help virus virulent

Question

après avoir aujourd'hui fait une install toute neuve (suite à changement de carte mère) j'ai trouvée ma machine bien lentej'ai donc fait un coup de secuser qui m'a trouvé tout un tas de worm:WORM POEBOT.U (syst32/explorer.exe)WORM RBOT.BZO (syst32/gnbwfih.exe)WORM RBOT.GEN (syst32/scvhost.exe)WORM POEBOT.U (syst32/usvkf.exe)WORM RBOT.BZO (syst32/winabra.exe)bien entendu secuser est absolumlent incapable d'erradiquer ces wormj'ai bien tenté d'autres antivirus en ligne mais ils n'ont pas marché après lecture de plusieurs sur le forum j'ai fait un coup de hijackthisqui m' adonné çaLogfile of HijackThis v1.99.1Scan saved at 22:11:42, on 05/09/2005Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:D:\WINDOWS\System32\smss.exeD:\WINDOWS\system32\csrss.exeD:\WINDOWS\system32\winlogon.exeD:\WINDOWS\system32\services.exeD:\WINDOWS\system32\lsass.exeD:\WINDOWS\system32\svchost.exeD:\WINDOWS\System32\svchost.exeD:\WINDOWS\System32\svchost.exeD:\WINDOWS\System32\svchost.exeD:\WINDOWS\Explorer.EXED:\WINDOWS\system32\spoolsv.exeD:\Program Files\VIAudioi\SBADeck\ADeck.exeD:\WINDOWS\System32\RUNDLL32.EXED:\Program Files\Friendly Technologies\BroadbandAccess\fts.exeD:\WINDOWS\System32\steam.exeD:\WINDOWS\System32\explorer.exeD:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exeD:\WINDOWS\System32
vsvc32.exeD:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exeD:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exeD:\WINDOWS\system32\cmd.exeD:\WINDOWS\system32\cmd.exeD:\WINDOWS\etb\pokapoka65.exeD:\WINDOWS\System32\spooler.exeD:\Program Files\Internet Explorer\IEXPLORE.EXED:\Program Files\Internet Explorer\IEXPLORE.EXED:\Documents and Settings\kkkader\Bureau\HijackThis.exeO4 - HKLM\..\Run: [AudioDeck] D:\Program Files\VIAudioi\SBADeck\ADeck.exe 1O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInitO4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [%FP%Friendly fts.exe] "D:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe"O4 - HKLM\..\Run: [Generic Host Process2 System Backup] scvhost2.exeO4 - HKLM\..\Run: [Microfost Windows update] qnbwfih.exeO4 - HKLM\..\Run: [steam] steam.exeO4 - HKLM\..\Run: [Windows Explorer] D:\WINDOWS\System32\explorer.exeO4 - HKLM\..\Run: [System service65] D:\WINDOWS\etb\pokapoka65.exeO4 - HKLM\..\RunServices: [Generic Host Process2 System Backup] scvhost2.exeO4 - HKLM\..\RunServices: [Microfost Windows update] qnbwfih.exeO4 - HKLM\..\RunServices: [steam] steam.exeO4 - HKCU\..\Run: [Generic Host Process2 System Backup] scvhost2.exeO4 - HKCU\..\Run: [Microfost Windows update] qnbwfih.exeO16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kavwebscan_unicode.cabO16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cabO16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cabO17 - HKLM\System\CCS\Services\Tcpip\..\{2BF094FF-D442-42AF-A656-479F1E0406FA}: NameServer = 80.118.192.110 80.118.196.40O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - D:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exeO23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\System32
vsvc32.exeO23 - Service: Print Spool Handler (Print Spooler) - Unknown owner - D:\WINDOWS\System32\spooler.exeen esperant que quelqu'un ait une idée de ce qu'il faut que je fasse pour régler cette s***perie

cacacader · Answer

personne n'a une idée please?

jean38 · Answer

salut

A/ si tu ne les as pas, télécharge:

Ad-Aware SE 1.06
http://www.lavasoftusa.com/software/adaware/
Spybot S&D 1.4
http://www.safer-networking.org/fr/index.html
-aide en image:(merci a Balltrap34)
http://pageperso.aol.fr/Balltrap34/demo%20spybot.htm

puis Clean Up 40 :
http://pageperso.aol.fr/balltrap34/CleanUp40.exe
-aide en image:(merci a Balltrap34)
http://pageperso.aol.fr/balltrap34/democleanup.htm
ne les utilise pas tout de suite

idem si tu ne l’as pas A2 free sur http://www.emsisoft.net/fr/software/download/

met à jour spybot, ad aware et a2 free sur internet (tu trouves l’option dans les menus) mais ne lance pas les scan.

