[bagle hy] comment faire pour s en debarrasse

Résolu
karbonn Messages postés 11 Statut Membre -  
did71 Messages postés 2187 Statut Contributeur sécurité -
bonjour ,mon ordi est infecte par un bagle hy ,comment dois je faire pour m en debarrasser ,suis je oblige de formater ?merci pour la reponse
Configuration: Windows XP
Internet Explorer 7.0

13 réponses

  1.
    did71 Messages postés 2187 Statut Contributeur sécurité 36
     
    bonjour karbonn,

    télécharge HijackThis:

    http://pchelpbordeaux.free.fr/logiciels.html

    Tutorial:

    http://pchelpbordeaux.free.fr/tuto.html

    Démo en image:

    http://pageperso.aol.fr/balltrap34/demohijack.htm

    Fais un scan et poste l'analyse.

    a+
    0
    1. karbonn Messages postés 11 Statut Membre
       
      voici le rapport de b02/14/07 19:42:01 [Info]: BlackLight Engine 1.0.55 initialized
      02/14/07 19:42:01 [Info]: OS: 5.1 build 2600 (Service Pack 2)
      02/14/07 19:42:01 [Note]: 7019 4
      02/14/07 19:42:01 [Note]: 7005 0
      02/14/07 19:42:05 [Note]: 7006 0
      02/14/07 19:42:05 [Note]: 7011 1524
      02/14/07 19:42:05 [Note]: 7026 0
      02/14/07 19:42:05 [Note]: 7026 0
      02/14/07 19:42:05 [Note]: 7024 3
      02/14/07 19:42:05 [Info]: Hidden process: C:\WINDOWS\system32\hldrrr.exe
      02/14/07 19:42:05 [Note]: 7024 3
      02/14/07 19:42:05 [Info]: Hidden process: C:\WINDOWS\system32\hldrrr.exe
      02/14/07 19:42:10 [Note]: FSRAW library version 1.7.1021
      02/14/07 19:42:11 [Info]: Hidden file: c:\Documents and Settings\PCK\Application Data\hidires\hidr.exe
      02/14/07 19:42:11 [Note]: 10002 2
      02/14/07 19:42:11 [Info]: Hidden file: c:\Documents and Settings\PCK\Application Data\hidires\m_hook.sys
      02/14/07 19:42:11 [Note]: 10002 2
      02/14/07 19:42:11 [Note]: 10002 3
      02/14/07 19:42:11 [Note]: 10002 3
      02/14/07 19:42:11 [Note]: 10002 2
      02/14/07 19:42:11 [Note]: 10002 2
      02/14/07 19:42:35 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\empty.txt
      02/14/07 19:42:35 [Note]: 10002 3
      02/14/07 19:42:35 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\filters.xml
      02/14/07 19:42:35 [Note]: 10002 3
      02/14/07 19:42:35 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\news.png
      02/14/07 19:42:35 [Note]: 10002 3
      02/14/07 19:42:35 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\paint.png
      02/14/07 19:42:35 [Note]: 10002 3
      02/14/07 19:42:35 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\profiles\blank.txt
      02/14/07 19:42:35 [Note]: 10002 3
      02/14/07 19:42:35 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\sample1.jpg
      02/14/07 19:42:35 [Note]: 10002 3
      02/14/07 19:42:35 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\sample2.jpg
      02/14/07 19:42:35 [Note]: 10002 3
      02/14/07 19:42:35 [Note]: 10002 2
      02/14/07 19:42:35 [Note]: 10002 2
      02/14/07 19:44:11 [Note]: 10002 2
      02/14/07 19:44:11 [Note]: 10002 2
      02/14/07 19:44:17 [Note]: 4020 5380 362545152
      02/14/07 19:44:17 [Note]: 4018 5380 362545152
      02/14/07 19:44:19 [Note]: 4020 5380 362545152
      02/14/07 19:44:19 [Note]: 4018 5380 362545152
      02/14/07 19:44:25 [Info]: Hidden file: c:\WINDOWS\system32\wintems.exe
      02/14/07 19:44:25 [Note]: 10002 2
      02/14/07 19:44:25 [Info]: Hidden file: C:\WINDOWS\system32\hldrrr.exe
      02/14/07 19:44:25 [Note]: 10002 2
      lacklight :
      0
  2. Regis59 Messages postés 21143 Date d'inscription   Statut Contributeur sécurité Dernière intervention   1 349
     
