Virus - W32/Sality Fermé

Question

Bonjour,
j'ai décidé après le plantage quasi-total d'un de mes PC de tout sauvegarder sur un disque dur externe (d'où le virus est arrivé je présume).
Depuis n autre ordi (que je vais reformater plus tard) j'ai lancé antivir qui m'a détecté 118 virus.
Manifestement, W32/Sality est le plus répandu.
Quelle est la marce à suivre pour nettoyer mon Disque dur externe, supprimer les fichiers infectés, etc... ?
Merci de prêter attention à mon problème.

Ced_King · Answer

Salut,

on va vérifier l'ampleur des dégâts, si l'infection s'est trop répandue --> formatage 

Telecharges RSIT " Random's System Information Tool " sur ton bureau : 
http://images.malwareremoval.com/random/RSIT.exe

- Fermes toutes les applications en cours et double clic sur RSIT.exe
- Selectionnes " Continue " à l'ecran >> RSIT va analyser le pc et verifier si l'outil hijackthis ( version à jour) est présent sur le pc, si ce n'est pas le cas, RSIT le telechargera >> acceptes la license
- Une fois l'analyse terminée, 2 rapports.txt s'ouvrent, log.txt à l'écran et info.txt dans la barre des taches
- Postes le contenu des 2 rapports

Kaze · Answer

Bon, je l'ai lancé une fois, les deux rapports se sont ouverts, sauf que j'avais pas branché mon disque dur externe (qui est quand même la priorité, si il est sain, je l'embarque chez un ami pour qu'il en récupère le contenu).
Sauf que après l'avoir rebranché, RSIT ne me fait plus que le rapport log.txt que voici :

Logfile of random's system information tool 1.06 (written by random/random)
Run by odewit at 2009-08-30 18:20:52
Microsoft® Windows Vista™ Professionnel  
System drive C: has 96 GB (63%) free of 153 GB
Total RAM: 2046 MB (56% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:20:54, on 30/08/2009
Platform: Windows Vista  (WinNT 6.00.1904)
MSIE: Internet Explorer v7.00 (7.00.6000.16830)
Boot mode: Normal

Running processes:
C:\Windows\system32	askeng.exe
C:\Windows\SYSTEM32\WISPTIS.EXE
C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\System32undll32.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Program Files\Multimedia Card Readereadericon10.exe
C:\Program Files\Hotkey Management\FuncKey.exe
C:\Program Files\Power Manager\PM.exe
C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\DAEMON Tools Lite\daemon.exe
C:\Users\odewit\AppData\Local\Google\Update\GoogleUpdate.exe
C:\Program Files\Apoint2K\ApMsgFwd.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\Program Files\Common Files\Microsoft Shared\Ink\InputPersonalization.exe
C:\Program Files\Internet Explorer\ieuser.exe
C:\Windows\system32\conime.exe
C:\Windows\system32\wuauclt.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Users\odewit\Desktop\RSIT.exe
C:\Program Files	rend micro\odewit.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
F3 - REG:win.ini: load=System
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32
vsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [readericon10] C:\Program Files\Multimedia Card Readereadericon10.exe
O4 - HKLM\..\Run: [FuncKey] "C:\Program Files\Hotkey Management\FuncKey.exe"
O4 - HKLM\..\Run: [PowerManager] C:\Program Files\Power Manager\PM.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [feedreader.exe] "C:\Program Files\FeedReader30\feedreader.exe"
O4 - HKCU\..\Run: [Google Update] "C:\Users\odewit\AppData\Local\Google\Update\GoogleUpdate.exe" /c
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~1.0_0\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~1.0_0\bin\ssv.dll
O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~4\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~4\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MIC273~1\WEB2~1\Office12\REFIEBAR.DLL (file missing)
O13 - Gopher Prefix: 
O16 - DPF: {474F00F5-3853-492C-AC3A-476512BBC336} (UploadListView Class) - http://picasaweb.google.fr/s/v/49.12/uploader2.cab
O16 - DPF: {82774781-8F4E-11D1-AB1C-0000F8773BF0} (DLC Class) - https://transfers.ds.microsoft.com/FTM/TransferSource/grTransferCtrl.cab
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - http://dl8-cdn-01.sun.com/s/ESD44/JSCDL/jdk/6u7/jre-6u7-windows-i586-p-iftw.exe?e=1240345319179&h=fea6d8e0fd9f998bc5bcf88920bc7baf/&filename=jre-6u7-windows-i586-p-iftw.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {FD0B6769-6490-4A91-AA0A-B5AE0DC75AC9} (Performance Viewer Activex Control) - https://secure.logmein.com/activex/ractrl.cab?lmi=100
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: TabletServicePen - Wacom Technology, Corp. - C:\Windows\system32\Pen_Tablet.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

