Resistance de Windows XP Repair

Pilotin38 -  
Bonjour

J'ai été infecté par Windows XP repair hier soir.

Ayant déjà été assailli par une vacherie similaire, j'avais gardé RogueKiller dans un coin.
J'ai pu l'ouvrir, en mode sans echec. Il a fait le gros du boulot : connexion internet rétablie, quelques logiciels visibles.
J'ai réussi à faire la manip necessaire pour rendre tous les dossiers cachés en visibles ... enfin je pense avoir réussi.

Toutefois, l'ensemble des logiciels antivirus( Avast / Advanced System Care ) sont bloqués.
Lorsque je tente de faire un scan de Avast par exemple, un message d'erreur me dit : Le mappeur n'a plus de point final disponible".
Malwarebyte était bloqué, je l'avais re-téléchargé pour le remettre sur pattes ... il a trouve 2 fichiers infectés.

Mais aujourd'hui, la plupart de mes programmes sont vides, et certains d'entre eux sont défféctueux ( google chrome, et les antivirus entre autres ).

Pensez vous que certains programmes sont déffectueux et qu'il faille tous les réinstaller ? Ou bien y a t'il encore un résidu de virus dans mon système ?

Bien à vous

31 réponses

Résumé de la discussion

Problème central : une infection liée à Windows XP repair a laissé des programmes vides et des antivirus bloqués, avec RogueKiller utilisé en mode sans échec et des dossiers masqués devenant visibles. Plusieurs intervenants recommandent de supprimer les anciennes versions de RogueKiller et d'utiliser une version plus récente via le lien luanagames, puis de suivre l'instruction donnée par jlpjlp. Des rapports et analyses via OTL, Avast et d'autres outils ont été partagés pour identifier des fichiers infectés et vérifier l'état des programmes, certains éléments restant défectueux ou bloqués. En dernier élément utile, des échanges indiquent que des composants d'interface comme les raccourcis ou les menus peuvent devenir vides après infection, nécessitant une réinstallation ciblée ou une correction des paramètres système.

Bobot (l’IA à votre service)
  1. Pilotin38
    Pour info, j'ai aussi téléchargé le cousin de Rogue Killer ... Reload Dsskiller.
    Il a marché en mode sans échecs seulement, mais pas de résulats.

    Je me suis servi de Unhider ... je ne sais pas s'il a été d'une grande utilité.

    Merci
    0
    1. jlpjlp Contributeur sécurité
      slt

      colle nous les rapports de roguekiller, malwarebyte

      puis

      Désactivez vos protections puis enregistrez ceci sur votre bureau
      Téléchargez Pre_Scan ici: http://dl.dropbox.com/u/21363431/Pre_scan.exe
      Transférez le logiciel sur le bureau si il n'a pas été enregistré sur votre bureau

      Avertissement: Il y aura une extinction courte du bureau --> pas de panique.

      une fois téléchargé sur le bureau, lancez-le , laissez faire l'analyse jusqu'à l'apparition de "Pre_scan.txt" sur le bureau. Faîtes passer le rapport sur le forum si vous vous faîtes aider.

      rq: Il se peut que l'outil soit un peu long sur l'attribution des fichiers (tout dépend du nombre que vous avez) , laissez-le travailler jusqu'au bout.
      0
      1. Pilotin38
        Voici les rapports de RogueKiller et Malwarebyte

        RogueKiller 

        RogueKiller V5.2.6 [27/06/2011] par Tigzy
contact sur http://www.sur-la-toile.com
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur: pilou [Droits d'admin]
Mode: Suppression -- Date : 29/06/2011 21:39:16

Processus malicieux: 2
[SUSP PATH] MAjmINhbdJjPbu.exe -- c:\documents and settings\all users.windows\application data\majminhbdjjpbu.exe -> KILLED
[ROGUE ST] 14933796.exe -- c:\documents and settings\all users.windows\application data\14933796.exe -> KILLED

