Attaque par virus baggle

Bonjour,
j'ai un gros soucis, j'ai le fameux virus baggle.
Il m'empêche d'installer un antivirus, de scanner en ligne, d'utiliser combofix (app win32 non valide).
Je ne sais pas quoi faire.

genproc me dis ceci:
merci de m'aider/

Rapport GenProc 2.119 [2] effectué le 16/10/2008 à 7:25:28,10 - Windows XP

# Etape 1/ Télécharge :

- ELIBAGLA en bas de cette page http://www.zonavirus.com/datos/descargas/95/elibagla.asp (clique sur le bouton "Descargar Elibagla") sur ton bureau.
Lance l'outil ELIBAGLA, de préférence en mode sans échec si tu en as la possibilité, en mode normal dans le cas contraire. Patiente le temps du scan.
Lorsque c'est terminé, redémarre ton ordinateur.

- Combofix (sUBs) : par clic droit de souris sur ce lien http://download.bleepingcomputer.com/sUBs/ComboFix.exe sélectionne "enregistrer sous" et nomme-le en combo-fix.exe. Double-clique ensuite sur combo-fix.exe, et appuie sur la touche Y (Yes) pour démarrer le scan et patiente.

Note importante : l'infection bagle s'installant au moyen d'un crack/keygen, tu dois IMPERATIVEMENT supprimer ce type de fichier.

# Etape 2/ Lance CCleaner > "Nettoyeur" > "Lancer le nettoyage" et c'est tout.

# Etape 3/ Poste les trois rapports suivants :
- le contenu du fichier infosat.txt qui se trouve dans Poste de travail > disque C:\
- le contenu du rapport qui se trouve dans C:\Combofix.txt
- un nouveau rapport GenProc.
Configuration: Windows XP sp2
Firefox 3.0.3

103 réponses

Résumé de la discussion

Le problème décrit est une infection Bagle qui empêche l’installation d’antivirus, les scans en ligne et l’exécution d’outils comme ComboFix, avec des recommandations techniques variées pour nettoyer le système. Plusieurs solutions sont proposées, notamment exécuter ELIBAGLA (en mode sans échec si possible), puis ComboFix et CCleaner, tout en insistant sur la suppression des cracks et keygens qui facilitent l’infection. En parallèle, certains répondants évoquent FindyKill et des mesures comme déconnecter les périphériques externes, puis générer des rapports (FindyKill.txt, C:\Combofix.txt, infosat.txt) pour poursuivre le nettoyage et la vérification. Certains répondants évoquent la possibilité d’un rootkit et recommandent des tentatives supplémentaires, comme la vérification des systèmes de démarrage et la prudence à l’égard des logiciels non signés, afin d’éviter des réinfections.

Bobot (l’IA à votre service)
  1. Salut

    ça pex arriver c est le fichier srosa.sys (infecté) qu i réagit

    recommence l option 2 de findyKill STP
    1. Contributeur sécurité
      Salut chiqui ,

      j'allais justement te prévenir ^^

  2. Contributeur sécurité
    Cela commence à devenir gon.....

    Il y a peut-être autre chose .... fais ceci :

    Télécharges GenProc (de Jean-Chretien1 et Narco4) sur ton bureau (et pas ailleur !) :
    http://www.alt-shift-return.org/Info/Fichiers/GenProc.zip

    !!Déconnectes toi et fermes tes application en cours !!

    Dézippes (=extraire tout) le contenu de ce que tu viens de télécharger sur ton bureau .

    Ouvres le dossier Genproc :
    double-cliques sur GenProc.bat et laisses faire ...

    Une fois terminé, postes le contenu du rapport qui s'ouvre ...

    Aide en images ici : http://www.alt-shift-return.org/Info/GenProc-HowTo.html

    IMPORTANT : postes le rapport et ne fait rien d'autre pour l'instant ( souvant il faut ajouter des consignes à la manipe indiquée pour que cela fonctionne parfaitement ) .

