Virus W32/Bagle.QV.wormRésolu/Fermé

Question

Bonjour à tous !

Au secours je suis infecté par le virus W32/Bagle.QV.worm, c'est en tout cas ce que dit un scan rapide fait sur le net.

Je suppose que c'est lui qui m'empêche de lancer mon antivirus (j'ai un message d'erreur comme quoi c'est une application win32 non valide  )

Et je ne sait pas si ça a un rapport mais je n'arrive pas à me connecter à mon réseau wifi...


J'ai tenter de faire un scan par HijackThis mais impossible de le lancer (même en mode sans echec) j'ai un message d'erreur qui me dit que ce n'est pas une application win32 valide

Je suis sous vista.

Que faire ?

Merci d'avance ! 

Nicolas

Utilisateur anonyme · Answer

Bonsoir à toi , 

Pas de panique :)

Va sur ce site :

http://www.zonavirus.com/datos/descargas/95/elibagla.asp

En bas de cette page tu trouveras un outil à télécharger, clique sur "Descargar Elibagla" (le numéro de version change au fur et à mesure des mises à jour)
installe ce fichier sur le bureau.
ensuite double-clic sur Elibagla.exe

Vérifie que la case "eliminar ficheros automaticamente" est cochée

Clique sur  "explorar"  puis laisse-le travailler.
                     
Puis poste moi le rapport situé dans C:\infosat.txt

Bonne chance
A+

Utilisateur anonyme · Answer

Re  , ben si tu es encore infecté.
C'est costaud un bagle ;) 

***************************

/!\ Outils très puissant , ne pas reproduire la manip ci-dessous sur son pc sans y avoir été autorisé par une personne comptétente /!\


Désactive ta restauration système
Clic sur « Démarrer »
Clic droit sur « Poste de travail », puis sur « Propriétés »,
Vas sur l’onglet « Restauration système »
Tu y coches la case « Désactiver la restauration »
Termine par [Appliquer] [OK] 


Télécharge ComboFix ici &#8594; http://download.bleepingcomputer.com/sUBs/ComboFix.exe  

Renomme le , tutorial ici  , une fois renommé 

enregistre le sur le bureau >>> /!\ IMPORTANT /!\

Regardes ici, si tu souhaites te familiariser avec son utilisation: https://www.google.fr/?gws_rd=ssl

 AVANT d'utiliser ComboFix :
&#8594; Déconnecte ton PC d'Internet et referme les fenêtres de tous les programmes en cours.   /!\
&#8594; Désactive provisoirement (et seulement le temps de l'utilisation de ComboFix), la protection en temps réel de ton Antivirus et de tes Antispywares et de TOUT tes logiciels de protection !!!, (activés, ils pourraient gêner fortement la procédure de recherche et de nettoyage de l'outil). /!\

Sur ton bureau double clic sur Combofix.exe.
Appuies sur la touche 1, pour que le programme commence à s'exécuter et suis les instructions à l'écran.

/!\ PENDANT TOUTE la durée (ça peut être assez long si le pc est très infecté) du scan de ComboFix, n'ouvres aucun programme, ne touche pas à ta souris et ne surfe pas sur le net /!\

Soit patient (même si tu penses que le PC est arrêté) ; les temps « d'arrêt apparent » sont parfois de plusieurs minutes (il y a ± 40 étapes d’analyse).

En cours de nettoyage il est possible, que tu reçoives un avertissement te disant que le pc va redémarrer, laisse le faire.

Après le redemarrage du pc, un rapport s'ouvrira dans le Bloc notes en fin d'analyse, copie et colle tout son contenu dans ton prochain message.

