Résolu : generic sdbot W32/Sdbot.ftp.worm

[Lutino]

salut charles ingals

 

bon le fichier massvc32.exe dans winnt\system32 n'existe pas ou se cache très bien tandis que dp.exe est un fichier qui fait 0 Ko et donc virustotal me revoie un message d'erreur "0 bytes size received / Se ha recibido un archivo vacio"

miam

 

ensuite voila le log de winpfind3u

 

[Win32 Services - Non-Microsoft Only]

Service Event stopped successfully.

Service Event deleted successfully.

File C:\WINNT\SYSTEM32\drivers\csrss.exe not found.

[Files/Folders - Created Within 90 days]

File C:\b48da1ca53575bea94a6b53607 not found!

< End of log >

Created on 04/11/2007 09:13:41

 

 

j'ai bien peur que ça aie pas marché

 

et donc je lance le scan panda...

 

@ + et bonne journée

 

ah j'oubliais pas de matos de marque cirrus ma CG est geforce fx5200 de chez MSI

Modifié le 11 avril 2007 par Lutino

[Thanos]

salut

 

Si ca a bien marché le service réinstallé a été éliminé.

On va réutiliser Winpfind pour éliminer certains fichiers >

 

Démarre WinPFind3U en double cliquant sur WinPFind3U.exe et copie/colle le texte ci dessous (ne copie pas le mot code) dans le Panneau Paste fix here , puis clique sur le bouton Run Fix.

[Files/Folders - Created Within 90 days]
NY -> massvc32.exe -> %System32%\massvc32.exe
[Files/Folders - Modified Within 90 days]
NY -> dp.exe -> %System32%\dp.exe
NY -> massvc32.exe -> %System32%\massvc32.exe

Le Fix va se faire rapidement.Poste le rapport qui se trouve dans le dossier WinPFind3u( c'est un rapport qui a pour nom la date du jour\mois\année\heure).

 

Poste moi stp le rapport service filter comme je te demandais, ainsi que le rapport du scan en ligne

[Lutino]

je suis bille en info j'avoue...

 

heureusement que tu m'aides pour ce malware sinon ça fait longtemps que j'aurais formaté

 

voici le log panda

 

 

Incident Statut Analyse

 

Spyware:Cookie/WUpd No Désinfecté C:\Documents and Settings\Administrateur\Cookies\administrateur@revenue[2].txt

Spyware:Cookie/Searchportal No Désinfecté C:\Documents and Settings\Administrateur\Cookies\[email protected][1].txt

Spyware:Cookie/Xiti No Désinfecté C:\Documents and Settings\Administrateur\Cookies\administrateur@xiti[1].txt

Outil indésirable:Application/Processor No Désinfecté C:\WINNT\system32\Process.exe

Outil indésirable:Application/KillApp.B No Désinfecté D:\Mes documents\Programmes source\EasyDivX\softs\ck.exe

 

 

je t'envoie le reste en suivant...

 

@ +

 

log de winpfind3u

 

[Files/Folders - Created Within 90 days]

C:\WINNT\SYSTEM32\massvc32.exe moved successfully.

[Files/Folders - Modified Within 90 days]

C:\WINNT\SYSTEM32\dp.exe moved successfully.

File C:\WINNT\SYSTEM32\massvc32.exe not found!

< End of log >

Created on 04/11/2007 14:28:09

 

et enfin service filter

 

The script did not recognize the services listed below.

This does not mean that they are a problem.

 

To copy the entire contents of this document for posting:

At the top of this window click "Edit" then "Select All"

Next click "Edit" again then "Copy"

Now right click in the forum post box then click "Paste"

 

########################################

 

ServiceFilter 1.1

by rand1038

 

Microsoft Windows 2000 Professionnel

Version: 5.0.2195 Service Pack 4

avr. 11, 2007 14:30:08

 

 

---> Begin Service Listing <---

 

Unknown Service # 1

Service Name: AVG Anti-Spyware Guard

Display Name: AVG Anti-Spyware Guard

Start Mode: Auto

Start Name: LocalSystem

Description: AVG Anti-Spyware ...

