Attaque par virus baggle
j'ai un gros soucis, j'ai le fameux virus baggle.
Il m'empêche d'installer un antivirus, de scanner en ligne, d'utiliser combofix (app win32 non valide).
Je ne sais pas quoi faire.
genproc me dis ceci:
merci de m'aider/
Rapport GenProc 2.119 [2] effectué le 16/10/2008 à 7:25:28,10 - Windows XP
# Etape 1/ Télécharge :
- ELIBAGLA en bas de cette page http://www.zonavirus.com/datos/descargas/95/elibagla.asp (clique sur le bouton "Descargar Elibagla") sur ton bureau.
Lance l'outil ELIBAGLA, de préférence en mode sans échec si tu en as la possibilité, en mode normal dans le cas contraire. Patiente le temps du scan.
Lorsque c'est terminé, redémarre ton ordinateur.
- Combofix (sUBs) : par clic droit de souris sur ce lien http://download.bleepingcomputer.com/sUBs/ComboFix.exe sélectionne "enregistrer sous" et nomme-le en combo-fix.exe. Double-clique ensuite sur combo-fix.exe, et appuie sur la touche Y (Yes) pour démarrer le scan et patiente.
Note importante : l'infection bagle s'installant au moyen d'un crack/keygen, tu dois IMPERATIVEMENT supprimer ce type de fichier.
# Etape 2/ Lance CCleaner > "Nettoyeur" > "Lancer le nettoyage" et c'est tout.
# Etape 3/ Poste les trois rapports suivants :
- le contenu du fichier infosat.txt qui se trouve dans Poste de travail > disque C:\
- le contenu du rapport qui se trouve dans C:\Combofix.txt
- un nouveau rapport GenProc.
Configuration: Windows XP sp2 Firefox 3.0.3
103 réponses
Le problème décrit est une infection Bagle qui empêche l’installation d’antivirus, les scans en ligne et l’exécution d’outils comme ComboFix, avec des recommandations techniques variées pour nettoyer le système. Plusieurs solutions sont proposées, notamment exécuter ELIBAGLA (en mode sans échec si possible), puis ComboFix et CCleaner, tout en insistant sur la suppression des cracks et keygens qui facilitent l’infection. En parallèle, certains répondants évoquent FindyKill et des mesures comme déconnecter les périphériques externes, puis générer des rapports (FindyKill.txt, C:\Combofix.txt, infosat.txt) pour poursuivre le nettoyage et la vérification. Certains répondants évoquent la possibilité d’un rootkit et recommandent des tentatives supplémentaires, comme la vérification des systèmes de démarrage et la prudence à l’égard des logiciels non signés, afin d’éviter des réinfections.
-
Salut
ça pex arriver c est le fichier srosa.sys (infecté) qu i réagit
recommence l option 2 de findyKill STP -
Contributeur sécuritéCela commence à devenir gon.....
Il y a peut-être autre chose .... fais ceci :
Télécharges GenProc (de Jean-Chretien1 et Narco4) sur ton bureau (et pas ailleur !) :
http://www.alt-shift-return.org/Info/Fichiers/GenProc.zip
!!Déconnectes toi et fermes tes application en cours !!
Dézippes (=extraire tout) le contenu de ce que tu viens de télécharger sur ton bureau .
Ouvres le dossier Genproc :
double-cliques sur GenProc.bat et laisses faire ...
Une fois terminé, postes le contenu du rapport qui s'ouvre ...
Aide en images ici : http://www.alt-shift-return.org/Info/GenProc-HowTo.html
IMPORTANT : postes le rapport et ne fait rien d'autre pour l'instant ( souvant il faut ajouter des consignes à la manipe indiquée pour que cela fonctionne parfaitement ) .
-
ben statut quo
toujours pareil
erreur à linstall des pilotes -
Contributeur sécuritéEssaye maintenant de réparer ta connextion et ton réseau en t'aidant de ce qu'on a dejà vu ...
teins nous au courant .... -
========== PROCESSES ==========
Process explorer.exe killed successfully.
========== SERVICES/DRIVERS ==========
Unable to stop service SROSA .
Unable to stop service srosa .
