virus sality sur msiwind u90x

Question

Bonjour,

Mon nouveau notebook msi windu90x est infecté par un virus Win32:Sality
Je l'ai découvert en voulant installer antivir qui ne veut pas s'installer, pareil pour avast 4.8
j'ai peur pour mon nouveau notebook. apparement, il s'incruste sur tous les fichiers .exe

aidez-moi svp

j'ai déjà lu le forum et déjà lancer hijackthis, voici le log :

Logfile of HijackThis v1.99.1
Scan saved at 15:40:13, on 28/10/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe
C:\WINDOWS\System32\TUProgSt.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtMng.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosA2dp.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtHid.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtHsp.exe
C:\DOCUME~1\msi\LOCALS~1\Temp\winpjsby.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\msi\LOCALS~1\Temp\Rar$EX00.781\HijackThis.exe

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [StormCodec_Helper] "C:\Program Files\Ringz Studio\Storm Codec\StormSet.exe" /S /opti
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [ITSecMng] %ProgramFiles%\TOSHIBA\Bluetooth Toshiba Stack\ItSecMng.exe /START
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Bluetooth Manager.lnk = ?
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: EZVE - {88888888-2989-2989-2989-000000000001} - http://www.ezve.com (file missing)
O9 - Extra 'Tools' menuitem: EZVE IT CO., LTD. - {88888888-2989-2989-2989-000000000001} - http://www.ezve.com (file missing)
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O23 - Service: TOSHIBA Bluetooth Service - TOSHIBA CORPORATION - C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe
O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software - C:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: TuneUp Program Statistics Service (TuneUp.ProgramStatisticsSvc) - TuneUp Software - C:\WINDOWS\System32\TUProgSt.exe

Xplode · Answer

Salut, ta version d'hijackthis n'est pas à jour. On va faire un diagnostic plus complet :

-+-+-+-> ZHPDiag <-+-+-+-


[x] Télécharge ZHPDiag ( de Nicolas coolman ).

[x] Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )

[x] Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau ( Clique droit -> Executer en tant qu'admin ( vista ) )

[x] Clique sur la loupe en haut à gauche, puis laisse l'outil scanner.

[x] Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau.

[x] Rend toi sur Cjoint

[x] Clique sur " Parcourir " dans la partie " Joindre un fichier[...] "

[x] Séléctionne le rapport ZHPdiag.txt qui se trouve sur ton bureau

[x] Clique ensuite sur " Créer le lien cjoint " et copie/colle le dans ton prochain message

olivier114 · Answer

Ouvre HijackThis et clique sur do a system scan only. Coche la ligne suivante :

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

Clique sur Fix Checked. Ferme HijackThis.

Supprime le fichier suivant :
-C:\Windows\ALCMTR.EXE
puis reposte un rapport hijackthis

Xplode · Answer

Suis mon post n°1, ce que t'as demandé de faire olivier à servi strictement à rien..

Xplode · Answer

Fais ceci si ZHPDiag ne fonctionne pas :

-+-+-+-> RSIT <-+-+-+-


[x] Télécharge Random's System Information Tool à cette adresse : http://images.malwareremoval.com/random/RSIT.exe

[x] Double clique sur " RSIT.exe ".

[x] Clique sur " Continue ".

[x] Si hijackthis n'est pas présent il sera automatiquement téléchargé et tu devras accepter la license.

[x] Une fois l'analyse finie, deux fichiers ( info.txt & log.txt ) s'ouvriront.

[x] Rend toi sur www.cjoint.com

[x] Clique sur " Parcourir " dans la partie " Joindre un fichier[...] "

[x] Séléctionne le rapport info.txt qui se trouve sur ton bureau

[x] Clique ensuite sur " Créer le lien cjoint " 

[x] Fais de même pour le log.txt

[x] Copie/colle ensuite les deux liens dans ton prochain message

[x] Note : si jamais tu as fermé les rapports sans faire attention, ils sont sous C:\rsit

nyrova · Answer

La dernière ligne du zhpdiag :

clé de registre autorun shellserviceobjectdelayload (ssodl) (021)
 et rien ne se passe

Utilisateur anonyme · Answer

bonjour
il faut éviter les plus possible de faire exécuter des exécutables car le sality est un variante du virut qui injecte son code malveillant dans les fichiers exécutables, il faut agir vite contre le sality car c'est une des pires saloperies du net, je peux intervenir pour un cas comme cela, utiliser le moins possible le PC car le sality risque de se propager dans les fichiers exécutables

Xplode · Answer

@nathandre

pas de soucis si tu veux participer, je connaissais pas cette variante de virut..

Utilisateur anonyme · Answer

nyrov, ne perd pas de temps fait ceci tout de suite, laisse les outils de coté pour le moment si tu veux sauver ton PC
 Télécharge Dr Web CureIt sur ton Bureau :

ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe

- Double clique drweb-cureit.exe et ensuite clique sur Analyse;

- Clique Ok à l'invite de l'analyse rapide. S'il trouve des processus infectés alors clique le bouton Oui.
Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction" : Quitte en cliquant le "X".
- Lorsque le scan rapide est terminé, clique sur le menu Options puis Changer la configuration ; Choisis l'onglet Scanner, et décoche Analyse heuristique. Clique ensuite sur Ok.
- De retour à la fenêtre principale : clique pour activer Analyse complète
- Clique le bouton avec flèche verte sur la droite, et le scan débutera.
- Clique Oui pour tout à l'invite Désinfecter ? lorsqu'un fichier est détecté, et ensuite clique Désinfecter.
- Lorsque le scan sera complété, regarde si tu peux cliquer sur l' icône, adjacente aux fichiers détectés (plusieurs feuilles l'une sur l'autre). Si oui, alors clique dessus et ensuite clique sur l'icône Suivant, au dessous, et choisis Déplacer en quarantaine l'objet indésirable.
- Du menu principal de l'outil, au haut à gauche, clique sur le menu Fichier et choisis Enregistrer le rapport. Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv
- Ferme Dr.Web Cureit
- Redémarre ton ordi (important car certains fichiers peuvent être déplacés/réparés au redémarrage).
- Suite au redémarrage, poste (Copie/Colle) le contenu du rapport de Dr.Web dans ta prochaine réponse.

nyrova · Answer

Voici les fichiers cijoint

https://www.cjoint.com/?kCo2VQ608h
https://www.cjoint.com/?kCo3vRCWUK

Notes que je ne suis pas sur mon notebook, j'utilise le pc du bureau.

Merci

Xplode · Answer

Suis cette procédure : https://forums.commentcamarche.net/forum/affich-14936165-virus-sality-sur-msiwind-u90x#11

Trying2 · Answer

Hello à tous,

Juste une remarque, par rapport à ceci:
je ne suis pas sur mon notebook, j'utilise le pc du bureau.

Si les suports USB (bien infectés^^) transitent d'un PC à l'autre, ça va pas être joli :)

Un nettoyage/vaccination sécuriserait les manips à venir.


Bonne continuation.
@+

nyrova · Answer

Avast le trouve et le neutralise sur le pc de bureau.
Par contre c'est l'heure de rentrer ici chez nous (Madagascar) suis obligé le serveur sera éteint, je reviendrai demain. Merci pour les aides.
a demain merci encore

nyrova · Answer

Slts à tous, je suis revenu, en train de télécharger drweb cureit et continuera la procédure.

nyrova · Answer

Slt à tous, suis en train d'utiliser le drweb, vous enverrai suite.

merci

Virus sality sur msiwind u90x

14 réponses

Votre réponse

Discussions similaires

Newsletters