Infections multiples, rapport List_Kill'em

Résolu/Fermé
DoPav71 - 8 mars 2011 à 22:03
juju666 Messages postés 35446 Date d'inscription jeudi 18 décembre 2008 Statut Contributeur sécurité Dernière intervention 21 avril 2024 - 11 mars 2011 à 21:17
Bonjour,

J'ai récemment été infecté par plusieurs virus, et notamment une pub pour un logiciel qui revenait encore et encore. En plus de ça, mon ordinateur est très lent.


J'ai commencé en faisant un scan avec List_Kill'em et voici ce que j'ai obtenu :
List'em.txt : http://www.cijoint.fr/cjlink.php?file=cj201103/cijRCX4B5P.txt
More.txt : http://www.cijoint.fr/cjlink.php?file=cj201103/cija6VeiLi.txt



Merci d'avance pour votre aide !


25 réponses

juju666 Messages postés 35446 Date d'inscription jeudi 18 décembre 2008 Statut Contributeur sécurité Dernière intervention 21 avril 2024 4 796
8 mars 2011 à 22:18
Salut :)


si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "exécuter en tant que...."


▶ Relance List_Kill'em,avec le raccourci sur ton bureau.

mais cette fois-ci :

▶ choisis l'Option Clean

▶▶▶ Ne clique qu'une seule fois sur le bouton !!

laisse travailler l'outil.

en fin de scan la fenêtre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

▶ colle le contenu dans ta réponse

@+
0
Le Kill'em.txt : http://www.cijoint.fr/cjlink.php?file=cj201103/cijFtzeYmA.txt
0
juju666 Messages postés 35446 Date d'inscription jeudi 18 décembre 2008 Statut Contributeur sécurité Dernière intervention 21 avril 2024 4 796
8 mars 2011 à 22:43
Okey


si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "exécuter en tant que...."


▶ Relance List_Kill'em,avec le raccourci sur ton bureau.

mais cette fois-ci :

▶ choisis l'Tools

▶▶▶ Choisi Script

Colle le texte suivant dans le fichier texte qui s ouvre:

FILE:C:\Documents and Settings\HP_Propri'taire\Local Settings\Temp\*.exe
FILE:C:\documents and settings\hp_propriétaire\application data\37824
REM:"HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Tok-Cirrhatus"
REM:"HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "swg"
REM:"HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "mscj2"
REM:"HKEY_CURRENT_USER\software\AntiVirus AntiSpyware 2011"
PORT:1900:UDP
PORT:2869:TCP
FILE:C:\Documents and Settings\HP_Propriétaire\Application Data\AntiVirus AntiSpyware 2011


▶ ensuite onglet fichier => enregistrer => fermer

▶ laisser travailler l outil et poster le script.txt qui sera sur le bureau
0
Voici le script : http://www.cijoint.fr/cjlink.php?file=cj201103/cijR30PyG0.txt
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
juju666 Messages postés 35446 Date d'inscription jeudi 18 décembre 2008 Statut Contributeur sécurité Dernière intervention 21 avril 2024 4 796
8 mars 2011 à 23:47
Okey nickel

Bon j'ai besoin de ces deux dropper pour étude :)

C:\Documents and Settings\HP_Propri'taire\Local Settings\Temp\02c9c3c35bdx5.exe
C:\Documents and Settings\HP_Propri'taire\Local Settings\Temp\472a10e2ebxd9.exe

Tu les sélectionne, clic droit > envoyer vers > dossier compressé.

Tu envoie ce dossier sur cjoint.com et tu m'envoie le lien par message privé :)

Tu peux ensuite supprimer ces deux dropper.

Nous allons effectuer un diagnostic de ton PC:
Télécharge ZHPDiag sur ton bureau :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
ou :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html
ou :
https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

▶ Laisse toi guider lors de l'installation,coche "Ajouter une icône sur le bureau" et décoche la case "Exécuter ZHPDiag"

/!\Utilisateur de Vista et Seven : Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur »

▶ Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
▶ Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
▶ Héberge le rapport ZHPDiag.txt sur un des sites ci dessous, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :
http://pjjoint.malekal.com/

Si indispo:
http://www.cijoint.fr/
ou :
http://ww38.toofiles.com/fr/documents-upload.html
ou :
https://www.cjoint.com/
ou :
https://www.casimages.com/

▶ Tuto zhpdiag :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html


Hébergement de rapport sur pjjoint.malekal.com

▶ Rends toi sur pjjoint.malekal.com
▶ Clique sur le bouton Parcourir
▶ Sélectionne le fichier que tu veux heberger et clique sur Ouvrir
▶ Clique sur le bouton Envoyer
▶ Un message de confirmation s'affiche (L'upload a réussi ! - Le lien à transmettre à vos correspondant pour visualiser le fichier est : https://pjjoint.malekal.com/files.php?id=df5ea299241015 Copie le lien dans ta prochaine réponse.