Entrees de registre: 7
[SUSP PATH] HKCU\[...]\Run : MAjmINhbdJjPbu (C:\Documents and Settings\All Users.WINDOWS\Application Data\MAjmINhbdJjPbu.exe) -> DELETED
[HJPOL] HKCU\[...]\System : DisableTaskMgr (1) -> DELETED
[HJPOL] HKLM\[...]\System : DisableTaskMgr (1) -> DELETED
[HJPOL] HKCU\[...]\Explorer : NoDesktop (1) -> DELETED
[HJ] HKCU\[...]\ActiveDesktop : NoChangingWallPaper (1) -> REPLACED (0)
[WallPP] HKCU\[...]\Desktop : Wallpaper () -> REPLACED (C:\Documents and Settings\pilou\Local Settings\Application Data\Microsoft\Wallpaper1.bmp)
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)

Fichier HOSTS:
127.0.0.1       localhost


Termine : << RKreport[1].txt >>
RKreport[1].txt


        Autre rapport effectué plus tard dans la soirée ... via Mode sans echec 

        RogueKiller V4.3.11 [25/04/2011] par Tigzy
contact sur http://www.sur-la-toile.com
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode sans echec
Utilisateur: pilou [Droits d'admin]
Mode: Suppression -- Date : 29/06/2011 22:38:15

Processus malicieux: 0

Entrees de registre: 1
[BLACKLIST DLL] HKLM\[...]\Run : NvCplDaemon (RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup) -> DELETED

Fichier HOSTS:
127.0.0.1	localhost


Termine : << RKreport[1].txt >>
RKreport[1].txt


        Malwarebyte 

        Elément(s) analysé(s): 286737
Temps écoulé: 28 minute(s), 34 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 3

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\documents and settings\all users.windows\application data\14933796.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\documents and settings\all users.windows\application data\majminhbdjjpbu.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\documents and settings\pilou\Bureau\winlogon.exe (Heuristics.Reserved.Word.Exploit) -> Quarantined and deleted successfully.


        Je télécharge pré scan à l'instant et vous tiens au courant.
        0
        1. Pilotin38
          Le rapport pré-scan est sur mon bureau

          Non, hélas je ne sais pas comment l'exploiter, mais peut etre que si vous me donniez deux ou trois conseils, je saurai à l'avenir éviter de poster un rapport d'une telle taille.

          Je le poste ?
          0
          2. jlpjlp Contributeur sécurité
            oui poste le

            et pour roguekiller utilise la derniere version V5.2.7 30/06/2011
            0
            2. Pilotin38
              J'ai utilisé Rogue Killer 5.2.7, comme demandé, il n'a rien trouvé

              quand à Fix Black Screen ... pas de réaction après avoir appuyé sur la touche...
              0
              1. Tigzy Contributeur sécurité
                Tu as vu défiler les 3 lignes?
                Si oui alors c'est bon, c'est très rapide.
                0
            3. g3n-h@ckm@n
              salut pour avancer passe par cijoint pour le rapport pre_scan
              0
              1. Pilotin38
                Y at'il moyen d'affacer le message lourd et long d'hier ?

                http://www.cijoint.fr/cjlink.php?file=cj201107/cijNTz1Cws.txt
                0
                1. g3n-h@ckm@n
                  re pour avancer :

                  desinstalle Moveir-media toolbar
                  desinstalle Babylon
                  Desinstalle AsK
                  desinstalle adobe

                  ===============================
                  fais glisser une icone n'importe quel fichier sur Pre_scan , pre_script va apparaitre

                  ouvre Pre_script et colle ce qui suit en gras, à l'interieur du texte qui s'ouvre ,
                  sans les lignes , en une seule fois en le mettant en surbrillance :
                  ___________________________________________________
                  Registry::
                  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                  "SoundMan"=-
                  "NeroCheck"=-
                  "SunJavaUpdateSched"=-
                  "QuickTime Task"=-
                  [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\List]{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}]
                  [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\List]{ce10bf86-da68-441e-91fa-38336363e3cd}]
                  [-HKEY_CURRENT_USER\Software\Babylon]
                  [-HKEY_CURRENT_USER\Software\Movier-media]
                  [-HKEY_CURRENT_USER\Software\toolbar]
                  [-HKEY_CURRENT_USER\Software\Zugo]
                  [-HKEY_LOCAL_MACHINE\Software\AskBarDis]
                  [-HKEY_LOCAL_MACHINE\Software\Conduit]
                  [-HKEY_LOCAL_MACHINE\Software\ImInstaller]
                  [-HKEY_LOCAL_MACHINE\Software\Movier-media]
                  [-HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
                  "1900:UDP"=-
                  "2869:TCP"=-
                  "139:TCP"=-
                  "445:TCP"=-
                  "137:UDP"=-
                  "138:UDP"=-
                  "1723:TCP"=-
                  "1701:UDP"=-
                  "500:UDP"=-

