[virus] Win32:trojan, udial. Rootkit ? Résolu/Fermé

Question

Bonjour à tous.

Je ne pensais pas devoir faire appel à votre aide aujourd'hui.

J'ai des remerciements à faire à tous les spécialistes de ce forum, pour tous les messages que j'ai lus et qui mon beaucoup aidé. Je pense également aux spécialistes dévoués de assiste.com, http://forum.telecharger.01net.com, http://www.infos-du-net.com, https://forum.zebulon.fr/ et autres !

Après trois jours à temps complet, j’ai pu avancer dans mon enquête pour débusquer les fichiers qui m’embêtent. 

Brève description : infection de XP par Win32:Trojan-gen (selon Avast). Cette ou ces saletés ont passé Avast et mon firewall. Et en plus je suis derrière un routeur apparemment bien opaque (testé en tests intrusifs).

Manifestations :
- un dialer (UltimateDialer) qui tente sans arrêt de créer une entrée dans la base des registres et des fichiers udial.exe dans system32	emp\. Parfois un chargement des pages internet (https://home3.ca.com/ ou panelbox.tv si ma mémoire est bonne)
- des fichiers (srvhnn[1].exe, srvktq[1].exe, srvngm[1].exe, ...) qui se créent dans C:\Documents and Settingsegis\Local Settings\Temporary Internet Files\
Parfois, les fichiers cachés s’activent au moment où je clique dessus pour les sélectionner !!!
J'ai l'impression que ces fichiers se transforment en DcXXX.exe (avec XXX un code hexa) une fois dans la corbeille C:\RECYCLER\S-1-5-21-1060284298-1547161642-682003330-1004\ et continuent à générer des alertes Avast. Ils sont invisibles dans Windows. Je peux les voir et les détruire dans une fenêtre DOS mais réapparaissent dès que la corbeille n'est plus vide (quelque soit le contenu) !
- Des fichiers WinXXX.tmp.exe et des dossiers byeXXX.tmp dans C:\Documents and Settingsegis\Local Settings\Temp
Point commun : bp de ces fichiers ont une icône en forme de roue dentée avec une terre au milieu.

Le dossier C:\Documents and Settingsegis\Local Settings\Temporary Internet Files\Content.IE5\ est invisible dans Windows et même dans une fenêtre DOS mais quand on y va "à l'aveugle" en connaissant le chemin on voit son contenu. J'ai tout supprimé.

J'ai pensé à une attaque Vundo. VundoFix m'a trouvé 4 fichier... qui réapparaissent plus tard ! :-(
Je pense être face à un rootkit car les manifestation continuent en mode sans échec.

J'ai maintenant une kyrielle d'outils pour me rapporter l'activité de l'ordi (base des registres, processes etc., et tous les antivirus immaginables. Certains me trouve des fichiers vérolé mais ce ne sont que les fichiers "enfant".

A l'heure actuelle :
- dossier C:\Documents and Settingsegis\Local Settings\Temporary Internet Files\ vide
- dossier C:\Documents and Settingsegis\Local Settings\Temp vide
- dossier C:\RECYCLER\S-1-5-21-1060284298-1547161642-682003330-1004 vide
- dossier C:\WINDOWS\system32\dllcache vide
- dossier C:\WINDOWS\system32\ propre
- bases des registres propre (en tous cas HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run). J'ai bloqué ses modifications sans me demander avant avec ZeroSpyware.
- processes minimaux uniquement.
- enfin j'ai bloqué le trafic réseau. J'ai la chance d'avoir également un Mac qui me permet de télécharger les softs de manière sécurisée et de garder les forums sous les yeux en permanence.


Ces comportements ont cesser quand je suis arrivé à détruire tous ces fichiers en même temps (surtout ceux de Temporary Internet Files). Mais tout recommence quand je lance un navigateur (ie ou Firefox). Ce qui me fait dire que la "tête" se trouve dans une zone commune exécuté par les navigateurs. Une idée ?

Je n'ai pas jugé utile de vous rapporter un Hijack dans la mesure où il n'y a rien à voir. C'est un Windows fraîchement installé. Il y a juste une ligne qui m'interroge :
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\wineil32 qui concerne wineil32.dll.

En espérant que mes commentaires ont pu aider ceux qui ont le même problème, que je n'ai pas été trop long et assez précis.

J'aimerais vraiment virer ce trojan à la main. J'attends impatiemment vos réactions. Merci.

salwa5 · Answer

bonjour :) postes un raport hijacthis 

tu as quoi comme firewall? c'est bizzare qu'il n'as pas empecher le virus de se regenerer 

a++

Lightman18 · Answer

Merci de t'intéresser à mon cas.
J'ai Sygate Personal Firewall Pro. L'infection initiale a été faite de l'intérieur probablement.