Service Type: Own Process

Path: d:\avg anti-spyware 7.5\guard.exe

State: Running

Process ID: 500

Started: Vrai

Exit Code: 0

Accept Pause: Faux

Accept Stop: Faux

 

Unknown Service # 2

Service Name: bdss

Display Name: BitDefender Scan Server

Start Mode: Auto

Start Name: LocalSystem

Description: BitDefender Scan ...

Service Type: Own Process

Path: c:\program files\fichiers communs\softwin\bitdefender scan server\bdss.exe /service

State: Running

Process ID: 864

Started: Vrai

Exit Code: 0

Accept Pause: Faux

Accept Stop: Vrai

 

Unknown Service # 3

Service Name: gusvc

Display Name: Google Updater Service

Start Mode: Manual

Start Name: LocalSystem

Description: Google Updater ...

Service Type: Own Process

Path: "c:\program files\google\common\google updater\googleupdaterservice.exe"

State: Stopped

Process ID: 0

Started: Faux

Exit Code: 1077

Accept Pause: Faux

Accept Stop: Faux

 

Unknown Service # 4

Service Name: StarWindService

Display Name: StarWind iSCSI Service

Start Mode: Auto

Start Name: LocalSystem

Description: StarWind iSCSI ...

Service Type: Own Process

Path: d:\alcohol 120\starwind\starwindservice.exe

State: Running

Process ID: 600

Started: Vrai

Exit Code: 0

Accept Pause: Faux

Accept Stop: Vrai

 

Unknown Service # 5

Service Name: VSSERV

Display Name: BitDefender Virus Shield

Start Mode: Auto

Start Name: LocalSystem

Description: BitDefender Virus ...

Service Type: Own Process

Path: c:\program files\softwin\bitdefender8\vsserv.exe /service

State: Running

Process ID: 1044

Started: Vrai

Exit Code: 0

Accept Pause: Faux

Accept Stop: Vrai

 

Unknown Service # 6

Service Name: XCOMM

Display Name: BitDefender Communicator

Start Mode: Auto

Start Name: LocalSystem

Description: BitDefender ...

Service Type: Own Process

Path: c:\program files\fichiers communs\softwin\bitdefender communicator\xcommsvr.exe /service

State: Running

Process ID: 772

Started: Vrai

Exit Code: 0

Accept Pause: Faux

Accept Stop: Vrai

 

---> End Service Listing <---

 

There are 64 Win32 services on this machine.

6 were unrecognized.

 

Script Execution Time: 6,015625 seconds.

 

 

ça serait y pas mieux??

Modifié le 11 avril 2007 par Lutino

[Thanos]

si c'est beaucoup mieux même !! Panda n'a rien trouvé à se mettre sous la dent et service filter ne montre plus rien de mauvais!

 

Juste par précaution, j'aimerai que tu regardes dans le répertoire system32 et que tu repères ces fichiers >

 

qkiiw.bat

rxwas.bat

sczihu.bat

 

Ne double clique pas sur ces fichiers!! je voudrais que tu ouvres le premier (par ex) > fais un clic droit dessus pour cela, et choisis : "Modifier" et pas "Ouvrir"! > le notepad va s'ouvrir > copie/colle son contenu dans ta prochaine réponnse stp puis ferme le notepad.

 

Comment fonctionne le pc?

[Lutino]

hola charles ingals

 

voici le premier fichier qkiiw.bat

 

@echo off

:deleteagain

del /A:H /F iebrkp.exe

del /F iebrkp.exe

if exist iebrkp.exe goto deleteagain

del qkiiw.bat

 

 

les autres sont du même tonneau:

même rédaction même style d'algorythme

yen a 5 comme ça:

les 3 que tu as mentionnés plus deux autres (bedgsly.bat et xdll.bat)

 

c'est grave doc?

 

sinon le pc fonctionne plutot bien, bit defender est bien calmé, je dirais même muet pourvu que ça dure...

une question en ce qui concerne mes ports à présent fermés : y a t il un moyen qu'ils soient masqués plutôt que fermés? j'arrive pas à trouver un tuto pour configurer le parefeu de bitd 8

 

à + et merci encore

[Thanos]

re!

