Virus win.MSSQL.worm.helkern Résolu

Question

Bonjour,
Je souhaiterais avoir de l'aide car mon antivirus (kaspersky) détecte systématiquement le virus win.mssql.worm.helkern et j'aimerais pouvoir le supprimer définitivement de mon pc.
J'ai fait un rapport hijackthis si ca peut vous aider : 

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 01:14:59, on 04/01/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\WINDOWS\system32\dllhost.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\USB Disk Win98 Driver\Res.EXE
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [USB Storage Toolbox] C:\Program Files\USB Disk Win98 Driver\Res.EXE
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: Ajouter à Kaspersky Anti-Bannière - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\ie_banner_deny.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: Statistiques d’Anti-Virus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=https://www.acer.com/worldwide/selection.html
O16 - DPF: {029FDBA6-3547-11D7-AA4C-0050BF051A00} (Rawflow ICD Client) - http://s.tf1.fr/mmdia/static/rawflow/clients/5.3.1.0/Rawflow.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx2.hotmail.com/mail/w2/resources/MSNPUpld.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {79E0C1C0-316D-11D5-A72A-006097BFA1AC} (EPSON Web Printer-SelfTest Control Class) - https://www.epson.eu/support/
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~2.0\adialhk.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InCD File System Service (InCDsrv) - AHEAD Software - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: Windows Live Setup Service (WLSetupSvc) - Unknown owner - C:\Program Files\Windows Live\installer\WLSetupSvc.exe

Darckiller · Answer

Salut,
ton log HJ est propre et ne signale qu'une ligne inutile que tu peux effacée:

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file).

Cependant, tu sembles être tjs infecté.

suis ma démarche dans l'ordre:


-Tu désactives l'Accès à distance de Windows:
Démarrer -> Panneau de configuration (en mode catégorie) -> Performance et maintenance -> Système -> Onglet "À distance" -> décoche la case "Autoriser l'envoi d'invitations d'assistance à distance à partir de cet ordinateur" -> clique sur le bouton "Appliquer" en bas -> clique sur le bouton "Ok" en bas.
L'accès à distance de Windows est un outil utile permettant se connecter et de configurer son PC à distance, ou encore d'aider une personne ayant des problèmes sur son ordinateurs à distance. Cependant cet outil est détourné par les pirates pour prendre le contrôle d'ordinateurs.

-Tu dois avoir accès à tous les fichiers de ton système: 
Démarrer -> poste de travail -> clique sur le menu "Outils" en haut -> sélectionne "Option des dossiers" -> clique sur l'onglet "Affichage" -> coche la case "Afficher les fichiers et dossiers cachés" -> décoche la case "Masquer les extensions des fichiers dont le type est connu" -> décoche la case "Masquer les fichiers protégés du système d'exploitation" -> clique sur le bouton "Appliquer" en bas -> clique sur le bouton "Appliquer à tous les dossiers" en haut -> clique sur le bouton "Ok" en bas.

-Tu désactives l'Affichage des messages: 
Démarrer -> exécuter-> tape "services.msc" -> un menu s'ouvre: tu sélectionnes la ligne"Affichage des messages" dans la colonne Nom -> clique droit sur cette ligne -> choisis"propriétés"-> dans le panneau "Statut du service" clique sur arrêter -> puis dans le menu déroulant "Type de démarrage" choisis "Désactiver". 
L'affichage des messages est un services que certains pirates et autres personnes malintentionnées utilisent afin d'envoyer des messages publicitaires et des "pourriels" sur le réseau Internet. Ils gênent la navigation sur le Web et perturbent les activités en cours.
Si cela est déjà fait, c'est bien, ne touche à rien. 

-Tu fais un scan en ligne pour identifier les menaces présentes dans ton PC (http://pandasoftware.fr ),
 cliques sur le bouton "Lancer TotalScan !" (vert foncé),
 coches l’option "Full Scan" sous le bouton "Scan Now" (vert foncé),
 cliques sur le bouton "Scan Now",
 installes le Plug-in ou ActiveX demandé au préalable,
copies et colles le rapport obtenu (un page de texte bloc-note).

