w32 BLASTER WORM

Question

Bonjour, 

J'ai un pc de bureau contaminé par le vers w32/blaster.worm

J'ai tenté super antispyware et malwarebytes mais le vers les empeche de fonctionner.

Quelqu'un peut il me guider dans une procédure efficace d'erradication ?

Merci

Utilisateur anonyme · Accepted Answer

Bonsoir

En mode sans échec avec prise en charge réseau fait ceci:

Pour de plus amples informations, fait ceci stp

Ouvre ce lien et télécharge ZHPDiag de Nicolas Coolman : 

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

Ou

https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

Serveur N°2

Ou

http://www.premiumorange.com/zeb-help-process/zhpdiag.html 
en bas de la page ZHP avec un numéro de version.
 
Une fois le téléchargement achevé, dé zippe le fichier obtenu et place ZHPDiag.exe sur ton Bureau.

Double-clique sur l'icône pour lancer le programme. Sous Vista ou Seven clic droit «  exécuter en tant que administrateur »


Clique sur la loupe pour lancer l'analyse.

Laisse l'outil travailler, il peut être assez long. 

Ferme ZHPDiag en fin d'analyse. 


Pour transmettre le rapport clique sur ce lien : 

http://www.cijoint.fr/index.php

http://pjjoint.malekal.com/

Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\ZHP \ZHPDiag). 

Sélectionne le fichier ZHPDiag.txt. 

Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt 

est ajouté dans la page. 

Copie ce lien dans ta réponse.

Merci

A+

Caramel44 · Answer

J'ai téléchargé ZHPdiag comme indiqué puis lancé l'analyse. Le souci : une fenêtre avec le message suivant s'affiche :

nslookup.exe ordinal introuvable

l'ordinal 1108 est introuvable dans la bibliothèque de liaisons dynamique WSOCK32.dll

Caramel44 · Answer

quelqu'un peut il m'aider ??

Caramel44 · Answer

en mode sans échec avec prise en charge réseau...

Caramel44 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201108/cij71Mvt7a.txt

Caramel44 · Answer

merci sympa de prendre le relais


# AdwCleaner v1.301 - Rapport créé le 31/08/2011 à 23:29:28
# Mis à jour le 28/08/11 à 21h par Xplode
# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
# Nom d'utilisateur : Yoyo - MAISON-5REM3W72 (Administrateur)
# Exécuté depuis : H:\Documents and Settings\Yoyo\Mes documents\Downloads\adwcleaner0.exe
# Option [Suppression]


***** [KillNav] *****

# chrome.exe [PID:1984] -> Tué

***** [Processus] *****


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : H:\Program Files\Ask.com
Dossier Supprimé : H:\WINDOWS\Installer\{86D4B82A-ABED-442A-BE86-96357B70F4FE}

***** [Registre] *****

Clé Supprimée : HKCU\Software\Ask.com
Clé Supprimée : HKCU\Software\AskToolbar
Clé Supprimée : HKCU\Software\AppDataLow\AskToolbarInfo
Clé Supprimée : HKLM\SOFTWARE\Classes\GenericAskToolbar.ToolbarWnd
Clé Supprimée : HKLM\SOFTWARE\Classes\GenericAskToolbar.ToolbarWnd.1
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\GenericAskToolbar.DLL
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{00000000-6E41-4FD3-8538-502F5495E5FC}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé Supprimée : HKLM\SOFTWARE\Classes\Installer\Products\A28B4D68DEBAA244EB686953B7074FEF
Clé Supprimée : HKLM\SOFTWARE\Classes\Installer\Features\A28B4D68DEBAA244EB686953B7074FEF
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{D4027C7F-154A-4066-A1AD-4243D8127440}]
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [{D4027C7F-154A-4066-A1AD-4243D8127440}]

***** [Navigateurs] *****

-\ Internet Explorer v8.0.6001.18702

[OK] Le registre ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [3023 octets] - [31/08/2011 23:29:28]

########## EOF - H:\AdwCleaner[S1].txt - [3151 octets] ##########

Caramel44 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201108/cijnRXv4Tm.txt

Caramel44 · Answer

impossible de lancer malwarebytes, il s'arrête tout seul en pleine analyse.

De plus plus d'accès internet...

