Infecter par win32\adware.virtumonde

Résolu

mmtchafer -
Sloubi76 Messages postés 1410 Statut Membre - 24 sept. 2008 à 22:23

,Bonjour,a tous persone qui donne aide aux autres .mon probleme c'est quand j'ouvre mon pc l'antivirus nod32 signale- fichier : system\32khfcutrp.dll
- menace : win32/adware.virtumonde
j'ai essaye de le suprimer mais sans vin .le seul problem que j'ai rencontré dans mon pc c'est que je doit pas connecter a l'internet .

Afficher la suite

A voir également:

Infecter par win32\adware.virtumonde
Trojan win32 - Forum Virus
Puabundler win32 rostpay ✓ - Forum Antivirus
Puadimanager win32/offercore ✓ - Forum Virus
PUADlManager:Win32/OfferCore ✓ - Forum Virus
Win32 pup gen ✓ - Forum Linux / Unix

5 réponses

Réponse 1 / 5

Sloubi76 Messages postés 1410 Statut Membre 136

Bonsoir,

Télécharge HijackThis ici :

-> http://www.trendsecure.com/portal/en-US/_download/HiJackThis.exe

Tutoriel d´instalation : (Merci a Balltrap34 pour cette réalisation)

-> http://pageperso.aol.fr/balltrap34/Hijenr.gif

Tutoriel d´utilisation (video) : (Merci a Balltrap34 pour cette réalisation)

-> http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm

Renomer Hijackthis, pour contrer une éventuelle infection de Vundo.

ex:Renomme le fichier HijackThis.exe en CCM.exe pour cela, fais un clic droit sur le fichier HijackThis.exe et choisis renommer dans la liste

Ensuite avec Explorer créer un dossier c:\hijackthis
Décompresser Hijackthis dans ce dossier.
C'est important pour les sauvegardes.

Lance Hitjack this
Do a system scan and save a log file

Post le rapport généré ici stp...

Réponse 2 / 5

mmtchafer Messages postés 11 Statut Membre

bonjour ;merci d'avoir reponder; je vait essayer de te repondre par un autre pc car le mien est impossible de se connecter.et bon soir.

mmtchafer Messages postés 11 Statut Membre

bonjour ; le rapport est pret

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:17:16, on 21/09/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\Program Files\Eset\nod32kui.exe
C:\Program Files\Athan\Athan.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\Rundll32.exe
C:\Program Files\SuperCopier2\SuperCopier2.exe
C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe
C:\Program Files\Menara\dslmon.exe
C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
D:\Nouveau dossier\HijackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.files-ftp.com/~unicorni/phpBB2/index.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Menara
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [Athan] C:\Program Files\Athan\Athan.exe
O4 - HKLM\..\Run: [PWRISOVM.EXE] D:\Nouveau dossier (4)\PowerISO\PWRISOVM.EXE
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [784d4204] rundll32.exe "C:\WINDOWS\system32\qjqpntsw.dll",b
O4 - HKLM\..\Run: [BM7b7e7198] Rundll32.exe "C:\WINDOWS\system32\kqbrvsub.dll",s
O4 - HKCU\..\Run: [SuperCopier2.exe] C:\Program Files\SuperCopier2\SuperCopier2.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: DSLMON.lnk = C:\Program Files\Menara\dslmon.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.files-ftp.com/~unicorni/phpBB2/index.php
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - https://sdlc-esd.oracle.com/ESD44/JSCDL/jdk/6u7/jinstall-6u7-windows-i586-jc.cab?GroupName=JSC&FilePath=/ESD44/JSCDL/jdk/6u7/jinstall-6u7-windows-i586-jc.cab&BHost=javadl.sun.com&File=jinstall-6u7-windows-i586-jc.cab&AuthParam=1580978829_3fac487ff39b191ded7866fc4973d48d&ext=.cab
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O24 - Desktop Component 0: (no name) - http://upload.wikimedia.org/wikipedia/commons/thumb/1/15/Fontaine2_of_Fes_by_night.JPG/250px-Fontaine2_of_Fes_by_night.JPG

