Programme test 1 lancé automatiquement

salut
Hijackthis :
http://pageperso.aol.fr/balltrap34/page%20virus.htm

telecharge le et met le dans son propre dossier ex/c :hj

clik sur do a systeme scan et save a logfile
et copier coller le rapport

Salut Balltrap34,

Merci pour ta réponse rapide. J'ai téléchargé ton programme Hijackthis et l'ai installé comme indiqué. Impossible de le faire fonctionner correctement ! J'ai alors essayé de le télécharger sur un autre site. Rebelotte !
En fait, il scanne correctement jusqu'à un certain point puis il ferme le programme en me disant qu'il a rencontré un problème et qu'il doit fermer. L'habituelle m... de Windows quoi ! En attendant, impossible de te donner le log fait avec ce programme ! Ca commence bien comme tu vois. Une petite indication pour pouvoir éditer le log ?

salut

Essaye en mode sans echecs.

Sinon,désactive la restau système et fais un scan ici:
http://housecall.trendmicro.com
coche autoclean et lance le scan
une fois fini reactive la restauration systeme et réessaye de lancer hijack.

a+

Merci pour ta réponse Moe.

Voici les dernières nouvelles et elles ne sont pas bonnes du tout. J'ai essayé de lancer hijackthis en mode sans échec... c'est pourtant un échec ! J'ai ensuite essayé ton lien avec le scan on-line. Le moteur n'a trouvé qu'un seul fichier vérolé (???) avec comme référence de virus JS IFRAMEBO.A sur une page html nommée worldnetsearch[2].htm, j'ai jamais entendu parler de ce truc, et encore moins sur une page sauvegardée dans mes Temporary Internet Files.
Soit ! Je sais pas si quelqu'un connait.

Le plus grave, c'est que depuis aujourd'hui, cette sale bête lance un programme toute seule dans une fenêtre DOS. Le fichier s'appelle 1.exe et est stocké dans mon fichier %temp% avec son petit frère 2.exe. Le pire, c'est que ça lance une impression d'un document (sans nom, bien sûr) qui fait 80 Mo !!! Et elle a voulu en lancer 2 comme ça. J'en ai d'ailleurs toujours un de coincé dans ma boîte d'impression. Sans oublier l'animation style winamp qui vient terminer le tableau (ça n'a pas changé depuis hier ça).

J'en peux plus, je vais pleurer si ça continue tellement ça me désespère. J'ai beau lancer tous les scans que je veux, ils ne voient rien. Et si j'efface les fichiers 1 et 2, ils se réinstallent comme des grands quelques minutes plus tard et se relancent après.
Et je ne sais toujours pas lancer hijack à fond, il cale au moment de finir de scanner O23 - NT Services.

Je vous en supplie, aidez-moi j'en peux plus ! Je deviens complètement marteau !!!

salut
ont vas voir si ce n est pas un service qui genere ceci comme il bloque avec hijack sur les services
essai de faire ceci
Télécharger ce petit programme qui nous donnera la liste
des services :

http://pageperso.aol.fr/balltrap34/page%20virus.htm

Le poser sur le bureau.
Le lancer.
Copier/coller le fichier texte qui apparaît.

Bonsoir

peus tu sauvegarder et nous poster la partie du log avant le plantage de hightjack ?(log incomplet)

salut
essaie cette procédure alors
* tu charges Sysclean Package là:
http://fr.trendmicro-europe.com/enterprise/support/tsc.php
et le fichier dernière version signatures virus « LTPxxx.ZIP » (xxx représente les chiffres indiquant la version ) là
http://fr.trendmicro-europe.com/enterprise/support/pattern.php
*tu décomprimes le ltpxxx.zip et place le fichier ltp$vpn.xxx dans le même répertoire que Sysclean
* tu redémarres en mode sans échec
*tu lances le scan en cliquant sur sysclean.com et il est créé un fichier sysclean.log dans ce répertoire ;

tu sembles atteint par W32/Bagle-BK
http://www.sophos.fr/virusinfo/analyses/w32baglebk.html
mais pas encorede FixBagle pour nettoyer, bon courage
a+

Encore une fois, merci à tous pour vos réponses rapides. Bon, voilà où nous en sommes ce soir après 2h30 de scan (pfuuu c'est looooong).
Je vais me permettre de répondre au message de chacun.

