CPU 100% et Wintems persistant Résolu

Question

Bonjour,

Mon ordinateur est infecté depuis quelques jours par le virus wintems.exe et parfois flec006.exe. Je n'arrive plus à jouer sur FR3, le jeu est devenu trop lent. Mon CPU est tj la barre en haut. J'ai essayé la défragmentation et des antispywares,   mais le problème persiste encore.

Merci d'avoir m'offrir de l'aide.

FillPCA · Answer

Salut,

Commence par supprimer le crack que tu as téléchargé et à l'origine de ton infection.

    *  Télécharge gmer sur le bureau et dézippe-le (clic droit et extraire ici) : http://www2.gmer.net/gmer.zip
    * Double-clique sur gmer.exe sur le bureau. Si ton antivirus réagit, ne t'inquiète et ignore l'alerte.
    * Clique sur l'onglet "rootkit", puis clique sur scan.
    * A la fin du scan, clique sur le bouton copy.
    * Dans démarrer>programmes>accessoires : ouvre le bloc-note et clique sur CTRL+V afin de copier le rapport dans ce même bloc-note.
    * Edite ce rapport dans ta prochaine réponse.

FillPCA

FillPCA · Answer

Re,

1/ 
    * Télécharge Elibagla en bas de cette page sur ton Bureau. Pour cela, clique sur "Descargar Elibagla" : http://www.zonavirus.com/datos/descargas/95/elibagla.asp
    * Lance-le de préférence en mode sans échec, ou en mode normal si le mode sans échec ne fonctionne pas.
    * Bagle peut bloquer le mode sans échec, donc il ne faut absolument pas forcer le mode sans échec en passant par MSconfig. Cela peut provoquer un redémarrage en boucles du PC.
    * Patiente pendant la durée du Scan.
    * Redémarre-le et relance l'exécution si elle ne se lance pas automatiquement.
    * Copie-colle le contenu du rapport qui doit se trouver ici : C:\Infosat.txt

2/ # Télécharge combofix.exe (par sUBs) sur ton Bureau. Renomme-le en renomme.exe avant de l'enregistrer. : http://download.bleepingcomputer.com/sUBs/ComboFix.exe
# Double clique renomme.exe et suis les invites.
# Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.
# Si tu ne le trouves pas, il est là : C:\ComboFix.txt
# Ce guide permet de suivre les étapes de Combofix : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Je reviens en fin de soirée.

FillPCA

alienismail · Answer

J'ai réussi enfin à lancer gmer.exe voilà le rapport:

___________________________________________________________
GMER 1.0.14.14205 - http://www.gmer.net
Rootkit scan 2008-05-27 22:38:29
Windows 5.1.2600 Service Pack 2


---- System - GMER 1.0.14 ----

SSDT    spbe.sys                                                                                ZwCreateKey [0xF9D8F0E0]
SSDT    spbe.sys                                                                                ZwEnumerateKey [0xF9DACCA2]
SSDT    spbe.sys                                                                                ZwEnumerateValueKey [0xF9DAD030]
SSDT    spbe.sys                                                                                ZwOpenKey [0xF9D8F0C0]
SSDT    spbe.sys                                                                                ZwQueryKey [0xF9DAD108]
SSDT    spbe.sys                                                                                ZwQueryValueKey [0xF9DACF88]
SSDT    spbe.sys                                                                                ZwSetValueKey [0xF9DAD19A]

---- Kernel code sections - GMER 1.0.14 ----

.text   ntoskrnl.exe!_abnormal_termination + F3                                                 804E2DC4 1 Byte  [ E0 ]
.text   ntoskrnl.exe!_abnormal_termination + F5                                                 804E2DC6 2 Bytes  [ D8, F9 ]
?       spbe.sys                                                                                Le fichier spécifié est introuvable. !
?       Combo-Fix.sys                                                                           Le fichier spécifié est introuvable. !
?       D:\renomme\catchme.sys                                                                  Le fichier spécifié est introuvable. !
?       D:\WINDOWS\system32\Drivers\PROCEXP90.SYS                                               Le fichier spécifié est introuvable. !

