Win32.Bagle.CZ@mm ... tenace - Page 2

Le rapport de Bitdefender :

//-----------------------------------------------------------------
//
// Product: BitDefender 9 Professional Plus
// Version: 9.0
//
// Créé le: 04/01/2006 07:52:17
//
//-----------------------------------------------------------------

Statistiques

Chemin cible: C:\
D:\
Dossiers : 3982
Fichiers : 405186
Archives : 13314
Fichiers empaquetés : 44404
Virus trouvés : 1
Fichiers infectés : 1
Alertes : 0
Fichiers suspects : 0
Fichiers désinfectés : 0
Fichiers effacés : 1
Fichiers copiés : 0
Fichiers déplacés : 0
Fichiers renommés : 0
Erreurs I/O : 64
Temps d'analyse := 00:45:47
Fichiers/seconde :147

Définitions virus : 249138
Plugins d'analyse : 13
Plugins archives : 39
Plug-ins décompression : 4
Plug-ins messagerie : 6
Plug-ins système : 1

Options d'analyse

Détection
[X] Analyser le secteur de boot
[X] Analyser les archives
[X] Analyser les fichiers en paquets
[X] Analyser la messagerie

Masque fichiers
[ ] Programmes
[X] Tous les fichiers
[ ] Extensions définies par l'utilisateur:
[ ] Exclure les extensions: ;

Action

Objets infectés
[ ] Ignorer
[X] Désinfecter
[ ] Effacer
[ ] Copier
[ ] Déplacer dans le dossier infectés
[ ] Renommer
[ ] Demander l'action

Seconde action
[ ] Ignorer
[ ] Effacer
[ ] Copier
[X] Déplacer dans le dossier infectés
[ ] Renommer
[ ] Demander l'action

Options d'analyse
[X] Activer les alertes
[X] Activer l'heuristique
[ ] Afficher tous les fichiers dans le journal
[X] Fichier journal : C:\Program Files\Softwin\BitDefender9\Logs\vscan_1136357537.log

Sommaire :

C:\Documents and Settings\Alex\Local Settings\Application Data\Identities\{51591E1F-E4A1-4FED-9B70-AF6035087453}\Microsoft\Outlook Express\Éléments supprimés.dbx=>(message 5)=>[Subject: ][Date: Mon, 19 Sep 2005 21:28:36 +0300]=>(MIME part)=>new_price.zip=>price_list.exe Infecté avec: Win32.Bagle.CZ@mm
C:\Documents and Settings\Alex\Local Settings\Application Data\Identities\{51591E1F-E4A1-4FED-9B70-AF6035087453}\Microsoft\Outlook Express\Éléments supprimés.dbx=>(message 5)=>[Subject: ][Date: Mon, 19 Sep 2005 21:28:36 +0300]=>(MIME part)=>new_price.zip=>price_list.exe Effacé
C:\Documents and Settings\Alex\Local Settings\Application Data\Identities\{51591E1F-E4A1-4FED-9B70-AF6035087453}\Microsoft\Outlook Express\Éléments supprimés.dbx=>(message 5)=>[Subject: ][Date: Mon, 19 Sep 2005 21:28:36 +0300]=>(MIME part)=>new_price.zip Mise à jour
C:\Documents and Settings\Alex\Local Settings\Application Data\Identities\{51591E1F-E4A1-4FED-9B70-AF6035087453}\Microsoft\Outlook Express\Éléments supprimés.dbx=>(message 5)=>[Subject: ][Date: Mon, 19 Sep 2005 21:28:36 +0300]=>(MIME part) Mise à jour
C:\Documents and Settings\Alex\Local Settings\Application Data\Identities\{51591E1F-E4A1-4FED-9B70-AF6035087453}\Microsoft\Outlook Express\Éléments supprimés.dbx=>(message 5) Mise à jour
C:\Documents and Settings\Alex\Local Settings\Application Data\Identities\{51591E1F-E4A1-4FED-9B70-AF6035087453}\Microsoft\Outlook Express\Éléments supprimés.dbx Mise à jour impossible

Lol oui j'ai déjà utilisé ceci mais je dois avouer que j'y comprends rien, mais voila je comprends un peu là, j'ai fouiller un peu est en fait ces des adresses de spam !
Donc a virer :)

Meme pensée que moi?

