Bagle - de chiki a moe

Bonsoir à tous,

Cédric, concernant l'option PEH, je pense aussi qu'elle a une utilité puisqu'elle met en avant les programmes ayant été "neutralisés" et peut servir à savoir quoi faire réinstaller par la suite.
Après réflexion, je crois qu'il serait peut-être bien de retravailler l'appellation sur le rapport afin que ce soit "parlant" pour le plus de monde possible et surtout pour éviter l'amalgamme avec une liste de fichiers infectés...
Donc pour ma part je pense que ce serait dommage de se passer de ton idée, alors qu'au départ on pensait même pas que c'était réalisable :-)
Maintenant, tu gères ton outil comme tu le souhaites Cédric et pour ma part inclure cette option ou l'enlever du module, ne pose aucun soucis !

DeNisCoOl, merci pour la remontée.
Faux positif apparement ou plutôt confusion...
Au premier post l'internaute dit "j'ai également fait tourner avz.exe"
AVZ est un antirootkit et on retrouve la trace de son driver dans le rapport RSIT.
Même fichier et entrée dans le registre que dans le rapport MBAM :
S3 uteznza5;AVZ Kernel Driver; \??\C:\WINDOWS\system32\Drivers\uteznza5.sys []
Là ou ça peut être troublant, c'est quant on sait qu'srosa2.sys (SK9OU0S) est en fait une copie bidouillé de ce même drivers AVZ :-)

Cédric, je viens de taffer sur la béta, d'après moi je pense avoir pu isoler le soucis et donc je t'envois de quoi tester dans la foulée :-).
Tu me diras ce que tu en pense...

Bonne soirée et bonne semaine à tous.

certe mais je fait quoi ? ^^ je lance le 2 de findykill?

Bonsoir Cédric !

Super ! Franchement je t'avoue que je commençais à douter depuis hier... :-)
De mon côté j'ai continué à tester la béta et pour l'instant tout c'est bien passé, pas de FP ni d'oublis (par rapport à la BDD) après plusieurs dizaines de tests et donc en attendant ton verdict j'en ai profité un peu pour essayer de gagner en vitesse d'exécution en optimisant certaines fonctions du code.
A propos de code, si un de ces 4 tu décidais d'installer Autoit, dis moi le, je te ferais passer la source de l'exe.
D'ici à ce WE, je te ferais surement passer une version prête à être diffusée, du moins si de ton côté les tests restent positifs.
Concernant les backups, pas de soucis de ce côté-là ?
En fait je me demandais si on ne pourrait pas réserver cette fonction qu'aux fichiers themida qui n'auraient pas été confirmés positif par une comparaison md5 ?
Éventuellement une fois zippé, ça pourrait servir à une demande d'upload ?

Pour le kill des archives , il en reste évidemment mais c est des "très anciennes" et je ne crois pas que ça vaut la peine de relever leurs "ref"
Si au contraire, rajoutes-les à la BDD car pour l'instant elle ne contient qu'une infime goutte d'eau par rapport au nombre de MD5/CRC Bagle qui existent...
Ça coute rien à faire de toute façon...

sinon je pensais revoir un peut fyk pour arriver a quelque chose de ce genre
Hum à première vue ça va pas être évident car je sais pas si tu as remarqué mais le temps d'analyse en prend un gros coup derrière la casquette lol, en plus du "clignotement"...
Le contraire ne te tente pas plutôt ?
C'est à dire un retour console des fichiers trouvés sur la machine, un peu comme on peut voir avec Combo ?

Quoi qu'il en soit, content que le résultat te convienne :-)
Ça prend tournure c't'histoire !

Bonne soirée Cédric, @++