Infectée par Palevo

Question

Bonjour, 

 
Cela fait plusieurs semaines que mon PC est infecté par un  ou plusieurs virus que j'ai probablement attrapé par échanges de périphériques parce qu'il a infecté mes clés UCB et mon DDE. J'ai Antivir qui me trouve régulièrement des emplacements infectés malgré la suppression systématique malgré Malwayrebites et de longues heures de scan en mode sans échec je ne parviens pas à faire disparaître ce problème.
La source du problème vient que je ne trouve pas de quel virus il s'agit.
Dans le fichier autorun de ma clé USB il y a écrit flyhigh et je retrouve ce nom ailleurs mais je n'ai pas trouvé d'info sur ce virus sur google!   
 
Antivir m'a donné des noms tels que WORM/Palevo.amoc, TR/Spy.Ardamax.ecq
J'ai lu que le virus Palevo est assez tenace.   J'ai l'impression qu'il y en a tout un nid    
 
... c'est au delà de mes compétences   :(  
 
Merci par avance   
 
Eloya



Configuration: Windows XP / Firefox 3.6.7

Xplode · Answer

Bonjour,

[x] Suis la procédure jusqu'au bout. Même si le PC semble aller mieux, ce n'est pas pour autant qu'il est totalement désinfecté !

[x] Si tu as des difficultés pour effectuer une procédure ou bien une simple question, n'hésite pas à me demander.

-+-+-+-+-> ZHPDiag <-+-+-+-+-


[x] Nous allons effectuer un diagnostic de ton ordinateur, pour ce faire, télécharge ZHPDiag ( de Nicolas Coolman ).

[x] Exécute l'installateur -> /!\ Coche la case " créer une icône sur le bureau " /!\ 

[x] Lance le en double cliquant sur l'icône ZHPDiag qui se trouve sur ton bureau ( Sous Vista/Seven : Clic droit sur l'icône -> " Exécuter en tant qu'administrateur " )

[x] Clique sur l'icône en forme de loupe en haut à gauche ( Lancer le diagnostic ).

[x] Une fois l'analyse terminée, clique sur l'icône en forme de disquette bleue puis sauvegarde le fichier sur ton bureau.

[x] Rend toi sur cjoint puis clique sur " Parcourir ".

[x] Sélectionne le fichier ZHPDiag.txt présent sur ton bureau, puis clique sur " Ouvrir ".

[x] Clique ensuite sur " Créer le lien cjoint " puis copie/colle dans ta prochaine réponse le lien créé.

Eloya · Answer

Salut Xplode
Merci pour cette réponse ultra rapide !!


voici le rapport demandé :
http://cjoint.com/data/hzpwTLA0vp.htm 

(J'ai vu en passant que j'avais toujours Asbardis alors que je m'en croyais débarrassé depuis des lustres...)

Utilisateur anonyme · Answer

Yo,

Pour suivre !

Xplode · Answer

Eh beh.. y'a du beau monde sur ton PC dis donc :) -+-+-+-+-> AD-Remover <-+-+-+-+- [x] Télécharge AD-Remover ( de C_XX ). [x] Lance AD-Remover puis choisis l'option " Nettoyer ". Note : Utilisateurs de vista/seven -> Clic droit sur "Ad-R.exe" puis " Exécuter en tant qu'administrateur " [x] Patiente pendant le scan, un rapport s'ouvrira ensuite. Poste son contenu dans ton prochain message [x] Note : Le rapport se trouve également sous C:\Ad-Report-CLEAN.txt -+-+-+-+-> USBFix <-+-+-+-+- Note : Ton PC est victime d'une infection par médias amovibles. Tu trouveras plus d'informations sur cette infection ici. [x] Télécharge USBfix ( d'El desaparecido et C_XX ) sur ton bureau. [x] Si ton anvirus affiche une alerte, ignore le et désactive le momentanément. [x] Branche tout tes médias amovibles à ton PC ( Clé USB, disque dur externe, carte SD etc.. ) sans les ouvrir. [x] Exécute USBfix sur ton bureau puis clique sur " Suppression ". [x] Patiente pendant le scan. Un rapport s'ouvrira, copie/colle son contenu dans ton prohain message. Notes : Le rapport est également sauvegardé à la racine du disque dur ( généralement C:\ ) Un tutoriel en images est disponible ici.

