IEXPLORER virus ?????

Salut G!rly

Rien que çà... !? mdr

Pour ce soir se sera 6 sur les 9 (SnapShotB n'existe plus) si tu veux bien, ça marche pour toi ?
Les 3 autres étants plus complexe à expliquer et là je dois t'avouer que ce soir je n'ai plus assez de temps et suis trop crevé pour pouvoir entrer dans les détails et te les décrire précisément donc je préfère m'abstenir.

Je suppose que tu sais que l'emploi de certaines commandes dans une utilisation inadaptée peut engendrer de gros gros dégats et peuvent aussi être modifiées par l'auteur à tout moment...
Donc prudence toujours et bonne lecture :-)

@++

FileLook::

Permet à Combofix d'afficher dans le rapport les propriétés avancées d'un fichier d'extension exe, dll ou OCX
En cas de doute sur un fichier repéré dans le rapport, ça donne la possibilité d'avoir un aperçu de la légitimité d'un fichier et de pouvoir plus facilement déterminer s'il est utile de le faire analyser par exemple.

Contenu de CFscript.txt :

Filelook::
C:\SimCity 4.exe <- indiquer le chemin complet du fichier

Résultat dans le rapport ComboFix :

(((((((((((((((((((((((((((((((((((((((((((( Look )))))))))))))))))))))))))))))))))))))))))))))))))))))))))
.

---- C:\SimCity 4.exe ----

Company: Maxis
File Description: SimCity 4
File Version: 1.1.610.0
Product Name:
Copyright: Copyright ¸ 2002 Maxis. All Rights Reserved
Original file name: SimCity 4.exe

DirLook::

Cette commande permet d'afficher dans le rapport le listing du contenu d'un dossier.
C'est à dire les fichiers qu'il contient ainsi que le contenu de tous ses sous-dossiers.

Contenu de CFscript.txt :

DirLook::
C:\SDFix <- indiquer le chemin complet du dossier

Résultat dans le rapport ComboFix :

(((((((((((((((((((((((((((((((((((((((((((( Look )))))))))))))))))))))))))))))))))))))))))))))))))))))))))
.

---- Directory of C:\SDFix ----

2007-10-25 17:32 12334648 --a------ C:\SDFix\sav32sfx.exe
2007-10-23 02:32 94208 --a------ C:\SDFix\apps\Replace\XP.exe
2007-10-23 02:32 94208 --a------ C:\SDFix\apps\Replace\W2K.exe
2007-10-23 02:32 932 --a------ C:\SDFix\apps\FixWebCheck.reg
2007-10-23 02:32 90112 --a------ C:\SDFix\apps\RegDACL.exe
2007-10-23 02:32 8192 --a------ C:\SDFix\apps\RestartIt!.exe
2007-10-23 02:32 814 --a------ C:\SDFix\apps\HPFix.reg
2007-10-23 02:32 7599 --a------ C:\SDFix\apps\legacybk.txt
2007-10-23 02:32 7599 --a------ C:\SDFix\apps\legacy.txt
2007-10-23 02:32 6656 --a------ C:\SDFix\apps\MD5File.exe
2007-10-23 02:32 61440 --a------ C:\SDFix\apps\psservice.exe
2007-10-23 02:32 61440 --a------ C:\SDFix\apps\download.exe
2007-10-23 02:32 59200 --a------ C:\SDFix\apps\FIXLM.reg
2007-10-23 02:32 591 --a------ C:\SDFix\apps\FixRedir.reg
2007-10-23 02:32 5768 --a------ C:\SDFix\apps\Restore_SharedAccess.reg
2007-10-23 02:32 49152 --a------ C:\SDFix\apps\SF.exe
2007-10-23 02:32 49152 --a------ C:\SDFix\apps\LS.exe
2007-10-23 02:32 41472 --a------ C:\SDFix\apps\WINMSG.EXE
2007-10-23 02:32 4120 --a------ C:\SDFix\apps\fix.reg
2007-10-23 02:32 40960 --a------ C:\SDFix\apps\swsc.exe
2007-10-23 02:32 4090 --a------ C:\SDFix\apps\ERUNT.LOC
2007-10-23 02:32 38400 --a------ C:\SDFix\apps\moveex.exe
2007-10-23 02:32 376 --a------ C:\SDFix\apps\FixXPsp2.reg
2007-10-23 02:32 374 --a------ C:\SDFix\apps\MyGcpvFix.reg
...

