Infection par un trojan : Magania et OnLIneGa

Question

Bonjour,

Je me suis rendu compte il y a quelques jours que je suis infecté par un ou deux troyens. D'après les recherches que j'ai réalisé, ces troyens (Win32.magania et Win32.OnLineGames associés à 3 fichiers 2u.com, 1ogf.exe et upw.bat) m'ont été transmis via un disque dur externe (dans le cadre d'un groupe de travail) et ont contaminé tout mon système (2 ordis portables dont 1 qui n'a pas Internet, 1 dd externe et 1 clé USB). 

J'ai énormément besoin de mon matériel pour de nombreuses activités professionnelles et au lieu d'envisager un nettoyage par antivirus (j'ai fait tourné Kaspersky sur le pc internet qui a été nettoyé mais qui est très instable depuis lors : écran bleu et erreur fatale quotidiennement, compliqué pour l'autre ordi qui est sans Internet). Après nettoyage des clés, l'ordi sans aucune connexion remet à chaque fois la contamination. L'autre ordi semble nettoyé mais est devenu très instable. Je pensais faire un reformatage (au grand maux les grands remèdes...) mais n'étant pas une pointure en informatique, j'avais plusieurs questions :

1) Puis-je graver un CD sans risque de contamination sur mes données ? (ou comment m'en assurer ?)
2) Si j'effectue un reformatage, suis-js sûr d'éradiquer l'infection ? Quel type de formatage dois-je faire pour en être sûr ?
3) Comment bien nettoyer la clé et le DD en sachant que l'infection semble toucher le fichier autorun de la clé et que le disque dur contient de nombreux fichiers "système" (je ne sais pas en quoi ils sont utiles pour le fonctionnement, c'est un Freecom Mobile Drive XXS) ?

Ca me gâche la vie depuis plusieurs jours, étant très informatisé pour mes différents travaux (mais surtout en sachant que c'est "petit programme" sont souvent réalisé dans l'objectif d'"ennuyer" les gens) mais ça me rassure de voir qu'il y a plusieurs personnes bien sympathiques sur ce forum qui aident les gens de manière très charitable (et efficace), merci à eux, c'est vraiment une action très positive.

Elitemoumoute · Answer

Salut,

Pour répondre à tes question :

1) Puis-je graver un CD sans risque de contamination sur mes données ? (ou comment m'en assurer ?)
Cela dépends, si c'est un ver, cela est très probable, cependant, si tu dis que c'est un trojan, méfie toi tout de même. Pour vérifier, utilise un scanner antivirus performant ! (n'utilise pas avast!). Si tu as peu de fichiers, tu peux les uploader sur https://www.virustotal.com/gui/ pour scanner.
2) Si j'effectue un reformatage, suis-js sûr d'éradiquer l'infection ? Quel type de formatage dois-je faire pour en être sûr ?
Après un formatage, normalement, tu n'as plus de problèmes, sauf si le virus à attaqué ton bios ou ta ram. Je pense que le formatage résoudra ton problème.
3) Comment bien nettoyer la clé et le DD en sachant que l'infection semble toucher le fichier autorun de la clé et que le disque dur contient de nombreux fichiers "système" (je ne sais pas en quoi ils sont utiles pour le fonctionnement, c'est un Freecom Mobile Drive XXS) ? 
Normalement, si tu formate, les fichiers systèmes devraient ne pas être effacés (a confirmer)

Ced_King · Answer

Salut, 

Si tu veux on peut verifier avec RSIT qui est juste un utilitaire de diagnostic :

Telecharges RSIT " Random's System Information Tool " sur ton bureau : http://images.malwareremoval.com/random/RSIT.exe 

- Fermes toutes les applications en cours et double clic sur RSIT.exe 
- Selectionnes " Continue " à l'ecran >> RSIT va analyser le pc et verifier si l'outil hijackthis ( version à jour) est present sur le pc, si ce n'est pas le cas, RSIT le telechargera >> acceptes la license 
- Une fois l'analyse terminée, 2 rapports.txt s'ouvrent, log.txt à l'écran et info.txt dans la barre des taches 
- Postes le contenu des 2 rapports 
.

mister bine · Answer

telecharger usbfix

Voici un tuto : http://pagesperso-orange.fr/FindyKill.Ad.Remover/uac_vista.html





Telecharge et install UsbFix de C_XX & Chiquitine29

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir


# Fais un clic droit sur le raccourci UsbFix présent sur ton bureau et choisis "éxécuter en tant qu'administrateur" .

# Choisis l'option 1 ( Recherche )

# Laisse travailler l outil.

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )



