Virus-spyware...
Résolu
Bonjour à tous,
J'ai installé XP et tout se passait bien jusqu'à ce que je sois "infecté" par un virus ou autre spyware (sur un site de partage de fichiers alors que je n'avais pas de pare feu!!). J'ai lu plusieurs forums et essayé plusieurs trucs (mode sans échec avec scan par sysclean, adaware...). Malgré tout cela, mon ordinateur rame et impossible d'ouvrir un fichier sans que cela prenne 10 min. Puis au bout d'un certain temps un message s'affiche comme quoi mon ordinateur va s'arrêter!
Please HELP!!
Voici ci joint le dernier scan :
Logfile of HijackThis v1.99.1
Scan saved at 11:52:42, on 23/08/2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
E:\sysclean.com
E:\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.cegetel.net/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = C:\Program Files\Copernic 2000 Pro\Search Bar.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\windows\SYSTEM\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
R3 - URLSearchHook: (no name) - _{C12B4EC1-1F65-11D3-91CA-00104B9C4765} - (no file)
O1 - Hosts: 128.0.1.91 M.O.B.
O1 - Hosts: 128.0.1.94 www.mobintra.com
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [adiras] adiras.exe
O4 - HKLM\..\Run: [ingjsp] C:\WINDOWS\ingjsp.exe
O4 - HKLM\..\Run: [File System] taskmqr.exe
O4 - HKLM\..\Run: [MS Unix Binary] msnq3insller.exe
O4 - HKLM\..\Run: [System service62] C:\WINDOWS\etb\pokapoka63.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [Microsoft Update 32] microsoft.exe
O4 - HKLM\..\Run: [SYSTRAY] C:\UNMT.EXE
O4 - HKLM\..\Run: [System service63] C:\WINDOWS\etb\pokapoka63.exe
O4 - HKLM\..\Run: [Spool Service] t.exe
O4 - HKLM\..\RunServices: [File System] taskmqr.exe
O4 - HKLM\..\RunServices: [MS Unix Binary] msnq3insller.exe
O4 - HKLM\..\RunServices: [Microsoft Update 32] microsoft.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [File System] taskmqr.exe
O4 - HKCU\..\Run: [MS Unix Binary] msnq3insller.exe
O4 - HKCU\..\Run: [Oesr] C:\Program Files\iuaa\ooam.exe
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O8 - Extra context menu item: Chercher avec Copernic - file://C:\Program Files\Copernic 2000 Pro\Search Extension.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM32\MSJAVA.DLL
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM32\MSJAVA.DLL
O9 - Extra button: (no name) - {2A465934-E5F0-11D2-91B5-00104B9C4765} - C:\Program Files\Copernic 2000 Pro\Copernic.exe
O9 - Extra 'Tools' menuitem: Lancer Copernic - {2A465934-E5F0-11D2-91B5-00104B9C4765} - C:\Program Files\Copernic 2000 Pro\Copernic.exe
O9 - Extra button: Copernic - {2A465936-E5F0-11D2-91B5-00104B9C4765} - C:\Program Files\Copernic 2000 Pro\Copernic.exe
O9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRAM FILES\MICROSOFT ACTIVESYNC\INETREPL.DLL
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRAM FILES\MICROSOFT ACTIVESYNC\INETREPL.DLL
O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRAM FILES\MICROSOFT ACTIVESYNC\INETREPL.DLL
O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone
O16 - DPF: Win32 Classes -
O16 - DPF: {42F2C9BA-614F-47C0-B3E3-ECFD34EED658} (Installer Class) - http://216.127.33.119/ist/softwares/v4.0/ysb_regular.cab
O16 - DPF: {DB893839-10F0-4AF9-92FA-B23528F530AF} - http://deposito.hostance.net/dialer/1044446.exe
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup/downloader/imloader.cab
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: netinfo - Unknown owner - C:\WINDOWS\netinfo.exe
Je mets aussi le scan avec sysclean
------------------------------------------------------------\
| Trend Micro Sysclean Package |
| Copyright 2002, Trend Micro, Inc. |
| http://www.trendmicro.com |
\--------------------------------------------------------------/
2005-08-22, 18:12:25, Auto-clean mode specified.
2005-08-22, 18:12:25, Running scanner "E:\TSC.BIN"...