J'ai oublier de mentionner qu'au début j'avais également des messages qui s'affichaient (réglé en désactivant le Service Affichage des messages).
Pour le dialer udial.exe, apparement il ne se manifeste plus. Je ne sais pas si j'ai bien fais, j'ai créer et nommé un fichier udial.exe (en lecture seule) dans system32 en pensant que peut-être ça l'empêcherait de se créer.

Plus récemment, j'ai eu également des demandes d'inscription dans la base des registres de UserFaultCheck, rattaché à WinLogon (merci processExplorer et Unlocker). Alors maintenant si WinLogon est touché... :-(

Depuis mon premier message, j'ai fait d'autres analyses, notamment Kaspersky en ligne qui m'a confirmer mes craintes au sujet de wineil32.dll.C'est curieux cela n'était pas il y a deux jours, comme si le trojan avait muté et s'était trouvé un autre chemin !
Les deux lignes intéressantes :
C:\WINDOWS\system32\huhigaca.dll - Infecté : Trojan.Win32.BHO.g
C:\WINDOWS\system32\wineil32.dll - Infecté : Trojan.Win32.Agent.qt
Depuis que j'ai viré les dll je n'ai plus d'alertes. A confirmer parce que ça fait deux fois que je crois en être venu à bout, erreur...

Comme tu me l'a demandé, voilà un HijackThis :

Logfile of HijackThis v1.99.1
Scan saved at 16:21:11, on 13/02/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Sygate\SPF\smc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\WINDOWS\System32
vsvc32.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe
C:\Program Files\CA\eTrust Internet Security Suite\caissdt.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Program Files\Google\Google Updater\GoogleUpdater.exe
C:\Program Files\Antipub\antipub.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\FBMSOF~1\ZEROSP~1\ZEROSP~1.EXE
C:\Program Files\CA\eTrust Internet Security Suite\eTrust PestPatrol Anti-Spyware\PPActiveDetection.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Microsoft Office\Office\WINWORD.EXE
C:\WINDOWS\msagent\AgentSvr.exe
C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.update.microsoft.com/windowsupdate/v6/default.aspx
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [CaISSDT] "C:\Program Files\CA\eTrust Internet Security Suite\caissdt.exe"
O4 - HKLM\..\Run: [eTrustPPAP] "C:\Program Files\CA\eTrust Internet Security Suite\eTrust PestPatrol Anti-Spyware\PPActiveDetection.exe"
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [ZSScheduler] rundll32.exe "C:\Program Files\FBM Software\ZeroSpyware\zsscheduler.dll", runScheduler C:\Program Files\FBM Software\ZeroSpyware\
O4 - HKLM\..\RunOnce: [ZeroSpyware] "C:\Program Files\FBM Software\ZeroSpyware\zsloader.exe" -STARTUP
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: Anti-Pub.lnk = C:\Program Files\Antipub\antipub.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Outil de mise à jour Google.lnk = C:\Program Files\Google\Google Updater\GoogleUpdater.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.5.0) - http://javadl-esd.sun.com/update/1.5.0/jinstall-1_5_0_10-windows-i586-jc.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{3BD67137-54E9-4C74-B343-C52FF630E5A5}: NameServer = 212.27.53.252,212.27.54.252
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe

salwa5 · Answer

bonjour concernant les dll verolé que tu as supprimé il est fortement conseiller de désenregistrer les dlls avant de les supprimer pour eviter que l'ordi rame par la suite 

Cliquez sur Démarrer > Exécuter. (La boîte de dialogue Exécuter apparaît.)


Tapez, ou copiez/collez, le texte suivant :


regsvr32 /u "C:\WINDOWS\system32\huhigaca.dll"
regsvr32 /u "C:\WINDOWS\system32\wineil32.dll"


concernant ton log hijackthis je soupcone une infection vundo , renome hijacthis en abcd.exe et refait un scan puis colles le resultat ici

a++++

Lightman18 · Answer

La désinstallation des DLL ne fonctionne pas. Message "Module introuvable". Par contre je viens d'apprendre qu'il fallait les désenregistrer. Et j'en ai supprimé plein comme ça ! Y'a un moyen pour voir la liste des DLL enregistrées ?

