Je voudrais savoir si je suis infecté, svp
Obalmasqué_ohé
-
gen-hackman -
gen-hackman -
Bonjour,
Après un telechargement et une infection, la semaine dernière, je suis venu sur ce forum et ai commencé une désinfection.
Malheureusment, je n'ai pas eu le temps de la terminer, et j'ai tenté de "bidouiller" des trucs tout seul. Je crois avoir effacer des fichiers, notamment "csrss" (je ne sais pas ce que c'est). Windows m'indique qu'il n'a pas pu trouver tel ou tel fichier au démarrage.
Après une défaillance de Firefox par rapport au proxy, j'ai changé les options de proxy, et pour l'instant ... ca marche, et meme ! je n'ai plus le problème initial qui m'avait amené sur ce forum la semaine dernière, mais j'aimerais bien savoir si mon ordi est clean, et si ma "bidouille" est dangereuse.
Merci d'avance.
(je suis dispo jusque 20h00)
Après un telechargement et une infection, la semaine dernière, je suis venu sur ce forum et ai commencé une désinfection.
Malheureusment, je n'ai pas eu le temps de la terminer, et j'ai tenté de "bidouiller" des trucs tout seul. Je crois avoir effacer des fichiers, notamment "csrss" (je ne sais pas ce que c'est). Windows m'indique qu'il n'a pas pu trouver tel ou tel fichier au démarrage.
Après une défaillance de Firefox par rapport au proxy, j'ai changé les options de proxy, et pour l'instant ... ca marche, et meme ! je n'ai plus le problème initial qui m'avait amené sur ce forum la semaine dernière, mais j'aimerais bien savoir si mon ordi est clean, et si ma "bidouille" est dangereuse.
Merci d'avance.
(je suis dispo jusque 20h00)
25 réponses
- 1
- 2
Suivant
Résumé de la discussion
Une infection informatique est décrite après laquelle des fichiers système semblent manquants et le démarrage échoue, suite à une tentative de désinfection incomplète et des bidouilles. Plusieurs intervenants préconisent de poursuivre la désinfection avec des outils spécialisés tels que Pre_Scan et Pre_Script, et des utilitaires comme RogueKiller, tout en nettoyant les entrées de démarrage et les fichiers potentiellement malveillants. D'autres rappellent l'importance de ne pas échanger des informations techniques par messages privés et d'éviter les manipulations manuelles risquées qui pourraient détruire des fichiers système. Sur le plan pratique, la vérification des références à csrss.exe et des entrées du registre doit être accompagnée de sauvegardes et, si nécessaire, d'une restauration ou d'une réinstallation du système, sans conclure sur l'état final.
-
salut ceci manque de precision pour pouvoir t'aider
Windows m'indique qu'il n'a pas pu trouver tel ou tel fichier au démarrage. -
Bonjour,
Merci de bien vouloir continuer le désinfection en forum.
Les Mp ne doivent être utiliser que pour des dialogues d'ordre privé et non technique, merci.
@+ -
Dsl pr ces desagréments. (J'espère que ce msg passera, sans avoir à ecrire en MP)
J'ai téléchargé Malwarrebytes, et procédé à l'analyse. 12 menaces detectées. je poste le rapport ? -
-
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question -
je préfère poser la question, des fois que ca ne serve à rien...
Malwarebytes' Anti-Malware 1.51.0.1200
www.malwarebytes.org
Version de la base de données: 6796
Windows 5.1.2600 Service Pack 2
Internet Explorer 6.0.2900.2180
07/06/2011 17:13:50
mbam-log-2011-06-07 (17-13-39).txt
Type d'examen: Examen complet (C:\|F:\|)
Elément(s) analysé(s): 174906
Temps écoulé: 1 heure(s), 6 minute(s), 8 seconde(s)
Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 3
Elément(s) de données du Registre infecté(s): 3
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 6
Processus mémoire infecté(s):
(Aucun élément nuisible détecté)
Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)
Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load (Trojan.Agent) -> Value: Load -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\ForceClassicControlPanel (Hijack.ControlPanelStyle) -> Value: ForceClassicControlPanel -> No action taken.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer (PUM.Bad.Proxy) -> Value: ProxyServer -> No action taken.
Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
Dossier(s) infecté(s):
(Aucun élément nuisible détecté)
Fichier(s) infecté(s):
c:\documents and settings\oanig\application data\dwm.exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\oanig\application data\microsoft\conhost.exe (Backdoor.Cycbot.Gen) -> No action taken.
c:\program files\ZHPDiag\quarantine\conhost.exe.vir (Backdoor.Cycbot.Gen) -> No action taken.
c:\program files\ZHPDiag\quarantine\csrss.exe.vir (Backdoor.Cycbot.Gen) -> No action taken.
c:\program files\ZHPDiag\quarantine\svchost.exe.vir (Trojan.Agent.Gen) -> No action taken.
c:\WINDOWS\system32\calc.exe (Trojan.Agent.Gen) -> No action taken. -
-
-
Je pense que tu parles des msgs de windows signalant qu'il ne peut ouvrir tel ou tel fichier...
je redémarre, je note, et je te dis. -
Re,
msg 1 : "impossible de trouver C:_documents1_locals~1_temp_csrss.exe. Vérifiez qu'il existe ou faites une recherche.
Je fais OK (j'ai pas d'autre choix)
msg 2 : impossible de charger/executer C:\docu\etc\csrss.exe.vérifiez qu'il existe sur l'ordi ou supprimez la reference dans le registre.
Je fais OK (j'ai pas d'autre choix), et ... voilà. -
ok
▶ Télécharge ici : USBFIX sur ton bureau
branche tous tes periphériques sans les ouvrir
/!\ Désactive provisoirement et seulement le temps de l'utilisation d'USBFIX, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.
si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."
sur l'icône Usbfix située sur ton Bureau.
Sur la page, clique sur le bouton :
▶ choisi l option Suppression
▶ UsbFix scannera ton pc , laisse travailler l outil.
▶ Ensuite post le rapport UsbFix.txt qui apparaitra avec le bureau .
▶ Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )
( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )
-
ayet !
############################## | UsbFix 7.047 | [Suppression]
Utilisateur: oanig (Administrateur) # ORDINATEUR [ ]
Mis à jour le 06/06/2011 par TeamXscript
Lancé à 20:09:45 | 07/06/2011
Site Web: http://www.teamxscript.org
Submit your sample: http://www.teamxscript.org/Upload.php
Contact: TeamXscript.ElDesaparecido@gmail.com
CPU: Intel(R) Pentium(R) 4 CPU 2.40GHz
Microsoft Windows XP Professionnel (5.1.2600 32-Bit) # Service Pack 2
Internet Explorer 6.0.2900.2180
Pare-feu Windows: Activé
Antivirus: AntiVir Desktop 9.0.1.32 [(!) Disabled | Updated]
RAM -> 503 Mo
C:\ (%systemdrive%) -> Disque fixe # 37 Go (7 Go libre(s) - 19%) [] # NTFS
D:\ -> CD-ROM
E:\ -> CD-ROM
F:\ -> Disque fixe # 233 Go (88 Go libre(s) - 38%) [DD Oanig] # NTFS
################## | Éléments infectieux |
Supprimé! C:\Recycler\S-1-5-21-854245398-1979792683-682003330-1003
Supprimé! F:\$RECYCLE.BIN\S-1-5-21-493834933-3827274755-3397516916-1000
Supprimé! F:\Recycler\S-1-5-21-854245398-1979792683-682003330-1003
################## | Registre |
Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|forceclassiccontrolpanel
################## | Mountpoints2 |
################## | Listing |
[26/05/2011 - 19:45:49 | N | 3059] C:\Ad-Report-CLEAN[1].txt
[26/05/2011 - 19:52:01 | N | 2442] C:\Ad-Report-CLEAN[2].txt
[06/06/2011 - 16:57:13 | N | 2572] C:\Ad-Report-CLEAN[3].txt
[26/05/2011 - 19:42:35 | N | 2839] C:\Ad-Report-SCAN[1].txt
[06/06/2011 - 16:55:46 | N | 2461] C:\Ad-Report-SCAN[2].txt
[29/01/2010 - 16:46:45 | N | 0] C:\AUTOEXEC.BAT
[26/05/2011 - 06:22:33 | N | 265] C:\boot.ini
[28/08/2001 - 20:00:00 | N | 4952] C:\Bootfont.bin
[29/01/2010 - 17:39:44 | D ] C:\compaq
[29/01/2010 - 16:46:45 | N | 0] C:\CONFIG.SYS
[04/04/2010 - 15:41:01 | D ] C:\DigitalVideoConverter
[29/01/2010 - 16:58:44 | D ] C:\Documents and Settings
[29/01/2010 - 17:27:03 | D ] C:\Drivers
[02/11/2010 - 19:08:34 | N | 2821] C:\install.log
[29/01/2010 - 16:46:45 | N | 0] C:\IO.SYS
[29/01/2010 - 16:46:45 | N | 0] C:\MSDOS.SYS
[02/11/2010 - 20:10:33 | D ] C:\Nouveau dossier
[04/08/2004 - 04:38:34 | N | 47564] C:\NTDETECT.COM
[04/08/2004 - 04:59:44 | N | 251712] C:\ntldr
[07/06/2011 - 19:35:20 | ASH | 792723456] C:\pagefile.sys
[26/05/2011 - 16:16:56 | N | 512] C:\PhysicalDisk0_MBR.bin
[07/06/2011 - 15:54:41 | D ] C:\Program Files
[07/06/2011 - 20:10:42 | SHD ] C:\RECYCLER
[04/01/2011 - 15:37:34 | N | 91] C:\Setup.log
[29/01/2010 - 17:46:17 | D ] C:\swsetup
[23/05/2011 - 17:49:20 | SHD ] C:\System Volume Information
