[ résolu] infection virus aide analyse log hijacktis

[crumble44]

bonsoir WawaSeb

 

 

désolé pour les 3 transmissions MAD "intempestives" ..., ceci dit leur enchainement de fenêtres n'est pas non plus très clair !

 

sinon je ne remarque rien de particulièrement anormal sur la machine.

ceci dit il est vrai que j'évite les connexions tant que nous n'avons pas terminé le nettoyage, et fait ensuite une remise à niveau de sécurité si nécessaire comme tu as pu le constater !!!

 

en attendant je trouve le nettoyage passionnant et très instructif, et puis il y a comme un petit côté feuilleton à suspens sympa !

et en plus c'est convivial ! re

donc merci à toi,

 

et @ bientôt pour les résultats MAD

[WawaSeb]

Bonjour crumble44,

 

 

sinon je ne remarque rien de particulièrement anormal sur la machine.

--> Les nouvelles sont excellentes apparemment, c'est super ! Tu as bien travaillé...

--> Par contre, nous n'avons pas encore l'analyse du fichier...

 

 

# Clique sur "démarrer", puis sur "Exécuter".

--> Tape sans les guillemets "msconfig" ; dans l'onglet "démarrage", décoche la case suivante (tu pourras la recocher si un programme ne fonctionne plus correctement)

• [megebipu] C:\Program Files\Windows Media Player\megebipu77798.exe (si pas nécessaire au démarrage)
  

--------> Redémarre ta machine et teste tous tes logiciels.

--------> Si tu rencontres un problème, il suffira de faire la manipulation inverse en recochant la case !

 

Note : Au redémarrage suivant, il faudra que tu coches la case comme indiqué sur cette image :

 

-> C'est normal !

 

Tiens-nous au courant,

 

Bon dimanche !

[crumble44]

bonjour WawaSeb

 

 

tout à l'air de bien fonctionner après la manip par msconfig

bravo à toi avant le grand merci final !!!

il ne reste plus en effet qu'à attendre l'analyse du fichier, et à "reprotéger" la machine !

 

sinon un truc que je n'avais pas encore signalé car il ne m'inquiétait pas du tout : je pensais que mon écran avait rendu l'âme il y a quelques mois (écran devenu bleu/vert), mais j'ai fait un échange ce week end avec un autre et c'est pareil : cela ne vient donc pas de l'écran ni (peut être) d'une infection si nous en sommes arrivés au bout. Je pense donc à la carte graphique, existe t'il un outil pour la tester et savoir si je dois la changer ?

 

@ bientôt

[WawaSeb]

Bonjour crumble44,

 

*** Je retiens ton problème d'affichage, mais je voudrais que nous terminions la partie "Désinfection" avant de nous pencher sur ce souci ! ***

--> Cela ne vient pas d'une infection !

 

 

tout à l'air de bien fonctionner après la manip par msconfig

--> Ce fichier m'intrigue, je vais relancer les experts sympas de MAD...

 

 

1) Télécharge ToolsCleaner! de A.Rothstein pour enlever les programmes que nous avons utilisés pendant la procédure.

• Enregistre ToolsCleaner2.exe sur le Bureau.
  
• Double-clique dessus, puis clique sur Recherche --> Le programme va chercher les utilitaires installés
  ------> Il se peut que la fenêtre devienne blanche pendant le scan, c'est normal !
  
• Quand il a terminé, clique sur le bouton "Suppression" <-- Vérifie qu'il n'y a aucun fichier à garder dans la liste !
  
• Copie-colle le contenu du rapport qui apparait dans la fenêtre blanche.
  

 

2) # Ton Windows n'est pas à jour du tout ! C'est très dangereux et tu risques de te faire ré-infecter trop vite, même avec un pare-feu...

 

---> Rends-toi sur le site de Windows Update et télécharges-y toutes les mises à jour disponibles

 

° Attention : la mise à jour subite de ton système peut occasionner d'autres plantages, surtout après une infection...

 

 

3) Ta console JAVA n'est pas bien installée, ce qui laisse des failles de sécurité et permet aux malware's de revenir...

• Télécharge la dernière version de Java Runtime Environment (JRE) 6.
  
