B.exe

Résolu
matko-destanov Messages postés 51 Date d'inscription   Statut Membre Dernière intervention   -  
matko-destanov Messages postés 51 Date d'inscription   Statut Membre Dernière intervention   -
Bonjour,


je me retrouve infecté par b.exe, j'ai pu voir les différentes apportées aux autres personnes infectées, ca m'a l'air un poil compliqué. Est ce quelqu'un pourrait m'accorder un peu e son temps pour m'aider a l'éradiquer.


Merci

86 réponses

Précédent
Réponse 21 / 86
Xplode Messages postés 8820 Date d'inscription   Statut Contributeur sécurité Dernière intervention   726
 
Oups désolé, je ne l'avais pas vu dans mes alertes :s

-+-+-+-> List&kill'em - Nettoyage <-+-+-+-


/!\ Redémarre ton PC en Mode sans échec ( suis la première procédure -> " Manuelle " ) /!\

[x] Relance List&kill'em mais choisis cette fois-ci l'option 2 ( Destruction )

[x] Laisse le scan s'opérer.

[x] Un premier rapport s'ouvrira, ferme le. Un deuxième rapport s'ouvrira, copie/colle son contenu dans ton prochain message.

[x] Note : Le rapport se trouve également sous C:\Kill'em.txt
0
Réponse 22 / 86
matko-destanov Messages postés 51 Date d'inscription   Statut Membre Dernière intervention  
 
voila le rapport de kill'em :

Kill'em by g3n-h@ckm@n 1.0.5.3

User : Home () # PC-DE-HOME
Update on 09/11/2009 by g3n-h@ckm@n ::::: 20.30
Start at: 19:48:02 | 11/11/2009
Contact : g3n-h@ckm@n sur CCM

Intel(R) Core(TM)2 Duo CPU E4500 @ 2.20GHz
Microsoft® Windows Vista™ Édition Familiale Premium (6.0.6002 32-bit) # Service Pack 2
Internet Explorer 8.0.6001.18828
Windows Firewall Status : Enabled
AV : AVG Anti-Virus plus Firewall 8.0 [ Enabled | Updated ]

C:\ -> Disque fixe local | 144,29 Go (31,15 Go free) [ACER] | NTFS
D:\ -> Disque fixe local | 144,04 Go (39,27 Go free) [DATA] | NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque CD-ROM
G:\ -> Disque amovible
H:\ -> Disque amovible
I:\ -> Disque amovible
J:\ -> Disque fixe local | 232,88 Go (52,03 Go free) [BUTCH] | NTFS
K:\ -> Disque CD-ROM
L:\ -> Disque amovible
M:\ -> Disque CD-ROM


¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processus en cours


C:\Windows\System32\smss.exe 340
C:\Windows\system32\csrss.exe 400
C:\Windows\system32\csrss.exe 436
C:\Windows\system32\wininit.exe 444
C:\Windows\system32\winlogon.exe 488
C:\Windows\system32\services.exe 516
C:\Windows\system32\lsass.exe 532
C:\Windows\system32\lsm.exe 540
C:\Windows\system32\svchost.exe 680
C:\Windows\system32\svchost.exe 736
C:\Windows\System32\svchost.exe 864
C:\Windows\system32\svchost.exe 892
C:\Windows\system32\svchost.exe 956
C:\Windows\Explorer.EXE 1120
C:\Users\Home\Desktop\List_Killem.exe 1468
C:\Windows\system32\cmd.exe 1492
C:\Windows\system32\wbem\unsecapp.exe 1636
C:\Windows\system32\wbem\wmiprvse.exe 1676
C:\Windows\system32\wbem\wmiprvse.exe 1780
C:\Users\Home\AppData\Local\Temp\CBF5.tmp\pv.exe 1868

Fichiers analysés :
=================


¤¤¤¤¤¤¤¤¤¤ Fichiers et dossiers presents :

"C:\ProgramData\.zreglib"
"C:\Windows\iun6002.exe"


¤¤¤¤¤¤¤¤¤¤ Action sur les fichiers :
0
Réponse 23 / 86
Xplode Messages postés 8820 Date d'inscription   Statut Contributeur sécurité Dernière intervention   726
 
Le rapport n'est pas complet
0
Réponse 24 / 86
matko-destanov Messages postés 51 Date d'inscription   Statut Membre Dernière intervention  
 
