Désinfection impossible. A l'aide !!

pourmoi06 Messages postés 22 Statut Membre -  
^^Marie^^ Messages postés 126523 Date d'inscription   Statut Membre Dernière intervention   -
Bonjour à tous,

J’ai été infecté par une clé USB (je crois) le 13/05. Mon antivirus Avast 4.8 (à jour) a trouvé Win32 :RJump-B et a mis les fichiers « trz55.tmp » et « ravmone.exe » en quarantaine.

Le 21/05, nouvelle alerte d’Avast disant que trop de e-mail veulent être envoyés en même temps (alors que je ne veux rien envoyer !). L’envoyeur semble être « Natwest Bank Electonic Banking… » et les destinataires « J…@... .uk). Je clique sur « Bloquer ». Puis un faux message apparaît à l’écran sur fond bleu : Je sais, par des recherches, que c’est le Trojan W32 :Pakes.CSG. Je lance une désinfection et je fais « supprimer » dans Avast.

Quelques instant après, Avast le signale le même problème de saturation d’e-mails.

Je débranche alors la connexion internet et je lance Spybot Search and Destroy (version 1.5.2 à jour). Il trouve ceci :

Smitfraud-C.gp: [SBI $5BE8152F] Réglages Autorun (ctfmona) (Valeur du registre, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ctfmona

Smitfraud-C.gp: [SBI $5BE8152F] Fichier de programme (Fichier, nothing done)
C:\WINDOWS\system32\ctfmona.exe

Win32.Agent.icb: [SBI $A0EF69BD] Réglages (Valeur du registre, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\mid

Win32.Agent.icb: [SBI $9C8AB327] Réglages (Valeur du registre, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\st

Win32.Agent.icb: [SBI $1E3889AA] Réglages (Valeur du registre, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\iapInit_Dlls

Win32.Banker.aipy.rtk: [SBI $F565C0D5] Réglages (Clé du registre, nothing done)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\lanmandrv

Win32.Banker.aipy.rtk: [SBI $AD7B69FD] Réglages (Clé du registre, nothing done)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\lanmandrv

Win32.Banker.aipy.rtk: [SBI $4443B172] Bibliothèque (Fichier, nothing done)
C:\WINDOWS\system32\qmopt.dll

Win32.Agent.cn: [SBI $39D44109] Image (Fichier, nothing done)
C:\WINDOWS\system32\ctfmonb.bmp

--- Spybot - Search & Destroy version: 1.5.2 (build: 20080128) ---

Je supprime le tout et je redémarre. Je vérifie les modifications dans la base de registre (d’après les info de Spybot) et tout semble avoir été enlevé.

MAIS Les problèmes reviennent.

Je passe le détecteur de Logiciels Malveillants de Microsoft (MRT.exe) de mai 2008, mais il ne détecte rien.
Avast ne semble rien détecter non plus, mais dans le journal d’Avast, je trouve qu’il a neutralisé les virus suivants (le 21/05 à 14h00) :
Win32 :Agent-SPG [Trj] (lanmandrv.sys)
Win32 :Agent-QJA [Trj] (add.exe)

Je désactive à nouveau Internet et je passe en mode Sans Echec.

Avast trouve :

Win32 : Small-JPM [Spy] (Dll.dll)
Puis
Win32 : Pakes.CSG

Pendant le scan d’Avast, l’ecran de veille “Blackster.scr” s’est déclenché (même en mode Sans Echec) (il fait partie de « Pakes.CSG » qui est aussi « Smitfraud-c.gp » trouvé par Spybot). J’ai supprimé manuellement le fichier Blackster.scr.

J’ai lancé aussi plusieurs fois HiJackThis (je l’ai renommé en Test H-J.exe) et le dernier scan donne ceci :