• Descends sur la page jusqu'à "Java Runtime Environment (JRE) 6u4, The Java SE Runtime Environment (JRE) allows end-users to run Java applications".
  
• Clique alors sur "Download"
  
• Arrivé sur cette page-ci, remplis les champs comme indiqué sur l'image et clique sur "Continue"
  
  
• Coche la case et accepte la license
  
• La page se recharge
  
• Coche la case Windows Offline Installation et clique sur jre-6u4-windows-i586-p.exe
  
• Ferme tous tes programmes (surtout les navigateurs Internet)
  
• Clique sur "démarrer", "panneau de configuration", "ajout/suppression de programmes" et désinstalle toutes les anciennes versions de JAVA
  
• Sélectionne tout ce qui contient "Java Runtime Environment (JRE ou J2SE)".
  
• Clique sur le bouton "modifier / supprimer"
  
• Répète les points 9 et 10 autant de fois que nécessaire pour enlever toutes les autres versions de JAVA
  
• Redémarre ta machine
  
• Après le reboot, clique sur jre-6u4-windows-i586-p.exe pour installer la nouvelle version... suis les instructions à l'écran
  

 

--> Poste le rapport et fais-moi signe quand tu es prêt !

Bonne après-midi à toi...

 

[crumble44]

Bonsoir WawaSeb

 

hé hé !

me voici de retour après avoir traversé les océans des mises à jour !!!!!

 

et les "miracles" existants toujours, (ceux de l'informatique en tout cas), je ne déplore aucun plantage après toutes les manip !

 

je te poste le rapport demandé (celui de ToolsCleaner je suppose, ou c'était un hijackthis que tu voulais ?)

 

-->- Recherche:

 

C:\HijackThis: trouvé !

C:\_OtMoveIt: trouvé !

C:\Documents and Settings\Administrateur\Bureau\OtMoveIt2.exe: trouvé !

C:\Documents and Settings\All Users\Bureau\Navilog1.lnk: trouvé !

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis: trouvé !

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Navilog1: trouvé !

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis\HijackThis.lnk: trouvé !

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Navilog1\Navilog1.lnk: trouvé !

C:\Documents and Settings\Propriétaire\Application Data\Microsoft\Office\Fichiers récents\MSNFix.lnk: trouvé !

C:\Documents and Settings\Propriétaire\Bureau\SdFix.exe: trouvé !

C:\Documents and Settings\Propriétaire\Bureau\HijackThis.lnk: trouvé !

C:\Documents and Settings\Propriétaire\Bureau\DiagHelp.zip: trouvé !

C:\Documents and Settings\Propriétaire\Bureau\Gmer.zip: trouvé !

C:\Documents and Settings\Propriétaire\Bureau\Msnfix.zip: trouvé !

C:\Documents and Settings\Propriétaire\Bureau\OtMoveIt2.exe: trouvé !

C:\Documents and Settings\Propriétaire\Bureau\Navilog1.exe: trouvé !

C:\Documents and Settings\Propriétaire\Bureau\HJTInstall.exe: trouvé !

C:\Documents and Settings\Propriétaire\Bureau\DiagHelp: trouvé !

C:\Documents and Settings\Propriétaire\Bureau\MsnFix: trouvé !

C:\Documents and Settings\Propriétaire\Bureau\DiagHelp\DiagHelp: trouvé !

C:\Documents and Settings\Propriétaire\Bureau\DiagHelp\DiagHelp\tar.exe: trouvé !

C:\Documents and Settings\Propriétaire\Bureau\DiagHelp\DiagHelp\LFiles.exe: trouvé !

C:\Documents and Settings\Propriétaire\Bureau\DiagHelp\DiagHelp\gzip.exe: trouvé !

C:\Documents and Settings\Propriétaire\Bureau\MSNFix\MsnFix: trouvé !

C:\Documents and Settings\Propriétaire\Recent\MSNFix.lnk: trouvé !

C:\Documents and Settings\Propriétaire\Recent\HijackThis.lnk: trouvé !

C:\hijackthis\HijackThis.exe: trouvé !

C:\Program Files\Navilog1: trouvé !

C:\Program Files\Navilog1\Navilog1.bat: trouvé !

