Bagle - de chiki a moe

Résolu/Fermé
Utilisateur anonyme - 21 janv. 2009 à 22:13
 Utilisateur anonyme - 8 nov. 2009 à 22:46
Salut moe ,

/!\ Pour les personnes touchées par bagle , ce topic ne vous ai pas destiné ..

/!\ Pour les helpeurs , vous pouvez passer certains avis remontées ici


::

ça fais deja 15 jours \ 3 semaines que je pense a notre amis ,

je sais pertinament qu il y a des points a voir , genre kill 04

choses qui a été démarré.. et ensuite a travailler ..

néanmoins je voulais parler avec toi d un point particulier

je pensais dans la prochaine maj faire apparaitre l id windows le sp ,

c est pas vraiment important , mais surtout l av , le firewall et voir l as


et dire si actif ou pas .. (ceci m importe)

bien entendu j ai vu k.exe (killB) ou d autres methodes (certainements les memes) ,

combo , etc (vbs)

en outre j ai aucune notion en vbs , donc si on peut partager c cool

breff , l objectif ( dans ma tete ) serait de rendre l av et le firewall actif apres passage de kill

durant mes test , j ai remarqué que parfois antivir (que j utilise) ce reactive , donc j en suis venu a la conclusion que il y a

peut etre quelque choses a faire

ensuite je sais aussi que ceci n est pas tache evidente

j aurais aimé avoir ton avis , enfin surtout ton experience sur le sujet , car je pense que tu l as pensé avant moi

c est a dire rendre les protections actives apres kill

au sujet des samples que je voulais , j ai retiré usbfix , par contre si t es dans la capacité de me donner raila odinga je prend

je pense que t as vu , ausi winupgro et a.bat dans system32 ... ? ce qui me choque c est que ça été un oubli ..


courage pour le taff et encore merci pour les conseils etc
A voir également:

717 réponses

Utilisateur anonyme
4 févr. 2009 à 17:57
oui on pourrait faire une prot.resid. contre Bagle(Pas si mal !!)grace au MD5

cool !!(t'as vu les CLSID qu'y a dans AD-R ?)

Cord.
0
Utilisateur anonyme
5 févr. 2009 à 05:33
Bonjours tout le monde,

@ moe

En effet fyk a plutot bien avancé ces derniers jours.

pour les bsod je vais oter les sc sauf pour windefend, j avais fais le test de pas modifier le sys avant reboot ...

resultat >>not deleted -;)

pour cracks merdouille , je voulais dire eviter les fp en precisant la recherche , genre .exe zip et rar


mais bon , signaler lez zip et rar suspect , je pense que c est suffisant , apres je regarderai si il est possible d elargir la recherche

sur "all drives"

donc ce week end je me concentrerai sur cette partie :

[ Searching Other Infections ]

Quand justement cette partie sera opé , il n y aura plus qu a passer au kill

merci pour tout

@+
--
0
Utilisateur anonyme
5 févr. 2009 à 15:49
Boujour a tous ;

sur "all drives"....sous-entendu HD0,1,2,3,etc ? bonne idej'ai remarqué que certains logs avaient la reconnaissance du MD5 dans leurs scans.....:)

ca serait bien un truc du genre :

IF exist MD5 : (bagle) echo : Bagle Present !!!
IF exist MD5 : (bagle) (DEL MD5 : (bagle)) echo : Bagle Supprimé !!!

apres je sais pas comment tu l'interprete dans ton code source si ce n est en batch (il est vrai que c est un peu trop facile) :)

a méditer et mettre en place

@+
0
Utilisateur anonyme
6 févr. 2009 à 02:58
euh je voulais dire pour la prot.resid. hein ? ^^
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Utilisateur anonyme
6 févr. 2009 à 18:13
re Olivier ,

c est le week end ...hihi -;)

A vrai dire je post pas pour le "final de semana" "ni na ni res"

Je post pour autre chose

Je pensais a l ajout d une option simple a fyk

Comme tu le sais j ai taffé sur usbfix , il a été arrété ... Pour les raisons que tu connais .


Je remarque en outre , sur le net , disons "un manque"

je veu dire par cela que usbfix n était pas parfait mais il permettait certaines lumieres ..

Et ausi le kill des mountpoint2, qui souvent amene l aidant a deduire une infection usb , qui est pas toujours le cas .

http://www.commentcamarche.net/forum/affich 10881439 virus w32 autoit bp trj?page=2#21
http://www.commentcamarche.net/forum/affich 10903516 virus hacked by godzilla?#21
http://www.commentcamarche.net/forum/affich 9043298 analyse pc pour virus

par rapport a ça , je me disais , pourquoi pas faire une option , qui inclus le changelog usbfix , un scan des "support amovibles"

et voir le registre ..

cette meme option , ce limiterai a scanner via ça "base de donnée" .. et aussi le kill des M2...

apres si "on" cherche la perfection on peux aller plus loin , genre proposer un "fixme" etc "suggestion" etc

perso le but premier de fyk c est notre amis , ensuite ajouter cette fonction est un plus qui a de la demande ( a mon avis )

taffer sur ces deux sujets , sera surement intessant , pour toi , pour moi , et pour tous les autres

ceci dis , j ai moi meme remarqué une "recrudescance" de ce genre d infections ...

