Virus Win32:Malware-gen

Question

Bonjour, 

Après qu'Avast a lancé le scan de mon PC il y a quelques heures, il a détécté le logiciel malveillant Win32:Malware-gen
type : Virus/Ver
version VPS : 100402-0, 02/04/2010.
A présent, toutes les 5 secondes il m'alerte qu'un nouveau fichier est infesté dans mon dossier system32\drivers avec comme action recommandée la mise en quarantaine. Ce que j'ai fait une dizaine de fois avant d'aller me renseigner sur ce forum.
J'ai cru comprendre que les actions a entreprendre étaient différentes pour chaque PC. Je vous soumets donc ma demande : Pouvez-vous m'aider à éliminer ce virus ?

Merci par avance.


Configuration: Windows XP / Firefox 3.5.9

pimprenelle27 · Answer

Bonjour,

==> Télécharge ZHPDiag (de Nicolas Coolman)

ou :ZHPDiag

==> Enregistre le sur ton Bureau.

Une fois le téléchargement achevé,

==> Lance ZHPDiag.exe et clique sur suivant pour lancer l'installation dans la fenêtre qui s'ouvre.

==> Clique sur le tournevis en haut à droite (option) puis cocher toutes les cases des options.

==> Clique sur la loupe pour lancer l'analyse.

A la fin de l'analyse,

==> Clique sur l'appareil photo et enregistre le rapport sur ton Bureau.

Pour me le transmettre clique sur ce lien :

http://www.cijoint.fr/

==> Clique sur Parcourir et cherche le fichier ZHPDiag.txt

==> Clique sur Ouvrir.

==> Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cj200905/cib7SU.txt

est ajouté dans la page.

==> Copie ce lien dans ta réponse.

Odessie · Answer

Merci pour votre réponse. J'ai lancé l'analyse, mais ca n'avance pas... le programme ne repond pas. Impossible de le fermer meme avec le gestionnaire de taches...

pimprenelle27 · Answer

Redémarre ton ordi et essaye en mode sans échec?

Odessie · Answer

C'est bon, voici le lien : 

http://www.cijoint.fr/cjlink.php?file=cj201004/cijDmBINdN.txt

pimprenelle27 · Answer

Alors tu as comme infections : 

Infection BT (Search Settings.Adw)

AskBarDis]

Dealio

Infection BT (Emusic.Adw)

Infection Diverse (Disabled.SecurityCenter)


En plus du fait du P2P et tu as avast comme antivirus : 

1ère chose à faire : 

&#x25B6; Télécharge FindyKill et enregistre-le sur ton bureau

&#x25B6; Double clic sur le raccourci FindyKill sur ton bureau, l'installation se fera automatiquement

&#x25B6; Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

&#x25B6; Au menu principal,choisi l option 1 (Recherche)

&#x25B6; Patiente un peu, l'analyse peut durer quelques minutes

&#x25B6; Post le rapport FindyKill.txt

 * Note : le rapport FindyKill.txt est sauvegardé a la racine du disque

Odessie · Answer

ok, voici  : http://www.cijoint.fr/cjlink.php?file=cj201004/cijpAAAQYX.txt

pimprenelle27 · Answer

&#x25B6; Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

&#x25B6; Double clic sur le raccourci FindyKill sur ton bureau

&#x25B6; Au menu principal,choisi l option 2 (Suppression)


/!\ il y aura un redémarrage, laisse travailler l outils jusqu a l apparition du message "nettoyage effectué"

/!\ Ne te sert pas du pc durant la suppression , ton bureau ne sera pas accessible c est normal !

&#x25B6; ensuite post le rapport FindyKill.txt

 * Note : le rapport FindyKill.txt est sauvegardé a la racine du disque
 * Note : Si le Bureau ne réapparait pas presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tapes explorer.exe et valides


A lire :


le danger des cracks

bagle/beagle

Odessie · Answer

Il vaut mieux que je le redemarre en mode sans echec? Je l'ai laissé redemarrer en mode normal, le programme indique "merci de patienter" depuis 40minutes, mais j'ai peur qu'il ne se passe rien de plus...

