[Résolu]Virus ou pas?

felipe · le 11 décembre 2006

Bonsoir,

voila ce que je reçois comme message intempestif et je ne peux rien faire ça réaparait tout le temps...

apparu a la suite détection de trojan (antivirus NOD32)

Aie Est-ce grave? comment y remedier??

Merci

Modifié le 14 décembre 2006 par felipe

WawaSeb · le 11 décembre 2006

Bonsoir felipe,

*** Bienvenue sur le forum sécurité de Zebulon ! ***

1) Télécharge HijackThis ici : http://download.hijackthis.eu/hijackthis_199.zip

---> Décompresse l'archive dans un dossier dédié

---> Renomme HijackThis.exe en Vundo.exe

---> Lance-le

---> Choisis l'option "Do A System Scan And Save A Log File"

---> Copie-colle le rapport sur ce forum

Tutoriels : http://pageperso.aol.fr/balltrap34/demohijack.htm (ne fixe rien pour le moment !!)

http://sitethemacs.free.fr/aide_enregistre...e_hijackthi.htm

--> Les logiciels de p2p (LimeWire) sont des nids potentiels à infections ; pour t'en convaincre, lis l'excellent article de tesgaz

Bien à toi,

felipe · le 11 décembre 2006

Logfile of HijackThis v1.99.1

Scan saved at 19:45:37, on 11/12/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\arservice.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\WINDOWS\eHome\ehRecvr.exe

C:\WINDOWS\eHome\ehSched.exe

C:\WINDOWS\System32\FTRTSVC.exe

C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Eset\nod32krn.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

C:\PROGRA~1\PCACCE~1\pcperf.exe

C:\Program Files\Eset\nod32kui.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Wanadoo\GestionnaireInternet.exe

C:\Program Files\Wanadoo\ComComp.exe

C:\PROGRA~1\Wanadoo\Toaster.exe

C:\PROGRA~1\Wanadoo\Inactivity.exe

C:\PROGRA~1\Wanadoo\PollingModule.exe

C:\WINDOWS\System32\ALERTM~1\ALERTM~1.EXE

C:\Program Files\Wanadoo\Watch.exe

C:\WINDOWS\system32\svchost.exe

C:\PROGRA~1\Wanadoo\WOOBrowser\WOOBrowser.exe

C:\WINDOWS\iisctrl.exe

C:\WINDOWS\system32\LVComsX.exe

C:\Documents and Settings\HP_Administrateur\Bureau\Vundo.exe.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.fr/0SEFRFR/SAOS02

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://front.boonty.com/redirecthp.php?pro...e=1&lang=FR

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll

O3 - Toolbar: (no name) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - (no file)

O3 - Toolbar: (no name) - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - (no file)

O3 - Toolbar: (no name) - {1CE4EE89-2D5C-4361-AF3B-D902AB545381} - (no file)

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - HKLM\..\Run: [Explorer] C:\WINDOWS\system32\Sys\Explorer.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [PCPerf] "C:\PROGRA~1\PCACCE~1\pcperf.exe"

O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_05\bin\npjpi150_05.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_05\bin\npjpi150_05.dll

O9 - Extra button: (no name) - {9819CC0E-9669-4D01-9CD7-2C66DA43AC6C} - (no file)

O9 - Extra button: Aide à la connexion - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm

O9 - Extra 'Tools' menuitem: Aide à la connexion - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra button: Orange - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.orange.fr (file missing) (HKCU)

O11 - Options group: [iNTERNATIONAL] International*

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://sixtyfelipe.spaces.live.com//PhotoUpload/MsnPUpld.cab

O16 - DPF: {6A060448-60F9-11D5-A6CD-0002B31F7455} (ExentInf Class) -

O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://paris.ville.orange.fr/CO/activex/AxisCamControl.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shoc...ash/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{887C6151-26E9-4FAC-9293-EF6D676AD787}: NameServer = 80.10.246.1,80.10.246.139

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\msgrapp.8.0.0812.00.dll

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\msgrapp.8.0.0812.00.dll

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O20 - Winlogon Notify: winpsa32 - C:\WINDOWS\