 

Ok, tu vas éliminer ces fichiers stp! il s'agit donc de >

qkiiw.bat - rxwas.bat - sczihu.bat - bedgsly.bat - xdll.bat

 

une question en ce qui concerne mes ports à présent fermés : y a t il un moyen qu'ils soient masqués plutôt que fermés? j'arrive pas à trouver un tuto pour configurer le parefeu de bitd 8

Oui, l'idéal serait que ces ports soient masqués et donc invisibles depuis le réseau.Je n'ai pas encore trouvé, mais j'aimerai que tu regardes dans les réglages du parfeu Bitdefender, si tu ne vois pas un menu nommé "mode furtif"

Si tu trouves, active le!

[Lutino]

salut charles ingals

 

bon ok ces 5 fichiers n'ont pas moufté lors de leurs effacement c'était eux les fautifs?

 

sinon je cherche sur bitfefender pro v8 mais ya rien en configuration du parefeu je ne vois nulle part evoqué ne serait ce que les ports alors le mode furtif...

peut etre une bonne idée de changer tout ça et de mettre avast plus kerio? qu'en penses tu?

 

sinon le pc est tout calme : plus d'alertes depuis qques jours, ça serait y desinfecté?

 

@ + et bonne journée

Modifié le 12 avril 2007 par Lutino

[Thanos]

salut Lutino

 

Tu peux remplacer BitDefender bien sûr, par un antivirus et un parefeu gratos !

Avast et Kério sont bien! tu peux aussi faire l'association Antivir et Zone Alarm .

 

Voila quelques liens pour des pare-feux gratuits

 

Zone Alarm (2 versions )

Lien de téléchargement de la version FREE : http://dl2.zonelabs.com/bin/free/3301_fr/z..._737_000_fr.exe

Lien de téléchargement de la version PRO : http://www.zonelabs.com/store/content/cata...lid=dbtopnav_za

La version pro est payante après une période d'essai.

Tuto de Tesgaz pour la version pro : http://speedweb1.free.fr/frames2.php?page=tuto1

Tuto de Odsen pour la version free : http://benoit.aun.free.fr/securite-facile-php/zonealarm.php

 

Kerio (2 versions également)

Lien de téléchargement : http://www.sunbelt-software.com/evaluation/440/kerio.exe

Tuto de Malekal_morte : http://www.malekal.com/kerio_firewall.html

 

Jetico

Lien de téléchargement éditeur : http://www.jetico.com/

Lien de téléchargement sur Zebulon (en fr) : http://telechargement.zebulon.fr/license-1-225.html

Tuto de Odsen (lien site) : http://benoit.aun.free.fr/securite-facile-php/jetico.php

Tuto de Odsen (lien zeb) : http://forum.zebulon.fr/index.php?showtopic=93489

 

Outpost firewall free

Lien de téléchargement éditeur : http://www.agnitum.com/products/outpostfree/download.php

Tuto de Odsen (lien site) : http://securite-facile.ovh.org/outpost.php

 

Lien vers les antivirus > http://telechargement.zebulon.fr/category-25.html

 

Non les 5 fichiers n'étaient pas directement responsables de l'infection, mais on certainement été instalée par elle.

 

Une chose à faire si tu décides de virer BitDefender >

 

1) Télécharge les nouvelles protections (avast et kério par ex) mais ne les lance pas de suite!

2) déconnecte le pc physiquement

3) désinstalle BitDefender (redémarre le pc si demandé)

4) installe les nouvelles protections

5) reconnecte le pc et met l'antivirus à jour.

 

Je repasse ce soir pour faire un nettoyage des utilitaires installés et laisser quelques conseils de sécurité

[Lutino]

ok mister charles

 

on se recroise ce soir sans doute

 

@ +

[Thanos]

ok pour finir >

 

Stp, quand tu auras le temps(ca prend 5 minutes) et si tu veux bien>

 

Rapporte ton infection pour faire condamner les auteurs sur Malware-Complaints. Pour faire entendre notre voix, nous devons être le plus nombreux possibles, alors n'hésite pas :

- Voir les règles de Malware-Complaints

- Enregistre toi sur le forum à partir du bouton register en haut :

Si tu as plus de 13 ans, choisir : I Agree to these terms and am over or exactly 13 years of age