========== REGISTRY ==========
========== FILES ==========
========== COMMANDS ==========
User's Temp folder emptied.
User's Temporary Internet Files folder emptied.
User's Internet Explorer cache folder emptied.
Local Service Temp folder emptied.
Local Service Temporary Internet Files folder emptied.
File delete failed. C:\WINDOWS\temp\Perflib_Perfdata_19c.dat scheduled to be deleted on reboot.
File delete failed. C:\WINDOWS\temp\ZLT0430f.TMP scheduled to be deleted on reboot.
File delete failed. C:\WINDOWS\temp\ZLT06a93.TMP scheduled to be deleted on reboot.
Windows Temp folder emptied.
Java cache emptied.
FireFox cache emptied.
Temp folders emptied.
Explorer started successfully
OTMoveIt3 by OldTimer - Version 1.0.5.0 log created on 10202008_000246
Files moved on Reboot...
C:\WINDOWS\temp\Perflib_Perfdata_19c.dat moved successfully.
File C:\WINDOWS\temp\ZLT0430f.TMP not found!
File C:\WINDOWS\temp\ZLT06a93.TMP not found! -
j'ai refais une recherche:
il reste encore un fichier dans windows prefetch\MDELK.exe-ODD2AO2B.pf
et-
Contributeur sécurité1- Supprimes tout ce qui ce trouve dans le dossier "prefetch" sauf le fichier "layout.ini" et les sous-dossiers éventuellement présents ...
2- refais un coup de CCleaner (registre compris)
3- Télécharges OTMoveIt3 (de Old_Timer) sur ton Bureau.
http://oldtimer.geekstogo.com/OTMoveIt3.exe
! Déconnectes toi et fermes toute tes applications en cours !
Double cliques sur "OTMoveIt3.exe" pour ouvrir le prg .
Puis copies ce qui se trouve en citation ci-dessous,:Processes explorer.exe :Services SROSA srosa :Reg :Files :Commands [purity] [emptytemp] [start explorer] [Reboot]
et colles le dans le cadre de gauche de OTMoveIt3 :
Paste Instructions for items to be moved.
(ne touche à rien d'autre !)
-> cliques sur MoveIt! pour lancer la suppression.
-> laisses travailler l'outil ...
( Note : ton bureau va disparaitre puis réapparaitre, c'est normal .)
-> une fois finis , un petite fenêtre s'ouvre : cliques sur " Yes " .
Ton PC va redémarrer de lui même ...
-->Postes le contenu du rapport qui se trouve dans le dossier "C:\_OTMoveIt\MovedFiles"
( " xxxx2008_xxxxxx.log " où les "x" correspondent au jour et à l'heure de l'utilisation ).
-
-
----------------- FindyKill V4.005 ------------------
* User : Laurent - DOM
* Emplacement : C:\Program Files\FindyKill
* Outils Mis a jours le 19/10/08 par Chiquitine29
* Suppression effectuée à 22:42:01 le 19/10/2008
* Windows XP - Internet Explorer 7.0.5730.13
((((((((((((((( *** Suppression *** ))))))))))))))))))
--------------- [ Processus actifs ] ----------------
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\WIDCOMM\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\logonui.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\userinit.exe
--------------- [ Fichiers/Dossiers infectieux ] ----------------
»»»» Suppression des fichiers dans C:
Supprimé ! - C:\InfoSat.txt
»»»» Suppression des fichiers dans C:\WINDOWS
»»»» Suppression des fichiers dans C:\WINDOWS\Prefetch
Supprimé ! - C:\WINDOWS\Prefetch\ALBUMDB2.EXE-055536D2.pf
Supprimé ! - C:\WINDOWS\Prefetch\FXSVR2.EXE-0166CA0A.pf
Supprimé ! - C:\WINDOWS\Prefetch\RUNDLL32.EXE-380AC378.pf
Supprimé ! - C:\WINDOWS\Prefetch\RUNDLL32.EXE-47BA6B54.pf
Supprimé ! - C:\WINDOWS\Prefetch\RUNDLL32.EXE-480BA1E0.pf
Supprimé ! - C:\WINDOWS\Prefetch\RUNDLL32.EXE-4F91CCEB.pf
Supprimé ! - C:\WINDOWS\Prefetch\RUNDLL32.EXE-5767EFBF.pf
Supprimé ! - C:\WINDOWS\Prefetch\RUNDLL32.EXE-6A480868.pf
Supprimé ! - C:\WINDOWS\Prefetch\WINTEMS.EXE-1215CF9F.pf
Supprimé ! - C:\WINDOWS\Prefetch\MDELK.EXE-0DD2A02B.pf
»»»» Suppression des fichiers dans C:\WINDOWS\system32
»»»» Suppression des fichiers dans C:\WINDOWS\system32\drivers
»»»» Suppression des fichiers dans C:\Documents and Settings\Laurent\Application Data
»»»» Suppression des fichiers dans C:\DOCUME~1\Laurent\LOCALS~1\Temp
--------------- [ Registre / Clés infectieuses ] ----------------
Supprimé ! - HKEY_CURRENT_CONFIG\System\CurrentControlSet\Enum\ROOT\LEGACY_SROSA
-> Certaines clés ont été supprimées au premier reboot ...
