Virus TR/Dropper.Gen

Résolu/Fermé
bibrouff Messages postés 6 Date d'inscription samedi 4 décembre 2010 Statut Membre Dernière intervention 7 décembre 2010 - 4 déc. 2010 à 20:33
Malekal_morte- Messages postés 180242 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 - 7 déc. 2010 à 20:30
Bonjour,

A l'aide !!
J'ai un virus qui est en train de ruiner mon pc.
Avast et Antivir s'affolent et malgré mes scans successifs et redémarrage, le virus ne s'en va pas.
Je lis dans les forums que c'est un virus très commun mais je ne m'en sors pas.
Quel cador en informatique peut m'aider svp??
Merci !!

10 réponses

Malekal_morte- Messages postés 180242 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 581
4 déc. 2010 à 20:58
Salut,

Télécharge et installe Malwarebyte : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Mets le à jour, fais un scan, supprime tout et poste le rapport ici.

puis :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)

* Lance OTL
* Sous Peronnalisation, copie-colle ce qu'il y a dans le cadre ci-dessous :
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%Application Data*.
%ALLUSERSPROFILE%Application Data*.exe /s
%APPDATA%*.
%APPDATA%*.exe /s
%SYSTEMDRIVE%*.exe
%systemroot%*. /mp /s
%systemroot%system32*.dll /lockedfiles
%systemroot%Tasks*.job /lockedfiles
%systemroot%system32drivers*.sys /lockedfiles
%systemroot%System32config*.sav
/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop
CREATERESTOREPOINT

* Clique sur le bouton Analyse.
* Quand le scan est fini, utilise le site http://www.cijoint.fr/ pour me donner les deux rapports : OTL.Txt et Extras.Txt.

1
bibrouff Messages postés 6 Date d'inscription samedi 4 décembre 2010 Statut Membre Dernière intervention 7 décembre 2010
5 déc. 2010 à 10:34
Bonjour,
Merci de ton aide,
Ci-dessous le rapport:
Malwarebytes' Anti-Malware 1.50
www.malwarebytes.org

Version de la base de données: 5247

Windows 5.1.2600 Service Pack 2
Internet Explorer 8.0.6001.18702

05/12/2010 10:14:20
mbam-log-2010-12-05 (10-14-20).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 187037
Temps écoulé: 9 minute(s), 38 seconde(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 6
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 12

Processus mémoire infecté(s):
c:\WINDOWS\system32\msvmiode.exe (Backdoor.Bot) -> 556 -> Unloaded process successfully.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Microsoft Driver Setup (Backdoor.Bot) -> Value:

Microsoft Driver Setup -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\Microsoft Driver Setup

(Backdoor.Bot) -> Value: Microsoft Driver Setup -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MSODESNV7 (Backdoor.Bot) -> Value: MSODESNV7 ->

Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Worm.Palevo) -> Value: Shell ->

Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\ForceClassicControlPanel

(Hijack.ControlPanelStyle) -> Value: ForceClassicControlPanel -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Taskman (Worm.Palevo) -> Value: Taskman ->

Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1)

Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Documents and Settings\Bibrof.TITANIUMV2COMPU\Local Settings\Temp\212.exe (Backdoor.Bot) -> Delete on reboot.
c:\WINDOWS\cwdrive32.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
c:\RECYCLER\s-1-5-21-2178931667-5072011495-756450338-5123\syscr.exe (Trojan.Agent) -> Quarantined and deleted

successfully.
c:\WINDOWS\system32\42.exe (Trojan.Agent) -> Quarantined and deleted successfully.
c:\documents and settings\bibrof.titaniumv2compu\local settings\Temp\16140.exe (Backdoor.Bot) -> Quarantined and

deleted successfully.
c:\documents and settings\bibrof.titaniumv2compu\local settings\Temp\57196.exe (Backdoor.Bot) -> Quarantined and

deleted successfully.
c:\documents and settings\bibrof.titaniumv2compu\local settings\temporary internet

