Sujet Précédent Sujet Suivant

Ordinateur infecté par alureon

bobbyno -  
eZula Messages postés 3509 Statut Contributeur -
Bonjour,

voilà depuis qq jours j'ai choopé un virus qui a complètement déglingué mon pc: je suis sous windows xp.

J'ai des erreurs de dll de partout, ma barre des taches à disparu, le menu démarrer n'est plus accessible, chaque fois que je lance un programme j'ai un message d'erreur et je ne peux plus redemarrer en mode sans echec.

Qd je lance avast: il me trouve le win32: Alureon-CY (Rtk) dans le fichier suivant:

C:\Documents and Settings\All Users\Application Data\Symantec\Symantec AntiVirus Corporate Edition\7.5\APTemp\AP0.dll

voici un rapport Hijackthis

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 09:53:35, on 2009-09-28
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16876)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\PROGRA~1\AVG\AVG8\avgam.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe
C:\PROGRA~1\SYMANT~2\VPTray.exe
C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.2\Apps\apdproxy.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Alwil Software\Avast4\ashSimpl.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\NOTEPAD.EXE
\srvparis\MYDOc\benoit.cuny\Téléchargements\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://proxy-wonder.tls.123multimedia.com/proxy.pac
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG8\avgssie.dll
O2 - BHO: (no name) - {ba603215-23f2-42ad-f4e4-00aac39caa53} - C:\WINDOWS\system32\nzfiu3h78di.dll (file missing)
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [AdaptecDirectCD] C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe
O4 - HKLM\..\Run: [pdfw] C:\Program Files\Amic Utilities\PDF Writer Pro\pdfwload.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~2\VPTray.exe
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.2\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe
O4 - HKLM\..\Run: [zdwtmvfnh] c:\windows\system32\zdwtmvfnh.exe zdwtmvfnh
O4 - HKLM\..\Run: [vwjjkj] c:\windows\system32\vwjjkj.exe vwjjkj
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [calc] rundll32.exe C:\WINDOWS\system32\calc.dll,_IWMPEvents@0
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Exetender] C:\Program Files\Player Metaboli\GPlayer.exe /schedule 300000
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [DriverUpdaterPro] C:\Program Files\iXi Tools\Driver Updater Pro\DriverUpdaterPro.exe -t
O4 - HKCU\..\Run: [calc] rundll32.exe C:\DOCUME~1\BENOIT~1.CUN\protect.dll,_IWMPEvents@0
O4 - HKUS\S-1-5-21-2585863069-191951369-856499580-5896\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background (User '?')
O4 - HKUS\S-1-5-21-2585863069-191951369-856499580-5896\..\Run: [Exetender] C:\Program Files\Player Metaboli\GPlayer.exe /schedule 300000 (User '?')
O4 - HKUS\S-1-5-21-2585863069-191951369-856499580-5896\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe (User '?')
O4 - HKUS\S-1-5-21-2585863069-191951369-856499580-5896\..\Run: [DriverUpdaterPro] C:\Program Files\iXi Tools\Driver Updater Pro\DriverUpdaterPro.exe -t (User '?')
O4 - HKUS\S-1-5-21-2585863069-191951369-856499580-5896\..\Run: [calc] rundll32.exe C:\DOCUME~1\BENOIT~1.CUN\protect.dll,_IWMPEvents@0 (User '?')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User '?')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - S-1-5-21-2585863069-191951369-856499580-5896 Startup: scandisk.lnk = ? (User '?')
O4 - Startup: scandisk.lnk = ?
