Bagle - de chiki a moe

Résolu/Fermé
Utilisateur anonyme - 21 janv. 2009 à 22:13
 Utilisateur anonyme - 8 nov. 2009 à 22:46
Salut moe ,

/!\ Pour les personnes touchées par bagle , ce topic ne vous ai pas destiné ..

/!\ Pour les helpeurs , vous pouvez passer certains avis remontées ici


::

ça fais deja 15 jours \ 3 semaines que je pense a notre amis ,

je sais pertinament qu il y a des points a voir , genre kill 04

choses qui a été démarré.. et ensuite a travailler ..

néanmoins je voulais parler avec toi d un point particulier

je pensais dans la prochaine maj faire apparaitre l id windows le sp ,

c est pas vraiment important , mais surtout l av , le firewall et voir l as


et dire si actif ou pas .. (ceci m importe)

bien entendu j ai vu k.exe (killB) ou d autres methodes (certainements les memes) ,

combo , etc (vbs)

en outre j ai aucune notion en vbs , donc si on peut partager c cool

breff , l objectif ( dans ma tete ) serait de rendre l av et le firewall actif apres passage de kill

durant mes test , j ai remarqué que parfois antivir (que j utilise) ce reactive , donc j en suis venu a la conclusion que il y a

peut etre quelque choses a faire

ensuite je sais aussi que ceci n est pas tache evidente

j aurais aimé avoir ton avis , enfin surtout ton experience sur le sujet , car je pense que tu l as pensé avant moi

c est a dire rendre les protections actives apres kill

au sujet des samples que je voulais , j ai retiré usbfix , par contre si t es dans la capacité de me donner raila odinga je prend

je pense que t as vu , ausi winupgro et a.bat dans system32 ... ? ce qui me choque c est que ça été un oubli ..


courage pour le taff et encore merci pour les conseils etc
A voir également:

717 réponses

Utilisateur anonyme
2 juin 2009 à 12:40
OOOlllaaaaaa !!!!!! :)
0
crapoulou Messages postés 28163 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 25 février 2025 8 001
2 juin 2009 à 18:23
Hip hip hip ....
Merci pour l'avancée ;-).
0
Destrio5 Messages postés 85985 Date d'inscription dimanche 11 juillet 2010 Statut Modérateur Dernière intervention 17 février 2023 10 299
2 juin 2009 à 18:25
Evitez les messages inutiles s'il vous plaît ;)
0
Utilisateur anonyme
2 juin 2009 à 18:44
Tchou tchou !
--> Je suis d'accord.
0
Salut à tous,


Cédric, je te répondrais surement en plusieurs fois car en ce moment je ne suis pas souvent devant l'écran, faute de temps...
Je vais donc ne réagir qu'au au plus pressé pour l'instant, c'est à dire la detection zip/Md5.

Concernant les zip/rar, j'avoue que j'avais aussi pas mal galéré pour trouver la méthode la plus fiable et ça avait demandé pas mal d'essais avant d'arriver à un truc potable :-)...
Que ce soit avec izarce ou 7z, chacun des deux ont des inconvéniants qu'il est difficile de résoudre et c'est d'ailleurs pour cette raison que j'étais passé ensuite à Autoit.
Avec izarce c'est l'enfer pour lister le contenu des rar, même si tu y associes unrar3.dll.
A moins de faire volontairement l'impasse sur les rar, perso je te conseille d'éviter son utilisation.
Par contre avec les zip, il s'en sort à merveille et permet de lister correctement le crc, taille et nom de l'exe.
Et ce, indépendemment du nombre d'exe contenus dans l'archive.
7z lui s'en sort bien pour le listing des deux types d'archives à condition de ne pas oublier de placer 7z.dll (709 ko !) dans le même répertoire que 7z.exe.
Lorsque l'archive ne contient qu'un exe il est possible d'extraire assez facilement les infos concernant le crc, taille et nom, par contre si l'archive contient plusieurs exe...Ca se complique un peu...beaucoup !
Les résultats pouvant être faussés.

A mon avis si tu veux une fiabilité maxi sans avoir à extraire les exe des archives, soit :
- Tu fais l'impasse sur les rar et utilise izarce, il te suffira ensuite de comparer le crc obtenu avec ceux du *.def
- Tu utilise 7z tout en faisant l'impasse sur l'affichage de certaines infos (taille et nom de l'exe) et en ne gardant que le nom et chemin du zip+ crc.
Pour la seconde méthode il faudra ensuite vérifier si un des crc du *.def est trouvé parmis les infos retournées par 7z.

Sinon pour en revenir à ton code, il y a deux erreurs que tu peux corriger si tu veux le garder tel quel:
for %%a in (
   "%Userprofile%"
   "%allusersprofile%"
   ) do ( 
 for /f "tokens=*" %%b in ('dir /b /a /s "%%a".....') do (
.....))

Dans "%%a" il manque un tilde '%%~a' pour éviter d'avoir des guillemets en trop, inclus avec le nom des chemins.
Sinon, du moins sous xp ou j'ai fait les tests, ça renvois l'erreur chemin introuvable car la commande dir interprètera :
dir /b /a /s ""chemin"" au lieu de dir /b /a /s "chemin".
Tu saisis le principe ?

Ensuite lorsque tu fais un appel avec un call (call :Crc32 %%~b), là il faut que tu gardes toujours en mémoire à moins d'être sur à 100% du contenu de l'argument (%%~b) qu'il peut contenir un ou plusieurs espaces, donc au moindre doute tu entoure ton arguments de guillemets, sinon son contenu s'arrêtera au niveau du premier espace rencontré.
Donc tu dois adapter de cette façon : call :Crc32 "%%~b" pour que ton argument passe correctement.
Pour ma part même après ces deux corrections certains soucis de listing on persistés...