files\Content.IE5\2K0M0RDS\dateonetwo[1].ol (Backdoor.Bot) -> Quarantined and deleted successfully.
c:\documents and settings\networkservice.autorite nt\local settings\temporary internet

files\content.ie5\fa5yrd4e\122[1].gif (Extension.Mismatch) -> Quarantined and deleted successfully.
c:\documents and settings\networkservice.autorite nt\local settings\temporary internet

files\Content.IE5\MPPA4LHI\hehe[1].exe (Trojan.Agent) -> Quarantined and deleted successfully.
c:\documents and settings\bibrof.titaniumv2compu\application data\ltzqai.exe (Worm.Palevo) -> Delete on reboot.
c:\WINDOWS\system32\41.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\WINDOWS\system32\msvmiode.exe (Backdoor.Bot) -> Quarantined and deleted successfully.

J'ai aussi posté les 2 fichiers txt sur le site cijoint.fr
http://www.cijoint.fr/cjlink.php?file=cj201012/cijzI3ZCSS.txt
http://www.cijoint.fr/cjlink.php?file=cj201012/cijlDfQX5I.txt

Encore merci de ton aide.
0
Malekal_morte- Messages postés 180242 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 581
5 déc. 2010 à 13:03
BotLand ton PC....
Il est controlé pour envoyer des mails de SPAM et faire des attaques, récupérer tes mots de passe etc...

Windows XP Professional Edition Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation

Pas à jour...
Pareil pour Adobe Reader, pas étonnant que ton PC soit pourri.

Ton Windows n'est pas à jour, il contient des failles de sécurités, les virus passent par ces failles pour infecter ton ordinateur.
Ton Windows est donc [b]vulnérable[/b].
Cela sert à rien de commencer une désinfection tant ton Windows n'a pas été mis à jour sinon les virus vont revenir.

Pour plus d'informations sur les failles de sécurités distantes, lire l'article suivant : https://forum.malekal.com/viewtopic.php?t=3452&start=

~~

Envoie les fichiers suivants sur http://upload.malekal.com :
C:\Documents and Settings\Bibrof.TITANIUMV2COMPU\Local Settings\Temp\212.exe
C:\Documents and Settings\Bibrof.TITANIUMV2COMPU\Application Data\ltzqai.exe

Relance OTL.
o sous Peronnalisation, copie_colle le contenu du cadre ci dessous et clic Correction, un rapport apparraitra suite à l'operation que tu conserveras sur clé usb par exemple afin d'en coller le resultat:

:OTL
PRC - [2010/12/05 09:52:11 | 000,114,688 | ---- | M] (NVIDIA) -- C:\Documents and Settings\Bibrof.TITANIUMV2COMPU\Local Settings\Temp\212.exe
PRC - [2010/12/04 20:26:20 | 000,057,344 | ---- | M] () -- C:\Documents and Settings\Bibrof.TITANIUMV2COMPU\Local Settings\Temp\2800.exe
O20 - HKLM Winlogon: TaskMan - (C:\Documents and Settings\Bibrof.TITANIUMV2COMPU\Application Data\ltzqai.exe) - C:\Documents and Settings\Bibrof.TITANIUMV2COMPU\Application Data\ltzqai.exe ()
[2010/12/04 12:19:37 | 000,094,208 | ---- | M] () -- C:\Documents and Settings\Bibrof.TITANIUMV2COMPU\Application Data\ltzqai.exe


* redemarre le pc sous windows et poste le rapport ici


Puis scanne C:\WINDOWS\explorer.exe sur https://www.virustotal.com/gui/
donne le lien de scan ici.

Mets à jour Malwarebyte, refais un scan complet et poste le rapport ici.
1
Malekal_morte- Messages postés 180242 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 581
6 déc. 2010 à 09:09
OK, ça doit aller mieux.

Refais un scan OTL comme là : https://forums.commentcamarche.net/forum/affich-20044489-virus-tr-dropper-gen#1
et donne les rapports.

