Bagle - de chiki a moe

Re,

Et si c'était "appdata\driv ..." (tronqué) ; ce qui donne un répertoire comme là-dedans:
http://translate.google.be/...

(il y a d'autres exemples pareils rencontrés)

Je ne trouve rien d'autre.
Désolé.

Al.

Salut Cédric,

Tout d'abord, merci pour tes explications, sache que je comprends tout à fait tes choix...

Je trouve vraiment judicieuses les modifications que tu as apporté à FYK depuis les dernières versions, le rapport est on ne peut plus clair, net et concis, et a énormément gagné en lisibilité, en taille sans affecter l'essentiel de ce qu'il doit contenir.
Le fait de passer la recherche de crack en option supplémentaire est aussi une très bonne idée car du coup l'outil gagnera en rapidité d'exécution et le rapport en clarté/taille, ce qui n'est pas négligeable :-)

Concernant tes questions, mieux vaut les aborder point par point, ce sera plus facile :-)

Donc première chose, le header et aujourd'hui il ressemble à ceci :

# User : Chiki - PC-DE-TEST
# Executed from : C:\Program Files\FindyKill
# Update on 29/01/09Nby Chiquitine29
# Start at 5:54:47 the 29/01/2009
# Windows Vista - Internet Explorer 7.0.6000.16764

Montre moi ce à quoi tu voudrais qu'il ressemble exactement et je verrais ce que je peux faire d'ici à ce we, en VBS et via WMI.
Pour ma part c'est la seule méthode que je connaisse et la plus rapide pour détecter l'av/fw et son status.


breff , l objectif ( dans ma tete ) serait de rendre l av et le firewall actif apres passage de kill

Très franchement, je ne crois pas que le jeu en vaille la chandelle cédric.
Bagle modifie les *.exe des AV/FW, théoriquement il est possible de les réparer car la modif n'est pas un écrasement total du fichier remplacé par le code du ver, mais une simple petite modif permettant à l'exe de ne plus être reconnu en tant que tel, ce qui génère le fameux message "...n'est pas une application Win32 valide" lorqu'on tente de l'exécuter.
Le problème c'est qu'une fois ces *.exe réparés, j'ai constaté pour ma part que beaucoup d'AV n'acceptaient pas cette réparation et refusaient que l'exe soit exécuté.
C'est du je pense à une auto-protection de l'av contre la modification de ses fichiers.
Donc finalement tu te retrouverais exactement dans la même position qu'au départ.
Puis, vu que l'AV et le FW sont des pièces maitresses de la protection du pc, ne vaut-il pas mieux les faire réinstaller proprement avec des versions clean, plutôt que de prendre le risque de mal réparer et de laisser des protections bancales ?


je pense que t as vu , ausi winupgro et a.bat dans system32 ... ? ce qui me choque c est que ça été un oubli .
Oui j'ai vu.
Un oubli par qui ? Les tools de déinfection ?
Si cette variante n'est passé que très rapidement, c'est comprehensible car ce n'est évident d'être réactif au jour près...
Possible que ce soit passé au travers, mais bon en même temps cet oubli ne portait pas à conséquence au niveau d'une réinfection, donc si le tir a été rectfié depuis, ce n'est pas très grave.

Concernant appdata\driv, je n'ai pas d'info moi non plus mais je vais me renseigner auprès d'un contact en italie et je te tiens au courant si c'est positif.

@+ tard !

Re,

Salut Chiquitine et mOe,

Cit. « une option 4 a été rajoutée à la version V4.715 »

Merci
Al.

Hi,hi

Il faut le plus beau costume à cet outil remarquable.

Al.

bjr (enfin la il est 1h du mat ^^) , bjr Chiquitine29


moi je viens de m'apercevoir que mon antivirus ne voulait plus se lancer du moins application win32 non valide
j'ai un peu fouiner internet j'ai o moins réussi au bout de plus de 4heure a trouver mbam qui m'a permis de retrouver mon son déjà sur skype etc, mais findykill pa trop envie de faire de bourde ^^ vu que tout mes logiciel de sécurité ne veulent tjr pas se lancer je pose le rapport de recherche:

############################## [ FindyKill V4.721 ] 

# User : Administrateur (Administrateurs) # TITANIUM
# Update on 29/03/09 by Chiquitine29
# Start at: 00:42:29 | 31/03/2009
# Website : http://pagesperso-orange.fr/FindyKill.Ad.Remover/

# AMD Athlon(tm) XP 2000+
# Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 2
# Internet Explorer 6.0.2900.2180
# Windows Firewall Status : Enabled

