Virus vietnamien 16/06
cloel
Messages postés
18
Statut
Membre
-
afideg Messages postés 10970 Statut Contributeur sécurité -
afideg Messages postés 10970 Statut Contributeur sécurité -
Bonjour,
Je suis au Vietnam (Pays du virus). Aujourd'hui vers 13 heures, toutes mes fenetres ont pris pour nom :
16/06 Chuc Em Luon Vui Ve & Hanh Phuc
Pour info, moi non plus je ne parle pas vietnamien...
Toujours est-il que mon malheureux Antivir (a jour) ne detecte rien.
Quelqu'un a une idee ????
Je suis au Vietnam (Pays du virus). Aujourd'hui vers 13 heures, toutes mes fenetres ont pris pour nom :
16/06 Chuc Em Luon Vui Ve & Hanh Phuc
Pour info, moi non plus je ne parle pas vietnamien...
Toujours est-il que mon malheureux Antivir (a jour) ne detecte rien.
Quelqu'un a une idee ????
A voir également:
- Virus vietnamien 16/06
- Virus mcafee - Accueil - Piratage
- Android 16 - Guide
- Hp envy 16 - Accueil - Guide ordinateurs
- Virus informatique - Guide
- Softonic virus ✓ - Forum Virus
28 réponses
Bonjour et desole de ce black out de quelques jours.
En fait je suis effectivement deborde et de ce fait la desinfection a du etre mise de cote (meme si je fais toujours attention a ne pas contaminer d'autres support.)
Petite question, comme j'ai supprime le fichier winlist, comment te le telecharger ??? Il est toujours dans la corbeille, mais est il judicieux de le restaurer ? La, j'attends votre avis.
Sinon je n'ai pas encore eu le temps de nettoyer la BDR.... mais j'espere m'y atteler ce WE. Tout dependra de ma charge de travail (car je bosse aussi le WE pour rattraper le retard....). Merci en tous cas de vos avis car a defaut d'etre totalement propre, mon PC a au moins pour l'instant un comportement normal, ce qui me permet de travailler normalement.
J'espere donner des nouvelles d'ici peu.
En fait je suis effectivement deborde et de ce fait la desinfection a du etre mise de cote (meme si je fais toujours attention a ne pas contaminer d'autres support.)
Petite question, comme j'ai supprime le fichier winlist, comment te le telecharger ??? Il est toujours dans la corbeille, mais est il judicieux de le restaurer ? La, j'attends votre avis.
Sinon je n'ai pas encore eu le temps de nettoyer la BDR.... mais j'espere m'y atteler ce WE. Tout dependra de ma charge de travail (car je bosse aussi le WE pour rattraper le retard....). Merci en tous cas de vos avis car a defaut d'etre totalement propre, mon PC a au moins pour l'instant un comportement normal, ce qui me permet de travailler normalement.
J'espere donner des nouvelles d'ici peu.
Bonjour cloel,
Content que le PC soit utilisable.
« comme j'ai supprime le fichier winlist, comment te le telecharger ??? »
Laisse tomber ce détail. J'ai reçu suffisamment d'infos sur la nocivité de ce fichier.
Pour être précis, ce n'est pas chez moi que ce fichier aurait pu être dirigé, mais bien chez MAD qui a pour privilège de savoir décortiquer/décoder sa nocivité et apporter les corrections nécessaires aux programmes de désinfection ( en tout cas, de le faire savoir ).
Tu pourras donc vider la corbeille et nettoyer la BdR comme proposé. ( avec une sauvegarde préalable )
Je te propose une relecture de ceci ( merci Malekal_morte pour cette œuvre ):
Tu trouveras un explicatif sur la propagation de ces infections sur ces liens :
< http://forum.malekal.com/ftopic3350.php > Le fichier autorun.inf
< http://forum.malekal.com/ftopic3539.php > Infection sur disques amovibles
Il te faut maintenant nettoyer tes clefs USB/disques dur externes, (pour cela il faut qu'ils soient branchés):
1°- SURTOUT ne pas double-cliquer sur le disque dans le poste de travail
* Ouvre le poste de travail
* Clic sur le menu « outils » en haut à droite puis « options des dossiers »
* Dans la nouvelle fenêtre, clic sur l'onglet « Affichage » en haut
* Coche dans la liste "Afficher les fichiers cachés"
* Décoche "masquer les fichiers protégés du système d’exploitation (recommandée)"
* Tu vas recevoir un message qui te dit que cela peut endommager le système, n'en tiens pas compte, et valide.
