Virus srosa/hldrrr ...

visuScan -  
Bonjour,
J'ai deux PC qui semblent etre infectes par le virus srosa/hldrrr. Un des deux PC genere un ecran bleu a chaque demarrage. L'autre, il arrive a demarrer mais une analyse avec mon anti viris G data revele la presense de virus hldrrr et srosa et qu'il n'arrive pas a les supprimer. Ce 2eme PC devient tres tres lent et le gestionnaire de tache montre que le CPU est a 100 % mais que le processus qui utilise 99% du CPU n'est autre que le process inactif de Windows. C'est comme si le virus arrive a se cacher alors que c'est lui qui consomme tant de cpu.

Ci-dessous le log hojackThis que j'ai renomme avant execution.

SVP a l'aide.

Merc.
Configuration: Windows XP
Internet Explorer 7.0

15 réponses

  • Votes
  • Date
  • Date décroissante
  2. Utilisateur anonyme
    Salut

    pour suivre merci

    @+
    1. chimay8 Contributeur sécurité
      tiens?déja debout?? lol
  3.  toptitbal Contributeur sécurité
    "que le processus qui utilise 99% du CPU n'est autre que le process inactif de Windows."

    ça, c'est normal !
    3. visuScan Auteur
      Voici le log Hijack.

      _______________

      Logfile of Trend Micro HijackThis v2.0.2
      Scan saved at 09:24:10, on 05/11/2008
      Platform: Windows XP SP2 (WinNT 5.01.2600)
      MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
      Boot mode: Normal

      Running processes:
      C:\WINDOWS\System32\smss.exe
      C:\WINDOWS\system32\winlogon.exe
      C:\WINDOWS\system32\services.exe
      C:\WINDOWS\system32\lsass.exe
      C:\WINDOWS\system32\svchost.exe
      C:\WINDOWS\System32\svchost.exe
      C:\WINDOWS\Explorer.EXE
      C:\WINDOWS\system32\spoolsv.exe
      C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe
      C:\Program Files\G DATA\AntiVirus\AVKTray\AVKTray.exe
      C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
      C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
      C:\WINDOWS\System32\nvsvc32.exe
      C:\WINDOWS\System32\HPZipm12.exe
      C:\WINDOWS\System32\svchost.exe
      C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe
      C:\Program Files\HP\Digital Imaging\Product Assistant\bin\hprblog.exe
      C:\WINDOWS\system32\HPZinw12.exe
      C:\WINDOWS\System32\msiexec.exe
      C:\Documents and Settings\Grapthec 120\Bureau\MyStubThis.exe

      R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/countries/fr/fra/gen/default.htm
      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.euro.dell.com/countries/fr/fra/gen/default.htm
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/countries/fr/fra/gen/default.htm
      R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.euro.dell.com/countries/fr/fra/gen/default.htm
      R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
      O2 - BHO: G DATA WebFilter Class - {0124123D-61B4-456f-AF86-78C53A0790C5} - C:\Program Files\G DATA\AntiVirus\Webfilter\AVKWebIE.dll
      O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
      O3 - Toolbar: G DATA WebFilter - {0124123D-61B4-456f-AF86-78C53A0790C5} - C:\Program Files\G DATA\AntiVirus\Webfilter\AVKWebIE.dll
      O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
      O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"
      O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
      O4 - HKLM\..\Run: [G DATA AntiVirus Trayapplication] C:\Program Files\G DATA\AntiVirus\AVKTray\AVKTray.exe
      O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
      O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
      O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
      O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
      O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
      O4 - S-1-5-18 Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe (User 'SYSTEM')
      O4 - .DEFAULT Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe (User 'Default user')
      O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
      O4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
      O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
      O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
      O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
      O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
      O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
      O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
      O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
      O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
      O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
      O23 - Service: Intel(R) NMS (NMSSvc) - Intel Corporation - C:\WINDOWS\System32\NMSSvc.exe
      O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
      O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
      1. Utilisateur anonyme
        pour avancer

        telecharge FindyKill sur ton bureau :

        Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

        --> Lance l installation avec les parametres par default

        --> Double clic sur le raccourci FindyKill sur ton bureau

        --> Au menu principal,choisi l option 1 (Recherche)

        --> Post le rapport FindyKill.txt

        Note : le rapport FindyKill.txt est sauvegardé a la racine du disque

        2. visuScan Auteur
          Merci pour l'aide.