Si tu as moins, clic sur : I Agree to these terms and am under 13 years of age

 

Après t'être enregistré, tu as sous forme de liste les types d'infection (Look2Me, Smitfraud, SpywareQuake etc..) : http://www.malwarecomplaints.info/viewforu...e115fda8cee41a4

 

Si le malware que tu as eu n'apparaît pas dans la liste, pour toi il s'agit de W32/Sdbot.ftp.worm, créé un message dans le sujet "Autres infections" conforme au règle du forum (age, ville, département etc..) : http://www.malwarecomplaints.info/viewforum.php?f=10

 

Pour poster un message, clique sur le bouton "post reply" et complête les informations.

 

Si tu as des questions ou des problèmes, n'hésite pas à me demander ici ou à contacter un des modérateurs du forum : Kimberly, AgnesD ou ipl_001.

 

ps: n'hésite pas à témoigner sur Malware Complaints , ca fera réagir les dirigeants et permettra de rendre la toile plus sûre

---------------------------------------------------------------

 

* Tu peux conserver :

 

ATF Cleaner by Atribune pour nettoyer ton pc (au moins une fois dans la semaine!)

Avg As il ne protègera ton pc que 30 jours, puis il perdra ses fonctions: il reste utile après ca pour scanner et nettoyer le pc! à mettre à jour avant utilisation.

 

* Tu peux éliminer :

 

Blacklight (ca ne te sert plus à présent!) .

DiagHelp.zip et le dossier DiagHelp complêt si tu n'en a pas l'utilité (pour lister des répertoires "sensibles")

navilog1.zip

Gmer >( C:\WINNT\gmer_uninstall.cmd - C:\WINNT\gmer.ini - C:\WINNT\gmer.dll )

SmitFraudFix.exe et le dossier qu'il a créé

SDFix et le dossier C:\SDFix

ServiceFilter (pour filtrer les services non microsoft)

The Avenger et le dossier C:\Avenger

WinPFind3u et son dossier....

 

ouf

 

Les conseils qui suivent sont volontairement génériques, de sorte qu'ils puissent servir à un maximum de personnes. Je t'invite à prendre le temps de bien lire tout cela, de t'informer, d'essayer... Pour trouver quels sont les softs qui te conviennent le mieux.

 

Windows Update parfaitement à jour (catégorie critique, Services Pack et Services Release )

- pare-feu bien paramétré- antivirus bien paramétré et mis à jour régulièrement(quotidiennement s'il le faut) avec un scan complet régulier.

- IMPORTANT :une attitude prudente vis à vis de la navigation (pas de sites douteux:cracks, warez, etc) et vis à vis de la messagerie (fichiers joints aux messages doivent être scanné avant d'être ouvert ainsi que les fichiers téléchargés dont la provenance n'est pas sûre!!)

- une attitude vigilante (être l'affût de fonctionnements inhabituels de ton système)

- nettoyage hebdomadaire du système (suppression des fichiers inutiles avec ATF cleaner, nettoyage de la base de registre avec jv16, scandisk, defragmentation du disque dur régulière)

- scan hebdomadaire antispyware

***

 

Pour en savoir plus sur la sécurité pc, consulte les pages suivantes:

Ipl_001 : http://IPL001.free.fr/IT/IT-AM0.html

Malekal_Morte : http://www.malekal.com/

***

 

1)- Voici les utilitaires et programmes que tu peux installer pour sécuriser ton PC :

Navigateurs

• => Firefox, un vrai navigateur que tu pourras sécuriser avec les conseils de Megataupe :
  - Téléchargement :

http://www.mozilla-europe.org/fr/products/firefox/
- Tutorial : http://forum.zebulon.fr/index.php?showtopic=69628
Je te le recommande vivement !
 
