Pour supprimer le rogue suivre les indications de la page suivante : http://forum.malekal.com/supprimer-les- ... t5472.html
Le fond d'écran est modifié avec le message rouge "Your System is infected!".
Au démarrage une popup se lance au démarrage avec le message "Your computer is making unauthorized copies of your system and Internet files.
You should imidatly run full scan your system to prevent any unauthorized access to your data.
Click Yes to run Antivirus scaner right now".
Informations et suppression de Antivirus 2010
Voici quelques éléments d'informations concernant l'infection du rogue Antivirus 2010 qui peut poser des problèmes.
L'infection est composé :
- d'un service userinit qui lance un fichier C:\Windows\system32\us?rinit.exe (noté le ?) - L'explorateur de fichier ne permet pas d'afficher les fichiers unicode. Ce fichier est le rogue en lui même.
- d'un driver type Trojan.KillAV qui empêche l'execution des antivirus et divers fix - le nom change selon les variantes (mvb35316, vbmab2ea, cxrua9f8 etc).
- une dll ms*.dll
c:\WINDOWS\system32\msofirvv.dll
Date: 8/19/2004 5:09 PM
Size: 273 856 bytes
c:\WINDOWS\system32\us?rinit.exe
Date: 8/19/2004 5:10 PM
Size: 147 456 bytes
c:\WINDOWS\system32\drivers\vbmab2ea.sys
Date: 8/19/2004 5:09 PM
Size: 16 384 bytes
Le rogue est présent dans ajout/suppression de programmes.
Cela désinstalle le rogue avec les alertes mais ne supprime pas le driver qui bloque les antivirus).
La commande lancée est : \\.\globalroot\systemroot\system32\us?rinit.exe /uninstall
Comme le montre la vidéo suivante, supprimer le driver (Trojan.KillAV) ne suffit pas puisque ce dernier trifouille les permissions des executables, on obtient alors des messages du type :
Supprimer Antivirus 2010
La procédure de suppression consiste à :
- Désinstaller le rogue.
- Supprimer le service du driver malicieux et redémarrer (il ne sera plus actif) - GMER permet de le faire aisement.
- Remettre les permissions sur les executables des antivirus afin de rendre leur execution possible
Quelques remarques sur la vidéo :
- La suppression du driver peut se faire à partir d'un CD Live type OTLPE ou CD Live de scan Antivirus comme : Antivir Rescue System.
- Par défaut, les options de partage simple ne sont pas disponibles sur XP Home. Pour ajouter le partage simple sur XP Home :
- Téléchargez ce fichier ftp://ftp.microsoft.com/bussys/winnt/wi ... cesp4i.exe (mirroir : http://download.microsoft.com/msdownloa ... cesp4i.exe)
- Décompressez le fichier en executant
- Faites un clic droit sur Setup.inf puis Installer
- Répondre Non à tous sur les fenêtres.
- Redémarrez l'ordinateur
Hey malware guyz ! I really like This One !C:\Documents and Settings\Mak\Bureau>cacls procexp.exe /P "Tout le monde:F"
Êtes-vous sûr (O/N) ?o
fichier traité : C:\Documents and Settings\Mak\Bureau\procexp.exe
EDIT JANVIER 2011 SUR LA SUPRESSION
Le malware ajoute une DLL qui permet de remettre en place le rootkit (et sa clef service).