1) clic droit sur poste de travail
propriété
restauration systeme
coche desactivé puis appliquer

2) demarrer
panneau de configuration
outil
option des dossiers
affichage,
coche afficher dossier cachés
décoche : masquer extension des fichiers dont le type est connu
masquer les fichiers protégés du système d'exploitation.

3) démarre en mode sans échec.
Soit tu tapotes sur la touche F8 au lancement de Windows et tu choisis sans échec (pas d’inquiétude pour l’aspect de l’écran)

4) lance hijack, ferme le bloc note et coche les cases devant les lignes, à la fin valide à l’aide du bouton fix checked:
NB / La ligne contenant steam.exe, ce prog est soit un trojan soit parfois utilisé par des jeux. Perso je le vire, à toi de voir s'il peut correspondre à un jeu styl counter strike...

O4 - HKLM\..\Run: [Generic Host Process2 System Backup] scvhost2.exe

O4 - HKLM\..\Run: [Microfost Windows update] qnbwfih.exe

O4 - HKLM\..\Run: [steam] steam.exe

O4 - HKLM\..\Run: [Windows Explorer] D:\WINDOWS\System32\explorer.exe

O4 - HKLM\..\Run: [System service65] D:\WINDOWS\etb\pokapoka65.exe

O4 - HKLM\..\RunServices: [Generic Host Process2 System Backup] scvhost2.exe

O4 - HKLM\..\RunServices: [Microfost Windows update] qnbwfih.exe

O4 - HKLM\..\RunServices: [steam] steam.exe

O4 - HKCU\..\Run: [Generic Host Process2 System Backup] scvhost2.exe

O4 - HKCU\..\Run: [Microfost Windows update] qnbwfih.exe

5) supprime les fichiers

scvhost2.exe << attention pas confondre avec svchost qui est valide.

qnbwfih.exe

steam.exe << si tu es d'accord

D:\WINDOWS\System32\explorer.exe << attention celui qui est dans system 32.

D:\WINDOWS\etb << le dossier complet

6) exécute cleanup40.exe

tu relances tes scan ad aware
puis spy boot
puis a2 free
et vire tout ce qu'ils trouvent (c'est un peu long mais tu devrais t'en sortir).

vide ta poubelle et redemarre en mode normal, c'est à dire avant de redémarrer, tu refais les manip de départ (1) et (2) mais en recochant ... pour retrouver la config de départ.

redemarrerefait un log et dis moi ou tu en es des pb.

A+

Jean

cacacader · Answer

waou! l'effet est surprenant, ma machine marche 1000 fois mieux mais je me demande si il reste pas quelques merdes qui trainenten tout cas merci jean34voila un log hijackthis après avoir suivi tes instructions:Logfile of HijackThis v1.99.1Scan saved at 18:56:59, on 07/09/2005Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:D:\WINDOWS\System32\smss.exeD:\WINDOWS\system32\winlogon.exeD:\WINDOWS\system32\services.exeD:\WINDOWS\system32\lsass.exeD:\WINDOWS\system32\svchost.exeD:\WINDOWS\System32\svchost.exeD:\WINDOWS\Explorer.EXED:\WINDOWS\system32\spoolsv.exeD:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exeD:\WINDOWS\System32
vsvc32.exeD:\WINDOWS\System32\spooler.exeD:\WINDOWS\iexplre.exeD:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exeD:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exeD:\Program Files\VIAudioi\SBADeck\ADeck.exeD:\WINDOWS\System32\RUNDLL32.EXED:\Program Files\Friendly Technologies\BroadbandAccess\fts.exeD:\WINDOWS\System32\winPE.exeD:\WINDOWS\System32\qnbwfih.exeD:\Program Files\MSN Messenger\MsnMsgr.ExeD:\Program Files\Internet Explorer\IEXPLORE.EXED:\Documents and Settings\kkkader\Bureau\HijackThis.exeR3 - Default URLSearchHook is missingO4 - HKLM\..\Run: [AudioDeck] D:\Program Files\VIAudioi\SBADeck\ADeck.exe 1O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInitO4 - HKLM\..\Run: [NeroFilterCheck] D:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [%FP%Friendly fts.exe] "D:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe"O4 - HKLM\..\Run: [ms ownage] winPE.exeO4 - HKLM\..\Run: [Microfost Windows update] qnbwfih.exeO4 - HKLM\..\RunServices: [ms ownage] winPE.exeO4 - HKLM\..\RunServices: [Microfost Windows update] qnbwfih.exeO4 - HKCU\..\Run: [Microfost Windows update] qnbwfih.exeO4 - HKCU\..\Run: [MsnMsgr] "D:\Program Files\MSN Messenger\MsnMsgr.Exe" /backgroundO9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kavwebscan_unicode.cabO16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge-c18.cabO16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cabO16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/virusinfo/webscan.cabO16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cabO16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cabO17 - HKLM\System\CCS\Services\Tcpip\..\{2BF094FF-D442-42AF-A656-479F1E0406FA}: NameServer = 80.118.192.110 80.118.196.40O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "D:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - D:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exeO23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\System32
vsvc32.exeO23 - Service: Print Spool Handler (Print Spooler) - Unknown owner - D:\WINDOWS\System32\spooler.exeO23 - Service: Windows HWinfo Loader - Unknown owner - D:\WINDOWS\iexplre.exemerci d'avance