Si je suis le raisonnement de ton code Cédric, tu voudrais pouvoir lister les rar/zip de "%Userprofile%" et "%allusersprofile%", puis ensuite trouver un de ces "mots" dans le code de l'archive :
setup
run
crac
install
install_crack
install_patch
keygen
key_gen
key_generator
patch
serial

Et si la condition est vrai, renvoyer le chemin de l'archive en argument de call :Crc32 ?

En fait ton code recherche bien les mots crac, keygen, etc... Mais dans le nom\chemin de l'archive seulement et pas dans le "code" de l'archive, ce qui limite ton champ de recherche et zappera forcément pas mal d'archives bagle dont le nom ne contient pas forcément un de ces mots là.

Je t'ai mis un bout de code ci-dessous qui essaye de suivre au plus près ton raisonnement et pourras peut-être te servir :

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

Cette partie trouve les zip/rar grace à la recherche récursive de FOR /R dans ton dossier de départ, puis findstr va ensuite essayer de trouver un des "strings" dans le code de l'archive.
Si c'est positif, le chemin de l'archive est passé comme argument à call :Crc32
FOR /R "%Userprofile%" %%a in (*.zip *.rar) do (
findstr /i "crac\.exe install\.exe install_crack\.exe install_patch\.exe keygen\.exe key_gen\.exe key_generator\.exe run\.exe serial\.exe setup\.exe" "%%a">nul 2>&1 && call :Crc32 "%%a"
)

FOR /R "%allusersprofile%" %%a in (*.zip *.rar) do (
findstr /i "crac\.exe install\.exe install_crack\.exe install_patch\.exe keygen\.exe key_gen\.exe key_generator\.exe run\.exe serial\.exe setup\.exe" "%%a">nul 2>&1 && call :Crc32 "%%a"
)

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

Là, je t'ai juste rajouté un filtre de taille qui peut te permettre de faire scanner ou pas une archive en fonction d'une taille butoir à ne pas dépasser.
Dans cet exemple j'ai bridé à 5mo maxi, mais tu pourras adapter plus bas en te laissant une petite marge.
Le but étant d'éviter d'avoir de très grosses archives à faire scanner par 7z.exe et se rapprocher au plus juste des tailles maxi des zip sources.
Après, si l'archive contient un exe, via 7z on récupère le\les crc et on le/les recherche dans le *.def.
Si la recherche est positive les infos sont affichées dans le rapport et il sera possible aussi à partir de là, d'automatiser dans la foulée la suppression de l'archive.
:Crc32

if "%~1"=="" goto :eof
for %%a in ("%~1") do if /I "%%~za" GTR "5242880" goto :eof

for /f "tokens=3" %%g in ('tools\7z.exe l -slt "%~1" *.exe ^| find /i "CRC ="') do find /i "%%g"<tools\RefMD5.def>nul 2>&1 &&(
echo # %~1>>%Rapport%
echo # Contain file with Bagle CRC32 : %%g >>%Rapport%
echo.>>%Rapport%
)
goto :eof


Voilà pour les archives, j'essayerais ce soir de regarder de plus près ta procédure pour les md5 et je te tiens au courant dès que possible.

Bonne fin de semaine à tous et @++
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Utilisateur anonyme
3 juin 2009 à 14:14
Salut Olivier ,


Merci pour ce post instructif ! ;)

----------------

la methode actuelle de sniff crc32 est ainsi :

dir /a/b/s "%USERPROFILE%" "%PROGRAMFILES%" "%temp%"|findstr /i "\.zip$">>$zip1

if exist $zip1 for /f "tokens=*" %%a in ( $zip1 ) do if %%~za LEQ 5242880 echo.%%a>>$zip2

if exist $zip2 for /f "tokens=*" %%b in ( $zip2 ) do Call :CheckCrc32 "%%b"

if exist $zip3 for /f "tokens=1,2* delims=#" %%d in ( $zip3 ) do echo.%%e|findstr /i "%%e"<Tools\RefMD5.def>nul &&(

cls
echo.&echo.&echo.&echo Path : %%~dpd
echo.
echo.
echo ÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄ
echo.
echo.&echo File : %%~nxd&Call :Crc32 %%d >nul 2>nul )


########

:CheckCrc32

for /f "skip=5 tokens=8* delims= " %%c IN ('Tools\IZARCE -v %1') do echo.%1#%%c>>$zip3
goto :eof

########

:Crc32

for /f "tokens=1 delims= " %%f IN ('Tools\IZARCE -v %1 ^|findstr /i "\.exe"') do (

del /F /Q /S %1

if not exist %1 (
echo.%Del% %1 >>%Rapport%
echo.-^> Contain %%f ^| with Bagle Crc32 : %%e >>%Rapport%
echo.>>%Rapport%
) else (
echo.^(!^) %NoDel% %1 >>%Rapport%
echo.-^> Contain %%f ^| with Bagle Crc32 : %%e >>%Rapport%
echo.>>%Rapport%
))
goto :EOF

---------------------

Pour ma part je compte exclure les rar de la recherche... pour le simple et bonne raison que c est "rare" d en trouver d infectieux .. .

Donc le snif se ferait avec izarce , je trouve aussi important de coller des info comme la taille et l exe contenu ne serais ce que pour lecture ..... verif... .

en tout cas merci pour les infos du post precedent ;) t es genial Olivier .

En debut de soirée je te passerai une autre beta , quasi aboutie .

