FORUM D’ENTRAIDE INFORMATIQUE (FEI)Site d’assistance et de sécurité informatique

[guitar.bruno]

hello,

https://www.virustotal.com/fr/file/d5bc ... /analysis/

[g3n-h@ckm@n]

y'a un truc que je trouve bizarre , c'est que virustotal donne ce md5 : 38ae1b3c38faef56fe4907922f0385ba

et quickdiag donne celui-ci : AC4C51EB24AA95B77F705AB159189E24

y'a un truc qui patche explorer.exe apparemment ce qui recrée AdAnti.......

[guitar.bruno]

y'a un truc que je trouve bizarre , c'est que virustotal donne ce md5 : 38ae1b3c38faef56fe4907922f0385ba

et quickdiag donne celui-ci : AC4C51EB24AA95B77F705AB159189E24

y'a un truc qui patche explorer.exe apparemment ce qui recrée AdAnti.......

Eh oui, s'il revient sans cesse....



Bonne année à toi et tes proches!

[g3n-h@ckm@n]

merci pour moi et mes proches et dieu sait s'il y en a

je te retourne tout cela en bonne et due forme

refais un quickdiag en désactivant tout ( n oublie pas windows defender et tout parefeu ) en Extended stp
pour avast clic droit sur la boule agents d avast désactiver pour 30 mn ca devrait suffire

[guitar.bruno]

refais un quickdiag en désactivant tout ( n oublie pas windows defender et tout parefeu ) en Extended stp
pour avast clic droit sur la boule agents d avast désactiver pour 30 mn ca devrait suffire

http://www.cjoint.com/c/GAbsGWd6aoP

[g3n-h@ckm@n]

laisse tourner AdAntiHS

Télécharge Gmer : http://www.gmer.net/#files clique sur « Download EXE » et enregistre-le sur ton bureau

Important : Désactive toutes tes protections

Ne pas utiliser l'ordinateur pendant le scan de GMER

Pour XP => double clique sur gmer.exe
Pour Vista, etc.... => clique droit « executer en tant que…. »

GMER va lancer un scan automatique

s'il detecte une activité de rootkit et demande un scan complet , répondre non.

décoche IAT/EAT, ShowAll et les lecteurs (C:\ , D:\....) , et coche tout le reste

clique sur Scan

si une fenêtre indiquant un rootkit apparait clique sur OK.
Une fois le scan terminé sauvegarde le rapport sur ton bureau sous le nom gmer.log

ensuite héberge ce rapport sur http://cjoint.com et donne le lien obtenu

Réactive tes protections.

Note: Si problèmes utiliser GMER en mode sans echec.

[guitar.bruno]

J'ai retiré Anti_AdAnti du Startup , AdAnti a été bien content de revenir en place!

J'ai dû effectuer ça en mode sans échec, en mode normal, il commence à scanner et s'arrête, plus de réaction.

s'il detecte une activité de rootkit et demande un scan complet , répondre non.

Ca n'est pas arrivé, il a détecté la même chose (explorer.exe) que pour ta 2eme manip c'est à dire:

décoche IAT/EAT, ShowAll et les lecteurs (C:\ , D:\....) , et coche tout le reste

clique sur Scan

si une fenêtre indiquant un rootkit apparait clique sur OK.
Une fois le scan terminé sauvegarde le rapport sur ton bureau sous le nom gmer.log

http://www.cjoint.com/c/GAbwfdFJzHP

[g3n-h@ckm@n]

hello

heu.......y'a un truc là t'as pas du faire comme il faut car logiquement le rapport doit avoir 20 000 lignes si ce n'est pas plus lol

t'as attendu combien de temps en mode normal ? des fois il bloque un peu puis repart d un coup

[guitar.bruno]

Hello

Ok je refais. J'ai attendu 5 mn environ... tu sais, on a de moins en moins de patience, faut de la bombe maintenant, à peine commencé , déjà fini !!!

[guitar.bruno]

Non mais mon système et GMER ne sont pas copains décidément!

En mode normal le logiciel se ferme tout seul , au bout de combien de temps je ne sais pas...

Et en mode sans échec il reste bloqué sans plus de réaction! Pourtant j'ai laissé le temps, un scan c'est un scan, je pense qu'il n'a pas besoin de "réfléchir" 36 heures....

Désolé!

[g3n-h@ckm@n]

tu l'as bien executé avec le clic droit en tant qu'... etc..... ?

t'as bien tout désactivé ? tu sais qu'en mode sans echec avast est actif aussi hein ?

