Virus svchost dans windows temp

ET bien merci pour ton aide precieuse, ma copine te dit aussi muchisimas gracias .

Je vais suivre tes indications du dernier post et informer aussi sur cette infection sur malwarecomplaints.

C'est vraiment super ce genre d'assistance en ligne.

Donc merci encore a toi Verni29.

Et merci au forum.

Salut.

@+

@

Re,

Oui, c'est nickel.

Comme je te le disais, avec ces versions modifiées, c'est un casse-tête à nettoyer.
Et bien souvent, c'est peine perdue.

-----------------------------------------------------------------------------------------

1/ Supprime les outils utilisés.

Ouvre OTL et clique sur Purge Outils.

2/ utilise CCleaner.
http://www.commentcamarche.net/telecharger/telecharger 168 ccleaner

utilise les fonctions nettoyeur et registre.

3/ Il est préférable maintenant que ton PC est propre de nettoyer la restauration système et de créer un point propre pour une utilisation ultérieure.

Les points de restauration :

- Panneau de configuration --> Système --> Restauration du système

cocher " Désactiver la restauration .... " ( si elle est cochée sinon la décocher -- > valider -- > cocher )
Une fenêtre va s'ouvrir pour t'avertir que les poins de restauration existants seront supprimés.
Accepte.

Décoche ensuite « Désactiver la restauration .... » pour réactiver la restauration système

- Tu vas recréer un point de restauration propre.

Pour recréer un point de restauration :
Démarrer --> Programmes --> Accessoires --> Outils système --> Restauration système
Choisis "Créer un point de restauration". Suis les invites.

---------------------------------------------------------------------------------------

Un peu de lecture : projet antimalwares : https://www.malekal.com/projet-antimalware-2/

--------------------------------------------------------------------------------------

/!\ Tu peux aussi dénoncer ton infection /!\
http://www.malwarecomplaints.info/phpBB3/viewforum.php?f=10

Lis l'article suivant pour t'aider dans la démarche : http://www.malekal.com/malwarecomplaints.html
Pour ton cas, choisis l'infection Autres infections et indique dans ton message que tu as été infecté par le trojan Alueron-TDSS

--------------------------------------------------------------------------------------

En te souhaitant bonne lecture et bonne continuation.

Salut.

@+

Le pc marche super bien. On lui a reduit un max le nombre de procesus actifs, l'utilisation du CPU et de la memoire... Il est carrement booste.
Et suivant le derneir rapport de Malwarebyte il n'y a plus de fichier infectes:

http://www.cijoint.fr/cjlink.php?file=cj201004/cijpkgziWW.txt

Donc tout semble OK. Qu'en penses tu?

Re,

Merci pour ta réponse.
Je me demandais pourquoi il y avait une version espagnole sur le PC ??

Oui, cela ne m'étonnerait pas qu'une version piratée/modifiée ait été installée par ce technicien.

Du coup, j'imagine que tu n'as pas de CD de Windows.
Cela a son importance pour la suite.

Comment se comporte le PC ?

----------------------------------------------------------------------------------

On va essayer de faire au mieux.

Comme je te le disais, ComboFix a bien nettoyé les services, fichiers qui résistaient.

Pour une autre vérification, tu vas réutiliser malwarebytes.

Ouvre le logiciel
# Onglet mise à jour --> fais la mise à jour.

# Dans l'onglet Recherche, sélectionne Exécuter un examen complet.
# Clique sur recherche. Tu ne sélectionnes que les disques durs de l'ordinateur.
# Clique sur lancer l'examen.

# A la fin de la recherche, comme il est demandé, clique sur afficher les résultats.
# Si des infections sont trouvées, clique sur Supprimer la sélection.
Tu postes le rapport dans ton prochain message.

Si tu ne retrouves pas le rapport, ouvre MalwareBytes et regarde dans l'onglet Rapport/logs. Il y est. Clique dessus et choisir ouvrir.

L'analyse prend généralement 50 mn en moyenne.

On verra ensuite pour ces fichiers.

A+
Allez jusqu'au bout de la procédure de désinfection.

C'est le pc de ma copine, il a été acheté en Hollande avec windows. Apparemment elle a eut un problème lorsqu'elle est rentrée chez elle en Bolivie et elle l'a donné a réparé a un technicien. Alors je sais pas trop ce qu'ils y ont changé, c'est fort possible qu'ils aient réinstallé une version "exotique".
On ne s'est pas posé la question jusqu'à présent.
Désolé si ca pose des problèmes supplémentaires.