                  file::
                  C:\Documents and Settings\pilou\Application Data\8387343
                  C:\Documents and Settings\pilou\Application Data\lakerda1967.sys

                  folder::
                  C:\Documents and Settings\All Users.WINDOWS\Application Data\0
                  C:\Documents and Settings\All Users.WINDOWS\Application Data\SeekappSrch
                  C:\Documents and Settings\pilou\Local Settings\Application Data\Conduit
                  C:\Documents and Settings\pilou\Local Settings\Application Data\Movier-media
                  C:\Program Files\AskSearch
                  C:\Program Files\ConduitEngine
                  C:\Program Files\Dealio
                  C:\Program Files\Search Settings
                  C:\Program Files\SeekappSrch
                  ___________________________________________________

                  copie-le (ctrl+c ou clique droit sur la selection puis => copier)

                  puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

                  des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille

                  poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail
                  ¤¤¤¤¤¤¤¤¤¤_g3n-h@ckm@n_developpement_¤¤¤¤¤¤¤¤¤¤
                  ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤_Pre_scan_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
                  0
                  1. Pilotin38
                    Désolé, je ne parviens pas à :
                    ==> trouver Ask
                    ==> trouver Babylon

                    ==> à faire défiler un icone sur pré-scan ... et pas de pré-script.

                    J'ai essayé en Mode sans echec, j'ai recherché dans tout le systeme le fameux pré-script, s'il était caché ... rien n'est apparu.

                    Avez vous un conseil ?

                    J'ai été attaqué par un autre virus ... j'ai sauvé la mise avec RogueKiller tout de suite, voici le rapport de Malwarebyte

                    7 fichiers infectés : 

                    Fichier(s) infecté(s):
c:\documents and settings\pilou\application data\10740218\mscj2.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
c:\documents and settings\pilou\Bureau\rk_quarantine\kgfknkxynu.exe.vir (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\documents and settings\pilou\Bureau\rk_quarantine\mscj2.exe.vir (Backdoor.Bot) -> Quarantined and deleted successfully.
c:\system volume information\_restore{85d61287-afc2-4705-9686-843d989c4f2b}\RP570\A0102556.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\system volume information\_restore{85d61287-afc2-4705-9686-843d989c4f2b}\RP570\A0102557.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\documents and settings\pilou\application data\10740218\userid.dat (Rogue.Multiple) -> Quarantined and deleted successfully.
c:\documents and settings\pilou\Bureau\winlogon.exe (Heuristics.Reserved.Word.Exploit) -> Quarantined and deleted successfully.
                    0
                    1. g3n-h@ckm@n
                      tiens prends-le ici (à dezipper):

                      http://www.cijoint.fr/cjlink.php?file=cj201107/cijT1fmzEl.zip

                      et poste le rapport de roguekiller aussi
                      0
                      1. Pilotin38
                        Voici le rapport pré-script : 

                        ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

Utilisateur : pilou (Administrateurs)
Ordinateur : GUILLEMI-BE9475
Système d'exploitation : Microsoft Windows XP (32 bits)
Internet Explorer : 
Mozilla Firefox : 3.0.19 (fr)

Switchs possibles :

processes:: | file:: | folder::
Registry:: | Driver:: | replace::
txt:: | Host:: | DNS:: | NsLook::
Command:: | list:: | attrib::

Script : 19:52:06

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

switchs :


¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤


explorer.exe -> Processus redémarré

Fin : 19:52:06

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤


                        et celui de Roguekiller : 

                        RogueKiller V5.2.6 [27/06/2011] par Tigzy
contact sur http://www.sur-la-toile.com
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode sans echec avec prise en charge reseau
Utilisateur: pilou [Droits d'admin]
Mode: Suppression -- Date : 01/07/2011 14:53:08