Eloya · Answer

Olala c'est à ce point :(
  

Alors voici le lien pour le rapport d'AD remover
http://www.cijoint.fr/cjlink.php?file=cj201007/cijG1PPVQA.txt

et pour USBfix :
############################## | UsbFix 7.017 | [Suppression]

Utilisateur: Martinouss (Administrateur) # BIDULOS [ ]
Mis à jour le 22/07/10 par El Desaparecido / C_XX
Lancé à 22:08:40 | 22/07/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU: Intel(R) Core(TM)2 CPU T5200 @ 1.60GHz
CPU 2: Intel(R) Core(TM)2 CPU T5200 @ 1.60GHz
Microsoft Windows XP Professionnel (5.1.2600 32-Bit) # Service Pack 2
Internet Explorer 6.0.2900.2180

Pare-feu Windows: Désactivé /!\
Antivirus: AntiVir Desktop 9.0.1.32 [Enabled | Updated]
Firewall: Filseclab Personal Firewall 3.00 [(!) Disabled]
RAM -> 1022 Mo 
C:\ (%systemdrive%) -> Disque fixe # 53 Go (12 Go libre(s) - 22%) [ACER] # NTFS
D:\ -> Disque fixe # 54 Go (147 Mo libre(s) - 0%) [Disque local] # NTFS
E:\ -> CD-ROM
F:\ -> CD-ROM
G:\ -> Disque amovible # 982 Mo (703 Mo libre(s) - 72%) [] # FAT
H:\ -> Disque fixe # 233 Go (8 Go libre(s) - 3%) [DDE - WD] # FAT32
I:\ -> Disque amovible # 492 Mo (3 Mo libre(s) - 1%) [] # FAT

################## | Éléments infectieux |

Supprimé! C:\WINDOWS\Tasks\{62C40AA6-4406-467a-A5A5-DFDF1B559B7A}.job
Supprimé! C:\WINDOWS\Tasks\{8C3FDD81-7AE0-4605-A46A-2488B179F2A3}.job

################## | Registre |

Supprimé! HKCU\Software\JDK5SWFMZY
Supprimé! HKCU\Software\M5T8QL3YW3
Supprimé! HKCU\Software\Microsoft\Handle
Supprimé! HKCU\Software\V71IQL7HI7
Supprimé! HKCU\Software\VO3N0SLJ2I
Non supprimé ! HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_SSHNAS
Non supprimé ! HKLM\SYSTEM\ControlSet003\Enum\Root\LEGACY_SSHNAS
Non supprimé ! HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SSHNAS
Supprimé! HKLM\software\microsoft\windows nt\currentversion\winlogon|Taskman

################## | Mountpoints2 |

Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{1b9c1ee0-4928-11dd-a02c-0018de2565dd}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{5a434cb5-3b55-11de-aa46-0016d45c7d81}

