Virus: Trojan-Downloader.Bagle et Email-Worm.

Résolu
Bonjour,
Trojan-Downloader.Win32.Bagle.jd
Email-Worm.Win32.Bagle.of

Voilà ce qui m'ennuie aprés analyse avec Kaspersky on-line scanner.
Je suis loin d'être un spécialiste en informatique, mais je souhaiterais éliminer ces virus!
J'ai comme antivirus: Avast (qui ne fonctionne d'ailleurs plus, avec comme message: ...n'est plus une application Win32 valide.)
De plus j'ai depuis l'apparition de l'écran bleu qui me demande de contacter mon administrateur, et je dois alors arrêter mon PC!
Cela dure depuis plus d'1 semaine!
Merci pour votre aide, si vous avez besoin d'autres renseignements...
Configuration: Windows XP
Internet Explorer 7.0

140 réponses

Résumé de la discussion

Une infection par Bagle et des composants W32 Bagle sur Windows XP provoque un écran bleu et empêche Avast de fonctionner, après plus d'une semaine d'alertes et d'analyses en ligne. Des réponses recommandent de démarrer en mode sans échec et d’utiliser des outils sécurité pour nettoyer le système, puis de réinstaller l’antivirus et de redémarrer normalement afin de vérifier l’éradication de Bagle. Des éléments mentionnent des procédures risquées ou non vérifiables telles que des scripts manuels, générant des divergences entre analyses et risques pour le système et les données. En cas de persistance, une réinstallation propre et la restauration des sauvegardes, associées à des mises à jour et à l’installation d’un antivirus fiable, offrent une approche pratique et prudente.

Bobot (l’IA à votre service)
  1. Contributeur
    Bonjour,

    Télécharge ELIBAGLA en bas de cette page
    http://www.zonavirus.com/datos/descargas/95/elibagla.asp (clique sur le bouton "Descargar Elibagla") sur ton bureau.

    Lance-le, de préférence en mode sans échec si tu en as la possibilité, en mode normal dans le cas contraire. Patiente le temps du scan.
    Lorsqu'il a terminé, poste le contenu du fichier infoSat.txt qui se trouve dans Poste de travail > Disque C:\
    Et par la même occasion, précise si tu peux à nouveau démarrer en mode sans échec.

    ***Ne pas rebooter en passant par msconfig.

    Comment redémarrer en mode sans echec?

    Tu redemarre le pc et tapote la touche F8 des le début de l allumage sans t´arrêter.
    Une fenêtre sur fond noir va s’ouvrir, tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée.
    capture d´ecran : http://www.coupdepoucepc.com/images_cdppc4/fichespratiques/windowsxp/modese/modese2.jpg
    Une fois sur le bureau si il n y a pas toutes les couleurs et autres c´est normal!
    Ps : si F8 ne marche pas utilise la touche F5.

    post le rapport infoSat.txt qui se trouve dans Poste de travail > Disque C:\

    @+
    0
    1. Bonjour g!rly,
      Heureusement que j'écris ton pseudo, je n'aurai pas pu le prononcer...
      Je vais suivre tes conseils...
      Des que c'est fait, je te transmets le tout.
      Merci ;)
      0
    2. Rebonjour G!rly,
      Impossible en "mode sans echec", l'écran passe immédiatement au bleu avec la mention:
      STOP:0x0000007B(0xf7992528,0xc0000034,0x00000000,0x00000000)
      Je vais donc l'executer en mode normal...
      @+
      0
  2. Contributeur sécurité
    Bonjour g!rly,
    Un petit up, pour suivre.
    Beaucoup de plantages logiciels ...dont Antivir. => difficile de réagir.
    Un internaute a réinstallé IE7. (?) . Puis OK.
    Merci
    Al.
    0
    1. Contributeur
      Bonjour Afideg,
      Merci pour le soutient ;-)
      @+
      0
      1. Voila le résultat G!rly:

