[virus] IM-Worm.Win32.Sohanad.T

Résolu
zayadi Messages postés 52 Statut Membre -  
zayadi Messages postés 52 Statut Membre -
Bonsoir.

en voulant exécuter la commande "regedit", je me suis aperçu que je suis plus Administrateur de mon pc. j'ai fait un scan par kaspersky qui a décelé les virus suivant:

IM-Worm.win32.sohanad.t
Riskware trojan.generic
Riskware Hidden .install
RiskwareWorm.p2p.generic

j'ai noté les informations necessaires j'ai éteint et jai couru chez un ami pour me connecter et exposer mon problème sur le forum.
Configuration: Windows XP pack2
Firefox 2.0.0.6

4 réponses

  1.
    lance_yien Messages postés 2771 Date d'inscription   Statut Contributeur 257
     
    bonjour,

    clic ici http://komun.chez-alice.fr/Utilitaires.html , choisis:
    * MSNFix, suis les indications d'utilisation et postes le rapport généré
    * ad-fix, exécutes l'option "1" et postes le rapport généré
    * navifix, exécutes l'option "1" et postes le rapport généré
    * hijackthis pour l'installer et poster un rapport de scan

    a+
    0
    1. zayadi Messages postés 52 Statut Membre 3
       
      Bonjour.

      Merci vieux d'avoir répondu sitot.

      Je suis en mission. Une fois rentré au bercail ce soir j'appliquerai vos conseis.

      Vous m'avez clairement montré le chemin mille merci d'avance .
      0
    2. zayadi Messages postés 52 Statut Membre 3
       
      bonsoir
      voici les rapports demandés:


      Ad-Fix v0.101a
      by gchris


      OPTION 1 (Scan) :

      »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»

      Démarré à :

      22:03:39,07 03/08/2007


      Executé depuis :

      C:\Documents and Settings\Administrateur\Bureau\Ad-Fix


      Os :

      Microsoft Windows XP [version 5.1.2600]

      »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»


      »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»

      Recherche de fichier manquant


      »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»


      »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»

      Fichiers cachés (pas forcément mauvais)


      .exe dans System32 :

      C:\WINDOWS\SYSTEM32\
      test1.exe Mon 30 Jul 2007 18:18:22 A.SHR 18 945 18,50 K

      1 item found: 1 file, 0 directories.
      Total of file sizes: 18 945 bytes 18,50 K

      .dll dans System32 :

      No matches found.

      .dat dans System32 :

      C:\WINDOWS\SYSTEM32\DRIVERS\
      fidbox.dat Fri 3 Aug 2007 20:57:48 A.SH. 32 0,03 K
      fidbox2.dat Fri 3 Aug 2007 20:57:48 A.SH. 32 0,03 K

      C:\WINDOWS\SYSTEM32\CONFIG\SYSTEM~1\COOKIES\
      index.dat Fri 3 Aug 2007 20:58:28 A.SH. 16 384 16,00 K

      C:\WINDOWS\SYSTEM32\CONFIG\SYSTEM~1\LOCALS~1\HISTOR~1\HISTORY.IE5\
      index.dat Fri 3 Aug 2007 20:58:28 A.SH. 32 768 32,00 K

      C:\WINDOWS\SYSTEM32\CONFIG\SYSTEM~1\LOCALS~1\TEMPOR~1\CONTENT.IE5\
      index.dat Fri 3 Aug 2007 20:58:28 A.SH. 32 768 32,00 K

      C:\WINDOWS\SYSTEM32\CONFIG\SYSTEM~1\LOCALS~1\HISTOR~1\HISTORY.IE5\MSHIST~1\
      index.dat Mon 30 Jul 2007 17:10:04 A.SH. 32 768 32,00 K

      6 items found: 6 files, 0 directories.
      Total of file sizes: 114 752 bytes 112,06 K

      »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»


      »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»

      Analyse du registre


      ---------- AppInit_DLLs

      [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
      "AppInit_DLLs"=""

      ----------


      Complete!

