Virus win 32 small JMH

lolalita -  
Bonjour,
malgré plusieurs scans ce virus ne s enleve pas !!! non empaqueté me repond Avast concernant ce fichier :
FILE\CONTEN IES\BJL70110\6736f959(1) EXE [UPX]

Merci de bien vouloir m aider
Lolalita
Configuration: Windows XP
Internet Explorer 7.0

8 réponses

  • Votes
  • Date
  • Date décroissante
  1. ep44 Contributeur
    Bonjour lolalita,

    commence par ceci
    Télécharge sur le bureau

    ftp://ftp.commentcamarche.com/download/HJTInstall.exe

    = Double-clic dessus pour l'installer
    = Clic Do a system scan and save the log
    =coller le rapport
    si problème voir l'aide
    http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm

    @+
    2. lolalita Auteur
      Logfile of Trend Micro HijackThis v2.0.2
      Scan saved at 17:40:30, on 17/03/2008
      Platform: Windows XP SP2 (WinNT 5.01.2600)
      MSIE: Internet Explorer v7.00 (7.00.6000.16608)
      Boot mode: Normal

      Running processes:
      C:\WINDOWS\System32\smss.exe
      C:\WINDOWS\system32\winlogon.exe
      C:\WINDOWS\system32\services.exe
      C:\WINDOWS\system32\lsass.exe
      C:\WINDOWS\system32\svchost.exe
      C:\WINDOWS\System32\svchost.exe
      C:\WINDOWS\Explorer.EXE
      C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
      C:\Program Files\Alwil Software\Avast4\ashServ.exe
      C:\WINDOWS\system32\spoolsv.exe
      C:\WINDOWS\SOUNDMAN.EXE
      C:\WINDOWS\system32\RunDLL32.exe
      J:\HP Software Update\HPWuSchd.exe
      C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.2\Apps\apdproxy.exe
      C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
      C:\WINDOWS\system32\VTtrayp.exe
      C:\WINDOWS\system32\VTTimer.exe
      C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
      C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
      C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
      C:\Program Files\Windows Live\Messenger\usnsvc.exe
      C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.free.fr/freebox/index.html
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
      R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
      F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUME~1\karine\LOCALS~1\Temp\services.exe
      O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
      O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
      O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
      O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
      O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
      O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
      O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
      O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
      O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
      O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
      O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
      O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
      O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
      O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
      O4 - HKLM\..\Run: [PD0620 STISvc] RunDLL32.exe P0620Pin.dll,RunDLL32EP 513
      O4 - HKLM\..\Run: [HP Software Update] "J:\HP Software Update\HPWuSchd.exe"
      O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.2\Apps\apdproxy.exe"
      O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
      O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe
      O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
      O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
      O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
      O4 - HKLM\..\Run: [AXIS TONS THE MP3] C:\Documents and Settings\All Users\Application Data\Readme Live Axis Tons\Dale Clock.exe
      O4 - HKLM\..\Run: [Flash Media] C:\DOCUME~1\karine\LOCALS~1\Temp\services.exe
      O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
      O4 - HKCU\..\Run: [eMuleAutoStart] C:\Program Files\eMule\emule.exe -AutoStart
      O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
      O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
      O4 - HKCU\..\Run: [Creative WebCam Tray] "C:\Program Files\Creative\Shared Files\CamTray.exe"
      O4 - HKCU\..\Run: [web 64] C:\DOCUME~1\karine\APPLIC~1\DALEAD~1\FlawDeaf.exe
      O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
      O4 - HKCU\..\Run: [EPSON Stylus DX4400 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATICAE.EXE /FU "C:\WINDOWS\TEMP\E_S116.tmp" /EF "HKCU"
      O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
      O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
      O4 - Global Startup: HP Digital Imaging Monitor.lnk = J:\Digital Imaging\bin\hpqtra08.exe
      O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
      O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
      O8 - Extra context menu item: Add to Windows &Live Favorites - https://onedrive.live.com/?id=favorites
      O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
      O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
      O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
      O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
      O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
      O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
      O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
      O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
      O16 - DPF: CabBuilder - http://ak.imgag.com/imgag/kiw/toolbar/download/InstallerControl.cab
      O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
      O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx1.hotmail.com/mail/w2/pr02/resources/MSNPUpld.cab
      O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab
      O16 - DPF: {6B75345B-AA36-438A-BBE6-4078B4C6984D} (HpProductDetection Class) - http://h20270.www2.hp.com/ediags/gmn2/install/HPProductDetection.cab
      O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - https://www.touslesdrivers.com/index.php?v_page=29
      O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
      O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab
      O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
      O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
      O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
      O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
      O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
  2. lolalita Auteur
    ta tof fais koi sur ce site :p

    voila j ai fait ce que tu m a dit et ensuite ?? la phrase au dessus c est le rapport