En tout cas je te remercie infiniment pour ton aide sur ce coup!

Tu penses que c'est tout bon? Il n'y a plus d'infection?

scap,

Je l'avais remarqué dans le dernier rapport OTL sans te poser la question.
On remarque ceci dans le rapport de ComboFix :

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"_nltide_2"="shell32" [X]
"_nltide_3"="advpack.dll" [2008-06-23 124928]

C'est généralement le cas lors de versions exotiques. :-(

dans ces versions modifiées ou illégales, il est courant de voir des fichiers manquants ( car optimisées ) :

c:\windows\System32\wscntfy.exe ... is missing !!

Ou des fichiers qui semblent corrompus :

c:\windows\system32\midimap.dll . . . is infected!!

C'est bien souvent un casse-tête à nettoyer.

Aussi, soyons francs.
Ta version est légale ?

A+

PS : Sinon, ComboFix a correctement nettoyé l'infection.

Voila le rapport combofix:

http://www.cijoint.fr/cjlink.php?file=cj201004/cijXUhIvhv.txt

OK,

Tu peux me supprimer les deux fichiers suivants ( ce sont des traces de Combofix ).

C:\WINDOWS\MBR.exe
C:\WINDOWS\PEV.exe

--------------------------------------------------------------------------------------------

Tu vas télécharger ComBoFix et enregistre le sur ton bureau ( important pour la suite )
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

# Désactive les protections résidentes de ton ordinateur ( antivirus, antispyware et parefeu )
# Branche tes différents supports amovibles ( clés USB, disque dur externe ) sans les ouvrir.

# Lance Combofix.exe et suis les invites.

Il est possible que ComBoFix redémarre l'ordinateur pour supprimer certains fichiers.

# Une fois le scan fini, un rapport va apparaitre.

Copie/colle ce rapport dans ta prochaine réponse.

Note : Si tu ne le trouves pas, il est à C:\ComboFix.txt.

A+

E voila le fichier Avenger.txt:

http://www.cijoint.fr/cjlink.php?file=cj201004/cij9665zQx.txt

Le systeme est beaucoup plus stable.

J'ai la valeur OTL dans la clé de registre indiquée. Je la supprime et je suis la procédure suivante.

A+

scap,

On a fait un grand pas en nettoyant cette infection des rootkits.
la suite devrait mieux se passer en principe.

As-tu toujours des soucis d'instabilité ?

-----------------------------------------------------------------------------------------

Peux-tu vérifier pour la clé que je t'avais indiqué hier soir ?
Tu ouvres la base de registre ( en tapant regedit dans exécuter )

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

Si tu trouves la valeur OTL dans la partie droite, supprime la.
je ne voudrais que cela interfère avec la manipulation suivante.

-------------------------------------------------------------------------------------

1/ Télécharge The Avenger sur ton Bureau.
http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/
# Extraire le fichier sur ton bureau.
# Tu obtiendras un fichier avenger.exe

2/ Copie le texte ci-dessous :

Drivers to disable:
xkgvuusd

Drivers to delete:
xkgvuusd

Files to delete:
C:\WINDOWS\system32\iyhbchb.dll
C:\WINDOWS\System32\hrqjjhda.dll

Note: Le code ci-dessus a été crée spécialement pour CET utilisateur.
si vous n'êtes pas CET utilisateur, NE SUIVEZ pas ces directives : elles pourraient endommager votre système.

3/ Maintenant, lance The Avenger en double-cliquant sur Avenger.exe.

* Clique sur OK au message qui va s'ouvrir
* Dans le rectangle blanc, sous "Input script here", colle-le texte .
* Cliquer "Execute" comme ceci :
http://img100.imageshack.us/img100/7672/avengerve6pq1.jpg

* Une boîte de dialogue indique que le pc va redémarrer. Il faut accepter.

4/ The Avenger va automatiquement faire ce qui suit:

* Il va Re-démarrer le système.
Dans les cas où le script contient un/des "Drivers to disable", The Avenger re-démarrera votre système 2 fois
* Après le re-démarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt
* The Avenger aura également sauvegardé tous les fichiers, etc., que vous lui avez demandé de supprimer, les aura compactés (zipped) et tranféré l'archive zip ici C:\avenger\backup.zip.