=> Opera
- Téléchargement : http://www.opera.com/download/
- Explications par Pitcat : http://speedweb1.ovh.org/forum-tesgaz/view...ae5af52b512dbab
- Fonctionnalitées et Astuces par Lordtoniok : http://forum.zebulon.fr/index.php?showtopic=73742
 
Si tu veux toujours utiliser IE ! :
 
=> IE-SPYAD : (ajoute plus de 5000 sites à la zone de restriction pour te protéger lorsque tu atterris sur un site douteux)
Pour Internet Explorer uniquement ! (une fois l'utilitaire dézippé dans son dossier, cliquer sur le fichier ie-ads.reg : les modifications ne sont pas visibles mais l'effet est garanti par le message qui suit !)
- Téléchargement : http://www.spywarewarrior.com/uiuc/res/ie-spyad2.exe

Sécurisation des ports

• => ZebProtect (pour sécuriser les ports de ton PC, très simple) :
  - Téléchargement :

http://telechargement.zebulon.fr/123.html
- Tutorial par Tesgaz : http://www.zebulon.fr/articles/zebprotect.php
 
=> Si tu veux tester ton firewall :
- scanner les ports du PC : http://www.pcflank.com/

Sécurisation de la navigation

• => SpywareBlaster :
  - Téléchargement :

http://www.javacoolsoftware.com/downloads.html
- Tutorial : http://www.ordi-netfr.org/tutorialspywareblaster.php
Freeware permettant d'empêcher l'installation de spywares (logiciels espions) et autres adwares (insertion de publicité) sur ton PC. Contrairement à des logiciels comme Spybot - Search & Destroy ou Ad-aware, SpywareBlaster est un logiciel préventif.
 
=> Le fichier Hosts :
Souvent négligé par les internautes, il est pourtant très recommandé de savoir l'exploiter.
- Télécharger le fichier Hosts de Tesgaz régulièrement mis à jour : http://speedweb1.free.fr/download/secu/hosts.ZIP
- Télécharger les listes hosts du forum Assiste.com par Pierre Pinard : http://assiste.forum.free.fr/viewtopic.php?t=11318
- Explications sur le Hosts : http://speedweb1.free.fr/frames2.php?page=securite10
- Conversations sur le Hosts sur Zebulon : http://forum.zebulon.fr/index.php?showtopic=88615

Antispywares

• => Ad-Aware SE de Lavasoft :
  - Téléchargement :

http://www.ordi-netfr.com/adawarese.html
- Téléchargement 2 : http://www.lavasoft.de/support/download/#free
- Tutorial : http://home.tiscali.be/schouppeguy/adawarese/adawase.htm
- Tutorial 2 par Patarien : http://tutopat.hostonet.org/viewtopic.php?t=207
seule la version payante te permet de protéger le pc!la version gratuite sert à scanner le pc (après mise à jour, et de préférence en mode sans échec)
 
=> SpyBot-Search & Destroy de Patrick Kolla :
- Téléchargement : http://spybot.safer-networking.de/fr/download/index.html
- Tutorial : http://www.safer-networking.org/fr/tutorial/index.html
- Tutorial par Tesgaz : http://www.zebulon.fr/articles/spybot_1.php
A noter la présence de 2 outils résidents optionnels, le "Teatimer" et le "SDhelper" ; le tuto indiqué t'en dira d'avantage.
 
=>Spywareterminator
- Téléchargement : http://www.spywareterminator.com/
- Tutorial par Malekal_Morte: http://www.malekal.com/tutorial_SpywareTerminator.html
Ce logiciel est gratuit et possède une protection en temps réel qui permettra de protéger ton pc contre les spywares
 
=> AVG Anti-Spyware (AVG AS) :
- Téléchargement : http://download.grisoft.cz/softw/70/filedi..._4.0.0.172a.exe
- Tutorial par Malekal_morte : http://www.malekal.com/tutorial_ewidoV4.html#mozTocId415851
AVG Anti-Spyware est un antimalware très efficace. Certaines fonctions ne sont gratuites que 30 jours, mais il est très performant en analyse en mode sans échec.