O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

O23 - Service: NetconDDE Service (NetconDDE) - Unknown owner - C:\WINDOWS\iisctrl.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

felipe · le 11 décembre 2006

Bonsoir felipe,

*** Bienvenue sur le forum sécurité de Zebulon ! ***

1) Télécharge HijackThis ici : http://download.hijackthis.eu/hijackthis_199.zip

---> Décompresse l'archive dans un dossier dédié

---> Renomme HijackThis.exe en Vundo.exe

---> Lance-le

---> Choisis l'option "Do A System Scan And Save A Log File"

---> Copie-colle le rapport sur ce forum

Tutoriels : http://pageperso.aol.fr/balltrap34/demohijack.htm (ne fixe rien pour le moment !!)

http://sitethemacs.free.fr/aide_enregistre...e_hijackthi.htm

--> Les logiciels de p2p (LimeWire) sont des nids potentiels à infections ; pour t'en convaincre, lis l'excellent article de tesgaz

Bien à toi,

Ok c'est fait chef

felipe · le 11 décembre 2006

Ok c'est fait chef

voila une petite précision de mon antivirus.....

si cela peut t'aiguiller un peu mieux...

WawaSeb · le 11 décembre 2006

Bonsoir felipe,

***Tu es infecté par un rootkit ! ***

---> Suis scrupuleusement la procédure indiquée, va jusqu'au bout quoiqu'il arrive et dis-moi si tu as rencontré des problèmes...

---> Imprime ces instructions, tu n'y auras pas accès en mode sans échec

1 ) Télécharge rdrivRem.zip et décompresse-le sur ton bureau !

2 ) Redémarre en mode sans échec sur ta session

---> Voici comment démarrer en mode sans échec

3 ) Ouvre le dossier rdrivRem.zip et exécute "rdrivRem.bat", appuie sur une touche quand l'outil t'y invite...

---> Un fichier texte nommé "rdriv.txt" sera créé, poste son contenu dans ta prochaine réponse...

4 ) Toujours en mode sans échec, relance HijackThis, ferme toutes les autres fenêtres et fixe les lignes suivantes (si encore présentes) :

O3 - Toolbar: (no name) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - (no file)

O3 - Toolbar: (no name) - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - (no file)

O3 - Toolbar: (no name) - {1CE4EE89-2D5C-4361-AF3B-D902AB545381} - (no file)

O4 - HKLM\..\Run: [Explorer] C:\WINDOWS\system32\Sys\Explorer.exe

O4 - HKLM\..\Run: [PCPerf] "C:\PROGRA~1\PCACCE~1\pcperf.exe" [Je te recommande de fixer cette ligne, les avis sont soit négatifs, soit quelconque... je te laisse le choix !]

O9 - Extra button: (no name) - {9819CC0E-9669-4D01-9CD7-2C66DA43AC6C} - (no file)

O9 - Extra button: Orange - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.orange.fr (file missing) (HKCU)

O16 - DPF: {6A060448-60F9-11D5-A6CD-0002B31F7455} (ExentInf Class) -

O20 - Winlogon Notify: winpsa32 - C:\WINDOWS\

5 ) Clique sur "démarrer" -> "Exécuter" -> tape sans les guillemets "services.msc" (+OK), clique sur l'onglet "étendu" (en bas à gauche), puis avec le bouton droit sur "NetconDDE Service" (propriétés, général, type de démarrage : DESACTIVE)

6 ) Clique sur "Démarrer", "exécuter" et tape (sans les guillemets) "cleanmgr"

---> Valide en appuyant sur OK

---> Laisse Windows calculer, coche toutes les cases

---> Clique à nouveau sur OK

7 ) Nous allons vérifier qu'il ne reste pas d'autres infections à l'aide d'un scan en ligne :

---> Redémarre en mode normal

Rends-toi sur le site de Kaspersky WebScanner

Dans "Démonstration en ligne", tu as une explication de la marche à suivre

Pour démarrer l'analyse, tu sélectionnes "Exécuter l'analyse en ligne".

