impossible de se débarasser de win32.donk.s. Résolu

Question

Bonjour,
Je suis sous windows xp et j'ai un petit problème. Norton me repère un ver du nom de win32.donk.s. et dis qu'il me l'efface. Le problème est que de un, les programmes commencent à être cparicieux puis ne répondent plus et de deux, lorsque je redémarre, Norton retrouve le ver (dans system32\cool.exe) et me l'efface.
J'ai bien sûr suivi la procédure recommandée par le site de symantec security response (désactiver le restore point, redémarrer en safe mode et analyser) mais ça ne marche pas.
Je ne sais vraiment plus quoi faire et le formatage n'est vraiment pas une option pour le moment. Quelqu'un pourrait-il m'aider?
Merci
Ju

Afficher la suite

cooper · Answer

Il ce peux que le virus ayant un source ou un porte dérobé qu'il va permettre a ce virus de revenir.
Plusieurs solutions s'offrent a toi
1 ) Vérifier avec un scan en ligne .
2 ) Faire un scan avec un anti spyxare il ce peut qu'un mouchard soit sur le pc et permette au virus de revenir .
3) Virer norton et mettre avast ou avg ou bien d'autre.

regis59 · Answer

salut ju,
comme le suggerer notre internaute, essai:
1/vides temp+cookies dans option internet puis installe:

2/installe cela et supprime tous ce qu il trouve si tu ne les as pas encore:

Ad-Aware :
http://telecharger.01net.com/windows/Internet/internet_utlitaire/fiches/11643.html

Le patch en Français pour Ad-Aware :
http://telecharger.01net.com/windows/Internet/internet_utlitaire/fiches/25543.html

Spybot :
http://telecharger.01net.com/windows/Internet/internet_utlitaire/fiches/26157.html

essai ceci,met les a jour, scan et supprime tous ce qu il trouve...

si le probleme persiste passe au 2/
--------------------------------------------------------------------------
2/lance un scan chez RAV :
http://www.ravantivirus.com/scan/

Clique sur "To continue without subscribing click here" et attends quelques minutes.
Lorsque "Ready" est affiché dans "status", coche la case "Autoclean" puis clique sur "Scan my PC"
A la fin de l'analyse, copie/colle le rapport ici

et si rien passe au 3/
-------------------------------------------------------------------------
3/Si les problèmes persistes télécharge hijackthis ici:
http://www.hijackthis.de/downloads/hijackthis_199.zip
L'aide est ici:
http://www.zebulon.fr/articles/HijackThis.php

Dezippz le dans un dossier prévu a cet effet.
Par exemple C:\hijackthis
lancez le puis:
clic sur "do a system scan and save logfile"
faire un copier coller du log entier sur le forum.

a bientot

Ju · Answer

D'abord merci à pour vos réponses. J'avais déjà nettoyé mes dossiers temporaires et mes cookies. Suivi d'une analyse par spybot mais pas par ad-aware. Il m'a trouvé des éléments supplémentaires et je les ai effacé. Je croyais être tranquille mais j'ai crié victoire un peu vite. J'ai donc suivi le 3ème conseil et fais un scan par RAV. Voici ce que ça donne

Statistics

Scanned files: 175791
Scanned directories: 4860
Scanned archives: 3102
Size of the scanned files: 1546068439
Packed files: 3643
Known viruses found: 4
Virus bodies: 3
Suspicious files: 1

Disinfected files: 0
Deleted files: 0
Renamed files: 0
Copied files: 0
I/O errors: 0
Warnings: 0
Corrupted files: 0
New files: 409051
Mail files: 342

Found viruses
File: C:\Program Files\VanDale\Groot woordenboek der Nederlandse taal\Macro\andcxww6.doc
Virus: WM/Generic Status: Suspicious

File: D:\Programmes\2_Clone CD & DVD versions + Serials + Keygens.zip->Clone CD_6 versions + Serials + Keygens/Clone CD 3.06.01 + crack + db.zip->Clone CD 3.06.1+crack+db/clonedb_2002.exe
Virus: Win32/Hybris.C@mm Status: Infected

File: D:\System Volume Information\_restore{3DE60C43-0ED3-47E2-8524-98A7420BF989}\RP184\A0021227.exe->(UPXW)
Virus: Tool:PornDialer.gen! Status: Infected

File: D:\System Volume Information\_restore{3DE60C43-0ED3-47E2-8524-98A7420BF989}\RP184\A0021228.exe->(UPXW)
Virus: Tool:PornDialer.gen! Status: Infected

File: D:\System Volume Information\_restore{4B02D904-3AC1-49C9-ADCD-BFBDFE0CA153}\RP1\A0000023.exe
Virus: TrojanDownloader:Win32/IstBar Status: Infected

Voilà, je rapelle que mon problème se nomme win32.donk.s au cas où.
Comme vous le voyez, il y a quelques petits soucis. Je n'ai qu'à effacer ces dossiers (bien que je ne sais pas comment atteindre le restore du D:) ou dois-je encore prendre d'autres précautions histoire que le ver ne se soit pas copié ailleurs?
Merci d'avance
Ju

regis59 · Answer

salut,
supprime ce qui est e,n gras en suivant le chemin indiqué
File: C:\Program Files\VanDale\Groot woordenboek der Nederlandse taal\Macro\andcxww6.doc

File: D:\Programmes\2_Clone CD & DVD versions + Serials + Keygens.zip->Clone CD_6 versions + Serials + Keygens/Clone CD 3.06.01 + crack + db.zip->Clone CD 3.06.1+crack+db/clonedb_2002.exe

