Désinfection Bagle

Fermé

Utilisateur anonyme -

Bonjours à toutes et à tous ,

Hier (ou plutot cette nuit) j ai fais une petite expérience

Je me suis donc "auto infecté" par le ver bagle afin de verifier une méthode d éradiquation plus rapide que celle que nous connaissons tous

donc sur la mule j ai telechargé differents crack (kaspersky AVG as et j ai tapé crack et telechargé un peux de tout)

apres j ai installé tout ça

je me suis retrouvé dans un premier temps en compagnie de vundo puis sur un crack AVG as, bagle a fait son apparition

il fut present sur le rapport hijackthis

j ai continué a cliquer sur mes cracks puis j ai redémarré le pc 3 fois

et surprise antivir neutralisé tout comme windows defender

et bien sur le message "n est pas une appliquation win32 valide"

alors j ai testé une méthode

j ai fait un scan DSS non renomé en MSE (a savoir que hijackthis n est pas necessire car DSS créé un clone en son absence)

puis repéré bagle (+ vundo )et je l ai mis en citation dans otmoveit non renomé en MSE

puis en MSE + reseau j ai telechargé combofix renomé en killbagle et il a démarré

je l ai stoppé puis supprimé et retelechargé non renomé, il a fonctionné

je vous joint les rapports

Donc que pensez vous de cette méthode ??

A noter que l infection était tres récente et le MSE accessible, mais on connait la methode pour le "réparer" si nécessaire

Hijackthis juste avant "n est pas une appliquation win32 valide" (avant les redémarrage)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 05:55:45, on 28/07/2008
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Safe mode

Running processes:
C:\Windows\SYSTEM32\WISPTIS.EXE
C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe
C:\Windows\Explorer.EXE
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://search.conduit.com/...
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: CInterceptor Object - {38D3FE60-3D53-4F37-BB0E-C7A97A26A156} - C:\Program Files\Pando Networks\Pando\PandoIEPlugin.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: (no name) - {A148A581-8964-4E4E-B1C9-E7F4D9F1F737} - C:\Users\CDRIC~1\AppData\Local\Temp\nnnnKDTj.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O2 - BHO: SmartSelect - {F4971EE7-DAA0-4053-9964-665D8EE6A077} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [PowerManager] C:\Program Files\Power Manager\PM.exe
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Elements 6.0\apdproxy.exe"
O4 - HKLM\..\Run: [WindowsServicesStartup] C:\Users\CDRIC~1\AppData\Local\Temp\svchost.exe 1
O4 - HKLM\..\Run: [MSServer] rundll32.exe C:\Windows\system32\efcDWOEU.dll,#1
O4 - HKLM\..\Run: [user32] C:\Users\Cédric\AppData\Roaming\user32.exe
O4 - HKLM\..\Run: [runner1] C:\Windows\mrofinu2000351.exe 61A847B5BBF72810329B385577F801F0B3E35B6638993F4661AA4EBD86D67C56389B284534F310F3D1DC7E4638E8323A15A04FB79DC4617E6FD967002BA754E1C2832211379A26033AAC
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [ComRepl] C:\Users\Cédric\AppData\Roaming\comrepl.exe /com /w
O4 - HKCU\..\Run: [wupdate] C:\Users\Cédric\AppData\Roaming\wunauclt.exe
O4 - HKCU\..\Run: [cmds] rundll32.exe C:\Users\CDRIC~1\AppData\Local\Temp\nnnnKDTj.dll,c
O4 - HKCU\..\Run: [BMbf558f71] Rundll32.exe "C:\Users\CDRIC~1\AppData\Local\Temp\fxxieifu.dll",s
O4 - HKCU\..\Run: [bc66bced] rundll32.exe "C:\Users\CDRIC~1\AppData\Local\Temp\aolenlmx.dll",b
O4 - HKCU\..\Run: [drvsyskit] C:\Windows\system32\drivers\hldrrr.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O8 - Extra context menu item: Ajouter la cible du lien à un fichier PDF existant - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Ajouter à un fichier PDF existant - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convertir au format Adobe PDF - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convertir la cible du lien au format Adobe PDF - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~1.0_0\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~1.0_0\bin\ssv.dll
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O13 - Gopher Prefix:
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O20 - AppInit_DLLs: acaptuser32.dll
O22 - SharedTaskScheduler: Windows DreamScene - {E31004D1-A431-41B8-826F-E902F9D95C81} - C:\Windows\System32\DreamScene.dll
O23 - Service: Adobe Active File Monitor V6 (AdobeActiveFileMonitor6.0) - Unknown owner - C:\Program Files\Adobe\Photoshop Elements 6.0\PhotoshopElementsFileAgent.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Program Files\CDBurnerXP\NMSAccessU.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\Windows\system32\oodag.exe
O23 - Service: TabletServicePen - Wacom Technology, Corp. - C:\Windows\system32\Pen_Tablet.exe
O23 - Service: @%SystemRoot%\System32\TuneUpDefragService.exe,-1 (TuneUp.Defrag) - TuneUp Software GmbH - C:\Windows\System32\TuneUpDefragService.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

