Que faire ? Detection de WORM/IrcBot.559616

[Nathal0che]

Bonjour depuis 15 min j'ai un message de Antivir qui s'affiche m'indiquant la detection d'un virus : WORM/IrcBot.559616 qui se trouve C:\WINDOWS\ccSvcHst.exe.

 

J'ai cliqué sur move t quarantine puis sur Delete puis sur Access deny et ca ne fait rien le message persiste constamment.

 

Pouvez vous m'aidez? Merci d'avance.

 

Voici le rapport Hijackthis:

Logfile of HijackThis v1.99.1

Scan saved at 18:39:17, on 12/11/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Sygate\SPF\smc.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Belkin\Logiciel Bluetooth\bin\btwdins.exe

C:\WINDOWS\system32\drivers\CDAC11BA.EXE

C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\MsPMSPSv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Fichiers communs\Logitech\QCDriver\LVCOMS.EXE

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Java\jre1.5.0\bin\jusched.exe

C:\WINDOWS\ccSvcHst.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\Program Files\Belkin\Logiciel Bluetooth\BTTray.exe

C:\Program Files\MSN Messenger\usnsvc.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\AntiVir PersonalEdition Classic\GUARDGUI.EXE

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Documents and Settings\PC\Mes documents\Programme Installateur\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.neuf.fr

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.neuf.fr/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 193.140.16.30:8080

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar4.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar4.dll

O4 - HKLM\..\Run: [LVCOMS] C:\Program Files\Fichiers communs\Logitech\QCDriver\LVCOMS.EXE

O4 - HKLM\..\Run: [smcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui

O4 - HKLM\..\Run: [bluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [REGSHAVE] C:\Program Files\REGSHAVE\REGSHAVE.EXE /AUTORUN

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0\bin\jusched.exe

O4 - HKLM\..\Run: [userFaultCheck] %systemroot%\system32\dumprep 0 -u

O4 - HKLM\..\Run: [ccSvcHst.exe] C:\WINDOWS\ccSvcHst.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - Global Startup: BTTray.lnk = ?

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: Bloquer ce serveur... - C:\Program Files\Avant Browser\AddAllToADBlackList.htm

O8 - Extra context menu item: Bloquer cette publicité... - C:\Program Files\Avant Browser\AddToADBlackList.htm

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Envoyer à &Bluetooth - C:\Program Files\Belkin\Logiciel Bluetooth\btsendto_ie_ctx.htm

O8 - Extra context menu item: Ouvrir dans une nouvelle fenêtre d'Avant Browser - C:\Program Files\Avant Browser\OpenInNewBrowser.htm

O8 - Extra context menu item: Ouvrir tous les liens de la page... - C:\Program Files\Avant Browser\OpenAllLinks.htm

O8 - Extra context menu item: Rechercher sur le Web... - C:\Program Files\Avant Browser\Search.htm

O8 - Extra context menu item: Surligner - C:\Program Files\Avant Browser\Highlight.htm

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\Belkin\Logiciel Bluetooth\btsendto_ie.htm

O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\Belkin\Logiciel Bluetooth\btsendto_ie.htm

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O15 - Trusted Zone: http://ny.contentmatch.net (HKLM)

O16 - DPF: {09C21411-B9A2-4DE6-8416-4E3B58577BE0} (France Telecom MDM ActiveX Control) - http://minitelweb.minitel.com/imin_data/ocx/MDM.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by103fd.bay103.hotmail.msn.com/resources/MsnPUpld.cab

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/12b55983f19fef...RdxIE601_fr.cab

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab

O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - http://drivers1.free.fr/hardwaredetection.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.5 Control) - http://www.photoreflex.com/tools/ImageUplo...geUploader3.cab

O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game05.zylom.com/activex/zylomgamesplayer.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab56907.cab

O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://eu.download.games.yahoo.com/zylom/a...zylomloader.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{2103C1DE-C2FC-4BB4-A274-5638AF07C6F4}: NameServer = 212.30.96.108,213.203.124.146

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Program Files\Belkin\Logiciel Bluetooth\bin\btwdins.exe

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe

[Diamondz]

-Relance Hijackthis

-Clique sur « do a system scan only »

-Coche ces lignes : O4 - HKLM\..\Run: [ccSvcHst.exe] C:\WINDOWS\ccSvcHst.exe

-Et clique sur « Fix Checked »

 

PUIS

 

-Télécharge MSNFix sur ton bureau

-Décompresse-le (clic droit >> Extraire ici) et double-clique sur le fichier MSNFix.bat.