2005-08-22, 18:16:02, Scanner "E:\TSC.BIN" has finished running.
2005-08-22, 18:16:02, TSC Log:
Damage Cleanup Engine (DCE) 3.9(Build 1020)
Windows XP(Build 2600: )
Start time : lun. août 22 2005 18:12:26
Load Damage Cleanup Template (DCT) "E:\tsc.ptn" (version 638) [success]
TROJ_ROOTKIT.E[virus found]
-->delete registry key("HKEY_LOCAL_MACHINE","SYSTEM\CurrentControlSet\Services\rdriv","") success
-->reboot delete file("C:\WINDOWS\System32\rdriv.sys","","") success
BKDR_SDBOT.BSS[virus found]
-->modify registry data("HKEY_LOCAL_MACHINE","SOFTWARE\Microsoft\Ole","N") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Microsoft\security center","UpdatesDisableNotify") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Microsoft\security center","AntiVirusDisableNotify") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Microsoft\security center","UpdatesDisableNotify") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Microsoft\security center","FirewallOverride") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Microsoft\security center","FirewallDisableNotify") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Microsoft\security center","AntiVirusOverride") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update","AUOptions") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile","EnableFirewall") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile","EnableFirewall") success
-->modify registry value("HKEY_LOCAL_MACHINE","SYSTEM\CurrentControlSet\Services\wscsvc","Start") success
-->modify registry value("HKEY_LOCAL_MACHINE","SYSTEM\CurrentControlSet\Services\Messenger","Start") success
-->modify registry value("HKEY_LOCAL_MACHINE","SYSTEM\CurrentControlSet\Services\RemoteRegistry","Start") success
-->modify registry value("HKEY_LOCAL_MACHINE","SYSTEM\CurrentControlSet\Services\TlntSvr","Start") success
-->modify registry value("HKEY_LOCAL_MACHINE","SYSTEM\CurrentControlSet\Control\Lsa","restrictanonymous") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate","DoNotAllowXPSP2") success
-->reboot delete file("C:\WINDOWS\edit.exe","","") success
WORM_CODBOT.W[virus found]
-->delete registry key("HKEY_LOCAL_MACHINE","SYSTEM\CurrentControlSet\Services\dxdmain","") success
-->delete registry data("HKEY_LOCAL_MACHINE","SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\dxdmain","Service") success
-->delete registry data("HKEY_LOCAL_MACHINE","SYSTEM\CurrentControlSet\Control\SafeBoot\Network\dxdmain","Service") success
-->reboot delete file("C:\WINDOWS\System32\dxdmain.exe","","") success
-->add file("C:\WINDOWS\CLEAN_WORM_CODBOT.W.bat","","") success
-->modify file("C:\WINDOWS\CLEAN_WORM_CODBOT.W.bat","","") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce","clean codbotw") success
Complete time : lun. août 22 2005 18:15:40
Execute pattern count(4218), Virus found count(3), Virus clean count(3), Clean failed count(0)
2005-08-22, 18:28:01, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\system.LOG": Accès refusé.
2005-08-22, 18:28:01, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\software.LOG": Accès refusé.
2005-08-22, 18:28:01, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\default.LOG": Accès refusé.
2005-08-22, 18:28:01, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\SECURITY": Accès refusé.
2005-08-22, 18:28:01, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\SAM": Accès refusé.
2005-08-22, 18:28:01, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\SAM.LOG": Accès refusé.
2005-08-22, 18:28:01, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\SECURITY.LOG": Accès refusé.
2005-08-22, 18:28:02, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\SYSTEM": Accès refusé.
2005-08-22, 18:28:02, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\SOFTWARE": Accès refusé.
2005-08-22, 18:28:02, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\DEFAULT": Accès refusé.
2005-08-22, 19:30:49, An error occurred while scanning file "C:\Documents and Settings\meline\ntuser.dat": Accès refusé.
2005-08-22, 19:30:49, An error occurred while scanning file "C:\Documents and Settings\meline\ntuser.dat.LOG": Accès refusé.
2005-08-22, 19:31:39, An error occurred while scanning file "C:\Documents and Settings\meline\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat": Accès refusé.