--
End of file - 8128 bytes

--
A découvrir : Estopa, Rosario Flores, La Oreja De Van Gogh
Bonne écoute

Afficher la suite

89 réponses

Réponse 1 / 89
Utilisateur anonyme
re

bonsoir a tous les deux ,

il est certains que les remontées sont les bienvenue ...

personnellement je suis ouvert

l outils est "jeune" encore et son auteur aussi bref il y a du travail a efectuer encore et encore

de plus il faut suivre l infection de pret ...

quand je relis lle topic bien du chemin a passé , je ne pensais pas aboutir a ce resultat

en tout les cas je fait des efforts pour tenir le fix a jours et surtout l améliorer/ le completer

comme je l ai dis a Lyonnais en MP il y a aussi le point de la Trad a voir ....

bonne soirée

0

Réagir
Réponse 2 / 89
Lyonnais92 Contributeur sécurité
Bonsoir,

moe, quelle lecture !

Mais en une semaine, bien des choses ont changé. Désormais, "l'outil se défend tout seul".

Je veux dire que, désormais, "le milieu" l'analyse sans a priori.

Ce qui, comme tu le dis, n'empêche pas que l'outil doit évoluer et bénéficier des remontées des utilisateurs.

0

Réagir
Réponse 3 / 89
Utilisateur anonyme
Salut Olivier ,

j espere que tu vas bien

c est justement le point sur lequel je travail tout en traquant ... -;)

mais ta remarque est tout a fait fondée .

bref y a encore beaucoup a faire.

J y vais etape par etape.

en tout cas merci pour tout ce que as deja fait pour l outils

Bon week end egalement

0

Réagir
1. moe
  
  Bonsoir,
  
  Je sais que tu y travaille, Cédric, rien à voir avec une critique y a pas d'soucis, d'ailleurs tu en avais déjà parlé ici :-)
  
  En fait je voulais juste réagir sur l'aspect "sanction" par le milieu, que laissait entrevoir Lyonnais.
  C'est vrai qu'il est très facile de juger un outil, crée qui plus est par un inconnu et sur un détail, mais çà l'est moins lorsqu'il faut appliquer ce même genre de sanction hative à tout les autres outils déjà en place qui ont chacun leur propres lacunes concernant le traitement de Bagle.
  Pour les uns comme pour les autres, je ne crois pas qu'une Epée de Damoclès soit vraiment une pression positive..
  Ceci dit, c'est bien qu'il y ait des remontées constructives sur les outils, qu'elles soit positives ou négatives, car ça permet le plus souvent de faire évoluer le fix dans le bon sens.
  
