trojan JS/Pegel.BP.1442 Résolu/Fermé

Question

Bonjour, 

Mon site a été infecté il y a 2 semaines. A priori après nettoyage méthodique le problème semblait résolu... pourtant si il n'y a plus rien sur le serveur, à chaque nouvelle ouverture du site avira me détecte un un fichier malveillant dans "D:\Documents and Settings\coco\Local Settings\Temporary Internet Files\Content.IE5\2IKRUR1E\cafeprojets_fr[1].htm"

un virus ou un programme indésirable 'JS/Pegel.BP.1442' [virus] a été détecté.

On dirait que c'est généré de mon poste. Je ne comprends pas bien.

J'ai fait un scan total, passé Ccleaner, utilisé malwarebytes qui ne m'a rien trouvé.

Seul avira et avast le voient.

Merci d'avance pour votre aide.

Steph

plopus · Answer

salut


Utilise ce logiciel de diagnostic :

* Télécharge ZHPDiag
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
* Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Héberge le rapport ZHPDiag.txt sur ce site, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.
http://www.cijoint.fr/

stephano666 · Answer

Merci plopus,
bon voila ce que ça donne (la toolbar semble vérolée notament...) .
http://www.cijoint.fr/cjlink.php?file=cj201005/cijs0niYgo.txt

steph

plopus · Answer

en effet


poste tyous ces rapports au fur et a mesure


    
Télécharge AD-Remover (de C_XX) sur ton Bureau.
https://www.androidworld.fr/
:!: Déconnecte toi et ferme toutes les applications en cours :!:
* Double-clique sur l'icône AD-Remover
* Au menu principal, clique sur "Nettoyer"
* Confirme le lancement de l'analyse et laisse l'outil travailler
* Poste le rapport qui apparait à la fin (il est aussi sauvegardé sous C:\Ad-report-CLEAN.txt )

(CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 


puis

    *  Télécharge Malwarebytes
http://www.malwarebytes.org/mbam/program/mbam-setup.exe
    * Tu auras un tutoriel à ta disposition pour l'installer et l'utiliser correctement.
    * Fais la mise à jour du logiciel (elle se fait normalement à l'installation)
    * Lance une analyse complète en cliquant sur "Exécuter un examen complet"
    * Sélectionnes les disques que tu veux analyser et cliques sur "Lancer l'examen"
    * L'analyse peut durer un bon moment.....
    * Une fois l'analyse terminée, cliques sur "OK" puis sur "Afficher les résultats"
    * Vérifies que tout est bien coché et cliques sur "Supprimer la sélection" => et ensuite sur "OK"
    * Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse sur le forum

* Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... Faites le en cliquant sur "oui" à la question posée



puis configure antivir comme ceci :  https://www.commentcamarche.net/faq/16831-tutoriel-configuration-optimale-d-antivir-personal

lance une mise  ajour des base virale AVANT de faire un scan, supprime tous ce qu'il te trouve et poste le rapport

stephano666 · Answer

Bon alors premier rapport (c'est un poil long...) :

-----------------------------------------

.
======= RAPPORT D'AD-REMOVER 2.0.0.0,D | UNIQUEMENT XP/VISTA/7 =======
.
Mis à jour par C_XX le 19/05/10 à 19:20
Contact: AdRemover.contact@gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html
.
Lancé à: 15:33:25 le 31/05/2010 | Mode normal | Option: CLEAN
Exécuté de: D:\Ad-Remover\ADR.exe
SE: Microsoft Windows XP Professionnel (Service Pack 3 - X86)
Nom du PC: STEPH
Utilisateur actuel: coco
.
============== ÉLÉMENT(S) NEUTRALISÉ(S) ==============
.
.
D:\Program Files\Application Updater
D:\Program Files\pdfforge Toolbar

(!) -- Fichiers temporaires supprimés.
.
HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}
.
.
============== SCAN ADDITIONNEL ==============
.
* Mozilla FireFox Version 3.6.3 (fr) *
.
D:\Documents and Settings\coco\..\okkaur6l.default\prefs.js - browser.download.lastDir: E:\comwithyou\achats\abix
D:\Documents and Settings\coco\..\okkaur6l.default\prefs.js - browser.startup.homepage: hxxp://www.google.fr/
D:\Documents and Settings\coco\..\okkaur6l.default\prefs.js - browser.startup.homepage_override.mstone: rv:1.9.2.3
.
.
* Internet Explorer Version 8.0.6001.18702 *
.
[HKCU\Software\Microsoft\Internet Explorer\Main]
.
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: D:\WINDOWS\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
.
[HKLM\Software\Microsoft\Internet Explorer\Main]
.
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: D:\WINDOWS\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/
.
[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]
.
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm
.
========================================
.
D:\Ad-Remover\Quarantine: 0 Fichier(s)
D:\Ad-Remover\Backup: 13 Fichier(s)
.
D:\Ad-Report-CLEAN[1].txt - 2356 Octet(s)
.
Fin à: 15:34:47, 31/05/2010
.
============== E.O.F - CLEAN[1] ==============

stephano666 · Answer

A priori Malwarebytes ne m'a rien trouvé. J'ai aussi reconfiguré Avira comme indiqué.

