hardcore virus: System security version 4.51

Question

Bonjour,
voila , des amis m'ont demandé de les aider pour un virus sur leur pc (windows xp). Il s'agit de System security version 4.51, La situation est la même que sur ce sujet : http://www.commentcamarche.net/forum/affich 12496580 system security version 4 51
Le virus empêche AVG free (l'antivirus de mes amis) de fonctionner, impossible de faire un scan en ligne avec trend micro, impossible de démarrer hijack this pour faire un scan et demander de l'aide sur le forum.

Dans le sujet que je viens de citer, il est conseillé :

"On va y aller pas à pas.

Redémarre en mode sans échec :
Pour cela, tu tapotes la touche F8 à l’allumage du pc sans t’arrêter.

# Une fenêtre va s’ouvrir. Choisis démarrer en mode sans échec puis tape entrée.
# Choisis ton compte.

Relance le programme Smitfraud,

# Pour cela, tu vas dans le dossier SmitFraudFix crée sur ton bureau et tu doubles-cliques sur SmitFraudFix.cmd.
# Cette fois choisis l’option 2, répond oui a tous ;
# Sauvegarde le rapport puis redémarre en mode normal,

copie/colle le rapport sauvegardé sur le forum. "

Dois-je faire la même chose pour que quelqu'un puisse m'aider, je ne veux pas utiliser directement de remède trop puissant risquant d'endommager le système de mes amis sans avoir d'abord demandé conseil sur le forum...

Merci

Lyonnais92 · Answer

Bonjour,

je préferais que tu commences par ceci :

 Ouvre ce lien et télécharge ZHPDiag :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
hxxp://telechargement.zebulon.fr/telecharger-zhpdiag.html

Enregistre le sur ton Bureau.

Une fois le téléchargement achevé, lance ZHPDiag.exe et clique sur Unzip dans la fenêtre qui s'ouvre.

Clique sur Tous pour cocher toutes les cases des options.

Clique sur la loupe pour lancer l'analyse.

A la fin de l'analyse, clique sur l'appareil photo et enregistre le rapport sur ton Bureau.

Ouvre le fichier sauvegardé (ZHPDiag.txt)avec le Bloc-Notes et copie son contenu dans ta réponse.

Pour me le transmettre clique sur ce lien :

http://www.cijoint.fr/

Clique sur Parcourir et cherche le fichier C:\Documents and settings\le_nom_de_ta_session\.ZHPDiag.txt

Clique sur Ouvrir.

Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt

est ajouté dans la page.

Copie ce lien dans ta réponse.

bouboub · Answer

salut,
 ok je ferais ça, mais demain en fin d'après-midi car ce n'est qu'à ce moment là que j'aurais accès au pc infecté. Tu penses que ZHPDIAG réussira à fonctionner en mode normale, (alors que hijack this ne peux pas s'exécuter à cause du virus), ou bien je dois le lancer en mode sans échec ?

VIVE LINUX, quand je vois les complications avec les malwares sur windows...!

Lyonnais92 · Answer

Re,

tu essayes en mode normal.

Si ça ne fonctionne pas, mode sans échec.

Il y a des chances que ZHPDiag fonctionne.

bouboub · Answer

Merci , à demain !

arteu99 · Answer

System Security 4.51 est un le même que System Security 2009. Ce travail devrait
http://www.assure-le.com/system-security-2009

bouboub · Answer

bonjour, voici le lien http://www.cijoint.fr/cjlink.php?file=cj200906/cijtATINt0.txt

Lyonnais92 · Answer

Re,

on va bien se servir de SmitfaudFix.

Ouvre ce lien  (merci a S!RI pour ce programme). http://siri.urz.free.fr/Fix/SmitfraudFix.php
et télécharge SmitfraudFix.exe.

Regarde le tuto
Exécute le en choisissant l’option 1, il va générer un rapport
Copie/colle le sur le poste stp.

======

Je voudrais aussi avoir des informations sur un fichier.

Rends toi sur ce site :

https://www.virustotal.com/gui/

Clique sur parcourir et cherche ce fichier : C:\Documents and Settings\All Users\Application Data\11985984\11985984.exe

Clique sur Send File.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse. 

