virus

Question

Bonjour,
 je suis infecté ! 

exe.n'est pas une application win32 valide
 
impossible d'analyser mon pc avec mon anti virus , spybot  , ect...
impossible d'instaler tous ce qui pourrais desinfecter mon pc

Utilisateur anonyme · Answer

bonjour,a tu essaiye en mode sans echec ?

miktof · Answer

ca marche pas ! g essayer sur le site  securer.com  il trouve 61 virus  suprime tous les fichiers mais c toujour la m.....

Utilisateur anonyme · Answer

desole mais pour moi ca a marche kon j'ai une le meme probleme que toi bonne chance

miktof · Answer

le mode sans echec ne fonctionne pas ! 
les anti virus, spam , troyen etc ... ne fonctionne pas 

là je cale ! oscour!

Hadrienen · Answer

Salut, 

Télécharge HijackThis ici : 

-> Fais un clic droit sur un des liens et choisi enregistrer la cible sous .... le bureau 
-> http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe 
-> ftp://ftp.commentcamarche.com/download/HJTInstall.exe 

-> Fais un double-clic sur HJTInstall.exe afin de lancer l'installation 

-> Clique sur Install ensuite sur I Accept 

-> Clique sur Do a scan system and save log file 

-> Le bloc-notes s'ouvrira, fais un copier-coller de tout son contenu ici dans ta prochaine réponse

Hadrienen · Answer

tes antivirus sont?

sKe69 · Answer

Salut miktof,

Infection par un bagle : 

Fais EXACTEMENT ce qui suit , 

1-IMPORTANT : 
je rappelle que bagle est amené par un crack et qu'il se relance dès que tu te sers de celui ci; même si tu ne sers pas, il peut se relancer de lui même au démarrage de ton PC . En claire : 
Essayes surtout de te rappeler si récemment tu n' as pas clicker sur un "patch" ou un "keygen" pour instaler un logiciel, un jeu cracké ou avoir une version complète d'un soft , et qu'il ne se soit rien passé de particulier ... C'est la que les bagles s'infiltrent ! Si tu retrouves ce crack en particulier ,scratch tout ( le crack, le soft ou encore les zip concernés). Si tu ne te rappelles plus trop , je te conseille fortement de supprimer tous les patchs qui sont sur ton PC ... ;)

Note : si tu as déjà le "Elibagla" sur ton PC -> supprimes le !!! 

2- tu vas faire ceci dans l'ordre indiqué et en respectant les consignes . 
Rends toi sur ce site : 
http://www.zonavirus.com/datos/descargas/95/elibagla.asp 

A -Tout en bas de cette page tu trouveras un outil à télécharger, 
cliques sur "Descargar Elibagla" (le numéro de version change au fur et à mesure des mises à jour) 
choisis --->"enregistrer " ---> et enregistres le à la racine de ton disk dur et pas ailleur !
( c.a.d. ici -> C:\Elibagla.XXXXX.exe )

B- Puis clik droit sur ce dernier et choisi "renommé" : tapes " mdelk.exe " et valides la modif. 

Note :
/!\ Attention, un mauvais renommage rendra l'astuce et la désinfection inefficace !

Déconnectes toi et fermes toutes tes applications en cours (si tu en as ...). 

C- Pour exécuter Elibagla renommé : 

Appuyer simultanément sur les touches Windows (drapeau à côté de alt) + R (pour ouvrir le Menu Démarrer -> "Exécuter") 
Dans la boîte de dialogue "Exécuter" taper : cmd et valider
 
Dans la fenêtre de "l'invite de commande" qui s'ouvra, taper : 
C:\mdelk.exe  et Valider avec la touche [Entrée] 

L'outil ce lance :
-->laisses la case "eliminar ficheros automaticamente" coché  .
-->cliques sur " explorar " .
-->laisses-le travailler 
-->Enfin postes le rapport final qui sera dans " C:\infosat.txt " 

PS : Si, dans le rapport, tu vois un texte semblable à celui-ci 

Por favor, envienos una muestra del fichero 
C:MuestrasHLDRRR.EXE.Muestra EliBagle v10.24 
a "virus@satinfo.es". Gracias; 

Envoies ce(s) fichier(s) (dans l'exemple C:MuestrasHLDRRR.EXE.Muestra EliBagle v10.24 ) à l'adresse e-mail indiquée (virus@satinfo.es). 

--> L'outil a rencontré un fichier qu'il reconnaît mais ne sait pas encore éradiquer ... 

3- Une fois le scan terminé : redémarres le pc, c'est très important.
 
Avant l'apparition du bureau, Elibagla va se relancer et neutraliser le reste de l'infection. 
Dès que le menu principal d'Elibagla apparaîtra : 
- Laisser la case "Eliminar ficheros automaticamente" cochée 
- Clic sur "Explorar" pour lancer le scan complet du pc. 
Une fois le scan terminé, refermer l'outil pour permettre au bureau de réapparaître ...

--> postes ce nouveau rapport pour analyse et attends la suite ...

miktof · Answer

ca y es je sais quel virus m'infecte : win32.worm.bagle  et win32.trojandownloader.Bagle

miktof · Answer

le resultat :
	  Mon Aug 18 17:27:34 2008
EliBagle v11.66  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)
----------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.
C:\DOCUMENTS AND SETTINGS\ORDI\APPLICATION DATA\M\FLEC006.EXE --> Bagle Acceso Denegado.
C:\DOCUMENTS AND SETTINGS\ORDI\APPLICATION DATA\M\LIST.OCT --> Eliminado Bagle

	  Mon Aug 18 17:28:35 2008
EliBagle v11.66  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)
----------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.
C:\DOCUMENTS AND SETTINGS\ORDI\APPLICATION DATA\M\FLEC006.EXE --> Bagle Acceso Denegado.
Restaurada Clave: "SafeBoot\Minimal y Network"
Reinicie para Completar la Limpieza.

	  Mon Aug 18 17:32:17 2008
EliBagle v11.66  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)
----------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Renombrado a .VIR
C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Eliminado Bagle (rootkit)
C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Renombrado a .VIR
C:\DOCUMENTS AND SETTINGS\ORDI\APPLICATION DATA\M\FLEC006.EXE --> Bagle Renombrado a .VIR
Restaurada Clave: "SafeBoot\Minimal y Network"
Reinicie para Completar la Limpieza.