    Salut

    non , pas obligé.

    télécharge HijackThis ici:
    http://telechargement.zebulon.fr/138-hijackthis-1991.html

    Dézippe le dans un dossier prévu à cet effet.
    Par exemple C:\hijackthis < Enregistre le bien dans c : !
    Démo : (Merci a Balltrap34 pour cette réalisation)
    http://pageperso.aol.fr/balltrap34/Hijenr.gif

    Lance le puis:
    clique sur "do a system scan and save logfile" (cf démo)
    faire un copier coller du log entier sur le forum

    Démo : (Merci a Balltrap34 pour cette réalisation)
    http://pageperso.aol.fr/balltrap34/demohijack.htm

    Bon courage

    A+
    0
    1. karbonn Messages postés 11 Statut Membre
       
      Logfile of HijackThis v1.99.1
      Scan saved at 19:05:56, on 14/02/2007
      Platform: Windows XP SP2 (WinNT 5.01.2600)
      MSIE: Internet Explorer v7.00 (7.00.5730.0011)

      Running processes:
      C:\WINDOWS\System32\smss.exe
      C:\WINDOWS\system32\winlogon.exe
      C:\WINDOWS\system32\services.exe
      C:\WINDOWS\system32\lsass.exe
      C:\WINDOWS\system32\svchost.exe
      C:\WINDOWS\System32\svchost.exe
      C:\WINDOWS\system32\spoolsv.exe
      C:\WINDOWS\Explorer.EXE
      C:\WINDOWS\CTHELPER.EXE
      C:\WINDOWS\AGRSMMSG.exe
      C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAIE.EXE
      C:\Program Files\Winamp\winampa.exe
      C:\Program Files\QuickTime\qttask.exe
      C:\WINDOWS\system32\rundll32.exe
      C:\WINDOWS\system32\ctfmon.exe
      C:\PROGRA~1\Magentic\bin\MgApp.exe
      C:\WINDOWS\system32\drivers\CDAC11BA.EXE
      C:\WINDOWS\System32\svchost.exe
      C:\Program Files\IncrediMail\bin\IncMail.exe
      C:\PROGRA~1\INCRED~1\bin\IMApp.exe
      C:\Program Files\Internet Explorer\IEXPLORE.EXE
      C:\HijackThis.exe

      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
      R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
      R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
      O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
      O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
      O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
      O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
      O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
      O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE
      O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
      O4 - HKLM\..\Run: [EPSON Stylus Photo R220 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAIE.EXE /P30 "EPSON Stylus Photo R220 Series" /O6 "USB001" /M "Stylus Photo R220"
      O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
      O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
      O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
      O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
      O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
      O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
      O4 - HKCU\..\Run: [Magentic] C:\PROGRA~1\Magentic\bin\Magentic.exe /c
      O4 - Startup: Registration .LNK = ?
      O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
      O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
      O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
      O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
      O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
      O11 - Options group: [INTERNATIONAL] International*
      O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
      O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
      O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
      O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
      O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
      O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
      0
  3. karbonn Messages postés 11 Statut Membre
     
    excuse moi si mes reponses ne sont pas dans les normes ,je ne suis pas habitue a tout ca ,merci encore
    0
  4. did71 Messages postés 2187 Statut Contributeur sécurité 36
     
    re,

    Télécharge Blacklight (de F-Secure), sauvegarde le sur ton Bureau:

    https://europe.f-secure.com/exclude/blacklight/index.shtml

    Double-clique blbeta.exe et accepte la licence ;clique Scan puis Next

    Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres).

    Copie et colle le contenu de ce rapport dans ta prochaine réponse!

    a+
    0
    1. karbonn Messages postés 11 Statut Membre
       
      je sais plus si je reponds a regis ou a did ,enfin ,pour resumer j ai effectue hijacktis ,voir rapport et blacklight ,c est en cours le rapport va suivre ,merci de m indiquer la marche a suivre pour la suite .
      0

  5. Vous n’avez pas trouvé la réponse que vous recherchez ?

    Posez votre question
  6. Regis59 Messages postés 21143 Date d'inscription   Statut Contributeur sécurité Dernière intervention   1 349
     
    Salut did,

    Excuse moi je n avais pas vu ton message, un petit probleme d affichage du forum il me semble.