          Ci dessous le log findyKill

          ___________________________

          ----------------- FindyKill V4.095 ------------------

          * User : Grapthec 120 - GRAPTHEC120
          * Emplacement : C:\Program Files\FindyKill
          * Outils Mis a jours le 05/11/08 par Chiquitine29
          * Recherche effectuée à 12:02:12 le 05/11/2008
          * Windows XP - Internet Explorer 6.0.2900.2180

          ((((((((((((((((( *** Recherche *** ))))))))))))))))))

          --------------- [ Processus actifs ] ----------------

          C:\WINDOWS\System32\smss.exe
          C:\WINDOWS\system32\csrss.exe
          C:\WINDOWS\system32\winlogon.exe
          C:\WINDOWS\system32\services.exe
          C:\WINDOWS\system32\lsass.exe
          C:\WINDOWS\system32\svchost.exe
          C:\WINDOWS\system32\svchost.exe
          C:\WINDOWS\System32\svchost.exe
          C:\WINDOWS\System32\svchost.exe
          C:\WINDOWS\System32\svchost.exe
          C:\WINDOWS\system32\spoolsv.exe
          C:\WINDOWS\Explorer.EXE
          C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe
          C:\Program Files\G DATA\AntiVirus\AVKTray\AVKTray.exe
          C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
          C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
          C:\WINDOWS\System32\nvsvc32.exe
          C:\WINDOWS\System32\svchost.exe
          C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe
          C:\Program Files\HP\Digital Imaging\Product Assistant\bin\hprblog.exe
          C:\WINDOWS\System32\msiexec.exe

          --------------- [ Fichiers/Dossiers infectieux ] ----------------

          »»»» Presence des fichiers dans C:

          Présent ! [04/11/2008 14:52] - C:\InfoSat.txt

          »»»» Presence des fichiers dans C:\WINDOWS

          »»»» Presence des fichiers dans C:\WINDOWS\Prefetch

          Present ! - C:\WINDOWS\prefetch\HLDRRR.EXE-0E6917FB.pf
          Present ! - C:\WINDOWS\prefetch\MDELK.EXE-03C4D2B7.pf
          Present ! - C:\WINDOWS\prefetch\MDELK.EXE-086F0B56.pf

          »»»» Presence des fichiers dans C:\WINDOWS\system32

          »»»» Presence des fichiers dans C:\WINDOWS\system32\drivers

          Présent ! [04/08/2004 01:07] - C:\WINDOWS\system32\drivers\mdelk.exe
          Présent ! [05/11/2008 09:03] - C:\WINDOWS\system32\drivers\srosa.sys
          Présent ! [04/08/2004 01:07] - C:\WINDOWS\system32\drivers\hldrrr.exe
          Présent ! [20/10/2008 16:16] - "C:\WINDOWS\system32\drivers\downld"

          »»»» Presence des fichiers dans C:\Documents and Settings\Grapthec 120\Application Data

          »»»» Presence des fichiers dans C:\DOCUME~1\GRAPTH~1\LOCALS~1\Temp

          Présent ! - C:\DOCUME~1\GRAPTH~1\LOCALS~1\Temp\Rar$EX01.687\ASTERIX + Crack

          --------------- [ Registre / Startup ] ----------------

          ! REG.EXE VERSION 3.0

          HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
          NvCplDaemon REG_SZ RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
          AdaptecDirectCD REG_SZ "C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"
          HP Software Update REG_SZ C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
          G DATA AntiVirus Trayapplication REG_SZ C:\Program Files\G DATA\AntiVirus\AVKTray\AVKTray.exe

          ! REG.EXE VERSION 3.0

          HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
          MSMSGS REG_SZ "C:\Program Files\Messenger\msmsgs.exe" /background

          --------------- [ Registre / Clés infectieuses ] ----------------

          Présent ! - HKEY_USERS\S-1-5-21-1684884875-2499130068-3225047584-1006\Software\FirstRRRun
          Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa
          Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa
          Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\srosa
          Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\srosa
          Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA
          Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA
          Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SROSA
          Présent ! - HKEY_CURRENT_USER\Software\FirstRRRun

          --------------- [ Etat / Services ] ----------------

          Clé manquante : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden

          -> Affichage des fichiers cachés non fonctionnel !!

