infection Brontok-CE - hijack et rapportsRésolu/Fermé

Question

Bonjour,
 un ami m'a demandé un coup de main suite à une infection par brontok CE. J'ai suivi qq conseils du forum et il me semble que le virus a disparu, mais l'ordi est vraiment très lent. Qq un peut-il me traduire le hijack ? J'ai aussi passé avast (la 2e fois en mode sans echec), AVG anti spyware, Ccleaner et un fichier nommé brontgui, censé se débarrasser de plusieurs versions de brontok.

Hijack :

Logfile of HijackThis v1.99.1
Scan saved at 16:44:51, on 23/10/2007
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINXP\System32\smss.exe
C:\WINXP\system32\winlogon.exe
C:\WINXP\system32\services.exe
C:\WINXP\system32\lsass.exe
C:\WINXP\system32\svchost.exe
C:\WINXP\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINXP\system32\spoolsv.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\WINXP\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINXP\System32\msdxm.ocx
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: PACSPTISVR - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\Pacsptisvr.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\Sptisrv.exe

 AVG :

---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	23:25:53 22/10/2007

 + Résultat de l'analyse:	



HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\{c95fe080-8f5d-11d2-a20b-00aa003c157a} -> Adware.Generic : Nettoyé.
HKU\.DEFAULT\Software\Microsoft\Internet Explorer\Extensions\CmdMapping\{c95fe080-8f5d-11d2-a20b-00aa003c157a} -> Adware.Generic : Nettoyé.
HKU\S-1-5-18\Software\Microsoft\Internet Explorer\Extensions\CmdMapping\{c95fe080-8f5d-11d2-a20b-00aa003c157a} -> Adware.Generic : Erreur lors du nettoyage.
HKU\S-1-5-21-117609710-1606980848-854245398-1003\Software\Microsoft\Internet Explorer\Extensions\CmdMapping\{c95fe080-8f5d-11d2-a20b-00aa003c157a} -> Adware.Generic : Nettoyé.
C:\System Volume Information\_restore{36E69C3C-BC1B-4A17-B3F4-3FCB47304C85}\RP190\A0126387.exe -> Worm.Brontok.q : Nettoyé.
C:\System Volume Information\_restore{36E69C3C-BC1B-4A17-B3F4-3FCB47304C85}\RP190\A0126388.scr -> Worm.Brontok.q : Nettoyé.
C:\System Volume Information\_restore{36E69C3C-BC1B-4A17-B3F4-3FCB47304C85}\RP190\A0126389.scr -> Worm.Brontok.q : Nettoyé.


Fin du rapport

et enfin brontgui :



RESOLVE Version 1.07
Copyright (c) 2004, Sophos Plc, www.sophos.com

System disinfection for W32/Brontok 

Data Version 1.03

System scan started at 00:09 on 23 October 2007

Checking for W32/Brontok in memory

Checking for registry keys affected by W32/Brontok

Reset registry value HKCU\software\microsoft\windows\currentversion\explorer\advanced\HideFileExt

Checking for files affected by W32/Brontok

Scanning C:

Error opening file C:\Documents and Settings\Administrateur\NTUSER.DAT

Error opening file C:\Documents and Settings\Administrateur\Local Settings\Historique\History.IE5\index.dat

Error opening file C:\Documents and Settings\Administrateur\Local Settings\Temporary Internet Files\Content.IE5\index.dat

Error opening file C:\Documents and Settings\Administrateur\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat

Error opening file C:\Documents and Settings\Administrateur\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG

Error opening file C:\Documents and Settings\Administrateur\Cookies\index.dat

Error opening file C:\Documents and Settings\Administrateur
tuser.dat.LOG

Error opening file C:esolve.log

Error opening file C:\System Volume Information\_restore{36E69C3C-BC1B-4A17-B3F4-3FCB47304C85}\RP190\change.log