[guitar.bruno]

Oui j'ai même revérifié ta procédure donc je n'ai a priori rien raté en préparation.

Avast, oui c'était désactivé...

[g3n-h@ckm@n]

re

tu peux éditer ce fichier et me dire la ligne qui est écrite dedans (ou le caractère plutôt ) ?

C:\config.sys

[guitar.bruno]

Hello,

Si j'ai bien compris ce que tu me demandes, j'ai renommé le fichier en changeant l'extension en .txt.

Ca donne ça:

FILES=40

---------------------------------------

J'ai tenté encore GMER, cette fois il a scanné!

Voici le rapport:

http://www.cjoint.com/c/GAdwEiAWcvP

(qui ne me semble pas garni d'une pléthore de lignes.... )

[g3n-h@ckm@n]

ok remets l extensions .sys lol

refais en laissant coché show all

[guitar.bruno]

Cette fois , c'est garni

http://www.cjoint.com/c/GAdxpCa6jCP

ok remets l extensions .sys lol

Je l'avais copié sur le bureau pour le renommer et l'effacer ensuite.

[g3n-h@ckm@n]

hello on va balancer un truc russe (laisse tourner adantihs)

Télécharger drWeb , et l’enregistrer sur le bureau , grace à ce lien :

https://www.freedrweb.com/download+cureit+free/?lng=fr
Branche tous tes periphériques USB (mp3 , mp4 , disques durs externes , clés usb , appareil photo….) , tout ce qui a pu etre connecté à l’ordinateur.
Lance DrWeb CureIt , Clique sur OK
Le programme va vérifier qu’il soit bien à jour.
Coche la case « j’accepte de participer blablabla…… , puis clique sur continuer
Sur la page d’accueil , clique sur « sélectionner des objets pour l’analyse »
Coche tout à gauche , puis selectionne « Cliquez ici pour selectionner des fichiers et dossiers » .
Coche « Mon ordinateur » , ce qui aura pour effet de cocher tous les stockages de mémoires préalablement branchés comme précité , puis clique sur « OK »
Clique sur "OK" puis sur « lancer l’analyse »
L’analyse complète s’ effectue ….
Une fois terminée , laisser toutes les infections trouvées sur « Désinfecter » , puis cliquer sur « neutraliser »
DrWeb va neutraliser les menaces et afficher le résultat
DrWeb va demander de redémarrer l’ordinateur pour parfaire le nettoyage , faites-le
Pour poster le rapport ensuite , se rendre dans :

C:(généralement)\<users , utilisateurs , ou Documents ans settings pour XP>\La session\DrWeb
Dans ce dossier se trouve « CureIt.log« .
Cliquer droit dessus puis sélectionner « envoyer vers » => dossiers compressés
Héberger l’archive ainsi créée sur http://cjoint.com et donner le lien sur le forum

[guitar.bruno]

Hello,

Fait mais AdAnti revient, même si DrWeb le détecte.

Et mon logiciel fétiche Bootspeed Auslogic détecté comme "riskware"????!!!! Désolé j'ai décoché car il fonctionne très bien! Alors je ne sais pas ce que tu vas en dire....

Et je ne sais pas ce qu'il se passe, mais Cjoint bloque à 11 %, j'ai un autre lien:

http://www.partage-fichiers.com/upload/523d7ib4

[g3n-h@ckm@n]

hello ca sert à quoi bootspeed ?

normal que cjoint bloque t'as pas compressé comme demandé ^^

tu n'as pas supprimé tous les fichiers détectés hormis ton logiciel, je savais bien qu il y avait une histoire de rootkit et en plus indetectables par les autres outils apparemment

[guitar.bruno]

hello ca sert à quoi bootspeed ?

Google n'est pas ton ami? ^^ C'est un logiciel d'optimisation de système, je l'ai depuis pas mal de temps, quand j'avais XP , il a toujours bien fait son boulot.

normal que cjoint bloque t'as pas compressé comme demandé ^^

Oui, vu finalement, ça c'est la surcharge cognitive

tu n'as pas supprimé tous les fichiers détectés hormis ton logiciel, il y avait plusieurs rootkits à virer , je savais bien qu il y avait une histoire de rootkit et en plus indétectables par les autres outils apparemment

Que faire? Désinstaller et réinstaller Bootspeed?

