Infection à Downloader.Zlob (2e post)

Voici le poste commencé hier soir, qui n'a pas trouvé de suite depuis 22:42:30. Mon interlocuteur n'as pas donné plus de suite à cette requète.
Dois-je rechercher un autre interlocuteur? Comment?

Merci de votre compréhension et de votre aide,
Claude




Infecté avec Downloader.Zlob (scan joints) acclaude2 (lundi 27 novembre 2006 à 19:31:25) Statut Non résolu

Bonsoir,
J'ai Sunbelt Kerio Firewall, Ewido ASpyware & Avast Avirus installés & mis à jours.
Ewido détecte & ne peux détruire Downloader.Zlob,

voici le >> scan Ewido :
---------------------------------------------------------
ewido anti-spyware - Scan Report
---------------------------------------------------------

+ Created at: 18:29:46 27/11/2006

+ Scan result:



[1872] VM_01890000 -> Downloader.Zlob : Error during cleaning.
[2916] VM_003B0000 -> Downloader.Zlob : Error during cleaning.

::Report end
-------------------------------------------------------------------------

>> le scan Fixewareout :

Fixwareout ver 1.003
Last edited 8/11/2006
Post this report in the forums please

Reg Entries that were deleted
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ruins\bevmd
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls\putesprpgd
...

Microsoft (R) Windows Script Host Version 5.6
Random Runs removed from HKLM
...

PLEASE NOTE, There WILL be LEGITIMATE FILES LISTED. IF YOU ARE UNSURE OF WHAT IT IS LEAVE THEM ALONE.

»»»»» Searching by size/names...

»»»»»
Search five digit cs, dm and jb files.
This WILL/CAN also list Legit Files, Submit them at Virustotal

Other suspects.
Directory of C:\WINDOWS\system32
{0DE770DB-2C51-4EF8-8F52-4EC53C7F9805}.exe
{6C9DCB23-7879-4D2A-86F0-2A3C4C866C14}.exe
{94A75E85-BC45-43D9-96A2-012FAF0B5DC6}.exe

»»»»» Misc files.

»»»»» Checking for older varients covered by the Rem3 tool.
----------------------------------------------------------------------

>> et le scan HijackThis :


Logfile of HijackThis v1.99.1
Scan saved at 19:24:22, on 27/11/2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wdfmgr.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\SPAMfighter\SFAgent.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\NOTEPAD.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Outlook Express\msimn.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\ewido anti-spyware 4.0\ewido.exe
C:\WINDOWS\system32\NOTEPAD.EXE
D:\DOCUMENTS\Logitheque\SECURITE\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SPAMfighter Agent] "C:\Program Files\SPAMfighter\SFAgent.exe" update delay 60
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{7A95A891-2C83-4135-920A-CA8715B50721}: NameServer = 85.255.113.198,85.255.112.138
O17 - HKLM\System\CCS\Services\Tcpip\..\{B41D5F90-0177-40D0-86EA-C26144D466B8}: NameServer = 85.255.113.198,85.255.112.138
O17 - HKLM\System\CCS\Services\Tcpip\..\{C4FD5F63-B2BC-48A0-B382-1463CBE1F775}: NameServer = 85.255.113.198,85.255.112.138
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.113.198 85.255.112.138
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.113.198 85.255.112.138
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
---------------------------------------------------------------------------

Pouvez vous m'aider à assainir mon systême?
En vous remerciant pour le travail que vous faites ici &, par avance, pour votre aide,

Claude

Configuration: PC/Win Xp - SP1
[ Répondre à acclaude2 ][ Dernière réponse ]
[ Alerter un modérateur ][ Autres messages de acclaude2 ]


< 1 > Regis59 (lundi 27 novembre 2006 à 19:33:06)

Salut,

Télécharge ceci: (merci a S!RI pour ce programme).
http://siri.urz.free.fr/Fix/SmitfraudFix.zip
Exécute le, Double click sur Smitfraudfix.cmd choisit l’option 1, il va générer un rapport
Copie/colle le sur le poste stp.

A+

--
"J'avais rêvé d'un monde meilleur...Sans différence de couleurS...Egalité..."-MLK-
[ Continuer la discussion ][ Répondre à Regis59 ]
[ Alerter un modérateur ][ Autres messages de Regis59 ]

< 2 > acclaude2 (lundi 27 novembre 2006 à 20:33:07)

Merci pour ta prompte réponse, voici le scan demandé, j'y ajoute un autre Ewido fait il y a quelques minutes, différent du précédent (!)