[07/06/2011 - 20:10:42 | D ] C:\UsbFix
[07/06/2011 - 20:11:37 | A | 1160] C:\UsbFix.txt
[07/06/2011 - 19:36:27 | D ] C:\WINDOWS
[06/06/2011 - 16:46:54 | N | 3796] C:\ZHPExportRegistry-06-06-2011-16-46-54.txt
[26/05/2011 - 17:00:03 | N | 7158] C:\ZHPExportRegistry-26-05-2011-17-00-03.txt
[26/05/2011 - 18:41:55 | N | 4124] C:\ZHPExportRegistry-26-05-2011-18-41-55.txt
[26/05/2011 - 18:49:08 | N | 7158] C:\ZHPExportRegistry-26-05-2011-18-49-08.txt
[18/08/2010 - 09:44:58 | SHD ] F:\$RECYCLE.BIN
[17/04/2010 - 17:45:59 | D ] F:\c363473454809ff873db6245
[28/01/2011 - 17:45:53 | D ] F:\Oanig
[07/06/2011 - 20:10:42 | SHD ] F:\RECYCLER
[14/06/2009 - 10:47:02 | SHD ] F:\System Volume Information
################## | Vaccin |
C:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
F:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
################## | Upload |
Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_ORDINATEUR.zip
http://www.teamxscript.org/Upload.php
Merci de votre contribution.
################## | E.O.F | -
ok
desactive ton antivirus
desactive Windows defender si présent
desactive ton pare-feu
Ferme toutes tes appilications en cours
telecharge et enregistre ceci sur ton bureau :
Pre_Scan
s'il n'est pas sur ton bureau coupe-le de ton dossier telechargements et colle-le sur ton bureau
Avertissement: Il y aura une extinction courte du bureau --> pas de panique.
une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan.txt" sur le bureau.
si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"
si l'outil semble ne pas avoir fonctionné renomme-le winlogon , ou change son extension en .com ou .scr
Il se peut que l'outil soit un peu long sur la reattribution des fichiers tout depend combien tu en as , laisse-le travailler
Poste Pre_Scan.txt qui apparaitra sur le bureau en fin de scan
▶▶▶ NE LE POSTE PAS SUR LE FORUM (il est trop long)
clique sur ce lien : http://www.cijoint.fr/
▶ Clique sur Parcourir et cherche le fichier ci-dessus.
▶ Clique sur Ouvrir.
▶ Clique sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme :
http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt
est ajouté dans la page.
▶ Copie ce lien dans ta réponse.
-
Salut,
Voici le rapport.
NB : Ne trouvant pas le fichier "prescan.txt" sur le bureau, j'ai effectué la manip 2 fois. En fait le fichier était à la racine de C:\
http://www.cijoint.fr/cjlink.php?file=cj201106/cijFqyDbfQ.txt -
je serais curieux de savoir qui t'a modifié cette clé...
[HKCU | Internet Settings] | AutoConfigProxy : 0 -
Salut
Tu as les rapports RogueKiller que tu as fait en MP?
Parce là MBAM a trouvé des trucs qui sont supprimés théoriquement par RK....-
RogueKiller V5.2.2 [05/06/2011] par Tigzy
contact sur https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html
Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur: oanig [Droits d'admin]
Mode: Recherche -- Date : 07/06/2011 14:50:04
Processus malicieux: 2
[SUSP PATH] LC.dll -- C:\WINDOWS\LC.dll -> UNLOADED
[SUSP PATH] LClock.exe -- c:\windows\lclock.exe -> KILLED
Entrees de registre: 9
[SUSP PATH] HKCU\[...]\Windows : Load (C:\DOCUME~1\oanig\LOCALS~1\Temp\csrss.exe) -> FOUND
[SUSP PATH] HKUS\S-1-5-21-854245398-1979792683-682003330-1003[...]\Windows : Load (C:\DOCUME~1\oanig\LOCALS~1\Temp\csrss.exe) -> FOUND
[PROXY IE] HKCU\[...]\Internet Settings : ProxyEnable (1) -> FOUND
[PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (http=127.0.0.1:58970) -> FOUND
[HJ] HKLM\[...]\SystemRestore : DisableSR (1) -> FOUND
[HJ] HKLM\[...]\Security Center : AntiVirusDisableNotify (1) -> FOUND
[HJ] HKLM\[...]\Security Center : FirewallDisableNotify (1) -> FOUND
[HJ] HKLM\[...]\Security Center : UpdatesDisableNotify (1) -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND
Fichier HOSTS:
127.0.0.1 localhost
127.0.0.1 babe.the-killer.bz
127.0.0.1 www.babe.the-killer.bz
127.0.0.1 babe.k-lined.com
127.0.0.1 www.babe.k-lined.com
127.0.0.1 did.i-used.cc
127.0.0.1 www.did.i-used.cc
127.0.0.1 coolwwwsearch.com
127.0.0.1 www.coolwwwsearch.com
127.0.0.1 coolwebsearch.com
127.0.0.1 www.coolwebsearch.com
127.0.0.1 hi.studioaperto.net
127.0.0.1 www.hi.studioaperto.net
127.0.0.1 wazzupnet.com
127.0.0.1 www.wazzupnet.com
127.0.0.1 gueb.com
127.0.0.1 www.gueb.com
127.0.0.1 kabex.com
127.0.0.1 www.kabex.com
127.0.0.1 hityou.com
[...]