Logfile of HijackThis v1.99.1
Scan saved at 22:49:35, on 21/05/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Hercules\DualPix Exchange\Camservice.exe
C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\MSWorks\Calendrier\WKCALREM.EXE
C:\WINDOWS\system32\devldr32.exe
C:\WINDOWS\system32\aspimgr.exe
C:\Program Files\Executive Software\DiskeeperLite\DKService.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\fxssvc.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Senesi\Bureau\OUTILS\Test H-J.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar4.dll
O2 - BHO: CmjBrowserHelperObject Object - {AC41D38F-B56D-40AD-94E0-B493D130C959} - C:\Program Files\Mindjet\MindManager 6\Mm6InternetExplorer.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar4.dll
O3 - Toolbar: Copernic Desktop Search 2 - {968631B6-4729-440D-9BF4-251F5593EC9A} - C:\Program Files\Copernic Desktop Search 2\DesktopSearchBand203000018.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [CamserviceDP] C:\Program Files\Hercules\DualPix Exchange\Camservice.exe /startup
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: Rappels du Calendrier Microsoft Works.lnk = C:\Program Files\MSWorks\Calendrier\WKCALREM.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Surligner en Jaune - C:\WINDOWS\web\MarqueurFluoYellow.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Send to Mindjet MindManager - {531B9DC0-D8EE-4c76-A6EE-6C1E50569655} - C:\Program Files\Mindjet\MindManager 6\Mm6InternetExplorer.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {05CA9FB0-3E3E-4B36-BF41-0E3A5CAA8CD8} (Office Genuine Advantage Validation Tool) - http://download.microsoft.com/download/C/B/F/CBF23A2C-3E55-4664-BC5C-762780D79BA0/OGAControl.cab
O16 - DPF: {11260943-421B-11D0-8EAC-0000C07D88CF} (iPIX ActiveX Control) - http://www.ipix.com/download/ipixx.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://download.ewido.net/ewidoOnlineScan.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://host.cycore.net/plugins/windows/ie/Cult3D_IE_5.3.0.228.cab
O16 - DPF: {4C57C98A-E582-46E4-8FD8-5EBDC94CEA39} (Mindjet MindManager Viewer Control) - http://www.mindjet.com/viewer/eng/MjMmViewer.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O16 - DPF: {8FD07749-EFFA-48C6-947C-45A8D7BF422F} (CLVistaGenie Control) - http://www.cyberlink.com/vista/prog/CLVistaGenie.cab
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O20 - Winlogon Notify: WRNotifier - WRLogonNTF.dll (file missing)
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Program Files\a-squared Free\a2service.exe
O23 - Service: Microsoft ASPI Manager (aspimgr) - Unknown owner - C:\WINDOWS\system32\aspimgr.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Program Files\Executive Software\DiskeeperLite\DKService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

Deplus, j’ai aussi remarqué qu’un icône « Update Manager » dans le menu Démarrer. C’est Microsoft ASPI Manager, InstallDriver Table Manager et InstallShield Update Manager 3.0.
Le processus sont : ISUSPM Startup et ISUSSheduler. Comment sont-ils venus là ? Comment les désinstaller, car rien n’apparaît pas dans Ajouter/Supprimer des Programmes (ni dans la liste de désinstallation de CCleaner).

J’ai aussi une clé dans la base de registre HKLM\Soft..\Micro..\Wind…\Current Version\Run nommée « KernelFaultCheck » avec comme valeur « %systemroot%\system32\dumprep 0 –k ». Cette clé a-t-elle un rapport avec les virus ?
Même question pour un Processus nommé « devLdr32.exe » présent dans la liste de processus actifs (lorsque je fais CTRL+Alt+Suppr) ?

Qui peut m’aider ???

D’avance je vous en remercie, car je ne sais plus quoi faire !!

9 réponses

^^Marie^^ Messages postés 126523 Date d'inscription   Statut Membre Dernière intervention   3 279
 
Bonjour

Pourquoi utiliser ComobFix sur ce topik.
C'est pas utile du tout.

Il faut faire très attention à l'utilisation de ce Fix

http://www.commentcamarche.net/forum/affich 4807344 combofix dangers#0

Combofix est un outil puissant, donc particulièrement risqué. Je viens encore d'en faire l'expérience. L'ordi à mal redémarré. La connexion Internet est cassée. Le deuxième redémarrage a été très long. La galère. 

Il vaut donc mieux ne l'utiliser qu'en dernier recours, quand les autres outils ont échoué. Vundofix, Virtumundobegone, SDFix, Navilog, SmitfraudFix, Clean.zip peuvent faire une grosse partie du travail. L'antivirus et les antispywares aussi. 



Faut stopper de s'en servir comme une poudre magique.

