C:\WINDOWS\system32\real.txt

Zarkette -
zarkette Messages postés 3 Statut Membre - 31 mars 2008 à 18:28

Bonjour,

Mon ordi a été contaminé par le virus qui tourne sur messenger pour le moment.
J'ai effetué une analyse avec msn fix mais sans succès.
J'utilise Norton antivirus.
Pouvez vous m'aider
Merci d'avance
Zarkette

Configuration: Windows XP
Internet Explorer 7.0

Afficher la suite

2 réponses

Réponse 1 / 2
jlpjlp Messages postés 52399 Statut Contributeur sécurité 5 041

slt,

Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau.
http://downloads.andymanchesta.com/RemovalTools/SDFix.exe
Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau. Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :
• Redémarre ton ordinateur
• Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
• A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
• Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
• Choisis ton compte.
Déroule la liste des instructions ci-dessous :
• Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.bat pour lancer le script.
• Appuie sur Y pour commencer le processus de nettoyage.
• Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
• Appuie sur une touche pour redémarrer le PC.
• Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
• Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
• Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.
• Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.
• Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum

-------------------------------------

scan avec
MalwareByte's Anti-Malware et vire ce qui est trouvé et colle le rapport

https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

________________________

colle un rapport hijackthis

http://www.trendsecure.com/portal/en-US/tools/security_tools/hijackthis/download

manuel :
http://pagesperso-orange.fr/rginformatique/section%20virus/demohijack.htm
https://leblogdeclaude.blogspot.com/2006/10/informatique-section-hijackthis.html

Je conseille de renomer Hijackthis, pour contrer une éventuelle infection de Vundo.

ex:Renomme le fichier HijackThis.exe en eden.exe pour cela, fais un clic droit sur le fichier HijackThis.exe et choisis renommer dans la liste

Ensuite avec Explorer créer un dossier c:\hijackthis
Décompresser Hijackthis dans ce dossier.
C'est important pour les sauvegardes."
0
1. zarkette Messages postés 3 Statut Membre
  
  Bonjour,
  Voilà j'ai fait tout ce que tu m'as conseiller et je te transmets les rapports
  Malwarebytes' Anti-Malware 1.09
  Version de la base de données: 573
  
  Type de recherche: Examen complet (C:\|D:\|)
  Eléments examinés: 107922
  Temps écoulé: 28 minute(s), 4 second(s)
  
  Processus mémoire infecté(s): 0
  Module(s) mémoire infecté(s): 0
  Clé(s) du Registre infectée(s): 1
  Valeur(s) du Registre infectée(s): 0
  Elément(s) de données du Registre infecté(s): 1
  Dossier(s) infecté(s): 0
  Fichier(s) infecté(s): 1
  
  Processus mémoire infecté(s):
  (Aucun élément nuisible détecté)
  
  Module(s) mémoire infecté(s):
  (Aucun élément nuisible détecté)
  
  Clé(s) du Registre infectée(s):
  HKEY_CURRENT_USER\Software\Trymedia Systems (Adware.Trymedia) -> No action taken.
  
  Valeur(s) du Registre infectée(s):
  (Aucun élément nuisible détecté)
  
  Elément(s) de données du Registre infecté(s):
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Heuristics.Reserved.Word.Exploit) -> Data: c:\docume~1\charly\locals~1\temp\services.exe -> No action taken.
  
  Dossier(s) infecté(s):
  (Aucun élément nuisible détecté)
  
  Fichier(s) infecté(s):
  C:\Documents and Settings\Charly\Local Settings\Temp\services.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
  
  [b]SDFix: Version 1.165 /b
  
  Run by Pascale on lun. 31/03/2008 at 13:29
  
  Microsoft Windows XP [version 5.1.2600]
  Running From: C:\PROGRA~1\SDFix\SDFix
  
  [b]Checking Services /b:
  
  Restoring Windows Registry Values
  Restoring Windows Default Hosts File
  
  Rebooting
  
  [b]Checking Files /b:
  
  Trojan Files Found:
  
  C:\WINDOWS\system32\drivers\etc\BackupHosts.bak - Deleted
  
  Removing Temp Files
  
  [b]ADS Check /b:
  
