bonjour ,mon ordi est infecte par un bagle hy ,comment dois je faire pour m en debarrasser ,suis je oblige de formater ?merci pour la reponse

[bagle hy] comment faire pour s en debarrasse [Résolu]

Réponse 1 / 13

did71 Messages postés 2187 Statut Contributeur sécurité 36

bonjour karbonn,

télécharge HijackThis:

http://pchelpbordeaux.free.fr/logiciels.html

Tutorial:

http://pchelpbordeaux.free.fr/tuto.html

Démo en image:

http://pageperso.aol.fr/balltrap34/demohijack.htm

Fais un scan et poste l'analyse.

a+

karbonn Messages postés 11 Statut Membre

voici le rapport de b02/14/07 19:42:01 [Info]: BlackLight Engine 1.0.55 initialized
02/14/07 19:42:01 [Info]: OS: 5.1 build 2600 (Service Pack 2)
02/14/07 19:42:01 [Note]: 7019 4
02/14/07 19:42:01 [Note]: 7005 0
02/14/07 19:42:05 [Note]: 7006 0
02/14/07 19:42:05 [Note]: 7011 1524
02/14/07 19:42:05 [Note]: 7026 0
02/14/07 19:42:05 [Note]: 7026 0
02/14/07 19:42:05 [Note]: 7024 3
02/14/07 19:42:05 [Info]: Hidden process: C:\WINDOWS\system32\hldrrr.exe
02/14/07 19:42:05 [Note]: 7024 3
02/14/07 19:42:05 [Info]: Hidden process: C:\WINDOWS\system32\hldrrr.exe
02/14/07 19:42:10 [Note]: FSRAW library version 1.7.1021
02/14/07 19:42:11 [Info]: Hidden file: c:\Documents and Settings\PCK\Application Data\hidires\hidr.exe
02/14/07 19:42:11 [Note]: 10002 2
02/14/07 19:42:11 [Info]: Hidden file: c:\Documents and Settings\PCK\Application Data\hidires\m_hook.sys
02/14/07 19:42:11 [Note]: 10002 2
02/14/07 19:42:11 [Note]: 10002 3
02/14/07 19:42:11 [Note]: 10002 3
02/14/07 19:42:11 [Note]: 10002 2
02/14/07 19:42:11 [Note]: 10002 2
02/14/07 19:42:35 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\empty.txt
02/14/07 19:42:35 [Note]: 10002 3
02/14/07 19:42:35 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\filters.xml
02/14/07 19:42:35 [Note]: 10002 3
02/14/07 19:42:35 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\news.png
02/14/07 19:42:35 [Note]: 10002 3
02/14/07 19:42:35 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\paint.png
02/14/07 19:42:35 [Note]: 10002 3
02/14/07 19:42:35 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\profiles\blank.txt
02/14/07 19:42:35 [Note]: 10002 3
02/14/07 19:42:35 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\sample1.jpg
02/14/07 19:42:35 [Note]: 10002 3
02/14/07 19:42:35 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\sample2.jpg
02/14/07 19:42:35 [Note]: 10002 3
02/14/07 19:42:35 [Note]: 10002 2
02/14/07 19:42:35 [Note]: 10002 2
02/14/07 19:44:11 [Note]: 10002 2
02/14/07 19:44:11 [Note]: 10002 2
02/14/07 19:44:17 [Note]: 4020 5380 362545152
02/14/07 19:44:17 [Note]: 4018 5380 362545152
02/14/07 19:44:19 [Note]: 4020 5380 362545152
02/14/07 19:44:19 [Note]: 4018 5380 362545152
02/14/07 19:44:25 [Info]: Hidden file: c:\WINDOWS\system32\wintems.exe
02/14/07 19:44:25 [Note]: 10002 2
02/14/07 19:44:25 [Info]: Hidden file: C:\WINDOWS\system32\hldrrr.exe
02/14/07 19:44:25 [Note]: 10002 2
lacklight :

Réponse 2 / 13

Regis59 Messages postés 21143 Date d'inscription Statut Contributeur sécurité Dernière intervention 1 322

Salut

non , pas obligé.

télécharge HijackThis ici:
http://telechargement.zebulon.fr/138-hijackthis-1991.html

Dézippe le dans un dossier prévu à cet effet.
Par exemple C:\hijackthis < Enregistre le bien dans c : !
Démo : (Merci a Balltrap34 pour cette réalisation)
http://pageperso.aol.fr/balltrap34/Hijenr.gif

Lance le puis:
clique sur "do a system scan and save logfile" (cf démo)
faire un copier coller du log entier sur le forum

Démo : (Merci a Balltrap34 pour cette réalisation)
http://pageperso.aol.fr/balltrap34/demohijack.htm

