Virus srosa/hldrrr ...

visuScan Messages postés 9 Statut Membre -  
visuScan Messages postés 9 Statut Membre -
Bonjour,
J'ai deux PC qui semblent etre infectes par le virus srosa/hldrrr. Un des deux PC genere un ecran bleu a chaque demarrage. L'autre, il arrive a demarrer mais une analyse avec mon anti viris G data revele la presense de virus hldrrr et srosa et qu'il n'arrive pas a les supprimer. Ce 2eme PC devient tres tres lent et le gestionnaire de tache montre que le CPU est a 100 % mais que le processus qui utilise 99% du CPU n'est autre que le process inactif de Windows. C'est comme si le virus arrive a se cacher alors que c'est lui qui consomme tant de cpu.

Ci-dessous le log hojackThis que j'ai renomme avant execution.

SVP a l'aide.

Merc.
Configuration: Windows XP
Internet Explorer 7.0

15 réponses

  1.
    chimay8 Messages postés 7947 Statut Contributeur sécurité 60
     
    ou qu'il est le rapport?
    0
  2. Utilisateur anonyme
     
    Salut

    pour suivre merci

    @+
    0
    1. chimay8 Messages postés 7947 Statut Contributeur sécurité 60
       
      tiens?déja debout?? lol
      0
      1. Utilisateur anonyme > chimay8 Messages postés 7947 Statut Contributeur sécurité
         
        Non , pas encore couché lol
        0
  3. toptitbal Messages postés 5341 Date d'inscription   Statut Contributeur sécurité Dernière intervention   2 232
     
    "que le processus qui utilise 99% du CPU n'est autre que le process inactif de Windows."

    ça, c'est normal !
    0
  4. Utilisateur anonyme
     
    salut a tous

    pour suivre
    0

  5. Vous n’avez pas trouvé la réponse que vous recherchez ?

    Posez votre question
  6. visuScan Messages postés 9 Statut Membre
     
    Voici le log Hijack.

    _______________

    Logfile of Trend Micro HijackThis v2.0.2
    Scan saved at 09:24:10, on 05/11/2008
    Platform: Windows XP SP2 (WinNT 5.01.2600)
    MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
    Boot mode: Normal

    Running processes:
    C:\WINDOWS\System32\smss.exe
    C:\WINDOWS\system32\winlogon.exe
    C:\WINDOWS\system32\services.exe
    C:\WINDOWS\system32\lsass.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\Explorer.EXE
    C:\WINDOWS\system32\spoolsv.exe
    C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe
    C:\Program Files\G DATA\AntiVirus\AVKTray\AVKTray.exe
    C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
    C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
    C:\WINDOWS\System32\nvsvc32.exe
    C:\WINDOWS\System32\HPZipm12.exe
    C:\WINDOWS\System32\svchost.exe
    C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe
    C:\Program Files\HP\Digital Imaging\Product Assistant\bin\hprblog.exe
    C:\WINDOWS\system32\HPZinw12.exe
    C:\WINDOWS\System32\msiexec.exe
    C:\Documents and Settings\Grapthec 120\Bureau\MyStubThis.exe

    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/countries/fr/fra/gen/default.htm
    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.euro.dell.com/countries/fr/fra/gen/default.htm
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/countries/fr/fra/gen/default.htm
    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.euro.dell.com/countries/fr/fra/gen/default.htm
    R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
    O2 - BHO: G DATA WebFilter Class - {0124123D-61B4-456f-AF86-78C53A0790C5} - C:\Program Files\G DATA\AntiVirus\Webfilter\AVKWebIE.dll
    O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
    O3 - Toolbar: G DATA WebFilter - {0124123D-61B4-456f-AF86-78C53A0790C5} - C:\Program Files\G DATA\AntiVirus\Webfilter\AVKWebIE.dll
    O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
    O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"
    O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
    O4 - HKLM\..\Run: [G DATA AntiVirus Trayapplication] C:\Program Files\G DATA\AntiVirus\AVKTray\AVKTray.exe
    O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
    O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
    O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
    O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
    O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
    O4 - S-1-5-18 Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe (User 'SYSTEM')
    O4 - .DEFAULT Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe (User 'Default user')
    O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
    O4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
    O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
    O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
    O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
    O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
    O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
    O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
    O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
    O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
    O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
    O23 - Service: Intel(R) NMS (NMSSvc) - Intel Corporation - C:\WINDOWS\System32\NMSSvc.exe
    O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
    O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
    0
  7. Utilisateur anonyme
     
    pour avancer

    telecharge FindyKill sur ton bureau :

    Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

    --> Lance l installation avec les parametres par default

    --> Double clic sur le raccourci FindyKill sur ton bureau

    --> Au menu principal,choisi l option 1 (Recherche)

    --> Post le rapport FindyKill.txt

    Note : le rapport FindyKill.txt est sauvegardé a la racine du disque

    0
  8. chimay8 Messages postés 7947 Statut Contributeur sécurité 60
     
    edité
    0
  9. visuScan Messages postés 9 Statut Membre
     
    Merci pour l'aide.

    Ci dessous le log findyKill

    ___________________________

    ----------------- FindyKill V4.095 ------------------

    * User : Grapthec 120 - GRAPTHEC120
    * Emplacement : C:\Program Files\FindyKill
    * Outils Mis a jours le 05/11/08 par Chiquitine29
    * Recherche effectuée à 12:02:12 le 05/11/2008
    * Windows XP - Internet Explorer 6.0.2900.2180

    ((((((((((((((((( *** Recherche *** ))))))))))))))))))

    --------------- [ Processus actifs ] ----------------

    C:\WINDOWS\System32\smss.exe
    C:\WINDOWS\system32\csrss.exe
    C:\WINDOWS\system32\winlogon.exe
    C:\WINDOWS\system32\services.exe
    C:\WINDOWS\system32\lsass.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\system32\spoolsv.exe
    C:\WINDOWS\Explorer.EXE
    C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe
    C:\Program Files\G DATA\AntiVirus\AVKTray\AVKTray.exe
    C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
    C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
    C:\WINDOWS\System32\nvsvc32.exe
    C:\WINDOWS\System32\svchost.exe
    C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe
    C:\Program Files\HP\Digital Imaging\Product Assistant\bin\hprblog.exe
    C:\WINDOWS\System32\msiexec.exe

    --------------- [ Fichiers/Dossiers infectieux ] ----------------

    »»»» Presence des fichiers dans C:

    Présent ! [04/11/2008 14:52] - C:\InfoSat.txt

    »»»» Presence des fichiers dans C:\WINDOWS

    »»»» Presence des fichiers dans C:\WINDOWS\Prefetch

    Present ! - C:\WINDOWS\prefetch\HLDRRR.EXE-0E6917FB.pf
    Present ! - C:\WINDOWS\prefetch\MDELK.EXE-03C4D2B7.pf
    Present ! - C:\WINDOWS\prefetch\MDELK.EXE-086F0B56.pf

    »»»» Presence des fichiers dans C:\WINDOWS\system32

    »»»» Presence des fichiers dans C:\WINDOWS\system32\drivers

    Présent ! [04/08/2004 01:07] - C:\WINDOWS\system32\drivers\mdelk.exe
    Présent ! [05/11/2008 09:03] - C:\WINDOWS\system32\drivers\srosa.sys
    Présent ! [04/08/2004 01:07] - C:\WINDOWS\system32\drivers\hldrrr.exe
    Présent ! [20/10/2008 16:16] - "C:\WINDOWS\system32\drivers\downld"

    »»»» Presence des fichiers dans C:\Documents and Settings\Grapthec 120\Application Data

    »»»» Presence des fichiers dans C:\DOCUME~1\GRAPTH~1\LOCALS~1\Temp

    Présent ! - C:\DOCUME~1\GRAPTH~1\LOCALS~1\Temp\Rar$EX01.687\ASTERIX + Crack

    --------------- [ Registre / Startup ] ----------------

    ! REG.EXE VERSION 3.0

    HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    NvCplDaemon REG_SZ RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
    AdaptecDirectCD REG_SZ "C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"
    HP Software Update REG_SZ C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
    G DATA AntiVirus Trayapplication REG_SZ C:\Program Files\G DATA\AntiVirus\AVKTray\AVKTray.exe