---- Kernel IAT/EAT - GMER 1.0.14 ----

IAT     \WINDOWS\System32\Drivers\SCSIPORT.SYS[ntoskrnl.exe!DbgBreakPoint]                      81AE42D8
IAT     pci.sys[ntoskrnl.exe!IoDetachDevice]                                                    [F9DBF93C] spbe.sys
IAT     pci.sys[ntoskrnl.exe!IoAttachDeviceToDeviceStack]                                       [F9DBF990] spbe.sys
IAT     atapi.sys[HAL.dll!READ_PORT_UCHAR]                                                      [F9D90040] spbe.sys
IAT     atapi.sys[HAL.dll!READ_PORT_BUFFER_USHORT]                                              [F9D9013C] spbe.sys
IAT     atapi.sys[HAL.dll!READ_PORT_USHORT]                                                     [F9D900BE] spbe.sys
IAT     atapi.sys[HAL.dll!WRITE_PORT_BUFFER_USHORT]                                             [F9D907FC] spbe.sys
IAT     atapi.sys[HAL.dll!WRITE_PORT_UCHAR]                                                     [F9D906D2] spbe.sys
IAT     \SystemRoot\system32\DRIVERS\i8042prt.sys[HAL.dll!READ_PORT_UCHAR]                      [F9D9FD92] spbe.sys
IAT     \SystemRoot\system32\DRIVERS\USBPORT.SYS[ntoskrnl.exe!DbgBreakPoint]                    FFBC12D8

---- Devices - GMER 1.0.14 ----

Device  \FileSystem\Ntfs \Ntfs                                                                  81ADD1F8
Device  \Driver\usbehci \Device\USBPDO-0                                                        FFBBF1F8
Device  \Driver\dmio \Device\DmControl\DmIoDaemon                                               81AE01F8
Device  \Driver\dmio \Device\DmControl\DmConfig                                                 81AE01F8
Device  \Driver\dmio \Device\DmControl\DmPnP                                                    81AE01F8
Device  \Driver\dmio \Device\DmControl\DmInfo                                                   81AE01F8
Device  \Driver\usbohci \Device\USBPDO-1                                                        FFBC01F8
Device  \Driver\usbohci \Device\USBPDO-2                                                        FFBC01F8
Device  \Driver\Ftdisk \Device\HarddiskVolume1                                                  81AE11F8
Device  \Driver\Ftdisk \Device\HarddiskVolume2                                                  81AE11F8
Device  \Driver\atapi \Device\Ide\IdeDeviceP1T1L0-17                                            81ADF1F8
Device  \Driver\atapi \Device\Ide\IdeDeviceP0T0L0-3                                             81ADF1F8
Device  \Driver\atapi \Device\Ide\IdePort0                                                      81ADF1F8
Device  \Driver\atapi \Device\Ide\IdePort1                                                      81ADF1F8
Device  \Driver\atapi \Device\Ide\IdeDeviceP1T0L0-f                                             81ADF1F8
Device  \Driver\NetBT \Device\NetBt_Wins_Export                                                 FFAD11F8
Device  \Driver\NetBT \Device\NetBT_Tcpip_{E33B4B82-8F7B-4DA0-BDFC-87433651D323}                FFAD11F8
Device  \Driver\NetBT \Device\NetbiosSmb                                                        FFAD11F8
Device  \Driver\usbohci \Device\USBFDO-0                                                        FFBC01F8
Device  \Driver\usbohci \Device\USBFDO-1                                                        FFBC01F8
Device  \FileSystem\MRxSmb \Device\LanmanDatagramReceiver                                       FFAB31F8
Device  \Driver\usbehci \Device\USBFDO-2                                                        FFBBF1F8
Device  \FileSystem\MRxSmb \Device\LanmanRedirector                                             FFAB31F8
Device  \Driver\Ftdisk \Device\FtControl                                                        81AE11F8
Device  \FileSystem\Cdfs \Cdfs                                                                  8195F1F8

---- Registry - GMER 1.0.14 ----

Reg     HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4            
Reg     HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0         0
Reg     HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh      0x45 0x99 0x20 0x95 ...
Reg     HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s1                                      771343423
Reg     HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s2                                      285507792
Reg     HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@h0                                      1
Reg     HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4        
Reg     HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0     0
Reg     HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh  0x45 0x99 0x20 0x95 ...
Reg     HKLM\SYSTEM\ControlSet004\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4            
Reg     HKLM\SYSTEM\ControlSet004\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0         0
Reg     HKLM\SYSTEM\ControlSet004\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh      0x45 0x99 0x20 0x95 ...