Kaze · Answer

Bon, je l'ai lancé une fois, les deux rapports se sont ouverts, sauf que j'avais pas branché mon disque dur externe (qui est quand même la priorité, si il est sain, je l'embarque chez un ami pour qu'il en récupère le contenu).
Sauf que après l'avoir rebranché, RSIT ne me fait plus que le rapport log.txt que voici :

Logfile of random's system information tool 1.06 (written by random/random)
Run by odewit at 2009-08-30 18:20:52
Microsoft® Windows Vista™ Professionnel  
System drive C: has 96 GB (63%) free of 153 GB
Total RAM: 2046 MB (56% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:20:54, on 30/08/2009
Platform: Windows Vista  (WinNT 6.00.1904)
MSIE: Internet Explorer v7.00 (7.00.6000.16830)
Boot mode: Normal

Running processes:
C:\Windows\system32	askeng.exe
C:\Windows\SYSTEM32\WISPTIS.EXE
C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\System32undll32.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Program Files\Multimedia Card Readereadericon10.exe
C:\Program Files\Hotkey Management\FuncKey.exe
C:\Program Files\Power Manager\PM.exe
C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\DAEMON Tools Lite\daemon.exe
C:\Users\odewit\AppData\Local\Google\Update\GoogleUpdate.exe
C:\Program Files\Apoint2K\ApMsgFwd.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\Program Files\Common Files\Microsoft Shared\Ink\InputPersonalization.exe
C:\Program Files\Internet Explorer\ieuser.exe
C:\Windows\system32\conime.exe
C:\Windows\system32\wuauclt.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Users\odewit\Desktop\RSIT.exe
C:\Program Files	rend micro\odewit.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
F3 - REG:win.ini: load=System
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32
vsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [readericon10] C:\Program Files\Multimedia Card Readereadericon10.exe
O4 - HKLM\..\Run: [FuncKey] "C:\Program Files\Hotkey Management\FuncKey.exe"
O4 - HKLM\..\Run: [PowerManager] C:\Program Files\Power Manager\PM.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [feedreader.exe] "C:\Program Files\FeedReader30\feedreader.exe"
O4 - HKCU\..\Run: [Google Update] "C:\Users\odewit\AppData\Local\Google\Update\GoogleUpdate.exe" /c
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~1.0_0\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~1.0_0\bin\ssv.dll
O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~4\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~4\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MIC273~1\WEB2~1\Office12\REFIEBAR.DLL (file missing)
O13 - Gopher Prefix: 
O16 - DPF: {474F00F5-3853-492C-AC3A-476512BBC336} (UploadListView Class) - http://picasaweb.google.fr/s/v/49.12/uploader2.cab
O16 - DPF: {82774781-8F4E-11D1-AB1C-0000F8773BF0} (DLC Class) - https://transfers.ds.microsoft.com/FTM/TransferSource/grTransferCtrl.cab
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - http://dl8-cdn-01.sun.com/s/ESD44/JSCDL/jdk/6u7/jre-6u7-windows-i586-p-iftw.exe?e=1240345319179&h=fea6d8e0fd9f998bc5bcf88920bc7baf/&filename=jre-6u7-windows-i586-p-iftw.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {FD0B6769-6490-4A91-AA0A-B5AE0DC75AC9} (Performance Viewer Activex Control) - https://secure.logmein.com/activex/ractrl.cab?lmi=100
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: TabletServicePen - Wacom Technology, Corp. - C:\Windows\system32\Pen_Tablet.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

Kaze · Answer

D'ailleurs, les futures manipulations permettront-elles de nettoyer mon disque dur externe ?