Odessie · Answer

Apres avoir patienté 2h sans voir aucune evolution "findykill s'apprete a demarrer, veuillez patienter".. j'ai redemarré en mode sans echec le programme, celui ci a donc redemarré l'ordinateur que j'ai mis en mode sans echec. Mais la,je n'ai constaté aucune activité du programme (pas une fenetre ne s'est ouverte).  J'ai donc une nouvelle fois redemarré en mode normal et je patiente comme demandé meme si rien ne semble se produire... j'attends vos lumières!

pimprenelle27 · Answer

Bonjour,

c'est bizarre surtout que tu es sous xp, essaye de le retélécharger.

odessie · Answer

j'ai recommence l'analyse, voici le rapport : http://www.cijoint.fr/cjlink.php?file=cj201004/cijNWy67Ua.txt

pimprenelle27 · Answer

Passe à l'option 2 maintenant.

odessie · Answer

C'est toujours pareil : "Findykill s'apprete a demarrer... Veuillez patienter." Depuis 20 minutes.... ca demarre rapidement normalement ?

pimprenelle27 · Answer

laisse le travailler si ça défile c'est que c'est bon.

odessie · Answer

justement je ne vois rien qui defile, j'ai pris en photo l'ecran, voici ce  que je vois : http://www.cijoint.fr/cjlink.php?file=cj201004/cijHf7W85q.jpg

odessie · Answer

Vous n'auriez pas un autre outil similaire pour voir?.... Il faudrait que ca fonctionne en mode sans echec. Findykill ne se relance pas apres le redemarrage sans echec..

pimprenelle27 · Answer

Réessaye en mode sans échec?

odessie · Answer

pas d'autre suggestion ? j'ai recommence plusieurs fois, ca ne demarre pas du tout en mode sans echec (meme pas la fenetre patientez)

pimprenelle27 · Answer

Bon passe ceci : 

DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!!(car il est detecté a tort comme infection)

&#x25B6; Télécharge List_Kill'em et enregistre le sur ton bureau

&#x25B6; Double clique ( clic droit "executer en tant qu'administrateur" pour Vista/7 ) sur le raccourci sur ton bureau pour lancer l'installation

&#x25B6; une fois terminée , clic sur "terminer" et le programme se lancera seul

&#x25B6; Choisis choisis l'option Search

&#x25B6; Un icône blanc et noir va s'afficher sur le bureau , il te servira à relancer le programme par la suite.

&#x25B6; laisse travailler l'outil

&#x25B6; A l'apparition de la fenetre blanche , c'est un peu long , c'est normal , le programme n'est pas bloqué.

&#x25B6; Un rapport du nom de catchme apparait sur ton bureau , ignore-le,ne le poste pas , , il s'auto supprimera a la fin du scan

&#x25B6; Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"


 Ensuite héberger le rapport : 

&#x25B6;  Rendez-vous à cette adresse d'hébergement gratuit : http://www.cijoint.fr/

&#x25B6; Cliquez sur parcourir,  chercher le rapport .txt puis cliquez sur  ici pour déposer le fichier

&#x25B6; Une fois le lien crée, faite un clique droit dessus et copier l'adresse du lien pour venir le coller dans votre réponse

Odessie · Answer

Ok ! voici : http://www.cijoint.fr/cjlink.php?file=cj201004/cijIt2ekzS.txt

pimprenelle27 · Answer

Nettoyage :



? Relance List_Kill'em(soit en clic droit pour vista/7),avec le raccourci sur ton bureau.
mais cette fois-ci :

? choisis l'option clean

ton PC va redemarrer,

laisse travailler l'outil.

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

? colle le contenu dans ta reponse 




Ensuite analyse ce fichier : C:\WINDOWS\system32\spool\DRIVERS\W32X86\3\LXCGtime.dll avec virus total : 

Faite analyser ces fichiers sur Virus total :

Ce service se trouve ici :
==> https://www.virustotal.com/gui/

1) La fenêtre principale comporte plusieurs points qu'il faut comprendre :

# La Charge du service est l'élément qui détermine si le site VirusTotal est peu ou fortement sollicité, vert le site est peu utilisé, rouge vous allez devoir attendre.

# Parcourir, permettra de rechercher le fichier à analyser. Envoyer, commencera l'analyse du fichier que vous avez au préalable recherché voir cette cette image


2) Cliquez sur " Parcourir " afin de rechercher le fichier à tester qui peut se trouver sur votre bureau, vos documents, un dossier de Windows, etc. :
Une fois sélectionné , cliquez sur " Ouvrir " voir cette cette image

3) La page principale revient mais vous voyez maintenant précisément l'emplacement de ce fichier .
Cliquez sur " Envoyer "  voir cette image


4) L'envoi du fichier est en cours, patientez pendant quelques secondes. Le temps d'attente peut être plus ou moins long selon la charge du service VirusTotal et de la taille du fichier à analyser voir cette cette image


5) Cependant si le site VirusTotal est trop sollicité , cette fenêtre apparaitra et donc vous aurez pour choix, soit d'attendre tranquillement, soit de revenir à un autre moment de la journée quand le site sera moins utilisé.