Bonne apres midi a toutes & tous
0
Utilisateur anonyme
3 juin 2009 à 16:40
Test F :




############################## | FindyKill V5.001 |

# User : Cédric (Administrateurs) # PC-DE-CÉDRIC
# Update on 02/06/09 by Chiquitine29
# Start at: 16:39:55 | 03/06/2009
# Website : http://pagesperso-orange.fr/NosTools/findykill.html

# AMD Turion(tm) 64 X2 Mobile Technology TL-52
# Microsoft® Windows Vista™ Édition Intégrale (6.0.6002 32-bit) # Service Pack 2
# Internet Explorer 8.0.6001.18702
# Windows Firewall Status : Enabled

# C:\ # Disque fixe local # 155,29 Go (103,35 Go free) [Vista Intégrale] # NTFS
# D:\ # Disque fixe local # 50,43 Go (50,34 Go free) # NTFS
# E:\ # Disque fixe local # 27,16 Go (27,08 Go free) # NTFS
# F:\ # Disque CD-ROM
# G:\ # Disque amovible # 1,92 Go (1,45 Go free) [USBFIX] # FAT
# H:\ # Disque fixe local # 232,88 Go (83,28 Go free) [Vidéothèque] # NTFS

############################## | Processus actifs |

C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\taskeng.exe
C:\Windows\RtHDVCpl.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Windows\system32\WUDFHost.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\eMule\emule.exe
C:\Program Files\Windows Media Player\wmpnetwk.exe
C:\Windows\system32\conime.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Windows Media Player\wmplayer.exe
C:\Windows\system32\wbem\wmiprvse.exe

################## | C: |


################## | C:\Windows |

Présent ! C:\Windows\Prefetch\159152.EXE-3CE907F0.pf
Présent ! C:\Windows\Prefetch\168059.EXE-440608D6.pf
Présent ! C:\Windows\Prefetch\286683.EXE-F9E8163A.pf
Présent ! C:\Windows\Prefetch\346805.EXE-8B60CCCF.pf
Présent ! C:\Windows\Prefetch\AUCTIONMAGIC 8.2.3 CRACK.EXE-6B7557E7.pf
Présent ! C:\Windows\Prefetch\AUCTIONMAGIC 8.2.3 CRACK.EXE-73E730CE.pf
Présent ! C:\Windows\Prefetch\AUCTIONMAGIC 8.2.3 CRACK.EXE-92F5F4F0.pf
Présent ! C:\Windows\Prefetch\AUCTIONMAGIC 8.2.3 CRACK.EXE-970ABDAC.pf
Présent ! C:\Windows\Prefetch\AUCTIONMAGIC 8.2.3 CRACK.EXE-DEFA2C04.pf
Présent ! C:\Windows\Prefetch\FLEC006.EXE-5E8ADAC7.pf

################## | C:\Windows\system32 |

Présent ! C:\Windows\system32\ban_list.txt
Présent ! C:\Windows\system32\mdelk.exe
Présent ! C:\Windows\system32\wintems.exe

################## | C:\Windows\system32\drivers |


################## | C:\Users\C‚dric\AppData\Roaming |

Présent ! C:\Users\C‚dric\AppData\Roaming\drivers
Présent ! C:\Users\C‚dric\AppData\Roaming\drivers\111wfs1intwq.sys
Présent ! C:\Users\C‚dric\AppData\Roaming\drivers\11s11ro1s1a2.sys
Présent ! C:\Users\C‚dric\AppData\Roaming\drivers\downld
Présent ! C:\Users\C‚dric\AppData\Roaming\drivers\winupgro.exe
Présent ! C:\Users\C‚dric\AppData\Roaming\m
Présent ! C:\Users\C‚dric\AppData\Roaming\m\data.oct
Présent ! C:\Users\C‚dric\AppData\Roaming\m\flec006.exe
Présent ! C:\Users\C‚dric\AppData\Roaming\m\list.oct
Présent ! C:\Users\C‚dric\AppData\Roaming\m\srvlist.oct
Présent ! C:\Users\C‚dric\AppData\Roaming\m\shared

################## | C:\Users\C‚dric\Temporary Internet Files |

Présent ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\5ZUKZNNI\b64[1].jpg
Présent ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\5ZUKZNNI\b64_3[1].jpg
Présent ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\A9M1RTI5\b64_1[1].jpg
Présent ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\RUZ1G9DN\B641F06A5C966D87E65657DF5A24[1].jpg
Présent ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\RUZ1G9DN\b64_1[1].jpg
Présent ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\RUZ1G9DN\b64_3[1].jpg
Présent ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\RUZ1G9DN\b64_6[1].jpg
Présent ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\RUZ1G9DN\file[1].txt
Présent ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\RUZ1G9DN\file[2].txt
Présent ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\V1BV5ST5\b64[1].jpg
Présent ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\V1BV5ST5\b64_1[1].jpg
Présent ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\V1BV5ST5\b64_1[2].jpg
Présent ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\V1BV5ST5\b64_3[1].jpg
Présent ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\V1BV5ST5\b64_3[2].jpg
Présent ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\V1BV5ST5\file[1].txt

################## | Registre / Clés infectieuses |

Présent ! [HKLM\SYSTEM\CurrentControlSet\Services\111111s1ro1s1a]
Présent ! [HKLM\SYSTEM\ControlSet001\Services\111111s1ro1s1a]
Présent ! [HKLM\SYSTEM\ControlSet003\Services\111111s1ro1s1a]
Présent ! [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_111111s1ro1s1a]
Présent ! [HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_111111s1ro1s1a]
Présent ! [HKLM\SYSTEM\ControlSet003\Enum\Root\LEGACY_111111s1ro1s1a]
Présent ! [HKCU\Software\bisoft]
Présent ! [HKCU\Software\DateTime4]
Présent ! [HKCU\Software\MuleAppData]
Présent ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] "drvsyskit"
Présent ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\Microsoft\Windows\CurrentVersion\Run] "drvsyskit"
Présent ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] "german.exe"
Présent ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\Microsoft\Windows\CurrentVersion\Run] "german.exe"
Présent ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] "mule_st_key"
Présent ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\Microsoft\Windows\CurrentVersion\Run] "mule_st_key"
Présent ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\bisoft]
Présent ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\DateTime4]
Présent ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\FFC]
Présent ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\MuleAppData]
Présent ! [HKCU\Software\Local AppWizard-Generated Applications\AuctionMagic 8.2.3 Crack]
Présent ! [HKCU\Software\Local AppWizard-Generated Applications\winupgro]
Présent ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\Local AppWizard-Generated Applications\AuctionMagic 8.2.3 Crack]
Présent ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\Local AppWizard-Generated Applications\winupgro]