C:\Program Files\WIDCOMM\Logiciel Bluetooth\gzip.exe: trouvé !

C:\WINDOWS\Gmer.exe: trouvé !

 

 

Restauration annulée !

---------------------------------

-->- Suppression:

C:\Documents and Settings\Administrateur\Bureau\OtMoveIt2.exe: supprimé !

C:\Documents and Settings\All Users\Bureau\Navilog1.lnk: supprimé !

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis\HijackThis.lnk: supprimé !

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Navilog1\Navilog1.lnk: supprimé !

C:\Documents and Settings\Propriétaire\Application Data\Microsoft\Office\Fichiers récents\MSNFix.lnk: supprimé !

C:\Documents and Settings\Propriétaire\Bureau\SdFix.exe: supprimé !

C:\Documents and Settings\Propriétaire\Bureau\HijackThis.lnk: supprimé !

C:\Documents and Settings\Propriétaire\Bureau\DiagHelp.zip: supprimé !

C:\Documents and Settings\Propriétaire\Bureau\Gmer.zip: supprimé !

C:\Documents and Settings\Propriétaire\Bureau\Msnfix.zip: supprimé !

C:\Documents and Settings\Propriétaire\Bureau\OtMoveIt2.exe: supprimé !

C:\Documents and Settings\Propriétaire\Bureau\Navilog1.exe: supprimé !

C:\Documents and Settings\Propriétaire\Bureau\HJTInstall.exe: supprimé !

C:\Documents and Settings\Propriétaire\Bureau\DiagHelp\DiagHelp\tar.exe: supprimé !

C:\Documents and Settings\Propriétaire\Bureau\DiagHelp\DiagHelp\LFiles.exe: supprimé !

C:\Documents and Settings\Propriétaire\Bureau\DiagHelp\DiagHelp\gzip.exe: supprimé !

C:\Documents and Settings\Propriétaire\Recent\MSNFix.lnk: supprimé !

C:\Documents and Settings\Propriétaire\Recent\HijackThis.lnk: supprimé !

C:\hijackthis\HijackThis.exe: supprimé !

C:\Program Files\Navilog1\Navilog1.bat: supprimé !

C:\Program Files\WIDCOMM\Logiciel Bluetooth\gzip.exe: supprimé !

C:\WINDOWS\Gmer.exe: Erreur de suppression !

C:\HijackThis: supprimé !

C:\_OtMoveIt: supprimé !

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis: supprimé !

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Navilog1: supprimé !

C:\Documents and Settings\Propriétaire\Bureau\DiagHelp: supprimé !

C:\Documents and Settings\Propriétaire\Bureau\MsnFix: supprimé !

C:\Program Files\Navilog1: supprimé !

 

 

(Nota : il me reste encore un dossier SFP sur le bureau)

 

voila, je suis prêt pour la suite

 

 

@ bientôt

[WawaSeb]

Bonsoir crumble44,

 

*** Tu peux être très fier de ton excellent travail !!! ***

--> Je vais relancer MAD pour le fichier, mais à mon avis, tu pourras le supprimer complètement...

 

 

Je suis ravi d'avoir pu t'aider...

Si tu veux avoir plus d'infos sur les virus et la sécurité informatique, tu peux consulter la page d'IPL à cette adresse

 

1) Voici une liste de recommandations personnelles pour éviter de te faire infecter :

1. Garde une version de Windows légale et à jour
   
2. Utilise un compte limité pour surfer : voir cette page (merci JoK) ou Microsoft !
   
3. Utilise FireFox ou un autre navigateur qui ne prend pas en charge les contrôles ACTIVE-X (vecteurs d'infections)
   
4. Evite les sites douteux, illégaux, pornographiques, ...
   
5. Méfie-toi des programmes gratuits (financés par...)
   
6. Fuis le Peer To Peer (Kazaa, Bearshare, ...)
   
7. Garde un Antivirus à jour !
   
8. Ne clique jamais sur des liens non annoncés dans une messagerie instantannée
   
9. N'ouvre jamais de pièce jointe non prévue dans un mail !
   

 

2) Tu peux dénoncer ton infection :

 

Malware Complaints est une coopération entre beaucoup d’assistants anti-malware et d’experts de partout dans le monde. De tous les coins du monde, ces gens se sont unis pour faire en sorte que les utilisateurs, peu importe de quelle partie du monde ils sont originaires, puissent déposer une plainte contre le malware et leurs auteurs.