    1. Contributeur sécurité
      Essaye maintenant de réparer ta connextion et ton réseau en t'aidant de ce qu'on a dejà vu ...

      teins nous au courant ....
      1. ========== PROCESSES ==========
        Process explorer.exe killed successfully.
        ========== SERVICES/DRIVERS ==========
        Unable to stop service SROSA .
        Unable to stop service srosa .
        ========== REGISTRY ==========
        ========== FILES ==========
        ========== COMMANDS ==========
        User's Temp folder emptied.
        User's Temporary Internet Files folder emptied.
        User's Internet Explorer cache folder emptied.
        Local Service Temp folder emptied.
        Local Service Temporary Internet Files folder emptied.
        File delete failed. C:\WINDOWS\temp\Perflib_Perfdata_19c.dat scheduled to be deleted on reboot.
        File delete failed. C:\WINDOWS\temp\ZLT0430f.TMP scheduled to be deleted on reboot.
        File delete failed. C:\WINDOWS\temp\ZLT06a93.TMP scheduled to be deleted on reboot.
        Windows Temp folder emptied.
        Java cache emptied.
        FireFox cache emptied.
        Temp folders emptied.
        Explorer started successfully

        OTMoveIt3 by OldTimer - Version 1.0.5.0 log created on 10202008_000246

        Files moved on Reboot...
        C:\WINDOWS\temp\Perflib_Perfdata_19c.dat moved successfully.
        File C:\WINDOWS\temp\ZLT0430f.TMP not found!
        File C:\WINDOWS\temp\ZLT06a93.TMP not found!
        1. j'ai refais une recherche:

          il reste encore un fichier dans windows prefetch\MDELK.exe-ODD2AO2B.pf

          et
          1. Contributeur sécurité
            1- Supprimes tout ce qui ce trouve dans le dossier "prefetch" sauf le fichier "layout.ini" et les sous-dossiers éventuellement présents ...

            2- refais un coup de CCleaner (registre compris)

            3- Télécharges OTMoveIt3 (de Old_Timer) sur ton Bureau.

            http://oldtimer.geekstogo.com/OTMoveIt3.exe

            ! Déconnectes toi et fermes toute tes applications en cours !

            Double cliques sur "OTMoveIt3.exe" pour ouvrir le prg .
            Puis copies ce qui se trouve en citation ci-dessous,

            :Processes
            explorer.exe
            
            :Services
            SROSA
            srosa
            
            :Reg
            
            :Files
            
            :Commands
            [purity]
            [emptytemp]
            [start explorer]
            [Reboot]


            et colles le dans le cadre de gauche de OTMoveIt3 :
            Paste Instructions for items to be moved.
            (ne touche à rien d'autre !)

            -> cliques sur MoveIt! pour lancer la suppression.
            -> laisses travailler l'outil ...

            ( Note : ton bureau va disparaitre puis réapparaitre, c'est normal .)

            -> une fois finis , un petite fenêtre s'ouvre : cliques sur " Yes " .

            Ton PC va redémarrer de lui même ...

            -->Postes le contenu du rapport qui se trouve dans le dossier "C:\_OTMoveIt\MovedFiles"
            ( " xxxx2008_xxxxxx.log " où les "x" correspondent au jour et à l'heure de l'utilisation ).
        2. ----------------- FindyKill V4.005 ------------------

          * User : Laurent - DOM
          * Emplacement : C:\Program Files\FindyKill
          * Outils Mis a jours le 19/10/08 par Chiquitine29
          * Suppression effectuée à 22:42:01 le 19/10/2008
          * Windows XP - Internet Explorer 7.0.5730.13

          ((((((((((((((( *** Suppression *** ))))))))))))))))))