Balltrap, j'ai essayé en premier lieu ton lien car il apparaît à vous lire que vous êtes intéressés de savoir quels services mon PC lance pour pouvoir avancer dans le problème. Malheureusement, le lien sur le site dans lequel tu m'envoies (le tiens je pense) est interdit. En tout cas, la page marque un beau Forbidden Access. J'ai essayé de trouver le programme ailleurs sur le net mais sans résultats.

Teddy, sorry mais dès le message de Windows arrive au milieu de tout dans le scan de Hijack et je ne sais même plus noter ce qu'il y a derrière. J'ai essayé le print screen mais ça ne marche pas vraiment...

Bernie, j'ai téléchargé et suivi les procédures comme indiqué. Après 2h30 de scan, il a juste trouvé un virus dans un fichier zip du répertoire java. Fichier qu'il a d'ailleurs effacé. A part ça et quelques fichiers qu'il n'a pas réussi à ouvrir ou à analyser, rien de neuf sous le soleil.

Je suis en train de me poser une petite question suite aux infos lues sur le site de sophos. Je n'ai lancé ni Outlook ni Emule aujourd'hui et rien (encore) ne s'est passé. Pas de fenêtres noires, pas de fichiers 1.exe dans mon répertoire %temp%. Bizarre bizarre non ?
N'empêche qu'il ya toujours une sale bête tapie dans mon PC et qu'il est toujours impossible de la trouver... Sans compter que si je ne sais plus ouvrir Outlook (ou Emule) sans être attaqué, je suis mal.

salut greg
desoler un petit soucis d executable sur mon site retoune y cela doit etre bon
le prog c est get active service
http://pageperso.aol.fr/balltrap34/page%20virus.htm

tu parle d e la emule la bestiole ne serait pasdans un fichier part de la mule par hazard

Re Balltrap

Super, ça fonctionne maintenant. Je viens de lancer le script et je colle ici ce que le fichier txt contient (c'est un peu volumineux, sorry).
Au fait, je reviens sur ce que j'ai dit. Même sans lancer Outlook ou Emule il me charge quand même ses fichiers. Et pour répondre à ta question, tous les scan fait sont passés sur les fichiers part sans tiquer.

Bon voilà le résultat de ton script :

These are the Current Active Services:

AUDIO WINDOWS: AudioSrv
C:\WINDOWS\System32\svchost.exe -k netsvcs

SERVICE DE TRANSFERT INTELLIGENT EN ARRIÈRE-PLAN: BITS
C:\WINDOWS\System32\svchost.exe -k netsvcs

EXPLORATEUR D'ORDINATEUR: Browser
C:\WINDOWS\System32\svchost.exe -k netsvcs

SERVICES DE CRYPTOGRAPHIE: CryptSvc
C:\WINDOWS\system32\svchost.exe -k netsvcs

CLIENT DHCP: Dhcp
C:\WINDOWS\System32\svchost.exe -k netsvcs

GESTIONNAIRE DE DISQUE LOGIQUE: dmserver
C:\WINDOWS\System32\svchost.exe -k netsvcs

SYSTÈME D'ÉVÉNEMENTS DE COM+: EventSystem
C:\WINDOWS\System32\svchost.exe -k netsvcs

COMPATIBILITÉ AVEC LE CHANGEMENT RAPIDE D'UTILISATEUR: FastUserSwitchingCompatibility
C:\WINDOWS\System32\svchost.exe -k netsvcs

HID INPUT SERVICE: HidServ
C:\WINDOWS\System32\svchost.exe -k netsvcs

SERVEUR: lanmanserver
C:\WINDOWS\System32\svchost.exe -k netsvcs

STATION DE TRAVAIL: lanmanworkstation
C:\WINDOWS\System32\svchost.exe -k netsvcs

CONNEXIONS RÉSEAU: Netman
C:\WINDOWS\System32\svchost.exe -k netsvcs

NLA (NETWORK LOCATION AWARENESS): Nla
C:\WINDOWS\System32\svchost.exe -k netsvcs

GESTIONNAIRE DE CONNEXION AUTOMATIQUE D'ACCÈS DISTANT: RasAuto
C:\WINDOWS\System32\svchost.exe -k netsvcs

GESTIONNAIRE DE CONNEXIONS D'ACCÈS DISTANT: RasMan
C:\WINDOWS\System32\svchost.exe -k netsvcs

NOTIFICATION D'ÉVÉNEMENT SYSTÈME: SENS
C:\WINDOWS\system32\svchost.exe -k netsvcs

