Infecté par win 32 agent aiv et agent ead Résolu

Question

bonjour. 
Avast me signale souvent que je suis infecté par win32 agent aiv et win32 agent ead. Ma page de démarrage internet s'ouvre toujours sur spy sheriff.
J'ai scané avec hijackthis mais je sais pas quoi fzaire exactement.
Voici ce que hijackthis me dit
Logfile of HijackThis v1.99.1
Scan saved at 19:51:34, on 19/01/2007
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\DOCUME~1
ounours\LOCALS~1\Temp\ieupdate.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
C:\Program Files\HP\hpcoretech\hpcmpmgr.exe
C:\PROGRA~1\HEWLET~1\HPSHAR~1\hpgs2wnf.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb10.exe
C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\System32\adirss.exe
C:\WINDOWS\System32\clcbt.exe
C:\WINDOWS\System32\autosys.exe
C:\WINDOWS\System32\ctfmon.exe
D:\Multimedia Launcher\PowerBar.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Hercules\Audio\Gamesurround Muse Pocket USB\SNXUACP.exe
C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\TEMP\EE98.tmp
C:\Documents and Settings
ounours\Bureau\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [AnyDVD] "C:\Program Files\SlySoft\AnyDVD\AnyDVD.exe"
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb10.exe
O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe"
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [sysinter] C:\WINDOWS\System32\adirss.exe
O4 - HKLM\..\Run: [clcbt.exe] C:\WINDOWS\System32\clcbt.exe
O4 - HKLM\..\Run: [AutoSys] C:\WINDOWS\System32\autosys.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [PowerBar] "D:\Multimedia Launcher\PowerBar.exe" /AtBootTime
O4 - HKCU\..\Run: [NBJ] "C:\Program Files\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [taskdir] C:\WINDOWS\System32	askdir.exe
O4 - Global Startup: Gamesurround Muse Pocket CPL.lnk = C:\Program Files\Hercules\Audio\Gamesurround Muse Pocket USB\SNXUACP.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O16 - DPF: {C36112BF-2FA3-4694-8603-3B510EA3B465} (Lycos File Upload Component) - http://f001.mail.caramail.lycos.fr/app/uploader/FileUploader.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: partnershipreg - C:\Documents and Settings\All Users.WINDOWS\Documents\Settings\partnership.dll
O20 - Winlogon Notify: rpcc - C:\WINDOWS\System32pcc.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: InCD Helper (read only) (InCDsrcirvR) - Nero AG - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: ieupdater (Microsoft IE Updater) - Unknown owner - C:\DOCUME~1
ounours\LOCALS~1\Temp\ieupdate.exe

 Pouvez vous m'aider svp. me

did71 · Answer

Bonsoir kaybi,

Télécharge SmitfraudFix de S!Ri:

http://siri.urz.free.fr/Fix/SmitfraudFix.zip

Tu le dézippes sur le Bureau.

* Tu ouvres SmitfraudFix, tu double cliques sur SmitfraudFix.cmd et tu choisis l’option 1 
Postes le rapport.

a+

did71 · Answer

re,

bien infecté la bête!

1)

* Redémarre en mode sans échec.
* Relances SmitfraudFix et choisis cette fois l’option 2 et réponds oui à tout.

* Redémarres normalement



Communiques le deuxième rapport de SmitfraudFix

2) Télécharge ce fichier (par ejvindh) 
http://www.uploads.ejvindh.net/rustbfix.exe 
...et sauvegarde-le sur ton Bureau. 