Puis-je commencer par supprimer déjà les fichiers qu'antivir m'a détecté comme infectés préesnts sur mon DDE ?

Ced_King · Answer

Télécharges et installes UsbFix de C_XX et Chiquitine29

Branches tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) sans les ouvrir

# Double-clique sur le raccourci UsbFix présent sur ton bureau.

# Choisis l'option 1 ( Recherche )

# Laisses travailler l'outil.

# Ensuite postes le rapport UsbFix.txt qui apparaitra.

# Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )


Tutoriel USBFix


# Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) 


Peux tu poster le rapport antivir stp

Kaze · Answer

Génial... "accès refusé" ...

Kaze · Answer

USBfix me dit toujours accès refusé, j'ai pourtant désactivé antivir au cas où ce serait lui qui l'en empêcherait mais ça n'a rien changé.

Kaze · Answer

Bon c'est géré, j'ai honte, il suffisait de l'éxécuter en tant qu'administrateur :)
Le rapport dans quelques minutes !

Kaze · Answer

Et hop : Le rapport de USBfix


############################## | UsbFix V6.023 |

User : odewit (Administrateurs) # ODEWIT-VISTA
Update on 29/08/09 by Chiquitine29, C_XX & Chimay8
Start at: 19:00:53 | 30/08/2009
Website : http://pagesperso-orange.fr/NosTools/index.html

AMD Turion(tm) 64 X2 Mobile Technology TL-50
Microsoft® Windows Vista™ Professionnel  (6.0.6000 32-bit) # 
Internet Explorer 7.0.6000.16830
Windows Firewall Status : Enabled
AV : AntiVir Desktop 9.0.1.32 [ Enabled | Updated ]

C:\ -> Disque fixe local # 149,05 Go (93,69 Go free) # NTFS
D:\ -> Disque CD-ROM
E:\ -> Disque CD-ROM
F:\ -> Disque fixe local # 298,09 Go (104,7 Go free) [Wexterne] # NTFS

############################## | Processus actifs |

C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\SYSTEM32\WISPTIS.EXE
C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe
C:\Windows\System32\spoolsv.exe
C:\Windows\system32	askeng.exe
C:\Windows\SYSTEM32\WISPTIS.EXE
C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe
C:\Program Files\Avira\AntiVir Desktop\sched.exe
C:\Program Files\Avira\AntiVir Desktop\avguard.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\Pen_Tablet.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Windows\system32\DRIVERS\xaudio.exe
C:\Windows\system32\Pen_Tablet.exe
C:\Windows\system32	askeng.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\System32undll32.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Program Files\Multimedia Card Readereadericon10.exe
C:\Program Files\Hotkey Management\FuncKey.exe
C:\Program Files\Power Manager\PM.exe
C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\DAEMON Tools Lite\daemon.exe
C:\Users\odewit\AppData\Local\Google\Update\GoogleUpdate.exe
C:\Program Files\Apoint2K\ApMsgFwd.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\Program Files\Common Files\Microsoft Shared\Ink\InputPersonalization.exe
C:\Program Files\Internet Explorer\ieuser.exe
C:\Windows\system32\conime.exe
C:\Windows\system32\wuauclt.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Windows\system32\Macromed\Flash\FlashUtil10a.exe
C:\program files\avira\antivir desktop\avcenter.exe
C:\Windows\system32\SearchProtocolHost.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Windows\system32\wbem\wmiprvse.exe

################## | Fichiers # Dossiers infectieux |

F:\autorun.inf # -> fichier appelé  : "F:\RECYCLED\INFO.exe" ( Présent ! )  
Présent ! F:\.ecycled\info.exe  
Présent ! F:\autorun.inf  
Présent ! F:\RECYCLED\INFO.exe  

