Sujet Précédent Sujet Suivant

Infecté par un BAGLE qui bloque antivirus etc

Résolu/Fermé
nissan01skyline Messages postés 316 Date d'inscription mercredi 22 octobre 2008 Statut Membre Dernière intervention 5 février 2011 - 29 mars 2009 à 14:42
 jacques.gache - 27 avril 2009 à 23:12
Bonjour, j'ai un bagle qui bloque internet, mon antivirus et tout autre programme comme Ccleaner.
J'espère que quelqu'un trouvera mon problème car j'ai peur que mon pc tombe en ruine, voici un rapport avec FindyKill (je suis ouvert à toute proposition; je peux également poster des rapports avec HijackThis et bien d'autres) :



############################## [ FindyKill V4.721 ]

# User : Administrateur (Administrateurs) # BAPTISTE
# Update on 29/03/09 by Chiquitine29
# Start at: 14:30:25 | 29/03/2009
# Website : http://pagesperso-orange.fr/FindyKill.Ad.Remover/

# Intel(R) Core(TM)2 CPU T5500 @ 1.66GHz
# Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 2
# Internet Explorer 6.0.2900.2180
# Windows Firewall Status : Disabled
# AV : Norton Internet Security 2006 2006 [ Enabled | Updated ]
# FW : Norton Internet Worm Protection[ (!) Disabled ]2006
# FW : Norton Internet Security 2006[ Enabled ]2006

# C:\ # Disque fixe local # 102,53 Go (21 Go free) # NTFS
# D:\ # Disque fixe local # 8,23 Go (1,2 Go free) [HP_RECOVERY] # FAT32
# E:\ # Disque CD-ROM

############################## [ Processus actifs ]

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\Program Files\Fichiers communs\Symantec Shared\Security Console\NSCSRVCE.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Fichiers communs\Seagate\Schedule2\schedul2.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\mqsvc.exe
C:\WINDOWS\system32\SearchIndexer.exe
C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe
C:\WINDOWS\ehome\mcrdsvc.exe
C:\WINDOWS\system32\mqtgsvc.exe
C:\Program Files\Windows Media Player\WMPNetwk.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\ehome\ehtray.exe
C:\Program Files\hpq\HP Wireless Assistant\HP Wireless Assistant.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\HP\QuickPlay\QPService.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe
C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
C:\Program Files\Canon\MyPrinter\BJMyPrt.exe
C:\Program Files\ScanSoft\OmniPageSE4\OpwareSE4.exe
C:\Program Files\Fichiers communs\Seagate\Schedule2\schedhlp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Hewlett-Packard\HP Pavilion Webcam\HPWebcam.exe
C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe
C:\Program Files\Logitech\SetPoint\SetPoint.exe
C:\Program Files\Windows Desktop Search\WindowsSearch.exe
C:\Program Files\HP\Digital Imaging\bin\hpqimzone.exe
C:\Documents and Settings\Administrateur\Application Data\drivers\winupgro.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\Fichiers communs\Logishrd\KHAL2\KHALMNPR.EXE
C:\WINDOWS\system32\wbem\wmiprvse.exe

################## [ Processus infectieux stoppés ]

"C:\Documents and Settings\Administrateur\Application Data\drivers\winupgro.exe" (3748)

################## [ Fichiers / Dossiers infectieux C:\ ]


################## [ C:\WINDOWS & C:\WINDOWS\Prefetch ]


################## [ C:\WINDOWS\system32 ]


################## [ C:\WINDOWS\system32\drivers ]


################## [ C:\.. Application Data ... ]

Found ! - "C:\Documents and Settings\Administrateur\Application Data\drivers"
Found ! - "C:\Documents and Settings\Administrateur\Application Data\drivers\srosa2.sys"
Found ! - "C:\Documents and Settings\Administrateur\Application Data\drivers\winupgro.exe"
Found ! - "C:\Documents and Settings\Administrateur\Application Data\drivers\downld"

################## [ C:\Users...\Temp Files... ]


################## [ Registre / Clés infectieuses ]

Found ! - HKEY_USERS\S-1-5-21-118755397-4175912792-2943695255-500\Software\Local AppWizard-Generated Applications\key_gen
Found ! - HKEY_USERS\S-1-5-21-118755397-4175912792-2943695255-500\Software\Local AppWizard-Generated Applications\winupgro
Found ! - HKEY_USERS\S-1-5-21-118755397-4175912792-2943695255-500\Software\bisoft
Found ! - HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\key_gen
Found ! - HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\winupgro
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\srosa
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sK9Ou0s
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\sK9Ou0s
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sK9Ou0s
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SK9OU0S
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SK9OU0S
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SK9OU0S
Found ! - HKEY_CURRENT_USER\Software\bisoft
Found ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\"drvsyskit"
Found ! - HKEY_USERS\S-1-5-21-118755397-4175912792-2943695255-500\Software\Microsoft\Windows\CurrentVersion\Run\\"drvsyskit"