Kill'em by g3n-h@ckm@n 1.0.5.3

User : Home () # PC-DE-HOME
Update on 09/11/2009 by g3n-h@ckm@n ::::: 20.30
Start at: 19:48:02 | 11/11/2009
Contact : g3n-h@ckm@n sur CCM

Intel(R) Core(TM)2 Duo CPU E4500 @ 2.20GHz
Microsoft® Windows Vista™ Édition Familiale Premium (6.0.6002 32-bit) # Service Pack 2
Internet Explorer 8.0.6001.18828
Windows Firewall Status : Enabled
AV : AVG Anti-Virus plus Firewall 8.0 [ Enabled | Updated ]

C:\ -> Disque fixe local | 144,29 Go (31,15 Go free) [ACER] | NTFS
D:\ -> Disque fixe local | 144,04 Go (39,27 Go free) [DATA] | NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque CD-ROM
G:\ -> Disque amovible
H:\ -> Disque amovible
I:\ -> Disque amovible
J:\ -> Disque fixe local | 232,88 Go (52,03 Go free) [BUTCH] | NTFS
K:\ -> Disque CD-ROM
L:\ -> Disque amovible
M:\ -> Disque CD-ROM


¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processus en cours


C:\Windows\System32\smss.exe 340
C:\Windows\system32\csrss.exe 400
C:\Windows\system32\csrss.exe 436
C:\Windows\system32\wininit.exe 444
C:\Windows\system32\winlogon.exe 488
C:\Windows\system32\services.exe 516
C:\Windows\system32\lsass.exe 532
C:\Windows\system32\lsm.exe 540
C:\Windows\system32\svchost.exe 680
C:\Windows\system32\svchost.exe 736
C:\Windows\System32\svchost.exe 864
C:\Windows\system32\svchost.exe 892
C:\Windows\system32\svchost.exe 956
C:\Windows\Explorer.EXE 1120
C:\Users\Home\Desktop\List_Killem.exe 1468
C:\Windows\system32\cmd.exe 1492
C:\Windows\system32\wbem\unsecapp.exe 1636
C:\Windows\system32\wbem\wmiprvse.exe 1676
C:\Windows\system32\wbem\wmiprvse.exe 1780
C:\Users\Home\AppData\Local\Temp\CBF5.tmp\pv.exe 1868

Fichiers analysés :
=================


¤¤¤¤¤¤¤¤¤¤ Fichiers et dossiers presents :

"C:\ProgramData\.zreglib"
"C:\Windows\iun6002.exe"


¤¤¤¤¤¤¤¤¤¤ Action sur les fichiers :

Quarantaine :

.zreglib.Kill'em
iun6002.exe.Kill'em

AgAppLaunch.db
AgCx_SC1.db
AgCx_SC1.db.trx
AgGlFaultHistory.db
AgGlFgAppHistory.db
AgGlGlobalHistory.db
AgGlUAD_P_S-1-5-21-1942739150-3024437067-2572189820-1000.db
AgGlUAD_S-1-5-21-1942739150-3024437067-2572189820-1000.db
AgRobust.db
Layout.ini
NTOSBOOT-B00DFAAD.pf
PfSvPerfStats.bin
ReadyBoot



¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 25 / 86
matko-destanov Messages postés 51 Date d'inscription   Statut Membre Dernière intervention  
 
Bonjour Xplode je vois que tu es dans le coin donc je me permet un petit up.
J'ai envoyé le rapport complet de Kill'em
0
Réponse 26 / 86
Xplode Messages postés 8820 Date d'inscription   Statut Contributeur sécurité Dernière intervention   726
 
Bien, refais maintenant un nouveau rapport ZHPDiag stp
0
Réponse 27 / 86
matko-destanov Messages postés 51 Date d'inscription   Statut Membre Dernière intervention  
 
ok

Voici le lien du rapport : https://www.cjoint.com/?lmmLb2jiLB
0
Réponse 28 / 86
Xplode Messages postés 8820 Date d'inscription   Statut Contributeur sécurité Dernière intervention   726
 
Désinstalle ->

Google toolbar
Yahoo toolbar

======================================================================

-+-+-+-> ZHPfix <-+-+-+-


[x] Relance ZHPDiag ( Clic droit " Executer en tant qu'administrateur " sous vista ) , fais un scan puis cette fois-ci cliques sur l'icone en forme d'écusson vert " ZHPFix ".

