Virus backdoor
bonjour,
j'ai un gros problème sur mon ordinateur.
au début j'avait windows xp
j'avais installer un nouveau antivirus et c'est là ou les problèmes ont commencés.
j'arrivais plus a ouvrir aucune session donc j'ai formater et réinstaller xp.j'ai tout installer antivirus... et pour finir je branche internet et j'ai tout qui a commencer a planter petit a petit.a la base mon antivirus (bitdefender professionnal v9) détecte un virus "backdoor.poebot.c" puis différents trojan.et rien a faire rien ne marche l'ordinateur fini par planter ou par indiquer un message d'erreur et demande de fermer la session pour redémarrer le système avec un compte a rebours d'une minute.Donc j'ai fini par formater et installer windows 2000 pro.La aussi mon antivirus trouve des virus "backdoor.botget.ftpb.gen" ou "backdoor.poebot.c"mais le système fonctionne a peu près correctement malgré qu'il m'indique toujours de temps en temps un message d'erreur avec un compte a rebours.
Comment je peux résoudre mon problème sur windows 2000 et comment je peux refaire fonctionner windows xp?
merci d'avance.
Quentin
j'ai un gros problème sur mon ordinateur.
au début j'avait windows xp
j'avais installer un nouveau antivirus et c'est là ou les problèmes ont commencés.
j'arrivais plus a ouvrir aucune session donc j'ai formater et réinstaller xp.j'ai tout installer antivirus... et pour finir je branche internet et j'ai tout qui a commencer a planter petit a petit.a la base mon antivirus (bitdefender professionnal v9) détecte un virus "backdoor.poebot.c" puis différents trojan.et rien a faire rien ne marche l'ordinateur fini par planter ou par indiquer un message d'erreur et demande de fermer la session pour redémarrer le système avec un compte a rebours d'une minute.Donc j'ai fini par formater et installer windows 2000 pro.La aussi mon antivirus trouve des virus "backdoor.botget.ftpb.gen" ou "backdoor.poebot.c"mais le système fonctionne a peu près correctement malgré qu'il m'indique toujours de temps en temps un message d'erreur avec un compte a rebours.
Comment je peux résoudre mon problème sur windows 2000 et comment je peux refaire fonctionner windows xp?
merci d'avance.
Quentin
19 réponses
-
bon la tu es sous quoi? 2000 ou XP?
fais ces scan en ligne ( avec internet explorer )
kaspersky
http://webscanner.kaspersky.fr/
bitdefender
http://fr.bitdefender.com/scan/licence.php
secuser
http://www.secuser.com/outils/antivirus.htm -
en ce moment je suis sous windows 2000
ok je vais les faire je mettrais les résultats sur le forum -
ModérateurInstaller un firewall avant la première connexion à internet.
http://sebsauvage.net/safehex.html#r012b-
-
Modérateur@Quentinah ok.
-
-
j'ai encore trouver autre chose sur mon ordinateur,le fichier qui me crée le compte a rebours est Lsass.exe
savez-vous quelque-chose sur ce fichier?? -
Lsass - Lsass.exe
Le processus Lsass.exe (LSASS signifiant Local Security Authority Subsystem Service) est un processus système natif de Windows 2000/XP gérant les mécanismes de sécurité locale et d'authentification des utilisateurs via le service WinLogon. Il s'agit ainsi d'un serveur local d'authentification servant, en cas d'authentification réussie, à créer un jeton d'accès permettant de lancer la session.
Le service Lsass original possède une faille de sécurité, exploitée notamment par le virus Sasser,qu'il est impératif de corriger ! -
Tu peux utiliser l'outil désinfectant d'avast dispo ici : http://www.01net.com/telecharger/windows/Utilitaire/antivirus/fiches/31497.html
-
Honnetement j'en sais rien, mais ça ne peut que faire du bien de passer l'outil désinfectant d'avast, il détecte tous les virus les plus courrant sur le web
-
salut
non !
les backdoor et sasser sont 2 choses distinctes
Passe le scan de bitdefender comme conseiller au poste 1
Puis N oublies pas un pare feu, et d utilier le correctif donne au dessu.
As tu egalement windows a jour? car le sp2 il me semble corrige la faille sasser...
si tu as besoin, CCM est a ta disposition
a+ -
Bon ben j'ai encore un problème je suis en train d'installer service pack 4 et maintenant c'est plus lsass.exe qui plante mais pokapoka78.exe qui plante mais je ne sais pas ce que c'est.