--------------- [ Etat / Redémarage des services ] ----------------
+- Mode sans echec restauré !
+- Services : [ Auto=2 Demande=3 Désactivé=4 ]
Ndisuio - Type de démarrage = 2
Wlansvc - Type de démarrage = 2
Ip6Fw - Type de démarrage = 2
SharedAccess - Type de démarrage = 2
wuauserv - Type de démarrage = 2
wscsvc - Type de démarrage = 2
--------------- [ Nettoyage des supports amovibles ] ----------------
+- Informations :
C: - Lecteur fixe
D: - Lecteur fixe
E: - Lecteur fixe
F: - Lecteur fixe
G: - Lecteur de CD-ROM
H: - Lecteur fixe
J: - Lecteur fixe
L: - Lecteur amovible
N: - Lecteur amovible
+- Suppression des fichiers :
Echec de la supression !! - G:\autorun.inf
--------------- [ Registre / Moutpoint2 ] ----------------
-> Recherche négative.
--------------- [ Recherche Cracks / Keygen ] ----------------
---------------- ! Fin du rapport ! ------------------ -
tu sais je l'ai deja fait sans succès.
je veux recommencer mais me fait guère dillusion. -
Contributeur sécuritéEssayes de faire le nettoyage maintenant :
1- Important :
Branches toutes tes unités externes au PC ( DD externes , clé USB , lecteur mp3, ect...) mais sans les ouvrir !
Tu les retireras après la manipe ...
2- Relances FindyKill :
-> choisis cette fois-ci l'option 2 .
/!\ il y aura 2 redémarrages !... Laisses travailler l'outil jusqu' à l'apparition du message :
"nettoyage terminé" .
Note : lors du message d'avertissement , cliques sur " Ok " .
--> ensuite postes le nouveau rapport FindyKill.txt qui est généré et attends la suite ...
( Note : le rapport est sauvegardé à la racine du disque -> C:\FindyKill.txt )
PS : Si le Bureau ne réapparait pas, presses Ctrl + Alt + Suppr , Onglet "Fichier"-> "Nouvelle tâche":
tapes explorer.exe et valides .
-
Ben messages d'erreur:
1) Accès à deux clés du registre denied au début puis la recherche se poursuit
2) "exception processing message ... " ou "disque windows introuvable"
on ne me l'avait pas faite encore celle là!
3) le programme est attaqué. on ne peut le relancer car des fichiers sont manquants.