2005-08-22, 19:31:39, An error occurred while scanning file "C:\Documents and Settings\meline\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG": Accès refusé.
2005-08-22, 19:42:02, Running scanner "E:\VSCANTM.BIN"...
2005-08-22, 19:42:02, Scanner "E:\VSCANTM.BIN" could not be executed: Le fichier spécifié est introuvable.
/--------------------------------------------------------------\
| Trend Micro Sysclean Package |
| Copyright 2002, Trend Micro, Inc. |
| http://www.trendmicro.com |
\--------------------------------------------------------------/
2005-08-23, 11:51:20, Auto-clean mode specified.
2005-08-23, 11:51:20, Running scanner "E:\TSC.PTN"...
2005-08-23, 11:51:20, Scanner "E:\TSC.PTN" could not be executed: Le fichier spécifié est introuvable.
/--------------------------------------------------------------\
| Trend Micro Sysclean Package |
| Copyright 2002, Trend Micro, Inc. |
| http://www.trendmicro.com |
\--------------------------------------------------------------/
2005-08-23, 11:51:34, Auto-clean mode specified.
2005-08-23, 11:51:34, Running scanner "E:\TSC.PTN"...
2005-08-23, 11:51:34, Scanner "E:\TSC.PTN" could not be executed: Le fichier spécifié est introuvable.
J'ai installé XP et tout se passait bien jusqu'à ce que je sois "infecté" par un virus ou autre spyware (sur un site de partage de fichiers alors que je n'avais pas de pare feu!!). J'ai lu plusieurs forums et essayé plusieurs trucs (mode sans échec avec scan par sysclean, adaware...). Malgré tout cela, mon ordinateur rame et impossible d'ouvrir un fichier sans que cela prenne 10 min. Puis au bout d'un certain temps un message s'affiche comme quoi mon ordinateur va s'arrêter!
Please HELP!!
Voici ci joint le dernier scan :
Logfile of HijackThis v1.99.1
Scan saved at 11:52:42, on 23/08/2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
E:\sysclean.com
E:\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.cegetel.net/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = C:\Program Files\Copernic 2000 Pro\Search Bar.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\windows\SYSTEM\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
R3 - URLSearchHook: (no name) - _{C12B4EC1-1F65-11D3-91CA-00104B9C4765} - (no file)
O1 - Hosts: 128.0.1.91 M.O.B.
O1 - Hosts: 128.0.1.94 www.mobintra.com
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [adiras] adiras.exe
O4 - HKLM\..\Run: [ingjsp] C:\WINDOWS\ingjsp.exe
O4 - HKLM\..\Run: [File System] taskmqr.exe
O4 - HKLM\..\Run: [MS Unix Binary] msnq3insller.exe
O4 - HKLM\..\Run: [System service62] C:\WINDOWS\etb\pokapoka63.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [Microsoft Update 32] microsoft.exe
O4 - HKLM\..\Run: [SYSTRAY] C:\UNMT.EXE
O4 - HKLM\..\Run: [System service63] C:\WINDOWS\etb\pokapoka63.exe
O4 - HKLM\..\Run: [Spool Service] t.exe
O4 - HKLM\..\RunServices: [File System] taskmqr.exe
O4 - HKLM\..\RunServices: [MS Unix Binary] msnq3insller.exe
O4 - HKLM\..\RunServices: [Microsoft Update 32] microsoft.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [File System] taskmqr.exe
O4 - HKCU\..\Run: [MS Unix Binary] msnq3insller.exe
O4 - HKCU\..\Run: [Oesr] C:\Program Files\iuaa\ooam.exe
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O8 - Extra context menu item: Chercher avec Copernic - file://C:\Program Files\Copernic 2000 Pro\Search Extension.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM32\MSJAVA.DLL
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM32\MSJAVA.DLL
O9 - Extra button: (no name) - {2A465934-E5F0-11D2-91B5-00104B9C4765} - C:\Program Files\Copernic 2000 Pro\Copernic.exe
O9 - Extra 'Tools' menuitem: Lancer Copernic - {2A465934-E5F0-11D2-91B5-00104B9C4765} - C:\Program Files\Copernic 2000 Pro\Copernic.exe
O9 - Extra button: Copernic - {2A465936-E5F0-11D2-91B5-00104B9C4765} - C:\Program Files\Copernic 2000 Pro\Copernic.exe
O9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRAM FILES\MICROSOFT ACTIVESYNC\INETREPL.DLL
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRAM FILES\MICROSOFT ACTIVESYNC\INETREPL.DLL
O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRAM FILES\MICROSOFT ACTIVESYNC\INETREPL.DLL
O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone
O16 - DPF: Win32 Classes -
O16 - DPF: {42F2C9BA-614F-47C0-B3E3-ECFD34EED658} (Installer Class) - http://216.127.33.119/ist/softwares/v4.0/ysb_regular.cab
O16 - DPF: {DB893839-10F0-4AF9-92FA-B23528F530AF} - http://deposito.hostance.net/dialer/1044446.exe
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup/downloader/imloader.cab
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: netinfo - Unknown owner - C:\WINDOWS\netinfo.exe
Je mets aussi le scan avec sysclean
------------------------------------------------------------\
| Trend Micro Sysclean Package |
| Copyright 2002, Trend Micro, Inc. |
| http://www.trendmicro.com |
\--------------------------------------------------------------/
2005-08-22, 18:12:25, Auto-clean mode specified.