2) ##################### | Vista _ Suppression | ########################



Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d avoir été infectées sans les ouvrir


# Fais un clic droit sur le raccourci UsbFix présent sur ton bureau et choisis "éxécuter en tant qu'administrateur" .

# choisi l'option 2 ( Suppression )

# Ton bureau disparaitra et le pc redémarrera .

# Au redémarrage , UsbFix scannera ton pc , laisse travailler l outil.




# Fais un clic droit sur le raccourci UsbFix présent sur ton bureau et choisi "éxécuter en tant qu'administrateur" .

# Choisis l'option 5 ( Désinstaller ) ....

mister bine · Answer

telecharger usbfix

Voici un tuto : http://pagesperso-orange.fr/FindyKill.Ad.Remover/uac_vista.html





Telecharge et install UsbFix de C_XX & Chiquitine29

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir


# Fais un clic droit sur le raccourci UsbFix présent sur ton bureau et choisis "éxécuter en tant qu'administrateur" .

# Choisis l'option 1 ( Recherche )

# Laisse travailler l outil.




2) #####################  _ Suppression | ########################



Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d avoir été infectées sans les ouvrir


# Fais un clic droit sur le raccourci UsbFix présent sur ton bureau et choisis "éxécuter en tant qu'administrateur" .

# choisi l'option 2 ( Suppression )

# Ton bureau disparaitra et le pc redémarrera .

# Au redémarrage , UsbFix scannera ton pc , laisse travailler l outil.




# Fais un clic droit sur le raccourci UsbFix présent sur ton bureau et choisi "éxécuter en tant qu'administrateur" .

# Choisis l'option 5 ( Désinstaller ) ....

Ced_King · Answer

Re,

Si je peux déjà te conseiller, c'est de rajouter de la ram : 190 MB  --> tu n'iras pas loin avec ça !!!


-Telecharges et installes UsbFix de C_XX & Chiquitine29 

Branches tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...)  sans les ouvrir 

# Double clic sur le raccourci UsbFix présent sur ton bureau . 

# Choisi l option 1 ( Recherche ) 

# Laisse travailler l outil. 

# Ensuite post le rapport UsbFix.txt qui apparaitra. 

# Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt ) 

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

# Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...)

KVK · Answer

USBfix


############################## [ UsbFix V3.017 # Scan ]

# User : nom (Administrateurs) # ACER-86U03S59CR
# Update on 06/05/09 by Chiquitine29, C_XX & Chimay8
# WebSite : http://pagesperso-orange.fr/NosTools/usbfix.html
# Start at: 20:45:00 | 6/05/2009

# Mobile AMD Athlon(tm) XP 2400+
# Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
# Internet Explorer 7.0.5730.11
# Windows Firewall Status : Disabled
# AV : Kaspersky Anti-Virus 8.0.0.506 [ (!) Disabled | (!) Outdated ]
# FW : Norton Internet Security[ Enabled ]2002

# C:\ # Disque fixe local # 27,47 Go (810,64 Mo free) [ACER] # FAT32
# D:\ # Disque fixe local # 9,76 Go (8,67 Go free) [ACERDATA] # FAT32
# E:\ # Disque CD-ROM
# F:\ # Disque fixe local # 298,02 Go (276,4 Go free) [FREECOM HDD] # FAT32

############################## [ Processus actifs ]

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\CTSvcCDA.EXE
C:\Program Files\Norton Internet Security\NISUM.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Program Files\Norton Internet Security\NISSERV.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Norton Internet Security\SymProxySvc.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe
C:\PROGRA~1\LAUNCH~1\QtZpAcer.EXE
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\Program Files\Norton Internet Security\IAMAPP.EXE
C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqSTE08.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\Product Assistant\bin\hprblog.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

################## [  Registre # Startup ]