	  Mon Aug 18 17:32:52 2008
EliBagle v11.66  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)
----------------------------------------------
Lista de Acciones (por Acción Directa):
C:\Documents and Settings\Ordi\Application Data\M\FLEC006.EXE.VIR --> Eliminado
Eliminada Carpeta "%AppData%\M"
Restaurada Clave: "SafeBoot\Minimal y Network"

	  Mon Aug 18 17:33:17 2008
EliBagle v11.66  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)
----------------------------------------------
Lista de Acciones (por Acción Directa):
Restaurada Clave: "SafeBoot\Minimal y Network"

	  Mon Aug 18 17:33:20 2008
EliBagle v11.66  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

miktof · Answer

C:\WINDOWS\system32\MDELK.EXE --> Eliminado Bagle
C:\WINDOWS\system32\drivers\MDELK.EXE --> Eliminado Bagle.dldr
C:\WINDOWS\system32\drivers\downld\602359.EXE --> Eliminado Bagle

Nº Total de Directorios:   4454
Nº Total de Ficheros:      40238
Nº de Ficheros Analizados: 13463
Nº de Ficheros Infectados: 3
Nº de Ficheros Limpiados:  3

miktof · Answer

bon g fais ce ma dis et ca merde encore !!!


toujours ce message quand je veux lancer mon anti virus et autre programme

miktof · Answer

toujours ..... n'est pas une application win32 valide

sKe69 · Answer

C'est normal ! ... Soit patient car c'est loin d'être terminé


Fais exactement ce qui suit :

Télécharges ComboFix (par sUBs) sur ton Bureau (et pas ailleur !): 
http://download.bleepingcomputer.com/sUBs/ComboFix.exe <--- clik droit sur ce lien et choisis "enregistrer la cible sous ... " : dans la fenêtre qui s'ouvre tape C-Fix et valide . 

--------------------------------------------- [ ! ATTENTION ! ] ----------------------------------------------------------
!! déconnectes toi,fermes tes applications en cours et DESACTIVES TOUTES TES DEFENSES (anti-virus, guardes anti spy-ware, pare-feu) le temps de la manipe : 
en effet , activés, ils pourraient gêner fortement la procédure de recherche et de nettoyage de l'outil ( voir planter le PC )...Tu les réactiveras donc après  !!
--->Important : si tu rencontres des difficultés à ce niveau là, fais m'en part avant de poursuivre ...
Tuto ( aide ) ici : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix
---------------------------------------------------------------------------------------------------------------------------------

Ensuite :
double-cliques C-Fix.exe ( = combofix.exe ) . 

Appuyes sur la touche Y (Yes) pour démarrer le scan . 

Attention : 
--> n'utilise pas ta souris ni ton clavier (ni un autre système de pointage) pendant que le programme tourne. Cela pourrait figer l'ordi .
--> Il se peut que le PC redémarre de lui même ( pour finaliser le nettoyage ) , laisses le faire . 
--> si un message d'erreur windows apparait à un momment  : clik sur la croix rouge en haut à droite de la fenêtre pour la fermer ( et pas sur autre chose ! sinon pas de rapport ... ) 

Le rapport sera crée dans: C:\Combofix.txt 
 
Postes le rapport Combofix pour analyse et attends la suite ...

miktof · Answer

ComboFix 08-08-17.03 - Ordi 2008-08-18 18:07:59.1 - NTFSx86
Microsoft Windows XP Professionnel 5.1.2600.3.1252.1.1036.18.1532 [GMT 2:00]
Endroit: C:\Documents and Settings\Ordi\Bureau\C-Fix.exe
* Création d'un nouveau point de restauration

[color=red][b]AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !![/b][/color]
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Documents and Settings\Ordi\UserData
C:\Documents and Settings\Ordi\UserData\85UR4DMN\oWindowsUpdate[1].xml
C:\Documents and Settings\Ordi\UserData\index.dat
C:\InfoSat.txt
C:\WINDOWS\system32\drivers\downld
C:\WINDOWS\system32\drivers\downld\584703.exe
C:\WINDOWS\system32\drivers\downld\592093.exe
C:\WINDOWS\system32\drivers\downld\607109.exe
C:\WINDOWS\system32\drivers\downld\641421.exe
C:\WINDOWS\system32\drivers\downld\643500.exe
C:\WINDOWS\system32\drivers\downld\737484.exe
C:\WINDOWS\system32\drivers\downld\761984.exe

.
((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_SROSA

((((((((((((((((((((((((((((( Fichiers cr‚‚s 2008-07-18 to 2008-08-18 ))))))))))))))))))))))))))))))))))))
.