        Tue Feb 05 14:28:19 2008
        EliBagle v10.97 (c)2008 S.G.H. / Satinfo S.L.
        ----------------------------------------------
        Lista de Acciones (por Acción Directa):
        C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
        C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
        C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
        C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.
        Restaurada Clave: "SafeBoot\Minimal y Network"

        Tue Feb 05 14:31:18 2008
        EliBagle v10.97 (c)2008 S.G.H. / Satinfo S.L.
        ----------------------------------------------
        Lista de Acciones (por Exploración):
        Explorando Unidad C:\
        C:\Program Files\SlySoft\AnyDVD\ANYDVD.EXE --> Eliminado Bagle.dldr

        Nº Total de Directorios: 6471
        Nº Total de Ficheros: 83251
        Nº de Ficheros Analizados: 11572
        Nº de Ficheros Infectados: 2
        Nº de Ficheros Limpiados: 1

        Tue Feb 05 14:50:25 2008
        EliBagle v10.97 (c)2008 S.G.H. / Satinfo S.L.
        ----------------------------------------------
        Lista de Acciones (por Acción Directa):
        C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
        C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
        C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.

        Tue Feb 05 15:01:38 2008
        EliBagle v10.97 (c)2008 S.G.H. / Satinfo S.L.
        ----------------------------------------------
        Lista de Acciones (por Acción Directa):
        C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
        C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
        C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
        C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.

        Mon Feb 11 14:20:05 2008
        EliBagle v10.98 (c)2008 S.G.H. / Satinfo S.L.
        ----------------------------------------------
        Lista de Acciones (por Acción Directa):
        C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
        C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
        C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
        C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.
        Restaurada Clave: "SafeBoot\Minimal y Network"

        Mon Feb 11 14:20:48 2008
        EliBagle v10.98 (c)2008 S.G.H. / Satinfo S.L.
        ----------------------------------------------
        Lista de Acciones (por Exploración):
        Explorando Unidad C:\
        C:\Program Files\SlySoft\AnyDVD\ANYDVD.EXE --> Eliminado Bagle.dldr

        Nº Total de Directorios: 6479
        Nº Total de Ficheros: 87484
        Nº de Ficheros Analizados: 11557
        Nº de Ficheros Infectados: 2
        Nº de Ficheros Limpiados: 1

        @+
        0
        1. Contributeur
          Ok.

          Arrives tu as passer cette outil?

          Télécharge combofix.exe (par sUBs) sur ton Bureau.

          -> http://download.bleepingcomputer.com/sUBs/ComboFix.exe

          -> Double clique combofix.exe.
          -> Tape sur la touche 1 (Yes) pour démarrer le scan.
          -> Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.

          NOTE : Le rapport se trouve également ici : C:\Combofix.txt

          Avant d'utiliser ComboFix :

          -> Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours.

          Une fois fait, sur ton bureau double-clic sur Combofix.exe.

          - Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.

          /!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.

          - En fin de scan il est possible que ComboFix ait besoin de redemarrer le pc pour finaliser la désinfection\recherche, laisses-le faire.

          - Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt)

          -> Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

          @+
          0
          1. Même Internet ne fonctionne plus, il tourne sans cesse et j'ai des difficultés à te transmettre les messages!
            Je fais des Ctrl, Alt, Suppr en quantité...
            Bon , j'ai téléchargé ComboFix mais il refuse de l'ouvrir, je l'ai donc désinstaller puis réinstaller: pareil!!!
            C'est grave Doc?
            En plus il m'a modifié l'affichage du Bureau!!! Bizarre!!!
            @+
            0
            1. G!rly, je m'absente un moment (obligation) mais j'attends tes instructions!!!
              Merci @+
              0
              1. Contributeur
                Re,

                Repasse Eliblaga en mode sans echec; le mode sans echec devrait etre retabli.

