Virus avec ta tof sur msn

Question

Bonjour à vous! 
Voila moi aussi je viens de me faire avoir par ce P.... de virus par rapport à ta tof sauf que je ne peux pas m'en sortir j'ai avast qui me le détecte mais ne me l'efface pas. De plus j'ai ccleaner mais je le lance, il fini et rien n'est éffacé. Résultat mon ordi plante et le fichier ~WRL0003 vient de s'implanter sur mon disque externe sur lequel j'ai toutes mes données importantes dont mes cours! je ne dois rien perdre mais je ne suis pas non plus un dieu en informatique je me débrouille et là j'en viens à vous pour m'aider! 
Que dois-je faire pour cela?? 
Merci de votre réponse!!

gil le fantom · Answer

bonjour

tu télécharge MSNFix.zip sur ton bureau: http://sosvirus.changelog.fr/MSNFix.zip 

tu décompresse-le (clic droit << Extraire ici) et double-clique sur le fichier MSNFix.bat 
tu exécute l'option R et si l'infection est détectée, exécute l'option N
redemarre le pc. 
* Sauvegarde le rapport puis copie/colle-le ici

gil le fantom · Answer

ok
ne t'inquiéte pas msnfix a fait son travail
tu poste un rapport hijackthis http://www.commentcamarche.net/telecharger/telecharger 159 hijackthis
= Clic-droit sur Hijackthis 
= Extraire ici ( ou extraire sans confirmation ou tout ou unzip) 
= clic droit sur Hijackthis ==> renommer ==> écrire : test.exe ( à la place de hijackthis.exe) <== Important 
=Double-clic dessus 
= Clic Do a system scan and save the log 
=coller le rapport 
si problème voir l'aide 
http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm

gil le fantom · Answer

tu Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau. 
http://downloads.andymanchesta.com/RemovalTools/SDFix.exe 
Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau. Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici : 
&#8226; Redémarre ton ordinateur 
&#8226; Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde). 
&#8226; A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître. 
&#8226; Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée". 
&#8226; Choisis ton compte. 
Déroule la liste des instructions ci-dessous : 
&#8226; Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur run this. bat pour lancer le scrïpt. 
&#8226; Appuie sur Y pour commencer le processus de nettoyage. 
&#8226; Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer. 
&#8226; Appuie sur une touche pour redémarrer le PC. 
&#8226; Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers. 
&#8226; Après le chargement du Bureau, l'outil terminera son travail et affichera Finished. 
&#8226; Appuie sur une touche pour finir l'exécution du scrïpt et charger les icônes de ton Bureau. 
&#8226; Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt. 
&#8226; Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum,

Tom Bordeaux · Answer

Bien!
Tout c'est déroulé comme prévu voici le rapport:


[b]SDFix: Version 1.167 [/b]
Run by Propri‚taire on 06/04/2008 at 13:09

Microsoft Windows XP [version 5.1.2600]
Running From: C:\SDFix

[b]Checking Services [/b]:


Restoring Windows Registry Values
Restoring Windows Default Hosts File

Rebooting


[b]Checking Files [/b]: 

No Trojan Files Found






Removing Temp Files

[b]ADS Check [/b]:
 


                                 [b]Final Check [/b]:

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-04-06 13:17:28
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

? [1428]

scanning hidden services & system hive ...

scanning hidden registry entries ...

scanning hidden files ...


scan completed successfully
hidden processes: 1
hidden services: 0
hidden files: 148


[b]Remaining Services [/b]:



Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE"="C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE:*:Enabled:Microsoft Office Outlook"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\Program Files\Windows Live\Messenger\msnmsgr.exe"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"
"C:\Program Files\Windows Live\Messenger\livecall.exe"="C:\Program Files\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"
"C:\Program Files\MessengerDiscovery\MessengerDiscovery Live.exe"="C:\Program Files\MessengerDiscovery\MessengerDiscovery Live.exe:*:Enabled:MessengerDiscovery Live the Windows Live Messenger addon"
"C:\Program Files\Real\RealPlayer\realplay.exe"="C:\Program Files\Real\RealPlayer\realplay.exe:*:Enabled:RealPlayer"
"C:\Program Files\LimeWire\LimeWire.exe"="C:\Program Files\LimeWire\LimeWire.exe:*:Enabled:LimeWire"
"C:\Program Files\adslTV\adsltv.exe"="C:\Program Files\adslTV\adsltv.exe:*:Enabled:adsltv"
"C:\Program Files\DMV\MaxTV\MaxTV.exe"="C:\Program Files\DMV\MaxTV\MaxTV.exe:*:Enabled:MaxTV"
"C:\Program Files\Octoshape Streaming Services\Propri‚taire\OctoshapeClient.exe"="C:\Program Files\Octoshape Streaming Services\Propri‚taire\OctoshapeClient.exe:*:Enabled:OctoshapeClient"
"C:\Program Files\Internet Explorer\iexplore.exe"="C:\Program Files\Internet Explorer\iexplore.exe:*:Enabled:Internet Explorer"
"C:\Program Files\Azureus\Azureus.exe"="C:\Program Files\Azureus\Azureus.exe:*:Enabled:Azureus"
"C:\Program Files\eMule\emule.exe"="C:\Program Files\eMule\emule.exe:*:Disabled:eMule"
"C:\Program Files\BitTorrent\bittorrent.exe"="C:\Program Files\BitTorrent\bittorrent.exe:*:Enabled:BitTorrent"
"C:\Program Files\iTunes\iTunes.exe"="C:\Program Files\iTunes\iTunes.exe:*:Enabled:iTunes"
"C:\Documents and Settings\Propri‚taire\Local Settings\Temp\Rar$EX01.953\Memo.exe"="C:\Documents and Settings\Propri‚taire\Local Settings\Temp\Rar$EX01.953\Memo.exe:*:Disabled:Desktop tool"
"C:\Program Files\Memo\Memo.exe"="C:\Program Files\Memo\Memo.exe:*:Disabled:Desktop tool"
"C:\Program Files\VoipBuster.com\VoipBuster\VoipBuster.exe"="C:\Program Files\VoipBuster.com\VoipBuster\VoipBuster.exe:*:Enabled:VoipBuster"
"C:\Program Files\NetAppel\NetAppel.exe"="C:\Program Files\NetAppel\NetAppel.exe:*:Enabled:NetAppel"
"C:\Program Files\Messenger\msmsgs.exe"="C:\Program Files\Messenger\msmsgs.exe:*:Enabled:Windows Messenger"
"C:\Program Files\Skype\Phone\Skype.exe"="C:\Program Files\Skype\Phone\Skype.exe:*:Enabled:Skype. Take a deep breath "
"C:\WINDOWS.0\system32\%%%.exe"="C:\WINDOWS.0\system32\%%%.exe:*:Enabled:Flash Media"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\Program Files\Windows Live\Messenger\msnmsgr.exe"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"
"C:\Program Files\Windows Live\Messenger\livecall.exe"="C:\Program Files\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"

[b]Remaining Files [/b]:


File Backups: - C:\SDFix\backups\backups.zip

[b]Files with Hidden Attributes [/b]:

Thu  6 Dec 2007         4,348 A.SH. --- "C:\Documents and Settings\All Users.WINDOWS.0\DRM\DRMv1.bak"
Sat 29 Dec 2007             0 A.SH. --- "C:\Documents and Settings\All Users.WINDOWS.0\DRM\Cache\Indiv01.tmp"
Thu 13 Dec 2007             0 A..H. --- "C:\WINDOWS.0\SoftwareDistribution\Download\0a67b6c406b1d7e0f5c1e6f6d44a3f6e\BIT4.tmp"
Thu 13 Dec 2007             0 A..H. --- "C:\WINDOWS.0\SoftwareDistribution\Download\18b19374451d28a8fbaf1939cf31ff45\BIT7.tmp"
Thu 13 Dec 2007             0 A..H. --- "C:\WINDOWS.0\SoftwareDistribution\Download\22fb973e059470cc1b5d76c4ae605351\BITB.tmp"
Thu 13 Dec 2007             0 A..H. --- "C:\WINDOWS.0\SoftwareDistribution\Download\26924cbc8132a10b438ce6e2b49d4652\BIT3.tmp"
Thu 13 Dec 2007             0 A..H. --- "C:\WINDOWS.0\SoftwareDistribution\Download\2769b111678c52099a3b3123b12f2325\BIT8.tmp"
Thu 13 Dec 2007             0 A..H. --- "C:\WINDOWS.0\SoftwareDistribution\Download\30285791903730fbf957a83562db4ff4\BIT5.tmp"
Wed 23 Jan 2008             0 A..H. --- "C:\WINDOWS.0\SoftwareDistribution\Download\4844df1d57a292079101da42a26d7d72\BIT4.tmp"
Wed 23 Jan 2008             0 A..H. --- "C:\WINDOWS.0\SoftwareDistribution\Download\585dc2612ebcefc90e7dee4c276ee95e\BIT3.tmp"
Thu 13 Dec 2007             0 A..H. --- "C:\WINDOWS.0\SoftwareDistribution\Download\9e870549834e2bceb796e44a1e3ac6f5\BITA.tmp"
Wed 23 Jan 2008             0 A..H. --- "C:\WINDOWS.0\SoftwareDistribution\Download\bc066f3f60df1b38218903dd0d40ce98\BIT5.tmp"
Thu 13 Dec 2007             0 A..H. --- "C:\WINDOWS.0\SoftwareDistribution\Download\cb8921d0c7830b2f33c00fa4c8a10d17\BIT6.tmp"
Thu 13 Dec 2007             0 A..H. --- "C:\WINDOWS.0\SoftwareDistribution\Download\d77b9b5b8fed23dd91f50d167cce60d3\BIT9.tmp"

