[virus] system32\mdm.exeRésolu/Fermé

Question

Bonjour, 

tout est dans le titre !!! 

Pour résumé j'ai eu un gros soucis de virus, j'ai tenté de tout nettoyer et bien m'équiper avec des outils efficaces (antivir, kerio, ccleaner, malwaresbytes) mais j'ai des virus qui résistent !!!!!

J'ai toujours une fenêtre Kerio qui s'affiche en me disant qu'il a bloqué une tentative d'intrusion de type injection de code. Intrus : C:\WINDOWS\System32\mdm.exe

J'ai beau fermer la fenêtre elle revient toujours ! 

Ensuite antivir m'alerte aussi en me disant qu'il a trouvé le fichier du même nom. Et le virus correspondant est : TR/clicker.MOS.2


Je n'arrive pas à me débarasser de ce problème ! J'ai même tenté de virer ce fichier en passant par l'execution de commande, mais l'accès a été refusé. 


- Comment faire ??????????????????????

12.eleven · Answer

Bonjour,

Télécharge SDFix (créé par AndyManchesta)
http://downloads.andymanchesta.com/RemovalTools/SDFix.exe
Double-clique sur SDFix.exe
Choisis Install pour l'extraire dans un dossier dédié sur le Bureau.
Redémarre en mode sans échec (tapote F8 au démarrage)
Ouvre le dossier SDFix qui vient d'être créé à la racine de ton disque dur C:\
Double clique sur RunThis.bat pour lancer le script.
Appuie sur Y pour commencer le processus de nettoyage.
Appuie sur une touche pour redémarrer quand SDFix te demander d'appuyer sur une touche pour redémarrer.
Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.
Les icônes du Bureau affichées, le rapport SDFix s'ouvrira. Il porte le nom de Report.txt.
Copie/colle le contenu



Télécharge HijackThis
http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe
Installe le à la racine de ton disque dur
Lance HijackThis en double-cliquant sur l'icône HijackThis
Clique sur Do a system Scan only and Save a Logfile
Un rapport sera généré dans le bloc-note (le rapport est également situé ici : C:\hijackthis.log)
Copie/colle le rapport dans ton prochain message.

stephludo2 · Answer

merci bien de ta réponse. C'est en train de redémarrer (je poste avec un autre ordi en wifi) je t'envoie les rapports dès que possible !! à tout de suite.

stephludo2 · Answer

voila les rapports. 


[b]SDFix: Version 1.186 [/b]
Run by ludovico on 28/05/2008 at 22:42

Microsoft Windows XP [version 5.1.2600]
Running From: C:\DOCUME~1\ludovico\Bureau\SDFix

[b]Checking Services [/b]:

[b]Name [/b]: 
Messenger Sharing USN Journal Service
Microsoft XP TCP Ack Timing
MSDisk
MSWindows
rdriv

[b]Path [/b]:
"C:\WINDOWS\usnsv.exe" 
"C:\WINDOWS\System32\dllcache\winxptcp.exe" 
"C:\WINDOWS\System32\irdvxc.exe" /service
"C:\WINDOWS\System32\urdvxc.exe" /service
\??\C:\WINDOWS\system32driv.sys 

Messenger Sharing USN Journal Service - Deleted
Microsoft XP TCP Ack Timing - Deleted
MSDisk - Deleted
MSWindows - Deleted
rdriv - Deleted


C:\WINDOWS\system32\Microsoft\backup.ftp Found
C:\WINDOWS\system32\Microsoft\backup.tftp Found

[b]Checking files[/b]: 

[b]Genuine[/b]:
C:\WINDOWS\system32\Microsoft\backup.ftp
C:\WINDOWS\system32\Microsoft\backup.tftp

[b]Dummy[/b]:
C:\WINDOWS\system32\ftp.exe
C:\WINDOWS\system32	ftp.exe
C:\WINDOWS\system32\dllcache\ftp.exe
C:\WINDOWS\system32\dllcache	ftp.exe 

Files copied to SDFix\Backups 

Restoring files if backups are found
 
[b]Final Check[/b]:

[b]Genuine[/b]:
C:\WINDOWS\system32\Microsoft\backup.ftp
C:\WINDOWS\system32\Microsoft\backup.tftp
C:\WINDOWS\system32\ftp.exe
C:\WINDOWS\system32	ftp.exe
C:\WINDOWS\system32\dllcache\ftp.exe
C:\WINDOWS\system32\dllcache	ftp.exe 

