Win32:Malware-gen Résolu

Question

Bonjour, 

Cela fait une quinzaine de jours qu'Avast a affiché un message d'alerte sur mon ordi fixe concernant Win32:Malware-gen. J'avoue que j'ai été un peu vite dans ma manip et j'ai eu un écran bleu avec apparemment la suppression de fichiers. J'ai tout de même réussi à noter les 4 fichiers infectés dans le répertoire c:\windows\system32\drivers : ELmon.sys - ELhid.sys - ELkbd.sys - ELmou.sys

Depuis, je n'ai plus de souris. Je n'arrive à me déplacer qu'avec le clavier.

Dans la configuration Matériel, j'ai un point d'exclamation devant "Ecran par défaut", "écran plug-and-play" et "souris compatible PS/2". et quand je consulte le détail du périphérique un message s'affiche : "Windows ne peut pas démarrer ce périphérique matériel car ses informations de configuration (dans le Registre) sont incomplètes ou endommagées. (Code 19).
J'ai suivi bon nombre de conseils dans différents forums pour essayer de rétablir (restauration système, désinstallation pilote, réinstallation...) sans succès.

Ai-je encore ce virus ? je n'en sais rien. J'ai désinstaller Avast pour AVG, mais rien qu'avec le clavier, ce n'est pas facile d'avoir accès à certaines informations tronquées.

Y aurait-il une âme charitable qui serait d'accord pour m'aider ?
(J'arrive à communiquer grâce à mon mini ordi).

En espérant avoir une réponse... Merci par avance.



Configuration: Windows XP SP3 / Firefox 17.0

juju666 · Answer

Salut tu as pété des fichiers systèmes, on va voir si combo arrive à les replacer.

&#9654 Fais un clic droit et "Enregistrer la cible (du lien sous) -> tonprenom.exe -> destination ton bureau (ET PAS AILLEURS) sur le lien suivant : ComboFix 

&#9654 Ferme les fenêtres  de tous les programmes en cours. 
Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.  

Lance combofix renommé 

Si tu es sur Windows XP, laisse-le installer la console de récupération.

&#9654 Ne touche à rien durant le scan

ComboFix devrait redémarrer ton PC.

&#9654 n'oublie pas de réactiver la garde de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. 

&#9654&#9654 Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message. 

 
&#9654&#9654&#9654 Si, après le redémarrage de votre pc par combofix, vous avez des erreurs "Clé marquée pour suppression" ou des soucis de connexion internet, redémarrez à nouveau votre ordinateur  
 
A+

juju666 · Answer

Re,

OK, là on va vérifier l'intégrité des fichiers systèmes ...

maya6508 · Answer

Bonjour,

J'ai quand même fait un test, évidemment j'ai des messages concernant certains fichiers manquants (DLL,...).

Il me demande le CD d'instal que je n'ai pas puisque c'est un windows qui était pré installé lors de l'achat de l'ordinateur. J'ai bien une copie sur CD du système d'origine, mais je ne vois pas trop bien comment l'utiliser dans ce cas-là.

J'ai trouvé une sauvegarde de ma base de registre qui date de juillet 2011. Est-ce que je peux restaurer cette base pour remplacer les clés de registres défaillantes ? Que va-t-il se passer pour les programmes installés entre temps ?

Merci de me donner ton avis.

juju666 · Answer

Re,

Non, la base de registre n'a rien à voir dans ce cas.
C'est des fichiers système qui ont été attaqués par un logiciel malveillant, qu'avast n'a rien trouvé de mieux à faire de les supprimer au lieu de les réparer.

On va en chercher une copie. Je pensais que combofix l'aurait fait mais non.

&#9654 Télécharge ici :SEAF.exe de C_XX


&#9654 Lance-le

&#9654 Une fenêtre va s'ouvrir .

&#x25CF Tape ELmon.sys dans cette fenêtre 

&#x25CF Dans "[Options des fichiers]", choisis l'option MD5 pour "Calculer le checksum" et coche le bouton radio devant "Informations supplémentaires"

&#x25CF Dans "[Options du registre]", choisis "Chercher également dans le registre"

aide en image

&#9654 Patiente pendant la recherche.