# C:\ # Disque fixe local # 40,13 Go (11,25 Go free) # NTFS
# D:\ # Disque fixe local # 1,5 Go (996,53 Mo free) [XP GOLD] # FAT32
# E:\ # Disque fixe local # 53,3 Go (21,75 Go free) # NTFS
# F:\ # Disque fixe local # 47,96 Go (18,2 Go free) [DOC MYK] # FAT32
# G:\ # Disque fixe local # 46,98 Go (25,08 Go free) [EMULE] # FAT32
# H:\ # Disque CD-ROM
# I:\ # Disque fixe local # 465,76 Go (40,24 Go free) [Externe 500] # NTFS
# J:\ # Disque CD-ROM
# K:\ # Disque CD-ROM
# L:\ # Disque CD-ROM
# M:\ # Disque CD-ROM
# N:\ # Disque CD-ROM
 
############################## [ Processus actifs ] 
 
E:\WINDOWS\System32\smss.exe
E:\WINDOWS\system32\csrss.exe
E:\WINDOWS\system32\winlogon.exe
E:\WINDOWS\system32\services.exe
E:\WINDOWS\system32\lsass.exe
E:\WINDOWS\system32\svchost.exe
E:\WINDOWS\system32\svchost.exe
E:\WINDOWS\System32\svchost.exe
E:\Program Files\TGTSoft\StyleXP\StyleXPService.exe
E:\WINDOWS\system32\svchost.exe
E:\WINDOWS\system32\svchost.exe
E:\WINDOWS\Explorer.EXE
E:\WINDOWS\system32\spoolsv.exe
E:\WINDOWS\SOUNDMAN.EXE
E:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
E:\WINDOWS\system32\RUNDLL32.EXE
E:\Program Files\Java\jre6\bin\jqs.exe
E:\Program Files\Java\jre6\bin\jusched.exe
E:\Program Files\Skype\Phone\Skype.exe
E:\WINDOWS\system32\nvsvc32.exe
E:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
E:\Program Files\DAEMON Tools Lite\daemon.exe
E:\Program Files\TGTSoft\StyleXP\StyleXP.exe
F:\EA GAMES\Need for Speed Undercover\PB\PnkBstrA.exe
E:\WINDOWS\system32\svchost.exe
E:\WINDOWS\system32\wdfmgr.exe
E:\WINDOWS\System32\alg.exe
E:\WINDOWS\system32\wscntfy.exe
E:\Program Files\Skype\Plugin Manager\skypePM.exe
E:\Program Files\Malwarebytes' Anti-Malware\mbamservice.exe
E:\Program Files\Malwarebytes' Anti-Malware\mbamgui.exe
E:\Program Files\Mozilla Firefox\firefox.exe
E:\WINDOWS\system32\wbem\wmiprvse.exe
 
################## [ Fichiers / Dossiers infectieux E:\ ] 
 
 
################## [ E:\WINDOWS & E:\WINDOWS\Prefetch ] 
 
 
################## [ E:\WINDOWS\system32 ] 
 
 
################## [ E:\WINDOWS\system32\drivers ] 
 
 
################## [ E:\.. Application Data ... ] 
 
Found ! - "E:\Documents and Settings\Administrateur\Application Data\drivers" 
Found ! - "E:\Documents and Settings\Administrateur\Application Data\drivers\downld" 
 
################## [ E:\Users...\Temp Files... ] 
 
 
################## [ Registre / Clés infectieuses ] 
 
Found ! - HKEY_USERS\S-1-5-21-299502267-573735546-725345543-500\Software\Local AppWizard-Generated Applications\MsnMsgr  
Found ! - HKEY_USERS\S-1-5-21-299502267-573735546-725345543-500\Software\bisoft  
Found ! - HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\MsnMsgr  
Found ! - HKEY_CURRENT_USER\Software\bisoft  
 
 
################## [ Recherche dans supports amovibles] 
 
# Présence des fichiers : 

 
################## [ Registre / Mountpoint2 ] 
 
# -> Not found !  
 
################## [ ! Fin du rapport # FindyKill V4.721 ! ]  
 

Found ! - "E:\Documents and Settings\Administrateur\Application Data\drivers"
Found ! - "E:\Documents and Settings\Administrateur\Application Data\drivers\downld"

avec malwarebytes anti-malware dans (disk racine)Documents and Settings\Administrateur\Application Data\drivers il y avait un truc qui s'était installer il restait srosa2.sys il a été supprimer et la j'ai un autre juste un document vide , tss si je le supprime ^^ non car drivers dans application data logiquement il y'en as pas ?

tout ça pour avoir voulu trouver un patch fr pour conqueror expansion grr marre des malin qui ... mette des mauvais truc=)


ben j'espère avoir une repose très rapidement stp (connait les passionner d'ordi jamais sans son ordi xd) ^^