Double clique rustbfix.exe afin de lancer l'outil. 
Si une infection Rustock.b est détectée, une invite t'indiquera qu'il est nécessaire de redémarrer l'ordi. Ce redémarrage pourrait être plus long que d'habitude, et il est possible que deux redémarrages soient requis. Tout cela se fera automatiquement. 
Suite au(x) redémarrage(s), deux rapports s'ouvriront : (%root%\avenger.txt & %root%\rustbfix\pelog.txt). 

a+

kaybi · Answer

J'ai fait ce que tu m'a demandé voici le rapport de smitfraudix

SmitFraudFix v2.132

Rapport fait à 21:43:45,90, 19/01/2007
Executé à partir de C:\Documents and Settings
ounours\Bureau\SmitfraudFix\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est FAT32
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{2CB01E81-717B-4AA5-AC2C-F2EF96053263}"="Microsoft Printer Sheduler"

[HKEY_CLASSES_ROOT\CLSID\{2CB01E81-717B-4AA5-AC2C-F2EF96053263}\InProcServer32]
@="C:\WINDOWS\System32\daoprint.dll"

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{2CB01E81-717B-4AA5-AC2C-F2EF96053263}\InProcServer32]
@="C:\WINDOWS\System32\daoprint.dll"


»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

C:\secure32.html supprimé
C:\WINDOWS\system32\autosys.exe supprimé
C:\WINDOWS\system32\zlbw.dll supprimé
C:\Program Files\Video ActiveX Object\ supprimé

»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre
 
Nettoyage terminé. 
 
»»»»»»»»»»»»»»»»»»»»»»»» Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{2CB01E81-717B-4AA5-AC2C-F2EF96053263}"="Microsoft Printer Sheduler"

[HKEY_CLASSES_ROOT\CLSID\{2CB01E81-717B-4AA5-AC2C-F2EF96053263}\InProcServer32]
@="C:\WINDOWS\System32\daoprint.dll"

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{2CB01E81-717B-4AA5-AC2C-F2EF96053263}\InProcServer32]
@="C:\WINDOWS\System32\daoprint.dll"



»»»»»»»»»»»»»»»»»»»»»»»» Fin

et celui de rustbfix

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\omfrjrrs

*******************

Script file located at: hqqyhmjt

Could not open script file!  Error

Could not open script file!  Status: 0xc000003b  Abort!


Une précision mon ordi est devenu plus lent qu'avant.

did71 · Answer

re,

bizarre le rapport de rustbfix!

il aurait dû virer le rootkit pe386!

on va nettoyer plus loin!

Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau:

http://downloads.andymanchesta.com/RemovalTools/SDFix.exe

Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau. Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :
Redémarre ton ordinateur
Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
Choisis ton compte.
Déroule la liste des instructions ci-dessous :
Ouvre le dossier SDFix qui vient d'être créé sur le Bureau et double clique sur RunThis.bat pour lancer le script.
Appuie sur Y pour commencer le processus de nettoyage.
Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
Appuie sur une touche pour redémarrer le PC.
Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.
Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.
Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum, avec un nouveau log Hijackthis !

a+

did71 · Answer

re,

j'attends le rapport SDFix!!!

a+

did71 · Answer

Bonsoir,

poste un nouvel hijackthis!

a+

did71 · Answer

Bonsoir,

désolé du retard!

il reste des infections!

Télécharge ComboFix (par sUBs) d'un de ces liens sur ton bureau:

http://download.bleepingcomputer.com/sUBs/combofix.exe
http://www.techsupportforum.com/sectools/combofix.exe 
 
 
Double clique combofix.exe et suis les invites 

Poste le rapport!

a+

did71 · Answer

re,

il reste beaucoup de saletés!

Étape 1: 
Télécharge eScan Antivirus Toolkit ici: 

http://www.spywareinfo.dk/download/mwav.exe 

Sauvegarde-le sur ton Bureau. 
Avant de lancer le programme, il faut le mettre à jour tel qu'indiqué à l'étape 2. 

Étape 2: 
Voici comment mettre l'outil à jour : 

1.) Double-clique le fichier mwav.exe qui se trouve sur le Bureau ; dézippe les fichiers dans le nouveau dossier suggéré (C:\Kaspersky). Le programme va se lancer, et tu dois le quitter (clique sur "Exit" puis "Exit"). 

