Virus Win32 Rootkit-gen

Réponse 41 / 91

The Lion King Messages postés 11059 Date d'inscription Statut Contributeur Dernière intervention 1 132

S'il n'y a rien en quarantaine, c'est que les virus ont été supprimé, donc rien a craindre.
As tu effectué sa manip de findy kill?

Réponse 42 / 91

flo-91 Messages postés 5646 Date d'inscription Statut Contributeur sécurité Dernière intervention 1 120

Ba c'est etrange je n'ai rien supprimé de la qurantaine et d'apres le rapport avira que j'avais posté les virus ont été mis en qurantaine et non je n'ai pas fait la manip findkill.
Merci.
Je poste le rapport de toolbard s&d:

-----------\\ ToolBar S&D 1.2.8 XP/Vista

Microsoft Windows XP Professionnel ( v5.1.2600 ) Service Pack 2
X86-based PC ( Uniprocessor Free : Intel(R) Pentium(R) 4 CPU 2.93GHz )
BIOS : Award Medallion BIOS v6.00PG
USER : Florian ( Administrator )
BOOT : Normal boot
Antivirus : AntiVir Desktop 9.0.1.30 (Activated)
A:\ (USB)
C:\ (Local Disk) - NTFS - Total:149 Go (Free:99 Go)
D:\ (CD or DVD)
E:\ (CD or DVD)
F:\ (USB)
G:\ (USB)
H:\ (USB)
I:\ (USB)
J:\ (USB)

"C:\ToolBar SD" ( MAJ : 21-12-2008|20:47 )
Option : [2] ( 16/07/2009|22:37 )

-----------\\ Recherche de Fichiers / Dossiers ...

-----------\\ Extensions

(Florian) - {73a6fe31-595d-460b-a920-fcc0f8843232} => noscript
(Florian) - {b9db16a4-6edc-47ec-a1f4-b86292ed211d} => dwhelper
(Florian) - {d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d} => adblockplus

-----------\\ [..\Internet Explorer\Main]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Search Page"="https://www.google.com/?gws_rd=ssl"
"Start Page"="https://www.msn.com/fr-fr/?ocid=iehp"
"Default_search_url"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"
"Local Page"="C:\\WINDOWS\\system32\\blank.htm"
"Default_Page_URL"="https://www.msn.com/fr-fr/?ocid=iehp"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
"Default_Page_URL"="https://www.msn.com/fr-fr/?ocid=iehp"
"Default_Search_URL"="https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF"
"Search Page"="https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF"
"Local Page"="C:\\WINDOWS\\system32\\blank.htm"
"Start Page"="https://www.msn.com/fr-fr/"

--------------------\\ Recherche d'autres infections

Aucune autre infection trouvée !

1 - "C:\ToolBar SD\TB_1.txt" - 16/07/2009|16:28 - Option : [1]
2 - "C:\ToolBar SD\TB_2.txt" - 16/07/2009|16:37 - Option : [1]
3 - "C:\ToolBar SD\TB_3.txt" - 16/07/2009|22:38 - Option : [2]

-----------\\ Fin du rapport a 22:38:25,32

Réponse 43 / 91

Utilisateur anonyme

il faut qu'il laisse passer processe.exe
antivir le reconnait comme virus et le bloc ;-)

Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.

Réponse 44 / 91

flo-91 Messages postés 5646 Date d'inscription Statut Contributeur sécurité Dernière intervention 1 120

J'ai fait la toolbard s&d mais antivir n'a rien dit.
Je dois recommencer en desacivant avira?

Réponse 45 / 91

The Lion King Messages postés 11059 Date d'inscription Statut Contributeur Dernière intervention 1 132

En ce qui concerne HijackThis, y'a rien de contrariant, deux trois inscriptions superflues, rien d'important.
Vire tout les logiciels qu'on t'a fait installer, sauf Findykill et Avira, fais la manip de findykill de l'électricien.

PS: faut bien comprendre que je dédie pas ma vie entière au forum, et que si mes réponses tardent de quelques minutes, c'est que je fais autre chose sur le forum (ou ailleurs...)

Réponse 46 / 91

Utilisateur anonyme

message pour mon ami the loin king :
on ne nous reproche rien, pour te dire tout simplement que je suis intervenu sur un autre topic de notre ami flo-91 et en même temps, il ou elle m'a solicité pour voir son problème du moment ou il avait plus de tes nouvelles.
tu es revenu, c'est essentiel :-)

bon courage à tous les deux

s'il ya besoin d'aide, faites moi signe

bonne nuit

Réponse 47 / 91

flo-91 Messages postés 5646 Date d'inscription Statut Contributeur sécurité Dernière intervention 1 120

"IL" je precise lol.
Bon alors ok je lance findkill.

