Virus MSN [Clos]

[Invité wizard42]

Salut

 

Voici quelque fichier qu'on a essayé de m'envoyé

 

Phrase:

"c'est pas toi dans ces tof??"

"je vien de trouvé tes tof:Pdans un site"

"regarde l:Ds tof de mes vacances d'été"

"Salut"

Nom de fichier infecté:

JPGimage47.zip

news44.zip

file34.zip

downloadme51.zip

file82.zip

files79.zip

files40.zip

downloadme15.zip

look33.zip

files10.zip

 

File .... received on 10.06.2007 17:50:35 (CET)

Antivirus Version Last Update Result

AhnLab-V3 2007.10.6.0 2007.10.05 -

AntiVir 7.6.0.20 2007.10.05 TR/Drop.Agent.arf.16

Authentium 4.93.8 2007.10.05 -

Avast 4.7.1051.0 2007.10.05 -

AVG 7.5.0.488 2007.10.06 Dropper.Agent.FKW

BitDefender 7.2 2007.10.06 -

CAT-QuickHeal 9.00 2007.10.06 TrojanDropper.Agent.arf

ClamAV 0.91.2 2007.10.06 -

DrWeb 4.44.0.09170 2007.10.06 -

eSafe 7.0.15.0 2007.10.04 Win32.Agent.arf

eTrust-Vet 31.2.5190 2007.10.06 -

Ewido 4.0 2007.10.06 -

FileAdvisor 1 2007.10.06 -

Fortinet 3.11.0.0 2007.10.06 W32/Agent.ARF!tr

F-Prot 4.3.2.48 2007.10.05 -

F-Secure 6.70.13030.0 2007.10.05 Trojan-Dropper.Win32.Agent.arf

Ikarus T3.1.1.12 2007.10.06 Virus.Win32.Zapchast.DA

Kaspersky 7.0.0.125 2007.10.06 Trojan-Dropper.Win32.Agent.arf

McAfee 5135 2007.10.05 -

Microsoft 1.2908 2007.10.06 -

NOD32v2 2575 2007.10.06 -

Norman 5.80.02 2007.10.05 -

Panda 9.0.0.4 2007.10.06 W32/MSNWorm.AI.worm

Prevx1 V2 2007.10.06 Heuristic: Suspicious File With Bad Child Associations

Rising 19.43.50.00 2007.10.06 -

Sophos 4.22.0 2007.10.06 Mal/Generic-A

Sunbelt 2.2.907.0 2007.10.06 -

Symantec 10 2007.10.06 -

TheHacker 6.2.6.078 2007.10.06 -

VBA32 3.12.2.4 2007.10.05 -

VirusBuster 4.3.26:9 2007.10.06 -

Webwasher-Gateway 6.0.1 2007.10.05 Trojan.Drop.Agent.arf.16

 

Donc pensez a vous protégé, téléchargé et instalé un bonne antivirus ( je vous conseil antivir: http://www.free-av.com/ )

Avant d'ouvrir les fichiers recu via MSN analysé les avec votre antivirus ou faite une analyse avec virus total

http://www.virustotal.com/

Modifié le 26 octobre 2007 par wizard42

[Invité wizard42]

Jai envoyé l'échantillon et le rapport virustotal à l'editeur d'avast

 

Je reposterai une analyse virus totale pour voir l'avancement demain

Modifié le 6 octobre 2007 par wizard42

[Mickey]

Bonjour,

vous pouvez faire cela pour le supprimer :

 

Se débarrasser des virus WLM

 

Depuis plusieurs jours, je reçois comme certainement beaucoup d'entre vous des messages de contacts Hors ligne bourrés de fautes et vous incitant à accepter un dossier soit-disant d'images vous concernant :

Les messages de transmissions :My friend took nice photos of me.you Should see em loL!",

"hey regarde les tof, c'est moi et mes copains entrain de....

 

Version Française/Espagnole :

hey regarde mes tof!!

ma soeur a voulu que tu regarde ca!

hey regarde les tof, c'est moi et mes copains entrain de....

j'ai fais pour toi ce photo album tu dois le voire

tu dois voire ces tof

mes photos chaudes

c'est seulement mes tof

zijn enige mijn foto's

wanna Hey ziet mijn nieuw fotoalbum?