* Ouvre le poste de travail
* Pour chaque disque dans le poste de travail : Fais un clic droit sur le disque dur - surtout ne double-clic pas dessus!!!
* Choisis "ouvrir" dans le menu déroulant.
* Cherche un fichier « autorun.inf » et des fichiers : « Adober.exe » ou « RavMonE.exe » ou « MS32DLL.DLL.VBS » ou « autorun.vbs »
* Si présents, supprime-les en faisant un "clic droit" puis "supprimer".
* Répétez l'opération sur tous les disques se trouvant dans le poste de travail
(pour cela il faut qu'ils soient branchés).
2°- Télécharge Flash_disinfector de sUBs < http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe >
et execute-le , (pour cela il faut que les disques amovibles soient branchés) .
Si ton antivirus fait une alerte, désactive-le.
(Si tu trouves un rapport, poste-le).
Ensuite supprime ce programme ==> vers corbeille, et vide-la.
Bon boulot
Al.
Content que le PC soit utilisable.
« comme j'ai supprime le fichier winlist, comment te le telecharger ??? »
Laisse tomber ce détail. J'ai reçu suffisamment d'infos sur la nocivité de ce fichier.
Pour être précis, ce n'est pas chez moi que ce fichier aurait pu être dirigé, mais bien chez MAD qui a pour privilège de savoir décortiquer/décoder sa nocivité et apporter les corrections nécessaires aux programmes de désinfection ( en tout cas, de le faire savoir ).
Tu pourras donc vider la corbeille et nettoyer la BdR comme proposé. ( avec une sauvegarde préalable )
Je te propose une relecture de ceci ( merci Malekal_morte pour cette œuvre ):
Tu trouveras un explicatif sur la propagation de ces infections sur ces liens :
< http://forum.malekal.com/ftopic3350.php > Le fichier autorun.inf
< http://forum.malekal.com/ftopic3539.php > Infection sur disques amovibles
Il te faut maintenant nettoyer tes clefs USB/disques dur externes, (pour cela il faut qu'ils soient branchés):
1°- SURTOUT ne pas double-cliquer sur le disque dans le poste de travail
* Ouvre le poste de travail
* Clic sur le menu « outils » en haut à droite puis « options des dossiers »
* Dans la nouvelle fenêtre, clic sur l'onglet « Affichage » en haut
* Coche dans la liste "Afficher les fichiers cachés"
* Décoche "masquer les fichiers protégés du système d’exploitation (recommandée)"
* Tu vas recevoir un message qui te dit que cela peut endommager le système, n'en tiens pas compte, et valide.
* Ouvre le poste de travail
* Pour chaque disque dans le poste de travail : Fais un clic droit sur le disque dur - surtout ne double-clic pas dessus!!!
* Choisis "ouvrir" dans le menu déroulant.
* Cherche un fichier « autorun.inf » et des fichiers : « Adober.exe » ou « RavMonE.exe » ou « MS32DLL.DLL.VBS » ou « autorun.vbs »
* Si présents, supprime-les en faisant un "clic droit" puis "supprimer".
* Répétez l'opération sur tous les disques se trouvant dans le poste de travail
(pour cela il faut qu'ils soient branchés).
2°- Télécharge Flash_disinfector de sUBs < http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe >
et execute-le , (pour cela il faut que les disques amovibles soient branchés) .
Si ton antivirus fait une alerte, désactive-le.
(Si tu trouves un rapport, poste-le).
Ensuite supprime ce programme ==> vers corbeille, et vide-la.
Bon boulot
Al.
Salut Cloel, Afideg
Je me permet une dernière petite intrusion dans le message de cloel, car apparement pas mal de monde a du mal à interpréter comment visualiser le contenu d'un média infecté par un exécutable + autorun.inf, sans relancer l'infection.
