Processus Moimeme.exe proliférant Fermé

Question

Bonjour, 

Suite à une intrusion, je me suis retrouvé avec firefox lancé un site porno tournant en boucle (avec la fenêtre qui bouge et l'impossibilité de le fermer) ; j'ai réglé ce problème seul mais il est peut-être lié à l'autre :

Un processus se multiplie et se lance si j'en supprime un autre, et me mange toute ma bande passante. Le processus s'appelle Moimeme.exe, et a la mention Sony Vegas.

J'ai effectué des scans avec Adaware, Avast sans succès... 

En attendant vos réponses éclairées ; cordialement Gautier L.


Configuration: Windows vista / Firefox 3.6.2

moment de grace · Answer

bonjour

j'ai réglé ce problème seul mais il est peut-être lié à l'autre : 

qu'as tu fait exactement ?

et si tu as des rapports postes les stp

de plus

Télécharge ZHPDiag ( de Nicolas coolman ). 
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 

(outil de diagnostic)

 Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )
 
Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin pour vista ) 

Clique sur la loupe en haut à gauche, puis laisse l'outil scanner. 

Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau. 

Rend toi sur Cjoint : http://www.cijoint.fr/ 

Clique sur "Parcourir " dans la partie " Joindre un fichier[...] " 

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau 

Clique ensuite sur "Cliquez ici pour déposer le fichier " et copie/colle le lien dans ton prochain message


si soucis avec ci joint. fr => utiliser https://www.cjoint.com/

Godass · Answer

Tout simplement, j'ai arrêté le processus de firefox et j'ai choisi de ne pas réstaurer la session : avec la nouvelle session, je me retrouvais sur ma page d'accueil comme s'il ne s'était rien passé.

J'ai essayé plusieurs choses pour éradiquer Moimeme.exe de mes processus : j'ai remarqué qu'il y avait une commande pour le lancer au démarrage dans msconfig. Je l'ai donc décoché. Cela ne règle pas le problème mais j'ai l'impression de pouvoir m'en charger sans avoir à supprimer les nouveaux processus toutes les 10 secondes.

Après, il me faut toujours retrouver le fichier cible, parce que je ne veux pas le laisser sur mon pc. 

Pour information la cible du fichier que je décoche dans msconfig est : C:\users\gautier\AppData\Roaming\install\Moimeme.exe

Autre question : Roaming = Temp (en français) ? Parce que je ne trouve pas ce chemin.

Voici ce que j'obtiens en suivant ce que tu me dis : 

http://www.cijoint.fr/cjlink.php?file=cj201006/cijF5u99RD.txt

Merci de ta réponse

moment de grace · Answer

effectivement

je vois tes moimême.exe qui font partie de Vegas Pro.
est ce toi qui l'a installé ou pas ?

sinon

/!\ Il faut impérativement désactiver tous tes logiciels de protection pour utiliser ce programme/!\ 
* Télécharge mbr.exe de Gmer ici : http://www2.gmer.net/mbr/mbr.exe et enregistre le fichier sur le Bureau. 
* Merci à Malekal pour le tutoriel 
* Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident) 
* Double clique sur mbr.exe 
* Un rapport sera généré : mbr.log 
* En cas d'infection, ce message "MBR rootkit code detected" va apparaitre. 
* Pour supprimer le rootkit aller dans le menu Démarrer=> Exécuter et tapez la commande en gras: "%userprofile%\Bureau\mbr" -f 
* (veuillez à bien respecter les guillemets) 
* Dans le mbr.log cette ligne apparaitra "original MBR restored successfully !" 
* Réactive tes protections .Poste ce rapport et supprime le ensuite. 

o Pour vérifier désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident) 
o Relance mbr.exe 
o Réactive tes protections. 
o Le nouveau mbr.log devrait être celui-ci : 
o Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net 
o device: opened successfully 
user: MBR read successfully 
kernel: MBR read successfully 
user & kernel MBR OK

Godass · Answer

J'ai essayé sans succès ta manipulation. Je n'ai sûrement pas réussi à tout désactiver et du coup, l'exe plantait dès le démarrage, et je n'avais pas de log.

Mais j'ai lancé une recherche de Vegas Pro 9 et j'ai trouvé des fichiers qui avaient échappé à ma désinstallation. Je les ai supprimé. Pas de nouvelles de Moimême.exe, ni meme de firefox en double. 

Donc je pense que j'ai détruit la cible en supprimant au hasard les fichiers liés à Vegas, que j'ai installé hier mais qui ne marchait pas.

