Un probleme de Virus pour un debutant

Question

Salut tout le monde,

Ca fait pres de 20jours que mon ordi. est entre le feu et l eau:)
j ai un virus qui monopolise tout sur mon ordi. une fois lancer mon anti-virus ("freedom" de mon servers), il me dit qu un virus a ete trouver et voici les dossiers infectes;
Drive C:\
C:\WINDOWS\system32\Services\{364974CA-D39E-46E8-AA78-3D0D2EF5034E}\SECURITY.EXE

File is infected with a virus which is a security risk or a "backdoor" program.
C:\WINDOWS\system32\Services\{8728C6FB-8ED9-40EB-A605-5AE0335F3264}\SVCHOST32.DLL

File is infected with a virus which is a security risk or a "backdoor" program.
C:\WINDOWS\system32\Services\{EB7C70CE-38F2-4929-BC04-81A225E1305E}\SECURITY.EXE

File is infected with a virus which is a security risk or a "backdoor" program.
C:\WINDOWS\system32\Services\{EB7C70CE-38F2-4929-BC04-81A225E1305E}\SVCHOST.DLL

File is infected with a virus which is a security risk or a "backdoor" program.
C:\WINDOWS\system32\Services\{EB7C70CE-38F2-4929-BC04-81A225E1305E}\SVCHOST.EXE

File is infected with a virus which is a security risk or a "backdoor" program.
C:\WINDOWS\system32\Services\{EB7C70CE-38F2-4929-BC04-81A225E1305E}\SVCHOST32.DLL

File is infected with a virus which is a security risk or a "backdoor" program.
C:\r.exe

File is infected with a virus which is a virus dropper.

* en plus mon anti-spyware n arrive pas a' se lancer automatiquement comme il faisait avant.

Finalement, sur mon bureau des que je demare mon mon ordi. , il y a un message qui s affiche : SECURITY WARNING, ET EN PRIME MON HOME PAGES NOUVEAU EST UN PEU SPECIAL DANS LE SENS QU IL VEUT PAS PARTIR MEME EN LE REMPLACANT DANS LE CONTROLE PANNEL.

Veuillez svp, me donner qlques trucs pour eliminer ce maudit virus.

P.s., je pense que je le shopper sur Warez.com

merci et bonne journee

Configuration: XP home edition

slolo2000 · Answer

Salut Dave H,

as-tu un antivirus sur ton PC ?
Sinon télécharge vite Kaspersky (en version d'essai) ici ftp://d-eu-2f.kaspersky-labs.com/products/release/french/homeuser/kavpersonal/kav5.0.227_personalfr.exe
Si tu peux fais aussi la mise à jour de l'antivirus depuis internet et laisse le faire le boulot. C'est le meilleur du marché.

Si ça ne donne rien, on verra ce qu'on peut faire.

A+

LEMOINE · Answer

BONJOUR TU PEUT EFFECTUER UN SCAN EN LIGNE SUR MON SITE HTTP://WWW.LOOKMIKE.COM JE SUIS PARTENAIRE PANDASOFTWARE IL Y A UN ANTIVIRUS VALABLE 90 JOURS
EN LE NOM DES VIRUS JE T4ENVERRAI LES UTILITAIRE CORDIALEMENT mRLEMOINE

mRLEMOINE · Answer

http://fr.trendmicro-europe.com/consumer/products/housecall_scan.php?checkfailed=true&vm=&install=auto&termsconditions=accepted

jean38 · Answer

salut,

tu peux egalement faire celà:

telecharge hijackthis:
http://www.merijn.org/files/hijackthis.zip
Dezippe le dans un dossier prévu a cet effet.
Par exemple C:\hijackthis
lance le puis:
clic sur "do a system scan and save logfile" et pas autre chose
fais un copier coller du log entier ici. Un analyste compétent te prrescrira la marche à suivre (un peu plus le soir)

a+

jean38 · Answer

oui oui oui,

nettoyage a faire sans pb,

A/ si tu ne les as pas, telecharge: ad-aware et spyboot
http://www.florensac-chasse-trap.com
section virus

ainsi que CleanUp312.exe
ne les utilise pas tout de suite

1) clic droit sur poste de travail
propriété
restauration systeme
coche desactivé puis appliquer

2) demarrer
panneau de configuration
outil
option des dossiers
affichage,
coche afficher dossier cachés
decoche : masquer extension des fichiers dont le type est connu
masquer les fichiers protégés du systeme d'exploitation.