Si VirusTotal indique que le fichier a déjà été analysé, cliquer sur le bouton Reanalyse le fichier maintenant

bouboub · Answer

salut lyonnais92,

je ferais ça demain en fin d'après-midi de nouveau, merci de suivre l'évolution de l'affaire.

pour info j'ai tenté l'opération "Instructions de suppression automatique de System Security 2009" sur le lien proposé par arteu99 , http://www.assure-le.com/system-security-2009 (smitfraudfix choix 2) mais ça n'a rien donné, le virus s'accroche.

A demain

Ps : tu as l'air d'être disponible à partir de 20h le soir c'est ça ?  dans ce cas ça vaudrais peut-être le coup que j'aille chez mes amis à cette heure là demain pour qu'on travaille en direct ?

Lyonnais92 · Answer

Re,

je suis disponible de 9 h à 23h en général, mais je ne suis pas forcément là tout le temps.

bouboub · Answer

Alors on verra si tu es dispo vers 17-18h 

Bonne soirée et encore merci .

bouboub · Answer

bonjour, voilà pour virus total : Fichier 11985984.exe_ reçu le 2009.06.12 15:56:10 (UTC)Antivirus Version Dernière mise à jour Résultat a-squared 4.5.0.18 2009.06.12 Trojan.Win32.Winwebsec!IK AhnLab-V3 5.0.0.2 2009.06.12 - AntiVir 7.9.0.187 2009.06.12 - Antiy-AVL 2.0.3.1 2009.06.12 - Authentium 5.1.2.4 2009.06.12 - Avast 4.8.1335.0 2009.06.11 - AVG 8.5.0.339 2009.06.12 Downloader.Small.GBM BitDefender 7.2 2009.06.12 - CAT-QuickHeal 10.00 2009.06.12 - ClamAV 0.94.1 2009.06.12 - Comodo 1320 2009.06.12 - DrWeb 5.0.0.12182 2009.06.12 Trojan.Fakealert.4362 eSafe 7.0.17.0 2009.06.11 Win32.FakeAlert.Dx eTrust-Vet 31.6.6555 2009.06.12 - F-Prot 4.4.4.56 2009.06.12 - F-Secure 8.0.14470.0 2009.06.12 FraudTool.Win32.SystemSecurity.mf Fortinet 3.117.0.0 2009.06.12 W32/FakeAV.AX!tr GData 19 2009.06.12 - Ikarus T3.1.1.59.0 2009.06.12 Trojan.Win32.Winwebsec K7AntiVirus 7.10.762 2009.06.12 - Kaspersky 7.0.0.125 2009.06.12 not-a-virus:FraudTool.Win32.SystemSecurity.mf McAfee 5643 2009.06.11 FakeAlert-WinwebSecurity.a McAfee+Artemis 5643 2009.06.11 FakeAlert-WinwebSecurity.a McAfee-GW-Edition 6.7.6 2009.06.12 Trojan.LooksLike.Backdoor.Hupigon Microsoft 1.4701 2009.06.12 - NOD32 4151 2009.06.12 - Norman 6.01.09 2009.06.12 - nProtect 2009.1.8.0 2009.06.12 - Panda 10.0.0.14 2009.06.12 - PCTools 4.4.2.0 2009.06.12 - Rising 21.33.44.00 2009.06.12 - Sophos 4.42.0 2009.06.12 Mal/FakeAV-AX Sunbelt 3.2.1858.2 2009.06.12 FraudTool.Win32.RogueSecurity (v) Symantec 1.4.4.12 2009.06.12 Trojan.Fakeavalert TheHacker 6.3.4.3.344 2009.06.11 - TrendMicro 8.950.0.1092 2009.06.12 - VBA32 3.12.10.7 2009.06.12 - ViRobot 2009.6.12.1783 2009.06.12 - Information additionnelle File size: 368675 bytes MD5...: 8f6f65e296032be424ea4671003a5061 SHA1..: d613e11429a62a0afc99b6df7395779494c5c3f7 SHA256: cd1e46f815be96dca17aef7618840084448fff54c7f09daaec38e3309d9767ee ssdeep: -
PEiD..: - TrID..: File type identification
Win32 Dynamic Link Library (generic) (55.4%)
Win16/32 Executable Delphi generic (15.1%)
Generic Win/DOS Executable (14.6%)
DOS Executable Generic (14.6%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%) PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x1197
timedatestamp.....: 0x4a2edc65 (Tue Jun 09 22:04:21 2009)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x559c8 0x55a00 7.90 56dada6876809d5a19e9ec30b64ff528
.rdata 0x57000 0x126 0x200 3.15 90cec9653a43480c9c8c678c1e0ad5ac
.data 0x58000 0x50008 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.rsrc 0xa9000 0x3ef0 0x4000 6.01 39fad5cca6c90239fdd83f296b6dba76