O23 - Service: Microsoft ASPI Manager (aspimgr) - Unknown owner - C:\WINDOWS\system32\aspimgr.exe

il faut désinstaller ce service en allant dans démarrer / exécuter / tape services.msc recherche le service, va dans les propriétés et désactive le.
Service: Microsoft ASPI Manager (aspimgr) - Unknown owner - C:\WINDOWS\system32\aspimgr.exe

A++
3
pourmoi06 Messages postés 22 Statut Membre
 
Bonsoir Marie,

Je n'ai pas utilisé Combifix.
J'ai tenté SmitFraudFix v2.320, et il dit avoir effacé des clés douteuses.
Mais le lancement de mails (mail bombing ?) a recommencé de plus belle après.
J'ai coupé Internet et installé Kaspersky 7, en désinstallant Avast (j'ai eu du mal pour l'activation en ligne !!).
Je viens de lancer Kas7 et il a déjà trouvé 3 menaces dont le fameux aspimgr.exe et un autre trojan USER32.dll qui (parait-il) est en fait user32.exe (DIAL.exe) déguisé en dll de windows. Est-ce cela ?

Je laisse tourner Kas7 et je vous tiens au courant.

Merci de vos idées et des vos expériences si vous avez des info à me donner là dessus !
0
^^Marie^^ Messages postés 126523 Date d'inscription   Statut Membre Dernière intervention   3 279 > pourmoi06 Messages postés 22 Statut Membre
 
Salut

J'ai tenté SmitFraudFix v2.320,
Tu as le rapport de smitfraud ?
0
pourmoi06 Messages postés 22 Statut Membre > ^^Marie^^ Messages postés 126523 Date d'inscription   Statut Membre Dernière intervention  
 
Bonjour,

Oui, j'ai lancé SmitFraudFix : J'ai fait 1) et il a trouvé des trucs anormaux, puis j'ai fait 2) (en mode sans échec) et il a dit avoir supprimé des inscriptions. Je n'ai pas pensé à renommer le premier rapport.txt, il a été écrasé par le second, dont voici le texte :

SmitFraudFix v2.320

Rapport fait à 18:59:45,09, 22/05/2008
Executé à partir de C:\Documents and Settings\Senesi\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Hercules\DualPix Exchange\Camservice.exe
C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe
C:\Program Files\Fichiers communs\InstallShield\UpdateService\issch.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\MSWorks\Calendrier\WKCALREM.EXE
C:\WINDOWS\system32\devldr32.exe
C:\WINDOWS\system32\aspimgr.exe
C:\Program Files\Executive Software\DiskeeperLite\DKService.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\fxssvc.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts

Fichier hosts corrompu !

127.0.0.1 www.legal-at-spybot.info
127.0.0.1 legal-at-spybot.info

»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Senesi


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Senesi\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\Senesi\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"


»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Rustock



»»»»»»»»»»»»»»»»»»»»»»»» DNS



»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

__________________________________

Néanmoins, la tentative d'envoi massif de mail a recommencé (du à aspimgr.exe je suppose ?).

J'ai donc installé Kaspersky 7 et désinstallé Avast (4.8 et à jour pourtant).
J'ai lancé KAS7 et il a trouvé, dans le désordre :

Trojan W32:Patched.bb dans de nombreux dossiers et dans Restor,
aspimgr.exe dans system 32,
Plusieurs Win32: Agent-xxx à différents endroits,
et d'autres petits trucs dont je n'ai pas noté le nom.

Il les a soit nettoyés, soit supprimés, en direct (pendant l'analyse).
J'ai fait tourner KAS7 toute la nuit (en coupant physiquement la connexion Internet), puis redémarrage ce matin.
Le PC semble fonctionner (pas de mail-bombing, pas de messages d'alerte, les principaux logiciels semblent fonctionner (Outlook Express, Firefox, IE7, Word). KAS7 surveille le tout (du moins il le dit !).

J'ai relancé une analyse complète ce matin avant de partir au boulot. Ce soir j'aurai le verdict : soit tout est bon, soit il reste des trucs qu'il ne peut pas neutraliser.

Je vous tiens au courant (comme on dit chez EDF...).

De votre coté, et pour mon information, avez-vous vu des anomalies dans mon rapport HiJack et dans le rapport SmitFraudFix ?
Ces contaminations proviennent-elle (exclusivement) du surf sur Internet ou proviennent elles de clés USB (j'en connecte 3 différentes, qui sont passées avant sur 2 autres PC : 1 en réseau d'entreprise avec McAfee réglé sur la position la plus sûre, l'autre dans une école, avec Avast ?