Bon courage

A+

karbonn Messages postés 11 Statut Membre

Logfile of HijackThis v1.99.1
Scan saved at 19:05:56, on 14/02/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\CTHELPER.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAIE.EXE
C:\Program Files\Winamp\winampa.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\Magentic\bin\MgApp.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\WINDOWS\System32\svchost.exe
C:\Program Files\IncrediMail\bin\IncMail.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [EPSON Stylus Photo R220 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAIE.EXE /P30 "EPSON Stylus Photo R220 Series" /O6 "USB001" /M "Stylus Photo R220"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Magentic] C:\PROGRA~1\Magentic\bin\Magentic.exe /c
O4 - Startup: Registration .LNK = ?
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE

Réponse 3 / 13

karbonn Messages postés 11 Statut Membre

excuse moi si mes reponses ne sont pas dans les normes ,je ne suis pas habitue a tout ca ,merci encore

Réponse 4 / 13

did71 Messages postés 2187 Statut Contributeur sécurité 36

re,

Télécharge Blacklight (de F-Secure), sauvegarde le sur ton Bureau:

https://europe.f-secure.com/exclude/blacklight/index.shtml

Double-clique blbeta.exe et accepte la licence ;clique Scan puis Next

Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres).

Copie et colle le contenu de ce rapport dans ta prochaine réponse!

a+

karbonn Messages postés 11 Statut Membre

je sais plus si je reponds a regis ou a did ,enfin ,pour resumer j ai effectue hijacktis ,voir rapport et blacklight ,c est en cours le rapport va suivre ,merci de m indiquer la marche a suivre pour la suite .

Réponse 5 / 13

Regis59 Messages postés 21143 Date d'inscription Statut Contributeur sécurité Dernière intervention 1 322

Salut did,

Excuse moi je n avais pas vu ton message, un petit probleme d affichage du forum il me semble.

A+

karbonn Messages postés 11 Statut Membre

salut regis ,que dois je faire ensuite ?

Réponse 6 / 13

did71 Messages postés 2187 Statut Contributeur sécurité 36

Salut Regis,

pas de soucis, je m'en doutais!

a+

Réponse 7 / 13

did71 Messages postés 2187 Statut Contributeur sécurité 36

re,

ton infection est cernée!

télécharge ELIBAGLA sur ton bureau:

http://www.zonavirus.com/datos/archivos/Descargas/Utilidades%20SATINFO/EliBaglA.exe

Double-clic sur Elibagla.exe>laisse la case
"eliminar ficheros automaticamente" coché>clique sur"explorar"
>laisse-le travailler>poste le rapport final qui sera
dans c:\infosat.txt

a+

karbonn Messages postés 11 Statut Membre

reponse de eliba
Wed Feb 14 20:11:57 2007
EliBagle v10.13 (c)2007 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Renombrado a .VIR
C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
Por favor, envienos una muestra del fichero
C:\Muestras\HIDR.EXE.Muestra EliBagle v10.13
a "virus@satinfo.es". Gracias.
C:\DOCUMENTS AND SETTINGS\PCK\APPLICATION DATA\HIDIRES\HIDR.EXE --> Eliminado Bagle
Por favor, envienos una muestra del fichero
C:\Muestras\M_HOOK.SYS.Muestra EliBagle v10.13
a "virus@satinfo.es". Gracias.
C:\DOCUMENTS AND SETTINGS\PCK\APPLICATION DATA\HIDIRES\M_HOOK.SYS --> Eliminado Bagle
Por favor, envienos una muestra del fichero
C:\Muestras\HLDRRR.EXE.Muestra EliBagle v10.13
a "virus@satinfo.es". Gracias.
C:\WINDOWS\SYSTEM32\HLDRRR.EXE --> Bagle Renombrado a .VIR
Eliminada Carpeta "%WinDir%\exefld"
Restaurada Clave: "SafeBoot\Minimal y Network"

Wed Feb 14 20:12:42 2007
EliBagle v10.13 (c)2007 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
gla :

Réponse 8 / 13

afideg Messages postés 10970 Statut Contributeur sécurité 602

Bonsoir à vous
Un petit Up, pour pouvoir suivre ce topic.
Merci
Al.

Réponse 9 / 13

did71 Messages postés 2187 Statut Contributeur sécurité 36

re,

l'outil a fonctionné!

Qui te trouvais cette bébéte?

a+

karbonn Messages postés 11 Statut Membre

un grand merci mais a pas tout compris .lol c est parti le vilain virus ?

Réponse 10 / 13

did71 Messages postés 2187 Statut Contributeur sécurité 36

re,

c'est ton antivirus qui te trouvais bagle?

a+

karbonn Messages postés 11 Statut Membre

ok mais suis novice ,ke dois je faire maintenant ,j avais avast ,zone alarm et ad aware,puis je les reinstaller ?excuse moi tu dois rire de moi .encore un grand merci

Réponse 11 / 13

did71 Messages postés 2187 Statut Contributeur sécurité 36

re,

oui tu peux mais surtout tu dois les réinstaller!

on va aussi nettoyer un peu plus pour vérification!

