Malware tenace

Question

Bonjour,

j'ai instalé par mégarde un malware relativement chiant qui me fait des fausses alertes de sécurité en tout genre. J'ai fait un scan avec deux antivirus différents (avg, puis antivir), et utilisé malewarebyte mais j'ai tjours une partie des alertes. Je sais pas trop quoi faire pour m'en débarasser. Si quelqu'un a une idée... :o)
Merci

Zangetsu · Answer

Fais un log Hijackthis, s'il te plait, ça nous aidera. Si tu ne sais pas comment t'en servir, ci-dessous tu trouveras un tutoriel.

https://forums.cnetfrance.fr

jfkpresident · Answer

bonsoir a vous ;

pour suivre ..

Zangetsu · Answer

"ouis c bon pour les antivirus j'avais AVG et comme y me solutionnais aps le pb je l'ai jarté et j'en i mis un autre (gratuit également) pour voir si il s'en sortait mieux :o) Je fais le rapport avec hijack et je post" --> Fais attention à l'orthographe. C'est plus sympa pour les helpers. (et les autres aussi :-) )

Zangetsu · Answer

Télécharges ComboFix à l'adresse ci-dessous :

https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

1) Lances-le
2) Après la fin de la sauvegarde du Registre Windows, ComboFix va déconnecter ton pc d'internet. Donc ne sois pas surpris, ta connexion sera totalement rétablie après.
3) Post le rapport qui s'ouvrira à la fin, ainsi qu'un nouveau log Hijackthis.

jfkpresident · Answer

re;

zangetsu : pourquoi lancer combofix d'entrée alors qu'il y a infection LOP : O4 - HKLM\..\Policies\Explorer\Run: [sJHM1xJha5] C:\Documents and Settings\All Users\Application Data\vedorkvy\hebkvcvk.exe   ??

Zangetsu · Answer

jfkpresident : 

1) Comment tu sais que c'est un LOP ? Parce qu'elle est ici -> HKLM\..\Policies\Explorer\Run ?
2) ComboFix, fais avant cette désinfection là, ne ferait rien ?

jfkpresident · Answer

Comment tu sais que c'est un LOP ? Parce qu'elle est ici -> HKLM\..\Policies\Explorer\Run ? 

oui et la suite de lettre aléatoire : hebkvcvk.exe 

ComboFix, fais avant cette désinfection là, ne ferait rien ?

L'emploi de combofix doit etre modéré ,cet un fix puissant donc a utilisé en dernier recours ou en cas de grosses ou multi-infections ..

utilise plutot les outils comme Sdfix ,lopS&D ,toolbarS&D ,MBAM ,navilog Otmoveit   etc .....

Zangetsu · Answer

1) Télécharge SDFix à l'adresse ci-dessous :

https://www.malekal.com/slenfbot-still-an-other-irc-bot/

2) Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier sur le Bureau.
3) Redémarres ton ordinateur en mode sans échec :
- Au redémarrage de l'ordinateur, une fois le chargement du BIOS terminé, il y a un écran noir qui apparaît, tapotes la touche F8 (ou F5 sur certains PC) jusqu'à l'affichage du menu des options avancées de Windows.
- Sélectionne "Mode sans échec" et appuyer sur la touche Enter.
- Choisis  ta session habituelle, pas le compte "Administrateur".
4) Ouvre le dossier SDFix et double cliques sur "RunThis.bat".
5) Appuie sur Y pour commencer le processus de nettoyage.
6) Il te demandera à un moment d'appuyer sur une touche pour redémarrer, fais-le.

(Ton pc chargera un peu plus longtemps cette fois-ci car l'outil travaille.)

7) Lorsque ton pc est chargé, il affichera Finished.
8) Appuie sur une touche pour finir l'exécution du script.
9) Les icônes du Bureau affichées, le rapport SDFix apparaitra et s'enregistrera aussi dans le dossier SDFix sous le nom "Report.txt".
10) Colle le fichier Report.txt et refais un log Hijackthis.

jfkpresident · Answer

zangetsu : pourquoi demandes tu un rapport hijack alors que tu ne le regardes meme pas !!!

systématiquement tu fais passer : combofix (inutile!) Sdfix et MBAM .

je viens de te dire qu'il y a une infection LOP ,ce qui créé des faux messages d'alertes et tu fais quand meme passer Sdfix ! comprend pas ..

Zangetsu · Answer

Je fais un autre post pour être clair.

jfkpresident :

Je lui ai recommandé SDFix. Mais je comprend pas pourquoi combofix n'a quand même pas fait son effet. Tu dis qu'il est puissant, je le reconnais puisque déjà utilisé, mais je comprend pas pourquoi il n'a rien fait.

