Virus MSN photo

Bonjour,

Comme beaucoup je crois, j'ai eu le fameux virus msn photo zip !!!

J'ai regarder un peu les posts à ce sujet et j'ai fait MSNfix (plusieurs fois....).

Je vous mets ci-dessous le dernier rapport ! merci d'avance de votre aide.

Je précise aussi que c'est sur mon PC du boulot...y'a-t-il des risqueS?

MSNFix 1.690

C:\Documents and Settings\william\Bureau\MSNFix
Fix exécuté le 26/03/2008 - 9:59:11,50 By william
mode normal

************************ Recherche les fichiers présents

Aucun Fichier trouvé

************************ Recherche les dossiers présents

... \TEMP\
... C:\Temp\

************************ Suppression des fichiers

.. OK ... C:\DOCUME~1\william\LOCALS~1\Temp\winlogon.exe
.. OK ... C:\DOCUME~1\william\LOCALS~1\Temp\services.exe

************************ Suppression des dossiers

/!\ ... \TEMP\
/!\ ... C:\Temp\

************************ Nettoyage du registre

************************ Fichiers suspects

Aucun Fichier trouvé

Les fichiers et clés de registre supprimés ont été sauvegardés dans le fichier 26032008_10005340.zip

************************ HKLM\...\Winlogon\Userinit

Userinit = C:\WINDOWS\system32\userinit.exe,

------------------------------------------------------------------------
Auteur : !aur3n7 Contact: https://www.ionos.fr/
------------------------------------------------------------------------

--------------------------------------------- END ---------------------------------------------
Configuration: Windows XP
Internet Explorer 7.0

17 réponses

Résumé de la discussion

Question sur un virus MSN photo zip et les risques potentiels sur un PC professionnel, avec l’utilisation de MSNFix et l’analyse du rapport généré après l’intervention. Des éléments clés du rapport montrent la suppression de fichiers temporaires et le nettoyage du registre, avec sauvegarde des fichiers supprimés dans un ZIP et des entrées sensibles détectées dans le HijackThis log. Plusieurs éléments signalent des composants potentiellement malveillants dans les entrées Run et certains services, comme Boonty et msnserv.exe, et la discussion évoque des analyses sur VirusTotal ainsi qu’un outil OTMoveIt pour déplacer les fichiers.

Bobot (l’IA à votre service)
  1. Salut,
    ok continu :

    1./
    Télécharger CCleaner (installe pas la barre de Yahoo ) :
    https://www.01net.com/telecharger/windows/Utilitaire/nettoyeurs_et_installeurs/fiches/32599.html

    lance le, dans nettoyeur clique sur lancer le nettoyage puis dans Registre fait chercher et répare les erreurs autant de fois qu'il y en n'a.

    2/
    On enlève le plus gros :

    fait un scan en ligne avec internet explore, si tu as firefox fait:
    démarrer -> executer -> tape : iexplore (puis valide)

    (coche toutes les cases à chaque fois) :
    https://www.eset.com/

    à la fin colle le rapport : C:\Program Files\EsetOnlineScanner\log.txt

    si ta besoin d'aide tu as un tutoriel ici : http://bibou0007.com/tutos-et-lexique-f45/tutorial-nod32-online-scanner-t128.htm

    3/
    Ensuite une fois fini fait un rapport hijackthis :
    https://www.01net.com/telecharger/windows/Securite/anti-spyware/fiches/29061.html

    tu le télécharges, tu le lances et tu cliquera sur le premier bouton en haut "Do a system scan and save a logfile"
    tu colleras le fichier texte ici ;).

    PS : Ne fermes pas le programme
    1. Ok je vais faire cela !! Le fait que je sois au travail, ça ne craint rien ?
      1. ba non, le scan tu le laissera en fond ;)
        1. petite précision : quant tu me dis : à la fin colle le rapport : C:\Program Files\EsetOnlineScanner\log.txt

          Je le colle où ? ici ?
      2. oui
        1. Super long ce scan....je laisse finir ça pendant le temps de midi ! et je te tiens informé en début d'am !! Merci pour tout, c'est super cool !
      3. de rien ben je reviendrai en milieu dapreme moi, je part vers 13h
        1. Ok ! alors que le scant touche vers sa fin, j'ai toujours : current scan result : no threats found !

