Votre question

[Résolu]RKIT/Bubnix.S

Tags :
  • Windows 7
  • Sécurité
Dernière réponse : dans Sécurité et virus
19 Mai 2010 14:13:03

Bonjour à tous et merci de votre aide.

Il y a deux jours, Antivir a détecté des attaques sur mon ordi alors que j'essayais de consulter un site tout à fait normal. Depuis, il me détecte fréquemment RKIT/Bubnix.S et ne semble pas réussir à le supprimer.

Pouvez-vous me donner la marche à suivre pour m'en débarrasser ?

Merci !

Aulili

Autres pages sur : resolu rkit bubnix

a c 296 8 Sécurité
a b $ Windows 7
19 Mai 2010 14:17:37

Bonjour,

  • Télécharge OTL (de OldTimer) sur ton Bureau.
  • Double-clique sur OTL pour le lancer.
    (Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)
  • Une fenêtre apparaît. Dans la section Rapport en haut de cette fenêtre, coche Rapport minimal.
  • Coche également les cases à côté de Recherche Lop et Recherche Purity.
  • Enfin, clique sur le bouton Analyse. Le scan ne prendra pas beaucoup de temps.
  • Une fois l'analyse terminée, deux fenêtres vont s'ouvrir dans le Bloc-notes : OTL.txt et Extras.txt. Ils se trouvent au même endroit que OTL (donc par défaut sur le Bureau).

    Pour me transmettre les rapports :
  • Clique sur ce lien : http://www.cijoint.fr/
  • Clique sur Parcourir... et cherche le fichier du rapport que tu souhaites me transmettre.
  • Clique sur Ouvrir.
  • Clique sur Cliquez ici pour déposer le fichier.
  • Un lien de cette forme, hxxp://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt, est ajouté dans la page.
  • Copie-colle ce lien dans ta réponse.
    19 Mai 2010 14:26:22

    Merci de votre aide !


    Voilà le rapport OTL.txt. Par contre, pas la moindre trace de Extras.txt... Désolée !

    J'espère que ça ira quand même !

    Aulili
    Contenus similaires
    a c 296 8 Sécurité
    a b $ Windows 7
    19 Mai 2010 14:38:35

    Ok, je vois un rootkit.

    [#ff0000]/!\ Désactive tes protections résidentes (Antivirus, etc...) /!\[/#f]

  • Télécharge ComboFix ([#ff0000]sUBs[/#f]) sur ton Bureau.
  • Double-clique sur ComboFix.exe (le .exe n'est pas forcément visible) afin de le lancer.
  • Il va te demander d'installer la console de récupération : accepte.
  • Lorsque la recherche sera terminée, un rapport apparaîtra. Poste ce rapport (C:\Combofix.txt) dans ta prochaine réponse.

    Pour t'aider : Un guide et un tutoriel sur l'utilisation de ComboFix
    19 Mai 2010 15:00:01

    Voilà !

    Il y a eu une erreur à la fin - Windows ne trouvait pas un disque, apparemment...

    Voilà quand même le rapport : Combofix.txt.
    a c 296 8 Sécurité
    a b $ Windows 7
    19 Mai 2010 15:08:55

    /!\ Seul aulili peut suivre cette procédure /!\

    Désactive toute protection résidente (Antivirus...) !

    ---> Copie (CTRL+C) le texte se situant dans le cadre ci-dessous :

    KillAll::

    File::
    c:\windows\system32\drivers\ycoejh.sys
    c:\windows\system32\config\systemprofile\Application Data\rbuwzv.dat

    Registry::
    [-HKEY_LOCAL_MACHINE\System\ControlSet001\Services\ycoejh]

    ---> Ouvre le Bloc-notes : Démarrer > Tous les programmes > Accessoires > Bloc-notes.

    - Colle (CTRL+V) le texte dans le Bloc-notes.
    - Enregistre ce fichier dans : Bureau
    - Nom du fichier : CFScript
    - Type du fichier : tous les fichiers !!
    - Clique sur Enregistrer.
    - Quitte le Bloc-notes.

