Bonjour, Antivir ne cesse tout à coup de m'avertir d'une infection par un cheval de troie : TR/Crypt.XPACK.Gen. Que je déplace en quarantaine, supprime ou ignore, l'avertissement réapparait... Quelqu'un saurait-il me conseiller ? Merci beaucoup, Laëtitia

TR/Crypt.XPACK.Gen

Réponse 1 / 19

jfkpresident Messages postés 13408 Date d'inscription lundi 3 septembre 2007 Statut Contributeur sécurité Dernière intervention 5 janvier 2015 1 175
16 nov. 2009 à 22:15

Bonsoir ;

Télécharge random's system information tool (RSIT) par random/random et sauvegarde-le sur le Bureau.

==>Double-clique sur RSIT.exe afin de lancer RSIT.

==>Lis le contenu de l'écran Disclaimer puis clique sur Continue (si tu acceptes les conditions).

==>Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu, si demandé) et tu devras accepter la licence.

==>Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront :

log.txt (<<qui sera affiché) ainsi que de info.txt (<<qui sera réduit dans la Barre des Tâches).

NB : Les rapports sont sauvegardés dans le dossier C:\rsit

==>Rend toi sur ce site: http://www.cijoint.fr/index.php

==>Clique sur "parcourir" et sélectionne ces fichiers ,un lien va etre créer .

==>Copie/colle ce lien dans ta prochaine réponse .

Aide en images si besoin

Réponse 2 / 19

LaetitiaH Messages postés 169 Date d'inscription jeudi 26 juillet 2007 Statut Membre Dernière intervention 5 août 2010 1
16 nov. 2009 à 22:19

Bonsoir,
Voici les liens vers les documents demandés :
http://www.cijoint.fr/cjlink.php?file=cj200911/cijE5YJuHC.txt
http://www.cijoint.fr/cjlink.php?file=cj200911/cijkmI9M2c.txt

Remarque : Je précise qu'il me semble que l'antivirus a réagit au moment où j'insérais ma clé usb...
Merci.
Laëtitia

Réponse 3 / 19

jfkpresident Messages postés 13408 Date d'inscription lundi 3 septembre 2007 Statut Contributeur sécurité Dernière intervention 5 janvier 2015 1 175
16 nov. 2009 à 22:29

Peux tu me donner le chemin d'acces du fichier infecté trouvé par Antivir ?

Désactive le "tea timer" de Spybot S&D en t'aidant de ce tuto animé (merci Balltrap ;) ) :
http://perso.orange.fr/rginformatique/section%20virus/demo%20spybot.htm
( sur la 1er image , clique sur "tea timer" pour lancer l'animation ).

En effet , il risque de géner dans le bon déroulement des outils de désinfections et dans la répartion du registre ...

Tu le réactiveras une fois qu'on aura finit de désinfecter ( et pas avant ! ) .
/!\ Mais attention :
à ce moment là, le " TeaTimer " de Spybot proposera, par le biais de plusieurs pop-up, d'accepter ou non des modifications de registre ( survenuent lors de la désinfection )
-> il faudra alors les accepter toutes sans exeptions !

Puis part la suite , il faudra rester vigilant lorsque le "TeaTimer" donnera des alertes : accepter une modification uniquement si on en connait la provenance .

Ensuite :

• Télécharge et install UsbFix par Chiquitine29

(!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir

• Double clic sur le raccourci UsbFix présent sur ton bureau .

• Au menu principal choisis l'option " F " pour français et tape sur [entrée] .

• Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée]

• Laisse travailler l'outil.

• Ensuite post le rapport UsbFix.txt qui apparaitra.

• Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

• Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

• Tuto : http://pagesperso-orange.fr/NosTools/usbfix.html

Réponse 4 / 19

LaetitiaH Messages postés 169 Date d'inscription jeudi 26 juillet 2007 Statut Membre Dernière intervention 5 août 2010 1
17 nov. 2009 à 22:06

Bonsoir,
Désolée de n'avoir pas répondu plus tôt, mais je rentre seulement du travail. De plus, j'y ai oublié la clé usb visiblement responsable de mes soucis.
Voici ce que j'ai trouvé dans le journal d'évènements d'antivir :
Dans le fichier 'C:\Documents and Settings\laetitia\Local Settings\temp\cvasds0.dll'
un virus ou un programme indésirable 'TR/Crypt.ZPACK.Gen' [trojan] a été détecté.
Action exécutée : Refuser l'accès
Je fais les autres manip et envoie le rapport tout de suite.
Merci,
Laëtitia

Réponse 5 / 19

LaetitiaH Messages postés 169 Date d'inscription jeudi 26 juillet 2007 Statut Membre Dernière intervention 5 août 2010 1
17 nov. 2009 à 22:15

Voici le rapport :

############################## | UsbFix V6.054 |

User : laetitia (Utilisateurs) # XPSP2-653F4AEFD
Update on 17/11/2009 by Chiquitine29, C_XX & Chimay8
Start at: 22:09:11 | 17/11/2009
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Intel(R) Core(TM)2 Quad CPU Q6600 @ 2.40GHz
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 2
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Disabled
AV : AntiVir Desktop 9.0.1.32 [ (!) Disabled | Updated ]
FW : ZoneAlarm Firewall[ Enabled ]7.0.483.000

A:\ -> Lecteur de disquettes 3 ½ pouces
C:\ -> Disque fixe local # 465,75 Go (220,03 Go free) # NTFS
D:\ -> Disque CD-ROM
E:\ -> Disque fixe local # 465,65 Go (252,82 Go free) [My Book] # FAT32
F:\ -> Disque amovible
G:\ -> Disque amovible
H:\ -> Disque amovible
I:\ -> Disque CD-ROM
J:\ -> Disque amovible

