virus sur mon pc sos aux connaisseurs Fermé

Question

Bonjour à toutes et tous voila mon problème

J'ai des virus et des trojan enfin tous une série de merde sur mon pc 

Je tourne sous XP jusqu'a il y a qlq temps aucun problème car j'avais avast et puis un jour avast disparait et impossible de le réinstaller aucun autre anti virus et antispy ou autre sur le pc il s'install mais ne fonctionne pas.

J'ai essayé de suivre les conseil via le forum mais le probs c'est que pour un travail en mode sans échec cela ne vas pas non plus le pc se remet en route.


J'ai fais des analyse en ligne et voila déja qlq un de ces salloperie sur mon pc


worm nucrp.gen    se trouve dans plein de fichier
trojan kilau.lg
trojan lowzones.dd
trojan renos.lm

et puis les autres 


Que faire svpl aidez moi en sacahnt que je ne peus formater mon disque dur.


Merci de votre aide

philae83 · Answer

bonsoir,

* Télécharge  Blacklight
https://europe.f-secure.com/exclude/blacklight/index.shtml
 (de F-Secure)
(le premier de la page)

Enregistre le sur ton Bureau.
Double-clique fsbl.exe 
Clique sur "I ACCEPT" .
clique Scan puis Next

Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport,
sur ton Bureau, nommé fsbl.xxxxxxx.log  (les xxxxxxx sont des chiffres).

Copie et colle le contenu de ce rapport dans ta prochaine réponse.
 NE PAS choisir l'option "Rename" de suite : nous devons analyser le rapport,
 car des fichiers légitimes peuvent être présents,  tel wbemtest.exe

ccmmed · Answer

Voila et merci pour la prompte réponse


09/19/07 01:07:49 [Info]: BlackLight Engine 1.0.64 initialized
09/19/07 01:07:49 [Info]: OS: 5.1 build 2600 (Service Pack 2)
09/19/07 01:07:50 [Note]: 7019 4
09/19/07 01:07:50 [Note]: 7005 0
09/19/07 01:07:53 [Note]: 7006 0
09/19/07 01:07:53 [Note]: 7011 1536
09/19/07 01:07:54 [Note]: 7026 0
09/19/07 01:07:54 [Note]: 7026 0
09/19/07 01:07:58 [Note]: FSRAW library version 1.7.1022
09/19/07 01:11:05 [Info]: Hidden file: c:\Program Files\Movie Maker\Shared\Empty.txt
09/19/07 01:11:05 [Note]: 10002 3
09/19/07 01:11:05 [Info]: Hidden file: c:\Program Files\Movie Maker\Shared\Filters.xml
09/19/07 01:11:05 [Note]: 10002 3
09/19/07 01:11:05 [Info]: Hidden file: c:\Program Files\Movie Maker\Shared
ews.png
09/19/07 01:11:05 [Note]: 10002 3
09/19/07 01:11:05 [Info]: Hidden file: c:\Program Files\Movie Maker\Shared\paint.png
09/19/07 01:11:05 [Note]: 10002 3
09/19/07 01:11:05 [Info]: Hidden file: c:\Program Files\Movie Maker\Shared\Profiles\Blank.txt
09/19/07 01:11:05 [Note]: 10002 3
09/19/07 01:11:05 [Info]: Hidden file: c:\Program Files\Movie Maker\Shared\Sample1.jpg
09/19/07 01:11:05 [Note]: 10002 3
09/19/07 01:11:05 [Info]: Hidden file: c:\Program Files\Movie Maker\Shared\Sample2.jpg
09/19/07 01:11:05 [Note]: 10002 3
09/19/07 01:11:05 [Note]: 10002 2
09/19/07 01:11:05 [Note]: 10002 2
09/19/07 01:12:03 [Note]: 10002 2
09/19/07 01:12:03 [Note]: 10002 2
09/19/07 01:12:40 [Info]: Hidden file: c:\WINDOWS\system32\drivers\srosa.sys
09/19/07 01:12:40 [Note]: 10002 2
09/19/07 01:13:44 [Note]: 2000 1012
09/19/07 01:13:44 [Note]: 2000 1012
09/19/07 01:17:38 [Note]: 7007 0

