help virus virulent

Question

après avoir aujourd'hui fait une install toute neuve (suite à changement de carte mère) j'ai trouvée ma machine bien lentej'ai donc fait un coup de secuser qui m'a trouvé tout un tas de worm:WORM POEBOT.U (syst32/explorer.exe)WORM RBOT.BZO (syst32/gnbwfih.exe)WORM RBOT.GEN (syst32/scvhost.exe)WORM POEBOT.U (syst32/usvkf.exe)WORM RBOT.BZO (syst32/winabra.exe)bien entendu secuser est absolumlent incapable d'erradiquer ces wormj'ai bien tenté d'autres antivirus en ligne mais ils n'ont pas marché après lecture de plusieurs sur le forum j'ai fait un coup de hijackthisqui m' adonné çaLogfile of HijackThis v1.99.1Scan saved at 22:11:42, on 05/09/2005Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:D:\WINDOWS\System32\smss.exeD:\WINDOWS\system32\csrss.exeD:\WINDOWS\system32\winlogon.exeD:\WINDOWS\system32\services.exeD:\WINDOWS\system32\lsass.exeD:\WINDOWS\system32\svchost.exeD:\WINDOWS\System32\svchost.exeD:\WINDOWS\System32\svchost.exeD:\WINDOWS\System32\svchost.exeD:\WINDOWS\Explorer.EXED:\WINDOWS\system32\spoolsv.exeD:\Program Files\VIAudioi\SBADeck\ADeck.exeD:\WINDOWS\System32\RUNDLL32.EXED:\Program Files\Friendly Technologies\BroadbandAccess\fts.exeD:\WINDOWS\System32\steam.exeD:\WINDOWS\System32\explorer.exeD:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exeD:\WINDOWS\System32
vsvc32.exeD:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exeD:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exeD:\WINDOWS\system32\cmd.exeD:\WINDOWS\system32\cmd.exeD:\WINDOWS\etb\pokapoka65.exeD:\WINDOWS\System32\spooler.exeD:\Program Files\Internet Explorer\IEXPLORE.EXED:\Program Files\Internet Explorer\IEXPLORE.EXED:\Documents and Settings\kkkader\Bureau\HijackThis.exeO4 - HKLM\..\Run: [AudioDeck] D:\Program Files\VIAudioi\SBADeck\ADeck.exe 1O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInitO4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [%FP%Friendly fts.exe] "D:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe"O4 - HKLM\..\Run: [Generic Host Process2 System Backup] scvhost2.exeO4 - HKLM\..\Run: [Microfost Windows update] qnbwfih.exeO4 - HKLM\..\Run: [steam] steam.exeO4 - HKLM\..\Run: [Windows Explorer] D:\WINDOWS\System32\explorer.exeO4 - HKLM\..\Run: [System service65] D:\WINDOWS\etb\pokapoka65.exeO4 - HKLM\..\RunServices: [Generic Host Process2 System Backup] scvhost2.exeO4 - HKLM\..\RunServices: [Microfost Windows update] qnbwfih.exeO4 - HKLM\..\RunServices: [steam] steam.exeO4 - HKCU\..\Run: [Generic Host Process2 System Backup] scvhost2.exeO4 - HKCU\..\Run: [Microfost Windows update] qnbwfih.exeO16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kavwebscan_unicode.cabO16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cabO16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cabO17 - HKLM\System\CCS\Services\Tcpip\..\{2BF094FF-D442-42AF-A656-479F1E0406FA}: NameServer = 80.118.192.110 80.118.196.40O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - D:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exeO23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\System32
vsvc32.exeO23 - Service: Print Spool Handler (Print Spooler) - Unknown owner - D:\WINDOWS\System32\spooler.exeen esperant que quelqu'un ait une idée de ce qu'il faut que je fasse pour régler cette s***perie

cacacader · Answer

personne n'a une idée please?