################## | Etat / Services / Informations |

# Affichage des fichiers cachés : OK

# Mode sans echec : OK

# (!) Uac = 0x0

# (!) Ndisuio -> Start = 4 ( Good = 3 | Bad = 4 )
# EapHost -> Start = 2 ( Good = 2 | Bad = 4 )
# Wlansvc -> Start = 2 ( Good = 2 | Bad = 4 )
# (!) SharedAccess -> Start = 4 ( Good = 2 | Bad = 4 )
# (!) windefend -> Start = 4 ( Good = 2 | Bad = 4 )
# (!) wuauserv -> Start = 4 ( Good = 2 | Bad = 4 )
# (!) wscsvc -> Start = 4 ( Good = 2 | Bad = 4 )

# Présent ! C:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.
# Présent ! D:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.
# Présent ! E:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.
# Présent ! G:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.
# Présent ! H:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.

################## | ! Fin du rapport # FindyKill V5.001 ! |
0
Utilisateur anonyme
3 juin 2009 à 16:43
Test E :



############################## | FindyKill V5.001 |

# User : Cédric (Administrateurs) # PC-DE-CÉDRIC
# Update on 02/06/09 by Chiquitine29
# Start at: 16:42:28 | 03/06/2009
# Website : http://pagesperso-orange.fr/NosTools/findykill.html

# AMD Turion(tm) 64 X2 Mobile Technology TL-52
# Microsoft® Windows Vista™ Édition Intégrale (6.0.6002 32-bit) # Service Pack 2
# Internet Explorer 8.0.6001.18702
# Windows Firewall Status : Enabled

# C:\ # Disque fixe local # 155,29 Go (103,35 Go free) [Vista Intégrale] # NTFS
# D:\ # Disque fixe local # 50,43 Go (50,34 Go free) # NTFS
# E:\ # Disque fixe local # 27,16 Go (27,08 Go free) # NTFS
# F:\ # Disque CD-ROM
# G:\ # Disque amovible # 1,92 Go (1,45 Go free) [USBFIX] # FAT
# H:\ # Disque fixe local # 232,88 Go (83,28 Go free) [Vidéothèque] # NTFS

############################## | Active Processes |

C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\taskeng.exe
C:\Windows\RtHDVCpl.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Windows\system32\WUDFHost.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\eMule\emule.exe
C:\Program Files\Windows Media Player\wmpnetwk.exe
C:\Windows\system32\conime.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Windows Media Player\wmplayer.exe
C:\Windows\system32\wbem\wmiprvse.exe

################## | C: |


################## | C:\Windows |

Found ! C:\Windows\Prefetch\159152.EXE-3CE907F0.pf
Found ! C:\Windows\Prefetch\168059.EXE-440608D6.pf
Found ! C:\Windows\Prefetch\286683.EXE-F9E8163A.pf
Found ! C:\Windows\Prefetch\346805.EXE-8B60CCCF.pf
Found ! C:\Windows\Prefetch\AUCTIONMAGIC 8.2.3 CRACK.EXE-6B7557E7.pf
Found ! C:\Windows\Prefetch\AUCTIONMAGIC 8.2.3 CRACK.EXE-73E730CE.pf
Found ! C:\Windows\Prefetch\AUCTIONMAGIC 8.2.3 CRACK.EXE-92F5F4F0.pf
Found ! C:\Windows\Prefetch\AUCTIONMAGIC 8.2.3 CRACK.EXE-970ABDAC.pf
Found ! C:\Windows\Prefetch\AUCTIONMAGIC 8.2.3 CRACK.EXE-DEFA2C04.pf
Found ! C:\Windows\Prefetch\FLEC006.EXE-5E8ADAC7.pf

################## | C:\Windows\system32 |

Found ! C:\Windows\system32\ban_list.txt
Found ! C:\Windows\system32\mdelk.exe
Found ! C:\Windows\system32\wintems.exe

################## | C:\Windows\system32\drivers |


################## | C:\Users\C‚dric\AppData\Roaming |

Found ! C:\Users\C‚dric\AppData\Roaming\drivers
Found ! C:\Users\C‚dric\AppData\Roaming\drivers\111wfs1intwq.sys
Found ! C:\Users\C‚dric\AppData\Roaming\drivers\11s11ro1s1a2.sys
Found ! C:\Users\C‚dric\AppData\Roaming\drivers\downld
Found ! C:\Users\C‚dric\AppData\Roaming\drivers\winupgro.exe
Found ! C:\Users\C‚dric\AppData\Roaming\m
Found ! C:\Users\C‚dric\AppData\Roaming\m\data.oct
Found ! C:\Users\C‚dric\AppData\Roaming\m\flec006.exe
Found ! C:\Users\C‚dric\AppData\Roaming\m\list.oct
Found ! C:\Users\C‚dric\AppData\Roaming\m\srvlist.oct
Found ! C:\Users\C‚dric\AppData\Roaming\m\shared

################## | C:\Users\C‚dric\Temporary Internet Files |

Found ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\5ZUKZNNI\b64[1].jpg
Found ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\5ZUKZNNI\b64_3[1].jpg
Found ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\A9M1RTI5\b64_1[1].jpg
Found ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\RUZ1G9DN\B641F06A5C966D87E65657DF5A24[1].jpg
Found ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\RUZ1G9DN\b64_1[1].jpg
Found ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\RUZ1G9DN\b64_3[1].jpg
Found ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\RUZ1G9DN\b64_6[1].jpg
Found ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\RUZ1G9DN\file[1].txt
Found ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\RUZ1G9DN\file[2].txt
Found ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\V1BV5ST5\b64[1].jpg
Found ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\V1BV5ST5\b64_1[1].jpg
Found ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\V1BV5ST5\b64_1[2].jpg
Found ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\V1BV5ST5\b64_3[1].jpg
Found ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\V1BV5ST5\b64_3[2].jpg
Found ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\V1BV5ST5\file[1].txt