philae83 · Answer

re

 Télécharge ELIBAGLA en bas de cette page
http://www.zonavirus.com/datos/descargas/95/elibagla.asp (clique sur le bouton "Descargar Elibagla") sur ton bureau.
Lance-le, de préférence en mode sans échec si tu en as la possibilité, en mode normal dans le cas contraire. Patiente le temps du scan.
Lorsqu'il a terminé, poste le contenu du fichier infoSat.txt qui se trouve dans Poste de travail > Disque C:\
Et par la même occasion, précise si tu peux à nouveau démarrer en mode sans échec.

Ne pas rebooter en passant par msconfig.

et

* Télécharge combofix.exe (par sUBs) sur ton Bureau
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

* Double clique combofix.exe.

* Tape sur la touche Y (Yes) pour démarrer le scan.

* Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse

NOTE : Le rapport se trouve également ici : C:\Combofix.txt

et

* Télécharge  HijackThis  et poste le rapport stp

http://pchelpbordeaux.free.fr/logiciels.html
Tutorial
http://pchelpbordeaux.free.fr/tuto.html
Démo en image (merci balltrap)
demo hijackenregistrement http://perso.orange.fr/rginformatique/section%20virus/Hijenr.gif
http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm



je serais là demain soir au plus tard

ccmmed · Answer

Vopila pour Elibagla 


	  Tue Sep 11 17:10:03 2007
EliBagle v10.51  (c)2007 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle

	  Tue Sep 11 17:10:24 2007
EliBagle v10.51  (c)2007 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

	  Tue Sep 11 22:53:15 2007
EliBagle v10.51  (c)2007 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):

	  Tue Sep 11 22:53:29 2007
EliBagle v10.51  (c)2007 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
Exploración Detenida por el Usuario.



Pour combofix il ne se passe rien j'ai juste une fenêtre bleu qui s'ouvre et un curseur qui clignotte



Et  voila pour Hijack


Logfile of HijackThis v1.99.1
Scan saved at 01:46:04, on 19/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\WINDOWS\system32\cisvc.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\WINDOWS\system32	cpsvcs.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Tablet.exe
C:\WINDOWS\Explorer.exe
C:\WINDOWS\system32\WinAvXX.exe
C:\Program Files\Unlocker\UnlockerAssistant.exe
C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\Microsoft ActiveSync\wcescomm.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\MICROS~4apimgr.exe
C:\Program Files\Google\Google Updater\GoogleUpdater.exe
C:\Program Files\Sony Corporation\Picture Package\Picture Package Menu\SonyTray.exe
C:\Program Files\Sony Corporation\Picture Package\Picture Package Applications\Residence.exe
C:\WINDOWS\FSScrCtl.exe
C:\WINDOWS\system32\WTablet\TabUserW.exe
C:\WINDOWS	wain_32\A4CIS\WATCH.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Java\jre1.5.0_09\bin\jucheck.exe
C:\WINDOWS\SYSTEM32\cidaemon.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\MSN Messenger\usnsvc.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\ComboFix
ircmd.exe
C:\ComboFix
ircmd.exe
C:\ComboFix
ircmd.exe
C:\ComboFix
ircmd.exe
C:\ComboFix
ircmd.exe
C:\Program Files\Hijackthis Version Française\hijackthis vf.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\printer.exe
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_5_7_0.dll
O4 - HKLM\..\Run: [WinAVX] C:\WINDOWS\system32\WinAvXX.exe
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Program Files\Unlocker\UnlockerAssistant.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe
O4 - HKLM\..\Run: [Google Desktop Search] "C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [WinAVX] C:\WINDOWS\system32\WinAvXX.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\wcescomm.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: system.exe
O4 - Startup: Watch.lnk = C:\WINDOWS	wain_32\A4CIS\WATCH.exe
O4 - Global Startup: autorun.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Outil de mise à jour Google.lnk = C:\Program Files\Google\Google Updater\GoogleUpdater.exe
O4 - Global Startup: Picture Package Menu.lnk = ?
O4 - Global Startup: Picture Package VCD Maker.lnk = ?
O4 - Global Startup: Screen Saver Control.lnk = C:\WINDOWS\FSScrCtl.exe
O4 - Global Startup: TabUserW.exe.lnk = C:\WINDOWS\system32\WTablet\TabUserW.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O7 - HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {2472DCCC-68CE-49DA-AA81-E7E6D83C1DFA} - http://acces.blonde.com/package/op/PackageHtmlCab.CAB
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by109fd.bay109.hotmail.msn.com/resources/MsnPUpld.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.zebulon.fr/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.5 Control) - http://photoprint.photohall.be/DesktopModules/SpectorAlbum/ImageUploader3.cab
O16 - DPF: {AA760512-9BD8-4B1B-9E7A-DD9BBE3CF119} (PandoraBoxCtrl Class) - http://front.boonty.com/Prometheus/PandoraX.cab
O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - AppInit_DLLs: C:\WINDOWS\system32\systems.txt
O20 - Winlogon Notify: WRNotifier - WRLogonNTF.dll (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe (file missing)
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe (file missing)
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
O23 - Service: GoogleDesktopManager - Google - C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: TabletService - Wacom Technology, Corp. - C:\WINDOWS\system32\Tablet.exe