Remets à jour Malwarebyte et fais un scan complet avec et poste le rapport ici.
1
Malekal_morte- Messages postés 180242 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 581
6 déc. 2010 à 20:28
c:\documents and settings\bibrof.titaniumv2compu\local settings\temporary internet files\Content.IE5\GYMHNUCW\serv[1].exe (Worm.Rimecud) -> Quarantined and deleted successfully.

C'est revenu par internet.....
Soit tu vas un site avec un exploit....
Soit tu vas télécharger n'importe quoi.....

Bref fais ça en toute urgence :

* Assure toi que le parefeu de Windows est fonctionnel : Panneau de configuration / Pare-feu => regarde s'il est actif.
* Nettoye tes médias amovibles en suivant ce tuto : https://www.malekal.com/tutoriels-logiciels/
* Mets à jour Windows en installant le service pack 3 : http://www.microsoft.com/downloads/details.aspx?FamilyID=2fcde6ce-b5fb-4488-8c50-fe22559d164e&displayLang=fr
* Passe un coup de Windows Update ensuite.

Refais un OTL + Malwarebyte.
1

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Malekal_morte- Messages postés 180242 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 581
7 déc. 2010 à 12:11
OK donc ton truc allait par des vulnérabilités à distance.
Passe un coup de Windows Update.

Refais un scan Malwarebyte histoire de confirmer que c'est bien OK.
1
Malekal_morte- Messages postés 180242 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 581
7 déc. 2010 à 20:30
Fais plus attention à l'avenir....

Maintiens tes logiciel à jour c'est important, utilise ce programme : /faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite
Absolument à faire.

Les antivirus ne font pas tout en ce qui concerne la sécurité de ta machine (mettre à jour ses logiciels etc etc)
La meilleur protection reste de connaître les infections pour pouvoir les éviter et avoir de bonne habitude.
Donc faut se documenter.

Un peu de lecture pour éviter les infections :
- connaitre et éviter les infections : https://www.malekal.com/fichiers/projetantimalwares/ProjetAntiMalware-courte.pdf
- sécuriser son PC : http://forum.malekal.com/comment-securiser-son-ordinateur.html
- lire : http://www.commentcamarche.net/faq/27128-malwares-quels-enjeux-version-synthese

Ce qu'il ne faut pas faire :
Je télécharge n'importe quoi - je m'infecte :
https://forums.commentcamarche.net/forum/affich-19719198-onglets-pub-intempestifs#14
https://forums.commentcamarche.net/forum/affich-18347759-le-nouveau-avast-sonne-trop-souvent#9
Je télécharge depuis n'importe où - je m'infecte : https://forums.commentcamarche.net/forum/affich-19916973-clickpotato-vlc-virus#6
Recommandations sur la sécurité : https://forums.commentcamarche.net/forum/affich-18680013-windows-7-et-antispyware#1

Fonctionnement de quelques catégories de malwares :
https://forums.commentcamarche.net/forum/affich-17725521-virus-programme-troyen
https://forums.commentcamarche.net/forum/affich-17746390-concernant-la-propagation-des-virus

Si tu as des questions sur le fonctionement des malwares.
N'hésite pas.
1
bibrouff Messages postés 6 Date d'inscription samedi 4 décembre 2010 Statut Membre Dernière intervention 7 décembre 2010
5 déc. 2010 à 19:01
Windows ne trouve pas les fichiers
C:\Documents and Settings\Bibrof.TITANIUMV2COMPU\Local Settings\Temp\212.exe
C:\Documents and Settings\Bibrof.TITANIUMV2COMPU\Application Data\ltzqai.exe


Voici le scan d'OTL (pourqui tu m'a parlé d'une clef usb?)
========== OTL ==========
No active process named 212.exe was found!
Process 2800.exe killed successfully!
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\TaskMan:C:\Documents and Settings\Bibrof.TITANIUMV2COMPU\Application Data\ltzqai.exe deleted successfully.
File C:\Documents and Settings\Bibrof.TITANIUMV2COMPU\Application Data\ltzqai.exe not found.
File C:\Documents and Settings\Bibrof.TITANIUMV2COMPU\Application Data\ltzqai.exe not found.

