Apparament des virus traine ! Fermé

Question

Bonjour, je soupçonne certains fichiers d'être des virus car à mon passage dans MSCONFIG j'ai remarqué l'apparition d'application au startup nouveau et je les soupçonne d'être des virus car je me suis fait piratée mon adresse de messagerie .... : 

- update.exe situé dans C:\WINDOWS\system32\update.exe
- update.exe situé dans C:\DOCUME~1\John\LOCALS~1\Temp\update.exe
- .exe situé dans C:\WINDOWS\.exe
- setup.exe situé dans C:\WINDOWS\setup.exe
- taskmsgre situé dans C:\WINDOWS	askmsgre
- audio.exe situé dans C:\DOCUME~1\John\LOCALS~1\Temp\audio.exe


Voila un rapport RSIT pour peut-être mieux renseigner sur mon cas :

LOG.txt : http://www.cijoint.fr/cj201005/cijYjTzXav.txt
INFO.txt : http://www.cijoint.fr/cj201005/cijqkxT3Vi.txt

En attente de vos conseils.
Johna14.

gen-hackman · Answer

salut :

&#9654 Télécharge UsbFix

 (!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir

&#9654 Double clic sur le raccourci UsbFix présent sur ton bureau .

&#9654 Au menu principal choisis l'option " F " pour français et tape sur [entrée] . 

&#9654 Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée] 

&#9654 Laisse travailler l'outil.

&#9654 Ensuite post le rapport UsbFix.txt qui apparaitra.

Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

 Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
          Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
          Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

Johna14 · Answer

############################## | UsbFix V6.114 |

User : John () # John-574E5456F
Update on 17/05/2010 by El Desaparecido , C_XX & Chimay8
Start at: 12:41:29 | 20/05/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

AMD Athlon(tm) 64 X2 Dual Core Processor 3800+
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Enabled
AV : AntiVir Desktop 9.0.1.32 [ (!) Disabled | Updated ]
FW : NVIDIA Firewall[ (!) Disabled ]1.0

C:\ -> Disque fixe local # 228 Go (176,78 Go free) # NTFS
D:\ -> Disque fixe local # 465,65 Go (172,83 Go free) [VERBATIM] # FAT32
E:\ -> Disque amovible
F:\ -> Disque amovible
G:\ -> Disque amovible
H:\ -> Disque amovible
I:\ -> Disque CD-ROM

################## | Elements infectieux |

C:\WINDOWS\System32\autorun.inf  
C:\DOCUME~1\John\LOCALS~1\Temp\Update.exe  

################## | Registre |

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] "MSConfig"  

################## | Mountpoints2 |


################## | Vaccin |

# C:\autorun.MSNFix -> Dossier créé par UsbFix (El Desaparecido). 
# D:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 

################## | ! Fin du rapport # UsbFix V6.114 ! |

gen-hackman · Answer

▶ Télécharge Dr Web CureIt sur ton Bureau : ▶ redemarre en mode sans échec ▶- Double clique (clic droit "en tant qu'admin" sous Vista) et ensuite clique sur ; ▶- Clique à l'invite de l'analyse rapide. S'il trouve des processus infectés alors clique le bouton . Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction" : Quitte en cliquant le "X". ▶- Lorsque le scan rapide est terminé, clique sur le menu puis ; Choisis l'onglet , et décoche . Clique ensuite sur . ▶- De retour à la fenêtre principale : clique pour activer ▶- Clique le bouton avec flèche verte sur la droite, et le scan débutera. ▶- Clique pour tout à l'invite "Désinfecter ?" lorsqu'un fichier est détecté, et ensuite clique "Désinfecter". ▶- Lorsque le scan sera complété, regarde si tu peux cliquer sur l' icône, adjacente aux fichiers détectés (plusieurs feuilles l'une sur l'autre). Si oui, alors clique dessus et ensuite clique sur l'icône , au dessous, et choisis . ▶- Du menu principal de l'outil, au haut à gauche, clique sur le menu et choisis . Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv ▶-pour le rapport tu l enregistres sur ton bureau , tu clic droit dessus /envoyer vers / dossiers compresses ensuite : tu m'envoies l'archive comme ceci : clique sur ce lien : http://www.cijoint.fr/ ▶ Clique sur Parcourir et cherche le fichier ci-dessus. ▶ Clique sur Ouvrir. ▶ Clique sur "Cliquez ici pour déposer le fichier". Un lien de cette forme : http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt est ajouté dans la page. ▶ Copie ce lien dans ta réponse. ▶- Ferme Dr.Web Cureit ▶- Redémarre ton ordi (important car certains fichiers peuvent être déplacés/réparés au redémarrage).

