Virus récurrent, qui se renomme à tout va

[Tom64]

Bonjour

 

J'ai un virus sur mon ordinateur, qui apparait dans la liste des processus.

Actuellement, le nom du processus est : gopqogekm.exe

Mais il a tendance à se renommer super souvent.

 

A la racine du C:, j'ai un fichier Mitm et ce fichier : kfbzjyqxx qui est un fichier d'installation microsoft.

Dès que je supprime ces 2 fichiers ils reviennent en suivant, de même pour le processus.

 

J'ai tenté de virer la clé dans la base de registre \Run Reginit qui lance ce fichier, mais pareil, il revient en suivant.

 

Après une première réinstallation de XP, j'ai encore eu ce problème. Donc j'ai mis mes données sur un dd externe et j'ai réinstallé XP.

Au début pas de problème, mais quand j'ai voulu récupérer mes anciennes données, hop le virus est revenu.

 

Je n'arrive pas à m'en dépatouiller et du coup mon ordinateur fait que bugguer (perte du gestionnaire de processus, ralentissement voire freeze du navigateur internet, ...)

 

Voici le log de HijackThis.

 

J'attends vos solutions, merci

 

Logfile of HijackThis v1.99.1

Scan saved at 19:26:40, on 22/09/8207

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\nvraidservice.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\system32\wbem\unsecapp.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\system32\taskmgr.exe

C:\WINDOWS\regedit.exe

C:\WINDOWS\system32\mmc.exe

C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Répertoire temporaire 1 pour hijackthis_199.zip\HijackThis.exe

C:\WINDOWS\system32\gopqogekm.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.files-ftp.com/~unicorni/phpBB2/index.php

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O4 - HKLM\..\Run: [NVRaidService] C:\WINDOWS\system32\nvraidservice.exe

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [reginit] C:\WINDOWS\system32\gopqogekm.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O14 - IERESET.INF: START_PAGE_URL=http://www.files-ftp.com/~unicorni/phpBB2/index.php

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

[Tom64]

Bon ben c'est marrant ce virus, à chaque fois que je branche un disque dur externe ou une clé usb, il rajoute le fichier d'installation microsoft à la racine du nouveau lecteur, ainsi que le lancement de ce fichier dans le fichier autorun du disque (ou clé) que j'ai branché ... donc en gros après chaque formatage, il suffisait que je branche le disque (ou la clé) pour que le virus soit automatiquement réinjecté.

 

Heureusement j'ai réussi à m'en dépatouiller

 

Post à cloturer.