(Le fichier rapport Combofix.txt , est ensuite automatiquement sauvegardé dans C:\Combofix.txt)

Ensuite réactive ta restauration système
Clic droit sur « Poste de travail », puis sur « Propriétés »,
Vas sur l’onglet « Restauration système »
Tu décoches la case « Désactiver la restauration »
Termine par [Appliquer] [OK] 

Bonne chance
A+

Utilisateur anonyme · Answer

Re  ,

Ouvre le Bloc-Notes (Démarrer\Tous les programmes\Accessoires\Bloc notes.)

Copie ce texte ( en gras )d'une traite ( CTRL+C pour copier ) puis colle-le ( CTRL+V dans le bloc-note ) 


File::
c:\windows\system32\mdelk.exe
C:\WINDOWS\system32\anti_troj.exe
C:\WINDOWS\SYSTEM32\BAN_LIST.TXT
C:\WINDOWS\system32\german.exe
C:\WINDOWS\system32\wintems.exe
C:\WINDOWS\system32\drivers\hldrrr.exe
c:\WINDOWS\system32\drivers\hidr.exe
C:\WINDOWS\system32\drivers\SROSA.SYS

Folder::
C:\WINDOWS\system32\drivers\down
C:\QooBox\Quarantine\Registry_backups
C:\Program Files\m

Driver::
drvsyskit
srosa
hldrrr
hidr

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"drvsyskit"=-
"german.exe"=-
"mule_st_key"=-
"C:\Documents and Settings\<user>\Application Data\m\flec006.exe"=-
[-HKEY_CURRENT_USER\Software\FirstRRRun]
[-HKEY_CURRENT_USER\SOFTWARE\DateTime4]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa]
"start"=dword:00000004
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa]
"start"=-
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\srosa]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\srosa] 


Sauvegarde ce fichier sur ton bureau sous le nom de CFScript.txt.



Glisse maintenant le fichier CFScript.txt dans Combofix.exe comme ci-dessous :

http://serveur1.archive-host.com/membres/up/1366464061/CFScript.gif

Cela va relancer Combofix,

Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.

Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!

Ne touche à rien tant que le scan n'est pas terminé.

Après redémarrage, poste le contenu du rapport Combofix.txt accompagné d'un rapport Hijackthis.

S'il n'y a pas de rédémarrage, poste quand même les rapports.

++

Utilisateur anonyme · Answer

Re ! Lance HijackThis et clique sur "Open misc tools section" Déscends jusqu' a "uninstall HijackThis & exit" clique dessus puis répond ' oui ' à la demande de confirmation. **************** Télécharge HJT Place le dans ' C:\programmes\ ' Une fois cela fait , merci de renommer l'icône ( clique droit > renommer )' Hijackthis.exe 'située dans le dossier dans C:\ , en ' HJT.exe ' <<<<<<<<< Important !!! <<<<<<< Le chemin d'accés du programme doit être ressemblant à celui-ci : C:\Programme\Hijackthis\HJT.exe -> Ne pas renommer l'icône du raccourci sur le bureau bien entendu ... Puis lance-le et choisi l'option '' do a system scan and save a logfile '' et poste moi le rapport ( qui apparait sur le bloc-note ) Tuto si tu n'y arrive pas : http://pageperso.aol.fr/balltrap34/demohijack.htm ++

Utilisateur anonyme · Answer

Re , avant que je poursuive , j'aimerais savoir si tu as encore des soucis ?

el_fennec1 · Answer

Re, j'ai toujours ce message d'erreur au démarrage de ma session : http://img183.imageshack.us/img183/7153/sanstitre1mq0.jpg

Et je n'arrive toujours pas à activer le wifi.

Merci pour le temps que tu me consacre à résoudre mon problème ;)

Utilisateur anonyme · Answer

Re , 
Tu peux désactiver Windows defender.
Touche Windows+R  > msconfig  >  onglet démarrage > décoche Windows defender > appliquer > ok.
Puis ,
Démarrer > Panneau de configuration > sécurité > Centre de sécurité > ' Modifier la manière dont le centre de sécurité m'avertit > ' Ne pas m'avertir et ne pas afficher l'icône ' ( déconseillé ) ' .