OTL by OldTimer - Version 3.2.17.3 log created on 12052010_183621


Ca c'est le lien de scan de virustotal:
http://www.virustotal.com/file-scan/report.html?id=6a8d22c1847e6559d4f6862a9bb96cca3924ef480ef01db617f375c9f6b0fbb4-1291571058

Et là c'est le post de malwarebytes:
Malwarebytes' Anti-Malware 1.50
www.malwarebytes.org

Version de la base de données: 5248

Windows 5.1.2600 Service Pack 2
Internet Explorer 8.0.6001.18702

05/12/2010 19:00:10
mbam-log-2010-12-05 (19-00-10).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 188206
Temps écoulé: 9 minute(s), 45 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)
0
bibrouff Messages postés 6 Date d'inscription samedi 4 décembre 2010 Statut Membre Dernière intervention 7 décembre 2010
6 déc. 2010 à 20:21
Salut MAlekal,
Ci-joint le lien OTL:
http://www.cijoint.fr/cjlink.php?file=cj201012/cij3mLX2E2.txt

Là c'est le rapport Malwarebyte:
Malwarebytes' Anti-Malware 1.50
www.malwarebytes.org

Version de la base de données: 5256

Windows 5.1.2600 Service Pack 2
Internet Explorer 8.0.6001.18702

06/12/2010 20:17:24
mbam-log-2010-12-06 (20-17-24).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 190365
Temps écoulé: 9 minute(s), 44 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 3

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Advanced EHTAL Enable (Worm.Rimecud) -> Value: Advanced EHTAL Enable -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Documents and Settings\Bibrof.TITANIUMV2COMPU\Local Settings\Temp\2800.exe (Worm.Rimecud) -> Delete on reboot.
c:\documents and settings\bibrof.titaniumv2compu\local settings\temporary internet files\Content.IE5\GYMHNUCW\serv[1].exe (Worm.Rimecud) -> Quarantined and deleted successfully.
c:\documents and settings\networkservice.autorite nt\local settings\temporary internet files\content.ie5\k35236em\122[1].gif (Extension.Mismatch) -> Quarantined and deleted successfully.
0
bibrouff Messages postés 6 Date d'inscription samedi 4 décembre 2010 Statut Membre Dernière intervention 7 décembre 2010
6 déc. 2010 à 23:45
Pfff la galère... Bah nan j'télécharge même pas depuis cette histoire de virus.. Mais j'ai de temps en temps avast qui bloque un site DCOM Exploit.. Bref , j'ai téléchargé Service pack 3, ce qui m'a permis de réactiver le pare-feu windows (il était devenu inaccessible).
Par contre maintenant, Internet explorer ne marche plus; heureusement j'avais google chrome..

Bon, voilà le lien OTL sur cijoint.fr (top ce site d'ailleurs!)
http://www.cijoint.fr/cjlink.php?file=cj201012/cijsYVUFvf.txt

Et là le post Malwarebyte:
Malwarebytes' Anti-Malware 1.50
www.malwarebytes.org

Version de la base de données: 5257

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

06/12/2010 23:39:28
mbam-log-2010-12-06 (23-39-28).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 187139
Temps écoulé: 8 minute(s), 20 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\documents and settings\networkservice.autorite nt\local settings\temporary internet files\content.ie5\fa5yrd4e\122[1].gif (Extension.Mismatch) -> Quarantined and deleted successfully.
0
bibrouff Messages postés 6 Date d'inscription samedi 4 décembre 2010 Statut Membre Dernière intervention 7 décembre 2010
7 déc. 2010 à 20:02
Salut,
voilà le post, ca m'a l'air bcp plus propre...

Malwarebytes' Anti-Malware 1.50
www.malwarebytes.org

Version de la base de données: 5263

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

07/12/2010 19:58:53
mbam-log-2010-12-07 (19-58-53).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 187969
Temps écoulé: 8 minute(s), 43 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)


J'ai passé un coup de windows update, il en a installé des mises à jour, crenom!
0