          Si à la fin j'ai toujours ça, il faut tout de même faire la suite?
          1. oui le 3 va me permettre de savoir quoi ce lance sur la machine ;)
            1. Voilà le rapport de l'étape 2 :

              version=4
              # OnlineScanner.ocx=1.0.0.635
              # OnlineScannerDLLA.dll=1, 0, 0, 79
              # OnlineScannerDLLW.dll=1, 0, 0, 78
              # OnlineScannerUninstaller.exe=1, 0, 0, 49
              # vers_standard_module=2973 (20080326)
              # vers_arch_module=1.064 (20080214)
              # vers_adv_heur_module=1.064 (20070717)
              # EOSSerial=0a0fdb174c0b8a4489154d15486237b4
              # end=finished
              # remove_checked=true
              # unwanted_checked=true
              # utc_time=2008-03-26 12:45:01
              # local_time=2008-03-26 01:45:01 (+0100, Paris, Madrid)
              # country="France"
              # osver=5.1.2600 NT Service Pack 2
              # scanned=298128
              # found=0
              # scan_time=11259

              Je lance maintenant l'étape 3 !
            2. @cmoiEt voilà le fichier texte de l'étape 3 :

              Logfile of Trend Micro HijackThis v2.0.2
              Scan saved at 13:56:27, on 26/03/2008
              Platform: Windows XP SP2 (WinNT 5.01.2600)
              MSIE: Internet Explorer v7.00 (7.00.6000.16608)
              Boot mode: Normal

              Running processes:
              C:\WINDOWS\System32\smss.exe
              C:\WINDOWS\system32\winlogon.exe
              C:\WINDOWS\system32\services.exe
              C:\WINDOWS\system32\lsass.exe
              C:\WINDOWS\system32\Ati2evxx.exe
              C:\WINDOWS\system32\svchost.exe
              C:\WINDOWS\System32\svchost.exe
              C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
              C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
              C:\WINDOWS\system32\spoolsv.exe
              C:\WINDOWS\System32\svchost.exe
              C:\Program Files\WIDCOMM\Logiciel Bluetooth\bin\btwdins.exe
              C:\Program Files\Fichiers communs\InterVideo\DeviceService\DevSvc.exe
              C:\WINDOWS\system32\Ati2evxx.exe
              C:\Program Files\Symantec AntiVirus\DefWatch.exe
              C:\Program Files\HPQ\IAM\bin\asghost.exe
              C:\WINDOWS\System32\svchost.exe
              C:\Program Files\Symantec AntiVirus\SavRoam.exe
              C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
              C:\WINDOWS\system32\svchost.exe
              C:\Program Files\Symantec AntiVirus\Rtvscan.exe
              C:\WINDOWS\AGRSMMSG.exe
              C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
              C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
              C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe
              C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
              C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
              C:\Program Files\HPQ\HP Wireless Assistant\HP Wireless Assistant.exe
              C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe
              C:\PROGRA~1\SYMANT~1\VPTray.exe
              C:\WINDOWS\System32\DLA\DLACTRLW.EXE
              C:\WINDOWS\system32\ctfmon.exe
              C:\Program Files\WIDCOMM\Logiciel Bluetooth\BTTray.exe
              C:\Program Files\Sony\Sony Picture Utility\VolumeWatcher\SPUVolumeWatcher.exe
              C:\Program Files\HPQ\SHARED\HPQWMI.exe
              C:\Program Files\Java\jre1.5.0_09\bin\jucheck.exe
              C:\Program Files\Microsoft Office\Office\OUTLOOK.EXE
              C:\Program Files\Fichiers communs\System\MAPI\1036\nt\MAPISP32.EXE
              C:\Program Files\Microsoft Office\Office\POWERPNT.EXE
              C:\Program Files\Microsoft Office\Office\EXCEL.EXE
              C:\WINDOWS\explorer.exe
              C:\Program Files\Microsoft Office\Office\WINWORD.EXE
              C:\Program Files\Internet Explorer\iexplore.exe
              C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

