Win 32 worm viking

Mickaeldu02 -  
Salut les helpeurs,

J'ai un souci avec l'ordi portable d'une amie. Son pc est en effet infecté par le worm viking. Je pensai l'avoir eradiqué ce week end dernier mais hier il est revenu. Là j'ai desinfecté en mode sans echec avec le scan en ligne de bitdefender. J'avais des fenetres cmd du genre 0Sy.exe 1Sy.exe . . . jusqu'à 9 qui s'ouvraient.

Jattends vos conseils

Merci

Mickael

Ps : c'est un vieil ordi portable, j'ai installé le sp2 aussi, il est très lent, pas bcp de ram (192 mo) et s'eteind souvent tout seul quand il est trop sollicité (comme les scans par exemple)
Configuration: Windows XP
Firefox 3.0.2

7 réponses

  1. Mickaeldu02 Auteur Contributeur
    Le scan bitdefender est fini, rien a signalé. Mais je ne suis persuadé qu'il va revenir.

    Merci Destrio5

    Je ne mets pas résolu volontairement je reviendrai pour donner la suite (j'y regarderai ce soir), ou si quelqu'un d'autre a une solution je suis preneur.
    1. Destrio5 Modérateur
      Fais un scan en ligne avec Kaspersky.
      1. Mickaeldu02 Auteur Contributeur
        C'est en cours, jai du mettre à jour java.
        Aussi j'ai encore un paquet de mise à jour pr xp dont le sp3. Je ne le télécharge pas? (vu la ram lol)

        Sinon pour t'aider, il y avait un message au démarrage la derniere fois concernant un fichier qui s'executait mal "rundl132.exe" et j'avais simplement effacé l'entrée avec ccleaner.
      2. Mickaeldu02 Auteur Contributeur
        @Mickaeldu02Tiens jai trouvé ca
        http://www.avira.com/fr/threats/section/fulldetails/id_vir/2302/worm_viking.e.2.html

        Ils indiquent où se cache le virus et ce qu'il fait.
        Si tu as un outil pour le dégager ce serait cool.

        Pr le scan, j'ai abandonné kaspersky (trop long à installer), je me suis rabattu sur bitdefender. En plus problème de mémoire virtuelle, faut pas trop lui en demander
    2. Destrio5 Modérateur
      Je ne vois rien par rapport à ton problème.
      1. Mickaeldu02 Auteur Contributeur
        Que puis je faire dautre?

        Je refais un scan en ligne, vu que je suis passé en mode normal, le worm s'est peut etre reinstallé ?
    3. Destrio5 Modérateur
      Tu peux faire le rapport en mode normal ?
      1. Mickaeldu02 Auteur Contributeur
        oui si le worm ne pourrit pas mes .exe !!

        Bon je redemarre en mode norma

        A tout de suitel
      2. Mickaeldu02 Auteur Contributeur
        @Mickaeldu02Re

        Voilà avec bien du mal le rapport en mode normal

        Logfile of Trend Micro HijackThis v2.0.2
        Scan saved at 14:38:09, on 26/09/2008
        Platform: Windows XP SP2 (WinNT 5.01.2600)
        MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
        Boot mode: Normal

        Running processes:
        C:\WINDOWS\System32\smss.exe
        C:\WINDOWS\system32\winlogon.exe
        C:\WINDOWS\system32\services.exe
        C:\WINDOWS\system32\lsass.exe
        C:\WINDOWS\system32\svchost.exe
        C:\WINDOWS\System32\svchost.exe
        C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
        C:\WINDOWS\Explorer.EXE
        C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
        C:\WINDOWS\system32\spoolsv.exe
        C:\Program Files\Internet Explorer\iexplore.exe
        C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
        C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
        C:\WINDOWS\system32\HPConfig.exe
        C:\Program Files\HPQ\Notebook Utilities\HPWirelessMgr.exe
        C:\WINDOWS\System32\svchost.exe
        C:\Program Files\Internet Explorer\iexplore.exe
        C:\WINDOWS\system32\wuauclt.exe
        C:\WINDOWS\system32\wuauclt.exe
        C:\Program Files\MSN Messenger\usnsvc.exe
        C:\Documents and Settings\Propriétaire\Bureau\HiJackThis.exe

        R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.es/?gws_rd=ssl
        R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 10.245.67.150:3128
        R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
        R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
        O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
        O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
        O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min /nosplash
        O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
        O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
        O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
        O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
        O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
        O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
        O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
        O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
        O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
        O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
        O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
        O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
        O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
        O23 - Service: Avira AntiVir Personal - Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
        O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
        O23 - Service: HP Configuration Interface Service (HPConfig) - Hewlett-Packard - C:\WINDOWS\system32\HPConfig.exe
        O23 - Service: HPWirelessMgr - Hewlett-Packard Co. - C:\Program Files\HPQ\Notebook Utilities\HPWirelessMgr.exe
        O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
        O23 - Service: Service de l'iPod (iPod Service) - Unknown owner - C:\Program Files\iPod\bin\iPodService.exe (file missing)
        O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
    5. Destrio5 Modérateur
      Oui.