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredits/menusearch.jhtml?p=ZJfox000
O8 - Extra context menu item: Download All Files by HiDownload - C:\PROGRA~1\HIDOWN~1\HDGetAll.htm
O8 - Extra context menu item: Download by HiDownload - C:\PROGRA~1\HIDOWN~1\HDGet.htm
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Bonjour - {7F9DB11C-E358-4ca6-A83D-ACC663939424} - C:\Program Files\Bonjour\ExplorerPlugin.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: HiDownload - {F4FBA929-A891-492C-A0F6-5C79CC4F1742} - C:\PROGRA~1\HIDOWN~1\hidownload.exe (file missing)
O9 - Extra button: @C:\Program Files\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: @C:\Program Files\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {09CC593B-E8A9-4491-927D-A3E33534DDD4} (InstallerObj Class) - http://m6video.m6.fr/1click/install/files/installer2.cab
O16 - DPF: {149E45D8-163E-4189-86FC-45022AB2B6C9} (SpinTop DRM Control) - file:///C:/Program%20Files/CLUE%20Accusations%20and%20Alibis/Images/stg_drm.ocx
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {493ACF15-5CD9-4474-82A6-91670C3DD66E} (LinkedIn ContactFinderControl) - https://www.linkedin.com/cab/LinkedInContactFinderControl.cab
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/20040428/qtinstall.info.apple.com/saba/fr/win/QuickTimeFullInstaller.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O16 - DPF: {CC450D71-CC90-424C-8638-1F2DBAC87A54} (ArmHelper Control) - file:///C:/Program%20Files/Alice's%20Magical%20Mahjong/Images/armhelper.ocx
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = tls.123multimedia.com
O17 - HKLM\Software\..\Telephony: DomainName = tls.123multimedia.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{1896D1DE-7DE8-4E42-95A5-DB1CD6AA207D}: Domain = tls.123multimedia.com
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = tls.123multimedia.com
O17 - HKLM\System\CS1\Services\Tcpip\..\{1896D1DE-7DE8-4E42-95A5-DB1CD6AA207D}: Domain = tls.123multimedia.com
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = tls.123multimedia.com
O17 - HKLM\System\CS2\Services\Tcpip\..\{1896D1DE-7DE8-4E42-95A5-DB1CD6AA207D}: Domain = tls.123multimedia.com
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: Domain = tls.123multimedia.com
O17 - HKLM\System\CS3\Services\Tcpip\..\{1896D1DE-7DE8-4E42-95A5-DB1CD6AA207D}: Domain = tls.123multimedia.com
O17 - HKLM\System\CS4\Services\Tcpip\Parameters: Domain = tls.123multimedia.com
O17 - HKLM\System\CS4\Services\Tcpip\..\{1896D1DE-7DE8-4E42-95A5-DB1CD6AA207D}: Domain = tls.123multimedia.com
O17 - HKLM\System\CS5\Services\Tcpip\Parameters: Domain = tls.123multimedia.com
O17 - HKLM\System\CS5\Services\Tcpip\..\{1896D1DE-7DE8-4E42-95A5-DB1CD6AA207D}: Domain = tls.123multimedia.com
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG8\avgpp.dll
O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll
O22 - SharedTaskScheduler: ksfe98wjkodsngiwiojndg873hundggdd - {BA603215-23F2-42AD-F4E4-00AAC39CAA53} - C:\WINDOWS\system32\nzfiu3h78di.dll (file missing)
O23 - Service: Ad-Aware 2007 Service aawservice LM Service (aawservice lm service) - Unknown owner - C:\WINDOWS\TEMP\toivcrpphx.exe (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: AVG8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
O23 - Service: Background Intelligent Transfer Service (BITS) - Unknown owner - C:\WINDOWS\
O23 - Service: Mises à jour automatiques (wuauserv) - Unknown owner - C:\WINDOWS\
A voir également:

16 réponses

Réponse 1 / 16
eZula Messages postés 3509 Statut Contributeur 392
 
Bonjour,

télécharge GenProc http://www.genproc.com/GenProc.exe

double-clique sur GenProc.exe et poste le contenu du rapport qui s'ouvre
1
Réponse 2 / 16
eZula Messages postés 3509 Statut Contributeur 392
 
Bonjour,

télécharge GenProc http://www.genproc.com/GenProc.exe

double-clique sur GenProc.exe et poste le contenu du rapport qui s'ouvre
0
Réponse 3 / 16
eZula Messages postés 3509 Statut Contributeur 392
 
Bonjour,

télécharge GenProc http://www.genproc.com/GenProc.exe

double-clique sur GenProc.exe et poste le contenu du rapport qui s'ouvre
0
Réponse 4 / 16
bobbyno
 
salut,

je le lance la fenetre s'ouvre et se ferme et rien ne se passe. Je craque
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 16
bobbyno
 
j'ai encore réssayé avec genproc mais rien ne se passe la fenetre de commande s'ouvre, il dit qu'il fait un scan, puis se ferme et rien ne se passe aucun rapport ne s'affiche.
0
Réponse 6 / 16
bobbyno
 
voilà j'y suis arrivé:

Arguments de la procédure ~~

# Détections [1] GenProc 2.631 2009-09-28 à 10:21:26
Navipromo:le 2009-09-28 à 10:24:05 "C:\WINDOWS\pack.epk"
Toolbar:le 2009-09-28 à 10:24:07 "C:\Documents and Settings\benoit.cuny\Application Data\FunWebProducts"
USBFix:le 2009-09-28 à 10:24:30 "C:\WINDOWS\Temp\nsrbgxod.bak"
TDSS:le 2009-09-28 à 10:24:32 "C:\WINDOWS\System32\gasfky*.???"
0
Réponse 7 / 16
bobbyno
 
en fait j'ai aucun rapport qui s'ouvre, je peux récuperer que le fichier que je viens de t'envoyer.
0
Réponse 8 / 16
eZula Messages postés 3509 Statut Contributeur 392
 
Supprime C:\GenProc et le raccourci GenProc sur le bureau
Passe en mode sans échec avec prise en charge réseau
Télécharge cette version http://www.alt-shift-return.org/Info/Fichiers/GenProc2633.zip
Dézippe-la et lance GenProc.exe, puis poste le rapport
0
bobbyno
 
ben je n'arrive pas a demarrer en mode sans echec, à chaque fois il me renvoie sur la fenetre de chargement de windows avec les option de demarrage; mais seule l'option demarrer windows normalement fonctionne.

Du coup j'ai téléchargé genproc à partir de ton lien, je l'ai dezippé et reinstallé puis lancé mais rien ne se passe et il se ferme au bout d'1 ou 2 minutes sans me proposer de log.

voici ce que je récupère dans C:/genproc/page/argument.txt


# Détections [1] GenProc 2.633 2009-09-28 à 13:41:27
Wuauserv: le 2009-09-28 à 13:42:12 FystemRoot
Navipromo:le 2009-09-28 à 13:42:37 "C:\WINDOWS\System32\*_nav??.dat"
Toolbar:le 2009-09-28 à 13:42:37 "C:\Documents and Settings\benoit.cuny\Application Data\FunWebProducts"
USBFix:le 2009-09-28 à 13:42:52 "C:\WINDOWS\Temp\nsrbgxod.bak"
TDSS:le 2009-09-28 à 13:42:54 "C:\WINDOWS\System32\gasfky*.???"

merci
0
Réponse 9 / 16
eZula Messages postés 3509 Statut Contributeur 392
 
Poste le contenu du fichier GenProc\Arguments\Debug.txt
0
bobbyno Messages postés 8 Statut Membre
 
tu as eu mon message?
0
Réponse 10 / 16
eZula Messages postés 3509 Statut Contributeur 392
 
oui, et toi https://forums.commentcamarche.net/forum/affich-14551849-ordinateur-infecte-par-alureon#10 ?
0
Réponse 11 / 16
bobbyno Messages postés 8 Statut Membre
 
non j'ai rien eu mes messages ni les tiens ne s'affichent
0
Réponse 12 / 16
eZula Messages postés 3509 Statut Contributeur 392
 
Poste le contenu du fichier GenProc\Arguments\Debug.txt
0
bobbyno Messages postés 8 Statut Membre
 
Fichier introuvable - LISTEPROCES.TXT
Il manque un opérande.
Il manque un opérande.
Il manque un opérande.
30 était inattendu.
0
Réponse 13 / 16
eZula Messages postés 3509 Statut Contributeur 392
 
effectivement ça a l'air dans un sale état

Télécharge combofix (sUBs) http://download.bleepingcomputer.com/sUBs/ComboFix.exe sur ton Bureau
Double clique combofix.exe et suis les instructions.
Installe la console de récupération si proposé et continue.
Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.

NOTE : Le rapport se trouve également ici : C:\Combofix.txt
0
Réponse 14 / 16
bobbyno Messages postés 8 Statut Membre
 
ok mais apparement qd je poste des rapports trop longs la modération les laisse pas passer, comment je peux faire
0
Réponse 15 / 16
eZula Messages postés 3509 Statut Contributeur 392
 
envoie les moi en message privé (y compris le précédent que je t'ai demandé, Debug.txt)
0
bobbyno Messages postés 8 Statut Membre
 
ok je viens de les envoyer
0
Réponse 16 / 16
eZula Messages postés 3509 Statut Contributeur 392
 
https://forum.zebulon.fr/topic/168314-infection-rootkit-alureon#entry1423783
0