2005-08-22, 18:12:25, Running scanner "E:\TSC.BIN"...
2005-08-22, 18:16:02, Scanner "E:\TSC.BIN" has finished running.
2005-08-22, 18:16:02, TSC Log:
Damage Cleanup Engine (DCE) 3.9(Build 1020)
Windows XP(Build 2600: )
Start time : lun. août 22 2005 18:12:26
Load Damage Cleanup Template (DCT) "E:\tsc.ptn" (version 638) [success]
TROJ_ROOTKIT.E[virus found]
-->delete registry key("HKEY_LOCAL_MACHINE","SYSTEM\CurrentControlSet\Services\rdriv","") success
-->reboot delete file("C:\WINDOWS\System32\rdriv.sys","","") success
BKDR_SDBOT.BSS[virus found]
-->modify registry data("HKEY_LOCAL_MACHINE","SOFTWARE\Microsoft\Ole","N") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Microsoft\security center","UpdatesDisableNotify") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Microsoft\security center","AntiVirusDisableNotify") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Microsoft\security center","UpdatesDisableNotify") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Microsoft\security center","FirewallOverride") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Microsoft\security center","FirewallDisableNotify") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Microsoft\security center","AntiVirusOverride") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update","AUOptions") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile","EnableFirewall") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile","EnableFirewall") success
-->modify registry value("HKEY_LOCAL_MACHINE","SYSTEM\CurrentControlSet\Services\wscsvc","Start") success
-->modify registry value("HKEY_LOCAL_MACHINE","SYSTEM\CurrentControlSet\Services\Messenger","Start") success
-->modify registry value("HKEY_LOCAL_MACHINE","SYSTEM\CurrentControlSet\Services\RemoteRegistry","Start") success
-->modify registry value("HKEY_LOCAL_MACHINE","SYSTEM\CurrentControlSet\Services\TlntSvr","Start") success
-->modify registry value("HKEY_LOCAL_MACHINE","SYSTEM\CurrentControlSet\Control\Lsa","restrictanonymous") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate","DoNotAllowXPSP2") success
-->reboot delete file("C:\WINDOWS\edit.exe","","") success
WORM_CODBOT.W[virus found]
-->delete registry key("HKEY_LOCAL_MACHINE","SYSTEM\CurrentControlSet\Services\dxdmain","") success
-->delete registry data("HKEY_LOCAL_MACHINE","SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\dxdmain","Service") success
-->delete registry data("HKEY_LOCAL_MACHINE","SYSTEM\CurrentControlSet\Control\SafeBoot\Network\dxdmain","Service") success
-->reboot delete file("C:\WINDOWS\System32\dxdmain.exe","","") success
-->add file("C:\WINDOWS\CLEAN_WORM_CODBOT.W.bat","","") success
-->modify file("C:\WINDOWS\CLEAN_WORM_CODBOT.W.bat","","") success
-->modify registry value("HKEY_LOCAL_MACHINE","SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce","clean codbotw") success
Complete time : lun. août 22 2005 18:15:40
Execute pattern count(4218), Virus found count(3), Virus clean count(3), Clean failed count(0)
2005-08-22, 18:28:01, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\system.LOG": Accès refusé.