    Merci pour ce debut
    lolalita
    1. ep44 Contributeur
      ????????????

      quel rapport je ne vois pas de rapport
      1. lolalita Auteur
        et bien quand j ai fais copier coller c est cette phrase qui s est mise : " qu est ce que tu fais sur cette tof"!!!!
        que faut il que je fasse de plus . Desolée mais je ne suis pas une super pro je suis a la lettre les indications (cela peut faire sourire je m en doute)
        MERCI de me dire si j ai oublié qque choz
    2. ep44 Contributeur
      Bonsoir lolalita,

      bien je vois que tu as compris ;-)

      lit bien ce qui suit

      relance hijack et coche ceci
      F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUME~1\karine\LOCALS~1\Temp\services.exe
      O4 - HKLM\..\Run: [Flash Media] C:\DOCUME~1\karine\LOCALS~1\Temp\services.exe
      O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
      O4 - HKCU\..\Run: [web 64] C:\DOCUME~1\karine\APPLIC~1\DALEAD~1\FlawDeaf.exe
      ensuite clic sur fix checked
      ------------------------------------------------------------------------------------------
      ensuite
      Télécharge OAD http://sosvirus.changelog.fr/OAD.exe
      - Enregistre le sur ton bureau

      Double clique sur le OAD pour le lancer

      - nom de fichier à rechercher tape ou fais un copier coller de : FlawDeaf.exe
      - Type de recherche : sélectionne l'option 6 puis valide [entree]

      OAD va maintenant rechercher le fichier. Laisse le travailler jusqu'à ce qu'il en ai terminé.
      Le rapport de recherche s'affichera automatiquement à dès qu'il en aura terminé.

      - Fais un copier / coller de ce rapport dans ton prochain post.

      -------------------------------------------------------------------------------------------
      ensuite

      Télécharge ATF Cleaner par Atribune.
      http://www.atribune.org/ccount/click.php?id=1

      Double-clique ATF-Cleaner.exe afin de lancer le programme.
      Sous l'onglet Main, choisis : Select All
      Clique sur le bouton Empty Selected

      -------------------------------------------------------------------------------------------

      ensuite

      Télécharge:
      http://www.commentcamarche.net/telecharger/telecharger 218 avg anti spyware
      = Installer
      = Le lancer
      = Clic : Mise à jour
      ------
      = Redémarre en mode Sans Échec (le démarrage peut prendre plusieurs minutes)
      Attention, pas d’accès à internet dans ce mode. Enregistre ou imprime les consignes.

      Relance le Pc et tapote la touche F8 ( ou F5 pour certains) , jusqu’à l’apparition des inscriptions avec choix de démarrage
      Avec les touches « flèches », sélectionne Mode sans échec ==> entrée ==>nom utilisateur habituel
      -------
      = Dans ANALYSE ( en forme de loupe )
      ==> Paramètres ==> sous COMMENT REAGIR==>clic sur Actions recommandées ==>Quarantaine
      ==> Clic : Analyse complète du système
      En fin de scan ( qui est assez long)
      ==> Clic Appliquer toutes les actions <== ceci Très important
      ==> Clic Sauvegarder rapport puis Enregistrer sous et choisir bureau
      -------
      En mode normal
      colle le rapport

      -----------------------------------------------------------------------------------
      et pour finir télécharge cleaner et tu le garde sur ton pac et a utiliser régulièrement

      =>CCleaner
      http://ftpclubic40.clubic.com/...
      tuto:
      https://forums.cnetfrance.fr

      ----------------------------------------------------------------------------------

      une fois que tu auras suivi c'est instruction je te conseil de changer ton antivirus
      il y a antivir qui est beaucoup plus performant
      prend le temps de lire ce lien
      https://www.malekal.com/avira-free-security-antivirus-gratuit/

      poste les rapports demandé et si tu as besoin n'hésite pas ;-)
      @+
      1. lolalita Auteur
        bjr j ai commencé a faire ce que tu m as dit j ai posté mon rapport et je me demande si je n ai pas oublié de mettre ton pseudo (??) en tout cas ça a été jusqu a ce que je dois redemarrer en mode sans echec . Je rentre le nom de l utilisateur et là je bloque !!!! je t ecris ce qu il me met : c:\documents and settings\karine>..........
        où il y a les points de suspension je dois mettre quelque chose mais quoi ?????
        MERCI POUR TON AIDE
    4. lolalita Auteur
      19/03/2008 ---- 10:39:07,64