          --------------- [ Processus actifs ] ----------------

          C:\WINDOWS\System32\smss.exe
          C:\WINDOWS\system32\csrss.exe
          C:\WINDOWS\system32\winlogon.exe
          C:\WINDOWS\system32\services.exe
          C:\WINDOWS\system32\lsass.exe
          C:\WINDOWS\system32\svchost.exe
          C:\WINDOWS\system32\svchost.exe
          C:\WINDOWS\System32\svchost.exe
          C:\Program Files\WIDCOMM\Bluetooth Software\bin\btwdins.exe
          C:\WINDOWS\system32\svchost.exe
          C:\WINDOWS\system32\logonui.exe
          C:\WINDOWS\system32\ZoneLabs\vsmon.exe
          C:\WINDOWS\system32\spoolsv.exe
          C:\WINDOWS\system32\userinit.exe

          --------------- [ Fichiers/Dossiers infectieux ] ----------------

          »»»» Suppression des fichiers dans C:

          Supprimé ! - C:\InfoSat.txt

          »»»» Suppression des fichiers dans C:\WINDOWS

          »»»» Suppression des fichiers dans C:\WINDOWS\Prefetch

          Supprimé ! - C:\WINDOWS\Prefetch\ALBUMDB2.EXE-055536D2.pf
          Supprimé ! - C:\WINDOWS\Prefetch\FXSVR2.EXE-0166CA0A.pf
          Supprimé ! - C:\WINDOWS\Prefetch\RUNDLL32.EXE-380AC378.pf
          Supprimé ! - C:\WINDOWS\Prefetch\RUNDLL32.EXE-47BA6B54.pf
          Supprimé ! - C:\WINDOWS\Prefetch\RUNDLL32.EXE-480BA1E0.pf
          Supprimé ! - C:\WINDOWS\Prefetch\RUNDLL32.EXE-4F91CCEB.pf
          Supprimé ! - C:\WINDOWS\Prefetch\RUNDLL32.EXE-5767EFBF.pf
          Supprimé ! - C:\WINDOWS\Prefetch\RUNDLL32.EXE-6A480868.pf
          Supprimé ! - C:\WINDOWS\Prefetch\WINTEMS.EXE-1215CF9F.pf
          Supprimé ! - C:\WINDOWS\Prefetch\MDELK.EXE-0DD2A02B.pf

          »»»» Suppression des fichiers dans C:\WINDOWS\system32

          »»»» Suppression des fichiers dans C:\WINDOWS\system32\drivers

          »»»» Suppression des fichiers dans C:\Documents and Settings\Laurent\Application Data

          »»»» Suppression des fichiers dans C:\DOCUME~1\Laurent\LOCALS~1\Temp

          --------------- [ Registre / Clés infectieuses ] ----------------

          Supprimé ! - HKEY_CURRENT_CONFIG\System\CurrentControlSet\Enum\ROOT\LEGACY_SROSA

          -> Certaines clés ont été supprimées au premier reboot ...

          --------------- [ Etat / Redémarage des services ] ----------------

          +- Mode sans echec restauré !

          +- Services : [ Auto=2 Demande=3 Désactivé=4 ]

          Ndisuio - Type de démarrage = 2

          Wlansvc - Type de démarrage = 2

          Ip6Fw - Type de démarrage = 2

          SharedAccess - Type de démarrage = 2

          wuauserv - Type de démarrage = 2

          wscsvc - Type de démarrage = 2

          --------------- [ Nettoyage des supports amovibles ] ----------------

          +- Informations :

          C: - Lecteur fixe

          D: - Lecteur fixe

          E: - Lecteur fixe

          F: - Lecteur fixe

          G: - Lecteur de CD-ROM

          H: - Lecteur fixe

          J: - Lecteur fixe

          L: - Lecteur amovible

          N: - Lecteur amovible

          +- Suppression des fichiers :

          Echec de la supression !! - G:\autorun.inf

          --------------- [ Registre / Moutpoint2 ] ----------------

          -> Recherche négative.

          --------------- [ Recherche Cracks / Keygen ] ----------------

          ---------------- ! Fin du rapport ! ------------------
          1. tu sais je l'ai deja fait sans succès.

            je veux recommencer mais me fait guère dillusion.
            1. Contributeur sécurité
              refais le et postes moi le rapport ...
          2. Contributeur sécurité
            Essayes de faire le nettoyage maintenant :

            1- Important :
            Branches toutes tes unités externes au PC ( DD externes , clé USB , lecteur mp3, ect...) mais sans les ouvrir !
            Tu les retireras après la manipe ...