Voila , je voulais t en faire part car j étais en train de créér un bat "a coller dans tool" pour cette option



>>vive le partage and just for fun -;)

kiss

Cédric
0
Utilisateur anonyme
6 févr. 2009 à 20:19
re Olivier ,

je rajoute , voir abuser ,

je pensais aussi , a appdata "m" et "driver" ...

etablir une methode de detection sur "toute session"...

voila les objectifs , les pensées , les observations ..

c est "un plaser" de trabajar contigo

besos



>>pourri pas ton week end - kiss

Cédric
0
Salut Cédric,

Lol, t'inquiètes pas pour mon we, il sera de toute façon très chargé !
Malgré tout j'ai pu m'avancer avec les tests et les modifs sur le vbs du header comme je te l'avais promis, donc il est dispo ici.
A noter que la détection du status du FW windows ne sera faite que sur les xp sp2, sp3 et vista car sur les versions précédentes d'xp la commande ne fonctionne pas.

A te lire j'ai l'impression que tu aimerais presque remettre en route USBFix... :-)
Effectivement il y a un manque, mais tenir le changelog à jour + un bat supplémentaire ça risque de te prendre autant de temps que le suivi d'USBFix non ?
Alors pourquoi dans ce cas ne pas remettre directement USBFix en ligne ou une version bridé à la détection si tu préfères, avec éventuellement les options que tu comptais ajouter à FYK ?
Ca éviterait d'avoir à faire dl FYK juste pour l'option 5, car à mon avis c'est ce que beaucoup vont faire faire.
Bref, si tu penses qu'il y a une demande pour intégrer le changelog d'USBFix avec FYK, ne te gène surtout pas lol, tu seras toujours à temps de voir si ça répond réellement à l'attente en fonction des remontées.
Perso je suis curieux de voir ce que peut donner cette option 5 :-) !
Pour ma part, Cédric, ce sera sans moi pour bosser sur la partie infection USB, tout simplement parce que je n'ai pas assez de temps de dispo malheureusement, je suis déjà court avec bagle donc je vois mal comment je pourrais taffer sur cette partie en plus.
Je peux pas mieux te proposer qu'un coup de main sur Bagle, désolé.

Pour le reste, je regarde çà dès que possible !

Passe un bon WE toi aussi :-)
@++
0
Utilisateur anonyme
7 févr. 2009 à 01:47
hé Olivier !

Mon we est un peut compromis aussi lol et tans mieux .

je profitais de ma soiréé pour faire un tour.

et ok pour fw win .

Deja apporter ce "header" est grand .. car perso je l aurais pas fait seul.

usbfix ? non ... un soutien .. oui .

le probleme sera toujours le meme : le changelog ...

Apporter cette fonction a fyk est aussi bénéfique mais engendre des "problems" ça va de soit

j aurai meme pas du en parler , en meme temps ta reaction conforte ma decision ..

pour le reste "nos vemos" ;)

@+


::rectifié a 2H20 , par soutien je m entends . kiss
0
Utilisateur anonyme
10 févr. 2009 à 12:11
Salut Olivier ,

J ai mis la maj V4.716 en ligne

Je vais continuer a travailler dessus, certainement cette semaine

Au sujet du rapport je pense que je vais enlever la partie : [ States / Restarting of services ] pour ne laisser que : # -> UAC is Enable or not , histoire de raccourcir la chose.


Bonne semaine

@+
0
Salut à tous,

Cédric j'ai dl la v 4.716 ce midi (merci...) et je viens de faire un premier test rapide à l'instant.
Je passe juste te signaler avant de m'y remettre qu'il y a un petit soucis avec l'option 2, rien de méchant juste un problème de redirection vers le mauvais label lorsque tu fais le choix 2 (CleanB au lieu de KillB), ce qui provoque le lancement du nettoyage, sans au préalable avoir rebooté le PC et neutralisé srosa y Co. :-)
Donc dans ce cas l'infection est toujours présente après passage du tool...
Sinon pour les services dans le rap "suppression", je suis du même avis que toi, j'ajouterais même à y être le contenu du prefetcher et des temp internet qui ne sont pas du plus grand intérêt dans le rapport.