Error opening file C:\WINXP\system32\config\system.LOG

Error opening file C:\WINXP\system32\config\software.LOG

Error opening file C:\WINXP\system32\config\default.LOG

Error opening file C:\WINXP\system32\config\SAM.LOG

Error opening file C:\WINXP\system32\config\SECURITY.LOG

Error opening file C:\WINXP\system32\config\AppEvent.Evt

Error opening file C:\WINXP\system32\config\SecEvent.Evt

Error opening file C:\WINXP\system32\config\SysEvent.Evt

Error opening file C:\WINXP\system32\config\DEFAULT

Error opening file C:\WINXP\system32\config\SECURITY

Error opening file C:\WINXP\system32\config\SOFTWARE

Error opening file C:\WINXP\system32\config\SYSTEM

Error opening file C:\WINXP\system32\config\SAM

Error opening file C:\WINXP\system32\config\Antivirus.Evt

Error opening file C:\WINXP\system32\wbem\Repository\FS\OBJECTS.DATA

Error opening file C:\WINXP\system32\wbem\Repository\FS\INDEX.BTR

Error opening file C:\WINXP\system32\?I?I?³

Error opening file C:\WINXP\system32\?I?I?³

Error opening file C:\WINXP\system32\?I?I?³

Error opening file C:\WINXP\Debug\PASSWD.LOG

Error opening file C:\pagefile.sys


Scanning C:\WINXP

Error opening file C:\WINXP\system32\config\system.LOG

Error opening file C:\WINXP\system32\config\software.LOG

Error opening file C:\WINXP\system32\config\default.LOG

Error opening file C:\WINXP\system32\config\SAM.LOG

Error opening file C:\WINXP\system32\config\SECURITY.LOG

Error opening file C:\WINXP\system32\config\AppEvent.Evt

Error opening file C:\WINXP\system32\config\SecEvent.Evt

Error opening file C:\WINXP\system32\config\SysEvent.Evt

Error opening file C:\WINXP\system32\config\DEFAULT

Error opening file C:\WINXP\system32\config\SECURITY

Error opening file C:\WINXP\system32\config\SOFTWARE

Error opening file C:\WINXP\system32\config\SYSTEM

Error opening file C:\WINXP\system32\config\SAM

Error opening file C:\WINXP\system32\config\Antivirus.Evt

Error opening file C:\WINXP\system32\wbem\Repository\FS\OBJECTS.DATA

Error opening file C:\WINXP\system32\wbem\Repository\FS\INDEX.BTR

Error opening file C:\WINXP\system32\?I?I?³

Error opening file C:\WINXP\system32\?I?I?³

Error opening file C:\WINXP\system32\?I?I?³

Error opening file C:\WINXP\Debug\PASSWD.LOG


Checking for registry keys affected by W32/Brontok

Reset registry value HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell

System scan finished at 00:29 on 23 October 2007

	Processes found                     : 0
	Processes terminated or disinfected : 0
	Registry keys affected              : 2
	Registry keys changed               : 2
	Files found                         : 0
	Files deleted                       : 0


Je les ai lancé dans cet ordre, sachant que plus de 300 fichiers sont dans la zone de quarantaine d'avast. Que dois je en faire ? Les restaurer ? Comment être sûr qu'ils sont désinfectés ?

Merci d'avance,

Cédric

jalobservateur · Answer

Salut! Je ne suis pas disponible ,dommage!
mais je peux rapidement d'indiquer ceci:
1: Avast est devenu 0-0 efficacité!!!
2: Tu as aucun pare-feu!
3: Tu navigues sur inter pas net explorer 6 en plus ! Et pas sur firefox qui est lui, sécurisé !
4: ton regedit est désactivé par les virus !
5:Installes Java 1.6_0.3
6: Sur Firefox. installes Antivir sur ton bureau. antivir
Installes Zone Alarm : zonealarm
Installes Spybot : MAJ/Vaccines/ scan et supprimes ce qu'il trouve.: https://www.safer-networking.org/products/
7: Désinstalles proprement Avast : https://www.avast.com/fr-fr/uninstall-utility
8:Scan avec Antivir en sans echec.
9: Avec highjackthis en sans echec /scan seulement coches et fixes cette ligne/
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
10: nettoies tout avec ccleaner+ erreurs de registres : NB: décoches la case dans Application avancé /fichiers de plus de 48 h.
11: Colles ici tous les rapports Et un nouveau log stp.
Si ce n'est moi, un autre continuera.
@Suivre Jal

jalobservateur · Answer

Oupsss ! j'oublias un point important! Installes CECI: https://www.superantispyware.com/downloadfile.html?productid=SUPERANTISPYWAREFREE
Et MAJOUR. Puis scan aussi en sans echec.