( 1 imports )
> KERNEL32.dll: GetModuleHandleW, VirtualAlloc, EnterCriticalSection, LeaveCriticalSection, GetCurrentThreadId, WideCharToMultiByte, DeleteCriticalSection, GetLastError

( 0 exports )
PDFiD.: - RDS...: NSRL Reference Data Set
- ThreatExpert info: https://www.symantec.com?md5=8f6f65e296032be424ea4671003a5061

bouboub · Answer

et smitfraudfix: 

SmitFraudFix v2.422

Rapport fait à 18:05:12,10, 12/06/2009
Executé à partir de C:\Documents and Settings\Administrateur\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Documents and Settings\Administrateur\Bureau\SmitfraudFix\Policies.exe
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Administrateur


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Administrateur\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\ADMINI~1\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
 

»»»»»»»»»»»»»»»»»»»»»»»» o4Patch
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

o4Patch
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» Agent.OMZ.Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

Agent.OMZ.Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""
"LoadAppInit_DLLs"=dword:00000001


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\WINDOWS\system32\userinit.exe,"

»»»»»»»»»»»»»»»»»»»»»»»» RK

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""




»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Carte D-Link DFE-530TX PCI Fast Ethernet (rev.A) - Miniport d'ordonnancement de paquets
DNS Server Search Order: 192.168.1.254

HKLM\SYSTEM\CCS\Services\Tcpip\..\{C34BC978-CE27-4488-8301-8DF69F198D24}: DhcpNameServer=192.168.1.254
HKLM\SYSTEM\CS1\Services\Tcpip\..\{C34BC978-CE27-4488-8301-8DF69F198D24}: DhcpNameServer=192.168.1.254
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C34BC978-CE27-4488-8301-8DF69F198D24}: DhcpNameServer=192.168.1.254
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.254
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.254
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.254


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

Lyonnais92 · Answer

Bonjour,

pas le bon outil.

1) Imprime ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.

2) Télécharge Malwarebytes' Anti-Malware (MBAM) et enregistre le sur ton Bureau à partir de ce lien :

https://download.cnet.com/Malwarebytes/3000-8022_4-10804572.html

3) A la fin du téléchargement, ferme toutes les fenêtres et programmes, y compris celui-ci.

4) Double-clique sur l'icône Download_mbam-setup.exe sur ton bureau pour démarrer le programme d'installation.

5) Pendant l'installation, suis les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet). N'apporte aucune modification aux réglages par défaut et, en fin d'installation, vérifie que les options Update Malwarebytes' Anti-Malware et Launch Malwarebytes' Anti-Malware sont cochées.

6) MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse. Comme MBAM se met automatiquement à jour en fin d'installation, clique sur OK pour fermer la boîte de dialogue. La fenêtre principale de MBAM s'affiche :

7) Dans l'onglet analyse, vérifie que "Exécuter une analyse rapide"  est coché et clique sur le bouton Rechercher pour démarrer l'analyse.

8) MBAM analyse ton ordinateur. L'analyse peut prendre un certain temps. Il suffit de vérifier de temps en temps son avancement.

9) A la fin de l'analyse, un message s'affiche indiquant la fin de l'analyse. Clique sur OK pour poursuivre.