2005-08-22, 18:28:01, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\software.LOG": Accès refusé.
2005-08-22, 18:28:01, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\default.LOG": Accès refusé.
2005-08-22, 18:28:01, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\SECURITY": Accès refusé.
2005-08-22, 18:28:01, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\SAM": Accès refusé.
2005-08-22, 18:28:01, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\SAM.LOG": Accès refusé.
2005-08-22, 18:28:01, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\SECURITY.LOG": Accès refusé.
2005-08-22, 18:28:02, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\SYSTEM": Accès refusé.
2005-08-22, 18:28:02, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\SOFTWARE": Accès refusé.
2005-08-22, 18:28:02, An error occurred while scanning file "C:\WINDOWS\SYSTEM32\config\DEFAULT": Accès refusé.
2005-08-22, 19:30:49, An error occurred while scanning file "C:\Documents and Settings\meline\ntuser.dat": Accès refusé.
2005-08-22, 19:30:49, An error occurred while scanning file "C:\Documents and Settings\meline\ntuser.dat.LOG": Accès refusé.
2005-08-22, 19:31:39, An error occurred while scanning file "C:\Documents and Settings\meline\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat": Accès refusé.
2005-08-22, 19:31:39, An error occurred while scanning file "C:\Documents and Settings\meline\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG": Accès refusé.
2005-08-22, 19:42:02, Running scanner "E:\VSCANTM.BIN"...
2005-08-22, 19:42:02, Scanner "E:\VSCANTM.BIN" could not be executed: Le fichier spécifié est introuvable.
/--------------------------------------------------------------\
| Trend Micro Sysclean Package |
| Copyright 2002, Trend Micro, Inc. |
| http://www.trendmicro.com |
\--------------------------------------------------------------/
2005-08-23, 11:51:20, Auto-clean mode specified.
2005-08-23, 11:51:20, Running scanner "E:\TSC.PTN"...
2005-08-23, 11:51:20, Scanner "E:\TSC.PTN" could not be executed: Le fichier spécifié est introuvable.
/--------------------------------------------------------------\
| Trend Micro Sysclean Package |
| Copyright 2002, Trend Micro, Inc. |
| http://www.trendmicro.com |
\--------------------------------------------------------------/
2005-08-23, 11:51:34, Auto-clean mode specified.
2005-08-23, 11:51:34, Running scanner "E:\TSC.PTN"...
2005-08-23, 11:51:34, Scanner "E:\TSC.PTN" could not be executed: Le fichier spécifié est introuvable.
12 réponses
-
Contributeurton hijack tu l'as fait avant ou après le scan trend (auto clean)??
si avant refait un log hijack -
désolé, je déjeunais...
le hijack a été fait après. -
Contributeurque tu peux dejà essayer:
A/ si tu ne les as pas, telecharge:
Ad-Aware SE 1.06
http://www.lavasoftusa.com/software/adaware/
Spybot S&D 1.4
http://www.safer-networking.org/fr/index.html
-aide en image:(merci a Balltrap34)
http://pageperso.aol.fr/Balltrap34/demo%20spybot.htm
puis Clean Up 40 :
http://pageperso.aol.fr/balltrap34/CleanUp40.exe
-aide en image:(merci a Balltrap34)
http://pageperso.aol.fr/balltrap34/democleanup.htm
ne les utilise pas tout de suite
idem si tu ne l’as pas A2 free sur
http://www.emsisoft.net/fr/software/download/
met à jour spybot, ad aware et a2 free sur internet (tu trouves l’option dans les menus) mais ne lance pas les scan.
1) clic droit sur poste de travail
propriété
restauration systeme
coche desactivé puis appliquer
2) demarrer
panneau de configuration
outil
option des dossiers
affichage,
coche afficher dossier cachés
decoche : masquer extension des fichiers dont le type est connu
masquer les fichiers protégés du systeme d'exploitation.
3) demarre en mode sans echec.
