Infecter par win32\adware.virtumonde

Résolu
mmtchafer -  
,Bonjour,a tous persone qui donne aide aux autres .mon probleme c'est quand j'ouvre mon pc l'antivirus nod32 signale- fichier : system\32khfcutrp.dll
- menace : win32/adware.virtumonde
j'ai essaye de le suprimer mais sans vin .le seul problem que j'ai rencontré dans mon pc c'est que je doit pas connecter a l'internet .
Configuration: Windows XP
Internet Explorer 6.0

5 réponses

  1.  Sloubi76
    Bonsoir,

    Télécharge HijackThis ici :

    -> http://www.trendsecure.com/portal/en-US/_download/HiJackThis.exe

    Tutoriel d´instalation : (Merci a Balltrap34 pour cette réalisation)

    -> http://pageperso.aol.fr/balltrap34/Hijenr.gif

    Tutoriel d´utilisation (video) : (Merci a Balltrap34 pour cette réalisation)

    -> http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm

    Renomer Hijackthis, pour contrer une éventuelle infection de Vundo.

    ex:Renomme le fichier HijackThis.exe en CCM.exe pour cela, fais un clic droit sur le fichier HijackThis.exe et choisis renommer dans la liste

    Ensuite avec Explorer créer un dossier c:\hijackthis
    Décompresser Hijackthis dans ce dossier.
    C'est important pour les sauvegardes.

    Lance Hitjack this
    Do a system scan and save a log file

    Post le rapport généré ici stp...
    -1
    1. mmtchafer
      bonjour ;merci d'avoir reponder; je vait essayer de te repondre par un autre pc car le mien est impossible de se connecter.et bon soir.
      -1
      1. mmtchafer
        bonjour ; le rapport est pret

        Logfile of Trend Micro HijackThis v2.0.2
        Scan saved at 17:17:16, on 21/09/2008
        Platform: Windows XP SP2 (WinNT 5.01.2600)
        MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
        Boot mode: Normal

        Running processes:
        C:\WINDOWS\System32\smss.exe
        C:\WINDOWS\system32\csrss.exe
        C:\WINDOWS\system32\winlogon.exe
        C:\WINDOWS\system32\services.exe
        C:\WINDOWS\system32\lsass.exe
        C:\WINDOWS\system32\svchost.exe
        C:\WINDOWS\system32\svchost.exe
        C:\WINDOWS\System32\svchost.exe
        C:\WINDOWS\system32\svchost.exe
        C:\WINDOWS\system32\svchost.exe
        C:\WINDOWS\system32\spoolsv.exe
        C:\WINDOWS\Explorer.EXE
        C:\Program Files\Eset\nod32krn.exe
        C:\WINDOWS\system32\svchost.exe
        C:\WINDOWS\RTHDCPL.EXE
        C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
        C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe
        C:\WINDOWS\system32\hkcmd.exe
        C:\WINDOWS\system32\igfxpers.exe
        C:\Program Files\Eset\nod32kui.exe
        C:\Program Files\Athan\Athan.exe
        C:\WINDOWS\system32\igfxsrvc.exe
        C:\WINDOWS\System32\alg.exe
        C:\WINDOWS\system32\rundll32.exe
        C:\WINDOWS\system32\Rundll32.exe
        C:\Program Files\SuperCopier2\SuperCopier2.exe
        C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe
        C:\WINDOWS\system32\ctfmon.exe
        C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
        C:\Program Files\Messenger\msmsgs.exe
        C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe
        C:\Program Files\Menara\dslmon.exe
        C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
        D:\Nouveau dossier\HijackThis.exe
        C:\WINDOWS\system32\wbem\wmiprvse.exe

        R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.files-ftp.com/~unicorni/phpBB2/index.php
        R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Menara
        R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
        O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
        O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
        O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
        O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
        O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
        O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
        O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
        O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
        O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"
        O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
        O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
        O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
        O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
        O4 - HKLM\..\Run: [Athan] C:\Program Files\Athan\Athan.exe
        O4 - HKLM\..\Run: [PWRISOVM.EXE] D:\Nouveau dossier (4)\PowerISO\PWRISOVM.EXE
        O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
        O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
        O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
        O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
        O4 - HKLM\..\Run: [784d4204] rundll32.exe "C:\WINDOWS\system32\qjqpntsw.dll",b
        O4 - HKLM\..\Run: [BM7b7e7198] Rundll32.exe "C:\WINDOWS\system32\kqbrvsub.dll",s
        O4 - HKCU\..\Run: [SuperCopier2.exe] C:\Program Files\SuperCopier2\SuperCopier2.exe
        O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe"
        O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
        O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
        O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
        O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
        O4 - Global Startup: DSLMON.lnk = C:\Program Files\Menara\dslmon.exe
        O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
        O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
        O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
        O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
        O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
        O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
        O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
        O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
        O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
        O14 - IERESET.INF: START_PAGE_URL=http://www.files-ftp.com/~unicorni/phpBB2/index.php
        O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - https://sdlc-esd.oracle.com/ESD44/JSCDL/jdk/6u7/jinstall-6u7-windows-i586-jc.cab?GroupName=JSC&FilePath=/ESD44/JSCDL/jdk/6u7/jinstall-6u7-windows-i586-jc.cab&BHost=javadl.sun.com&File=jinstall-6u7-windows-i586-jc.cab&AuthParam=1580978829_3fac487ff39b191ded7866fc4973d48d&ext=.cab
        O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
        O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
        O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
        O24 - Desktop Component 0: (no name) - http://upload.wikimedia.org/wikipedia/commons/thumb/1/15/Fontaine2_of_Fes_by_night.JPG/250px-Fontaine2_of_Fes_by_night.JPG
        -1
      2. Sloubi76
        @mmtchaferMmtchafer,