Salut à tous !

Disons que ma 1ère satisfaction est de ne plus avoir Winfix 2005. Par contre, Bagle.cz est toujours détecté par bitdefender et le scanner online de Kapersky, même si je n'ai pas de gêne apparente dans le fonctionnement de mon ordi...

Le dernier rapport :

Logfile of HijackThis v1.99.1
Scan saved at 07:41:41, on 05/01/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\System32\ezSP_Px.exe
C:\Program Files\sony\vaio update 2\VAIOUpdt.exe
C:\Program Files\drag'n drop cd+dvd\BinFiles\DragDrop.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Softwin\BitDefender9\bdoesrv.exe
C:\PROGRA~1\softwin\BITDEF~1\bdnagent.exe
C:\PROGRA~1\softwin\BITDEF~1\bdswitch.exe
C:\Program Files\sony\usbsircs\USBsircs.exe
C:\Program Files\sony\giga pocket\ReserveModule.exe
C:\Program Files\sony\giga pocket\gps.exe
C:\Program Files\sony\giga pocket\shwserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\sony\giga pocket\RM_SV.exe
C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe
C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe
C:\Program Files\Softwin\BitDefender9\vsserv.exe
c:\progra~1\softwin\bitdef~1\bdmcon.exe
C:\Program Files\Adobe\Acrobat 7.0\Reader\AcroRd32.exe
C:\Documents and Settings\Alex\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
N3 - Netscape 7: user_pref("browser.search.defaultengine", "engine://C%3A%5CProgram%20Files%5CNetscape%5CNetscape%5Csearchplugins%5CNetscape_France.src"); (C:\Documents and Settings\Alex\Application Data\Mozilla\Profiles\default\047efsqr.slt\prefs.js)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: SYSTRAN Personal 5.0 - {A5899B52-3AF9-4F56-85FE-AD7B3BE8490F} - C:\Program Files\SYSTRAN\5.0\Personal\IEPlugIn.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exe
O4 - HKLM\..\Run: [VAIO Update 2] "C:\Program Files\sony\vaio update 2\VAIOUpdt.exe" /Stationary
O4 - HKLM\..\Run: [Drag'n Drop CD+DVD] C:\Program Files\drag'n drop cd+dvd\BinFiles\DragDrop.exe /StartUp
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [BDMCon] c:\PROGRA~1\softwin\BITDEF~1\bdmcon.exe
O4 - HKLM\..\Run: [BDOESRV] "C:\Program Files\Softwin\BitDefender9\bdoesrv.exe"
O4 - HKLM\..\Run: [BDNewsAgent] "C:\PROGRA~1\softwin\BITDEF~1\bdnagent.exe"
O4 - HKLM\..\Run: [BDSwitchAgent] "C:\PROGRA~1\softwin\BITDEF~1\bdswitch.exe"
O4 - Startup: RegFreeze.lnk = C:\Program Files\RegFreeze\regfreeze.exe
O4 - Global Startup: Pilote Remocon.lnk = C:\Program Files\sony\usbsircs\USBsircs.exe
O4 - Global Startup: Timer Recording Manager.lnk = C:\Program Files\sony\giga pocket\ReserveModule.exe
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Backward Links - res://c:\program files\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://c:\program files\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Similar Pages - res://c:\program files\google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Translate into English - res://c:\program files\google\GoogleToolbar1.dll/cmtrans.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_01\bin\npjpi142_01.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_01\bin\npjpi142_01.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.club-vaio.sony-europe.com/
O15 - Trusted Zone: *.sony-europe.com
O15 - Trusted Zone: *.sonystyle-europe.com
O15 - Trusted Zone: *.vaio-link.com