    A+
    0
    1. karbonn Messages postés 11 Statut Membre
       
      salut regis ,que dois je faire ensuite ?
      0
  7. did71 Messages postés 2187 Statut Contributeur sécurité 36
     
    Salut Regis,

    pas de soucis, je m'en doutais!

    a+
    0
  8. did71 Messages postés 2187 Statut Contributeur sécurité 36
     
    re,

    ton infection est cernée!

    télécharge ELIBAGLA sur ton bureau:

    http://www.zonavirus.com/datos/archivos/Descargas/Utilidades%20SATINFO/EliBaglA.exe

    Double-clic sur Elibagla.exe>laisse la case
    "eliminar ficheros automaticamente" coché>clique sur"explorar"
    >laisse-le travailler>poste le rapport final qui sera
    dans c:\infosat.txt

    a+
    0
    1. karbonn Messages postés 11 Statut Membre
       
      reponse de eliba
      Wed Feb 14 20:11:57 2007
      EliBagle v10.13 (c)2007 S.G.H. / Satinfo S.L.
      ----------------------------------------------
      Lista de Acciones (por Acción Directa):
      C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Renombrado a .VIR
      C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
      Por favor, envienos una muestra del fichero
      C:\Muestras\HIDR.EXE.Muestra EliBagle v10.13
      a "virus@satinfo.es". Gracias.
      C:\DOCUMENTS AND SETTINGS\PCK\APPLICATION DATA\HIDIRES\HIDR.EXE --> Eliminado Bagle
      Por favor, envienos una muestra del fichero
      C:\Muestras\M_HOOK.SYS.Muestra EliBagle v10.13
      a "virus@satinfo.es". Gracias.
      C:\DOCUMENTS AND SETTINGS\PCK\APPLICATION DATA\HIDIRES\M_HOOK.SYS --> Eliminado Bagle
      Por favor, envienos una muestra del fichero
      C:\Muestras\HLDRRR.EXE.Muestra EliBagle v10.13
      a "virus@satinfo.es". Gracias.
      C:\WINDOWS\SYSTEM32\HLDRRR.EXE --> Bagle Renombrado a .VIR
      Eliminada Carpeta "%WinDir%\exefld"
      Restaurada Clave: "SafeBoot\Minimal y Network"

      Wed Feb 14 20:12:42 2007
      EliBagle v10.13 (c)2007 S.G.H. / Satinfo S.L.
      ----------------------------------------------
      Lista de Acciones (por Exploración):
      Explorando Unidad C:\
      gla :
      0
  9. afideg Messages postés 10466 Date d'inscription   Statut Contributeur sécurité Dernière intervention   602
     
    Bonsoir à vous
    Un petit Up, pour pouvoir suivre ce topic.
    Merci
    Al.
    0
  10. did71 Messages postés 2187 Statut Contributeur sécurité 36
     
    re,

    l'outil a fonctionné!

    Qui te trouvais cette bébéte?

    a+
    0
    1. karbonn Messages postés 11 Statut Membre
       
      un grand merci mais a pas tout compris .lol c est parti le vilain virus ?
      0
  11. did71 Messages postés 2187 Statut Contributeur sécurité 36
     
    re,

    c'est ton antivirus qui te trouvais bagle?

    a+
    0
    1. karbonn Messages postés 11 Statut Membre
       
      ok mais suis novice ,ke dois je faire maintenant ,j avais avast ,zone alarm et ad aware,puis je les reinstaller ?excuse moi tu dois rire de moi .encore un grand merci
      0
  12. did71 Messages postés 2187 Statut Contributeur sécurité 36
     
    re,

    oui tu peux mais surtout tu dois les réinstaller!

    on va aussi nettoyer un peu plus pour vérification!

    Télécharge AVG Anti-Spyware:

    https://www.avg.com/en-ww/free-antivirus-download

    Tu l'installes.
    Lance AVG Anti-Spyware et clique sur le bouton Mise à jour. Patiente

    Lance AVG Anti-Spyware
    Clique sur le bouton Analyse (de la barre d'outils)
    Puis sur l'onglets Comment réagir, clique sur Actions recommandées. Sélectionne Quarantaine.
    Reviens à l'onglet Analyse. Clique sur Analyse complète du système.
    A la fin du scan, choisis l'option " Appliquer toutes les actions " en bas.
    Clique sur "Enregistrer le rapport". Ceci génère un rapport en fichier texte qui se trouve dans le dossier Reports du dossier d'AVG Anti-Spyware.

    poste le rapport AVG!