      »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»


      »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»

      Recherche de fichiers et dossiers


      C:\WINDOWS\Downloaded Program Files\setup.inf Détecté !


      C:\WINDOWS\system32\aspi??????.exe Détecté !


      »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»

      Terminé à 22:09:00,02

      Logfile of HijackThis v1.99.1
      Scan saved at 22:02:33, on 03/08/2007
      Platform: Windows XP SP2 (WinNT 5.01.2600)
      MSIE: Internet Explorer v7.00 (7.00.5730.0011)

      Running processes:
      C:\WINDOWS\System32\smss.exe
      C:\WINDOWS\system32\winlogon.exe
      C:\WINDOWS\system32\services.exe
      C:\WINDOWS\system32\lsass.exe
      C:\WINDOWS\system32\svchost.exe
      C:\WINDOWS\System32\svchost.exe
      C:\WINDOWS\system32\spoolsv.exe
      C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
      C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
      C:\WINDOWS\Explorer.EXE
      C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
      C:\WINDOWS\system32\igfxpers.exe
      C:\WINDOWS\system32\hkcmd.exe
      C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
      C:\WINDOWS\system32\ctfmon.exe
      C:\Program Files\Internet Explorer\iexplore.exe
      C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

      R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
      R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
      R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.fr/toolbar/ie8/sidebar.html
      R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
      R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
      O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
      O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0\bin\ssv.dll
      O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"
      O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
      O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
      O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
      O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
      O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
      O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
      O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0\bin\ssv.dll
      O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0\bin\ssv.dll
      O9 - Extra button: Web Anti-Virus statistics - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
      O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
      O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
      O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
      O11 - Options group: [INTERNATIONAL] International*
      O11 - Options group: [TABS] Tabbed Browsing
      O16 - DPF: {6B75345B-AA36-438A-BBE6-4078B4C6984D} (HpProductDetection Class) - http://h20270.www2.hp.com/ediags/gmn2/install/HPProductDetection.cab
      O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - https://www.touslesdrivers.com/index.php?v_page=29
      O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
      O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
      O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
      O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
      O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
      O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe



      Search Navipromo version 2.0.5 commencé le 03/08/2007 à 22:21:33,19

      !!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
      !!! Poster ce rapport sur le forum pour le faire analyser !!!
      !!! Ne pas lancer la partie désinfection sans l'avis d'un spécialiste !!!

      Fix lancé depuis C:\Program Files\navilog1
      Mise a jour le 01.07.2007 a 12h00 by IL-MAFIOSO

      Executé en mode normal

      *** Recherche Programmes installes ***




      *** Recherche dossiers dans C:\WINDOWS ***




      *** Recherche dossiers dans C:\Program Files ***




      *** Recherche dossiers dans C:\Documents and Settings\All Users\Application Data ***




      *** Recherche dossiers dans C:\Documents and Settings\Administrateur\Application Data ***



      *** Recherche avec BlackLight Engine/F-secure ***
      BlackLight Engine est un produit de F-secure, pour + d'infos :
      https://www.f-secure.com/en


      F-SECURE BLACKLIGHT ROOTKIT ELIMINATOR
      ======================================

      Copyright 2005-2006 F-Secure Corporation. All rights reserved.
      This is a beta version. It will expire on 1st of October, 2007.
      Version information: 2.2.1064.

      [+] Started on 08/03/07 at 22:21:35.
      [+] Initializing ...
      [+] Starting scan, press Ctrl-C to abort.
      [+] Scanning for hidden items ..............
      [+] Scan complete.
      [+] Summary: 0 hidden item(s) found, 0 scheduled for renaming.
      [+] Exited on 08/03/07 at 22:21:56 (return code = 0).