Par contre tu m'avais parlé aussi de ton envie de pouvoir faire un nettoyage multi-sessions et pour répondre à ta question je pense que tu peux faire un test en récupérant dans un premier temps le nom du dossier qui contient ceux des users :
FOR /f "TOKENS=1,2 DELIMS=\" %%A in ("%USERPROFILE%") do set UsersDir=%%A\%%B
ensuite tu peux très bien imaginer un truc de ce genre et rediriger en fonction du résultat vers la commande de ton choix :
FOR /f "TOKENS=*" %%c in ('dir /ad /b "%Userpath%"') do (
if exist "%UserDir%\%%c\AppData\Roaming\drivers" ....
if exist "%UserDir%\%%c\Application Data\drivers\winupgro.exe" ....
...
)

Voilou !

@++ et bonne semaine à tous.
0
Utilisateur anonyme > moe
11 févr. 2009 à 08:36
Bonjours tout le monde,

Olivier , j ai rectifié le tir ce matin pour goto killB (un oubli) ;)

Cette semaine je vais raccourcir le rapport , c est a dire garder le meme nettoyage etc mais enlever les notifications dans le rapport

J avais commencé pour les sessions , tes infos vont mettre tres utiles

Bon test et merci a toi
0
afideg Messages postés 10517 Date d'inscription lundi 10 octobre 2005 Statut Contributeur sécurité Dernière intervention 12 avril 2022 602 > Utilisateur anonyme
11 févr. 2009 à 08:50
Salut C & O

Regarde ici le résultat d'une application FindyKill hier soir (avant ta correction, donc):
http://www.commentcamarche.net/forum/affich 10982375 avast n est pas une application de win32 vali?#1

Amicalement
Albert
0
Utilisateur anonyme
10 févr. 2009 à 15:35
salut a tous je pense que le restarting of services est un bon plus a garder(vu qu'il est deja fait)
0
Utilisateur anonyme
10 févr. 2009 à 17:11
Salu Gen ,

je pense que le restarting of services est un bon plus a garder(vu qu'il est deja fait)

.. Je me suis peut etre mal expliqué

Je voulais dire que ces services auront le meme traitement , cependant leurs "statut" ne sera plus apparant sur le rapport (suppression) , néanmoins , sur le rapport recherche tout ceci sera visible
0
Utilisateur anonyme
10 févr. 2009 à 17:42
ouf !!! Merci je croyais devoir faire fabriquer les cles de registre a tout va !! lol

en glissant le contenu des clés de suppression(pour bagle=srosa et ++++) dans OtmoveIT on aurait pas le meme resultat ?

si c est le cas c'est interessant au cas ou findykill soit intelechargeable par l internaute
0
Utilisateur anonyme
10 févr. 2009 à 18:46
re,

tu dis lol : ouf !!! Merci je croyais devoir faire fabriquer les cles de registre a tout va !! lol

je dis lol

bonne semaine a tous
0
Utilisateur anonyme
10 févr. 2009 à 19:16
ok au plaisir
0
Utilisateur anonyme
10 févr. 2009 à 19:19
idem

bonne semaine Gen , prend soin de toi
0
Utilisateur anonyme
10 févr. 2009 à 19:45
:)
0
Utilisateur anonyme
11 févr. 2009 à 11:12
bonjour a tous

une question me passe par la tête :

pourquoi ne pas melanger USBFix et FYL ?

il n'y aurait plus qu'un logiciel a gérer (donc moins de "perte" de temps pour le createur)
même pensée pour AD-R et Navilog(qui pourraient j'en suis persuadé tres bien marcher ensemble)

co-adherer me semble une bonne partie pour tues ces bêbettes

Cordialement
0
afideg Messages postés 10517 Date d'inscription lundi 10 octobre 2005 Statut Contributeur sécurité Dernière intervention 12 avril 2022 602
11 févr. 2009 à 13:30
Chiquitine,
Est-ce toujours la V4.716, même après la correction faite ce matin ?
Merci
Al
0
Utilisateur anonyme
11 févr. 2009 à 13:32
re

oui Al c est la meme version

concernant ta remarque fyk est passé car il n y avait plus de processus ni de .sys
0
afideg Messages postés 10517 Date d'inscription lundi 10 octobre 2005 Statut Contributeur sécurité Dernière intervention 12 avril 2022 602
11 févr. 2009 à 13:34
Merci
;)
0
Utilisateur anonyme
11 févr. 2009 à 18:34
re Olivier ,

je reviens sur mes paroles , je ne penses pas que je tafferaii sur fyk cette semaine , et encore moins ce week end.

je dois bouger ce w-e chez la belle famille (au pays de la sobrassada) , donc je verrai tout ça la semaine prochaine

apres si t as des remarque \ infos a faire passer d ici vendredi je prend

encore merci
0
Utilisateur anonyme
13 févr. 2009 à 02:55
bonsoir a tous :

et encore moins ce week end.

et be apres ca on peut dire adieu a USBFix !!!

snif.

on !!! veut !! une !!! mise a jour !!! :)

en esperant t'avoir donné du courage :( :)
0