2008-08-18 17:27 . 2008-08-18 17:27 55,819 --a------ C:\mdelk.exe
2008-08-18 17:14 . 2008-08-18 17:14 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Yahoo! Companion
2008-08-18 17:00 . 2008-08-18 17:00 <REP> d-------- C:\Program Files\Trend Micro
2008-08-18 16:49 . 2008-08-18 16:49 <REP> d-------- C:\Program Files\Yahoo!
2008-08-18 16:14 . 2008-08-18 16:14 <REP> d-------- C:\Program Files\CCleaner
2008-08-18 14:34 . 2008-08-18 14:34 <REP> d-------- C:\WINDOWS\AU_Temp
2008-08-18 14:21 . 2008-08-18 14:20 25,957,649 --a------ C:\WINDOWS\LPT$VPN.483
2008-08-18 14:20 . 2008-08-18 14:20 25,957,649 --a------ C:\WINDOWS\VPTNFILE.483
2008-08-18 05:22 . 2001-09-28 14:00 195,618 --a--c--- C:\WINDOWS\system32\dllcache\OLD301.tmp
2008-08-18 05:21 . 2001-08-17 21:28 871,388 --a--c--- C:\WINDOWS\system32\dllcache\OLD296.tmp
2008-08-18 05:20 . 2001-08-23 17:46 382,592 --a--c--- C:\WINDOWS\system32\dllcache\OLD20F.tmp
2008-08-17 22:15 . 2002-03-05 16:24 36,864 --a------ C:\WINDOWS\system32\deluidrv.exe
2008-08-17 22:15 . 2002-03-05 16:24 32,768 --a------ C:\WINDOWS\system32\usbmonit.exe
2008-08-17 22:15 . 2002-03-05 16:24 32,768 --a------ C:\WINDOWS\system32\delentry.exe
2008-08-17 22:15 . 2008-08-17 22:15 10 --a------ C:\WINDOWS\wininit.ini
2008-07-27 20:21 . 2008-08-18 00:19 69 --a------ C:\WINDOWS\NeroDigital.ini
2008-07-27 16:11 . 2008-08-18 05:09 <REP> d-------- C:\Documents and Settings\Ordi\Application Data\Azureus
2008-07-27 16:11 . 2008-07-27 16:11 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Azureus
2008-07-27 16:10 . 2008-07-27 16:10 <REP> d-------- C:\Program Files\Vuze
2008-07-27 16:10 . 2008-07-27 16:10 <REP> d-------- C:\Program Files\AskSBar
2008-07-27 15:22 . 2008-07-27 15:22 244 --ah----- C:\sqmnoopt19.sqm
2008-07-27 15:22 . 2008-07-27 15:22 232 --ah----- C:\sqmdata19.sqm
2008-07-27 15:20 . 2008-08-18 17:49 244 --ah----- C:\sqmnoopt18.sqm
2008-07-27 15:20 . 2008-08-18 17:49 232 --ah----- C:\sqmdata18.sqm
2008-07-27 12:34 . 2008-08-18 17:38 244 --ah----- C:\sqmnoopt17.sqm
2008-07-27 12:34 . 2008-08-18 17:38 232 --ah----- C:\sqmdata17.sqm
2008-07-26 23:10 . 2008-08-18 16:55 244 --ah----- C:\sqmnoopt16.sqm
2008-07-26 23:10 . 2008-08-18 16:55 232 --ah----- C:\sqmdata16.sqm
2008-07-26 21:19 . 2008-08-18 16:53 244 --ah----- C:\sqmnoopt15.sqm
2008-07-26 21:19 . 2008-08-18 16:53 232 --ah----- C:\sqmdata15.sqm
2008-07-26 21:18 . 2008-07-26 21:18 <REP> d-------- C:\Program Files\Share_Accelerator_MM
2008-07-26 21:18 . 2004-02-17 00:00 434,252 --a------ C:\WINDOWS\system32\Msvcrtd.dll
2008-07-26 16:57 . 2008-08-18 16:19 244 --ah----- C:\sqmnoopt14.sqm
2008-07-26 16:57 . 2008-08-18 16:19 232 --ah----- C:\sqmdata14.sqm
2008-07-25 15:59 . 2008-07-25 15:59 107,888 --a------ C:\WINDOWS\system32\CmdLineExt.dll
2008-07-25 15:57 . 2006-09-28 16:05 2,414,360 --a------ C:\WINDOWS\system32\d3dx9_31.dll
2008-07-25 15:57 . 2006-12-08 12:02 251,672 --a------ C:\WINDOWS\system32\xactengine2_5.dll
2008-07-25 15:57 . 2006-09-28 16:05 237,848 --a------ C:\WINDOWS\system32\xactengine2_4.dll
2008-07-25 15:57 . 2006-07-28 09:30 236,824 --a------ C:\WINDOWS\system32\xactengine2_3.dll
2008-07-25 15:57 . 2006-09-28 16:04 68,888 --a------ C:\WINDOWS\system32\xinput1_3.dll
2008-07-25 15:57 . 2006-07-28 09:30 62,744 --a------ C:\WINDOWS\system32\xinput1_2.dll
2008-07-25 15:57 . 2006-11-15 11:38 15,128 --a------ C:\WINDOWS\system32\x3daudio1_1.dll
2008-07-25 15:56 . 2005-05-26 15:34 2,297,552 --a------ C:\WINDOWS\system32\d3dx9_26.dll
2008-07-25 15:52 . 2008-07-25 15:52 <REP> d-------- C:\Program Files\THQ
2008-07-25 02:09 . 2008-08-18 15:56 244 --ah----- C:\sqmnoopt13.sqm
2008-07-25 02:09 . 2008-08-18 15:56 232 --ah----- C:\sqmdata13.sqm
2008-07-24 17:43 . 2008-08-18 14:21 <REP> d-------- C:\WINDOWS\report
2008-07-24 17:42 . 2008-08-18 14:20 <REP> d-------- C:\WINDOWS\AU_Backup
2008-07-24 17:42 . 2008-08-18 14:20 1,964,523 --a------ C:\WINDOWS\tsc.ptn
2008-07-24 17:42 . 2008-08-18 14:34 1,213,784 --a------ C:\WINDOWS\vsapi32.dll
2008-07-24 17:42 . 2008-08-18 14:20 333,576 --a------ C:\WINDOWS\TSC.exe
2008-07-24 17:42 . 2008-08-18 14:34 91,744 --a------ C:\WINDOWS\BPMNT.dll
2008-07-24 17:42 . 2008-08-18 14:20 71,749 --a------ C:\WINDOWS\hcextoutput.dll
2008-07-24 17:42 . 2008-08-18 15:47 823 --a------ C:\WINDOWS\tsc.ini
2008-07-24 17:41 . 2008-07-24 17:41 <REP> d-------- C:\WINDOWS\AU_Log
2008-07-24 17:41 . 2008-07-24 17:41 507,904 --a------ C:\WINDOWS\TMUPDATE.DLL