############################## | Processus actifs |

C:\WINDOWS\System32\smss.exe 704
C:\WINDOWS\system32\csrss.exe 764
C:\WINDOWS\system32\winlogon.exe 788
C:\WINDOWS\system32\services.exe 832
C:\WINDOWS\system32\lsass.exe 844
C:\WINDOWS\system32\svchost.exe 1056
C:\WINDOWS\system32\svchost.exe 1124
C:\WINDOWS\System32\svchost.exe 1220
C:\WINDOWS\system32\svchost.exe 1260
C:\WINDOWS\system32\svchost.exe 1356
C:\WINDOWS\system32\ZoneLabs\vsmon.exe 1512
C:\WINDOWS\Explorer.EXE 1844
C:\WINDOWS\system32\spoolsv.exe 1992
C:\Program Files\Avira\AntiVir Desktop\sched.exe 140
C:\Program Files\a-squared Free\a2service.exe 512
C:\Program Files\Avira\AntiVir Desktop\avguard.exe 536
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe 564
C:\Program Files\Java\jre6\bin\jqs.exe 608
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe 440
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE 752
C:\Program Files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe 912
C:\Program Files\CDBurnerXP\NMSAccessU.exe 1196
C:\WINDOWS\system32\nvsvc32.exe 1324
C:\WINDOWS\system32\svchost.exe 1368
C:\WINDOWS\system32\UAService7.exe 1408
C:\Program Files\Western Digital\WD Drive Manager\WDBtnMgrSvc.exe 1420
C:\WINDOWS\System32\alg.exe 2480
C:\WINDOWS\system32\svchost.exe 2756
C:\Program Files\ASUS\AI Suite\AiGear3\CpuPowerMonitor.exe 2852
C:\WINDOWS\system32\RUNDLL32.EXE 2976
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe 2988
C:\WINDOWS\Samsung\PanelMgr\ssmmgr.exe 3012
C:\Program Files\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe 3020
C:\Program Files\Sony\Content Transfer\ContentTransferWMDetector.exe 3088
C:\WINDOWS\System32\svchost.exe 3120
C:\Program Files\Mozilla Firefox\firefox.exe 3128
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe 3136
C:\Program Files\Java\jre6\bin\jusched.exe 3172
C:\WINDOWS\system32\ctfmon.exe 3276
C:\Program Files\DAEMON Tools Lite\daemon.exe 3300
C:\Program Files\Fichiers communs\LightScribe\LightScribeControlPanel.exe 3336
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe 3344
C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe 3368
C:\Program Files\Cordial\PopupLexical.exe 3412
C:\WINDOWS\system32\txtuser.exe 3604
C:\WINDOWS\system32\wscntfy.exe 3660
C:\WINDOWS\system32\wuauclt.exe 2352
c:\program files\avira\antivir desktop\avcenter.exe 2584
C:\WINDOWS\system32\wbem\wmiprvse.exe 3376

################## | Fichiers # Dossiers infectieux |

C:\DOCUME~1\laetitia\LOCALS~1\Temp\cvasds0.dll
C:\DOCUME~1\laetitia\LOCALS~1\Temp\cvasds1.dll
C:\9g86.exe
C:\opdux.exe
E:\9g86.exe
E:\opdux.exe

################## | Registre # Clés infectieuses |

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "cdoosoft"
[HKLM\SOFTWARE\Classes\CLSID\MADOWN]
[HKCR\CLSID\MADOWN]

################## | Registre # Mountpoints2 |

HKCU\..\..\Explorer\MountPoints2\{15410e74-60a0-11de-96b2-001e8c5d4292}
Shell\AutoRun\command =K:\opdux.exe
Shell\open\Command =K:\opdux.exe

################## | Cracks / Keygens / Serials |

################## | ! Fin du rapport # UsbFix V6.054 ! |

Réponse 6 / 19

jfkpresident Messages postés 13408 Date d'inscription lundi 3 septembre 2007 Statut Contributeur sécurité Dernière intervention 5 janvier 2015 1 175
17 nov. 2009 à 23:22

Nickel -;)

(!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d avoir été infectés sans les ouvrir

• Double clic sur le raccourci UsbFix présent sur ton bureau

• Au menu principal choisis l'option " F " pour français et tape sur [entrée] .

• Au second menu Choisis l'option " 2 " ( Suppression ) et tape sur [entrée]

• Ton bureau disparaitra et le pc redémarrera .

• Au redémarrage , UsbFix scannera ton pc , laisse travailler l'outil.

• Ensuite post le rapport UsbFix.txt qui apparaitra avec le bureau .

• Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

Réponse 7 / 19

LaetitiaH Messages postés 169 Date d'inscription jeudi 26 juillet 2007 Statut Membre Dernière intervention 5 août 2010 1
18 nov. 2009 à 07:00

Bonjour,
Voici le rapport de suppression :

############################## | UsbFix V6.054 |

User : laetitia (Utilisateurs) # XPSP2-653F4AEFD
Update on 17/11/2009 by Chiquitine29, C_XX & Chimay8
Start at: 06:54:30 | 18/11/2009
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Intel(R) Core(TM)2 Quad CPU Q6600 @ 2.40GHz
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 2
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Disabled
AV : AntiVir Desktop 9.0.1.32 [ Enabled | Updated ]
FW : ZoneAlarm Firewall[ Enabled ]7.0.483.000

A:\ -> Lecteur de disquettes 3 ½ pouces
C:\ -> Disque fixe local # 465,75 Go (220 Go free) # NTFS
D:\ -> Disque CD-ROM
E:\ -> Disque fixe local # 465,65 Go (252,82 Go free) [My Book] # FAT32
F:\ -> Disque amovible
G:\ -> Disque amovible
H:\ -> Disque amovible
I:\ -> Disque CD-ROM
J:\ -> Disque amovible

############################## | Processus actifs |

C:\WINDOWS\System32\smss.exe 708
C:\WINDOWS\system32\csrss.exe 764
C:\WINDOWS\system32\winlogon.exe 788
C:\WINDOWS\system32\services.exe 832
C:\WINDOWS\system32\lsass.exe 844
C:\WINDOWS\system32\svchost.exe 1048
C:\WINDOWS\system32\logonui.exe 1116
C:\WINDOWS\system32\svchost.exe 1156
C:\WINDOWS\System32\svchost.exe 1252
C:\WINDOWS\system32\svchost.exe 1296
C:\WINDOWS\system32\svchost.exe 1436
C:\WINDOWS\system32\ZoneLabs\vsmon.exe 1556
C:\WINDOWS\Explorer.EXE 1804
C:\WINDOWS\system32\spoolsv.exe 1984
C:\Program Files\Avira\AntiVir Desktop\sched.exe 2032
C:\Program Files\a-squared Free\a2service.exe 648
C:\Program Files\Avira\AntiVir Desktop\avguard.exe 688
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe 736
C:\Program Files\Java\jre6\bin\jqs.exe 808
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe 1112
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE 1224
C:\Program Files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe 1272
C:\Program Files\CDBurnerXP\NMSAccessU.exe 1424
C:\WINDOWS\system32\nvsvc32.exe 1468
C:\WINDOWS\system32\svchost.exe 1528
C:\WINDOWS\system32\UAService7.exe 1592
C:\Program Files\Western Digital\WD Drive Manager\WDBtnMgrSvc.exe 1604
C:\WINDOWS\system32\wuauclt.exe 2132
C:\WINDOWS\System32\alg.exe 2428
C:\WINDOWS\system32\wbem\wmiprvse.exe 2468

################## | Fichiers # Dossiers infectieux |

Supprimé ! C:\DOCUME~1\laetitia\LOCALS~1\Temp\cvasds0.dll
Supprimé ! C:\DOCUME~1\laetitia\LOCALS~1\Temp\cvasds1.dll
Supprimé ! C:\9g86.exe
Supprimé ! C:\opdux.exe
Supprimé ! E:\9g86.exe
Supprimé ! E:\opdux.exe

################## | Registre # Clés infectieuses |

Supprimé ! [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "cdoosoft"
Supprimé ! [HKLM\SOFTWARE\Classes\CLSID\MADOWN]

################## | Registre # Mountpoints2 |

Supprimé ! HKCU\...\Explorer\MountPoints2\{15410e74-60a0-11de-96b2-001e8c5d4292}\Shell\AutoRun\Command

################## | Listing des fichiers présent |

[28/02/2009 11:55|-r-h-----|37] C:\BetaMaths.txt
[28/02/2009 11:55|-r-h-----|37] C:\BetaMathsBackup.txt
[28/02/2009 12:50|---h-----|0] C:\BetaMathsSetTests.txt
[28/02/2009 12:50|---h-----|0] C:\BetaMathsUsers.txt
[26/01/2009 17:05|--a------|212] C:\Boot.bak
[06/11/2009 23:22|-rahs----|282] C:\boot.ini
[24/08/2001 13:00|-rahs----|4952] C:\Bootfont.bin
[03/08/2004 23:00|--a------|263488] C:\cmldr
[08/09/2008 19:34|--a------|0] C:\CONFIG.SYS
[24/10/2004 05:39|--a------|46376] C:\ec.TTF
[24/10/2004 05:35|--a------|65500] C:\ecl.TTF
[24/10/2004 05:36|--a------|65704] C:\ecl_cour.TTF
[24/10/2004 05:35|--a------|46664] C:\ec_cour.TTF
[24/10/2004 05:36|--a------|72800] C:\ec_co_pt.TTF
[24/10/2004 05:35|--a------|55116] C:\ec_cp.TTF
[08/09/2008 19:34|-rahs----|0] C:\IO.SYS
[08/09/2008 19:34|-rahs----|0] C:\MSDOS.SYS
[03/08/2004 22:38|-rahs----|47564] C:\NTDETECT.COM
[03/08/2004 22:59|-rahs----|251712] C:\ntldr
[?|?|?] C:\pagefile.sys
[25/10/2009 21:13|--a------|13030] C:\PDOXUSRS.NET
[04/11/2009 21:36|--a------|1609] C:\TCleaner.txt
[18/11/2009 06:58|--a------|4109] C:\UsbFix.txt
[22/06/2009 22:20|--a------|892367600] E:\fin.avi
[16/08/2007 07:11|--a------|212992] E:\Setup.exe
[04/03/2009 21:11|--a------|10828] E:\hijackthis.log
[02/02/2009 10:07|--a------|207653] E:\AuRevoir.pdf
[03/02/2009 22:11|--a------|78260] E:\c2obslec.pdf
[16/02/2009 12:05|--a------|16675] E:\document_equipe_cp.pdf
[27/01/2009 22:12|--a------|49560] E:\ferryc2.pdf
[18/02/2009 09:36|--a------|22127] E:\ppre_doc.pdf
[19/02/2009 21:28|--a------|728986] E:\programmes maths.pdf
[27/01/2009 22:12|--a------|221208] E:\thermofiche.pdf
[14/01/2009 17:28|--a------|294338] E:\note_glissance_cle517d71.pdf
[03/02/2009 19:24|-ra------|905918] E:\air.zip
[14/01/2009 17:21|--a------|15625729] E:\cdcin276.zip
[26/02/2009 20:04|--a------|157507] E:\vivant non vivant.pdf
[03/02/2009 19:20|-ra------|1057246] E:\eau.zip
[03/02/2009 19:23|-ra------|1322376] E:\meteo.zip
[26/02/2009 20:07|--a------|313923] E:\Vivant Non-vivant _2_.pdf
[03/02/2009 19:26|-ra------|3454488] E:\astronomie1.zip
[03/02/2009 19:16|-ra------|2554533] E:\Dossier La glace.zip
[03/02/2009 19:27|-ra------|957381] E:\dossierlandart.zip
[03/02/2009 19:24|-ra------|926262] E:\electricite.zip
[03/02/2009 19:22|-ra------|91679] E:\mesurededurees.zip
[01/02/2009 14:27|--a------|721723] E:\snowman_031207.zip
[30/06/2009 12:44|--ahs----|3584] E:\Thumbs.db
[17/01/2009 15:26|--a------|19968] E:\numen.doc