            2- Relances FindyKill :

            -> choisis cette fois-ci l'option 2 .

            /!\ il y aura 2 redémarrages !... Laisses travailler l'outil jusqu' à l'apparition du message :
            "nettoyage terminé" .

            Note : lors du message d'avertissement , cliques sur " Ok " .

            --> ensuite postes le nouveau rapport FindyKill.txt qui est généré et attends la suite ...

            ( Note : le rapport est sauvegardé à la racine du disque -> C:\FindyKill.txt )

            PS : Si le Bureau ne réapparait pas, presses Ctrl + Alt + Suppr , Onglet "Fichier"-> "Nouvelle tâche":
            tapes explorer.exe et valides .
            1. Ben messages d'erreur:

              1) Accès à deux clés du registre denied au début puis la recherche se poursuit

              2) "exception processing message ... " ou "disque windows introuvable"
              on ne me l'avait pas faite encore celle là!

              3) le programme est attaqué. on ne peut le relancer car des fichiers sont manquants.

              ci joint le rapport:

              ----------------- FindyKill V4.005 ------------------

              * User : Laurent - DOM
              * Emplacement : C:\Program Files\FindyKill
              * Outils Mis a jours le 19/10/08 par Chiquitine29
              * Recherche effectuée à 22:09:31 le 19/10/2008
              * Windows XP - Internet Explorer 7.0.5730.13

              ((((((((((((((((( *** Recherche *** ))))))))))))))))))

              --------------- [ Processus actifs ] ----------------

              C:\WINDOWS\System32\smss.exe
              C:\WINDOWS\system32\csrss.exe
              C:\WINDOWS\system32\winlogon.exe
              C:\WINDOWS\system32\services.exe
              C:\WINDOWS\system32\lsass.exe
              C:\WINDOWS\system32\svchost.exe
              C:\WINDOWS\system32\svchost.exe
              C:\WINDOWS\System32\svchost.exe
              C:\Program Files\WIDCOMM\Bluetooth Software\bin\btwdins.exe
              C:\WINDOWS\system32\svchost.exe
              C:\WINDOWS\system32\ZoneLabs\vsmon.exe
              C:\WINDOWS\system32\spoolsv.exe
              C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
              D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe
              D:\Program Files\Diskeeper Corporation\Diskeeper\DkService.exe
              C:\Program Files\DU Meter\DUMeterSvc.exe
              C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
              D:\Program Files\McAfee\Common Framework\FrameworkService.exe
              C:\WINDOWS\system32\nvsvc32.exe
              C:\WINDOWS\system32\PSIService.exe
              C:\WINDOWS\system32\svchost.exe
              D:\Program Files\McAfee\Common Framework\naPrdMgr.exe
              C:\WINDOWS\Explorer.EXE
              C:\WINDOWS\system32\wscntfy.exe
              C:\WINDOWS\system32\svchost.exe
              C:\WINDOWS\System32\alg.exe
              C:\WINDOWS\system32\wuauclt.exe
              D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe
              D:\Program Files\My Drivers\MyDrivers.exe
              C:\WINDOWS\Explorer.EXE
              D:\Program Files\Exterminate It!\ExterminateIt.exe
              C:\WINDOWS\system32\ctfmon.exe
              C:\WINDOWS\system32\LVComsX.exe

              --------------- [ Fichiers/Dossiers infectieux ] ----------------

              »»»» Presence des fichiers dans C:

              Présent ! - C:\InfoSat.txt

              »»»» Presence des fichiers dans C:\WINDOWS

              »»»» Presence des fichiers dans C:\WINDOWS\Prefetch

              Present ! - C:\WINDOWS\prefetch\MDELK.EXE-0DD2A02B.pf

              »»»» Presence des fichiers dans C:\WINDOWS\system32

              »»»» Presence des fichiers dans C:\WINDOWS\system32\drivers

              »»»» Presence des fichiers dans C:\Documents and Settings\Laurent\Application Data