Télécharge AVG Anti-Spyware:

https://www.avg.com/en-ww/free-antivirus-download

Tu l'installes.
Lance AVG Anti-Spyware et clique sur le bouton Mise à jour. Patiente

Lance AVG Anti-Spyware
Clique sur le bouton Analyse (de la barre d'outils)
Puis sur l'onglets Comment réagir, clique sur Actions recommandées. Sélectionne Quarantaine.
Reviens à l'onglet Analyse. Clique sur Analyse complète du système.
A la fin du scan, choisis l'option " Appliquer toutes les actions " en bas.
Clique sur "Enregistrer le rapport". Ceci génère un rapport en fichier texte qui se trouve dans le dossier Reports du dossier d'AVG Anti-Spyware.

poste le rapport AVG!

a+

karbonn Messages postés 11 Statut Membre

voici le rapport de AVG :encore merci et peux tu me conseiller une protection plus (efficace).merci et bonne nuit.---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

+ Créé à: 21:59:55 14/02/2007

+ Résultat de l'analyse:

C:\Documents and Settings\PCK\Bureau\EliBaglA.exe -> Heuristic.Win32.AVKiller : Nettoyé et sauvegardé (mise en quarantaine).
C:\Documents and Settings\PCK\Cookies\pck@247realmedia[1].txt -> TrackingCookie.247realmedia : Nettoyé.
C:\Documents and Settings\PCK\Cookies\pck@advertising[2].txt -> TrackingCookie.Advertising : Nettoyé.
C:\Documents and Settings\PCK\Cookies\pck@adviva[2].txt -> TrackingCookie.Adviva : Nettoyé.
C:\Documents and Settings\PCK\Cookies\pck@bluestreak[2].txt -> TrackingCookie.Bluestreak : Nettoyé.
C:\Documents and Settings\PCK\Cookies\pck@com[1].txt -> TrackingCookie.Com : Nettoyé.
C:\Documents and Settings\PCK\Cookies\pck@doubleclick[1].txt -> TrackingCookie.Doubleclick : Nettoyé.
C:\Documents and Settings\PCK\Cookies\pck@mediaplex[1].txt -> TrackingCookie.Mediaplex : Nettoyé.
C:\Documents and Settings\PCK\Cookies\pck@bs.serving-sys[2].txt -> TrackingCookie.Serving-sys : Nettoyé.
C:\Documents and Settings\PCK\Cookies\pck@serving-sys[2].txt -> TrackingCookie.Serving-sys : Nettoyé.
C:\Documents and Settings\PCK\Cookies\pck@www.smartadserver[1].txt -> TrackingCookie.Smartadserver : Nettoyé.
C:\Documents and Settings\PCK\Cookies\pck@tradedoubler[2].txt -> TrackingCookie.Tradedoubler : Nettoyé.
C:\Documents and Settings\PCK\Cookies\pck@weborama[1].txt -> TrackingCookie.Weborama : Nettoyé.
C:\Documents and Settings\PCK\Cookies\pck@statse.webtrendslive[2].txt -> TrackingCookie.Webtrendslive : Nettoyé.

Fin du rapport

a+

Réponse 12 / 13

did71 Messages postés 2187 Statut Contributeur sécurité 36

re,

c'est tout bon!

pour une meilleure protection, je te conseille de lire ceci:

https://forum.pcastuces.com/default.asp

tu y trouveras tout ce qui concerne la sécurité, protection d'un pc!

a+

Réponse 13 / 13

did71 Messages postés 2187 Statut Contributeur sécurité 36

Bonsoir,

poste ici et non sur le sujet de qulqu'un d'autre!

1) Télécharge ATF-Cleaner (par Atribune) de ce lien :

http://www.atribune.org/ccount/click.php?id=1

sauvegarde-le sur ton Bureau.

redémarre en mode sans échec!

Double-clique ATF-Cleaner.exe qui est sur le Bureau, afin de lancer le programme.
Sous l'onglet Main, choisis : Select All
Clique sur le bouton Empty Selected. Clique Ok, puis Exit

2) redémarre normalement, télécharge EasyCleaner:

https://www.telia.fi/palvelupaattynyt

Lance EasyCleaner.
Utilise les fonctions :
- Registre
- Inutiles --> Inscrire .bak dans la case Sauter afin que ces fichiers soient ignorés.
Supprime ce qu'il trouve.
Ne pas toucher à la fonction doublons.

3) réessaie d'installer avast!

a+

[bagle hy] comment faire pour s en debarrasse

13 réponses

Votre réponse

Discussions similaires

Newsletters