infection : bagle ? Résolu

Question

Bonjour, je suis victime d'un virus depuis peu qui semble mettre hors service tout les anti virus que j'ai essayé. J'avais antivir et norton installé (j'avais eu déjà des problèmes de virus et j'avais laissé les deux antivirus installé plus ou moins volontairement), et ils sont tous les deux hors service ( j'ai un message d'erreur qui dit que ce n'est pas une application valide). Après avoir essayé sans succès tout les antivirus que j'ai trouvé et après avoir fouiné un peu sur le net pour me renseigner je pense qu'il s'agit du virus "bagle" (d'autant plus que ce virus s'installe suite au lancement d'un faux crack, et que justement je suis tomber sur un crack suspect quelques heures avant, sauf que ce crack je ne l'avais pas exécuté, je l'avais supprimé direct car je l'avais téléchargé involontairement (c'était un fake))

J'ai essayé de m'en débarrasser avec les méthodes expliqué ici (http://www.commentcamarche.net/faq/sujet 9889 comment supprimer le virus beagle bagle)  mais aucune ne fonctionnent, quelqu'un peut il m'aider?

toptitbal · Accepted Answer

Bonjour


Télécharge FindyKill de Chiquitine29 : 

http://sd-1.archive-host.com/membres/up/116615172019703188/FindyKill.exe 

->Enregistre-le sur ton bureau et pas ailleurs ! 

!! Déconnecte toi et ferme toutes les  applications en cours !! 

( Si ton anti-virus s'affolle au moment de l'enregistrement ou de l'utilisation de l'outil , ignore l'alerte ...) 

-> Clique sur "FindyKill.exe" pour lancer l'installe de l'outil . Ne touche surtout pas aux paramètres d'installation. 


Nots importante : 
* si tu as le prg Elibagla sur ton PC , supprime-le ( risque de conflit entre les deux outils ) . 

--> Double-clique sur le raccourci " FindyKill " qui est sur ton bureau . 

-->choisis l'option 1 ( recherche ) . Puis laisse travailler l'outil sans rien toucher ... 

Une fois terminé, poste le rapport FindyKill.txt qui est généré ... 

( Note : le rapport est sauvegardé à la racine du disque -> C:\FindyKill.txt ) 

PS : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

oO!!! · Answer

Je rajoute quelques précisions : 

 ELIBAGLA ne marche pas, quand je le lance il y a juste une barre de chargement qui se termine rapidement et après plus rien, j'ai essayé de le renommé en mdelk.exe comme conseillé mais ça a fait disparaitre le fichier du bureau.  :/

Pour Gmer il me met application invalide quand je le lance.

oO!!! · Answer

Merci de me répondre aussi vite :) voila le rapport : 






----------------- FindyKill V4.095 ------------------

* User : Chiaro - ORDINATEURFIXE
* Emplacement : C:\Program Files\FindyKill
* Outils Mis a jours le 24/10/08 par Chiquitine29
* Recherche effectuée à 16:15:10 le 25/10/2008
* Windows XP - Internet Explorer 7.0.5730.11
 
((((((((((((((((( *** Recherche *** ))))))))))))))))))  
 
 
--------------- [ Processus actifs ] ----------------  
 

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\Razer\Habuazerhid.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\lclock.exe
C:\Program Files\AdVantage\AdVantage.exe
C:\WINDOWS\system32\drivers\winfilse.exe
C:\Program Files\Razer\Habuazerofa.exe
C:\Program Files\NETGEAR GA311 Adapter\GA311.exe
C:\Program Files\SAGEM WiFi manager\WLANUTL.exe
C:\Program Files\Razer\Habuazertra.exe
C:\Program Files\Windows Live\Messenger\usnsvc.exe
 
--------------- [ Processus infectieux stoppés ] ----------------  
 

"C:\WINDOWS\system32\drivers\winfilse.exe"  (1648)

 
--------------- [ Fichiers/Dossiers infectieux ] ----------------  
 
 
»»»» Presence des fichiers dans C: 
 