Johna14 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201005/cij62b3eDO.zip

gen-hackman · Answer

fais l option 2 d'usbfix

Johna14 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201005/cijHUFncGk.txt

gen-hackman · Answer

hello

DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!!(car il est detecté a tort comme infection)

&#9654 Télécharge List_Kill'em

 et enregistre le sur ton bureau 

double clique ( clic droit "executer en tant qu'administrateur" pour Vista/7 ) sur le raccourci sur ton bureau pour lancer l'installation

Laisse coché :

&#9830 Executer Shortcut
&#9830 Executer List_Kill'em

une fois terminée , clic sur "terminer" et le programme se lancera seul

choisis l'option Search

&#9654 laisse travailler l'outil

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal , le programme n'est pas bloqué.

&#9654 Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

Johna14 · Answer

Je me suis permis ee faire une analyse MBAM durant l'attente de ta réponse : http://www.cijoint.fr/cjlink.php?file=cj201005/cijJpYLkMd.txt Et voici le rapport List_Killem : http://www.cijoint.fr/cjlink.php?file=cj201005/cijEuJefSS.txt Dans le rapport List Killem, les virus du startup ne sont pas visible car je l'ai est décoché de msnconfig en voici l'image : http://img203.imageshack.us/i/sanstitre3ml.jpg/

gen-hackman · Answer

bon ben ecoute si tu prends toutes les initiatives pourquoi demander de l aide ?

gen-hackman · Answer

c'est exactement ce dont je te parle avec msconfig ! si tu vires les clés de demarrage pas evident pour voir d'ou partent les infections et comment les traiter !! /!\ ATTENTION SUIVRE SCRUPULEUSEMENT A LA LETTRE CES INDICATIONS/!\ __________________________________________________________ >Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.< >>>>>>>Ne pas utiliser en dehors de ce cas de figure : dangereux!<<<<<<<< ===================================================== ▶ Surtout , pense à l'enregistrement à renommer Combofix en "ton prenom.exe" avant qu'il soit enregistré sur ton disque dur ▶ On va utiliser ComboFix.exe. Rends toi sur cette page web pour obtenir les liens de téléchargement, ainsi que des instructions pour exécuter l'outil: https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix Avant d'utiliser ComboFix : ________________________________________________________ >> referme les fenêtres de tous les programmes en cours. >> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, >>la protection en temps réel de ton Antivirus et de tes Antispywares, >>qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. °°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°° ▶ !!!!!NE TOUCHE A RIEN PENDANT LE TRAVAIL DE COMBOFIX (SOURIS/CLAVIER.....)!!!!! ▶ n'oublie pas de reactiver la garde de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. ▶▶ Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

Johna14 · Answer

Je les réactive dans le msconfig ?

gen-hackman · Answer

non

Johna14 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201005/cijVsWRZzv.txt

gen-hackman · Answer

__________________________________________________ =>/!\Le script qui suit a été écrit spécialement cet ordinateur/!\ <= =>il est fort déconseillé de le transposer sur un autre ordinateur !<= ---------------------------------------------------------------------------- Toujours avec toutes les protections désactivées, fais ceci : ▶ Ouvre le bloc-notes (Menu démarrer --> programmes --> accessoires --> bloc-notes) ▶ Copie/colle dans le bloc-notes ce qui entre les lignes ci dessous (sans les lignes) : ---------------------------------------------------------- KillAll:: File:: c:\windows\system32\Sarkophage.exe c:\windows\system32\drivers\backup c:\windows\system32\drivers emp.txt c:\windows\system32\drivers\MD5.txt c:\windows\AWuninstall.exe Folder:: c:\windows\system32\drivers\incl c:\documents and settings\All Users\Application Data\Sys32 c:\documents and settings\John\Application Data\Zaxwerks c:\documents and settings\All Users\Application Data\Public System Files ------------------------------------------------------------------ ▶ Enregistre ce fichier sur ton Bureau (et pas ailleurs !) sous le nom CFScript.txt ▶ Quitte le Bloc Notes ▶ Fais un glisser/déposer de ce fichier CFScript sur le fichier combofix ▶ Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal ! Ne touche à rien tant que le scan n'est pas terminé. ▶ Une fois le scan achevé, un rapport va s'afficher: poste son contenu. ▶ Si le fichier ne s'ouvre pas, il se trouve ici => C:\ComboFix.txt

