-colle son contenu dans la réponse

Note : le rapport se trouve sur le bureau au nom de log.txt

===============

Télécharge MalwareBytes' Anti-Malware (MBAM) .

▶ Double clique sur le fichier téléchargé pour lancer le processus d'installation , choisis "Français" et accepte lorsqu'il te le sera demandé de le mettre a jour.

▶ Regarde bien ce Tuto pour bien utiliser le programme.

! Déconnecte toi ferme toutes applications en cours !

⇒ Lance MBAM.

⇒ Mets le à jour via l'onglet mises à jours.

▶ Sous l'onglet paramètre, et coche la case : "Arrêter internet explorer pendant la suppression"

▶ Clique maintenant sur l'onglet recherche et coche la case : "Exécuter un examen rapide".

▶ Puis clique sur " Rechercher ".

▶ Laisse le scanner le PC...

▶ Une fois l'analyse terminée, clique sur "OK", Ensuite sur "Afficher les résultats".

▶ Vérifie que tout est bien coché et clique sur "Supprimer la sélection".

▶ Il se peut qu'il te demande de redémarrer pour finir la suppression des nuisibles, accepte en cliquant sur "Yes".

▶ A la fin un rapport va s'ouvrir, sauvegarde le de manière a le retrouver en vu et le poster sur le forum.

Reviens sur le forum et copie et colle le rapport dans ta prochaine réponse .

Note: les rapports sont aussi rangés dans l'onglet Rapport/Log .

=================

Refais un scan ZHPDiag, coche bien toutes les options (sauf la 045 et 061), poste le nouveau rapport obtenu (via Cijoint).
Messages postés
84
Date d'inscription
dimanche 10 janvier 2010
Statut
Membre
Dernière intervention
26 août 2013

Contenu du rapport pour ExeHelper :

"exeHelper by Raktor
Build 20100414
Run at 16:40:56 on 05/20/10
Now searching...
Checking for numerical processes...
Checking for sysguard processes...
Checking for bad processes...
Checking for bad files...
Deleting file C:\WINDOWS\system32\41.exe
Error deleting C:\WINDOWS\system32\41.exe - set for removal on reboot - PLEASE REBOOT
Checking for bad registry entries...
Resetting filetype association for .exe
Resetting filetype association for .com
Resetting userinit and shell values...
Resetting policies...
--Finished--

Le reste arrive.
Messages postés
84
Date d'inscription
dimanche 10 janvier 2010
Statut
Membre
Dernière intervention
26 août 2013

Rapport pour MBAM :


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4120

Windows 5.1.2600 Service Pack 3 (Safe Mode)
Internet Explorer 8.0.6001.18702

20/05/2010 17:10:12
mbam-log-2010-05-20 (17-10-12).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 128935
Temps écoulé: 7 minute(s), 16 seconde(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 1
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 4
Elément(s) de données du Registre infecté(s): 15
Dossier(s) infecté(s): 1
Fichier(s) infecté(s): 15

Processus mémoire infecté(s):
C:\WINDOWS\system32\smss32.exe (Trojan.FakeAlert) -> Unloaded process successfully.

Module(s) mémoire infecté(s):
C:\WINDOWS\system32\helpers32.dll (Trojan.FakeAlert) -> Delete on reboot.

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\SE2010 (Rogue.Securityessentials2010) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\security essentials 2010 (Rogue.SecurityEssentials2010) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\smss32.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\smss32.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\forceclassiccontrolpanel (Hijack.ControlPanelStyle) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.FakeAlert) -> Data: c:\windows\system32\winlogon32.exe -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.FakeAlert) -> Data: system32\winlogon32.exe -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\get-key-se10.com\http (Hijack.TrustedZone) -> Bad: (2) Good: (4) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\is-software-download.com\http (Hijack.TrustedZone) -> Bad: (2) Good: (4) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\download-soft-package.com\http (Hijack.TrustedZone) -> Bad: (2) Good: (4) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\download-software-package.com\http (Hijack.TrustedZone) -> Bad: (2) Good: (4) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\get-key-se10.com\http (Hijack.TrustedZone) -> Bad: (2) Good: (4) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\digital-supply.com\http (Hijack.TrustedZone) -> Bad: (2) Good: (4) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\digital-supply.com\http (Hijack.TrustedZone) -> Bad: (2) Good: (4) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.UserInit) -> Bad: (C:\WINDOWS\system32\winlogon32.exe) Good: (userinit.exe) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop\NoChangingWallpaper (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetActiveDesktop (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\activedesktop\NoChangingWallpaper (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetActiveDesktop (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr (Hijack.TaskManager) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
C:\Program Files\Securityessentials2010 (Rogue.SecurityEssentials2010) -> Delete on reboot.

Fichier(s) infecté(s):
C:\Documents and Settings\Groslier\Local Settings\Temp\3.tmp (Rootkit.TDSS.Gen) -> Quarantined and deleted successfully.
C:\Documents and Settings\Groslier\Local Settings\Temp\4.tmp (Rootkit.TDSS.Gen) -> Quarantined and deleted successfully.
C:\Documents and Settings\Groslier\Local Settings\Temp\5.tmp (Rootkit.TDSS.Gen) -> Quarantined and deleted successfully.
C:\Documents and Settings\Groslier\Local Settings\Temporary Internet Files\Content.IE5\BF50FAI4\exe[1].exe (Rootkit.TDSS.Gen) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\Z0IQJ0TO\exe[1].exe (Rootkit.TDSS.Gen) -> Quarantined and deleted successfully.
C:\Program Files\Securityessentials2010\SE2010.exe (Rogue.SecurityEssentials2010) -> Delete on reboot.
C:\WINDOWS\system32\warnings.html (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\helpers32.dll (Trojan.FakeAlert) -> Delete on reboot.
C:\WINDOWS\system32\config\systemprofile\Application Data\Microsoft\Internet Explorer\Quick Launch\Security essentials 2010.lnk (Rogue.SecurityEssentials2010) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\config\systemprofile\Menu Démarrer\Security essentials 2010.lnk (Rogue.SecurityEssentials2010) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\smss32.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\Winlogon32.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\Documents and Settings\Groslier\Local Settings\Temp\svchost.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\Groslier\Application Data\avdrn.dat (Malware.Trace) -> Quarantined and deleted successfully.
C:\Documents and Settings\Groslier\Menu Démarrer\Programmes\Démarrage\wwwzuc32.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
Messages postés
84
Date d'inscription
dimanche 10 janvier 2010
Statut
Membre
Dernière intervention
26 août 2013

Je suis en train de refaire un scan ZHPDiag mais une fenêtre s'est affichée, me demandant d'accepter un contrat de licence, ce que j'ai fait. Mais depuis, le scan est extrêmement lent. En fait, il n'avance même plus...
Messages postés
84
Date d'inscription
dimanche 10 janvier 2010
Statut
Membre
Dernière intervention
26 août 2013

En fait, il s'est terminé. Juste le temps de récupérer Internet sur le pc contaminé et je l'envoie.
Messages postés
84
Date d'inscription
dimanche 10 janvier 2010
Statut
Membre
Dernière intervention
26 août 2013

1 2 3 4 5 6 7