      *** Recherche fichiers ***




      *** Recherche cles registre ***


      Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs]



      Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage]



      Recherche Clé Magic Control



      *** Module de Recherche complémentaire ***
      (Recherche fichiers spécifiques)

      1)Recherche fichiers connus:


      2)Recherche Heuristique :
      *
      **
      ***
      ****
      *****
      ******
      *******
      ********
      C:\WINDOWS\system32\deadlink.exe trouvé !
      C:\WINDOWS\system32\Siw.exe trouvé !

      3)Recherche Certificats :


      *** Analyse Terminé le 03/08/2007 à 22:22:07,93 ***
      0
  2. lance_yien Messages postés 2771 Date d'inscription   Statut Contributeur 257
     
    bonjour,

    tu as utilisé MSNFix?
    si oui il est où le rapport
    sinon fais-le et postes le rapport
    0
    1. zayadi Messages postés 52 Statut Membre 3
       
      bonjour ami.

      Comme je t'ai dit hier je suis en mission quotidienne. je rentre à la maison que vers 8h du soir. pour le délai que tu a fixé à 2h , je te prie de bienvouloir reporter l'examen des rapports demandés à ce soir.Grand merci
      0
    2. zayadi Messages postés 52 Statut Membre 3
       
      bonsoir. me voila de nouveau.merci de ta patience.
      rapports demandés:

      MSN_Fix 1.453

      C:\Documents and Settings\Invit‚\Bureau\MSNFix
      Fix exécuté le 04/08/2007 - 19:57:56,17 By Invit‚
      mode normal

      ************************ Recherche les fichiers présents

      Aucun Fichier trouvé

      ************************ Recherche les dossiers présents

      Aucun dossier trouvé


      ************************ Fichiers suspects

      /!\ ces fichiers nécessitent un avis expérimenté avant toute intervention

      [C:\WINDOWS\system32\Flurry.scr] 04810EC57CBBDD1F047C8217B9F6C092
      [C:\WINDOWS\system32\Nostalgic.scr] E2A7262E2C24EAF1C15CBDDA29E1D1EA
      [C:\WINDOWS\system32\ParticleFountain.scr] 4C1323520EB29618930875E0EB1907E0
      [C:\WINDOWS\system32\ReallySlick_Skyrocket_v1.scr] F28C4A08C0C29AAC9DBBF531ED21D63D
      [C:\WINDOWS\system32\Tunnel-B12.scr] 35141648A5AAFEC3D4F07EBBD9B83F6C
      [C:\WINDOWS\system32\Tunnel.scr] 343DCEFF1015FF19E5297AFBE879C0B8
      [C:\WINDOWS\system32\X64.scr] AC2B49472830C950E439C7E7BEEED099



      ------------------------------------------------------------------------
      Auteur : !aur3n7 Contact: https://www.aceboard.fr/
      ------------------------------------------------------------------------

      --------------------------------------------- END ---------------------------------------------





      Ad-Fix v0.101a
      by gchris


      OPTION 2 (Fix) :

      »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»

      Démarré à :

      21:15:57,85 04/08/2007
      en mode sans échec


      Executé depuis :

      C:\Documents and Settings\Administrateur\Bureau\Ad-Fix


      Os :

      Microsoft Windows XP [version 5.1.2600]

      »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»


      »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»

      Recherche de fichier manquant


      »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»


      »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»

      Nettoyage du registre



      »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»


      »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»

      Suppression des fichiers

      C:\WINDOWS\Downloaded Program Files\setup.inf Supprimé !
      C:\WINDOWS\system32\aspi??????.exe Supprimé !