Voilà pour le rapport demandé :

Logfile of HijackThis v1.99.1
Scan saved at 19:45:03, on 13/02/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Sygate\SPF\smc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\FBMSOF~1\ZEROSP~1\ZeroSpyware.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\WINDOWS\System32
vsvc32.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe
C:\Program Files\CA\eTrust Internet Security Suite\caissdt.exe
C:\Program Files\CA\eTrust Internet Security Suite\eTrust PestPatrol Anti-Spyware\PPActiveDetection.exe
C:\WINDOWS\system32undll32.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Program Files\Google\Google Updater\GoogleUpdater.exe
C:\Program Files\Antipub\antipub.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\HijackThis\qsdf.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.update.microsoft.com/windowsupdate/v6/default.aspx
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [CaISSDT] "C:\Program Files\CA\eTrust Internet Security Suite\caissdt.exe"
O4 - HKLM\..\Run: [eTrustPPAP] "C:\Program Files\CA\eTrust Internet Security Suite\eTrust PestPatrol Anti-Spyware\PPActiveDetection.exe"
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [ZSScheduler] rundll32.exe "C:\PROGRA~1\FBMSOF~1\ZEROSP~1\zsscheduler.dll", runScheduler C:\PROGRA~1\FBMSOF~1\ZEROSP~1\
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: Anti-Pub.lnk = C:\Program Files\Antipub\antipub.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Outil de mise à jour Google.lnk = C:\Program Files\Google\Google Updater\GoogleUpdater.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.5.0) - http://javadl-esd.sun.com/update/1.5.0/jinstall-1_5_0_10-windows-i586-jc.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{3BD67137-54E9-4C74-B343-C52FF630E5A5}: NameServer = 212.27.53.252,212.27.54.252
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe

salwa5 · Answer

bonjour lance vundofix et dit moi si il detecte toujour l'infection 


telecharge et execute

AVG anti spyware 
 https://www.01net.com/telecharger/

(n'oublie pas de le mettre a jour avant de lancer le scan)


Relance AVG AS puis choisis l'onglet "Analyse" 
Puis l'onglet "Paramètres" 
Sous la question "Comment réagir ?", clique sur "Actions recommandées" et choisis "Quarantaine" 
Re-clique sur l'onglet "Analyse" puis réalise une "Analyse complète du système" 
 
/!\ Si un fichier est infecté en fin d'analyse /!\  
Clique sur "Appliquer toutes les actions "  
 
Clique sur "Enregistrer le rapport" puis sur "Enregistrer le rapport sous" 
Enregistre ce fichier texte sur ton bureau ensuite colle le raport ici 

supprime les fichiers inutiles (fichiers temporaire , cookies .. ect avec ceci

Ccleaner
https://www.malekal.com/tutoriel-ccleaner/


je soupcone que ton firewall est mal configurer essay de trouver un bon tutorial sur google ( j'ai pas de liens sous la main ) 

sinon installes kerio 

Kerio (parefeu)

https://www.clubic.com/telecharger-fiche11071-sunbelt-personal-firewall-ex-kerio.html


tuto

http://www.malekal.com/kerio_firewall.php



pour plus de securiter , bloques les principaux ports a risque comme ceci

https://www.vulgarisation-informatique.com/bloquer-ports.php


je te conseille aussi de faire des testes de securité disponible sur le net , exemple celui ci
http://www.zebulon.fr/outils/scanports/quick_scan.php
http://pcflank.com/
https://www.sdv.fr/

a++++

Lightman18 · Answer

J'ai suivi les conseils :

Rien chez VundoFix

12 cookies chez AVG, rapport :

---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	21:13:18 13/02/2007

 + Résultat de l'analyse:	



:mozilla.17:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.247realmedia : Aucune action entreprise.
:mozilla.19:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.247realmedia : Aucune action entreprise.
:mozilla.25:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Adtech : Aucune action entreprise.
:mozilla.27:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Adtech : Aucune action entreprise.
:mozilla.28:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Adtech : Aucune action entreprise.
:mozilla.60:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Advertising : Aucune action entreprise.
:mozilla.61:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Advertising : Aucune action entreprise.
:mozilla.62:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Advertising : Aucune action entreprise.
:mozilla.26:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Adviva : Aucune action entreprise.
:mozilla.67:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Atdmt : Aucune action entreprise.
:mozilla.15:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Bluestreak : Aucune action entreprise.
:mozilla.39:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Doubleclick : Aucune action entreprise.
:mozilla.31:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Fastclick : Aucune action entreprise.
:mozilla.32:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Fastclick : Aucune action entreprise.
:mozilla.33:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Fastclick : Aucune action entreprise.
:mozilla.35:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Fastclick : Aucune action entreprise.
:mozilla.51:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Mediaplex : Aucune action entreprise.
:mozilla.91:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Overture : Aucune action entreprise.
:mozilla.11:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Smartadserver : Aucune action entreprise.
:mozilla.12:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Smartadserver : Aucune action entreprise.
:mozilla.13:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Smartadserver : Aucune action entreprise.
:mozilla.6:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Weborama : Aucune action entreprise.
:mozilla.7:C:\Documents and Settings\regis\Application Data\Mozilla\Firefox\Profiles\j0lodou7.default\cookies.txt -> TrackingCookie.Weborama : Aucune action entreprise.


