[Virus Trojan] taskmgr qui merde!!!

Question

Bonjour tous,

Alors depuis ce soir (en tout cas, c'est ce soir que je me suis rendu compte de ce problème) : impossible d'accéder au gestionnaire de taches de XP en faisant CTRL+ALT+SUPP!!
Tout ce qui se passe, c'est la flèche qui devient sablier un très très court instant et rien!!

Après quelques recherches, je vérifies les clés dans gpedit.msc mais rien n'y fait!

Je fais un scan en mode sans échec avec Spybot et Adaware (mis à jour juste vant pour les deux) qui ne me trouvent rien à part des MRU et tracking cookies!!

Pour accéder au gestionnaire des taches, je télécharge "ProcessExplorer". Dans celui-ci, il  a le processus "taskmgr" mais dans ses propriétés, son origine vient de C:\Documents and Settings\"mon nom".

Par contre, en allant dans C:\WINDOWS\system32 et cliquant sur taskmgr, j'arrive au gestionnaire des taches!!

De plus, dans "Startup Mechanics", j'ai un item au démarrage se nommant "task" (c'est le seul que je n'avais pas avant) et en cliquant dessus, "Statup Mechanics" me dit que c'est un fichier (qui n'est pas de Windows) se trouvant dans "Windows System 1060" mais impossible de trouver ce dossier 1060!!

J'ai téléchargé AVG anti spyware pour faire une analyse de plus et celui-ci m'a trouvé "Backdoor.Ciadoor.13" mais je ne pense pas que cela ait un rapport avec mon problème.

La seule solution que j'ai trouvé, c'est de supprimer le fichier "taskmgr" dans C:\Documents and Settings\"mon nom" en mode sans échec, mais XP me dit à chaque démarrage qu'il ne trouve pas ce fichier, ce qui est un peu embêtant!
J'ai redémarré plusieurs fois après suppression de ce "taskmgr" dans C:\Documents and Settings\"mon nom" et à part le message à l'ouverture d'XP, j'ai re accès au gestionnaire des tâches en faisant CTRL+ALt+SUPP.

P.S. : comme XP me demandait le fichier taskmgr, j'ai copié celui présent dans C:\Documents and Settings\administrateur dans C:\Documents and Settings\"mon nom" mais le problème revient alors!!

Merci pour votre aide!

Insight · Answer

Ca y est! C'est fait.

Voici le rapport :
File C:\WINDOWS\Screen Task.scr infected by "Virus.Win32.VB.cd" Virus. Action Taken: File Deleted.
File C:\Documents and Settings\MUSHU\Bureau\clean\pskill.exe tagged as not-a-virus:RiskTool.Win32.PsKill.k. No Action Taken.

File C:\Documents and Settings\MUSHU\Local Settings\Temp\Kill Brontok.exe infected by "Virus.Win32.VB.cd" Virus. Action Taken: File Renamed.
File C:\RECYCLER\S-1-5-21-117609710-1035525444-839522115-1003\Dc7.exe infected by "Virus.Win32.VB.cd" Virus. Action Taken: File Renamed.

File C:\System Volume Information\_restore{D433945F-62E8-4106-A76A-62235A1F322D}\RP1\A0000101.scr infected by "Virus.Win32.VB.cd" Virus. Action Taken: File Deleted.
File C:\System Volume Information\_restore{D433945F-62E8-4106-A76A-62235A1F322D}\RP1\A0000120.scr infected by "Virus.Win32.VB.cd" Virus. Action Taken: File Deleted.
File C:\System Volume Information\_restore{D433945F-62E8-4106-A76A-62235A1F322D}\RP4\A0000163.scr infected by "Virus.Win32.VB.cd" Virus. Action Taken: File Deleted.
File C:\System Volume Information\_restore{D433945F-62E8-4106-A76A-62235A1F322D}\RP4\A0000188.scr infected by "Virus.Win32.VB.cd" Virus. Action Taken: File Deleted.
File C:\System Volume Information\_restore{D433945F-62E8-4106-A76A-62235A1F322D}\RP4\A0000213.scr infected by "Virus.Win32.VB.cd" Virus. Action Taken: File Deleted.
File C:\System Volume Information\_restore{D433945F-62E8-4106-A76A-62235A1F322D}\RP5\A0001348.scr infected by "Virus.Win32.VB.cd" Virus. Action Taken: File Deleted.
File C:\System Volume Information\_restore{D433945F-62E8-4106-A76A-62235A1F322D}\RP5\A0001349.exe infected by "Virus.Win32.VB.cd" Virus. Action Taken: File Renamed.


Toujours le message d'erreur au démarrage d'XP disant qu'il manque C:\Documents and Settings\MUSHU	askmgr.

Merci.

did71 · Answer

re,

essaie ceci:

Désactive le service d'affichage des messages :
Démarrer --> Exécuter --> tape services.msc puis Entrée
Dans la liste, cherche la ligne "Affichage des messages" puis double-clique dessus.
Règle le "type de démarrage" sur "Désactiver"
Pour le statut du service, clique sur le bouton Arrêter
puis clique sur Appliquer.

a+

Insight · Answer

C'était déjà comme cela.
J'ai redémarré pour vérifier mais toujours le message d'erreur.

did71 · Answer

re,

c'est à se tapper la tête contre les murs, ton problème!

Télécharge Blacklight (de F-Secure), sauvegarde le sur ton Bureau: 

https://europe.f-secure.com/exclude/blacklight/index.shtml 

Double-clique blbeta.exe et accepte la licence ;clique Scan puis Next 

Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres). 