HKCU_Main:  "Local Page"="C:\WINDOWS\system32\blank.htm" 
HKCU_Main:  "Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch" 
HKCU_Main:  "Start Page"="https://www.google.be/?gws_rd=ssl" 
HKLM_logon: "Userinit"="C:\WINDOWS\system32\userinit.exe," 
HKLM_logon: "DefaultUserName"="nom" 
HKLM_logon: "AltDefaultUserName"="nom" 
HKLM_logon: "LegalNoticeCaption"="" 
HKLM_logon: "LegalNoticeText"="" 
HKLM_Run:    LaunchApp=Alaunch 
HKLM_Run:    VTTimer=VTTimer.exe 
HKLM_Run:    SoundMan=SOUNDMAN.EXE 
HKLM_Run:    AGRSMMSG=AGRSMMSG.exe 
HKLM_Run:    SynTPLpr=C:\Program Files\Synaptics\SynTP\SynTPLpr.exe 
HKLM_Run:    SynTPEnh=C:\Program Files\Synaptics\SynTP\SynTPEnh.exe 
HKLM_Run:    LManager=C:\PROGRA~1\LAUNCH~1\QtZpAcer.EXE 
HKLM_Run:    TkBellExe="C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe" -osboot 
HKLM_Run:    Symantec NetDriver Monitor=C:\PROGRA~1\SYMNET~1\SNDMon.exe 
HKLM_Run:    iamapp=C:\Program Files\Norton Internet Security\IAMAPP.EXE 
HKLM_Run:    SunJavaUpdateSched="C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe" 
HKLM_Run:    Adobe Reader Speed Launcher="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" 
HKLM_Run:    AVP="C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe" 
HKLM_Run:    HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents= 
HKCU_Run:    MsnMsgr="C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background  
HKCU_Run:    ctfmon.exe=C:\WINDOWS\system32\ctfmon.exe  

################## [ Informations ]


################## [ Fichiers # Dossiers infectieux ]

Found ! C:\WINDOWS\system32\gasretyw1.dll  
Found ! C:\WINDOWS\system32
mdfgds1.dll  
C:\autorun.inf # -> fichier appelé : "C:\e2.cmd" ( absent ! )  
Found ! C:\0bcobed.exe  
Found ! C:\0xuc.com  
Found ! C:\1ogf.exe  
Found ! C:\2u.com  
Found ! C:\cqxj.exe  
Found ! C:\cqxj.exe  
Found ! C:\ej10fkdo.bat  
Found ! C:\em8tqm.cmd  
Found ! C:\eyt.exe  
Found ! C:\g1ljsm.com  
Found ! C:\husyu8n.exe  
Found ! C:\jm3cx96.bat  
Found ! C:\minm.cmd  
Found ! C:
pee.com  
Found ! C:\o3n9k.com  
Found ! C:\qwtb.com  
Found ! C:\qwtb.com  
Found ! C:\upw.bat  
Found ! C:\vwewav8.com  
Found ! C:\autorun.inf  
D:\autorun.inf # -> fichier appelé : "D:\e2.cmd" ( absent ! )  
Found ! D:\0bcobed.exe  
Found ! D:\0xuc.com  
Found ! D:\1ogf.exe  
Found ! D:\2u.com  
Found ! D:\cqxj.exe  
Found ! D:\cqxj.exe  
Found ! D:\ej10fkdo.bat  
Found ! D:\em8tqm.cmd  
Found ! D:\eyt.exe  
Found ! D:\g1ljsm.com  
Found ! D:\husyu8n.exe  
Found ! D:\jm3cx96.bat  
Found ! D:\minm.cmd  
Found ! D:
pee.com  
Found ! D:\o3n9k.com  
Found ! D:\qwtb.com  
Found ! D:\qwtb.com  
Found ! D:\upw.bat  
Found ! D:\vwewav8.com  
Found ! D:\autorun.inf  
Found ! F:\autorun.inf  

################## [ Registre # Clés Run infectieuses ]

Found ! HKLM\software\microsoft\security center\ "AntiVirusOverride"  
# -> ( Value = 0x1 | Good = 0x0 Bad = 0x1 )  
Found ! HKLM\software\microsoft\security center\ "FirewallDisableNotify"  
# -> ( Value = 0x1 | Good = 0x0 Bad = 0x1 )  

################## [ Registre # Mountpoints2 ]

HKCU\Software\Microsoft\....\MountPoints2\{1242b750-292e-11de-bd21-00c09f32f3b8}\Shell\AutoRun\command  
HKCU\Software\Microsoft\....\MountPoints2\{1242b750-292e-11de-bd21-00c09f32f3b8}\Shell\open\Command  
HKCU\Software\Microsoft\....\MountPoints2\{7d030e60-7af0-11da-b53e-00c09f32f3b8}\Shell\AutoRun\command  
HKCU\Software\Microsoft\....\MountPoints2\{7d030e60-7af0-11da-b53e-00c09f32f3b8}\Shell\explore\Command  
HKCU\Software\Microsoft\....\MountPoints2\{7d030e60-7af0-11da-b53e-00c09f32f3b8}\Shell\open\Command  
HKCU\Software\Microsoft\....\MountPoints2\{93b06840-93f8-11d9-b3fd-00c09f32f3b8}\Shell\AutoRun\command  
HKCU\Software\Microsoft\....\MountPoints2\{93b06840-93f8-11d9-b3fd-00c09f32f3b8}\Shell\open\Command  

