Infection, popup et propagation USB
Sebastien16
-
Sebastien16 -
Sebastien16 -
Bonjour,
Voilà quelques semaines que j'ai un virus sur mon ordinateur.
Ne souhaitant pas formater je fais appel à votre précieuse aide pour m'en débarrasser.
Les symptômes que j'ai remarqué sont les suivants :
- pop up euros4click au démarrage de l'ordinateur.
- mes accents (circonflexe et tréma) sont doublés (exemple : m^^eme, no¨¨el).
- Deux winlogon dans les processus
- Infection automatique des clé usb (Highspeed.exe, autorun)
- Temps pour éteindre le Pc excessivement long (2-3 min)
Le tout est arrivé spontanément.
Je vous remercie d'avance pour votre aide.
Voilà quelques semaines que j'ai un virus sur mon ordinateur.
Ne souhaitant pas formater je fais appel à votre précieuse aide pour m'en débarrasser.
Les symptômes que j'ai remarqué sont les suivants :
- pop up euros4click au démarrage de l'ordinateur.
- mes accents (circonflexe et tréma) sont doublés (exemple : m^^eme, no¨¨el).
- Deux winlogon dans les processus
- Infection automatique des clé usb (Highspeed.exe, autorun)
- Temps pour éteindre le Pc excessivement long (2-3 min)
Le tout est arrivé spontanément.
Je vous remercie d'avance pour votre aide.
Configuration: Windows XP Firefox 3.5.7
4 réponses
-
Salut Sébastien ,
• Télécharge Random's System Information Tool (RSIT) (par random/random) sur ton Bureau.
• Double-clique sur RSIT.exe afin de lancer le programme.
• Clique sur Continue à l'écran Disclaimer.
• Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu, si demandé) et tu devras accepter la licence.
• Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront. Poste le contenu de log.txt (c'est celui qui apparaît à l'écran) ainsi que de info.txt (que tu verras dans la barre des tâches).
Note : les rapports sont sauvegardés dans le dossier C:\rsit. -
Salut El desaparecido et merci pour ton aide, voilà les deux doc :
Log.txt :
Logfile of random's system information tool 1.06 (written by random/random)
Run by Seb at 2010-01-23 01:49:16
Microsoft Windows XP Professionnel Service Pack 2
System drive C: has 1 GB (7%) free of 15 GB
Total RAM: 2046 MB (66% free)
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 01:49:26, on 23/01/2010
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16876)
Boot mode: Normal
Running processes:
C:\windows\System32\smss.exe
C:\windows\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\nvsvc32.exe
C:\windows\system32\svchost.exe
C:\windows\System32\svchost.exe
C:\windows\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\windows\Explorer.EXE
C:\windows\RTHDCPL.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Razer\Diamondback 3G\razerhid.exe
C:\Program Files\Microsoft Xbox 360 Accessories\XboxStat.exe
C:\windows\system32\rundll32.exe
C:\windows\system32\RUNDLL32.EXE
C:\Program Files\Windows User\winlogon.exe
F:\Jeux\iTunes\iTunesHelper.exe
C:\windows\system32\ctfmon.exe
C:\Program Files\DNA\btdna.exe
F:\Jeux\Samsung\Samsung New PC Studio\NPSAgent.exe
C:\windows\system32\spoolsv.exe
C:\Program Files\Razer\Diamondback 3G\razerofa.exe
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\windows\system32\FsUsbExService.Exe
C:\windows\system32\PnkBstrA.exe
C:\windows\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\windows\system32\wuauclt.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Seb\Bureau\RSIT.exe
C:\Program Files\trend micro\Seb.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [JMB36X IDE Setup] C:\WINDOWS\RaidTool\xInsIDE.exe
O4 - HKLM\..\Run: [36X Raid Configurer] C:\WINDOWS\system32\xRaidSetup.exe boot
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Diamondback] C:\Program Files\Razer\Diamondback 3G\razerhid.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [AdobeCS4ServiceManager] "C:\Program Files\Fichiers communs\Adobe\CS4ServiceManager\CS4ServiceManager.exe" -launchedbylogin
O4 - HKLM\..\Run: [XboxStat] "C:\Program Files\Microsoft Xbox 360 Accessories\XboxStat.exe" silentrun
O4 - HKLM\..\Run: [nwiz] C:\Program Files\NVIDIA Corporation\nView\nwiz.exe /install
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [winlogon] C:\Program Files\Windows User\winlogon.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "F:\Jeux\iTunes\iTunesHelper.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\windows\system32\ctfmon.exe
O4 - HKCU\..\Run: [BitTorrent DNA] "C:\Program Files\DNA\btdna.exe"
O4 - HKCU\..\Run: [AutoStartNPSAgent] F:\Jeux\Samsung\Samsung New PC Studio\NPSAgent.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: (no name) - {5067A26B-1337-4436-8AFE-EE169C2DA79F} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra 'Tools' menuitem: Skype add-on for Internet Explorer - {5067A26B-1337-4436-8AFE-EE169C2DA79F} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\windows\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\windows\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {4871A87A-BFDD-4106-8153-FFDE2BAC2967} (DLM Control) - http://dlm.tools.akamai.com/dlmanager/versions/activex/dlm-activex-2.2.4.1.cab
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://go.divx.com/plugin/DivXBrowserPlugin.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: FsUsbExService - Teruten - C:\windows\system32\FsUsbExService.Exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Service de l’iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\windows\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\windows\system32\PnkBstrA.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
-
-
Hello Sébastien ,
Désolé je t avais oublié .