Hey beindigde enkel nieuw fotoalbum!

hey keurt mijn nieuw fotoalbum goed..

het voor yah, doend beeldverhaal van mijn leven lol..

meine hei en Fotos !

le mie foto calde

mis fotos calientes

mi fotografas

Mi amigo tom las fotos agradables de m

el lol mi hermana quisiera que le enviara este

album de foto

 

Version Anglaise :

Here are my private pictures for you

Here are my pictures from my vacation

My friend took nice photos of me.you Should see em loL!

its only my photos!

Nice new photos of me and my friends and stuff and when i was young lol...

Nice new photos of me!!

Check out my sexy boobs

 

La solution consiste donc à utiliser MSNFix afin de se débarasser du virus.

Décompressez donc le dossier zip MSNFix et lancez le fichier "MSNFix.bat". Une fenêtre bleue doit apparaitre.

Mettez l'interface en français en appuyant sur la touche F puis sur Entrée.

Lancez maintenant la recherche de virus en appuyant sur la touche R puis sur Entrée.

 

 

Si un virus est détecté, il vous sera alors demandé de nettoyer l'ordinateur.

Un message d'erreur concernant la suppression impossible d'un fichier sera résolu par un redémarrage.

Après le nettoyage, la barre "Démarrer" s'efface puis réapparait, cela fait partie de la procédure de nettoyage.

 

Si votre barre "Démarrer" ne s'affiche toujours pas, il suffit de faire

Ctrl + Alt + Suppr sous Windows XP

Ctrl + Maj + Echap sous Windows Vista

pour ouvrir le Gestionnaire de tâches Windows.

 

Faites ensuite "Fichier" puis "Nouvelle tâche" et entrez explorer.exe dans la fenêtre qui apparait et finissez par "OK".

N'oubliez pas de redémarrer votre ordinateur pour achever le nettoyage !

 

Source : msncreative.net

 

Ps: désolé mais je ne voulais pas m'approprier quoi que ce soit, mais comme je l'avais sous la main je l'ai mis sur mon serveur.

Modifié le 7 octobre 2007 par Mickey

[Gof]

Bonsoir tous les 2,

 

Merci de votre intérêt à prévenir les internautes des dangers de ce type d'infection.

 

@wizard42 :

 

Ne pas hésiter, lorsque tu obtiens des fichiers de cette infection, à les "uploader" chez !aur3n7 sur le lien suivant :

http://upload.changelog.fr/

Cela permettra à l'auteur de l'outil MSNFIX de le mettre à jour en fonction de nouvelles variantes.

 

Oui, comme tu le vois les détections ne sont pas toujours parfaites. Le manque de réactivité d'Avast sur cette infection bien particulière avait justement motivé le sujet de Malekal morte ici :

Comparatif Avast! VS Antivir

Avast ayant toujours un train de retard, beaucoup d'internautes restaient vulnérables aux variantes connues de cette infection alors qu'elle était déja bien connue de la part d'autres éditeurs et des helpers de forums.

@Mickey :

 

wizard42 mentionnait cette infection afin d'attirer l'attention sur celle-ci et sur la détection du fichier infectieux par les antivirus. Il n'est pas contaminé. Je lui recommande d'ailleurs de faire très attention en jouant avec les infections, une VM est particulièrement recommandée pour éviter de s'infecter par erreur.

 

Ton message de désinfection est bien, mais tu as oublié d'indiquer le lien de téléchargement de l'outil MSNFIX.

 

Enfin, pour les lecteurs, j'attire votre attention sur ce sujet :

Infection par MSN ou WLM, Explications, prévention, désinfection

Bonne soirée

 

EDIT : Mickey, je vois que tu héberges l'outil MSNFIX chez toi ? As-tu l'autorisation de l'auteur ? En attendant ta réponse, j'ôte le lien.

[Invité wizard42]

Ne pas hésiter, lorsque tu obtiens des fichiers de cette infection, à les "uploader" chez !aur3n7 sur le lien suivant : http://upload.changelog.fr/Cela permettra à l'auteur de l'outil MSNFIX de le mettre à jour en fonction de nouvelles variantes.

 

Voila c'est fait je leur est envoyé...

Modifié le 6 octobre 2007 par wizard42

[Gof]

 

Ce n'est pas bien Mickey ! Tu n'as pas l'autorisation de l'auteur pour héberger l'outil chez toi. Le risque de ce genre d'hébergement est d'une part que quelqu'un d'autre fasse semblant de s'en attribuer la paternité, que quelqu'un de mal intentionné modifie l'outil de manière dangereuse, et enfin que l'outil ne soit pas à jour. Que des inconvénients !

