Virus tr/psw.nilage.bvl.1 et tr/dlr.bagle.od

Résolu
moulagaufr Messages postés 11 Statut Membre -  
Lyonnais92 Messages postés 25708 Statut Contributeur sécurité -
Bonjour,

mon portable relié à internet a ete infecté par ces virus... j'ai formaté et installé antivir.

Le problème c'est que j'ai contaminé mon pc de bureau qui est non relié à internet par ma clé usb... je ne souhaite pas formater ce pc,

mais je n'arrive à lancer aucun prg type antivirus, hijackthis, ccleaner, etc... le message est que l'application n'est pas une application win32 valide ou c juste que le prg ne se lance pas.

j'ai aussi essayé de mettre dr web sur la clé usb mais le prg ne peut pas non plus etre lancé...

je précise que le démarrage sans échec se solde à chaque fois par une écran bleu.

et a chaque fois que je remets cette clé sur mon portable antivir reconnait ces deux virus, que j'efface, et ainsi de suite...

est ce que vous pouvez me conseiller quelque chose ?

merci.
Configuration: Windows XP
Firefox 2.0.0.12

7 réponses

  1.
    Lyonnais92 Messages postés 25708 Statut Contributeur sécurité 1 537
     
    Bonjour,

    formate ta clé USB (sur le pc infecté).

    Rends toi sur ce site :
    http://www.zonavirus.com/datos/descargas/95/elibagla.asp
    tout en bas de cette page tu trouveras un outil
    à télécharger,clique sur "escargar Elibagla" (le numéro de version change au fur et à mesure des mises à jour)

    Copie ce fichier sur le Bureau de l'ordi infecté.

    ensuite double-clic sur Elibagla.exe
    >laisse la case "eliminar ficheros automaticamente" coché
    >clique sur"explorar"
    >laisse-le travailler

    Redémarre en mode sans échec.

    Refais tourner elibagla 2 fois.

    >poste le rapport final qui sera dans c:\infosat.txt
    2
    1. moulagaufr Messages postés 11 Statut Membre
       
      Merci pour vos conseils...

      Je n'ai pas pu utiliser la réponse 1, car comme je le disais je n'ai pas accès au mode sans echec.

      J'ai fais la méthode 2, voici le résultat :



      Sun May 25 09:30:56 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Acción Directa):
      C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
      C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.
      Restaurada Clave: "SafeBoot\Minimal y Network"
      Reinicie para Completar la Limpieza.

      Sun May 25 09:31:14 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Acción Directa):
      C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
      C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.
      Restaurada Clave: "SafeBoot\Minimal y Network"
      Reinicie para Completar la Limpieza.

      Sun May 25 09:31:16 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Exploración):
      Explorando Unidad C:\

      Sun May 25 09:31:37 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Acción Directa):
      C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
      C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.
      Restaurada Clave: "SafeBoot\Minimal y Network"
      Reinicie para Completar la Limpieza.

      Sun May 25 09:31:47 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Exploración):
      Explorando Unidad C:\

      Sun May 25 09:32:34 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Acción Directa):
      C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
      C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.
      Restaurada Clave: "SafeBoot\Minimal y Network"
      Reinicie para Completar la Limpieza.

      Sun May 25 09:32:37 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Exploración):
      Explorando Unidad C:\

      Sun May 25 09:33:06 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Acción Directa):
      C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
      C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.
      Restaurada Clave: "SafeBoot\Minimal y Network"
      Reinicie para Completar la Limpieza.

      Sun May 25 09:33:09 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Exploración):
      Explorando Unidad C:\

      Sun May 25 09:33:41 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Acción Directa):
      C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
      C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.
      Restaurada Clave: "SafeBoot\Minimal y Network"
      Reinicie para Completar la Limpieza.

      Sun May 25 09:39:03 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Acción Directa):
      C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
      C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.
      Restaurada Clave: "SafeBoot\Minimal y Network"
      Reinicie para Completar la Limpieza.