&#9654 Une fenêtre avec un log.txt va s'afficher.

&#9654 Copie/colle ce rapport dans ta prochaine réponse.

maya6508 · Answer

Merci.
OK. Je le ferai ce soir.

juju666 · Answer

A te lire :)

maya6508 · Answer

Bonsoir Juju666,

Et voilà !

1. ========================= SEAF 1.0.1.0 - C_XX
2. 
3. Commencé à: 19:31:54 le 02/01/2013
4. 
5. Valeur(s) recherchée(s):
6. ELmon.sys
7. 
8. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
9. 
10. (!) --- Calcul du Hash "MD5"
11. (!) --- Informations supplémentaires
12. (!) --- Recherche registre
13. 
14. ====== Fichier(s) ======
15. 
16. 
17. "C:\PNP\MOBO\program files\Intel\IntelDH\Intel(R) Quick Resume Technology\ELmon.sys" [ COMPRESSED|ARCHIVE | 7 Ko ]
18. TC: 04/08/2006,09:07:43 | TM: 13/12/2005,10:45:18 | DA: 02/01/2013,02:47:32
19. 
20. Hash MD5: A966212B01E4C9CFB2AB4ADD16DE945D
21. 
22. CompanyName: Intel Corporation
23. ProductName: Intel(R) Quick Resume Technology
24. InternalName: ELmon.sys
25. OriginalFileName: ELmon.sys
26. LegalCopyright: Copyright (c) 2005, Intel Corporation.
27. ProductVersion: 1.1.0.1030
28. FileVersion: 1.1.0.1030
29. 
30. =========================
31. 
32. 
33. "C:\PNP\MOBO\Windows\System32\Drivers\ELmon.sys" [ COMPRESSED|ARCHIVE | 7 Ko ]
34. TC: 04/08/2006,09:07:43 | TM: 13/12/2005,10:45:18 | DA: 02/01/2013,02:47:12
35. 
36. Hash MD5: A966212B01E4C9CFB2AB4ADD16DE945D
37. 
38. CompanyName: Intel Corporation
39. ProductName: Intel(R) Quick Resume Technology
40. InternalName: ELmon.sys
41. OriginalFileName: ELmon.sys
42. LegalCopyright: Copyright (c) 2005, Intel Corporation.
43. ProductVersion: 1.1.0.1030
44. FileVersion: 1.1.0.1030
45. 
46. =========================
47. 
48. 
49. "C:\Program Files\Intel\IntelDH\Intel(R) Quick Resume Technology\ELmon.sys" [ COMPRESSED|ARCHIVE | 7 Ko ]
50. TC: 13/12/2005,10:45:18 | TM: 13/12/2005,10:45:18 | DA: 02/01/2013,02:48:00
51. 
52. Hash MD5: A966212B01E4C9CFB2AB4ADD16DE945D
53. 
54. CompanyName: Intel Corporation
55. ProductName: Intel(R) Quick Resume Technology
56. InternalName: ELmon.sys
57. OriginalFileName: ELmon.sys
58. LegalCopyright: Copyright (c) 2005, Intel Corporation.
59. ProductVersion: 1.1.0.1030
60. FileVersion: 1.1.0.1030
61. 
62. =========================
63. 
64. 
65. "D:\Documents and Settings\TOUTLEMONDE\Local Settings\Temp\Répertoire temporaire 1 pour QUICKRES.ZIP\Windows\System32\Drivers\ELmon.sys" [ ARCHIVE|READONLY | 7 Ko ]
66. TC: 13/12/2005,10:45:18 | TM: 13/12/2005,10:45:18 | DA: 13/12/2005,10:45:18
67. 
68. Hash MD5: A966212B01E4C9CFB2AB4ADD16DE945D
69. 
70. CompanyName: Intel Corporation
71. ProductName: Intel(R) Quick Resume Technology
72. InternalName: ELmon.sys
73. OriginalFileName: ELmon.sys
74. LegalCopyright: Copyright (c) 2005, Intel Corporation.
75. ProductVersion: 1.1.0.1030
76. FileVersion: 1.1.0.1030
77. 
78. =========================
79. 
80. 
81. 
82. ====== Entrée(s) du registre ======
83. 
84. Aucun élément dans le registre trouvé
85. 
86. =========================
87. 
88. Fin à: 19:39:46 le 02/01/2013
89. 501514 Éléments analysés
90. 
91. =========================
92. E.O.F