# HKLM\SYSTEM\...\Services\srosa -> Start = 0x1
# HKLM\SYSTEM\...\Services\sK9Ou0s -> Start = 0x1

################## [ Recherche dans supports amovibles]


# Contenu de l'autorun : D:\autorun.inf

[autorun]
OPEN=setupSNK.exe
ICON=\SMRTNTKY\fcw.ico
ACTION=Assistant Réseau sans fil# Présence des fichiers :

Found ! [08/02/2007 20:38][--a------] - D:\autorun.inf

################## [ Registre / Mountpoint2 ]

# -> Not found !

################## [ ! Fin du rapport # FindyKill V4.721 ! ]



Que dois-je faire, je les supprime avec l'option 2 de FindyKill ?
Merci de votre aide, cordialement.
A voir également:

94 réponses

Précédent
Réponse 21 / 94
nissan01skyline Messages postés 316 Date d'inscription mercredi 22 octobre 2008 Statut Membre Dernière intervention 5 février 2011 19
29 mars 2009 à 15:38
Ok je fais ça, je le fais depuis le début avec un autre pc car l'autre toujours infecté (plus d'internet, d'antivirus...).
Je poste ça dès que c'est fait.
Merci.
0
Réponse 22 / 94
darkpoet Messages postés 1654 Date d'inscription jeudi 29 mai 2008 Statut Contributeur sécurité Dernière intervention 10 mars 2014 62
29 mars 2009 à 15:40
je pige pas il faut poster les rapports du pc infecté sinon je pourrais pas t' aider
0
Réponse 23 / 94
nissan01skyline Messages postés 316 Date d'inscription mercredi 22 octobre 2008 Statut Membre Dernière intervention 5 février 2011 19
29 mars 2009 à 15:53
Ouui ok mais pour telecharger je fais avec un autre et je met sur l'infecte avec une USB comme celui infecter na pa d'internet...
0
Réponse 24 / 94
darkpoet Messages postés 1654 Date d'inscription jeudi 29 mai 2008 Statut Contributeur sécurité Dernière intervention 10 mars 2014 62
29 mars 2009 à 15:55
ok mais tu risque d 'infecter l' autre avec ta clef usb

a faire sur l' ordi sain



1) # Télécharge RavAntivirus d'Evosla :
http://ww25.evosla.com/compteur.php?soft=rav_antivirus

# Si tu as une clé USB, disque dur externe, etc, branche-les sans les ouvrir avant de lancer ce FIX
# Fais un clic droit sur le fichier .ZIP > Extraire sur > le Bureau
# Doucle-clique sur >> RAV.exe << afin de lancer l'outil.
# Une fois RAV ANTIVIRUS lancé, laisse-le réagir , il scanne automatiquement tout les lecteurs (disques fixes et amovibles)
# Si infection > un log s'établira, sinon le soft affichera (très rapide) ==>Votre Ordinateur est sain .
# Retire tes disques amovibles et redémarrez votre ordinateur.
# Poste le rapport, si infection!





2) Télécharge l'outil Flash_Disinfector de sUBs:
http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfec­tor.exe

Enregistre Flash_Disinfector.exe sur ton bureau.
Double clique sur Flash_Disinfector.exe pour l'exécuter.
Quand le message : [Plug in yours flash drive & clic Ok to begin disinfection] apparaitra :
Connecte au pc, clé USB, DD externes, susceptibles d'avoir été infectés.
Puis clic sur Ok
Les icônes sur le bureau vont disparaître jusqu'à l'apparition du message: [Done!!]
Appuie ensuite sur OK, pour faire réapparaître le bureau.

0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 25 / 94
nissan01skyline Messages postés 316 Date d'inscription mercredi 22 octobre 2008 Statut Membre Dernière intervention 5 février 2011 19
29 mars 2009 à 16:01
D'accord je fais ça pour mes clés (le pc vient de redémmarer pour finaliser adobe reader et ie7) mais le logiciel Flash_Disindfector.exe je peux pas le télécharger car il met page not found.
Après l'opération des clés je mettrais le rapport de malwaresbytes.


JE DESINFECTE LES CLES AVEC "LORDI SAIN" ???