ci joint le rapport:
----------------- FindyKill V4.005 ------------------
* User : Laurent - DOM
* Emplacement : C:\Program Files\FindyKill
* Outils Mis a jours le 19/10/08 par Chiquitine29
* Recherche effectuée à 22:09:31 le 19/10/2008
* Windows XP - Internet Explorer 7.0.5730.13
((((((((((((((((( *** Recherche *** ))))))))))))))))))
--------------- [ Processus actifs ] ----------------
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\WIDCOMM\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe
D:\Program Files\Diskeeper Corporation\Diskeeper\DkService.exe
C:\Program Files\DU Meter\DUMeterSvc.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
D:\Program Files\McAfee\Common Framework\FrameworkService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PSIService.exe
C:\WINDOWS\system32\svchost.exe
D:\Program Files\McAfee\Common Framework\naPrdMgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wuauclt.exe
D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe
D:\Program Files\My Drivers\MyDrivers.exe
C:\WINDOWS\Explorer.EXE
D:\Program Files\Exterminate It!\ExterminateIt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\LVComsX.exe
--------------- [ Fichiers/Dossiers infectieux ] ----------------
»»»» Presence des fichiers dans C:
Présent ! - C:\InfoSat.txt
»»»» Presence des fichiers dans C:\WINDOWS
»»»» Presence des fichiers dans C:\WINDOWS\Prefetch
Present ! - C:\WINDOWS\prefetch\MDELK.EXE-0DD2A02B.pf
»»»» Presence des fichiers dans C:\WINDOWS\system32
»»»» Presence des fichiers dans C:\WINDOWS\system32\drivers
»»»» Presence des fichiers dans C:\Documents and Settings\Laurent\Application Data
»»»» Presence des fichiers dans C:\DOCUME~1\Laurent\LOCALS~1\Temp
--------------- [ Registre / Startup ] ----------------
! REG.EXE VERSION 3.0
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
NvCplDaemon REG_SZ RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
AVP REG_SZ "D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe"
! REG.EXE VERSION 3.0
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
ctfmon.exe REG_SZ C:\WINDOWS\system32\ctfmon.exe
--------------- [ Registre / Clés infectieuses ] ----------------
Présent ! - HKEY_USERS\S-1-5-21-2000478354-1078081533-839522115-1003\Software\FFC
--------------- [ Etat / Services ] ----------------
+- Services : [ Auto=2 Demande=3 Désactivé=4 ]
Ndisuio - Type de démarrage = 2
Wlansvc - Type de démarrage = 2
Ip6Fw - Type de démarrage = 2
SharedAccess - Type de démarrage = 2
wuauserv - Type de démarrage = 2
wscsvc - Type de démarrage = 2
--------------- [ Recherche dans supports amovibles] ----------------
+- Informations :
C: - Lecteur fixe
D: - Lecteur fixe
E: - Lecteur fixe
F: - Lecteur fixe
G: - Lecteur de CD-ROM
H: - Lecteur fixe
J: - Lecteur fixe
+- Contenu de l'autorun : G:\autorun.inf
[AutoRun]
open=install32.bat
icon=setup.exe,0
+- presence des fichiers :
Présent ! - G:\autorun.inf
--------------- [ Registre / Moutpoint2 ] ----------------
-> Recherche négative.
------------------- ! Fin du rapport ! -------------------- -
Contributeur sécuritéA- Fais ceci :
1) Allez dans le menu "Démarrer", puis "Panneau de configuration" puis "Performances et maintenance" et enfin "Système" (ou en faisant un clic-droit sur "Poste de travail" et en sélectionnant "Propriétés")
2) Cliquez sur l'onglet "Avancé"
3) Cliquez sur "Paramètres"dans Démarrage et récupération"
4) Décocher "Redémarrer automatiquement"
image : https://www.cjoint.com/?krtJAtauvl
B - Retélécharges et réinstalles Findykill ( nouvelle mise à jours faite ) ... tu es surement tomber sur les toutes dernière versions de Bagle ( très coriaces ) :
Télécharges FindyKill de Chiquitine29 :
http://sd-1.archive-host.com/membres/up/116615172019703188/FindyKill.exe
->Enregistres le sur ton bureau et pas ailleurs !
!! Déconnectes toi et fermes toute applications en cours !!
( Si ton anti-virus s'affolle au moment de l'enregistrement ou de l'utilisation de l'outil , ignore l'alerte ...)
-> Cliques sur "FindyKill.exe" pour lancer l'installe de l'outil . Ne touche surtout pas aux paramètres d'installation.
Notes importantes :
* si tu as le prg Elibagla sur ton PC , supprimes le ( risque de conflit entre les deux outils ) .