################## | Suspect ! ... | https://www.virustotal.com/gui/ |


################## | Registre # Clés Run infectieuses |


################## | Registre # Mountpoints2 |

HKCU\..\..\Explorer\MountPoints2\##odewitMacVista#Dev
shell\AutoRun\command =Z:\ 
shell\explore\Command =Z:\RECYCLED\INFO.exe 
shell\open\Command =Z:\RECYCLED\INFO.exe 

HKCU\..\..\Explorer\MountPoints2\F
shell\AutoRun\command =F:\ 
shell\explore\Command =F:\RECYCLED\INFO.exe 
shell\open\Command =F:\RECYCLED\INFO.exe 

HKCU\..\..\Explorer\MountPoints2\G
shell\AutoRun\command =G:\ 
shell\explore\Command =G:\RECYCLED\INFO.exe 
shell\open\Command =G:\RECYCLED\INFO.exe 

HKCU\..\..\Explorer\MountPoints2\{0a34fac2-1f9c-11de-a286-001060d2e988}
shell\AutoRun\command =F:\ 
shell\explore\Command =F:\RECYCLED\INFO.exe 
shell\open\Command =F:\RECYCLED\INFO.exe 

HKCU\..\..\Explorer\MountPoints2\{215ac330-2e53-11de-9739-001060d2e988}
shell\AutoRun\command =F:\ 
shell\explore\Command =F:\RECYCLED\INFO.exe 
shell\open\Command =F:\RECYCLED\INFO.exe 

HKCU\..\..\Explorer\MountPoints2\{3d501213-ef86-11dd-ab80-001060d2e988}
shell\AutoRun\command =G:\ 
shell\explore\Command =G:\RECYCLED\INFO.exe 
shell\open\Command =G:\RECYCLED\INFO.exe 

HKCU\..\..\Explorer\MountPoints2\{4d29f407-f032-11dd-a86d-001060d2e988}
shell\AutoRun\command =F:\ 
shell\explore\Command =F:\RECYCLED\INFO.exe 
shell\open\Command =F:\RECYCLED\INFO.exe 

HKCU\..\..\Explorer\MountPoints2\{8044eda7-9555-11de-8e53-001060d2e988}
shell\AutoRun\command =F:\ 
shell\explore\Command =F:\RECYCLED\INFO.exe 
shell\open\Command =F:\RECYCLED\INFO.exe 

HKCU\..\..\Explorer\MountPoints2\{9fd1ca2e-35a9-11de-80e8-001060d2e988}
shell\AutoRun\command =F:\ 
shell\explore\Command =F:\RECYCLED\INFO.exe 
shell\open\Command =F:\RECYCLED\INFO.exe 

HKCU\..\..\Explorer\MountPoints2\{9fd1ca3c-35a9-11de-80e8-001060d2e988}
shell\AutoRun\command =F:\ 
shell\explore\Command =F:\RECYCLED\INFO.exe 
shell\open\Command =F:\RECYCLED\INFO.exe 

################## | Cracks / Keygens / Serials |


################## | ! Fin du rapport # UsbFix V6.023 ! |

Kaze · Answer

Je fais quoi maintenant, je lance un noettoyage via USBfix ?

Kaze · Answer

Bon, non je n'en lance pas, d'après ce que j'ai lu, ça peut être dangereux, il faut manifestement l'avis de quelqu'un qui s'y connaît.

kazend · Answer

test

kazend · Answer

Boudiou.
Je poste un message (donc avec le rapport), mais la notification d'envoie ne me propose pas de retourner à la discussion.
Ca fait bien 5 ou six fois que j'essaie d'envoyer le même message et il ne passe pas.
Et ce avec IE, Firefox puis Opera.

Ced_King · Answer

Re,

J'espère que tu as supprimer tes cracks et keygens ==> ceux sont eux les responsables de l'infection...