[x] ZHPFix se lancera, clique maintenant sur le " H " bleu ( coller les lignes helper ) puis copie/colle ce qui se trouve à ce lien :

https://www.cjoint.com/?lmmSacfwvR

[x] Clique sur " Ok " , puis " Tous " et enfin " Nettoyer ".

[x] Copie/Colle le rapport à l'écran dans ton prochain message

======================================================================

Accompagne le rapport ZHPFix d'un nouveau rapport ZHPDiag ( executé après le ZHPFix )
0
Réponse 29 / 86
matko-destanov Messages postés 51 Date d'inscription   Statut Membre Dernière intervention  
 
Je n'arrive pas a desinstaller Google Toolbar

Lorsque j'appuie sur le bouton "H" de ZHP Fix rien ne se passe et je n'obtiens pas de rapport...
0
Réponse 30 / 86
Xplode Messages postés 8820 Date d'inscription   Statut Contributeur sécurité Dernière intervention   726
 
Lorsque tu appuie sur le bouton H, normalement une fenêtre avec un grand encadré jaune ( vide ) doit s'ouvrir, tu copies/colle dedans les lignes qui sont au lien que je t'ai passé plus haut, tu appuies sur " Ok " , puis " Tous " et enfin " Nettoyer "
0
Réponse 31 / 86
matko-destanov Messages postés 51 Date d'inscription   Statut Membre Dernière intervention  
 
J'obtiens le message suivant lorsque je clique sur Nettoyer :

Impossible de créer le fichier C:\ProgramFiles\ZHPDiag\ZHPFixQuarantine.txt. Accès refusé
0
Réponse 32 / 86
Xplode Messages postés 8820 Date d'inscription   Statut Contributeur sécurité Dernière intervention   726
 
Lance ZHPFix ( sur ton bureau ) en cliquant droit dessus puis -> " Executer en tant qu'administrateur "
0
Réponse 33 / 86
matko-destanov Messages postés 51 Date d'inscription   Statut Membre Dernière intervention  
 
voici le rapport de ZHPFix :
ZHPFix v1.12.19 by Nicolas Coolman - Rapport de suppression du 12/11/2009 13:37:35
Fichier d'export Registre : C:\ZHPExportRegistry-12-11-2009-13-37-35.txt
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html


Processus mémoire :
(Néant)

Module mémoire :
(Néant)

Clé du Registre :
O51 - MPSK:{15ceee48-b0a7-11dd-8226-001c2555ccda}\Shell\AutoRun\command - K:\autoplay.exe => Clé supprimée avec succès

Valeur du Registre :
O3 - Toolbar: C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll - {CCC7A320-B3CA-4199-B1A6-9F516DD69829} - => Valeur supprimée avec succès
O4 - HKCU\..\Run: [TurboNet] C:\Users\Home\AppData\Local\Temp\b.exe => Valeur supprimée avec succès

Elément de données du Registre :
(Néant)

Dossier :
C:\Program Files\Common Files\BOONTY Shared => Supprimé et mis en quarantaine
C:\Program Files\YDKJWIN => Supprimé et mis en quarantaine

Fichier :
c:\program files\yahoo!\companion\installs\cpn\yt.dll => Fichier absent
c:\users\home\appdata\local\temp\b.exe => Fichier absent
c:\windows\tasks\{35dc3473-a719-4d14-b7c1-fd326ca84a0c}.job => Supprimé et mis en quarantaine
c:\windows\tasks\{66ba574b-1e11-49b8-909c-8cc9e0e8e015}.job => Supprimé et mis en quarantaine
c:\windows\freecorder toolbar uninstall log.txt => Supprimé et mis en quarantaine
c:\windows\system32\perfc009.dat => Supprimé et mis en quarantaine
c:\windows\system32\perfc00c.dat => Supprimé et mis en quarantaine
c:\windows\system32\perfh009.dat => Supprimé et mis en quarantaine
c:\windows\system32\perfh00c.dat => Supprimé et mis en quarantaine
k:\autoplay.exe => Fichier absent

Logiciel :
(Néant)

Script Registre :
(Néant)

Autre :
(Néant)


Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 1
Valeur du Registre : 2
Elément de données du Registre : 0
Dossier : 2
Fichier : 10
Logiciel : 0
Autre : 0


End of the scan
0
Réponse 34 / 86
matko-destanov Messages postés 51 Date d'inscription   Statut Membre Dernière intervention  
 
et celui de ZHPDiag effectué apres :

https://www.cjoint.com/?lmnOEHtja2
0
Réponse 35 / 86
Xplode Messages postés 8820 Date d'inscription   Statut Contributeur sécurité Dernière intervention   726
 
-+-+-+-> RSIT <-+-+-+-


[x] Télécharge Random's System Information Tool

[x] Double clique sur " RSIT.exe ".