  @++
  
  ps:
  Arrête de me remercier lol, c'est toi qui te tape le boulot, pas moi :-)
  
  0
  
  Réagir
Réponse 4 / 89
Utilisateur anonyme
Salut Olivier , Lyonnais

olivier merci pour le bout de code , je vais m y coller dès ce soir

Lyonnais , il est vrai que j ai eu quelques echos plus que positif sur le fix

Bref il faut rester reactifs, suivre l evolution etc

en tout cas merci a tous les deux

je vais voir tout ça -;)

bonne apres midi

@+

0

Réagir
1. moe
  
  Salut Cédric, Lyonnais
  
  Lyonnais, à propos de détails qui peuvent avoir leur importance, perso je suis étonné que pratiquement aucun outil encore, n'intègre la détection des 04 infectées par Bagle !
  Mis à part Eli, certes, mais toujours avec un temps de retard et à condition d'avoir dans ses bases la version du ver concernée.
  Dommage car il y a des méthodes relativement simples qui existent depuis longtemps et qui sont non exploitées pour l'instant.
  Bref, sur ce point pratiquement tout le monde est sur le même pied d'égalité, et donc concernant les détails qui peuvent défaire des réputations, non ? :-)
  
  Bon week-end à vous deux, et bonne continuation Cédric pour la traque :-).
  
  @++
  
  0
  
  Réagir
Vous n’avez pas trouvé la réponse que vous recherchez ?

La communauté CCM répond en moyenne en moins de 2h.

Posez votre question
Réponse 5 / 89
Lyonnais92 Contributeur sécurité
Bonjour à tous,

Chiquitine, sur la dernière variante, tu as été plus réactif que la concurrence !

Sur les clés , j'espère que tu pourras intégrer la proposition de moe( au passage, bonjour, c'est toujours un plaisir de te lire, et c'est toujours instructif). C'est un tout petit détail. Mais c'est le genre de détail qui font ou défont la réputation de l'outil.

Tous les experts que j'ai lu disent que c'est l'outil le plus efficace sur le marché. Autant assurer son succès (dès lors qu'il y a des solutions techniques possibles sans coût prohibitif).

0

Réagir
Réponse 6 / 89
Utilisateur anonyme
re lyonnais

ne doit pas être compliqué à intégrer.

ç est pas si simple que tu pourrais le croire ......

je ne vais pas m etendre sur le sujet mais ces clé .. je les travail ..

mais ce n est pas le plus important

tu peux toujours faire des test si tu le souhaite avec des outils existants pour comparaisons ....

bonne soirée

1

Réagir
1. moe
  
  Salut,
  
  Tout d'abord, merci bien Cédric pour le Feed-Back concernant KillB, mais depuis l'outil est passé à la trappe, je n'ai rien conservé :-).
  Le principal pour moi aura été de chercher, et pouvoir trouver plusieurs méthodes simples pour paralyser l'infection en se passant le plus possible des outils habituels.... et de les partager lorsque ça aura été le cas.
  
  Concernant l'observation de Lyonnais, le "problème" vient du nombre de sous-clés ControlSet0XX qui peuvent être présentes sur la machine infecté.
  Tu cibles les 3 premiers, ControlSet001, ControlSet002, ControlSet003, ce qui est largement suffisant, mais il peut en exister d'autres (4, 5, 6, 7 etc...), d'ou la détection de combo sur une LEGACY après le passage du fix.
  Donc si tu veux vraiment arriver à prendre en compte toutes les LEGACY_SROSA, il va te falloir adapter ton code.
  
  Par exemple en bouclant de cette façon avec swreg.exe query, tu devrais pouvoir toutes les récupérer sans exception:
  
  for /f "tokens=*" %%a in ('Tools\swreg.exe query "HKLM\SYSTEM" ^|find.exe /i "ControlSet"') do (
  Tools\swreg.exe query "%%a\Services\srosa" >nul &&(
  tools\swreg.exe acl "%%a\Services\srosa" /ge:f /p /q >nul 2>&1
  tools\swreg.exe delete "%%a\Services\srosa">nul 2>&1
  ))
  
  for /f "tokens=*" %%a in ('Tools\swreg.exe query "HKLM\SYSTEM" ^|find.exe /i "ControlSet"') do (
  tools\swreg.exe query "%%a\Enum\Root\LEGACY_SROSA" >nul &&(
  tools\swreg.exe acl "%%a\Enum\Root\LEGACY_SROSA" /ge:f /p /q >nul 2>&1
  tools\swreg.exe delete "%%a\Enum\Root\LEGACY_SROSA">nul 2>&1
  ))
  
  Ce n'est qu'un exemple, à toi ensuite d'adapter comme tu le souhaite.
  