 

Cela ne se fait pas enfin, d'héberger un outil sans demander l'autorisation, c'est contraire aux règles de la bienséance et de la Nétiquette !

 

Enfin, dernière observation, la capture postée est hébergée sur un autre site. Je suppose que tu as copié-collé le lien de la capture (et du texte complet) sans demander l'autorisation non plus d'utiliser la capture d'écran ? Du coup, tu utilises la bande passante de leur serveur sans leur donner de trafic. Je ne crois pas qu'ils vont apprécier.

 

EDIT : Si tu ne savais pas, je t'invite à corriger ton message (en cliquant sur "Editer"), en indiquant le lien où tu l'as copié-collé. C'est plus respectueux pour tout le monde. Je laisse un peu de temps pour que tu corriges ; si tu ne le fais pas je le ferais en grognant.

[Invité wizard42]

File JPGimage47.zip received on 10.07.2007 09:13:04 (CET)

Antivirus Version Last Update Result

AhnLab-V3 2007.10.6.0 2007.10.05 -

AntiVir 7.6.0.20 2007.10.05 TR/Drop.Agent.arf.16

Authentium 4.93.8 2007.10.05 -

Avast 4.7.1051.0 2007.10.06 -

AVG 7.5.0.488 2007.10.06 Dropper.Agent.FKW

BitDefender 7.2 2007.10.07 -

CAT-QuickHeal 9.00 2007.10.06 TrojanDropper.Agent.arf

ClamAV 0.91.2 2007.10.07 -

DrWeb 4.44.0.09170 2007.10.06 -

eSafe 7.0.15.0 2007.10.04 Win32.Agent.arf

eTrust-Vet 31.2.5190 2007.10.06 -

Ewido 4.0 2007.10.06 -

FileAdvisor 1 2007.10.07 -

Fortinet 3.11.0.0 2007.10.07 W32/Agent.ARF!tr

F-Prot 4.3.2.48 2007.10.06 -

F-Secure 6.70.13030.0 2007.10.06 Trojan-Dropper.Win32.Agent.arf

Ikarus T3.1.1.12 2007.10.07 Virus.Win32.Zapchast.DA

Kaspersky 7.0.0.125 2007.10.07 Trojan-Dropper.Win32.Agent.arf

McAfee 5135 2007.10.05 -

Microsoft 1.2908 2007.10.07 -

NOD32v2 2576 2007.10.07 -

Norman 5.80.02 2007.10.05 -

Panda 9.0.0.4 2007.10.06 W32/MSNWorm.AI.worm

Prevx1 V2 2007.10.07 Heuristic: Suspicious File With Bad Child Associations

Rising 19.43.60.00 2007.10.07 -

Sophos 4.22.0 2007.10.07 Mal/Generic-A

Sunbelt 2.2.907.0 2007.10.06 -

Symantec 10 2007.10.07 -

TheHacker 6.2.6.078 2007.10.06 -

VBA32 3.12.2.4 2007.10.05 -

VirusBuster 4.3.26:9 2007.10.06 -

Webwasher-Gateway 6.0.1 2007.10.05 Trojan.Drop.Agent.arf.16

 

J'ai envoyé l'échantillon a clamwin, microsoft, trend micro et mc afee (pour bitdefender,norton et nod32 j'ai pas trouvé où l'envoyé)

Modifié le 7 octobre 2007 par wizard42

[Invité wizard42]

File JPGimage47.zip received on 10.07.2007 14:44:42 (CET)