Termine : << RKreport[1].txt >>
RKreport[1].txt -
-
-
-
-
-
pas moi tigzy qui faisait les MP...
=======================
@Oalmasqué :
fais glisser une icone n'importe laqueele sur Pre_scan , pre_script va apparaitre
selectionne ce texte sans les lignes :
___________________________________________________
processes::
dwm.exe
file::
C:\Documents and Settings\oanig\Application Data\dwm.exe
C:\Documents and Settings\oanig\Local Settings\Application Data\setup.txt
folder::
C:\Users\PC DE NICO2\AppData\Roaming\Symantec
C:\Documents and Settings\oanig\Application Data\BEA6.27B
C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy
Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SunJavaUpdateSched"=-
"Adobe Reader Speed Launcher"=-
"EzPrint"=-
___________________________________________________
copie-le (ctrl+c) puis lance Pre_Script qui est sur ton bureau
colle dans le document texte qui s'ouvre , puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte
poste Pre_Script.txt qui apparaitra à coté de l'executable en fin de travail -
Je ne comprends pas trop le sens de la question, mais je vois le mot "proxy"
1/ A part moi, personne n'a accès physiquement à l'ordi.
2/ Il y a 3 jours, je n'arrivais pas à me connecter à internet, mais une application boursière fonctionnelle me signifiait que j'avais accès au réseau.
Un message de firefox disait que pour fonctionner, firefox utilisait un proxy et que celui ci n'était pas detecté ou présent, je ne sais plus.
Dans Firefox, Je suis donc allé dans outils/options/parametres de connexion. Le réglage était "configuration manuelle du proxy", et j'ai coché, "pour voir", "détection automatiquees paramètres de proxy pour ce réseau".
Non seulement j'avais accès de nouveau à internet, mais en plus, les recherches sur google n'amenaient plus immanquablement sur une page de pub, ce qui était un de mes problèmes initiaux.
Espérant t'avoir apporter des éléments de réponse...
Si c'est pas ça... alors ce n'est pas moi ! -
le fichier
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤
Utilisateur : oanig (Administrateurs)
Ordinateur : ORDINATEUR
Système d'exploitation : Microsoft Windows XP (32 bits)
Internet Explorer : 6.0.2900.2180
Mozilla Firefox : 4.0.1 (fr)
Switchs possibles :
processes:: | file:: | folder::
Registry:: | replace:: | txt::
Host:: | DNS:: | NsLook::
Command::
Script : 18:16:39
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
switchs :
processes::
dwm.exe
file::
C:\Documents and Settings\oanig\Application Data\dwm.exe
C:\Documents and Settings\oanig\Local Settings\Application Data\setup.txt
folder::
C:\Users\PC DE NICO2\AppData\Roaming\Symantec
C:\Documents and Settings\oanig\Application Data\BEA6.27B
C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy
Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SunJavaUpdateSched"=-
"Adobe Reader Speed Launcher"=-
"EzPrint"=-
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
Processus: dwm.exe introuvable
¤
Modification du registre effectuéé
¤
Supprimé : C:\Documents and Settings\oanig\Application Data\dwm.exe
Supprimé : C:\Documents and Settings\oanig\Local Settings\Application Data\setup.txt
¤
Dossier : C:\Users\PC DE NICO2\AppData\Roaming\Symantec introuvable
Supprimé : C:\Documents and Settings\oanig\Application Data\BEA6.27B
Supprimé : C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy
¤
Fin : 18:16:41
¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤ -
-
Si pas d'objection, je lance RK , en modes 2, 3 et 4 dans 5 minutes! :)
- 1
- 2
Suivant