Branches tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) sans les ouvrir

# Double-clique sur le raccourci UsbFix présent sur ton bureau.

# Choisis l'option 2 ( Suppression)

# Laisses travailler l'outil.

# Ensuite postes le rapport UsbFix.txt qui apparaitra.

# Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

                                                           -------------------------------
Télécharge et installe  ccleaner 

- Durant l'installation :  Décoche la case proposant la barre d'outils yahoo et celle :" ajouter l'option des mises à jour"

- Une fois installé, fermes toutes les applications en cours et lance ccleaner

- clic -> option -> avancé et décoche :  " effacer les fichiers etc... plus vieux que 48h

- Sélectionne " nettoyeur " -> clic sur Analyse puis nettoyage, puis referme le programme.

                                                              ------------------------------

Ensuite, Fais un scan en ligne Kaspersky (Avec Internet Explorer)

- En bas à droite, clique sur Démarrer Online-scanner

- Dans la nouvelle fenêtre qui s'affiche, clique sur J'accepte

- Accepte les Contrôles ActiveX

- Choisis Poste de travail pour le scan.

- Celui-ci terminé, sauvegarde le rapport (Choisis fichier texte) et poste le dans ta prochaine réponse

- Pour t'aider à utiliser le scan en ligne : Tutoriel Kaspersky on line

NOTE : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée", va dans Ajout/Suppression de programmes puis désinstalle On-Line Scanner, reconnecte-toi sur le site de Kaspersky pour retenter le scan en ligne.

Ced_King · Answer

Ca fait bien 5 ou six fois que j'essaie d'envoyer le même message et il ne passe pas. 

--> Lorsque tu as un tel soucis, il est préférable de prévenir la conciergerie avec le bouton jaune ->/!\, plutôt que d'envoyer plusieurs fois le même rapport...

kazend · Answer

Bon désolé pour les multiples post, et maintenant je suis passé à la phase 2 de USBfix.
Cependant, il m'affiche un message d'erreur :

"Error Saving File
C:\USBfix\backup\registry 31-08-2009\security!
continue with next file ?
[RegCreateKeyEx:s - accès refusé]"

J'ai cliqué sur annuler, le PC a redémarré et ben voilà.

kazend · Answer

Donc je fais quoi, je continue malgré tout la suppression via USBfix ?

kazend · Answer

Bon j'ai fait "continuer" sur les quelques messages d'erreur (celui indiqué plus haut).
Voici le rapport :


############################## | UsbFix V6.023 |

User : odewit (Administrateurs) # ODEWIT-VISTA
Update on 29/08/09 by Chiquitine29, C_XX & Chimay8
Start at: 19:00:53 | 30/08/2009
Website : http://pagesperso-orange.fr/NosTools/index.html

AMD Turion(tm) 64 X2 Mobile Technology TL-50
Microsoft® Windows Vista™ Professionnel  (6.0.6000 32-bit) # 
Internet Explorer 7.0.6000.16830
Windows Firewall Status : Enabled
AV : AntiVir Desktop 9.0.1.32 [ Enabled | Updated ]

C:\ -> Disque fixe local # 149,05 Go (93,69 Go free) # NTFS
D:\ -> Disque CD-ROM
E:\ -> Disque CD-ROM
F:\ -> Disque fixe local # 298,09 Go (104,7 Go free) [Wexterne] # NTFS

############################## | Processus actifs |

C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\SYSTEM32\WISPTIS.EXE
C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe
C:\Windows\System32\spoolsv.exe
C:\Windows\system32	askeng.exe
C:\Windows\SYSTEM32\WISPTIS.EXE
C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe
C:\Program Files\Avira\AntiVir Desktop\sched.exe
C:\Program Files\Avira\AntiVir Desktop\avguard.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\Pen_Tablet.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Windows\system32\DRIVERS\xaudio.exe
C:\Windows\system32\Pen_Tablet.exe
C:\Windows\system32	askeng.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\System32undll32.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Program Files\Multimedia Card Readereadericon10.exe
C:\Program Files\Hotkey Management\FuncKey.exe
C:\Program Files\Power Manager\PM.exe
C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\DAEMON Tools Lite\daemon.exe
C:\Users\odewit\AppData\Local\Google\Update\GoogleUpdate.exe
C:\Program Files\Apoint2K\ApMsgFwd.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\Program Files\Common Files\Microsoft Shared\Ink\InputPersonalization.exe
C:\Program Files\Internet Explorer\ieuser.exe
C:\Windows\system32\conime.exe
C:\Windows\system32\wuauclt.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Windows\system32\Macromed\Flash\FlashUtil10a.exe
C:\program files\avira\antivir desktop\avcenter.exe
C:\Windows\system32\SearchProtocolHost.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Windows\system32\wbem\wmiprvse.exe