Présent ! [25/10/2008 15:37] - C:\InfoSat.txt 
 
»»»» Presence des fichiers dans C:\WINDOWS 
 
 
»»»» Presence des fichiers dans C:\WINDOWS\Prefetch 
 
 
»»»» Presence des fichiers dans C:\WINDOWS\system32 
 
Présent ! [25/10/2008 14:40] - C:\WINDOWS\system32\mdelk.exe 
Présent ! [25/10/2008 14:40] - C:\WINDOWS\system32\wintems.exe 
Présent ! [25/10/2008 15:42] - C:\WINDOWS\system32\ban_list.txt 
 
»»»» Presence des fichiers dans C:\WINDOWS\system32\drivers 
 
Présent ! [25/10/2008 14:38] - C:\WINDOWS\system32\drivers\srosa.sys 
Présent ! [24/10/2008 23:37] - C:\WINDOWS\system32\drivers\winfilse.exe 
Présent ! [25/10/2008 14:44] - "C:\WINDOWS\system32\drivers\downld" 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\112609.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\113468.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\132765.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\139921.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\141031.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\146625.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\147390.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\154328.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\157468.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\160671.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\160781.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\164234.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\178156.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\215390.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\221125.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\259218.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\361968.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\371359.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\413390.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\421468.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\797968.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\799046.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\817406.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\822828.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\843437.exe 
Présent ! [25/10/2008 14:44] C:\WINDOWS\system32\drivers\downld\861484.exe 
 
»»»» Presence des fichiers dans C:\Documents and Settings\Chiaro\Application Data 
 
 
»»»» Presence des fichiers dans C:\DOCUME~1\Chiaro\LOCALS~1\Temp 
 
 
--------------- [ Registre / Startup ] ----------------  
 

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    Habu	REG_SZ	C:\Program Files\Razer\Habuazerhid.exe
    NvCplDaemon	REG_SZ	RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
    nwiz	REG_SZ	nwiz.exe /install
    High Definition Audio Property Page Shortcut	REG_SZ	HDAShCut.exe
    NvMediaCenter	REG_SZ	RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
    KernelFaultCheck	REG_EXPAND_SZ	%systemroot%\system32\dumprep 0 -k
    avgnt	REG_SZ	"C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

! REG.EXE VERSION 3.0

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    CTFMON.EXE	REG_SZ	C:\WINDOWS\system32\ctfmon.exe
    LClock	REG_SZ	lclock.exe
    MsnMsgr	REG_SZ	"C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
    DAEMON Tools Lite	REG_SZ	"C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
    AdVantage	REG_SZ	"C:\Program Files\AdVantage\AdVantage.exe"
 
--------------- [ Registre / Clés infectieuses ] ----------------  
 
 
Présent ! - HKEY_USERS\S-1-5-21-507921405-764733703-725345543-1003\Software\Local AppWizard-Generated Applications
ideiect 
Présent ! - HKEY_USERS\S-1-5-21-507921405-764733703-725345543-1003\Software\Local AppWizard-Generated Applications\winfilse 
Présent ! - HKEY_USERS\S-1-5-21-507921405-764733703-725345543-1003\Software\bisoft 
Présent ! - HKEY_USERS\S-1-5-21-507921405-764733703-725345543-1003\Software\CHKPTR 
Présent ! - HKEY_USERS\S-1-5-21-507921405-764733703-725345543-1003\Software\FFC 
Présent ! - HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications
ideiect 
Présent ! - HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\winfilse 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\srosa 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SROSA 
Présent ! - HKEY_CURRENT_USER\Software\bisoft 
 
--------------- [ Etat / Services ] ---------------- 
 
Clé manquante : HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot 
 
  -> Mode sans echec non fonctionnel !! 
 
Clé manquante : HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal 
 
 -> Mode sans echec non fonctionnel !! 
 
Clé manquante : HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network 
 
 -> Mode sans echec non fonctionnel !! 
 