3) demarre en mode sans echec.
Soit tu tapotte sur la touche F8 alancement de Windows et tu choisi sans echec (pas d’inquiétude pour l’aspect de l’ecran)

execute cleanup312.exe

tu relances ton scan et la tu devrais pouvoir supprimer tes trojans.
lance egalement
ad aware
puis spy boot
et vire tout ce qu'ils trouvent (c'est un peu long mais tu devrais t'en sortir).

vide ta poubelle et redemarre en mode normal, c'est à dire avant de redemarrer, tu refais les manip de départ mais en recochant ... pour retrouver la config de départ.

redemarre

refait un log avec hijack et colle le

regis59 · Answer

salut jean,il faut analyser l hijack car il y a trop de mer*es style my bar ou instafinderkje penses qu il serait mieux de commencer par la mais c est juste ma suggestionbonne soiree

moe · Answer

salut dave

essaye de faire ceci:

Essaye de faire les manips dans cet ordre :

hors connection:

Vide le cache d'Internet Explorer et supprime les cookies:

* Panneau de configuration >> Options internet >> Onglet "Général"
- Clic sur [supprimer les cookies]
- Clic sur [Supprimer les fichiers] en cochant la case "Supprimer tout le contenu hors connexion"

Désactive la restauration systéme.
Clic droit sur poste de travail > propriétés > onglet restauration système
puis cocher "désactiver la restauration système".
(accepte le redemarrage).

Redémarre en mode sans échec
Laisse passer l'écran du bios, puis tapote sur la touche F8.
Choisis le mode sans échec dans les options et valide avec entrée.

Rend visible les fichiers cachés et systeme
panneau de configuration > options des dossiers > onglet affichage
Cocher " afficher les fichiers et dossiers cachés "
Décocher " masquer les extentions des fichiers dont le type est connu
Décocher " masquer les fichiers protégés du système"
Valide

---------------------------------------------

Lance hijackthis et Fixe:
cocher la case au début des lignes suivantes:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://minisearch.startnow.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://minisearch.startnow.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://ipassist.biz/index.php?id=11258
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.makemesearch.com/?said=615
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://minisearch.startnow.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://minisearch.startnow.com/

R3 - Default URLSearchHook is missing

O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - C:\Program Files\MyWay\myBar\1.bin\MYBAR.DLL
O2 - BHO: InstaFinderK - {4E7BD74F-2B8D-469E-90F0-F66AB581A933} - C:\PROGRA~1\INSTAF~1\INSTAF~1.DLL
O2 - BHO: (no name) - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - (no file)
O2 - BHO: Tubby - {9EAC0102-5E61-2312-BC2D-4D54434D5443} - C:\WINDOWS\System32\MTC.dll
O2 - BHO: Cls - {CF021F40-3E14-23A5-CBA2-7173706D8274} - C:\WINDOWS\System32\spm8274.dll (file missing)

O3 - Toolbar: Search Toolbar - {9EAC0102-5E61-2312-BC2D-4D54434D5443} - C:\WINDOWS\System32\MTC.dll
O3 - Toolbar: (no name) - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - (no file)

O4 - HKLM\..\Run: [tibs3] C:\WINDOWS\System32\tibs3.exe

Ces 2 lignes ci-dessous correspondent aux spywares de kazaa, a toi de voir si tu garde ou pas.

O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [AltnetPointsManager] C:\Program Files\Altnet\Points Manager\Points Manager.exe -s

O4 - HKLM\..\Run: [Service Host] C:\WINDOWS\System32\Services\{EB7C70CE-38F2-4929-BC04-81A225E1305E}\SVCHOST.EXE
O4 - HKLM\..\Run: [Disk Keeper] C:\WINDOWS\System32\Services\{364974CA-D39E-46E8-AA78-3D0D2EF5034E}\SECURITY.EXE
O4 - HKLM\..\RunOnce: [Srv32 spool service] C:\WINDOWS\System32\spoolsrv32.exe
O4 - HKCU\..\Run: [WindowsFY] c:\wp.exe
O4 - HKCU\..\RunOnce: [Srv32 spool service] C:\WINDOWS\System32\spoolsrv32.exe
O9 - Extra 'Tools' menuitem: Microsoft AntiSpyware helper - {5D3001F6-212A-4FB5-831B-8D47F736F83F} - (no file) (HKCU)
O9 - Extra button: Microsoft AntiSpyware helper - {9E092CCD-6812-41D1-8343-09C01B2671E8} - (no file) (HKCU)
O9 - Extra 'Tools' menuitem: Microsoft AntiSpyware helper - {9E092CCD-6812-41D1-8343-09C01B2671E8} - (no file) (HKCU)
O16 - DPF: {14A3221B-1678-1982-A355-7263B1281987} - ms-its:mhtml:file://c:\nosuch.mht!http://www.awmdabest.com/bltd/615.chm::/file.exe

valider avec [fix checked]