[b]Finished![/b]

gil le fantom · Answer

Télécharge MsnCleaner.zip de ElPiedra et décompresse le sur ton bureau. (Clic droit sur le fichier .zip puis Extraire tout). 
Copier l&#8217;adresse suivante dans ton lien : 
https://forospyware.com 
&#8226; Redémarre le PC en Mode sans échec et connecte toi sous ton nom d'utilisateur habituel.Pour démarrer en mode sans échec. 
&#8226; Double-clique sur MsnCleaner.exe pour le lancer. 
&#8226; Sous Language, clique sur la petite flèche et choisis French. 
&#8226; Clique sur le bouton Analyse. 
&#8226; A la fin du scan un rapport va être créé. 
&#8226; Si l'outil trouve une infection, clique sur le bouton Supprimer. 
&#8226; Redémarre en mode normal. 
&#8226; Poste le rapport C:\MsnCleaner.txt dans ta prochaine réponse.

nad · Answer

Moi aussi c le meme probleme est ce k je peux faire la meme manipulation

Tom Bordeaux · Answer

Juste pour te dire que mes contacts reçoivent toujours le message avec le lien t'es tres jolie sur cette tof...

gil le fantom · Answer

colle un nouveau rapport hijackthis

gil le fantom · Answer

tu télécharge smitfraudfix : 

En image : 
http://siri.urz.free.fr/Fix/SmitfraudFix.php 

tu double clique sur smitfraudfix.cmd et tu choisi l' option 1 
cela vas générer un rapport. 

Copie/colle le rapport sur le forum stp.

DeNisCoOl · Answer

salut Tom Bordeaux et gil le fantom,

Je me permets d'intervenir car Tom était venu au tout début du problème dans un des post ou j'intervenais pour avoir de l'aide.

Smitfraudfix n'est pas forcément utile.

Juste pour te dire que mes contacts reçoivent toujours le message avec le lien t'es tres jolie sur cette tof...
MSNFix n'arrive pas à supprimer le fichier ci dessous ce n'est pas fini donc:
/!\ ... C:\WINDOWS.0\system32\%%%.exe
le signe suivant indique que la suppression n'a pas été possible : /!\ ... 


----------------------
Un petit passage avec OTMoveIT devrait faire l'affaire:

Télécharger OTMoveIt2(de Old_Timer)  sur le Bureau. http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe

Double cliquer sur OTMoveIt2.exe pour le lancer. 
Copier la liste de fichier ou de dossier qui se trouve en gras ci-dessous, 
et coller-la dans le cadre de gauche de OTMoveIt : 
Paste List of Files/Folders to be moved. 

 
C:\WINDOWS.0\system32\%%%.exe
 
Cliquer sur MoveIt!  pour lancer la suppression. 
Le résultat apparaîtra dans le cadre Results. 
Cliquer sur Exit pour fermer. 

Il sera peut-être demander de redémarrer le pc pour achever la suppression. 
Si c'est le cas accepter par Yes. 


