[Résolu]Divers problèmes de virus

WawaSeb · le 17 septembre 2007

Bonsoir tari,

*** Tu fais du super boulot, nous avançons bien !!! ***

1) Télécharge OTMoveIt de OldTimer. Sauvegarde-le sur ton Bureau.

Copie le texte en citation ci-dessous (sélectionne-le en entier avec ta souris, puis fais un clic-droit dessus et choisis "Copier") :

C:\WINDOWS\system32\drvduh.dll
C:\WINDOWS\system32\hudvrd.*

C:\WINDOWS\system32\ssqrp.dll

C:\WINDOWS\system32\prqss.*

C:\WINDOWS\system32\winbjv32.dll

C:\WINDOWS\system32\wmpstub.exe

C:\WINDOWS\system32\winbjv32.dll

C:\WINDOWS\system32\23vjbniw.*

C:\WINDOWS\system32\wmpstub.exe

C:\WINDOWS\system32\butspmw.*

C:\windows\system32\drvduh.dll

C:\windows\system32\hudvrd.*

C:\windows\system32\drvduhr.dll

C:\windows\system32\rhudvrd.*

C:\WINDOWS\SYSTEM32\fcccdef.dll

C:\WINDOWS\SYSTEM32\fedcccf.*

C:\WINDOWS\system32\urqrsts.dll

C:\WINDOWS\system32\stsrqru.*

Double-clique sur OTMoveIt.exe afin de lancer le programme
Assure toi que la case "Unregister Dll's and Ocx's" soit bien cochée
Fais un Clic-droit sur le cadre de gauche puis choisis Coller
Clique à présent sur le bouton "MoveIt!"
Un rapport va être créé, il se trouve dans C:\_OTMoveIt\MovedFiles\ (Le nom du rapport est la date de sa création)
Poste ce rapport stp...

2) Relance HijackThis, ferme toutes les autres fenêtres et fixe les lignes suivantes (si encore présentes) :

O2 - BHO: (no name) - {733E9132-53CA-4C97-9AC9-145C4502FA20} - C:\WINDOWS\system32\fcccdef.dll (file missing)

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: (no name) - {EC50846C-08F3-4CDE-A75D-EEA910AB37CB} - C:\WINDOWS\system32\ssqrp.dll

O4 - HKLM\..\Run: [CTDrive] rundll32.exe C:\WINDOWS\system32\drvduh.dll,startup

# Peux-tu aussi reposter un rapport HijackThis stp ?

# Où en sont tes problèmes ?

Bonne nuit à toi !

tari · le 17 septembre 2007

Le PC n'étant plus accessible, je remet ta procédure à demain si tu le veux bien

Les rapports devraient être disponible vers 18h30 ainsi que l'historique des problèmes encore présents.

Bonne nuit à toi aussi et merci de ton aide

tari · le 18 septembre 2007

Bonjour,

Je suis rentré un petit peu plus tot et profite donc pour poster les divers rapports.

OTMoveIt

File/Folder C:\WINDOWS\system32\drvduh.dll not found.

File/Folder C:\WINDOWS\system32\hudvrd.* not found.

DllUnregisterServer procedure not found in C:\WINDOWS\system32\ssqrp.dll

C:\WINDOWS\system32\ssqrp.dll NOT unregistered.

File move failed. C:\WINDOWS\system32\ssqrp.dll scheduled to be moved on reboot.

File move failed. C:\WINDOWS\system32\prqss.* scheduled to be moved on reboot.

File/Folder C:\WINDOWS\system32\winbjv32.dll not found.

File/Folder C:\WINDOWS\system32\wmpstub.exe not found.

File/Folder C:\WINDOWS\system32\winbjv32.dll not found.

File/Folder C:\WINDOWS\system32\23vjbniw.* not found.

File/Folder C:\WINDOWS\system32\wmpstub.exe not found.

File/Folder C:\WINDOWS\system32\butspmw.* not found.

File/Folder C:\windows\system32\drvduh.dll not found.

File/Folder C:\windows\system32\hudvrd.* not found.

File/Folder C:\windows\system32\drvduhr.dll not found.

File/Folder C:\windows\system32\rhudvrd.* not found.

File/Folder C:\WINDOWS\SYSTEM32\fcccdef.dll not found.

File/Folder C:\WINDOWS\SYSTEM32\fedcccf.* not found.

DllUnregisterServer procedure not found in C:\WINDOWS\system32\urqrsts.dll

C:\WINDOWS\system32\urqrsts.dll NOT unregistered.

C:\WINDOWS\system32\urqrsts.dll moved successfully.

File/Folder C:\WINDOWS\system32\stsrqru.* not found.

