Salut,

Excellent !
Posté : http://www.forum-entraide-informatique.com/t482-rootkit-tdss-qu-est-ce-que-c-est-comment-s-en-debarasser#2722

Merci

Gabriel.

Salut!

Voilà le tuto sur les rootkit TDSS.
___________________________________________________________________________

Salut!

[b][u]Voilà mon premier tuto sur les rootkits TDSS.[/u][/b]

[list][*][b][u]Définition:[/u][/b]
Un rootkit est tout d'abord un malware. Un rootkit est un malware très difficile à désinfecter et à repérer car généralement, il se greffe dans le "noyau" (coeur) de Windows. Il s'approprie tous les droits du système et de ce fait, tout les programmes doivent passer par lui pour s’exécuter (y compris les antivirus )

[*][b][u]But:[/u][/b]
L'un des but principaux du rootkit est donc de se greffer sur le système et surtout de cacher d'autres programmes malveillant, d'autres pirates... et qui seront aussi invisibles.

[*][b][u]Symptômes:[/u][/b]
Un rootkit est très discret. Les principaux symptômes sont donc les suivants: ralentissements globaux du système, redirection lors de recherches google, Logiciels de sécurité bloqués...

[*][b][u]Détection:[/u][/b]
Si vous avez les mêmes symptômes que ci-dessus et que vous pensez que votre système est atteint par un rootkit, suivez la procédure suivant.

[list][/list][*]Téléchargez [url=https://www.sosvirus.net/telecharger/zhpdiag/]ZHPDiag[/url] (de Nicolas coolman) sur ton bureau.
[*]Un fois le téléchargement terminé, double cliquez sur [b]ZHPDiag.exe[/b] et suivez les instructions d'installation. (Clique droit/Exécuter en tant qu'administrateur pour Vista/7).
[*]Cochez la case [b]Créer une icône sur le bureau[/b] lors de l'installation.
[*]A la fin de l'installation, ZHPDiag va se lancer tout seul.
[*]Cliquez sur l'icône représentant une loupe.
[*]En fin de scan, un rapport apparait.[/list]

Dans le rapport recherchez les lignes suivantes.
[b]---\\ Internet Feature Controls (O81)
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe[/b]

Un rootkit TDSS est souvent reconnaissable grave à ces lignes.
Suivant la variante, il peut aussi y avoir une ligne du genre

[b]Warning: possible TDL3 rootkit infection ![/b]

A la fin du rapport.

[*][b][u]Méthode de désinfection:[/u][/b]
Plusieurs méthodes s'offrent à vous pour essayer de supprimer un rootkit TDSS. Voici les plus courantes.

[list][/list][*][u]Méthode N°1: TDSSKiller[/u]

[list][/list][*]Téléchargez [url=http://support.kaspersky.com/downloads/utils/tdsskiller.zip]TDSSKiller[/url] sur ton bureau et pas à un autre endroit.
[*]Faites un clique droit sur le fichier précédemment téléchargé puis cliquez sur [b]Extraire Tout[/b], [b]Suivant[/b], [b]Suivant[/b] et enfin cliquez sur [b]Terminer[/b].

[color=red][b]/!\ Déconnecte toi d'internet /!\[/b][/color]

[*]Lancez le fichier TDSSKiller (Clique droit/Exécuter en tant qu'administrateur pour Vista/7).
[img]http://support.kaspersky.com/images/support_new/5350-1-en.png[/img]
[*]Cliquez sur [b]Start scan[/b].
[*]Si des fichiers infectés sont trouvées, une nouvelle fenêtre va s'ouvrir.
[img]http://s.altrn.tv/s/0036eecc-6206-e011-aa71-0200d897d049_3_full.png[/img]
[*]Laissez les options par défaut.
[*]Cliquez sur [b]Continue[/b] puis sur [b]Reboot now[/b] pour redémarrer le PC si des infections ont été trouvées.
[*]Postez le rapport situé dans [b]C:\TDSSKillerVersion_Date_Time_log.txt[/b]