[g3n-h@ckm@n]

tu veux que je te dise sincèrement ? windows 10 sait très bien se gérer question défrag quand c'est utile etc..... il sert à rien sinon à faire plus de mal que de bien.tous ces logiciels d'optimisation soi-disant c'est de la daube atomique.en plus windows défragmente , ton logiciel défragmente résultat : ton disque va durer deux fois moins de temps , s'user hyper rapidement c'est pas bon.

certes à l'époque d'XP ca se faisait pas tout seul mais maintenant plus besoin de tous ces trucs pourris.

[guitar.bruno]

Ah si tu le dis....

Je vais te faire confiance alors = désinstallé!

[g3n-h@ckm@n]

ok regarde si ces fichiers sont toujours absents ( affiche les fichiers cachés s il le faut )


C:\Windows\System32\drivers\qkrvjq.sys
C:\Windows\System32\drivers\rjqjor.sys
C:\Windows\System32\drivers\peleno.sys

[guitar.bruno]

C:\Windows\System32\drivers\qkrvjq.sys
C:\Windows\System32\drivers\rjqjor.sys
C:\Windows\System32\drivers\peleno.sys

Partis, même en fichiers cachés.

[g3n-h@ckm@n]

regarde si tu les trouves dans la quarantaine de drweb , j'aimerais bien les étudier

[guitar.bruno]

Pas trouvé de quarantaine pour DrWeb .....

[g3n-h@ckm@n]

tape quarantaine , dans la zone de recherche voir ? ( si ca marche pas Quarantine )

[guitar.bruno]

Oui, ça a été fait, tu penses bien, je trouve toutes les autres quarantaines (ou quarantines) mais pas celle de DRWeb, rien!

[g3n-h@ckm@n]

hello grrrr.....et en tapant drweb ?

[guitar.bruno]

Hello,

Idem, je te promets j'ai cherché dans mes dossiers même les plus improbables, dans les paramètres du logiciel, il n' y a pas de possibilité de choix de dossier de quarantaine ...

[g3n-h@ckm@n]

je suis fané lol

on reste chez les russes , fais un scan avec KVRT : https://support.kaspersky.com/fr/viruses/kvrt2015

y'a même encore un service de RegRun qui traine lol

S0 - Partizan (Partizan) -> system32\drivers\Partizan.sys

[guitar.bruno]

Voilà pour Kaspersky, comme pour les précédents, j'ai remis AdAnti en place, désactivé les agents Avast et le Pare-Feu , j'ai fait scanner complètement (même en ajoutant "System Drive" dans les paramètres), AdAnti n'a pas été détecté, et pas de fichier .log donc capture écran:

http://www.cjoint.com/c/GAfmL3YJWCP

Regrun, pas trouvé!

Partizan, j'ai eu juste à virer une clé de la bdr.

[g3n-h@ckm@n]

et bien sur si tu vires mon truc du startup, AdAnti reprend place ?

[guitar.bruno]

Oui, pour ne pas changer!

[g3n-h@ckm@n]

je vais finir par croire que c'est un de tes logiciels qui refout ca lol

[guitar.bruno]

Je ne mets que Avast en gestionnaire de démarrage et AntiAdAnti du coup.

Adanti se replace après quelques instants pour rappel (quand il n' y a pas Anti AdAnti)...

Je te mets mes logiciels en capture de RevoUninstaller:

http://www.cjoint.com/c/GAfxhzgs12P

[g3n-h@ckm@n]

il arrive à bypasser mon truc ?

[guitar.bruno]

il arrive à bypasser mon truc ?

Non, pas du tout, ton logiciel fonctionne terrible!

Et en plus, Avast qui le met en quarantaine , en double protection!

Je te recolle mon lien de la capture de mes logiciels, si tu n'as pas vu:

http://www.cjoint.com/c/GAfxhzgs12P

[g3n-h@ckm@n]

désinstalle quicktime il est plus tenu à jour par apple pour les PC , plein de failles de sécurité
java a pas l air à jour et tu as un des deux modules flash player qui n'est pas à jour

je te mets les liens directs , vois lequel c'est

http://download.macromedia.com/get/flas ... plugin.exe
http://download.macromedia.com/get/flas ... tive_x.exe

au pire mets les deux au moins t'es sûr

la suite demain je suis crevé

[guitar.bruno]

Hello

je te mets les liens directs , vois lequel c'est

http://download.macromedia.com/get/flas ... plugin.exe
http://download.macromedia.com/get/flas ... tive_x.exe

Fait!

désinstalle quicktime

Fait mais je ne sais plus par rapport à quel logiciel il m'a été demandé de l'installer, bref soi-disant il manquait pour la bonne exécution d'un fichier son, fort probablement...

Java est à jour (version 8 Update 111)