virus Bagle heeelp

Question

Bonjour,
Depuis quelques jours je crois que je suis infecter par le virus Bagle. Mon antivirus ne se lance plus, mon wifi ne marche plus etc 

J'ai eu la confirmation d'etre infecter via un antivirus en ligne, mais impossible de le supprimer ! j'ai essayer plein de truc et astuces que j'ai trovuer sur ce site (ou autre merci google) mais nada rien !

Veuillez svp m'aider !

forminux1 · Answer

lu 
tu va suivre mes instruction a la lettre ok t'est encore la?
tu as quoi comme antivirus?
____________________________________________________________________
 
A Vaincre Sans Péril,On Triomphe Sans Gloire !!!!!!

Mehdi · Answer

ok je suis la (merci)

Mehdi · Answer

Impossible de lancer COmboFix.exe j'ai ce message : C\...\Combofix.exe n'est pas une application Win 32 valide

Chiquitine29 · Answer

Salut et bienvenue 


Telecharge FindB :

- Fas un clic droit sur le lien, enregistrer sous .... sur le bureau 


---> http://sd-1.archive-host.com/membres/up/116615172019703188/FindB.exe



--> Double clic sur FindB

--> Post le rapport FindB.txt dans ton prochain message

Note :  le rapport FindB.txt est sauvegardé a la racine du disque

Chiquitine29 · Answer

Salut,

A 2 on est plus fort ....

PS: désolé si je t es offensé,, sincèrement

Mehdi · Answer

+- FindB mis a jours le  21/08/08 par Chiquitine29



+- Recherche de fichier infectueux :




+- Recherche dans : C:\Windows\Prefetch :


C:\Windows\Prefetch\WINTEMS.EXE-????????.pf Présent!! 
C:\Windows\Prefetch\MDELK.EXE-????????.pf Présent!! 
C:\Windows\Prefetch\HLDRRR.EXE-????????.pf Présent!! 
C:\Windows\Prefetch\FLEC006.EXE-????????.pf Présent!! 


+- Recherche dans : C:\Windows\system32 :


C:\Windows\system32\mdelk.exe Présent!! 
C:\Windows\system32\wintems.exe Présent!! 


+- Recherche dans : C:\Windows\system32\drivers :


C:\Windows\system32\drivers\mdelk.exe Présent!! 
C:\Windows\system32\drivers\srosa.sys Présent!! 
C:\Windows\system32\drivers\hldrrr.exe Présent!! 
C:\Windows\system32\drivers\downld Présent!! 


+- Recherche dans : C:\Users\Lahlou Mehdi\AppData\Roaming :


"C:\Users\Lahlou Mehdi\AppData\Roaming\m\flec006.exe " Présent!! 
C:\Users\Lahlou Mehdi\AppData\Roaming\m\list.oct Présent!! 
C:\Users\Lahlou Mehdi\AppData\Roaming\m\data.octt Présent!! 
"C:\Users\Lahlou Mehdi\AppData\Roaming\m\srvlist.oct " Présent!! 
"C:\Users\Lahlou Mehdi\AppData\Roaming\m " Présent!! 
"C:\Users\Lahlou Mehdi\AppData\Roaming\m\shared " Présent!! 


+- Registre :


HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    Windows Defender    REG_EXPAND_SZ    %ProgramFiles%\Windows Defender\MSASCui.exe -hide
    SunJavaUpdateSched    REG_SZ    "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"
    OEM02Mon.exe    REG_SZ    C:\Windows\OEM02Mon.exe
    UltraMon    REG_SZ    "C:\Program Files\UltraMon\UltraMon.exe" /auto
    ShStatEXE    REG_SZ    "C:\Program Files\McAfee\VirusScan Enterprise\SHSTAT.EXE" /STANDALONE
    McAfeeUpdaterUI    REG_SZ    "C:\Program Files\McAfee\Common Framework\UdaterUI.exe" /StartedFromRunKey
    Adobe Reader Speed Launcher    REG_SZ    "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
    SynTPEnh    REG_SZ    C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
    NvSvc    REG_SZ    RUNDLL32.EXE C:\Windows\system32
vsvc.dll,nvsvcStart
    NvCplDaemon    REG_SZ    RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
    NvMediaCenter    REG_SZ    RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
    NVHotkey    REG_SZ    rundll32.exe C:\Windows\system32
vHotkey.dll,Start
    TkBellExe    REG_SZ    "C:\Program Files\Common Files\Real\Update_OBealsched.exe"  -osboot
    NeroFilterCheck    REG_SZ    C:\Program Files\Common Files\Nero\Lib\NeroCheck.exe
    NBKeyScan    REG_SZ    "C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
    SigmatelSysTrayApp    REG_EXPAND_SZ    %ProgramFiles%\SigmaTel\C-Major Audio\WDM\sttray.exe