Cette manipulation doit absolument être effectuée avec Internet Explorer

Télécharge le contôle Active X, accepte .

Dans le menu "Choisissez la cible de l'analyse", sélectionne "Poste de travail".

Le scan va commencer. Poste le rapport qui sera généré stp.

Très bon tutoriel ici : http://www.malekal.com/scan_Av_en_ligne.html#mozTocId237368

8 ) Poste :

Le rapport de "rdrivRem"
Un nouveau log HijackThis
Le rapport Kasperky
Les problèmes éventuels que tu rencontres encore...

Bon courage à toi,

felipe · le 12 décembre 2006

Bonsoir felipe,

***Tu es infecté par un rootkit ! ***

---> Suis scrupuleusement la procédure indiquée, va jusqu'au bout quoiqu'il arrive et dis-moi si tu as rencontré des problèmes...

---> Imprime ces instructions, tu n'y auras pas accès en mode sans échec

1 ) Télécharge rdrivRem.zip et décompresse-le sur ton bureau !

2 ) Redémarre en mode sans échec sur ta session

---> Voici comment démarrer en mode sans échec

3 ) Ouvre le dossier rdrivRem.zip et exécute "rdrivRem.bat", appuie sur une touche quand l'outil t'y invite...

---> Un fichier texte nommé "rdriv.txt" sera créé, poste son contenu dans ta prochaine réponse...

4 ) Toujours en mode sans échec, relance HijackThis, ferme toutes les autres fenêtres et fixe les lignes suivantes (si encore présentes) :

O3 - Toolbar: (no name) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - (no file)

O3 - Toolbar: (no name) - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - (no file)

O3 - Toolbar: (no name) - {1CE4EE89-2D5C-4361-AF3B-D902AB545381} - (no file)

O4 - HKLM\..\Run: [Explorer] C:\WINDOWS\system32\Sys\Explorer.exe

O4 - HKLM\..\Run: [PCPerf] "C:\PROGRA~1\PCACCE~1\pcperf.exe" [Je te recommande de fixer cette ligne, les avis sont soit négatifs, soit quelconque... je te laisse le choix !]

O9 - Extra button: (no name) - {9819CC0E-9669-4D01-9CD7-2C66DA43AC6C} - (no file)

O9 - Extra button: Orange - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.orange.fr (file missing) (HKCU)

O16 - DPF: {6A060448-60F9-11D5-A6CD-0002B31F7455} (ExentInf Class) -

O20 - Winlogon Notify: winpsa32 - C:\WINDOWS\

5 ) Clique sur "démarrer" -> "Exécuter" -> tape sans les guillemets "services.msc" (+OK), clique sur l'onglet "étendu" (en bas à gauche), puis avec le bouton droit sur "NetconDDE Service" (propriétés, général, type de démarrage : DESACTIVE)

6 ) Clique sur "Démarrer", "exécuter" et tape (sans les guillemets) "cleanmgr"

---> Valide en appuyant sur OK

---> Laisse Windows calculer, coche toutes les cases

---> Clique à nouveau sur OK

7 ) Nous allons vérifier qu'il ne reste pas d'autres infections à l'aide d'un scan en ligne :

---> Redémarre en mode normal

Rends-toi sur le site de Kaspersky WebScanner

Dans "Démonstration en ligne", tu as une explication de la marche à suivre

Pour démarrer l'analyse, tu sélectionnes "Exécuter l'analyse en ligne".

Cette manipulation doit absolument être effectuée avec Internet Explorer

Télécharge le contôle Active X, accepte .

Dans le menu "Choisissez la cible de l'analyse", sélectionne "Poste de travail".

Le scan va commencer. Poste le rapport qui sera généré stp.

Très bon tutoriel ici : http://www.malekal.com/scan_Av_en_ligne.html#mozTocId237368

8 ) Poste :

Le rapport de "rdrivRem"

Un nouveau log HijackThis

Le rapport Kasperky

Les problèmes éventuels que tu rencontres encore...