Tout semble ok à priori.

Merci pour ton aide plopus.

Ci dessous une copie du rapport généré.


--------------------------------------------------------

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4157

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

31/05/2010 16:34:45
mbam-log-2010-05-31 (16-34-45).txt

Type d'examen: Examen complet (D:\|)
Elément(s) analysé(s): 178563
Temps écoulé: 33 minute(s), 42 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

plopus · Answer

poste le rapport de antivir stp + un nouveau ZHPdiag stp

stephano666 · Answer

Le rapport antivir ci dessous :

-----------------------------

Avira AntiVir Personal
Date de création du fichier de rapport : lundi 31 mai 2010 17:15

La recherche porte sur 2174072 souches de virus.

Détenteur de la licence : Avira AntiVir Personal - FREE Antivirus
Numéro de série : 0000149996-ADJIE-0000001
Plateforme : Windows XP
Version de Windows : (Service Pack 3) [5.1.2600]
Mode Boot : Démarré normalement
Identifiant : SYSTEM
Nom de l'ordinateur : STEPH

Informations de version :
BUILD.DAT : 9.0.0.75 21698 Bytes 22/01/2010 23:14:00
AVSCAN.EXE : 9.0.3.10 466689 Bytes 24/05/2010 17:46:41
AVSCAN.DLL : 9.0.3.0 49409 Bytes 03/03/2009 09:21:02
LUKE.DLL : 9.0.3.2 209665 Bytes 20/02/2009 10:35:11
LUKERES.DLL : 9.0.2.0 13569 Bytes 03/03/2009 09:21:31
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06/11/2009 17:46:40
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19/11/2009 17:46:40
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20/01/2010 17:46:40
VBASE003.VDF : 7.10.3.75 996864 Bytes 26/01/2010 17:46:40
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05/03/2010 17:46:40
VBASE005.VDF : 7.10.6.82 2494464 Bytes 15/04/2010 17:46:40
VBASE006.VDF : 7.10.6.83 2048 Bytes 15/04/2010 17:46:40
VBASE007.VDF : 7.10.6.84 2048 Bytes 15/04/2010 17:46:40
VBASE008.VDF : 7.10.6.85 2048 Bytes 15/04/2010 17:46:40
VBASE009.VDF : 7.10.6.86 2048 Bytes 15/04/2010 17:46:40
VBASE010.VDF : 7.10.6.87 2048 Bytes 15/04/2010 17:46:40
VBASE011.VDF : 7.10.6.88 2048 Bytes 15/04/2010 17:46:40
VBASE012.VDF : 7.10.6.89 2048 Bytes 15/04/2010 17:46:40
VBASE013.VDF : 7.10.6.90 2048 Bytes 15/04/2010 17:46:40
VBASE014.VDF : 7.10.6.123 126464 Bytes 19/04/2010 17:46:40
VBASE015.VDF : 7.10.6.152 123392 Bytes 21/04/2010 17:46:40
VBASE016.VDF : 7.10.6.178 122880 Bytes 22/04/2010 17:46:40
VBASE017.VDF : 7.10.6.206 120320 Bytes 26/04/2010 17:46:40
VBASE018.VDF : 7.10.6.232 99328 Bytes 28/04/2010 17:46:40
VBASE019.VDF : 7.10.7.2 155648 Bytes 30/04/2010 17:46:40
VBASE020.VDF : 7.10.7.26 119808 Bytes 04/05/2010 17:46:40
VBASE021.VDF : 7.10.7.51 118272 Bytes 06/05/2010 17:46:40
VBASE022.VDF : 7.10.7.75 404992 Bytes 10/05/2010 17:46:40
VBASE023.VDF : 7.10.7.100 125440 Bytes 13/05/2010 17:46:40
VBASE024.VDF : 7.10.7.119 177664 Bytes 17/05/2010 17:46:40
VBASE025.VDF : 7.10.7.139 129024 Bytes 19/05/2010 17:46:40
VBASE026.VDF : 7.10.7.157 145920 Bytes 21/05/2010 17:46:40
VBASE027.VDF : 7.10.7.173 147456 Bytes 25/05/2010 17:22:10
VBASE028.VDF : 7.10.7.189 120320 Bytes 27/05/2010 08:24:15
VBASE029.VDF : 7.10.7.190 2048 Bytes 27/05/2010 08:24:15
VBASE030.VDF : 7.10.7.191 2048 Bytes 27/05/2010 08:24:15
VBASE031.VDF : 7.10.7.196 109568 Bytes 30/05/2010 08:24:15
Version du moteur : 8.2.1.242
AEVDF.DLL : 8.1.2.0 106868 Bytes 24/05/2010 17:46:40
AESCRIPT.DLL : 8.1.3.29 1343866 Bytes 24/05/2010 17:46:40
AESCN.DLL : 8.1.6.1 127347 Bytes 24/05/2010 17:46:40
AESBX.DLL : 8.1.3.1 254324 Bytes 24/05/2010 17:46:41
AERDL.DLL : 8.1.4.6 541043 Bytes 24/05/2010 17:46:40
AEPACK.DLL : 8.2.1.1 426358 Bytes 24/05/2010 17:46:40
AEOFFICE.DLL : 8.1.1.0 201081 Bytes 24/05/2010 17:46:40
AEHEUR.DLL : 8.1.1.27 2670967 Bytes 24/05/2010 17:46:40
AEHELP.DLL : 8.1.11.3 242039 Bytes 24/05/2010 17:46:40
AEGEN.DLL : 8.1.3.9 377203 Bytes 24/05/2010 17:46:40
AEEMU.DLL : 8.1.2.0 393588 Bytes 24/05/2010 17:46:40
AECORE.DLL : 8.1.15.3 192886 Bytes 24/05/2010 17:46:40
AEBB.DLL : 8.1.1.0 53618 Bytes 24/05/2010 17:46:40
AVWINLL.DLL : 9.0.0.3 18177 Bytes 12/12/2008 07:47:30
AVPREF.DLL : 9.0.3.0 44289 Bytes 24/05/2010 17:46:41
AVREP.DLL : 8.0.0.7 159784 Bytes 24/05/2010 17:46:41
AVREG.DLL : 9.0.0.0 36609 Bytes 07/11/2008 14:24:42
AVARKT.DLL : 9.0.0.3 292609 Bytes 24/03/2009 14:05:22
AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30/01/2009 09:36:37
SQLITE3.DLL : 3.6.1.0 326401 Bytes 28/01/2009 14:03:49
SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02/02/2009 07:20:57
NETNT.DLL : 9.0.0.0 11521 Bytes 07/11/2008 14:40:59
RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 24/05/2010 17:46:38
RCTEXT.DLL : 9.0.73.0 88321 Bytes 24/05/2010 17:46:38