Même topo en mode sans échec et en normal

Utilisateur anonyme · Answer

Bonjour Caramel44,

Pour faire avancer fais ceci : 

1) Télécharge RogueKiller sur ton bureau : 

https://www.luanagames.com/index.fr.html

execute le et lance l'option 2 et post son rapport.

2) Télécharge UsbFix sur ton bureau : 

http://www.teamxscript.org/usbfixTelechargement.html

execute le et clic sur suppression et post son rapport.

3) Execute malwarebyte et post son rapport

@+

Caramel44 · Answer

OK merci j'essaye tout ça dès que je rentre du boulot ce soir.

Caramel44 · Answer

Au fait, comment rétablir une connexion internet ??

Pour télécharger, ce sera plus facile :-)

Caramel44 · Answer

rien n'y fait pour internet. Je suis en connexion filaire, le réseau est détecté, 100 Mo mais aucun mouvement de données et connexion internet impossible...

Caramel44 · Answer

oui en fait je suis en CPL, je viens d'inverser les branchements pour voir si ça provenait de là, je récupère internet sur mon portable et le PC de bureau ne veut toujours rien savoir.

J'ai lancé l'outil de diagnostic depuis la ligne éxécuter,

Caramel44 · Answer

ras, ne veut rien savoir...

Caramel44 · Answer

ouais, tout testé, le portable a le wifi désactivé :-(

Vent d'ouest · Answer

Salut à vs:

P'tain, y'a deux pc....!!!!!

Avec une clé usb propre,il n''est pas difficile de télécharger et de transfèrer :
https://forums.commentcamarche.net/forum/affich-23044022-w32-blaster-worm#14

Utilisateur anonyme · Answer

Bonsoir

Je vous laisse gérer...

@+

Vent d'ouest · Answer

Salut guillaume

"Je vous laisse gérer... "

Moi aussi !

Un peu marre du king et de ses sbires.....

Caramel44 · Answer

il y a juste un pc portable professionnel dont je me sers pour communiquer avec vous car l'autre ne peut plus...

Vent d'ouest · Answer

Eh bien justement....Sers-toi de ce portable "sain" pour télécharger ce liiens ur un support USB:

https://www.luanagames.com/index.fr.html

et:

http://www.teamxscript.org/usbfixTelechargement.html

Caramel44 · Answer

Ci joint le rapport Roguekiller. Pour Malwarebytes, pas de mise à jour possible car pas d'accès internet et il s'éteint après quelques secondes de fonctionnement, le virus certainement

RogueKiller V5.3.4 [30/08/2011] par Tigzy
contact sur https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode sans echec avec prise en charge reseau
Utilisateur: Yoyo [Droits d'admin]
Mode: Suppression -- Date : 01/09/2011 22:16:01

Processus malicieux: 2
[SUSP PATH] 870120052:2332369868.exe -- h:\windows\870120052:2332369868.exe -> KILLED [TermProc]
[RESIDUE] 870120052:2332369868.exe -- h:\windows\870120052:2332369868.exe -> KILLED [TermProc]

Entrees de registre: 1
[SUSP PATH] HKCU\[...]\Run : pbfav (H:\Documents and Settings\Yoyo\pbfav.exe /a) -> DELETED

Fichiers / Dossiers particuliers:

Fichier HOSTS:
127.0.0.1 localhost
127.0.0.1 www.007guard.com
127.0.0.1 007guard.com
127.0.0.1 008i.com
127.0.0.1 www.008k.com
127.0.0.1 008k.com
127.0.0.1 www.00hq.com
127.0.0.1 00hq.com
127.0.0.1 010402.com
127.0.0.1 www.032439.com
127.0.0.1 032439.com
127.0.0.1 www.0scan.com
127.0.0.1 0scan.com
127.0.0.1 www.1000gratisproben.com
127.0.0.1 1000gratisproben.com
127.0.0.1 www.1001namen.com
127.0.0.1 1001namen.com
127.0.0.1 100888290cs.com
127.0.0.1 www.100888290cs.com
127.0.0.1 100sexlinks.com
[...]

Termine : << RKreport[1].txt >>
RKreport[1].txt

W32 BLASTER WORM - Page 2

Discussions similaires

Newsletters