Win32 skimorph [cryp]

Question

Bonjour,
Mon Avast à détécté ce virus "Win32:SkiMorph [Cryp]" 
Pourriez vous m'aider à l'enlever ? J'ai deja fait un rapport avec Navilog1:


Search Navipromo version 3.7.5 commencé le 09/03/2009 à 19:06:24,63

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Postez ce rapport sur le forum pour le faire analyser !!!
!!! Ne lancez pas la partie désinfection sans l'avis d'un spécialiste !!!

Outil exécuté depuis C:\Program Files
avilog1

Mise à jour le 26.02.2009 à 18h00 par IL-MAFIOSO

Microsoft® Windows Vista™ Édition Familiale Premium  ( v6.0.6001 ) Service Pack 1
X86-based PC ( Multiprocessor Free : Intel(R) Core(TM)2 Duo CPU     T5450  @ 1.66GHz )
BIOS : Ver 1.00PARTTBL
USER : Pierre Marie ( Administrator )
BOOT : Fail-safe with network boot

Antivirus : Norton Internet Security 2007 (Activated)
Firewall  : Norton Internet Security 2007 (Activated)

C:\ (Local Disk) - NTFS - Total:92 Go (Free:23 Go)
E:\ (Local Disk) - NTFS - Total:92 Go (Free:91 Go)
F:\ (CD or DVD)


Recherche executé en mode sans échec

*** Recherche Programmes installés ***


*** Recherche dossiers dans "C:\Windows" ***


*** Recherche dossiers dans "C:\Program Files" ***


*** Recherche dossiers dans "c:\progra~2\micros~1\windows\startm~1\programs" ***


*** Recherche dossiers dans "c:\progra~2\micros~1\windows\startm~1" ***


*** Recherche dossiers dans "C:\ProgramData" ***


*** Recherche dossiers dans "c:\users\pierre~1\appdataoaming\micros~1\windows\startm~1\programs" ***


*** Recherche dossiers dans "C:\Users\Pierre Marie\AppData\Local\virtualstore\Program Files" ***



*** Recherche dossiers dans "C:\Users\Pierre Marie\AppData\Local" ***




*** Recherche dossiers dans "C:\Users\Pierre Marie\AppData\Roaming" ***


*** Recherche avec Catchme-rootkit/stealth malware detector par gmer ***
pour + d'infos : http://www.gmer.net



*** Recherche avec GenericNaviSearch ***
!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!
!!! A vérifier impérativement avant toute suppression manuelle !!!

* Recherche dans "C:\Windows\system32" *

* Recherche dans "C:\Users\Pierre Marie\AppData\Local\Microsoft" *

* Recherche dans "C:\Users\Pierre Marie\AppData\Local" *



*** Recherche fichiers *** 



*** Recherche clés spécifiques dans le Registre ***
!! Les clés trouvées ne sont pas forcément infectées !!


[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"yiikg"="\"c:\users\pierre marie\appdata\local\yiikg.exe\" yiikg"


*** Module de Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche nouveaux fichiers Instant Access :


2)Recherche Heuristique :

* Dans "C:\Windows\system32" :


* Dans "C:\Users\Pierre Marie\AppData\Local\Microsoft" :


* Dans "C:\Users\Pierre Marie\AppData\Local" :

yiikg.exe trouvé !
yiikg.dat trouvé !
yiikg_nav.dat trouvé !
yiikg_navps.dat trouvé !

3)Recherche Certificats :

Certificat Egroup absent !
Certificat Electronic-Group absent !
Certificat Montorgueil absent !
Certificat OOO-Favorit absent !
Certificat Sunny-Day-Design-Ltd absent !

4)Recherche autres dossiers et fichiers connus :



*** Analyse terminée le 09/03/2009 à 19:19:03,07 ***

pimprenelle27 · Answer

oui redémarer en mode sans échec.

pims · Answer

donc la g choisi l'option b mai il me propose plein d' autres ardwares. Je peu tous decocher et lancé ?

pimprenelle27 · Answer

non que eorezo il n'y a que lui sur le rapport.

pims · Answer

------- LOGFILE OF AD-REMOVER 1.1.1.6 | ONLY XP/VISTA -------

Updated by C_XX on 09/03/2009 at 21:20

**** LIMITED TO ****

Eorezo

********************

Start at: 23:27:23, Mon 09/03/2009 | Boot mode: Safe Boot
Option: CLEAN | Executed from: C:\Program Files\Ad-remover\Ad-remover.bat
Operating System: Microsoft® Windows Vista™ Home Premium Service Pack 1 (version 6.0.6001)
Computer Name: PC-DE-PIERREMAR
Current User: Pierre Marie - Administrator
Drive(s): 
- C:\  (File System: NTFS)
- E:\  (File System: NTFS)
System Drive: C:\
Windows Directory: C:\Windows\
System Directory: C:\Windows\System32\