              »»»» Presence des fichiers dans C:\DOCUME~1\Laurent\LOCALS~1\Temp

              --------------- [ Registre / Startup ] ----------------

              ! REG.EXE VERSION 3.0

              HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
              NvCplDaemon REG_SZ RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
              AVP REG_SZ "D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe"

              ! REG.EXE VERSION 3.0

              HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
              ctfmon.exe REG_SZ C:\WINDOWS\system32\ctfmon.exe

              --------------- [ Registre / Clés infectieuses ] ----------------

              Présent ! - HKEY_USERS\S-1-5-21-2000478354-1078081533-839522115-1003\Software\FFC

              --------------- [ Etat / Services ] ----------------

              +- Services : [ Auto=2 Demande=3 Désactivé=4 ]

              Ndisuio - Type de démarrage = 2

              Wlansvc - Type de démarrage = 2

              Ip6Fw - Type de démarrage = 2

              SharedAccess - Type de démarrage = 2

              wuauserv - Type de démarrage = 2

              wscsvc - Type de démarrage = 2

              --------------- [ Recherche dans supports amovibles] ----------------

              +- Informations :

              C: - Lecteur fixe

              D: - Lecteur fixe

              E: - Lecteur fixe

              F: - Lecteur fixe

              G: - Lecteur de CD-ROM

              H: - Lecteur fixe

              J: - Lecteur fixe

              +- Contenu de l'autorun : G:\autorun.inf

              [AutoRun]
              open=install32.bat
              icon=setup.exe,0

              +- presence des fichiers :

              Présent ! - G:\autorun.inf

              --------------- [ Registre / Moutpoint2 ] ----------------

              -> Recherche négative.

              ------------------- ! Fin du rapport ! --------------------
              1. Contributeur sécurité
                A- Fais ceci :

                1) Allez dans le menu "Démarrer", puis "Panneau de configuration" puis "Performances et maintenance" et enfin "Système" (ou en faisant un clic-droit sur "Poste de travail" et en sélectionnant "Propriétés")
                2) Cliquez sur l'onglet "Avancé"
                3) Cliquez sur "Paramètres"dans Démarrage et récupération"
                4) Décocher "Redémarrer automatiquement"

                image : https://www.cjoint.com/?krtJAtauvl

                B - Retélécharges et réinstalles Findykill ( nouvelle mise à jours faite ) ... tu es surement tomber sur les toutes dernière versions de Bagle ( très coriaces ) :

                Télécharges FindyKill de Chiquitine29 :

                http://sd-1.archive-host.com/membres/up/116615172019703188/FindyKill.exe

                ->Enregistres le sur ton bureau et pas ailleurs !

                !! Déconnectes toi et fermes toute applications en cours !!

                ( Si ton anti-virus s'affolle au moment de l'enregistrement ou de l'utilisation de l'outil , ignore l'alerte ...)

                -> Cliques sur "FindyKill.exe" pour lancer l'installe de l'outil . Ne touche surtout pas aux paramètres d'installation.

                Notes importantes :
                * si tu as le prg Elibagla sur ton PC , supprimes le ( risque de conflit entre les deux outils ) .

                --> Double cliques sur le raccourci " FindyKill " qui est sur ton bureau .

                -->choisis l'option 1 ( recherche ) . Puis laisses travailler l'outil sans rien toucher ...

                Une fois terminé, postes le rapport FindyKill.txt qui est généré ...

                ( Note : le rapport est sauvegardé à la racine du disque -> C:\FindyKill.txt )

                PS : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
                Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
                Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

                1. bonjour
                  Le rapport ne donne rien non?

                  pour le réseau c'est foutu, j'ai installé une deuxième carte carte reseau pci ainsi qu'un carte wifi, à chaque fois la fin de l'installation du pilote est compromise par une erreur "module introuvable" et un pt d'exclamation s'affiche.

