DCOM ExploitRésolu/Fermé

Question

Bonsoir, 

je crois que les virus veulent envahir mon PC. Depuis 3 jours, j'obtiens toujours ceci de la part de Avast: 

https://imageshack.com/ 

Ce message d'alerte apparait environ toute les 15 minutes. Ça commence un peu à m'agacer... 

Ma question n'est pas de savoir comment enlever ce message d'alerte... Je vous tout simplement savoir ce qu'est ce type de virus et pourquoi Avast m'alerte toute les 15 minutes... 

Merci d'avance.

Malekal_morte- · Answer

Salut,

Pour voir si tu es infecté.


* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.    
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)    

* Lance OTL
* Sous Peronnalisation, copie-colle ce qu'il y a dans le cadre ci-dessous :    
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
CREATERESTOREPOINT    
* Clique sur le bouton Quick Scan.    
* Quand le scan est fini, utilise le site http://www.cijoint.fr/ pour me donner les deux rapports : OTL.Txt et Extras.Txt.

Utilisateur anonyme · Answer

Bonsoir.

Je vais faire les étapes et quand j'ai finis, je te tiendrais au courant.

Amicalement.

Utilisateur anonyme · Answer

-Lien du fichier Extras:

http://www.cijoint.fr/cj201006/cijCyFGm4u.txt


-Lien du fichier OTL:

http://www.cijoint.fr/cj201006/cijwphC5cD.txt


P.S: pendant l'analyse, Avast m'a afficher 6 fois le message d'alerte...

Amicalement.

Malekal_morte- · Answer

Tu es infecté.

Affiche les fichiers cachés :
https://www.commentcamarche.net/informatique/windows/185-afficher-les-extensions-et-les-fichiers-caches-sous-windows/

Envoie C:\Users\Itachi\AppData\Roaming\winlogon.exe  sur http://upload.malekal.com

Relance OTL. 
o sous Peronnalisation, copie_colle le contenu du cadre ci dessous et clic Correction, un rapport apparraitra suite à l'operation que tu conserveras sur clé usb par exemple afin d'en coller le resultat: 

:OTL
O4 - HKCU..\Run: [Winlogon] C:\Users\Itachi\AppData\Roaming\winlogon.exe (Prive) 

* redemarre le pc sous windows et poste le rapport ici

Utilisateur anonyme · Answer

Re bonsoir.

Je ne sais pas ce que je dois dire, OTL ne m'a pas affiché de rapport, mais c'est Avast qui m'a affiché une autre alerte:

https://imageshack.com/

Que dois-je faire ?

Amicalement.

P.S: L'application Winlogon a été envoyée au site demandé.

Utilisateur anonyme · Answer

Ah pardon, excuse moi, j'avais oublié de cliquer sur OK x)

Voici le rapport:

========== OTL ==========
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Winlogon deleted successfully.
C:\Users\Itachi\AppData\Roaming\winlogon.exe moved successfully.
 
OTL by OldTimer - Version 3.2.7.0 log created on 06272010_211922


Amicalement.

Malekal_morte- · Answer

Mouais bon c'est de la daube ton malware.
Truc bateau...

La détection : http://www.virustotal.com/analisis/29307e657434b65fecc0bbdd0e227cdcc3772868c8ecf22febbc37c598836754-1277292081 

Ca se connecte à ça fandematez.no-ip.org (mais down), c'est une freebox, donc ça doit être un FR qui est derrière. 

M'enfin bon ça doit être un kevin qui a récupérer le code du malware (ou le malware) et qui joue avec et qui est pas foutu de le protéger pour faire bypasser les détections des AV. 

Y a des groupes qui font ça en postant des lien cracks sur les fofos. 

Ca vole les mots de passe etc donc change tous tes mots de passe, hotmail, jeux en ligne etc. 

Regarde si y a du mieux (plus d'alerte d'Avast!) 
Et éviter de télécharger n'importe quoi... ça t'évitera les ennuies : 
[2010/06/25 19:28:22 | 000,000,000 | ---D | C] -- C:\Users\Itachi\Desktop\The Sims 3 - Razor1911 Final MAXSPEED 
[2010/06/25 17:25:14 | 000,132,096 | -H-- | C] (Prive) -- C:\Users\Itachi\AppData\Roaming\winlogon.exe 


Them crooked vultures this evening :D

Utilisateur anonyme · Answer

A ce que je vois, c'est marqué aussi Sims 3.