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kavwebscan_unicode.cab
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: Giga Pocket Hardware Detector - Sony Corporation - C:\Program Files\sony\giga pocket\shwserv.exe
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)
O23 - Service: PACSPTISVR - Unknown owner - C:\Program Files\Fichiers communs\Sony Shared\AVLib\Pacsptisvr.exe
O23 - Service: Sony TV Tuner Controller - Sony Corporation - C:\Program Files\sony\giga pocket\halsv.exe
O23 - Service: Sony TV Tuner Manager - Sony Corporation - C:\Program Files\sony\giga pocket\RM_SV.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\Sptisrv.exe
O23 - Service: VAIO Media Music Server (VAIOMediaPlatform-MusicServer-AppServer) - Unknown owner - C:\Program Files\sony\vaio media music server\SSSvr.exe" /Service=VAIOMediaPlatform-MusicServer-AppServer /DisplayName="VAIO Media Music Server (file missing)
O23 - Service: VAIO Media Music Server (HTTP) (VAIOMediaPlatform-MusicServer-HTTP) - Unknown owner - C:\Program Files\Fichiers communs\Sony Shared\vaio media platform\sv_httpd.exe" /Service=VAIOMediaPlatform-MusicServer-HTTP /RegRoot="Software\Sony Corporation\VAIO Media Platform\2.0" /RegExt="Applications\MusicServer\HTTP (file missing)
O23 - Service: VAIO Media Music Server (UPnP) (VAIOMediaPlatform-MusicServer-UPnP) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\vaio media platform\UPnPFramework.exe
O23 - Service: VAIO Media Photo Server (VAIOMediaPlatform-PhotoServer-AppServer) - Sony Corporation - C:\Program Files\sony\photo server\appsrv\PhotoAppSrv.exe
O23 - Service: VAIO Media Photo Server (HTTP) (VAIOMediaPlatform-PhotoServer-HTTP) - Unknown owner - C:\Program Files\Fichiers communs\sony shared\vaio media platform\SV_Httpd.exe" /Service=VAIOMediaPlatform-PhotoServer-HTTP /RegRoot="Software\Sony Corporation\VAIO Media Platform\2.0" /RegExt="\Applications\PhotoServer\HTTP (file missing)
O23 - Service: VAIO Media Photo Server (UPnP) (VAIOMediaPlatform-PhotoServer-UPnP) - Sony Corporation - C:\Program Files\Fichiers communs\sony shared\vaio media platform\UPnPFramework.exe
O23 - Service: VAIO Media Video Server (VAIOMediaPlatform-VideoServer-AppServer) - Unknown owner - C:\Program Files\sony\giga pocket\GPVSvr.exe" /Service=VAIOMediaPlatform-VideoServer-AppServer /DisplayName="VAIO Media Video Server (file missing)
O23 - Service: VAIO Media Video Server (HTTP) (VAIOMediaPlatform-VideoServer-HTTP) - Unknown owner - C:\Program Files\Fichiers communs\sony shared\vaio media platform\SV_Httpd.exe" /Service=VAIOMediaPlatform-VideoServer-HTTP /RegRoot="SOFTWARE\Sony Corporation\VAIO Media Platform\2.0" /RegExt="\Applications\VideoServer\HTTP (file missing)
O23 - Service: VAIO Media Video Server (UPnP) (VAIOMediaPlatform-VideoServer-UPnP) - Sony Corporation - C:\Program Files\Fichiers communs\sony shared\vaio media platform\UPnPFramework.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Program Files\Softwin\BitDefender9\vsserv.exe" /service (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

salut

je t ai dis cela ou?
Sinon la manip est simple, je peux te la dire

a+

Le poste 7 ca remonte lol

Quand l infection ressemble a cela
O2 - BHO: ATLDistrib Object - {7A1A109F-58B3-414B-9829-5F4D9BE5FEDE} - C:\WINDOWS\system32\vtsqr.dll
O20 - Winlogon Notify: vtsqr - C:\WINDOWS\system32\vtsqr.dll