+- Services : [ Auto=2 Demande=3 Désactivé=4 ]

 /!\ Ndisuio - Type de démarrage = 4 
 
 /!\ Ip6Fw - Type de démarrage = 4 
 
 SharedAccess - Type de démarrage = 2 
 
 wuauserv - Type de démarrage = 2 
 
 /!\ wscsvc - Type de démarrage = 4 
 
 
 
--------------- [ Recherche dans supports amovibles] ----------------  
 
 
+- Informations : 

C: - Lecteur fixe

D: - Lecteur fixe

 
+- presence des fichiers :  

 
 
--------------- [ Registre / Moutpoint2 ] ----------------  
 
Present ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{536528cc-7a7b-11dd-9504-000fb5fb452b}\Shell\AutoRun\command   
Present ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{536528cc-7a7b-11dd-9504-000fb5fb452b}\Shell\explore\Command   
Present ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{536528cc-7a7b-11dd-9504-000fb5fb452b}\Shell\open\Command   
 
 
------------------- ! Fin du rapport ! --------------------

toptitbal · Answer

Important : 
Branche toutes tes unités externes au PC ( DD externes , clé USB , lecteur mp3, ect...) mais sans les ouvrir ! 
Tu les retireras après la manipe ... 


Ferme toutes applications en cours ! 

Relance FindyKill : 

-> choisis cette fois-ci l'option 2 . 

/!\ ton PC va redémarrer de lui même , c'est normal !... Laisse travailler l'outil jusqu' à l'apparition du message : 
"nettoyage terminé" . 

Note : lors du message d'avertissement , cliques sur " Ok " . 

--> ensuite poste le nouveau rapport FindyKill.txt qui est généré et attends la suite ... 

( Note : le rapport est sauvegardé à la racine du disque -> C:\FindyKill.txt ) 


PS : Si le Bureau ne réapparaît pas, presse Ctrl + Alt + Suppr , Onglet "Fichier"-> "Nouvelle tâche": 
tapes explorer.exe et valide .

oO!!! · Answer

Ok je vais faire ça tout de suite, et j'avais oublié de préciser, à la base l'infection s'est propagé sur mon PC portable et ça a fait sauter la connexion wifi en plus du reste, tout les antivirus que j'ai tester ensuite j'ai donc due les télécharger avec mon pc fixe et les mettre sur le portable via une clef USB et bien évidement le PC fixe a été infecté donc la clef l'est aussi.

oO!!! · Answer

J'ai eu quelques message d'erreur au redémarrage du genre : windows ne trouve pas c:/document~1/.../temps/cacu_001.exe, mais ça n'a pas l'air d'avoir gêné findykill.
De plus le fichier elibagla qui avait disparu quand je l'avais renommé en mdelk.exe est réapparu sur le bureau.

Voila le nouveau rapport : 



----------------- FindyKill V4.095 ------------------

* User : Chiaro - ORDINATEURFIXE
* Emplacement : C:\Program Files\FindyKill
* Outils Mis a jours le 24/10/08 par Chiquitine29
* Suppression effectuée à 16:40:31 le 25/10/2008
* Windows XP - Internet Explorer 7.0.5730.11
 
 
((((((((((((((( *** Suppression *** ))))))))))))))))))  
 
 
--------------- [ Processus actifs ] ----------------  
 

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
 
--------------- [ Fichiers/Dossiers infectieux ] ----------------  
 
 
»»»» Suppression des fichiers dans C: 
 
Supprimé ! - C:\InfoSat.txt  
 
»»»» Suppression des fichiers dans C:\WINDOWS 
 
 
»»»» Suppression des fichiers dans C:\WINDOWS\Prefetch 
 
Supprimé ! - C:\WINDOWS\Prefetch\REGSVR32.EXE-25EEFE2F.pf 
Supprimé ! - C:\WINDOWS\Prefetch\RUNDLL32.EXE-1DF81B7B.pf 
Supprimé ! - C:\WINDOWS\Prefetch\RUNDLL32.EXE-286A7F8C.pf 
Supprimé ! - C:\WINDOWS\Prefetch\RUNDLL32.EXE-39C218B4.pf 
Supprimé ! - C:\WINDOWS\Prefetch\RUNDLL32.EXE-3BF7D301.pf 
Supprimé ! - C:\WINDOWS\Prefetch\RUNDLL32.EXE-49F747DB.pf 
Supprimé ! - C:\WINDOWS\Prefetch\U2.EXE-0C867A1C.pf 
Supprimé ! - C:\WINDOWS\Prefetch\UNREGMP2.EXE-07CACB61.pf 
Supprimé ! - C:\WINDOWS\Prefetch\SETUP50.EXE-362FF7C9.pf 
 
»»»» Suppression des fichiers dans C:\WINDOWS\system32 
 
Supprimé ! - C:\WINDOWS\system32\mdelk.exe  
Supprimé ! - C:\WINDOWS\system32\wintems.exe  
Supprimé ! - C:\WINDOWS\system32\ban_list.txt  
 
