Aller au contenu

  • Pas encore inscrit ?

    Pourquoi ne pas vous inscrire ? C'est simple, rapide et gratuit.
    Pour en savoir plus, lisez Les avantages de l'inscription... et la Charte de Zébulon.
    De plus, les messages que vous postez en tant qu'invité restent invisibles tant qu'un modérateur ne les a pas validés. Inscrivez-vous, ce sera un gain de temps pour tout le monde, vous, les helpeurs et les modérateurs ! :wink:

[RESOLU] Infection BAGLE sous VISTA

hierry

Par hierry
dans Analyses et éradication malwares

 Partager

Messages recommandés

oGu Godlike Member

oGu

Posté(e)
Posté(e) (modifié)

Salut!

 

Ben ouais, le problème c'est que l'UAC même désactivée continue à "protéger" le système et empêche toute désinfection...Je ne vois pas d'issue au problème du haut de mes petites compétences, mais soyons patient et attendons que les spécialistes en malwares dégotent une solution...

 

As-tu essayé de lancer EliBagla avec un clic-droit: "éxecuter en tant que : administrateur"?

Modifié par ogu

hierry Member

hierry

Posté(e)
  • Auteur
Posté(e)

Voila le rapport lancé en tant qu'administrateur :

 

 

Sat Jan 19 20:57:40 2008

EliBagle v10.89 ©2008 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.

C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.

 

Sat Jan 19 20:58:20 2008

EliBagle v10.89 ©2008 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

 

Nº Total de Directorios: 15259

Nº Total de Ficheros: 156943

Nº de Ficheros Analizados: 13199

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

 

Sun Jan 20 20:25:27 2008

EliBagle v10.89 ©2008 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.

C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.

 

Sun Jan 20 20:26:00 2008

EliBagle v10.89 ©2008 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

 

Nº Total de Directorios: 15260

Nº Total de Ficheros: 156891

Nº de Ficheros Analizados: 13199

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

 

Mon Jan 21 22:23:30 2008

EliBagle v10.89 ©2008 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.

C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.

 

Mon Jan 21 22:24:14 2008

EliBagle v10.89 ©2008 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

 

Nº Total de Directorios: 15262

Nº Total de Ficheros: 156928

Nº de Ficheros Analizados: 13199

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

 

Tue Jan 22 19:06:10 2008

EliBagle v10.89 ©2008 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.

C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.

 

Tue Jan 22 19:08:01 2008

EliBagle v10.89 ©2008 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Acción Directa):

C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.

C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.

C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.

 

Tue Jan 22 19:08:04 2008

EliBagle v10.89 ©2008 S.G.H. / Satinfo S.L.

----------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

 

Nº Total de Directorios: 15214

Nº Total de Ficheros: 156841

Nº de Ficheros Analizados: 13197

Nº de Ficheros Infectados: 0

Nº de Ficheros Limpiados: 0

 

 

 

Toujours les mêmes messages d'erreur d'acces aux fichiers suivants :

 

c:\Windows\registration\CRMLog (16)

c:\Windows\system32\com\dmp (16)

c:\Windows\system32\LogFiles\WMI\Rtbackup (16)

c:\Windows\system32\spool\PRINTERS (16)

 

J'ai également des fenêtres qui s'ouvrent et se referment assez rapidement à l'affichage du bureau je crois avoir lu les noms de programmes suivants dans le bandeau supérieur de la fenêtre :

 

- ntvdm.exe

- hldrrr.exe

- wintemp.exe

 

Suis pas sur de la syntaxe excat des noms de programme !

oGu Godlike Member

oGu

Posté(e)
Posté(e)
J'ai également des fenêtres qui s'ouvrent et se referment assez rapidement à l'affichage du bureau je crois avoir lu les noms de programmes suivants dans le bandeau supérieur de la fenêtre :

 

- ntvdm.exe

- hldrrr.exe

- wintemp.exe

 

Bonsoir!

 

Les drivers sont toujours là...Les fenêtres dont tu parles sont celles correspondant à l'infection.

 

Je suis un peu désemparé là!!

hierry Member

hierry

Posté(e)
  • Auteur
Posté(e)

Bonsoir,

 

Moi encore plus désemparé :P

 

Je vais attendre dès fois que le remède miracle arriverait.

 

Je consulte régulièrement le forum, si jamais tu as une nouvelle idée n'hésite pas à m'en faire part. Si jamais je trouve quelque chose de mon coté je t'en ferai part également

 

Merci encore pour ton aide et le temps passé à essayer de m'aider.

hierry Member

hierry

Posté(e)
  • Auteur
Posté(e)

CA Y EST :P

 

 

C A M A R C H E ***********

 

 

J'ai démarré en mode sans Echec.

 

Je suis allé supprimer le fichier c:\windows\system32\mdelk.exe (J'ai appuyé sur la touche sup) => "Voulez-vous envoyer ce fichier à la corbeille" Ben ouai mon neveu. Et hop à la corbeille.