 


Restoring Windows Registry Values
Restoring Windows Default Hosts File
Restoring Default HKCU HomePage 

Rebooting


[b]Checking Files [/b]: 

Trojan Files Found:

C:\WINDOWS\SYSTEM32\MDM.EXE - Deleted
C:\WINDOWS\system32\dllcache\wintcps.exe  - Deleted
C:\WINDOWS\system32\i  - Deleted
C:\WINDOWS\system32\Microsoft\backup.ftp  - Deleted
C:\WINDOWS\system32\Microsoft\backup.tftp  - Deleted





Removing Temp Files

[b]ADS Check [/b]:
 


                                 [b]Final Check [/b]:

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-05-28 22:46:16
Windows 5.1.2600 Service Pack 1 NTFS

scanning hidden processes ...

IPC error: 2 Le fichier spécifié est introuvable.
scanning hidden services & system hive ...

scanning hidden registry entries ...

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher]
"TracesProcessed"=dword:000000b5
"TracesSuccessful"=dword:00000002

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


[b]Remaining Services [/b]:




Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"C:\WINDOWS\System32\winini.exe"="C:\WINDOWS\System32\winini.exe:*:Enabled:winini"
"C:\WINDOWS\System32\update.exe"="C:\WINDOWS\System32\update.exe:*:Enabled:update"
"C:\WINDOWS\System32\winsys.exe"="C:\WINDOWS\System32\winsys.exe:*:Enabled:winsys"
"C:\WINDOWS\System32\themida.exe"="C:\WINDOWS\System32\themida.exe:*:Enabled:themida"
"C:\WINDOWS\System32\ixplorer.exe"="C:\WINDOWS\System32\ixplorer.exe:*:Enabled:ixplorer"
"C:\WINDOWS\System32\msmssnger.exe"="C:\WINDOWS\System32\msmssnger.exe:*:Enabled:msmssnger"

[b]Remaining Files [/b]:


File Backups: - C:\DOCUME~1\ludovico\Bureau\SDFix\backups\backups.zip

[b]Files with Hidden Attributes [/b]:


[b]Finished![/b]





Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:49:58, on 28/05/2008
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\ludovico\Bureau\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [Microsoft Winedows startup] WinKey.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\RunServices: [Microsoft Winedows startup] WinKey.exe
O4 - HKLM\..\RunServices: [Windows Microsoft Services] vuqhysti.exe
O4 - HKLM\..\RunServices: [ixplorer] C:\WINDOWS\System32\ixplorer.exe
O4 - HKLM\..\RunServices: [msmssnger] C:\WINDOWS\System32\msmssnger.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Microsoft Winedows startup] WinKey.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Windows Microsoft Services] vuqhysti.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [Microsoft Winedows startup] WinKey.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [Microsoft Winedows startup] WinKey.exe (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - https://sdlc-esd.oracle.com/ESD40/JSCDL/jre/6u5-b19/jinstall-6u5-windows-i586-jc.cab?GroupName=JSC&FilePath=/ESD40/JSCDL/jre/6u5-b19/jinstall-6u5-windows-i586-jc.cab&BHost=javadl.sun.com&File=jinstall-6u5-windows-i586-jc.cab&AuthParam=1580944752_ad714b48b0d186f5adbe4ba05260ecbd&ext=.cab
O20 - Winlogon Notify: urqRJCTm - urqRJCTm.dll (file missing)
O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Microsoft Winedows startup (flys.q8pilots.net) - Unknown owner - C:\WINDOWS\System32\WinKey.exe (file missing)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: nona - Unknown owner - C:\WINDOWS
ona.exe (file missing)
O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

12.eleven · Answer

Lance Antivir
Paramètre le
https://www.astucesinternet.com/modules/news/article.php?storyid=253
Mets le à jour
Redémarre en mode sans échec
Lance un scan complet
Copie/colle le rapport

Je vais me coucher donc à demain.