  [b]Final Check /b:
  
  catchme 0.3.1344.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
  Rootkit scan 2008-03-31 13:42:50
  Windows 5.1.2600 Service Pack 2 NTFS
  
  scanning hidden processes ...
  
  scanning hidden services & system hive ...
  
  scanning hidden registry entries ...
  
  scanning hidden files ...
  
  scan completed successfully
  hidden processes: 0
  hidden services: 0
  hidden files: 0
  
  [b]Remaining Services /b:
  
  Authorized Application Key Export:
  
  [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
  "%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
  "C:\\Program Files\\Messenger\\msmsgs.exe"="C:\\Program Files\\Messenger\\msmsgs.exe:*:Enabled:Windows Messenger"
  "C:\\Program Files\\NovaLogic\\Delta Force Xtreme\\dfx.exe"="C:\\Program Files\\NovaLogic\\Delta Force Xtreme\\dfx.exe:*:Enabled:Delta Force Xtreme"
  "C:\\Program Files\\NovaLogic\\Delta Force Xtreme\\dfxmed.exe"="C:\\Program Files\\NovaLogic\\Delta Force Xtreme\\dfxmed.exe:*:Enabled:Delta Force Xtreme Mission Editor"
  "C:\\Program Files\\NovaLogic\\Delta Force Xtreme Demo\\DFXDemo.exe"="C:\\Program Files\\NovaLogic\\Delta Force Xtreme Demo\\DFXDemo.exe:*:Enabled:Delta Force Xtreme Demo"
  "%windir%\\Network Diagnostic\\xpnetdiag.exe"="%windir%\\Network Diagnostic\\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
  "C:\\Program Files\\iTunes\\iTunes.exe"="C:\\Program Files\\iTunes\\iTunes.exe:*:Enabled:iTunes"
  "C:\\DOCUME~1\\Charly\\LOCALS~1\\Temp\\winlogon.exe"="C:\\DOCUME~1\\Charly\\LOCALS~1\\Temp\\winlogon.exe:*:Enabled:Streams Drivers"
  "C:\\Program Files\\MSN Gaming Zone\\Windows\\shvlzm.exe"="C:\\Program Files\\MSN Gaming Zone\\Windows\\shvlzm.exe:*:Enabled:Atout Pique sur Internet"
  "C:\\DOCUME~1\\Charly\\LOCALS~1\\Temp\\services.exe"="C:\\DOCUME~1\\Charly\\LOCALS~1\\Temp\\services.exe:*:Enabled:Flash Media"
  "C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"="C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe:*:Enabled:Windows Live Messenger"
  "C:\\Program Files\\Windows Live\\Messenger\\livecall.exe"="C:\\Program Files\\Windows Live\\Messenger\\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"
  
  [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
  "%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
  "%windir%\\Network Diagnostic\\xpnetdiag.exe"="%windir%\\Network Diagnostic\\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
  "C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"="C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe:*:Enabled:Windows Live Messenger"
  "C:\\Program Files\\Windows Live\\Messenger\\livecall.exe"="C:\\Program Files\\Windows Live\\Messenger\\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"
  
  [b]Remaining Files /b:
  
  File Backups: - C:\PROGRA~1\SDFix\SDFix\backups\backups.zip
  
  [b]Files with Hidden Attributes /b:
  