################## | Fichiers # Dossiers infectieux |

F:\autorun.inf # -> fichier appelé  : "F:\RECYCLED\INFO.exe" ( Présent ! )  
Présent ! F:\.ecycled\info.exe  
Présent ! F:\autorun.inf  
Présent ! F:\RECYCLED\INFO.exe  

################## | Suspect ! ... | https://www.virustotal.com/gui/ |


################## | Registre # Clés Run infectieuses |


################## | Registre # Mountpoints2 |

HKCU\..\..\Explorer\MountPoints2\##odewitMacVista#Dev
shell\AutoRun\command =Z:\ 
shell\explore\Command =Z:\RECYCLED\INFO.exe 
shell\open\Command =Z:\RECYCLED\INFO.exe 

HKCU\..\..\Explorer\MountPoints2\F
shell\AutoRun\command =F:\ 
shell\explore\Command =F:\RECYCLED\INFO.exe 
shell\open\Command =F:\RECYCLED\INFO.exe 

HKCU\..\..\Explorer\MountPoints2\G
shell\AutoRun\command =G:\ 
shell\explore\Command =G:\RECYCLED\INFO.exe 
shell\open\Command =G:\RECYCLED\INFO.exe 

HKCU\..\..\Explorer\MountPoints2\{0a34fac2-1f9c-11de-a286-001060d2e988}
shell\AutoRun\command =F:\ 
shell\explore\Command =F:\RECYCLED\INFO.exe 
shell\open\Command =F:\RECYCLED\INFO.exe 

HKCU\..\..\Explorer\MountPoints2\{215ac330-2e53-11de-9739-001060d2e988}
shell\AutoRun\command =F:\ 
shell\explore\Command =F:\RECYCLED\INFO.exe 
shell\open\Command =F:\RECYCLED\INFO.exe 

HKCU\..\..\Explorer\MountPoints2\{3d501213-ef86-11dd-ab80-001060d2e988}
shell\AutoRun\command =G:\ 
shell\explore\Command =G:\RECYCLED\INFO.exe 
shell\open\Command =G:\RECYCLED\INFO.exe 

HKCU\..\..\Explorer\MountPoints2\{4d29f407-f032-11dd-a86d-001060d2e988}
shell\AutoRun\command =F:\ 
shell\explore\Command =F:\RECYCLED\INFO.exe 
shell\open\Command =F:\RECYCLED\INFO.exe 

HKCU\..\..\Explorer\MountPoints2\{8044eda7-9555-11de-8e53-001060d2e988}
shell\AutoRun\command =F:\ 
shell\explore\Command =F:\RECYCLED\INFO.exe 
shell\open\Command =F:\RECYCLED\INFO.exe 

HKCU\..\..\Explorer\MountPoints2\{9fd1ca2e-35a9-11de-80e8-001060d2e988}
shell\AutoRun\command =F:\ 
shell\explore\Command =F:\RECYCLED\INFO.exe 
shell\open\Command =F:\RECYCLED\INFO.exe 

HKCU\..\..\Explorer\MountPoints2\{9fd1ca3c-35a9-11de-80e8-001060d2e988}
shell\AutoRun\command =F:\ 
shell\explore\Command =F:\RECYCLED\INFO.exe 
shell\open\Command =F:\RECYCLED\INFO.exe 

################## | Cracks / Keygens / Serials |


################## | ! Fin du rapport # UsbFix V6.023 ! |

Ced_King · Answer

*Tu m'envoies le rapport que tu as déjà envoyé ici, pourrais-tu poster le rapport de suppression stp ( option2).