SmitFraudFix v2.125

Rapport fait à 20:17:31,41, 27/11/2006
Executé à partir de C:\Documents and Settings\Claude\Bureau\SmitfraudFix\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

C:\WINDOWS\system32\zlbw.dll PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Claude


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Claude\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\Claude\Favoris

C:\DOCUME~1\Claude\Favoris\Antivirus Test Online.url PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin
-----------------------------------------------------------------------

>> scan rapide Ewido :

---------------------------------------------------------
ewido anti-spyware - Scan Report
---------------------------------------------------------

+ Created at: 20:16:30 27/11/2006

+ Scan result:



[1032] VM_00880000 -> Downloader.Agent.uj : Error during cleaning.
[1132] VM_017E0000 -> Downloader.Agent.uj : Error during cleaning.
[1280] VM_014D0000 -> Downloader.Agent.uj : Error during cleaning.
[1300] VM_00890000 -> Downloader.Agent.uj : Error during cleaning.
[1332] VM_00B30000 -> Downloader.Agent.uj : Error during cleaning.
[1348] VM_02840000 -> Downloader.Agent.uj : Error during cleaning.
[1536] VM_008F0000 -> Downloader.Agent.uj : Error during cleaning.
[1592] VM_00AA0000 -> Downloader.Agent.uj : Error during cleaning.
[176] VM_01350000 -> Downloader.Agent.uj : Error during cleaning.
[2688] VM_014D0000 -> Downloader.Agent.uj : Error during cleaning.
[268] VM_00B10000 -> Downloader.Agent.uj : Error during cleaning.
[2772] VM_00B00000 -> Downloader.Agent.uj : Error during cleaning.
[2840] VM_00D60000 -> Downloader.Agent.uj : Error during cleaning.
[2876] VM_01350000 -> Downloader.Agent.uj : Error during cleaning.
[288] VM_03320000 -> Downloader.Agent.uj : Error during cleaning.
[2892] VM_009A0000 -> Downloader.Agent.uj : Error during cleaning.
[380] VM_03760000 -> Downloader.Agent.uj : Error during cleaning.
[3924] VM_007C0000 -> Downloader.Agent.uj : Error during cleaning.
[428] VM_00900000 -> Downloader.Agent.uj : Error during cleaning.
[496] VM_007D0000 -> Downloader.Agent.uj : Error during cleaning.
[548] VM_00670000 -> Downloader.Agent.uj : Error during cleaning.
[644] VM_01210000 -> Downloader.Agent.uj : Error during cleaning.
[764] VM_00750000 -> Downloader.Agent.uj : Error during cleaning.
[792] VM_01220000 -> Downloader.Agent.uj : Error during cleaning.
[836] VM_00990000 -> Downloader.Agent.uj : Error during cleaning.
[848] VM_00B90000 -> Downloader.Agent.uj : Error during cleaning.
[1872] VM_00ED0000 -> Trojan.Small.fb : Error during cleaning.


::Report end


merci de ton aide,
[ Continuer la discussion ][ Répondre à acclaude2 ]
[ Alerter un modérateur ][ Autres messages de acclaude2 ]

< 3 > Regis59 (lundi 27 novembre 2006 à 21:54:52)

Re,

Démarre en mode sans échec :
Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter
Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée.
Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal !
(Si F8 ne marche pas utilise la touche F5).
----------------------------------------------------------------------------
Relance le programme Smitfraud,
Cette fois choisit l’option 2, répond oui a tous ;
Sauvegarde le rapport, Redémarre en mode normal, copie/colle le rapport sauvegardé sur le forum

A+
--
"J'avais rêvé d'un monde meilleur...Sans différence de couleurS...Egalité..."-MLK-
[ Continuer la discussion ][ Répondre à Regis59 ]
[ Alerter un modérateur ][ Autres messages de Regis59 ]

< 4 > acclaude2 (lundi 27 novembre 2006 à 22:42:30)

Hi Regis59,
Voici le rapport SmitFraudFix (mode sans echec) demandé :


SmitFraudFix v2.125

Rapport fait à 22:24:31,53, 27/11/2006
Executé à partir de C:\Documents and Settings\Administrateur\Bureau\SmitfraudFix\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

C:\WINDOWS\system32\zlbw.dll supprimé

»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires


»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

Nettoyage terminé.

»»»»»»»»»»»»»»»»»»»»»»»» Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

Inutile de dire que je ne comprends pas grand chose à tout cela ;o)
Merci pour le temps que tu consacre à ce problème,