BehavesLike:Win32.IRC-Backdoor

Question

Bonjour, depuis quelques jours j'ai un gros probleme de lag en particulier sur l'accès internet qui plafone à 7K/sec alors que j'ai l'ADSL à 8Mo. De plus, au bout de 10min de travail un message d'erreur apparait me disant de sauvegarder le travail en cours car le PC va redémarrer dans 1min. Mon antivirus BitDefender mis à jour journellement me dit que je suis infecté avec BehavesLike:Win32.IRC-Backdoor. Voici le rapport de BD:C:\WINNT\system32\.exe	Infectés avec BehavesLike:Win32.IRC-BackdoorC:\WINNT\system32\.exe	Désinfection impossibleC:\WINNT\system32\.exe	DéplacéC:\WINNT\system32\ssl.exe	Infectés avec BehavesLike:Win32.IRC-BackdoorC:\WINNT\system32\ssl.exe	Désinfection impossibleC:\WINNT\system32\ssl.exe	DéplacéEn cherchant sur ce forum, j'ai vu un pb similaire sur lequel vous avez déjà planché: http://www.commentcamarche.net/forum/affich-1743439?page=1#Je m'en suis donc inspiré et j'ai testé ces 2 fichiers sur http://virusscan.jotti.org et voici les resultats:File:  ssl.exe  Status:  INFECTED/MALWARE  Packers detected:  PE_PATCH, MEWAntiVir  Found Worm/IRCBot.EX  ArcaVir  Found Trojan.Ircbot.Ex  Avast  Found nothing AVG Antivirus  Found IRC/BackDoor.SdBot.HLV  BitDefender  Found BehavesLike:Win32.IRC-Backdoor (probable variant)  ClamAV  Found nothing Dr.Web  Found BackDoor.IRC.Sdbot.126  F-Prot Antivirus  Found nothing Fortinet  Found W32/IRCBot.EX-bdr  Kaspersky Anti-Virus  Found Backdoor.Win32.IRCBot.ex  NOD32  Found Win32/IRCBot.OO  Norman Virus Control  Found W32/IRCBot.BU  UNA  Found nothing VBA32  Found Backdoor.Win32.IRCBot.exFile:  .exe  Status:  INFECTED/MALWARE  MD5  38b3ca593642abdf5a1cfe9183040ca6  Packers detected:  PE_PATCH, MEW Scanner results  AntiVir  Found Worm/IRCBot.EX  ArcaVir  Found Trojan.Ircbot.Ex  Avast  Found nothing AVG Antivirus  Found IRC/BackDoor.SdBot.HLV  BitDefender  Found BehavesLike:Win32.IRC-Backdoor (probable variant)  ClamAV  Found nothing Dr.Web  Found BackDoor.IRC.Sdbot.126  F-Prot Antivirus  Found nothing Fortinet  Found W32/IRCBot.EX-bdr  Kaspersky Anti-Virus  Found Backdoor.Win32.IRCBot.ex  NOD32  Found Win32/IRCBot.OO  Norman Virus Control  Found W32/IRCBot.BU  UNA  Found nothing VBA32  Found Backdoor.Win32.IRCBot.exPour le premier virus .exe, je n'ai rien trouvéPour le deuxième ssl.exe, j'ai fait un log hijackthis et j'ai viré O23 - Service: Microsoft SSL (ssl) - Unknown owner - C:\WINNT\system32\ssl.exe en mode sans échec comme vous l'expliquiez suivi de: Dans le menu Demarrer>Executer >tape: Services.msc recherche le service avec cette orthographe exacte: Microsoft SSL Double clic dessus (ssl) et clic sur arreter puis dans type de demarrage selectionne désactivé Puis j'ai supprimé le fichier C:\WINNT\system32\ssl.exe et vidé la poubelleCependant le pb persiste et voici mon log hijackthis après cette manip:Logfile of HijackThis v1.99.1Scan saved at 20:45:26, on 23/08/2005Platform: Windows 2000 SP4 (WinNT 5.00.2195)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINNT\System32\smss.exeC:\WINNT\system32\winlogon.exeC:\WINNT\system32\services.exeC:\WINNT\system32\lsass.exeC:\WINNT\system32\svchost.exeC:\WINNT\system32\spoolsv.exeC:\WINNT\System32\svchost.exeC:\PROGRA~1\Iomega\System32\AppServices.exeC:\WINNT\system32egsvc.exeC:\WINNT\system32\MSTask.exeC:\WINNT\system32\stisvc.exeC:\WINNT\System32\WBEM\WinMgmt.exeC:\WINNT\system32\svchost.exeC:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exeC:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exeC:\Program