              R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.bing.com/?cc=fr&toHttps=1&redig=55729C844D6A45819CAD368B3E178C9F
              R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.free.fr/freebox/index.html
              R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
              R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
              R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
              R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
              O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
              O2 - BHO: Download Manager Browser Helper Object - {19C8E43B-07B3-49CB-BFFC-6777B593E6F8} - C:\PROGRA~1\FICHIE~1\fluxDVD\DOWNLO~1\XEBDLH~1.DLL
              O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\System32\DLA\DLASHX_W.DLL
              O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
              O2 - BHO: HP Credential Manager for ProtectTools - {DF21F1DB-80C6-11D3-9483-B03D0EC10000} - C:\Program Files\HPQ\IAM\Bin\ItIeAddIN.dll
              O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
              O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
              O4 - HKLM\..\Run: [SoundMAX] C:\Program Files\Analog Devices\SoundMAX\Smax4.exe /tray
              O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
              O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe"
              O4 - HKLM\..\Run: [UpdateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r
              O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
              O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
              O4 - HKLM\..\Run: [CognizanceTS] rundll32.exe C:\PROGRA~1\HPQ\IAM\Bin\AsTsVcc.dll,RegisterModule
              O4 - HKLM\..\Run: [Cpqset] C:\Program Files\HPQ\Default Settings\cpqset.exe
              O4 - HKLM\..\Run: [hpWirelessAssistant] "%ProgramFiles%\HPQ\HP Wireless Assistant\HP Wireless Assistant.exe"
              O4 - HKLM\..\Run: [WatchDog] C:\Program Files\InterVideo\DVD Check\DVDCheck.exe
              O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
              O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
              O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\VPTray.exe
              O4 - HKLM\..\Run: [DLA] C:\WINDOWS\System32\DLA\DLACTRLW.EXE
              O4 - HKLM\..\Run: [Msn Serv] msnserv.exe
              O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
              O4 - HKCU\..\Run: [updateMgr] C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_9
              O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
              O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
              O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
              O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
              O4 - Startup: Outil de détection de support Picture Motion Browser.lnk = C:\Program Files\Sony\Sony Picture Utility\VolumeWatcher\SPUVolumeWatcher.exe
              O4 - Global Startup: BTTray.lnk = ?
              O4 - Global Startup: DVD Check.lnk = C:\Program Files\InterVideo\DVD Check\DVDCheck.exe
              O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
              O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
              O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
              O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
              O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
              O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
              O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
              O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
              O14 - IERESET.INF: START_PAGE_URL=https://www8.hp.com/fr/fr/home.html
              O15 - Trusted Zone: *.canalplay.com (HKLM)
              O15 - Trusted Zone: *.canalplusactive.com (HKLM)
              O15 - Trusted IP range: 127.0.0.1
              O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} (OnlineScanner Control) - https://www.eset.com/
              O16 - DPF: {C1029C96-C060-44EA-9752-502B62E6C8C4} (PGLoader Class) - http://80.118.141.33/contents/H/4/progression/plugins/pgldr.cab
              O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
              O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = cdgfp.local
              O17 - HKLM\Software\..\Telephony: DomainName = cdgfp.local
              O17 - HKLM\System\CCS\Services\Tcpip\..\{8B7D46E7-CF63-44D6-895F-AA3558190EF5}: NameServer = 192.168.0.215,193.252.19.4
              O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = cdgfp.local
              O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = cdgfp.local
              O20 - AppInit_DLLs: ASAPHook
              O20 - Winlogon Notify: OneCard - C:\Program Files\HPQ\IAM\Bin\AsWlnPkg.dll
              O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
              O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
              O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Program Files\WIDCOMM\Logiciel Bluetooth\bin\btwdins.exe
              O23 - Service: Capture Device Service - InterVideo Inc. - C:\Program Files\Fichiers communs\InterVideo\DeviceService\DevSvc.exe
              O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
              O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
              O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
              O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - C:\Program Files\Symantec AntiVirus\DefWatch.exe
              O23 - Service: HP WMI Interface (hpqwmi) - Hewlett-Packard Development Company, L.P. - C:\Program Files\HPQ\SHARED\HPQWMI.exe
              O23 - Service: SAVRoam (SavRoam) - symantec - C:\Program Files\Symantec AntiVirus\SavRoam.exe
              O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
              O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
              O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe
              O23 - Service: Symantec AntiVirus - Symantec Corporation - C:\Program Files\Symantec AntiVirus\Rtvscan.exe
            3. Je remonte ce post, pour que tu penses à moi dorgane.....
            4. @cmoiMon 1er helper (que je remercie d'ailleurs) n'étant plus là, est ce que quelqu'un peut prendre la suite?
              merci d'avance... !!
          2. re,

            alors plusieurs choses, on va faire en plusieurs fois.

            commence par te connecter ici :

            https://www.virustotal.com/gui/

            et faut chercher le fichier : msnserv.exe et l'analyser

            donc essaye de mettre :
            c:\msnserv.exe
            c:\windows\msnserv.exe
            c:\windows\system32\msnserv.exe

            et donne moi le résultat.