---- EOF - GMER 1.0.14 ----
____________________________________________________________________

Bonne lecture.

FillPCA · Answer

Salut,

Cette infection semble avoir été éliminée.

1/ Utilise malwarebyte's en utilisant ce tuto : https://forum.pcastuces.com/malwarebytes_antimalwares___tutoriel-f31s3.htm
Enregistre le rapport après suppression.

2/ Edite un rapport Hijackthis : https://forum.pcastuces.com/tutoriel_hijackthis_v_2002___tutoriel-f31s8.htm
Edite aussi le rapport malwarebyte's.

FillPCA

alienismail · Answer

salut,

j'ai posté 3 fois mais je ne vois pas mes messages

alienismail · Answer

Est ce que seulement les petits messages sont permises?

alienismail · Answer

J'ai 3 rapports à poster...J'attends

FillPCA · Answer

Salut,

Poste les rapports séparément s'ils sont trop longs. Ca peut bloquer en effet.

FillPCA

alienismail · Answer

ça fait plusieurs fois que j'essaye à répondre mais je ne vois rien. les rapports ne sont pas longs.

alienismail · Answer

je vais essayé à réduire les rapports et de poster seulement les parties les plus importants à mon avis.

1) le rapport de Malwarebytes:
Processus/Module mémoire/Registre/Dossier infecté: 0
Fichier(s) infecté(s):
C:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP45\A0049080.exe (Worm.Socks) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\WLCtrl32.dll (Trojan.Agent) -> Quarantined and deleted successfully.

alienismail · Answer

2)J'ai relancé Elibagla avec élimination automatique, voilà le rapport réduit:

D:\QooBox\Quarantine\D\WINDOWS\system32\MDELK.EXE.VIR --> Eliminado Bagle
D:\QooBox\Quarantine\D\WINDOWS\system32\drivers\MDELK.EXE.VIR --> Eliminado Bagle.dldr
D:\QooBox\Quarantine\D\WINDOWS\system32\drivers\downld\110248.EXE.VIR --> Eliminado Bagle
D:\QooBox\Quarantine\D\WINDOWS\system32\drivers\downld\15492226.EXE.INFECT.VIR --> Eliminado Bagle
/!et autres lignes semblables/
Nº de Ficheros Infectados: 29
Nº de Ficheros Limpiados:  29

alienismail · Answer

3) Hijackthis 1ère partie:

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\system32\ctfmon.exe
D:\Program Files\Menara\dslmon.exe
D:\Program Files\Mozilla Firefox\firefox.exe
D:\Program Files\Trend Micro\HijackThis\HijackThis.exe

alienismail · Answer

...Suite Hijackthis:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - D:\Program Files\rpbrowserrecordplugin.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - (no file)
O2 - BHO: (no name) - {724d43a9-0d85-11d4-9908-00400523e39a} - D:\Program Files\Siber Systems\AI RoboForm\roboform.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - D:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll

alienismail · Answer

...Suite Hijackthis:

O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - D:\Program Files\Siber Systems\AI RoboForm\roboform.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O4 - HKCU\..\Run: [ctfmon.exe] D:\WINDOWS\system32\ctfmon.exe
O4 - Startup: dslmon.lnk = D:\Program Files\Menara\dslmon.exe
O8 - Extra context menu item: Ajouter au fichier PDF existant - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Barre RoboForm - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O8 - Extra context menu item: Convertir en Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convertir la cible du lien en Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convertir la cible du lien en un fichier PDF existant - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convertir la sélection en Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convertir la sélection en un fichier PDF existant - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convertir les liens sélectionnés en fichier Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convertir les liens sélectionnés en un fichier PDF existant - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://D:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Enregistrer le formulaire - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O8 - Extra context menu item: Personnaliser le menu - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html
O8 - Extra context menu item: Remplir le formulaire - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html

alienismail · Answer

Suite Hijackthis:

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Remplir - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra 'Tools' menuitem: Remplir le formulaire - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: Enregistrer - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra 'Tools' menuitem: Enregistrer le formulaire - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra button: Barre RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra 'Tools' menuitem: Barre RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://D:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.files-ftp.com/~unicorni/phpBB2/index.php
O17 - HKLM\System\CCS\Services\Tcpip\..\{E33B4B82-8F7B-4DA0-BDFC-87433651D323}: NameServer = 212.217.0.14 196.217.246.210
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - (no file)
O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - D:\Program Files\Ares\chatServer.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - D:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: ServiceLayer - Nokia. - D:\Program Files\PC Connectivity Solution\ServiceLayer.exe

alienismail · Answer

Voici. C'est tout.