*****************************************

Je fini , on s'occupera plus tard du wifi :)

	> Télécharge Cleanup
Lance-le et choisi l'option ' cleanup! ' 

Tuto: http://pageperso.aol.fr/balltrap34/democleanup.htm ( merci à balltrap34 )

*************************************

Télécharge clean : http://www.malekal.com/download/clean.zip

Une fois téléchargé et dézippé ( clique droit , extraire tout) , lance clean.cmd ( ou clean ), Choisi l'option 1 et poste moi le rapport.(- Où est le rapport clean ? : « Ordinateur » / double clic sur disque « C / » double-clic sur « rapport_clean.txt » et « copier/coller le contenu » sur le forum. ) 

*****************************

bonne chance
A+

el_fennec1 · Answer

cleanup a bien marché mais j'ai l'impression que clean ne marche pas bien, pendant son exécution j'ai ce message d'erreur : http://img510.imageshack.us/img510/453/sanstitre2pg5.jpg

Et au moment de créer le rapport, j'ai ce message : http://img211.imageshack.us/img211/6434/sanstitre1rk4.jpg

Utilisateur anonyme · Answer

Re , OOps ! 


Désactive l'UAC activé , il peut gener l'execution des programmes de désinfection.

Et réésaye :)
Sa marche ?

el_fennec1 · Answer

A priori il était déjà désactivé (pourtant j'ai toujours la fenêtre qui s'assombrit quand je veux executer certains programmes...)

Et malheureusement, clean ne marche toujours pas :/

Utilisateur anonyme · Answer

Il est désactivé oui ou non ?

el_fennec1 · Answer

Oui la case n'est pas cochée.

Utilisateur anonyme · Answer

Mais il te demande toujours la confirmation quand tu veux lancer certains programmes ? quels programmes ?

el_fennec1 · Answer

Par exemple quand je veux accéder justement au contrôle des comptes d'utilisateurs, il me met l'écran plus sombre dont parle ce site http://www.laboratoire-microsoft.org/tips-23933-desactiver-uac-vista.html alors que la case est décochée quand j'accède à la page...

Utilisateur anonyme · Answer

Re , 

Touche Windows+R > msconfig > onglet ' outil '  > ' désactiver le compte de contrôle d'utilisateur ' ( fleche descendante   > appliquer > ok.

redémarre et réésaye.

A+

el_fennec1 · Answer

ça a marché ! Voici le rapport :

 04/03/2008 a 22:50:37,80 
 
*** Recherche  C: 
 
*** Recherche  C:\Windows\ 
 
*** Recherche  C:\Windows\system32 
C:\Windows\system32\wininit.exe FOUND 
C:\Windows\system32\wininit.exe FOUND 
 
*** Recherche  C:\Program Files 
*** End of the report !

Utilisateur anonyme · Answer

Re , ok =)
Tu peux refaire la manip inverse si tu veux retrouver l'UAC ( bien que cela soit plus chiant qu'autre chose ... )

Ferme toutes les applications en cours, puis télécharge ToolsCleaner2 sur ton Bureau.

# Double clique sur ToolsCleaner2.exe >
# Clique sur .Recherche
# puis sur Suppression quand la liste est trouvée.
# Poste le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur (C:\). 
# Note : ton bureau RISQUE de disparaître, c'est normal. S'il n'apparaît pas à la fin du scan, fais la manip suivante :

CTRL+ALT+SUPP pour ouvrir le Gestionnaire des tâches.
Puis rends toi à l'onglet "Processus". Clique en haut à gauche sur Fichiers et choisis "Exécuter"

Tape explorer.exe et valide. Cela fera re-apparaître le Bureau

Tuto : http://www.commentcamarche.net/faq/sujet 8341 toolscleaner suppression des fix de force brute ( merci espion3004 )