juju666 · Answer

Heu o_O WTF ???
Jamais vu un backup dans C:\PNP\MOBO  !!

Refais la même procédure SEAF mais avec ceci en recherche :

ELhid.sys 

puis ELkbd.sys 

et enfin ELmou.sys 

il me faudra donc 3 rapports supplémentaires :)

maya6508 · Answer

Bonjour,

Concernant ton interrogation, voilà ce que j'ai pu trouver :

http://forum.telecharger.01net.com/forum/high-tech/PRODUITS/PC/problemes-pilotes-sujet_39109_1.htm

J'ai justement un ordi PB.

Ci-dessous les rapports en sachant que pour ELhid, j'avais fait une extraction depuis le répertoire DRIVERS.CAB (lu aussi dans un forum).



========================= SEAF 1.0.1.0 - C_XX
2. 
3. Commencé à: 06:54:34 le 03/01/2013
4. 
5. Valeur(s) recherchée(s):
6. ELmou.sys
7. ELkbd.sys
8. ELhid.sys
9. 
10. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
11. 
12. (!) --- Calcul du Hash "MD5"
13. (!) --- Informations supplémentaires
14. (!) --- Recherche registre
15. 
16. ====== Fichier(s) ======
17. 
18. 
19. "C:\PNP\MOBO\program files\Intel\IntelDH\Intel(R) Quick Resume Technology\ELkbd.sys" [ COMPRESSED|ARCHIVE | 7 Ko ]
20. TC: 04/08/2006,09:07:43 | TM: 13/12/2005,10:45:00 | DA: 02/01/2013,02:50:13
21. 
22. Hash MD5: DEE171E25792E39BC97741A33552CBC6
23. 
24. CompanyName: Intel Corporation
25. ProductName: Intel(R) Quick Resume Technology
26. InternalName: ELkbd.sys
27. OriginalFileName: ELkbd.sys
28. LegalCopyright: Copyright (c) 2005, Intel Corporation.
29. ProductVersion: 1.1.0.1030
30. FileVersion: 1.1.0.1030
31. 
32. =========================
33. 
34. 
35. "C:\PNP\MOBO\program files\Intel\IntelDH\Intel(R) Quick Resume Technology\ELmou.sys" [ COMPRESSED|ARCHIVE | 7 Ko ]
36. TC: 04/08/2006,09:07:43 | TM: 13/12/2005,10:44:58 | DA: 03/01/2013,06:32:31
37. 
38. Hash MD5: 5473AA5A3A57918BFBB82767E6EF1053
39. 
40. CompanyName: Intel Corporation
41. ProductName: Intel(R) Quick Resume Technology
42. InternalName: ELmou.sys
43. OriginalFileName: ELmou.sys
44. LegalCopyright: Copyright (c) 2005, Intel Corporation.
45. ProductVersion: 1.1.0.1030
46. FileVersion: 1.1.0.1030
47. 
48. =========================
49. 
50. 
51. "C:\PNP\MOBO\Windows\System32\Drivers\ELkbd.sys" [ COMPRESSED|ARCHIVE | 7 Ko ]
52. TC: 04/08/2006,09:07:43 | TM: 13/12/2005,10:45:00 | DA: 02/01/2013,02:49:53
53. 
54. Hash MD5: DEE171E25792E39BC97741A33552CBC6
55. 
56. CompanyName: Intel Corporation
57. ProductName: Intel(R) Quick Resume Technology
58. InternalName: ELkbd.sys
59. OriginalFileName: ELkbd.sys
60. LegalCopyright: Copyright (c) 2005, Intel Corporation.
61. ProductVersion: 1.1.0.1030
62. FileVersion: 1.1.0.1030
63. 
64. =========================
65. 
66. 
67. "C:\PNP\MOBO\Windows\System32\Drivers\ELmou.sys" [ COMPRESSED|ARCHIVE | 7 Ko ]