2008-07-24 17:41 . 2008-07-24 17:41 286,720 --a------ C:\WINDOWS\PATCH.EXE
2008-07-24 17:41 . 2008-07-24 17:41 69,689 --a------ C:\WINDOWS\UNZIP.DLL
2008-07-24 17:41 . 2008-08-18 14:34 170 --a------ C:\WINDOWS\GetServer.ini
2008-07-24 16:33 . 2001-08-17 21:28 771,581 --a--c--- C:\WINDOWS\system32\dllcache\winacisa.sys
2008-07-24 16:32 . 2001-08-17 21:28 794,654 --a--c--- C:\WINDOWS\system32\dllcache\usr1801.sys
2008-07-24 16:31 . 2001-08-23 17:47 525,568 --a--c--- C:\WINDOWS\system32\dllcache\tridxp.dll
2008-07-24 16:30 . 2001-08-17 22:01 241,664 --a--c--- C:\WINDOWS\system32\dllcache\tosdvd02.sys
2008-07-24 16:29 . 2001-08-23 16:57 286,848 --a--c--- C:\WINDOWS\system32\dllcache\stlnata.sys
2008-07-24 16:28 . 2001-08-23 17:46 147,200 --a--c--- C:\WINDOWS\system32\dllcache\smidispb.dll
2008-07-24 16:27 . 2001-08-23 17:46 386,560 --a--c--- C:\WINDOWS\system32\dllcache\sgiul50.dll
2008-07-24 16:26 . 2001-08-23 17:47 495,616 --a--c--- C:\WINDOWS\system32\dllcache\sblfx.dll
2008-07-24 16:25 . 2001-08-23 17:18 899,914 --a--c--- C:\WINDOWS\system32\dllcache\r2mdkxga.sys
2008-07-24 16:24 . 2008-04-14 04:33 363,520 --a--c--- C:\WINDOWS\system32\dllcache\psisdecd.dll
2008-07-24 16:23 . 2001-08-17 22:05 351,616 --a--c--- C:\WINDOWS\system32\dllcache\ovcodek2.sys
2008-07-24 16:22 . 2008-04-14 04:07 2,025,984 --a--c--- C:\WINDOWS\system32\dllcache\ntkrpamp.exe
2008-07-24 16:21 . 2001-08-23 17:09 131,072 --a--c--- C:\WINDOWS\system32\dllcache\n100325.sys
2008-07-24 16:20 . 2001-08-23 17:03 320,384 --a--c--- C:\WINDOWS\system32\dllcache\mgaum.sys
2008-07-24 16:19 . 2001-08-17 21:28 802,683 --a--c--- C:\WINDOWS\system32\dllcache\ltsm.sys
2008-07-24 16:18 . 2001-08-23 17:47 372,824 --a--c--- C:\WINDOWS\system32\dllcache\iconf32.dll
2008-07-24 16:17 . 2008-04-14 04:33 702,845 --a--c--- C:\WINDOWS\system32\dllcache\i81xdnt5.dll
2008-07-24 16:16 . 2001-08-17 21:28 542,879 --a--c--- C:\WINDOWS\system32\dllcache\hsf_msft.sys
2008-07-24 16:15 . 2001-08-23 17:46 1,733,120 --a--c--- C:\WINDOWS\system32\dllcache\g400d.dll
2008-07-24 16:14 . 2001-08-23 17:16 630,016 --a--c--- C:\WINDOWS\system32\dllcache\eqn.sys
2008-07-24 16:13 . 2001-08-17 20:14 952,007 --a--c--- C:\WINDOWS\system32\dllcache\diwan.sys
2008-07-24 16:12 . 2001-08-23 17:47 622,621 --a--c--- C:\WINDOWS\system32\dllcache\digiview.exe
2008-07-24 16:11 . 2001-08-23 17:04 980,034 --a--c--- C:\WINDOWS\system32\dllcache\cicap.sys
2008-07-24 16:10 . 2001-08-23 17:03 715,466 --a--c--- C:\WINDOWS\system32\dllcache\cbmdmkxx.sys
2008-07-24 16:09 . 2001-08-17 21:28 871,388 --a--c--- C:\WINDOWS\system32\dllcache\bcmdm.sys
2008-07-24 16:08 . 2001-08-17 20:19 747,392 --a--c--- C:\WINDOWS\system32\dllcache\adm8830.sys
2008-07-24 16:07 . 2008-04-14 04:08 2,191,104 --a--c--- C:\WINDOWS\system32\dllcache\ntoskrnl.exe
2008-07-24 15:49 . 2008-08-18 15:50 244 --ah----- C:\sqmnoopt12.sqm
2008-07-24 15:49 . 2008-08-18 15:50 232 --ah----- C:\sqmdata12.sqm
2008-07-24 05:24 . 2008-08-18 14:33 244 --ah----- C:\sqmnoopt11.sqm
2008-07-24 05:24 . 2008-08-18 14:33 232 --ah----- C:\sqmdata11.sqm
2008-07-23 21:10 . 2008-08-18 14:29 244 --ah----- C:\sqmnoopt10.sqm
2008-07-23 21:10 . 2008-08-18 14:29 232 --ah----- C:\sqmdata10.sqm
2008-07-23 21:07 . 2008-08-18 05:25 244 --ah----- C:\sqmnoopt09.sqm
2008-07-23 21:07 . 2008-08-18 05:25 232 --ah----- C:\sqmdata09.sqm
2008-07-23 21:01 . 2008-07-23 21:01 <REP> d-------- C:\Program Files\Alwil Software
2008-07-23 20:57 . 2008-08-18 01:08 244 --ah----- C:\sqmnoopt08.sqm
2008-07-23 20:57 . 2008-08-18 01:08 232 --ah----- C:\sqmdata08.sqm
2008-07-22 11:10 . 2008-08-17 22:15 244 --ah----- C:\sqmnoopt07.sqm
2008-07-22 11:10 . 2008-08-17 22:15 232 --ah----- C:\sqmdata07.sqm
2008-07-21 16:32 . 2008-07-21 16:32 <REP> d-------- C:\Program Files\MSBuild
2008-07-21 16:32 . 2008-07-21 16:32 <REP> d-------- C:\Program Files\Microsoft Works
2008-07-21 16:31 . 2008-07-21 16:31 <REP> d-------- C:\Program Files\Microsoft.NET
2008-07-21 16:30 . 2008-07-21 16:30 <REP> d-------- C:\Program Files\Microsoft Visual Studio 8
2008-07-21 16:29 . 2008-07-21 16:32 <REP> d-------- C:\WINDOWS\SHELLNEW
2008-07-21 16:28 . 2008-07-21 16:28 <REP> dr-h----- C:\MSOCache
2008-07-20 17:38 . 2008-08-16 15:33 244 --ah----- C:\sqmnoopt06.sqm
2008-07-20 17:38 . 2008-08-16 15:33 232 --ah----- C:\sqmdata06.sqm
2008-07-19 14:33 . 2008-07-19 14:33 <REP> d-------- C:\Program Files\WinAVI MP4 Converter