Soit tu tapotte sur la touche F8 alancement de Windows et tu choisi sans echec (pas d’inquiétude pour l’aspect de l’ecran)
4) lance hijack, ferme le bloc note et coche les cases devant les lignes, à la fin valide à l’aide du bouton fix checked:
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = C:\Program Files\Copernic 2000 Pro\Search Bar.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\windows\SYSTEM\blank.htm
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
R3 - URLSearchHook: (no name) - _{C12B4EC1-1F65-11D3-91CA-00104B9C4765} - (no file)
O1 - Hosts: 128.0.1.91 M.O.B.
O1 - Hosts: 128.0.1.94 www.mobintra.com
O4 - HKLM\..\Run: [ingjsp] C:\WINDOWS\ingjsp.exe
O4 - HKLM\..\Run: [File System] taskmqr.exe
O4 - HKLM\..\Run: [MS Unix Binary] msnq3insller.exe
O4 - HKLM\..\Run: [System service62] C:\WINDOWS\etb\pokapoka63.exe
O4 - HKLM\..\Run: [Microsoft Update 32] microsoft.exe
O4 - HKLM\..\Run: [SYSTRAY] C:\UNMT.EXE
O4 - HKLM\..\Run: [System service63] C:\WINDOWS\etb\pokapoka63.exe
O4 - HKLM\..\Run: [Spool Service] t.exe
O4 - HKLM\..\RunServices: [File System] taskmqr.exe
O4 - HKLM\..\RunServices: [MS Unix Binary] msnq3insller.exe
O4 - HKLM\..\RunServices: [Microsoft Update 32] microsoft.exe
O4 - HKCU\..\Run: [File System] taskmqr.exe
O4 - HKCU\..\Run: [MS Unix Binary] msnq3insller.exe
O4 - HKCU\..\Run: [Oesr] C:\Program Files\iuaa\ooam.exe
O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone
O16 - DPF: Win32 Classes -
O16 - DPF: {42F2C9BA-614F-47C0-B3E3-ECFD34EED658} (Installer Class) - http://216.127.33.119/ist/softwares/v4.0/ysb_regular.cab
O16 - DPF: {DB893839-10F0-4AF9-92FA-B23528F530AF} - http://deposito.hostance.net/dialer/1044446.exe
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup/downloader/imloader.cab
O23 - Service: netinfo - Unknown owner - C:\WINDOWS\netinfo.exe
5) Dans le menu Demarrer>Executer >tape: Services.msc
recherche le service avec cette orthographe exacte:
netinfo
Double clic dessus et clic sur arreter puis dans type de demarrage selectionne désactivé
6) supprime les fichiers (attention à l'ortograph, des avlides ont un nom tres proche)
C:\WINDOWS\ingjsp.exe
taskmqr.exe
msnq3insller.exe
C:\WINDOWS\etb microsoft.exe
C:\UNMT.EXE
t.exe
C:\Program Files\iuaa << -- le dossier
C:\WINDOWS\netinfo.exe
7) execute cleanup40.exe
tu relances tes scan ad aware
puis spy boot
puis a2 free
et vire tout ce qu'ils trouvent (c'est un peu long mais tu devrais t'en sortir).
vide ta poubelle et redemarre en mode normal, c'est à dire avant de redemarrer, tu refais les manip de départ (1) et (2) mais en recochant ... pour retrouver la config de départ.
redemarre
refait un log -
EXCELLENT, tout refonctionne normalement.
Cependant, je viens de refaire plusieurs fois un scan hijack mais impossible de conserver le log : il apparait puis la fenêtre se ferme!
De plus, peux tu me conseiller une protection préventive+1 pare feu??
ET MERCI ENCORE POUR TON AIDE!!
ps : je n'ai pas supprimé les fichiers suivants car il n'apparraissat pas sur l'ordi :
C:\WINDOWS\ingjsp.exe
taskmqr.exe
msnq3insller.exe
C:\WINDOWS\etb microsoft.exe
C:\WINDOWS\UNMT.EXE
C:\Program Files\iuaa -
Bonjour,
As tu bien fait "do a system scan and save logfile" pour conserver le log ?
Pour le préventif, il te faut un firewall http://download.zonelabs.com/bin/free/fr/download/comparison.html
Et pour avoir de bonnes infos va sur : http://sebsauvage.net/safehex.html
Et surtout un anti virus : http://www.commentcamarche.net/faq/sujet-35-Anti-virus-gratuits-lequel-choisir
Et enfin, ne pas aller surfer sur n'importe quel site ;)
Quant aux fichiers, si tu ne les as pas trouvés, tant mieux !