»»»» Suppression des fichiers dans C:\WINDOWS\system32\drivers 
 
Supprimé ! - C:\WINDOWS\system32\drivers\srosa.sys  
Supprimé ! - C:\WINDOWS\system32\drivers\winfilse.exe  
Supprimé ! - C:\WINDOWS\system32\drivers\downld\112609.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\113468.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\132765.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\139921.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\141031.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\146625.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\147390.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\154328.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\157468.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\160671.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\160781.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\164234.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\178156.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\215390.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\221125.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\259218.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\361968.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\371359.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\413390.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\421468.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\797968.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\799046.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\817406.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\822828.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\843437.exe 
Supprimé ! - C:\WINDOWS\system32\drivers\downld\861484.exe 
Supprimé ! - "C:\WINDOWS\system32\drivers\downld"  
 
»»»» Suppression des fichiers dans C:\Documents and Settings\Chiaro\Application Data 
 
 
»»»» Suppression des fichiers dans C:\DOCUME~1\Chiaro\LOCALS~1\Temp 
 
 
--------------- [ Registre / Clés infectieuses ] ---------------- 
 
Supprimé ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\srosa   
Supprimé ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA   
Supprimé ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SROSA   
Supprimé ! - HKEY_USERS\S-1-5-21-507921405-764733703-725345543-1003\Software\Local AppWizard-Generated Applications
ideiect   
Supprimé ! - HKEY_USERS\S-1-5-21-507921405-764733703-725345543-1003\Software\Local AppWizard-Generated Applications\winfilse   
 
      -> Certaines clés ont été supprimées au premier reboot ...  
 
--------------- [ Etat / Redémarage des services ] ---------------- 
 
+- Mode sans echec restauré ! 
  
+- Affichage des fichiers cachés réparé !


+- Services : [ Auto=2 Demande=3 Désactivé=4 ] 

 Ndisuio - Type de démarrage = 3 
 
 Ip6Fw - Type de démarrage = 2 
 
 SharedAccess - Type de démarrage = 2 
 
 wuauserv - Type de démarrage = 2 
 
 wscsvc - Type de démarrage = 2 
 
 
---------------   [ Nettoyage des supports amovibles ] ----------------  
 
+- Informations : 

C: - Lecteur fixe

D: - Lecteur fixe

H: - Lecteur amovible

 
+- Suppression des fichiers : 
 
Supprimé ! - H:\autorun.inf  
Supprimé ! - H:
ideiect.com  
 
--------------- [ Registre / Moutpoint2 ] ----------------  
 
 
 -> Recherche négative. 
 
 
--------------- [ Recherche Cracks / Keygen ] ----------------  
 
C:\Documents and Settings\Chiaro\Bureau\Black And White 2 Fr Crack No Cd (Le Seul Qui Marche)

 
 
---------------- ! Fin du rapport ! ------------------

toptitbal · Answer

Télécharge le fichier d’installation d’Hijackthis en cliquant sur ce lien 

http://www.trendsecure.com/portal/en-US/tools/security_tools/hijackthis/download

* Enregistre HJTInstall.exe sur ton bureau. 

* Double-clique sur HJTInstall.exe pour lancer le programme

Tuto : https://www.malekal.com/tutoriel-hijackthis/
	http://pagesperso-orange.fr/rginformatique/section%20virus/Hijenr.gif
	http://pagesperso-orange.fr/rginformatique/section%20virus/demohijack.htm

* Accepte la license en cliquant sur le bouton "I Accept"
* Choisis l'option "Do a system scan and save a log file"
* Clique sur "Save log" pour enregistrer le rapport qui s'ouvrira avec le bloc-note
* Clique sur "Edition -> Sélectionner tout", puis sur "Edition -> Copier" pour copier tout le contenu du rapport

