Virus Srosa.Sys Bagle Gen Win 32

Fermé

maxouxd Messages postés 122 Date d'inscription lundi 18 août 2008 Statut Membre Dernière intervention 22 août 2008 - 18 août 2008 à 10:53
sKe69 - 22 août 2008 à 21:39

Bonjour, je suis infecté par le Virus Bagen Win 32 (vista recherche de solution aux problème due a un Bsod).
HijackThis : fonctionne pas
Eglibagla: ne supprime rien mais indique la présence d'un Srosa.sys et de hldrrr.exe
Norton : fonctionne pas
Avast : fonctionne pas
Combo Fix: où est le rapport svp ?
Gmer : trouve Srosa (HIDDEN), mais impossible de désactiver ou de supprimer le service.

Merci de vos prochaines réponses

A voir également:

Virus Srosa.Sys Bagle Gen Win 32
32 bits - Guide
Poweriso 32 bit - Télécharger - Gravure
Win setup from usb - Télécharger - Utilitaires
Telecharger win rar - Télécharger - Compression & Décompression
Télécharger windows 7 32 bits usb - Télécharger - Systèmes d'exploitation

247 réponses

Réponse 141 / 247

Utilisateur anonyme
21 août 2008 à 16:21

lu, je te prepare la suite

Réponse 142 / 247

maxouxd Messages postés 122 Date d'inscription lundi 18 août 2008 Statut Membre Dernière intervention 22 août 2008
21 août 2008 à 16:26

ok ^^

Réponse 143 / 247

maxouxd Messages postés 122 Date d'inscription lundi 18 août 2008 Statut Membre Dernière intervention 22 août 2008
21 août 2008 à 16:33

https://www.casimages.com/i/080821043425958647.jpg.html

pourquoi mon bureau est la ? c'est ptet pour sa que les téléchargement marche pas!!!

Non c'est pas sa, j'essaye d'enregistrer la cible sous : une clé usb, et il n'y apparait quand meme aucun fichier.

Réponse 144 / 247

Utilisateur anonyme
21 août 2008 à 16:35

supprime flash desinfector en attendant

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question

Réponse 145 / 247

maxouxd Messages postés 122 Date d'inscription lundi 18 août 2008 Statut Membre Dernière intervention 22 août 2008
21 août 2008 à 16:36

ben jpeux pas! il mindique que le fichier est introuvable.

Réponse 146 / 247

Utilisateur anonyme
21 août 2008 à 16:37

Vide ce dossier : C:\Windows\Prefetch sauf le dossier ready boost et le fichier layout.ini si present

Réponse 147 / 247

maxouxd Messages postés 122 Date d'inscription lundi 18 août 2008 Statut Membre Dernière intervention 22 août 2008
21 août 2008 à 16:42

https://www.casimages.com/i/080821044339850719.jpg.html

Fait !

Je fait pareil dans le disque D ?? (avec WinXP ?)

+- FindB mis a jours le 21/08/08 par Chiquitine29

+- Recherche de fichier bagle :

+- Recherche dans : C:\Windows\Prefetch :

C:\Windows\Prefetch\WINTEMS.EXE Absent
C:\Windows\Prefetch\MDELK.EXE Absent
C:\Windows\Prefetch\HLDRRR.EXE Absent
C:\Windows\Prefetch\FLEC006.EXE Absent
C:\Windows\Prefetch\KEYGENPATCH.EXE-????????.pf Absent
C:\Windows\Prefetch\WINTEMS.EXE-????????.pf Absent
C:\Windows\Prefetch\MDELK.EXE-????????.pf Absent
C:\Windows\Prefetch\HLDRRR.EXE-????????.pf Absent
C:\Windows\Prefetch\FLEC006.EXE-????????.pf Absent

+- Recherche dans : C:\Windows\system32 :

C:\Windows\system32\hldrrr.exe Absent
C:\Windows\system32\mdelk.exe Absent
C:\Windows\system32\wintems.exe Absent
C:\Windows\system32\ban_list.txt Absent

+- Recherche dans : C:\Windows\system32\drivers :

C:\Windows\system32\drivers\mdelk.exe Absent
C:\Windows\system32\drivers\srosa.sys Absent
C:\Windows\system32\drivers\hldrrr.exe Absent
C:\Windows\system32\drivers\downld Absent

+- Recherche dans : :

\m\flec006.exe Absent
\m\list.oct Absent
\m\data.oct Absent
\m\srvlist.oct Absent
\m\ Absent
\m\shared\ Absent

+- Registre :