Le problème, c'est que je n'ai que Les Sims 2.

c'est normal ?

Par contre, il y a aussi ma famille qui utilisent mon PC, ça peut venir d'ici ?

Amicalement.

Utilisateur anonyme · Answer

???

Que signifie le Razor1911 Final MAXSpeed ?!

Je ne sais pas d'où ça sort !

Peut tu m'expliquer s'il te plait ?

Amicalement.

Malekal_morte- · Answer

T'as une version de The SIM cracké....
Donc pris je ne sais où et donc potentiellement ça peux contenir des malwares.

Utilisateur anonyme · Answer

J'ai les Sims 2 cracké ?

Je l'ai acheté il y a 3 jours, d'un magasin d'occasion.

Amicalement.

Malekal_morte- · Answer

possible, mais Razor c'est une team de Warez qui produit des cracks.
Donc peut-être que qq1 a mis un NoCD derrière ou j'en sais rien :)

enfin bon tout ça pour dire de pas faire executer n'importe quoi sur le PC surtout quand la source est inconnue.

C'est tout :)

Utilisateur anonyme · Answer

J'ai un petit frère, qui est fou de jeu vidéo... Je lui demanderais si c'est lui qu'est derrière tout cela...

Enfin, le virus a t-il disparu ?


J'ai aussi remarqué une autre application, SPYKEY.EXE, c'est quoi ça ?

Amicalement.

Malekal_morte- · Answer

Je sais pas je le vois pas sur ton rapport.
Ca a l'air bof d'après Google.

Tu rechercher le fichier et noter son emplacement et le donner ici.
Tu peux scanner le fichier sur https://www.virustotal.com/gui/ et donner le lien iic.
Scanne ce fichier aussi pour voir : C:\Users\Itachi\AppData\Local\Temp
sp5FBD.tmp\NM.exe

Utilisateur anonyme · Answer

Voici le lien d'analyse de SPYKEY:

http://www.virustotal.com/fr/analisis/d4a56a739a4310f45c87635661f3c8473453a42782f3405810b07dfe285dd782-1277599167

Lien d'analyse de NM:

http://www.virustotal.com/fr/analisis/20cc6c1a43b004beb9095830b16fbf6df6e07ecd258418ecdbcfce408ec347bd-1205427824

Amicalement.

Malekal_morte- · Answer

envoie les deux sur http://upload.malekal.com pour voir :)

Utilisateur anonyme · Answer

C'est fait :)

Amicalement.

Malekal_morte- · Answer

ça vient de là ton spykey : http://www.spy-key.fr/ 
je te laisse lire le contenu :D 

pour l'autre, ça semble OK. 

Tu devrais plus avoir d'alerte Avast! je pense.


Maintiens tes logiciel à jour c'est important, utilise ce programme : /faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite     
Absolument à faire.     


Un peu de lecture pour éviter les infections :   
- connaitre et éviter les infections : https://www.malekal.com/fichiers/projetantimalwares/ProjetAntiMalware-courte.pdf   
- sécuriser son PC : http://forum.malekal.com/comment-securiser-son-ordinateur.html   


Them crooked vultures this evening :D

Utilisateur anonyme · Answer

Par contre, il y a un truc que je ne comprend toujours pas avec ce fichier:

C:\Users\Itachi\Desktop\The Sims 3 - Razor1911 Final MAXSPEED 

Je vois qu'il doit etre dans le bureau, le problème, c'est que je ne vois rien ?

Normal ou pas ?

Amicalement.

Malekal_morte- · Answer

bhe ouais ché pas bizarre ouais :)

fais une recherche Razor comme fichier :)

Utilisateur anonyme · Answer

C'est bon :)  

Trouvé et chassé :P  

Je crois que la réinstallation de Se7en serait la bienvenue...  

Merci beaucoup pour ton aide ! ;))

Amicalement.

DCOM Exploit

21 réponses

Discussions similaires

Newsletters