    ! REG.EXE VERSION 3.0

    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    MSMSGS REG_SZ "C:\Program Files\Messenger\msmsgs.exe" /background

    --------------- [ Registre / Clés infectieuses ] ----------------

    Présent ! - HKEY_USERS\S-1-5-21-1684884875-2499130068-3225047584-1006\Software\FirstRRRun
    Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa
    Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa
    Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\srosa
    Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\srosa
    Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA
    Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA
    Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SROSA
    Présent ! - HKEY_CURRENT_USER\Software\FirstRRRun

    --------------- [ Etat / Services ] ----------------

    Clé manquante : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden

    -> Affichage des fichiers cachés non fonctionnel !!

    Clé manquante : HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot

    -> Mode sans echec non fonctionnel !!

    Clé manquante : HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal

    -> Mode sans echec non fonctionnel !!

    Clé manquante : HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network

    -> Mode sans echec non fonctionnel !!

    +- Services : [ Auto=2 Demande=3 Désactivé=4 ]

    /!\ Ndisuio - Type de démarrage = 4

    /!\ Ip6Fw - Type de démarrage = 4

    /!\ SharedAccess - Type de démarrage = 4

    /!\ wuauserv - Type de démarrage = 4

    /!\ wscsvc - Type de démarrage = 4

    --------------- [ Recherche dans supports amovibles] ----------------

    +- Informations :

    C: - Lecteur fixe

    F: - Lecteur amovible

    +- Contenu de l'autorun : F:\autorun.inf

    +- presence des fichiers :

    Présent ! [10/05/2008 14:28][d--h-----] - F:\autorun.inf
    Présent ! [04/08/2004 01:07][---h-----] - F:\nideiect.com
    F:\autorun.inf - dossier autorun.inf cree par flash disinfector !

    --------------- [ Registre / Moutpoint2 ] ----------------

    -> Recherche négative.

    ------------------- ! Fin du rapport ! --------------------
    0
  10. Utilisateur anonyme
     
    pour faire avancer

    Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

    --> Double clic sur le raccourci FindyKill sur ton bureau

    --> Au menu principal,choisi l option 2 (Suppression)

    /!\ il y aura 2 redémarrage, laisse travailler l outils jusqu a l apparition du message "nettoyage effectué"

    /!\ Ne te sert pas du pc durant la suppression , ton bureau ne sera pas accessible c est normal !

    -------> ensuite post le rapport FindyKill.txt

    Note : le rapport FindyKill.txt est sauvegardé a la racine du disque
    Note : Si le Bureau ne réapparait pas presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tapes explorer.exe et valides
    0
  11. visuScan Messages postés 9 Statut Membre
     
    Meri pour le conseil.

    J'ai lance la desinfection plusieurs fois. A la fin j'ai lanse une analyse de fichiers. Le log correspondant est ci dessous.

    ______________________________________________

    ----------------- FindyKill V4.095 ------------------

    * User : Grapthec 120 - GRAPTHEC120
    * Emplacement : C:\Program Files\FindyKill
    * Outils Mis a jours le 05/11/08 par Chiquitine29
    * Recherche effectuée à 14:00:44 le 05/11/2008
    * Windows XP - Internet Explorer 6.0.2900.2180

    ((((((((((((((((( *** Recherche *** ))))))))))))))))))

    --------------- [ Processus actifs ] ----------------

    C:\WINDOWS\System32\smss.exe
    C:\WINDOWS\system32\csrss.exe
    C:\WINDOWS\system32\winlogon.exe
    C:\WINDOWS\system32\services.exe
    C:\WINDOWS\system32\lsass.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\system32\spoolsv.exe
    C:\WINDOWS\System32\nvsvc32.exe
    C:\WINDOWS\System32\HPZipm12.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\System32\alg.exe
    C:\WINDOWS\system32\wuauclt.exe
    C:\WINDOWS\explorer.exe

    --------------- [ Fichiers/Dossiers infectieux ] ----------------

    »»»» Presence des fichiers dans C:

    »»»» Presence des fichiers dans C:\WINDOWS

    »»»» Presence des fichiers dans C:\WINDOWS\Prefetch

    Present ! - C:\WINDOWS\prefetch\MDELK.EXE-086F0B56.pf

    »»»» Presence des fichiers dans C:\WINDOWS\system32

    »»»» Presence des fichiers dans C:\WINDOWS\system32\drivers

    »»»» Presence des fichiers dans C:\Documents and Settings\Grapthec 120\Application Data

    »»»» Presence des fichiers dans C:\DOCUME~1\GRAPTH~1\LOCALS~1\Temp

    --------------- [ Registre / Startup ] ----------------

    ! REG.EXE VERSION 3.0

    HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    NvCplDaemon REG_SZ RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
    AdaptecDirectCD REG_SZ "C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"
    HP Software Update REG_SZ C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
    G DATA AntiVirus Trayapplication REG_SZ C:\Program Files\G DATA\AntiVirus\AVKTray\AVKTray.exe

    ! REG.EXE VERSION 3.0

    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    MSMSGS REG_SZ "C:\Program Files\Messenger\msmsgs.exe" /background

    --------------- [ Registre / Clés infectieuses ] ----------------

    --------------- [ Etat / Services ] ----------------

    +- Services : [ Auto=2 Demande=3 Désactivé=4 ]

    Ndisuio - Type de démarrage = 3

    Ip6Fw - Type de démarrage = 2

    SharedAccess - Type de démarrage = 2

    wuauserv - Type de démarrage = 2

    wscsvc - Type de démarrage = 2

    --------------- [ Recherche dans supports amovibles] ----------------

    +- Informations :

    C: - Lecteur fixe

    F: - Lecteur amovible

    +- Contenu de l'autorun : F:\autorun.inf

    +- presence des fichiers :

    Présent ! [10/05/2008 14:28][d--h-----] - F:\autorun.inf
    Présent ! [04/08/2004 01:07][---h-----] - F:\nideiect.com
    F:\autorun.inf - dossier autorun.inf cree par flash disinfector !

    --------------- [ Registre / Moutpoint2 ] ----------------

    -> Recherche négative.

    ------------------- ! Fin du rapport ! --------------------
    0
  12. Utilisateur anonyme
     
    passe findykill sur le second pc
    0
    1. visuScan Messages postés 9 Statut Membre
       
      Bonjour,

      Merci pour l'aide. Est ce normal que l'analyse fait apparaitre que mdelk est toujours present.

      Concernant le second PC je ne peux pas le faire parceque tout simplement un ecran bleu apparait systematiquement au boot a cause du service srosa.sys

      Merci.
      0
  13. Utilisateur anonyme
     
    pour le fichier oui

    il est créé par l outil

    l autre pc c est un xp ou un vista ?
    0
    1. visuScan Messages postés 9 Statut Membre
       
      L'autre PC tourne sous XP.
      0
  14. bibi440
     
    il n'y a qu(une seul explication c'est ver
    0
  15. Utilisateur anonyme
     
    c est ennuyeux

    car sous xp l infection kill le mode sans echec alors que sous vista non

    bref essai quand meme de demarrer en mode sans echec a tout hasard
    0
    1. visuScan Messages postés 9 Statut Membre
       
      Mrci pour l'aide. J'ai essaye de demarrer en mode sans echec et c'est lel meme resultat. Ecran bleu au demarrage.

      Comment faire pour se defaire de cett vermine?

      Merci.
      0
  16. Utilisateur anonyme
     
    si tu peux pas demarrer le pc ça va etre difficile ...
    0
    1. visuScan Messages postés 9 Statut Membre
       
      Si je mets le disque du PC en question sur l'autre PC que j'ai desinfecte et que je lance la desinfection avec FindyKill est ce que ca peut resourdre le probleme.

      Merci.
      0

Discussions similaires

Chrome://newtab
Nova -
snoopy35_ -

14 réponses
Softonic,est-ce un virus ?
techmel1 -
techmel1 -

6 réponses
Désinstaller Softonic
Diguimette -
lilidurhone -

5 réponses
Virus dans filezilla
balnelius10 -
fabul -

9 réponses
Format Factory ''indésirable'' pour Windows 11 ?
78Phila -
brucine -

6 réponses