DÉTECTION MATÉRIEL NOYAU: ShellHWDetection
C:\WINDOWS\System32\svchost.exe -k netsvcs

TÉLÉPHONIE: TapiSrv
C:\WINDOWS\System32\svchost.exe -k netsvcs

SERVICES TERMINAL SERVER: TermService
C:\WINDOWS\System32\svchost.exe -k netsvcs

THÈMES: Themes
C:\WINDOWS\System32\svchost.exe -k netsvcs

INFRASTRUCTURE DE GESTION WINDOWS: winmgmt
C:\WINDOWS\system32\svchost.exe -k netsvcs

MISES À JOUR AUTOMATIQUES: wuauserv
C:\WINDOWS\system32\svchost.exe -k netsvcs

APPLICATION SYSTÈME COM+: COMSysApp
C:\WINDOWS\System32\dllhost.exe /Processid:{02D4B3F1-FD88-11D1-960D-00805FC79235}

CRYPKEY LICENSE: Crypkey License
crypserv.exe

JOURNAL DES ÉVÉNEMENTS: Eventlog
C:\WINDOWS\system32\services.exe

PLUG-AND-PLAY: PlugPlay
C:\WINDOWS\system32\services.exe

ETRUST ANTIVIRUS RPC SERVER: InoRPC
"C:\Program Files\CA\eTrust Antivirus\InoRpc.exe"

ETRUST ANTIVIRUS JOB SERVER: InoTask
"C:\Program Files\CA\eTrust Antivirus\InoTask.exe"

ASSISTANCE TCP/IP NETBIOS: LmHosts
C:\WINDOWS\System32\svchost.exe -k LocalService

SERVICE DE DÉCOUVERTES SSDP: SSDPSRV
C:\WINDOWS\System32\svchost.exe -k LocalService

EVENT LOG WATCH: LogWatch
C:\Program Files\CA\SharedComponents\CA_LIC\LogWatNT.exe

EMPLACEMENT PROTÉGÉ: ProtectedStorage
C:\WINDOWS\system32\lsass.exe

APPEL DE PROCÉDURE DISTANTE (RPC): RpcSs
C:\WINDOWS\system32\svchost -k rpcss

SPOULEUR D'IMPRESSION: Spooler
C:\WINDOWS\system32\spoolsv.exe

ACQUISITION D'IMAGE WINDOWS (WIA): stisvc
C:\WINDOWS\System32\svchost.exe -k imgsvc

WINDOWS USER MODE DRIVER FRAMEWORK: UMWdf
C:\WINDOWS\System32\wdfmgr.exe

re tu est en reseau
tu n aurais pas une de tes becane en raiseau infecter qui a sont tour infecterait a chaque fois ton pc

Re

C'est pas impossible mais ça m'étonnerais beaucoup. Le PC que j'utilise (et qui pose donc problème) est un portable. Je ne le connecte donc pas tous les jours sur le réseau. Il est même plus souvent seul connecté à Internet via ADSL à la maison que en réseau. De plus, le réseau est super sécurisé (grosse entreprise=gros moyens pour se protéger) et je n'ai pas d'accès Internet lorsque j'y suis branché. J'ai seulement un accès vers le serveur mail via Outlook express. Les seules tâches que mon PC effectue sur le réseau sont la mise à jour des signatures de l'anti-virus (etrust pour ne pas le citer) et la mise à jour de bases de données excel et access. Rien de bien méchant donc.

Comme tu vois, après avoir tout regardé je cale aussi. Mais cte saloperie est toujours bien là.

Petite info, je ne sais pas si elle aura une signification pour toi mais j'ai laissé mon pc branché sur le réseau toute la journée d'hier et je n'ai rien vu apparaître ni sur mon écran ni dans mon %temp%. Dès que je suis rentré et que j'ai connecté sur l'ADSL, c'est reparti. Je sais pas si ça t'avance.

pour repondre a ta reponse de grosse boite securiser
c est tu le nombre de grosse boite securiser qui ont ete infecter lors de la sortie du virus sasser donc??????????

tu dit que sur le resau de ta boite no soucis
et chez toi avec adsl probleme
dit a tu un pare feu sur ton pc

Salut Balltrap, désolé pour le petit retard dans mes réponses.