          Clé manquante : HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot

          -> Mode sans echec non fonctionnel !!

          Clé manquante : HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal

          -> Mode sans echec non fonctionnel !!

          Clé manquante : HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network

          -> Mode sans echec non fonctionnel !!

          +- Services : [ Auto=2 Demande=3 Désactivé=4 ]

          /!\ Ndisuio - Type de démarrage = 4

          /!\ Ip6Fw - Type de démarrage = 4

          /!\ SharedAccess - Type de démarrage = 4

          /!\ wuauserv - Type de démarrage = 4

          /!\ wscsvc - Type de démarrage = 4

          --------------- [ Recherche dans supports amovibles] ----------------

          +- Informations :

          C: - Lecteur fixe

          F: - Lecteur amovible

          +- Contenu de l'autorun : F:\autorun.inf

          +- presence des fichiers :

          Présent ! [10/05/2008 14:28][d--h-----] - F:\autorun.inf
          Présent ! [04/08/2004 01:07][---h-----] - F:\nideiect.com
          F:\autorun.inf - dossier autorun.inf cree par flash disinfector !

          --------------- [ Registre / Moutpoint2 ] ----------------

          -> Recherche négative.

          ------------------- ! Fin du rapport ! --------------------
          1. Utilisateur anonyme
            pour faire avancer

            Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

            --> Double clic sur le raccourci FindyKill sur ton bureau

            --> Au menu principal,choisi l option 2 (Suppression)

            /!\ il y aura 2 redémarrage, laisse travailler l outils jusqu a l apparition du message "nettoyage effectué"

            /!\ Ne te sert pas du pc durant la suppression , ton bureau ne sera pas accessible c est normal !

            -------> ensuite post le rapport FindyKill.txt

            Note : le rapport FindyKill.txt est sauvegardé a la racine du disque
            Note : Si le Bureau ne réapparait pas presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tapes explorer.exe et valides
            1. visuScan Auteur
              Meri pour le conseil.

              J'ai lance la desinfection plusieurs fois. A la fin j'ai lanse une analyse de fichiers. Le log correspondant est ci dessous.

              ______________________________________________

              ----------------- FindyKill V4.095 ------------------

              * User : Grapthec 120 - GRAPTHEC120
              * Emplacement : C:\Program Files\FindyKill
              * Outils Mis a jours le 05/11/08 par Chiquitine29
              * Recherche effectuée à 14:00:44 le 05/11/2008
              * Windows XP - Internet Explorer 6.0.2900.2180

              ((((((((((((((((( *** Recherche *** ))))))))))))))))))

              --------------- [ Processus actifs ] ----------------

              C:\WINDOWS\System32\smss.exe
              C:\WINDOWS\system32\csrss.exe
              C:\WINDOWS\system32\winlogon.exe
              C:\WINDOWS\system32\services.exe
              C:\WINDOWS\system32\lsass.exe
              C:\WINDOWS\system32\svchost.exe
              C:\WINDOWS\system32\svchost.exe
              C:\WINDOWS\System32\svchost.exe
              C:\WINDOWS\System32\svchost.exe
              C:\WINDOWS\System32\svchost.exe
              C:\WINDOWS\system32\spoolsv.exe
              C:\WINDOWS\System32\nvsvc32.exe
              C:\WINDOWS\System32\HPZipm12.exe
              C:\WINDOWS\System32\svchost.exe
              C:\WINDOWS\System32\alg.exe
              C:\WINDOWS\system32\wuauclt.exe
              C:\WINDOWS\explorer.exe