Fais ceci :
• Télécharge UsbFix sur ton Bureau :
(!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir.
• Double clic sur UsbFix.exe présent sur ton bureau .
• Au menu principal choisis l'option " F " pour français et tape sur [entrée] .
• Au second menu Choisis l'option " 2 " ( Suppression ) et tape sur [entrée]
• Ton bureau disparaîtra et le pc redémarrera.
• Au redémarrage, UsbFix scannera ton PC, laisse travailler l'outil.
• Ensuite poste le rapport UsbFix.txt qui apparaîtra avec le bureau.
• Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )
( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )
Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.
• Tuto : http://pagesperso-orange.fr/NosTools/usbfix.html
#############
• Télécharge Malwarebytes' Anti-Malware (MBAM) sur ton Bureau.
• Double-clique sur le fichier téléchargé pour lancer le processus d'installation.
• Dans l'onglet Mise à jour, clique sur le bouton Recherche de mise à jour : si le pare-feu demande l'autorisation à MBAM de se connecter à Internet, accepte.
• Une fois la mise à jour terminée, rends-toi dans l'onglet Recherche.
• Sélectionne Exécuter un examen rapide.
• Clique sur Rechercher. L'analyse démarre.
• A la fin de l'analyse, un message s'affiche :
"L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés."
• Clique sur OK pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
• Ferme tes navigateurs.
• Si des malwares ont été détectés, clique sur Afficher les résultats.
• Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre infectés et en mettre une copie dans la quarantaine.
• MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport dans ta prochaine réponse.-
Y a pas de soucis, voilà le rapport UsbFix :
############################## | UsbFix V6.078 |
User : Seb (Administrateurs) # KACZOWSKI
Update on 23/01/2010 by El Desaparecido , C_XX & Chimay8
Start at: 12:46:30 | 24/01/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com
Intel(R) Core(TM)2 Duo CPU E6750 @ 2.66GHz
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 2
Internet Explorer 7.0.5730.13
Windows Firewall Status : Enabled
AV : avast! antivirus 4.8.1368 [VPS 100123-2] 4.8.1368 [ Enabled | Updated ]
C:\ -> Disque fixe local # 14,65 Go (1 Go free) [Windows] # NTFS
E:\ -> Disque fixe local # 97,65 Go (3,78 Go free) [Jeux] # NTFS
F:\ -> Disque fixe local # 120,57 Go (6,54 Go free) [Autres] # NTFS
G:\ -> Disque CD-ROM
H:\ -> Disque amovible # 15,02 Go (14,93 Go free) [KINGSTON16G] # NTFS
I:\ -> Disque amovible # 1,91 Go (1,91 Go free) # FAT32
############################## | Processus actifs |
C:\windows\System32\smss.exe 648
C:\windows\system32\csrss.exe 696
C:\windows\system32\winlogon.exe 720
C:\windows\system32\services.exe 764
C:\windows\system32\lsass.exe 776
C:\windows\system32\nvsvc32.exe 940
C:\windows\system32\svchost.exe 980
C:\windows\system32\svchost.exe 1048
C:\windows\System32\svchost.exe 1144
C:\windows\system32\svchost.exe 1184
C:\windows\system32\svchost.exe 1232
C:\windows\system32\svchost.exe 1344
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe 1436
C:\Program Files\Alwil Software\Avast4\ashServ.exe 1496
C:\windows\Explorer.EXE 1696
C:\windows\system32\spoolsv.exe 360
C:\Program Files\Alwil Software\Avast4\setup\avast.setup 448
C:\windows\system32\svchost.exe 588
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe 632