################## [ ! Fin du rapport # UsbFix V3.017 ! ]

Ced_King · Answer

Branches tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...)sans les ouvrir 

# Double-cliques sur le raccourci UsbFix présent sur ton bureau et choisis éxécuter en tant qu'administrateur . 

# choisis l'option 2 ( Suppression ) 

# Ton bureau disparaitra et le pc redémarrera . 

# Au redémarrage , UsbFix scannera ton pc , laisses travailler l'outil. 

# Ensuite postes le rapport UsbFix.txt qui apparaitra avec le bureau . 

# Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

Ced_King · Answer

Vu les données affichées, pouvez-vous me répondre à la question de l'autre ordi. La création d'un CD de mes données puis le reformatage peuvent se faire sans risque au vue du type d'infection ou il y a t'il des précautions à prendre ?


- Pourquoi ne pas desinfecter ?

USBFix fait du trés bon boulot !!! on peut voir ça aprés si tu veux ?

Ced_King · Answer

Postes le rapport qui se trouve à la racine du disque C stp

KVK · Answer

############################## [ UsbFix V3.017 # Cleaning ]

# User : nom (Administrateurs) # ACER-86U03S59CR
# Update on 06/05/09 by Chiquitine29, C_XX & Chimay8
# WebSite : http://pagesperso-orange.fr/NosTools/usbfix.html
# Start at: 20:59:00 | 6/05/2009

# Mobile AMD Athlon(tm) XP 2400+
# Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
# Internet Explorer 7.0.5730.11
# Windows Firewall Status : Enabled
# AV : Kaspersky Anti-Virus 8.0.0.506 [ (!) Disabled | (!) Outdated ]
# FW : Norton Internet Security[ Enabled ]2002

# C:\ # Disque fixe local # 27,47 Go (809,2 Mo free) [ACER] # FAT32
# D:\ # Disque fixe local # 9,76 Go (8,67 Go free) [ACERDATA] # FAT32
# E:\ # Disque CD-ROM
# F:\ # Disque fixe local # 298,02 Go (276,4 Go free) [FREECOM HDD] # FAT32

############################## [ Processus actifs ]

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\WgaTray.exe
C:\Program Files\Symantec\LiveUpdate\NDETECT.EXE
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\CTSvcCDA.EXE
C:\Program Files\Norton Internet Security\NISUM.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Program Files\Norton Internet Security\NISSERV.EXE
C:\Program Files\Norton Internet Security\SymProxySvc.exe
C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\system32\fxssvc.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

################## [ Fichiers # Dossiers infectieux ]

Deleted ! C:\WINDOWS\system32\gasretyw1.dll

Ced_King · Answer

Il doit y avoir des bugs sur le site, tu es le 2eme a m'envoyer un rapport USBFix incomplet !

- Peux tu reessayer de l'envoyer completement stp?

Ced_King · Answer

Telecharge et installe ccleaner : https://filehippo.com/download_ccleaner/ 
- Durant l'installation, n'installe pas la barre d'outils yahoo et decoche la case " ajouter l'option des mises à jour" 

- Une fois installé, fermes toutes les applications en cours et lance ccleaner 
- clic >> option >> avancé et decoches " effacer les fichiers etc... plus vieux que 48h 
- Selectionne " nettoyeur " >> clic sur Analyse puis nettoyage, puis referme le programme... 

                                                       ------------------------

Telecharges Combofix et enregistres le sur ton bureau 

http://download.bleepingcomputer.com/sUBs/ComboFix.exe - 

/!\ Desactives ton antivirus et la garde de ton antispyware ( si tu en as un) /!\ 

- Deconnectes toi et fermes toutes les applications en cours 
- Double clic sur Combofix.exe >> un message apparait > réponds " oui " 
- ( Il est conseillé d'installer la console de recuperations) 
- Selectionnes la langue et presse la touche 1 ( yes) pour lancer le scan 

/!\ Ne touche ni à la souris, ni au clavier durant le scan, cela pourrait figer l'ordi /!\ 

- A la fin du scan, Combofix aura besoin de redemarrer pour finir la desinfection, laisses le faire 
- Une fois terminé, un rapport s'affiche, poste son contenu que tu peux aussi trouver à c:\combofix.txt 
---------------------------

Ced_King · Answer

Déjà, il faudrait peut etre s'occuper de celui-ci !!!

- Le rapport USBFix n'est pas complet, peux-tu au moins refaire l'option1 afin qu'on sache quoi ?