Bon courage,
M. -
Contributeursuper pour toit et merci a mona, la liens sont tops.
pour le log hijack, va dans le dossier ou tu l'as dezippé, tu devrais trouver un bloc note log, ouvre le et copie le. -
Je l'ai finalement ouvert avec Word :
Logfile of HijackThis v1.99.1
Scan saved at 16:42:29, on 23/08/2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\t.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\WINDOWS\explorer.exe
C:\hijackthis_199\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.cegetel.net/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [adiras] adiras.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O8 - Extra context menu item: Chercher avec Copernic - file://C:\Program Files\Copernic 2000 Pro\Search Extension.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM32\MSJAVA.DLL
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM32\MSJAVA.DLL
O9 - Extra button: (no name) - {2A465934-E5F0-11D2-91B5-00104B9C4765} - C:\Program Files\Copernic 2000 Pro\Copernic.exe
O9 - Extra 'Tools' menuitem: Lancer Copernic - {2A465934-E5F0-11D2-91B5-00104B9C4765} - C:\Program Files\Copernic 2000 Pro\Copernic.exe
O9 - Extra button: Copernic - {2A465936-E5F0-11D2-91B5-00104B9C4765} - C:\Program Files\Copernic 2000 Pro\Copernic.exe
O9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRAM FILES\MICROSOFT ACTIVESYNC\INETREPL.DLL
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRAM FILES\MICROSOFT ACTIVESYNC\INETREPL.DLL
O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRAM FILES\MICROSOFT ACTIVESYNC\INETREPL.DLL
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe -
ContributeurPrseque tou bon,
est ce que c'est toi qui souhaite copernic si oui, RAS.
en 2
Telecharge: Pocket Killbox ici
http://www.downloads.subratam.org/KillBox.exe
les diverses facons d utiliser la killbox
demo http://pageperso.aol.fr/balltrap34/killbox.htm
deconnecte toi d'internet:
lance killbox
clic sur tool >> delete temp files
1- Selectionne "Delete on Reboot"
2- Copie C:\WINDOWS\System32\t.exe et colle dans "Full Path of File to Delete"
3- clic sur la croix rouge
4- une fenetre va apparaitre pour confirmation clic sur YES
5- une seconde fenetre te demande si tu veux redemarrer clic sur Yes
refait un log. -
Ca y est j'ai fait la manip et voici le log :
Logfile of HijackThis v1.99.1
Scan saved at 20:00:26, on 23/08/2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\WINDOWS\System32\wuauclt.exe
C:\hijackthis_199\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.cegetel.net/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [adiras] adiras.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O8 - Extra context menu item: Chercher avec Copernic - file://C:\Program Files\Copernic 2000 Pro\Search Extension.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM32\MSJAVA.DLL
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM32\MSJAVA.DLL
O9 - Extra button: (no name) - {2A465934-E5F0-11D2-91B5-00104B9C4765} - C:\Program Files\Copernic 2000 Pro\Copernic.exe
O9 - Extra 'Tools' menuitem: Lancer Copernic - {2A465934-E5F0-11D2-91B5-00104B9C4765} - C:\Program Files\Copernic 2000 Pro\Copernic.exe
O9 - Extra button: Copernic - {2A465936-E5F0-11D2-91B5-00104B9C4765} - C:\Program Files\Copernic 2000 Pro\Copernic.exe
O9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRAM FILES\MICROSOFT ACTIVESYNC\INETREPL.DLL
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRAM FILES\MICROSOFT ACTIVESYNC\INETREPL.DLL
O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRAM FILES\MICROSOFT ACTIVESYNC\INETREPL.DLL
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe -
ContributeurEt bien a part copernic qui peut être ton choix, RAS
et ou en sont tes pbs??? -
Apparemment plus de pbs! Je peux enfin te répondre d l'ordi qui était "malade".
Merci vraiment pour ton aide et pour copernic...c'est le choix de ma copine....à voir avec elle!
A+ et un grand merci!!!!!!!!!! -
Contributeurbon bin tu me l'envoies pour qu'on voit çà ensemble... lol
content pour toi.
bonne soirée.