[x] Clique sur " Continue ".

[x] Si hijackthis n'est pas présent il sera automatiquement téléchargé et tu devras accepter la license.

[x] Une fois l'analyse finie, deux fichiers ( info.txt & log.txt ) s'ouvriront.

[x] Rend toi sur Cjoint

[x] Clique sur " Parcourir " dans la partie " Joindre un fichier[...] "

[x] Séléctionne le rapport info.txt qui se trouve sur ton bureau

[x] Clique ensuite sur " Créer le lien cjoint "

[x] Fais de même pour le log.txt

[x] Copie/colle ensuite les deux liens dans ton prochain message

[x] Note : si jamais tu as fermé les rapports sans faire attention, ils sont sous C:\rsit
0
Réponse 36 / 86
matko-destanov Messages postés 51 Date d'inscription   Statut Membre Dernière intervention  
 
voici les 2 rapports demandés :


info :

https://www.cjoint.com/?lmrNsS0ASd

log :

https://www.cjoint.com/?lmrNNHqQZ1
0
Réponse 37 / 86
Xplode Messages postés 8820 Date d'inscription   Statut Contributeur sécurité Dernière intervention   726
 
-+-+-+-> OTMoveIt <-+-+-+-


[x] Télécharge OTMoveIt (de Old_Timer)

[x] Double-clique sur OTMoveIt.exe.

[x] Assure toi que la case Unregister Dll's and Ocx's soit bien cochée.

[x] Copie le texte en gras ci dessous et colle le dans le cadre de gauche de OTMoveIt nommé Paste List of Files/Folders to be moved



:processes
explorer.exe
b.exe

:reg
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"TurboNet"=-

:files
C:\Users\Home\AppData\Local\Temp\b.exe

:commands
[emptytemp]
[purity]
[reboot]



[x] Clique sur MoveIt! pour lancer la suppression.

[x] Ton PC redémarrera.

[x] Dans ta future réponse, envoie le rapport de OTMoveIt situé sous C:\_OTMoveIt\MovedFiles

====================

Fais aussi ceci pour une petite vérification :

-+-+-+-> Navilog <-+-+-+-


[x] Télécharge Navilog ( de IL-MAFIOSO)

[x] Lance le en double cliquant dessus. ( Clic droit -> "Executer en tant qu'administrateur" sous vista )

[x] Laisse-toi guider par l'utilitaire. Choisis l'option n°1 puis valide.

[x] A l'écran principal, choisis l'option n°1 puis laisse l'outil scanner.

[x] Patiente jusqu'à l'apparition de ce message :

"*** Analyse Termine le ..... ***"

[x] Appuie sur une touche comme demandé. Le Bloc-notes va s'ouvrir. Poste son contenu dans ton prochain message.

Nb : Le rapport se trouve également ici : C:\cleannavi.txt
0
Réponse 38 / 86
matko-destanov Messages postés 51 Date d'inscription   Statut Membre Dernière intervention  
 
Voici le rapport d'OTMoveIt :

All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
No active process named b.exe was found!
========== REGISTRY ==========
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\TurboNet deleted successfully.
========== FILES ==========
File/Folder C:\Users\Home\AppData\Local\Temp\b.exe not found.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: cedric
->Temp folder emptied: 34560 bytes
->Temporary Internet Files folder emptied: 834465 bytes
->Java cache emptied: 13425372 bytes
->FireFox cache emptied: 18344474 bytes

User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: Home
->Temp folder emptied: 410710 bytes
->Temporary Internet Files folder emptied: 196242891 bytes
->Java cache emptied: 42425831 bytes
->FireFox cache emptied: 101968140 bytes