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix.
# E:\autorun.inf -> Dossier créé par UsbFix.

################## | Suspect | https://www.virustotal.com/gui/ |

################## | Cracks / Keygens / Serials |

################## | Upload |

Veuillez envoyer le fichier : C:\DOCUME~1\laetitia\Bureau\UsbFix_Upload_Me_XPSP2-653F4AEFD.zip : https://www.androidworld.fr/
Merci pour votre contribution .

################## | ! Fin du rapport # UsbFix V6.054 ! |

Réponse 8 / 19

jfkpresident Messages postés 13408 Date d'inscription lundi 3 septembre 2007 Statut Contributeur sécurité Dernière intervention 5 janvier 2015 1 175
18 nov. 2009 à 08:09

Télécharge ATF Cleaner par Atribune:
http://www.atribune.org/ccount/click.php?id=1
Double-clique ATF-Cleaner.exe afin de lancer le programme.
Sous l'onglet Main, choisis : Select All
Clique sur le bouton Empty Selected
Si tu utilises le navigateur Firefox :
Clique Firefox au haut et choisis : Select All
Clique le bouton Empty Selected
NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.
Si tu utilises le navigateur Opera :
Clique Opera au haut et choisis : Select All
Clique le bouton Empty Selected
NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.
Clique Exit, du menu prinicipal, afin de fermer le programme.
Pour obtenir du Support technique, double-clique l'adresse électronique située au bas de chacun des menus.

Ensuite dis moi comment va le pc ?

Réponse 9 / 19

LaetitiaH Messages postés 169 Date d'inscription jeudi 26 juillet 2007 Statut Membre Dernière intervention 5 août 2010 1
18 nov. 2009 à 17:23

Re bonjour,
J'ai récupéré ma clé usb, dois-je reprendre les manipulations à zéro avant de poursuivre ?
Laëtitia

Réponse 10 / 19

jfkpresident Messages postés 13408 Date d'inscription lundi 3 septembre 2007 Statut Contributeur sécurité Dernière intervention 5 janvier 2015 1 175
18 nov. 2009 à 18:39

Le responsable a été supprimé :

################## | Fichiers # Dossiers infectieux |

C:\DOCUME~1\laetitia\LOCALS~1\Temp\cvasds0.dll
C:\DOCUME~1\laetitia\LOCALS~1\Temp\cvasds1.dll

Maintenant si tu veux vérifier ta clé ,branche la et relance UsbFix (option 1) et colle moi le rapport .

As tu passé ATFCleaner ?

Réponse 11 / 19

LaetitiaH Messages postés 169 Date d'inscription jeudi 26 juillet 2007 Statut Membre Dernière intervention 5 août 2010 1
18 nov. 2009 à 18:53

Bonsoir,
Je préfère en effet tester la clé dans la mesure où en l'insérant de nouveau dans le pc, avira à encore réagit avec la même alerte. Donc voici le rapport (je n'ai pas encore passé atf cleaner) :

############################## | UsbFix V6.054 |

User : laetitia (Utilisateurs) # XPSP2-653F4AEFD
Update on 17/11/2009 by Chiquitine29, C_XX & Chimay8
Start at: 18:48:38 | 18/11/2009
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Intel(R) Core(TM)2 Quad CPU Q6600 @ 2.40GHz
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 2
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Disabled
AV : AntiVir Desktop 9.0.1.32 [ (!) Disabled | Updated ]
FW : ZoneAlarm Firewall[ Enabled ]7.0.483.000

A:\ -> Lecteur de disquettes 3 ½ pouces
C:\ -> Disque fixe local # 465,75 Go (219,78 Go free) # NTFS
D:\ -> Disque CD-ROM
E:\ -> Disque fixe local # 465,65 Go (252,82 Go free) [My Book] # FAT32
F:\ -> Disque amovible
G:\ -> Disque amovible
H:\ -> Disque amovible
I:\ -> Disque CD-ROM
J:\ -> Disque amovible
K:\ -> Disque amovible # 493,73 Mo (101,75 Mo free) [SWISSMEMORY] # FAT