 

J'ai fait restauration systeme. Je suis allé chercher une date largement avant le jour où j'ai eu mon problème et Hop c'est parti.

 

 

La machine redémarre et je retrouve tout bien comme c'était avant !!!!

 

 

Le m'empresse de désinstaller Avast et d'installer AntiVir

 

 

Merci beaucoup à toi

oGu Godlike Member

oGu

Posté(e)
Posté(e)

Aleluïa!!

 

Le mode sans échec ne marche plus avec Beagle MAIS EliBagla sait le réparer : il ne fonctionnait pas sur ta machine MAIS il a réussi à réparer les clé de registre pour restaurer le sans échec!!

 

Merci à lui :P !

 

Ouf!

 

Cela dit relance EliBagla voir s'il en reste des scories. En souhaitant qu'il ne trouve rien.

 

De toute façon si le dropper est éliminé on devrait pouvoir se débarasser des drivers.

 

Tiens-moi au courant!

hierry Member

hierry

Posté(e)
  • Auteur
Posté(e)

Suis content content content .....

 

 

J'ai réactivé le contrôle utilisateur, Windows à refait ses mise à jour (j'ai restauré au 12 janvier)

J'ai désinstallé Avast, installé Antivir

 

et J'ai lancé une analyse avec Antivir, demain je relancerai EliBagla et je t'envoie le rapport.

 

 

Je crois que je vais passé une bonne nuit

hierry Member

hierry

Posté(e)
  • Auteur
Posté(e)

Bonjour,

 

J'ai lancé EliBagla ce matin, il y a eu pas mal de pb d'accès à des ficheirs du genre :

 

$RECYCLI.BIN ......

C:\\MSOCache (8211)

c:\programData\Microsoft\Crypto\MachineKeys (16)

c:\Windows\LiveKernelReports (16)

 

Je ne les ai pas tous noté il y en avait trop. Elibagla ne m'a pas fait de rapport mais n'a pas détecté de problème.

 

Voila un rapport Hijachthis fait après EliBagla :

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 07:25:21, on 23/01/2008

Platform: Windows Vista (WinNT 6.00.1904)

MSIE: Internet Explorer v7.00 (7.00.6000.16575)

Boot mode: Normal

 

Running processes:

C:\Windows\system32\taskeng.exe

C:\Windows\system32\Dwm.exe

C:\Windows\Explorer.EXE

C:\Program Files\Windows Defender\MSASCui.exe

C:\Windows\RtHDVCpl.exe

C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe

C:\Windows\System32\rundll32.exe

C:\Program Files\Common Files\Real\Update_OB\realsched.exe

C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe

C:\Program Files\Windows Sidebar\sidebar.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Windows\ehome\ehtray.exe

C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\Windows Media Player\wmpnscfg.exe

C:\Program Files\WinZip\WZQKPICK.EXE

C:\Windows\System32\rundll32.exe

C:\Windows\ehome\ehmsas.exe

C:\Program Files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe

C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Users\thierry\Desktop\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://recherche.neuf.fr/ie/default.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://recherche.neuf.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.neuf.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.carrefour.fr

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://recherche.neuf.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://recherche.neuf.fr/ie/default.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

O1 - Hosts: ::1 localhost

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide

O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe

O4 - HKLM\..\Run: [Google Desktop Search] "C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startup

O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKCU\..\Run: [sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe

O4 - HKCU\..\Run: [bgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O13 - Gopher Prefix:

O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab56907.cab

O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~2\GOEC62~1.DLL

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: GoogleDesktopManager - Google - C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe

O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe

O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe

O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe

 

--

End of file - 7206 bytes

 

 

Si tu repères quelque chose dit le moi

 

Merci

oGu Godlike Member

oGu

Posté(e)
Posté(e)

Le log est propre.

 

HijackThis ne détectant pas (ou rarement) les infections rootkitées, scanne à nouveau avec BlackLight, à titre de vérification, et poste le rapport s'il détecte des "hidden files".

Rejoindre la conversation

Vous pouvez publier maintenant et vous inscrire plus tard. Si vous avez un compte, connectez-vous maintenant pour publier avec votre compte.
Remarque : votre message nécessitera l’approbation d’un modérateur avant de pouvoir être visible.

Invité
Répondre à ce sujet…

×   Collé en tant que texte enrichi.   Coller en tant que texte brut à la place

  Seulement 75 émoticônes maximum sont autorisées.

×   Votre lien a été automatiquement intégré.   Afficher plutôt comme un lien

×   Votre contenu précédent a été rétabli.   Vider l’éditeur

×   Vous ne pouvez pas directement coller des images. Envoyez-les depuis votre ordinateur ou insérez-les depuis une URL.

×
 Partager
Aller sur la liste des sujets

  • En ligne récemment   0 membre est en ligne

    • Aucun utilisateur enregistré regarde cette page.
×
×
  • Créer...