--- Running Processes: 24
--- User Account Control is DISABLE

(!) ---- IE start pages/Tabs reset

+-----------------| Eorezo Elements Deleted :

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Eoengine
HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce\Softwarehelper
HKCR\AppID\{362A53B2-2913-4F8A-82F5-7E0A23FDC6F9}
HKCR\AppID\EoRezoBHO.DLL
HKCR\CLSID\{C7B76B90-3455-4AE6-A752-EAC4D19689E5}
HKCR\EoRezoBHO.EoBho
HKCR\EoRezoBHO.EoBho.1
HKCR\Typelib\{B6ACB3F1-6A83-432C-B854-3E1056F87F4E}
HKCU\Software\EoRezo
HKLM\Software\EoRezo
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C7B76B90-3455-4AE6-A752-EAC4D19689E5}
HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\eoEngine_is1
HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\SoftwareUpdate_is1
.
C:\Program Files\EoRezo
C:\Users\Pierre Marie\AppData\Roaming\EoRezo
C:\Windows\Prefetch\SOFTWAREUPDATEHP.EXE-53296842.pf
C:\Users\Pierre Marie\AppData\Roaming\Microsoft\Windows\Cookies\pierre_marie@ads.eorezo[1].txt
C:\Users\Pierre Marie\AppData\Roaming\Microsoft\Windows\Cookies\pierre_marie@dl.eorezo[1].txt
C:\Users\Pierre Marie\AppData\Roaming\Microsoft\Windows\Cookies\pierre_marie@eorezo[1].txt

(!) ---- Temp files deleted.
(!) ---- Recycle bin emptied in all drives.


+-----------------| Added Scan :

---- Mozilla FireFox Version 3.0.7 ----

ProfilePath: qg5bq52e.default
.
.
.
.
.
.

---- Internet Explorer Version 7.0.6001.18000 ----

+-[HKEY_CURRENT_USER\..\Internet Explorer\Main]

Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Search Page: hxxp://recherche.neuf.fr/
Start page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome

+-[HKEY_USERS\S-1-5-21-1183140647-2202194003-2035419698-1000\..\Internet Explorer\Main]

Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Search Page: hxxp://recherche.neuf.fr/
Start page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome

+-[HKEY_LOCAL_MACHINE\..\Internet Explorer\Main]

Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start page: hxxp://fr.msn.com/

+-[HKEY_LOCAL_MACHINE\..\Internet Explorer\ABOUTURLS]

Tabs: hxxp://ieframe.dll/tabswelcome.htm

+---------------------------------------------------------------------------+

3518 Byte(s) - C:\Ad-Report-Clean-09.03.2009.log
4022 Byte(s) - C:\Ad-Report-Scan-09.03.2009.log

2 File(s) - C:\Program Files\Ad-remover\TOOLS\BACKUP
4 File(s) - C:\Program Files\Ad-remover\TOOLS\QUARANTINE

Before run:       25,363,996,672 Byte(s) free
After run:       29,520,572,416 Byte(s) free

End at: 23:29:50 | 09/03/2009
.
+-----------------| E.O.F - 73 Lines
.

pims · Answer

Quesque tu voulai dire par "un nouvel Hijackthis"

pims · Answer

------- LOGFILE OF AD-REMOVER 1.1.1.6 | ONLY XP/VISTA -------

Updated by C_XX on 09/03/2009 at 21:20

Start at: 23:34:57, Mon 09/03/2009 | Boot mode: Safe Boot
Option: SCAN | Executed from: C:\Program Files\Ad-remover\Ad-remover.bat
Operating System: Microsoft® Windows Vista™ Home Premium Service Pack 1 (version 6.0.6001)
Computer Name: PC-DE-PIERREMAR
Current User: Pierre Marie - Administrator
Drive(s): 
- C:\  (File System: NTFS)
- E:\  (File System: NTFS)
System Drive: C:\
Windows Directory: C:\Windows\
System Directory: C:\Windows\System32\

--- Running Processes: 26
--- User Account Control is DISABLE

+-----------------| Boonty/Boonty Games Elements Found:

.
.

+-----------------| Eorezo Elements Found:

.

+-----------------| Infected Poker Softwares Elements Found:

.

+-----------------| FunWebProducts/MyWay/MyWebSearch Elements Found:

.
.

+-----------------| It's TV Elements Found:

.

+-----------------| Sweetim Elements Found:

.