############################## | Processus actifs |

C:\WINDOWS\System32\smss.exe 708
C:\WINDOWS\system32\csrss.exe 764
C:\WINDOWS\system32\winlogon.exe 788
C:\WINDOWS\system32\services.exe 832
C:\WINDOWS\system32\lsass.exe 844
C:\WINDOWS\system32\svchost.exe 1048
C:\WINDOWS\system32\svchost.exe 1156
C:\WINDOWS\System32\svchost.exe 1252
C:\WINDOWS\system32\svchost.exe 1296
C:\WINDOWS\system32\svchost.exe 1436
C:\WINDOWS\system32\ZoneLabs\vsmon.exe 1556
C:\WINDOWS\system32\spoolsv.exe 1984
C:\Program Files\Avira\AntiVir Desktop\sched.exe 2032
C:\Program Files\a-squared Free\a2service.exe 648
C:\Program Files\Avira\AntiVir Desktop\avguard.exe 688
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe 736
C:\Program Files\Java\jre6\bin\jqs.exe 808
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe 1112
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE 1224
C:\Program Files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe 1272
C:\Program Files\CDBurnerXP\NMSAccessU.exe 1424
C:\WINDOWS\system32\nvsvc32.exe 1468
C:\WINDOWS\system32\svchost.exe 1528
C:\WINDOWS\system32\UAService7.exe 1592
C:\Program Files\Western Digital\WD Drive Manager\WDBtnMgrSvc.exe 1604
C:\WINDOWS\System32\alg.exe 2428
C:\WINDOWS\explorer.exe 2760
C:\WINDOWS\system32\svchost.exe 2700
C:\WINDOWS\system32\wuauclt.exe 2656
C:\WINDOWS\System32\svchost.exe 3116
C:\WINDOWS\system32\ctfmon.exe 3424
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe 3500
C:\Program Files\Mozilla Firefox\firefox.exe 2248
C:\Program Files\Adobe\Acrobat 8.0\Acrobat\Acrobat.exe 924
C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe 4032
C:\Program Files\Mozilla Thunderbird\thunderbird.exe 1920
C:\WINDOWS\system32\wscntfy.exe 224
C:\WINDOWS\system32\wbem\wmiprvse.exe 464

################## | Fichiers # Dossiers infectieux |

C:\DOCUME~1\laetitia\LOCALS~1\Temp\cvasds0.dll
C:\DOCUME~1\laetitia\LOCALS~1\Temp\cvasds1.dll
C:\9g86.exe
E:\9g86.exe
K:\autorun.inf
K:\autorun.inf -> fichier appelé : "K:\0qw6vege.exe" ( Présent ! )
K:\1a1dndah.exe
K:\6ruaqx.exe
K:\9b9w3.exe
K:\9g86.exe
K:\ewqij.bat
K:\mranjm.exe
K:\opdux.exe
K:\pbudsara.exe
K:\sfkn.exe
K:\srgo.exe
K:\vk0w.exe
K:\w9uxx92.exe
K:\y6yol.exe

################## | Registre # Clés infectieuses |

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "cdoosoft"
[HKLM\SOFTWARE\Classes\CLSID\MADOWN]
[HKCR\CLSID\MADOWN]

################## | Registre # Mountpoints2 |

HKCU\..\..\Explorer\MountPoints2\{15410e74-60a0-11de-96b2-001e8c5d4292}
Shell\AutoRun\command =K:\9g86.exe
Shell\open\Command =K:\9g86.exe

################## | Cracks / Keygens / Serials |

################## | ! Fin du rapport # UsbFix V6.054 ! |

Merci,
Laetitia

Réponse 12 / 19

jfkpresident Messages postés 13408 Date d'inscription lundi 3 septembre 2007 Statut Contributeur sécurité Dernière intervention 5 janvier 2015 1 175
18 nov. 2009 à 20:07

éffectivement ,elle était bel et bien infecté ...Donc tu peux relancer UsbFix (option2) et coller le rapport généré .

Ensuite tu passe ATFcleaner .

Si tu n'as plus de soucis suite a ces manips on pourra conclure ce topiques avec quelques conseils de prévention .

Réponse 13 / 19

LaetitiaH Messages postés 169 Date d'inscription jeudi 26 juillet 2007 Statut Membre Dernière intervention 5 août 2010 1
18 nov. 2009 à 21:56

Voici le second rapport usb fix (je précise qu'avira c'est totalement emballé pendant la désinfection :

RAPPORT AVIRA :
Dans le fichier 'K:\y6yol.exe'
un virus ou un programme indésirable 'TR/Drop.Agent.ahdz' [trojan] a été détecté.
Action exécutée : Autoriser l'accès
Dans le fichier 'K:\w9uxx92.exe'
un virus ou un programme indésirable 'TR/Vundo.Gen' [trojan] a été détecté.
Action exécutée : Autoriser l'accès
Dans le fichier 'K:\vk0w.exe'
un virus ou un programme indésirable 'TR/Crypt.ZPACK.Gen' [trojan] a été détecté.
Action exécutée : Autoriser l'accès
Dans le fichier 'K:\srgo.exe'
un virus ou un programme indésirable 'TR/Crypt.ZPACK.Gen' [trojan] a été détecté.
Action exécutée : Autoriser l'accès
Dans le fichier 'K:\sfkn.exe'
un virus ou un programme indésirable 'TR/Crypt.ZPACK.Gen' [trojan] a été détecté.
Action exécutée : Autoriser l'accès
Dans le fichier 'K:\pbudsara.exe'
un virus ou un programme indésirable 'TR/Crypt.ZPACK.Gen' [trojan] a été détecté.
Action exécutée : Autoriser l'accès
Dans le fichier 'K:\opdux.exe'
un virus ou un programme indésirable 'TR/Crypt.XPACK.Gen' [trojan] a été détecté.
Action exécutée : Autoriser l'accès
Dans le fichier 'K:\mranjm.exe'
un virus ou un programme indésirable 'TR/Crypt.ZPACK.Gen' [trojan] a été détecté.
Action exécutée : Autoriser l'accès

Et j'en passe...