Processus malicieux: 0

Entrees de registre: 3
[SUSP PATH] HKCU\[...]\Run : mscj2 (c:\documents and settings\pilou\application data\10740218\mscj2.exe) -> DELETED
[SUSP PATH] HKCU\[...]\RunOnce : kgfknkxynu (C:\DOCUME~1\pilou\LOCALS~1\APPLIC~1\kgfknkxynu.exe) -> DELETED
[HJPOL] HKCU\[...]\System : DisableTaskMgr (1) -> DELETED

Fichier HOSTS:
127.0.0.1	localhost


Termine : << RKreport[1].txt >>
RKreport[1].txt


                        Je viens de me rendre compte que c'est encore une vieille version ... celle que j'avais gardé au cas où sur ma clé usb
                        0
                        1. g3n-h@ckm@n
                          et tu n'as rien colé dans le texte de pre_script qui s'est ouvert
                          0
                          1. Pilotin38
                            effectivement, j'avais mal bossé ...

                            Nouveau rapport :

                            http://www.cijoint.fr/cjlink.php?file=cj201107/cijFLTGe5y.txt
                            0
                            2. pilotin38
                              La nouvelle version de rogue killer n'a rien détecté de plus.

                              Quand à Fixblack ... pas de réaction concret, y compris en Mode sans echecs.
                              0
                              1. Tigzy Contributeur sécurité
                                Il n'y a pas de réaction c'est juste pour corriger un bug de RogueKiller
                                Il faut le passer, c'est tout..
                                0
                              2. g3n-h@ckm@n
                                tu te trompes tigzy ce n'est pas l'assoc de RK et OTL qui fait les BL.S je n(utilse pas RK et pourtant j'en ai aussi
                                0
                              3. Tigzy Contributeur sécurité
                                Non je me trompe pas, j'ai corrigé ça cette semaine, en partenariat avec des gens de SWI et G2G. il y avait bien un bug. D'ailleurs j'ai fait le fix exprès
                                0
                              4. g3n-h@ckm@n
                                tu crois que le bueg serait aussi causé par pre_scan dans ce cas ?
                                0
                            3. pilotin38
                              le rapport de roguekiller : 

                              RogueKiller V5.2.7 [30/06/2011] par Tigzy
contact sur http://www.sur-la-toile.com
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur: pilou [Droits d'admin]
Mode: Suppression -- Date : 03/07/2011 11:05:04

Processus malicieux: 0

Entrees de registre: 0

Fichier HOSTS:
127.0.0.1	localhost


Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt
                              0
                              1. jlpjlp Contributeur sécurité
                                encore des problèmes?

                                Télécharge OTL de OLDTimer ici :

                                http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/

                                et enregistre le sur ton Bureau.

                                Double clic sur OTL.exe pour le lancer.

                                Coche les 2 cases Lop et Purity

                                Coche la case devant "scan all users"

                                Clic sur Run Scan.

                                A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

                                Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

                                Pour me le transmettre clique sur ce lien :

                                http://www.cijoint.fr/

                                Clique sur Parcourir et cherche le fichier ci-dessus.

                                Clique sur Ouvrir.

                                Clique sur "Cliquez ici pour déposer le fichier".

                                Un lien de cette forme :

                                http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt

                                est ajouté dans la page.

                                Copie ce lien dans ta réponse.
                                0
                                1. pilotin38
                                  voici le rapport :

                                  http://www.cijoint.fr/cjlink.php?file=cj201107/cijYKinZmn.txt

                                  il y a un extra :

                                  http://www.cijoint.fr/cjlink.php?file=cj201107/cijBTYeNWj.txt

                                  En fait, voici mon constat :
                                  ==> toujours pas d'antivirus ( je vais le réinstaller pour voir )
                                  ==> tous les programmes du menu demarrer sont vides.

                                  Unhider ne semble pas faire son effet maxi ... c'est pourquoi je pense qu'il subsiste des racines du trojan.

                                  Qu'en pensez vous ?
                                  0
                                  • 1
                                  • 2