Edit: Si, je l'ai lu. Mais tu me dis toi-même que je devrais avoir recours à ComboFix en dernier recours. Donc, je vais voir sur d'autre site traitant de lop, et ils utilisent SDFix. Donc là je te suis plus.

jfkpresident · Answer

Donc, je vais voir sur d'autre site traitant de lop, et ils utilisent SDFix. Donc là je te suis plus.

tu n'as pas du chercher loin ? : infection lop CCM

tu peux utiliser LopXp  ou LopS&D .

Zangetsu · Answer

Télécharges Lopxp à cette adresse :

http://www.commentcamarche.net/telecharger/lopxp 34055210 avis opinions.php3

1) Mets le dans un dossier sur ton bureau.
2) Lances-le.
3) Lances le raccourci s'il en crée un.
4) Copie le contenu du rapport.

Mika · Answer

Hum bon j'écris à partir d'un autre ordi là parce qu'apparement le sdfix a fait sauter internet de mon portable... si vous avez une idée pour le refaire fonctionner LOL J'ai tenté une resto au point qu'avait créé combofix mais ça n'y fait rien...

Mika · Answer

Le chdsk /F ne resoud pas le pb non plus

Zangetsu · Answer

Tu avais lancé lopxp ou pas ?

Mika · Answer

Non c après le sdfix que j'ai perdu le net

Zangetsu · Answer

Oui oui, mais par après tu l'as lancé ?

Mika · Answer

Non pas lancé j'ai pas pu le récupérer sans le net LOL

Zangetsu · Answer

prend le alors par celui où tu es et lance-le via une clé usb.

Mika · Answer

Il ne se passe rien quand j'essaie de l'instaler...

Zangetsu · Answer

Il ne doit pas "s'installer" à proprement parler. Tu lance le .exe, ensuite tu lance le raccourci, ou alors tu va dans program files pour aller dans le dossier lopxp et lancer le .bat.

Mika · Answer

Je te passe aussi le rapport de SDFix au fait, comme c'est après lui que mon internet est mort (et comme maintenant c le problème majeur...)


[b]SDFix: Version 1.221 [/b]
Run by Mic on 06/09/2008 at 23:19

Microsoft Windows XP [version 5.1.2600]
Running From: C:\Documents and Settings\Mic\Bureau\SDFix

[b]Checking Services [/b]:


Restoring Default Security Values
Restoring Default Hosts File

Rebooting


[b]Checking Files [/b]: 

No Trojan Files Found






Removing Temp Files

[b]ADS Check [/b]:
 


                                 [b]Final Check [/b]:

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-09-06 23:35:05
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg]
"s1"=dword:2df9c43f
"s2"=dword:110480d0
"h0"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4]
"p0"="C:\Program Files\DAEMON Tools Lite\"
"h0"=dword:00000000
"khjeh"=hex:b0,ad,68,8a,90,c5,36,80,e1,70,1f,04,47,5c,9b,85,09,ab,9e,08,6d,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001]
"a0"=hex:20,01,00,00,1d,c4,f2,f6,3b,48,8d,8b,6d,bd,6d,63,0b,10,c0,09,63,..
"khjeh"=hex:4c,c0,af,ae,c7,c7,5b,53,f8,c2,37,66,38,26,7b,ad,f3,f9,a1,92,79,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40]
"khjeh"=hex:98,0f,9f,86,37,75,69,5d,b1,15,89,1a,2a,75,4a,7b,13,2d,4a,4b,cd,..
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4]
"p0"="C:\Program Files\DAEMON Tools Lite\"
"h0"=dword:00000000
"khjeh"=hex:b0,ad,68,8a,90,c5,36,80,e1,70,1f,04,47,5c,9b,85,09,ab,9e,08,6d,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001]
"a0"=hex:20,01,00,00,1d,c4,f2,f6,3b,48,8d,8b,6d,bd,6d,63,0b,10,c0,09,63,..
"khjeh"=hex:4c,c0,af,ae,c7,c7,5b,53,f8,c2,37,66,38,26,7b,ad,f3,f9,a1,92,79,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40]
"khjeh"=hex:98,0f,9f,86,37,75,69,5d,b1,15,89,1a,2a,75,4a,7b,13,2d,4a,4b,cd,..

scanning hidden registry entries ...