Réponse 48 / 91

The Lion King Messages postés 11059 Date d'inscription Statut Contributeur Dernière intervention 1 132

Merci d'avoir pris le relais quand même.
Mais je laisse jamais en plan ce que j'entreprends, a moins que je sois plus qualifié pour le faire.

Honnêtement, je pense que la machine est propre, a part les toolbars (j'ai google toolbar, mais j'utilise toujours Firefox) qui restent. J'aimerais qu'il me fasse, après ta manip de findykill, un analyse de malwaresbytes. Après, je pense pas que pousser plus loin serait utile, a part une perte de temps pour tout le monde :)

Réponse 49 / 91

flo-91 Messages postés 5646 Date d'inscription Statut Contributeur sécurité Dernière intervention 1 120

J'ai une clé usb U3 ca change rien?

Réponse 50 / 91

The Lion King Messages postés 11059 Date d'inscription Statut Contributeur Dernière intervention 1 132

Enlève la. L'embrouille pas, pauvre PC... :)

Réponse 51 / 91

flo-91 Messages postés 5646 Date d'inscription Statut Contributeur sécurité Dernière intervention 1 120

J'ai mis la clé U3 ( dsl je viens de voir ton message, j'aurai peut etre pas du la mettre) et tous mes autres peripheriques. ( je precise que antivir a dit que il y avait un virus dans findkill , j'ai fait comme vous avez dit j'ai fait ignorer)
Merci.

Voici le rapport de Findkill:

############################## | FindyKill V6.006 |

# User : Florian (Administrateurs) # WINDOWS-114128D
# Update on 14/07/09 by Chiquitine29 & C_XX
# Start at: 23:05:46 | 16/07/2009
# Website : http://pagesperso-orange.fr/NosTools/index.html

# Intel(R) Pentium(R) 4 CPU 2.93GHz
# Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 2
# Internet Explorer 8.0.6001.18702
# Windows Firewall Status : Enabled
# AV : AntiVir Desktop 9.0.1.30 [ Enabled | Updated ]

# A:\ # Lecteur de disquettes 3 ½ pouces
# C:\ # Disque fixe local # 149,04 Go (99,54 Go free) # NTFS
# D:\ # Disque CD-ROM
# E:\ # Disque CD-ROM
# F:\ # Disque amovible
# G:\ # Disque amovible
# H:\ # Disque amovible
# I:\ # Disque amovible # 488,25 Mo (75,03 Mo free) # FAT
# J:\ # Disque amovible
# K:\ # Disque amovible # 963,7 Mo (470,77 Mo free) # FAT
# L:\ # Disque CD-ROM # 6,67 Mo (0 Mo free) [U3 System] # CDFS
# M:\ # Disque amovible # 7,47 Go (654,97 Mo free) [Cruzer] # FAT32
# N:\ # Disque amovible # 486,03 Mo (165,71 Mo free) # FAT32
# O:\ # Disque amovible # 489,91 Mo (355,23 Mo free) # FAT32
# P:\ # Disque amovible # 481,2 Mo (283,48 Mo free) # FAT

############################## | Processus actifs |

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir Desktop\sched.exe
C:\Program Files\Avira\AntiVir Desktop\avguard.exe
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\lxdxcoms.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\ALCWZRD.EXE
C:\Program Files\Lexmark 3600-4600 Series\lxdxmon.exe
C:\Program Files\Lexmark 3600-4600 Series\lxdxMsdMon.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Orange HSS\Orange Desktop Search\OrangeDesktopSearch.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Larousse\Encyclopédie Universelle Larousse\bin\hyperappel.exe
C:\Program Files\IncrediMail\bin\ImApp.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