J'espère que vous ne m'en voudrez pas afideg et cloel d'apporter deux/trois précisions même si cloel, tu ne devrais pas rencontrer ce problème durant tes manips, car tu sembles avoir déjà supprimé tous les *.exe infectés.
Afideg, je suppose que tu t'es basé sur ce lien pour adapter ta manip:
< http://forum.malekal.com/ftopic3350.php > Le fichier autorun.inf
Très bonnes explications, sauf sur un point, la méthode d'ouverture du média quand tous les éléments infectieux sont présents qui ne s'applique qu'à l'exemple d'infection proposé et n'est en aucun cas une généralité:
Si le clic droit > Ouvrir, fonctionne effectivement pour l'exemple cité par Malekal dans le lien (MS32DLL.dll.vbs), ce n'est du qu'à l'instruction particulière contenue dans le fichier autorun.inf pour automatiser le lancement de MS32DLL.dll.vbs.
Dans l'exemple d'infection proposé sur le lien, l'autorun.inf contient ceci:
La commande shellexecute qui appelle l'exécution du ver, ne s'exécute uniquement qu'au double-clic sur l'icône du disque et n'affecte pas le menu contextuel du clic droit du disque infecté, que ce soit: Ouvrir ou bien Explorer et qui restent tout deux utilisables sans relancer l'infection.
Dans ce cas bien précis, l'astuce proposé par Malekal est valable.
Par contre, dans le cas de winlist.exe ou RavMonE.exe, le clic droit > Ouvrir relancera l'infection si l'exécutable appelé est présent, car le contenu de l'autorun.inf différent de l'exemple précédent, cible malheureusement aussi le menu contextuel du clic droit du disque.
Donc pour adapter dans le cas d'une infection similaire, comment voir le contenu d'un disque sans la relancer, il faut d'abord avoir au préalable quelques infos ou très bien connaitre l'infection traité, avant de s'y attaquer "à la mano".
Par exemple pour XP, le listing de cette clé, via un copier/coller de son exportation au format *.txt :
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
Permet d'avoir les infos necessaires.
Dans le cas de cloel, le rapport Combofix mentionne la modif de cette clé pour le média E:\ entre autre:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\E]
AutoRun\command- winlist.exe
open\command- winlist.exe
ainsi que la recherche des exécutables dans le registre que tu avais demandé à cloel :
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\E\Shell\AutoRun\command
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\E\Shell\open\command
Dans cet exemple avec winlist.exe et en fonction de ce que révèle cette clé, on peut déduire que l'autorun.inf devait au minimum donner ceci :
Traduction:
shellexecute = winlist.exe
S'assure que quelque soit le média (CD, disque, clé...) sur lequel il se trouve, de l'exécution du fichier winlist.exe
Soit par double clic sur l'icône du périf, soit par le biais de exécution automatique.
La sous-clé:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\...\Shell\AutoRun\command
Est crée et indique en plus du nom du fichier à exécuter, que le média est soumis à l'autorun. (Ce qui provoque dans le menu du clic droit, l'option: "Exécution automatique")
Shell\open\command = winlist.exe
S'assure que le fichier mentionné sera aussi exécuté lors du Clic droit > Ouvrir ainsi qu'en double cliquant sur l'icône du périf infecté
La sous-clé:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\...\Shell\open\command
Est crée et mentionne l'emplacement et le nom du fichier à exécuter.
La présence de "shell\explore\Command = winlist.exe" aurait indiqué que le Clic droit > Explorer était lui aussi ciblé pour exécuter le ver.
C'est assez rare que les trois manières d'ouvrir un disque soient vérolés, mais ça arrive...
En fait tout çà pour dire que dans le registre on retrouve la majorité des actions contenues dans le fichier autorun.inf et ce pour chaque lecteur sur lequel il existe.
Donc en fonction de ces deux infos pour cloel, on sait qu'il n'y a que le clic droit > Explorer qui ne déclenchera pas une réinfection :-)
Voilà pour les petites précision que je voulais apporter et désolé pour la longueur du message lol.