    ---> Fais un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture :



  • Cela va relancer Combofix : au message qui apparaît, accepte.
  • Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal !
  • Ne touche à rien tant que le scan n'est pas terminé.
  • Une fois le scan achevé, un rapport va s'afficher, copie/colle son contenu sur le forum.
  • Si le fichier ne s'ouvre pas, il se trouve ici : C:\ComboFix.txt

    ;) 
    19 Mai 2010 15:19:39

    Alors, j'ai bien fait ce que vous m'aviez dit, mais Combofix affiche :

    'NIRCMDC' n'est pas reconnu en tant que commande interne ou externe, un programme exécutable ou un fichier de commandes.


    Il semble attendre une réponse de ma part (curseur clignotant).

    Je fais quoi ?
    a c 296 8 Sécurité
    a b $ Windows 7
    19 Mai 2010 15:21:03

    Ce n'est pas normal, le fichier CFScript contient quoi ?
    19 Mai 2010 15:24:28

    J'ai fait un copier-coller de ce que vous m'aviez mis, à savoir :
    Citation :
    KillAll::

    File::
    c:\windows\system32\drivers\ycoejh.sys
    c:\windows\system32\config\systemprofile\Application Data\rbuwzv.dat

    Registry::
    [-HKEY_LOCAL_MACHINE\System\ControlSet001\Services\ycoejh]


    J'ai refait un copier coller à l'envers en partant du fichier sur mon bureau, histoire d'être sûre que je me suis pas plantée...
    a c 296 8 Sécurité
    a b $ Windows 7
    19 Mai 2010 15:29:02

    Tu as réessayé ?
    19 Mai 2010 15:31:22

    Non, j'attendais de savoir ce qu'il fallait faire. J'y retourne, alors !
    19 Mai 2010 16:14:54

    Bizarre...Y'a pas eu de soucis la seconde fois.

    Voilà le rapport : Combofix.txt.

    Aulili
    a c 296 8 Sécurité
    a b $ Windows 7
    19 Mai 2010 17:19:17

    Plus de souci ?

  • Menu Démarrer > Exécuter > Tape ComboFix /uninstall et valide.

  • Télécharge Malwarebytes' Anti-Malware (MBAM) sur ton Bureau.
  • Double-clique sur le fichier téléchargé pour lancer le processus d'installation.
  • Dans l'onglet Mise à jour, clique sur le bouton Recherche de mise à jour : si le pare-feu demande l'autorisation à MBAM de se connecter à Internet, accepte.
  • Une fois la mise à jour terminée, rends-toi dans l'onglet Recherche.
  • Sélectionne Exécuter un examen rapide.
  • Clique sur Rechercher. L'analyse démarre.
  • A la fin de l'analyse, un message s'affiche :
    Citation :
    L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.

  • Clique sur OK pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
  • Ferme tes navigateurs.
  • Si des malwares ont été détectés, clique sur Afficher les résultats.
  • Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre infectés et en mettre une copie dans la quarantaine.
  • MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport dans ta prochaine réponse.
    19 Mai 2010 19:27:25

    MBAM n'a rien trouvé. Par contre, Antivir (que je n'avais pas désactivé après le redémarrage fait par Combofix - oublié !) a détecté RKIT/bubnix.s à quatre reprises pendant le scan :

    C:\System Volume Information\_restore{F75EEC69-6E97-419B-93B4-6A3A275301C4}\RP579\A0113672.sys
    C:\System Volume Information\_restore{F75EEC69-6E97-419B-93B4-6A3A275301C4}\RP579\A0113672.sys
    C:\Qoobox\Quarantine\C\WINDOWS\system32\drivers\ycoejh.sys.vir
    C:\Qoobox\Quarantine\C\WINDOWS\system32\drivers\ycoejh.sys.vir

    Il me détecte toujours tout deux, fois, je ne sais pas pourquoi. Ce que je sais, par contre, c'est que les premiers sont des points de restauration (donc je vais désactiver/réactiver la restauration système et créer un nouveau point) et que les autres semblent faire partie de Combofix. C'est les fichiers qu'il a supprimés, non ?