  Bonne continuation et bon courage...
  
  0
  
  Réagir
Réponse 7 / 89
Lyonnais92 Contributeur sécurité
Re,

il me semble que la suppression des clés

HKEY_CURRENT_CONFIG\System\CurrentControlSet\Enum\ROOT\LEGACY_SROSA
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SROSA
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_SROSA

ne doit pas être compliqué à intégrer.

Elle évitera des réflexions du genre "il n'enlève pas tout".

-1

Réagir
Réponse 8 / 89
Utilisateur anonyme
Bonsoir lyonnais ,

en effet certaines clés peuvent subsister apres passage de l outil:

HKEY_CURRENT_CONFIG\System\CurrentControlSet\Enum\ROOT\LEGACY_SROSA
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SROSA
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_SROSA

a noter que une fois l infection éradiquée ces clés ont plus que tendance a disparaitre d elle meme

logiquement si l user du topic cité repasse combo tu reverras:

-------\Legacy_SROSA

en sommes ça n a rien a voir avec le derniere variantes

celle ci comme on l a dit ajoute C:\Windows\system32\drivers\winfilse.exe remplaçant de C:\Windows\system32\drivers\hldrrr.exe

plus de nouvelles clé :

HKEY_CURRENT_USER\Software\bisoft
HKEY_CURRENT_USER\Software\FR79732423
HKEY_CURRENT_USER\Software\FFC
HKEY_CURRENT_USER\Software\CHKPTR
HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\winfilse
HKEY_USERS\?????????????\Software\Local AppWizard-Generated Applications\winfilse

les startup quand a elle ne change pas , seul le nom du fichiers a changé (winfilse.exe)

exemple :

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

"drvsyskit" REG_SZ C:\Windows\system32\drivers\winfilse.exe

bref le tout est surveillé (pas de changements constaté aujourd hui)

bonne soirée

0

Réagir
Réponse 9 / 89
Lyonnais92 Contributeur sécurité
Bonsoir,

Chiquitine,

ici : http://www.commentcamarche.net/forum/affich 8985455 clavier et souris bloques sur portable?page=3#47

le rapport Combofix montre que FindyKill a laissé Legacy_SROSA

C'est structurel ou lié à la dernière variante ?

0

Réagir
Réponse 10 / 89
E..T Contributeur
Soir missterrr chiqui ;-))
Et franchement t'es un dingo ;) respect à toi et merci pour tout tes conseils.
@++

-1

Réagir
Réponse 11 / 89
Utilisateur anonyme
Salut Olivier

Arff , c est bien dommage que tu comptes raccrocher en meme temps je te comprend

en effet winfilse.exe est bien le successeur de hldrrr.exe

la clé que tu m a cité je l ai mise dans le fix hier soir

là je travail dessus , revoir quelques points (le registre)

apres faire qu un seul reboot serait nickel je vais voir tout ça

au sujet de eli je suis un peux etonné ..

bref je te remercie pour tout , je viens de tester killb sous vista ... il a tout kilé lol

tu devrais rajouter le redémarrage de windows defender

en tout cas merci pour tout , pour toutes les infos/conseil etc que tu m a refilé

vive le partage and just for fun -;)

bonne suite olivier

@+ surement , je laisse le topic ouvert

1

Réagir
Réponse 12 / 89
Utilisateur anonyme
Salut Olivier ,

effectivement j ai aussi rencontré winfilse.exe hier soir enfin cette nuit -;)

je l avais isolé :

Résultat: 7/36 (19.45%)

