Virus reçu par un contact MSN hors ligne

h8l1b0y Messages postés 6 Statut Membre -  
h8l1b0y Messages postés 6 Statut Membre -
Bonjour,

Il semblerait que j'ai été exposé à un virus relativement courant, en cliquant sur un lien envoyé par un de mes contacts MSN hors ligne. Il m'a été demandé mon identifiant MSN pour accéder au lien et malheureusement j'ai foncé tête baissée. Arrivé sur une page vide avec des publicités, rien ne s'est affiché ou ne m'a été demandé. J'ai commencé à me dire que quelque chose n'était pas normal, j'ai tout fermé mais c'était probablement trop tard.

En cherchant un peu sur le net, je suis tombé sur des conseils, notamment l'utilisation de MSNFix. J'ai appliqué la procédure conseillée (deux fois de suite pour voir s'il restait une infection, apparemment, oui) et j'obtiens le rapport suivant:

MSNFix 1.742

C:\MSNFix\MSNFix
Fix exécuté le 21/08/2008 - 14:19:08,34 By NICOLE
mode normal

************************ Recherche les fichiers présents

... C:\log.txt

************************ Recherche les dossiers présents

Aucun dossier trouvé

************************ Suppression des fichiers

/!\ ... C:\log.txt

************************ Nettoyage du registre

************************ Hostsclean

Cleanhosts v 0.1.0.7 By Laurent

-- Backup : C:\WINDOWS\system32\drivers\etc\hosts-20080821142131
-- original size 0.77 Kb / 20 lines
-- Start cleaning Hosts file ....

-- final size 0.77 Kb / 20 lines
-- entry Found : 0 / Entry check : 310

End .............................. 37.82 Secondes

Les fichiers encore présents seront supprimés au prochain redémarrage

************************ Suppression des fichiers

/!\ ... C:\log.txt

************************ Hostsclean

Cleanhosts v 0.1.0.7 By Laurent

-- Backup : C:\WINDOWS\system32\drivers\etc\hosts-20080821142452
-- original size 0.77 Kb / 20 lines
-- Start cleaning Hosts file ....

-- final size 0.77 Kb / 20 lines
-- entry Found : 0 / Entry check : 310

End .............................. 65.18 Secondes

************************ Fichiers suspects

/!\ ces fichiers nécessitent un avis expérimenté avant toute intervention

[C:\WINDOWS\system32\spoolsv(2).exe] DA81EC57ACD4CDC3D4C51CF3D409AF9F

[color=#FF0000][b]==>/b/color SVP merci d'envoyer le fichier [b] C:\DOCUME~1\NICOLE\Bureau\Upload_Me.zip /b sur http://upload.changelog.fr

Les fichiers et clés de registre supprimés ont été sauvegardés dans le fichier 21082008_14255779.zip

************************ HKLM\...\Winlogon\Userinit

Userinit = C:\WINDOWS\system32\userinit.exe,

Important : http://msnfix.changelog.fr/index.php/2008/05/18/32-alerte

------------------------------------------------------------------------
Auteur : !aur3n7 Contact: https://www.ionos.fr/
------------------------------------------------------------------------

--------------------------------------------- END ---------------------------------------------

Ce sujet a l'air assez courant sur le forum mais je préfère quand même faire directement appel à vous, je ne suis pas assez à l'aise pour improviser. Pourriez-vous m'indiquer ce qui reste à faire pour me débarrasser de l'infection?
Merci
A voir également:

6 réponses

Utilisateur anonyme
 
Bonjour,

Phiphing ????

Info : http://msnfix.changelog.fr/index.php/2008/05/18/32-alerte

As tu donner adresse et mot de passe en répondant à un lien de tes contacts ?

A+
1
h8l1b0y Messages postés 6 Statut Membre 1
 
"DllD, le jeudi 21 août 2008 à 15:22:51

Bonjour,

Phiphing ????

Info : http://msnfix.changelog.fr/index.php/2008/05/18/32-alerte

As tu donner adresse et mot de passe en répondant à un lien de tes contacts ?

A+ "

En effet, on m'a demandé les deux... et (roulements de tambour) je l'ai fait!
1
Utilisateur anonyme
 
Hé.... bien....

Informe tes contacts de ne pas accepter les liens que tu envoies à ton insu.

Désolé. Mais vraisemblablement personnes ne peut rien faire :

Techniquement, une fois que VOUS avez renseigné ces champs et validé, personne ne peux plus rien faire pour vous. Ces pirates utilisent des serveurs configurés et localisés de façon à rendre très difficile voir impossible toute investigation et donc recours.

A+
0
Utilisateur anonyme
 
Change ton mot de passe MSN aussi.

A+
0
h8l1b0y Messages postés 6 Statut Membre 1
 
Y a t-il des risques de manipulations du PC à distance, même si MSN est éteint, ou d'autres choses de ce genre?
0
Utilisateur anonyme
 
En fait,

Les pirates qui ont ton adresse et mot de passe envoye à tes contact le même lien afin d'avoir un maximum d'adhérents dans le but de nuire et de détenir des infos perso.

C'est le seul risque à mon sens.


A+
0
h8l1b0y Messages postés 6 Statut Membre 1
 
Bien... En tous cas merci des conseils et de la rapidité de réponse.
Bonne fin de journée!
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
h8l1b0y Messages postés 6 Statut Membre 1
 
Rebonjour,

Par acquis de conscience, j'ai aussi fait un scan HJT. Voici les résultats.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:39:53, on 21/08/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Symantec\LiveUpdate\AluSchedulerSvc.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
C:\PROGRA~1\HEWLET~1\HPSHAR~1\hpgs2wnf.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\MSN Messenger\usnsvc.exe
C:\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.orange.fr/portail
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: NCO 2.0 IE BHO - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - C:\Program Files\Fichiers communs\Symantec Shared\coShared\Browser\2.5\coIEPlg.dll
O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\PROGRA~1\FICHIE~1\SYMANT~1\IDS\IPSBHO.dll
O3 - Toolbar: Show Norton Toolbar - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - C:\Program Files\Fichiers communs\Symantec Shared\coShared\Browser\2.5\CoIEPlg.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Program Files\Norton Internet Security\osCheck.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {7FC1B346-83E6-4774-8D20-1A6B09B0E737} (Windows Live Photo Upload Control) - http://cid-070cccd1e66039e0.spaces.live.com/PhotoUpload/MsnPUpld.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{76E3BF84-3F77-4CFE-934F-9EC0E61D4AEA}: NameServer = 80.10.246.134 80.10.246.7
O23 - Service: Automatic LiveUpdate Scheduler - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\AluSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\VAScanner\comHost.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\LuComServer_3_4.EXE
O23 - Service: LiveUpdate Notice - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Planificateur LiveUpdate automatique - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Symantec Core LC - Unknown owner - C:\PROGRA~1\FICHIE~1\SYMANT~1\CCPD-LC\symlcsvc.exe
0
Utilisateur anonyme
 
Re,

Tu as bien eu raison de le faire.

Bonne nouvelle : il est clean.

Bonne continuation.
0
h8l1b0y Messages postés 6 Statut Membre 1
 
Merci, bonne continuation également!
0