Files\Softwin\BitDefender8\vsserv.exeC:\WINNT\Explorer.EXEC:\Program Files\Synaptics\SynTP\SynTPLpr.exeC:\Program Files\Synaptics\SynTP\SynTPEnh.exeC:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exeC:\Program Files\Softwin\BitDefender8\bdnagent.exeC:\Program Files\QuickTime\qttask.exeC:\Program Files\Iomega HotBurn Pro\Autolaunch.exeC:\Program Files\iTunes\iTunesHelper.exeC:\Program Files\Microsoft ActiveSync\WCESCOMM.EXEC:\Program Files\Nikon\NkView6\NkvMon.exeC:\Program Files\iPod\bin\iPodService.exeC:\Program Files\Fichiers communs\Sonic Shared\cinetray.exeC:\Documents and Settings\Administrateur\Bureau\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://proxy-eu.cropscience.aventis.com/config/proxy-fr.pacR1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = internet:81R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocxO2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - C:\Program Files\Microsoft Money\System\mnyviewer.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocxO4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logonO4 - HKLM\..\Run: [LoadQM] loadqm.exeO4 - HKLM\..\Run: [MoneyStartUp10.0] "C:\Program Files\Microsoft Money\System\Activation.exe"O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exeO4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exeO4 - HKLM\..\Run: [adiras] adiras.exeO4 - HKLM\..\Run: [Micosoft Loggen] qxaw.exeO4 - HKLM\..\Run: [BDMCon] C:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exeO4 - HKLM\..\Run: [BDNewsAgent] C:\Program Files\Softwin\BitDefender8\bdnagent.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [Drag'n'Drop_Autolaunch] "C:\Program Files\Iomega HotBurn Pro\Autolaunch.exe"O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"O4 - HKLM\..\RunServices: [DFX Config] winlogin.exeO4 - HKLM\..\RunServices: [Kernel_check] wmiprvse.exeO4 - HKLM\..\RunServices: [REMOVE ME] wrtr.exeO4 - HKCU\..\Run: [REMOVE ME] wrtr.exeO4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXEO4 - Global Startup: NkvMon.exe.lnk = C:\Program Files\Nikon\NkView6\NkvMon.exeO4 - Global Startup: Sonic CinePlayer Quick Launch.lnk = C:\Program Files\Fichiers communs\Sonic Shared\cinetray.exeO9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dllO9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dllO9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dllO9 - Extra button: MoneySide - {E023F504-0C5A-4750-A1E7-A9046DEA8A21} - C:\Program Files\Microsoft Money\System\mnyviewer.dllO12 - Plugin for .pdf: C:\Program Files\Internet Explorer\PLUGINS
ppdf32.dllO16 - DPF: {1E2941E3-8E63-11D4-9D5A-00902742D6E0} (iNotes Class) - https://mymail.bayer.com/static/iNotesCheck.cabO16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cabO23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exeO23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exeO23 - Service: Iomega App Services - Iomega Corporation - C:\PROGRA~1\Iomega\System32\AppServices.exeO23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exeO23 - Service: BitDefender Virus Shield (VSSERV) - SOFTWIN S.R.L. - C:\Program Files\Softwin\BitDefender8\vsserv.exeO23 - Service: BitDefender Communicator (XCOMM) - Softwin - C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exeJ'espère que vous allez pouvoir m'aider car je suis à la rue grave...Merci