  Sun 16 Sep 2007 4,348 A.SH. --- "C:\Documents and Settings\All Users\DRM\DRMv1.bak"
  Fri 29 Jun 2007 0 A.SH. --- "C:\Documents and Settings\All Users\DRM\Cache\Indiv01.tmp"
  Thu 9 Aug 2007 400 A..H. --- "C:\Program Files\Fichiers communs\Symantec Shared\COH\COH32LU.reg"
  Thu 9 Aug 2007 403 A..H. --- "C:\Program Files\Fichiers communs\Symantec Shared\COH\COHDLU.reg"
  Fri 5 Oct 2007 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\493c50fe9f23ee81559d491f3f423dc0\BIT46.tmp"
  Mon 31 Mar 2008 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\585dc2612ebcefc90e7dee4c276ee95e\BIT2.tmp"
  Fri 5 Oct 2007 4,887,920 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\64e594df5de9258be376fcbfc53c7318\BIT48.tmp"
  Fri 5 Oct 2007 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\6658f544763a012c23109e05e811db81\BIT47.tmp"
  Fri 5 Oct 2007 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\73e2e9ec90b2a8bdc65c191633d70158\BIT4E.tmp"
  Tue 25 Sep 2007 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\778fd2fc3fe6b905e366b5ddbba384c8\BIT3.tmp"
  Fri 5 Oct 2007 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\979d4ddb8065ffb2dc0cb3d515901710\BIT49.tmp"
  Fri 5 Oct 2007 1,229,688 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\a1feda554f795971fda237333f75243f\BIT4D.tmp"
  Fri 5 Oct 2007 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\b79817f6eaff5d013a81bd2aff4f2954\BIT4A.tmp"
  Wed 17 Oct 2007 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\b8426e25532eb668f59dd4d969b4a550\BIT1.tmp"
  Fri 5 Oct 2007 4,830,072 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\be055ba2b2ed973399d61482c6723317\BIT4C.tmp"
  Fri 5 Oct 2007 12,396,400 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\d87fb8947e75ca18dc081689c7a9b0bf\BIT4B.tmp"
  
  [b]Finished!/b
  
  Voilà je crois que j'ai tout fait
  Bien à vous
  Zarkette
  
  0
Réponse 2 / 2
jlpjlp Messages postés 52399 Statut Contributeur sécurité 5 041

tu as viré ce qui a été trouvé avec
Malwarebytes' Anti-Malware???

______

colle un rapport hijackthis

http://www.trendsecure.com/portal/en-US/tools/security_tools/hijackthis/download

manuel :
http://pagesperso-orange.fr/rginformatique/section%20virus/demohijack.htm
https://leblogdeclaude.blogspot.com/2006/10/informatique-section-hijackthis.html

Je conseille de renomer Hijackthis, pour contrer une éventuelle infection de Vundo.

ex:Renomme le fichier HijackThis.exe en eden.exe pour cela, fais un clic droit sur le fichier HijackThis.exe et choisis renommer dans la liste

Ensuite avec Explorer créer un dossier c:\hijackthis
Décompresser Hijackthis dans ce dossier.
C'est important pour les sauvegardes."
0
1. zarkette Messages postés 3 Statut Membre
  
  oui j'ai tout effacé
  
  [b]SDFix: Version 1.165 [/b]
  
  Run by Pascale on lun. 31/03/2008 at 13:29
  
  Microsoft Windows XP [version 5.1.2600]
  Running From: C:\PROGRA~1\SDFix\SDFix
  
  [b]Checking Services [/b]:
  
  Restoring Windows Registry Values
  Restoring Windows Default Hosts File
  
  Rebooting
  
  [b]Checking Files [/b]:
  
  Trojan Files Found:
  
  C:\WINDOWS\system32\drivers\etc\BackupHosts.bak - Deleted
  
  Removing Temp Files
  
  [b]ADS Check [/b]:
  
  [b]Final Check [/b]:
  
  catchme 0.3.1344.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
  Rootkit scan 2008-03-31 13:42:50
  Windows 5.1.2600 Service Pack 2 NTFS
  
  scanning hidden processes ...
  
  scanning hidden services & system hive ...
  
  scanning hidden registry entries ...
  
  scanning hidden files ...
  
  scan completed successfully
  hidden processes: 0
  hidden services: 0
  hidden files: 0
  
  [b]Remaining Services [/b]:
  
  Authorized Application Key Export:
  