* Colle le rapport que tu viens de copier sur ce forum

oO!!! · Answer

Voila le rapport hijackthis :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:08:53, on 25/10/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\Razer\Habuazerhid.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\lclock.exe
C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe
C:\Program Files\DAEMON Tools Lite\daemon.exe
C:\Program Files\AdVantage\AdVantage.exe
C:\Program Files\NETGEAR GA311 Adapter\GA311.exe
C:\Program Files\SAGEM WiFi manager\WLANUTL.exe
C:\Program Files\Razer\Habuazertra.exe
C:\Program Files\Razer\Habuazerofa.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr/toolbar/ie8/sidebar.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.fr/toolbar/ie8/sidebar.html
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.fr/keyword/%s
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [Habu] C:\Program Files\Razer\Habuazerhid.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [LClock] lclock.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [AdVantage] "C:\Program Files\AdVantage\AdVantage.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [LSD_III] %systemroot%\LSD\end.cmd (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-20\..\RunOnce: [LSD_III] %systemroot%\LSD\end.cmd (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [LSD_III] %systemroot%\LSD\end.cmd (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [LSD_III] %systemroot%\LSD\end.cmd (User 'Default user')
O4 - Startup: Xfire.lnk = C:\Program Files\Xfire\Xfire.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: GA311 Smart Wizard Utility.lnk = C:\Program Files\NETGEAR GA311 Adapter\GA311.exe
O4 - Global Startup: Utilitaire réseau pour SAGEM Wi-Fi 11g USB adapter.lnk = ?
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{AF04859A-8526-482F-9A1D-DBE1D2D9D9B0}: NameServer = 192.168.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{D2E95581-B88A-45E9-B38A-1382C0C3BA2A}: NameServer = 192.168.1.1
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe

toptitbal · Answer

Télécharge Toolbar-S&D (Team IDN) sur ton Bureau. 
https://77b4795d-a-62cb3a1a-s-sites.googlegroups.com/site/eric71mespages/ToolBarSD.exe?attachauth=ANoY7cqJWPphpudyTqv7TRo5RQ3nm_Sx8JluVMO59X5E9cyE3j3LqKlmStIqiDqJdIgMJLi7MXn2nKVajQfoWuVvZZ2wIx_vkqO4k4P0K9jh-ra9jaKPXdZcoaVF2UqJZNH8ubL_42uIwh6f35xJ2GJMuzddVj2Qth1DgZ839lxEIFGkgWz3TdfvNMy-YtxfA3gqBUrj4U4LFeAPiWr3ClmjIP0t_Xs5PQ%3D%3D&attredirects=2 

* Lance l'installation du programme en exécutant le fichier téléchargé. 
* Double-clique maintenant sur le raccourci de Toolbar-S&D. 
* Sélectionne la langue souhaitée en tapant la lettre de ton choix puis en validant avec la touche Entrée. 
* Choisis maintenant l'option 1 (Recherche). Patiente jusqu'à la fin de la recherche. 
* Poste le rapport généré. (C:\TB.txt)

oO!!! · Answer

Le voila :

   -----------\  ToolBar S&D 1.2.3   XP/Vista

   Microsoft Windows XP Professionnel ( v5.1.2600 ) Service Pack 2
   X86-based PC ( Uniprocessor Free : AMD Athlon(tm) 64 Processor 4000+ )
   BIOS : BIOS Date: 01/17/06 15:47:59 Ver: 08.00.12
   USER : Chiaro ( Administrator )
   BOOT : Normal boot
   Antivirus : Avira AntiVir PersonalEdition  7.0.0.2
   (Activated)
   C:\ (Local Disk) - NTFS - Total : 39 Go Free : 9 Go
   D:\ (Local Disk) - NTFS - Total : 109 Go Free : 9 Go
   E:\ (CD or DVD)
   F:\ (CD or DVD)

   "C:\ToolBar SD" ( MAJ : 23-10-2008|0:25 )
   Option : [1] ( 25/10/2008|17:27 )

   -----------\  Recherche de Fichiers / Dossiers ...


   -----------\  [..\Internet Explorer\Main]

   [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
   "Local Page"="C:\WINDOWS\system32\blank.htm"
   "Search Page"="https://www.google.fr/?gws_rd=ssl"
   "Start Page"="https://www.msn.com/fr-fr/?ocid=iehp"
   "Search Bar"="http://www.google.fr/toolbar/ie8/sidebar.html"

   [HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
   "Default_Page_URL"="https://www.msn.com/fr-fr/?ocid=iehp"
   "Default_Search_URL"="https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF"
   "Search Page"="https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF"
   "Start Page"="https://www.msn.com/fr-fr/?ocid=iehp"


   --------------------\  Recherche d'autres infections

   --------------------\  Cracks & Keygens ..