      »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»

      Terminé à 21:22:22,31


      Redémarrage effectué




      Clean Navipromo version 2.0.5 commencé le 04/08/2007 à 21:28:26,65

      Fix lancé depuis C:\Program Files\navilog1
      Mise a jour le 01.07.2007 a 12h00 by IL-MAFIOSO

      Mode suppression automatique avec prise en charge résultats Blacklight



      *** fsbl1.txt non trouvé ***
      (Assurez-vous que Blacklight n'avait rien trouvé lors de la recherche)


      *** Suppression dossiers dans C:\WINDOWS ***


      *** Suppression dossiers dans C:\Program Files ***


      *** Suppression dossiers dans C:\Documents and Settings\All Users\Application Data ***


      *** Suppression dossiers dans C:\Documents and Settings\Administrateur\Application Data ***



      *** Suppression fichiers ***


      *** Suppression fichiers temporaires ***

      Nettoyage contenu C:\WINDOWS\Temp effectué !
      Nettoyage contenu C:\Documents and Settings\Administrateur\Local Settings\Temp effectué !


      *** Sauvegarde du registre vers dossier Backupnavi***


      sauvegarde du registre réalise avec succes !


      *** Nettoyage registre ***


      Nettoyage registre Ok

      *** Traitement Recherche complémentaire ***
      (Recherche fichiers spécifiques)

      1)Recherche fichiers connus:


      2)Recherche et Suppression Heuristique :

      *
      **
      ***
      ****
      *****
      ******
      *******
      ********
      C:\WINDOWS\System32\deadlink.exe trouvé !
      Copie C:\WINDOWS\system32\deadlink.exe réalise avec succes !
      C:\WINDOWS\system32\deadlink.exe supprimé !

      C:\WINDOWS\System32\Siw.exe trouvé !
      Copie C:\WINDOWS\system32\Siw.exe réalise avec succes !
      C:\WINDOWS\system32\Siw.exe supprimé !


      3)Contrôle présence clés Rootkit dans le registre :

      Aucune autre clés présente dans le registre !

      4)Certificats :


      *** Nettoyage termine le 04/08/2007 à 21:36:33,48 ***
      0
  3. lance_yien Messages postés 2771 Date d'inscription   Statut Contributeur 257
     
    re,

    il ne s'agit pas d'un délai mais d'une durée :)
    la procédure dure 2h en moyenne (pour que tu puisses t'organiser)
    a+
    0
  4. lance_yien Messages postés 2771 Date d'inscription   Statut Contributeur 257
     
    bonjour,

    c'est ok pour les 3 utilitaires tu peux les désinstaller/ suprimer de ta machine sauf hijackthis

    >> cherches le fichiers suivants et vois si tu en as l'utilité sinn supprimes-les (ce souvont des animations pour fonds d'écran etc rajoutées par des prog/logiciels):
    - C:\WINDOWS\system32\Flurry.scr
    - C:\WINDOWS\system32\Nostalgic.scr
    - C:\WINDOWS\system32\ParticleFountain.scr
    - C:\WINDOWS\system32\ReallySlick_Skyrocket_v1.scr
    - C:\WINDOWS\system32\Tunnel-B12.scr
    - C:\WINDOWS\system32\Tunnel.scr
    - C:\WINDOWS\system32\X64.scr

    >> nettoies ton pc comme indiqué ici http://komun.chez-alice.fr/Desinfection-Nettoyage.html (c'est la fameuse procédure qui dure 2h mais je viens de voir que je ne t'ai pas donné le lien avant: désolé

    >> fais ce scan en ligne http://komun.chez-alice.fr/Utilitaires.html#scan_avec_bitdefender, enregistres le rapport sur ton bureau pour le poster ici
    a+
    0
    1. zayadi Messages postés 52 Statut Membre 3
       
      bonjour.
      bien compris tes conseils .
      à ce soir donc, j'aime travailler tranquillement après 8h.
      merci beaucoup
      0

Discussions similaires

Chrome://newtab
Nova -
snoopy35_ -

14 réponses
Softonic,est-ce un virus ?
techmel1 -
techmel1 -

6 réponses
Doodle Jump codes
dada06390 -
doodle hard -

29 réponses
Désinstaller Softonic
Diguimette -
lilidurhone -

5 réponses
Virus dans filezilla
balnelius10 -
fabul -

9 réponses