Win32 :Bamital-AC

?Télécharge OTLPEnet sur ton Bureau.

* Quand le téléchargement sera fini, Double Clic sur OTLPENet.exe et assures-toi d'avoir insérer un CDR vierge dans ton graveur CD/DVD. Une fenêtre va s'ouvrir pour te demander si tu souhaites graver Le CD, clique sur le bouton Oui.
* Patiente le temps de la décompression et de la gravure du CD.
* demarrer sur le cdrom crée de Reatogo , voir exemple: https://forum.malekal.com/viewtopic.php?t=9447&start=
* Ton système doit montrer un bureau REATOGO-X-PE
* En fonction de votre type de connexion Internet, tu dois être en mesure d'accèder au Net, si bien que tu peux accéder à ce sujet plus facilement.
* Double-click sur l'icone OTLPE
* Clique "yes" au prochain message
* Selectionne ta session puis vérifie que "Automatically Load All Remaining Users" soit sélectionné et press OK
*sous "Custom Scan box" copie_colle le contenu du texte en gras ci dessous:

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
explorer.exe
wininit.exe
userinit.exe
winlogon.exe
/md5stop
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
CREATERESTOREPOINT

* clic Run Scan pour demarrer le scan.
* une fois terminé , le fichier se trouve là C:\OTL.txt
* copie_colle le contenu dans ta prochaine reponse

Si ton rapport est trop long, utilise le site http://www.ci-joint.fr pour envoyer ton rapport, et poste le lien dans ta prochaine réponse.

Non, j'ai juste démarrage en mode sans échec et démarrage normal

En tapant sur F10, j'ai eu accès a la page de restauration de Packard Bell.
J'ai fais une restauration partielle qui a duré plus d'une 1h et après le redémarrage je retombais sans cesse sur la page de restauration Packard Bell.
Il y avait également la possibilité de réparer Windows, c'est ce que j'ai fais et depuis j'ai le message suivant:

L'ordinateur a redémarré de manière inattendue ou a rencontré une erreur inattendue. L'installation ne peut pas continuer.
Pour installer Windows, cliquez sur « OK » pour redémarrer l'ordinateur, puis redémarrer l'installation.

Quand je fais OK l'ordinateur redémarre en affichant le même message.

Tapotte la touche F10 au démarrage .

Oui mais je problème est me même !

Quand tu tapotte F8 au démarrage du pc ,qu'as tu comme options ?

oui mais le problème est le même !

As tu essayé de démarrer en mode sans echec ?

Non malheureusement je n'ai pas de cd d'installation ...

As tu tes cd d'installation originaux ?

Si oui ,insere les dans ton lecteur puis choisis "réparer" dans le menu quand il te le sera demandé .

oui et ca fait la même chose. Le démarrage se passe bien jusqu'à la page " Bienvenue" puis après l'écran noir apparait !

tu as essayé de redémarrer manuellement ?

J'ai fais exactement ce que tu m'a dis mais pendant que Combofix était lancé, il a fait ses " 50 étapes" puis me dit qu'il va redémarrer mais au moment de redémarrer : écran noir avec plus rien du tout !!

Je commence à vraiment m'inquiéter la !! Qu'est-ce qui s'est passé ??

> Ferme tout tes navigateurs (donc copie ou imprime les instructions avant)
- Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie/colle dedans les lignes suivantes :

KillAll::

FCopy::
C:\Windows\winsxs\x86_microsoft-windows-explorer_31bf3856ad364e35_6.0.6001.18000_none_51b4a71279bc6ebf\explorer.exe | C:\Windows\explorer.exe
C:\Windows\winsxs\x86_microsoft-windows-wininit_31bf3856ad364e35_6.0.6001.18000_none_30f2b8cf0450a6a2\wininit.exe | C:\Windows\System32\winnit.exe

- Enregistre ce fichier sous le nom CFScript
- Fait un glisser/déposer de ce fichier CFScrïpt sur le fichier ComboFix.exe comme sur cette image. (Clique sur le fichier CFScript, maintient le doigt enfoncé et glisse la souris pour que l'icône du CFScript vienne recouvrir l'icône de Combofix. Relache la souris.) Combofix va démarrer.
- Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.
- Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!
- Ne touche à rien tant que le scan n'est pas terminé sinon le PC peut planter !
- Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
Note : Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