Antivirus Version Dernière mise à jour Résultat
AhnLab-V3 2008.10.18.0 2008.10.18 -
AntiVir 7.9.0.5 2008.10.17 -
Authentium 5.1.0.4 2008.10.19 -
Avast 4.8.1248.0 2008.10.15 -
AVG 8.0.0.161 2008.10.18 Win32/Themida
BitDefender 7.2 2008.10.19 -
CAT-QuickHeal 9.50 2008.10.18 (Suspicious) - DNAScan
ClamAV 0.93.1 2008.10.19 -
DrWeb 4.44.0.09170 2008.10.19 Trojan.Packed.650
eSafe 7.0.17.0 2008.10.19 -
eTrust-Vet 31.6.6154 2008.10.17 -
Ewido 4.0 2008.10.19 -
F-Prot 4.4.4.56 2008.10.19 -
F-Secure 8.0.14332.0 2008.10.19 -
Fortinet 3.113.0.0 2008.10.19 PossibleThreat
GData 19 2008.10.19 -
Ikarus T3.1.1.44.0 2008.10.19 -
K7AntiVirus 7.10.498 2008.10.18 -
Kaspersky 7.0.0.125 2008.10.19 -
McAfee 5408 2008.10.17 -
Microsoft 1.4005 2008.10.19 -
NOD32 3535 2008.10.18 -
Norman 5.80.02 2008.10.17 -
Panda 9.0.0.4 2008.10.19 -
PCTools 4.4.2.0 2008.10.19 -
Prevx1 V2 2008.10.19 Worm
Rising 20.66.62.00 2008.10.19 -
SecureWeb-Gateway 6.7.6 2008.10.18 Win32.Malware.gen (suspicious)
Sophos 4.34.0 2008.10.19 -
Sunbelt 3.1.1732.1 2008.10.18 -
Symantec 10 2008.10.19 -
TheHacker 6.3.1.0.119 2008.10.18 W32/Behav-Heuristic-064
TrendMicro 8.700.0.1004 2008.10.17 -
VBA32 3.12.8.7 2008.10.18 -
ViRobot 2008.10.18.1426 2008.10.18 -
VirusBuster 4.5.11.0 2008.10.18 -
Information additionnelle
File size: 839688 bytes
MD5...: b57d4adc54469e220d7c08ae4e1c3c16
SHA1..: 77dc2d17e2d33cdb3e0afb7abb2c60cc1cf4cff3
SHA256: e3a0fd36f978877d964449890bae1d7e0df26e9650bcc0d852058d0e87ed7d8f
SHA512: 54c1d903f207204dab10677e0f6f5fce988d68680779c6ae909757d95eeef761
b4e8a9d3e896086bf699b6c533ab06b6d9aff618b772e57dce2d530808339665
PEiD..: -
TrID..: File type identification
Win32 Executable Generic (42.3%)
Win32 Dynamic Link Library (generic) (37.6%)
Generic Win/DOS Executable (9.9%)
DOS Executable Generic (9.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x47e014
timedatestamp.....: 0x48f97d13 (Sat Oct 18 06:07:15 2008)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
0x1000 0x75000 0x36000 7.97 ae9270c22663d37d2ffe854deebcbebd
.rsrc 0x76000 0x6240 0x3000 5.51 57d214d0d8ed84044412cf994983f653
.idata 0x7d000 0x1000 0x1000 0.24 993b47a7c2805f4d6e6d22607a2cd71a
Themida 0x7e000 0x14f000 0x92000 7.89 51a8a54927b83deb92c7fc3fcf47e073

( 2 imports )
> KERNEL32.dll: CreateFileA, ExitProcess
> COMCTL32.dll: InitCommonControls

( 0 exports )

Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=BF074A82083CD578D0500C103C635400BE179C8D
packers (F-Prot): Themida

c est cool que tu confirmes

bref je file mettre a jours -;) etc...

bon dimanche egalement

0

Réagir
1. moe
  
  Salut Cédric
  
  Oui c'est exact, winfilse.exe a bien envoyé hldrrr.exe à la retraite depuis vendredi :-)
  Elibagla mis à jour aujourd'hui ne le détecte toujours pas d'ailleurs :-(
  Pas plus que les deux autres variantes (voire trois) qui ont apparues depuis....
  Bref, tout çà pour te dire que depuis ce w-e, une nouvelle clé vient se rajouter à la liste :
  HKEY_CURRENT_USER\Software\CHKPTR
  Perso je pense que je vais arrêter là avec Bagle, je commence un peu à saturer depuis les quelques mois ou je le traque quotidiennement et donc je lâche l'affaire.
  Je te laisse pour la "curiosité", un exemplaire de KillB, que je viens juste de terminer :-)
  
  Voilà...Bonne continuation à toi et peut-être à un de ces 4....
  