      ----------------------------------
      §§§§§§ [FlawDeaf.exe] §§§§§§
      ----------------------------------
      [X] Registre

      -------------- [ ] rapide
      -- Fichier --- [ ] disque systeme
      ------------- [X] complete

      ********************
      [Registre]
      ********************

      [HKEY_USERS\S-1-5-21-1606980848-2052111302-839522115-1004\Software\Microsoft\Windows\ShellNoRoam\MUICache]
      "C:\\DOCUME~1\\karine\\APPLIC~1\\DALEAD~1\\FlawDeaf.exe"="FlawDeaf"

      *******************
      [Fichier]
      *******************

      c:\Documents and Settings\karine\Application Data\Dale admin defy\FlawDeaf.exe

      *********************
      [Même date]
      *********************

      [16/12/2007 ] --- REP ---> C:\Program Files\Circle Developement

      Outil Aide Diagnostic By !aur3n7 Version 1.1
      ----------------------------------
      §§§§§ Fin Rapport §§§§§
      ----------------------------------

      voici le 1er rapport je continue

      1. ep44 Contributeur
        Bonsoir

        non ne marque rien si ça ne marche pas fait en mode normal
        ensuite
        fait démarrer ==> exécuter==> tape regedit
        ensuite suit ce chemin
        [HKEY_USERS\S-1-5-21-1606980848-2052111302-839522115-1004\Software\Microsoft\Windows\Shell­NoRoam\MUICache]
        ensuite recherche
        "C:\\DOCUME~1\\karine\\APPLIC~1\\DALEAD~1\\FlawDeaf.exe"="FlawDeaf"
        et supprime (clique droit supprime)

        @+
        1. lolalita Auteur
          ---------------------------------------------------------
          AVG Anti-Spyware - Rapport d'analyse
          ---------------------------------------------------------

          + Créé à: 22:15:17 19/03/2008

          + Résultat de l'analyse:

          C:\System Volume Information\_restore{893AFE32-AEE7-4B33-AF26-4D939FCEC026}\RP272\A0061191.exe -> Trojan.Inject.sq : Nettoyé et sauvegardé (mise en quarantaine).

          Fin du rapport
        2. lolalita Auteur
          je pense avoir reussi a suivre les instructions et pour une novice comme moi pas evident ...lol je te réecris demain pour te dire s il est vraiment parti ok? en tout cas merci pour m avoir guidé et avoir pris un peu de temps
          bonne soirée
      2. ep44 Contributeur
        re

        pour vérif tu refais la manip avec OAD

        ensuite fait un scan en ligne

        avec bitdefender et colle le rapport

        https://www.bitdefender.com/toolbox/

        un tuto
        http://pageperso.aol.fr/rginformatique/mapage/defender.htm
        @+
        1. lolalita Auteur
          bjr c est encore moi 21/03/2008 ---- 13:28:06,75

          ----------------------------------
          §§§§§§ [FlawDeaf.exe] §§§§§§
          ----------------------------------
          [X] Registre

          -------------- [ ] rapide
          -- Fichier --- [ ] disque systeme
          ------------- [X] complete

          ********************
          [Registre]
          ********************

          Aucune entrée détectée

          *******************
          [Fichier]
          *******************

          c:\Documents and Settings\karine\Application Data\Dale admin defy\FlawDeaf.exe

          *********************
          [Même date]
          *********************

          [16/12/2007 ] --- REP ---> C:\Program Files\Circle Developement

          Outil Aide Diagnostic By !aur3n7 Version 1.1
          ----------------------------------
          §§§§§ Fin Rapport §§§§§
          ----------------------------------

          voici le dernier rapport obtenu avec OAD qu en penses tu?? J ai toujours ce fichu virus!!!!!
      3. ep44 Contributeur
        Bonsoir

        oui suit ce chemin
        c:\Documents and Settings\karine\Application Data\Dale admin defy\FlawDeaf.exe
        et supprime FlawDeaf.exe

        ensuite fait un scan en ligne

        avec bitdefender et colle le rapport

        https://www.bitdefender.com/toolbox/

        un tuto
        http://pageperso.aol.fr/rginformatique/mapage/defender.htm

        ensuite refais un hijack pour controle stp
        @+

        Discussions similaires

        Adobe acrobat fich api-ms-win-core-winrt-l1-1-0.dll manquant
        crinik2002

        41 réponses
        À quoi correspond 32x32 US en taille française pour un jean ?
        Alison1958

        1 réponse
        Softonic,est-ce un virus ?
        techmel1

        6 réponses
        svp 32Gb est il egal a 32Go??
        William Fernand

        3 réponses