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\OptionalComponents

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    ehTray.exe    REG_SZ    C:\Windows\ehome\ehTray.exe
    MsnMsgr    REG_SZ    "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
    Skype    REG_SZ    "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
    DELL Webcam Manager    REG_SZ    "C:\Program Files\Dell\DELL Webcam Manager\DellWMgr.exe" /s
    BitTorrent DNA    REG_SZ    "C:\Users\Lahlou Mehdi\Program Files\DNA\btdna.exe"
    Voipwise    REG_SZ    "C:\Program Files\Voipwise.com\Voipwise\Voipwise.exe" -nosplash -minimized
    BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}    REG_SZ    "C:\Program Files\Common Files\Nero\Lib\NMBgMonitor.exe"
    Veoh    REG_SZ    "C:\Program Files\Veoh Networks\Veoh\VeohClient.exe" /VeohHide
    (par d‚faut)    REG_SZ    
    WengoPhoneNG    REG_SZ    C:\Program Files\WengoPhone\qtwengophone.exe -b
    eyeBeam SIP Client    REG_SZ    "C:\Program Files\CounterPath\X-Lite\x-lite.exe"
    AlcoholAutomount    REG_SZ    "C:\Program Files\Alcohol Soft\Alcohol 120\axcmd.exe" /automount
    UltraSMS    REG_SZ    C:\Program Files\UltraSMS\UltraSMS.exe



+- Registre, recherche Srosa :


HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa
    Type    REG_DWORD    0x1
    Start    REG_DWORD    0x1
    ErrorControl    REG_DWORD    0x0
    ImagePath    REG_EXPAND_SZ    \??\C:\Windows\system32\drivers\srosa.sys
    DisplayName    REG_SZ    Megadrv3

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa\Enum

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa
    Type    REG_DWORD    0x1
    Start    REG_DWORD    0x1
    ErrorControl    REG_DWORD    0x0
    ImagePath    REG_EXPAND_SZ    \??\C:\Windows\system32\drivers\srosa.sys
    DisplayName    REG_SZ    Megadrv3

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa\Enum

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\srosa
    Type    REG_DWORD    0x1
    Start    REG_DWORD    0x1
    ErrorControl    REG_DWORD    0x0
    ImagePath    REG_EXPAND_SZ    \??\C:\Windows\system32\drivers\srosa.sys
    DisplayName    REG_SZ    Megadrv3


HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA
    NextInstance    REG_DWORD    0x1

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA\0000

HKEY_CURRENT_USER\Software\DateTime4
    uid    REG_SZ    17379243
    port    REG_DWORD    0x3ded
    wdrn    REG_DWORD    0x1


HKEY_CURRENT_USER\Software\FirtR
    Fir076syj0Run    REG_DWORD    0x1


HKEY_CURRENT_USER\Software\FirstRRRun
    First12Ru123n    REG_DWORD    0x1


HKEY_CURRENT_USER\Software\MuleAppData
    ListTime    REG_DWORD    0x1a
    FileTime    REG_DWORD    0x1a
    ServerTime    REG_DWORD    0x1a



+- Recherche terminee !