Sinon côté BDR, cloel tu pourras aussi supprimer en plus des entrées de démarrage que t'indiquera afideg, les sous-clés "Shell" qui faisaient référence aux fichiers infectés:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{1d59c72a-4c46-11db-861b-0012f066c94c}\Shell
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{53e287de-5365-11db-8627-00c09fb630c9}\Shell
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{b382bcb4-130a-11dc-8745-00c09fb630c9}\Shell
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{ea53607a-82f0-11db-8648-00c09fb630c9}\Shell
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{ea53607a-82f0-11db-8648-00c09fb630c9}\Shell
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\C\Shell
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\E\Shell
Normalement, ces clés en plus de stocker les paramètres des fichiers autorun.inf, se réactualisent automatiquement si ce fichier est supprimé ou modifié, mais après reboot du pc seulement.
Du moins pour celles concernant les médias fixes, tel que ton DD ou partitions.
Si tu as bien rendu visible fichiers cachés et système et réussi à supprimer le fichier autorun.inf présent sur ton DD, clé USB etc...quelque unes des sous-clés "Shell" auront déjà disparue de ta BDR.
Ne restera que celles concernant clé USB ou autre périfs externes s'ils n'étaient pas restés connectés au moment du reboot.
Bonne continuation et bon courage à cloel pour la dernière ligne droite :-)
a+
Je me permet une dernière petite intrusion dans le message de cloel, car apparement pas mal de monde a du mal à interpréter comment visualiser le contenu d'un média infecté par un exécutable + autorun.inf, sans relancer l'infection.
J'espère que vous ne m'en voudrez pas afideg et cloel d'apporter deux/trois précisions même si cloel, tu ne devrais pas rencontrer ce problème durant tes manips, car tu sembles avoir déjà supprimé tous les *.exe infectés.
Afideg, je suppose que tu t'es basé sur ce lien pour adapter ta manip:
< http://forum.malekal.com/ftopic3350.php > Le fichier autorun.inf
Très bonnes explications, sauf sur un point, la méthode d'ouverture du média quand tous les éléments infectieux sont présents qui ne s'applique qu'à l'exemple d'infection proposé et n'est en aucun cas une généralité:
* Ouvre le poste de travail * Pour chaque disque dans le poste de travail : Fais un clic droit sur le disque dur - surtout ne double-clic pas dessus!!! * Choisis "ouvrir" dans le menu déroulant.
Si le clic droit > Ouvrir, fonctionne effectivement pour l'exemple cité par Malekal dans le lien (MS32DLL.dll.vbs), ce n'est du qu'à l'instruction particulière contenue dans le fichier autorun.inf pour automatiser le lancement de MS32DLL.dll.vbs.
Dans l'exemple d'infection proposé sur le lien, l'autorun.inf contient ceci:
[autorun] shellexecute=wscript.exe MS32DLL.dll.vbs
La commande shellexecute qui appelle l'exécution du ver, ne s'exécute uniquement qu'au double-clic sur l'icône du disque et n'affecte pas le menu contextuel du clic droit du disque infecté, que ce soit: Ouvrir ou bien Explorer et qui restent tout deux utilisables sans relancer l'infection.
Dans ce cas bien précis, l'astuce proposé par Malekal est valable.
Par contre, dans le cas de winlist.exe ou RavMonE.exe, le clic droit > Ouvrir relancera l'infection si l'exécutable appelé est présent, car le contenu de l'autorun.inf différent de l'exemple précédent, cible malheureusement aussi le menu contextuel du clic droit du disque.
Donc pour adapter dans le cas d'une infection similaire, comment voir le contenu d'un disque sans la relancer, il faut d'abord avoir au préalable quelques infos ou très bien connaitre l'infection traité, avant de s'y attaquer "à la mano".
Par exemple pour XP, le listing de cette clé, via un copier/coller de son exportation au format *.txt :
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
Permet d'avoir les infos necessaires.