*Trojan vundo/trojan agent CS1/virtualmonde

Une méthode de désinfection :

Au préalable :

Télécharger et Générer un rapport avec HijackThis

1/

télécharger : process xp ici:
http://www.sysinternals.com/files/procexpnt.zip

Télécharger: Pocket Killbox ici
http://www.downloads.subratam.org/KillBox.exe

:: Démo d utilisation (merci a Balltrap34 pour cette réalisation) ::
http://pageperso.aol.fr/balltrap34/killbox.htm

**
Si vous avez le tea timer de spybot :
Désactive le temps de la manip, le Tea timer de Spybot
lance Spybot >mode avancé> outils >> résident
Décoche la case résident "tea timer"
referme Spybot

2/

Déconnecte toi du net.
Ferme tous les programmes en cours (média player, internet explorer, ...etc)

Dézippe (clic droit > extraire) process xp et double clic sur processxp.exe

* Dans la fenêtre principale de processxp double clic sur winlogon.exe
Dans la nouvelle fenêtre qui s'ouvre clique sur threads
sélectionne seulement les lignes qui contiennent la dll infectée met toi tu dois dire laquelle c est puis clique sur kill pour chacune des lignes trouvées.
une fois fait, valide avec ok

* Dans la fenêtre principale de processxp double clic sur explorer.exe
Dans la nouvelle fenêtre qui s'ouvre clique sur threads
sélectionner seulement les lignes qui contiennent la dll infectee idem ici puis clique sur kill pour chacune des lignes trouvées.
une fois fait, valide avec ok

3/

puis lancer HijackThis:

clique sur "do a system scan only"

* Cocher la case au début de ces lignes:

Fixer la 02 et 020 (la 02 a souvent comme nom MSevent (ou ATLDistrib Object).La dll de la 020 et de la 02 est similaire !)

* Valider avec fix checked

5/

Double clic sur killbox.exe (Pocket Killbox)

- coche: delete on reboot
- Dans "Full Path of File to Delete"
copie et colle:

Insérer le chemin complet de l’infection (disponible en 02 et 020)

- clique sur la croix rouge
- une fenêtre va apparaître pour confirmation clique sur YES
- une seconde fenêtre te demande si tu veux redémarrer clique sur YES

Laisse le pc redémarrer.
Et après vérifier dans un log HijackThis que tout a disparu

Bonsoir !
Je n'ai plus les lignes O2 - BHO: ATLDistrib Object - {7A1A109F-58B3-414B-9829-5F4D9BE5FEDE} - C:\WINDOWS\system32\vtsqr.dll
O20 - Winlogon Notify: vtsqr - C:\WINDOWS\system32\vtsqr.dll
dans mon rapport hijack this, mais Biddefender détecte à chaque scan le virus. Il y a donc encore des éléments non détruits, je présume (?)

//-----------------------------------------------------------------
//
// Product: BitDefender 9 Professional Plus
// Version: 9.0
//
// Créé le: 05/01/2006 23:07:34
//
//-----------------------------------------------------------------

Statistiques

Chemin cible: C:\
D:\
Dossiers : 3991
Fichiers : 389190
Archives : 13045
Fichiers empaquetés : 43490
Virus trouvés : 1
Fichiers infectés : 1
Alertes : 0
Fichiers suspects : 0
Fichiers désinfectés : 0
Fichiers effacés : 1
Fichiers copiés : 0
Fichiers déplacés : 0
Fichiers renommés : 0
Erreurs I/O : 63
Temps d'analyse := 00:38:36
Fichiers/seconde :168

Définitions virus : 250449
Plugins d'analyse : 13
Plugins archives : 39
Plug-ins décompression : 4
Plug-ins messagerie : 6
Plug-ins système : 1

Options d'analyse

Détection
[X] Analyser le secteur de boot
[X] Analyser les archives
[X] Analyser les fichiers en paquets
[X] Analyser la messagerie

Masque fichiers
[ ] Programmes
[X] Tous les fichiers
[ ] Extensions définies par l'utilisateur:
[ ] Exclure les extensions: ;