Ensuite pour inteindre restore(c est ta restauration systeme)
tu clik droit sur poste de travail, propriete, onglet restauration systeme tu coche la petite case , tu supprimes les points de restaurations, puis decoche la case

refais un scan pour verif....ton ver est tjr present?

a++

Ju · Answer

Voilà!Apparement, tout va bien puisque pas de nouvelles attaques depuis 4 jours. Merci beaucoup pour l'aide!

regis59 · Answer

De rien, ju !Bon surf a toi ! ^^PS: dote toi d un pare feu afin d eviter d eventuelles infections (si tu en possedes pas encore un)<http://www.inoculer.com/firewall5.php3

Ju · Answer

Re,
Bon de nouveau je me suis réjoui un peu vite...
En effet après 2 semaines de tranquillité absolue, revoilà ce bon vieux win32.Donk.S qui m'apporte son lot de ralentissements et autres programmes incontrôlables.
Alors je vais essayer la 3ème étape conseillée, à savoir l'utilisation de hijack puis je fais signe. Donc à très bientôt

Neo-Nil@u · Answer

Salut Ju(ju) ,

il te faut ABSOLUMENT un pare-feu ! Sinon, tu risques d'être infectée en moins d'une demi-heure de net !
Voir http://www.commentcamarche.net/faq/484-Virus-et-Malwares-le-truc-pour-les-%E9liminer

jean38 · Answer

le temps moyen est estimé à 4 minutes sans pare feu, çà fait peur...

regis59 · Answer

bonsoir,
oui effectivement les gars, je lui avait conseiller au poste 6 lorsque tout etait resolu !

refais un scan avec RAV + hijak et met un pare feu

a+, bonne soirée jean et neo, on va surrement se croiser sur le forum !!

Neo-Nil@u · Answer

Merci Regis !!!  ;)

Ju · Answer

Ben oui mais j'ai un pare-feu (NIS), qui jusqu'ici renvoyait tout bien correctement, avec de belles alertes et tout et tout !!
Mais là je sais pas, cette chose est bizarrement passée au travers. J'ai du couper mon pare-feu deux ou trois fois en 1 an et c'est peut-etre déjà trop. :'(
Pour rappel, Norton me supprime à chque fois le ver mais il revient inlassablement. RAV trouve plus rien donc maintenant Hijack
PArce que là Word fonctionne pluset ça devient comment dire... AGACANT :x

Ju · Answer

Voilà le log de hijack juste après le redémarrage de l'ordi et alors que Norton ne m'a pas encore supprimé ce gentil petit verA bientôt et merci d'avance pour votre aideLogfile of HijackThis v1.99.1Scan saved at 21:15:18, on 28/04/2005Platform: Windows XP  (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 (6.00.2600.0000)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\System32\Ati2evxx.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exeC:\Program Files\Norton Internet Security\NISUM.EXEC:\WINDOWS\System32\DRIVERS\CDANTSRV.EXEC:\Program Files\Norton Internet Security\ccPxySvc.exeC:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exeC:\Program Files\Norton AntiVirus
avapsvc.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\wuauclt.exeC:\WINDOWS\system32\Ati2evxx.exeC:\WINDOWS\Explorer.EXEC:\Program Files\Common Files\Symantec Shared\ccApp.exeC:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeC:\Program Files\Microsoft Hardware\Mouse\point32.exeC:\Program Files\Java\jre1.5.0_02\bin\jusched.exeC:\Program Files\Common Files\Real\Update_OBealsched.exeC:\WINDOWS\System32\ctfmon.exeC:\Program Files\SEC\Natural Color\NaturalColorLoad.exeC:\Program Files\Messenger\msmsgs.exeC:\Documents and Settings\Ju\My Documents\Download\hijackthis_199\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dllO2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dllO3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Common Files\Symantec Shared\ccRegVfy.exe"O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeO4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exeO4 - HKLM\..\Run: [SSC_UserPrompt] C:\Program Files\Common Files\Symantec Shared\Security Center\UsrPrmpt.exeO4 - HKLM\..\Run: [POINTER] point32.exeO4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_02\bin\jusched.exeO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OBealsched.exe"  -osbootO4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exeO4 - Startup: NaturalColorLoad.lnk = ?O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXEO4 - Global Startup: NaturalColorLoad.lnk = ?O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin
pjpi150_02.dllO9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin
pjpi150_02.dllO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://www-secure.symantec.com/techsupp/asa/LSSupCtl.cabO16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/2905ca5fc55745417100/netzip/RdxIE601_fr.cabO16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1099954587894O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cabO16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cabO16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - https://www-secure.symantec.com/techsupp/asa/SymAData.cabO16 - DPF: {FA3662C3-B8E8-11D6-A667-0010B556D978} (IWinAmpActiveX Class) - http://cdn.digitalcity.com/_media/dalaillama/ampx.cabO20 - AppInit_DLLs: CLKERN.DLLO23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exeO23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exeO23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXEO23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exeO23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exeO23 - Service: Symantec Proxy Service (ccPxySvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\ccPxySvc.exeO23 - Service: Norton AntiVirus Auto Protect Service (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus
avapsvc.exeO23 - Service: Norton Internet Security Accounts Manager (NISUM) - Symantec Corporation - C:\Program Files\Norton Internet Security\NISUM.EXEO23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\COMMON~1\SYMANT~1\SCRIPT~1\SBServ.exeO23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exeO23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\Security Center\SymWSC.exe

Neo-Nil@u · Answer

IMPORTANT : fais d'abord tes mises à jour via Windows Update :ouvre ta page internet, Outils, Windows UpdateInstalle-les toutes et redémarre ton PC !

Impossible de se débarasser de win32.donk.s.

14 réponses

Votre réponse

Discussions similaires

Newsletters