      - Télécharge HijackThis V 2.02 (HijackThis Installer) :
      http://www.trendsecure.com/portal/en-US/threat_analytics/HJTInstall.exe

      - Fais un double-clic sur HJTInstall.exe afin de lancer l'installation

      - Clique sur Install ensuite sur I Accept

      - Clique sur Do a scan system and save log file

      - Le bloc-notes s'ouvrira, fais un copier-coller de tout son contenu ici dans ta prochaine réponse.
      1. Mickaeldu02 Auteur Contributeur
        Voici hijack this

        Logfile of Trend Micro HijackThis v2.0.2
        Scan saved at 14:24:55, on 26/09/2008
        Platform: Windows XP SP2 (WinNT 5.01.2600)
        MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
        Boot mode: Safe mode with network support

        Running processes:
        C:\WINDOWS\System32\smss.exe
        C:\WINDOWS\system32\winlogon.exe
        C:\WINDOWS\system32\services.exe
        C:\WINDOWS\system32\lsass.exe
        C:\WINDOWS\system32\svchost.exe
        C:\WINDOWS\System32\svchost.exe
        C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
        C:\WINDOWS\Explorer.EXE
        C:\Program Files\Internet Explorer\IEXPLORE.EXE
        C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
        C:\Program Files\Internet Explorer\IEXPLORE.EXE
        C:\Documents and Settings\Administrateur\Bureau\HiJackThis.exe

        R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
        R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://store.hp.com/us/en?jumpid=re_r11662_redirect_ETR
        R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
        O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
        O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
        O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min /nosplash
        O4 - HKLM\..\Run: [Malwarebytes Anti-Malware (reboot)] "C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript
        O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
        O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
        O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
        O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
        O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
        O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
        O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
        O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
        O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
        O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
        O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
        O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
        O23 - Service: Avira AntiVir Personal - Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
        O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
        O23 - Service: HP Configuration Interface Service (HPConfig) - Hewlett-Packard - C:\WINDOWS\system32\HPConfig.exe
        O23 - Service: HPWirelessMgr - Hewlett-Packard Co. - C:\Program Files\HPQ\Notebook Utilities\HPWirelessMgr.exe
        O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
        O23 - Service: Service de l'iPod (iPod Service) - Unknown owner - C:\Program Files\iPod\bin\iPodService.exe (file missing)
        O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
    6. sherred
      xp sp2 ? avec 192 Mo de ram waouh c'est a marquer dans le livre des records
      1. Destrio5 Modérateur
        Salut,

        ---> Fais un scan rapide avec MBAM, supprime tout ce qu'il trouve et poste le rapport :
        http://www.commentcamarche.net/telecharger/telecharger 34055379 malwarebyte s anti malware
        1. Mickaeldu02 Auteur Contributeur
          Merci Destrio5

          Voici le rapport

          Malwarebytes' Anti-Malware 1.28
          Version de la base de données: 1209
          Windows 5.1.2600 Service Pack 2

          26/09/2008 14:17:58
          mbam-log-2008-09-26 (14-17-58).txt

          Type de recherche: Examen rapide
          Eléments examinés: 47707
          Temps écoulé: 3 minute(s), 57 second(s)

          Processus mémoire infecté(s): 0
          Module(s) mémoire infecté(s): 0
          Clé(s) du Registre infectée(s): 0
          Valeur(s) du Registre infectée(s): 0
          Elément(s) de données du Registre infecté(s): 1
          Dossier(s) infecté(s): 0
          Fichier(s) infecté(s): 0

          Processus mémoire infecté(s):
          (Aucun élément nuisible détecté)

          Module(s) mémoire infecté(s):
          (Aucun élément nuisible détecté)

          Clé(s) du Registre infectée(s):
          (Aucun élément nuisible détecté)

          Valeur(s) du Registre infectée(s):
          (Aucun élément nuisible détecté)

          Elément(s) de données du Registre infecté(s):
          HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\StartMenuLogOff (Hijack.StartMenu) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

          Dossier(s) infecté(s):
          (Aucun élément nuisible détecté)

          Fichier(s) infecté(s):
          (Aucun élément nuisible détecté)

          A priori rien concernant le viking

      Discussions similaires

      Cheval de Troie- e.tre456.worm.windows
      Ninou037

      13 réponses
      Adobe acrobat fich api-ms-win-core-winrt-l1-1-0.dll manquant
      crinik2002

      41 réponses
      À quoi correspond 32x32 US en taille française pour un jean ?
      Alison1958

      1 réponse
      svp 32Gb est il egal a 32Go??
      William Fernand

      3 réponses
      Quelle est la différence entre les GO et GB ?
      badour

      37 réponses