 

********************************************************************************

Dénonce ton infection pour faire condamner les auteurs.

Crée un message pour faire avancer les choses sur Malware-Complaints, nous devons être le plus nombreux possibles, alors rends compte de ton infection :

- Voir les règles du forum : http://www.malwarecomplaints.info/viewtopic.php?t=5

- Après t'être enregistré à l'aide du bouton en haut register

Si tu as plus de 13 ans, choisir : I Agree to these terms and am over or exactly 13 years of age

Si tu as moins, clique sur : I Agree to these terms and am under 13 years of age

 

Tu as alors sous forme de liste un sujet par type d'infection (Look2Me, Smitfraud, SpywareQuake etc..).

Si le malware que tu as eu n'apparaît pas dans la liste, ou si tu ne sais pas par quoi tu étais infecté(e), crée un message dans le sujet Autres infections conforme au règle du forum (age, ville, département etc..)

---> http://www.malwarecomplaints.info/viewforum.php?f=10

Tes infections principales : NaviPromo et SDBot

 

Plus d'info sur MalwareComplaints ici : http://forum.zebulon.fr/index.php?showtopic=88688

canned de Malekal_morte : http://www.malekal.com/

 

 

Plus d'info sur le topic d'Ipl_001 ici (merci à Kimberly!!) =>

http://forum.zebulon.fr/index.php?showtopic=88688

 

 

3) Tu peux également éditer le titre de ton topic et lui ajouter la mention "[Résolu]" (sans les guillemets)

 

#

Ouvre ton premier po

s

t

#

Clique

s

ur le bouton

Editer

--->

Edition compl

è

te

#

Ajoute [R

é

s

olu] au titre de ton

s

ujet

 

En espérant de tout coeur que tu ne te feras plus infecter...

[crumble44]

bonjour WawaSeb

 

c'est plutot de ton travail dont je suis fier !!!!!

 

vraiment un grand merci pour ton aide et pour ton temps.

pour les conseils également : aussi utiles qu'objectifs (ça fait faire beaucoup de lecture mais c'est excessivement instructif sur le comportement et les outils à avoir ...)

 

un grand merci à zebulon pour l'ensemble de son oeuvre, que j'ignorai jusqu'à lors et dont je suis maintenant un fidèle visiteur convaincu !

 

j'espère au plus tard possible (ce sera bon signe de machine saine) mais @ bientôt !

[WawaSeb]

Bonsoir crumble44,

 

Je te remercie pour ton mot gentil...

Il y a là derrière toute une communauté internationale dont tu ne soupçonnes peut-être pas l'existence...

 

Certes, les helpers interviennent sur les forums, les modérateurs et la "partie visible de l'iceberg", mais il y a aussi les programmeurs, les experts qui analysent les nouvelles menaces, ...

 

Bref, tout ce petit monde est intéressé (voire obsédé) par l'informatique et c'est un réel plaisir de pouvoir en profiter pour aider ceux qui rencontrent des problèmes...

 

---------------------------------------------------------------------------------------------------------------------

 

Dans un message précédent, tu m'as parlé d'un certificat supplémentaire et j'ai oublié de te répondre :

 

* Ferme Internet explorer s'il est ouvert.

* Rend toi dans ton Menu démarrer, Paramètres, Panneau de configuration, Options Internet

* Clique sur l'onglet Contenu, puis Certificats.

* Dans tous les onglets, Personnel, Autres personnes, etc. cherche et supprime (si tu les trouves) :

• OOO <<Favorit>>
  

Note : si tu es capable avant de le supprimer d'exporter ce certificat et de nous l'envoyer, IL-MAFIOSO pourra intégrer sa suppression à la prochaine version de son fix !

 

---------------------------------------------------------------------------------------------------------------------

 

En ce qui concerne ton message écrit en privé, je me permets de te répondre ici :

• Le fichier est introuvable aussi dans l'archive, il n'existe sans doute plus sur ton PC : 99 chances sur 100 qu'il était mauvais !
  