- Pour l'autre pc, sans rapport, je ne pourrais pas te donner de réponse, car il existe des infections ou meme aprés un formatage, si tout n'a pas été fais dans les règles, l'infection reviendrait aussitot, je parle de Virut, Virtob, Sality, donc je ne peux pas m'engager à te donner une réponse si je ne connais pas l'origine de l'infection...

KVK · Answer

J'ai posté l'option 1 à 20h06

Ced_King · Answer

* Je sais que tu as posté l'option1, mais le rapport de l'option2 n'est pas complet !!! Donc, j'aimerais savoir si USBFix a dégommé les infections en totalité ou pas !!!

KVK · Answer

etape 1
Il semble encore avoir de l'infection, je refais la 2


############################## [ UsbFix V3.017 # Scan ]

# User : nom (Administrateurs) # ACER-86U03S59CR
# Update on 06/05/09 by Chiquitine29, C_XX & Chimay8
# WebSite : http://pagesperso-orange.fr/NosTools/usbfix.html
# Start at: 9:23:25 | 7/05/2009

# Mobile AMD Athlon(tm) XP 2400+
# Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
# Internet Explorer 7.0.5730.11
# Windows Firewall Status : Disabled
# AV : Kaspersky Anti-Virus 8.0.0.506 [ (!) Disabled | (!) Outdated ]
# FW : Norton Internet Security[ Enabled ]2002

# C:\ # Disque fixe local # 27,47 Go (733,81 Mo free) [ACER] # FAT32
# D:\ # Disque fixe local # 9,76 Go (8,67 Go free) [ACERDATA] # FAT32
# E:\ # Disque CD-ROM
# F:\ # Disque fixe local # 298,02 Go (276,4 Go free) [FREECOM HDD] # FAT32

############################## [ Processus actifs ]

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\CTSvcCDA.EXE
C:\Program Files\Norton Internet Security\NISUM.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Program Files\Norton Internet Security\NISSERV.EXE
C:\Program Files\Norton Internet Security\SymProxySvc.exe
C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\PROGRA~1\LAUNCH~1\QtZpAcer.EXE
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\Program Files\Norton Internet Security\IAMAPP.EXE
C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqSTE08.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\Product Assistant\bin\hprblog.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

################## [  Registre # Startup ]

HKCU_Main:  "Local Page"="C:\WINDOWS\system32\blank.htm" 
HKCU_Main:  "Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch" 
HKCU_Main:  "Start Page"="https://www.google.be/?gws_rd=ssl" 
HKLM_logon: "Userinit"="C:\WINDOWS\system32\userinit.exe," 
HKLM_logon: "DefaultUserName"="nom" 
HKLM_logon: "AltDefaultUserName"="nom" 
HKLM_logon: "LegalNoticeCaption"="" 
HKLM_logon: "LegalNoticeText"="" 
HKLM_Run:    LaunchApp=Alaunch 
HKLM_Run:    VTTimer=VTTimer.exe 
HKLM_Run:    SoundMan=SOUNDMAN.EXE 
HKLM_Run:    AGRSMMSG=AGRSMMSG.exe 
HKLM_Run:    SynTPLpr=C:\Program Files\Synaptics\SynTP\SynTPLpr.exe 
HKLM_Run:    SynTPEnh=C:\Program Files\Synaptics\SynTP\SynTPEnh.exe 
HKLM_Run:    LManager=C:\PROGRA~1\LAUNCH~1\QtZpAcer.EXE 
HKLM_Run:    TkBellExe="C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe" -osboot 
HKLM_Run:    Symantec NetDriver Monitor=C:\PROGRA~1\SYMNET~1\SNDMon.exe 
HKLM_Run:    iamapp=C:\Program Files\Norton Internet Security\IAMAPP.EXE 
HKLM_Run:    SunJavaUpdateSched="C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe" 
HKLM_Run:    Adobe Reader Speed Launcher="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" 
HKLM_Run:    AVP="C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe" 
HKLM_Run:    HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents= 
HKCU_Run:    MsnMsgr="C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background  
HKCU_Run:    ctfmon.exe=C:\WINDOWS\system32\ctfmon.exe  

################## [ Informations ]


################## [ Fichiers # Dossiers infectieux ]