  [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
  "%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
  "C:\\Program Files\\Messenger\\msmsgs.exe"="C:\\Program Files\\Messenger\\msmsgs.exe:*:Enabled:Windows Messenger"
  "C:\\Program Files\\NovaLogic\\Delta Force Xtreme\\dfx.exe"="C:\\Program Files\\NovaLogic\\Delta Force Xtreme\\dfx.exe:*:Enabled:Delta Force Xtreme"
  "C:\\Program Files\\NovaLogic\\Delta Force Xtreme\\dfxmed.exe"="C:\\Program Files\\NovaLogic\\Delta Force Xtreme\\dfxmed.exe:*:Enabled:Delta Force Xtreme Mission Editor"
  "C:\\Program Files\\NovaLogic\\Delta Force Xtreme Demo\\DFXDemo.exe"="C:\\Program Files\\NovaLogic\\Delta Force Xtreme Demo\\DFXDemo.exe:*:Enabled:Delta Force Xtreme Demo"
  "%windir%\\Network Diagnostic\\xpnetdiag.exe"="%windir%\\Network Diagnostic\\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
  "C:\\Program Files\\iTunes\\iTunes.exe"="C:\\Program Files\\iTunes\\iTunes.exe:*:Enabled:iTunes"
  "C:\\DOCUME~1\\Charly\\LOCALS~1\\Temp\\winlogon.exe"="C:\\DOCUME~1\\Charly\\LOCALS~1\\Temp\\winlogon.exe:*:Enabled:Streams Drivers"
  "C:\\Program Files\\MSN Gaming Zone\\Windows\\shvlzm.exe"="C:\\Program Files\\MSN Gaming Zone\\Windows\\shvlzm.exe:*:Enabled:Atout Pique sur Internet"
  "C:\\DOCUME~1\\Charly\\LOCALS~1\\Temp\\services.exe"="C:\\DOCUME~1\\Charly\\LOCALS~1\\Temp\\services.exe:*:Enabled:Flash Media"
  "C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"="C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe:*:Enabled:Windows Live Messenger"
  "C:\\Program Files\\Windows Live\\Messenger\\livecall.exe"="C:\\Program Files\\Windows Live\\Messenger\\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"
  
  [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
  "%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
  "%windir%\\Network Diagnostic\\xpnetdiag.exe"="%windir%\\Network Diagnostic\\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
  "C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"="C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe:*:Enabled:Windows Live Messenger"
  "C:\\Program Files\\Windows Live\\Messenger\\livecall.exe"="C:\\Program Files\\Windows Live\\Messenger\\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"
  
  [b]Remaining Files [/b]:
  
  File Backups: - C:\PROGRA~1\SDFix\SDFix\backups\backups.zip
  
  [b]Files with Hidden Attributes [/b]:
  
  Sun 16 Sep 2007 4,348 A.SH. --- "C:\Documents and Settings\All Users\DRM\DRMv1.bak"
  Fri 29 Jun 2007 0 A.SH. --- "C:\Documents and Settings\All Users\DRM\Cache\Indiv01.tmp"
  Thu 9 Aug 2007 400 A..H. --- "C:\Program Files\Fichiers communs\Symantec Shared\COH\COH32LU.reg"
  Thu 9 Aug 2007 403 A..H. --- "C:\Program Files\Fichiers communs\Symantec Shared\COH\COHDLU.reg"
  Fri 5 Oct 2007 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\493c50fe9f23ee81559d491f3f423dc0\BIT46.tmp"
  Mon 31 Mar 2008 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\585dc2612ebcefc90e7dee4c276ee95e\BIT2.tmp"
  Fri 5 Oct 2007 4,887,920 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\64e594df5de9258be376fcbfc53c7318\BIT48.tmp"
  Fri 5 Oct 2007 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\6658f544763a012c23109e05e811db81\BIT47.tmp"
  Fri 5 Oct 2007 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\73e2e9ec90b2a8bdc65c191633d70158\BIT4E.tmp"
  Tue 25 Sep 2007 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\778fd2fc3fe6b905e366b5ddbba384c8\BIT3.tmp"
  Fri 5 Oct 2007 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\979d4ddb8065ffb2dc0cb3d515901710\BIT49.tmp"
  Fri 5 Oct 2007 1,229,688 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\a1feda554f795971fda237333f75243f\BIT4D.tmp"
  Fri 5 Oct 2007 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\b79817f6eaff5d013a81bd2aff4f2954\BIT4A.tmp"
  Wed 17 Oct 2007 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\b8426e25532eb668f59dd4d969b4a550\BIT1.tmp"
  Fri 5 Oct 2007 4,830,072 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\be055ba2b2ed973399d61482c6723317\BIT4C.tmp"
  Fri 5 Oct 2007 12,396,400 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\d87fb8947e75ca18dc081689c7a9b0bf\BIT4B.tmp"
  
  [b]Finished![/b]
  Voilà je crois que j'ai tout fait
  A bientot
  Zarkette
  Et merci encore
  
  0

Newsletters