+-----------------| Other Adwares Found:

.
.
C:\Users\Pierre Marie\AppData\Roaming\Microsoft\Windows\Cookies\pierre_marie@atdmt[2].txt
C:\Users\Pierre Marie\AppData\Roaming\Microsoft\Windows\Cookies\pierre_marie@bs.serving-sys[1].txt

+-----------------| Added Scan:

---- Mozilla FireFox Version 3.0.7 ----

ProfilePath: qg5bq52e.default
.
.
.
.
.
.

---- Internet Explorer Version 7.0.6001.18000 ----

+-[HKEY_CURRENT_USER\..\Internet Explorer\Main]

Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Search Page: hxxp://recherche.neuf.fr/
Start page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome

+-[HKEY_USERS\S-1-5-21-1183140647-2202194003-2035419698-1000\..\Internet Explorer\Main]

Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Search Page: hxxp://recherche.neuf.fr/
Start page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome

+-[HKEY_LOCAL_MACHINE\..\Internet Explorer\Main]

Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start page: hxxp://fr.msn.com/

+-[HKEY_LOCAL_MACHINE\..\Internet Explorer\ABOUTURLS]

Tabs: hxxp://ieframe.dll/tabswelcome.htm

+---------------------------------------------------------------------------+

3903 Byte(s) - C:\Ad-Report-Clean-09.03.2009.log
2871 Byte(s) - C:\Ad-Report-Scan-09.03.2009.log

2 File(s) - C:\Program Files\Ad-remover\TOOLS\BACKUP
4 File(s) - C:\Program Files\Ad-remover\TOOLS\QUARANTINE

Before run:       29,517,275,136 Byte(s) free
After run:       29,517,275,136 Byte(s) free

End at: 23:35:58 | 09/03/2009
.
+-----------------| E.O.F - 65 Lines
.

pims · Answer

mon pc détecte toujour skimorph

pimprenelle27 · Answer

Ok on avait pas fin désolé j'ai eu beaucoup de monde et ton sujet c'est trouvé perdu, maintenant tu va me faire ceci : 

Télécharge malwarebytes

NB : S'il te manque COMCTL32.OCX alors télécharge le ici

Tu l´installe; le programme va se mettre automatiquement a jour.

Une fois a jour, le programme va se lancer; clic sur l´onglet paramètre, et coche la case : "Arrêter internet explorer pendant la suppression".

Clic maintenant sur l´onglet recherche et coche la case : "exécuter un examen complet".

Puis clic sur "rechercher".

Laisse le scanner le pc...

Si des éléments on été trouvés > clic sur supprimer la sélection.

si il t´es demandé de redémarrer > clic sur "yes".

A la fin un rapport va s´ouvrir; sauvegarde le de manière a le retrouver en vu de le poster sur le forum.
Copie et colle le rapport stp.

PS : les rapport sont aussi rangé dans l'onglet rapport/log


Tutoriaux

pims · Answer

après la supression des éléments sa donne sa

Version de la base de données: 1945
Windows 6.0.6001 Service Pack 1

06/04/2009 22:54:55
mbam-log-2009-04-06 (22-54-55).txt

Type de recherche: Examen complet (C:\|E:\|F:\|)
Eléments examinés: 167777
Temps écoulé: 4 hour(s), 11 minute(s), 47 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 4

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\fcn (Rogue.Residue) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\desktop sms (Worm.P2P) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Users\Pierre Marie\Local Settings\Application Data\esawu_navps.dat (Adware.Navipromo.H) -> Quarantined and deleted successfully.
C:\Users\Pierre Marie\Local Settings\Application Data\esawu_nav.dat (Adware.Navipromo.H) -> Quarantined and deleted successfully.
C:\Users\Pierre Marie\Local Settings\Application Data\esawu.dat (Adware.Navipromo.H) -> Quarantined and deleted successfully.
C:\Users\Pierre Marie\Local Settings\Application Data\esawu.exe (Adware.Navipromo.H) -> Delete on reboot.

pimprenelle27 · Answer

Ok très bien on a fait du ménage, maintenant ceci : 

Pour commencer :  faire un petit nettoyage de l'ordi et du registre avec Ccleaner, regarde bien le Tuto CCleaner


Télécharge Superantispyware (SAS)



Choisis "enregistrer" et enregistre-le sur ton bureau.

Double-clique sur l'icône d'installation qui vient de se créer et suis les instructions.

Créé une icône sur le bureau.

Double-clique sur l'icône de SAS (une tête dans un cercle rouge barré) pour le lancer.

- Si l'outil te demande de mettre à jour le programme ("update the program definitions", clique sur yes.
- Sous Configuration and Préférences, clique sur le bouton "Préférences"
- Clique sur l'onglet "Scanning Control "
- Dans "Scanner Options ", assure toi que la case devant lles lignes suivantes est cochée :

Close browsers before scanning  (Fermer Navigateur avant le scan)

Scan for tracking cookies  (Scan pour dépister les cookies)

Terminate memory threats before quarantining (Terminez les menaces de mémoire avant de mettre en quarantaine)

- Laisse les autres lignes décochées.