Johna14 · Answer

Je viens de le faire deux fois en appliquant les tutoriels mais j'ai tout de même eu 2 fois un message d'erreur bleu avec écrit :

IRQL_NOT_LESS_OR_EQUAL

Stop : 0x0000000A (0x0000FDF, 0x00000002, 0x00000001, 0x806E6A8E)

D'autres solutions

Johna14 · Answer

dans le fichier Qoobox de combofix j'ai :

:: ComboFix-quarantined-files.txt ::
*2010-05-21 19:54:47 . 2010-05-21 19:54:47              492 ----a-w-  C:\Qoobox\Quarantine\Registry_backups\AddRemove-Installateur Dof Foux.reg.dat
2010-05-21 19:54:47 . 2010-05-21 19:54:47              458 ----a-w-  C:\Qoobox\Quarantine\Registry_backups\AddRemove-Infinite paradize.reg.dat
2010-05-21 19:54:47 . 2010-05-21 19:54:47            2,172 ----a-w-  C:\Qoobox\Quarantine\Registry_backups\AddRemove-IconTweaker.reg.dat
2010-05-21 19:54:47 . 2010-05-21 19:54:47              460 ----a-w-  C:\Qoobox\Quarantine\Registry_backups\AddRemove-ExeIcon.reg.dat
2010-05-21 19:54:27 . 2010-05-21 19:54:27              190 ----a-w-  C:\Qoobox\Quarantine\Registry_backups\ActiveSetup-{E3B396BE-BA33-F97A-630C-0C888AABD7E4}.reg.dat
2010-05-21 19:54:27 . 2010-05-21 19:54:27              235 ----a-w-  C:\Qoobox\Quarantine\Registry_backups\ActiveSetup-{D471108A-4F14-147F-E68F-43BB91DEDCCF}.reg.dat
2010-05-21 19:54:25 . 2010-05-21 19:54:25              614 ----a-w-  C:\Qoobox\Quarantine\Registry_backups\MSConfigStartUp-Windows Audio Service.reg.dat
2010-05-21 19:54:25 . 2010-05-21 19:54:25              558 ----a-w-  C:\Qoobox\Quarantine\Registry_backups\MSConfigStartUp-taskmsgre.reg.dat
2010-05-21 19:54:24 . 2010-05-21 19:54:24              528 ----a-w-  C:\Qoobox\Quarantine\Registry_backups\MSConfigStartUp-Media Center.reg.dat
2010-05-21 19:54:24 . 2010-05-21 19:54:24              728 ----a-w-  C:\Qoobox\Quarantine\Registry_backups\MSConfigStartUp-GUI Ryan.reg.dat
2010-05-21 19:54:24 . 2010-05-21 19:54:24              590 ----a-w-  C:\Qoobox\Quarantine\Registry_backups\MSConfigStartUp-Firefox.reg.dat
2010-05-21 19:54:24 . 2010-05-21 19:54:24              670 ----a-w-  C:\Qoobox\Quarantine\Registry_backups\MSConfigStartUp-DriverMax_RESTART.reg.dat
2010-05-21 19:54:24 . 2010-05-21 19:54:24              650 ----a-w-  C:\Qoobox\Quarantine\Registry_backups\MSConfigStartUp-DriverMax.reg.dat
2010-05-21 19:45:11 . 2010-05-21 19:45:11            1,028 ----a-w-  C:\Qoobox\Quarantine\Registry_backups\Service_cahtbpy.reg.dat
2010-05-21 19:44:13 . 2010-05-21 19:44:13           13,574 ----a-w-  C:\Qoobox\Quarantine\Registry_backups	cpip.reg
2010-05-21 19:24:08 . 2010-05-21 19:24:08               51 ----a-w-  C:\Qoobox\Quarantine\catchme.log
2010-05-21 15:17:47 . 2010-05-21 15:17:47           54,016 ----a-w-  C:\Qoobox\Quarantine\C\WINDOWS\system32\drivers\ewoytytj.sys.vir
2010-05-08 10:38:03 . 2010-05-08 10:38:03                3 ----a-w-  C:\Qoobox\Quarantine\C\WINDOWS\system32\drivers\selectnet.txt.vir
2010-04-30 22:39:44 . 2010-04-30 22:39:44           35,368 ----a-w-  C:\Qoobox\Quarantine\C\Documents and Settings\Navid\Application Data\SQLite3.dll.vir
2010-04-23 18:05:08 . 2010-05-13 23:11:58            5,120 ----a-w-  C:\Qoobox\Quarantine\C\WINDOWS\system32\Thumbs.db.vir
2010-04-23 18:05:05 . 2010-04-23 18:05:05            4,096 ----a-w-  C:\Qoobox\Quarantine\C\Thumbs.db.vir
2010-04-14 19:40:16 . 2010-04-14 19:40:16               11 ----a-w-  C:\Qoobox\Quarantine\C\WINDOWS\eithirtyfour.dll.vir
2010-04-14 19:40:16 . 2010-04-14 19:40:16               11 ----a-w-  C:\Qoobox\Quarantine\C\WINDOWS\v34peformatei.dll.vir
2007-04-23 18:11:18 . 2007-04-23 18:11:18          287,256 ----a-w-  C:\Qoobox\Quarantine\C\WINDOWS\system32\AbaleZip.dll.vir