USB FIX :

############################## | UsbFix V6.054 |

User : laetitia (Utilisateurs) # XPSP2-653F4AEFD
Update on 17/11/2009 by Chiquitine29, C_XX & Chimay8
Start at: 20:55:19 | 18/11/2009
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Intel(R) Core(TM)2 Quad CPU Q6600 @ 2.40GHz
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 2
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Disabled
AV : AntiVir Desktop 9.0.1.32 [ Enabled | Updated ]
FW : ZoneAlarm Firewall[ Enabled ]7.0.483.000

A:\ -> Lecteur de disquettes 3 ½ pouces
C:\ -> Disque fixe local # 465,75 Go (219,8 Go free) # NTFS
D:\ -> Disque CD-ROM
E:\ -> Disque fixe local # 465,65 Go (252,82 Go free) [My Book] # FAT32
F:\ -> Disque amovible
G:\ -> Disque amovible
H:\ -> Disque amovible
I:\ -> Disque CD-ROM
J:\ -> Disque amovible
K:\ -> Disque amovible # 493,73 Mo (92,12 Mo free) [SWISSMEMORY] # FAT

############################## | Processus actifs |

C:\WINDOWS\System32\smss.exe 700
C:\WINDOWS\system32\csrss.exe 764
C:\WINDOWS\system32\winlogon.exe 792
C:\WINDOWS\system32\services.exe 836
C:\WINDOWS\system32\lsass.exe 848
C:\WINDOWS\system32\svchost.exe 1052
C:\WINDOWS\system32\logonui.exe 1116
C:\WINDOWS\system32\svchost.exe 1164
C:\WINDOWS\System32\svchost.exe 1260
C:\WINDOWS\system32\svchost.exe 1304
C:\WINDOWS\system32\svchost.exe 1444
C:\WINDOWS\system32\ZoneLabs\vsmon.exe 1568
C:\WINDOWS\system32\spoolsv.exe 1852
C:\Program Files\Avira\AntiVir Desktop\sched.exe 1900
C:\WINDOWS\Explorer.EXE 476
C:\Program Files\a-squared Free\a2service.exe 584
C:\Program Files\Avira\AntiVir Desktop\avguard.exe 644
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe 716
C:\Program Files\Java\jre6\bin\jqs.exe 752
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe 1076
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE 1212
C:\Program Files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe 1236
C:\Program Files\CDBurnerXP\NMSAccessU.exe 1400
C:\WINDOWS\system32\nvsvc32.exe 1440
C:\WINDOWS\system32\svchost.exe 1484
C:\WINDOWS\system32\UAService7.exe 1548
C:\Program Files\Western Digital\WD Drive Manager\WDBtnMgrSvc.exe 1584
C:\WINDOWS\system32\wuauclt.exe 2152
C:\WINDOWS\System32\alg.exe 2464
C:\WINDOWS\system32\wbem\wmiprvse.exe 2472

################## | Fichiers # Dossiers infectieux |

Supprimé ! C:\DOCUME~1\laetitia\LOCALS~1\Temp\cvasds0.dll
Supprimé ! C:\DOCUME~1\laetitia\LOCALS~1\Temp\cvasds1.dll
Supprimé ! C:\9g86.exe
Supprimé ! E:\9g86.exe
K:\autorun.inf -> fichier appelé : "K:\0qw6vege.exe" ( Présent ! )
Supprimé ! K:\0qw6vege.exe
Supprimé ! K:\autorun.inf
Supprimé ! K:\1a1dndah.exe
Supprimé ! K:\6ruaqx.exe
Supprimé ! K:\9b9w3.exe
Supprimé ! K:\9g86.exe
Supprimé ! K:\ewqij.bat
Supprimé ! K:\mranjm.exe
Supprimé ! K:\opdux.exe
Supprimé ! K:\pbudsara.exe
Supprimé ! K:\sfkn.exe
Supprimé ! K:\srgo.exe
Supprimé ! K:\vk0w.exe
Supprimé ! K:\w9uxx92.exe
Supprimé ! K:\y6yol.exe

################## | Registre # Clés infectieuses |

Supprimé ! [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "cdoosoft"
Supprimé ! [HKLM\SOFTWARE\Classes\CLSID\MADOWN]