Non, je n'ai pas de pare-feu sur mon portable. Mais je pense que je me demande si la solution hardware que je viens d'appliquer chez moi ne va pas résoudre d'office le problème.
Je viens en fait d'acheter un nouveau PC de bureau pour la maison et j'y ai installé toutce que j'ai pu trouver comme protection (Norton Security et Norton Personnal Firewall). J'ai aussi mis à jour XP. Je vais désormais faire passer ma connection Internet via ce PC pour le portable. J'ai acheté un kit de connection via les prises de courant (je ne connaissais pas, c'est facile, rapide et le débit est très bon) et mon portable est alors d'office derrière un firewall du PC de bureau. J'ai surfé hier avec et rien ne s'est téléchargé ni ouvert tout seul. Et j'ai vu dans le rapport de Norton qu'il avait bloqué l'entrée à une trentaine de chevaux de troie.

Je ne sais pas ce que tu penses de cette solution. Le seul hic c'est que Emule ne fonctionne pas derrière un firewall...

oki c est bon je te conseil maintenant que tu est derriere un pare feu de faire un scan en ligne ici en cochant aauto clean
http://www.pandasoftware.com/activescan/

Hello Balltrap,

Autant de temps sans nouvelles... je sais mais bon. D'une part je voyage pas mal et d'autre part j'ai acheté un nouveau PC de maison qui marche beaucoup mieux que cette m.... de portable.

Comme tu me l'as suggéré, j'ai lancé un scan en ligne sur le site donné. Il a découvert pas mal de trucs mais n'en a fixé aucun !!! Drôle de programme anti-virus lol

Voici le rapport de scan, je te le colle ici bas, dis-moi si tu y vois des choses intéressantes et surtout, comment les enlever :

1. Virus:Trj/Small.BP Disinfected Operating system
2. Spyware:Spyware/BargainBuddy No disinfected Windows Registry
3. Adware:Adware/24-7-search No disinfected C:\WINDOWS\System32\eplrr3.dll
4. Adware:Adware/CWS.Searchmeup No disinfected Windows Registry
5. Spyware:Spyware/ISTbar No disinfected C:\36mih
6. Spyware:Spyware/ISTbar No disinfected C:\36my
7. Adware:Adware/CWS.Aboutblank No disinfected C:\Documents and Settings\Nath\Local Settings\Temp\sp.html
8. Spyware:Spyware/XXXToolbar No disinfected C:\Program Files\Fichiers communs\System\Mapi\1036\156172
9. Adware:Adware/MediaTickets No disinfected C:\Program Files\Fichiers communs\System\Mapi\1036\as
10. Adware:Adware/WUpd No disinfected C:\Program Files\Fichiers communs\System\Mapi\1036\bad
11. Adware:Adware/MediaTickets No disinfected C:\Program Files\Fichiers communs\System\Mapi\1036\mtrslib2.js
12. Virus:Trj/Downloader.AVK Disinfected C:\Program Files\Windows Media Player\wmplayer.exe.tmp
13. Virus:Trj/StartPage.PS Disinfected C:\WINDOWS\system32\mtwirl.dll
14. Adware:Adware/ExactSearch No disinfected C:\WINDOWS\system32\netut80ex.vxd[exdl.exe]
15. Adware:Adware/ExactSearch No disinfected C:\WINDOWS\system32\netut80ex.vxd[mqexdlm.srg]
16. Adware:Adware/ExactSearch No disinfected C:\WINDOWS\system32\netut80ex.vxd[exul.exe]
17. Adware:Adware/ExactSearch No disinfected C:\WINDOWS\system32\netut80ex.vxd[javexulm.vxd]
18. Spyware:Spyware/BargainBuddy No disinfected C:\WINDOWS\system32\netut80ex.vxd[msexreg.exe]

Voilà c'est tout ! Alors, qu'en penses-tu ?

J'ai eu les mêmes merdes sur le pc d'un collègue.
Antivir Personnal Edition en a viré pas mal-en mode sans échec et sans la restore de la base de registre, puis j'en ai viré d'autre avec Regcleaner, par ex la XBarre et autre Cashbarre et Mediatickets.
Puis j'ai fini à la main ce qui restait que Norton m'indiquait sans pouvoir les supprimer lui même c.a.d. les fichiers mac80ex.idf, netut80ex.vxd etc. dans le Sys32. Voilà, voilà. Après, on peut toujours reconstruire la base de registre si y'a des problèmes mais j'en ai pas eu.