Voilà ;)

audrey.manu · Answer

Bonjour,
Tout d'abord merci pour ton aide.
J'ai fais tout ce que tu m'as marqué et donc voici le rapport obtenu (j'espere que c'est bien ce qu'il te fallait car je n'avais pas les memes infos que tu me signaler mais je me suis debrouillée) :


;***********************************************************************************************************************************************************************************
ANALYSIS: 2008-01-04 12:32:20
PROTECTIONS: 1
MALWARE: 8
SUSPECTS: 0
;***********************************************************************************************************************************************************************************
PROTECTIONS
Description                                  Version                       Active    Updated
;===================================================================================================================================================================================
Kaspersky Internet Security                  7.0.0.125                     Yes       Yes
;===================================================================================================================================================================================
MALWARE
Id        Description                        Type                Active    Severity  Disinfectable  Disinfected Location
;===================================================================================================================================================================================
00139061  Cookie/Doubleclick                 TrackingCookie      No        0         Yes            No           C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.doubleclick.net/]
00139064  Cookie/Atlas DMT                   TrackingCookie      No        0         Yes            No           C:\Documents and Settings\acer\Cookies\acer@atdmt[2].txt
00167704  Cookie/Xiti                        TrackingCookie      No        0         Yes            No           C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.xiti.com/]
00168106  Cookie/Weborama                    TrackingCookie      No        0         Yes            No           C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.weborama.fr/]
00169190  Cookie/Advertising                 TrackingCookie      No        0         Yes            No           C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.advertising.com/]
00169190  Cookie/Advertising                 TrackingCookie      No        0         Yes            No           C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.advertising.com/]
00169190  Cookie/Advertising                 TrackingCookie      No        0         Yes            No           C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.advertising.com/]
00169190  Cookie/Advertising                 TrackingCookie      No        0         Yes            No           C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.advertising.com/]
00242715  dialer.fgw                         Dialers             No        0         Yes            No           hkey_classes_root\phoneaccessexe.phoneaccessexe
00247917  trj/banbra.bqs                     Virus/Trojan PswSteaNo        1         Yes            No           c:\windows\system32\system32.exe
00273339  Cookie/Smartadserver               TrackingCookie      No        0         Yes            No           C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.smartadserver.com/]
00273339  Cookie/Smartadserver               TrackingCookie      No        0         Yes            No           C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.smartadserver.com/]
00273339  Cookie/Smartadserver               TrackingCookie      No        0         Yes            No           C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.smartadserver.com/]
;===================================================================================================================================================================================
SUSPECTS
Location
;===================================================================================================================================================================================
;===================================================================================================================================================================================

Darckiller · Answer

Salut,
en dehors des cookies traceurs (pas graves comme menace, il faut juste nettoyer de temps en ton son cache Web):

00139061 Cookie/Doubleclick TrackingCookie No 0 Yes No C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.doubleclick.net/] 
00139064 Cookie/Atlas DMT TrackingCookie No 0 Yes No C:\Documents and Settings\acer\Cookies\acer@atdmt[2].txt 
00167704 Cookie/Xiti TrackingCookie No 0 Yes No C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.xiti.com/] 
00168106 Cookie/Weborama TrackingCookie No 0 Yes No C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.weborama.fr/] 
00169190 Cookie/Advertising TrackingCookie No 0 Yes No C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.advertising.com/] 
00169190 Cookie/Advertising TrackingCookie No 0 Yes No C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.advertising.com/] 
00169190 Cookie/Advertising TrackingCookie No 0 Yes No C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.advertising.com/] 
00169190 Cookie/Advertising TrackingCookie No 0 Yes No C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.advertising.com/] 
00273339 Cookie/Smartadserver TrackingCookie No 0 Yes No C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.smartadserver.com/] 
00273339 Cookie/Smartadserver TrackingCookie No 0 Yes No C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.smartadserver.com/] 
00273339 Cookie/Smartadserver TrackingCookie No 0 Yes No C:\Documents and Settings\acer\Application Data\Mozilla\Firefox\Profiles\gr3kotdg.default\cookies.txt[.smartadserver.com/] 

On voit également que tu as un malware de types cheval de Troye (Trojans):

00247917 trj/banbra.bqs Virus/Trojan PswSteaNo 1 Yes No c:\windows\system32\system32.exe 

Et un numéroteurs frauduleux (Dialer), dangereux uniquement si tu as une connexion analogique de type 56 Kbps, totalement inoffensif sur le cable , l'ADSL ou la fibre optique:

00242715 dialer.fgw Dialers No 0 Yes No hkey_classes_root\phoneaccessexe.phoneaccessexe 

Donc ton PC est infecté.


-Tu fais un scan complet et profond de ton PC avec Kaspersky.