      Sun May 25 09:39:39 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Exploración):
      Explorando Unidad C:\
      C:\Program Files\Syncrosoft\POS\H2O\CLEDX.EXE --> Eliminado Bagle.dldr

      Nº Total de Directorios: 11068
      Nº Total de Ficheros: 103155
      Nº de Ficheros Analizados: 8354
      Nº de Ficheros Infectados: 1
      Nº de Ficheros Limpiados: 1

      Sun May 25 09:48:38 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Exploración):
      Explorando Unidad D:\

      Nº Total de Directorios: 0
      Nº Total de Ficheros: 0
      Nº de Ficheros Analizados: 0
      Nº de Ficheros Infectados: 0
      Nº de Ficheros Limpiados: 0

      Sun May 25 09:48:45 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Exploración):
      Explorando Unidad E:\

      Nº Total de Directorios: 2437
      Nº Total de Ficheros: 56252
      Nº de Ficheros Analizados: 342
      Nº de Ficheros Infectados: 0
      Nº de Ficheros Limpiados: 0

      Sun May 25 09:53:11 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Exploración):
      Explorando Unidad F:\

      Nº Total de Directorios: 0
      Nº Total de Ficheros: 0
      Nº de Ficheros Analizados: 0
      Nº de Ficheros Infectados: 0
      Nº de Ficheros Limpiados: 0

      Sun May 25 09:53:15 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Exploración):
      Explorando Unidad G:\

      Nº Total de Directorios: 0
      Nº Total de Ficheros: 2
      Nº de Ficheros Analizados: 1
      Nº de Ficheros Infectados: 0
      Nº de Ficheros Limpiados: 0

      Sun May 25 09:53:17 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Exploración):
      Explorando Unidad G:\

      Nº Total de Directorios: 0
      Nº Total de Ficheros: 2
      Nº de Ficheros Analizados: 1
      Nº de Ficheros Infectados: 0
      Nº de Ficheros Limpiados: 0

      Sun May 25 09:53:20 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Exploración):
      Explorando Unidad I:\

      Nº Total de Directorios: 2055
      Nº Total de Ficheros: 39927
      Nº de Ficheros Analizados: 4140
      Nº de Ficheros Infectados: 0
      Nº de Ficheros Limpiados: 0

      Sun May 25 10:04:07 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Acción Directa):
      C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Eliminado Bagle (rootkit)
      C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Eliminado Bagle.dldr

      Sun May 25 10:04:12 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Exploración):
      Explorando Unidad C:\
      C:\Program Files\Syncrosoft\POS\H2O\CLEDX.EXE --> Eliminado Bagle.dldr
      C:\WINDOWS\system32\drivers\MDELK.EXE --> Eliminado Bagle.dldr

      Nº Total de Directorios: 11076
      Nº Total de Ficheros: 103181
      Nº de Ficheros Analizados: 8359
      Nº de Ficheros Infectados: 2
      Nº de Ficheros Limpiados: 2

      Sun May 25 10:28:28 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Acción Directa):

      Sun May 25 10:28:35 2008
      EliBagle v11.41 (c)2008 S.G.H. / Satinfo S.L. (Modificado el 22 de Mayo del 2008)
      ----------------------------------------------
      Lista de Acciones (por Exploración):
      Explorando Unidad C:\

      Nº Total de Directorios: 11076
      Nº Total de Ficheros: 103179
      Nº de Ficheros Analizados: 8357
      Nº de Ficheros Infectados: 0
      Nº de Ficheros Limpiados: 0
      0
  2. Lyonnais92 Messages postés 25708 Statut Contributeur sécurité 1 537
     
    Re,

    il semble que elibagla ait bien travaillé.

    Pour la compréhension de ce qui s'est passé, tu as fait 1 fois en mode normal et après tu as eu accès au mode sans échec ?

    Si ton fixe est sur Xp, fais ça :

    Clique sur ce lien
    http://www.trendsecure.com/portal/en-US/threat_analytics/HJTInstall.exe
    pour télécharger le fichier d'installation d'HijackThis.

    Enregistre HJTInstall.exe sur ton bureau.

    Double-clique sur HJTInstall.exe pour lancer le programme

    Par défaut, il s'installera là :
    C:\Program Files\Trend Micro\HijackThis

    Accepte la license en cliquant sur le bouton "I Accept"

    Ferme Hijackthis en cliquant sur la croix-rouge.

