Suppression Antispyware soft Résolu/Fermé

Question

Bonjour, 

J'ai été infecté par un virus qui a installé Antispyware soft sur mon pc.

En suivant les indications préconisées sur le forum, j'ai procédé à l'exécution de Malwarebytes' Anti-Malware

A la fin de l'exécution, l'analyse suivante est générée :

#########################################

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4118

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

19/05/2010 22:54:32
mbam-log-2010-05-19 (22-54-32).txt

Type d'examen: Examen complet (C:\|Q:\|)
Elément(s) analysé(s): 229385
Temps écoulé: 1 heure(s), 4 minute(s), 31 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 6
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 9

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\Software\M5T8QL3YW3 (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\avsuite (Rogue.AntivirusSuite) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\XML (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Handle (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\avsoft (Trojan.Fraudpack) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\QZAIB7KITK (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\regedit32 (Trojan.Agent) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Users\TEST\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\7NVAFHM1\wzdcjrp[1].htm (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Users\TEST\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\9C6MHWST\hypwhc[1].htm (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Users\TEST\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\9C6MHWST\rvqxfn[1].htm (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Users\TEST\AppData\Local\Temp\xwreasmnco.exe (Rogue.APManager.Gen) -> Quarantined and deleted successfully.
C:\Users\TEST\AppData\Local\Temp\~TMCCE5.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Users\TEST\AppData\Local\Temp\awosrxnecm.exe (Rootkit.Dropper) -> Quarantined and deleted successfully.
C:\Users\TEST\AppData\Local\Temp\sshnas21.dll (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Users\TEST\oashdihasidhasuidhiasdhiashdiuasdhasd (Malware.Trace) -> Quarantined and deleted successfully.
C:\Users\TEST\AppData\Local\Temp\imiyus.exe (Trojan.Agent) -> Delete on reboot.


###########################################

En exécutant Bitdefender à la suite de l'analyse, j'ai encore le message d'erreur suivant :
C:\Windows\system32\ivireg.ivr - could not be scanned


Found 1 infected file!
----------------------

C:\Users\TEST\AppData\Local\Temp\khvcol.exe --> Gen:Win32.Malware.bmGfaKEsU3n
  --> HKLM\Software\Microsoft\Windows\CurrentVersion\Run\"16302"



Je vous remercie d'avance pour votre aide.

Configuration: Windows 7 / Firefox 3.6.3

sherred · Answer

redemarre en mode sans echec
Pour démarrer en mode sans échec 

>>1--demarre ou redémarre l'ordinateur.  L'affichage affichent la progression du BIOS, 

>>2--A la fin du chargement du BIOS, tapotte sur la touche F8 de ton clavier.  jusqu'à ce que le menu des options avancées de Windows apparaisse. Si tu appuie sur la touche F8 trop tôt, il est possible que certains ordinateurs affichent le message "erreur clavier". Dans ce cas  redémarre l'ordinateur et essaye de nouveau. 

>>4--En utilisant les flèches de ton clavier, sélectionne « Mode sans échec »  dans le menu puis appuie sur Entrée.

puis refait un scan   en mode rapide

Martin29 · Answer

Voici le rapport d'analyse à la suite du scan rapide en mode sans echec :

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4118

Windows 6.1.7600 (Safe Mode)
Internet Explorer 8.0.7600.16385

20/05/2010 14:29:36
mbam-log-2010-05-20 (14-29-36).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 122291
Temps écoulé: 3 minute(s), 49 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)



------------------------------------------------------

Désormais Bitdefender ne renvoie que le message d'erreur suivant :
C:\Windows\system32\ivireg.ivr - could not be scanned

sherred · Answer

en mode normal
télécharge hijackthis http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe 
>> enregistre la cible sous .... "le bureau" renomme HJTInstall.exe en par exemple HJT.exe 

>> Fais un double-clic sur "HJT.exe" afin de lancer l'installation 

>> Clique sur Install ensuite sur "I Accept" 

>> Clique sur" Do a scan system and save log file" 

>> Le bloc-notes s'ouvrira, fais un copier-coller de tout son contenu ici dans ta prochaine réponse

http://pagesperso-orange.fr/rginformatique/section%20virus/demohijack.htm

Martin29 · Answer

Voici le rapport HJT :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:32:38, on 20/05/2010
Platform: Unknown Windows (WinNT 6.01.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16385)
Boot mode: Normal