Merci de votre aide.
0
Réponse 26 / 94
darkpoet Messages postés 1654 Date d'inscription jeudi 29 mai 2008 Statut Contributeur sécurité Dernière intervention 10 mars 2014 62
29 mars 2009 à 16:06
oui avec l' ordi sain

flash desinfector
http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe
0
Réponse 27 / 94
nissan01skyline Messages postés 316 Date d'inscription mercredi 22 octobre 2008 Statut Membre Dernière intervention 5 février 2011 19
29 mars 2009 à 16:13
Ok le page ne marche tjrs pas.
Je précise que je suis sur un eeepc et que le logiciel rav est un peu long (le format de la page n'est pas adapté, je ne vois pas la partie droite : appriori il n'y a rien pour l'iinstant dans les colonnes log et liste de virus).

J'ai désormais internet mais le commencement pour malware est déja un échec :
quand je fais mise a jour - recherche de mise a jour : il me dit :
Echec de la mise à jour. Vérifiez que vous êtes connecté à Internet et que votre pare-feu est paramétré pour autoriser Malwarebytes' Anti-Malware à accéder à Internet.

Je précise également qu'apparemment mon pc est toujours infecté car mon antivirus ne se lance tjrs plus.

Merci de m'aider.
0
Réponse 28 / 94
darkpoet Messages postés 1654 Date d'inscription jeudi 29 mai 2008 Statut Contributeur sécurité Dernière intervention 10 mars 2014 62
29 mars 2009 à 16:18
internet est valide sur l' ordi ?

sinon fait deja un scan sans mises a jour

et ceci

telecharge gmer http://www2.gmer.net/gmer.zip

extraire le contenu zip puis renomer "gmer.exe"en bypass.exe

dans l onglet rootkit clic scan patiente

a la fin clic SAVE et enregistre sur le bureau"o30309.txt"

post le rapport
0
Réponse 29 / 94
nissan01skyline Messages postés 316 Date d'inscription mercredi 22 octobre 2008 Statut Membre Dernière intervention 5 février 2011 19
29 mars 2009 à 16:21
RAV c'est fermé et il ne m'a rien dit.
Que dois-je faire désormais avec le soucis de Malware's bytes ?
Merci de votre aide.
Cordialement.
0
Réponse 30 / 94
nissan01skyline Messages postés 316 Date d'inscription mercredi 22 octobre 2008 Statut Membre Dernière intervention 5 février 2011 19
29 mars 2009 à 16:22
Ok je fais ça desuite.
0
Réponse 31 / 94
nissan01skyline Messages postés 316 Date d'inscription mercredi 22 octobre 2008 Statut Membre Dernière intervention 5 février 2011 19
29 mars 2009 à 16:24
Je viens d'avoir un message de Norton qui me dit (j'ai rien fait pourtant) :
Les installations Norton Antivirus sont manquantes ou corrompues.
Réinstaller Norton Antivirus.

Je télécharge donc avast et je fais les manips de votre post précédent.
Merci.
0
Réponse 32 / 94
darkpoet Messages postés 1654 Date d'inscription jeudi 29 mai 2008 Statut Contributeur sécurité Dernière intervention 10 mars 2014 62
29 mars 2009 à 16:28
non vire avast et norton et telecharge AVIRA ANTIVIR

desinstallation avast:
https://www.avast.com/fr-fr/uninstall-utility

desinstaller norton:
http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/fr_docid/20050414110429924

installer antivir:
http://www.commentcamarche.net/telecharger/telecharger 55 antivir
0
Réponse 33 / 94
nissan01skyline Messages postés 316 Date d'inscription mercredi 22 octobre 2008 Statut Membre Dernière intervention 5 février 2011 19
29 mars 2009 à 16:32
Norton remarche, j'ai réactiver la protection mais il y a une croix rouge sur l'icone.
Je fais malwarebytes.
0
Réponse 34 / 94
nissan01skyline Messages postés 316 Date d'inscription mercredi 22 octobre 2008 Statut Membre Dernière intervention 5 février 2011 19
29 mars 2009 à 16:40
Merci pour tout déjà, je sais que ce n'est pas fini mais vous m'avez déjà fait bénéficier d'une grande aide. Merci pour cette précieuse aide.
PS : J'ai pas eu le temps de virer Norton pour antivir, j'avais déjà fais le mode sans échec.
Antivir est mieux qu'Avast et peut-on avoir également une clé gratuite ?

Malwarebyte's a déjà analysé environ 40 000 fichiers est-ce plus efficace qu'un antivirus car ca va plus vite . Si oui je scannerai mon ordi avec désormais.