    Télécharge DSS (Deckard's System Scanner de Deckard) sur ton Bureau à partir de ce lien :

    http://www.techsupportforum.com/sectools/Deckard/dss.exe

    Choisis "Enregistrer" et "Bureau" comme emplacement.

    Ferme toutes les applications en cours (très important, sinon l'ordi peut planter).

    Double-clique sur DSS.exe pour lancer l'outil.

    S'il ne trouve pas HijackThis, clique sur Oui.

    Clique sur OK à chaque fois que cela sera demandé.

    L'analyse finie, un fichier texte s'affichera. Poste son contenu dans ta réponse.

    Le rapport se trouve ici : C:\Deckard\System Scanner\main.txt.

    Si il est sous Vista, il faudra que je tedonne d'autres consignes;

    En fait, tu télécharges sur ta clé et tu copies sur le fixe.
    0
    1. moulagaufr Messages postés 11 Statut Membre
       
      Ce que j'ai fais :

      formatage clé usb
      installation sur cette clé de eliblaga
      transfert et ouverture sur mon pc infecté : le prg se lance mais de referme au bout de quelques secondes.
      je ferme et reouvre window : elibagla démarre tout seul et élimine le virus

      j'ai pu réouvrir en mode sans echec j'ai relance eliblaga qui a retrouve deux virus
      j'ai reouvers une seconde fois en sans echec et relance eliblaga qui n'a rien trouvé cette fois ci.
      du coup j'ai lancé vcleaner qu'on m'avait conseillé sur la premiere réponse.

      maitenant je peux allumer en mode normal et lancer hijack, ccleaner etc...
      et ma clé usb ne présente plus de virus lorsque je la mets sur mon portable.




      Voice le resultat de l'analyse :
      (Par ailleurs ce pc me sert pour faire de la musique et n'est jamais connecté à internet, si tu vois des choses à supprimer...)




      Deckard's System Scanner v20071014.68
      Run by Florent on 2008-05-25 12:33:27
      Computer is in Normal Mode.
      --------------------------------------------------------------------------------

      -- System Restore --------------------------------------------------------------

      Failed to create restore point; System Restore is disabled (service is not running).


      Backed up registry hives.
      Performed disk cleanup.



      -- HijackThis (run as Florent.exe) ---------------------------------------------

      Logfile of Trend Micro HijackThis v2.0.2
      Scan saved at 12:34:10, on 25/05/2008
      Platform: Windows XP SP2 (WinNT 5.01.2600)
      MSIE: Unable to get Internet Explorer version!
      Boot mode: Normal

      Running processes:
      C:\WINDOWS\System32\smss.exe
      C:\WINDOWS\system32\winlogon.exe
      C:\WINDOWS\system32\services.exe
      C:\WINDOWS\system32\lsass.exe
      C:\WINDOWS\system32\svchost.exe
      C:\WINDOWS\System32\svchost.exe
      C:\WINDOWS\system32\spoolsv.exe
      C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe
      C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
      C:\WINDOWS\System32\UAService7.exe
      C:\WINDOWS\Explorer.EXE
      C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
      C:\WINDOWS\RTHDCPL.EXE
      C:\Program Files\Multimedia Combo Set\MouseDrv.exe
      C:\Program Files\Multimedia Combo Set\PS2USBKbdDrv.exe
      C:\Program Files\Intel\Intel Matrix Storage Manager\Iaanotif.exe
      C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE
      C:\Program Files\Logitech\SetPoint\SetPoint.exe
      C:\Program Files\MOTU\FireWire Audio\MFWAKeys.exe
      C:\Program Files\Fichiers communs\Logitech\KHAL\KHALMNPR.EXE
      C:\WINDOWS\system32\wuauclt.exe
      C:\Documents and Settings\Florent\Bureau\dss.exe
      C:\DOCUME~1\Florent\Bureau\Florent.exe

