Kreper

mic -  
 michel -
Bonjour,
mon antivirus, avast, me signale que je suis infecté par win32:kreper-C[Trj]. Depuis Internet Explorer délire complétement (page de démarrage farfelue, plusieurs sites s'ouvrent en même temps, ...). Voici mon log de Hijackthis à qui peut bien me venir en aide. Merci d'avance.
Logfile of HijackThis v1.98.2
Scan saved at 18:30:47, on 07/12/2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\windows\system\hpsysdrv.exe
C:\Program Files\USB Storage RW\shwicon.exe
C:\HP\KBD\KBD.EXE
C:\Program Files\VERITAS Software\Update Manager\sgtray.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashmaisv.exe
C:\WINDOWS\System32\fml4tz7d56thd.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\wuauclt.exe
C:\HJT\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://win-eto.com/sp.htm?id=9
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://win-eto.com/sp.htm?id=9
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://win-eto.com/hp.htm?id=9
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://win-eto.com/hp.htm?id=9
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://win-eto.com/hp.htm?id=9
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://win-eto.com/sp.htm?id=9
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = ftp=proxy.free.fr:3128;http=proxy.free.fr:3128
O2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\system32\W8C6S4~1.DLL
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [KYE_Showicon] "C:\Program Files\USB Storage RW\shwicon.exe" -t"KYE\USB Storage RW"
O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE
O4 - HKLM\..\Run: [StorageGuard] "C:\Program Files\VERITAS Software\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [WCOLOREAL] "C:\Program Files\Coloreal\coloreal.exe"
O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE
O4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [adiras] adiras.exe
O4 - HKLM\..\Run: [Microsoft WinUpdate] win32upd.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [ashMaiSv] C:\PROGRA~1\ALWILS~1\Avast4\ashmaisv.exe
O4 - HKLM\..\Run: [Control handler] C:\WINDOWS\System32\fml4tz7d56thd.exe
O4 - HKLM\..\RunServices: [Microsoft WinUpdate] win32upd.exe
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Microsoft WinUpdate] win32upd.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {42E1F024-ECC3-456F-B98A-4CE5ACDBF25C} (ActiveFormX Contrôle) - http://selfcare.cegetel.net/templates/static/ocx/AFAutoConfig.ocx
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1097785593578
O20 - AppInit_DLLs: 1bgkmhzsdoustodll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll.dll
O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} - C:\WINDOWS\System32\vbsys2 (file missing)

52 réponses

balltrap34 Messages postés 16241 Statut Contributeur sécurité 332
 
re
tu vas te mettre en mode sans echec et en administrateur
verifie a nouveau ceci
Affiche tous les fichiers et dossiers :
cliquer sur démarrer/panneau de configuration/option des dossiers/affichage
Cocher afficher les dossiers cacher
Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"
decocher aussi « masquer les extention dont le type est connue »
Puis fais «Ok» pour valider les changements.
Décocher masquer les extensions dont le type est connu
Et appliquer
----------
la passe par l explorateur et vas sur
c:document and setting et sur tous les utilisateur tu vas sur local setting et tu vide les dossiers temp et les dossiers temp internet file regarde sur tous les utilisateurs
----------
desactive ta restauration si cela n est pas fait
0
michel
 
Hello
"administrateur" je suis administrateur car seul utilisateur
"tu vas te mettre en mode sans echec" je ne comprends pas
0
michel
 
documents and setting ok
all users ok

local setting je ne vois pas

mais ceci
bureau
documents partagés
favoris
menus démarrer
0
balltrap34 Messages postés 16241 Statut Contributeur sécurité 332
 
si tu ne voie pas local setting c est que tu na pas fait ceci
Affiche tous les fichiers et dossiers :
cliquer sur démarrer/panneau de configuration/option des dossiers/affichage
Cocher afficher les dossiers cacher
Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"
Puis fais «Ok» pour valider les changements.
Décocher masquer les extensions dont le type est connu
Et appliquer
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
michel
 
documents and setting ok
all users ok

local setting je ne vois pas

mais ceci
Application data
bureau
documents partagés
DRM
favoris
menus démarrer
Modèles
Par contre je vois locale setting partout ailleurs sauf là
0
michel
 
Chemin désigné par avast:
C:\Documents and Settings\MICHEL\Local Settings\Temporary Internet Files\Content.IE5\W7OHAR0B\main[1].exe

c'est ici que je nevois rien : Content.IE5\W7OHAR0B\main[1].exe

il désigne aussi C:\windows\fof8t8plpa.exe que je ne vois pas.
J'ai bien cohé et décoché tout ce que tu indique et j'ai désactivé la restauration même si ce la m'inquiète un peu s'il arrive la même chose qu'hier.
0
balltrap34 Messages postés 16241 Statut Contributeur sécurité 332
 
dur dur
met toi en mode sans echec
pour cela tu tapote la touche f8
des le debut de l allumage du pc sans t arreter
une fenetre vas souvrir tute deplace avec les fleches du clavier sur demarreren mode sans echec
une fois sur le bureau il ni auras pas toutes les couleurs et autres c est normal.si f8 ne marche pas utilise la touche f5

la tu te met en administrateur et la tu doit pouvoir en suivant le chemin trouver le fichier a suppr
0
michel
 
Je stresse un peu mais bon, je te fais confiance.
C'est partiiiii.....
0
balltrap34 Messages postés 16241 Statut Contributeur sécurité 332
 
ok
0
michel
 
Kreper-I est encore présent...
Cette partie en mode sans échec ok, j'ai vidé tous les dossiers temporaires internet
C:\Documents and Settings\MICHEL\Local Settings\Temporary Internet Files\Content.IE5\W7OHAR0B\main[1].exe

Par contre pour lui : C:\windows\fof8t8plpa.exe toujours pas visible... mais il change de nom à chaque fois et j'étais bien ennuyé vu le nombre d'exécutables qui apparaissaient pour le reconnaitre SI il était là.

Le pc en est donc toujours au même point. Je vois les virus ou trojan deviennent de plus en plus compliqué à évincer.
0
balltrap34 Messages postés 16241 Statut Contributeur sécurité 332
 
pour celui ci
C:\windows\fof8t8plpa.exe
attend que ton av te donne son emplacement
ne redemarre pas
fait ctrl alt suppr onglet processus et cherche si tu trouve se qui correspond au nom donner par ton av ex:fof8t8plpa.exe
si tu le trouve tu clik dessus une fois et tu clik sur arreter le processus

ensuite tu clik sur demarrer/executer et tu tape msconfig
sur l onglet demarrage tu recherche comme au dessus et si tu trouve tu decoche et appliquer et ok

la via l explorateur tu doit le trouver et tu le suppr et tu vide ta poubelle
0
michel
 
Salut.
De retour sur CCM après des mésaventures... Gros plantage de la machine et de ce fait réintallation complète indispensable, plus rien ne semblait fonctionner normalement. De plus l'écran est resté noir vendredi matin, ma carte graphique, ati radeon 9200 se, est hors service... Penses tu que ce soit lié au virus? J'ai installé une carte nvidia que j'avais et qui fonctionne très bien.
Merci. Michel.
0