WORM_SDBOT.FOE

Bonjour,

J’ai une machine sous XP infectée par WORM_SDBOT.FOE détecté par House Call de Trend micro https://www.trendmicro.com/fr_fr/business.html mais surtout bien voyant par l’ouverture persistante de fenêtres vantant les mérites d’un antivirus. Le tout avec une alerte style Mise à jour disponible en bas à droite près de l’horloge et des messages d’alerte du genre « Je t’ai pourri ton ordi »

Aucun antivirus ni kits présentés dans les forums ne traitent explicitement de ce virus les descriptions des autres SDBOT sont différentes.

Pour faire avancer le schmilblick voici mes observations de la bête WORM_SDBOT.FOE en espérant une solution m’évitant un formatage complet de la machine pendant les vacances de Noël. Je voudrais jouer avec mes cadeaux (J’ai commandé une femme rigolote, la même que Lambert dans sa Micra)

Dans le run de KLMSW… c:\blablabla\relpack.exe – On vire, facile !

Le petit coquin se trouve dans C:\Windows\sdir avec un pote helper.exe

Pour supprimer la bête il faut d’abord arrêter le processus dans le gestionnaire de tâches.

Je ne me souviens plus comment je l’ai trouvé mais le bestiau s’appuie aussi sur un fichier svchost.exe, bien connu mais celui-ci est de 30 ko et accessible que si vous affichez les fichiers cachés et les fichiers système du répertoire system32
Super gag, dès que vous supprimez ce fichier. Tout le virus se recrée.

Truc à ne pas faire : Supprimer toutes les branches de la base de registre se référant à svchost.exe : Vous perdez les partages d’imprimantes (et peut être autre chose je ne sais pas)
Ce n’est pas très dur à réinstaller : Protocole réseau/supprimer les services et les partages/
Redémarrer/réinstaller les protocoles.

Reste que le virus est toujours là

Note : A chaque tentative d’éradication – A la main comme vous l’avez vu – lors du redémarrage, une fenêtre DOS s’ouvre brièvement mais je n’ai pas le temps de voir ce qui se passe.

Je n’ai pas essayé sans la connexion ADSL. Je suppute un appel DTHTML, j’ai cru voir cela pendant mes recherches.

Voilà, il fait moche, c’est un temps idéal pour chasser le virus. Qui joue avec moi ?