Action

Objets infectés
[ ] Ignorer
[X] Désinfecter
[ ] Effacer
[ ] Copier
[ ] Déplacer dans le dossier infectés
[ ] Renommer
[ ] Demander l'action

Seconde action
[ ] Ignorer
[ ] Effacer
[ ] Copier
[X] Déplacer dans le dossier infectés
[ ] Renommer
[ ] Demander l'action

Options d'analyse
[X] Activer les alertes
[X] Activer l'heuristique
[ ] Afficher tous les fichiers dans le journal
[X] Fichier journal : C:\Program Files\Softwin\BitDefender9\Logs\vscan_1136498854.log

Sommaire :

C:\Documents and Settings\Alex\Local Settings\Application Data\Identities\{51591E1F-E4A1-4FED-9B70-AF6035087453}\Microsoft\Outlook Express\Éléments supprimés.dbx=>(message 5)=>[Subject: ][Date: Mon, 19 Sep 2005 21:28:36 +0300]=>(MIME part)=>new_price.zip=>price_list.exe Infecté avec: Win32.Bagle.CZ@mm
C:\Documents and Settings\Alex\Local Settings\Application Data\Identities\{51591E1F-E4A1-4FED-9B70-AF6035087453}\Microsoft\Outlook Express\Éléments supprimés.dbx=>(message 5)=>[Subject: ][Date: Mon, 19 Sep 2005 21:28:36 +0300]=>(MIME part)=>new_price.zip=>price_list.exe Effacé
C:\Documents and Settings\Alex\Local Settings\Application Data\Identities\{51591E1F-E4A1-4FED-9B70-AF6035087453}\Microsoft\Outlook Express\Éléments supprimés.dbx=>(message 5)=>[Subject: ][Date: Mon, 19 Sep 2005 21:28:36 +0300]=>(MIME part)=>new_price.zip Mise à jour
C:\Documents and Settings\Alex\Local Settings\Application Data\Identities\{51591E1F-E4A1-4FED-9B70-AF6035087453}\Microsoft\Outlook Express\Éléments supprimés.dbx=>(message 5)=>[Subject: ][Date: Mon, 19 Sep 2005 21:28:36 +0300]=>(MIME part) Mise à jour
C:\Documents and Settings\Alex\Local Settings\Application Data\Identities\{51591E1F-E4A1-4FED-9B70-AF6035087453}\Microsoft\Outlook Express\Éléments supprimés.dbx=>(message 5) Mise à jour
C:\Documents and Settings\Alex\Local Settings\Application Data\Identities\{51591E1F-E4A1-4FED-9B70-AF6035087453}\Microsoft\Outlook Express\Éléments supprimés.dbx Mise à jour impossible

J'ai trouvé ce site allemand (?) qui propose un .exe contre win32.bagle.cz@mm, est-ce que vous pensez que ce site est sérieux et que le .exe a un intérêt pour se débarrasser du petit virus tenace ?

Thx

Alex

le site : http://sicherheit.altmuehlnet.de/sw/removals.htm

J'ai réussi à me débarrasser de win32.bagle.cz@mm grâce à vous et à un mail du support de Bitdefender. Le mail reçu ce soir :

"Monsieur,

Nous vous remercions pour votre confiance dans la solution de sécurité BitDefender.
Le virus dont vous parlez se trouve dans un email que vous avez reçu le 19 Sep 2005. Cherchez parmi vos éléments supprimés un email sans sujet mais qui contient l'attachement new_price.zip et supprimez le. Après l'avoir supprimé, allez au Fichier->Dossier->Compacter tous les dossiers. Si vous ne trouvez pas cet email, il suffit seulement de suivre la procédure ci dessus pour compacter les dossiers d'Outlook Express."

Depuis que j'ai supprimé le message et compacté outlook express, l'antivirus ne détecte plus d'élément infecté.

Bref, j'en ai enfin fini avec ce virus !!!

Encore merci à vous !

Alex