Merci beaucoup de t'être intéressé à mon problème. Je marque le problème comme résolu.

Cordialement.

moment de grace · Answer

refais un nouveau zhp diag stp

Godass · Answer

Voila !

http://www.cijoint.fr/cjlink.php?file=cj201006/cijRBIP8NG.txt

moment de grace · Answer

1)

Relance ZHPDiag ( Clic droit " Executer en tant qu'administrateur " sous vista ) , fais un scan puis cette fois-ci cliques sur l'icone en forme d'écusson vert " ZHPFix ". 

ZHPFix se lancera, clique maintenant sur le " H " bleu ( coller les lignes helper ) puis copie/colle ces lignes 

O4 - HKLM\..\Run: [HKLM] . (.Pas de propriétaire - Vegas Pro.) -- C:\Users\gautier\AppData\Roaming\install\Moimeme.exe     
O4 - HKLM\..\policies\Explorer\Run: [Policies] . (.Pas de propriétaire - Vegas Pro.) -- C:\Users\gautier\AppData\Roaming\install\Moimeme.exe     
O4 - HKCU\..\policies\Explorer\Run: [Policies] . (.Pas de propriétaire - Vegas Pro.) -- C:\Users\gautier\AppData\Roaming\install\Moimeme.exe     
O40 - ASIC: (no name) - {F0LHKOS8-TG36-VEDG-73OV-1W1KU37U34XA} . (.Pas de propriétaire - Vegas Pro.) -- C:\Users\gautier\AppData\Roaming\install\Moimeme.exe     
O53 - SMSR:HKLM\...\startupreg\HKCU  [Key] . (.Pas de propriétaire - Vegas Pro.) -- C:\Users\gautier\AppData\Roaming\install\Moimeme.exe     
O53 - SMSR:HKLM\...\startupreg\HKLM  [Key] . (.Pas de propriétaire - Vegas Pro.) -- C:\Users\gautier\AppData\Roaming\install\Moimeme.exe 



Clique sur " Ok " , puis " Tous " et enfin " Nettoyer ". 

Copie/Colle le rapport à l'écran dans ton prochain message

................................

2)

Relance ZHPDiag ( Clic droit " Executer en tant qu'administrateur " sous vista ) , fais un scan puis cette fois-ci cliques sur l'icone en forme d'écusson vert " ZHPFix ". 

ZHPFix se lancera, clique maintenant sur le " H " bleu ( coller les lignes helper ) puis copie/colle ces lignes 

MBRFix


Clique sur " Ok " , puis " Tous " et enfin " Nettoyer ". 

Copie/Colle le rapport à l'écran dans ton prochain message

Godass · Answer

Alors,


1) http://www.cijoint.fr/cjlink.php?file=cj201006/cijDglLDy9.txt

et 

2) http://www.cijoint.fr/cjlink.php?file=cj201006/cijcNgJeQc.txt

moment de grace · Answer

la manoeuvre 1 de zhpfix est à refaire car ca pas fonctionné

..................

la manoeuvre 2 de zhpfix non plus

fais ceci à la place

/!\ Il faut impérativement désactiver tous tes logiciels de protection pour utiliser ce programme/!\ 
* Télécharge mbr.exe de Gmer ici : http://www2.gmer.net/mbr/mbr.exe et enregistre le fichier sur le Bureau. 
* Merci à Malekal pour le tutoriel 
* Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident) 
* Double clique sur mbr.exe 
* Un rapport sera généré : mbr.log 
* En cas d'infection, ce message "MBR rootkit code detected" va apparaitre. 
* Pour supprimer le rootkit aller dans le menu Démarrer=> Exécuter et tapez la commande en gras: 

=>  Sous XP : "%userprofile%\Bureau\mbr" -f 

=> Sous Vista/Seven : "%userprofile%\Desktop\mbr" -f


* (veuillez à bien respecter les guillemets) 
* Dans le mbr.log cette ligne apparaitra "original MBR restored successfully !" 
* Réactive tes protections .Poste ce rapport et supprime le ensuite. 

o Pour vérifier désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident) 
o Relance mbr.exe 
o Réactive tes protections. 
o Le nouveau mbr.log devrait être celui-ci : 
o Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net 
o device: opened successfully 
user: MBR read successfully 
kernel: MBR read successfully 
user & kernel MBR OK

isy · Answer

Le plus simple pour kill le moimem.exe c'est hijackThis, un scan et un fix checked sur les moimeme.exe trouvé et op voila prob supprimé, plus qu'a netoyer l'ordi... :D

Processus Moimeme.exe proliférant

10 réponses

Discussions similaires