jean38 · Answer

salutA/ si tu ne les as pas, télécharge: Ad-Aware SE 1.06 http://www.lavasoftusa.com/software/adaware/ Spybot S&D 1.4 http://www.safer-networking.org/fr/index.html-aide en image:(merci a Balltrap34)http://pageperso.aol.fr/Balltrap34/demo%20spybot.htmpuis Clean Up 40 : http://pageperso.aol.fr/balltrap34/CleanUp40.exe -aide en image:(merci a Balltrap34) http://pageperso.aol.fr/balltrap34/democleanup.htm ne les utilise pas tout de suite idem si tu ne l’as pas A2 free sur http://www.emsisoft.net/fr/software/download/met à jour spybot, ad aware et a2 free sur internet (tu trouves l’option dans les menus) mais ne lance pas les scan.1) clic droit sur poste de travail propriété restauration systeme coche desactivé puis appliquer 2) demarrer panneau de configuration outil option des dossiers affichage, coche afficher dossier cachés décoche : masquer extension des fichiers dont le type est connu masquer les fichiers protégés du système d'exploitation. 3) démarre en mode sans échec. Soit tu tapotes sur la touche F8 au lancement de Windows et tu choisis sans échec (pas d’inquiétude pour l’aspect de l’écran)4) lance hijack, ferme le bloc note et coche les cases devant les lignes, à la fin valide à l’aide du bouton fix checked:NB / La ligne contenant steam.exe, ce prog est soit un trojan soit parfois utilisé par des jeux. Perso je le vire, à toi de voir s'il peut correspondre à un jeu styl counter strike...O4 - HKLM\..\Run: [Generic Host Process2 System Backup] scvhost2.exeO4 - HKLM\..\Run: [Microfost Windows update] qnbwfih.exeO4 - HKLM\..\Run: [steam] steam.exeO4 - HKLM\..\Run: [Windows Explorer] D:\WINDOWS\System32\explorer.exeO4 - HKLM\..\Run: [System service65] D:\WINDOWS\etb\pokapoka65.exeO4 - HKLM\..\RunServices: [Generic Host Process2 System Backup] scvhost2.exeO4 - HKLM\..\RunServices: [Microfost Windows update] qnbwfih.exeO4 - HKLM\..\RunServices: [steam] steam.exeO4 - HKCU\..\Run: [Generic Host Process2 System Backup] scvhost2.exeO4 - HKCU\..\Run: [Microfost Windows update] qnbwfih.exe 5) supprime les fichiers scvhost2.exe << attention pas confondre avec svchost qui est valide.qnbwfih.exesteam.exe << si tu es d'accordD:\WINDOWS\System32\explorer.exe << attention celui qui est dans system 32.D:\WINDOWS\etb << le dossier complet6) exécute cleanup40.exe tu relances tes scan ad aware puis spy boot puis a2 freeet vire tout ce qu'ils trouvent (c'est un peu long mais tu devrais t'en sortir). vide ta poubelle et redemarre en mode normal, c'est à dire avant de redémarrer, tu refais les manip de départ (1) et (2) mais en recochant ... pour retrouver la config de départ.  redemarrerefait un log et dis moi ou tu en es des pb. A+Jean

cacacader · Answer

waou! l'effet est surprenant, ma machine marche 1000 fois mieux mais je me demande si il reste pas quelques merdes qui trainenten tout cas merci jean34voila un log hijackthis après avoir suivi tes instructions:Logfile of HijackThis v1.99.1Scan saved at 18:56:59, on 07/09/2005Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:D:\WINDOWS\System32\smss.exeD:\WINDOWS\system32\winlogon.exeD:\WINDOWS\system32\services.exeD:\WINDOWS\system32\lsass.exeD:\WINDOWS\system32\svchost.exeD:\WINDOWS\System32\svchost.exeD:\WINDOWS\Explorer.EXED:\WINDOWS\system32\spoolsv.exeD:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exeD:\WINDOWS\System32
vsvc32.exeD:\WINDOWS\System32\spooler.exeD:\WINDOWS\iexplre.exeD:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exeD:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exeD:\Program Files\VIAudioi\SBADeck\ADeck.exeD:\WINDOWS\System32\RUNDLL32.EXED:\Program Files\Friendly Technologies\BroadbandAccess\fts.exeD:\WINDOWS\System32\winPE.exeD:\WINDOWS\System32\qnbwfih.exeD:\Program Files\MSN Messenger\MsnMsgr.ExeD:\Program Files\Internet Explorer\IEXPLORE.EXED:\Documents and Settings\kkkader\Bureau\HijackThis.exeR3 - Default URLSearchHook is missingO4 - HKLM\..\Run: [AudioDeck] D:\Program Files\VIAudioi\SBADeck\ADeck.exe 1O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInitO4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [%FP%Friendly fts.exe] "D:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe"O4 - HKLM\..\Run: [ms ownage] winPE.exeO4 - HKLM\..\Run: [Microfost Windows update] qnbwfih.exeO4 - HKLM\..\RunServices: [ms ownage] winPE.exeO4 - HKLM\..\RunServices: [Microfost Windows update] qnbwfih.exeO4 - HKCU\..\Run: [Microfost Windows update] qnbwfih.exeO4 - HKCU\..\Run: [MsnMsgr] "D:\Program Files\MSN Messenger\MsnMsgr.Exe" /backgroundO9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kavwebscan_unicode.cabO16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge-c18.cabO16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cabO16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cabO16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cabO16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cabO17 - HKLM\System\CCS\Services\Tcpip\..\{2BF094FF-D442-42AF-A656-479F1E0406FA}: NameServer = 80.118.192.110 80.118.196.40O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "D:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - D:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exeO23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\System32
vsvc32.exeO23 - Service: Print Spool Handler (Print Spooler) - Unknown owner - D:\WINDOWS\System32\spooler.exeO23 - Service: Windows HWinfo Loader - Unknown owner - D:\WINDOWS\iexplre.exemerci d'avance