Created on 09/18/2007 17:06:11

Hijackthis

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 17:12:12, on 18/09/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\WINDOWS\Explorer.EXE

E:\pestpatrol\PPActiveDetection.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Fichiers communs\DataViz\DvzIncMsgr.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Diskeeper Corporation\Diskeeper\DkService.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Trend Micro\HijackThis\scanner.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {2E6D62B2-FD98-4322-99AE-BC983DBECA2E} - C:\WINDOWS\system32\ssqrp.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O4 - HKLM\..\Run: [eTrustPPAP] "E:\pestpatrol\PPActiveDetection.exe"

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: DataViz Inc Messenger.lnk = C:\Program Files\Fichiers communs\DataViz\DvzIncMsgr.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://webscanner.kaspersky.fr/kavwebscan_unicode.cab

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111...all/xscan53.cab

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe (file missing)

O23 - Service: Diskeeper - Diskeeper Corporation - C:\Program Files\Diskeeper Corporation\Diskeeper\DkService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

--

End of file - 4144 bytes

O2 - BHO: (no name) - {2E6D62B2-FD98-4322-99AE-BC983DBECA2E} - C:\WINDOWS\system32\ssqrp.dll

Cette ligne est restée.

Pour ce qui est du PC en lui même, il est plus rapide à s'éteindre et n'a pas encore replanté , ensuite, on verra bien avec l'utilisation prolongée... Le message d'erreur dû aux manoeuvres effectuées a désormais disparu mais l'ouverture de pages internet intempestives est toujours présentes.

Message bizarre Antivirus au démarrage de Windows.

Image01

Scan avant démarrage

18/09/2007 18:11

Analyse de tous les lecteurs locaux

Fichier C:\Documents and Settings\EH\Local Settings\Temp\ioxwcdwo.exe est infecté par Win32:Tiny-IF [Trj], Supprimé

Fichier C:\Documents and Settings\EH\Local Settings\Temp\ykhfvskk.exe est infecté par Win32:Tiny-IF [Trj], Supprimé

Fichier C:\Documents and Settings\EH\Local Settings\Temporary Internet Files\Content.IE5\41UB8XMJ\jaun_20070726[1] est infecté par Win32:Vundo-gen49 [Adw], Supprimé

Fichier C:\Documents and Settings\EH\Local Settings\Temporary Internet Files\Content.IE5\ZE1PSKTU\gepj[2] est infecté par Win32:Vundo-gen48 [Adw], Supprimé

Fichier C:\Documents and Settings\EH\Local Settings\Temporary Internet Files\Content.IE5\ZE1PSKTU\lkjh[1] est infecté par Win32:Tiny-IF [Trj], Supprimé

Fichier C:\Program Files\Canon\MP Navigator 2.0\MPNScan.exe est infecté par Win32:Virut, Supprimé

Fichier C:\wffkiclq.exe\[uPX] est infecté par Win32:Agent-JQN [Trj], Supprimé

Fichier C:\WINDOWS\system32\cacqwigy.dll est infecté par Win32:Vundo-gen49 [Adw], Supprimé

Fichier C:\WINDOWS\system32\fsrkpwhr.dll est infecté par Win32:Vundo-gen49 [Adw], Réparer: Erreur 42060 {Le fichier n'a pas été réparé.}, Réparer: Erreur 42060 {Le fichier n'a pas été réparé.}, Mis en quarantaine

Fichier C:\WINDOWS\system32\lhmrxtip.dll est infecté par Win32:Vundo-gen48 [Adw], Réparer: Erreur 42060 {Le fichier n'a pas été réparé.}, Mis en quarantaine

Fichier C:\WINDOWS\system32\qbjjbhaa.dll est infecté par Win32:Vundo-gen46 [Adw], Réparer: Erreur 42060 {Le fichier n'a pas été réparé.}, Mis en quarantaine

Fichier C:\WINDOWS\Temp\win11B4.tmp.exe\[uPX] est infecté par Win32:Agent-KHB [Trj], Réparer: Erreur 42060 {Le fichier n'a pas été réparé.}, Mis en quarantaine

Fichier C:\WINDOWS\Temp\win3B6.tmp.exe\[uPX] est infecté par Win32:Agent-KHB [Trj], Réparer: Erreur 42060 {Le fichier n'a pas été réparé.}, Mis en quarantaine

Fichier C:\WINDOWS\Temp\win4DF.tmp.exe\[uPX] est infecté par Win32:Agent-KHB [Trj], Réparer: Erreur 42060 {Le fichier n'a pas été réparé.}, Mis en quarantaine

Fichier C:\WINDOWS\Temp\winB.tmp.exe\[uPX] est infecté par Win32:Agent-KHB [Trj], Réparer: Erreur 42060 {Le fichier n'a pas été réparé.}, Mis en quarantaine

Fichier C:\WINDOWS\Temp\winEA8.tmp.exe\[uPX] est infecté par Win32:Agent-KHB [Trj], Réparer: Erreur 42060 {Le fichier n'a pas été réparé.}, Mis en quarantaine

Nombre de dossiers parcourus : 6044

Nombre de fichiers analysés : 374494

Nombre de fichiers infectés : 16

Cordialement.