Dans le cas de cloel, le rapport Combofix mentionne la modif de cette clé pour le média E:\ entre autre:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\E]
AutoRun\command- winlist.exe
open\command- winlist.exe
ainsi que la recherche des exécutables dans le registre que tu avais demandé à cloel :
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\E\Shell\AutoRun\command
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\E\Shell\open\command
Dans cet exemple avec winlist.exe et en fonction de ce que révèle cette clé, on peut déduire que l'autorun.inf devait au minimum donner ceci :
[AutoRun] shellexecute = winlist.exe shell\open\command = winlist.exe
Traduction:
shellexecute = winlist.exe
S'assure que quelque soit le média (CD, disque, clé...) sur lequel il se trouve, de l'exécution du fichier winlist.exe
Soit par double clic sur l'icône du périf, soit par le biais de exécution automatique.
La sous-clé:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\...\Shell\AutoRun\command
Est crée et indique en plus du nom du fichier à exécuter, que le média est soumis à l'autorun. (Ce qui provoque dans le menu du clic droit, l'option: "Exécution automatique")
Shell\open\command = winlist.exe
S'assure que le fichier mentionné sera aussi exécuté lors du Clic droit > Ouvrir ainsi qu'en double cliquant sur l'icône du périf infecté
La sous-clé:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\...\Shell\open\command
Est crée et mentionne l'emplacement et le nom du fichier à exécuter.
La présence de "shell\explore\Command = winlist.exe" aurait indiqué que le Clic droit > Explorer était lui aussi ciblé pour exécuter le ver.
C'est assez rare que les trois manières d'ouvrir un disque soient vérolés, mais ça arrive...
En fait tout çà pour dire que dans le registre on retrouve la majorité des actions contenues dans le fichier autorun.inf et ce pour chaque lecteur sur lequel il existe.
Donc en fonction de ces deux infos pour cloel, on sait qu'il n'y a que le clic droit > Explorer qui ne déclenchera pas une réinfection :-)
Voilà pour les petites précision que je voulais apporter et désolé pour la longueur du message lol.
Sinon côté BDR, cloel tu pourras aussi supprimer en plus des entrées de démarrage que t'indiquera afideg, les sous-clés "Shell" qui faisaient référence aux fichiers infectés:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{1d59c72a-4c46-11db-861b-0012f066c94c}\Shell
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{53e287de-5365-11db-8627-00c09fb630c9}\Shell
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{b382bcb4-130a-11dc-8745-00c09fb630c9}\Shell
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{ea53607a-82f0-11db-8648-00c09fb630c9}\Shell
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{ea53607a-82f0-11db-8648-00c09fb630c9}\Shell
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\C\Shell
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\E\Shell
Normalement, ces clés en plus de stocker les paramètres des fichiers autorun.inf, se réactualisent automatiquement si ce fichier est supprimé ou modifié, mais après reboot du pc seulement.
Du moins pour celles concernant les médias fixes, tel que ton DD ou partitions.
Si tu as bien rendu visible fichiers cachés et système et réussi à supprimer le fichier autorun.inf présent sur ton DD, clé USB etc...quelque unes des sous-clés "Shell" auront déjà disparue de ta BDR.
Ne restera que celles concernant clé USB ou autre périfs externes s'ils n'étaient pas restés connectés au moment du reboot.
Bonne continuation et bon courage à cloel pour la dernière ligne droite :-)
a+
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question
Re,
Bonsoir Moe,
Mes respects.
Je viens de trouver réponse à des mois de questionnements.
Je ne saurais pas non plus être court si je veux être précis et complet.
Et cerise sur ton gâteau, c'est très clairement énoncé.
Sois remercié.
Albert.
Bonsoir Moe,
Mes respects.
Je viens de trouver réponse à des mois de questionnements.
Je ne saurais pas non plus être court si je veux être précis et complet.
Et cerise sur ton gâteau, c'est très clairement énoncé.
Sois remercié.
Albert.