10) Si des malwares ont été détectés, leur liste s'affiche.
En cliquant sur Suppression (?) , MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

11) MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Ferme le Bloc-notes. (Le rapport peut être retrouvé sous l'onglet Rapports/logs)

12) Ferme MBAM en cliquant sur Quitter.

13) Poste le rapport dans ta réponse

bouboub · Answer

bonjour, 
je fais ça dans le week-end , merci et bonne soirée.

bouboub · Answer

bonjour, 
voici le rapport crée par MBAM après anlyse et suppression :

Malwarebytes' Anti-Malware 1.37
Version de la base de données: 2275
Windows 5.1.2600 Service Pack 3

14/06/2009 15:54:53
mbam-log-2009-06-14 (15-54-53).txt

Type de recherche: Examen rapide
Eléments examinés: 86914
Temps écoulé: 4 minute(s), 15 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 2
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 2
Fichier(s) infecté(s): 6

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SystemSecurity2009 (Rogue.SystemSecurity) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\11985984 (Rogue.Multiple.H) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\91995976 (Rogue.Multiple.H) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue (Hijack.System.Hidden) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
C:\Documents and Settings\All Users\Application Data\11985984 (Rogue.Multiple.H) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Application Data\91995976 (Rogue.Multiple.H) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):
c:\documents and settings\all users\application data\11985984\11985984.exe (Rogue.Multiple.H) -> Quarantined and deleted successfully.
c:\documents and settings\all users\application data\11985984\11985984.glu (Rogue.Multiple.H) -> Quarantined and deleted successfully.
c:\documents and settings\all users\application data\11985984\pc11985984cnf (Rogue.Multiple.H) -> Quarantined and deleted successfully.
c:\documents and settings\all users\application data\11985984\pc11985984ins (Rogue.Multiple.H) -> Quarantined and deleted successfully.
c:\documents and settings\all users\application data\91995976\91995976.exe (Rogue.Multiple.H) -> Quarantined and deleted successfully.
c:\documents and settings\Gege\Bureau\System Security 2009.lnk (Rogue.SystemSecurity) -> Quarantined and deleted successfully.

Lyonnais92 · Answer

Bonjour,

bon, l'outil semble avoir bien nettoyé.

Refais tourner ZHPDiag et remets le rapport en lien cijoint.

bouboub · Answer

Bonjour,

voici pour Lyonnais92 le lien vers le résultat d'analyse ZHPDiag 

http://www.cijoint.fr/cjlink.php?file=cj200906/cij0BM44Ju.txt 

Petite question maintenant: le virus s'est vraissemblablement transmis par une clé usb qui transite entre ce pc et un pc professionnel de mon ami qui est connecté à internet par 3G (avec une carte SIM dans le PC, je ne connaissais pas ce système). Hors sur ce pc professionnel, impossible d'installer de protection pour le net(le pc refuse d'installer le pare-feu windows: non autorisé, voir l'administrateur du réseau !). Donc je pense que mon ami va systématiquement réinfecter son pc perso, s'il y envoie des données de son pc professionnel: clé usb ou même mail (?) .
Donc ma question est : Si je lui installe ubuntu sur son pc personnel, le virus provenant de son pc professionnel et transmis par sa clé usb ne pourra pas attaquer ubuntu (incompatibilité entre le virus et ubuntu) et mon ami peut donc continuer à faire transiter des choses d'un pc vers l'autre, est-ce exact ?
Parce que je crois que mon ami n'est pas prêt d'avoir l'autorisation de protéger son pc professionnel...
Linux est-il une bonne alternative pour remédier à ce problème ?

PS: merci iM12 pour le lien, même s'il arrive après la résolution du problème.

bouboub · Answer

up !

Lyonnais92 · Answer

Bonsoir,

le passage à Linux va bloquer les infections.

par contre, elles vont réapparaître si on réutilise Windows sur cet ordi (sauf si on ne copie que des fichiers sains).

Si l'ordi professionnel est infecté, il est vraiment impossible de convaincre son responsable qu'il faut désinfecter et protéger ? Arguer des risques pour les clients ?