cedemagadak · Answer

salut jal et merci pour ta rapidité ;-)
quelques remarques et questions avant de lancer la grosse artillerie (histoire de bien comprendre) :

1: Avast est devenu 0-0 efficacité!!! 
==> J'ai entendu d'autres sons de cloche, il parait qu'avast est le meilleur antivirus !

2: Tu as aucun pare-feu!
3: Tu navigues sur inter pas net explorer 6 en plus ! Et pas sur firefox qui est lui, sécurisé !
==> L'ordi de mon pote n'est pas destiné à aller sur le web, trop vieux, trop lent, donc je ne pense pas lui mettre zone alarm, ni firefox ni changer d'antivirus. Ai-je tort ?

4: ton regedit est désactivé par les virus !*
==> Ca veut dire quoi stp ?

5:Installes Java 1.6_0.3
==> pourquoi faire ?

9: Avec highjackthis en sans echec /scan seulement coches et fixes cette ligne/
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
==> A quoi cette ligne correspond t-elle ?

Autre question : une fois en quarantaine, comment faire pour désinfecter des virus ? Sont-ils automatiquement nettoyés ? Je me permets de te demander tout ça parce que j'ai VRAIMENT envie d'apprendre des trucs, alors si tu as un peu de temps je suis tout ouïe.

@+
cédric

g!rly · Answer

bonsoir a vous deux, 

je te laisse dans les griffes de jalobservateur, que je salut par la meme occasion ;-)

jalobservateur · Answer

Re salut! Je viens de voir ton message ! Il est minuit ici ,donc je te repond dans quelques heures @+
Jal ! Et Salut! mon amie Girly ! Je le grifferai pas trop ! (:\__

Le sioux · Answer

Bonjour tout le monde

Soi d apprendre Cedric ?  Désolé, c est plus fort que moi, je tapes une ptite incruste 
(Je pense que Jalobservateur ne m en voudra pas ) 

1) Sache qu avec Avast, tu n es pas très bien protégé :

Comparatif avast VS Antivir :  http://forum.malekal.com/ftopic3528.php

2) Qu est ce qu'un parefeu ou Firewall  : http://securite-facile.ovh.org/firewall.php

3) Non connecté sur le net, cela change les donnes..

" L'ordi de mon pote n'est pas destiné à aller sur le web, trop vieux, trop lent, donc je ne pense pas lui mettre zone alarm, ni firefox ni changer d'antivirus" 

-->  FireFox et parefeu, ainsi que java seront alors inutiles mais un Antivirus a jour et efficace comme Antivir sera bien utile  (desinstaller Avast d abord, cela va de soi..) https://www.avira.com/

Ce qu est java https://www.java.com/fr/about/

4) Regedit = Editeur de registre 

Disable regedit vu via HijackThis ici O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1 la fixer par contre, ne suffira pas je pense..

Cela signale que cette commande Regedit te sera impossible car désactivée..si ce n est par toi via XPAntispy  par exemple ou par un administrateur reseau (cas des entreprises), alors  c est un malware qui l a fait..

Ce qu est la base de registre et l editeur de registre https://www.zebulon.fr/dossiers/windows/57-base-de-registre.html

5) la quarantaine

La quarantaine est un lieu de stockage ou sont mis  a  l ecart les cochonneries;
 Il faut tout de meme  la vider, pour Avast, clique droit sur demarrer avast puis cliquer sur quarantaine, puis supprimer un a un ce qui s y trouve.