2.) Double-clique sur le Poste de travail, puis double-clique sur le lecteur principal (habituellement C:\), double-clique sur le dossier Kaspersky ; ensuite, double-clique sur le fichier kavupd.exe. Tu verras maintenant une fenêtre DOS apparaître, et la mise à jour se complètera en quelques minutes. 

3.) Lorsque la mise à jour sera complétée, tu verras "Press any key to continue" ; tape sur une clé pour continuer. Deux nouveaux répertoires (dossiers) ont été créés lors de la mise à jour (C:\Bases et C:\Downloads). 

4.) Sélectionne/copie tous les fichiers présents dans le dossier C:\Downloads, puis colle-les dans le dossier C:\Kaspersky. Accepte à l'invite de remplacer les fichiers existants. 

Ne pas lancer le scan tout de suite ! 

Étape 3: 
Redémarre en mode Sans Échec : 
1) Redémarre ton ordi 
2) Tapote la touche F8 immédiatement, juste après le "Bip" 
3) Tu verras un écran avec options de démarrage apparaître 
4) Choisi la première option : Sans Échec, et valide avec "Entrée" 
5) Choisi ton compte régulier, et non Administrateur 


Étape 4: 
Du mode Sans Échec, voici comment utiliser le programme : 

1.) Pour lancer "eScan Antivirus Toolkit", trouve le fichier mwavscan.com situé dans le dossier C:\Kaspersky 

2.) Double-clique sur mwavscan.com ; l'interface d'eScan va apparaître à l'écran. 

3.) Il est très important de bien cocher ces boîtes sous Scan Option : Memory, Registry, Startup Folders, System Folders, Services. 

4.) Coche la boîte Drive, ce qui donne accès à une nouvelle boîte Drive (bouton rond) juste dessous ; coche ce bouton "Drive" (très important..), et tu verras une nouvelle boîte de navigation apparaître à la droite. Clique sur la petite flèche de cette boîte and choisi la lettre de ton disque dur, habituellement C:\. 

5.) Juste au-dessous, assure-toi que Scan All Files est coché, et non Program Files. 

6.) Clique sur Scan Clean et laisse le tool vérifier tout le disque dur (ça peut être long..). Lorsque terminé, tu verras Scan Completed. Ne pas quitter tout de suite ! 

7.) Ouvre un nouveau fichier Bloc notes (clique sur "Démarrer" >> "Programmes" >>"Accessoires" >> "Bloc notes"), puis copie/colle tout le contenu de la fenêtre Virus Log Information (la deuxième, au bas) dans le fichier texte, et sauvegarde le. eScan génère également un rapport complet dans le dossier C:\Kaspersky (nommé mwav.log), mais il est trop lourd pour poster sur le forum. 

Ferme le programme. Redémarre ton PC en mode Normal. Poste (copie/colle) le rapport que tu as sauvegardé dans ta prochaine réponse.

a+

kaybi · Answer

Voici le rapport de escan

File C:\WINDOWS\System32\adirss.exe infected by "Trojan-Downloader.Win32.Small.dam" Virus. Action Taken: File Deleted.

File C:\WINDOWS\System32\alsys.exe infected by "Trojan-Proxy.Win32.Lager.dp" Virus. Action Taken: File Deleted.

File C:\WINDOWS\SYSTEM32\WINCOM32.SYS infected by "Email-Worm.Win32.Zhelatin.a" Virus. Action Taken: File Deleted.

File C:\WINDOWS\System32\crypts.dll infected by "Trojan-Downloader.Win32.Agent.ber" Virus. Action Taken: File to be deleted on reboot.

File C:\WINDOWS\System32\update00822631.exe infected by "Trojan-Downloader.Win32.Vidlo.ab" Virus. Action Taken: File Deleted.

File C:\WINDOWS\System32\vcodec.exe infected by "Trojan-Downloader.Win32.Zlob.bio" Virus. Action Taken: File Deleted.