Merci de votre aide !
Heureusement qu'il y a des gens dévoués, car sans vous que deviendrait- on ?
0
^^Marie^^ Messages postés 126523 Date d'inscription   Statut Membre Dernière intervention   3 279 > pourmoi06 Messages postés 22 Statut Membre
 
Démarre en mode sans échec :
Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter.
Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée.
Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal !
(Si F8 ne marche pas utilise la touche F5).

http://www.coupdepoucepc.com/modules/news/article.php?storyid=253
https://www.micro-astuce.com/depannage/demarrer-mode-sans-echec.php

----------------------------------------------------------------------------
Relance le programme Smitfraud,
Cette fois choisit l’option 2, répond oui a tous ;
Sauvegarde le rapport, Redémarre en mode normal, copie/colle le rapport sauvegardé sur le forum

Renvoie un log hijackthis dans la foulée
0
pourmoi06 Messages postés 22 Statut Membre > ^^Marie^^ Messages postés 126523 Date d'inscription   Statut Membre Dernière intervention  
 
Est-ce nécessaire, même si KAS7 n'a plus rien trouvé ?
0
Utilisateur anonyme
 
On commence si tu veux bien par smitfraudfix

Télécharge sur le bureau http://siri.urz.free.fr/Fix/SmitfraudFix.exe
=> Double clic sur SmitfraudFix.zip
=> Extraire tout
=> Double clic sur SmitfraudFix
=> Double Clic sur SmitfraudFix.cmd
=> Choisir Option 1
=> poste le rapport
0
pourmoi06 Messages postés 22 Statut Membre
 
Je lance en mode sans échec ?
0
benurrr
 
demarer en mode sans echec nettoyer le registre avec regseekerpuit tu lance ton antivrus toujour en mode sans echec
0
pourmoi06 Messages postés 22 Statut Membre
 
J'ai RegSupreme qui doit être identique non ?
0
Utilisateur anonyme
 
non en normal

la désinsfection se fera en mode sans echec
0
pourmoi06 Messages postés 22 Statut Membre
 
Le téléchargement de SmitlfaultFix démarre et s'arréte au bout de 3 %
0
pourmoi06 Messages postés 22 Statut Membre
 
OK je télécharge à partir de Zebulon.fr
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Utilisateur anonyme
 
essai ce lien :

http://siri.urz.free.fr/Fix/SmitfraudFix.zip
0
pourmoi06 Messages postés 22 Statut Membre
 
Je suis au boulot, et le téléchargement bloque car "Note : votre antivirus peut détecter le virus TR/Hardoff.A dans l'archive, il s'agit là d'un faux-positif." lu sur Zebulon !
L'ATV doit freiner/bloquer le téléchargement ?

En attendant, quy a-t-il "d'autre" que SmitFraud sur mon PC ?
0
Utilisateur anonyme
 
STOP TON ANTIVIRUS ET RETELECHARGE
0
pourmoi06 Messages postés 22 Statut Membre
 
Je ne peux pas (Réseau entreprise). Je vais le télécharger de chez moi dès mon retour (à partir d'un second PC) et je copie le résultat du scan ici.
J'attendrai ton interprétation ensuite.
Merci de ton aide.

Y a-t-il autre chose sur le rapport HiJack ?
0
Utilisateur anonyme
 
on peut faire autrement

essai combofix

élécharge combofix.exe (par sUBs) sur ton Bureau.

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

-> Double clique combofix.exe.
-> Tape sur la touche 1 (Yes) pour démarrer le scan.
-> Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.

NOTE : Le rapport se trouve également ici : C:\Combofix.txt

Avant d'utiliser ComboFix :

-> Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours.

-> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent géner fortement la procédure de recherche et de nettoyage de l'outil.

Une fois fait, sur ton bureau double-clic sur Combofix.exe.

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.

- En fin de scan il est possible que ComboFix ait besoin de redemarrer le pc pour finaliser la désinfection\recherche, laisses-le faire.

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt)

-> Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet.

-> Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

-> Tutoriel https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix
0
pourmoi06 Messages postés 22 Statut Membre
 
Le lien ne fonctionne pas. De plus, je suis tombé sur un long post ici qui mentionne que combofix a été infecté et n'est plus disponible pour le moment, le concepteur y apportant une modification !
0
Utilisateur anonyme
 
je pense que tu parle de btfix

le lien marche réessai

je viens de le tester
0
jfkpresident Messages postés 13877 Statut Contributeur sécurité 1 175
 
pourmoi06 : suite a ton MP , tu es entre de bonnes mains avec ^^marie^^

@+
0
pourmoi06 Messages postés 22 Statut Membre
 
Merci à toi JFK !
0