Configuration pour la recherche actuelle :
Nom de la tâche...............................: Contrôle intégral du système
Fichier de configuration......................: d:\program files\avira\antivir desktop\sysscan.avp
Documentation.................................: bas
Action principale.............................: interactif
Action secondaire.............................: ignorer
Recherche sur les secteurs d'amorçage maître..: marche
Recherche sur les secteurs d'amorçage.........: marche
Secteurs d'amorçage...........................: C:, D:, E:,
Recherche dans les programmes actifs..........: marche
Recherche en cours sur l'enregistrement.......: marche
Recherche de Rootkits.........................: marche
Contrôle d'intégrité de fichiers système......: arrêt
Fichier mode de recherche.....................: Tous les fichiers
Recherche sur les archives....................: marche
Limiter la profondeur de récursivité..........: 20
Archive Smart Extensions......................: marche
Heuristique de macrovirus.....................: marche
Heuristique fichier...........................: moyen
Catégories de dangers divergentes.............: +APPL,+GAME,+JOKE,+PCK,+PFS,+SPR,

Début de la recherche : lundi 31 mai 2010 17:15

La recherche d'objets cachés commence.
'22601' objets ont été contrôlés, '0' objets cachés ont été trouvés.

La recherche sur les processus démarrés commence :
Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés
Processus de recherche 'avcenter.exe' - '1' module(s) sont contrôlés
Processus de recherche 'msimn.exe' - '1' module(s) sont contrôlés
Processus de recherche 'wuauclt.exe' - '1' module(s) sont contrôlés
Processus de recherche 'alg.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'mDNSResponder.exe' - '1' module(s) sont contrôlés
Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés
Processus de recherche 'msmsgs.exe' - '1' module(s) sont contrôlés
Processus de recherche 'ctfmon.exe' - '1' module(s) sont contrôlés
Processus de recherche 'RTHDCPL.EXE' - '1' module(s) sont contrôlés
Processus de recherche 'igfxpers.exe' - '1' module(s) sont contrôlés
Processus de recherche 'hkcmd.exe' - '1' module(s) sont contrôlés
Processus de recherche 'igfxtray.exe' - '1' module(s) sont contrôlés
Processus de recherche 'avgnt.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés
Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés
Processus de recherche 'spoolsv.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés
Processus de recherche 'services.exe' - '1' module(s) sont contrôlés
Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés
Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés
Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés
'29' processus ont été contrôlés avec '29' modules

La recherche sur les secteurs d'amorçage maître commence :
Secteur d'amorçage maître HD0
[INFO] Aucun virus trouvé !