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-08-18 14:54 --------- d-----w C:\Program Files\Spybot - Search & Destroy
2008-08-18 14:54 --------- d-----w C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy
2008-08-18 12:28 --------- d-----w C:\Program Files\Eset
2008-08-18 12:11 --------- d-----w C:\Program Files\eMule
2008-08-18 03:01 196,608 ----a-w C:\WINDOWS\system32\drivers\nStandard.bin
2008-08-17 20:20 --------- d-----w C:\Documents and Settings\All Users\Application Data\Google Updater
2008-07-25 13:52 --------- d--h--w C:\Program Files\InstallShield Installation Information
2008-07-24 13:58 --------- d-----w C:\Program Files\Google
2008-07-23 01:02 --------- d-----w C:\Documents and Settings\All Users\Application Data\Microsoft Help
2008-07-18 01:00 --------- d-----w C:\Program Files\Windows Live
2008-07-17 10:07 --------- d-----w C:\Documents and Settings\Ordi\Application Data\vlc
2008-07-16 10:17 --------- d-----w C:\Program Files\Everest Poker
2008-07-16 10:15 717,296 ----a-w C:\WINDOWS\system32\drivers\sptd.sys
2008-07-16 10:15 --------- d-----w C:\Documents and Settings\Ordi\Application Data\DAEMON Tools
2008-07-14 16:38 --------- d-----w C:\Documents and Settings\Ordi\Application Data\Apple Computer
2008-07-14 07:04 --------- d-----w C:\Program Files\TVAnts
2008-07-14 07:02 --------- d-----w C:\Program Files\SopCast
2008-07-14 01:00 --------- d-----w C:\Program Files\MSXML 4.0
2008-07-10 17:45 --------- d-----w C:\Documents and Settings\Ordi\Application Data\Nero
2008-07-10 17:44 --------- d-----w C:\Program Files\Fichiers communs\Nero
2008-07-10 17:43 --------- d-----w C:\Program Files\Nero
2008-07-10 17:43 --------- d-----w C:\Documents and Settings\All Users\Application Data\Nero
2008-07-10 17:34 --------- d-----w C:\Program Files\SoftChris
2008-07-10 17:26 --------- d-----w C:\Program Files\Java
2008-07-10 17:15 --------- d-----w C:\Program Files\K-Lite Codec Pack
2008-07-10 17:12 --------- d-----w C:\Program Files\Microsoft SQL Server Compact Edition
2008-07-10 17:12 --------- d-----w C:\Documents and Settings\All Users\Application Data\WLInstaller
2008-07-10 17:11 --------- dcsh--w C:\Program Files\Fichiers communs\WindowsLiveInstaller
2008-07-10 17:10 --------- d-----w C:\Program Files\Lavasoft
2008-07-10 17:10 --------- d-----w C:\Program Files\Fichiers communs\Wise Installation Wizard
2008-07-10 17:10 --------- d-----w C:\Documents and Settings\All Users\Application Data\Lavasoft
2008-07-10 11:21 --------- d-----w C:\Program Files\Windows Defender
2008-07-10 11:19 --------- d-----w C:\Program Files\Fichiers communs\Java
2008-07-10 11:11 --------- d-----w C:\Program Files\Fichiers communs\Adobe
2008-07-10 11:10 --------- d-----w C:\Program Files\QuickTime
2008-07-10 11:09 --------- d-----w C:\Program Files\Apple Software Update
2008-07-10 11:09 --------- d-----w C:\Documents and Settings\All Users\Application Data\Apple Computer
2008-07-10 11:09 --------- d-----w C:\Documents and Settings\All Users\Application Data\Apple
2008-07-10 11:08 --------- d-----w C:\Program Files\Fichiers communs\xing shared
2008-07-10 11:08 --------- d-----w C:\Program Files\Fichiers communs\Real
2008-07-10 11:06 --------- d-----w C:\Program Files\Real
2008-07-10 11:05 --------- d-----w C:\Documents and Settings\Ordi\Application Data\Talkback
2008-07-10 11:04 --------- d-----w C:\Program Files\Picasa2
2008-07-10 06:37 --------- d-----w C:\Program Files\Windows Media Connect 2
2008-07-09 18:41 12,288 ----a-w C:\WINDOWS\system32\drivers\EIO64_xp.sys
2008-07-09 18:41 --------- d-----w C:\Program Files\Fichiers communs\InstallShield
2008-07-09 18:41 --------- d-----w C:\Program Files\ASUS
2008-07-09 18:35 --------- d-----w C:\Documents and Settings\Ordi\Application Data\InstallShield
2008-07-09 18:34 315,392 ----a-w C:\WINDOWS\HideWin.exe
2008-07-09 18:34 --------- d-----w C:\Program Files\Realtek
2008-07-09 17:29 --------- d-----w C:\Program Files\microsoft frontpage
2008-07-09 17:28 --------- d-----w C:\Program Files\Services en ligne
2008-06-20 11:51 361,600 ----a-w C:\WINDOWS\system32\drivers\tcpip.sys
2008-06-20 11:40 138,496 ----a-w C:\WINDOWS\system32\drivers\afd.sys
2008-06-20 11:08 225,856 ----a-w C:\WINDOWS\system32\drivers\tcpip6.sys
.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MsnMsgr"="C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" [2007-10-18 11:34 5724184]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2008-04-14 04:33 15360]
"MSMSGS"="C:\Program Files\Messenger\msmsgs.exe" [2008-04-14 04:34 1695232]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2007-12-05 01:41 8523776]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2007-12-05 01:41 81920]
"Google Desktop Search"="C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" [2008-07-10 13:03 29744]
"TkBellExe"="C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" [2008-07-10 13:08 185896]
"QuickTime Task"="C:\Program Files\QuickTime\QTTask.exe" [2008-05-27 10:50 413696]
"Adobe Reader Speed Launcher"="C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2008-06-12 02:38 34672]
"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 04:27 144784]
"NeroFilterCheck"="C:\Program Files\Fichiers communs\Nero\Lib\NeroCheck.exe" [2007-03-01 15:57 153136]
"NBKeyScan"="C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe" [2007-09-20 09:51 1836328]
"RTHDCPL"="RTHDCPL.EXE" [2008-05-07 15:39 16862208 C:\WINDOWS\RTHDCPL.exe]
"nwiz"="nwiz.exe" [2007-12-05 01:41 1626112 C:\WINDOWS\system32\nwiz.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2008-04-14 04:33 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"VIDC.YV12"= yv12vfw.dll