 6) Pour brontok 

Si tu te sens de te debrouiller "comme un grand"  (je blague ;-) )  regarde ici -->  http://www.malekal.com/Win32.Brontok.php

Voila, bonne lecture.

jalobservateur · Answer

Hey! Bonjour à VS 3!
Toi le sioux je t'aime bien! (oo) !
Tu m'évites de taper !!!
Bref ! cedemagadak, Idem!
Gardes ensuite Antivir dans la machine car même si non-connectée ...Oui en effet cela change quelque peu les données!
Son utilité sera là! Car il va surement utiliser sa machine pour quelquechose ???
Donc si il introduit des programmes ou bien ??? Ce qu'il veut, il aura de quoi s'assurer de la validité et de la propreté de ce qu'il introduit ayant la possibilité de scanner !
Il peut aussi mettre plusieurs programmes sur une usb et les rafraichir avec un ami.
Une autre chose aussi est certaine: Une fois désinfecté et fonctionnel, tu pourrais épurer et optimiser sa machine en désactivant des services inutiles et bouffeurs de ressources, puis diminuer au max les lignes de démarrage.

http://speedweb1.free.fr/frames2.php?page=service3

http://speedweb1.free.fr/frames2.php?page=service4

Pour les lignes du log: Google est ton ami! Loll!
Tu as deux excellents helpers ici pour t'apprendre ! Ils prendront la relève assurément sans problême!

Donc, moi je termine mon aide sur les forums.
J'ai du boulôt devant moi. Sur Windows Server 2008. 
Alors bon succès dans tes entreprises !
Salutations ! @+ Jalobservateur!

cedemagadak · Answer

ok les choses sérieuses commencent ;-)

merci pour tout ces petits conseils, je vais passer sa bécane à l'eau de javel. J'ai trouvé cette page en zonant sur google, elle m'a été bien utile :

http://assiste.com.free.fr/p/pacman/pacman_startup_list.html


Je vais virer avast et mettre antivir, par contre je n'ai tjs pas compris la différence entre "restaurer" un fichier et le supprimer. Pourquoi les supprimer un par un ? Est-ce que je ne risque pas de foutre à la corbeille des fichiers importants ?? Quand on a un microbe dans une cellule du bras, on désinfecte la cellule avant de couper le bras, non ? A moins d'avoir la gangrène...

et girly, merci pour cette phrase "Le meilleur moyen de faire tourner la tête à une femme, c'est de lui dire qu'elle a un joli profil", tu me donnes l'autorisation de m'en servir pour briller en soirée ??

@+

Le sioux · Answer

Bonsoir

je n'ai tjs pas compris la différence entre "restaurer" un fichier et le supprimer  

Supprimer tu dois piger, restaurer c est repositionner un dossier ou il était, a ne pas faire avec ce qui se trouve en quarantaine sous peine de libérer a nouveau la/les cochonneries.
Fais un essais avec un raccourci de ton bureau jette le a la poubelle ouvre celle ci et selectionne le raccourci puis restaurer..  ;-)

Comme te la dis Jalobservateur (aue je salue au passage), l introduction d une clef usb peut t amener des cochonneries d ou l interet d un antivirus leger.Antivir est plus leger a coté d avast et ses boucliers passoires , de plus le set up d Antivir est récent avec une parite des mises a jour intégrées contrairement a Avast ou il faut absolument le net pour le mettre a jour.

Voir ici  les infections sur clefs amovibles http://forum.malekal.com/ftopic3350.php Merci a Malekal_Morte.
et ici comment s en protéger  https://forum.zebulon.fr/topic/131959-infections-par-supports-amovibles/ Merci a Gof

Tu as trouvé la liste de Pacman sur assiste, bien joué. Fouille un peu sur Assiste c est une mine d or d information ;-)  chez Malekal et Zebulon  aussi d ailleurs.

Pour brontok, as tu essayer remove Brontok puis avg comme conseillé ?

Bonsoir.

jalobservateur · Answer

Re bonjour!
Je vais répondre à tes questions le plus simplement .


1 : la différence entre "restaurer" un fichier et le supprimer.
Restaurer = Le remettre à son emplacement d'origine. ( Dans le cas d'un virus c'est Comme un peu déconseillé )

Supprimer= (le tuer et le découper en miette puis ensuite appeler le fossoyeur)
===========================================================================
2: Pourquoi les supprimer un par un ? 