- Exécute l'option R.

- Si l'infection est détectée, un message l'indiquera et il suffira de presser une touche pour lancer le nettoyage

Note :

Si une erreur de suppression est détectée un message s'affichera demandant de redémarrer l'ordinateur afin de terminer les opérations. Dans ce cas il suffit de redémarrer l'ordinateur en mode normal

-Le rapport sera enregistré dans le même dossier que MSNFix sous forme date_heure.txt, poste-le dans ton prochain message.

 

DONC

 

Tu as deux étapes à suivre dans l’ordre :

-Fixer les lignes Hijackthis

-MSNFix +rapport

[Nathal0che]

Tout d'abord merci j'ai fait ce que tu m'as dit voici le rapport final :

 

MSNFix 1.575

 

C:\Documents and Settings\PC\Bureau\MSNFix

Fix exécuté le 12/11/2007 - 18:58:22,89 By PC

mode normal

 

************************ Recherche les fichiers présents

 

... C:\WINDOWS\ccSvcHst.exe

... C:\WINDOWS\Dance_dec_jpg.zip

... C:\WINDOWS\system32\microsoft\backup.ftp

... C:\WINDOWS\system32\microsoft\backup.tftp

... C:\WINDOWS\Dance_dec_jpg.zip

 

************************ MSNCHK ***** /!\ beta test /!\

 

 

 

************************ Recherche les dossiers présents

 

... C:\Temp\

 

 

 

 

************************ Suppression des fichiers

 

.. OK ... C:\WINDOWS\ccSvcHst.exe

.. OK ... C:\WINDOWS\Dance_dec_jpg.zip

.. OK ... C:\WINDOWS\system32\microsoft\backup.ftp

.. OK ... C:\WINDOWS\system32\microsoft\backup.tftp

.. OK ... C:\WINDOWS\Dance_dec_jpg.zip

 

 

************************ Suppression des dossiers

 

.. OK ... C:\Temp\

 

 

************************ Nettoyage du registre

 

 

 

************************ Fichiers suspects

 

Aucun Fichier trouvé

 

 

Les fichiers et clés de registre supprimés ont été sauvegardés dans le fichier 12112007_19011314.zip

 

 

------------------------------------------------------------------------

Auteur : !aur3n7 Contact: http://changelog.fr

------------------------------------------------------------------------

 

--------------------------------------------- END ---------------------------------------------

 

 

Si c'est ok j'efface MSN Fix?

Modifié le 12 novembre 2007 par Nathal0che

[Apollo]

Bonsoir,

 

Oui tu peux virer MSNFix.

 

Fixe ces lignes:

 

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot => Real Networks Real Player

O4 - Global Startup: BTTray.lnk = ?

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe => Adobe Acrobat Reader

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/12b55983f19fef...RdxIE601_fr.cab => godaddy.com

 

Mets ta console Java à jour: http://www.java.com/fr/

 

Quand la nouvelle version est installée, va dans ajout/suppression de programmes et désinstalle toute version plus ancienne que celle que tu viens d'installer.

 

@+

[Diamondz]

Si tu n'as plus de problèmes :

 

-Télécharge et installe CCleaner, si ce n'est pas déjà fait : http://www.malekal.com/tutorial_CCleaner.html

A l'installation, n'oublie pas de décocher "ajouter la barre d'outils yahoo".

-Une fois l’installation terminée, exécute CCleaner puis fais un nettoyage de ton ordinateur dans l'onglet "nettoyeur".

Attention, tu dois avoir décoché toute la partie "avancé", ainsi que "Antivir PE classic" dans "utilitaires" dans l'onglet "applications"

-Laisse-le s'effectuer, ça peut être très long

>>>Un scan par semaine par la suite t'est recommandé

 

PUIS

Toujours sur CCleaner , rends-toi dans l'onglet "outils" et dans "programmes de désinstallation".

-Désinstalle TOUTES les versions de java présentes dans la liste (leur nom commence soit par "java" ou "J2SE") sauf, si elle s'y trouve, la version nommée "java 6 update 3".