++
0
DoPav71 Messages postés 12 Date d'inscription mercredi 9 mars 2011 Statut Membre Dernière intervention 11 mars 2011
9 mars 2011 à 02:31
Voilà le rapport ZHPDiag.txt : https://pjjoint.malekal.com/files.php?id=547dedcf721412

J'ai également envoyé les deux dropper par Message privé
0
juju666 Messages postés 35446 Date d'inscription jeudi 18 décembre 2008 Statut Contributeur sécurité Dernière intervention 21 avril 2024 4 796
9 mars 2011 à 02:38
Y'a encore du lourd on va se marrer ^^

C'est parti dit adieu à tes bestioles mouhahaha

Attention, avant de commencer, lit attentivement la procédure, et imprime la

/!\ Ne pas utiliser ce logiciel en dehors du cadre de cette désinfection : DANGEUREUX /!\

tutoriel combofix

▶ Fais un clic droit sur le lien ci dessous, choisi "Enregistrer la cible du lien sous", comme destination : ton Bureau, change son nom (ton_pseudo.exe par exemple) :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

/!\ Déconnecte-toi du net et ARRÊTE TES LOGICIELS DE PROTECTION /!\

▶ Double-clique sur ComboFix.exe
Un "pop-up" va apparaître qui dit que ComboFix est utilisé à vos risques et avec aucune garantie... Clique sur oui pour accepter

▶ ▶ SURTOUT INSTALLES LA CONSOLE DE RECUPERATION
(si il te propose de l'installer remets internet)

▶ Mets-le en langue française F

▶ Tape sur la touche 1 (Yes) pour démarrer le scan.


▶ Ne touche à rien(souris, clavier) tant que le scan n'est pas terminé, car tu risques de planter ton PC


En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.

▶ Une fois le scan achevé, un rapport va s'afficher : Poste son contenu

▶ ▶ /!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\

▶ Note : Le rapport se trouve également là : C:\ComboFix.txt


@+
0
DoPav71 Messages postés 12 Date d'inscription mercredi 9 mars 2011 Statut Membre Dernière intervention 11 mars 2011
9 mars 2011 à 04:13
Voici le rapport ComboFix : http://www.cijoint.fr/cjlink.php?file=cj201103/cijucscrRq.txt
0
juju666 Messages postés 35446 Date d'inscription jeudi 18 décembre 2008 Statut Contributeur sécurité Dernière intervention 21 avril 2024 4 796
9 mars 2011 à 04:25
Head shot \o_

T'as quoi là dedans ? c:\documents and settings\HP_Propriétaire\Application Data\37824

Désinstalle Spybot qui sert à rien (t'as du t'en rendre compte lol) ainsi que SweetIM (très limite ce truc... Y'a plein de contacts msn qui me font chier à m'envoyer des liens [sans le vouloir] pour que je télécharge cette m**de.

Télécharge de AD-Remover sur ton Bureau. (Merci à C_XX)

http://www.teamxscript.org/adremoverTelechargement.html ( Lien officiel )
OU
https://www.androidworld.fr/ ( Miroir )

/!\ Ferme toutes applications en cours /!\

▶ Double-clique sur l'icône Ad-remover située sur ton Bureau.
▶ Sur la page, clique sur le bouton « Nettoyer »
▶ Confirme lancement du scan
▶ Laisse travailler l'outil.
▶ Poste le rapport qui apparaît à la fin.

(Le rapport est sauvegardé aussi sous C:\Ad-report(Scan/clean).Txt)

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller)

Ensuite tu peux refaire un scan de contrôle avec ZHPDiag :)

PS: tes dropper merdouillent chez moi, fait chi*r :D
0
DoPav71 Messages postés 12 Date d'inscription mercredi 9 mars 2011 Statut Membre Dernière intervention 11 mars 2011
9 mars 2011 à 05:28
Dans le dossier 37824, j'ai trois application : bbzzkzz17, mscj2 et recf et un fichier DAT : userid

J'ai bien désinstallé Spybot et SweetIM.