ADS::

Cette commande permet de supprimer un flux ADS greffé sur un fichier porteur.

Un peu de lecture avant, pour se familiariser avec la bête :-) :
http://assiste.com.free.fr/p/abc/a/ads_alternate_data_stream.html
http://www.heysoft.de/nt/ntfs-ads.htm

Exemple:
Le fichier C:\Porteur.exe contient un flux nommé "qetchua"
(Souvent mentionnés de cette façon dans la plupart des rapport AV -> C:\Porteur.exe:qetchua )

Contenu de CFscript.txt :

ADS::
C:\Porteur.exe <- Seul le chemin et le nom du fichier porteur doivent être mentionnés mais pas le nom du flux.

Résultat dans le rapport ComboFix :

Running from: C:\Documents and Settings\bOo\Bureau\ComboFix.exe
Command switches used :: C:\Documents and Settings\bOo\Bureau\cfscript.txt
* Created a new restore point
.
[i] ADS - Porteur.exe: deleted 21 bytes in 1 streams./i <- L'ADS a bien été détecté et supprimé par ComboFix

NetSvc::

Cette commande permet de supprimer un service infectieux de la liste du groupe NetSvc, chargé par Svchost.exe:

Clé concerné:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost]
"NetSvc"

http://support.microsoft.com/kb/314056/fr

Exemple concret d'utilisation par Noahdfear ici :
https://forum.adaware.com/index.php?/topic/14404-got-an-adware-yesterday/#entry62817

Et d'un exemple récent ou il aurait pu être utilisé:
http://www.commentcamarche.net/forum/affich 4773527 virus#2

Contenu de CFscript.txt :

NetSvc::
ruupbrdg <- Seul le nom du service est accepté

killall::

Cette commande permet de tuer absolument tous les processus actifs, ceux des AV y compris.
Exceptés les processus vitaux à Windows et utiles à Combofix :

C:\Windows\explorer.exe
C:\Windows\system32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\dmadmin.exe
C:\Windows\system32\kmd.exe
C:\Combofix\catchme.cfexe

+ pour Vista

C:\Windows\system32\wininit.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\dwm.exe

Commande à placer en début de script, tel quel.

Contenu de CFscript.txt :

Killall::

File::
C:\virus_inconnu_en cours_d'utilisation.exe

Cette commande entrainera un reboot systématique du pc à la fin du scan de Combofix.

Suspect::

Cette commande permet de pouvoir collecter un fichier suspect/inconnu repéré dans le rapport en vue de le soumettre à l'équipe de Bleeping Computer pour analyse.

Contenu de CFscript.txt :

Suspect::
C:\bizaroïde.exe

Le fichier en question ne sera pas supprimé ni renommé, mais une copie zippé en sera faite et enregistrée sur le bureau, sous le nom :
[4]-Submit_aaaa-mm-jj@hh-mm.zip

Un formulaire d'upload (CF-Submit.html) sera alors proposé par le biais du navigateur et d'une page html, pour transmettre le fichier :
http://cjoint.com/data/ckxAULFjVY.htm
Le fichier CF-Submit.html présent sur le bureau, peut ensuite être supprimé.

La commande Collect:: très similaire à celle-ci, permet aussi de collecter un fichier à la différence que celui-ci sera supprimé de son emplacement (backupé ensuite dans le dossier C:\Qoobox\Quarantine) après que ComboFix en ait fait une copie zippé sur le bureau.