Infection SmitFraud sous Windows 2000

[cehor]

C'est bon ! Ça marche !

 

Alors c'est réglé ?

 

En tout cas, merci beaucoup d'avoir pris le temps de réfléchir à mes problèmes.

et merci infiniment pour ton aide.

[Thanos]

attend!! j'avais une idée derrière la tête

 

Il y a un tool qu'on a pas pû passer auparavant, et j'aimerai bien que tu essaies à présent : c'est rapide

Il nettoiera les restes de l'infection si nécéssaire >

 

Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau.

Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau. Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :

• Redémarre ton ordinateur
  
• Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
  
• A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
  
• Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
  
• Choisis ton compte.
  

Déroule la liste des instructions ci-dessous :

• Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.bat pour lancer le script.
  
• Appuie sur Y pour commencer le processus de nettoyage.
  
• Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
  
• Appuie sur une touche pour redémarrer le PC.
  
• Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
  
• Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
  
• Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.
  
• Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.
  
• Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum, avec un nouveau log Hijackthis !
  

Après ca on fera un petit nettoyage quand même pour finir.

[cehor]

En mode sans échec, en cliquant sur RunThis.bat, j'entraperçois une fenêtre d'invite de commande (apparition genre subliminale) puis rien ne se passe.

En déplaçant le fichier RunThis.bat sur l'exe Catchme, j'obtiens le rapport suivant :

 

catchme 0.2 W2K/XP/Vista - userland rootkit detector by Gmer, 17 October 2006

http://www.gmer.net

 

scanning hidden processes ...

 

scanning hidden services ...

 

scanning hidden autostart entries ...

 

scanning hidden files ...

 

scan completed successfully

hidden processes: 0

hidden services: 0

hidden files: 0

 

Je ne pense pas que ce soit ce que tu attendais.

 

Voici aussi le rapport Hijackthis :

 

Logfile of HijackThis v1.99.1

Scan saved at 23:49:39, on 15/05/2007

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\spoolsv.exe

E:\Program Files\AVG antispyware\AVG Anti-Spyware 7.5\guard.exe

E:\PROGRA~1\AVGANT~1\avgamsvr.exe

E:\PROGRA~1\AVGANT~1\avgupsvc.exe

E:\PROGRA~1\AVGANT~1\avgemc.exe

C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

C:\WINNT\System32\svchost.exe

C:\WINNT\system32\regsvc.exe

C:\WINNT\system32\MSTask.exe

C:\WINNT\system32\stisvc.exe

C:\WINNT\system32\ZoneLabs\vsmon.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\Explorer.EXE

E:\PROGRA~1\AVGANT~1\avgcc.exe

C:\Program Files\Fichiers communs\Logitech\QCDriver\LVCOMS.EXE

E:\PROGRA~1\PRIMAX\POWERT~1\Pmxdetect.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

E:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

E:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\Program Files\iPod\bin\iPodService.exe

E:\Program Files\AVG antispyware\AVG Anti-Spyware 7.5\avgas.exe

E:\program files\quicktime\qttask.exe

C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe

E:\Program Files\OutClock\OutClock.exe

C:\Program Files\Mozilla Firefox\firefox.exe

E:\Program Files\Money\System\urlmap.exe

E:\Program Files\HiJackThis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: e-Carte Bleue Browser Helper Object - {2E03C0FD-4C48-43A7-9A54-00240C70FF16} - C:\WINNT\system32\BhoECart.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - E:\PROGRA~1\Spybot\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll

O2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - E:\Program Files\Money\System\mnyviewer.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll

O4 - HKLM\..\Run: [synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [AVG7_CC] E:\PROGRA~1\AVGANT~1\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [MoneyStartUp10.0] "E:\Program Files\Money\System\Activation.exe"

O4 - HKLM\..\Run: [LVCOMS] C:\Program Files\Fichiers communs\Logitech\QCDriver\LVCOMS.EXE

O4 - HKLM\..\Run: [scan Detector] E:\PROGRA~1\PRIMAX\POWERT~1\Pmxdetect.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [iTunesHelper] "E:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [vptray] C:\Program Files\NavNT\vptray.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [Zone Labs Client] E:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "E:\Program Files\AVG antispyware\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - HKLM\..\Run: [QuickTime Task] "E:\program files\quicktime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [spybotSnD] "E:\Program Files\Spybot\SpybotSD.exe" /autocheck /autofix