################## | Registre Startup |

R1 - HKCU\..\Main: "Local Page"="C:\\WINDOWS\\system32\\blank.htm"
R1 - HKCU\..\Main: "Search Page"="https://www.google.com/?gws_rd=ssl"
R1 - HKCU\..\Main: "Start Page"="https://www.msn.com/fr-fr/?ocid=iehp"
F2 - HKLM\..\logon:"Userinit"="C:\\windows\\system32\\userinit.exe,"
F2 - HKLM\..\logon:"DefaultUserName"="Florian"
F2 - HKLM\..\logon:"AltDefaultUserName"="Florian"
F2 - HKLM\..\logon:"LegalNoticeCaption"=""
F2 - HKLM\..\logon:"LegalNoticeText"=""
04 - HKLM\..\Run: FaxCenterServer="C:\Program Files\Lexmark Fax Solutions\fm3032.exe" /s
04 - HKLM\..\Run: Adobe Reader Speed Launcher="C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
04 - HKLM\..\Run: SoundMan=SOUNDMAN.EXE
04 - HKLM\..\Run: AlcWzrd=ALCWZRD.EXE
04 - HKLM\..\Run: Alcmtr=ALCMTR.EXE
04 - HKLM\..\Run: lxdxmon.exe="C:\Program Files\Lexmark 3600-4600 Series\lxdxmon.exe"
04 - HKLM\..\Run: lxdxamon="C:\Program Files\Lexmark 3600-4600 Series\lxdxamon.exe"
04 - HKLM\..\Run: avgnt="C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
04 - HKLM\..\Run: HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents=
04 - HKCU\..\Run: swg#C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe#
04 - HKCU\..\Run: ctfmon.exe#C:\WINDOWS\system32\ctfmon.exe#
04 - HKCU\..\Run: IncrediMail#C:\Program Files\IncrediMail\bin\IncMail.exe /c#
04 - HKCU\..\Run: Orange Desktop Search#"C:\Program Files\Orange HSS\Orange Desktop Search\OrangeDesktopSearch.exe" /tray#
04 - HKCU\..\Run: msnmsgr#"C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background#

################## | Fichiers # Dossiers infectieux |

################## | C:\Documents and Settings\Florian\Temporary Internet Files |

################## | All Drives ... |

Présent ! L:\autorun.inf

################## | Registre # Clés Run infectieuses |

################## | Registre # Mountpoints2 |

HKCU\..\..\Explorer\MountPoints2\{d53206c0-6578-11de-ba37-000fea4b6b72}
Shell\AutoRun\command =L:\LaunchU3.exe -a

################## | Etat / Services / Informations |

# Affichage des fichiers cachés : OK
# Mode sans echec : OK
# Ndisuio -> Start = 3 ( Good = 3 | Bad = 4 )
# Ip6Fw -> Start = 3 ( Good = 2 | Bad = 4 )
# SharedAccess -> Start = 2 ( Good = 2 | Bad = 4 )
# wuauserv -> Start = 2 ( Good = 2 | Bad = 4 )
# wscsvc -> Start = 2 ( Good = 2 | Bad = 4 )

# C:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.
# K:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.

################## | Cracks / Keygens / Serials |

################## | ! Fin du rapport # FindyKill V6.006 ! |

Réponse 52 / 91

The Lion King Messages postés 11059 Date d'inscription Statut Contributeur Dernière intervention 1 132

Bon, ben écoute, rien a signaler, processus normaux et rassurants.
Tu me fais un scan avec malwaresbytes, la totale avec CCleaner, et on a fini.
Tout ça se trouve dans le post 22.

Réponse 53 / 91

flo-91 Messages postés 5646 Date d'inscription Statut Contributeur sécurité Dernière intervention 1 120

Tu es sur parceque quand j'ai lancer l'analyse, il y avait plein de fichiers qui defilaient en "vert" et quelques uns aussi en "ROUGE".

Réponse 54 / 91

The Lion King Messages postés 11059 Date d'inscription Statut Contributeur Dernière intervention 1 132

Je vais devoir couper, parce qu'il y a un orage, j'ai attendu tant que j'ai pu, mais enfin.

Je te donne la marche a suivre: fais un scan avec malwarsbytes. Si il ne s'installe pas, prends Spybot S&D. Fais un scan avec, supprime tout ce qu'il te trouve. Si tu a vraiment un doute, poste le rapport ici, je le lirai dès l'orage passé... sans doute demain :S .

En ce qui concerne CCleaner, aucun soucis a te faire, tout est expliqué dans mon post 22.

Ensuite, un bon redémarrage, et ton PC sera tout neuf. tente de faire une analyse Avira en mode normal, au cas ou.

Cordialement, TLK.