Copie et colle le contenu de ce rapport dans ta prochaine réponse!

a+

Insight · Answer

Il n'a rien trouvé :
02/21/07 23:08:50 [Info]: BlackLight Engine 1.0.55 initialized
02/21/07 23:08:50 [Info]: OS: 5.1 build 2600 (Service Pack 2)
02/21/07 23:08:50 [Note]: 7019 4
02/21/07 23:08:50 [Note]: 7005 0
02/21/07 23:08:52 [Note]: 7006 0
02/21/07 23:08:52 [Note]: 7011 1308
02/21/07 23:08:53 [Note]: 7026 0
02/21/07 23:08:53 [Note]: 7026 0
02/21/07 23:08:55 [Note]: FSRAW library version 1.7.1021
02/21/07 23:09:57 [Note]: 7007 0

Ah la la!!!!

Sinon, toi, tu n'as pas de taskmgr dans C:\Documents and settings\username\ (même en affichant les fichiers systeme)?

Insight · Answer

Sinon, j'ai fait une recherche de "taskmgr" et j'obtiens ca, au cas ou il y aurait des fichiers qui ne devraient pas exister.

http://insight59.free.fr/photos/taskmgr.JPG

did71 · Answer

re,

évidemment non!

je passe mon temps à aider sur les forums, je le saurai!

tu dis:

enfin, j'ai copié/collé le fichier C:\Windows\system32	askmgr dans "C:\Documents and Settings\MUSHU\" --> plus de message d'erreur au démarrage, mais juste le gestionnaire des tâches qui s'ouvre automatiquement (je n'ai qu'à le fermer). 

on peut contourner le problème, je pense!

tu le laisse ici et dans msconfig, tu le décoche dans démarrage!

tiens moi au courant!

a+

Insight · Answer

Alors, j'ai copié/collé le fichier C:\Windows\system32	askmgr dans "C:\Documents and Settings\MUSHU\" comme fait tout à l'heure.

Comme tout à l'heure, le gestionnaire des tâches s'ouvre à l'ouverture de XP.

Mais aucune trace de taskmgr dans MSCONFIG.
Voici une tof :
http://insight59.free.fr/photos/msconfig.JPG

did71 · Answer

re,

et s'il s'ouvre toujours au démarrage?

a+

Insight · Answer

Au fait, j'y pense, c'est bizard quand meme que le problème ait persisté après formatage /réinstallation d'XP!!

Le virus ne réside-t-il pas dans une de mes autres partitions? (D: ou E:)?

Insight · Answer

Cela me dérange pas trop, en tout cas moins que de devoir attendre au démarrage pour me dire que taskmgr manque!! lol

Mais est-ce "dangereux" pour XP de laisser taskmgr dans C:\DOCUME~1\MUSHU alors que tu disais qu'il ne devait pas y en avoir là!?

Et cela signifie-t-il qu'il y a encore un virus, ou que le virus n'est plus là mais qu'il reste la modification qu'il a faite?

Merci.

did71 · Answer

re,

une saleté peut rester même après un formatage simple, juste un formatage bas niveau supprime tout!

poste moi un rapport hijackthis de D!

a+

Insight · Answer

Comment fais-tu un hijackthis sur D:?

J'ai copié hijakthis dans D: et voici le rapport (qui me semble etre fait sur C:)

Logfile of HijackThis v1.99.1
Scan saved at 23:44:53, on 21/02/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Maxthon\Maxthon.exe
D:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.free.fr/freebox/index.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Openwares LiveUpdate] C:\Program Files\LiveUpdate\LiveUpdate.exe
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Insight · Answer

Pour le formatage, j'ai fait un formatage NTFS complet (pas le rapide) ;)

did71 · Answer

re,


oui mais ce n'est pas un formatage bas niveau!

le formatage bas niveau est spécial et pas très connu, on  dirait!

il te faut la marque de ton HDD pour l'utilitaire à télécharger sur le site du constructeur!

regarde ici:

http://poloastucien.free.fr/format_bas_niveau.html

a+

Insight · Answer

Ok
Mon DD est un Seagate 160Go 8Mo de cache.

Bon, le formatage bas niveau sera pour un peu plus tard car cela formate toutes les partitions du disque!!

Va falloir graver du DVD pour sauvegarder tout ce que j'ai dessus. lol

Sinon, pour toi, je peux laisser comme cela pour l'instant?

did71 · Answer

re,

oui tu peux rester comme ça, si ce n'est pas trop dérangeant pour toi!

pour moi, ce n'est pas infectieux!

Si ça devient pénible, on pourrra envisager cette solution!

a+

Insight · Answer

Ok!!

En tout cas, je tiens à te remercier du fond du coeur pour tout le temps que tu m'as consacré!!!!! Vraiment!!!

Je posterai a nouveau si ca empire ou lorsque je serai pret a formater en bas niveau!! en plus j'ai pas de lecteur disquette pour faire les disquettes de démarrage!!
Peut-etre qu'on peut faire ca sur CD!

Un grand merci!!!

Bonne nuit à toi!!
Insight/Seb. ;)

did71 · Answer

re,

je t'en prie!

bonne nuit à toi aussi!


en cas voulu, je serais là!

a+

cephalentera · Answer

Salut,

si t'as tjs des problèmes, le lien ci-dessous peut t'aider:

infecte par tr ciador vb a

En tout cas formate bien tous tes lecteurs amovibles!!!

A+

Ceph

[Virus Trojan] taskmgr qui merde!!!

40 réponses

Discussions similaires

Newsletters