-Tu fais un scan en ligne avec F-SECURE ( http://support.f-secure.com/fra/home/ols.shtml
supprimes les malwares ou infections trouvés;

fais un scan en ligne avec Securiser (http://www.secuser.com/ ),
supprimes les malwares ou infections trouvés; 

fais un scan en ligne avec Windows Live One Care (accepte le contrôle ActiveX ou le Plug-In lors de l'installation) (http://onecare.live.com/site/fr-FR/default.htm )
supprimes les malwares ou infections trouvés; 

fais un scan en ligne avec Trend Micro PC-Cillin (https://www.trendmicro.com/fr_fr/business.html ) 
supprimes les malwares ou infections trouvés;

fais un scan en ligne avec Panda Security (https://www.pandasecurity.com/fr/homeusers/online-antivirus/?track=80379 )
supprimes les malwares ou infections trouvés;

Postes les rapports obtenus de F-SECURE et de Panda Security.

-Tu télécharges Spybot S&D 1.51 (https://www.safer-networking.org/download/ ), 
Ad-Aware (http://www.lavasoftusa.com/products/ad_aware_free.php ) 
et A-Squared Free 3.0 (https://www.emsisoft.com/fr/ ),
installes chacun de ces antispywares, 
mets à jour chacun d'eux, 
puis fais un scan minutieux et complet de ton PC avec chacun d'eux, 
et supprime les problèmes qui vont s'afficher.


-Tu télécharges SDFix (http://mickael.barroux.free.fr/securite/sdfix.php ),
 suis scrupuleusement  la procédure du site,
 copies et colles le rapport dans un nouveau message.
 Ce programme va nettoyer certains fichiers sensibles scusceptibles d'être infectés (le fichier Host notamment) et certaines DLL néfastes (fichiers librairie).


-Tu télécharges Clean et suis le guide de la page:
 ( http://mickael.barroux.free.fr/securite/clean.php )
Postes le rapport obtenu.


-Tu télécharges CCleaner (https://filehippo.com/download_ccleaner/ ) la dernière version est celle juste à côté de la flèche verte,
installes le sur ton PC (lors de l'installation, au début, décoche la case Yahoo! mettant en place une barre d'outils).
Cliques sur l'icône "Option" sur le côté gauche,
puis cliques sur le bouton "Propriétés",
ne coches que la case "Effacement sécurisé du fichier (lent)",
puis dans le menu déroulant en dessous sélectionnes "Effacement type NSA (7 passages)".
Cliques maintenant sur le bouton "Avancé",
ne coches que la case "Enregistrer toutes les propriétés du fichier Ini".
Cliques sur l'icône "Registre" sur le côté droit (petits cubes bleus),
coches la case à côté de "Intégrité du registre" (en bleu),
puis cliques sur la touche "Chercher les erreurs" en bas à gauche,
une fois la barre du haut verte à 100 %, la recherche est terminée,
cliques sur la touche "Réparer les erreurs sélectionnées" en bas à droite.
Cliques ensuite sur l'icône "Nettoyeur" sur le côté droit (le pinceau),
coches toutes cases des onglets "Windows" et "Application",
cliques sur le bouton "Analyse" en bas à gauche,
une fois la barre du haut verte à 100 %, l'analyse est terminée,
cliques sur le bouton "Lancer le nettoyage" en bas à droite.



-Tu désactives la Restauration du système Windows: 
Démarrer -> Panneau de configuration (en mode catégorie) -> Performance et maintenance -> Système -> Onglet "Restauration du système" -> coche la case "Désactivé la restauration du système"
-> Clique sur le bouton "Appliquer" en bas -> Clique sur le bouton "Ok" en bas. 
En effet, certains virus se servent délibérément de la restauration du système afin de pouvoir se réactiver suite à une suppression.



-Tu réactives la Restauration du système, un outils utile de Windows:
Démarrer -> Panneau de configuration (en mode catégorie) -> Performance et maintenance -> Système -> Onglet "Restauration du système" -> Décoche la case "Désactivé la restauration du système"
-> Clique sur le bouton "Appliquer" en bas -> Clique sur le bouton "Ok" en bas. 