[*][u]Méthode N°2: TDSSRemover[/u]
[list][/list][*]Télécharge [url=http://www.esagelab.com/files/tdss_remover_latest.rar]TDSSRemover[/url]
[*]Extrait-le sur ton bureau dans un dossier nommé TDSSRemover (avec 7-zip par exemple)
[*]Double clique sur le fichier [b]remover.exe[/b] présent dans le dossier TDSSRemover (Clique droit/Exécuter en tant qu'administrateur pour Vista/7)
[*]Si un message apparait, clique sur [b]Yes[/b].
[*]Si des éléments apparaissent, clique sur [b]Select All[/b] puis sur [b]Delete/Repair Selected[/b].
[*]Clique sur [b]Yes[/b].
[*]L'ordi va redémarrer.

[*][u]Méthode 3: Malwarebytes Anti-Malware[/u]

[list][/list][*]Télécharges [url=http://www.01net.com/outils/telecharger/windows/Securite/anti-spam/fiches/tele44096.html]Malwarebytes[/url] sur ton bureau.
[*]Lance le. Laisse les options par défaut lors de l'installation. A la fin, il va se mettre à jour, laisse-le faire.
[*]Branche toutes tes sources de données externes à ton PC. (Clés USB...)
[*]Rends-toi dans l'onglet [b]Recherche[/b], clique sur [b]Exécuter un examen complet[/b] puis clique sur [b]Rechercher[/b].
[*]Sélectionnes tes disques durs et disques amovibles puis clique sur [b]Rechercher[/b].
[*]A la fin du scan, un rapport s'ouvre. Clique sur [b]Fichier[/b] puis [b]Enregistrer sous[/b]. Clique sur [b]Bureau[/b] et met le nom [b]Malwarebytes[/b].
[*]Si MalwareBytes détecte des infections, clique sur [b]Afficher les résultats[b], puis sur [b]Supprimer la sélection[/b].
[*]Si Malwarebytes te demande de redémarrer ton pc, clique sur [b]Oui[/b].


[*][b][u]Conclusion[/u][/b]
En conclusion, les rootkit sont des malwares très puissant et discret. Donc faites attention à ce que vous faites sur le web. En cas de problèmes, je pas hésiter à poster dans la section désinfection.

Salut!

[b][u]Voilà mon premier tuto sur les rootkits TDSS.[/u][/b]

[list][*][b][u]Définition:[/u][/b]
Un rootkit est tout d'abord un malware. Un rootkit est un malware très difficile à désinfecter et à repérer car généralement, il se greffe dans le "noyau" (coeur) de Windows. Il s'approprie tous les droits du système et de ce fait, tout les programmes doivent passer par lui pour s’exécuter (y compris les antivirus :( )

[*][b][u]But:[/u][/b]
L'un des but principaux du rootkit est donc de se greffer sur le système et surtout de cacher d'autres programmes malveillant, d'autres pirates... et qui seront aussi invisibles.

[*][b][u]Symptômes:[/u][/b]
Un rootkit est très discret. Les principaux symptômes sont donc les suivants: ralentissements globaux du système, redirection lors de recherches google, Logiciels de sécurité bloqués...

[*][b][u]Détection:[/u][/b]
Si vous avez les mêmes symptômes que ci-dessus et que vous pensez que votre système est atteint par un rootkit, suivez la procédure suivant.

[list][*]Téléchargez [url=https://www.sosvirus.net/telecharger/zhpdiag/]ZHPDiag[/url] (de Nicolas coolman) sur ton bureau.
[*]Un fois le téléchargement terminé, double cliquez sur [b]ZHPDiag.exe[/b] et suivez les instructions d'installation. (Clique droit/Exécuter en tant qu'administrateur pour Vista/7).
[*]Cochez la case [b]Créer une icône sur le bureau[/b] lors de l'installation.
[*]A la fin de l'installation, ZHPDiag va se lancer tout seul.
[*]Cliquez sur l'icône représentant une loupe.
[*]En fin de scan, un rapport apparait.[/list]

Dans le rapport recherchez les lignes suivantes.
[b]---\\ Internet Feature Controls (O81)
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe[/b]

Un rootkit TDSS est souvent reconnaissable grave à ces lignes.
Suivant la variante, il peut aussi y avoir une ligne du genre

[b]Warning: possible TDL3 rootkit infection ![/b]

A la fin du rapport.