6) Votre fichier a été envoyé avec succès donc l'analyse va débuter dans quelques secondes et durer quelques minutes.
Les 32 anti-virus vont analyser chacun à leur tour le fichier envoyé.


7) Une fois le fichier totalement analysé vous verrez apparaitre dans le haut de la fenêtre le statut de l'analyse.
Le chiffre en rouge est le nombre d'anti-virus considérant le fichier comme infecté.
Cliquez sur " Formaté " afin d'avoir un rapport détaillé .


Il ne vous reste qu'à faire un copier-coller du résultat ou de recopier l'url présente sur la barre d'adresse et de l'envoyer à la personne qui vous a demandé de faire cette analyse.

Odessie · Answer

C'est au moment du redemarrage, apres avoir cliqué sur clean dans list_kill'em que les choses se compliquent: le pc redemarre en mode normal et une fenetre apparait :
C:\Windows\system32\cmd.exe
Stop process: wuaucltd.exe
'Proc_end' n'est pas reconnu en tant que commande interne ou externe, un programme executable ou un fichier de commande.
Et aucun programme de nettoyage ne se lance.

Odessie · Answer

Bonsoir, 
Le scan a finalement demarre, en mode sans echec, alors que je ne l'esperais deja plus ! 
donc voici le contenu du fichier Kill'em.txt :

Kill'em by g3n-h@ckm@n 1.7.0.2 
 
User : Laure () 
Update on 02/04/2010 by g3n-h@ckm@n ::::: 18.00
Start at: 20:27:38 | 08/04/2010

         Intel(R) Atom(TM) CPU N270   @ 1.60GHz
Microsoft Windows XP Edition familiale (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 7.0.5730.13
Windows Firewall Status : Enabled
AV : avast! antivirus 4.8.1335 [VPS 100402-0] 4.8.1335 [ Enabled | Updated ]

C:\ -> Disque fixe local | 39,07 Go (1,99 Go free) [OS_Install] | NTFS
D:\ -> Disque fixe local | 31,55 Go (728,12 Mo free) | NTFS
E:\ -> Disque fixe local
V:\ -> Disque fixe local | 3,9 Go (676,32 Mo free) [WINRE] | FAT32
 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes running
 
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Samsung Electronics\mWiMAX U200\YotaAccess.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\runonce.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\Program Files\List_Kill'em\ERUNT.EXE
C:\Program Files\List_Kill'em\pv.exe
 
Detections : 
========== 
 

¤¤¤¤¤¤¤¤¤¤ Files/folders : 

Quarantined & Deleted !! : C:\Program Files\Search Settings 
Quarantined & Deleted !! : C:\WINDOWS\DUMP2b84.tmp 
Quarantined & Deleted !! : C:\WINDOWS\DUMP2cfb.tmp 
Quarantined & Deleted !! : C:\WINDOWS\DUMP3671.tmp 
 
Quarantined & Deleted !! : C:\WINDOWS\Temp\sig1.tmp 
Quarantined & Deleted !! : C:\WINDOWS\Temp\sig2.tmp 
Quarantined & Deleted !! : C:\WINDOWS\Temp\sig3.tmp 
Quarantined & Deleted !! : C:\WINDOWS\Temp\sig4.tmp 
Quarantined & Deleted !! : C:\WINDOWS\Temp\sig5.tmp 
Quarantined & Deleted !! : C:\WINDOWS\Temp\sig6.tmp 
Quarantined & Deleted !! : C:\WINDOWS\Temp\sig7.tmp 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\Application Data\avdrn.dat 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\Application Data\Dealio 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\Application Data\Search Settings 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\Local Settings\Temp\dw.log 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\Local Settings\Temp\it.mp3 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\Local Settings\Temp\_So.wmv 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\LOCAL Settings\Temp\apatch.exe 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\LOCAL Settings\Temp\SkypeSetup.exe 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\LOCAL Settings\Temp\Perflib_Perfdata_177c.dat 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\LOCAL Settings\Temp\Perflib_Perfdata_7ac.dat 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\LOCAL Settings\Temp\Perflib_Perfdata_7fc.dat 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\LOCAL Settings\Temp\Perflib_Perfdata_824.dat 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\LOCAL Settings\Temp\Perflib_Perfdata_960.dat 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\LOCAL Settings\Temp\Perflib_Perfdata_aa4.dat 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\LOCAL Settings\Temp\Perflib_Perfdata_ac4.dat 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\LOCAL Settings\Temp\Perflib_Perfdata_b8c.dat 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\LOCAL Settings\Temp\Perflib_Perfdata_bac.dat 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\LOCAL Settings\Temp\Perflib_Perfdata_d10.dat 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\LOCAL Settings\Temp\Perflib_Perfdata_d4.dat 
Quarantined & Deleted !! : C:\Documents and Settings\Laure\LOCAL Settings\Temp\Perflib_Perfdata_f08.dat 
Deleted !! : C:\RECYCLER\S-1-5-21-3942379749-2074322050-4218884182-1005\Dc11.txt   
Deleted !! : C:\RECYCLER\S-1-5-21-3942379749-2074322050-4218884182-1005\Dc12.lnk   
Deleted !! : C:\RECYCLER\S-1-5-21-3942379749-2074322050-4218884182-1005\Dc13.doc   
Deleted !! : C:\RECYCLER\S-1-5-21-3942379749-2074322050-4218884182-1005\Dc14.txt   
Deleted !! : C:\RECYCLER\S-1-5-21-3942379749-2074322050-4218884182-1005\Dc15.doc   
 