La recherche sur les secteurs d'amorçage commence :
Secteur d'amorçage 'C:\'
[INFO] Aucun virus trouvé !
Secteur d'amorçage 'D:\'
[INFO] Aucun virus trouvé !
Secteur d'amorçage 'E:\'
[INFO] Aucun virus trouvé !

La recherche sur les renvois aux fichiers exécutables (registre) commence :
Le registre a été contrôlé ( '57' fichiers).

La recherche sur les fichiers sélectionnés commence :

Recherche débutant dans 'C:\' <Vista>
C:\hiberfil.sys
[AVERTISSEMENT] Impossible d'ouvrir le fichier !
Recherche débutant dans 'D:\' <XP>
D:\pagefile.sys
[AVERTISSEMENT] Impossible d'ouvrir le fichier !
[REMARQUE] Ce fichier est un fichier système Windows.
[REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche.
Recherche débutant dans 'E:\' <Data>

Fin de la recherche : lundi 31 mai 2010 18:30
Temps nécessaire: 1:15:33 Heure(s)

La recherche a été effectuée intégralement

48175 Les répertoires ont été contrôlés
459719 Des fichiers ont été contrôlés
0 Des virus ou programmes indésirables ont été trouvés
0 Des fichiers ont été classés comme suspects
0 Des fichiers ont été supprimés
0 Des virus ou programmes indésirables ont été réparés
0 Les fichiers ont été déplacés dans la quarantaine
0 Les fichiers ont été renommés
2 Impossible de contrôler des fichiers
459717 Fichiers non infectés
8724 Les archives ont été contrôlées
2 Avertissements
1 Consignes
22601 Des objets ont été contrôlés lors du Rootkitscan
0 Des objets cachés ont été trouvés

stephano666 · Answer

et voici le rapport de ZHPDiag :

http://www.cijoint.fr/cjlink.php?file=cj201005/cij7MoKEBj.txt

plopus · Answer

re


* Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag)
(Sous Vista ou 7, en faisant un clic droit en tant qu'administrateur)
* Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
* Copie/colle les lignes suivantes et place les dans ZHPFix :



 O44 - LFC:[MD5.619D9DD12A0BFDB080A86CE19F09CA10] - 24/05/2010 - 19:44:13 R--A- . (.Pas de propriétaire - Pas de description.) -- D:\WINDOWS\SET8.tmp   [16825] 
 O44 - LFC:[MD5.7DEBF83AF61B07063EF0CEEADD4B4E59] - 24/05/2010 - 19:44:11 R--A- . (.Pas de propriétaire - Pas de description.) -- D:\WINDOWS\SET4.tmp   [1088840] 
 O44 - LFC:[MD5.A799EA2E17F8C6747801E37F25FE078F] - 24/05/2010 - 19:44:09 R--A- . (.Pas de propriétaire - Pas de description.) -- D:\WINDOWS\SET3.tmp   [1246130] 




* Ok
* Clique sur « Tous », puis sur « Nettoyer »
* Copie/colle la totalité du rapport dans ta prochaine réponse 



ensuite  va dans ccleaner  option/avancer et decoche la 1er ligne et nettoie plusieurs fois ton registre et kl'onglet nettoyeur jusqu'a trouver 0erreur.

ton PC n'a plus d'infection visible, je ne peux que te conseiller de bien mettre  ajour tous tes programmes car ce sont souvent ce genre de faille que les malware. sur ton PC et pour ton site aussi


verfie la vulnerabilité de windows et aussi d'autre produits, tu desinstalle les ancienne version des logiciels que tu dois mettre a jour

- Soit par le biais de ce site internet il faut installer l'active X puis
clic start scan et le site montre d'une croix rouge les faille de
sécurité pour quelques produits important installé sur le PC comme
java, IE, windows, flashplayer, adobe...les + importantes
https://www.flexera.com/products/operations/software-vulnerability-management.html

- Soit on peut aussi passer par un logiciel a installer qui scan le PC et
affiche TOUTES les mises a jour des logiciels et produits installé sur
le PC
https://filehippo.com/windows/tuning-utilities/



Remarque : la detection heuristique antivir, tu la laisser sur moyen ?  car sa fait bcp plus de faux postif sinon


tu peux relancer ADremover et choisir option desinstallation

stephano666 · Answer

Merci pour ton aide plopus, j'ai suivi tes conseils et mis à jour mes programmes.
Tout parait clean.

Trojan JS/Pegel.BP.1442

10 réponses

Discussions similaires

Newsletters