Fin du rapport



Ok pour CCleaner : il a fait du bon boulot lui dans la BdR !

Concernant tes conseils de tests de sécurité, j'en avais fait il y a qq jours et je suis blindé à 100%. Mais il faudrait que je mette mon poste en DMZ dans mon routeur pour plus de réalisme.

Pour l'instant plus d'alertes 8-/ (je commence à sourir)

salwa5 · Answer

bonsoir :) concernant avg antispyware , d'apres le raport rien n'a été supprimer "aucune action entreprise"

donc recomence :p 

Relance AVG AS puis choisis l'onglet "Analyse" 
Puis l'onglet "Paramètres" 
Sous la question "Comment réagir ?", clique sur "Actions recommandées" et choisis "Quarantaine" 
Re-clique sur l'onglet "Analyse" puis réalise une "Analyse complète du système" 

/!\ Si un fichier est infecté en fin d'analyse /!\ 
Clique sur "Appliquer toutes les actions " 

Clique sur "Enregistrer le rapport" puis sur "Enregistrer le rapport sous" 
Enregistre ce fichier texte sur ton bureau ensuite colle le raport ici 


pour finir quelque conseils de base :



* Ne pas telecharger n'importe quoi eviter les programes gratuit genre smileys ...ect

* Toujour analyser les  fichiers telecharger depuis un peer to peer (emule , kazza ... ect) avant de les executer

* Ne pas ouvrir les pieces jointes d'un expediteur inconnu et toujour les analysé avant de les ouvrir 

* Toujour analysé les fichiers recu via msn ou autre avec ton antivirus

* Ne pas cliqué sur des lien louche dans msn 

* Passe reglierement les antispyware (adaware , spybot , avg AS.. ect) pense a les mettre ajour avant de les lancé c'est tres important 

* Supprime regulierement les fichiers inutiles (fichiers temporaire , cookies .. ect) a l'aide de CCleaner https://www.malekal.com/tutoriel-ccleaner/ 

* Netoye ta base de registre avec regcleaner https://www.malekal.com/nettoyer-sa-base-de-registre-avec-windows-registry-cleaner/ 

* Utiliser le navigateur Mozzilla  il est plus sure http://www.mozilla-europe.org/fr/products/firefox/

-Maintenant que ton ordinateur est propre je te conseille de creer un point de restauration comme ca en cas de probleme (virus , plantage ..ect) tu poura tjr revenir en arriere 
http://www.aidoforum.com/tutoriaux-371-creer-un-point-de-restauration-sous-windows.html

a+++ 

Bon surf ;)

Lightman18 · Answer

Concernant AVG AS j'ai enregistrer le rapport avant de mettre en quarantaine, c'est pour ça qu'on voit ça.

Merci de me rappeler les conseils de base. Je les applique déjà. Ici mon antivirus à jour ne détectait l'infection qu'une fois déclarée ; l'analyse des fichiers que je savait vérolés ne donnait rien. Voilà voilà.

En résumé, les fichiers actifs principaux se planquent dans les dossiers temporaires des navigateurs (dans plusieurs comptes), la solution se trouve dans l'élimination des bonnes DLL. J'ai quand même l'impression que l'initiateur de l'activité virale une fois l'ordi infecté émane de Winlogon. Si c'est le cas, le code néfaste n'est pas extirpé après désinfection mais seuls les processes ne peuvent plus s'exécuter faute de code. Je me trompe ? Mais bon c'est déjà pas si mal...

Merci pour l'aide. J'édite en résolu.

salwa5 · Answer

bonjour en faite l'infection vundo est tres vicieuse , tout d'abord elle se cache desqu'elle detecte le nom hijacthis , et donc il faut renomer hijacthis pour pouvoir la detecter 


et en plus elle crée des dll dans winlogon et Bho (browser helper object) + plein de fichiers dans les dossier temporaire 

cette infection est plus au moin facile a erradiqué , du moment qu'il existe des outils comme vundofix et virtmunbegone .. 

et puis en renomant hijacthis , on peu deceler les dll verolé dans les lignes 02 (BHO)  et 020 (WINLOGON) puis apres les supprimer manuelement au cas ou vundofix et virtmunbegone n'arrive pas a venir a bout de l'infection 

 


a++++

[virus] Win32:trojan, udial. Rootkit ?

9 réponses

Discussions similaires