--> Poster le rapport d'OTMoveIt situé dans C:\_OTMoveIt\MovedFiles (contenu du fichier C:\_OTMoveIt\MovedFiles\********_******.log - les *** sont des chiffres représentant la date et l'heure)



A+

Denis

Tom Bordeaux · Answer

Bon Antivir me le detecte toujours je ne sais plus quoi en faire, à chaque fois qu'il me le detecte je clique sur delete mais il est redecté quelques minutes plus tard ou apres un redemarrage de l'ordi. MsnFix le detecte aussi mais meme si je reboot lordi il est toujours là. Voici d'ailleur le dernier rapport msnfix:

MSNFix 1.700  
 
C:\Documents and Settings\Propri‚taire\Bureau\MSNFix 
Fix exécuté le 07/04/2008 -  9:57:40,48 By Propri‚taire 
mode normal    
    
************************ Recherche les fichiers présents      
    
... C:\WINDOWS.0\system32\%%%.exe 
... C:\WINDOWS.0\system32\%%%.exe 
 
************************ Recherche les dossiers présents       
 
Aucun dossier trouvé 
 
 
 
 
************************ Suppression des fichiers       
    
.. OK ... C:\WINDOWS.0\system32\%.exe 
.. OK ... C:\WINDOWS.0\system32\%.exe 
/!\ ...  C:\WINDOWS.0\system32\%%%.exe   
/!\ ...  C:\WINDOWS.0\system32\%%%.exe   
/!\ ...  C:\WINDOWS.0\system32\%%%.exe    
/!\ ...  C:\WINDOWS.0\system32\%%%.exe    
 
 
 
************************ Nettoyage du registre 
 
 
 
Les fichiers encore présents seront supprimés au prochain redémarrage 
 
 
Aucun Fichier trouvé 
.. OK ... C:\WINDOWS.0\system32\%.exe 
 
 
 
************************ Fichiers suspects 
 
Aucun Fichier trouvé 
 
  
Les fichiers et clés de registre supprimés ont été sauvegardés dans le fichier 07042008_10014392.zip
 
************************ HKLM\...\Winlogon\Userinit 
 
Userinit = C:\WINDOWS.0\system32\userinit.exe,C:\WINDOWS.0\system32\%.exe 


------------------------------------------------------------------------  
Auteur : !aur3n7                     Contact: https://www.ionos.fr/     
------------------------------------------------------------------------   
 
---------------------------------------------   END   ---------------------------------------------

gil le fantom · Answer

bonjour
merci Denis de ton intervention,j'avais demandé de l'aide à un membre plus expérimenté que moi.
On dirait une nouvelle forme du virus msn.
Je te laisse t'en occuper.
Mais je vais suivre.
A+

DeNisCoOl · Answer

salut Tom et gil,

- MSNFix est mis à jour tous les jours.
Supprimes l'ancienne version.
Télécharges de nouveau MSNFix comme indiqué dans le message 1, et relances le.

- OTMoveIT ne semble pas pouvoir le mettre en quarantaine pour le bloquer.


- Télécharge clean.zip
http://www.malekal.com/download/clean.zip
Décompresse-le sur ton bureau (clic droit / extraire tout), tu dois obtenir un dossier clean.
Ouvre le dossier Clean qui se trouve sur ton bureau.
Double-clic sur clean.cmd.
Une fenêtre noire va apparaître, suis les consignes, choisis l'option 1.
Poste le rapport qui se trouve ici C:\rapport_clean.txt 


- Renvois un rapport HJThis


Je verrais plus en détails cette après midi (GMT-5h).


A+

gil le fantom · Answer

re

apparemment msnfix est a jour pour ton virus msn 
désinstalle l'ancienne version
telécharge la nouvelle version
 http://sosvirus.changelog.fr/MSNFix.zip 

a+

DeNisCoOl · Answer

salut Tom et gil,


- Tu as 2 antivirus ce qui est inutile voir inapproprié pour une bonne protection.
Je te conseilles d'enlever Avast.


- Relancer HiJackthis cliquer sur Do a scan only et cocher les lignes en gras:


O4 - HKLM\..\Run: [1A:MacVisionTrayMonitor] C:\Documents and Settings\Propriétaire\Local Settings\Temporary Internet Files\Content.IE5\83KNC6TW\MacVision_v.8.206[1]\TrayMonitor.exe
O16 - DPF: {7EED9A13-A696-46E3-8888-09CDE606B3D1} (CDownloader Object) - http://a69.g.akamai.net/


Comment fixer une ligne: (Merci a Balltrap34 pour cette réalisation vidéo) 
-> http://pageperso.aol.fr/balltrap34/demohijack.htm  
Fermer toutes tes applications et  ton navigateur puis fix checked.


Pour terminer

Exécuter et Télécharger Spybot
------------------------
1- Cliquer sur Spybot pour télécharger la dernière version 1.5 (septembre 2007)
Après installation cliquer sur Rechercher les Mises à Jour, cocher les MàJ , télécharger les MàJ.