Voilà ;) !

audrey.manu · Answer

bonjour,
je te postes le rapport de Fsecure : 

Scanning Report
Sunday, January 06, 2008 00:55:57 - 02:22:36
Computer name: OEM-E14C0A65885 
Scanning type: Scan system for viruses, rootkits, spyware 
Target: C:\ 
 
Result: 1 malware found
Tracking Cookie (spyware) 
·	System (Disinfected) 
 
Statistics
Scanned:
·	Files: 37992 
·	System: 4446 
·	Not scanned: 4 
Actions:
·	Disinfected: 1 
·	Renamed: 0 
·	Deleted: 0 
·	None: 0 
·	Submitted: 0 
Files not scanned:
·	C:\HIBERFIL.SYS 
·	C:\PAGEFILE.SYS 
·	C:\WINDOWS\SOFTWAREDISTRIBUTION\EVENTCACHE\{AF4B0C15-AAE3-4EF1-83CA-048E4059F2A7}.BIN 
·	C:\WINDOWS\SYSTEM32\CONFIG\SECURITY 
 
Options
Scanning engines:
·	F-Secure AVP: 7.0.171, 2008-01-05 
·	F-Secure Blacklight: 1.0.64 
·	F-Secure Draco: 1.0.35, 0597-150-72 
·	F-Secure Libra: 2.4.2, 2008-01-04 
·	F-Secure Orion: 1.2.37, 2008-01-05 
·	F-Secure Pegasus: 1.19.0, 2007-11-31 
Scanning options:
·	Scan defined files: COM EXE SYS OV? BIN SCR DLL SHS HTM HTML HTT VBS JS INF VXD DO? XL? RTF CPL WIZ HTA PP? PWZ P?T MSO PIF . ACM ASP AX CNV CSC DRV INI MDB MPD MPP MPT OBD OBT OCX PCI TLB TSP WBK WBT WPC WSH VWP WML BOO HLP TD0 TT6 MSG ASD JSE VBE WSC CHM EML PRC SHB BAT LNK ANI AVB CEO CMD LSP MAP MHT MIF PDF PHP POT WMF NWS TAR TGZ WSF ZL? {* ZIP JAR ARJ LZH TAR TGZ GZ CAB RAR BZ2 HQXSWF 
·	Use Advanced heuristics

audrey.manu · Answer

par contre j'ai fait le scan avec panda mais j'ai pas eu le rapport.

audrey.manu · Answer

Voici le rapport de SDfix : 

SDFix: Version 1.124

Run by acer on 06/01/2008 at 23:28

Microsoft Windows XP [version 5.1.2600]

Running From: C:\DOCUME~1\acer\Bureau\SDFix

Safe Mode:
Checking Services: 


Restoring Windows Registry Values
Restoring Windows Default Hosts File

Rebooting...


Normal Mode:
Checking Files: 

No Trojan Files Found





Removing Temp Files...

ADS Check:

C:\WINDOWS
No streams found. 

C:\WINDOWS\system32
No streams found. 

C:\WINDOWS\system32\svchost.exe
No streams found.
 
C:\WINDOWS\system32
toskrnl.exe
No streams found.
 


                                 Final Check:

catchme 0.3.1344.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-01-06 23:32:50
Windows 5.1.2600 Service Pack 2 FAT NTAPI

scanning hidden processes ...

scanning hidden services ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


Remaining Services:
------------------



Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\WINDOWS\Temp\NavBrowser.exe"="C:\WINDOWS\Temp\NavBrowser.exe:*:Enabled:NAVBrowser"
"C:\Program Files\Messenger\MSMSGS.EXE"="C:\Program Files\Messenger\MSMSGS.EXE:*:Enabled:Windows Messenger"
"C:\Program Files\VoipStunt.com\VoipStunt\VoipStunt.exe"="C:\Program Files\VoipStunt.com\VoipStunt\VoipStunt.exe:*:Enabled:VoipStunt"
"C:\Program Files\eMule\emule.exe"="C:\Program Files\eMule\emule.exe:*:Enabled:eMule"
"C:\Program Files\NetMeeting\conf.exe"="C:\Program Files\NetMeeting\conf.exe:*:Enabled:Windows© NetMeeting©"
"C:\Program Files\Disc2Phone\eMule\emule.exe"="C:\Program Files\Disc2Phone\eMule\emule.exe:*:Enabled:eMule"
"C:\Program Files\Magentic\bin\MgImp.exe"="C:\Program Files\Magentic\bin\MgImp.exe:*:Enabled:Magentic"
"C:\Program Files\Magentic\bin\Magentic.exe"="C:\Program Files\Magentic\bin\Magentic.exe:*:Enabled:Magentic"
"C:\Program Files\Magentic\bin\MgApp.exe"="C:\Program Files\Magentic\bin\MgApp.exe:*:Enabled:Magentic"
"C:\Documents and Settings\ACER\Bureau\magentic_install.exe"="C:\Documents and Settings\ACER\Bureau\magentic_install.exe:*:Enabled:IncrediMail Installer"
"C:\Documents and Settings\ACER\Local Settings\Temp\ImInstaller\Magentic\magentic_install.exe"="C:\Documents and Settings\ACER\Local Settings\Temp\ImInstaller\Magentic\magentic_install.exe:*:Enabled:IncrediMail Installer"
"C:\StubInstaller.exe"="C:\StubInstaller.exe:*:Enabled:LimeWire swarmed installer"
"C:\Program Files\LimeWire\LimeWire.exe"="C:\Program Files\LimeWire\LimeWire.exe:*:Enabled:LimeWire"
"C:\Program Files\Mozilla Firefox\FIREFOX.EXE"="C:\Program Files\Mozilla Firefox\FIREFOX.EXE:*:Enabled:Mozilla Browser"
"C:\Program Files\Windows Live\Messenger\msnmsgr.exe"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"
"C:\Program Files\Windows Live\Messenger\livecall.exe"="C:\Program Files\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"
"C:\Program Files\MSN Messenger\msnmsgr.exe"="C:\Program Files\MSN Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.1"
"C:\Program Files\MSN Messenger\livecall.exe"="C:\Program Files\MSN Messenger\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone)"
"C:\Program Files\Skype\Phone\Skype.exe"="C:\Program Files\Skype\Phone\Skype.exe:*:Enabled:Skype"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\Windows Live\Messenger\msnmsgr.exe"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"
"C:\Program Files\Windows Live\Messenger\livecall.exe"="C:\Program Files\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"
"C:\Program Files\MSN Messenger\msnmsgr.exe"="C:\Program Files\MSN Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.1"
"C:\Program Files\MSN Messenger\livecall.exe"="C:\Program Files\MSN Messenger\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone)"