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
RtHDVCpl REG_SZ RtHDVCpl.exe
ccApp REG_SZ "c:\Program Files\Common Files\Symantec Shared\ccApp.exe"
osCheck REG_SZ "c:\Program Files\Norton Internet Security\osCheck.exe"
IAAnotif REG_SZ "C:\Program Files\Intel\Intel Matrix Storage Manager\Iaanotif.exe"
Acer Empowering Technology Monitor REG_SZ C:\Acer\Empowering Technology\SysMonitor.exe
eDataSecurity Loader REG_SZ C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
CCUTRAYICON REG_SZ FactoryMode
NMSSupport REG_SZ "C:\Program Files\Common Files\Intel\IntelDH\NMS\Support\IntelHCTAgent.exe" /startup
WarReg_PopUp REG_SZ C:\Acer\WR_PopUp\WarReg_PopUp.exe
Acer Tour Reminder REG_SZ C:\Acer\AcerTour\Reminder.exe
V0230Mon.exe REG_SZ C:\Windows\V0230Mon.exe
Adobe Reader Speed Launcher REG_SZ "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
NeroFilterCheck REG_SZ C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
WPCUMI REG_SZ C:\Windows\system32\WpcUmi.exe
NvSvc REG_SZ RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
NvCplDaemon REG_SZ RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
NvMediaCenter REG_SZ RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
AppleSyncNotifier REG_SZ C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe
QuickTime Task REG_SZ "C:\Program Files\QuickTime\QTTask.exe" -atboottime
iTunesHelper REG_SZ "C:\Program Files\iTunes\iTunesHelper.exe"

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\OptionalComponents

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Acer Tour Reminder REG_SZ C:\Acer\AcerTour\Reminder.exe
msnmsgr REG_SZ "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background

+- Recherche terminee !

+- Execute le : 2008-08-21 a 17:49:39.14

Réponse 148 / 247

jlpjlp Messages postés 51580 Date d'inscription vendredi 18 mai 2007 Statut Contributeur sécurité Dernière intervention 3 mai 2022 5 040
21 août 2008 à 16:50

slt

Réponse 149 / 247

Utilisateur anonyme
21 août 2008 à 16:53

bug g posté mais il apparait pas

Réponse 150 / 247

maxouxd Messages postés 122 Date d'inscription lundi 18 août 2008 Statut Membre Dernière intervention 22 août 2008
21 août 2008 à 16:54

salut ! regarde le FindB ! VIERGE

Utilisateur anonyme
21 août 2008 à 16:55

oui c est une bonne nouvelle

Réponse 151 / 247

Utilisateur anonyme
21 août 2008 à 16:54

RRR faut je recommance

ps : salut jlpjlp

Réponse 152 / 247

maxouxd Messages postés 122 Date d'inscription lundi 18 août 2008 Statut Membre Dernière intervention 22 août 2008
21 août 2008 à 16:55

ouai ben moi aussi, mes rapports kapersky jpouvais pas les poster, alors je les ai mis en ligne.

Réponse 153 / 247

jlpjlp Messages postés 51580 Date d'inscription vendredi 18 mai 2007 Statut Contributeur sécurité Dernière intervention 3 mai 2022 5 040
21 août 2008 à 16:59

oui moi aussi

déjà vire ce qui est dans le dossier quarantine en allant dans poste de travail puis C puis qoobox

chiquine prepare la suite je pense si il arrive a poster car apparement impossible de recuperer le rapport kaspersky

sinon on il faudra que l'on indique que faire pour virer les fichiers infécté selon kaspersky

a plus

Réponse 154 / 247

afideg Messages postés 10517 Date d'inscription lundi 10 octobre 2005 Statut Contributeur sécurité Dernière intervention 12 avril 2022 602
21 août 2008 à 17:06