==============
host file OK !
==============

========
Registry
========

Deleted : HKLM\Software\Microsoft\Windows\CurrentVersion\Run\SearchSettings  
Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{01398B87-61AF-4FFB-9AB5-1A1C5FB39A9C}  
Deleted : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{0E5CBF21-D15F-11D0-8301-00AA005B4383}  
Deleted : HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}  
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Install.exe"  
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Setup.exe"  
Deleted : "HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}"  
Deleted : "HKLM\Software\Search Settings"  
Deleted : HKCR\CLSID\{248dd896-bb45-11cf-9abc-0080c7e7b78d}  
Deleted : HKCR\CLSID\{248dd897-bb45-11cf-9abc-0080c7e7b78d}  
Deleted : HKCR\CLSID\{9afb8248-617f-460d-9366-d71cdeda3179}  
Deleted : HKCR\CLSID\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}  
Deleted : HKCR\Interface\{248dd892-bb45-11cf-9abc-0080c7e7b78d}  
Deleted : HKCR\Interface\{248dd893-bb45-11cf-9abc-0080c7e7b78d}  
Deleted : HKCR\SearchSettings.BHO  
Deleted : HKCR\SearchSettings.BHO.1  
Deleted : HKCR\TypeLib\{248dd890-bb45-11cf-9abc-0080c7e7b78d}  
Deleted : HKLM\Software\Classes\TypeLib\{CD082CCA-086F-4FD8-8FD7-247A0DBBD1CC}  
Deleted : HKLM\Software\Dealio  
========
Services
=========

 Ndisuio : Start = 3   
 EapHost : Start = 2   
 SharedAccess : Start = 2   
 wuauserv : Start = 2   
 wscsvc : Start = 2   

============
Disk Cleaned
============
 
=================
anti-ver blaster : OK !! 
=================

================
Prefetch cleaned 
================
 
 
 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Odessie · Answer

et resultat de l'analyse du fichier : C:\WINDOWS\system32\spool\DRIVERS\W32X86\3\LXCGtime.dll avec virus total sur le lien suivant :

http://www.virustotal.com/fr/analisis/fbad27f7ac864a72e8ad1deda6cfe528fcf7ccd2f61c745b37ee1a570df7f3fa-1270746860

pimprenelle27 · Answer

Bonjour,

tu as quelle type d'imprimante sur ton pc?

Odessie · Answer

Bonjour, 

je n'ai pas d'imprimante, le dossier "imprimantes" est vide.

pimprenelle27 · Answer

tu n'as même pas un jour utilisé un lexmark

odessie · Answer

Oui, j'avais une lexmark, mais plus depuis quelques mois.

odessie · Answer

Non, plus besoin. Si ce n'est que ca je supprime.
Je peux reinstaller windows aussi...

pimprenelle27 · Answer

Bonjour,

pourquoi réinstaller Windows?

odessie · Answer

He bien parce que je suis toujours en mode sans echec ce qui limite pas mal les possibilités et que je commence a avoir vraiment besoin de mon outil de travail... reinstaller windows sera plus radical mais plus rapide que d'attendre une guerison miraculeuse...

pimprenelle27 · Answer

Bonjour,

Le mode normale ne fonctionne pas?

Virus Win32:Malware-gen

32 réponses

Discussions similaires

Newsletters