Contrôleurs d'intégrité - Résidents / pour utilisateurs avancés

• =>Winpooch projet Opensources :
  - Téléchargement :

http://winpooch.free.fr/page/home.php?lang=fr&page=home
- Conversation sur Zebulon par Jack Burton : http://forum.zebulon.fr/index.php?showtopi...amp;hl=Winpooch
 
=>WinPatrol de BillP Studios :
- Téléchargement : http://www.winpatrol.com/download.html
- Tutorial par Krigou : http://www.libellules.ch/weblog/comments.php?id=46_0_1_0_C
 
=>ProcessGuard de DiamondCS :
- Téléchargement : http://www.diamondcs.com.au/processguard/i...p?page=download
- Conversation sur Zebulon par Megataupe : http://forum.zebulon.fr/index.php?showtopic=66717
- tutorial par Odsen : http://benoit.aun.free.fr/securite-facile-...rocessguard.php
 
=>Icesword - IDS de la Xfocus Team :
- Téléchargement : http://www.open-files.com/forum/index.php?...st&p=459692
- tutorial par Txon : http://www.open-files.com/forum/index.php?showtopic=29383
- Explications sur Zebulon par Horus Agressor : http://forum.zebulon.fr/index.php?showtopic=96713

2)- Les utilitaires pour nettoyer le PC :

• => EasyCleaner de Toni Helenius :
  - Téléchargement :

http://personal.inet.fi/business/toniarts/ecleane.htm
- Tutorial - temporaires par DarkBG : http://www.uptoopc.net/nettoyer/temporaires.php
- Tutorial - registre : http://www.uptoopc.net/nettoyer/registre.php
- Tutorial - autres fonctions : http://www.uptoopc.net/nettoyer/autresfonctions.php
Easy cleaner est un utilitaire de nettoyage.
 
=> ATF Cleaner de Atribune :
- Téléchargement : http://www.atribune.org/ccount/click.php?id=1
- Tutorial par Lomaster : http://lomaster.freehostia.com/atfcleaner.html
 
=> JV16 :
- Téléchargement : http://telechargement.zebulon.fr/201-jv16-powertools.html
- Tutorial par Tesgaz : http://www.zebulon.fr/articles/base-de-registre-3.php

3)- Pour aller plus loin dans l'optimisation et la sécurisation - quelques pistes par Tesgaz :

• =>Configurez vos services :
  

http://speedweb1.free.fr/frames2.php?page=service3
http://speedweb1.free.fr/frames2.php?page=service4

• =>Optimiser la protection de son PC pour Internet en toute sécurité :
  

http://speedweb1.free.fr/frames2.php?page=securite1
 
=>Autorisation et restriction des Dossiers et fichiers avec NTFS :
http://speedweb1.free.fr/frames2.php?page=securite4
 
=>Améliorer votre sécurité grâce aux restrictions :
http://speedweb1.free.fr/frames2.php?page=securite6
 
=>Les mots de passe :
http://speedweb1.free.fr/frames2.php?page=securite7

4)- Des précautions simples qui permettent de retrouver un pc en bon état! :

• => Erunt & Ntregopt:
  - Téléchargement :

http://telechargement.zebulon.fr/202-erunt.html
- Téléchargement : http://telechargement.zebulon.fr/203-ntregopt.html
le pc étant clean,il est important de pouvoir Sauvegarder la base de registre afin de la restaurer en cas de problème=>
ntregopt permet de compacter la base de registre pour gagner de la place , et Erunt permet d'en faire une sauvegarde pour pouvoir la restaurer en l'état si besoin est.(problème infectieux,problème de plantage...)
- Tutoriel par Tesgaz : http://www.zebulon.fr/articles/base-de-registre-3.php
 
=>Installer la console de récupération :
http://www.zebulon.fr/articles/console-de-recuperation-1.php
Il est parfois utile d'avoir la consolé de récupération accessible au démarrage de windows afin de pouvoir l'utiliser et ainsi réparer plus facilement son système endommagé!

• =>Process Explorer de SysInternals :
  

http://speedweb1.ovh.org/forum-tesgaz/viewtopic.php?t=39
Remplace aventageusement le Gestionnaire des Tâches de Windows ! surtout lorsque celui ci est désactivé par un malware!
- Téléchargement : http://www.sysinternals.com/Utilities/ProcessExplorer.html
- Tutoriel par Tesgaz : http://speedweb1.ovh.org/forum-tesgaz/viewtopic.php?t=39

Lorsque la désinfection est terminée,pense à changer le titre et y rajouter " Résolu" stp.

A bientot sur les forums de

Modifié le 12 avril 2007 par charles ingals