C:\autorun.inf # -> fichier appelé : "C:\e2.cmd" ( absent ! )  
Found ! C:\0bcobed.exe  
Found ! C:\0xuc.com  
Found ! C:\1ogf.exe  
Found ! C:\2u.com  
Found ! C:\cqxj.exe  
Found ! C:\cqxj.exe  
Found ! C:\ej10fkdo.bat  
Found ! C:\em8tqm.cmd  
Found ! C:\eyt.exe  
Found ! C:\g1ljsm.com  
Found ! C:\husyu8n.exe  
Found ! C:\jm3cx96.bat  
Found ! C:\minm.cmd  
Found ! C:
pee.com  
Found ! C:\o3n9k.com  
Found ! C:\qwtb.com  
Found ! C:\qwtb.com  
Found ! C:\upw.bat  
Found ! C:\vwewav8.com  
Found ! C:\autorun.inf  
D:\autorun.inf # -> fichier appelé : "D:\e2.cmd" ( absent ! )  
Found ! D:\0bcobed.exe  
Found ! D:\0xuc.com  
Found ! D:\1ogf.exe  
Found ! D:\2u.com  
Found ! D:\cqxj.exe  
Found ! D:\cqxj.exe  
Found ! D:\ej10fkdo.bat  
Found ! D:\em8tqm.cmd  
Found ! D:\eyt.exe  
Found ! D:\g1ljsm.com  
Found ! D:\husyu8n.exe  
Found ! D:\jm3cx96.bat  
Found ! D:\minm.cmd  
Found ! D:
pee.com  
Found ! D:\o3n9k.com  
Found ! D:\qwtb.com  
Found ! D:\qwtb.com  
Found ! D:\upw.bat  
Found ! D:\vwewav8.com  
Found ! D:\autorun.inf  
Found ! F:\autorun.inf  

################## [ Registre # Clés Run infectieuses ]

Found ! HKLM\software\microsoft\security center\ "AntiVirusOverride"  
# -> ( Value = 0x1 | Good = 0x0 Bad = 0x1 )  
Found ! HKLM\software\microsoft\security center\ "FirewallDisableNotify"  
# -> ( Value = 0x1 | Good = 0x0 Bad = 0x1 )  

################## [ Registre # Mountpoints2 ]

HKCU\Software\Microsoft\....\MountPoints2\{1242b750-292e-11de-bd21-00c09f32f3b8}\Shell\AutoRun\command  
HKCU\Software\Microsoft\....\MountPoints2\{1242b750-292e-11de-bd21-00c09f32f3b8}\Shell\open\Command  
HKCU\Software\Microsoft\....\MountPoints2\{7d030e60-7af0-11da-b53e-00c09f32f3b8}\Shell\AutoRun\command  
HKCU\Software\Microsoft\....\MountPoints2\{7d030e60-7af0-11da-b53e-00c09f32f3b8}\Shell\explore\Command  
HKCU\Software\Microsoft\....\MountPoints2\{7d030e60-7af0-11da-b53e-00c09f32f3b8}\Shell\open\Command  
HKCU\Software\Microsoft\....\MountPoints2\{93b06840-93f8-11d9-b3fd-00c09f32f3b8}\Shell\AutoRun\command  
HKCU\Software\Microsoft\....\MountPoints2\{93b06840-93f8-11d9-b3fd-00c09f32f3b8}\Shell\open\Command  

################## [ ! Fin du rapport # UsbFix V3.017 ! ]

Ced_King · Answer

Salut,

Il semble encore avoir de l'infection, je refais la 2 


- Avant, j'aimerais avoir --> Je vois  Norton internet security  et Kaspersky antivirus 2009

* Si tu as 2 antivirus sur ton pc, ça ne va pas le faire, risques de conflits entre eux...

KVK · Answer

Norton est le firewall. Kaspersky est tout nouveau, il a été placé pour tenter d'enrayer l'infection (que Norton n'a pas détecté vu que ce n'est pas un antivirus).

USBfix semble pas optimal parce que quand il redémarre, mon ordi plante (erreur système et écran bleu) et je ne sais pas si USBfix a pu faire entièrement son boulot.

Ced_King · Answer

Norton est le firewall. Kaspersky est tout nouveau, il a été placé pour tenter d'enrayer l'infection (que Norton n'a pas détecté vu que ce n'est pas un antivirus). 

- Pour moi, N-I-S c'est le pack Norton ( antivirus,Firewall, antispyware, antispam etc, etc....), donc ça peut porter à confusion...

Fais ce qui est demandé ICI stp et suis bien les instructions...