Pouvez-vous me dire ce que c'est comme fichier car je ne l'est pas trouvé sur votre site
merci d'avance -
pokapoka78 est un virus .
-
Pour l'instant j'ai juste réussi a faire un hijackthis:
je vais faire le reste tout à l'heure car j'ai de nouveau dut reformater
Logfile of HijackThis v1.99.1
Scan saved at 13:20:09, on 29/08/2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\MSTask.exe
C:\WINDOWS\System32\WBEM\WinMgmt.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\msiexec.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\etb\pokapoka78.exe
C:\WINDOWS\system32\internat.exe
C:\Program Files\RegFreeze\regfreeze.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\BOOSJ-~1\LOCALS~1\Temp\Rar$EX00.578\HijackThis.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\tftp.exe
R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.quicksearch360.com/sp2.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.quicksearch360.com/sp2.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\SYSTEM\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: @msdxmLC.dll,-1@1036,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [Application Layer Gateway Service] C:\WINDOWS\System32\algs.exe
O4 - HKLM\..\Run: [System service78] C:\WINDOWS\\\etb\\pokapoka78.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Startup: RegFreeze.lnk = C:\Program Files\RegFreeze\regfreeze.exe
O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe
O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O14 - IERESET.INF: START_PAGE_URL=http://www.fr.msn.com
O14 - IERESET.INF: MS_START_PAGE_URL=http://www.fr.msn.com
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\SYSTEM32\ati2sgag.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINDOWS\System32\dmadmin.exe -
-------------------------------------------------------------------------------
KASPERSKY ON-LINE SCANNER - RAPPORT
jeudi 1 septembre 2005 18:50:18
Système d'exploitation : Microsoft Windows 2000 Professional, Service Pack 4 (Build 2195)
Version de Kaspersky On-line Scanner: 5.0.78.0
Dernière mise à jour de la base antivirus Kaspersky : 1/11/2005
Enregistrements dans la base antivirus Kaspersky : 148116
-------------------------------------------------------------------------------
Paramètres d'analyse:
Analyser avec la base antivirus suivante: standard
Analyser les archives: vrai
Analyser les bases de messagerie.: vrai
Cible de l'analyse - Zones critiques:
C:\WINDOWS
C:\DOCUME~1\BOOSJ-~1\LOCALS~1\Temp\
Statistiques de l'analyse:
Total d'objets analysés :: 8110
Nombre de virus trouvés: 9
Nombre d'objets infectés: 25
Nombre d'objets suspects: 0
Durée de l'analyse: 00:04:33
Nom de l'objet infecté / Nom du virus / Dernière action
C:\WINDOWS\SYSTEM32\i Infecté: Trojan-Downloader.BAT.Ftp.ab ignoré
C:\WINDOWS\SYSTEM32\klvsin.exe Infecté: Backdoor.Win32.PoeBot.d ignoré
C:\WINDOWS\SYSTEM32\ojwgchs.exe Infecté: Backdoor.Win32.PoeBot.c ignoré
C:\WINDOWS\SYSTEM32\ggffqj.exe Infecté: Backdoor.Win32.PoeBot.c ignoré
C:\WINDOWS\SYSTEM32\.exe Infecté: Backdoor.Win32.IRCBot.ex ignoré
C:\WINDOWS\SYSTEM32\eabwf.exe Infecté: Backdoor.Win32.PoeBot.d ignoré
C:\WINDOWS\SYSTEM32\plscdksx.exe Infecté: Backdoor.Win32.Rbot.adf ignoré
C:\WINDOWS\ga.exe Infecté: Trojan-Downloader.Win32.Small.ayl ignoré