    Voilà le rapport de MBAM

    Malwarebytes' Anti-Malware 1.46
    www.malwarebytes.org

    Version de la base de données: 4117

    Windows 5.1.2600 Service Pack 3
    Internet Explorer 8.0.6001.18702

    19/05/2010 19:15:20
    mbam-log-2010-05-19 (19-15-20).txt

    Type d'examen: Examen complet (C:\|D:\|G:\|)
    Elément(s) analysé(s): 259188
    Temps écoulé: 1 heure(s), 52 minute(s), 38 seconde(s)

    Processus mémoire infecté(s): 0
    Module(s) mémoire infecté(s): 0
    Clé(s) du Registre infectée(s): 0
    Valeur(s) du Registre infectée(s): 0
    Elément(s) de données du Registre infecté(s): 0
    Dossier(s) infecté(s): 0
    Fichier(s) infecté(s): 0

    Processus mémoire infecté(s):
    (Aucun élément nuisible détecté)

    Module(s) mémoire infecté(s):
    (Aucun élément nuisible détecté)

    Clé(s) du Registre infectée(s):
    (Aucun élément nuisible détecté)

    Valeur(s) du Registre infectée(s):
    (Aucun élément nuisible détecté)

    Elément(s) de données du Registre infecté(s):
    (Aucun élément nuisible détecté)

    Dossier(s) infecté(s):
    (Aucun élément nuisible détecté)

    Fichier(s) infecté(s):
    (Aucun élément nuisible détecté)



    Question : comment faire pour éviter d'être à nouveau infectée par ce sympathique parasite ? Je pense avoir été infectée par un site tout ce qu'il y a de plus banal, fréquenté par plein d'autres internautes... Faut-il que j'installe un firewall ? Lequel ? Merci !
    a c 296 8 Sécurité
    a b $ Windows 7
    19 Mai 2010 19:29:26

    1/

  • Télécharge ToolsCleaner2 sur ton Bureau.
  • Double-clique sur ToolsCleaner2.exe pour le lancer.
  • Clique sur Recherche et laisse le scan agir.
  • Clique sur Suppression pour finaliser.
  • Tu peux, si tu le souhaites, te servir des Options Facultatives.
  • Clique sur Quitter pour obtenir le rapport.
  • Poste le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur (C:\).


    2/

  • Télécharge et installe CCleaner (N'installe pas la Yahoo! Toolbar).
  • Lance-le. Va dans Options puis Avancé et décoche la case Effacer uniquement les fichiers etc....
  • Va dans Nettoyeur, choisis Analyse. Une fois terminé, lance le nettoyage.


    3/

  • Il est nécessaire de désactiver puis réactiver la restauration système pour la purger.


    ==Prévention==

    Pour supprimer les popups d'AntiVir : Lien

    Conserve MBAM. Il te servira à scanner les fichiers douteux en complément de l'antivirus et scanne le disque dur régulièrement.

    Vérifie que les mises à jour automatiques sont bien activées (Menu Démarrer, clique droit sur Poste de travail, Propriétés, onglet Mises à jour automatiques).

    Par rapport au P2P : Lien

    Voici un dossier complet (A lire avec Adobe Reader ou Foxit Reader) : Lien


    ==Problème résolu ?==

    --> Si tu estimes que ton problème est résolu, ajoute [Résolu] au titre. Pour cela :
  • Clique, dans ton premier message, sur le bouton Editer .
  • Ajoute la mention [Résolu] devant le titre.
  • Clique ensuite sur Valider votre message.


    Sois plus vigilant(e) sur Internet ;) 
    19 Mai 2010 20:08:03

    C'est fait !

    Voilà le rapport :

    [ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

    --> Recherche:

    C:\Combofix.txt: trouvé !
    C:\Combofix: trouvé !

    ---------------------------------
    --> Suppression:

    C:\Combofix.txt: supprimé !
    C:\Combofix: supprimé !

    Merci pour votre aide !

    Aulili
    a c 296 8 Sécurité
    a b $ Windows 7
    19 Mai 2010 20:09:28

    Tu peux supprimer ToolsCleaner.
    Tom's guide dans le monde
    • Allemagne
    • Italie
    • Irlande
    • Royaume Uni
    • Etats Unis
    Suivre Tom's Guide
    Inscrivez-vous à la Newsletter
    • ajouter à twitter
    • ajouter à facebook
    • ajouter un flux RSS