- Clique sur le bouton "Close" pour quitter l'écran du centre de contrôle.

- Dans la fenêtre principale, clique, dans "Scan for Harmful Software", sur "Scan your computer".

Dans la colonne de gauche, coche C:\Fixed Drive.

Dans la colonne de droite, sous "Complète scan", clique sur "Perform Complète Scan"

Clique sur "next" pour lancer le scan. Patiente pendant la durée du scan.

A la fin du scan, une fenêtre de résultats s'ouvre . Clique sur OK.

Assure toi que toutes les lignes de la fenêtre blanche sont cochées et clique sur "Next".

Tout ce qui a été trouvé sera mis en quarantaine. S'il t'es demandé de redémarrer l'ordi ("reboot"), clique sur Yes.

Pour recopier les informations sur le forum, fais ceci :

- après le redémarrage de l'ordi, double-clique sur l'icône pour lancer SAS.
- Clique sur "Préférences" puis sur l'onglet "Statistics/Logs ".
- Dans "scanners logs", double-clique sur SuperAntiSpyware Scan Log.

- Le rapport va s'ouvrir dans ton éditeur de texte par défaut.

- Copie son contenu dans ta réponse.


Regarde bien le tuto SuperAntiSpyware il est très bien expliqué.

pims · Answer

SUPERAntiSpyware Scan Log
https://www.superantispyware.com/

Generated 04/07/2009 at 09:21 PM

Application Version : 4.26.1000

Core Rules Database Version : 3832
Trace Rules Database Version: 1788

Scan type       : Complete Scan
Total Scan Time : 01:09:13

Memory items scanned      : 777
Memory threats detected   : 0
Registry items scanned    : 6177
Registry threats detected : 0
File items scanned        : 42935
File threats detected     : 2

Adware.Tracking Cookie
	C:\Users\Pierre Marie\AppData\Roaming\Microsoft\Windows\Cookies\pierre_marie@atdmt[2].txt
	C:\Users\Pierre Marie\AppData\Roaming\Microsoft\Windows\Cookies\Low\pierre_marie@advertising[1].txt

pimprenelle27 · Answer

Ok supprime ce que SAS à trouvé, ensuite fais moi ceci, et je te dis à demain : 

Télécharger RemoveIT Pro

Fais un scan et poste moi le full rapport log.

A la fin du 1er scan, s'il demande de faire un scan complet dite oui et à la fin du 2ème scan, si virus trouvé cliquez sur fix pour nettoyer des virus trouvés.

pims · Answer

y a un soucie chaque fois que je le lance windows me dit que sa a cessé de fonctioner

pims · Answer

maintenent c'est mon lecteur dvd qui a l'aire Hs C de pire en pir ce virus...

poupou · Answer

J' atten la suite

pimprenelle27 · Answer

tu dit quand tu lance windows c'est à dire?

pims · Answer

je veu dire quant je lance remov it pro windos cesse de fonctioner du coup impossible de l' utiliser

pimprenelle27 · Answer

Fais un scan en ligne avec Internet explorer
Rend toi sur ce site : https://www.pandasecurity.com/en/homeusers/online-antivirus/?ref=activescan

Voici un tutoriel

pimprenelle27 · Answer

Bon ba on va essayer avec un autre alors  :

Fais un scan en ligne avec Internet explorer
Rend toi sur ce site : http://www.bitdefender.fr/scan_fr/scan8/ie.html

pimprenelle27 · Answer

Télécharger AVPTool

La page qui vous accueille comporte en général les 12 dernières versions générées. Regardez attentivement l'heure et la date affichées dans le nom du logiciel pour déterminer celle qui est la plus récente. Téléchargez-la sans hésiter sur le bureau de votre PC. Double-cliquez dessus pour lancez l'installation.

Attention : AVPTool (tout comme d'autres outils du même acabit tels que Antivir, BitDefender Free, etc.) n'est pas une protection. C'est un détecteur et un nettoyeur d'infections déjà présentes sur le PC. Pour vous protéger efficacement contre les menaces modernes que sont les Drive-by Downloads, les Stage Downloads, les Banking Trojans, les Webstorms, il faut disposer d'authentiques suites de sécurité comme Kaspersky Antivirus 8.0 (KAV) ou Kaspersky Internet Security 8.0 (KIS).

AVPTool fonctionne sous Windows 2000, XP, Vista 32 bits. Il ne doit pas être utilisé sur des machines déjà équipées de KAV 8.0 ou KIS 8.0.

Win32 skimorph [cryp]

35 réponses

Discussions similaires

Newsletters