Up

Bravo Kaspersky

C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe Infecté : Trojan-Downloader.Win32.Bagle.wv ignoré
C:\Documents and Settings\Sam\Downloads\ophcrack-win32-installer-3.0.exe/data0013 Infecté : not-a-virus:PSWTool.Win32.PWDump.h ignoré
C:\Documents and Settings\Sam\Downloads\ophcrack-win32-installer-3.0.exe/data0014 Infecté : not-a-virus:PSWTool.Win32.PWDump.f ignoré
C:\Documents and Settings\Sam\Downloads\ophcrack-win32-installer-3.0.exe/data0015 Infecté : not-a-virus:PSWTool.Win32.PWDump.f ignoré
C:\Documents and Settings\Sam\Downloads\ophcrack-win32-installer-3.0.exe NSIS: infecté - 3 ignoré
C:\Muestras\HLDRRR.EXE.Muestra EliBagle v11.66 Infecté : Trojan-Downloader.Win32.Bagle.wv ignoré
C:\Program Files\Picasa2\PicasaMediaDetector.exe Infecté : Trojan-Downloader.Win32.Bagle.wv ignoré
C:\QooBox\Quarantine\C\Users\Max\AppData\Roaming\m\flec006.exe.vir Infecté : Email-Worm.Win32.Bagle.of ignoré
C:\QooBox\Quarantine\C\Windows\System32\drivers\downld\115113.exe.vir Infecté : Email-Worm.Win32.Bagle.of ignoré
C:\QooBox\Quarantine\C\Windows\System32\drivers\downld\130822.exe.vir Infecté : Email-Worm.Win32.Bagle.of ignoré
C:\QooBox\Quarantine\C\Windows\System32\drivers\downld\139324.exe.vir Infecté : Email-Worm.Win32.Bagle.of ignoré
C:\QooBox\Quarantine\C\Windows\System32\drivers\downld\719585.exe.vir Infecté : Email-Worm.Win32.Bagle.of ignoré
C:\QooBox\Quarantine\C\Windows\System32\drivers\downld\97719.exe.vir Infecté : Email-Worm.Win32.Bagle.of ignoré
C:\QooBox\Quarantine\C\Windows\System32\drivers\hldrrr.exe.vir Infecté : Trojan-Downloader.Win32.Bagle.wv ignoré
C:\QooBox\Quarantine\C\Windows\System32\drivers\mdelk.exe.vir Infecté : Trojan-Downloader.Win32.Bagle.wv ignoré
C:\QooBox\Quarantine\C\Windows\System32\drivers\srosa.sys.vir Infecté : Trojan-Downloader.Win32.Bagle.vj ignoré
C:\QooBox\Quarantine\C\Windows\System32\mdelk.exe.vir Infecté : Email-Worm.Win32.Bagle.of ignoré
C:\QooBox\Quarantine\C\Windows\System32\wintems.exe.vir Infecté : Email-Worm.Win32.Bagle.of ignoré
C:\QooBox\Quarantine\G\AUTORUN.INF.vir Infecté : Trojan-PSW.Win32.Nilage.bvl ignoré
C:\QooBox\Quarantine\G\av4.zip/Qoobox/Quarantine/G/nideiect.com.vir Infecté : Trojan-Downloader.Win32.Bagle.wv ignoré
C:\QooBox\Quarantine\G\av4.zip ZIP: infecté - 1 ignoré
C:\QooBox\Quarantine\G\av6.zip/Qoobox/Quarantine/G/nideiect.com.vir Infecté : Trojan-Downloader.Win32.Bagle.wv ignoré
C:\QooBox\Quarantine\G\av6.zip/Qoobox/Quarantine/G/autorun.inf.vir Infecté : Trojan-PSW.Win32.Nilage.bvl ignoré
C:\QooBox\Quarantine\G\av6.zip ZIP: infecté - 2 ignoré
C:\QooBox\Quarantine\L\autorun.inf.vir Infecté : Trojan-PSW.Win32.Nilage.bvl ignoré
C:\QooBox\Quarantine\L\av4.zip/Qoobox/Quarantine/L/nideiect.com.vir Infecté : Trojan-Downloader.Win32.Bagle.wv ignoré
C:\QooBox\Quarantine\L\av4.zip ZIP: infecté - 1 ignoré
C:\QooBox\Quarantine\L\av6.zip/Qoobox/Quarantine/L/nideiect.com.vir Infecté : Trojan-Downloader.Win32.Bagle.wv ignoré
C:\QooBox\Quarantine\L\av6.zip/Qoobox/Quarantine/L/autorun.inf.vir Infecté : Trojan-PSW.Win32.Nilage.bvl ignoré
C:\QooBox\Quarantine\L\av6.zip ZIP: infecté - 2 ignoré
C:\QooBox\Quarantine\Registry_backups\Legacy_SROSA.reg.dat Infecté : Trojan-Downloader.Win32.Bagle.hp ignoré
C:\QooBox\Quarantine\Registry_backups\Service_srosa.reg.dat Infecté : Trojan-Downloader.Win32.Bagle.hp ignoré
C:\Users\Sam\Downloads\ophcrack-win32-installer-3.0.exe/data0013 Infecté : not-a-virus:PSWTool.Win32.PWDump.h ignoré
C:\Users\Sam\Downloads\ophcrack-win32-installer-3.0.exe/data0014 Infecté : not-a-virus:PSWTool.Win32.PWDump.f ignoré
C:\Users\Sam\Downloads\ophcrack-win32-installer-3.0.exe/data0015 Infecté : not-a-virus:PSWTool.Win32.PWDump.f ignoré
C:\Users\Sam\Downloads\ophcrack-win32-installer-3.0.exe NSIS: infecté - 3 ignoré
C:\Windows\System32\RtHDVCpl.exe Infecté : Trojan-Downloader.Win32.Bagle.wv ignoré
D:\Documents and Settings\Sam.BQC\Local Settings\Temporary Internet Files\Content.IE5\WLUB0DEZ\hardwaredetection_2_0_4_9[1].cab/setupmconfig.exe Infecté : Backdoor.Win32.VB.erb ignoré
D:\Documents and Settings\Sam.BQC\Local Settings\Temporary Internet Files\Content.IE5\WLUB0DEZ\hardwaredetection_2_0_4_9[1].cab CAB: infecté - 1 ignoré
G:\nideiect.com Infecté : Trojan-Downloader.Win32.Bagle.wv ignoré
L:\nideiect.com Infecté : Trojan-Downloader.Win32.Bagle.wv ignoré