68. TC: 04/08/2006,09:07:43 | TM: 13/12/2005,10:44:58 | DA: 03/01/2013,06:32:31
69. 
70. Hash MD5: 5473AA5A3A57918BFBB82767E6EF1053
71. 
72. CompanyName: Intel Corporation
73. ProductName: Intel(R) Quick Resume Technology
74. InternalName: ELmou.sys
75. OriginalFileName: ELmou.sys
76. LegalCopyright: Copyright (c) 2005, Intel Corporation.
77. ProductVersion: 1.1.0.1030
78. FileVersion: 1.1.0.1030
79. 
80. =========================
81. 
82. 
83. "C:\Program Files\Intel\IntelDH\Intel(R) Quick Resume Technology\ELkbd.sys" [ COMPRESSED|ARCHIVE | 7 Ko ]
84. TC: 13/12/2005,10:45:00 | TM: 13/12/2005,10:45:00 | DA: 02/01/2013,02:49:39
85. 
86. Hash MD5: DEE171E25792E39BC97741A33552CBC6
87. 
88. CompanyName: Intel Corporation
89. ProductName: Intel(R) Quick Resume Technology
90. InternalName: ELkbd.sys
91. OriginalFileName: ELkbd.sys
92. LegalCopyright: Copyright (c) 2005, Intel Corporation.
93. ProductVersion: 1.1.0.1030
94. FileVersion: 1.1.0.1030
95. 
96. =========================
97. 
98. 
99. "C:\Program Files\Intel\IntelDH\Intel(R) Quick Resume Technology\ELmou.sys" [ COMPRESSED|ARCHIVE | 7 Ko ]
100. TC: 13/12/2005,10:44:58 | TM: 13/12/2005,10:44:58 | DA: 03/01/2013,06:32:45
101. 
102. Hash MD5: 5473AA5A3A57918BFBB82767E6EF1053
103. 
104. CompanyName: Intel Corporation
105. ProductName: Intel(R) Quick Resume Technology
106. InternalName: ELmou.sys
107. OriginalFileName: ELmou.sys
108. LegalCopyright: Copyright (c) 2005, Intel Corporation.
109. ProductVersion: 1.1.0.1030
110. FileVersion: 1.1.0.1030
111. 
112. =========================
113. 
114. 
115. 
116. ====== Entrée(s) du registre ======
117. 
118. 
119. [HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\A7E5F6C8B6E55F540B2BD658201C0D5F]
120. "CDFC94D8F878E324F91CBDEE0738BA71"="C:\WINDOWS\System32\Drivers\ELmou.sys" (REG_SZ)
121. 
122. =========================
123. 
124. Fin à: 06:58:50 le 03/01/2013
125. 501524 Éléments analysés
126. 
127. =========================
128. E.O.F

juju666 · Answer

Hello,

Ah ben tu vois, j'ai encore appris quelque chose :-)
Je ne savais pas que les ordi PB faisaient un backup à cet emplacement.
Possèdes-tu le fichier c:\pnp\mobo\setup.exe ? Si oui, lance-le.

A+

maya6508 · Answer

Bonsoir,

Désolée de ne pas t'avoir répondu avant, mais panne d'internet à la maison... merci le FAI !

J'ai lancé le fichier C:\pnp\mobo\setup.exe et ça a marché. D'abord, il a désinstallé l'application. Redémarrage. Puis je l'ai réinstallée et encore redémarrage.

J'ai retrouvé à nouveau ma souris (ouf !!!), sauf que l'antivirus AVG reconnait ce fichier ELhid.sys comme étant infecté : Cheval de Troie:Agent4.GFJ.