################## | Listing |

[19/08/2006 - 05:37:36 | D ] 	C:\Acer
[22/07/2010 - 22:42:48 | A | 6727] 	C:\Ad-Report-CLEAN[1].txt
[19/08/2006 - 05:32:24 | A | 50] 	C:\autoexec.000
[03/07/2009 - 02:05:01 | A | 94] 	C:\autoexec.bat
[05/06/2009 - 20:18:49 | RASH | 209] 	C:\boot.ini
[10/08/2004 - 20:00:00 | RASH | 4952] 	C:\Bootfont.bin
[22/07/2010 - 21:46:42 | HD ] 	C:\Config.Msi
[19/08/2006 - 04:44:42 | A | 0] 	C:\CONFIG.SYS
[19/08/2006 - 04:30:10 | D ] 	C:\Documents and Settings
[08/05/2009 - 00:37:24 | A | 3116] 	C:\fixnavi.txt
[14/09/2008 - 10:35:00 | SHD ] 	C:\FOUND.000
[14/09/2008 - 10:34:58 | SHD ] 	C:\FOUND.001
[14/09/2008 - 10:34:58 | SHD ] 	C:\FOUND.002
[24/11/2008 - 21:17:26 | SHD ] 	C:\FOUND.003
[08/05/2009 - 00:24:30 | A | 21] 	C:\gennavi.txt
[08/05/2009 - 00:20:28 | D ] 	C:\GenProc
[22/07/2010 - 21:46:46 | ASH | 1071763456] 	C:\hiberfil.sys
[25/02/2010 - 02:15:29 | D ] 	C:\hpdisk
[14/04/2010 - 22:04:41 | D ] 	C:\i386
[19/08/2006 - 04:44:42 | RASH | 0] 	C:\IO.SYS
[05/05/2010 - 18:02:44 | A | 127] 	C:\mbam-error.txt
[11/11/1999 - 00:17:54 | A | 49] 	C:\MCE.TAG
[19/08/2006 - 04:44:42 | RASH | 0] 	C:\MSDOS.SYS
[10/08/2004 - 20:00:00 | RASH | 47564] 	C:\NTDETECT.COM
[10/08/2004 - 20:00:00 | RASH | 251712] 	C:
tldr
[29/02/2004 - 17:44:34 | A | 52576] 	C:\orange.bmp
[22/07/2010 - 21:46:44 | ASH | 1610612736] 	C:\pagefile.sys
[19/08/2006 - 07:00:50 | RASH | 83] 	C:\Preload.aaa
[22/07/2010 - 22:40:33 | RD ] 	C:\Program Files
[03/07/2008 - 19:47:44 | SHD ] 	C:\Recycled
[22/07/2010 - 22:12:32 | SHD ] 	C:\RECYCLER
[19/08/2006 - 05:22:02 | A | 519] 	C:\RHDSetup.log
[12/12/2008 - 22:10:20 | AH | 232] 	C:\sqmdata00.sqm
[12/12/2008 - 22:10:20 | AH | 244] 	C:\sqmnoopt00.sqm
[24/06/2010 - 00:18:46 | SHD ] 	C:\System Volume Information
[25/02/2010 - 02:07:20 | D ] 	C:	emp
[22/07/2010 - 22:12:32 | D ] 	C:\UsbFix
[22/07/2010 - 22:12:41 | A | 1741] 	C:\UsbFix.txt
[22/07/2010 - 21:48:43 | AD ] 	C:\WINDOWS
[29/09/2007 - 19:34:08 | D ] 	D:\easyrecovery
[22/07/2010 - 22:12:32 | SHD ] 	D:\RECYCLER
[14/04/2010 - 21:59:25 | RD ] 	D:\Rescue me
[03/07/2008 - 19:26:19 | SHD ] 	D:\System Volume Information
[29/05/2010 - 14:43:42 | D ] 	G:\MISC
[29/04/2010 - 01:08:22 | D ] 	G:\DCIM
[12/06/2010 - 19:04:38 | SD ] 	G:\WD Sync Data

################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
D:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
G:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_BIDULOS.zip
https://www.ionos.fr/?affiliate_id=77097
Merci de votre contribution.

################## | E.O.F |

Xplode · Answer

Relance Ad-Remover et sélectionne l'option " Désinstaller " 
Relance USBFix et sélectionne l'option " Désinstaller " 

Puis fais ceci : 

-+-+-+-+-> ComboFix <-+-+-+- 


[x] Télécharge ComboFix ( de sUBs ) à cette adresse. 

/!\ Ferme toutes les fenêtres de programme ouvertes /!\ 

/!\ Désactive temporairement toutes les protections résidentes ( Antivirus, Pare-Feu, AntiSpyware ) /!\ 

[x] Double clique sur " Combofix.exe " 

[x] Suis les indications qui sont données à l'écran, à un moment tu auras un message te demandant d'installer la console de récupération, fais le.

[x] Pendant le scan, ne touche à rien ( souris, clavier ) 

[x] Tu seras peut être invité à redémarrer ton PC. A la fin du scan, combofix ouvrira un rapport, copie/colle le dans ta prochaine réponse.

Note : Si jamais il ne s'ouvrait pas, il se trouve sous C:\Combofix.txt
Xplode - Contributeur sécurité.

Eloya · Answer

Alors j'ai lancé MBAM comme tu me le conseillais dans un premier temps. Après 2heures de scan de mon disque dur et de tous mes périphériques il n'a rien trouvé du tout.
Puis j'ai voulu lancer Combofix en suivant tes instructions mais mon ordi n'a pas trop apprécié. La première fois la procédure s'est arrêtée après qu'il ait redémarré : message d'erreur sur ecran bleu et redémarrage. 
J'ai essayer de relancer comfix mais après redémarrage l'écran s'est bloqué tout noir sans aucune touche qui répondaient. Et je n'ai pas de document texte combofix dans C mais un "dossier" Combofix qui est en fait un raccourci vers poste de travail :$

Xplode · Answer

Bonjour,

-+-+-+-+-> GMER <-+-+-+-+-


[x] Rends toi sur cette page puis clique sur " Download EXE " pour télécharger GMER ( renommé ).