C:\Program Files\Bonjour\mDNSResponder.exe 672
C:\windows\system32\FsUsbExService.Exe 844
C:\windows\system32\PnkBstrA.exe 1100
C:\windows\system32\svchost.exe 1192
C:\windows\system32\wuauclt.exe 1756
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe 1920
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe 2076
C:\windows\system32\wbem\wmiprvse.exe 2172
C:\windows\System32\alg.exe 2488
################## | Elements infectieux |
Supprimé ! C:\Program Files\Windows User\winlogon.exe
Supprimé ! C:\Program Files\Windows User
Supprimé ! C:\Recycler\S-1-5-21-1801674531-1897051121-725345543-1003
Supprimé ! E:\Recycler\S-1-5-21-1801674531-1897051121-725345543-1003
Supprimé ! F:\Recycler\S-1-5-21-1801674531-1897051121-725345543-1003
Supprimé ! H:\AUTORUN_.INF
Supprimé ! I:\autorun.inf
################## | Registre |
Supprimé ! [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] "winlogon"
################## | Mountpoints2 |
Supprimé ! HKCU\...\Explorer\MountPoints2\{dcce7ab6-1b9b-11de-879e-001a4d5c0160}\Shell\AutoRun\Command
################## | Listing des fichiers présent |
[28/08/2001 13:00|-rahs----|4952] C:\Bootfont.bin
[21/08/2009 20:53|--a------|1120] C:\INSTALL.LOG
[28/12/2007 18:33|-rahs----|0] C:\IO.SYS
[28/12/2007 18:33|-rahs----|0] C:\MSDOS.SYS
[03/08/2004 21:38|-rahs----|47564] C:\NTDETECT.COM
[19/09/2009 23:37|-rahs----|251712] C:\ntldr
[?|?|?] C:\pagefile.sys
[24/05/2001 11:59|--a------|162304] C:\UNWISE.EXE
[24/01/2010 12:50|--a------|3293] C:\UsbFix.txt
[12/11/2009 15:53|--a------|724992] H:\Highspeed drivers.exe
[12/11/2009 15:53|--a------|724992] I:\Highspeed drivers.exe
################## | Vaccination |
# C:\autorun.inf -> Dossier créé par UsbFix.
# E:\autorun.inf -> Dossier créé par UsbFix.
# F:\autorun.inf -> Dossier créé par UsbFix.
# I:\autorun.inf -> Dossier créé par UsbFix.
################## | Crack > Keygen > Serial |
################## | Upload |
Veuillez envoyer le fichier : C:\DOCUME~1\Seb\Bureau\UsbFix_Upload_Me_KACZOWSKI.zip : https://www.ionos.fr/?affiliate_id=77097
Merci pour votre contribution .
################## | ! Fin du rapport # UsbFix V6.078 ! |
Concernant Malwarebytes' Anti-Malware, le lien semble ne pas fonctionner pour le moment. Je réessayerais plus tard.- Finalement j'ai réussi à le télécharger à partir d'un autre lien, mais lorsque j'essaye de le mettre à jour je reçois un message d'erreur. J'ai tout de même fait le scan et voilà le 2nd rapport :
Malwarebytes' Anti-Malware 1.40
Version de la base de données: 2551
Windows 5.1.2600 Service Pack 2
24/01/2010 13:12:08
mbam-log-2010-01-24 (13-12-08).txt
Type de recherche: Examen rapide
Eléments examinés: 94833
Temps écoulé: 2 minute(s), 38 second(s)
Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 4
Processus mémoire infecté(s):
(Aucun élément nuisible détecté)
Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)
Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)
Dossier(s) infecté(s):
(Aucun élément nuisible détecté)
Fichier(s) infecté(s):
C:\WINDOWS\system32\h@tkeysh@@k.dll (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\Fonts\el_font_gohtic.zip (Worm.Archive) -> Quarantined and deleted successfully.
C:\WINDOWS\Fonts\jellyka_castles_queen.zip (Worm.Archive) -> Quarantined and deleted successfully.
C:\WINDOWS\Fonts\pulse_sans.zip (Worm.Archive) -> Quarantined and deleted successfully.
-