  0
  
  Réagir
Réponse 13 / 89
Utilisateur anonyme
Salut Olivier,

apres avoir discuté avec plusieures personnes j ai finalement remis le fix en circulation

alors je réouvre aussi ce topic -;)

j ai remis le fix a jours , ça bouge du coté de notre amis bagle

nouvel icone (je l ai pris d ailleurs lol)

et nouvelle clé :

HKEY_CURRENT_USER\Software\FR79732423

bref je surveille -;)

bon dimanche

Cédric

ps : DllD je t ai mp

0

Réagir
1. moe
  
  Salut Cédric,
  
  Bonne nouvelle, ça aurait été dommage de voir findykill partir aux oubliettes après tout le mal que tu t'es donné pour le réaliser !
  
  Effectivement l'infection bouge pas mal depuis deux jours... du moins au niveau de la déco du package du faux crack lol.
  
  Pour ma part en plus de la clé que tu cites et de l'icône, j'ai noté ceci :
  
  C:\WINDOWS\system32\drivers\winfilse.exe semble maintenant remplacer hldrrr.exe
  et les clés suivantes sont venues se greffer aux autres habituellement rencontrées :
  HKEY_CURRENT_USER\Software\FFC
  HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\winfilse
  
  Autre chose avant que j'oublie !
  Petite astuce pour neutraliser srosa.sys sans outils tiers ou modifs dans le registre :
  type bye_bye > %systemroot%\system32\drivers\srosa.sys (<- tel quel)
  (/!\ pour que l'astuce fonctionne il ne faut pas de ">nul" en fin de commande)
  Malgré le message d'erreur retourné par la commande (le fichier n'existe pas), srosa est totalement vidé de son contenu et donc rendu inutilisable :-)
  Un seul redémarrage en runonce suffit ensuite pour neutraliser le reste de l'infection.
  Disons que ça peut te faire économiser un reboot si ça fonctionne aussi sous vista :-)
  Voilou !
  
  Bon dimanche et bonne continuation !
  
  0
  
  Réagir
Réponse 14 / 89
Utilisateur anonyme
Salut TLM,

Je vois qu'il y a du remue-ménage en ce moment. Bon...toutes les bonnes choses ont une fin.

Cédric je pense te recroiser sur CCM. Si tel n'est pas le cas restons en contact radio ;)
Oui je souhaite créer un petit programme. Mais pas un fix, un outils d'analyse : aucune suppression possible avec. C'est moins dangereux :-)
Mais pour l'instant, et bien... c'est pas pour tout de suite.
Bref, c'est pas gagné ;)

Quand j'aurais plongé les mains dans le camboui je t'en toucherai deux mots.

Au plaisir.
Bye.

Ludo.

0

Réagir
Réponse 15 / 89
Utilisateur anonyme
Salut Olivier

Non aucune pression. mais je ne suis pas au courant de tout ce qu il se dit sur la toile , sur des forums obscurs ...

content que toi aussi tu ais apprécié les moments passés. FindyKill a été une aventure formidable surtout quand tu vois le point de depart

donc voila beaucoup de satisfaction

je te remercie encore une fois d y avoir participé

et surement @+ par là lol

Cédric

0

Réagir
Réponse 16 / 89
Utilisateur anonyme
re moe

hé bien voila ,

Fin de l avanture ... il fallait bien une fin lol

j ai beaucoup apprécié toutes les infos que tu m a refilé .....

mais je prefere en rester là parceque ....

bref merci pour tout

ceci dis le travail continue ...