[x] Lance le, GMER va scanner ton PC automatiquement.

[x] Laisse GMER travailler.

[x] A la fin du scan, si des lignes rouges sont trouvées, fais clic droit dessus puis :

 - Delete service
 - Delete files
 - Kill process

[x] Clique ensuite sur "save" , sauvegarde le rapport puis copie/colle son contenu dans ton prochain message.

+ Un nouveau ZHPDiag s'il te plait.

Eloya · Answer

Bon mon ordi est vraiment mal, j'ai essayé deux fois de lancer GMER mais à chaque fois, à peine lancé j'ai eu à nouveau l'écran bleu indiquant une erreur et l'ordi qui bugg, du coup j'ai tenter de restaurer le système mais même en essayant 4 points de restauration ça n'a rien changé
ça m'inquiète un peu...

Xplode · Answer

Re-bonsoir,

Tu as un message d'erreur avec l'écran bleu, ou un code ?

Eloya · Answer

L'écran est tout bleu et un message d'erreur est écrit en blanc disant que le système a rencontré une erreur et que pour protéger le PC il va redémarrer ou quelque chose comme ça. Le message est long et prend tout l'écran, la typo ressemble au bios c'est une résolution très faible et je n'ai pas vu de code.
Ca t'inspire quelque chose?

Xplode · Answer

Bon bon bon.. refais moi un rapport ZHPDiag s'il te plait.

Eloya · Answer

Voici le rapport
http://www.cijoint.fr/cjlink.php?file=cj201007/cijuC9hJTi.txt

en tout cas je te remercie de réponse toujours aussi vite j'ai vraiment de la chance !

Xplode · Answer

-+-+-+-+-> ZHPFix <-+-+-+-+-


/!\ Utilisateurs de vista/7 , cette manipulation est à effectuer en tant qu'administrateur ( Clic droit -> [Exécuter en tant qu'administrateur] ) /!\

[x] Lance ZHPFix ( sur ton bureau ) puis clique sur le H bleu " Coller les lignes helper ".

[x] Copie/Colle le texte en gras ci-dessous dans l'encadré blanc puis clique sur [Ok]


[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified    
[HKCU\Software\VRZJ8K91NT]   
[HKCU\Software\pdfforge.org]    
[HKLM\Software\pdfforge.org]    
O64 - Services: CurCS - (.not file.) - SSHNAS (SSHNAS)  .(.Pas de propriétaire - Pas de description.) - LEGACY_SSHNAS   
R3 - URLSearchHook: Microsoft Url Search Hook - {EF99BD32-C1FB-11D2-892F-0090271D4F88} . (.Pas de propriétaire - Pas de description.) (No version) -- (.not file.)    
R3 - URLSearchHook: Microsoft Url Search Hook - {ba14329e-9550-4989-b3f2-9732e92d17cc} . (.Conduit Ltd. - Conduit Toolbar.) (5, 5, 0, 10) -- C:\Program Files\Vuze_Remote	bVuz1.dll    
O2 - BHO: Vuze Remote Toolbar - {ba14329e-9550-4989-b3f2-9732e92d17cc} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\Vuze_Remote	bVuz1.dll    
O3 - Toolbar: Vuze Remote Toolbar - {ba14329e-9550-4989-b3f2-9732e92d17cc} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\Vuze_Remote	bVuz1.dll   
[HKCU\Software\Conduit]   
O43 - CFD:Common File Directory ----D- C:\Program Files\DAEMON Tools Toolbar  


[x] Clique maintenant sur [Tous] , puis sur [Nettoyer]

[x] Copie/Colle le contenu du rapport à l'écran dans ton prochain message.