Bon courage à toi,

Ok je ,m'en occupes,

mille merci d'avance...

Je poste une fois fait.

felipe · le 12 décembre 2006

Bonsoir felipe,

***Tu es infecté par un rootkit ! ***

---> Suis scrupuleusement la procédure indiquée, va jusqu'au bout quoiqu'il arrive et dis-moi si tu as rencontré des problèmes...

---> Imprime ces instructions, tu n'y auras pas accès en mode sans échec

1 ) Télécharge rdrivRem.zip et décompresse-le sur ton bureau !

2 ) Redémarre en mode sans échec sur ta session

---> Voici comment démarrer en mode sans échec

3 ) Ouvre le dossier rdrivRem.zip et exécute "rdrivRem.bat", appuie sur une touche quand l'outil t'y invite...

---> Un fichier texte nommé "rdriv.txt" sera créé, poste son contenu dans ta prochaine réponse...

4 ) Toujours en mode sans échec, relance HijackThis, ferme toutes les autres fenêtres et fixe les lignes suivantes (si encore présentes) :

O3 - Toolbar: (no name) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - (no file)

O3 - Toolbar: (no name) - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - (no file)

O3 - Toolbar: (no name) - {1CE4EE89-2D5C-4361-AF3B-D902AB545381} - (no file)

O4 - HKLM\..\Run: [Explorer] C:\WINDOWS\system32\Sys\Explorer.exe

O4 - HKLM\..\Run: [PCPerf] "C:\PROGRA~1\PCACCE~1\pcperf.exe" [Je te recommande de fixer cette ligne, les avis sont soit négatifs, soit quelconque... je te laisse le choix !]

O9 - Extra button: (no name) - {9819CC0E-9669-4D01-9CD7-2C66DA43AC6C} - (no file)

O9 - Extra button: Orange - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.orange.fr (file missing) (HKCU)

O16 - DPF: {6A060448-60F9-11D5-A6CD-0002B31F7455} (ExentInf Class) -

O20 - Winlogon Notify: winpsa32 - C:\WINDOWS\

5 ) Clique sur "démarrer" -> "Exécuter" -> tape sans les guillemets "services.msc" (+OK), clique sur l'onglet "étendu" (en bas à gauche), puis avec le bouton droit sur "NetconDDE Service" (propriétés, général, type de démarrage : DESACTIVE)

6 ) Clique sur "Démarrer", "exécuter" et tape (sans les guillemets) "cleanmgr"

---> Valide en appuyant sur OK

---> Laisse Windows calculer, coche toutes les cases

---> Clique à nouveau sur OK

7 ) Nous allons vérifier qu'il ne reste pas d'autres infections à l'aide d'un scan en ligne :

---> Redémarre en mode normal

Rends-toi sur le site de Kaspersky WebScanner

Dans "Démonstration en ligne", tu as une explication de la marche à suivre

Pour démarrer l'analyse, tu sélectionnes "Exécuter l'analyse en ligne".

Cette manipulation doit absolument être effectuée avec Internet Explorer

Télécharge le contôle Active X, accepte .

Dans le menu "Choisissez la cible de l'analyse", sélectionne "Poste de travail".

Le scan va commencer. Poste le rapport qui sera généré stp.

Très bon tutoriel ici : http://www.malekal.com/scan_Av_en_ligne.html#mozTocId237368

8 ) Poste :

Le rapport de "rdrivRem"

Un nouveau log HijackThis

Le rapport Kasperky

Les problèmes éventuels que tu rencontres encore...

Bon courage à toi,

~~~~~~~~~~~~~ Pre-run File Check ~~~~~~~~~~~~~

rdriv.sys NOT PRESENT!

ItunesMusic.exe NOT PRESENT!

wkssvc.exe NOT PRESENT!

~~~~~~~~~~~~~ Post run File Check ~~~~~~~~~~~~~

rdriv.sys NOT PRESENT!

ItunesMusic.exe NOT PRESENT!

wkssvc.exe NOT PRESENT!

Logfile of HijackThis v1.99.1

Scan saved at 06:36:03, on 12/12/2006