      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
      R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
      O1 - Hosts: 65.19.154.99 www.halifax-online.co.uk
      O1 - Hosts: 65.19.154.99 ibank.barclays.co.uk
      O1 - Hosts: 65.19.154.99 online.lloydstsb.co.uk
      O1 - Hosts: 65.19.154.99 onli
      O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
      O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll
      O4 - HKLM\..\Run: [ATIPTA] "C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe"
      O4 - HKLM\..\Run: [H2O] C:\Program Files\SyncroSoft\Pos\H2O\cledx.exe
      O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
      O4 - HKLM\..\Run: [WireLessMouse ] C:\Program Files\Multimedia Combo Set\MouseDrv.exe
      O4 - HKLM\..\Run: [WireLessKeyboard ] C:\Program Files\Multimedia Combo Set\PS2USBKbdDrv.exe
      O4 - HKLM\..\Run: [IAAnotif] "C:\Program Files\Intel\Intel Matrix Storage Manager\Iaanotif.exe"
      O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
      O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
      O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"
      O4 - HKCU\..\Run: [NBJ] "C:\Program Files\Ahead\Nero BackItUp\NBJ.exe"
      O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
      O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
      O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
      O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
      O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe
      O4 - Global Startup: MFWAKeys.lnk = C:\Program Files\MOTU\FireWire Audio\MFWAKeys.exe
      O4 - Global Startup: MOTU Pedal Handler.lnk = C:\Program Files\MOTU\Audio\MFWAKeys.exe
      O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
      O15 - Trusted Zone: *.line6.net
      O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
      O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
      O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
      O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe
      O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
      O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Sony DADC Austria AG. - C:\WINDOWS\System32\UAService7.exe
      0
  3. Lyonnais92 Messages postés 25708 Statut Contributeur sécurité 1 537
     
    Bonjour,

    normal de trouver Hurricane Electric sur ton ordi ?

    on va vérifier un fichier :

    Rends toi sur ce site :

    https://www.virustotal.com/gui/

    Clique sur parcourir et cherche ce fichier : C:\Program Files\MOTU\FireWire Audio\MFWAKeys.exe

    Clique sur Send File.

    Un rapport va s'élaborer ligne à ligne.

    Attends la fin. Il doit comprendre la taille du fichier envoyé.

    Sauvegarde le rapport avec le bloc-note.

    Copie le dans ta réponse.

    Si VirusTotal indique que le fichier a déjà été analysé, cliquer sur le bouton Reanalyse le fichier maintenant
    0
    1. moulagaufr Messages postés 11 Statut Membre
       
      MOTU corresponds au pilote de mon interface audio numérique, je ne pense pas que ça pose de problème.
      De toute façon le pc sur lequel il se trouve n'est pas relié au net.

      pour ce qui est de huricane electric, je viens d'aller voir ce que c'est effectivement je ne vois pas ce que ca fait sur mon pc...
      0
  4. Lyonnais92 Messages postés 25708 Statut Contributeur sécurité 1 537
     
    Re,

    pour Hurricane ..., c'est simple :

    Télécharge cet outil de SiRi:

    http://siri.urz.free.fr/RHosts.php

    Double cliquer dessus pour l'exécuter

    et cliquer sur " Restore original Hosts "

    Pour le fichier, je sais bien, j'ai vu, mais il n'y a pas d'information fiable sur sa non nocivité.

    Merci de faire l'analyse comme demandée.

    Au passage, je ne trouve pas de version de Internet Explorer.

    Comment fais tu les maj de Windows ?
    0
    1. moulagaufr Messages postés 11 Statut Membre
       
      Ok, j'ai donc vérifier ce fichier MOTU voici le rapport virus total :