====

Pour continuer :

Télécharge et installe [url=http://sd-1.archive-host.com/membres/up/127028005715545653/UsbFix.exe] [COLOR="Blue"][B]UsbFix[/B][/COLOR][/url] de C_XX & Chiquitine29

 Branche tes [B]sources de données externes[/B] à ton PC, (clé USB, disque dur externe, etc...) susceptibles d avoir été infectées sans les ouvrir 

# Double clic sur le raccourci UsbFix présent sur ton bureau .

# Choisie l'[B]option 1[/B] ( Recherche )

# Laisse travailler l'outil.

# Ensuite [B]poste[/B] le rapport UsbFix.txt qui apparaitra.

# Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )

# Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
         Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
         Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

bouboub · Answer

salut Lyonnais92, 

mon ami va essayer de voir avec son entreprise... Ses connections internet sont limitées à certains sites de fournisseurs, et pour communiquer entre collègues, peut-être que pour l'employeur il n'y a donc pas besoin d'anti-virus et pare-feu ou que l'employeur pense que refuser ces protections dissuade ses employés d'aller surfer ?... Moi je pense que le virus lui a été transmis par un collègue qui l'a lui-même attrapé sur son PC perso(du collègue). 

Si j'installe linux avec une partition commune en fat32 pour stocker des fichiers (donc accessibles des 2 OS) (chacun aura sa partition), les virus peuvent-ils transiter par linux pour aller attaquer windows ?

l'outil que tu me donne est pour nettoyer la clé USB c'est ça ? je suis tes instructions ce week-end et te renvoie le rapport. Puis-je faire ces manip (usbfix) en mode sans échec ou dois-je le faire obligatoirement en mode normal ?

Merci

Lyonnais92 · Answer

Bonjour,

oui, USBFix va nettoyer la clé USB.

On utilisera aussi la fonction vacciner qui devrait mimiser les risques de réinfection.


Ds lors que tu as un fichier .exe (par exemple) qui est infecté, même si il est dans une partition "Linux", tu peux l'exécuter de l'OS Windows.

Clairement, son patron ne sait pas quels risques il court.

bouboub · Answer

salut Lyonnais92, voici le rapport usbfix:


############################## [ UsbFix V3.032 ]

# User : Gege (Administrateurs) # E897B7E69BD2459
# Update on 15/06/09 by Chiquitine29
# Start at: 19:30:31 | 20/06/2009
# Website : http://pagesperso-orange.fr/NosTools/usbfix.html

# AMD Athlon(tm) Processor
# Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
# Internet Explorer 8.0.6001.18702
# Windows Firewall Status : Enabled
# AV : AVG Anti-Virus Free 8.5 [ Enabled | Updated ]

# A:\ # Lecteur de disquettes 3 ½ pouces
# C:\ # Disque fixe local # 12,56 Go (1,79 Go free) # NTFS
# D:\ # Disque CD-ROM
# E:\ # Disque CD-ROM
# F:\ # Disque fixe local # 12,08 Go (10,76 Go free) # FAT32
# G:\ # Disque amovible
# H:\ # Disque amovible # 3,82 Go (3,82 Go free) # FAT32

############################## [ Processus actifs ]

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\DartyBox_v3\Bewan\AssistantDB\AssistantDB_Bewan.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

################## [ Registre Startup ]

HKCU_Main:   "Local Page"="C:\WINDOWS\system32\blank.htm" 
HKCU_Main:   "Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch" 
HKCU_Main:   "Start Page"="http://www.dartybox.com" 
HKLM_logon:  "Userinit"="C:\WINDOWS\system32\userinit.exe," 
HKLM_logon:  "DefaultUserName"="Gege" 
HKLM_logon:  "AltDefaultUserName"="Gege" 
HKLM_logon:  "LegalNoticeCaption"="" 
HKLM_logon:  "LegalNoticeText"="" 