**********************************

Puis , créer un nouveau point de restauration :

https://www.thesiteoueb.net/faq-astuces/fiche-pratique-513-comment-creer-un-point-de-restauration-sous-vista.html

******************************

bonne chance
A+

el_fennec1 · Answer

Oui je m'en passerai de ces messages ^^

Voilà le rapport :

-->- Recherche: 

C:\Qoobox: trouvé !
C:\_OtMoveIt: trouvé !
C:\clean	ar.exe: trouvé !
C:\cleanemove.reg: trouvé !
C:\clean\pskill.exe: trouvé !
C:\clean\LFiles.exe: trouvé !
C:\clean\gzip.exe: trouvé !
C:\clean\delsiri.cmd: trouvé !
C:\clean\delr.cmd: trouvé !
C:\clean\del3.cmd: trouvé !
C:\clean\del2.cmd: trouvé !
C:\clean\clean.cmd: trouvé !
C:\clean\cherche.cmd: trouvé !
C:\Program Files\HJTInstall.exe: trouvé !
C:\Program Files\Trend Micro\HijackThis: trouvé !
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe: trouvé !
C:\ProgramData\Microsoft\Windows\Start Menu\Programmes\HijackThis: trouvé !
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\HijackThis: trouvé !
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\HijackThis\HijackThis.lnk: trouvé !
C:\QooBox\Quarantine\C\Qoobox: trouvé !
C:\Users\All Users\Microsoft\Windows\Start Menu\Programmes\HijackThis: trouvé !
C:\Users\All Users\Microsoft\Windows\Start Menu\Programs\HijackThis: trouvé !
C:\Users\All Users\Microsoft\Windows\Start Menu\Programs\HijackThis\HijackThis.lnk: trouvé !
C:\Users\Betty\Desktop\HijackThis.lnk: trouvé !
C:\Users\Betty\Desktop\HJTInstall.exe: trouvé !
C:\Users\Nicolas\AppData\Local\VirtualStore\Program Files\HijackThis: trouvé !
C:\Users\Nicolas\AppData\Local\VirtualStore\Program Files\Trend Micro\HijackThis: trouvé !
C:\Users\Nicolas\AppData\Roaming\Microsoft\Windows\Recent\HijackThis.lnk: trouvé !
C:\Users\Nicolas\Desktop\HijackThis.lnk: trouvé !
C:\Users\Nicolas\Desktop\HJTInstall.exe: trouvé !
C:\Users\Nicolas\Desktop\clean\clean	ar.exe: trouvé !
C:\Users\Nicolas\Desktop\clean\cleanemove.reg: trouvé !
C:\Users\Nicolas\Desktop\clean\clean\pskill.exe: trouvé !
C:\Users\Nicolas\Desktop\clean\clean\LFiles.exe: trouvé !
C:\Users\Nicolas\Desktop\clean\clean\gzip.exe: trouvé !
C:\Users\Nicolas\Desktop\clean\clean\delsiri.cmd: trouvé !
C:\Users\Nicolas\Desktop\clean\clean\delr.cmd: trouvé !
C:\Users\Nicolas\Desktop\clean\clean\del3.cmd: trouvé !
C:\Users\Nicolas\Desktop\clean\clean\del2.cmd: trouvé !
C:\Users\Nicolas\Desktop\clean\clean\clean.cmd: trouvé !
C:\Users\Nicolas\Desktop\clean\clean\cherche.cmd: trouvé !