              --------------- [ Fichiers/Dossiers infectieux ] ----------------

              »»»» Presence des fichiers dans C:

              »»»» Presence des fichiers dans C:\WINDOWS

              »»»» Presence des fichiers dans C:\WINDOWS\Prefetch

              Present ! - C:\WINDOWS\prefetch\MDELK.EXE-086F0B56.pf

              »»»» Presence des fichiers dans C:\WINDOWS\system32

              »»»» Presence des fichiers dans C:\WINDOWS\system32\drivers

              »»»» Presence des fichiers dans C:\Documents and Settings\Grapthec 120\Application Data

              »»»» Presence des fichiers dans C:\DOCUME~1\GRAPTH~1\LOCALS~1\Temp

              --------------- [ Registre / Startup ] ----------------

              ! REG.EXE VERSION 3.0

              HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
              NvCplDaemon REG_SZ RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
              AdaptecDirectCD REG_SZ "C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"
              HP Software Update REG_SZ C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
              G DATA AntiVirus Trayapplication REG_SZ C:\Program Files\G DATA\AntiVirus\AVKTray\AVKTray.exe

              ! REG.EXE VERSION 3.0

              HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
              MSMSGS REG_SZ "C:\Program Files\Messenger\msmsgs.exe" /background

              --------------- [ Registre / Clés infectieuses ] ----------------

              --------------- [ Etat / Services ] ----------------

              +- Services : [ Auto=2 Demande=3 Désactivé=4 ]

              Ndisuio - Type de démarrage = 3

              Ip6Fw - Type de démarrage = 2

              SharedAccess - Type de démarrage = 2

              wuauserv - Type de démarrage = 2

              wscsvc - Type de démarrage = 2

              --------------- [ Recherche dans supports amovibles] ----------------

              +- Informations :

              C: - Lecteur fixe

              F: - Lecteur amovible

              +- Contenu de l'autorun : F:\autorun.inf

              +- presence des fichiers :

              Présent ! [10/05/2008 14:28][d--h-----] - F:\autorun.inf
              Présent ! [04/08/2004 01:07][---h-----] - F:\nideiect.com
              F:\autorun.inf - dossier autorun.inf cree par flash disinfector !

              --------------- [ Registre / Moutpoint2 ] ----------------

              -> Recherche négative.

              ------------------- ! Fin du rapport ! --------------------
              1. Utilisateur anonyme
                passe findykill sur le second pc
                1. visuScan Auteur
                  Bonjour,

                  Merci pour l'aide. Est ce normal que l'analyse fait apparaitre que mdelk est toujours present.

                  Concernant le second PC je ne peux pas le faire parceque tout simplement un ecran bleu apparait systematiquement au boot a cause du service srosa.sys

                  Merci.
              2. Utilisateur anonyme
                pour le fichier oui

                il est créé par l outil

                l autre pc c est un xp ou un vista ?
                1. visuScan Auteur
                  L'autre PC tourne sous XP.
              4. Utilisateur anonyme
                c est ennuyeux

                car sous xp l infection kill le mode sans echec alors que sous vista non

                bref essai quand meme de demarrer en mode sans echec a tout hasard
                1. visuScan Auteur
                  Mrci pour l'aide. J'ai essaye de demarrer en mode sans echec et c'est lel meme resultat. Ecran bleu au demarrage.

                  Comment faire pour se defaire de cett vermine?

                  Merci.
              5. Utilisateur anonyme
                si tu peux pas demarrer le pc ça va etre difficile ...
                1. visuScan Auteur
                  Si je mets le disque du PC en question sur l'autre PC que j'ai desinfecte et que je lance la desinfection avec FindyKill est ce que ca peut resourdre le probleme.

                  Merci.

              Discussions similaires

              Softonic,est-ce un virus ?
              techmel1

              6 réponses
              Désinstaller Softonic
              Diguimette

              5 réponses
              Chrome://newtab
              Nova

              14 réponses
              Supprimer New Tab
              tysaozon

              8 réponses
              Bouton pause/break
              frans003

              3 réponses