Voici le rapport de AD-Remover : http://www.cijoint.fr/cjlink.php?file=cj201103/cijhplGRzH.txt

Voici le scan de contrôle ZHPDiag : http://www.cijoint.fr/cjlink.php?file=cj201103/cijpkI8tS3.txt

:)
0
juju666 Messages postés 35446 Date d'inscription jeudi 18 décembre 2008 Statut Contributeur sécurité Dernière intervention 21 avril 2024 4 796
9 mars 2011 à 12:06
Salut ^^

Y'a encore des trucs qui traînent ...

▶ Télécharge Malwarebytes' Anti-Malware et enregistre le sur ton bureau.

▶ ▶ Miroir 1 si inaccessible
▶ ▶ Miroir 2 si inaccessible

▶ ▶ /!\ Utilisateur de Vista et Windows 7 : Clique droit sur le logo de Malwarebytes' Anti-Malware, « exécuter en tant qu'Administrateur »

▶ Double clique sur le fichier téléchargé pour lancer le processus d'installation.
▶ Dans l'onglet "mise à jour", clique sur le bouton Recherche de mise à jour
▶ si le pare-feu demande l'autorisation de se connecter pour Malwarebytes, accepte
Une fois la mise à jour terminée
▶ rends-toi dans l'onglet Recherche
▶ Sélectionne Exécuter un examen complet
▶ Clique sur Rechercher
▶ ▶ Le scan démarre.
▶ A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.
▶ Clique sur Ok pour poursuivre.
▶ Si des malwares ont été détectés, cliques sur Afficher les résultats
▶ Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection . Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
▶ Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. Copie/colle le ici (ctrl+a pour tout sélectionner, ctrl+c pour copier, ctrl+v pour coller)

▶ ▶ Il se peut que MBAM ait besoin de redémarrer le pc pour finaliser la suppression, donc pas de panique, redémarre ton pc !!!
▶ Une fois le PC redémarré, rends toi dans l'onglet rapport/log
▶ Tu clique dessus pour l'afficher, une fois affiché
▶ Copie/colle le ici (ctrl+a pour tout sélectionner, ctrl+c pour copier, ctrl+v pour coller)

Si tu as besoin d'aide regarde ce tutoriel :
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

++
0
DoPav71 Messages postés 12 Date d'inscription mercredi 9 mars 2011 Statut Membre Dernière intervention 11 mars 2011
9 mars 2011 à 19:59
Voilà le rapport MBAM : http://www.cijoint.fr/cjlink.php?file=cj201103/cijNcvJxwN.txt
0
juju666 Messages postés 35446 Date d'inscription jeudi 18 décembre 2008 Statut Contributeur sécurité Dernière intervention 21 avril 2024 4 796
9 mars 2011 à 20:22
Yo,

Re head shot \o_

Brontok et un backdoor en moins.

▶ Télécharge UsbFix (créé par El Desaparecido & C_XX) sur ton Bureau. Si ton antivirus affiche une alerte, ignore le et désactive le temporairement.

Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir

Vista/Seven : Clic droit sur UsbFix > Exécuter en tant qu'administrateur, l'installation se fera automatiquement
XP : double clic sur UsbFix

▶ Clique sur "Suppression"

▶ Laisse travailler l'outil

▶ Ton Bureau va disparaitre: c'est normal

▶ A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)

▶ Aide en images : Tutoriel "Nettoyage"

++
0
DoPav71 Messages postés 12 Date d'inscription mercredi 9 mars 2011 Statut Membre Dernière intervention 11 mars 2011
10 mars 2011 à 03:16
Voilà qui est fait : http://www.cijoint.fr/cjlink.php?file=cj201103/cijGcsdUCs.txt
0
juju666 Messages postés 35446 Date d'inscription jeudi 18 décembre 2008 Statut Contributeur sécurité Dernière intervention 21 avril 2024 4 796
10 mars 2011 à 03:22
Saluuuuut =]

Après le grand ménage ^^'

Nous allons effectuer un diagnostic de ton PC:
Télécharge ZHPDiag sur ton bureau :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
ou :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html
ou :
https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

▶ Laisse toi guider lors de l'installation,coche "Ajouter une icône sur le bureau" et décoche la case "Exécuter ZHPDiag"

/!\Utilisateur de Vista et Seven : Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur »

▶ Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
▶ Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
▶ Héberge le rapport ZHPDiag.txt sur un des sites ci dessous, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :
http://pjjoint.malekal.com/

Si indispo:
http://www.cijoint.fr/
ou :
http://ww38.toofiles.com/fr/documents-upload.html
ou :
https://www.cjoint.com/
ou :
https://www.casimages.com/

▶ Tuto zhpdiag :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html


Hébergement de rapport sur pjjoint.malekal.com

▶ Rends toi sur pjjoint.malekal.com
▶ Clique sur le bouton Parcourir
▶ Sélectionne le fichier que tu veux heberger et clique sur Ouvrir
▶ Clique sur le bouton Envoyer
▶ Un message de confirmation s'affiche (L'upload a réussi ! - Le lien à transmettre à vos correspondant pour visualiser le fichier est : https://pjjoint.malekal.com/files.php?id=df5ea299241015 Copie le lien dans ta prochaine réponse.