HKLM_Run:    NeroFilterCheck=C:\WINDOWS\system32\NeroCheck.exe 
HKLM_Run:    Cmaudio=RunDll32 cmicnfg.cpl,CMICtrlWnd 
HKLM_Run:    HP Software Update=C:\Program Files\HP\HP Software Update\HPWuSchd2.exe 
HKLM_Run:    AVG8_TRAY=C:\PROGRA~1\AVG\AVG8\avgtray.exe 
HKLM_Run:    HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents= 
HKCU_Run:    CTFMON.EXE=C:\WINDOWS\system32\ctfmon.exe  
HKCU_Run:    Assistant DartyBox=C:\Program Files\DartyBox_v3\Bewan\AssistantDB\AssistantDB_Bewan.exe -m  
HKCU_Run:    swg=C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe  
HKCU_Run:    msnmsgr="C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background  

HKLM_expl:   "HonorAutoRunSetting"=dword:00000001 

################## [ Fichiers # Dossiers infectieux ]

Présent ! C:\WINDOWS\system32\autorun.inf  
Présent ! H:\autorun.inf  
Présent ! H:ecycler\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx  

################## [ Registre # Clés Run infectieuses ]

Présent ! HKLM\software\microsoft\security center "AntiVirusOverride" ( 0x1 )  

################## [ Registre # Mountpoints2 ]

HKCU\...\Explorer\MountPoints2\{7399d1f0-3923-11dd-b5a0-0050ba24bba4}\Shell\AutoRun\Command  

################## [ ! Fin du rapport # UsbFix V3.032 ! ] 

Je suis un peu dégoûté car la clé usb de mon ami a tendance à s'ouvrir toute seule lorsqu'on l'insert dans le port usb du pc et donc ça fait une alerte de sécurité d'avg qui signale les virus présent sur elle. Si elle a réinfecté le pc ça va pas le faire . Du coup j'ai refait tourner MBAM, il a trouvé un fichier infecté, j'ai nettoyé et je t'envoie le rapport :

Malwarebytes' Anti-Malware 1.38
Database version: 2315
Windows 5.1.2600 Service Pack 3

20/06/2009 19:22:55
mbam-log-2009-06-20 (19-22-55).txt

Scan type: Quick Scan
Objects scanned: 95465
Time elapsed: 10 minute(s), 45 second(s)

Memory Processes Infected: 0
Memory Modules Infected: 0
Registry Keys Infected: 0
Registry Values Infected: 0
Registry Data Items Infected: 1
Folders Infected: 0
Files Infected: 0

Memory Processes Infected:
(No malicious items detected)

Memory Modules Infected:
(No malicious items detected)

Registry Keys Infected:
(No malicious items detected)

Registry Values Infected:
(No malicious items detected)

Registry Data Items Infected:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue (Hijack.System.Hidden) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.

Folders Infected:
(No malicious items detected)

Files Infected:
(No malicious items detected)



Voilà, 

encore merci pour ton aide, j'attends tes instructions

Lyonnais92 · Answer

Bonjour,

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir

# Double clic sur le raccourci UsbFix présent sur ton bureau

# choisis l'option 2 ( Suppression )

# Ton bureau disparaitra et le pc redémarrera .

# Au redémarrage , UsbFix scannera ton pc , laisse travailler l'outil.

# Ensuite poste le rapport UsbFix.txt qui apparaitra avec le Bureau .

# Note : Le rapport UsbFix.txt est sauvegardé à la racine du disque.( C:\UsbFix.txt )

( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )

bouboub · Answer

Salut Lyonnais92, je n'ai pas pu le faire avant, donc voici le résultat de la dernière opération que tu m'as demandé de faire:

############################## [ UsbFix V3.032 ]

# User : Gege (Administrateurs) # E897B7E69BD2459
# Update on 15/06/09 by Chiquitine29
# Start at: 16:39:21 | 11/07/2009
# Website : http://pagesperso-orange.fr/NosTools/usbfix.html

# AMD Athlon(tm) Processor
# Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
# Internet Explorer 8.0.6001.18702
# Windows Firewall Status : Enabled
# AV : AVG Anti-Virus Free 8.5 [ Enabled | Updated ]

# A:\ # Lecteur de disquettes 3 ½ pouces
# C:\ # Disque fixe local # 12,56 Go (3,01 Go free) # NTFS
# D:\ # Disque CD-ROM
# E:\ # Disque CD-ROM
# F:\ # Disque fixe local # 12,08 Go (9,96 Go free) # FAT32
# G:\ # Disque amovible
# H:\ # Disque amovible # 3,82 Go (3,82 Go free) # FAT32