stephludo2 · Answer

salut, voila le rapport fait par antivir. Avira AntiVir Personal Report file date: mercredi 28 mai 2008 23:13 Scanning for 1295771 virus strains and unwanted programs. Licensed to: Avira AntiVir PersonalEdition Classic Serial number: 0000149996-ADJIE-0001 Platform: Windows XP Windows version: (Service Pack 1) [5.1.2600] Boot mode: Save mode Username: Computer name: Version information: BUILD.DAT : 8.1.00.295 16479 Bytes 09/04/2008 16:24:00 AVSCAN.EXE : 8.1.2.12 311553 Bytes 18/03/2008 09:02:56 AVSCAN.DLL : 8.1.1.0 53505 Bytes 07/02/2008 08:43:37 LUKE.DLL : 8.1.2.9 151809 Bytes 28/02/2008 08:41:23 LUKERES.DLL : 8.1.2.1 12033 Bytes 21/02/2008 08:28:40 ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18/07/2007 10:33:34 ANTIVIR1.VDF : 7.0.3.2 5447168 Bytes 07/03/2008 13:08:58 ANTIVIR2.VDF : 7.0.4.53 1848832 Bytes 17/05/2008 18:10:39 ANTIVIR3.VDF : 7.0.4.108 284672 Bytes 28/05/2008 18:10:41 Engineversion : 8.1.0.46 AEVDF.DLL : 8.1.0.5 102772 Bytes 25/02/2008 09:58:21 AESCRIPT.DLL : 8.1.0.33 266618 Bytes 28/05/2008 18:10:54 AESCN.DLL : 8.1.0.18 119156 Bytes 28/05/2008 18:10:53 AERDL.DLL : 8.1.0.20 418165 Bytes 28/05/2008 18:10:53 AEPACK.DLL : 8.1.1.5 364918 Bytes 28/05/2008 18:10:51 AEOFFICE.DLL : 8.1.0.18 192890 Bytes 28/05/2008 18:10:50 AEHEUR.DLL : 8.1.0.29 1253750 Bytes 28/05/2008 18:10:47 AEHELP.DLL : 8.1.0.14 115063 Bytes 28/05/2008 18:10:44 AEGEN.DLL : 8.1.0.21 303477 Bytes 28/05/2008 18:10:43 AEEMU.DLL : 8.1.0.6 430451 Bytes 28/05/2008 18:10:42 AECORE.DLL : 8.1.0.29 168311 Bytes 28/05/2008 18:10:41 AVWINLL.DLL : 1.0.0.7 14593 Bytes 23/01/2008 17:07:53 AVPREF.DLL : 8.0.0.1 25857 Bytes 18/02/2008 10:37:50 AVREP.DLL : 7.0.0.1 155688 Bytes 16/04/2007 13:26:47 AVREG.DLL : 8.0.0.0 30977 Bytes 23/01/2008 17:07:49 AVARKT.DLL : 1.0.0.23 307457 Bytes 12/02/2008 08:29:23 AVEVTLOG.DLL : 8.0.0.11 114945 Bytes 28/02/2008 08:31:31 SQLITE3.DLL : 3.3.17.1 339968 Bytes 22/01/2008 17:28:02 SMTPLIB.DLL : 1.2.0.19 28929 Bytes 23/01/2008 17:08:39 NETNT.DLL : 8.0.0.1 7937 Bytes 25/01/2008 12:05:10 RCIMAGE.DLL : 8.0.0.35 2371841 Bytes 10/03/2008 14:37:25 RCTEXT.DLL : 8.0.32.0 86273 Bytes 06/03/2008 12:02:11 Configuration settings for the scan: Jobname..........................: Complete system scan Configuration file...............: c:\program files\avira\antivir personaledition classic\sysscan.avp Logging..........................: low Primary action...................: interactive Secondary action.................: ignore Scan master boot sector..........: on Scan boot sector.................: on Boot sectors.....................: C:, F:, G:, Scan memory......................: on Process scan.....................: on Scan registry....................: on Search for rootkits..............: on Scan all files...................: All files Scan archives....................: on Recursion depth..................: 20 Smart extensions.................: on Macro heuristic..................: on File heuristic...................: medium Start of the scan: mercredi 28 mai 2008 23:13 Starting search for hidden objects. The driver could not be initialized. The scan of running processes will be started Scan process 'avscan.exe' - '1' Module(s) have been scanned Scan process 'avcenter.exe' - '1' Module(s) have been scanned Scan process 'explorer.exe' - '1' Module(s) have been scanned Scan process 'svchost.exe' - '1' Module(s) have been scanned Scan process 'svchost.exe' - '1' Module(s) have been scanned Scan process 'lsass.exe' - '1' Module(s) have been scanned Scan process 'services.exe' - '1' Module(s) have been scanned Scan process 'winlogon.exe' - '1' Module(s) have been scanned Scan process 'csrss.exe' - '1' Module(s) have been scanned Scan process 'smss.exe' - '1' Module(s) have been scanned 10 processes with 10 modules were scanned Starting master boot sector scan: Master boot sector HD0 [INFO] No virus was found! Master boot sector HD1 [INFO] No virus was found! Start scanning boot sectors: Boot sector 'C:\' [INFO] No virus was found! Boot sector 'F:\' [INFO] No virus was found! Boot sector 'G:\' [INFO] No virus was found! Starting to scan the registry. The registry was scanned ( '21' files ). Starting the file scan: Begin scan in 'C:\' C:\pagefile.sys [WARNING] The file could not be opened! C:\WINDOWS\system32\mlJDwXnL.dll [DETECTION] Is the Trojan horse TR/Trash.Gen [NOTE] The file was deleted! C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\12EPOMHW\mixit[1].exe [DETECTION] Is the Trojan horse TR/Clicker.MOS.2 [NOTE] The file was deleted! C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\12EPOMHW\mixit[2].exe [DETECTION] Is the Trojan horse TR/Dldr.Banload.mzf [NOTE] The file was deleted! C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\K32VCEJK\84785_winhtb[1].exe [DETECTION] Contains detection pattern of the worm WORM/SdBot.389120.29 [NOTE] The file was deleted! C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\ZVQVXMKW\84785_winhtb[1].exe [DETECTION] Contains detection pattern of the worm WORM/SdBot.389120.29 [NOTE] The file was deleted! Begin scan in 'F:\' Begin scan in 'G:\' End of the scan: jeudi 29 mai 2008 01:04 Used time: 1:51:07 min The scan has been done completely. 6632 Scanning directories 360641 Files were scanned 5 viruses and/or unwanted programs were found 0 Files were classified as suspicious: 5 files were deleted 0 files were repaired 0 files were moved to quarantine 0 files were renamed 1 Files cannot be scanned 360636 Files not concerned 18209 Archives were scanned 1 Warnings 5 Notes Ca a l'air pas mal qu'en penses tu ????? En tout cas l'utilisation du pc est très fluide maintenant. Si il y encore des problèmes ils sont infimes.