################## | Registre # Mountpoints2 |

################## | Listing des fichiers présent |

[18/11/2009 17:25|-r-hs----|114071] C:\0qw6vege.exe
[28/02/2009 11:55|-r-h-----|37] C:\BetaMaths.txt
[28/02/2009 11:55|-r-h-----|37] C:\BetaMathsBackup.txt
[28/02/2009 12:50|---h-----|0] C:\BetaMathsSetTests.txt
[28/02/2009 12:50|---h-----|0] C:\BetaMathsUsers.txt
[26/01/2009 17:05|--a------|212] C:\Boot.bak
[06/11/2009 23:22|-rahs----|282] C:\boot.ini
[24/08/2001 13:00|-rahs----|4952] C:\Bootfont.bin
[03/08/2004 23:00|--a------|263488] C:\cmldr
[08/09/2008 19:34|--a------|0] C:\CONFIG.SYS
[24/10/2004 05:39|--a------|46376] C:\ec.TTF
[24/10/2004 05:35|--a------|65500] C:\ecl.TTF
[24/10/2004 05:36|--a------|65704] C:\ecl_cour.TTF
[24/10/2004 05:35|--a------|46664] C:\ec_cour.TTF
[24/10/2004 05:36|--a------|72800] C:\ec_co_pt.TTF
[24/10/2004 05:35|--a------|55116] C:\ec_cp.TTF
[08/09/2008 19:34|-rahs----|0] C:\IO.SYS
[08/09/2008 19:34|-rahs----|0] C:\MSDOS.SYS
[03/08/2004 22:38|-rahs----|47564] C:\NTDETECT.COM
[03/08/2004 22:59|-rahs----|251712] C:\ntldr
[?|?|?] C:\pagefile.sys
[25/10/2009 21:13|--a------|13030] C:\PDOXUSRS.NET
[04/11/2009 21:36|--a------|1609] C:\TCleaner.txt
[18/11/2009 21:50|--a------|4555] C:\UsbFix.txt
[22/06/2009 22:20|--a------|892367600] E:\fin.avi
[16/08/2007 07:11|--a------|212992] E:\Setup.exe
[04/03/2009 21:11|--a------|10828] E:\hijackthis.log
[02/02/2009 10:07|--a------|207653] E:\AuRevoir.pdf
[03/02/2009 22:11|--a------|78260] E:\c2obslec.pdf
[16/02/2009 12:05|--a------|16675] E:\document_equipe_cp.pdf
[27/01/2009 22:12|--a------|49560] E:\ferryc2.pdf
[18/02/2009 09:36|--a------|22127] E:\ppre_doc.pdf
[19/02/2009 21:28|--a------|728986] E:\programmes maths.pdf
[27/01/2009 22:12|--a------|221208] E:\thermofiche.pdf
[14/01/2009 17:28|--a------|294338] E:\note_glissance_cle517d71.pdf
[03/02/2009 19:24|-ra------|905918] E:\air.zip
[14/01/2009 17:21|--a------|15625729] E:\cdcin276.zip
[26/02/2009 20:04|--a------|157507] E:\vivant non vivant.pdf
[03/02/2009 19:20|-ra------|1057246] E:\eau.zip
[03/02/2009 19:23|-ra------|1322376] E:\meteo.zip
[26/02/2009 20:07|--a------|313923] E:\Vivant Non-vivant _2_.pdf
[03/02/2009 19:26|-ra------|3454488] E:\astronomie1.zip
[03/02/2009 19:16|-ra------|2554533] E:\Dossier La glace.zip
[03/02/2009 19:27|-ra------|957381] E:\dossierlandart.zip
[03/02/2009 19:24|-ra------|926262] E:\electricite.zip
[03/02/2009 19:22|-ra------|91679] E:\mesurededurees.zip
[01/02/2009 14:27|--a------|721723] E:\snowman_031207.zip
[30/06/2009 12:44|--ahs----|3584] E:\Thumbs.db
[18/11/2009 17:25|-r-hs----|114071] E:\0qw6vege.exe
[17/01/2009 15:26|--a------|19968] E:\numen.doc
[26/05/2005 09:49|--a------|229624] K:\K600-Z125-muli1.pdf
[03/03/2006 18:27|--a------|2912256] K:\TravelItEasy.exe
[17/08/2009 13:13|--ah-----|4096] K:\._.Trashes
[17/08/2009 13:19|--ah-----|6148] K:\.DS_Store
[20/09/2009 22:08|--a------|644096] K:\vivant ou non vivant trace ecrite.doc
[25/09/2009 19:48|--a------|48128] K:\Réunion de rentrée CE1.doc
[29/09/2009 07:48|--a------|36864] K:\Choisis le texte qui résume le mieux le livre.doc
[25/10/2009 20:56|--a------|29931658] K:\Vies_des_peintres__sculpteurs_et_archite-1.pdf
[28/08/2007 21:35|--a------|3155301] K:\14 Jane Birkin & Les Negresses Vertes - La gadoue.mp3
[28/08/2007 14:32|--a------|17796526] K:\la gadoue - instrumentale.wav
[04/04/2008 16:11|--a------|19968] K:\Expression écrite 2
[29/04/2008 11:42|--a------|23552] K:\DS sur l'argumentation.doc
[07/05/2008 10:15|--a------|22016] K:\Exercice de commentaire.doc
[09/05/2008 15:17|--a------|20480] K:\Séance 2.doc
[21/05/2008 10:10|--a------|24064] K:\Commentaire de l'Etranger.doc
[20/05/2008 16:09|--a------|22528] K:\espagnol Gaborit
[26/11/2008 18:04|--a------|23552] K:\6A.doc
[07/06/2009 20:56|--a------|11920] K:\3C.bulletin.docx
[11/06/2009 11:45|--a------|11756] K:\6C.bulletin.docx
[11/06/2009 11:45|--a------|11835] K:\4A. bulletin.docx
[15/06/2009 11:37|--a------|12050] K:\bulletins.5D.docx
[23/06/2009 17:06|--a------|411648] K:\Doc1.doc
[12/08/2009 01:13|--a------|180716] K:\demande de transfert.pdf
[12/08/2009 08:57|--a------|1612] K:\BOOTEX.LOG
[02/09/2009 18:04|--a------|1264796] K:\eval-fin-cp-09.pdf
[02/09/2009 18:08|--a------|1504992] K:\eval-CP-debut.pdf

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix.
# E:\autorun.inf -> Dossier créé par UsbFix.
# K:\autorun.inf -> Dossier créé par UsbFix.