• En ce qui concerne ton problème d'affichage, je vais te demander quelques renseignements sur ta configuration matérielle et logicielle...
  

--> Clique sur "démarrer" -> "Exécuter" -> tape sans les guillemets "devmgmt.msc" (+OK)

 

 

--> Clique sur le petit "+" à côté de "Cartes graphiques", puis sur le nom qui apparaît en-dessous (2 fois avec le bouton de gauche)

--> Clique ensuite sur l'onglet "Pilote" et reproduis-moi les 5 premières lignes (Nom, fournisseur, date et version !)

--> Dans les options d'affichage, vois-tu une option permettant de remettre les paramètres par défaut ?

 

 

Il ne me reste qu'à te souhaiter une excellente soirée...

 

[crumble44]

bonjour WawaSeb

 

merci de ta réponse

quand je te disais "finies les vacances" je ne pensais pas me remettre au boulot de sitot ... mais tu le découvriras en fin de mon message ...

 

1/ j'ai bien réussi à exporter le certificat, sauf qu'il est en "standard de syntaxe de message cryptographique Certificats PKCS#7 (.p7b)" car je n'ai pas eu le choix de l'option en PKCS12 (grisé inacessible).

Comment faire pour t'envoyer le fichier ?

 

Remarque : le fait que PKCS12 soit grisé inacessible peut il venir du fait que lorsque j'ai installé Zeb Protect (eh oui ...) j'ai suivi les tuto de Tesgaz sur Speedweb et Assiste .com demandant en plus de désactiver bon nombres de .exe et de services en mode démarrage ??

(de plus mais cela n'a peut être rien à voir, je n'ai plus aucun accès au site de Malekal, même ses bannières placées à la fin de tes messages n'apparaissent plus sur mon écran ...)

 

2/ pour la carte grahique, ils'agit de :

radeon 9200

ATI Technologies Inc

date du pilote : 19/07/2003

version du pilote : 6.14.10.6374

signature numérique Microsoft Windows Hardware Copatibility Publ

 

je n'ai pas vu de proposition de "rétablir par défaut", juste une case mise à jour du pilote ?

 

3/ nouveautés ...

 

afin d'améliorer ma protection, j'ai installé Comodo (très bien évalué chez Matousec...) version 3 en free, pour remplacer le pare feu windows.

c'est la que ça devient interessant.

bien que je n'ai pas demandé son installation avec son nouveau complement "anti virus" nommé Defense+ (il y a d'ailleurs un sujet je ne sais plus ou sur un forum zebulon entre Sacles et d'autres sachants (non péjoratif) ), à l'install il ne m'a pas laissé le choix que de faire un scan de l'ordi.

son scan à trouvé le pb suivant qu'il a nommé

Trojan.Win32.Patched.m(ID=Ox7094a)

 

(un scan complet spybot et antivir de la veille n'avait rien trouvé, même si ça veut rien dire ...)

et il m'a proposé de "traiter" les deux lignes suivantes :

 

windows\service pack files\i386\winlogon.exe

windows\system32\winlogon.exe

 

par "précautions" je n'ai rien détruit et je lui ai demandé de les mettre dans sa quarantaine.

puis direct, fin d'install et me demande de redémarrer la machine

 

Et la, (mais tu t'en doutes peut etre déjà), la mire windows XP apparait quelques secondes, puis l'ordi s'éteint, puis se rallume avec la mire windows XP apparait quelques secondes, puis l'ordi s'éteint .../...

La boucle infernale quoi.

 

Je redémarre en mode sans échec :

ça marche (ouf), scan antivir qui ne dit rien, puis je réfléchis ....

j'ouvre Comodo et j'essaie en vain d'enlever mes fichiers en quarantaine en me disant c'est ça qui bloque tout (tu penses win logon ça doit bien servir à démarrer quelque chose !) mais sans succès.

 

je décide donc de rentrer dans la config de Comodo, de baisser son niveau de protection, de fermer sa fonction "anti virus", puis de rédémarrer en mode normal.