J'ai choisi d'ignorer cette menace pour le moment et de maintenir une surveillance grâce aux outils que tu m'as donnés et malgré un port USB qui ne fonctionne pas (c'est pas grave j'en ai encore 5). Et peut-être voir pour une mise à jour du pilote sur le site d'Intel.

Qu'en penses-tu ?

Si tu as d'autres conseils, ils seront les bienvenus.

En tout cas, mon ordi marche maintenant beaucoup mieux qu'avant (rapidité au démarrage, à la fermeture...). 

Merci encore à toi.

J'attends ta réponse avant de mettre cette question en résolue.

maya6508 · Answer

Bonsoir,

Désolée d'avoir tardé à te répondre, mais je n'avais plus d'internet à la maison... merci à mon FAI :(

J'ai exécuter le fichier C:\pnp\mobo\setup.exe. J'ai retrouvé ma souris (ouf !!!)

Mais AVG me dit que ce fichier est infecté par Cheval de Troie:Agent4.GFJ.

J'ai décidé d'ignorer cette alerte et de maintenir une surveillance de mon ordi grâce aux outils que tu m'as donnés.

Je vais peut-être essayer de voir sur le site d'Intel pour mettre à jour certains pilotes.

Si tu as d'autres conseils, ils seront les bienvenus.

A te lire.

juju666 · Answer

Salut,

Ben c'est ma-gni-fi-que alors :)

Tu peux me poster le rapport d'avg stp ?

maya6508 · Answer

Bonjour,

Fausse joie.

J'ai remarqué un ralentissement de l'ordi. J'ai fait un scan avec AVG. J'ai plusieurs fichiers infectés, mais je ne vois pas comment obtenir le rapport d'analyse.

Le sais-tu ?

juju666 · Answer

Non je ne sais pas où se trouvent les rapports AVG, connait pas cet antivirus.

Il détectait quoi ?

maya6508 · Answer

Il est censé détecté les virus...

Bon ! Je vais en changé et revenir sur Avast. A moins que tu en ai un à me conseiller.

juju666 · Answer

Ouais désinstalle AVG 

&#9654 Télécharge ici : Gmer (by Przemyslaw Gmerek) et enregistre-le sur ton bureau 

Désactive toutes tes protections le temps du scan de gMer 

Double clique sur gmer.exe si tu es sur Windows XP, si tu es sous Vista ou Seven il faut le lancer en clic droit => exécuter en tant qu'administrateur. 

&#9654 Dans GMER, développe les onglets avec ">>>" ( illustration ) 

&#9654 Rends-toi à Files, développe C:\Windows\System32\Drivers et tu mets en surbrillance ELhid.sys  puis clique sur Copy, il va te demander où tu veux l'enregistrer et sous quel nom. Indique "testelhid.sys" (sans les guillemets) et enregistre-le sur ton bureau. ( Illustration )  

&#9654 Envoie testelhid.sys sur https://www.virustotal.com/gui/ 
Si un message te dit que le fichier à déjà été analysé, ré-analyse le 
Copie-colle l'url affichée dans la barre d'adresse de ton navigateur dans ta réponse.

maya6508 · Answer

https://www.virustotal.com/gui/file/50f7f55daebca46ae308b6f3db66620ca5c9fc526d082cf5278c5e3aee8ea8c1

juju666 · Answer

Faux positif. Desinstalle avg et opte plutot pour avast :)

maya6508 · Answer

Bonsoir,

J'ai donc réinstaller Avast. J'ai refais un scan et aucun virus n'a été détecté.

Depuis deux jours, plus aucun problème. Tout est revenu à la normal.

Pour quelqu'un qui n'y connais rien aux méthodes de désinfection, c'est difficile. Un TRES GRAND MERCI à toi juju666 qui m'a vraiment aidé.

Je mets la question en résolue.

juju666 · Answer

Au plaisir :)

Win32:Malware-gen

32 réponses

Discussions similaires

Newsletters