      Antivirus Version Last Update Result
      AhnLab-V3 2008.5.22.1 2008.05.23 -
      AntiVir 7.8.0.19 2008.05.25 -
      Authentium 5.1.0.4 2008.05.23 -
      Avast 4.8.1195.0 2008.05.25 -
      AVG 7.5.0.516 2008.05.24 -
      BitDefender 7.2 2008.05.25 -
      CAT-QuickHeal 9.50 2008.05.24 -
      ClamAV 0.92.1 2008.05.25 -
      DrWeb 4.44.0.09170 2008.05.25 -
      eSafe 7.0.15.0 2008.05.22 -
      eTrust-Vet 31.4.5817 2008.05.23 -
      Ewido 4.0 2008.05.25 -
      F-Prot 4.4.4.56 2008.05.23 -
      F-Secure 6.70.13260.0 2008.05.25 -
      Fortinet 3.14.0.0 2008.05.25 -
      GData 2.0.7306.1023 2008.05.23 -
      Ikarus T3.1.1.26.0 2008.05.25 -
      Kaspersky 7.0.0.125 2008.05.25 -
      McAfee 5302 2008.05.23 -
      Microsoft 1.3520 2008.05.25 -
      NOD32v2 3128 2008.05.23 -
      Norman 5.80.02 2008.05.23 -
      Panda 9.0.0.4 2008.05.25 Suspicious file
      Prevx1 V2 2008.05.25 -
      Rising 20.45.42.00 2008.05.23 -
      Sophos 4.29.0 2008.05.25 -
      Sunbelt 3.0.1123.1 2008.05.17 -
      Symantec 10 2008.05.25 -
      TheHacker 6.2.92.318 2008.05.23 -
      VBA32 3.12.6.6 2008.05.25 -
      VirusBuster 4.3.26:9 2008.05.25 -
      Webwasher-Gateway 6.6.2 2008.05.25 -
      Additional information
      File size: 126976 bytes
      MD5...: 52df4c011553288aca117cf854ed96d6
      SHA1..: a42fc58d34c1a2dd8de89ff331f898015bcbd5cf
      SHA256: 04d1382d4ec8fd443542d6502821f2e90dcd09dc612ad8155b82a6ce6dc3cd09
      SHA512: 0d6491ffbfdbfe4f9e56076df7b1798d503e61117ae3ca4f78a6024de42fa950
      01c409436062d7b4ff1d84468d9960699e19e755d741597a720f1605175776f7
      PEiD..: -
      PEInfo: PE Structure information

      ( base data )
      entrypointaddress.: 0x40424b
      timedatestamp.....: 0x41efb719 (Thu Jan 20 13:50:17 2005)
      machinetype.......: 0x14c (I386)

      ( 3 sections )
      name viradd virsiz rawdsiz ntrpy md5
      .text 0x1000 0x153d4 0x16000 6.47 8fe3c0dd34d3285b00703091f181e57c
      .rdata 0x17000 0x5b6c 0x6000 4.85 884c12fdcce7495b909b0c20eca5abd7
      .data 0x1d000 0x5054 0x2000 3.38 805b616d7a415cef6dc3c8c5e1c0bb1a