Si elle ne s'y trouve, pas, après avoir désinstallé toutes les version, rends-toi sur cette page et télécharge, puis installe cette version. Une fois que tu l'auras installée, clique sur "vérifier l'installation". S'il te marque "congratulations", c'est bon ! .

 

PUIS

 

- Désactive puis réactive la restauration du système :

-Mode d'emploi pour Windows XP

-Mode d’emploi pour Windows Vista

 

PUIS

 

-Télécharge ToolsCleaner sur ton bureau

-Double-clique sur « Toolscleaner.exe »

-Clique sur "restauration" pour créer un point de restauration.

-Puis clique sur « recherche »

-Quand la recherche sera terminée, clique sur "suppression".

-A la fin (il y aura des indications dans le cadre en-dessous), clique sur "quitter" et poste le rapport qui se trouve dans %systemdrive%\Tcleaner.txt

 

PUIS

 

Maintiens ton ordinateur à jour.

Regarde ce sujet pour savoir pourquoi mettre à jour :

Les mises à jour sous Windows

N'écoute pas ceux qui te disent que ça fait tout planter, un ordinateur pas à jour est beaucoup plus en danger.

Tu peux aussi regarder ce lien pour mettre à jour tes applications :

http://www.malekal.com/scan_vulnerabilite.php

Si tu utilises une fausse version de Windows, sache que sache que Windows cracké = danger

Il serait conseillé que tu achètes Windows ou que tu passes à un autre OS...

Par contre, si tu veux rester sur cet ordi, sans bénéficier des mises à jour, le mieux est que tu t'informes sur le danger des cracks :

Le danger des cracks

et que tu maintiennes, à défaut de windows, tes applications à jour.

Surfe également avec Mozilla Firefox et surtout évite le p2p.

 

PUIS

 

Jette un coup d'œil à ces liens dans la mesure du possible :

-Pourquoi et comment me fais-je infecter ?

-Sécuriser son ordinateur et connaître les menaces

-Tout savoir sur la sécurité de son ordinateur

 

PUIS

 

Essaye de rapporter ton infection sur le site qui t’est donné ci-dessous, ce serait super cool

 

Ton infection : Ver MSN

 

Faire bouger les choses :

 

Rapporte ton infection pour faire condamner les auteurs sur Malware-Complaints. Pour faire entendre notre voix, nous devons être le plus nombreux possibles, alors rapporte ton infection :

- Voir les règles de Malware-Complaints

- Enregistre sur le forum à partir du bouton register en haut :

Si tu as plus de 13 ans, choisir : I Agree to these terms and am over or exactly 13 years of age

Si tu as moins, clique sur : I Agree to these terms and am under 13 years of age

 

Après t'être enregistré, tu as sous forme de liste les types d'infection (Look2Me, Smitfraud, SpywareQuake etc..) : http://www.malwarecomplaints.info/viewforu...e115fda8cee41a4

 

Si le malware que tu as eu n'apparaît pas dans la liste, ou si tu ne sais pas quelle infection tu as eu, créé un message dans le sujet "Autres infections" conforme au règle du forum (age, ville, département etc..) : http://www.malwarecomplaints.info/viewforum.php?f=10

 

Pour poster un message, clique sur le bouton "post reply" et remplir les informations - NE PAS CREER UN SUJET avec le bouton New Topic.

 

Pour toutes aides pour poster ton message, tu peux consulter ce lien : http://www.malekal.com/malwarecomplaints.html

 

DONC

 

Tu as sept étapes à suivre dans l’ordre :

-CCleaner

-Java

-Restauration

-Toolscleaner +rapport

-Mettre à jour Windows

-Liens à regarder

-Rapporter ton infection

[Diamondz]

Bon euh eh bien merci Apollo...

Fais quand même ce que je t'ai dit Nath

[Nathal0che]

C'est bon j'ai tout fait Merci beaucoup voici le rapport de TCleaner

 

-->- Recherche:

 

C:\Documents and Settings\PC\Mes documents\Programme Installateur\HijackThis.exe: trouvé !

C:\Program Files\HijackThis: trouvé !

 

---------------------------------

-->- Suppression:

 

C:\Documents and Settings\PC\Mes documents\Programme Installateur\HijackThis.exe: supprimé !

C:\Program Files\HijackThis: supprimé !