Rechercher et supprimer si présent:

Dans le cas ou tu utiliserais la fonction Rechercher:
Assure toi que dans:
Tous les fichiers et tous les dossiers >> Options avancées
• Rechercher dans les dossiers systemes <- DOIT ETRE COCHE !
• Rechercher dans les fichiers et les dossiers cachés <- DOIT ETRE COCHE !
• Rechercher dans les sous-dossiers <- DOIT ETRE COCHE !

Supprime:

C:\r.exe
c:\wp.exe
c:\wp.bmp
C:\WINDOWS\System32\tibs3.exe
C:\WINDOWS\System32\MTC.dll
C:\WINDOWS\System32\spoolsrv32.exe
C:\WINDOWS\System32\Services\{364974CA-D39E-46E8-AA78-3D0D2EF5034E}\SECURITY.EXE
C:\WINDOWS\System32\Services\{EB7C70CE-38F2-4929-BC04-81A225E1305E}\SVCHOST.EXE
(attention de ne pas confondre avec le bon svchost.exe, qui lui est situé dans C:\WINDOWS\System32)

C:\Program Files\MyWay <- tout le dossier
C:\Program Files\instafink ou instafinder <- tout le dossier

ceux là, ne seront peut etre pas présents, mais recherches les quand meme et tu les supprimes s'ils existent.

srpcsrv32.dll
TIBS3.BAT
_T.EXE
runsvc32.exe

Ensuite, tres important:

Supprimer les fichiers temporaires:

* C:\Documents and Settings\ton compte\Local Settings\Temp
* C:\Documents and Settings\tous les autres comptes\Local Settings\Temp
* C:\Temp
* C:\Windows\Temp
vider tout le contenu des dossiers en gras.

Le contenu du dossier prefetch:

* C:\WINDOWS\Prefetch <= sauf le fichier layout.ini

* Ne pas oublier de vider la corbeille !

------------------------------------------------

redemarre normalement

ce dossier est suspect, fait le analyser ici:
http://www.kaspersky.com/scanforvirus

ensuite reposte un log hijackthis avec le resultat du scan chez kaspersky

Ne pas oublier après les manips de recocher" masquer les fichiers protégés du système" dans les options des dossiers

a+

moe · Answer

petite rectification:
pour la fin du post, il faut lire:

redemarre normalement

C:\WINDOWS\System32\Services
ce dossier est suspect, fait le analyser ici:
http://www.kaspersky.com/scanforvirus

ensuite reposte un log hijackthis avec le resultat du scan chez kaspersky

Ne pas oublier après les manips de recocher" masquer les fichiers protégés du système" dans les options des dossiers

a+

LEMOINE · Answer

http://www.bitdefender.fr/bd/site/page.php?country_id=43#VOICI UN LIEN DE SCAN ONLINE