Bonjour,
Voici le rapport Kaspersky
-------------------------------------------------------------------------------
KASPERSKY ON-LINE SCANNER REPORT
Sunday, July 01, 2007 14:18
Système d'exploitation : Microsoft Windows XP Home Edition, Service Pack 2 (Build 2600)
Kaspersky On-line Scanner version : 5.0.83.0
Dernière mise à jour de la base antivirus Kaspersky : 1/07/2007
Enregistrements dans la base antivirus Kaspersky : 356096
-------------------------------------------------------------------------------
Paramètres d'analyse:
Analyser avec la base antivirus suivante: étendue
Analyser les archives: vrai
Analyser les bases de messagerie: vrai
Cible de l'analyse - Poste de travail:
C:\
D:\
E:\
F:\
G:\
Statistiques de l'analyse:
Total d'objets analysés: 61167
Nombre de virus trouvés: 1
Nombre d'objets infectés: 3 / 0
Nombre d'objets suspects: 0
Durée de l'analyse: 00:34:23
Nom de l'objet infecté / Nom du virus / Dernière action
C:\Documents and Settings\GIGABYTE\Application Data\Microsoft\Outlook\Outlook.srs L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Application Data\Microsoft\Templates\Normal.dot L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Cookies\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Desktop\Dear Customer.doc L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Desktop\New Folder\clean\clean\pskill.exe Infecté : not-a-virus:RiskTool.Win32.PsKill.k ignoré
C:\Documents and Settings\GIGABYTE\Desktop\New Folder\clean.zip/clean/pskill.exe Infecté : not-a-virus:RiskTool.Win32.PsKill.k ignoré
C:\Documents and Settings\GIGABYTE\Desktop\New Folder\clean.zip ZIP: infecté - 1 ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Application Data\Microsoft\Media Player\CurrentDatabase_59R.wmdb L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Application Data\Microsoft\Outlook\Outlook.pst L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Application Data\Microsoft\Windows Media\9.0\WMSDKNSD.XML L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\History\History.IE5\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\History\History.IE5\MSHist012007070120070702\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Temp\~DF5E2C.tmp L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Temp\~DFBC12.tmp L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Temp\~DFC01C.tmp L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Temp\~DFD882.tmp L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Temp\~DFFDE7.tmp L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Temp\~WRC1979.tmp L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Temp\~WRS0002.tmp L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\NTUSER.DAT L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\ntuser.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Cookies\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Local Settings\History\History.IE5\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\NTUSER.DAT L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\ntuser.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\NetworkService\NTUSER.DAT L'objet est verrouillé ignoré
C:\Documents and Settings\NetworkService\ntuser.dat.LOG L'objet est verrouillé ignoré
C:\Program Files\HP\hpcoretech\hpcmerr.log L'objet est verrouillé ignoré
C:\System Volume Information\MountPointManagerRemoteDatabase L'objet est verrouillé ignoré
C:\System Volume Information\_restore{50B74BAF-37EB-45FF-84B1-9A8E4E7DD770}\RP88\change.log L'objet est verrouillé ignoré
C:\WINDOWS\Debug\PASSWD.LOG L'objet est verrouillé ignoré
C:\WINDOWS\SchedLgU.Txt L'objet est verrouillé ignoré
C:\WINDOWS\SoftwareDistribution\ReportingEvents.log L'objet est verrouillé ignoré
C:\WINDOWS\Sti_Trace.log L'objet est verrouillé ignoré
C:\WINDOWS\system32\CatRoot2\edb.log L'objet est verrouillé ignoré
C:\WINDOWS\system32\CatRoot2\tmp.edb L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\AppEvent.Evt L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\default L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\default.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SAM L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SAM.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SecEvent.Evt L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SECURITY L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SECURITY.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\software L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\software.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SysEvent.Evt L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\system L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\system.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\h323log.txt L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP L'objet est verrouillé ignoré
C:\WINDOWS\vknt.tmp L'objet est verrouillé ignoré
C:\WINDOWS\wiadebug.log L'objet est verrouillé ignoré
C:\WINDOWS\wiaservc.log L'objet est verrouillé ignoré
C:\WINDOWS\WindowsUpdate.log L'objet est verrouillé ignoré
E:\System Volume Information\MountPointManagerRemoteDatabase L'objet est verrouillé ignoré
Analyse terminée.
Ensuite, apres execuion de flash disinfector, il m'a cree un repertoire autorun.inf avec dedans un fchier .txt contenant :
This folder was created by Flash_Disinfector
C'est normal ca ?
Merci de vos avis.