Running processes:
C:\Windows\system32	askhost.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Common Files\Lenovo\Scheduler\scheduler_proxy.exe
C:\Program Files\ThinkPad\Bluetooth Software\BTTray.exe
C:\Program Files\Digital Line Detect\DLG.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\Windows\system32	askeng.exe
C:\Windows\System32\jusched.exe
C:\Windows\system32\NOTEPAD.EXE
C:\Windows\system32\wuauclt.exe
C:\Program Files\AVG\AVG9\avgui.exe
C:\Program Files\VMware\VMware Player\vmplayer.exe
C:\Program Files\VMware\VMware Player\vmware-vmx.exe
C:\Program Files\Microsoft Office\Office12\WINWORD.EXE
C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE
C:\Program Files\AVG\AVG9\avgcsrvx.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://lenovo.msn.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?cobrand=lenovo.msn.com&ocid=LENDHP&pc=LEN2
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:5555
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG9\avgssie.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Password Manager Browser Helper Object - {BF468356-BB7E-42D7-9F15-4F3B9BCFCED2} - C:\Program Files\Lenovo\Client Security Solution	vtpwm_ie_com.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C:\Program Files\Windows Live\Toolbar\wltcore.dll
O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:\Program Files\Windows Live\Toolbar\wltcore.dll
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVICE RÉSEAU')
O4 - Global Startup: Bluetooth.lnk = ?
O4 - Global Startup: Digital Line Detect.lnk = C:\Program Files\Digital Line Detect\DLG.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\Office12\EXCEL.EXE/3000
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\Office12\REFIEBAR.DLL
O9 - Extra button: @C:\Program Files\ThinkPad\Bluetooth Software\btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\ThinkPad\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @C:\Program Files\ThinkPad\Bluetooth Software\btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\ThinkPad\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {F4F55DC8-0B69-4DFE-BA94-CB677B88B2A3} - C:\Program Files\Lenovo\Client Security Solution	vtpwm_ie_com.dll
O9 - Extra 'Tools' menuitem: Lenovo Password Manager... - {F4F55DC8-0B69-4DFE-BA94-CB677B88B2A3} - C:\Program Files\Lenovo\Client Security Solution	vtpwm_ie_com.dll
O10 - Unknown file in Winsock LSP: c:\program files\vmware\vmware player\vsocklib.dll
O10 - Unknown file in Winsock LSP: c:\program files\vmware\vmware player\vsocklib.dll
O13 - Gopher Prefix: 
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG9\avgpp.dll
O20 - AppInit_DLLs: avgrsstx.dll
O23 - Service: AcPrfMgrSvc - Lenovo - C:\Program Files\Lenovo\Access Connections\AcPrfMgrSvc.exe
O23 - Service: AcSvc - Lenovo - C:\Program Files\Lenovo\Access Connections\AcSvc.exe
O23 - Service: AD Monitor (ADMonitor) - Unknown owner - C:\Windows\system32\ADMonitor.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: AuthenTec Fingerprint Service (ATService) - AuthenTec, Inc. - C:\Windows\system32\AtService.exe
O23 - Service: AVG Free WatchDog (avg9wd) - AVG Technologies CZ, s.r.o. - C:\Program Files\AVG\AVG9\avgwdsvc.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Program Files\ThinkPad\Bluetooth Software\btwdins.exe
O23 - Service: Data Transfer Service (dtsvc) - Unknown owner - C:\Windows\system32\DTS.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel(R) Corporation - C:\Program Files\Intel\WiFi\bin\EvtEng.exe
O23 - Service: ThinkPad PM Service (IBMPMSVC) - Lenovo - C:\Windows\system32\ibmpmsvc.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: IviRegMgr - InterVideo - C:\Program Files\Common Files\InterVideo\RegMgr\iviRegMgr.exe
O23 - Service: Lenovo Microphone Mute (LENOVO.MICMUTE) - Lenovo Group Limited - C:\Program Files\LENOVO\HOTKEY\MICMUTE.exe
O23 - Service: Power Manager DBC Service - Lenovo - C:\Program Files\ThinkPad\Utilities\PWMDBSVC.EXE
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel(R) Corporation - C:\Program Files\Common Files\Intel\WirelessCommon\RegSrvc.exe
O23 - Service: RoxMediaDB10 - Sonic Solutions - C:\Program Files\Common Files\Roxio Shared\10.0\SharedCOM\RoxMediaDB10.exe
O23 - Service: stllssvr - MicroVision Development, Inc. - C:\Program Files\Common Files\SureThing Shared\stllssvr.exe
O23 - Service: System Update (SUService) - Lenovo Group Limited - c:\Program Files\Lenovo\System Update\SUService.exe
O23 - Service: ThinkVantage Registry Monitor Service - Lenovo Group Limited - C:\Program Files\Common Files\Lenovo	vt_reg_monitor_svc.exe
O23 - Service: ThinkPad HDD APS Logging Service (TPHDEXLGSVC) - Lenovo. - C:\Windows\System32\TPHDEXLG.exe
O23 - Service: Incrustation (TPHKSVC) - Lenovo Group Limited - C:\Program Files\LENOVO\HOTKEY\TPHKSVC.exe
O23 - Service: TVT Backup Service - Lenovo Group Limited - C:\Program Files\Lenovo\Rescue and Recoveryrservice.exe
O23 - Service: VMware Agent Service (ufad-ws60) - VMware, Inc. - C:\Program Files\VMware\VMware Player\vmware-ufad.exe
O23 - Service: VMware Authorization Service (VMAuthdService) - VMware, Inc. - C:\Program Files\VMware\VMware Player\vmware-authd.exe
O23 - Service: VMware DHCP Service (VMnetDHCP) - VMware, Inc. - C:\Windows\system32\vmnetdhcp.exe
O23 - Service: VMware USB Arbitration Service (VMUSBArbService) - VMware, Inc. - C:\Program Files\Common Files\VMware\USB\vmware-usbarbitrator.exe
O23 - Service: VMware NAT Service - VMware, Inc. - C:\Windows\system32\vmnat.exe