+- Execute le : 26/08/2008 a 13:20:26,74

Mehdi · Answer

pour HijackThis je ne peux pas lancer l'application meme probleme HijackThis application win 32 non valide

forminux1 · Answer

telecharge Malwarebyte's Anti-Malware a cette adresse:
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

ensuite:
. sur la page cliques sur Télécharger Malwarebyte's Anti-Malware 
. enregistres le sur le bureau 
. Double cliques sur le fichier téléchargé pour lancer le processus d'installation. 
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour 
. si le pare-feu demande l'autorisation de se connecter pour malwarebytes, acceptes 
. Une fois la mise à jour terminée,fermes Malwarebytes 
. redemarres en mode sans échec   ( pour savoir comment au cas ou tu ne saurrais redemarre ton pc et fait F8)
. une fois en mode sans echec tu double-cliques sur l'icône de malwarebytes 
. une fois ouvert rend-toi dans l'onglet, Recherche 
. Sélectionnes Exécuter un examen complet 
. Cliques sur Rechercher 
. Le scan démarre. 
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés. 
. Cliques sur Ok pour poursuivre. 
. Si des malwares ont été détectés, cliques sur Afficher les résultats 
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. 
. redemarre le pc 
. une fois redémarré en mode normal double-cliques sur malwarebytes 
. rends toi dans l'onglet rapport/log 
. tu cliques dessus pour l'afficher une fois affiché 
. tu cliques sur edition en haut du boc notes,et puis sur sélectionner tous 
. tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse 
. tu me colle ton rapport=>clic droit coller


____________________________________________________________________
 
A Vaincre Sans Péril,On Triomphe Sans Gloire !!!!!!

Chiquitine29 · Answer

re medhi t as lancé malewarebyte ?

Chiquitine29 · Answer

ça m était adresser ...

Chiquitine29 · Answer

Si suivre le topic c est celui là

Mehdi · Answer

Malwarebytes' Anti-Malware 1.25
Database version: 1087
Windows 6.0.6001 Service Pack 1

14:42:17 26/08/2008
mbam-log-08-26-2008 (14-42-17).txt

Scan type: Full Scan (C:\|)
Objects scanned: 145928
Time elapsed: 38 minute(s), 9 second(s)

Memory Processes Infected: 0
Memory Modules Infected: 0
Registry Keys Infected: 3
Registry Values Infected: 0
Registry Data Items Infected: 0
Folders Infected: 1
Files Infected: 4

Memory Processes Infected:
(No malicious items detected)

Memory Modules Infected:
(No malicious items detected)

Registry Keys Infected:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa (Rootkit.Bagle) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\srosa (Rootkit.Bagle) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa (Rootkit.Bagle) -> Quarantined and deleted successfully.

Registry Values Infected:
(No malicious items detected)

Registry Data Items Infected:
(No malicious items detected)

Folders Infected:
C:\Windows\System32\drivers\downld (Trojan.Agent) -> Files: 524 -> Quarantined and deleted successfully.

Files Infected:
C:\Windows\System32\mdelk.exe (Trojan.Spammer) -> Quarantined and deleted successfully.
C:\Windows\System32\wintems.exe (Trojan.Spammer) -> Quarantined and deleted successfully.
C:\Windows\System32\drivers\hldrrr.exe (Rootkit.Agent) -> Quarantined and deleted successfully.
C:\Windows\System32\drivers\srosa.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.

Mehdi · Answer

voilé c'est fait ! je redémarre mon pc ?

Mehdi · Answer

j'ai Mcafee Virus scan Entreprise 8.5.0i  ... enfin mnt j'ai rien puisque rien ne se lance :p

Chiquitine29 · Answer

re medhi ,

quand tu as un moment tu peux refaire un scan findB stp et poster le rapport

Chiquitine29 · Answer

c est du a l infection bagle elle reconnait les outils et les neutralise ..

Chiquitine29 · Answer

je pense que le nettoyage malewarebyte ne suffit pas, qu au redémarrage l infection c est relancé faudrait avoir des nouvelles de medhi

Chiquitine29 · Answer

L Infection bagle viens des cracks , spybot n y peut rien,


Les dangers des cracks : http://forum.malekal.com/ftopic893.php 

Le crack dans toute sa splendeur, journal d'une infection attendue : 

https://forum.zebulon.fr/topic/93281-pr%C3%A9vention-le-crack-dans-toute-sa-splendeur/

Mehdi · Answer

je suis la ... je suis entrain d'analyser avec spybot  ... et comme vous dites l'infection est toujours la ! puisque dans processus il y a un flec006.exe ...

forminux1 · Answer

faut qu'il fasse un scann avec trojan elite apres 
on verra par la suite!

____________________________________________________________________
 
A Vaincre Sans Péril,On Triomphe Sans Gloire !!!!!!

Virus Bagle heeelp - Page 2

Discussions similaires

Newsletters