Voici le rapport Kaspersky
-------------------------------------------------------------------------------
KASPERSKY ON-LINE SCANNER REPORT
Sunday, July 01, 2007 14:18
Système d'exploitation : Microsoft Windows XP Home Edition, Service Pack 2 (Build 2600)
Kaspersky On-line Scanner version : 5.0.83.0
Dernière mise à jour de la base antivirus Kaspersky : 1/07/2007
Enregistrements dans la base antivirus Kaspersky : 356096
-------------------------------------------------------------------------------
Paramètres d'analyse:
Analyser avec la base antivirus suivante: étendue
Analyser les archives: vrai
Analyser les bases de messagerie: vrai
Cible de l'analyse - Poste de travail:
C:\
D:\
E:\
F:\
G:\
Statistiques de l'analyse:
Total d'objets analysés: 61167
Nombre de virus trouvés: 1
Nombre d'objets infectés: 3 / 0
Nombre d'objets suspects: 0
Durée de l'analyse: 00:34:23
Nom de l'objet infecté / Nom du virus / Dernière action
C:\Documents and Settings\GIGABYTE\Application Data\Microsoft\Outlook\Outlook.srs L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Application Data\Microsoft\Templates\Normal.dot L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Cookies\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Desktop\Dear Customer.doc L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Desktop\New Folder\clean\clean\pskill.exe Infecté : not-a-virus:RiskTool.Win32.PsKill.k ignoré
C:\Documents and Settings\GIGABYTE\Desktop\New Folder\clean.zip/clean/pskill.exe Infecté : not-a-virus:RiskTool.Win32.PsKill.k ignoré
C:\Documents and Settings\GIGABYTE\Desktop\New Folder\clean.zip ZIP: infecté - 1 ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Application Data\Microsoft\Media Player\CurrentDatabase_59R.wmdb L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Application Data\Microsoft\Outlook\Outlook.pst L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Application Data\Microsoft\Windows Media\9.0\WMSDKNSD.XML L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\History\History.IE5\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\History\History.IE5\MSHist012007070120070702\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Temp\~DF5E2C.tmp L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Temp\~DFBC12.tmp L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Temp\~DFC01C.tmp L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Temp\~DFD882.tmp L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Temp\~DFFDE7.tmp L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Temp\~WRC1979.tmp L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Temp\~WRS0002.tmp L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\NTUSER.DAT L'objet est verrouillé ignoré
C:\Documents and Settings\GIGABYTE\ntuser.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Cookies\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Local Settings\History\History.IE5\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\NTUSER.DAT L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\ntuser.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\NetworkService\NTUSER.DAT L'objet est verrouillé ignoré
C:\Documents and Settings\NetworkService\ntuser.dat.LOG L'objet est verrouillé ignoré
C:\Program Files\HP\hpcoretech\hpcmerr.log L'objet est verrouillé ignoré
C:\System Volume Information\MountPointManagerRemoteDatabase L'objet est verrouillé ignoré
C:\System Volume Information\_restore{50B74BAF-37EB-45FF-84B1-9A8E4E7DD770}\RP88\change.log L'objet est verrouillé ignoré
C:\WINDOWS\Debug\PASSWD.LOG L'objet est verrouillé ignoré
C:\WINDOWS\SchedLgU.Txt L'objet est verrouillé ignoré
C:\WINDOWS\SoftwareDistribution\ReportingEvents.log L'objet est verrouillé ignoré
C:\WINDOWS\Sti_Trace.log L'objet est verrouillé ignoré
C:\WINDOWS\system32\CatRoot2\edb.log L'objet est verrouillé ignoré
C:\WINDOWS\system32\CatRoot2\tmp.edb L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\AppEvent.Evt L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\default L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\default.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SAM L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SAM.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SecEvent.Evt L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SECURITY L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SECURITY.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\software L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\software.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SysEvent.Evt L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\system L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\system.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\h323log.txt L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP L'objet est verrouillé ignoré
C:\WINDOWS\vknt.tmp L'objet est verrouillé ignoré
C:\WINDOWS\wiadebug.log L'objet est verrouillé ignoré
C:\WINDOWS\wiaservc.log L'objet est verrouillé ignoré
C:\WINDOWS\WindowsUpdate.log L'objet est verrouillé ignoré
E:\System Volume Information\MountPointManagerRemoteDatabase L'objet est verrouillé ignoré
Analyse terminée.