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\sacsvr]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\sglfb.sys]
@="Driver"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\tga.sys]
@="Driver"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\wd.sys]
@="Driver"

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"C:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=
"C:\\Program Files\\eMule\\emule.exe"=
"C:\\Program Files\\SopCast\\SopCast.exe"=
"C:\\Program Files\\SopCast\\adv\\SopAdver.exe"=
"C:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"4662:TCP"= 4662:TCP:port client
"4672:TCP"= 4672:TCP:port client

R1 aswSP;avast! Self Protection;C:\WINDOWS\system32\drivers\aswSP.sys [2008-07-19 16:35]
R1 EIO_XP;EIO_XP;C:\WINDOWS\system32\drivers\EIO_XP.sys [2006-06-14 13:44]
R2 aswFsBlk;aswFsBlk;C:\WINDOWS\system32\DRIVERS\aswFsBlk.sys [2008-07-19 16:37]
R3 asusgsb;ASUS Virtual Video Capture Device Driver;C:\WINDOWS\system32\drivers\asusgsb.sys [2007-07-12 10:03]
R3 Video3D;ASUS Video3D Service;C:\WINDOWS\system32\Drivers\Video3D32.sys [2007-07-12 10:03]
S3 GoogleDesktopManager-022208-143751;Google Desktop Manager 5.7.802.22438;C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe [2008-07-10 13:03]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{614fe024-4ddd-11dd-89ab-8aec5bb7d67f}]
\Shell\AutoRun\command - E:\PStart.exe
.
Contenu du dossier 'Scheduled Tasks/Tƒches planifi‚es'

2008-07-16 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job
- C:\Program Files\Apple Software Update\SoftwareUpdate.exe [2008-04-11 17:57]

2008-08-18 C:\WINDOWS\Tasks\MP Scheduled Scan.job
- C:\Program Files\Windows Defender\MpCmdRun.exe [2006-11-03 19:20]
.
.
------- Supplementary Scan -------
.
FireFox -: Profile - C:\Documents and Settings\Ordi\Application Data\Mozilla\Firefox\Profiles\9a8mi4wc.default\
FireFox -: prefs.js - SEARCH.DEFAULTURL - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FireFox -: prefs.js - STARTUP.HOMEPAGE - hxxp://www.google.fr
FF -: plugin - C:\Program Files\Google\Google Updater\2.2.1202.1501\npCIDetect11.dll
FF -: plugin - C:\Program Files\Mozilla Firefox\plugins\NPAskSBr.dll
FF -: plugin - C:\Program Files\Yahoo!\Common\npyaxmpb.dll

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-08-18 18:10:35
Windows 5.1.2600 Service Pack 3 NTFS

Balayage processus cach‚s ...

Balayage cach‚ autostart entries ...

Balayage des fichiers cach‚s ...

Scan termin‚ avec succŠs
Les fichiers cach‚s: 0

**************************************************************************
.
------------------------ Other Running Processes ------------------------
.
C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\wscntfy.exe
.
**************************************************************************
.
Temps d'accomplissement: 2008-08-18 18:11:48 - machine was rebooted
ComboFix-quarantined-files.txt 2008-08-18 16:11:45

Pre-Run: 28,360,171,520 octets libres
Post-Run: 28,299,563,008 octets libres

290 --- E O F --- 2008-07-23 01:02:04

miktof · Answer

fini ou pas ?

sKe69 · Answer

très bien ...

1- Télécharges : - CCleaner 
https://www.pcastuces.com/logitheque/ccleaner.htm 
Ce logiciel va permettre de supprimer tous les fichiers temporaires et de corrigé ton registre .Lors de l'installation, avant de cliquer sur le bouton "installer", décoche toutes les "options supplémentaires" sauf les 2 première.
Une fois le prg instalé et lancé, Clique sur "Options", "Avancé" et décoche la case "Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures"( Par la suite, laisse-le avec ses réglages par défaut. C'est tout ). 

Un tuto ( aide ): 
http://perso.orange.fr/jesses/Docs/Logiciels/CCleaner.htm 

---> Utilisation:
! déconnectes toi et fermes toutes applications en cours !
* vas dans "nettoyeur" : fait analyse puis nettoyage 
* vas dans "registre" : fait chercher les erreurs et réparer ( plusieurs fois jusqu'à ce qu'il n'y est plus d'erreur ) . 

( CCleaner : soft à garder sur son PC , super utile pour de bons nettoyages ... )


2- Bagle détruit le mode sans échec , donc :
Télécharges ceci : 
https://download.bleepingcomputer.com/sUBs/SafeBootKeyRepair.exe 

doubles clique dessus ( cela répare la clé safeboot qui gère le mode sans echec ).


3- Démarrer en mode sans echec : 
Comment aller en Mode sans échec 
1) Redémarres ton ordi 
2) Tapotes la touche F8 immédiatement, (F5 sur certains PC) juste après le "Bip" 
3) Tu verras un écran avec options de démarrage apparaître 
4) Choisis la première option : Sans Échec, et valide avec "Entrée" 
5) Choisis ton compte habituel, et non Administrateur (si besoin ... ) 
(attention : pas de connexion possible en mode sans échec , donc copies ou imprimes bien la manipe pour éviter les erreur ...)
 
Doubles cliquer C-Fix ( =combofix ). 

Appuyer sur la touche Y (Yes) pour démarrer le scan . 

Attention : n'utilise pas ta souris ni ton clavier (ni un autre système de pointage) pendant que le programme tourne. Cela pourrait figer l'ordi. 
---> si un message d'erreur windows apparait à un momment , clik sur la croix en haut à droite de la fenêtre pour la fermer ( et pas sur autre chose ! ) 

Le rapport sera crée dans: C:\Combofix.txt 

Redémarres ton PC ( = mode normal ) 
Postes le rapport combo fix pour analyse ...

sKe69 · Answer

Ok ... Un peu de nettoyage :

1- Télécharges ToolsCleaner (de A.Rothstein) sur ton Bureau. 
http://pc-system.fr/

Déconnectes toi et fermes bien toutes tes applications en cours .

Lances le . 
*Cliques sur Recherche et laisses le scan se terminer (cela peut être long). 
*Cliques sur Suppression pour finaliser. 
*Tu peux, si tu le souhaites, te servir des Options facultatives 
*Click sur "quitter" pour générer un rapport :
---> Postes le (TCleaner.txt), il se trouve à la racine de ton disque dur (C:\). 