############################## [ Processus actifs ]

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\system32undll32.exe
C:\WINDOWS\System32\alg.exe

################## [ Fichiers # Dossiers infectieux ]

Supprimé ! C:\WINDOWS\system32\autorun.inf  
Supprimé ! H:\autorun.inf    
Supprimé ! H:ecycler\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx    

################## [ Registre # Clés Run infectieuses ]

# HKLM\software\microsoft\security center "AntiVirusOverride" # -> Reset sucessfully !  

################## [ Registre # Mountpoints2 ]


################## [ Listing des fichiers présent ]

[26/02/2008 17:50|--a------|0] - C:\AUTOEXEC.BAT
[20/06/2009 20:00|---hs----|216] - C:\boot.ini
[05/08/2004 14:00|-rahs----|4952] - C:\Bootfont.bin
[26/02/2008 17:50|--a------|0] - C:\CONFIG.SYS
[?|?|?] - C:\hiberfil.sys
[26/02/2008 17:50|-rahs----|0] - C:\IO.SYS
[26/02/2008 17:50|-rahs----|0] - C:\MSDOS.SYS
[05/08/2004 14:00|-rahs----|47564] - C:\NTDETECT.COM
[26/11/2008 19:56|-rahs----|252240] - C:
tldr
[?|?|?] - C:\pagefile.sys
[12/06/2009 18:06|--a------|3960] - C:apport.txt
[11/04/2009 11:01|--a------|594] - C:\updatedatfix.log
[11/07/2009 16:40|--a------|2712] - C:\UsbFix.txt
[11/07/2009 16:38|--a------|1534] - H:\BOOTEX.LOG
[12/06/2009 19:54|--a------|263979] - H:\img-6121307-0001.pdf
[12/06/2009 19:55|--a------|25600] - H:\CAME Philippe M‚gane estate extrˆme 85 ch.xls

################## [ Vaccination ]

# C:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.  
# F:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.  
# H:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.  

################## [ ! Fin du rapport # UsbFix V3.032 ! ] 


Alors ça a l'air bon ? 
merci

Lyonnais92 · Answer

Bonjour,

tu peux remettre un rapport ZHPDiag (avec toutes les options cochées) pour vérifier.

bouboub · Answer

salut, Lyonnais92, voici le rapport

http://www.cijoint.fr/cjlink.php?file=cj200907/cijNEiV7pr.txt

merci

Lyonnais92 · Answer

Bonjour,

supprime via l'Explorateur Windows :

C:\WINDOWS\System32	mp.reg 
 C:\WINDOWS\System32	mp.txt    

fais redémarrer l'ordi et vérifie qu'ils ne sont plus là.

bouboub · Answer

salut Lyonnais92, 
j'ai supprimé les fichiers et vérifié après redémarrage qu'ils n'étaient pas réapparus, c'est ok. Nous en avons fini ?

Lyonnais92 · Answer

Re,

il manque un parefeu contrôlant les connexions sortantes.

je te suggère Online Armor :

https://www.malekal.com/tutorial-online-armor-free/

(si la politique de l'entreprise le permet)

===

tu peux faire cette procédure de nettoyage :

Lis bien et exécute cette manip dans l’ordre.

#Télécharge et installe ces logiciels (si tu ne les as pas) pour les 3 premiers
mets les à jour, comme indiqué dans les démos ou tutos.

Ne les utilise pas tout de suite.


Antispywares et autres :
 
Télécharge Malwarebytes' Anti-Malware (MBAM) et enregistre le sur ton bureau à partir de ce lien :

https://www.malwarebytes.com/

A la fin du téléchargement, ferme toutes les fenêtres et programmes, y compris celui-ci.

Double-clique sur l'icône Download_mbam-setup.exe sur ton bureau pour démarrer le programme d'installation.

Pendant l'installation, suis les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet). N'apporte aucune modification aux réglages par défaut et, en fin d'installation, vérifie que les options Update Malwarebytes' Anti-Malware et Launch Malwarebytes' Anti-Malware sont cochées.

MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse. Comme MBAM se met automatiquement à jour en fin d'installation, clique sur OK pour fermer la boîte de dialogue.


Nettoyeurs (de fichiers inutiles) et autres :

*Ccleaner (gratuit)
Téléchargement :
https://www.01net.com/telecharger/windows/Utilitaire/nettoyeurs_et_installeurs/fiches/32599.html
Tuto :
https://www.vulgarisation-informatique.com/nettoyer-windows-ccleaner.php

Lors de l’installation, [décoche] l’option qui t’installerait la barre Yahoo !

========================================
->Affiche tous les fichiers et dossiers :
clique sur démarrer/panneau de configuration (en affichage classique)/option des dossiers/affichage

[Coche] « afficher les dossiers et fichiers cachés »

[Décoche] la case « Masquer les fichiers protégés du système d'exploitation (recommandé) »

[Décoche] « masquer les extensions dont le type est connu »

Puis fais [appliquer] pour valider les changements.

Et [Ok]
.

=======================================

========================================
->Lance CCleaner.

Suppression des fichiers temporaires

Va dans la section "Options" situé dans la marge gauche.
Décoche "Avancé"
Retourne ensuite dans la section "Nettoyeur"
Fais bien attention de cocher toutes ces cases dans la marge gauche (Internet Explorer/Windows Explorer/Système)
• Clique sur [Analyse]
• Patiente le temps du scan, qui peut prendre un peu de temps si c'est la première fois.
• Une fois le scan terminé, clique sur [Lancer le Nettoyage]



========================================
Lance Malwarebytes AntiMalware

Dans l'onglet analyse, vérifie que "Exécuter un scan rapide" est coché et clique sur le bouton Rechercher pour démarrer l'analyse.

MBAM analyse ton ordinateur. L'analyse peut prendre un certain temps. Il suffit de vérifier de temps en temps son avancement.

A la fin de l'analyse, un message s'affiche indiquant la fin de l'analyse. Clique sur OK pour poursuivre.

Si des malwares ont été détectés, leur liste s'affiche.
En cliquant sur Suppression (?) , MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

MBAM va ouvrir le bloc-notes et y copier le rapport d'analyse. Ferme le bloc-note. (Le rapport peut être retrouvé sous l'onglet Rapports/logs)

Ferme MBAM en cliquant sur Quitter. 

Poste le rapport dans ta réponse.
========================================

->Relance CCleaner.
Suppression des incohérences du registre

• Clique sur l'icône [Registre] situés dans la marge à gauche
• Puis clique sur [Analyser les erreurs]
• Patiente pendant que CCleaner scan ton registre.
• Une fois le scan terminé, coche toutes les entrèes qu'il t'aura trouvée.
• Tu peux cliquer ensuite sur [Corriger les erreurs].

Quand l'outil te le demandera, choisis de sauvegarder les entrées cochées pour les restaurer ultérieurement.
========================================
->Vide ta Corbeille.
========================================



- > Ouvre ce lien pour scanner ton PC avec un BitDefender en ligne (uniquement sous Internet Explorer) :

http://www.bitdefender.fr/scan_fr/scan8/ie.html

Utilisation :
Cliquer sur "J'accepte" puis accepter également l'ActiveX bloqué par la barre anti-popup du SP2 qui clignotera en haut et l'installer.

A l'ouverture de la page "Scanner Options", cliquer sur [click here] de "To change this and other settings, click here" puis cliquer sur le + devant "Second option" et cocher "Report only" puis cliquer sur [OK]. 


Ensuite, cliquer sur "Cliquez ici pour scanner".
Patienter jusqu'à la fin du scan qui peut durer assez longtemps...

Copier/coller le rapport entier sur le forum.

Tutoriel en images ici : http://pageperso.aol.fr/rginformatique/mapage/defender.htm (merci à Balltrap34 pour cette réalisation)
[Recoche] la case « Masquer les fichiers protégés du système d'exploitation (recommandé) »

Hardcore virus: System security version 4.51

29 réponses

Votre réponse

Discussions similaires

Newsletters