                Restaurada Clave: "SafeBoot\Minimal y Network"

                Post le nouveau rapport infoSat.txt qui se trouve dans Poste de travail > Disque C:\

                @+
                0
                1. Me revoilou!
                  2 tentatives de mise en mode sans échec, 2 écrans bleus, impossible d'avancer!
                  Désolé!
                  @+
                  0
                  1. Contributeur
                    Re,

                    on va essayer comme ceci :

                    Télécharge DiagHelp sur ton bureau:

                    http://www.malekal.com/download/DiagHelp.zip

                    # Décompresse l'archive sur ton bureau
                    # Dans le dossier DiagHelp que tu viens d'extraire, double-clique sur catchme.exe
                    # Deux fenêtres vont s'ouvrir: dans celle qui est grise, va dans l'onglet "script"
                    # Copie-colle ce texte dans l'onglet "script":

                    files to kill:
                    C:\WINDOWS\SYSTEM32\WINTEMS.EXE
                    C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS
                    C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE

                    * Clique sur "run"
                    * Redémarre le PC
                    * Une fois redémarré, relance un scan EliBagla et poste le rapport.

                    @+
                    0
                    1. Quand je clique sur "run", il apparait le message:
                      "Script completed with errors"! (avec le signe danger)
                      Help me!
                      @+
                      0
                      1. Contributeur
                        Re,

                        ressaie Eliblaga stp

                        et post le resultat

                        @+
                        0
                        1. je viens de trouver ça sur le bureau:
                          catchme.log-Bloc-Notes
                          read file error: C:\WINDOWS\SYSTEM32\WINTEMS.EXE , Le fichier spécifié est introuvable.
                          read file error: C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS , Le fichier spécifié est introuvable.
                          read file error: C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE , Le fichier spécifié est introuvable.

                          Processing "Files to kill:"

                          read file error: C:\WINDOWS\SYSTEM32\WINTEMS.EXE , Le fichier spécifié est introuvable.
                          read file error: C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS , Le fichier spécifié est introuvable.
                          read file error: C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE , Le fichier spécifié est introuvable.

                          Processing "Files to kill:"

                          read file error: C:\WINDOWS\SYSTEM32\WINTEMS.EXE , Le fichier spécifié est introuvable.
                          read file error: C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS , Le fichier spécifié est introuvable.
                          read file error: C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE , Le fichier spécifié est introuvable.

                          Processing "Files to kill:"

                          read file error: C:\WINDOWS\SYSTEM32\WINTEMS.EXE , Le fichier spécifié est introuvable.
                          read file error: C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS , Le fichier spécifié est introuvable.
                          read file error: C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE , Le fichier spécifié est introuvable.

                          je réessais avec Eliblaga
                          @ tout de suite...
                          0
                          1. Tue Feb 05 14:28:19 2008
                            EliBagle v10.97 (c)2008 S.G.H. / Satinfo S.L.
                            ----------------------------------------------
                            Lista de Acciones (por Acción Directa):
                            C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
                            C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
                            C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
                            C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.
                            Restaurada Clave: "SafeBoot\Minimal y Network"

                            Tue Feb 05 14:31:18 2008
                            EliBagle v10.97 (c)2008 S.G.H. / Satinfo S.L.
                            ----------------------------------------------
                            Lista de Acciones (por Exploración):
                            Explorando Unidad C:\
                            C:\Program Files\SlySoft\AnyDVD\ANYDVD.EXE --> Eliminado Bagle.dldr

                            Nº Total de Directorios: 6471
                            Nº Total de Ficheros: 83251
                            Nº de Ficheros Analizados: 11572
                            Nº de Ficheros Infectados: 2
                            Nº de Ficheros Limpiados: 1

                            Tue Feb 05 14:50:25 2008
                            EliBagle v10.97 (c)2008 S.G.H. / Satinfo S.L.
                            ----------------------------------------------
                            Lista de Acciones (por Acción Directa):
                            C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
                            C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
                            C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.

                            Tue Feb 05 15:01:38 2008
                            EliBagle v10.97 (c)2008 S.G.H. / Satinfo S.L.
                            ----------------------------------------------
                            Lista de Acciones (por Acción Directa):
                            C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
                            C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
                            C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
                            C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.