Note : Ce petit soft va te nettoyer tout les trucs dont on c'est servi pour la désinfection ...
Supprimes tout les outils , dossiers ou rapports consernant la désinfection que Toolsclaener2 n'a pas supprimé . 


2- refais un coup de CCleaner ( registre compris ) .


3- Télécharges et installes le logiciel HijackThis : 
 
ici :ftp://ftp.commentcamarche.com/download/HJTInstall.exe
ou ici : http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe

1- Cliques sur le setup pour lancer l'installe : laisses toi guider et ne modifies pas les paramètres d'installation .
A la fin de l'installe , le prg ce lance automatiquement : fermes le en cliquant sur la croix rouge .
Au final, tu dois avoir un raccourci sur ton bureau et aussi un cheminement comme : "C:\ programme file\Trend Micro\HijackThis\HijackThis.exe " .
Supprimes le raccourcis stp ...

Important :
Renommer le prg HijackThis : 
Rends toi sur ton PC ici "C:\ programme file\Trend Micro\HijackThis\HijackThis.exe"<---cliques droit sur ce dernier et choisis "renommer" : tapes monjack et valides .
Puis cliques droit sur "monjack.exe" et choisis "envoyer vers" -> le bureau ( créer un raccourci ). 

tuto pour utilisation 
Regardes ici, c'est parfaitement expliqué en images (merci balltrap34) :
http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm

2-!! Déconnectes toi et fermes toute tes applications en cours !!

Cliques sur le raccourci du bureau pour lancer le prg :
fais un scan "monjack" (ou HijackThis renommé) en cliquant sur : "Do a system scan and save a logfile" 

---> Postes le rapport généré pour analyse et attends la suite ...

sKe69 · Answer

Ok ...

encore une petite infection à traiter ...

1- Postes moi le rapport de toolscleaner2 stp ( -> C:\TCleaner.txt ) 


2- Télécharges ToolBar S&D ( de Eric_71 ) :
https://77b4795d-a-62cb3a1a-s-sites.googlegroups.com/site/eric71mespages/ToolBarSD.exe?attachauth=ANoY7cqJWPphpudyTqv7TRo5RQ3nm_Sx8JluVMO59X5E9cyE3j3LqKlmStIqiDqJdIgMJLi7MXn2nKVajQfoWuVvZZ2wIx_vkqO4k4P0K9jh-ra9jaKPXdZcoaVF2UqJZNH8ubL_42uIwh6f35xJ2GJMuzddVj2Qth1DgZ839lxEIFGkgWz3TdfvNMy-YtxfA3gqBUrj4U4LFeAPiWr3ClmjIP0t_Xs5PQ%3D%3D&attredirects=2

( Tuto : https://sites.google.com/site/toolbarsd/aideenimages )

!! Déconnectes toi et fermes toute tes applications en cours le temps de la manipe !! 

* double-cliques sur l'.exe pour lancer l'installe et laisses toi guider ... 
* Une fois fait, cliques sur le raccourci créé sur ton bureau pour lancer l'outil . 
* Choisis l'option 1 ( "recherche") et tapes "entrée" .
* Une fois le scan finit , un rapport va apparaître, copie/colles l'intégralité 
de son contenu dans ta prochaine réponse ...
( le rapport est en outre sauvegardé ici -> C:\TB.txt )

sKe69 · Answer

Bon ... 

Mauvaise nouvelle , le Bagle a l'air encore présent   ....   :-s

1- !! Déconnectes toi et fermes toute tes applications en cours le temps de la manipe !!  

Relances Toolbar-S&D en double-cliquant sur le raccourci. 
-->Tapes sur l'option 2 ( "nettoyage" ) puis tapes sur "Entrée". 
Note : ne touches à rien lors de la suppression ! 
Un rapport sera généré à la fin du processus : postes son contenu dans ta prochaine réponse ...

( PS : Si ton Bureau ne réapparait pas, appuies simultanément sur "Ctrl+Alt+Supp"r pour ouvrir le Gestionnaire des tâches. 
Rends-toi sur l'onglet "Processus". Clique en haut à gauche sur Fichier et choisis "Exécuter..." 
Tapes explorer puis valides ... )


2- Redémarres ton PC et refais un scan hijackthis . Postes moi le nouveau rapport obtenu ...

miktof · Answer

-----------\  ToolBar S&D 1.0.9   XP/Vista

   [ Windows XP (NT 5.1) Build 2600, Service Pack 3 ]
   [ USER : Ordi ] [ "C:\Toolbar SD" ] [ Selection : 2 ]
   [ 18/08/2008 | 19:54:06,04 ] [ PC : ADVANCE ]
   [ MAJ : 13-08-2008 | 14:08 ]

   -----------\  Recherche de Fichiers / Dossiers ...


   -----------\  Extensions

   (Ordi) - {3112ca9c-de6d-4884-a869-9855de68056c} => google-toolbar


   -----------\  [..\Internet Explorer\Main]

   [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
   "Local Page"="C:\WINDOWS\system32\blank.htm"
   "Start Page"="https://www.google.fr/?gws_rd=ssl"
   "Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"

   [HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
   "Default_Page_URL"="https://www.msn.com/fr-fr/?ocid=iehp"
   "Default_Search_URL"="https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF"
   "Search Page"="https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF"
   "Start Page"="https://www.msn.com/fr-fr/?ocid=iehp"
   "Search Bar"="https://www.bing.com/?toHttps=1&redig=8F3F334EA60E4B1CB4D040DCFE393A89{SUB_RFC1766}/srchasst/srchasst.htm"


   --------------------\  Recherche d'autres infections

   --------------------\  ROOTKIT !!

   [HKLM\..\ControlSet001\Servicesosa] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet001\Services\srosa] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet003\Enum\Root\LEGACY_SROSA] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet003\Servicesosa] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet003\Enum\Rootosa] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet003\Services\srosa] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet003\Enum\Root\srosa] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet001\Servicesosa] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet001\Services\srosa] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet003\Enum\Root\LEGACY_SROSA] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet003\Servicesosa] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet003\Enum\Rootosa] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet003\Services\srosa] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet003\Enum\Root\srosa] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet001\Servicesosa] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet001\Services\srosa] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet003\Enum\Root\LEGACY_SROSA] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet003\Servicesosa] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet003\Enum\Rootosa] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet003\Services\srosa] -- ROOTKIT Bagle !
   [HKLM\..\ControlSet003\Enum\Root\srosa] -- ROOTKIT Bagle !