Réponse 55 / 91

Utilisateur anonyme

Télécharge Malwarebytes' Anti-Malware:
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

. sur la page cliques sur Télécharger Malwarebyte's Anti-Malware
. enregistres le sur le bureau
. Double cliques sur le fichier téléchargé pour lancer le processus d'installation.
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour
. si le pare-feu demande l'autorisation de se connecter pour malwarebytes, acceptes
. Une fois la mise à jour terminée,clique dessus pour l'ouvrir
. une fois ouvert rend-toi dans l'onglet, Recherche
. Sélectionnes Exécuter un examen complet
. Cliques sur Rechercher
. Le scan démarre.
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.
. Cliques sur Ok pour poursuivre.
. Si des malwares ont été détectés, cliques sur Afficher les résultats
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
. redemarre le pc
. une fois redémarré en mode normal double-cliques sur malwarebytes
. rends toi dans l'onglet rapport/log
. tu cliques dessus pour l'afficher une fois affiché
. tu cliques sur edition en haut du boc notes,et puis sur sélectionner tous
. tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. tu cliques droit dans le cadre de la reponse et coller

Si tu as besoin d'aide regarde ce tutoriel :
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

Réponse 56 / 91

flo-91 Messages postés 5646 Date d'inscription Statut Contributeur sécurité Dernière intervention 1 120

Ok je vais faire ca demain,( j'ai deja malwarebytes plus qu'a mettre a jour la base de donnée)
Mais avant j'ai quelques question:

>Dans l'analyse findkill vous etes sur que vous ne trouvez aucun virus?
>C'est normal ( je le redit je sais je suis embetant) qu'il n'y ai rien dans la qurantaine de avira alors que je n'ai rien supprimé?
>Pour mon post 37 j'ai bien stoppé l'attaque du virus il est pas entré dans mon pc?

Je vous remercie pour toute l'aide que vous m'apportez.

Réponse 57 / 91

Utilisateur anonyme

réponses à tes multiple question dans l'ordre :

1° rien trouvé dans le rapport findykill, donc tout va bien, voir réponse mp.

2° ça se trouve qu'antivir s'est occopé de surpression car fichiers dangreux, à voir comment tu l'as configuré pour la suite à donnder suite infection.

3° sur le poste 37, certains logiciels de nettoyage contiennent des fichiers qui sont reconnus par certains antivirus comme dangreux, pas de panique, car ils ne connaisent pas la nature des fichiers en question.

ton pc est propre
il ne me reste plus qu'à te souhaiter bon surf

bonne soirée florient ;-)

Réponse 58 / 91

flo-91 Messages postés 5646 Date d'inscription Statut Contributeur sécurité Dernière intervention 1 120

Ok, merci bien, pour info, j'ai configuré antivir comme the lion king m'a dit au post 1.
Bon je vais aller dormir car chez moi aussi il y a de l'orage.
Je ferai malwarebytes demain.
Bonne soirée a vous et merci encore.

Réponse 59 / 91

Utilisateur anonyme

salutation

Réponse 60 / 91

flo-91 Messages postés 5646 Date d'inscription Statut Contributeur sécurité Dernière intervention 1 120

Salut,
Alors c'est bon j'ai fait le scan avec malwarebytes, il n'a rien trouvé cependant je ne suis pas sur d'etre totalement desinfecté.
En effet findkill etant toujours sur mon pc , lors de l'analyse malwarebytes, avira TILT, je vois que le fichier provient de findkill je fais ignorer.
Cepndant apres,avira tilt encore, mais cette foi je ne crois pas que c'est findkill.
Alors il a TILTER ici :
C:\Volume information\...\A003189
Contient le module de detection APPC/PRCVoew.exe la j'ai bloqué l'acces.

Ensuite:

C:\Volume information\...\A00390.exe
Contient le cheval de troie TR\Dropper.Gen. ( celui la il me semble qu'hier avira l'avait trouvé lors de l'analyse et l'avait mis en quarantaine et donc supprimé)
Je l'ai mis en quarantaine

C:\Volume information\...\A003191
Contien le cheval de troie Tr\Dropper.Gen.
Mis en Quarantaine.

Ces fichiers sont-ils des restes de SDfix ou de findkill toujours present sur mon pc ou une infection assez resistante?

Je voulais savoir aussi si je devait faire une purge restaurtion systeme?
j'avais remarqué q'une de mes desinfections etait due a la google toolbar, c'est bien cela?
Pourtant elle se situe toujours dans mon navigateur firefox, dois-je me mefier de son utilisation?

Merci

Je donne quand meme le rapport de malwarebytes:

Malwarebytes' Anti-Malware 1.39
Version de la base de données: 2447
Windows 5.1.2600 Service Pack 2

17/07/2009 11:06:27
mbam-log-2009-07-17 (11-06-27).txt

Type de recherche: Examen complet (C:\|)
Eléments examinés: 240792
Temps écoulé: 1 hour(s), 0 minute(s), 36 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

Virus Win32 Rootkit-gen

91 réponses

Votre réponse

Discussions similaires