Sloubi76 Messages postés 1410 Statut Membre 136 > mmtchafer Messages postés 11 Statut Membre

Mmtchafer,

à l´aide de hijack this coches les cases de ces lignes :

O4 - HKLM\..\Run: [784d4204] rundll32.exe "C:\WINDOWS\system32\qjqpntsw.dll",b
O4 - HKLM\..\Run: [BM7b7e7198] Rundll32.exe "C:\WINDOWS\system32\kqbrvsub.dll",s
O24 - Desktop Component 0: (no name) - https://commons.wikimedia.org/wiki/Main_Page

Puis clique sur Fixchecked

comment fixer :
Tutoriel d´utilisation (video) : (Merci a Balltrap34 pour cette réalisation)
-> http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm

Ensuite :
Télécharge combofix.exe (par sUBs) sur ton Bureau.

-> http://download.bleepingcomputer.com/sUBs/ComboFix.exe

-> Double clique combofix.exe.
-> Tape sur la touche 1 (Yes) pour démarrer le scan.
-> Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.

NOTE : Le rapport se trouve également ici : C:\Combofix.txt

Avant d'utiliser ComboFix :

-> Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours.

-> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent géner fortement la procédure de recherche et de nettoyage de l'outil.

Une fois fait, sur ton bureau double-clic sur Combofix.exe.

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.

- En fin de scan il est possible que ComboFix ait besoin de redemarrer le pc pour finaliser la désinfection\recherche, laisses-le faire.

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt)

-> Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet.

-> Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

-> Tutoriel https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Post également un nouveau rapport hijack this

@ +

Réponse 3 / 5

mmtchafer Messages postés 11 Statut Membre

bon soir est merci, je vous faire savoir que avant de me poster ton dernier message, jai regler le probleme avec un logiciel ( Malwarebytes anti-Malware) est ce que je continer avec tes conseille ou bien j'arrete et merci beaucoup .

Sloubi76 Messages postés 1410 Statut Membre 136

mmtchafer,

Poste le rapport Malware pour s'assurer que tout est propre.

@ +

Réponse 4 / 5

mmtchafer Messages postés 11 Statut Membre

bonjour Sloubi76, et voila le raport et merci encore une fois

Malwarebytes' Anti-Malware 1.28
Version de la base de données: 1194
Windows 5.1.2600 Service Pack 2

23/09/2008 08:41:45
mbam-log-2008-09-23 (08-41-06).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 83003
Temps écoulé: 28 minute(s), 50 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 14

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\System Volume Information\_restore{16F8DB54-8314-4232-8338-EC77A98E8E55}\RP150\A0032793.sys (Trojan.FakeAlert) -> No action taken.
C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\csrss.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\lsass.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\services.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\smss.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\svchost.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\winlogon.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\explorer.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\spoolsv.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\dllhost.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\msiexec.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ctfmon.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\userinit.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.
C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\rundll32.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.

Sloubi76 Messages postés 1410 Statut Membre 136

Bonsoir Mmtchafer,

il te reste 14 fichier infectés, relance Malware, Onglet Quarantaine et supprime tout,
Lance combofix ensuite

@ +

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question

Réponse 5 / 5

mmtchafer Messages postés 11 Statut Membre

bonjour pour l'aide et merci beaucoup et pour combofix je touve que s'est risquer

Sloubi76 Messages postés 1410 Statut Membre 136

Bonsoir mmtchafer

Je te laisse libre du choix à opérer.

@ + peut être

Discussions similaires

Problème avec "PUADIManager:Win32/OfferCore

PUADlManager:Win32/OfferCore

win32:malware-gen bloqué par avast

PUABundler:Win32/CandyOpen : dangereux ?

Pb Windows 7, .EXE n'est pas app win32 valide

Infecter par win32\adware.virtumonde

5 réponses

Votre réponse

Discussions similaires

Newsletters