Martin29 · Answer

Merci pour votre réponse; voici le rapport généré à partir de a-squared :


Version - a-squared Free 4.5
Dernière mise à jour : 20/05/2010 16:16:09

Paramètres du balayage :

Type de balayage : Scan en Détail
Objets : Mémoire, Traces, Cookies, C:\, Q:\
Balayage dans les archives : Marche
Analyse heuristique : Arrêt
Balayage dans les ADS : Marche

Début du balayage :	20/05/2010 16:17:09

C:\Users\TEST\AppData\Roaming\Mozilla\Firefox\Profiles\imbzbaqe.default\cookies.sqlite:1274354509349001 	Objets détectés : Trace.TrackingCookie.ad.zanox.com!A2
C:\Users\TEST\AppData\Roaming\Mozilla\Firefox\Profiles\imbzbaqe.default\cookies.sqlite:1274354510759001 	Objets détectés : Trace.TrackingCookie.doubleclick.net!A2
C:\Users\TEST\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\58\1f62c23a-7a0cdcfb/vmain.class 	Objets détectés : Trojan.Java.Downloader.Q!IK
C:\Users\TEST\Documents\VMware\VM\Virtual Machines\Share\wsname.exe 	Objets détectés : Trojan-PWS.Win32.Delf!IK
C:\Users\TEST\Documents\VMware\VM - Copie\Virtual Machines\wsname.exe 	Objets détectés : Trojan-PWS.Win32.Delf!IK

Analysé

Fichiers : 	179795
Traces : 	578019
Cookies : 	153
Processus : 	75

Objets trouvés

Fichiers : 	3
Traces : 	0
Cookies : 	2
Processus : 	0
Clés de Registre : 	0

Fin du balayage :	20/05/2010 18:12:50
Temps de balayage :	1:55:41

C:\Users\TEST\Documents\VMware\VM\Virtual Machines\Share\wsname.exe	Mis en quarantaine Trojan-PWS.Win32.Delf!IK
C:\Users\TEST\Documents\VMware\VM - Copie\Virtual Machines\Share\wsname.exe	Mis en quarantaine Trojan-PWS.Win32.Delf!IK
C:\Users\TEST\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\58\1f62c23a-7a0cdcfb/vmain.class	Mis en quarantaine Trojan.Java.Downloader.Q!IK
C:\Users\TEST\AppData\Roaming\Mozilla\Firefox\Profiles\imbzbaqe.default\cookies.sqlite:1274354510759001	Mis en quarantaine Trace.TrackingCookie.doubleclick.net!A2
C:\Users\TEST\AppData\Roaming\Mozilla\Firefox\Profiles\imbzbaqe.default\cookies.sqlite:1274354509349001	Mis en quarantaine Trace.TrackingCookie.ad.zanox.com!A2

Mis en quarantaine

Fichiers : 	3
Traces : 	0
Cookies : 	2

Martin29 · Answer

Bonjour,

Tout a l'air de fonctionner correctement.
Seul le fichier suivant ne peut pas être scanné par Bitdefender
C:\Windows\system32\ivireg.ivr

Mais à part ça, aucune infection n'est détectée.


merci pour votre aide

Martin29 · Answer

Je ne pense pas ; c'est un fichier caché dans le dossier système 32.

sherred · Answer

tu peu essayer un truc
tu redemarre en sans echec
et tu deplace ce fichier sur ton bureau
tu en profite pour le renommer
et si tout tes programmes fonctionnent toujours tu pourra le delete

Martin29 · Answer

Ok tout fonctionne correctement après suppression du fichier

Merci beaucoup

Bonne soirée

sherred · Answer

:)

Suppression Antispyware soft

10 réponses

Discussions similaires