++
0
DoPav71 Messages postés 12 Date d'inscription mercredi 9 mars 2011 Statut Membre Dernière intervention 11 mars 2011
10 mars 2011 à 03:34
Voici le rapport : http://www.cijoint.fr/cjlink.php?file=cj201103/cijzvA9Jwr.txt
0
juju666 Messages postés 35446 Date d'inscription jeudi 18 décembre 2008 Statut Contributeur sécurité Dernière intervention 21 avril 2024 4 796
Modifié par juju666 le 10/03/2011 à 03:51
Okey :]

T'as toujours combofix sur ton bureau ? Si pas, retélécharge le (voir plus haut)

▶ ▶ DÉSACTIVE TES PROTECTIONS DURANT LA PROCÉDURE

▶ Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes :

KillAll:: 

Rootkit:: 
C:\DOCUME~1\HP_PRO~1\LOCALS~1\Temp\nenum13E.sys  

File:: 
C:\Program Files\vg     
C:\Documents and Settings\HP_Propriétaire\Application Data\37824\recf.exe    

Folder:: 
C:\Documents and Settings\HP_Propriétaire\Application Data\37824 
C:\Program Files\Spybot - Search & Destroy     

Driver:: 
NENUM13E 

Registry:: 
[HKCU\Software\SweetIM]  




▶ Enregistre ce fichier sous le nom CFScript

▶ Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture :http://i261.photobucket.com/albums/ii49/Malekal_morte/CFScript-2.gif

▶ Combofix se lance, laisse toi guider..

▶ Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal!
Ne touche à rien tant que le scan n'est pas terminé.
▶ Une fois le scan achevé, un rapport va s'afficher: poste son contenu, en précisant où en sont tes soucis

▶ Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt



Ensuite:

▶ Rentre dans ton panneau de configuration....
▶ Apparence et personnalisation...
▶ Option des dossiers...(double cliquer dessus)
▶ Dans l'onglet affichage un peu plus bas où il est indiqué "Afficher les dossiers et fichiers cachés": Coche cette option
▶ Encore plus bas : Masquer les fichiers protégés du système d'exploitation (recommandé) : à décocher.

▶ ▶ ensuite rends toi sur ce lien:
https://www.virustotal.com/gui/

(si virustotal ne fonctionne pas: https://virusscan.jotti.org/fr


▶ Là où il est indiqué "envoyer le fichier", Clique sur "parcourir"
recherche les entrées suivante dans ton disque :

C:\WINDOWS\system32\749A40709A.sys    


▶ Si une fenêtre apparait disant, "Le fichier à déjà été Analysé", Alors clique sur Réanalyser le fichier maintenant

▶ Copie et colle le lien de ta barre d'adresse ici, après que l'analyse soit terminée

@+
.::. Membre Contributeur Commentçamarche .::.
0
DoPav71 Messages postés 12 Date d'inscription mercredi 9 mars 2011 Statut Membre Dernière intervention 11 mars 2011
10 mars 2011 à 04:23
Voici le rapport ComboFix : http://www.cijoint.fr/cjlink.php?file=cj201103/cij2Kgrw5r.txt

Pour mes problèmes, à première vue il n'y en a plus.

Voici le lien de virustotal.com : http://www.virustotal.com/file-scan/report.html?id=6030a9bfc51c2a22dda9b4ff1bba855db13dc3bdb7689f495fd6878e81b98504-1299727153
0
juju666 Messages postés 35446 Date d'inscription jeudi 18 décembre 2008 Statut Contributeur sécurité Dernière intervention 21 avril 2024 4 796
10 mars 2011 à 09:41
Salut :)

Bon eh bien je pense que c'était la dernière chose à faire :)

Relance une analyse de diagnostic ZHPDiag :]

@+
0
DoPav71 Messages postés 12 Date d'inscription mercredi 9 mars 2011 Statut Membre Dernière intervention 11 mars 2011
10 mars 2011 à 18:54
Voilà l'analyse ZHPDiag : http://www.cijoint.fr/cjlink.php?file=cj201103/cijYfw9WJt.txt
0