Clés infectées impossibles à supprimer

Question

Salut, 
comme je débute dans la désinfection, je solicite l'aide des pros ^^ ... j'ai un topic ou je galère et a mon avis cela devrais être intéressant pour certains d'entre vous  ... ^^ 

Voilà le topic en question : 
http://www.commentcamarche.net/forum/affich 7030566 malware protecotr 2008#1 

Mon soucis est que je n'arrive pas à supprimer les clés de ces objets infectieux : 

O2 - BHO: (no name) - {B56F637C-8AF9-43FA-A31B-935F967A00CC} - C:\WINDOWS\system32\comdlg32e.dll (file missing) 
... 
O2 - BHO: (no name) - {FA566E27-2B42-422B-9370-B1157205F1E1} - c:\windows\system32\dbnmpntwb.dll (file missing) 
... 
O20 - Winlogon Notify: kswhazex - dbnmpntwb.dll (file missing) 


J'avais bien, à tors, pensé à Vundo mais après avoir eu des difficultés, j'ai fais analysé ces dll sur Virus Total et effectivement , rien à voire  :p ... 
j'ai essayé avec CFSript et avec Hijackthis , mais rien y fais ... 
j'ai du loupé quelque chose où ... 

Si quelques experts peuvent jeter un cil ...merci  =) 

A+

lecristal · Accepted Answer

attention a regedit
il faut faire une sauvegarde avant de faire toute manipulation

lecristal · Answer

ah!!!!!!!!!
Hijackthis 
tu n'arrive aps a le fixer avec Hijackthis ????????????

lecristal · Answer

si tu ne dais faire fonctionne Hijackthis 
alors je ne peux pas t'aider

green day · Answer

Salut

 de passage rapide, tu peux me coller le script de combo, peut être une erreur de syntaxe ?

@+

;-)

lecristal · Answer

ah
je vois effectivement
le probleme se complique
bien sur r'assure moi
tu met bien ls croix dans les cases quand tu fixe les lignes dans Hijackthis 
sinon
regarde cette adresse cela peut d'aider
http://www.malekal.com/index.php

ah n'oublie pas que les pros se font payer
il n'y a que des volontaires dans les forums
enfin je crois
allez passe une bonne journée
et revient nous voir si tu te pose encore des problemes 
et si nous pouvons t'aider

green day · Answer

Est-ce que tu as passé SDfix ?

 il faut aussi supprime les fichiers associés aux clés avec la commande file::

je reviens plus tard,@+

sKe69 · Answer

C'est ce que j'avais fait au début :
http://www.commentcamarche.net/forum/affich 7030566 malware protecotr 2008?page=2#40

mais cela n'a pas fonctionner ...

Ensuite je lui est fait changer d'AV ( ce que je fais rarement en cours de désinfection ) : virer Avast pour AntiVir .
Ce dernier à mis les dll en quarantaine, mais les clé sont toujours là et bien accrochées !

C_XX · Answer

Salut Ske ,

Tu peux tenter OtmoveIt avec :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{B56F637C-8AF9-43FA-A31B-935F967A00CC}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{FA566E27-2B42-422B-9370-B1157205F1E1}
HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
otify\kswhazex



A+

lecristal · Answer

s'est le genre de truc
que si tu touche a cela
tu peux bousillé definitivement windows
et le reste aussi
j'ai deja testé
et j'ai du faire un formatage complet apres

Utilisateur anonyme · Answer

Re,
sKe :

A la fin du comboscan :


R0 ubqgamqy;ubqgamqy;C:\WINDOWS\system32\drivers\ubqgamqy.sys [2004-08-05 14:00] 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
mpbcwszj

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{e568e9­42-b240-11dc-8f6c-806d6172696f}]
\Shell\AutoRun\command - D:\Setup.exe 


Cékoiça ?

Peut être un virustotal sur D:\Setup.exe  ?

sKe69 · Answer

autre chose qui m'interpelle :

HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{B56F637C-8AF9-43FA-A31B-935F967A00CC}] 
2004-08-05 14:00 88064 --a------ C:\WINDOWS\system32\comdlg32e.dll 

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{FA566E27-2B42-422B-9370-B1157205F1E1}] 
2004-08-05 14:00 84992 --a------ c:\windows\system32\dbnmpntwb.dll 

...

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
otify\kswhazex] 
dbnmpntwb.dll 2004-08-05 14:00 84992 C:\WINDOWS\system32\dbnmpntwb.dll 

c'est pas tout jeune non ? ou c'est fictif comme date ???

sKe69 · Answer

Mais les fichiers sont encore là  ->Oui , c'est bien là le prb  ;)

Sinon regardes , c'est peut-être anodin mais au point où on en est :

C:\WINDOWS\system32\84psjwcuuxz.exe 
C:\WINDOWS\system32\comdlg32e.dll 
C:\windows\system32\dbnmpntwb.dll 

"Windows" en Majuscule puis en Minuscule pour le dernier ... une idée ?...

green day · Answer

Je regarde ça en détail demain, et je te dis quoi ;-)

@+

Lyonnais92 · Answer

Bonjour,

même si il n'est pas revenu.