---------------------------------
-->- Suppression: 

C:\clean	ar.exe: supprimé !
C:\cleanemove.reg: supprimé !
C:\clean\pskill.exe: supprimé !
C:\clean\LFiles.exe: supprimé !
C:\clean\gzip.exe: supprimé !
C:\clean\delsiri.cmd: supprimé !
C:\clean\delr.cmd: supprimé !
C:\clean\del3.cmd: supprimé !
C:\clean\del2.cmd: supprimé !
C:\clean\clean.cmd: supprimé !
C:\clean\cherche.cmd: supprimé !
C:\Program Files\HJTInstall.exe: supprimé !
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe: supprimé !
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\HijackThis\HijackThis.lnk: supprimé !
C:\Users\Betty\Desktop\HijackThis.lnk: supprimé !
C:\Users\Betty\Desktop\HJTInstall.exe: supprimé !
C:\Users\Nicolas\AppData\Roaming\Microsoft\Windows\Recent\HijackThis.lnk: supprimé !
C:\Users\Nicolas\Desktop\HijackThis.lnk: supprimé !
C:\Users\Nicolas\Desktop\HJTInstall.exe: supprimé !
C:\Users\Nicolas\Desktop\clean\clean	ar.exe: supprimé !
C:\Users\Nicolas\Desktop\clean\cleanemove.reg: supprimé !
C:\Users\Nicolas\Desktop\clean\clean\pskill.exe: supprimé !
C:\Users\Nicolas\Desktop\clean\clean\LFiles.exe: supprimé !
C:\Users\Nicolas\Desktop\clean\clean\gzip.exe: supprimé !
C:\Users\Nicolas\Desktop\clean\clean\delsiri.cmd: supprimé !
C:\Users\Nicolas\Desktop\clean\clean\delr.cmd: supprimé !
C:\Users\Nicolas\Desktop\clean\clean\del3.cmd: supprimé !
C:\Users\Nicolas\Desktop\clean\clean\del2.cmd: supprimé !
C:\Users\Nicolas\Desktop\clean\clean\clean.cmd: supprimé !
C:\Users\Nicolas\Desktop\clean\clean\cherche.cmd: supprimé !
C:\Qoobox: supprimé !
C:\_OtMoveIt: supprimé !
C:\Program Files\Trend Micro\HijackThis: supprimé !
C:\ProgramData\Microsoft\Windows\Start Menu\Programmes\HijackThis: ERREUR DE SUPPRESSION !!
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\HijackThis: supprimé !
C:\Users\Nicolas\AppData\Local\VirtualStore\Program Files\HijackThis: supprimé !
C:\Users\Nicolas\AppData\Local\VirtualStore\Program Files\Trend Micro\HijackThis: supprimé !

Utilisateur anonyme · Answer

Re , ok.

Bon que reste-t'il de tes problèmes ?

++

el_fennec1 · Answer

Je ne détecte aucuns réseau wifi (http://img516.imageshack.us/img516/144/sanstitre1lj4.jpg), quand je fais "diagnostiquer pourquoi windows ne trouve aucun réseau supplémentaire", ça me met que le service sans fil de windows n'est pas en cours d'exécution, je clique sur "démarer le service sans fil", mais windows ne peut pas régler le problème.

Utilisateur anonyme · Answer

Re , tu peux essayer de recréer la connexion sans fil ...

https://fr.computer-world.pro/forum/braktopic_3764.html

( fait ce qui est dit dans le premier message )

++

el_fennec1 · Answer

Quand je clique sur "configurer ce périphérique manuellement", ça m'ouvre une page internet avec ceci dans la barre d'adresse "http://192.168.0.254/", mais la page m'affiche ceci :

Forbidden
You don't have permission to access this file on this server.
Cheyenne/2.0.36 Server at localhost Port 80

Utilisateur anonyme · Answer

Re ...
aie !
Je ne m'y connait pas vraiment niveau réseaux =S

Je craint de ne pas pouvoir t'aider plus =/ 
Il vaudrait mieux à  la limite que tu crées un nouveau topic dans le forum Windows ou réseaux.

Vraiment désolé ...
Je ne peut rien faire d'autre
Bonne chance pour la suite :)
+A

el_fennec1 · Answer

En tout cas un grand merci pour ton support et ta disponibilité !

@+++

Virus W32/Bagle.QV.worm

24 réponses

Discussions similaires

Newsletters