################## | Registry / Infected keys |

Found ! [HKLM\SYSTEM\CurrentControlSet\Services\111111s1ro1s1a]
Found ! [HKLM\SYSTEM\ControlSet001\Services\111111s1ro1s1a]
Found ! [HKLM\SYSTEM\ControlSet003\Services\111111s1ro1s1a]
Found ! [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_111111s1ro1s1a]
Found ! [HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_111111s1ro1s1a]
Found ! [HKLM\SYSTEM\ControlSet003\Enum\Root\LEGACY_111111s1ro1s1a]
Found ! [HKCU\Software\bisoft]
Found ! [HKCU\Software\DateTime4]
Found ! [HKCU\Software\MuleAppData]
Found ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] "drvsyskit"
Found ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\Microsoft\Windows\CurrentVersion\Run] "drvsyskit"
Found ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] "german.exe"
Found ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\Microsoft\Windows\CurrentVersion\Run] "german.exe"
Found ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] "mule_st_key"
Found ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\Microsoft\Windows\CurrentVersion\Run] "mule_st_key"
Found ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\bisoft]
Found ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\DateTime4]
Found ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\FFC]
Found ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\MuleAppData]
Found ! [HKCU\Software\Local AppWizard-Generated Applications\AuctionMagic 8.2.3 Crack]
Found ! [HKCU\Software\Local AppWizard-Generated Applications\winupgro]
Found ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\Local AppWizard-Generated Applications\AuctionMagic 8.2.3 Crack]
Found ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\Local AppWizard-Generated Applications\winupgro]

################## | State / Service / Information |

# Showing of hidden files : OK

# Safe boot mode : OK

# (!) Uac = 0x0

# (!) Ndisuio -> Start = 4 ( Good = 3 | Bad = 4 )
# EapHost -> Start = 2 ( Good = 2 | Bad = 4 )
# Wlansvc -> Start = 2 ( Good = 2 | Bad = 4 )
# (!) SharedAccess -> Start = 4 ( Good = 2 | Bad = 4 )
# (!) windefend -> Start = 4 ( Good = 2 | Bad = 4 )
# (!) wuauserv -> Start = 4 ( Good = 2 | Bad = 4 )
# (!) wscsvc -> Start = 4 ( Good = 2 | Bad = 4 )

# Found ! C:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.
# Found ! D:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.
# Found ! E:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.
# Found ! G:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.
# Found ! H:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.

################## | End of Report # FindyKill V5.001 ! |
0
Utilisateur anonyme
3 juin 2009 à 16:46
Test P /




############################## | FindyKill V5.001 |

# User : Cédric (Administrateurs) # PC-DE-CÉDRIC
# Update on 02/06/09 by Chiquitine29
# Start at: 16:45:18 | 03/06/2009
# Website : http://pagesperso-orange.fr/NosTools/findykill.html

# AMD Turion(tm) 64 X2 Mobile Technology TL-52
# Microsoft® Windows Vista™ Édition Intégrale (6.0.6002 32-bit) # Service Pack 2
# Internet Explorer 8.0.6001.18702
# Windows Firewall Status : Enabled

# C:\ # Disque fixe local # 155,29 Go (103,35 Go free) [Vista Intégrale] # NTFS
# D:\ # Disque fixe local # 50,43 Go (50,34 Go free) # NTFS
# E:\ # Disque fixe local # 27,16 Go (27,08 Go free) # NTFS
# F:\ # Disque CD-ROM
# G:\ # Disque amovible # 1,92 Go (1,45 Go free) [USBFIX] # FAT
# H:\ # Disque fixe local # 232,88 Go (83,28 Go free) [Vidéothèque] # NTFS

############################## | Processos ativos |

C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\taskeng.exe
C:\Windows\RtHDVCpl.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Windows\system32\WUDFHost.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\eMule\emule.exe
C:\Program Files\Windows Media Player\wmpnetwk.exe
C:\Windows\system32\conime.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Windows Media Player\wmplayer.exe
C:\Windows\system32\wbem\wmiprvse.exe

################## | C: |


################## | C:\Windows |

Presente ! C:\Windows\Prefetch\159152.EXE-3CE907F0.pf
Presente ! C:\Windows\Prefetch\168059.EXE-440608D6.pf
Presente ! C:\Windows\Prefetch\286683.EXE-F9E8163A.pf
Presente ! C:\Windows\Prefetch\346805.EXE-8B60CCCF.pf
Presente ! C:\Windows\Prefetch\AUCTIONMAGIC 8.2.3 CRACK.EXE-6B7557E7.pf
Presente ! C:\Windows\Prefetch\AUCTIONMAGIC 8.2.3 CRACK.EXE-73E730CE.pf
Presente ! C:\Windows\Prefetch\AUCTIONMAGIC 8.2.3 CRACK.EXE-92F5F4F0.pf
Presente ! C:\Windows\Prefetch\AUCTIONMAGIC 8.2.3 CRACK.EXE-970ABDAC.pf
Presente ! C:\Windows\Prefetch\AUCTIONMAGIC 8.2.3 CRACK.EXE-DEFA2C04.pf
Presente ! C:\Windows\Prefetch\FLEC006.EXE-5E8ADAC7.pf

################## | C:\Windows\system32 |

Presente ! C:\Windows\system32\ban_list.txt
Presente ! C:\Windows\system32\mdelk.exe
Presente ! C:\Windows\system32\wintems.exe