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


[b]Remaining Services [/b]:




Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\FlashGet\flashget.exe"="C:\Program Files\FlashGet\flashget.exe:*:Enabled:Flashget"
"C:\Program Files\Messenger\msmsgs.exe"="C:\Program Files\Messenger\msmsgs.exe:*:Enabled:Windows Messenger"
"C:\Program Files\eMule\emule.exe"="C:\Program Files\eMule\emule.exe:*:Enabled:eMule"
"C:\Program Files\Toshiba\ConfigFree\CFXFER.exe"="C:\Program Files\Toshiba\ConfigFree\CFXFER.exe:*:Disabled:ConfigFree SUMMIT Engine"
"C:\Program Files\Skype\Phone\Skype.exe"="C:\Program Files\Skype\Phone\Skype.exe:*:Enabled:Skype"
"C:\Program Files\Windows Live\Messenger\msnmsgr.exe"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"
"C:\Program Files\Windows Live\Messenger\livecall.exe"="C:\Program Files\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\Windows Live\Messenger\msnmsgr.exe"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"
"C:\Program Files\Windows Live\Messenger\livecall.exe"="C:\Program Files\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"

[b]Remaining Files [/b]:



[b]Files with Hidden Attributes [/b]:

Mon 26 Feb 2007           864 A.SH. --- "C:\vlfjaw3o.sys"
Sat 17 May 2008     6,104,632 A..H. --- "C:\Program Files\Picasa2\setup.exe"
Sun 11 Feb 2007         4,348 ..SH. --- "C:\Documents and Settings\All Users\DRM\DRMv1.bak"
Fri 27 Feb 2004       233,472 A..H. --- "C:\Program Files\Image-Line\FL Studio 7\REX Shared Library.dll"
Sat  6 Sep 2008            72 A..H. --- "C:\System Volume Information\_restore{626D9BD5-11D8-49A1-B657-D272D1F6275E}\RP518\A0107228.sys"
Sun 21 Jan 2007             0 A.SH. --- "C:\Documents and Settings\All Users\DRM\Cache\Indiv01.tmp"
Mon 30 Jun 2008        27,648 ...H. --- "C:\Documents and Settings\Mic\Mes documents\Paroles\~WRL0004.tmp"
Mon 21 Jul 2008        28,672 ...H. --- "C:\Documents and Settings\Mic\Mes documents\Paroles\~WRL1648.tmp"
Mon 21 Jul 2008        28,672 ...H. --- "C:\Documents and Settings\Mic\Mes documents\Paroles\~WRL3962.tmp"
Sat  6 Sep 2008            72 A..H. --- "C:\Program Files\Common Files\X10\Common\x10prod.sys"

[b]Finished![/b]

Mika · Answer

Ca a du m'attaquer la config ou virer un des fichiers necessaires à internet vu qu'au programme n'y accède (ie, firefox, MSN, etc...) :(

Kim · Answer

Bonjour
Ton autre message a été supprimé, pas grave.
En cas de difficulté à poster un rapport, admettons , tu peux aussi passer comme pour une copie d' écran en le mettant sur  ci-joint et le lien dans ta réponse ici.
Pas simple donc si tu réussis à le mettre directement sur le forum c' est mieux.
http://www.commentcamarche.net/faq/sujet 5606 montrer une copie d ecran
Bon courage à tous.

Zangetsu · Answer

Refais un log Hijackthis, pour voir si lopxp a fait son effet, dans le cas contraire on utilisera LopS&D. (Je l'ai testé il est bien fait et fonctionne bien).

Zangetsu · Answer

Bon, bah il n'y a plus qu'à télécharger l'autre :

http://forum.telecharger.01net.com/forum/high-tech/PRODUITS/Questions-techniques/eliminez-pubs-cid-sujet_198443_1.htm

1) Lances-le, et choisis l'option Français.
2) Choisis l'option 1 et post le contenu du rapport lorsqu'il a fini.

jfkpresident · Answer

mika : 

* Aller dans : Démarrer > Exécuter puis copie/colle la ligne suivante en gras :
           "%programfiles%\Lopxp\Lopxp.bat" /Fixme puis valide, 
    * Le mode fixe reprendra tous les fichiers mentionnés dans la partie suggestion du 1er rapport généré.
    * Pour chaque fichier, il faudra accepter ( appuyer sur la touche y ) ou refuser ( appuyer sur la touche n ) la suppression afin d'éviter toute erreur d'interprétation de la partie suggestion.
    * Les sauvegardes de chaque suppression seront stockées dans le dossier C:\Programfiles\Lopxp\Sauvegardes

Zangetsu · Answer

Fixe ces lignes en mode sans échec :

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O4 - HKLM\..\Policies\Explorer\Run: [sJHM1xJha5] C:\Documents and Settings\All Users\Application Data\vedorkvy\hebkvcvk.exe

Zangetsu · Answer

lance hijacthis, coches les lignes, fais "fix checked", en bas à gauche

Zangetsu · Answer

Haaaa, tu avais fait le truc de jfkpresident ? Si oui, alors je comprend. Mais refais un log alors. (scuse lui ou moi aurait dû te le dire)

jfkpresident · Answer

mika : tu vas essayé ca pour récuperer ta connection :

telecharge HostsXpert v4.0
http://www.funkytoad.com/download/HostsXpert.zip
décompresse-le sur le bureau.
clique sur Restore MS Hosts files

Malware tenace - Page 2

Discussions similaires

Newsletters