SEO
Je n'ai pas relu.
Infection dans des fichiers sains !!! (ou présentant des failles de sécurité)

Al.

Réponse 155 / 247

maxouxd Messages postés 122 Date d'inscription lundi 18 août 2008 Statut Membre Dernière intervention 22 août 2008
21 août 2008 à 17:10

jfais quoi de ce que tu as mis en gras ?

Réponse 156 / 247

Utilisateur anonyme
21 août 2008 à 17:10

on va attendre un peux car mon cfscript passe pas meme pas en mp

Réponse 157 / 247

afideg Messages postés 10517 Date d'inscription lundi 10 octobre 2005 Statut Contributeur sécurité Dernière intervention 12 avril 2022 602
21 août 2008 à 17:11

Calme un peu, veux-tu ?
Tu attends Chiquitine qui fait un script.

Merci
Salut jlpjlp ;)

Al

Réponse 158 / 247

maxouxd Messages postés 122 Date d'inscription lundi 18 août 2008 Statut Membre Dernière intervention 22 août 2008
21 août 2008 à 17:11

a ok, met le en téléchargement

Réponse 159 / 247

noctambule28 Messages postés 31785 Date d'inscription samedi 12 mai 2007 Statut Webmaster Dernière intervention 13 février 2022 2 858
21 août 2008 à 17:12

salut

tu me dis si c'est pas la qu'il faut le mettre , chiquitine

***************************************

Branche tous tes disques sans les ouvrirs

on va utiliser combofix

Copie le texte ci-dessous :

File::
C:\Muestras
D:\WINDOWS.0\Temp\setupmconfig.exe
G:\nideiect.com
L:\nideiect.com
C:\Windows\System32\RtHDVCpl.exe
C:\Users\Sam\Downloads\ophcrack-win32-installer-3.0.exe
C:\Users\Sam\Downloads\ophcrack-win32-installer-3.0.exe
C:\VaccinUSB.exe

Folder::
C:\Users\Sam\Downloads\ophcrack-win32-installer-3.0.exe
C:\Users\Sam\Downloads\ophcrack-win32-installer-3.0.exe
C:\Program Files\Picasa2
C:\Program Files\Trend Micro
C:\ProgramData\Symantec
C:\Program Files\Alwil Software
C:\Program Files\Norton Internet Security
C:\Program Files\EsetOnlineScanner

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CCUTRAYICON"="FactoryMode"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"osCheck"=-
"RtHDVCpl"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"GrpConv"="grpconv -o"

DirLook::
C:\tmp
D:\WINDOWS.0\Temp

Ouvre le Bloc-Notes puis colle le texte copié.
(Démarrer\Tous les programmes\Accessoires\Bloc notes.)
Sauvegarde ce fichier sous le nom de CFScript.txt

Glisse maintenant le fichier CFScript.txt dans Combofix.exe comme ci-dessous :

http://sd-1.archive-host.com/membres/up/1366464061/CFScript.gif

Cela va relancer Combofix,

Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.

Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!

Ne touche à rien tant que le scan n'est pas terminé.

Après redémarrage, poste le contenu du rapport Combofix.txt

S'il n'y a pas de rédémarrage, poste quand même le rapport

--
A découvrir : Estopa, Rosario Flores, La Oreja De Van Gogh
Bonne écoute
@ + TChiki.

Réponse 160 / 247

afideg Messages postés 10517 Date d'inscription lundi 10 octobre 2005 Statut Contributeur sécurité Dernière intervention 12 avril 2022 602
21 août 2008 à 17:12

Chiquitine29,

Envoie un up
Puis, édite ce up
Et colle ton CFSript

Al.

Discussions similaires

Est ce que le site tlauncher est dangereux ?

Que fait le virus LPI Win32 Pup-Gen

win32:malware-gen bloqué par avast

Win64:Malware-gen

Discussions similaires

Newsletters