   --------------------\  Cracks & Keygens ..

   C:\DOCUME~1\Ordi\Bureau\Crack
   C:\DOCUME~1\Ordi\Bureau\Crack\Soulstorm.exe
   C:\DOCUME~1\Ordi\Bureau\Crack\Warhammer 40000 - Dawn Of War Soulstorm - Seriale.txt


   -----------\  Fin du rapport a 19:54:32,59

miktof · Answer

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:58:27, on 18/08/2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Program Files\Trend Micro\HijackThis\monjack.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.update.microsoft.com/windowsupdate/v6/default.aspx
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Share Accelerator MM Toolbar - {4596013b-6c31-408b-a266-deae5c086dc2} - C:\Program Files\Share_Accelerator_MM	bShar.dll
O2 - BHO: Adobe PDF Link Helper - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Share Accelerator MM Toolbar - {4596013b-6c31-408b-a266-deae5c086dc2} - C:\Program Files\Share_Accelerator_MM	bShar.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O3 - Toolbar: Share Accelerator MM Toolbar - {4596013b-6c31-408b-a266-deae5c086dc2} - C:\Program Files\Share_Accelerator_MM	bShar.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Google Desktop Search] "C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O15 - Trusted Zone: http://www.secuser.com
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Google Desktop Manager 5.7.802.22438 (GoogleDesktopManager-022208-143751) - Google - C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Fichiers communs\Nero\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe

Hadrienen · Answer

Relance HijackThis

Do a scan only

coche O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

Fixed. et normalement c'est bon;)

sKe69 · Answer

bien ...

On va utiliser une autre tactique ...

Supprimes l'elibagla renommé que tu as ...

et reprends ainsi : 


A ) IMPORTANT : 
je rappelle que bagle est amené par un crack et qu'il se relance dès que tu te sers de celui ci; même si tu ne sers pas, il peut se relancer de lui même au démarrage de ton PC . En claire : 
Essayes surtout de te rappeler si récemment tu n' as pas clicker sur un "patch" ou un "keygen" pour instaler un logiciel, un jeu cracké ou avoir une version complète d'un soft , et qu'il ne se soit rien passé de particulier ... C'est la que les beagles s'infiltrent ! Si tu retrouves ce crack en particulier ,scratch tout ( le crack, le soft ou encore les zip concernés). Si tu ne te rappelles plus trop , je te conseille fortement de supprimer tous les patchs qui sont sur ton PC ... ;) 

-->tu vas faire ceci dans l'ordre indiqué et en respectant les consignes 

B )* Télécharges Kb2 sur ce lien : (merci a moe pour la réalisation !)  :
http://sd-1.archive-host.com/membres/up/1366464061/KB2.exe 
---> copies le sur ton bureau ( et pas ailleurs! ) .

 * Rends toi sur ce site : 
http://www.zonavirus.com/datos/descargas/95/elibagla.asp 
Tout en bas de cette page tu trouveras un outil à télécharger, 
cliques sur "escargar Elibagla" (le numéro de version change au fur et à mesure des mises à jour) 
et instales ce fichier sur le bureau (et pas ailleurs !).  

Etape 1 : 

Si tu as connecté une cle usb depuis que tu as été infecté branche la sans l´ouvrir... 

Etape 2 : 

Sur ton bureau double clic sur KB.exe. 
Tu verras apparaître sur le bureau, un raccourci nommé " KillB ". 
Fais glisser le fichier Elibagla.exe sur ce raccourci, exactement comme si tu voulais le déposer dans un dossier. 

Elibagla va se lancer automatiquement. 
Cliques sur " Ok " aux premières boîtes de dialogue qui peuvent apparaître avant le menu principal de l'outil : 

Por favor, envienos una muestra del fichero 
C:\Muestras\HLDRRR.EXE.Muestra EliBagle v11.18 
a "virus@satinfo.es". Gracias 
et/ou 
Eliminando Gusano BAGLE 

Une fois fait, le menu principal d'Elibagla apparaîtra : 

- Laisses la case "Eliminar ficheros automaticamente" coché 
- Cliques sur "Explorar" pour lancer le scan.
 
ATTENTION :
/!\ Pendant toute la durée du scan, n'utilises pas ton pc, n'ouvre aucun programmes et laisses l'outil travailler. s
/!\ Ne redemarres pas le pc après le scan. 

Le scan terminé, copie/colle sur le forum le rapport situé dans C:\KB\KB.txt et celui d'Elibagla situé dans C:\Infosat.txt  et attends la suite ...

sKe69 · Answer

Ok ... et le rapport de KB stp   ( C:\KB\KB.txt )

sKe69 · Answer

re,

le rapport KB stp ...

ensuite fais ce-ci :

Télécharges MalwareByte's : 
ici ftp://ftp.commentcamarche.com/download/mbam-setup.exe
ou ici : http://www.malwarebytes.org/mbam.php
 
Installes le ( choisis bien "francais" ; ne modifies pas les paramètres d'installe ) et mets le à jour . 

(NB : S'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharges le ici : https://www.malekal.com/tutorial-aboutbuster/ )

Potasses le tuto pour te familiariser avec le prg : https://forum.pcastuces.com/sujet.asp?f=31&s=3 
( cela dis, il est très simple d'utilisation ).

Impératif : redémarres en mode sans échec : 
Comment aller en Mode sans échec 
1) Redémarres ton ordi 
2) Tapote la touche F8 immédiatement, (F5 sur certains PC) juste après le "Bip" 
3) Tu verras un écran avec options de démarrage apparaître 
4) Choisis la première option : Sans Échec, et valide avec "Entrée" 
5) Choisis ton compte habituel, et non Administrateur (si besoin ... ) 
(attention : pas de connexion possible en mode sans échec , donc copies ou imprimes bien la manipe pour éviter les erreurs ...)
 
Lances Malwarebyte's .

Fais un scan dit "complet" ( sélectionnes bien tout tes disks avant le scan )  et supprimes tout ce qu'il peut trouver :
--->une fois le scan terminé , click sur "résultat" : puis vérifies que tous les objets infectés soient validés, puis click sur " suppression " .

Redémarres ton PC ( mode normal ). 

Postes le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes) accompagné d'un nouvel hijackthis ( fait en mode normal ) ...

Virus

25 réponses

Votre réponse

Discussions similaires

Newsletters