Cordialement, je post dès que possible le rapport.
0
Réponse 35 / 94
darkpoet Messages postés 1654 Date d'inscription jeudi 29 mai 2008 Statut Contributeur sécurité Dernière intervention 10 mars 2014 62
29 mars 2009 à 16:46
antivir est gratuit et pour la comparaison regerse ici

https://forum.malekal.com/viewtopic.php?f=45&t=11659
0
Réponse 36 / 94
darkpoet Messages postés 1654 Date d'inscription jeudi 29 mai 2008 Statut Contributeur sécurité Dernière intervention 10 mars 2014 62
29 mars 2009 à 16:50
je doit m absenter je reprend tout a l' heure poste les rapport merci
0
Réponse 37 / 94
nissan01skyline Messages postés 316 Date d'inscription mercredi 22 octobre 2008 Statut Membre Dernière intervention 5 février 2011 19
29 mars 2009 à 16:52
D'accord je laisse tourner le pc, merci de me répondre dès que vous pouvez, il est fort probable que je m'absente également un certain temps.
0
Réponse 38 / 94
nissan01skyline Messages postés 316 Date d'inscription mercredi 22 octobre 2008 Statut Membre Dernière intervention 5 février 2011 19
29 mars 2009 à 16:56
Contrairement à Avast, Antivir ne détecte pas les logiciels espions.
De toute façon, je vais réinstaller BitDefender Internet Security 2009 que j'avais acheté : est-il bien selon vous ?
Je l'ai payé assez cher pour une licence de 2 ans et ça m'embêterer de ne pas m'en servir.
Cordialement, je m'absente.
0
Réponse 39 / 94
nissan01skyline Messages postés 316 Date d'inscription mercredi 22 octobre 2008 Statut Membre Dernière intervention 5 février 2011 19
29 mars 2009 à 18:29
Re, il m'a détecté 9 Rootkit.Bagle dans C:\System Volume Information\_restore...
et 2 Disabled.SecurityCenter dans HKEY_LOCAL_MACHINE...

Le pc est toujours long mais un peu moins : La barre des tâches avec les icônes est longue à s'afficher sur le bureau.

Voici donc le rapport tant attendu :

Malwarebytes' Anti-Malware 1.35
Version de la base de données: 1904
Windows 5.1.2600 Service Pack 2

29/03/2009 18:21:43
mbam-log-2009-03-29 (18-21-43).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 263353
Temps écoulé: 56 minute(s), 39 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 2
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 9

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\System Volume Information\_restore{206D5C9A-566B-437B-A762-213EF381532E}\RP40\A0010417.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{206D5C9A-566B-437B-A762-213EF381532E}\RP40\A0010434.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{206D5C9A-566B-437B-A762-213EF381532E}\RP40\A0010462.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{206D5C9A-566B-437B-A762-213EF381532E}\RP40\A0010481.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{206D5C9A-566B-437B-A762-213EF381532E}\RP41\A0010526.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{206D5C9A-566B-437B-A762-213EF381532E}\RP41\A0010552.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{206D5C9A-566B-437B-A762-213EF381532E}\RP41\A0011552.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{206D5C9A-566B-437B-A762-213EF381532E}\RP41\A0011582.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{206D5C9A-566B-437B-A762-213EF381532E}\RP41\A0011625.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.


Merci de votre aide.
Cordialement.
0
Réponse 40 / 94
nissan01skyline Messages postés 316 Date d'inscription mercredi 22 octobre 2008 Statut Membre Dernière intervention 5 février 2011 19
29 mars 2009 à 18:47
Je voudrais vous demandez également si le virus ne peut pas fausser l'espace disque restant car il ne me reste que 20.4 Go sur 102 Go alors que dans Mes documents qui comprends les images... je n'ai que 30 Go et environ 23 Go de logiciels.

A la fin, quand on aura réussi à rendre le pc clean (jai aussi passer Ccleaner), j'aimerai trouver un logiciel pour mieux désinfecter les clés ou les mêmes mais rav n'a rien fait et rien dit.

PS : Et si ce n'est pas trop vous demander, je me pose une question depuis environ 3 ans que j'ai déjà demandé sur pas mal de forums même celui-ci, si je peux créer des partitions dans mon pc (sachant que c'est XP sp2 OEM (je n'ai donc pas le cd de réinstallation): il est pré-installé dans l'ordinateur). Et puis-je installer des systèmes d'exploitations dans n'importe quel sens (Linux : pas sure ; Windows 7 version test ; Vista)... ??

Cordialement.
0