File C:\WINDOWS\System32\game0.exe.exe infected by "Trojan-Downloader.Win32.Small.dam" Virus. Action Taken: File Deleted.

File C:\WINDOWS\System32\protector.exe infected by "Trojan-Proxy.Win32.Wopla.ac" Virus. Action Taken: File Deleted.

File C:\WINDOWS\System32\game5.exe.exe infected by "Email-Worm.Win32.Zhelatin.a" Virus. Action Taken: File Deleted.

File C:\WINDOWS\System32\daoprint.dll infected by "SpamTool.Win32.Agent.t" Virus. Action Taken: File Renamed.

File C:\WINDOWS\System32\game0.exe infected by "Trojan-Proxy.Win32.Lager.dp" Virus. Action Taken: File Deleted.

File C:\WINDOWS\System32\game5.exe infected by "Trojan-Proxy.Win32.Lager.dp" Virus. Action Taken: File Deleted.

File C:\WINDOWS\System32\game1.exe infected by "Trojan-Proxy.Win32.Lager.dp" Virus. Action Taken: File Deleted.

File C:\WINDOWS\System32\game2.exe infected by "Trojan-Proxy.Win32.Lager.dp" Virus. Action Taken: File Deleted.

File C:\WINDOWS\System32\game4.exe infected by "Trojan-Downloader.Win32.Small.dam" Virus. Action Taken: File Deleted.

File C:\WINDOWS\System32\clcbt.exe infected by "Trojan-Downloader.Win32.Small.dam" Virus. Action Taken: File Deleted.

File C:\WINDOWS\System32\secure32.html infected by "Trojan.Win32.Harnig.a" Virus. Action Taken: File Deleted.

File C:\WINDOWS\System32\update13428241.exe infected by "SpamTool.Win32.Agent.v" Virus. Action Taken: File Renamed.

File C:\WINDOWS\System32\l6WxdS7.exe infected by "Trojan-Proxy.Win32.Lager.dp" Virus. Action Taken: File Deleted.

File C:\WINDOWS\Temp\7533.tmp infected by "Trojan-Proxy.Win32.Agent.ls" Virus. Action Taken: File Deleted.