                            Mon Feb 11 14:20:05 2008
                            EliBagle v10.98 (c)2008 S.G.H. / Satinfo S.L.
                            ----------------------------------------------
                            Lista de Acciones (por Acción Directa):
                            C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
                            C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
                            C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
                            C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.
                            Restaurada Clave: "SafeBoot\Minimal y Network"

                            Mon Feb 11 14:20:48 2008
                            EliBagle v10.98 (c)2008 S.G.H. / Satinfo S.L.
                            ----------------------------------------------
                            Lista de Acciones (por Exploración):
                            Explorando Unidad C:\
                            C:\Program Files\SlySoft\AnyDVD\ANYDVD.EXE --> Eliminado Bagle.dldr

                            Nº Total de Directorios: 6479
                            Nº Total de Ficheros: 87484
                            Nº de Ficheros Analizados: 11557
                            Nº de Ficheros Infectados: 2
                            Nº de Ficheros Limpiados: 1

                            Mon Feb 11 17:10:02 2008
                            EliBagle v10.98 (c)2008 S.G.H. / Satinfo S.L.
                            ----------------------------------------------
                            Lista de Acciones (por Acción Directa):
                            C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
                            C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
                            C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
                            C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.
                            Restaurada Clave: "SafeBoot\Minimal y Network"

                            Mon Feb 11 17:10:08 2008
                            EliBagle v10.98 (c)2008 S.G.H. / Satinfo S.L.
                            ----------------------------------------------
                            Lista de Acciones (por Exploración):
                            Explorando Unidad C:\
                            C:\Program Files\SlySoft\AnyDVD\ANYDVD.EXE --> Eliminado Bagle.dldr

                            Nº Total de Directorios: 6482
                            Nº Total de Ficheros: 87677
                            Nº de Ficheros Analizados: 11578
                            Nº de Ficheros Infectados: 2
                            Nº de Ficheros Limpiados: 1

                            Y-a-t-il du changement?
                            0
                            1. Contributeur
                              Re,

                              non c´est pareil,

                              1/ Télécharger The Avenger par Swandog46 sur votre Bureau.

                              http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/

                              l'extraire sur le bureau

                              2/ Copier tout le texte ci-dessous : mettre en surbrillance et faire un clic droit/ copier

                              Drivers to unload:
                              SROSA

                              Files to delete:
                              C:\WINDOWS\SYSTEM32\WINTEMS.EXE
                              C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS
                              C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE
                              C:\WINDOWS\system32\MDELK.EXE
                              C:\WINDOWS\SYSTEM32\BAN_LIST.TXT

                              Folders to delete:
                              c:\WINDOWS\system32\drivers\down

                              Ouvre le Bloc-Note et clic sur le menu Edition/Coller afin de coller le contenu qui est dans le cadre ci-dessus
                              Important : Tu dois avoir le contenu du cadre ci-dessous dans le bloc-note, vérifie qu'il n'y a pas de lignes manquantes au début ou à la fin.
                              - Enregistre le fichier sur ton bureau sous le nom remove.txt

                              Note: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur.
                              si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système.

                              3/ Maintenant, lancer The Avenger en cliquant sur son icône du bureau.

                              * Sous "Script file to execute" choisir "Input Script Manually".
                              * Puis cliquer sur l'icône en forme de loupe qui va ouvrir une nouvelle fenêtre "View/edit script"
                              * Dans cette fenêtre, coller le texte précédemment copié sur le bureau par les touches (Ctrl+V).
                              * Cliquer Done
                              * ensuite cliquer sur l'icône en forme de Feu Vert pour démarrer l'exécution du script
                              * Répondre "Yes" deux fois quand demandé.