O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe

O4 - Startup: OutClock (2).lnk = E:\Program Files\OutClock\OutClock.exe

O16 - DPF: fdjeux - https://www.fdjeux.net/classes/fdjeux.cab

O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure...teleir_cert.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O20 - Winlogon Notify: NavLogon - C:\WINNT\System32\NavLogon.dll

O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - E:\Program Files\AVG antispyware\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - E:\PROGRA~1\AVGANT~1\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - E:\PROGRA~1\AVGANT~1\avgupsvc.exe

O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - E:\PROGRA~1\AVGANT~1\avgemc.exe

O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

O23 - Service: Service de télécopie (Fax) - Unknown owner - C:\WINNT\system32\faxsvc.exe (file missing)

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINNT\system32\ZoneLabs\vsmon.exe

[Thanos]

ok stp fais ceci >

 

Copie colle ce qui suit dans un fichier pour pouvoir le consulter en mode sans échec >

 

1) Redémarre en mode sans échec

 

2)Passe par démarrer > exécuter et copie/colle cette commande >

 

%systemdrive%\SDFix\apps\swreg IMPORT %systemdrive%\SDFix\apps\Enable_Command_Prompt.reg

 

appuie sur le bouton [ok] pour valider.

 

3)Après ca relance SDFIx : ca devrait marcher.

[cehor]

Le résultat est le même !

[Thanos]

salut cehor

 

Ok, on va faire comme ceci stp car il est possible qu'une valeur dans la base de registre ait été modifiée >

 

Stp rend toi sur cette page afin de télécharger le fichier search.bat > http://www.sendspace.com/file/2mqp7u

pour cela, clique sur le lien en bas de page > Download Link: search.bat

 

Double clique sur le fichier et poste le rapport stp

[cehor]

Le rapport Path.txt est vide mais la fenêtre d'invite (ouverte en double-cliquant search.bat) indique :

 

"C:\WINNT\system32\reg.exe n'est pas reconnu en tant que commande interne ou externe, un programme exécutable ou un fichier de commandes"

[Thanos]

salut

 

J'ai bien l'impression qu'il manque des fichiers sur ce pc...!

 

Clique sur Démarrer, puis sur Exécuter.

Dans la zone Ouvrir, tape regedit, puis clique sur OK.

Si ca ne fonctionne pas réessaie mais tape regedt32 cette fois ci.

Dis moi si tu as accès à l'Editeur de base de registre.

 

Si ca ne marche pas, deux possibilités >

 

1)Il est possible qu'une restriction ait été émise, dans ce cas tu vas reçevoir un message te disant en gros que l'administrateur à bloqué l'accès au registre.

 

2)Mais il se peut aussi que le fichier qui permet l'édition du registre ne soit plus là!! J'aimerai stp que tu vérifie la présence de ces fichiers dans le répertoire C:\Winnt\System32 > regedit.exe ou regedt32.exe

 

Si tu ne trouve pas l'utilitaire d'éditeur de registre dans le répertoire en question regarde comme tu l'as fait précédemment dans le dossier C:\WINNT\system32\dllcache

 

Enfin si tu ne le trouve pas dans ce dossier, il va falloir faire une Vérification des Fichiers Système comme ceci >

 

Est ce que tu possèdes le cd de Windows 2000 ? si c'est le cas, je te conseille de faire la manip suivante afin de remplacer les fichiers manquants (il y en a peut être d'autres!) >

 

Passe par Démarrer> Exécuter et tape cmd puis clique sur le bouton [ok].

 

Dans la fenêtre qui vient de s'ouvrir copie/colle ceci puis tape sur la touche [entrée]>

 

sfc /scannow

 

en images ici > SFC/scannow -> vérifier les fichiers systèmes

 

Dis moi ce qu'il en est

[cehor]

Salut

 

La commande Regedit fonctionne normalement, j'ai accès sans souci à l'éditeur de registre.

[cehor]

Et plus aucune trace d'infection (SpyBot, AVG, ...)

Le problème est-il définitivement résolu ? Dois-je envisager une réinstallation en profondeur du système ou profiter de l'occasion pour migrer vers XP ?

 

Merci de tout l'aide et du temps consacrés à mon cas