C:\WINDOWS\TEMP\k_7477.tmp Infecté: Trojan.Win32.EliteBar.f ignoré
C:\WINDOWS\etb\pokapoka79.exe Infecté: Trojan.Win32.EliteBar.h ignoré
C:\WINDOWS\etb\nt_hide79.dll Infecté: Trojan.Win32.EliteBar.h ignoré
C:\DOCUME~1\BOOSJ-~1\LOCALS~1\Temp\131292_1356_860_1400_79.41.tst Infecté: Trojan.Win32.EliteBar.h ignoré
C:\DOCUME~1\BOOSJ-~1\LOCALS~1\Temp\459094_1356_860_620_79.41.tst Infecté: Trojan.Win32.EliteBar.h ignoré
C:\DOCUME~1\BOOSJ-~1\LOCALS~1\Temp\131550_1356_860_2260_79.41.tst Infecté: Trojan.Win32.EliteBar.h ignoré
C:\DOCUME~1\BOOSJ-~1\LOCALS~1\Temp\327860_1356_860_1372_79.41.tst Infecté: Trojan.Win32.EliteBar.h ignoré
C:\DOCUME~1\BOOSJ-~1\LOCALS~1\Temp\197068_1572_1320_1600_78.41.tmp Infecté: Trojan.Win32.EliteBar.g ignoré
C:\DOCUME~1\BOOSJ-~1\LOCALS~1\Temp\k_349A.tmp Infecté: Trojan.Win32.EliteBar.f ignoré
C:\DOCUME~1\BOOSJ-~1\LOCALS~1\Temp\k_D276.tmp Infecté: Trojan.Win32.EliteBar.f ignoré
C:\DOCUME~1\BOOSJ-~1\LOCALS~1\Temp\k_BBF1.tmp Infecté: Trojan.Win32.EliteBar.f ignoré
C:\DOCUME~1\BOOSJ-~1\LOCALS~1\Temp\k_A50F.tmp Infecté: Trojan.Win32.EliteBar.f ignoré
C:\DOCUME~1\BOOSJ-~1\LOCALS~1\Temp\262374_180_1508_1356_79.41.tst Infecté: Trojan.Win32.EliteBar.h ignoré
C:\DOCUME~1\BOOSJ-~1\LOCALS~1\Temp\393640_180_1508_308_79.41.tst Infecté: Trojan.Win32.EliteBar.h ignoré
C:\DOCUME~1\BOOSJ-~1\LOCALS~1\Temp\131848_180_1508_1556_79.41.tst Infecté: Trojan.Win32.EliteBar.h ignoré
C:\DOCUME~1\BOOSJ-~1\LOCALS~1\Temp\131928_180_1508_1424_79.41.tst Infecté: Trojan.Win32.EliteBar.h ignoré
C:\DOCUME~1\BOOSJ-~1\LOCALS~1\Temp\k_F564.tmp Infecté: Trojan.Win32.EliteBar.f ignoré
Analyse terminée. -
analyse bitdefender
BitDefender Online Scanner
Rapport d'analyse généré à: Thu, Sep 01, 2005 - 19:01:58
Voie d'analyse: A:\;C:\;D:\;E:\;
Statistiques
Temps
00:05:25
Fichiers
30376
Directoires
613
Secteurs de boot
2
Archives
378
Paquets programmes
1246
Résultats
Virus identifiés
5
Fichiers infectés
8
Fichiers suspects
0
Avertissements
0
Désinfectés
0
Fichiers effacés
6
Info sur les moteurs
Définition virus
232261
Version des moteurs
AVCORE v1.0 (build 2292) (i386) (Mar 3 2005 11:57:29)
Analyse des plugins
13
Archive des plugins
39
Unpack des plugins
4
E-mail plugins
6
Système plugins
1
Paramètres d'analyse
Première action
Désinfecté
Seconde Action
Supprimé
Heuristique
Oui
Acceptez les avertissements
Oui
Extensions analysées
exe;com;dll;ocx;scr;bin;dat;386;vxd;sys;wdm;cla;class;ovl;ole;hlp;doc;dot;xls;ppt;wbk;wiz;pot;ppa;xla;xlt;vbs;vbe;mdb;rtf;htm;hta;html;xml;xtp;php;asp;js;shs;chm;lnk;pif;prc;url;smm;pfd;msi;ini;csc;cmd;bas;
Excludez les extensions
Analyse d'emails
Oui
Analyse des Archives
Oui
Analyser paquets programmes
Oui
Analyse des fichiers
Oui
Analyse de boot
Oui
Fichier analysé
Statut
C:\WINDOWS\SYSTEM32\ojwgchs.exe
Infecté par: Backdoor.Poebot.C
C:\WINDOWS\SYSTEM32\ojwgchs.exe
Echec de la désinfection
C:\WINDOWS\SYSTEM32\ojwgchs.exe
Supprimé
C:\WINDOWS\SYSTEM32\ggffqj.exe
Infecté par: Backdoor.Poebot.C
C:\WINDOWS\SYSTEM32\ggffqj.exe
Echec de la désinfection
C:\WINDOWS\SYSTEM32\ggffqj.exe
Supprimé
C:\WINDOWS\SYSTEM32\.exe
Infecté par: Backdoor.Irc.Sdbot.126
C:\WINDOWS\SYSTEM32\.exe
Echec de la désinfection
C:\WINDOWS\SYSTEM32\.exe
Supprimé
C:\WINDOWS\ga.exe
Infecté par: Trojan.Dialer.GlobalAcces