Ced_King · Answer

Bonjour, - Es-tu sure de ne plus avoir l'antivirus Norton ? Si c'est pârce que tu éprouves de la difficulté a desinstaller Norton, tu peux utiliser l'utilitaire de Symantec : http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/fr_docid/20050414110429924 - Pourquoi n'installes tu pas tout simplement un autre pare-feu, gratuit, tu peux en trouver de trés bons : http://www.malekal.com/menu_tutorials_logiciels.php Note : 1 seul pare-feu et 1 seul antivirus par pc --------------------------- Télécharges ATF Cleaner par Atribune sur ton bureau - Démarres ATF-Cleaner et coches toutes les cases. - Cliques sur et au message "Done Cleaning" sur NB : Si tu utilises Firefox ou Opera : - Cliques sur Firefox ou Opera en haut puis choisis

KVK · Answer

J'ai refait l'option 1 (j'ai manqué de temps dernièrement).

Je lance l'option 2 et je poste ici-même dans quelques minutes.


############################## [ UsbFix V3.017 # Scan ]

# User : nom (Administrateurs) # ACER-86U03S59CR
# Update on 06/05/09 by Chiquitine29, C_XX & Chimay8
# WebSite : http://pagesperso-orange.fr/NosTools/usbfix.html
# Start at: 18:55:18 | 18/05/2009

# Mobile AMD Athlon(tm) XP 2400+
# Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
# Internet Explorer 7.0.5730.11
# Windows Firewall Status : Disabled
# AV : Kaspersky Anti-Virus 8.0.0.506 [ (!) Disabled | (!) Outdated ]
# FW : Norton Internet Security[ Enabled ]2002

# C:\ # Disque fixe local # 27,47 Go (1,08 Go free) [ACER] # FAT32
# D:\ # Disque fixe local # 9,76 Go (8,67 Go free) [ACERDATA] # FAT32
# E:\ # Disque CD-ROM
# F:\ # Disque fixe local # 298,02 Go (276,4 Go free) [FREECOM HDD] # FAT32
# G:\ # Disque amovible # 495,72 Mo (491,74 Mo free) # FAT

############################## [ Processus actifs ]

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\CTSvcCDA.EXE
C:\Program Files\Norton Internet Security\NISUM.EXE
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Norton Internet Security\SymProxySvc.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Program Files\Norton Internet Security\NISSERV.EXE
C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\PROGRA~1\LAUNCH~1\QtZpAcer.EXE
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\Program Files\Norton Internet Security\IAMAPP.EXE
C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqSTE08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\Product Assistant\bin\hprblog.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\internet explorer\iexplore.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

################## [  Registre # Startup ]

HKCU_Main:  "Local Page"="C:\WINDOWS\system32\blank.htm" 
HKCU_Main:  "Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch" 
HKCU_Main:  "Start Page"="https://www.google.be/?gws_rd=ssl" 
HKLM_logon: "Userinit"="C:\WINDOWS\system32\userinit.exe," 
HKLM_logon: "DefaultUserName"="nom" 
HKLM_logon: "AltDefaultUserName"="nom" 
HKLM_logon: "LegalNoticeCaption"="" 
HKLM_logon: "LegalNoticeText"="" 
HKLM_Run:    LaunchApp=Alaunch 
HKLM_Run:    VTTimer=VTTimer.exe 
HKLM_Run:    SoundMan=SOUNDMAN.EXE 
HKLM_Run:    AGRSMMSG=AGRSMMSG.exe 
HKLM_Run:    SynTPLpr=C:\Program Files\Synaptics\SynTP\SynTPLpr.exe 
HKLM_Run:    SynTPEnh=C:\Program Files\Synaptics\SynTP\SynTPEnh.exe 
HKLM_Run:    LManager=C:\PROGRA~1\LAUNCH~1\QtZpAcer.EXE 
HKLM_Run:    TkBellExe="C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe" -osboot 
HKLM_Run:    Symantec NetDriver Monitor=C:\PROGRA~1\SYMNET~1\SNDMon.exe 
HKLM_Run:    iamapp=C:\Program Files\Norton Internet Security\IAMAPP.EXE 
HKLM_Run:    SunJavaUpdateSched="C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe" 
HKLM_Run:    Adobe Reader Speed Launcher="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" 
HKLM_Run:    AVP="C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe" 
HKLM_Run:    HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents= 
HKCU_Run:    MsnMsgr="C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background  
HKCU_Run:    ctfmon.exe=C:\WINDOWS\system32\ctfmon.exe  

################## [ Informations ]


################## [ Fichiers # Dossiers infectieux ]