Ensuite, apres execuion de flash disinfector, il m'a cree un repertoire autorun.inf avec dedans un fchier .txt contenant :
This folder was created by Flash_Disinfector
C'est normal ca ?
Merci de vos avis.
Bonjour cloel,
Je ne sais plus quoi à ce jour.
Tu en es où là ?
1)- Pour Flash_Disinfector , je crois me souvenir que j'avais ajouté ceci à la procédure :
« (Si tu trouves un rapport, poste-le).
Ensuite supprime ce programme ==> vers corbeille, et vide-la. »
RAPPEL : Pour ce faire, il faut que les disques amovibles soient branchés !
2)- As-tu exécuté le post # 10 ?
3)- KASPERSKY ON-LINE SCANNER REPORT est bon et encourageant.
Aucun virus trouvé.
4)- Relance une recherche dans la base de registres "démarrer" > "exécuter" , taper regedit valider > "édition" > "recherche" , sur pied de : winlist.exe et ensuite sur RavMonE.exe.
Copie les clés en rapport avec, et poste-les ( rassemble le tout sur un bloc-notes, comme l'autre jour).
N'oublie pas F3 pour compléter la recherche, jusqu'au message "fin de recherche".
Merci.
Bon dimanche.
Al.
Je ne sais plus quoi à ce jour.
Tu en es où là ?
1)- Pour Flash_Disinfector , je crois me souvenir que j'avais ajouté ceci à la procédure :
« (Si tu trouves un rapport, poste-le).
Ensuite supprime ce programme ==> vers corbeille, et vide-la. »
RAPPEL : Pour ce faire, il faut que les disques amovibles soient branchés !
2)- As-tu exécuté le post # 10 ?
3)- KASPERSKY ON-LINE SCANNER REPORT est bon et encourageant.
Aucun virus trouvé.
4)- Relance une recherche dans la base de registres "démarrer" > "exécuter" , taper regedit valider > "édition" > "recherche" , sur pied de : winlist.exe et ensuite sur RavMonE.exe.
Copie les clés en rapport avec, et poste-les ( rassemble le tout sur un bloc-notes, comme l'autre jour).
N'oublie pas F3 pour compléter la recherche, jusqu'au message "fin de recherche".
Merci.
Bon dimanche.
Al.
Bonjour Afideg,
Pour flash disinfector, je n'ai pas trouve de rapport. Il a cree un repertoire autorun.inf avec un .txt dedans. (Est-ce que je peux le supprimer ?)
J'ai bien effectue le post 10. (J'ai fait tous les posts un par un)
Je ne trouve plus aucune occurence de winlist ou ravmon dans ma base de registre.
Est-ce que c'est tout propre maintenant ????
Merci de ton retour et de ton aide
Pour flash disinfector, je n'ai pas trouve de rapport. Il a cree un repertoire autorun.inf avec un .txt dedans. (Est-ce que je peux le supprimer ?)
J'ai bien effectue le post 10. (J'ai fait tous les posts un par un)
Je ne trouve plus aucune occurence de winlist ou ravmon dans ma base de registre.
Est-ce que c'est tout propre maintenant ????
Merci de ton retour et de ton aide
Re,
Oui, je ne vois plus ce qui pourrait apporter un plus.
Je pense qu'on est venu à bout de cette saleté.
Elles sont de + en + vicieuses et cachées ( et en mutation perpétuelle ).
Tu peux supprimer les outils de désinfection utilisés.
Pas le courage d'en faire l'inventaire ==> fatigué.
Si tu as de nouveau des soucis, reviens quand tu veux sur ton topic.
Merci pour ce boulot instructif.
Bonne continuation.
Al.
Oui, je ne vois plus ce qui pourrait apporter un plus.
Je pense qu'on est venu à bout de cette saleté.
Elles sont de + en + vicieuses et cachées ( et en mutation perpétuelle ).
Tu peux supprimer les outils de désinfection utilisés.
Pas le courage d'en faire l'inventaire ==> fatigué.
Si tu as de nouveau des soucis, reviens quand tu veux sur ton topic.
Merci pour ce boulot instructif.
Bonne continuation.
Al.