Redémarrer en mode sans échec : après le bip avant le logo windows tapoter sur la touche F8 (ou F5): image menu M.S.E.
Si problème consulter le Tuto ici

La première fois 
 Redémarrer Spybot, cliquer sur Vérifier tout, Purger les éléments sélectionner, puis ***Vacciner***
Le tutorial très complet http://www.tutoriaux-excalibur.com/spybot.htm (merci excalibur)


------------------------
2- De nombreuses infections utilisent les ordinateurs infectés comme serveurs distant ou autre gentillesse du genre, usurpation d'identité. Pour contrer ce genre d'attaque il faut un parefeu (Celui de windows est inefficace).
Comme pare feu je conseillerais Sunbelt (ex Kerio), mais il y en a bien d'autre.


Dans les premiers jours, il y aura une période d’apprentissage (à chaque alerte d'un programme connu cocher la case : créer une règle pour cette communication et ne plus me demander)
Bien regarder  le tutoriel ICI
Et pour la version la plus récente ICI


------------------------
3- ToolsCleaner de A.Rothstein 
Pour supprimer toutes les traces des logiciels qui ont servi à traiter les infections spécifiques

Télécharge le http://pagesperso-orange.fr/AceRothstein/ToolsCleaner2.exe sur ton Bureau. 
* Double-clique sur ToolsCleaner2.bat et laisse le travailler 
* Clique sur Recherche et laisse le scan se terminer. 
* Clique sur Suppression pour finaliser. 
* Tu peux, si tu le souhaites, te servir des Options facultatives. 
* Clique sur Quitter, pour que le rapport puisse se créer.
* Le rapport (TCleaner.txt) se trouve à la racine de votre disque dur (C:\)


------------------------
4- Mises à jours en particulier Adobe, Flash, et autres programmes.
Updatechecker : https://filehippo.com/windows/tuning-utilities/
Quelques détails ici pour l’installation en particulier de Framework:
http://www.commentcamarche.net/faq/sujet 9908 update checker vos logiciels sont ils a jour#update checker la solution

Pour les mises à Jour Java en particulier ici une version online de Secunia en anglais, mais il y a juste 1 ou 2 boutons à cliquer :
https://www.flexera.com/products/operations/software-vulnerability-management.html
Une petite explication dans ce lien (merci malekal). 


------------------------
5- Je vous conseillerais Firefox, plus sure, plus rapide et plus souple que IExplorer : http://www.mozilla-europe.org/fr/products/firefox/

* Pour les cookies s'assurer de tout est correctement configurer, Outils / Options / Vie privée > 
* Cookies / Les conserver jusqu'à : la fermeture de firefox. 
* Vie privée cocher : Toujours effacer mes informations personnelles à la fermeture de Firefox. 

Voici un lien pour encore mieux optimiser la vitesse de navigation: 
http://www.commentcamarche.net/faq/sujet 852 firefox optimisation ameliorer les performances
ou automatiquement regarder ici: 
https://www.01net.com/telecharger/windows/Internet/navigateur/fiches/31802.html



- Pour faciliter l’archivage et la consultation de vos messages, vous pouvez vous identifier avec mot de passe, l’inscription est gratuite (en haut à droite).


A+

Tom Bordeaux · Answer

Re !
Bon j’ai bien suivi à la lettre toutes les manip à faire…
J’ai bien fixé les lignes sous HiJackThis aucun soucis
J’ai reinstallé la derniere edition de spybot qui après analyse en mode sans echec n’a rien trouvé !
J’ai enfin changé le parefeu en installant Sunbelt
Et enfin j’ai installé ToolsCleaner2 qui m’a bien tout éffacé pas de problèmes, le rapport était clair !
Voila j’espère que c’est bien fini et si l’ordi est bien vacciné moi je le suis avec msn…
Puis je donc finaliser le post ?
Merci encore à vous c’est génial de trouver de l’aide comme ça !! Vive la communauté !
Tom.

DeNisCoOl · Answer

Tom et gil,

Il faudrait vérifier si les 2 lignes ne sont pas revenu dans le log HJThis.

Et si tu as fait les mises à jours et installé Firefox tout est parfait donc.
Il faut plutôt éviter d'utiliser IExplorer.

Tu pourras cocher le problème comme résolu en haut de ton premier message.

A+

Virus avec ta tof sur msn

17 réponses

Discussions similaires

Newsletters