12.eleven · Answer

Si le PC se comporte bien :

Je t'invite à lire ceci :
*https://www.malekal.com/proteger-pc-virus-pirates/
*http://forum.telecharger.01net.com/microhebdo/6/tuto-securite/mesures_preventives_avant_navigation_sinternet_et_entretien-346836/messages-1.html
*Utilise Windows Update
*Télécharge https://filehippo.com/windows/tuning-utilities/ tu l'installes et il te liste ce qu'il faut mettre à jour avec les liens correspondants.


Télécharge ToolsCleaner (A.Rothstein) sur ton Bureau:
http://a-rothstein.changelog.fr/TC/ToolsCleaner2.exe
Clique sur Recherche et laisse le scan se terminer.
Clique sur Suppression pour finaliser.
Tu peux, si tu le souhaites, te servir des Options facultatives.
Clique sur Quitter, pour que le rapport puisse se créer.
Poste le rapport C:\TCleaner.txt

------------------------------------------------------------------------------------------­­-------------------------

Ouvre le Menu Démarrer
Clique-droit sur Poste de travail
Clique sur Propriétés
Positionne-toi dans l'onglet Restauration du système
Coche Désactiver la restauration système
Valide par Ok
Redémarre
Reproduis les manipulations 1 à 3
Décoche Désactiver la restauration système
Valide par Ok

------------------------------------------------------------------------------------------­­-------------------------

Télécharge Ccleaner :
https://www.ccleaner.com/ccleaner/download
Clique sur le premier Download now > CCleaner v2.07.575 - Slim
Installe Ccleaner.
Nettoie Windows et la base de registre en suivant ce tuto :
https://www.malekal.com/tutoriel-ccleaner/#mozTocId223895

------------------------------------------------------------------------------------------­­-------------------------



Autre chose importante, mets à jour ton système (SP1+IE6), on en est au SP3 et IE7.

A++

12.eleven · Answer

Il n'a rien trouvé ou il a tout supprimé ?

Car il devrait trouver quelque chose et le supprimer d'ailleurs.

[virus] system32\mdm.exe

7 réponses

Newsletters