                              4/ The Avenger va automatiquement faire ce qui suit:

                              * Il va Re-démarrer le système. ( Dans les cas où le script contient un/des "Drivers to Unload", The Avenger re-démarrera votre système 2 fois.)
                              * Pendant le re-démarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur votre bureau, ceci est NORMAL.
                              * Après le re-démarrage, il crée un fichier log qui s'ouvrira, faisant apparaître les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt
                              * The Avenger aura également sauvegardé tous les fichiers, etc., que vous lui avez demandé de supprimer, les aura compactés (zipped) et transféré l'archive zip ici : C:\avenger\backup.zip.

                              5/ poste le rapport C:\avenger.txt

                              @+
                              0
                              1. Contributeur sécurité
                                g!rly

                                Cette ligne: C:\Program Files\SlySoft\AnyDVD\ANYDVD.EXE --> Eliminado Bagle.dldr

                                L'internaute connait-il les composants : SlySoft\AnyDVD

                                Al
                                0
                                1. je ne suis pas allé bien loin, j'ai le message:
                                  C:\DOCUME..............\avenger[1].zip\avenger.exe n'est pas une application Win32.valide.
                                  Je commence à être navré pour toi!
                                  Dans le message de AL, ce sont 2 logiciels que je posséde depuis un certain temps déja (plus d'1 an) qui permettent de faire des copies de DVD et de CD donc!
                                  @+
                                  0
                                  1. Contributeur sécurité
                                    Re,
                                    Merci

                                    Peux-tu faire analyser le fichier chez VirusTotal, comme ceci:
                                    C:\Program Files\SlySoft\AnyDVD\ANYDVD.EXE

                                    1°- Assure toi d'avoir accès aux dossiers/fichiers cachés :
                                    Soit en faisant : Ouvrir un dossier, n'importe lequel. Aller dans "Outils" >"Options des dossiers" > "Affichage"
                                    Soit en faisant « Démarrer »/ »PanneauConfiguration/OptionsDossiers /onglet « Affichage »
                                    et là :
                                    cocher la case devant les lignes:
                                    - afficher les fichiers et dossier cachés
                                    - afficher contenu dossier système
                                    décocher la case devant les lignes:
                                    - masquer les extensions des fichiers dont le type est connu
                                    - masquer les fichiers protégés du système d'exploitation
                                    Tu vas recevoir un message qui te dit que cela peut endommager le système,
                                    n'en tiens pas compte.
                                    Puis cliquer APPLIQUER à TOUS les Dossiers > [OK]
                                    Si tu n'es pas à l'aise dans la navigation des dossiers, je t'invite à suivre ce tutorial : < http://www.malekal.com/rechercher_fichiers.php >

                                    2°- Vas là </souligne>:< https://www.virustotal.com/gui/ >
                                    •- sur la page qui s'affiche tu cliques sur [Parcourir]
                                    •- ensuite sur la nouvelle page qui s'affiche, tu suis le chemin du fichier ANYDVD.EXE
                                    c'est-à-dire via "Poste de travail" > C:\Program Files\SlySoft\AnyDVD\
                                    •- quand tu as trouvé le fichier ANYDVD.EXE , tu fais "ouvrir" ( sur cette dernière page affichée)
                                    •- le fichier ANYDVD.EXE se retrouve alors ainsi dans la fenêtre de Virustotal, pour l'analyse
                                    •- là, tu cliques sur "send file" ( de la page de Virustotal )
                                    •- et tu attends le résultat (il faut parfois patienter)
                                    •- que tu postes sur le forum ( par un copier/coller de tout le texte de l’analyse )

                                    Tutoriel ici http://bibou0007.com/tutos-f45/tutorial-sur-virustotal-t190.htm

                                    3°- Merci pour ta collaboration

                                    Al.

                                    0
                                    1. Bonjour,

                                      Poucetinou, arrives-tu à accéder au mode sans échec ?

                                      Autre question : as-tu un clavier et/ou une souris sans fil ?

                                      ++
                                      0
                                      • 1
                                      • 2
                                      • 3
                                      • 4
                                      • 5
                                      • 6
                                      • 7