J'ai mis les 2 rapports sur cijoint :

http://www.cijoint.fr/cjlink.php?file=cj201010/cijtdRP8X8.txt

http://www.cijoint.fr/cjlink.php?file=cj201010/cij2uhwjTH.txt

Fait ce que demande Jlpjlp ensuite utilise le site Cijoint pour poster ton rapport (car il est trop long) comme indiqué post#3

analyse sur virus total ceci en gras

C:\Windows\explorer.exe

et colle le rapport

puis lance ZHPSEARCH (jumelles en haut) via le menu de ZHPDIAG (manuel ici: http://rue-du-montceau.pagesperso-orange.fr/outils_zhpsearch.html )

1) Sélectionner "Trojan.Batimal" dans la liste déroulante
2) Cliquer sur le bouton "Loupe" pour lancer la recherche
3) En fin de recherche, cliquer sur le bouton "Afficher le rapport"
4) Poster le rapport
jfkpresident va passer pour finir de virer cette infection

a plus

Qu'est-ce que je dois faire maintenant ?

Salut Jlpjlp :)

J'avais édité mon message mais trop tard (j'étais pas sur de la syntaxe du nom de fichier ..)

@Clem: Poste le rapport de ZhpDiag maintenant qu'on sait que C:\Windows\System32\winnit.exe est bel et bien infecté par Batimal .

PS: @Jlpjlp,tu veux qu'on zip ce fichier ?

Voici le lien :

http://www.cijoint.fr/cjlink.php?file=cj201010/cijXXpmUCI.txt

0 VT Community user(s) with a total of 0 reputation credit(s) say(s) this sample is goodware. 0 VT Community user(s) with a total of 0 reputation credit(s) say(s) this sample is malware.
File name: winlogon.exe
Submission date: 2010-10-30 09:59:35 (UTC)
Current status: finished
Result: 0/ 41 (0.0%)
VT Community

not reviewed
Safety score: -
Compact
Print results
Antivirus Version Last Update Result
AhnLab-V3 2010.10.30.00 2010.10.29 -
AntiVir 7.10.13.74 2010.10.29 -
Antiy-AVL 2.0.3.7 2010.10.30 -
Authentium 5.2.0.5 2010.10.30 -
Avast 4.8.1351.0 2010.10.30 -
Avast5 5.0.594.0 2010.10.30 -
AVG 9.0.0.851 2010.10.30 -
BitDefender 7.2 2010.10.30 -
CAT-QuickHeal 11.00 2010.10.26 -
ClamAV 0.96.2.0-git 2010.10.30 -
Comodo 6559 2010.10.30 -
DrWeb 5.0.2.03300 2010.10.30 -
eSafe 7.0.17.0 2010.10.28 -
eTrust-Vet 36.1.7943 2010.10.29 -
F-Prot 4.6.2.117 2010.10.29 -
F-Secure 9.0.16160.0 2010.10.30 -
Fortinet 4.2.249.0 2010.10.30 -
GData 21 2010.10.30 -
Ikarus T3.1.1.90.0 2010.10.30 -
Jiangmin 13.0.900 2010.10.30 -
K7AntiVirus 9.67.2865 2010.10.29 -
McAfee 5.400.0.1158 2010.10.30 -
McAfee-GW-Edition 2010.1C 2010.10.29 -
Microsoft 1.6301 2010.10.30 -
NOD32 5576 2010.10.29 -
Norman 6.06.10 2010.10.30 -
nProtect 2010-10-30.02 2010.10.30 -
Panda 10.0.2.7 2010.10.29 -
PCTools 7.0.3.5 2010.10.30 -
Prevx 3.0 2010.10.30 -
Rising 22.71.03.02 2010.10.29 -
Sophos 4.59.0 2010.10.30 -
Sunbelt 7170 2010.10.30 -
SUPERAntiSpyware 4.40.0.1006 2010.10.30 -
Symantec 20101.2.0.161 2010.10.30 -
TheHacker 6.7.0.1.073 2010.10.29 -
TrendMicro 9.120.0.1004 2010.10.30 -
TrendMicro-HouseCall 9.120.0.1004 2010.10.30 -
VBA32 3.12.14.1 2010.10.29 -
ViRobot 2010.10.30.4121 2010.10.30 -
VirusBuster 12.70.12.0 2010.10.29 -
Additional informationShow all
MD5 : c2610b6bdbefc053bbdab4f1b965cb24
SHA1 : 145787476862969411875c30e3ef177bc8ac1863
SHA256: ec983e197c7da467efc98c42b43e34b1b437405f6b51678dab9f7f3400ea62f

et je ne trouve pas C:\Windows\System32\explorer.exe ...