################## | C:\Windows\system32\drivers |


################## | C:\Users\C‚dric\AppData\Roaming |

Presente ! C:\Users\C‚dric\AppData\Roaming\drivers
Presente ! C:\Users\C‚dric\AppData\Roaming\drivers\111wfs1intwq.sys
Presente ! C:\Users\C‚dric\AppData\Roaming\drivers\11s11ro1s1a2.sys
Presente ! C:\Users\C‚dric\AppData\Roaming\drivers\downld
Presente ! C:\Users\C‚dric\AppData\Roaming\drivers\winupgro.exe
Presente ! C:\Users\C‚dric\AppData\Roaming\m
Presente ! C:\Users\C‚dric\AppData\Roaming\m\data.oct
Presente ! C:\Users\C‚dric\AppData\Roaming\m\flec006.exe
Presente ! C:\Users\C‚dric\AppData\Roaming\m\list.oct
Presente ! C:\Users\C‚dric\AppData\Roaming\m\srvlist.oct
Presente ! C:\Users\C‚dric\AppData\Roaming\m\shared

################## | C:\Users\C‚dric\Temporary Internet Files |

Presente ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\5ZUKZNNI\b64[1].jpg
Presente ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\5ZUKZNNI\b64_3[1].jpg
Presente ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\A9M1RTI5\b64_1[1].jpg
Presente ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\RUZ1G9DN\B641F06A5C966D87E65657DF5A24[1].jpg
Presente ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\RUZ1G9DN\b64_1[1].jpg
Presente ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\RUZ1G9DN\b64_3[1].jpg
Presente ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\RUZ1G9DN\b64_6[1].jpg
Presente ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\RUZ1G9DN\file[1].txt
Presente ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\RUZ1G9DN\file[2].txt
Presente ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\V1BV5ST5\b64[1].jpg
Presente ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\V1BV5ST5\b64_1[1].jpg
Presente ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\V1BV5ST5\b64_1[2].jpg
Presente ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\V1BV5ST5\b64_3[1].jpg
Presente ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\V1BV5ST5\b64_3[2].jpg
Presente ! C:\Users\C‚dric\Local Settings\Temporary Internet Files\Content.IE5\V1BV5ST5\file[1].txt

################## | Registro / Chaves infeciosas |

Presente ! [HKLM\SYSTEM\CurrentControlSet\Services\111111s1ro1s1a]
Presente ! [HKLM\SYSTEM\ControlSet001\Services\111111s1ro1s1a]
Presente ! [HKLM\SYSTEM\ControlSet003\Services\111111s1ro1s1a]
Presente ! [HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_111111s1ro1s1a]
Presente ! [HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_111111s1ro1s1a]
Presente ! [HKLM\SYSTEM\ControlSet003\Enum\Root\LEGACY_111111s1ro1s1a]
Presente ! [HKCU\Software\bisoft]
Presente ! [HKCU\Software\DateTime4]
Presente ! [HKCU\Software\MuleAppData]
Presente ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] "drvsyskit"
Presente ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\Microsoft\Windows\CurrentVersion\Run] "drvsyskit"
Presente ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] "german.exe"
Presente ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\Microsoft\Windows\CurrentVersion\Run] "german.exe"
Presente ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] "mule_st_key"
Presente ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\Microsoft\Windows\CurrentVersion\Run] "mule_st_key"
Presente ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\bisoft]
Presente ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\DateTime4]
Presente ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\FFC]
Presente ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\MuleAppData]
Presente ! [HKCU\Software\Local AppWizard-Generated Applications\AuctionMagic 8.2.3 Crack]
Presente ! [HKCU\Software\Local AppWizard-Generated Applications\winupgro]
Presente ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\Local AppWizard-Generated Applications\AuctionMagic 8.2.3 Crack]
Presente ! [HKU\S-1-5-21-4061984143-1763548140-2343251507-1000\Software\Local AppWizard-Generated Applications\winupgro]

################## | Estado / Serviços / Informações |

# Affichagem dos arquivos ocultos : OK

# Safe mode : OK

# (!) Uac = 0x0

# (!) Ndisuio -> Start = 4 ( Good = 3 | Bad = 4 )
# EapHost -> Start = 2 ( Good = 2 | Bad = 4 )
# Wlansvc -> Start = 2 ( Good = 2 | Bad = 4 )
# (!) SharedAccess -> Start = 4 ( Good = 2 | Bad = 4 )
# (!) windefend -> Start = 4 ( Good = 2 | Bad = 4 )
# (!) wuauserv -> Start = 4 ( Good = 2 | Bad = 4 )
# (!) wscsvc -> Start = 4 ( Good = 2 | Bad = 4 )

# Presente ! C:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.
# Presente ! D:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.
# Presente ! E:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.
# Presente ! G:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.
# Presente ! H:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.

################## | ! Fim do relatório # FindyKill V5.001 ! |
0
Utilisateur anonyme
3 juin 2009 à 16:55
salut à tous

excellent !!!

je vois qu il y a du nouveau je vais reprendre la collecte :)

edit :

tiens ! y'a HI Soft maintenant :)
0
Utilisateur anonyme
3 juin 2009 à 18:07
@ Gen merci d editer ton post , le lien n est pas bagle merci .............

0
Utilisateur anonyme
3 juin 2009 à 18:23
Salut Olivier ,

Comme convenu je te passe la beta sur laquelle je taff :

Pour ma part sur cette beta le hic reste les zip ... je te laisse decouvrir et surtout mettre le doight sur le points delicats ;)


Merci pour l' les apport ;)

++
0
Re,

Merci pour la béta, tes procédures ont pas mal évoluées par rapport à la précédente !

Bah en fait tes soucis avec les zip, sont liés je pense à la procédure avec $zip3 (findstr y co), rien de bien méchant.
De cette manière ça devrait passer [sauf pour ceux avec un espace dans leur nom... ;-) ]:

if exist $zip3 for /f "tokens=1,2* delims=#" %%d in ( $zip3 ) do find /i "%%e"<Tools\RefMD5.def>nul && (...)