C:\WINDOWS\ga.exe
Echec de la désinfection
C:\WINDOWS\ga.exe
Supprimé
C:\WINDOWS\ilt.exe
Infecté par: Backdoor.SDBot.E3871567
C:\WINDOWS\ilt.exe
Echec de la désinfection
C:\WINDOWS\ilt.exe
Echec de la suppression
C:\WINDOWS\etb\pokapoka79.exe
Infecté par: BehavesLike:Win32.ExplorerHijack
C:\WINDOWS\etb\pokapoka79.exe
Echec de la désinfection
C:\WINDOWS\etb\pokapoka79.exe
Echec de la suppression
C:\Documents and Settings\BOOS J-G\Local Settings\Temporary Internet Files\Content.IE5\Q34ZI1ER\pokapoka79[1].exe
Infecté par: BehavesLike:Win32.ExplorerHijack
C:\Documents and Settings\BOOS J-G\Local Settings\Temporary Internet Files\Content.IE5\Q34ZI1ER\pokapoka79[1].exe
Echec de la désinfection
C:\Documents and Settings\BOOS J-G\Local Settings\Temporary Internet Files\Content.IE5\Q34ZI1ER\pokapoka79[1].exe
Supprimé
C:\Documents and Settings\BOOS J-G\Local Settings\Temporary Internet Files\Content.IE5\OXYZSLAN\ga[1].exe
Infecté par: Trojan.Dialer.GlobalAcces
C:\Documents and Settings\BOOS J-G\Local Settings\Temporary Internet Files\Content.IE5\OXYZSLAN\ga[1].exe
Echec de la désinfection
C:\Documents and Settings\BOOS J-G\Local Settings\Temporary Internet Files\Content.IE5\OXYZSLAN\ga[1].exe
Supprimé -
salut
effaces ces fichiers manuellement
C:\WINDOWS\SYSTEM32\i
C:\WINDOWS\SYSTEM32\klvsin.exe
C:\WINDOWS\SYSTEM32\ojwgchs.exe
C:\WINDOWS\SYSTEM32\ggffqj.exe
C:\WINDOWS\SYSTEM32\eabwf.exe
C:\WINDOWS\SYSTEM32\plscdksx.exe I
C:\WINDOWS\ga.exe fecté: Trojan-Downloader.Win32.Small.ayl ignoré
C:\WINDOWS\etb\ > le répertoire
puis applique ceci
Installe ce nettoyeur CCLEANER http://www.ccleaner.com/ ou lien direct là http://www.filehippo.com/download_ccleaner.html (la flèche)
Tutorial là http://www.vulgarisation-informatique.com/nettoyer-windows-ccleaner.php
a+ -
re
ok Kaspersky n'avait pas fais le boulot, Bitdefender bien tout ok alors
a+ -
dans WINDOWS/etb il y a le fichier pokapoka79.exe et nt_hide79.dll et je peux pas les supprimer car ils sont en cours d'utilisation
-
re
utilise cette méthode alors
effaceur Hijackthis
ouvrir Hijackthis là en bas droite CONFIG puis onglet MISCtools, là « Delete a file on reboot », cliq dessus et suivre chemin de fichier à effacer, il indique alors « voulez-vous redémarrer maintenant », cliq sur NON si d’autres fichiers sont à sélectionner et à nouveau « Delete a file on reboot » .. puis cliq OUI quand tous les fichiers sont sélectionnés
a+ -
j'ai supprimer les fichiers mais ils sont de nouveau sur mon ordinateur
-
re
on essaie autre chose alors
1. Télécharger SmitfraudFix du site de S!Ri sur le bureau par exemple:
http://siri.urz.free.fr/Fix/SmitfraudFix.zip
2. désactiver l’antivirus (car est détecté faussement comme virus malware)
3. décomprimer SmitfraudFix
4. Lancer SmitfraudFix, et choisir l’option 1 ; copier le rapport ici ;
5. Redémarrer l’ordi en mode sans échec ;
6. vérifier que l’antivirus est toujours désactivé
7. Relancer SmitfraudFix à nouveau mais choisir l’option 2 et accepter les demandes, copier le log ;
8. Redémarrer l’ordi en mode normal,
9. vérifier le redémarrage de l’antivirus si cela n’est pas automatique et refaire un Hijackthis
http://www.merijn.org/files/hijackthis.zip
et copier/coller le rapport ici avec le 2ème rapport de smitfraud;
a+
