Probleme avec explorasi.exe

Bonsoir Lyonnais

Ta remarque est exacte sur plusieurs points et après relecture du code faute d'avoir conservé un log explicite, voilà comment il fonctionne en détail, je pense que ça répondra à tes interrogations sur cet outil :

1/ Le fix débute par l'arrêt des processus infectieux si actifs. (non mentionné dans le rapport)

2/ Il effectue une recherche on va dire heuristique, pour être précis une recherche de chaine de caractère spécifique que l'on retrouve uniquement dans les fichiers infectieux, et ce, sur tout le DD (sauf dossier restau système) et à l'intérieur de fichiers de type EXE,SCR,COM,PIF,SYS,VBS dont la taille est comprise entre 34K et 80K.
En utilisant le switch '/extended' on peut agrandir le champ de recherche sur les fichiers allant de 15K à 150K
(Résultat des suppressions mentionnés dans le rapport)

3/ Suppression des fichiers dossiers d'après une liste prédéfinie (Détection et suppression mentionnés dans le rapport):


C:\Documents and Settings\tous les profils\Application Data
smss.exe
listhost*.txt
csrss.exe
inetinfo.exe
jalak-93*15-bali.com
lsass.exe
services.exe
listhost*.txt
smss.exe
winlogon.exe
br*on.exe
*bron*.*
svchost.exe
bron.tok*

C:\Documents and Settings\tous les profils\local settings\Application Data
*bron
csrss.exe
inetinfo.exe
jalak-93*15-bali.com
lsass.exe
services.exe
listhost*.txt
smss.exe
winlogon.exe
br*on.exe
*bron*.*
svchost.exe
bron.tok*

C:\
baca bro*.*
dr.pluto.exe
kangen.exe
romantic_devil.r.htm

C:\Windows
berasjatah.exe
cinderawasih-4*7.exe
cinta buta.exe
eksplorasi.exe
fonts\tskmgr.exe
iexplorer.exe
kesenjangan sosial.exe
komodo-6*2.exe
lexplorer.exe
mspatch.exe
rundll32.exe
sembako*.exe
j6?????2.exe
o4?????7.exe
systray.exe

C:\Windows\tasks
at?.job
at*.job

C:\Windows\inf
norbtok.exe

C:\Windows\shellnew
*urokrgic.exe
bronstab.exe
elnorb.exe
rakyatkelaparan.exe
sempalong.exe

C:\Windows\system32
*.s setting.scr
3d animation.scr
c_*k.com
ccapps.exe
i75-d2\dkernel.exe
jangan dibuka.exe
kangen.exe
mspatch.exe
my heart.exe
myheart.exe
sstray.exe
syslove.exe
untukmu.exe
winword.exe
cmd*bro*.exe
dxblbs.exe
sistem.sys
c_?????k.com

Concernant ces deux chemins, il ne sont pas compatibles avec les OS français :

C:\Documents and Settings\profil\start menu\programs\startup\empty.pif
en réalité : C:\Documents and Settings\profil\Menu Démarrer\Programmes\Démarrage\empty.pif

C:\Documents and Settings\profil\templates
en réalité : C:\Documents and Settings\profil\Modèles
a.kotnorb.com
brengkolang.com
csrss.exe
dokter_gila.vbs
inetinfo.exe
lsass.exe
services.exe
smss.exe
sys_romantic-devil.r.vbs
winlogon.exe
wowtumpeh.com
*nendang*.com

Néanmoins la détection heuristique les repères assez bien, mais çà demande en le sachant de surveiller de près le contenu de ces deux dossiers après passage du fix.
Par défaut sur un pc non infecté le dossier C:\Documents and Settings\profil\Modèles ne contient aucun fichiers d'extension *.com *.exe ou *.vbs

Viens ensuite le recherche de dossiers au nom en partie aléatoire et ne concernant quelques variante spécifiques :
En général le nom se compose d'une ou deux lettres connues et chaque fois les mêmes + séquence de chiffre aléatoire + chaine caractère aléatoire
Ce qui donne :

APPDATA et \local settings\application data :
DV6*"