cacacader · Answer

bon j'ai bien peur que ce soit reparti comme en quarante
un scan m 'a permis de detecter une chiée de virus irréparable genre

WORM SDBOT.CCJ (syst32/ spooler.exe)
WORM SDBOT.CCE (win/iexplre.exe)

si quelqu'un a une idée c'est cool

jean38 · Answer

re,

un peu de retard mais...

Telecharge: Pocket Killbox ici
http://www.downloads.subratam.org/KillBox.exe

les diverses facons d utiliser la killbox
demo http://pageperso.aol.fr/balltrap34/killbox.htm

1) clic droit sur poste de travail
propriété
restauration systeme
coche desactivé puis appliquer

2) demarrer
panneau de configuration
outil
option des dossiers
affichage,
coche afficher dossier cachés
décoche : masquer extension des fichiers dont le type est connu
masquer les fichiers protégés du système d'exploitation.

3) démarre en mode sans échec.
Soit tu tapotes sur la touche F8 au lancement de Windows et tu choisis sans échec (pas d’inquiétude pour l’aspect de l’écran)

4) lance hijack, ferme le bloc note et coche les cases devant les lignes, à la fin valide à l’aide du bouton fix checked:

R3 - Default URLSearchHook is missing

O4 - HKLM\..\Run: [Microfost Windows update] qnbwfih.exe

O4 - HKLM\..\RunServices: [Microfost Windows update] qnbwfih.exe

O4 - HKCU\..\Run: [Microfost Windows update] qnbwfih.exe

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge-c18.cab

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "D:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: Windows HWinfo Loader - Unknown owner - D:\WINDOWS\iexplre.exe

5) Dans le menu Demarrer>Executer >tape: Services.msc
recherche le service avec cette orthographe exacte:
Print Spool Handler
Double clic dessus et clic sur arreter puis dans type de demarrage selectionne désactivé

6) lance kiilbox

clic sur tool >> delete temp files

1- Selectionne "Delete on Reboot"
2- Copie la 1ere ligne de la liste en gras et colle dans "Full Path of File to Delete"
3- clic sur la croix rouge
4- une fenetre va apparaitre pour confirmation clic sur YES
5- une seconde fenetre te demande si tu veux redemarrer clic sur NO

Recommence à l'étape 1 pour chaques lignes en gras.
Une fois toutes selectionnées, a l'étape 7 clic sur YES

D:\WINDOWS\iexplre.exe
qnbwfih.exe

7) exécute cleanup40.exe

tu relances tes scan ad aware
puis spy boot
puis a2 free
et vire tout ce qu'ils trouvent (c'est un peu long mais tu devrais t'en sortir).

vide ta poubelle et redemarre en mode normal, c'est à dire avant de redémarrer, tu refais les manip de départ (1) et (2) mais en recochant ... pour retrouver la config de départ.

redemarre

et out OK non?

Help virus virulent

5 réponses

Discussions similaires

Newsletters