Antivirus Version Last Update Result

AhnLab-V3 2007.10.6.0 2007.10.05 -

AntiVir 7.6.0.20 2007.10.05 TR/Drop.Agent.arf.16

Authentium 4.93.8 2007.10.05 -

Avast 4.7.1051.0 2007.10.06 -

AVG 7.5.0.488 2007.10.07 Dropper.Agent.FKW

BitDefender 7.2 2007.10.07 -

CAT-QuickHeal 9.00 2007.10.06 TrojanDropper.Agent.arf

ClamAV 0.91.2 2007.10.07 -

DrWeb 4.44.0.09170 2007.10.07 -

eSafe 7.0.15.0 2007.10.04 Win32.Agent.arf

eTrust-Vet 31.2.5190 2007.10.06 -

Ewido 4.0 2007.10.07 -

FileAdvisor 1 2007.10.07 -

Fortinet 3.11.0.0 2007.10.07 W32/Agent.ARF!tr

F-Prot 4.3.2.48 2007.10.06 -

F-Secure 6.70.13030.0 2007.10.06 Trojan-Dropper.Win32.Agent.arf

Ikarus T3.1.1.12 2007.10.07 Virus.Win32.Zapchast.DA

Kaspersky 7.0.0.125 2007.10.07 Trojan-Dropper.Win32.Agent.arf

McAfee 5135 2007.10.05 -

Microsoft 1.2908 2007.10.07 -

NOD32v2 2576 2007.10.07 -

Norman 5.80.02 2007.10.05 -

Panda 9.0.0.4 2007.10.06 W32/MSNWorm.AI.worm

Prevx1 V2 2007.10.07 Heuristic: Suspicious File With Bad Child Associations

Rising 19.43.60.00 2007.10.07 -

Sophos 4.22.0 2007.10.07 Mal/Generic-A

Sunbelt 2.2.907.0 2007.10.06 -

Symantec 10 2007.10.07 -

TheHacker 6.2.6.078 2007.10.06 -

VBA32 3.12.2.4 2007.10.07 Trojan-Dropper.Win32.Agent.arf

VirusBuster 4.3.26:9 2007.10.06 -

Webwasher-Gateway 6.0.1 2007.10.05 Trojan.Drop.Agent.arf.16

 

Depuis ce matin voila un nouveau antivirus qui le detecte (VBA32)

Modifié le 7 octobre 2007 par wizard42

[Malekal_morte]

Juste pour signaler que la variante JPGimage47.zip je l'ai eu y a déjà 9 jours...

Ca vous laisse une idée de la réactivité de certains AV.

[Invité wizard42]

Suite a mon envoi du fichier a microsoft j'ai recu ce mail

 

Hello. The Microsoft Malware Protection Center (MMPC) has finished analyzing submission ID 13138952 and the results are listed below. If the files were determined to be malware or potentially unwanted software, the results will identify the threat for each file submitted.

 

This is the last e-mail the MMPC will send to this e-mail address concerning this submission ID.

 

Analyst comments:

=================

 

=================

 

Analysis summary:

=================

Total Files: 2

Clean: 0

Malware: 1

Malware Related: 0

Malware Container: 1

Potentially Unwanted Software: 0

Potentially Unwanted Software Container: 0

Postponed: 0

Not Yet Analyzed: 0

 

=================

 

Per-file summary:

=================

JPGimage47.scr | Malware: Backdoor:Win32/Sdbot

http://go.microsoft.com/fwlink/?linkid=956...3aWin32%2fSdbot

20071007_013505187_0_JPGimage47.zip | Malware Container

 

=================

 

Note: in the course of analyzing the files that you submitted, the MMPC decompresses the files in your submission, such as extracting files from archives or other containers. Subsequently you may see more files listed than you originally submitted.

 

Category Descriptions:

 

Clean

Files that do not appear to be malware or potentially unwanted software.

 

Malware

Files that appear to be known malware. Malware includes viruses, Trojans, worms, file infectors, etc.

 

Malware Related

Files that are not malicious by themselves and should not pose a threat by themselves.

 

Malware Container

Container files are archives, binders, etc. that contain files in the "malware" category. Note that they may also contain files in the "Clean" category.

 

Potentially Unwanted Software

Files that have been identified as potentially unwanted software. Potentially unwanted software includes dialers, adware, spyware, etc.

 

Potentially Unwanted Software Container

Container files are archives, binders, etc. that contain files in the "spyware" category. Note that they may also contain files in the "Clean" category.

 

Postponed and Auto-postponed

The file does not appear to be malware or potentially unwanted software, but more analysis is necessary to confirm the file is not malicious.

 

Not Yet Analyzed

The file will require further analysis to determine whether the file is malicious or not.

 

Latest versions of signatures for Forefront Client Security and Windows Defender are available at:

http://www.microsoft.com/security/portal/

 

Note: if you feel you have received this e-mail in error, please send mail to:

mailto:mpcabuse@microsoft.com.

 

Thank you for contacting the Microsoft Malware Protection Center.