   C:\DOCUME~1\Chiaro\Bureau\Black And White 2 Fr Crack No Cd (Le Seul Qui Marche)
   



   1 - "C:\ToolBar SD\TB_1.txt" - 25/10/2008|17:27 - Option : [1]

   -----------\  Fin du rapport a 17:27:28,06

toptitbal · Answer

Supprime ce crack :

C:\DOCUME~1\Chiaro\Bureau\Black And White 2 Fr Crack No Cd (Le Seul Qui Marche) 

Ton infection vient probablement de là...


Relance Toolbar-S&D en double-cliquant sur le raccourci. Tape sur "2" puis valide en appuyant sur "Entrée". 
! Ne ferme pas la fenêtre lors de la suppression ! 
Un rapport sera généré, poste son contenu ici. 

NOTE : Si ton Bureau ne réapparait pas, appuie simultanément sur Ctrl+Alt+Suppr pour ouvrir le Gestionnaire des tâches. 
Rends-toi sur l'onglet "Processus". Clique en haut à gauche sur Fichier et choisis "Exécuter..." 
Tape explorer puis valide.

oO!!! · Answer

Voila le nouveau rapport, sinon l'infection ne viens pas du crack de black and white 2 (je l'ai supprimé quand même car je n'en n'ai plus l'utilité de toute façon, mais la tout les rapports viennent de mon pc fixe, le crack responsable de l'infection doit être sur le pc portable et je pense que c'est le crack que j'avais téléchargé par erreur et je l'ai déjà supprimé).
Sinon je peux refaire toute ces manips sur mon pc portable sans problème? (sachant que j'ai vista sur le portable)
Et la clef USB qui était infecté, il y a encore des risques qu'elle le soit ? (je l'ai débranché après l'utilisation de findykill).
Merci encore pour ton aide !


   -----------\  ToolBar S&D 1.2.3   XP/Vista

   Microsoft Windows XP Professionnel ( v5.1.2600 ) Service Pack 2
   X86-based PC ( Uniprocessor Free : AMD Athlon(tm) 64 Processor 4000+ )
   BIOS : BIOS Date: 01/17/06 15:47:59 Ver: 08.00.12
   USER : Chiaro ( Administrator )
   BOOT : Normal boot
   Antivirus : Avira AntiVir PersonalEdition  7.0.0.2
   (Activated)
   C:\ (Local Disk) - NTFS - Total : 39 Go Free : 9 Go
   D:\ (Local Disk) - NTFS - Total : 109 Go Free : 9 Go
   E:\ (CD or DVD)
   F:\ (CD or DVD)

   "C:\ToolBar SD" ( MAJ : 23-10-2008|0:25 )
   Option : [2] ( 25/10/2008|17:34 )

   -----------\  Recherche de Fichiers / Dossiers ...


   -----------\  [..\Internet Explorer\Main]

   [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
   "Local Page"="C:\WINDOWS\system32\blank.htm"
   "Search Page"="https://www.google.fr/?gws_rd=ssl"
   "Start Page"="https://www.msn.com/fr-fr/?ocid=iehp"
   "Search Bar"="http://www.google.fr/toolbar/ie8/sidebar.html"

   [HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
   "Default_Page_URL"="https://www.msn.com/fr-fr/?ocid=iehp"
   "Default_Search_URL"="https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF"
   "Search Page"="https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF"
   "Start Page"="https://www.msn.com/fr-fr/"


   --------------------\  Recherche d'autres infections

   --------------------\  Cracks & Keygens ..

   



   1 - "C:\ToolBar SD\TB_1.txt" - 25/10/2008|17:27 - Option : [1]
   2 - "C:\ToolBar SD\TB_2.txt" - 25/10/2008|17:35 - Option : [2]

   -----------\  Fin du rapport a 17:35:02,26

toptitbal · Answer

"le crack responsable de l'infection doit être sur le pc portable"

Oui, c'est bien possible effectivement.
Si le portable présente les mêmes symptômes, fais la même chose mais n'y branche pas ta clé USB tant qu'il est infecté.

Infection : bagle ?

13 réponses

Discussions similaires

Newsletters