File C:\WINDOWS\Downloaded Program Files\UDC6V_0001_D19M0709NetInstaller.exe tagged as not-a-virus:Downloader.Win32.WinFixer.m. No Action Taken.
File C:\Documents and Settings
ounours\Bureau\SmitfraudFix\SmitfraudFix\Reboot.exe tagged as not-a-virus:RiskTool.Win32.Reboot.f. No Action Taken.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP46\A0101168.exe infected by "Trojan-Dropper.Win32.Small.avb" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP46\A0101176.exe infected by "Trojan-Downloader.Win32.Agent.ber" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP46\A0101181.exe infected by "Trojan-Clicker.Win32.Costrat.e" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP46\A0101182.exe infected by "Trojan-Dropper.Win32.Small.ava" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP46\A0101183.exe infected by "Trojan-Dropper.Win32.Small.avg" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP46\A0101191.dll infected by "Trojan-Proxy.Win32.Dlena.bc" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP46\A0101205.exe infected by "Trojan-Downloader.Win32.Small.dam" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP46\A0101206.exe infected by "Trojan-Downloader.Win32.Small.dam" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP46\A0101207.exe infected by "Trojan-Downloader.Win32.Small.dam" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP46\A0101208.exe infected by "Trojan-Downloader.Win32.Small.dam" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP46\A0101216.exe infected by "Trojan-Downloader.Win32.Small.eey" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP46\A0101218.exe infected by "Trojan-Downloader.Win32.Vidlo.ab" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP46\A0101220.exe infected by "Trojan-Downloader.Win32.Small.dam" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP46\A0101229.exe infected by "Trojan-Downloader.Win32.Small.dam" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP46\A0101235.exe infected by "Trojan-Downloader.Win32.Vidlo.ab" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP46\A0101236.exe infected by "SpamTool.Win32.Agent.v" Virus. Action Taken: File Renamed.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0101414.exe infected by "Trojan-Downloader.Win32.Small.dam" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0101416.exe infected by "Trojan-Downloader.Win32.Femad.be" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0101417.exe infected by "Trojan-Clicker.Win32.Costrat.ae" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0101418.exe infected by "Trojan-Downloader.Win32.Femad.bf" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0101420.sys infected by "Rootkit.Win32.Agent.dh" Virus. Action Taken: File Renamed.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0101428.exe infected by "Trojan-Downloader.Win32.Vidlo.ab" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0101433.exe infected by "Email-Worm.Win32.Zhelatin.a" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0101439.exe infected by "Email-Worm.Win32.Zhelatin.a" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0101442.exe infected by "Trojan-Downloader.Win32.Small.bpz" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0101498.exe infected by "Email-Worm.Win32.Zhelatin.a" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102537.exe infected by "Email-Worm.Win32.Zhelatin.a" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102538.exe infected by "Email-Worm.Win32.Zhelatin.a" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102552.exe infected by "Email-Worm.Win32.Zhelatin.a" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102553.exe infected by "Email-Worm.Win32.Zhelatin.a" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102577.exe infected by "Email-Worm.Win32.Zhelatin.a" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102585.exe infected by "Email-Worm.Win32.Zhelatin.a" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102586.exe infected by "Email-Worm.Win32.Zhelatin.a" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102587.exe infected by "Trojan-Downloader.Win32.Small.dam" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102588.exe infected by "Trojan-Downloader.Win32.Small.dam" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102617.exe infected by "Email-Worm.Win32.Zhelatin.a" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102618.sys infected by "Trojan-Dropper.Win32.Agent.bbv" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102637.sys infected by "Email-Worm.Win32.Zhelatin.a" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102658.exe infected by "Trojan-PSW.Win32.Small.bs" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102659.DLL infected by "Trojan-Proxy.Win32.Dlena.bk" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102661.dll infected by "Trojan-Proxy.Win32.Xorpix.aw" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102726.exe infected by "Trojan-Downloader.Win32.Small.dam" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102727.exe infected by "Trojan-Proxy.Win32.Lager.dp" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102728.SYS infected by "Email-Worm.Win32.Zhelatin.a" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102729.exe infected by "Trojan-Downloader.Win32.Vidlo.ab" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102730.exe infected by "Trojan-Downloader.Win32.Zlob.bio" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102731.exe infected by "Trojan-Downloader.Win32.Small.dam" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102732.exe infected by "Trojan-Proxy.Win32.Wopla.ac" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102733.exe infected by "Email-Worm.Win32.Zhelatin.a" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102734.dll infected by "SpamTool.Win32.Agent.t" Virus. Action Taken: File Renamed.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102735.exe infected by "Trojan-Proxy.Win32.Lager.dp" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102736.exe infected by "Trojan-Proxy.Win32.Lager.dp" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102737.exe infected by "Trojan-Proxy.Win32.Lager.dp" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102738.exe infected by "Trojan-Proxy.Win32.Lager.dp" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102739.exe infected by "Trojan-Downloader.Win32.Small.dam" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102740.exe infected by "Trojan-Downloader.Win32.Small.dam" Virus. Action Taken: File Deleted.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102741.exe infected by "SpamTool.Win32.Agent.v" Virus. Action Taken: File Renamed.

File C:\System Volume Information\_restore{54D46983-4982-48C2-9A14-63542CC0D209}\RP47\A0102742.exe infected by "Trojan-Proxy.Win32.Lager.dp" Virus. Action Taken: File Deleted.

did71 · Answer

bonsoir,

escan a bien bossé!

Il montre cependant un fichier lié à un desktop hijackt!

Si tu as toujours smitfraudfix, relance le, choisis l'option 4 (mettre à jour l'outil)!