Le UC s'est maintenant diminué et pas de wintems sur la liste des processus actifs.

Bonne lecture et merci pour tout.

FillPCA · Answer

Salut,

Tu dois pouvoir éditer les rapports à raison de 1 par post.
1/ Réalise une analyse avec malwarebyte's en utilisant ce tuto : https://forum.pcastuces.com/malwarebytes_antimalwares___tutoriel-f31s3.htm
Enregistre le rapport après suppression des éléments.

2/ Fais une analyse avec Kaspersky : https://forum.pcastuces.com/default.asp
Edite le rapport dans une autre réponse.

FillPCA

alienismail · Answer

Salut,

Voilà le rapport de Malwarebytes:

Malwarebytes' Anti-Malware 1.12
Version de la base de données: 793

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 149529
Temps écoulé: 2 hour(s), 6 minute(s), 8 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0056178.exe (Trojan.Downloader) -> Quarantined and deleted successfully.

alienismail · Answer

Salut,

J'ai lancé le scan enligne de Kaspersky ça fait plus de 4 heures. Malheureusemet, il s'est bloqué à la fin vers un fichier de system volume. Il a détecté 5 viruses et plus de 20 fichiers infectés. Avant j'ai lancé un scan complet avec mon antivirus Avira Antivir et il a détecté plus 200 infections déplacés ensuite en quarantaine. le rapport est très long.

Désolé de s'absenter tout ce temps.

FillPCA · Answer

Salut,

As-tu le rapport Antivir ? Sinon, il faut recommencer avec Kaspersky.

FillPCA

Alienismail · Answer

...Suite:

D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055836.exe
      [DETECTION] Is the Trojan horse TR/Bagle.Gen.B
      [NOTE]      The file was moved to '486ec3fc.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055888.exe
      [DETECTION] Contains detection pattern of the worm WORM/Bagle.Gen
      [NOTE]      The file was moved to '486ec3ff.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055889.exe
      [DETECTION] Contains detection pattern of the worm WORM/Bagle.Gen
      [NOTE]      The file was moved to '49e746e8.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055890.exe
      [DETECTION] Is the Trojan horse TR/Bagle.Gen.B
      [NOTE]      The file was moved to '486ec400.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055891.exe
      [DETECTION] Contains detection pattern of the worm WORM/Bagle.Gen
      [NOTE]      The file was moved to '49e746e9.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055892.exe
      [DETECTION] Is the Trojan horse TR/Bagle.Gen.B
      [NOTE]      The file was moved to '486ec401.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055895.exe
      [DETECTION] Contains detection pattern of the worm WORM/Bagle.Gen
      [NOTE]      The file was moved to '49e746ea.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055897.exe
      [DETECTION] Is the Trojan horse TR/Bagle.Gen.B
      [NOTE]      The file was moved to '486ec402.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055899.exe
      [DETECTION] Contains detection pattern of the worm WORM/Bagle.Gen
      [NOTE]      The file was moved to '49e746eb.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055900.exe
      [DETECTION] Is the Trojan horse TR/Bagle.Gen.B
      [NOTE]      The file was moved to '486ec403.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055901.exe
      [DETECTION] Is the Trojan horse TR/Bagle.Gen.B
      [NOTE]      The file was moved to '49e746ec.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055902.exe
      [DETECTION] Contains detection pattern of the worm WORM/Bagle.Gen
      [NOTE]      The file was moved to '486ec404.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055904.exe
      [DETECTION] Is the Trojan horse TR/Bagle.Gen.B
      [NOTE]      The file was moved to '49e746ed.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055907.exe
      [DETECTION] Contains detection pattern of the worm WORM/Bagle.Gen
      [NOTE]      The file was moved to '486ec406.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055910.exe
      [DETECTION] Contains detection pattern of the worm WORM/Bagle.Gen
      [NOTE]      The file was moved to '486ec405.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055911.exe
      [DETECTION] Is the Trojan horse TR/Bagle.Gen.B
      [NOTE]      The file was moved to '49e746ef.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055916.exe
      [DETECTION] Is the Trojan horse TR/Bagle.Gen.B
      [NOTE]      The file was moved to '486ec418.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055919.exe
      [DETECTION] Is the Trojan horse TR/Bagle.Gen.B
      [NOTE]      The file was moved to '486ec407.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055923.exe
      [DETECTION] Is the Trojan horse TR/Bagle.Gen.B
      [NOTE]      The file was moved to '49e746e0.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055930.exe
      [DETECTION] Is the Trojan horse TR/Bagle.Gen.B
      [NOTE]      The file was moved to '486ec408.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055931.exe
      [DETECTION] Contains detection pattern of the worm WORM/Bagle.Gen
      [NOTE]      The file was moved to '486ec409.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055932.exe
      [DETECTION] Contains detection pattern of the worm WORM/Bagle.Gen
      [NOTE]      The file was moved to '49e746e2.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055936.exe
      [DETECTION] Contains detection pattern of the worm WORM/Bagle.Gen
      [NOTE]      The file was moved to '486ec40a.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055938.exe
      [DETECTION] Contains detection pattern of the worm WORM/Bagle.Gen
      [NOTE]      The file was moved to '49e746e3.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055939.exe
      [DETECTION] Is the Trojan horse TR/Bagle.Gen.B
      [NOTE]      The file was moved to '486ec40b.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055944.exe
      [DETECTION] Is the Trojan horse TR/Bagle.Gen.B
      [NOTE]      The file was moved to '49e746e4.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055949.exe
      [DETECTION] Is the Trojan horse TR/Bagle.Gen.B
      [NOTE]      The file was moved to '486ec40c.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055965.exe
      [DETECTION] Is the Trojan horse TR/Bagle.Gen.B
      [NOTE]      The file was moved to '486ec40d.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055982.exe
      [DETECTION] Is the Trojan horse TR/Bagle.Gen.B
      [NOTE]      The file was moved to '486ec40e.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055983.exe
      [DETECTION] Is the Trojan horse TR/Dldr.Bagle.PV
      [NOTE]      The file was moved to '486ec40f.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055985.dll
      [DETECTION] Is the Trojan horse TR/Crypt.XPACK.Gen
      [NOTE]      The file was moved to '49e746f8.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055986.dll
      [DETECTION] Is the Trojan horse TR/Crypt.XPACK.Gen
      [NOTE]      The file was moved to '486ec411.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0055992.exe
      [DETECTION] Is the Trojan horse TR/Crypt.XPACK.Gen
      [NOTE]      The file was moved to '486ec410.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0056074.exe
      [DETECTION] Is the Trojan horse TR/Dldr.Bagle.QI
      [NOTE]      The file was moved to '486ec426.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP52\A0056075.exe
      [DETECTION] Is the Trojan horse TR/Dldr.Bagle.QI
      [NOTE]      The file was moved to '486ec427.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP58\A0057195.com
      [DETECTION] Is the Trojan horse TR/Crypt.XPACK.Gen
      [NOTE]      The file was moved to '486ec493.qua'!
D:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP58\A0057196.cmd
      [DETECTION] Is the Trojan horse TR/Crypt.XPACK.Gen
      [NOTE]      The file was moved to '486ec494.qua'!
D:\WINDOWS\system32\drivers\sptd.sys
      [WARNING]   The file could not be opened!


End of the scan: jeudi 29 mai 2008  15:09
Used time:  2:31:03 min

The scan has been done completely.

   9404 Scanning directories
 375609 Files were scanned
    298 viruses and/or unwanted programs were found
      0 Files were classified as suspicious:
      0 files were deleted
      0 files were repaired
    297 files were moved to quarantine
      0 files were renamed
      2 Files cannot be scanned
 375311 Files not concerned
   4075 Archives were scanned
      3 Warnings
    297 Notes

Alienismail · Answer

Salut,

Je viens de terminer un nouveau scan, le voilà son rapport:

Avira AntiVir Personal
Report file date: samedi 31 mai 2008 14:19

Scanning for 1302528 virus strains and unwanted programs.