LEMOINE · Answer

ManuelC :\WINDOWS\system32
etdde.exeDétection matériel noyauPas de description...AutomatiqueC :\WINDOWS\System32\svchost.exe -k netsvcsEmplacement protégéFournit un stockage protégé pour les données sensibles, telles que les clés privées, afin d’empêcher l’accès par des services, des processus ou des utilisateurs non autorisés.AutomatiqueC :\WINDOWS\system32\lsass.exeExplorateur d’ordinateurTient à jour une liste des ordinateurs présents sur le réseau et fournit cette liste aux ordinateurs désignés comme navigateurs. Si ce service est arrêté, la liste ne sera pas mise ou tenue à jour. Si ce service est désactivé, les services qui en dépendent ne pourront pas démarrer.Manuel si vous n’êtes pas reliés à un réseau.Automatique si vous êtes reliés à un réseau.Extensions du pilote WMIFournit des informations de gestion du système vers et à partir des pilotes.ManuelC :\WINDOWS\System32\svchost.exe -k netsvcsFournisseur de la prise en charge de sécurité LM NTAssure la sécurité des programmes RPC (appels de procédure distante) qui utilisent des transports autres que des canaux nommés.ManuelC :\WINDOWS\System32\lsass.exeGestion d’applicationsFournit des services d’installation de logiciels tels que Attribuer, Publier et Supprimer.ManuelC :\WINDOWS\system32\svchost.exe -k netsvcsGestionnaire de comptes de sécuritéStocke les informations de sécurité pour les comptes d’utilisateurs locaux.AutomatiqueC :\WINDOWS\system32\lsass.exeGestionnaire de connexion automatique d’accès distantCrée une connexion vers un réseau distant à chaque fois qu’un programme référence un nom ou une adresse DNS ou NetBIOS distant.ManuelC :\WINDOWS\System32\svchost.exe -k netsvcsGestionnaire de connexions d’accès distantCrée une connexion réseau.ManuelC :\WINDOWS\System32\svchost.exe -k netsvcsGestionnaire de disque logiqueDétecte et analyse de nouveaux lecteurs de disque durs et envoie les informations de volume de disque au service gestionnaire administratif de disque logique pour la configuration. Si ce service est arrêté, l’état des disques dynamiques et les informations de configuration peuvent devenir obsolètes. Si ce service est désactivé, tout service en dépendant explicitement ne démarrera pas.Laisser ce service en mode Automatique même si vos disques ne sont pas dynamiques.C :\WINDOWS\System32\svchost.exe -k netsvcsGestionnaire de l’AlbumActive le Gestionnaire de l’Album afin de stocker les informations et les partager avec des ordinateurs à distance. Si le service est arrêté, le Gestionnaire de l’Album ne pourra pas partager les informations avec des ordinateurs à distance. Si ce service est désactivé, tout service en dépendant explicitement ne démarrera pas.ManuelC :\WINDOWS\system32\clipsrv.exeGestionnaire de session d’aide sur le Bureau à distanceGère et contrôle l’assistance à distance. Si ce service est arrêté, l’assistance à distance n’est pas disponible. Consultez l’onglet Dépendances avant d’arrêter ce service.Mettre ce service en mode Manuel si vous ne voulez pas que l’on prenne le contrôle de votre ordinateur sur un réseau local ou Internet. Vous pouvez aussi personnaliser cette option dans les "Propriétés du système" en faisant un clic droit sur le "Poste de Travail => Propriétés => onglet Utilisation à distance" (voir photo ci-dessus).C :\WINDOWS\system32\sessmgr.exeGestionnaire de téléchargementGère les transferts de fichiers synchrones et asynchrones entre les clients et les serveurs sur le réseau. Si ce service est arrêté, les transferts de fichiers synchrones et asynchrones entre les clients et les serveurs ne seront pas possibles. S’il est désactivé, tous les services dépendant explicitement de ce service ne pourront pas démarrer.Vous pouvez mettre ce service en mode Manuel.C :\WINDOWS\System32\svchost.exe -k netsvcsHorloge WindowsConserve la synchronisation de la date et de l’heure sur tous les clients et serveurs sur le réseau. Si ce service est arrêté, la synchronisation de la date et de l’heure sera indisponible. Si ce service est désactivé, tout service en dépendant explicitement ne démarrera pas.Je laisse ce service en Automatique mais, je désactive la synchronisation par Internet (voir photo ci-dessus).C :\WINDOWS\System32\svchost.exe -k netsvcsHôte de périphérique universel Plug And PlayOffre la prise en charge des périphériques hôtes universels Plug And Play.Par défaut ce service est sur Manuel (ne pas le modifier).C :\WINDOWS\System32\svchost.exe -k LocalServiceInfrastructure de gestion WindowsFournit une interface commune et un modèle objet pour accéder aux informations de gestion du système d’exploitation, des périphériques, des applications et des services. Si ce service est arrêté, la plupart des logiciels sur base Windows ne fonctionneront pas correctement. Si ce service est désactivé, tout service qui en dépend explicitement ne démarrera pas.Par défaut ce service est sur Automatique (ne pas le modifier).C :\WINDOWS\system32\svchost.exe -k netsvcs

moe · Answer

salutc'est le dossier services qu'il faut faire analyser et pas system32C:\WINDOWS\System32\Services ici:http://www.kaspersky.com/scanforvirus

Un probleme de Virus pour un debutant

11 réponses

Discussions similaires

Newsletters