Au fait, le scanner version batch n'est pas mal du tout !
Par contre le retour console se passe mal si le nom d'un exe ou d'une archive contient une parenthèse par exemple...ça fait planter le tool.
A première vue je ne vois pas trop comment résoudre ce problème vu qu'il faudrait un '^' devant ce type de caractère pour que la commande echo l'affiche sans provoquer de plantage.

Sinon pour le fun, je me suis permis à partir de ton code de faire quelques petites modifs car il est possible de te passer de tous les fichiers $zip* superflus qui te servent à stocker les chemins des archives et d'optimiser un peu le tout :

Ce qui donne en pratique (s'il y a une ligne en particulier que tu ne comprend pas bien dis moi le, j'essayerais de te l'expliquer):
:
:################## Récup des chemins des archives + filtrage taille + Listing #################


for /f "tokens=*" %%a in ('dir /a-d/b/s "%USERPROFILE%\*.zip" "%PROGRAMFILES%\*.zip" "%temp%\*.zip" 2^>nul') do (
cls
echo.&echo.&echo.&echo	        Path : %%~dpa
echo.
echo.
echo         ÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄ   
echo.
echo.&echo	        File : %%~nxa
if %%~za LEQ 5242880 (Call :CheckCrc32 "%%a")
)

...
...
...
...

::################## Check du crc + comparaison avec la liste du *.def +suppr ###################

:: %~1 = chemin complet de l'archive
:: %%g = nom de l'exe
:: %%h = taille
:: %%i = Crc32 de l'exe

:CheckCrc32

for /f "tokens=1,2,8" %%g in ('tools\IZARCE.exe -v "%~1" *.exe ^|find /i ".exe"') do (
find /i "%%i"<Tools\RefMD5.def>nul &&(
del /F /Q /S "%~1"
if not exist "%~1" (
echo.%Del% %~1 >>%Rapport%
echo.-^> Contain %%g [%%h] ^| with Bagle Crc32 : %%i >>%Rapport%
echo.>>%Rapport%
) else (
echo.^(!^) %NoDel% %~1 >>%Rapport%
echo.-^> Contain %%g [%%h] ^| with Bagle Crc32 : %%i >>%Rapport%
echo.>>%Rapport%
)
))

goto :eof


Voilà, voilà :-)

Je repasserais peut-être demain soir si possible, et si ce n'est pas le cas je tacherais de (re)tester la procédure md5+zip avant ce week-end et te dire quoi ensuite.

@++ et bonne fin de soirée.
0
Utilisateur anonyme
4 juin 2009 à 09:19
Bonjours tout le monde ,

Olivier , trop excellent test.bat ;)

C est ce que je cherchais un peut a faire mais là .... ;) trop fort

Sinon pour les zip je ferais des test dans la journée et je pense que la new version sortira ce week end .

@ Ce soir surement & bonne journée @ toutes & tous .
0
Utilisateur anonyme
4 juin 2009 à 17:11
Re Olivier ,

Je termine les derniers test et je mettrai la new maj en ligne ensuite , pour profiter des remontées du week end.

En effet je viens d accepter un nouveau taff , je serais donc moins disponible ...

@ + tard .
0
Utilisateur anonyme
4 juin 2009 à 17:34
Salut à tous

Cédric voila deja ca (désolé pour le peu mais beaucoup de topics et temps reduit pour le reste) :( =>

CRC

5A929AA9
13472978
B1311964
AF0BA0C4


MD5

16D52B910F482B4FA8FCD2F817F1C3BD
46CF51ACC1DBCA4037E1ECFB2BBA754A
D950D5CE700E80E7AC3E53BC6E069A02
1DDB3435694F67FE8B76D74C396AF4F9
0
Utilisateur anonyme
4 juin 2009 à 19:40
Re ,

merci Pascal pour la remontée mais je prefere me charger de ce style de maj , mais je te remercie d y avoir pensé ;)

Olivier je vient de mettre le BB en ligne ;) Je dois avouer que je suis assez satisfait de cette maj !

Je te remercie pour le coup de main et je remercie Jo aussi pour la trad portugaise .

++
0
Salut à tous,

Franchement Cédric j'ai pas encore eu le temps de regarder le code car je dois bouger, mais après un premier essai rapide je dirais même qu'elle déchire ta maj :-)
Je me suis demandé si tu allais oser echox... Bah vu le résultat final, si j'avais su je te l'aurais envoyé bien avant !!
L'affichage est légèrement plus lent par rapport à un 'echo' classique mais faut avouer qu'utilisé avec parcimonie il y a largement de quoi satifaire ta créativité !
Ce petit tool fait partie du "Shell Scripting Toolkit" de Bill Stewart auquel je te conseille de jeter un oeil à l'occasion : http://www.westmesatech.com/sst.html
En plus d'y trouver la doc détaillé d'echox, ShellEsc qui fait partie du package te sera peut-être utile un de ces 4 :-)

Vraiment de rien pour le coup de main, c'est pas grand chose par rapport au taf que tu as effectué pour adapter ce qu'était sensé faire fyks.
Je te dis surement à ce week-end ou je pourrais plus tranquillement te faire une dernière remontée sur la partie md5/zip.
D'ici là, bonne chance et bon courage pour ton nouveau job !

@++
0
Utilisateur anonyme
5 juin 2009 à 20:09
Bonsoir tout le monde ,

Olivier ,

Oui j ai oser echox , c est trop génial ;)

Apres c est sur il faut pas en abuser .

Franchement je suis satisfait de cette maj , il y a surement des points a améliorer , mais dans l ensemble elle me plait .

Je te laisse lire le code et me donner ton avis , si tu vois des choses a corriger , bah dis le moi

Je voulais voir avec toi , au sujet des fichiers corrompu , crois tu que nous pouvons incorporer un exe a cette maj pour soit signaler les exe ou mieux .... ou alors outrepasser ..