Licensed to: Avira AntiVir PersonalEdition Classic
Serial number: 0000149996-ADJIE-0001
Platform: Windows XP
Windows version: (Service Pack 2) [5.1.2600]
Boot mode: Normally booted
Username: SYSTEM
Computer name: UNICORNI-299F79

Version information:
BUILD.DAT : 8.1.00.295 16479 Bytes 09/04/2008 16:24:00
AVSCAN.EXE : 8.1.2.12 311553 Bytes 18/03/2008 11:02:56
AVSCAN.DLL : 8.1.1.0 53505 Bytes 07/02/2008 10:43:37
LUKE.DLL : 8.1.2.9 151809 Bytes 28/02/2008 10:41:23
LUKERES.DLL : 8.1.2.1 12033 Bytes 21/02/2008 10:28:40
ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18/07/2007 12:33:34
ANTIVIR1.VDF : 7.0.3.2 5447168 Bytes 07/03/2008 15:08:58
ANTIVIR2.VDF : 7.0.4.53 1848832 Bytes 17/05/2008 22:02:28
ANTIVIR3.VDF : 7.0.4.118 376832 Bytes 30/05/2008 22:02:42
Engineversion : 8.1.0.51
AEVDF.DLL : 8.1.0.5 102772 Bytes 25/02/2008 11:58:21
AESCRIPT.DLL : 8.1.0.37 270715 Bytes 30/05/2008 22:03:50
AESCN.DLL : 8.1.0.20 119157 Bytes 30/05/2008 22:03:46
AERDL.DLL : 8.1.0.20 418165 Bytes 30/05/2008 22:03:43
AEPACK.DLL : 8.1.1.5 364918 Bytes 30/05/2008 22:03:35
AEOFFICE.DLL : 8.1.0.18 192890 Bytes 30/05/2008 22:03:24
AEHEUR.DLL : 8.1.0.29 1253750 Bytes 30/05/2008 22:03:18
AEHELP.DLL : 8.1.0.15 115063 Bytes 30/05/2008 22:02:58
AEGEN.DLL : 8.1.0.25 307573 Bytes 30/05/2008 22:02:56
AEEMU.DLL : 8.1.0.6 430451 Bytes 30/05/2008 22:02:50
AECORE.DLL : 8.1.0.30 168311 Bytes 30/05/2008 22:02:45
AVWINLL.DLL : 1.0.0.7 14593 Bytes 23/01/2008 19:07:53
AVPREF.DLL : 8.0.0.1 25857 Bytes 18/02/2008 12:37:50
AVREP.DLL : 7.0.0.1 155688 Bytes 16/04/2007 15:26:47
AVREG.DLL : 8.0.0.0 30977 Bytes 23/01/2008 19:07:49
AVARKT.DLL : 1.0.0.23 307457 Bytes 12/02/2008 10:29:23
AVEVTLOG.DLL : 8.0.0.11 114945 Bytes 28/02/2008 10:31:31
SQLITE3.DLL : 3.3.17.1 339968 Bytes 22/01/2008 19:28:02
SMTPLIB.DLL : 1.2.0.19 28929 Bytes 23/01/2008 19:08:39
NETNT.DLL : 8.0.0.1 7937 Bytes 25/01/2008 14:05:10
RCIMAGE.DLL : 8.0.0.35 2371841 Bytes 10/03/2008 16:37:25
RCTEXT.DLL : 8.0.32.0 86273 Bytes 06/03/2008 14:02:11

Configuration settings for the scan:
Jobname..........................: Complete system scan
Configuration file...............: d:\program files\avira\antivir personaledition classic\sysscan.avp
Logging..........................: low
Primary action...................: interactive
Secondary action.................: ignore
Scan master boot sector..........: on
Scan boot sector.................: on
Boot sectors.....................: C:, D:,
Scan memory......................: on
Process scan.....................: on
Scan registry....................: on
Search for rootkits..............: off
Scan all files...................: Intelligent file selection
Scan archives....................: on
Recursion depth..................: 20
Smart extensions.................: on
Macro heuristic..................: on
File heuristic...................: medium