      ( 9 imports )
      > KERNEL32.dll: InterlockedDecrement, InterlockedIncrement, LocalAlloc, LeaveCriticalSection, GlobalReAlloc, GlobalHandle, EnterCriticalSection, TlsGetValue, TlsAlloc, TlsSetValue, LocalReAlloc, TlsFree, GlobalFlags, GetCPInfo, GetOEMCP, WritePrivateProfileStringA, ReadFile, WriteFile, SetFilePointer, FlushFileBuffers, GetCurrentProcess, DeleteCriticalSection, SetErrorMode, HeapFree, HeapAlloc, VirtualProtect, VirtualAlloc, GetSystemInfo, VirtualQuery, RtlUnwind, GetStartupInfoA, GetCommandLineA, ExitProcess, TerminateProcess, HeapReAlloc, HeapSize, HeapDestroy, HeapCreate, VirtualFree, IsBadWritePtr, SetUnhandledExceptionFilter, GetStdHandle, UnhandledExceptionFilter, FreeEnvironmentStringsA, GetEnvironmentStrings, FreeEnvironmentStringsW, GetEnvironmentStringsW, SetHandleCount, GetFileType, QueryPerformanceCounter, GetTickCount, GetCurrentProcessId, GetSystemTimeAsFileTime, LCMapStringA, LCMapStringW, GetStringTypeA, GetStringTypeW, IsBadReadPtr, IsBadCodePtr, SetStdHandle, InitializeCriticalSection, RaiseException, GetCurrentThread, lstrcmpA, GetModuleFileNameA, ConvertDefaultLocale, EnumResourceLanguagesA, lstrcpyA, GetCurrentThreadId, GlobalGetAtomNameA, GlobalAddAtomA, GlobalFindAtomA, GlobalDeleteAtom, LoadLibraryA, FreeLibrary, lstrcatA, lstrcmpW, GetModuleHandleA, GetProcAddress, SetLastError, GlobalFree, FindResourceA, LoadResource, LockResource, SizeofResource, GlobalAlloc, GlobalLock, GlobalUnlock, FormatMessageA, lstrcpynA, LocalFree, CreateMutexA, CreateFileA, DeviceIoControl, WaitForSingleObject, CreateEventA, CreateThread, CloseHandle, lstrlenA, lstrcmpiA, GetVersion, GetLastError, WideCharToMultiByte, MultiByteToWideChar, GetVersionExA, GetThreadLocale, GetLocaleInfoA, GetACP, InterlockedExchange, PulseEvent, SetThreadPriority, WaitForSingleObjectEx, ResetEvent
      > USER32.dll: TabbedTextOutA, DrawTextA, DrawTextExA, GrayStringA, GetSysColorBrush, ShowWindow, SetWindowTextA, SetMenuItemBitmaps, ModifyMenuA, EnableMenuItem, CheckMenuItem, GetMenuCheckMarkDimensions, LoadBitmapA, GetMessageA, TranslateMessage, GetActiveWindow, GetCursorPos, ValidateRect, IsWindowEnabled, SetCursor, RegisterWindowMessageA, WinHelpA, GetCapture, CreateWindowExA, SetWindowsHookExA, CallNextHookEx, GetClassLongA, GetClassInfoExA, GetClassNameA, SetPropA, GetPropA, RemovePropA, GetFocus, GetWindowTextA, GetForegroundWindow, DispatchMessageA, GetDlgItem, GetTopWindow, DestroyWindow, UnhookWindowsHookEx, GetMessageTime, GetMessagePos, LoadIconA, MapWindowPoints, GetKeyState, SetForegroundWindow, IsWindowVisible, GetClientRect, GetMenu, PostMessageA, GetSysColor, AdjustWindowRectEx, GetParent, MessageBoxA, wsprintfA, SendInput, keybd_event, GetClassInfoA, RegisterClassA, UnregisterClassA, GetDlgCtrlID, SendMessageA, DefWindowProcA, CallWindowProcA, GetWindowLongA, SetWindowLongA, SetWindowPos, DestroyMenu, SetTimer, KillTimer, EnableWindow, RegisterDeviceNotificationA, PostQuitMessage, ClientToScreen, LoadCursorA, GetDC, GetLastActivePopup, ReleaseDC, GetSubMenu, GetMenuItemCount, GetMenuItemID, SystemParametersInfoA, IsIconic, GetWindowPlacement, GetWindowRect, GetSystemMetrics, CopyRect, PtInRect, GetWindow, GetMenuState, PeekMessageA
      > COMCTL32.dll: -
      > SHLWAPI.dll: PathFindExtensionA, PathFindFileNameA
      > OLEACC.dll: CreateStdAccessibleObject, LresultFromObject
      > GDI32.dll: TextOutA, DeleteDC, GetStockObject, GetClipBox, SetTextColor, SetBkColor, DeleteObject, ExtTextOutA, SaveDC, RestoreDC, SetMapMode, ScaleWindowExtEx, SetWindowExtEx, ScaleViewportExtEx, SetViewportExtEx, OffsetViewportOrgEx, SetViewportOrgEx, SelectObject, CreateBitmap, GetDeviceCaps, RectVisible, PtVisible, Escape
      > WINSPOOL.DRV: DocumentPropertiesA, OpenPrinterA, ClosePrinter
      > ADVAPI32.dll: RegSetValueExA, RegCreateKeyExA, RegQueryValueA, RegEnumKeyA, RegDeleteKeyA, RegOpenKeyExA, RegQueryValueExA, RegOpenKeyA, RegCloseKey
      > OLEAUT32.dll: -, -, -

      ( 0 exports )
      0
      1. moulagaufr Messages postés 11 Statut Membre > moulagaufr Messages postés 11 Statut Membre
         
        Pour ta question sur les maj window, je ne les fais pas, comme je disais ce pc n'est pas sensé aller sur le net et je veux le moins possible toucher à la config pour eviter les gros problèmes : jusqu'à ces derniers jours ca se passait bien...
        0

  5. Vous n’avez pas trouvé la réponse que vous recherchez ?

    Posez votre question
  6. Lyonnais92 Messages postés 25708 Statut Contributeur sécurité 1 537
     
    Re,

    je comprends, mais il est clair que ton ordi est vulnérable aux malwares que peux avoir ta clé USB (tu t'en es rendu compte).