philae83 · Answer

bonjour,

Pour combofix il ne se passe rien j'ai juste une fenêtre bleu qui s'ouvre et un curseur qui clignotte 

as tu fait ceci ?  réessaye stp

* Double clique combofix.exe.

* Tape sur la touche Y (Yes) pour démarrer le scan.

ensuite

* Télécharge SmitfraudFix de S!Ri, balltrap34 et moe31

http://siri.urz.free.fr/Fix/SmitfraudFix.exe

* Installe le à la racine de C
 
* double clic sur l'exe pour le décompresser et lancer le fix.
Utilisation ----- option 1 - Recherche :
* Double clique sur smitfraudfix.cmd 
* Sélectionne 1 pour créer un rapport des fichiers responsables de l'infection.
* Poste le rapport ici
process.exe est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

ccmmed · Answer

Oui ben la c'est la merde totale mon pc ne veus plus se remettre en route il vas jusqu'au panneau qui affiche windows XP avec la petite barette qui vas et vien en dessous et la tous bloques et rien ne se passe, j'ai essayé en mode sans échec ca ne marche pas non plus et aussi avec la derniere bonne version rien à faire.

La pour le moment j'ai monté le HD en esclave sur un deuxiéme pc pour récupérer mes fichier et pour pouvoir faire un formatage de mon HD qui déconne mais le seul hic est que tous s'ouvre sauf la partie user qui se trouve dans /dicque local F/ document en settings/ user/ le message qui apparait me dis 

F/Documents and settings n'est pas accessible accés refusé.

Sur le démarage de mon disque dur HS j'avais un mot de passe pour windows serais ce cela qui bloque ???? si oui comment faire enfin de toute facons comment faire pour arriver à user afin que je puisse transferer mes doc sur le HD de secour.

Merci de votre aide

philae83 · Answer

bonsoir,

alors dans ce domaine, je n'y connais rien, (désolée) il faudrait que tu fasses un sujet sur le forum de windows, tu trouveras quelqu'un pour te renseigner.

un conseil toutefois, quand tu auras formaté, pense à sécuriser ton pc correctement afin d'éviter ce genre d'infection et d'em.....s 

bon courage et bonne soirée

Virus sur mon pc sos aux connaisseurs

7 réponses