Remaining Files:
---------------


Files with Hidden Attributes:

Thu  3 Feb 2005         1,024 ...HR --- "C:\WINDOWS\system32\NTIMPEG2.dll"
Thu  3 Feb 2005         1,024 ...HR --- "C:\WINDOWS\system32
tiembed.dll"
Thu  3 Feb 2005         1,024 ...HR --- "C:\WINDOWS\system32\NTICDMK32.dll"
Sat 13 Oct 2007     5,903,928 A..H. --- "C:\Program Files\Picasa2\setup.exe"
Fri 29 Sep 2006         4,348 A.SH. --- "C:\Documents and Settings\All Users\DRM\DRMv1.bak"
Sun  9 Jul 2006           677 A..H. --- "C:\Program Files\InterActual\InterActual Player\iti16.tmp"
Tue 19 Dec 2006             0 A.SH. --- "C:\Documents and Settings\All Users\DRM\Cache\Indiv02.tmp"
Fri 14 Sep 2007     1,748,480 ...H. --- "C:\Documents and Settings\acer\Application Data\Microsoft\Word\~WRL0005.tmp"

Finished!

audrey.manu · Answer

Je n'ai pas réussi a telechargé clean par le lien que tu m'as filé, quand je clique sur le lien malekal morte j'ai un message : "connexion réinitialisé"
Sinon j'ai terminé tout ce que tu m'avais demandé.
Merci encore.

Darckiller · Answer

Ah c'esyt bizarre cela marche pour moi.
Quand je clique sur Malekal Morte, j'ai bien le fichier compresser de Clean qui se lance en téléchargement.
Bon cela n'est pas grave.

N'oublie pas de mettre à jour Windows, c'est important pour la sécurité de ton système d'exploitation !

Si tout vas bien, n'oublie pas de mettre ton sujet en résolu.

Voilà :) !

audrey.manu · Answer

Bonjour,
c bon j'ai reussi a installer clean ca devait etre un probleme momentané et voici le rapport obtenu :

 08/01/2008 a  0:31:56,31 
 
*** Recherche des fichiers dans C: 
 
*** Recherche des fichiers dans C:\WINDOWS\ 
 
*** Recherche des fichiers dans C:\WINDOWS\system32 
 
*** Recherche des fichiers dans C:\Program Files 
*** Fin du rapport !

Darckiller · Answer

Ok, tout est bon normalement :) !

audrey.manu · Answer

ok , merci encore pour ton aide c sympa !
bye

Darckiller · Answer

De rien ;) !

DrHouse · Answer

Bonjour! J'aimerais savoir si le probleme est vraiment résolu, car moi aussi j'ai des attaques helkerns. Comme çà je pourrais suivre la meme méthode. Merci

DrHouse · Answer

Merci de m'avoir répondu Darckiller! Je vais donc appliquer cette méthode. Encore merci! A bientot ;)

Virus win.MSSQL.worm.helkern

14 réponses

Discussions similaires

Newsletters