Puis tu relances l'option 1 et tu postes le rapport!

a+

did71 · Answer

re,

c'est ok de ce côté!

1) Télécharge clean.zip 

http://www2.malekal.com/download/clean.zip 

Décompresse-le sur ton bureau (clic droit / extraire tout), tu dois obtenir un dossier clean. 
Ouvre le dossier Clean qui se trouve sur ton bureau. 
Double-clic sur clean.cmd. 
Une fenêtre noire va apparaître, choisis l'option 1. 

Poste le rapport qui se trouve ici C:\rapport_clean.txt

2) Télécharge AVG Anti-Spyware: 


https://www.avg.com/en-ww/free-antivirus-download 


Tu l'installes. 
Lance AVG Anti-Spyware et clique sur le bouton Mise à jour. Patiente 

Lance AVG Anti-Spyware 
Clique sur le bouton Analyse (de la barre d'outils) 
Puis sur l'onglets Comment réagir, clique sur Actions recommandées. Sélectionne Quarantaine. 
Reviens à l'onglet Analyse. Clique sur Analyse complète du système. 
A la fin du scan, choisis l'option " Appliquer toutes les actions " en bas. 
Clique sur "Enregistrer le rapport". Ceci génère un rapport en fichier texte qui se trouve dans le dossier Reports du dossier d'AVG Anti-Spyware. 

poste le rapport AVG! 

a+

did71 · Answer

re,

relance cleanzip, 

Choisis cette fois l'option 2! 

Poste le rapport ensuite!


Poste aussi un nouveau rapport hijackthis!

a+

did71 · Answer

re,

l'outil smitfraudfix vient d'être mis à jour!

recommence la manip pour le mettre à jour, puis relance smitfraudfix option 1 et poste le rapport!

J'ai d'ailleurs mal interpréter le rapport!

a+

did71 · Answer

Bonsoir,

1)

* Redémarre en mode sans échec.
* Relances SmitfraudFix et choisis cette fois l’option 2 et réponds oui à tout.

* Redémarres normalement



Communiques le deuxième rapport de SmitfraudFix

2) Télécharge Blacklight (de F-Secure), sauvegarde le sur ton Bureau: 

https://europe.f-secure.com/exclude/blacklight/index.shtml 

Double-clique blbeta.exe et accepte la licence ;clique Scan puis Next 

Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres). 

Copie et colle le contenu de ce rapport dans ta prochaine réponse!

a+

did71 · Answer

Bonsoir Kaybi,

Bonjour kayby,

rends toi ici :

http://www.virustotal.com/flash/index_en.html

et fais analyser les fichiers ci dessous:

C:\WINDOWS\System32\wscenter.exe 
c:\WINDOWS\SYSTEM32\MSFMAN.DLL 
c:\WINDOWS\SYSTEM32\DRIVEM~1.SYS

poste les rapports virus total ensuite!

a+

did71 · Answer

re,

Je commence les recherches pour ton infection!

à bientôt!

did71 · Answer

re,

1. Télécharge The Avenger par Swandog46 sur ton Bureau: 

http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/ 

Click sur Avenger.zip pour ouvrir le fichier 
Extraire avenger.exe sur votre bureau 

2. Copie tout le texte en gras ci-dessous : mettre en surbrillance et appuyer sur les touches(Ctrl+C): 

drivers to unload :

C:\WINDOWS\SYSTEM32\DRIVEM~1.SYS

Files to delete: 

C:\WINDOWS\System32\wscenter.exe
C:\WINDOWS\SYSTEM32\MSFMAN.DLL
 

3. Maintenant, lance The Avenger en cliquant sur son icône du bureau. 
Sous "Script file to execute" choisir "Input Script Manually". 
Puis clique sur l'icône en forme de loupe qui va ouvrir une nouvelle fenêtre "View/edit script" 
Dans cette fenêtre, colle le texte précedemment copié sur le bureau par les touches (Ctrl+V). 
Cliquer Done 
ensuite clique sur l'icône en forme de Feu Vert pour démarrer l'exécution du script 
Réponds "Yes" deux fois quand demandé. 