Ensuite, si tu peux passer au scan Kaspersky on line et poster le rapport généré.

kazend · Answer

Bon j'ai passé le ccleaner, pas de souçi, mais j'ai un souçi avec kapersky.
J'ai pourtant bien lancé IE en administrateur mais la mise à jour de la base de données est à 100% (67330 kb de téléchargé, donc) et la procédure n'évolue plus.

Ced_King · Answer

Salut,

- Lorsque le téléchargement est terminé, clique sur le bouton suivant pour passer à l'étape suivante

- Tu dois ensuite choisir les éléments que tu désires scanner --> Poste de travail

Voici un autre tutoriel

Ced_King · Answer

Télécharge Combofix et enregistres le sur ton bureau



/!\ Désactive la garde ton antivirus et celle de ton(es) antispyware(s) /!\


- Déconnecte toi et ferme toutes les applications en cours

- clic-droit ( exécuter en tant qu'administrateur) sur Combofix.exe >> un message apparait > réponds " oui "

- ( installe la console de récupérations)

- Sélectionne la langue et presse la touche 1 ( yes) pour lancer le scan

/!\ Ne touche ni à la souris, ni au clavier durant le scan, cela pourrait figer l'ordi /!\

- A la fin du scan, Combofix aura besoin de redémarrer pour finir la désinfection, laisses le faire

- Une fois terminé, un rapport s'affiche, poste son contenu que tu peux aussi trouver à c:\combofix.txt 

 Tutoriel combofix

kazend · Answer

Bon et je rescanne mon DDE avec antivir, y'a toujours tout plein de virus infectés par w32/sality :/

Ced_King · Answer

Télécharge eScan Antivirus Toolkit

Installe-le comme expliqué ici

Une fois à jour et paramétré, redémarre le pc en " Mode sans echec "

- Au démarrage de l'ordi, tapotes sur la touche F8 ou F5 de ton clavier ( juste après le bip du bios et avant l'apparition du logo " Windows ")
- Un écran avec plusieurs choix apparaitra, sélectionne à l'aide des flèches du clavier, le mode sans echec et valides avec la touche " Entrée " 

Une fois en mode sans échec, lance le scan...

Ced_King · Answer

Il faut suivre la procédure ainsi : 

*  Téléchargez eScan Antivirus Toolkit sur votre Bureau.
    
* Double-cliquez le fichier mwav.exe qui se trouve sur le Bureau ; dézippez les fichiers dans le nouveau dossier suggéré (C:\Kaspersky). Le programme va se lancer et vous devez le quitter (cliquez sur Exit puis Exit).
    
* Double-cliquez sur le Poste de travail (Ordinateur sous Vista), puis double-cliquez sur le lecteur principal (habituellement C:\), double-cliquez sur le dossier Kaspersky ; ensuite, double-cliquez sur le fichier kavupd.exe. Vous verrez maintenant une fenêtre DOS apparaître, et la mise à jour se complètera en quelques minutes.
   
 * Lorsque la mise à jour sera complétée, vous verrez Press any key to continue ; tape sur une touche pour continuer. Deux nouveaux répertoires (dossiers) ont été créés lors de la mise à jour (C:\Bases et C:\Downloads).
    
* Sélectionnez/copiez tous les fichiers présents dans le dossier C:\Downloads, puis collez-les dans le dossier C:\Kaspersky. Acceptez à l'invite de remplacer les fichiers existants.

kazend · Answer

Bon, j'ai pas pu passer exactement le même outil vu qu'il ne fonctionnait pas (le lien que tu me donnait me faisait télécharger un escan dont la virus database était dépassée de 30 jours quoiqu'il arrive ...)
Je me suis rendu sur le site, ai téléchargé la version 11 et l'ai laissée tourer.
Il n'a détecté aucun virus sur le disque dur.
J'ai ensuite sélectionné mon Disque externe et il n'a rien signalé du tout non plus.

Virus - W32/Sality

26 réponses

Discussions similaires