C:\Windows\system32
N[0-9]*
S[0-9]*

C:\Windows
SY[0-9]*
AD[0-9]*
PA[0-9]*


4/ Nettoyage du registre + restauration fichier hosts + nettoyage du fichier AUTOEXEC.BAT si besoin et si présent.
(Non mentionné dans le rapport)

Reset des clés à leur valeurs d'origine :

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
Shell
Userinit

HKCU\software\Microsoft\windows\currentversion\explorer\advanced\hidden => 1
HKCU\software\Microsoft\windows\currentversion\explorer\advanced\showsuperhidden => 1
HKLM\system\currentcontrolset\control\safeboot\alternateshell", "cmd.exe"

Suppresion des restrictions/run :

HKCU\software\brontok\
HKCU\software\Microsoft\windows\currentversion\policies\system\disableregistrytools
HKCU\software\Microsoft\windows\currentversion\policies\system\disabletaskmgr
HKCU\software\Microsoft\windows\currentversion\policies\system\disablecmd
HKCU\software\Microsoft\windows\currentversion\policies\explorer\nofolderoptions
HKCU\software\Microsoft\windows\currentversion\policies\explorer\nofind
HKCU\software\Microsoft\windows\currentversion\policies\explorer\norun
HKCU\software\Microsoft\windows\currentversion\policies\explorer\run\
HKCU\software\Microsoft\windows\currentversion\policies\explorer\disablecmd
HKCU\software\Microsoft\windows\currentversion\run\tok-cirrhatus
HKCU\software\Microsoft\windows\currentversion\run\sysdiaz
HKCU\software\Microsoft\windows\currentversion\run\f3444adm
HKCU\software\Microsoft\windows\currentversion\run\sysyuni
HKCU\software\Microsoft\windows\currentversion\run\sys_romantic-devil.r
HKCU\software\policies\Microsoft\windows\system\disablecmd
HKLM\software\Microsoft\windows\currentversion\policies\explorer\run\
HKLM\software\Microsoft\windows\currentversion\policies\system\disableregistrytools
HKLM\software\Microsoft\windows\currentversion\policies\system\disabletaskmgr
HKLM\software\Microsoft\windows\currentversion\run\bron-spizaetus
HKLM\software\Microsoft\windows\currentversion\run\pluto
HKLM\software\Microsoft\windows\currentversion\run\sysria
HKLM\software\Microsoft\windows\currentversion\run\n3678c
HKLM\software\policies\Microsoft\windows\system\disablecmd

Le nettoyage du registre se fait par l'intermédiaire d'un script vbs pour les clés et valeurs connues d'avance et ensuite via un fichier *.reg pour celles dont le contenu et en partie aléatoire.

Par exemple pour ces trois clés de démarrage et pour chacune des valeurs contenues :

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run

Les mots 'Cirrhatus' et 'Spizaetus' seront recherchés dans chaques valeurs présentes et sytématiquement intégrées au *.reg si présent.
Ca permet de repérer facilement les entrées de type "Bron-Spizaetus-4128", sans besoin de connaitre la séquence de chiffre aléatoire.

5/ Génération du rapport.


Si tu veux mon avis pour Edcoco, je crois qu'il ne restait dans son log que des traces d'infection et surement certaines modif du registre non nettoyées.
j'vais plein de virus dans mon ordi mais après avoir tout effacé avec un scan de Nod 32 et avast le message C/WINDOWS/Syst32/explorasi.exe" fichier introuvable s'affiche.
Brontok n'est quand même pas trop mal détecté et nettoyé par les AV maintenant, du moins si l'infection n'a pas eu le temps de trop se développer :-)
A vérifier pour confirmation ou infirmation avec le résultat d'un scan en ligne par exemple :-)

Voilà, @+ et bonne continuation

nb :
Petite précision pour les variantes qui génèrent un fichier exe qui porte exactement le même nom que le dossier parent ou il se réplique (Mes documents\Mes documents.exe, Mes images\Mes images.exe, etc...), c'est la détection "heuristique" du fix qui se charge de les débusquer et ma foi s'en sort pas mal au vu des tests que j'avais pu faire avec quelques variantes de Brontok)

Pour les utilisateurs d'Antivir l'emploi du tool peut déclencher une alerte de la détection heuristique de l'av et peut être détecté comme étant : HEUR/Exploit.HTML
Faux positif.