5/ Pour finir copier/coller le contenu du ficher c:\avenger.txt dans votre réponse

A+

Voila le rapport OTL:
http://www.cijoint.fr/cjlink.php?file=cj201004/cijWxeW3ne.txt

Et le Gmer:

GMER 1.0.15.15281 - http://www.gmer.net
Rootkit scan 2010-04-13 16:08:07
Windows 5.1.2600 Service Pack 3
Running: cxqbrw7i.exe; Driver: C:\DOCUME~1\BLACKC~1\CONFIG~1\Temp\pxtdipow.sys

---- System - GMER 1.0.15 ----

SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwClose [0xB839AC56]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwCreateKey [0xB839AB12]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwDeleteKey [0xB839B0C6]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwDeleteValueKey [0xB839AFF0]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwDuplicateObject [0xB839A6E8]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwOpenKey [0xB839ABEC]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwOpenProcess [0xB839A628]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwOpenThread [0xB839A68C]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwQueryValueKey [0xB839AD0C]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwRenameKey [0xB839B194]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwRestoreKey [0xB839ACCC]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwSetValueKey [0xB839AE4C]
SSDT \??\C:\Archivos de programa\SUPERAntiSpyware\SASKUTIL.SYS (SASKUTIL.SYS/SUPERAdBlocker.com and SUPERAntiSpyware.com) ZwTerminateProcess [0xB8486320]

Code \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwCreateProcessEx [0xB83A74FE]
Code \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwCreateSection [0xB83A7322]
Code \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwLoadDriver [0xB83A745C]
Code \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) NtCreateSection
Code \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ObInsertObject
Code \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ObMakeTemporaryObject

---- Kernel code sections - GMER 1.0.15 ----

.text ntkrnlpa.exe!ZwCallbackReturn + 2474 80501C9C 4 Bytes CALL E3085647
PAGE ntkrnlpa.exe!ZwLoadDriver 80579588 7 Bytes JMP B83A7460 \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)
PAGE ntkrnlpa.exe!NtCreateSection 805A06EC 7 Bytes JMP B83A7326 \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)
PAGE ntkrnlpa.exe!ObReferenceObjectByHandle + 4BF 805B0F75 7 Bytes JMP 8A8DF400
PAGE ntkrnlpa.exe!ObMakeTemporaryObject 805B1C60 5 Bytes JMP B83A34BA \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)
PAGE ntkrnlpa.exe!ObInsertObject 805B8AD8 5 Bytes JMP B83A4972 \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)
PAGE ntkrnlpa.exe!ZwCreateProcessEx 805C736A 7 Bytes JMP B83A7502 \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)
.text C:\WINDOWS\system32\DRIVERS\nv4_mini.sys section is writeable [0xB9F12360, 0x37226D, 0xE8000020]

---- User IAT/EAT - GMER 1.0.15 ----

IAT C:\WINDOWS\system32\services.exe[1104] @ C:\WINDOWS\system32\services.exe [ADVAPI32.dll!CreateProcessAsUserW] 003D0002
IAT C:\WINDOWS\system32\services.exe[1104] @ C:\WINDOWS\system32\services.exe [KERNEL32.dll!CreateProcessW] 003D0000

---- Devices - GMER 1.0.15 ----

Device \FileSystem\Ntfs \Ntfs aswSP.SYS (avast! self protection module/ALWIL Software)

AttachedDevice \FileSystem\Ntfs \Ntfs AsDsm.sys (Data Security Manager Driver/Windows (R) Codename Longhorn DDK provider)
AttachedDevice \FileSystem\Ntfs \Ntfs aswMon2.SYS (avast! File System Filter Driver for Windows XP/ALWIL Software)
AttachedDevice \Driver\Tcpip \Device\Ip aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice \Driver\Tcpip \Device\Tcp aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice \Driver\Tcpip \Device\Udp aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice \Driver\Tcpip \Device\RawIp aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)

Device \FileSystem\Fastfat \Fat B5F48D20

AttachedDevice \FileSystem\Fastfat \Fat AsDsm.sys (Data Security Manager Driver/Windows (R) Codename Longhorn DDK provider)
AttachedDevice \FileSystem\Fastfat \Fat fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)
AttachedDevice \FileSystem\Fastfat \Fat aswMon2.SYS (avast! File System Filter Driver for Windows XP/ALWIL Software)