    a+
    0
    1. karbonn Messages postés 11 Statut Membre
       
      voici le rapport de AVG :encore merci et peux tu me conseiller une protection plus (efficace).merci et bonne nuit.---------------------------------------------------------
      AVG Anti-Spyware - Rapport d'analyse
      ---------------------------------------------------------

      + Créé à: 21:59:55 14/02/2007

      + Résultat de l'analyse:



      C:\Documents and Settings\PCK\Bureau\EliBaglA.exe -> Heuristic.Win32.AVKiller : Nettoyé et sauvegardé (mise en quarantaine).
      C:\Documents and Settings\PCK\Cookies\pck@247realmedia[1].txt -> TrackingCookie.247realmedia : Nettoyé.
      C:\Documents and Settings\PCK\Cookies\pck@advertising[2].txt -> TrackingCookie.Advertising : Nettoyé.
      C:\Documents and Settings\PCK\Cookies\pck@adviva[2].txt -> TrackingCookie.Adviva : Nettoyé.
      C:\Documents and Settings\PCK\Cookies\pck@bluestreak[2].txt -> TrackingCookie.Bluestreak : Nettoyé.
      C:\Documents and Settings\PCK\Cookies\pck@com[1].txt -> TrackingCookie.Com : Nettoyé.
      C:\Documents and Settings\PCK\Cookies\pck@doubleclick[1].txt -> TrackingCookie.Doubleclick : Nettoyé.
      C:\Documents and Settings\PCK\Cookies\pck@mediaplex[1].txt -> TrackingCookie.Mediaplex : Nettoyé.
      C:\Documents and Settings\PCK\Cookies\pck@bs.serving-sys[2].txt -> TrackingCookie.Serving-sys : Nettoyé.
      C:\Documents and Settings\PCK\Cookies\pck@serving-sys[2].txt -> TrackingCookie.Serving-sys : Nettoyé.
      C:\Documents and Settings\PCK\Cookies\pck@www.smartadserver[1].txt -> TrackingCookie.Smartadserver : Nettoyé.
      C:\Documents and Settings\PCK\Cookies\pck@tradedoubler[2].txt -> TrackingCookie.Tradedoubler : Nettoyé.
      C:\Documents and Settings\PCK\Cookies\pck@weborama[1].txt -> TrackingCookie.Weborama : Nettoyé.
      C:\Documents and Settings\PCK\Cookies\pck@statse.webtrendslive[2].txt -> TrackingCookie.Webtrendslive : Nettoyé.


      Fin du rapport

      a+
      0
  13. did71 Messages postés 2187 Statut Contributeur sécurité 36
     
    re,

    c'est tout bon!

    pour une meilleure protection, je te conseille de lire ceci:

    https://forum.pcastuces.com/default.asp

    tu y trouveras tout ce qui concerne la sécurité, protection d'un pc!

    a+
    0
  14. did71 Messages postés 2187 Statut Contributeur sécurité 36
     
    Bonsoir,

    poste ici et non sur le sujet de qulqu'un d'autre!

    1) Télécharge ATF-Cleaner (par Atribune) de ce lien :

    http://www.atribune.org/ccount/click.php?id=1

    sauvegarde-le sur ton Bureau.

    redémarre en mode sans échec!

    Double-clique ATF-Cleaner.exe qui est sur le Bureau, afin de lancer le programme.
    Sous l'onglet Main, choisis : Select All
    Clique sur le bouton Empty Selected. Clique Ok, puis Exit

    2) redémarre normalement, télécharge EasyCleaner:

    https://www.telia.fi/palvelupaattynyt

    Lance EasyCleaner.
    Utilise les fonctions :
    - Registre
    - Inutiles --> Inscrire .bak dans la case Sauter afin que ces fichiers soient ignorés.
    Supprime ce qu'il trouve.
    Ne pas toucher à la fonction doublons.

    3) réessaie d'installer avast!

    a+
    0

Discussions similaires

Comment m'en débarrassé
Nathalie597 -
fabul -

7 réponses
infecté par Bagle
Substrat -
Substrat -

28 réponses
infection par bagle
justemoi -
Lyonnais92 -

6 réponses
Infection BAGLE --> rapport FINDYKILL
extrapitou -
gen-hackman -

28 réponses
A peine débarrassé de Qone8, je récupère l'adware "connect"...
Iamlostsowhat -
Iamlostsowhat -

3 réponses