Start of the scan: samedi 31 mai 2008 14:19

The scan of running processes will be started
Scan process 'avscan.exe' - '1' Module(s) have been scanned
Scan process 'avcenter.exe' - '1' Module(s) have been scanned
Scan process 'alg.exe' - '1' Module(s) have been scanned
Scan process 'dslmon.exe' - '1' Module(s) have been scanned
Scan process 'sistray.exe' - '1' Module(s) have been scanned
Scan process 'ctfmon.exe' - '1' Module(s) have been scanned
Scan process 'avgnt.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'avguard.exe' - '1' Module(s) have been scanned
Scan process 'explorer.exe' - '1' Module(s) have been scanned
Scan process 'sched.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'lsass.exe' - '1' Module(s) have been scanned
Scan process 'services.exe' - '1' Module(s) have been scanned
Scan process 'winlogon.exe' - '1' Module(s) have been scanned
Scan process 'csrss.exe' - '1' Module(s) have been scanned
Scan process 'smss.exe' - '1' Module(s) have been scanned
21 processes with 21 modules were scanned

Starting master boot sector scan:
Master boot sector HD0
[INFO] No virus was found!

Start scanning boot sectors:
Boot sector 'C:\'
[INFO] No virus was found!
Boot sector 'D:\'
[INFO] No virus was found!

Starting to scan the registry.
The registry was scanned ( '16' files ).

Starting the file scan:

Begin scan in 'C:\' <System>
C:\System Volume Information\_restore{5F3C7E24-AD0D-44B2-9A6E-8D3F3C18DC10}\RP58\A0057194.sys
[DETECTION] Is the Trojan horse TR/Agent.11264.71
[NOTE] The file was deleted!
Begin scan in 'D:\' <Data center>
D:\pagefile.sys
[WARNING] The file could not be opened!
D:\WINDOWS\system32\drivers\sptd.sys
[WARNING] The file could not be opened!

End of the scan: samedi 31 mai 2008 16:34
Used time: 2:15:16 min

The scan has been done completely.

9347 Scanning directories
352448 Files were scanned
1 viruses and/or unwanted programs were found
0 Files were classified as suspicious:
1 files were deleted
0 files were repaired
0 files were moved to quarantine
0 files were renamed
2 Files cannot be scanned
352447 Files not concerned
3979 Archives were scanned
2 Warnings
1 Notes

FillPCA · Answer

Re,

OK.

    * Télécharge Toolscleaner de A.Rothstein sur ton Bureau : http://a-rothstein.changelog.fr/TC/ToolsCleaner2.exe
    * Double-clique sur ToolsCleaner2.exe>Recherche puis Suppression,
    * Ton Bureau va peut-être disparaître. Ceci est normal.
    * S'il ne réapparait pas, fais ceci :  CTRL+ALT+SUP pour faire apparaître le gestionnaire de tâches.
      Rends-toi à l'onglet Processus, clique en haut à gauche sur "Fichiers" et choisis "Exécuter". Tape "explorer" et valide. Cela te fera ré-apparaître ton Bureau.

/!\ Maintenant que ton PC n'est plus infecté, désactive la "Restauration du système" afin de créer un point de restauration sain.

Pour désactiver ou activer la Restauration du système, vous devez ouvrir une session Administrateur sous Windows XP.

Désactivation:
Clique droit sur le "Poste de travail" > Propriétés > onglet "Restauration du système" > coche la case "Désactiver la Restauration du système sur tous les lecteurs"
> Appliquer et Ok.

Activation:
Suivre le même chemin ; décoche la case "Désactiver la Restauration du système sur tous les lecteurs"
> Appliquer et Ok. Redémarre l'ordinateur.
Comment faire pour...: https://forum.pcastuces.com/desactiver_la_restauration_systeme-f31s7.htm

=========================================================================

Pour améliorer la sécurité de ton PC prend quelques instants pour lire:

Sécuriser son PC +WIFI (versions "hot" & "light") : https://forum.pcastuces.com/default.asp

Prévention et protection - Comment vous prémunir : https://forum.pcastuces.com/sujet.asp?f=25&s=36131
.Le P2P et ses conséquences - Journal d'une infection attendue
https://forum.zebulon.fr/topic/85544-pr%C3%A9vention-le-p2p-et-ses-cons%C3%A9quences/

Je te conseille en particulier de ne plus utiliser de cracks. Tu vois le résultat !

Comment se porte le pc sinon ?

FillPCA

CPU 100% et Wintems persistant

23 réponses

Votre réponse

Discussions similaires

Newsletters