User: postgres
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: Public

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 24 bytes
%systemroot%\System32 .tmp files removed: 4838 bytes
Windows Temp folder emptied: 6092762 bytes
%systemroot%\system32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 33170 bytes
%systemroot%\system32\config\systemprofile\AppData\LocalLow\Sun\Java\Deployment folder emptied: 13426806 bytes
RecycleBin emptied: 26899112 bytes

Total Files Cleaned = 400,71 mb


OTM by OldTimer - Version 3.1.1.0 log created on 11122009_175819

Files moved on Reboot...
File move failed. C:\Windows\temp\CLDigitalHome\CLMS_AGENT_LOG1.txt scheduled to be moved on reboot.
File move failed. C:\Windows\temp\CLDigitalHome\PCMMediaServer.log scheduled to be moved on reboot.
C:\Windows\temp\500ea88d-32f5-4481-80d1-64c5c50b5c2e.tmp moved successfully.
C:\Windows\temp\59da881c-fa44-4ada-9533-dd811e5b5587.tmp moved successfully.
C:\Windows\temp\fc0bd6ff-92a1-4f22-8289-7172efead201.tmp moved successfully.

Registry entries deleted on Reboot...
0
Réponse 39 / 86
matko-destanov Messages postés 51 Date d'inscription   Statut Membre Dernière intervention  
 
Et celui de Navilog :

Fix Navipromo version 4.0.5 commencé le 12/11/2009 18:03:28,04

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Postez ce rapport sur le forum pour le faire analyser !!!

Outil exécuté depuis C:\Program Files\navilog1

Mise à jour le 10.11.2009 à 18h00 par IL-MAFIOSO

Microsoft® Windows Vista™ Édition Familiale Premium ( v6.0.6002 ) Service Pack 2
X86-based PC ( Multiprocessor Free : Intel(R) Core(TM)2 Duo CPU E4500 @ 2.20GHz )
BIOS : Phoenix - AwardBIOS v6.00PG
USER : Home ( Not Administrator ! )
BOOT : Normal boot

Antivirus : AVG Anti-Virus plus Firewall 8.0 (Activated)


C:\ (Local Disk) - NTFS - Total:144 Go (Free:35 Go)
D:\ (Local Disk) - NTFS - Total:144 Go (Free:39 Go)
E:\ (CD or DVD)
F:\ (CD or DVD)
G:\ (USB)
H:\ (USB)
I:\ (USB)
J:\ (Local Disk) - NTFS - Total:232 Go (Free:51 Go)
K:\ (CD or DVD)
L:\ (USB)
M:\ (CD or DVD)


Recherche executée en mode normal


[b]Aucune Infection Navipromo/Egdaccess trouvée/b



*** Scan terminé 12/11/2009 18:03:58,46 ***
0
Réponse 40 / 86
Xplode Messages postés 8820 Date d'inscription   Statut Contributeur sécurité Dernière intervention   726
 
Ok RaS de ce côté , j'avais un petit doute.

-+-+-+-> OTCleanIt <-+-+-+-


[x] Télécharge OTC sur ton bureau.

[x] Lance le ( Clic droit -> " Executer en tant qu'administrateur " sous vista ).

[x] Clique sur " CleanUp! " puis sur " Yes " à la fenêtre de confirmation.

[x] Redémarre ton PC.

=================================

-+-+-+-> SuperAntiSpyware <-+-+-+-


[x] Télécharge SuperAntiSpyware.

[x] Installe le avec les paramètres par défaut.

[x] A la fin de l'installation, il se lancera et te demandera de choisir la langue du programme, choisis français.

[x] Le programme te proposera ensuite de le mettre à jour, fait le.

[x] Un assistant de configuration s'ouvrira, fais suivant en laissant les paramètres par défaut

[x] SuperAntiSpyware s'ouvrira. Clique sur " Scanner votre ordinateur ".

[x] Coche " Executer scan complet " et clique sur " Suivant ".

[x] Laisse le scan s'opérer.

[x] A la fin du scan, vérifie que tout est coché puis clique sur " Suivant "

[x] Clique ensuite sur terminer, puis clique sur " Préférences ".

[x] Va à l'onglet " Statistiques/Journaux de bord " , séléctionne celui en date d'aujourd'hui puis clique sur " Voir le journal de bord "

[x] Copie/Colle son contenu dans ton prochain message.

[x] Note : tu peux vider la quarantaine ( " La gestion de la quarantaine " au menu principal )
0

Discussions similaires

virus b.exe
Pimouss -
verni29 -

21 réponses