Modifié le 18 septembre 2007 par tari

WawaSeb · le 19 septembre 2007

Bonsoir tari,

*** Bravo pour ton courage !!! ***

--> Nous avons décidément affaire à un Vundo TRES résistant !

1) Télécharge The Avenger par Swandog46 sur ton Bureau

(je t'envoie l'adresse en privé)

Clique-droit sur Avenger.zip pour extraire le dossier sur ton bureau

2) Copie tout le texte écrit en citation (sélectionne-le, puis choisis "Edition" --> "Copier")

Registry keys to delete:
HKLM\software\microsoft\windows\currentversion\explorer\Browser Helper Objects\{2E6D62B2-FD98-4322-99AE-BC983DBECA2E}

Files to delete:

C:\WINDOWS\system32\ssqrp.dll

C:\WINDOWS\system32\fsrkpwhr.dll

C:\WINDOWS\system32\lhmrxtip.dll

C:\WINDOWS\system32\qbjjbhaa.dll

C:\WINDOWS\Temp\win11B4.tmp.exe

C:\WINDOWS\Temp\win3B6.tmp.exe

C:\WINDOWS\Temp\win4DF.tmp.exe

C:\WINDOWS\Temp\winB.tmp.exe

C:\WINDOWS\Temp\winEA8.tmp.exe

Note: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur.

si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système.

3) Exécute The Avenger en cliquant l'icône avec la petite épée

Dans "Script file to execute", choisis "Input Script Manually"
Clique ensuite sur l'icône en forme de loupe (View/edit script)
Dans cette fenêtre, colle le texte que tu viens de copier ("Edition" --> "Coller")
Clique sur Done
Clique alors sur l'icône en forme de Feu Vert pour démarrer l'exécution du script
Réponds "Yes" deux fois quand il le demande

4) The Avenger va redémarrer ton PC, ouvrir brièvement une fenêtre noire et afficher un rapport (c:\avenger.txt)

-------> Merci de copier ce rapport dans ton prochain message !

5) Télécharge DSS (ex ComboScan) (de Deckard) sur ton Bureau.

Ferme toutes les applications en cours
Double-clique sur comboscan.exe pour l'exécuter
A la fenêtre de mise en garde, clique sur OK
A la fin de l'analyse, clique sur OK (cela peut prendre quelques minutes)
Le rapport Comboscan.txt s'affichera, envoie ce rapport dans ta prochaine réponse

Je te demande de poster ces deux rapports et nous devrions pouvoir terminer la procédure à la prochaine étape...

Passe une exxcellente fin de nuit !

tari · le 19 septembre 2007

Bonsoir,

Avenger refuse de n'initialiser que ce soit en mode Normal ou Sans Echec.

Img02

Voici le rapport ComboScan

Deckard's System Scanner v20070905.67

Run by EH on 2007-09-19 18:38:44

Computer is in Normal Mode.

--------------------------------------------------------------------------------

-- System Restore --------------------------------------------------------------

System Restore is disabled; attempting to re-enable...success.

-- Last 1 Restore Point(s) --

1: 2007-09-19 16:38:47 UTC - RP1 - Point de vérification système

Backed up registry hives.

Performed disk cleanup.

-- HijackThis (run as EH.exe) --------------------------------------------------

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 18:39:55, on 19/09/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\WINDOWS\Explorer.EXE

E:\pestpatrol\PPActiveDetection.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Fichiers communs\DataViz\DvzIncMsgr.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Diskeeper Corporation\Diskeeper\DkService.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\System32\svchost.exe

C:\Documents and Settings\EH\Bureau\dss.exe

C:\PROGRA~1\TRENDM~1\HIJACK~1\EH.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

O2 - BHO: (no name) - {7B182CE4-DF93-45CA-B45A-2CB3DDC93C03} - C:\WINDOWS\system32\ssqrp.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: (no name) - {CF46BFB3-2ACC-441b-B82B-36B9562C7FF1} - C:\WINDOWS\system32\cacqwigy.dll (file missing)

O4 - HKLM\..\Run: [eTrustPPAP] "E:\pestpatrol\PPActiveDetection.exe"

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [systemOptimizer] rundll32.exe "C:\WINDOWS\system32\vkhfmwdc.dll",forkonce