4. The Avenger va automatiquement faire ce qui suit: 
Il va Re-démarrer le système. 
Pendant le re-démarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur ton bureau, ceci est NORMAL. 
Après le re-démarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt 

5. Pour finir copie/colle le contenu du ficher c:\avenger.txt

a+

did71 · Answer

Bonsoir,

j'ai commis une petite erreur dans mon script, t'inquiète pas, rien de méchant!

Peux tu poster un nouveau rapport blacklight!

a+

kaybi · Answer

VOILA LE RAPPORT

01/27/07 19:49:38 [Info]: BlackLight Engine 1.0.55 initialized
01/27/07 19:49:38 [Info]: OS: 5.1 build 2600 ()
01/27/07 19:49:39 [Note]: 7019 4
01/27/07 19:49:39 [Note]: 7005 0
01/27/07 19:49:47 [Note]: 7006 0
01/27/07 19:49:47 [Note]: 7011 1540
01/27/07 19:49:47 [Note]: 7026 0
01/27/07 19:49:47 [Note]: 7026 0
01/27/07 19:50:01 [Note]: FSRAW library version 1.7.1021
01/27/07 19:50:23 [Note]: 2000 1012
01/27/07 19:50:43 [Note]: 7007 0

did71 · Answer

re,

je m'attendais à voir une trace de saleté dans blaclight, c'est propre!

Passe un scan en ligne ici:

http://www.bitdefender.fr/scan8/ie.html

poste le rapport bitdefender ensuite!

a+

did71 · Answer

re,

bitdefender a supprimé ce qu'il a détecté!

Comment se comporte le pc?

a+

did71 · Answer

re,

Télécharge ATF-Cleaner (par Atribune) de ce lien : 

http://www.atribune.org/ccount/click.php?id=1 

sauvegarde-le sur ton Bureau

redémarre en mode sans échec, double-clique ATF-Cleaner.exe qui est sur le Bureau, afin de lancer le programme. 
Sous l'onglet Main, choisis : Select All 
Clique sur le bouton Empty Selected. Clique Ok, puis Exit!

ça va alléger un peu!

Ensuite, défragmente le disque!

Puis regarde ici  pour un parefeu:

https://forum.pcastuces.com/default.asp

Ce sujet est très intéressant!

a+

did71 · Answer

re,

un petit nettoyage, lol!

tu avais de belles infections quand même!

Si tu considères ce sujet comme résolu, indique le!

Bon surf!

a+

sora · Answer

salut j'ai le meme probleme et voila le rapport avec smitfraudfix
SmitFraudFix v2.145

Rapport fait à 20:13:19,81, 01/03/2007
Executé à partir de C:\Documents and Settings\alvin\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

C:\WINDOWS\xpupdate.exe PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

C:\WINDOWS\system32	askdir.exe PRESENT !
C:\WINDOWS\system32\zlbw.dll PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\alvin


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\alvin\Application Data

C:\Documents and Settings\alvin\Application Data\Install.dat PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\alvin\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 

C:\Program Files\BraveSentry\ PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"
 

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32-huy32


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

did71 · Answer

bonsoir,

crée ton propre sujet, ce sera plus facile de t'aider!

a+

jalobservateur · Answer

Salut!
On dirais que un gars c'est fait hébergé 3 ans dans un bordel ,mais sans protection?
Il y a des anti-virus diponibles gratuitement partout sur le net...
Tous nous savons aussi que le pare-feu Windows est un policier aveugle et sourd!
Et des pare-feu aussi voyants et bien-entendants sont diponibles!
Ne cliquez pas sur n'importe quoi!
Lisez avant...

Infecté par win 32 agent aiv et agent ead - Page 2

Discussions similaires

Newsletters