---- Registry - GMER 1.0.15 ----

Reg HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDlls@C:\Documents and Settings\BlackCrystal\x2122\Datos de programa\Microsoft\IdentityCRL\production\ppcrlconfig.dll 2

---- Files - GMER 1.0.15 ----

File C:\ADSM_PData_0150 0 bytes
File C:\ADSM_PData_0150\DB 0 bytes
File C:\ADSM_PData_0150\DB\SI.db 624 bytes
File C:\ADSM_PData_0150\DB\UL.db 16 bytes
File C:\ADSM_PData_0150\DB\VL.db 16 bytes
File C:\ADSM_PData_0150\DB\_avt 512 bytes
File C:\ADSM_PData_0150\DragWait.exe 253952 bytes executable
File C:\ADSM_PData_0150\_avt 512 bytes
File C:\Archivos de programa\ASUS\ASUS Data Security Manager\driver\x86 0 bytes
File C:\Archivos de programa\ASUS\ASUS Data Security Manager\driver\x86\AsDsm.sys 29752 bytes executable
File C:\Archivos de programa\ASUS\ASUS Data Security Manager\driver\x86\_avt 512 bytes

---- EOF - GMER 1.0.15 ----

Re,

passe à l'étape suivante, alors.
On verra après le redémarrage si c'est toujours aussi instable.

A+

Re,

Il est impossible de terminer le Scan avec OTL. Windows est trop instable. Tout se fige quelques minutes apres avoir demarre.

Re,

Relance OTL puis sélectionne les options suivantes ( tous les utilisateurs , 30 jours pour l'âge du fichier )
Clique sur analyse rapide et poste le rapport.

----------------------------------------------------------------------

Bon, on va commencer par nettoyer un des deux drivers.

1/ Démarrer --> tous les programmes --> Accessoires --> Invite de commandes Ms-Dos

Copie/Colle le texte suivant dans la fenêtre ouverte.

copy %systemroot%\system32\drivers\pci.sys %systemroot%
echo copy pci.sys system32\drivers>%systemroot%\fix.bat
echo del pci.sys>>%systemroot%\fix.bat
exit
cls

Pour coller ce texte dans la fenêtre MSDos, click droit et choisis Coller

Vérifie ( sans l'ouvrir ) qu'un fichier fix.bat a été crée en C:\Windows.

2/ Redémarre le PC et choisis le démarrage avec la console de récupération.

- choisis le repertoire de windows que tu as installé
par exemple : 1 --> c:\windows
- tape ensuite ceci : batch fix.bat

3/ Le PC va redémarrer.
Relance Gmer et poste le rapport.

A+

OK,

En tout cas merci pour ton aide et pour ta patience.

A+

Scap,

Il se fait tard.
On verra pour la suite demain.

A+

Voila le rapport de l'échec du scan OTL

========== OTL ==========
Error: Unable to stop service xkgvuusd!
Registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\xkgvuusd deleted successfully.
File move failed. C:\WINDOWS\system32\iyhbchb.dll scheduled to be moved on reboot.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{03985078-DD6A-49EF-8521-52A3F4128D7a}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{03985078-DD6A-49EF-8521-52A3F4128D7a}\ deleted successfully.
File C:\WINDOWS\System32\hrqjjhda.dll not found.
Registry delete failed. HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{641D649F-FE56-4C68-AF5C-BA9D3150276F}\ scheduled to be deleted on reboot.
Unable to delete registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{641D649F-FE56-4C68-AF5C-BA9D3150276F}\ .
File move failed. C:\WINDOWS\system32\iyhbchb.dll scheduled to be moved on reboot.
C:\WINDOWS\system32\lcppn21.dll moved successfully.
File C:\WINDOWS\System32\hrqjjhda.dll not found.

OTL by OldTimer - Version 3.2.1.1 log created on 04122010_222751

c'est bon il a redemarré sous windows normalement. Je récupère le nouveau rapport OTL et je le poste dans 2 min.

non, ce n'est pas cette valeur.

Redémarre le PC normalement.
As-tu encore le message avec OTL ?

A+