::CFScript_used_2010-05-21_23.28.26.txt::

KillAll::

File::
c:\windows\system32\Sarkophage.exe
c:\windows\system32\drivers\backup
c:\windows\system32\drivers	emp.txt
c:\windows\system32\drivers\MD5.txt
c:\windows\AWuninstall.exe

Folder::
c:\windows\system32\drivers\incl
c:\documents and settings\All Users\Application Data\Sys32
c:\documents and settings\John\Application Data\Zaxwerks
c:\documents and settings\All Users\Application Data\Public System Files

gen-hackman · Answer

&#9654 Télécharge : Gmer (by Przemyslaw Gmerek) et enregistre-le sur ton bureau

Desactive toutes tes protections le temps du scan de gMer

Pour XP => double clique sur gmer.exe
Pour Vista et 7 => clique droit "executer en tant que...."

&#9654 Dezippe gmer ,cliques sur l'onglet rootkit,lances le scan,des lignes rouges vont apparaitre.

&#9654 Les lignes rouges indiquent la presence d'un rootkit.Postes moi le rapport gmer (cliques sur copy,puis vas dans demarrer ,puis ouvres le bloc note,vas dans edition et cliques sur coller,le rapport gmer va apparaitre,postes moi le)

Ensuite

&#9654 sur les lignes rouge:

&#9654 Services:cliques droit delete service
&#9654 Process:cliques droit kill process
&#9654 Adl ,file:cliques droit delete files

Johna14 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201005/cijKeAFlKW.txt

gen-hackman · Answer

salut tu devrais faire verifier ton materiel

Johna14 · Answer

Comment ça ? Mon pc est de base sauf mes barrettes de ram dont j'ai fait un memtest, pour voir la compatibilité.

gen-hackman · Answer

ce sont exactement les deux memes ?

Johna14 · Answer

Bah javais 2 de 512 avant, j'ai enlever les deux et mis deux barrette de 2go identiques (de la même série, et de la même fréquence).

gen-hackman · Answer

trop haut....xp commence à deconner à partir de 3.2 Go

il ne supporte pas plus de RAM

Johna14 · Answer

Ok je vais les changer alors mais juste les virus cité au début ne sont plus présent ?

gen-hackman · Answer

attends c'est quoi comme odi que tu as un ordi de grande surface ?

Johna14 · Answer

acer aspire e360-ub7v : http://www.commentcamarche.net/...

gen-hackman · Answer

ca ne repond pas à ma question lol ^^

Johna14 · Answer

Un ordinateur acheté à Surcouf en grande surface !

gen-hackman · Answer

alors il ne tient pas 2 Go de RAM par slot c'est pour ca que ca deconne aussi

Johna14 · Answer

Bah c'est ce que j'ai fait j'avais 4 slots j'ai vu que ça déconnais qu'en je mettais les 4 ça me faisait un bip bip bip après j'ai test avec les 2go de ram sur deux slots de ram et la ça a focntioné

gen-hackman · Answer

pas longtemps......

Johna14 · Answer

?

Apparament des virus traine !

32 réponses

Discussions similaires