Qu en penses tu ?

Bonne soire @ toutes & tous .
0
Salut à tous

Cédric, je viens de regarder de plus près aux procédures md5 et zip.
J'ai rencontré quelques soucis plus ou moins importants selon le type de test, le plus délicat à résoudre pour les *.exe étant un crash systématique de l'outil lorsqu'il rencontrait pendant le scan, des exe dont le nom contenait des parenthèses.

En modifiant ton code de cette façon, le problème semble résolu :

Ligne 922 : Call :Md5 "%%~dpa" "%%~nxa" >nul 2>nul )

Ensuite pour le label Md5 (les modifs sont en gras):

:Md5

if "%~1"=="" goto :eof
if "%~2"=="" goto :eof

set tfa=%~1
set tfa=%tfa:~0,-1%

FOR /f "tokens=1" %%g in ('tools\fsum.exe -s -md5 -jnc -d"%tfa%" "%~2"') do find /i "%%g"<Tools\RefMD5.def>nul &&(

del /F /Q /S "%tfa%\%~2"

if not exist "%tfa%\%~2" (
echo %Del% "%tfa%\%~2" >> %Rapport%
echo -^> Size : %%~za ^| Md5 : %%g >> %Rapport%
echo.>> %Rapport%
)
if exist "%tfa%\%~2" (
echo ^(!^) %NoDel% "%tfa%\%~2" >> %Rapport%
echo -^> Size : %%~za ^| Md5 : %%g >> %Rapport%
echo.>> %Rapport%
))

set tfa=
goto :eof

Concernant les zip j'ai bien peur que le problème dont je viens de m'apercevoir soit vraiment plus délicat à résoudre avec izarce.
Déjà première chose avant d'aborder ce sujet, vu que tu n'utilises plus le fichier $zip3, le lablel :CheckCrc32 devient inutile ainsi que l'appel ligne 924 qu'il lui ait fait et qu'il te faut modifier comme ceci :

Ligne 924 : if %%~za LEQ 5242880 ( Call :Crc32 "%%a" ))

Ensuite pour le label :Crc32 :

:Crc32

for /f "tokens=1,2,8" %%g in ('tools\IZARCE.exe -v "%~1" *.exe ^|find /i ".exe"') do (
find /i "%%i"<Tools\RefMD5.def>nul &&(
del /F /Q /S "%~1"
if not exist "%~1" (
echo.%Del%" %~1" >>%Rapport%
echo.-^> Contain %%g [%%h] ^| with Bagle Crc32 : %%i >>%Rapport%
echo.>>%Rapport%
) else (
echo.^(!^) %NoDel% "%~1" >>%Rapport%
echo.-^> Contain %%g [%%h] ^| with Bagle Crc32 : %%i >>%Rapport%
echo.>>%Rapport%
)
))
goto :eof

Sinon aucun zip ne pourra être détecté :-)

Ensuite, lorsque le nom de l'exe contenu dans l'archive dépasse un certain nombre de caractères, izarce affiche les infos sur deux lignes au lieu d'une, ce qui rends quasi impossible la récup simultanée du crc/taille/nom de l'exe et fausse donc la détection.
Fais un test chez toi avec des zip contenant key_generator.exe, install_crack.exe ou install_patch.exe ce sera plus parlant et tu verras que la détection échoue.

Bah sinon je n'ai rien remarqué d'autre qui puisse poser problème pour l'instant,
Plus généralement, ce serait peut-être pas mal d'avoir la détection des zip/04 aussi bien pendant le mode recherche que le mode suppression, non ?.
Concernant la/les 04, tu sais comme moi que c'est une copie de winupgro et que la taille de l'exe sera identique donc si tu veux mon avis, je pense que tu devrais filtrer les exe de plus de deux 1mo/2mo lorsque tu récupère leur chemin, ça t'éviterais de faire chauffer fsum pour rien :-) et tu y gagnerais aussi en temps global d'exécution.

Autre chose Cédric, hier je t'ai fait passer la source d'fyks et sache que si tu veux continuer de l'exploiter, il est à toi.
Tel quel et en alimentant le *.def régulièrement il fera le job pour les zip/rar et 04 sans soucis, idem pour les fichiers corrompus.

Je voulais voir avec toi , au sujet des fichiers corrompu , crois tu que nous pouvons incorporer un exe a cette maj pour soit signaler les exe ou mieux .... ou alors outrepasser ..

Bah je te fais passer SniffC là ou j'en suis resté...
C'est à dire détection+tentative de réparation auto des fichiers trouvés dans %windir%
Fais quelques tests sous vista et dis moi ça te conviens.
Il est possible ensuite, soit d'intégrer la réparation dans fyks ou soit de le laisser tel quel dans un module indépendant, à toi de voir.

Bonne fin de soirée et @++
0
Utilisateur anonyme
6 juin 2009 à 00:42
Re Olivier ,

Thanks pour les remontées ;)

Comme tu le signale , izarce est mal branlé ( oué je sais , j suis vulgaire .;)) il est difficile a travailler mais est tres interessant ..

Je vais modifier des demain les chemin etc pour les detections .....

Demain j ai prevu une journée plage avec une amie histoire de profiter, avant new taff ;)

Mais je ferai les rectif en rentrant ..

Bonne idée que tu as eu en filtrant la taille des exe ça va raccourcir le temps de scan et c est tant meiux :)

Je te remercie pour m authoriser a exploiter fyks.exe , c est super sympa ;)

Pour sniffc , il faut que je fasse des tets mais si on peut arriver a une reparation je crois que , "la boucle sera bouclée" ;)

Je sais pas si je posterai demain soir mais au pire des cas dimanche apres midi .

Je te remercie pour tout ,.

Tu m a fais profiter de tes talents , peut etre qu un jours je te ferais profiter des miens (cuisinier)

Good night .
0