jean38 · Answer

et bien bon debut mais reste plein de choses.
une remarque. quand tu fix qqchose dans hijack, n'oublie pas de le supprimer ensuite du disque sinon, il n'apparait plus mais reste present dans ta machine (le fix ne supprime pas necessairement).

ceci dit, voilà ce que tu vas faire:

A/ si tu ne les as pas, telecharge:

Ad-Aware SE 1.06
http://www.lavasoftusa.com/software/adaware/
Spybot S&D 1.4
http://www.safer-networking.org/fr/index.html
-aide en image:(merci a Balltrap34)
http://pageperso.aol.fr/Balltrap34/demo%20spybot.htm

puis Clean Up 40 :
http://pageperso.aol.fr/balltrap34/CleanUp40.exe
-aide en image:(merci a Balltrap34)
http://pageperso.aol.fr/balltrap34/democleanup.htm
ne les utilise pas tout de suite

idem si tu ne l’as pas A2 free sur http://www.emsisoft.net/fr/software/download/

met à jour spybot, ad aware et a2 free sur internet (tu trouves l’option dans les menus) mais ne lance pas les scan.

1) clic droit sur poste de travail
propriété
restauration systeme
coche desactivé puis appliquer

2) demarrer
panneau de configuration
outil
option des dossiers
affichage,
coche afficher dossier cachés
decoche : masquer extension des fichiers dont le type est connu
masquer les fichiers protégés du systeme d'exploitation.

3) demarre en mode sans echec.
Soit tu tapotte sur la touche F8 alancement de Windows et tu choisi sans echec (pas d’inquiétude pour l’aspect de l’ecran)

4) lance hijack, ferme le bloc note et coche les cases devant les lignes, à la fin valide à l’aide du bouton fix checked:

O4 - HKLM\..\Run: [Micosoft Loggen] qxaw.exe

O4 - HKLM\..\RunServices: [DFX Config] winlogin.exe

O4 - HKLM\..\RunServices: [Kernel_check] wmiprvse.exe

O4 - HKLM\..\RunServices: [REMOVE ME] wrtr.exe

O4 - HKCU\..\Run: [REMOVE ME] wrtr.exe

5) supprime les fichiers

wrtr.exe
wmiprvse.exe
winlogin.exe
qxaw.exe

les adresses ne sont peut etre plus bonnes, verifie par recherche si tu ne les trouves pas là.

C:\WINNT\system32\.exe
C:\WINNT\system32\ssl.exe

execute cleanup40.exe

tu relances tes scan ad aware
puis spy boot
puis a2 free
et vire tout ce qu'ils trouvent (c'est un peu long mais tu devrais t'en sortir).

vide ta poubelle et redemarre en mode normal, c'est à dire avant de redemarrer, tu refais les manip de départ (1) et (2) mais en recochant ... pour retrouver la config de départ.

redemarrerefait un log hijack.