Déjà que Avast a de la difficulté à les voir et t'en avertir ( Un à la fois est plus sûr)
=============================================================================

3: Quand on a un microbe dans une cellule du bras, on désinfecte la cellule avant de couper le bras, non ? A moins d'avoir la gangrène... 
Bonne observation! ( Ton Anti-virus nettoies seulement les cellules infectueuses)

Mais attention !
Il y a 3 fichiers à mon lointain souvenir dans Avast que tu ne touches pas 
Kernel et ... j'ai pas vraiment le temps de chercher...
De toutes façons, si tu es pas sûr Google!
==========================================================================

4: Je pense que G!rly te donnera la permission ???
@+

jalobservateur · Answer

Loll! hey le sioux !!!
On fais de la télépat ou koi!
Elle est bonne encore celle-là.
Si le téléphone n'avait pas sonné ici on aurais écris les mêmes choses en même temps !
Vraiment bonne!

Le sioux · Answer

Hello Jalobservateur

Yes Jah' , rigolo.. lol

Bonne soirée ? chez nous c est le debut de  soirée  ;-)  21h ..

cedemagadak · Answer

ok les gars, je suis dorloté ici !
mon pote a repris son ordi avant que j'aie eu le temps de faire un scan avec antivir en sans échec, mais il s'en sortira je pense. Il vous remercie et vous salue bien bas !

Je n'avais pas compris qu'un antivirus nettoyait les fichiers, je pensais qu'il les mettait de côté seulement. Tout pigé ;-)

Sauf ça :
"Mais attention !
Il y a 3 fichiers à mon lointain souvenir dans Avast que tu ne touches pas
Kernel et ... j'ai pas vraiment le temps de chercher... "

je vais continuer à plancher, petit jedi poursuit son éducation.

@ la prochaine !
céd.

jalobservateur · Answer

Salut cedemagadak.
Si je tente de fouiller sur mon disque mou! Loll 
Ceci date des premiers mois ou j'avais un ordi...
Je me 'souviens'... De voir Kernel.dll/winsock.dll et l'autre??? Mon disque est trop mou!
Dans mes souvenirs... Ceux -ci étaient dans la zone quarentaine mais 'Je ne les ai pas supprimé' Car à cette époque, j'ai recherché et'
me disant que c'était des fichiers systême il valait mieux ne pas toucher.
Soit qu'a l'époque ou Avatsétait efficace... Il a vu en ces fichiers une possible contamination ,soit ils étaient toujours présents en surveillance ? Je sais plus.
Car au début de mes balbutiments avec un ordi, j'avais des amis qui s'achetaient des machines aussi et étant le plus vieux sur ces boites à grimaces, c'était moi le helpeur 'attitré' Hey 1 mois d'ancienneté c'est impressionnant ! Loll.
Je me rappele aussi que j'installais Avast sur leurs machines et ces mêmes 3 dossiers étaient je crois comme dans la normalité des choses sur tous les PC.
Je dis peut-être des ânneries?
Je n'ai eu Avast que quelques mois. Car ayant réalisé qu'il 'me trichait' , par des scans en ligne qui me trouvaient des merdes ignorés par Avast j'ai divorcé!
De plus les nouvelles menaces que je voyais à l'horison'Rootkits qui ne semblaiet être que des légendes urbaines il y a encore 1 an déjouaient assez facilement Avast qui en prenait pour son Rhume.

J'ai bossé comme un foutu moine pour rechercher, vérifier .scanner, nettoyé des tas de machines points par points.
J'ai pris des milliers de notes et tenter d'apprendre les fichiers systême et j'en ai bavé ,mais me suis toujours démerdé.
J'ai donc recherché et lu ,puis découvert que cerains AV étaient mieux armés pour les nouvelles menaces.
Dont Antivir pour les Rootkits.Certains du moins...
Les nouvelles menaces et les nouveaux pirates prennent de l'avance.
Alors il est préférable que l'on tente au moins de suivre,si on ne prend pas les devant !
@+ Jal

Infection Brontok-CE - hijack et rapports

14 réponses

Discussions similaires

Newsletters