cacacader · Answer

bon j'ai bien peur que ce soit reparti comme en quaranteun scan m 'a permis de detecter une chiée de virus irréparable genreWORM SDBOT.CCJ (syst32/ spooler.exe)WORM SDBOT.CCE (win/iexplre.exe)si quelqu'un a une idée c'est cool

jean38 · Answer

re,un peu de retard mais...Telecharge: Pocket Killbox ici http://www.downloads.subratam.org/KillBox.exe  les diverses facons d utiliser la killbox demo http://pageperso.aol.fr/balltrap34/killbox.htm1) clic droit sur poste de travail propriété restauration systeme coche desactivé puis appliquer 2) demarrer panneau de configuration outil option des dossiers affichage, coche afficher dossier cachés décoche : masquer extension des fichiers dont le type est connu masquer les fichiers protégés du système d'exploitation. 3) démarre en mode sans échec. Soit tu tapotes sur la touche F8 au lancement de Windows et tu choisis sans échec (pas d’inquiétude pour l’aspect de l’écran)4) lance hijack, ferme le bloc note et coche les cases devant les lignes, à la fin valide à l’aide du bouton fix checked:R3 - Default URLSearchHook is missing O4 - HKLM\..\Run: [Microfost Windows update] qnbwfih.exeO4 - HKLM\..\RunServices: [Microfost Windows update] qnbwfih.exeO4 - HKCU\..\Run: [Microfost Windows update] qnbwfih.exe O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge-c18.cabO16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cabO16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "D:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing) O23 - Service: Windows HWinfo Loader - Unknown owner - D:\WINDOWS\iexplre.exe 5) Dans le menu Demarrer>Executer >tape: Services.msc recherche le service avec cette orthographe exacte: Print Spool HandlerDouble clic dessus et clic sur arreter puis dans type de demarrage selectionne désactivé6) lance kiilboxclic sur tool >> delete temp files 1- Selectionne "Delete on Reboot" 2- Copie la 1ere ligne de la liste en gras et colle dans "Full Path of File to Delete" 3- clic sur la croix rouge 4- une fenetre va apparaitre pour confirmation clic sur YES 5- une seconde fenetre te demande si tu veux redemarrer clic sur NO Recommence à l'étape 1 pour chaques lignes en gras. Une fois toutes selectionnées, a l'étape 7 clic sur YES D:\WINDOWS\iexplre.exe qnbwfih.exe 7) exécute cleanup40.exe tu relances tes scan ad aware puis spy boot puis a2 freeet vire tout ce qu'ils trouvent (c'est un peu long mais tu devrais t'en sortir). vide ta poubelle et redemarre en mode normal, c'est à dire avant de redémarrer, tu refais les manip de départ (1) et (2) mais en recochant ... pour retrouver la config de départ.  redemarreet out OK non?

Help virus virulent

5 réponses

Discussions similaires

Newsletters