    Tu as pu réparer le Hsosts avec l'outil de s!ri ?

    remets un rapport Hijackthis.
    0
    1. moulagaufr Messages postés 11 Statut Membre
       
      Pour ce qui est du retablissement des hosts je crois que ca a marché.

      Voici le rapport :

      Logfile of Trend Micro HijackThis v2.0.2
      Scan saved at 15:31:36, on 25/05/2008
      Platform: Windows XP SP2 (WinNT 5.01.2600)
      MSIE: Unable to get Internet Explorer version!
      Boot mode: Normal

      Running processes:
      C:\WINDOWS\System32\smss.exe
      C:\WINDOWS\system32\winlogon.exe
      C:\WINDOWS\system32\services.exe
      C:\WINDOWS\system32\lsass.exe
      C:\WINDOWS\system32\svchost.exe
      C:\WINDOWS\System32\svchost.exe
      C:\WINDOWS\system32\spoolsv.exe
      C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe
      C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
      C:\WINDOWS\System32\UAService7.exe
      C:\WINDOWS\Explorer.EXE
      C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
      C:\WINDOWS\RTHDCPL.EXE
      C:\Program Files\Multimedia Combo Set\MouseDrv.exe
      C:\Program Files\Multimedia Combo Set\PS2USBKbdDrv.exe
      C:\Program Files\Intel\Intel Matrix Storage Manager\Iaanotif.exe
      C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE
      C:\Program Files\Logitech\SetPoint\SetPoint.exe
      C:\Program Files\MOTU\FireWire Audio\MFWAKeys.exe
      C:\Documents and Settings\Florent\Bureau\Hijackthis.exe
      C:\Program Files\Fichiers communs\Logitech\KHAL\KHALMNPR.EXE
      C:\WINDOWS\system32\wuauclt.exe

      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
      R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
      O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
      O4 - HKLM\..\Run: [ATIPTA] "C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe"
      O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
      O4 - HKLM\..\Run: [WireLessMouse ] C:\Program Files\Multimedia Combo Set\MouseDrv.exe
      O4 - HKLM\..\Run: [WireLessKeyboard ] C:\Program Files\Multimedia Combo Set\PS2USBKbdDrv.exe
      O4 - HKLM\..\Run: [IAAnotif] "C:\Program Files\Intel\Intel Matrix Storage Manager\Iaanotif.exe"
      O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
      O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
      O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"
      O4 - HKCU\..\Run: [NBJ] "C:\Program Files\Ahead\Nero BackItUp\NBJ.exe"
      O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
      O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
      O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
      O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
      O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe
      O4 - Global Startup: MFWAKeys.lnk = C:\Program Files\MOTU\FireWire Audio\MFWAKeys.exe
      O4 - Global Startup: MOTU Pedal Handler.lnk = C:\Program Files\MOTU\Audio\MFWAKeys.exe
      O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
      O15 - Trusted Zone: *.line6.net
      O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
      O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
      O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
      O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe
      O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
      O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Sony DADC Austria AG. - C:\WINDOWS\System32\UAService7.exe
      0
  7. Lyonnais92 Messages postés 25708 Statut Contributeur sécurité 1 537
     
    Re,

    OK, tout est parti.

    Supprime les outils de désinfection.

    Je mets le problème en résolu.

    Bon surf.
    0
    1. moulagaufr Messages postés 11 Statut Membre
       
      Super !

      Merci pour tout.
      0
  8. Lyonnais92 Messages postés 25708 Statut Contributeur sécurité 1 537
     
    Re,

    de rien pour l'aide;

    Tu réouvres le post en cas de problèmes.

    Bonne musique.
    0

Discussions similaires

Signification des abréviations RE: et TR:
La Salamandre -
Iolose -

19 réponses
Sa veux dire koi??Subject: FW: Tr :FW: TR: TR
france22 -
ghano0666545160 -

12 réponses
Signification "TR"
andromeid -
matrix4422 -

3 réponses
casque sans fil Sennheiser TR 4200 ne fonctionne plus
jcb83400 -
DIY -

3 réponses
Chrome://newtab
Nova -
snoopy35_ -

14 réponses