            --------------------------------------
            tu peu aussi faire ca :
            Restauration du fichier HOST, télécharge :
            http://www.funkytoad.com/download/HostsXpert.zip

            lance le, feme le naviguateur web puis clique sur Restore MS hosts file

            Voila la suite apres.
            1. Sur virus total, je mets le nom du fichier et je fais? Parcourir? ou envoyer le fichier?
          3. tu copie les chemin que je té mi un apres lautre, y en na un des 3 qui sera bon.
            1. J'ai copié ces 3 chemins dans virustotal et aucun n'ai été fructueux....
              J'ai lancé aussi une recherche pour trouver le fichier par windows ("démarrer, rechercher, des fichiers...) et le resultat que j'ai eu c'est qu'il figure dans le dossier backup !!!!

              Que dois je faire??
          4. donne moi l'adresse, et il est détecter comme virus par virustotal?
            1. Te donner l'adresse????? je saisi pas là ! J'ai fait la recherche de ce fichier par windows (tu sais le truc rechercher des fichiers ou dossier....) ! et ça m'en a trouvé un nommé msnserv.exe qui est dans le dossier backup !

              Mais là du coup, comment l'analyser avec virus total? que veux tu de plus ?
            2. @cmoiJ'ai regardé un peu plus, et en fait il est dans le dossier msnfix (dans un dossier zipé de rapport )! je sais pas si je me fais bien comprendre...je suis pas expert en info, loin de là !
          5. Quand t'es dans la recherche fait bouton droit dessus et t'aura un truc :
            Ouvrir le dossier contenant

            Clique sur ca t'aura ladresse du fichier comme ca.
            1. C'est ce que j'ai fait et je te l'ai marqué dans le post juste avant !!!
          6. ok bon... assez parler

            si sa te derange pas envoie le moi à l'adresse je le ferai analyser : inster.css@gmail.com
            merci.

            fix checked :
            O4 - HKLM\..\Run: [Msn Serv] msnserv.exe
            O16 - DPF: {C1029C96-C060-44EA-9752-502B62E6C8C4} (PGLoader Class) - http://80.118.141.33/contents/H/4/progression/plugins/pgldr.cab
            O20 - AppInit_DLLs: ASAPHook
            O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe

            puis

            Télécharge
            http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe
            sur ton Bureau et lance le.

            Assure toi que la case "Unregister Dll's and Ocx's" soit bien cochée.

            Copie et colle les ligne ci-dessous dans l'encadré bleue de OTMoveIt nommé Paste Standard List of Files/Folders to move.

            C:\Program Files\Fichiers communs\BOONTY Shared\

            Clique sur MoveIt! pour lancer la suppression.
            Si OTMoveIt propose de redémarrer ton PC, accepte !
            Lorsque un résultat apparaît dans le cadre Results, clique sur Exit.

            Dans ta future réponse, envoie le rapport de OTMoveIt situé sur C:\_OTMoveIt\MovedFiles.
            1. Je viens de t'adresser le dossier par mail, et je fais la suite ! merci !

              mon amil est : prevention43@cdg43.fr
            2. J'ai une erreure sur ton adresse mail ! ça me retourne un message d'erreure...
          7. ok cmoi, mais évite de la donner ton adresse comme ca on sais jamais ;)
            1. Merde, en effet !!!!!!!!!!!

              Bon ton adresse mail à toi n'a pas marchée !!!! ! Voilà le resultat que j'ai eu avec virustotal :

              http://www.virustotal.com/fr/analisis/d1a6a4a9a4f8c3d4890939ce5f5545ad
            2. @cmoiJ'ai avancé !

              Le rapport de OTmoveit c'est quel type de fhcier?
            3. @cmoiJe vais trop vite sans chercher...le rapport OTmoveit, ça doit etre ça :

              C:\Program Files\Fichiers communs\BOONTY Shared\Service moved successfully.
              C:\Program Files\Fichiers communs\BOONTY Shared moved successfully.

              OTMoveIt2 by OldTimer - Version 1.0.21 log created on 03262008_175034
          8. oué voila,
            refait un hijackthie ca doit etre bon.
            1. C'est fait pour l'hijackthie !

              Tu as le rapport par mail !
            2. @cmoiMes mails ne semblent pas t'arriver, même en faisant répondre !!
            3. @cmoiSVP quelqu'un veut bien m'aider? Mon helper n'étant plus là, j'ai un besoin de + en + urgent de remédier à cette situation !!!
          9. Quelqu'un veut bien m'aider à finir à règler ces problèmeS?

            Si oui, merci d'avance !