[*][b][u]Méthode de désinfection:[/u][/b]
Plusieurs méthodes s'offrent à vous pour essayer de supprimer un rootkit TDSS. Voici les plus courantes.

[list][*][u]Méthode N°1: TDSSKiller[/u]

[list][*]Téléchargez [url=http://support.kaspersky.com/downloads/utils/tdsskiller.zip]TDSSKiller[/url] sur ton bureau et pas à un autre endroit. 
[*]Faites un clique droit sur le fichier précédemment téléchargé puis cliquez sur [b]Extraire Tout[/b], [b]Suivant[/b], [b]Suivant[/b] et enfin cliquez sur [b]Terminer[/b]. 

[color=red][b]/!\ Déconnecte toi d'internet /!\[/b][/color]

[*]Lancez le fichier TDSSKiller (Clique droit/Exécuter en tant qu'administrateur pour Vista/7). 
[img]http://support.kaspersky.com/images/support_new/5350-1-en.png[/img]
[*]Cliquez sur [b]Start scan[/b]. 
[*]Si des fichiers infectés sont trouvées, une nouvelle fenêtre va s'ouvrir.
[img]http://s.altrn.tv/s/0036eecc-6206-e011-aa71-0200d897d049_3_full.png[/img]
[*]Laissez les options par défaut.
[*]Cliquez sur [b]Continue[/b] puis sur [b]Reboot now[/b] pour redémarrer le PC si des infections ont été trouvées.
[*]Postez le rapport situé dans [b]C:\TDSSKillerVersion_Date_Time_log.txt[/b][/list]

[*][u]Méthode N°2: TDSSRemover[/u]
[list][*]Télécharge [url=http://www.esagelab.com/files/tdss_remover_latest.rar]TDSSRemover[/url]
[*]Extrait-le sur ton bureau dans un dossier nommé TDSSRemover (avec 7-zip par exemple)
[*]Double clique sur le fichier [b]remover.exe[/b] présent dans le dossier TDSSRemover (Clique droit/Exécuter en tant qu'administrateur pour Vista/7)
[*]Si un message apparait, clique sur [b]Yes[/b].
[*]Si des éléments apparaissent, clique sur [b]Select All[/b] puis sur [b]Delete/Repair Selected[/b].
[*]Clique sur [b]Yes[/b].
[*]L'ordi va redémarrer.[/list]

[*][u]Méthode 3: Malwarebytes Anti-Malware[/u]

[list][*]Télécharges [url=http://www.01net.com/outils/telecharger/windows/Securite/anti-spam/fiches/tele44096.html]Malwarebytes[/url] sur ton bureau.
[*]Lance le. Laisse les options par défaut lors de l'installation. A la fin, il va se mettre à jour, laisse-le faire. 
[*]Branche toutes tes sources de données externes à ton PC. (Clés USB...)
[*]Rends-toi dans l'onglet [b]Recherche[/b], clique sur [b]Exécuter un examen complet[/b] puis clique sur [b]Rechercher[/b].
[*]Sélectionnes tes disques durs et disques amovibles puis clique sur [b]Rechercher[/b].
[*]A la fin du scan, un rapport s'ouvre. Clique sur [b]Fichier[/b] puis [b]Enregistrer sous[/b]. Clique sur [b]Bureau[/b] et met le nom [b]Malwarebytes[/b].
[*]Si MalwareBytes détecte des infections, clique sur [b]Afficher les résultats[b], puis sur [b]Supprimer la sélection[/b].
[*]Si Malwarebytes te demande de redémarrer ton pc, clique sur [b]Oui[/b].[/list][/list]

[*][b][u]Conclusion[/u][/b]
En conclusion, les rootkit sont des malwares très puissant et discret. Donc faites attention à ce que vous faites sur le web. En cas de problèmes, je pas hésiter à poster dans la section désinfection.[/list]

@+