                  Quelque chose : le virus ou plus surement la désinfection a provoqué une perte de la marche correcte de l'installation des drivers de périphériques.

                  D'autre part j'ai lancé un scan avec "exterminate it"
                  il me trouve encore :
                  un hijacker "disabled set program access and default menu", 5 emplacements de zlob adware downloader et tout çà dans le registre.
                  plus Funsys B un trojan dans system32.
                  1. et pour le réseau il n'y a pas d'autres solutions que le formatage ?? :o(:o(

                    sinon j'aurai fait cela depuis le début. sic
                    1. Choses promises choses dues:
                      voilà le rapport de malwarebytes:

                      Malwarebytes' Anti-Malware 1.29
                      Version de la base de données: 1276
                      Windows 5.1.2600 Service Pack 2

                      19/10/2008 00:22:47
                      mbam-log-2008-10-19 (00-22-47).txt

                      Type de recherche: Examen complet (C:\|D:\|E:\|F:\|H:\|J:\|L:\|M:\|N:\|)
                      Eléments examinés: 231067
                      Temps écoulé: 3 hour(s), 36 minute(s), 3 second(s)

                      Processus mémoire infecté(s): 0
                      Module(s) mémoire infecté(s): 0
                      Clé(s) du Registre infectée(s): 0
                      Valeur(s) du Registre infectée(s): 0
                      Elément(s) de données du Registre infecté(s): 0
                      Dossier(s) infecté(s): 0
                      Fichier(s) infecté(s): 0

                      Processus mémoire infecté(s):
                      (Aucun élément nuisible détecté)

                      Module(s) mémoire infecté(s):
                      (Aucun élément nuisible détecté)

                      Clé(s) du Registre infectée(s):
                      (Aucun élément nuisible détecté)

                      Valeur(s) du Registre infectée(s):
                      (Aucun élément nuisible détecté)

                      Elément(s) de données du Registre infecté(s):
                      (Aucun élément nuisible détecté)

                      Dossier(s) infecté(s):
                      (Aucun élément nuisible détecté)

                      Fichier(s) infecté(s):
                      (Aucun élément nuisible détecté)
                      1. bon ben çà rame grave ce malwarebyte's presque une heure et il n'a fait que 2 disques durs.
                        Je ne sais pas si c'est le mode sans échec qui fait çà.

                        pour l'instant il n'a rien trouvé
                        1. Contributeur sécurité
                          Je pense que pour le probleme des cartes réseaux qui ont un point d'exclamation (j'en ai ajouté une autre pour voir si çà marchait) , et pour lesquelles je n'arrive pas à mettre les pilotes à jour, cela doit provenir du fait que le virus a fait des degats dans la base de registre

                          -> c'est tout à fais cela , mais d'habitude , avec les astuces que je t'ai donné , cela suffit la plus par du temps ...
                          il va falloire tout réinsataller ...

                          A tout' pour le rapport malwarebytes ...
                          1. j'avais deja exécuté MalwareByte's en mode normal pas sans echec, il m'a juste trouvé un crack adobe que j'ai supprimé depuis.

                            Je le relance donc, en sans echec.

                            Je pense que pour le probleme des cartes réseaux qui ont un point d'exclamation (j'en ai ajouté une autre pour voir si çà marchait) , et pour lesquelles je n'arrive pas à mettre les pilotes à jour, cela doit provenir du fait que le virus a fait des degats dans la base de registre.

                            qu'en pensez vous ?
                            1. Contributeur sécurité
                              essayes Manuellement :
                              Rends toi sur ton PC ici -> C:\Program files\FindyKill

                              Dans ce dossier , cliques sur " Uninstal.exe " pour désinstaller l'outil .

                              Supprimes aussi le set-up "Findykill.exe" qui est présent sur ton bureau ( directe dans la poubelle ) .

                              Sinon par "ajout et suppression de prg" via panneau de config ....
                              • 1
                              • 2
                              • 3
                              • 4
                              • 5
                              • 6