 

ça marche !!

mais c'est pas fini !!

une boite de dialogue windows s'ouvre pour m'insulter :

"vous avez utilisé l'utilitaire configuration système pour modifier la manière dont windows démarre. L'utilitaire système est actuellement en mode de démarrage Diagnostic ou Sélectif ce qui provoque l'affichage de ce message et l'exécution de l'utilitaire à chaque démarrage windows. Choisissez le mode de démarrage normal dans l'onglet General pour démarrer windows de façon normale et annuler les modifications effectuées à l'aide de l'utilitaire configuration système"

 

Ce que je fais.

il faut dire aussi que lors de l'install de Comodo, à un moment j'ai eu une fenêtre de Spybot me demandant si j'acceptais la demande Comodo de modifier ou s'inscrire dans la base de registre (un truc comme ça, je ne sais plus bien malheureusemnt mais cela m'a paru normal puisque nous étions en cours d'install, j'ai accepté. C'est peut être à ça que fait référence la boite de dialogue citée ci dessus.

 

ensuite je ferme tout Comodo, je remets le pare feu windows, et je fais ms config pour décocher le démarrage de Comodo, normal non !

Sauf que la, 2 surprises !! :

 

le fameux fichier megebipu que nous ne trouvions nulle part :

1/ n'est plus dans la liste du menu des programmes. Bonne nouvelle !

sauf qu'entre temps j'ai un message de Spybot (j'ai activé une fonction de guard résident) qui me signale que megebipu (et oui c'est bien lui !) :

Catégorie : System Startup global entry

Modif : Valeur ajouté(e)

Element : megebipu

 

Je refuse la modif bien sur !

Je ne sais toujours pas coller une image sur le forum alors voici le lien Hiboox de ma capture d'écran !

http://www.hiboox.com/lang-fr/image.php?img=plpm1hup.jpg

 

2/ sur l'écran affichage du ms config je vois une ligne blanche, cochée, qui se lance donc au démarrage ???

en voici le lien Hiboox de ma capture d'écran :

http://www.hiboox.com/lang-fr/image.php?img=kw3ql5rh.jpg

 

 

DONC, voila un résumé (un peu long je sais), de "fini les vacances" ...

tout avait l'air de bien se passer avant l'arrivée de comodo

qu'en pensez vous Docteur ??

[WawaSeb]

Bonsoir crumble44,

 

*** Il me semble que cet exécutable est ré-activé par un autre processus ! ***

 

 

Comment faire pour t'envoyer le fichier ?

--> Je te remercie pour la manipulation, mais IL-MAFIOSO a récemment récupéré ce certificat-là...

 

 

pour la carte grahique

--> Je retiens la référence de ta carte graphique et de son pilote, mais nous avons plus urgent à traiter !

 

 

je n'ai plus aucun accès au site de Malekal

--> Le site de Malekal_morte s'est fait attaquer, je copie ici une partie de son message :

Pour le moment, cela doit aller mieux, mais il se peut que vous soyiez blacklisté et que la connexion soit tout simplement impossible.

Comme par exemple pour Claddy : viewtopic.php?f=30&t=8847&p=65026#p65024

Si c'est le cas, rendez-vous sur ce site pour récupérer votre adresse IP : http://www.adresseip.com/

Envoyez moi votre adresse IP à web_at_malekal.com (remplacer _at_ par @).

 

 

1) Télécharge sur ton bureau OAD (Outil Aide Diagnostic) de !aur3n7 :

• Lance-le en cliquant sur OAD.exe
  
• Entre exactement megebipu, puis appuie sur entrée.
  
• Dans la fenêtre suivante tape 7 puis entrée et laisse le scan se terminer.
  
• Copie-colle la totalité du rapport qui s'ouvre dans le bloc-note.
  

 

2) Télécharge DSS (ex ComboScan) (de Deckard) sur ton Bureau.

• Ferme toutes les applications en cours
  
• Double-clique sur dss.exe pour l'exécuter
  
• A la fenêtre de mise en garde, clique sur OK
  
• A la fin de l'analyse, clique sur OK (cela peut prendre quelques minutes)
  
• Le rapport main.txt s'affichera, envoie ce rapport dans ta prochaine réponse
  

@ bientôt pour la suite des aventures !