################## | Suspect | https://www.virustotal.com/gui/ |

################## | Cracks / Keygens / Serials |

################## | Upload |

Veuillez envoyer le fichier : C:\DOCUME~1\laetitia\Bureau\UsbFix_Upload_Me_XPSP2-653F4AEFD.zip : https://www.androidworld.fr/
Merci pour votre contribution .

################## | ! Fin du rapport # UsbFix V6.054 ! |

Je te fais le bilan après le passage d'ATF.
Merci encore,
Laëtitia

Réponse 14 / 19

LaetitiaH Messages postés 169 Date d'inscription jeudi 26 juillet 2007 Statut Membre Dernière intervention 5 août 2010 1
18 nov. 2009 à 22:08

Bien, j'ai fait la manip avec atf puis redémarré le pc et avira ne réagit plus à l'ouverture de la clé usb. Donc, cela semble bon.
Merci mille fois pour cette aide précieuse !
Un souci cependant, j'ai du attraper ce ou ces virus au travail, en utilisant ma clé usb sur le pc du bureau commun à tous les collègues. Dois-je faire les même manip sur ce pc ?
Merci,
Laëtitia

Réponse 15 / 19

jfkpresident Messages postés 13408 Date d'inscription lundi 3 septembre 2007 Statut Contributeur sécurité Dernière intervention 5 janvier 2015 1 175
18 nov. 2009 à 22:55

Je dois te signaler que tes clés USB sont maintenant vaccinés (tu remarquera par toi meme qu'elle ne se lance plus automatiquement ) .

Maintenant tu peux supprimer RSIT (C:\RSIT) et UsbFix (Option 5 ).

Je vois que tu as un bataillon de logiciels sécurité . Tu peux alléger en supprimant Adaware (qui est devenu obsolete). Vérifie que le pare-feu Xp est bien désactivé vu que tu as déja ZoneAlarm .

étant donné le nombre de désinfections que tu as suivi sur CCM ,je te conseille fortement de lire ces précautions : un peu de lecture afin de ne pas revenir ici

Vu que tu utilise Azureus ,lit ceci également :

danger du P2P et des cracks

également un exemple concret ici ou l'internaute ne pouvait plus rien faire de sa machine ...

Sur ce j'éspere ne plus te revoir ici avec un pc infecté vu que le meilleur antivirus se trouve devant le pc -;)

Bon surf !

PS: Met ton post en "résolu" .

Réponse 16 / 19

LaetitiaH Messages postés 169 Date d'inscription jeudi 26 juillet 2007 Statut Membre Dernière intervention 5 août 2010 1
19 nov. 2009 à 00:06

Je vire les logiciels cités plus haut. Une dernière question : Je dois utiliser ma clé usb quotidiennement au travail, visiblement, le pc (je travaille dans une école) est régulièrement infecté dans la mesure où chacun bosse dessus avec sa clé. Comment faire pour que ma clé ne transmette pas systématiquement de virus sur mon pc (mis à part la solution consistant à ne plus mettre cette clé dans mon pc bien sûr) ?

Réponse 17 / 19

jfkpresident Messages postés 13408 Date d'inscription lundi 3 septembre 2007 Statut Contributeur sécurité Dernière intervention 5 janvier 2015 1 175
19 nov. 2009 à 12:30

Je t'ai signalé que maintenant tes clés ont été vaccinés par UsbFix -;)

Réponse 18 / 19

LaetitiaH Messages postés 169 Date d'inscription jeudi 26 juillet 2007 Statut Membre Dernière intervention 5 août 2010 1
19 nov. 2009 à 19:48

oups, autant pour moi, j'espérais que cela soit réglé mais avira réagit à nouveau :
Dans le fichier 'C:\System Volume Information\_restore{909DFDB9-8319-4D2B-8F05-AE4CE2FF22C6}\RP9\A0001906.exe'
un virus ou un programme indésirable 'TR/Crypt.XPACK.Gen' [trojan] a été détecté.
Action exécutée : Refuser l'accès

Est-ce une fausse alerte ?

Laëtitia

Réponse 19 / 19

jfkpresident Messages postés 13408 Date d'inscription lundi 3 septembre 2007 Statut Contributeur sécurité Dernière intervention 5 janvier 2015 1 175
19 nov. 2009 à 20:04

Dans le fichier 'C:\System Volume Information\_restore{909DFDB9-8319-4D2B-8F05-AE4CE2FF22C6}\RP9\A0001906.exe'
un virus ou un programme indésirable 'TR/Crypt.XPACK.Gen' [trojan] a été détecté.
Action exécutée : Refuser l'accès

Est-ce une fausse alerte ?

Ce sont des fichiers contenu dans ta resto systeme ,pour les supprimer il faut purger cette resto comme suit :

* Désactivation :
Cliquer droit sur le "Poste de travail" > Propriétés > onglet "Restauration du système" > cocher la case "Désactiver la Restauration du système sur tous les lecteurs"
> Appliquer patiente jusqu a que cela soit marqué "désactivée" puis Ok.

* Activation :
Suivre le même chemin ; décocher la case "Désactiver la Restauration du système sur tous les lecteurs"
> Appliquer attends que cela soit a nouveau sur "surveillance" puis Ok. Redémarrer l'ordinateur..

TR/Crypt.XPACK.Gen

19 réponses

Discussions similaires

Newsletters