        à l´aide de hijack this coches les cases de ces lignes :

        O4 - HKLM\..\Run: [784d4204] rundll32.exe "C:\WINDOWS\system32\qjqpntsw.dll",b
        O4 - HKLM\..\Run: [BM7b7e7198] Rundll32.exe "C:\WINDOWS\system32\kqbrvsub.dll",s
        O24 - Desktop Component 0: (no name) - https://commons.wikimedia.org/wiki/Main_Page

        Puis clique sur Fixchecked

        comment fixer :
        Tutoriel d´utilisation (video) : (Merci a Balltrap34 pour cette réalisation)
        -> http://perso.orange.fr/rginformatique/section%20virus/demohi­jack.htm

        Ensuite :
        Télécharge combofix.exe (par sUBs) sur ton Bureau.

        -> http://download.bleepingcomputer.com/sUBs/ComboFix.exe

        -> Double clique combofix.exe.
        -> Tape sur la touche 1 (Yes) pour démarrer le scan.
        -> Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.

        NOTE : Le rapport se trouve également ici : C:\Combofix.txt

        Avant d'utiliser ComboFix :

        -> Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours.

        -> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent géner fortement la procédure de recherche et de nettoyage de l'outil.

        Une fois fait, sur ton bureau double-clic sur Combofix.exe.

        - Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.

        /!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.

        - En fin de scan il est possible que ComboFix ait besoin de redemarrer le pc pour finaliser la désinfection\recherche, laisses-le faire.

        - Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt)

        -> Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet.

        -> Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

        -> Tutoriel https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

        Post également un nouveau rapport hijack this

        @ +
        -1
    2. mmtchafer
      bon soir est merci, je vous faire savoir que avant de me poster ton dernier message, jai regler le probleme avec un logiciel ( Malwarebytes anti-Malware) est ce que je continer avec tes conseille ou bien j'arrete et merci beaucoup .
      -1
      1. Sloubi76
        mmtchafer,

        Poste le rapport Malware pour s'assurer que tout est propre.

        @ +
        -1
    3. mmtchafer
      bonjour Sloubi76, et voila le raport et merci encore une fois

      Malwarebytes' Anti-Malware 1.28
      Version de la base de données: 1194
      Windows 5.1.2600 Service Pack 2

      23/09/2008 08:41:45
      mbam-log-2008-09-23 (08-41-06).txt

      Type de recherche: Examen complet (C:\|D:\|)
      Eléments examinés: 83003
      Temps écoulé: 28 minute(s), 50 second(s)

      Processus mémoire infecté(s): 0
      Module(s) mémoire infecté(s): 0
      Clé(s) du Registre infectée(s): 0
      Valeur(s) du Registre infectée(s): 0
      Elément(s) de données du Registre infecté(s): 0
      Dossier(s) infecté(s): 0
      Fichier(s) infecté(s): 14

      Processus mémoire infecté(s):
      (Aucun élément nuisible détecté)

      Module(s) mémoire infecté(s):
      (Aucun élément nuisible détecté)

      Clé(s) du Registre infectée(s):
      (Aucun élément nuisible détecté)

      Valeur(s) du Registre infectée(s):
      (Aucun élément nuisible détecté)

      Elément(s) de données du Registre infecté(s):
      (Aucun élément nuisible détecté)

      Dossier(s) infecté(s):
      (Aucun élément nuisible détecté)

      Fichier(s) infecté(s):
      C:\System Volume Information\_restore{16F8DB54-8314-4232-8338-EC77A98E8E55}\RP150\A0032793.sys (Trojan.FakeAlert) -> No action taken.
      C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\csrss.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
      C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\lsass.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
      C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\services.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
      C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\smss.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
      C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\svchost.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
      C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\winlogon.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
      C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\explorer.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
      C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\spoolsv.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
      C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\dllhost.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
      C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\msiexec.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
      C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ctfmon.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
      C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\userinit.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
      C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\rundll32.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
      -1
      1. Sloubi76
        Bonsoir Mmtchafer,

        il te reste 14 fichier infectés, relance Malware, Onglet Quarantaine et supprime tout,
        Lance combofix ensuite

        @ +
        -1
    5. mmtchafer
      bonjour pour l'aide et merci beaucoup et pour combofix je touve que s'est risquer
      -1
      1. Sloubi76
        Bonsoir mmtchafer

        Je te laisse libre du choix à opérer.

        @ + peut être
        -1

    Discussions similaires

    Problème avec "PUADIManager:Win32/OfferCore
    Knaki

    3 réponses
    PUADlManager:Win32/OfferCore
    tenmalade

    2 réponses
    PUADlManager:Win32/OfferCore
    bernardarrad

    3 réponses
    PUA:Win32/InstallCore detecté par windows sécurité
    thetib

    11 réponses
    Pb Windows 7, .EXE n'est pas app win32 valide
    Witeric

    15 réponses