Found ! C:
pee.com  
Found ! C:\o3n9k.com  
Found ! C:\qwtb.com  
Found ! C:\qwtb.com  
Found ! C:\vwewav8.com  
Found ! D:\0bcobed.exe  
Found ! D:\0xuc.com  
Found ! D:\1ogf.exe  
Found ! D:\cqxj.exe  
Found ! D:\cqxj.exe  
Found ! D:\eyt.exe  
Found ! D:\g1ljsm.com  
Found ! D:
pee.com  
Found ! D:\o3n9k.com  
Found ! D:\qwtb.com  
Found ! D:\qwtb.com  
Found ! D:\vwewav8.com  
Found ! F:\autorun.inf  
G:\autorun.inf # -> fichier appelé : "G:\upw.bat" ( absent ! )  
Found ! G:\autorun.inf  

################## [ Registre # Clés Run infectieuses ]

Found ! HKLM\software\microsoft\security center\ "AntiVirusOverride"  
# -> ( Value = 0x1 | Good = 0x0 Bad = 0x1 )  

################## [ Registre # Mountpoints2 ]

HKCU\Software\Microsoft\....\MountPoints2\{1242b750-292e-11de-bd21-00c09f32f3b8}\Shell\AutoRun\command  
HKCU\Software\Microsoft\....\MountPoints2\{1242b750-292e-11de-bd21-00c09f32f3b8}\Shell\open\Command  
HKCU\Software\Microsoft\....\MountPoints2\{7d030e60-7af0-11da-b53e-00c09f32f3b8}\Shell\AutoRun\command  
HKCU\Software\Microsoft\....\MountPoints2\{7d030e60-7af0-11da-b53e-00c09f32f3b8}\Shell\explore\Command  
HKCU\Software\Microsoft\....\MountPoints2\{7d030e60-7af0-11da-b53e-00c09f32f3b8}\Shell\open\Command  
HKCU\Software\Microsoft\....\MountPoints2\{93b06840-93f8-11d9-b3fd-00c09f32f3b8}\Shell\AutoRun\command  
HKCU\Software\Microsoft\....\MountPoints2\{93b06840-93f8-11d9-b3fd-00c09f32f3b8}\Shell\open\Command  

################## [ ! Fin du rapport # UsbFix V3.017 ! ]

KVK · Answer

USBfix partie 2

############################## [ UsbFix V3.017 # Cleaning ]

# User : nom (Administrateurs) # ACER-86U03S59CR
# Update on 06/05/09 by Chiquitine29, C_XX & Chimay8
# WebSite : http://pagesperso-orange.fr/NosTools/usbfix.html
# Start at: 19:02:08 | 18/05/2009

# Mobile AMD Athlon(tm) XP 2400+
# Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
# Internet Explorer 7.0.5730.11
# Windows Firewall Status : Enabled
# AV : Kaspersky Anti-Virus 8.0.0.506 [ (!) Disabled | (!) Outdated ]
# FW : Norton Internet Security[ Enabled ]2002

# C:\ # Disque fixe local # 27,47 Go (1,08 Go free) [ACER] # FAT32
# D:\ # Disque fixe local # 9,76 Go (8,67 Go free) [ACERDATA] # FAT32
# E:\ # Disque CD-ROM
# F:\ # Disque fixe local # 298,02 Go (276,4 Go free) [FREECOM HDD] # FAT32
# G:\ # Disque amovible # 495,72 Mo (491,74 Mo free) # FAT

############################## [ Processus actifs ]

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Symantec\LiveUpdate\NDETECT.EXE
C:\WINDOWS\system32\WgaTray.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\CTSvcCDA.EXE
C:\Program Files\Norton Internet Security\NISUM.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Program Files\Norton Internet Security\NISSERV.EXE
C:\Program Files\Norton Internet Security\SymProxySvc.exe
C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\system32\fxssvc.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

################## [ Fichiers # Dossiers infectieux ]

Deleted ! C:
pee.com    
Deleted ! C:\o3n9k.com    
Deleted ! C:\qwtb.com    
Deleted ! C:\vwewav8.com    
Deleted ! D:\0bcobed.exe    
Deleted ! D:\0xuc.com    
Deleted ! D:\1ogf.exe    
Deleted ! D:\cqxj.exe    
Deleted ! D:\eyt.exe    
Deleted ! D:\g1ljsm.com    
Deleted ! D:
pee.com    
Deleted ! D:\o3n9k.com    
Deleted ! D:\qwtb.com    
Deleted ! D:\vwewav8.com    
Deleted ! F:\autorun.inf    
G:\autorun.inf # -> fichier appelé : "G:\upw.bat" ( absent ! )

Infection par un trojan : Magania et OnLIneGa

22 réponses

Votre réponse

Discussions similaires

Newsletters