big kis for U

que dire de plus [mode géné]

je te passerai des liens si ça en vaut la peine lol

respect

bon courage pour le taff -;)

gracias por todo

@+ T'chiki boom -;)

1

Réagir
1. moe
  
  Salut chiquitine,
  
  Findykill était une belle aventure, ouep, et j'espère que tu en auras retiré le plus de satisfation possible pendant sa réalisation.
  Quelques soit tes raisons, j'espère en tout cas que ce n'est pas à cause de pressions que tu arrêtes, et te souhaite bon vent pour tes projets à venir et tes envies du moment. :-)
  
  Lol, c'est moi qui suis presque géné car en acceptant de taper le bout de gras sur Bagle ici avec moi, tu peux pas savoir à quel point ça m'a rappelé de bons moments similaires passés sur ce forum :-)
  Bref, plus généralement c'est rare qu'une personne essayant de créer un outil, en discute en public aussi librement que tu l'as fait et je te remercie donc pour la confiance, le partage, et d'être repassé régulièrement donner des infos.
  Respects et merci...
  
  Bonne continuation à toi et peut être à un de ces 4 sur la toile.
  Have fun ! ;-)
  
  Olivier.
  
  0
  
  Réagir
Réponse 17 / 89
InfernO.vir
B'soir a vous trois !

J'espere que vous vous portez a merveille ^^

Ds le meme cas que DllD je suis cette discussion mais arf comprend pas grand chose snirf! Tres bon fix, ou as-t/avez-vous appris la programmation, est-ce dur/long ? ca m'interresse fortement mais quand je vois les premiers exo de debutants de prog sur le siteduzero ou autre lol je me dis que ds 10 ans j'aurais peut-etre crée ma premiere fenetre 0.o

Quels sont les logiciels de prog les plus interressant/pratique pour un gro noob comme moi ? j'avais code blocks mais bon....sniiiffff

Merci d'avance pour vos reponses et puis chÂpOo pour vos talents

-2

Réagir
Réponse 18 / 89
Utilisateur anonyme
Salut DllD,

Bien vue pour la faute d'orthographe ;) javais pas preté attention et je corrigerai

cool que tu veuille te lancer danc cette activité

tu verras c est tres prenant/interessant

en effet j ai beaucoup de chances que moe se soit interessé a l outil

surtout pour tout ce qu il m a apporté

donc encore merci moe

tu vas nous sortir DlldFix ?

@+

-1

Réagir
Réponse 19 / 89
Utilisateur anonyme
Salut T'Chiki,
bien le bonjour Moe.

Je suis cette discussion depuis le début avec grand intérêt. Même si la plus part du temps je n'y comprends pas grand chose...

Chapeau bas T'Chiki pour tes investigations et le fruit qui en émane : FindyKill. ;)
Il va falloir que je me jette aussi à l'eau. J'ai bien envie de mieux comprendre la programmation, histoire d'au moins savoir lire toutes ces lignes de code. En plus je vois que tu as un très bon prof. Si un jour c'est mon tour j'espère avoir cette chance.

:-)

Bref,
juste une remarque sans grande importance :

--------------- [Registre / Clés infecteuses] ----------------

Il y a une petite faute d'orthographe ;)

De plus (question de sémantique sans grande valeur non plus), je me demande s'il ne faut pas mieux dire infectés plutôt que infectieux.

Je sais : mes remarques sont un peu pipi de chat.

:D

Aller ! Je repars !

Bonne continuation !

Dl.

-1

Réagir
Réponse 20 / 89
Utilisateur anonyme
Re moe

merci pour les compliments mais je te les retournes...

tu as raisons pour les autoruns dans l option 2

Je pensais rajouter le contenu du dossier sharred dans l option 2 tout comme combo ..

a voir mais ça va ralonger le rapport ..

RAS sur la mule

c est vrai que le manque de temps est notre enemi dans ce genre de hobbie ..

allez j y retourne lol

bon week end aussi

@+

-1

Réagir
- 1
- 2
- 3
- 4
- 5
Suivant

Désinfection Bagle

89 réponses

Discussions similaires

Newsletters