Exemple sur cette variante : http://forum.malekal.com/http-yengclod- ... 30762.html
La DLL ajoutée :
La clef suivante est modifiée afin de la charger :c:\WINDOWS\WinSxS\x86_Microsoft.Windows.Shell.HWEventDetector_6595b64144ccf1df_5.2.2.3_x-ww_5390e909\shsvcs.dll
Date: 5/6/2010 6:07 PM
Size: 8 704 bytes
L'emplacement est aléatoire et est déterminé par la clef : c:\WINDOWS\WinSxS\x86_Microsoft.Windows.Shell.HWEventDetector_6595b64144ccf1df_5.2.2.3_x-ww_5390e909\HKEY_CLASSES_ROOT\CLSID\{4FA18276-912A-11D1-AD9B-00C04FD8FDFF}\InprocServer32 "(Default)"
Old type: REG_SZ
New type: REG_EXPAND_SZ
Old data: C:\WINDOWS\System32\wbem\wbemcore.dll
New data: winSxS\x86_Microsoft.Windows.Shell.HWEventDetector_6595b64144ccf1df_5.2.2.3_x-ww_5390e909\shsvcs.dll
Détection du fichier :
http://www.virustotal.com/file-scan/rep ... 1292788473
Il est recommandé, suite à une modification de l'infection de procéder ainsi :File name: shsvcs.dll
Submission date: 2010-12-19 19:54:33 (UTC)
Current status: finished
Result: 29 /43 (67.4%)
VT Community
not reviewed
Safety score: -
Compact
Print results
Antivirus Version Last Update Result
AhnLab-V3 2010.12.20.00 2010.12.19 Trojan/Win32.PMax
AntiVir 7.11.0.84 2010.12.19 TR/Sirefef.F
Antiy-AVL 2.0.3.7 2010.12.19 Trojan/Win32.PMax.gen
Avast 4.8.1351.0 2010.12.19 -
Avast5 5.0.677.0 2010.12.19 -
AVG 9.0.0.851 2010.12.19 -
BitDefender 7.2 2010.12.19 Rootkit.Sirefef.D
CAT-QuickHeal 11.00 2010.12.19 Trojan.PMax.l
ClamAV 0.96.4.0 2010.12.19 -
Command 5.2.11.5 2010.12.19 -
Comodo 7119 2010.12.19 UnclassifiedMalware
DrWeb 5.0.2.03300 2010.12.19 -
Emsisoft 5.1.0.1 2010.12.19 Trojan.Win32.PMax!IK
eSafe 7.0.17.0 2010.12.19 Win32.GenHeur.Hype.A
eTrust-Vet 36.1.8048 2010.12.17 -
F-Prot 4.6.2.117 2010.12.19 -
F-Secure 9.0.16160.0 2010.12.19 Rootkit.Sirefef.D
Fortinet 4.2.254.0 2010.12.19 W32/PMax.L!tr
GData 21 2010.12.19 Rootkit.Sirefef.D
Ikarus T3.1.1.90.0 2010.12.19 Trojan.Win32.PMax
Jiangmin 13.0.900 2010.12.19 Trojan/PMax.c
K7AntiVirus 9.73.3286 2010.12.18 -
Kaspersky 7.0.0.125 2010.12.19 Trojan.Win32.PMax.l
McAfee 5.400.0.1158 2010.12.19 Generic.dx!uyi
McAfee-GW-Edition 2010.1C 2010.12.19 Generic.dx!uyi
Microsoft 1.6402 2010.12.19 Trojan:Win32/Sirefef.F
NOD32 5716 2010.12.19 probably a variant of Win32/Kryptik.YQ
Norman 6.06.12 2010.12.19 W32/Crypt.ATWZ
nProtect 2010-12-19.01 2010.12.19 -
Panda 10.0.2.7 2010.12.19 Generic Trojan
PCTools 7.0.3.5 2010.12.19 Trojan.Gen
Prevx 3.0 2010.12.19 Medium Risk Malware
Rising 22.78.05.00 2010.12.19 -
Sophos 4.60.0 2010.12.19 Mal/Generic-L
SUPERAntiSpyware 4.40.0.1006 2010.12.19 -
Symantec 20101.3.0.103 2010.12.19 Trojan.Gen.2
TheHacker 6.7.0.1.101 2010.12.15 -
TrendMicro 9.120.0.1004 2010.12.19 TROJ_GEN.R42C1KR
TrendMicro-HouseCall 9.120.0.1004 2010.12.19 TROJ_GEN.R42C1KR
VBA32 3.12.14.2 2010.12.17 Trojan.PMax.l
VIPRE 7721 2010.12.19 Trojan.Win32.Generic!BT
ViRobot 2010.12.18.4208 2010.12.19 -
VirusBuster 13.6.102.0 2010.12.19 Trojan.PMax!M2UYdefnRIA
Additional information
Show all
MD5 : 9d5476b69e2208bf90de9564f98d14af
SHA1 : 44fb74eb3a5800fb715eaf17f56623c392289239
SHA256: 94cf252ca199f9f576ef123fdeaf34c0c00633c9d9c064c3abff7b63b8e6ab74
- Sur le service du rootkit en rouge, faites un clic droit puis Disable Service.
- Redémarrer l'ordinateur
- Renommer le driver du rootkit : C:\Windows\System32\Drivers\vbmab2ea.sys => C:\Windows\System32\Drivers\vbmab2ea.old
- Renommer : c:\WINDOWS\WinSxS\x86_Microsoft.Windows.Shell.HWEventDetector_6595b64144ccf1df_5.2.2.3_x-ww_5390e909\shsvcs.dll en shsvcs.old (bien entendu, l'emplacement de la clef est aléatoire et déterminé par la clef HKEY_CLASSES_ROOT\CLSID\{4FA18276-912A-11D1-AD9B-00C04FD8FDFF}\InprocServer32).
- Redémarrez l'ordinateur
- Effectuez un scan de désinfection.