--> Double cliques sur le raccourci " FindyKill " qui est sur ton bureau .
-->choisis l'option 1 ( recherche ) . Puis laisses travailler l'outil sans rien toucher ...
Une fois terminé, postes le rapport FindyKill.txt qui est généré ...
( Note : le rapport est sauvegardé à la racine du disque -> C:\FindyKill.txt )
PS : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.
-
bonjour
Le rapport ne donne rien non?
pour le réseau c'est foutu, j'ai installé une deuxième carte carte reseau pci ainsi qu'un carte wifi, à chaque fois la fin de l'installation du pilote est compromise par une erreur "module introuvable" et un pt d'exclamation s'affiche.
Quelque chose : le virus ou plus surement la désinfection a provoqué une perte de la marche correcte de l'installation des drivers de périphériques.
D'autre part j'ai lancé un scan avec "exterminate it"
il me trouve encore :
un hijacker "disabled set program access and default menu", 5 emplacements de zlob adware downloader et tout çà dans le registre.
plus Funsys B un trojan dans system32. -
Contributeur sécuritéet pour le réseau il n'y a pas d'autres solutions que le formatage ?? :o(:o(
--> qui te parle de formatage ??? ...
désinstalles ta carte Wifi ou réseau et réinstalles la ... normalement cela marche ...
Ensuite la solution c'est peut-être ceci :
http://www.commentcamarche.net/forum/affich 8909430 attaque par virus baggle?page=4#81
-
et pour le réseau il n'y a pas d'autres solutions que le formatage ?? :o(:o(
sinon j'aurai fait cela depuis le début. sic -
Choses promises choses dues:
voilà le rapport de malwarebytes:
Malwarebytes' Anti-Malware 1.29
Version de la base de données: 1276
Windows 5.1.2600 Service Pack 2
19/10/2008 00:22:47
mbam-log-2008-10-19 (00-22-47).txt
Type de recherche: Examen complet (C:\|D:\|E:\|F:\|H:\|J:\|L:\|M:\|N:\|)
Eléments examinés: 231067
Temps écoulé: 3 hour(s), 36 minute(s), 3 second(s)
Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0
Processus mémoire infecté(s):
(Aucun élément nuisible détecté)
Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)
Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)
Dossier(s) infecté(s):
(Aucun élément nuisible détecté)
Fichier(s) infecté(s):
(Aucun élément nuisible détecté) -
bon ben çà rame grave ce malwarebyte's presque une heure et il n'a fait que 2 disques durs.
Je ne sais pas si c'est le mode sans échec qui fait çà.
pour l'instant il n'a rien trouvé -
manifestement la désinstallation de findkill se fait qd meme.
-
Contributeur sécuritéJe pense que pour le probleme des cartes réseaux qui ont un point d'exclamation (j'en ai ajouté une autre pour voir si çà marchait) , et pour lesquelles je n'arrive pas à mettre les pilotes à jour, cela doit provenir du fait que le virus a fait des degats dans la base de registre
-> c'est tout à fais cela , mais d'habitude , avec les astuces que je t'ai donné , cela suffit la plus par du temps ...
il va falloire tout réinsataller ...
A tout' pour le rapport malwarebytes ... -
j'avais deja exécuté MalwareByte's en mode normal pas sans echec, il m'a juste trouvé un crack adobe que j'ai supprimé depuis.
Je le relance donc, en sans echec.
Je pense que pour le probleme des cartes réseaux qui ont un point d'exclamation (j'en ai ajouté une autre pour voir si çà marchait) , et pour lesquelles je n'arrive pas à mettre les pilotes à jour, cela doit provenir du fait que le virus a fait des degats dans la base de registre.
qu'en pensez vous ? -
Contributeur sécuritéessayes Manuellement :
Rends toi sur ton PC ici -> C:\Program files\FindyKill
Dans ce dossier , cliques sur " Uninstal.exe " pour désinstaller l'outil .
Supprimes aussi le set-up "Findykill.exe" qui est présent sur ton bureau ( directe dans la poubelle ) .
Sinon par "ajout et suppression de prg" via panneau de config ....
- 1
- 2
- 3
- 4
- 5
- 6