[x] Note : le rapport se trouve également sous C:\Program Files\ZHPDiag\ZHPFixReport.txt

Eloya · Answer

Voici le résultat

Rapport de ZHPFix v1.12.3126 par Nicolas Coolman, Update du 23/07/2010
Fichier d'export Registre : C:\ZHPExportRegistry-26-07-2010-23-09-07.txt
Run by Martinouss at 26/07/2010 23:09:07
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Clé du Registre ==========
HKCU\Software\VRZJ8K91NT  => Clé supprimée avec succès
HKCU\Software\pdfforge.org  => Clé supprimée avec succès
HKLM\Software\pdfforge.org  => Clé supprimée avec succès
O64 - Services: CurCS - (.not file.) - SSHNAS (SSHNAS) .(.Pas de propriétaire - Pas de description.) - LEGACY_SSHNAS  => Clé supprimée avec succès
[HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{ba14329e-9550-4989-b3f2-9732e92d17cc}]  => Clé supprimée avec succès
[HKCR\CLSID\{ba14329e-9550-4989-b3f2-9732e92d17cc}]  => Clé supprimée avec succès
O2 - BHO: Vuze Remote Toolbar - {ba14329e-9550-4989-b3f2-9732e92d17cc} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\Vuze_Remote	bVuz1.dll  => Clé supprimée avec succès
HKCU\Software\Conduit  => Clé supprimée avec succès

========== Valeur(s) du Registre ==========
R3 - URLSearchHook: Microsoft Url Search Hook - {EF99BD32-C1FB-11D2-892F-0090271D4F88} . (.Pas de propriétaire - Pas de description.) (No version) -- (.not file.)  => Valeur supprimée avec succès
R3 - URLSearchHook: Microsoft Url Search Hook - {ba14329e-9550-4989-b3f2-9732e92d17cc} . (.Conduit Ltd. - Conduit Toolbar.) (5, 5, 0, 10) -- C:\Program Files\Vuze_Remote	bVuz1.dll  => Valeur supprimée avec succès
O3 - Toolbar: Vuze Remote Toolbar - {ba14329e-9550-4989-b3f2-9732e92d17cc} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\Vuze_Remote	bVuz1.dll  => Valeur supprimée avec succès

========== Elément(s) de donnée du Registre ==========
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified  => Donnée supprimée avec succès

========== Dossier(s) ==========
C:\Program Files\DAEMON Tools Toolbar  => Supprimé et mis en quarantaine

Xplode · Answer

Bien, on continue :

-+-+-+-+-> Malwarebytes' Anti-Malware <-+-+-+-+-


[x] Télécharge Malwarebytes' Anti-malware sur ton bureau.

[x] Installe le en laissant les options par défaut ( Cocher seulement " Créer une icône sur le bureau " )

[x] A la fin de l'installation, MBAM se mettra à jour automatiquement puis s'exécutera.

[x] Une fois lancé, clique sur " Exécuter un examen complet " puis sur " Rechercher "

[x] Sélectionne tout tes disques locaux et amovibles

[x] Patiente pendant toute la durée du scan, puis clique sur " Ok " une fois l'analyse effectuée.

[x] Clique ensuite sur " Afficher les résultats " puis sur " Supprimer la sélection ". Valide ensuite par " Ok ".

[x] MBAM ouvrira un rapport, copie/colle son contenu dans ta prochaine réponse.

[x] Tu peux ensuite vider la quarantaine de MBAM.

[x] Note : MBAM t'invitera peut être à redémarrer ton PC, fais le. Le rapport se trouve dans la partie " Rapports/Logs " de MBAM.

[x] Si tu as des soucis, un tutoriel est disponible à cette adresse.

Eloya · Answer

Hello
Ca a encore donné un scan "clean" :

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4198

Windows 5.1.2600 Service Pack 2
Internet Explorer 6.0.2900.2180

27/07/2010 00:38:26
mbam-log-2010-07-27 (00-38-26).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 235459
Temps écoulé: 1 heure(s), 34 minute(s), 48 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

Xplode · Answer

Version de la base de données: 4198 

-> Tu n'as pas mis Malwarebytes' à jour. Mets le à jour puis relance un scan complet.

Eloya · Answer

Sir yes sir
et c'est reparti pour un tour :)

Eloya · Answer

Effectivement cette fois-ci il y avait quelque chose :
Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4363

Windows 5.1.2600 Service Pack 2
Internet Explorer 6.0.2900.2180

28/07/2010 00:23:51
mbam-log-2010-07-28 (00-23-51).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 242195
Temps écoulé: 1 heure(s), 30 minute(s), 6 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Documents and Settings\Martinouss\Application Data\chrtmp (Malware.Trace) -> Quarantined and deleted successfully.

Xplode · Answer

Comment se porte le PC maintenant?

Eloya · Answer

Je ne sais pas trop parce que les messages de virus arrivent irrégulièrement 
Je vais bien l'observer pour voir

Mille mercis pour ton aide en tout cas!!!

Infectée par Palevo - Page 2

Discussions similaires

Newsletters