D'abord, un script Combo peut échouer et OTMoveIt fonctionner (ou inversement) parce que les mécanismes de destruction ne sont pas identiques (au passage, ce sont les informmions sur ces mécanismes que les auteurs des outils cherchent à protéger).

Ensuite, DllD a très probablement raison sur les 3 items qu'il a donné. Ce sont les causes probables.

Par contre ce qu'il qualifie de Vundo est plus probablement un Delf et il est protégé par le pilote en .sys.

Tu avais fait passer SDFix ?

Dernier point, il me semble qu'il a une vieille version de SmitFraudFix qui traîne. Ancien taritement qui n'a pas enlevé l'outil, initiative personelle ? Tu as vérifié que la version qu'il a utilisé à ta demande était bien la dernière ?

sKe69 · Answer

Salut,

Pour ce que m' a suggérer DllD , tout à fais d'accord , mauvaise analyse de ma part , cela aurais du m'interpeler de suite...

Tu avais fait passer SDFix ? oui , ici :
http://www.commentcamarche.net/forum/affich 7030566 malware protecotr 2008#13

Et pour Smithfraud , cela n'a rien donner :
http://www.commentcamarche.net/forum/affich 7030566 malware protecotr 2008?page=4#80
Et c'est bien la dernière version en date non ? La 2.328 ...

Et pour OTMoveIt ... malheureusement , pas eu le temps d'essayer ^^

Lyonnais92 · Answer

Re,

je ne critique pas, je fais une analyse pour progresser.

Clairement, il faut fermer le driver pour s'en sortir.

Au passage, la casse est indifférente (WINDOWs, windows).


L'intérêt du topic est que on ne peut pas s'en sortir avec Hijackthis tout seul et que DSS fournit les infos complémentaires (qui sont dans la liste des drivers).

Il y a d'autres outils que DSS pour montrer les informations pertinentes. Mais tous listent les drivers.

sKe69 · Answer

re, 
peut-être là :

Le rapport Smithfraud du post 80 :

SmitFraudFix v2.328 

Rapport fait à 0:03:05,34, 25/06/2008 
Executé à partir de C:\SmitfraudFix 
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT 
Le type du système de fichiers est NTFS 
Fix executé en mode normal 

»»»»»»»»»»»»»»»»»»»»»»»» Process 

C:\WINDOWS\System32\smss.exe 
C:\WINDOWS\system32\winlogon.exe 
C:\WINDOWS\system32\services.exe 
C:\WINDOWS\system32\lsass.exe 
C:\WINDOWS\system32\svchost.exe 
C:\WINDOWS\System32\svchost.exe 
C:\WINDOWS\system32\spoolsv.exe 
C:\Program Files\Analog Devices\Core\smax4pnp.exe 
C:\WINDOWS\system32\RUNDLL32.EXE 
C:\Program Files\F-Secure\Common\FSM32.EXE 
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe 
C:\WINDOWS\system32undll32.exe 
C:\PROGRA~1\SECURI~1\174112\Program\SERVIC~1.EXE 
C:\Program Files\F-Secure\Common\FSMA32.EXE 
C:\Program Files\F-Secure\fswsclds.exe 
C:\Program Files\F-Secure\Common\FSMB32.EXE 
C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe 
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE 
C:\WINDOWS\system32
vsvc32.exe 
C:\WINDOWS\system32\svchost.exe 
C:\Program Files\F-Secure\Common\FCH32.EXE 
C:\Program Files\F-Secure\Common\FAMEH32.EXE 
C:\PROGRA~1\SECURI~1\174112\Program\BACKWE~1.EXE 
C:\Program Files\F-Secure\Common\FSGK32.EXE 
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin
SvcAppFlt.exe 
C:\Program Files\F-Secure\Anti-Virus\fsav32.exe 
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin
SvcIp.exe 
C:\WINDOWS\system32\wscntfy.exe 
C:\Program Files\MSN Messenger\usnsvc.exe 
C:\WINDOWS\explorer.exe 
C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\AlertModule\0\AlertModule.exe 
C:\Program Files\Orange\systray\systrayapp.exe 
C:\WINDOWS\system32\WISPTIS.EXE 
C:\WINDOWS\System32\svchost.exe 
E:\OFFICE11\WINWORD.EXE 
C:\SmitfraudFix\Policies.exe 
C:\WINDOWS\system32\cmd.exe 

»»»»»»»»»»»»»»»»»»»»»»»» hosts 


»»»»»»»»»»»»»»»»»»»»»»»» C:\ 

.....


 " WINWORD.EXE " ---> https://www.bleepingcomputer.com/startups/WINWORD.EXE-21308.html

non ?....

sKe69 · Answer

Clairement, il faut fermer le driver pour s'en sortir.

---> OK , vu ^^ ... c'est la première chose que je ferai si il revient ....

Merci à tous pour le coup de main !

Affaire à suivre donc ...

Clés infectées impossibles à supprimer

18 réponses

Discussions similaires

Newsletters