A+

Jean

jct1210 · Answer

Bonjour, voila c'est fait... Le problème semble avoir disparu. Voici mon log hijack nouvelle mouture:Logfile of HijackThis v1.99.1Scan saved at 00:12:25, on 25/08/2005Platform: Windows 2000 SP4 (WinNT 5.00.2195)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINNT\System32\smss.exeC:\WINNT\system32\csrss.exeC:\WINNT\system32\winlogon.exeC:\WINNT\system32\services.exeC:\WINNT\system32\lsass.exeC:\WINNT\system32\svchost.exeC:\WINNT\system32\spoolsv.exeC:\WINNT\System32\svchost.exeC:\PROGRA~1\Iomega\System32\AppServices.exeC:\WINNT\system32egsvc.exeC:\WINNT\system32\MSTask.exeC:\WINNT\system32\stisvc.exeC:\WINNT\system32\ZoneLabs\vsmon.exeC:\WINNT\System32\WBEM\WinMgmt.exeC:\WINNT\system32\svchost.exeC:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exeC:\WINNT\Explorer.EXEC:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exeC:\Program Files\Softwin\BitDefender8\vsserv.exeC:\Program Files\Synaptics\SynTP\SynTPLpr.exeC:\Program Files\Synaptics\SynTP\SynTPEnh.exeC:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exeC:\Program Files\Softwin\BitDefender8\bdnagent.exeC:\Program Files\QuickTime\qttask.exeC:\Program Files\Iomega HotBurn Pro\Autolaunch.exeC:\Program Files\iTunes\iTunesHelper.exeC:\Program Files\Zone Labs\ZoneAlarm\zlclient.exeC:\Program Files\Microsoft ActiveSync\WCESCOMM.EXEC:\Program Files\a2\a2guard.exeC:\Program Files\iPod\bin\iPodService.exeC:\Program Files\Nikon\NkView6\NkvMon.exeC:\WINNT\System32\svchost.exeC:\Documents and Settings\Administrateur\Bureau\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://proxy-eu.cropscience.aventis.com/config/proxy-fr.pacR1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = internet:81R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocxO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dllO2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - C:\Program Files\Microsoft Money\System\mnyviewer.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocxO4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logonO4 - HKLM\..\Run: [LoadQM] loadqm.exeO4 - HKLM\..\Run: [MoneyStartUp10.0] "C:\Program Files\Microsoft Money\System\Activation.exe"O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exeO4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exeO4 - HKLM\..\Run: [adiras] adiras.exeO4 - HKLM\..\Run: [BDMCon] C:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exeO4 - HKLM\..\Run: [BDNewsAgent] C:\Program Files\Softwin\BitDefender8\bdnagent.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [Drag'n'Drop_Autolaunch] "C:\Program Files\Iomega HotBurn Pro\Autolaunch.exe"O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exeO4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXEO9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dllO9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dllO9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dllO9 - Extra button: MoneySide - {E023F504-0C5A-4750-A1E7-A9046DEA8A21} - C:\Program Files\Microsoft Money\System\mnyviewer.dllO12 - Plugin for .pdf: C:\Program Files\Internet Explorer\PLUGINS
ppdf32.dllO16 - DPF: {1E2941E3-8E63-11D4-9D5A-00902742D6E0} (iNotes Class) - https://mymail.bayer.com/static/iNotesCheck.cabO16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1124910169698O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cabO23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exeO23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exeO23 - Service: Iomega App Services - Iomega Corporation - C:\PROGRA~1\Iomega\System32\AppServices.exeO23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exeO23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINNT\system32\ZoneLabs\vsmon.exeO23 - Service: BitDefender Virus Shield (VSSERV) - SOFTWIN S.R.L. - C:\Program Files\Softwin\BitDefender8\vsserv.exeO23 - Service: BitDefender Communicator (XCOMM) - Softwin - C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exeJ'ai une question sur la façon de gérer toutes ces protections sur mon pc. Actuellement, j'ai bitdefender (antivirus + firewall), a2, spybot et adaware plus le firewall de windows (je ne sais pas si il y en a un?) et zone alarm. Est ce que tous ces outils sont compatibles ? Ne faudrait-il pas en desactiver certain pour éviter qu'ils ne se marchent dessus ? En plus, ils se lancent tous au démarrage et je te dis pas comment ça rame... Le problème c'est que je ne sais pas comment faire!De plus, je trouve que mon pc démarre vraiment lentement car il doit lancer un tas de truc dont certain sont peut-être inutile. Comment faire pour gérer ce qui se lance au demarrage ? J'ai win2000pro et je n'arrive pas à activer la fonction msconfig. J'ai fait un cleanUp.Merci pour votre aide, A+

jesseire · Answer

salut !!
j utilise moi aussi bit defender et j ai la même alerte mais sur des fichiers se trouvant dans local settings/ temp
BehavesLike:Win32.IRC-Backdoor
ces fichiers portent tous le même nom du type : *exinjs* ( les * sont des chiffres)
malgré les nombreux outils utilisés je n arrive pas a m en debarrasser !!!
est ce que les supprimer en mode en echec pourrait etre une solution???
se sont des exe... qq un connait il cette forme de fichiers???

please help ca fait 3 jours que je lance des scans divers et variés et que rien ne change !!!

PS : ne jamais preter son PC !!!! JAMAIS !!!!! :-S

BehavesLike:Win32.IRC-Backdoor

3 réponses

Newsletters