Infection par win:32TratBHO [Trj]

[oGu]

Ok, Ewido a trouvé des bricoles: des cookies traceurs (pas méchant) et deux downloaders de virus:

 

Ewido

 

• Double-clique sur le fichier ewido_micro.exe pour l'exécuter.
  
• Le programme va demander dès son lancement un accès internet pour se mettre à jour, accepte.
  
• Puis, un nouvel écran apparaît, assure toi que toutes les cases soient cochées.
  
• Clique sur Start Scan et laisse l'outil travailler.
  
• Quand l'outil à fini, clique sur Remove infections
  

[tyrex974]

Alors j'ai tout fait ce que tu m'a demandé et je suis en train de mettre a jour Internet Explorer

j'espére que maintenant mon pc est 'clean'

[oGu]

j'espére que maintenant mon pc est 'clean'

 

En toute logique, oui! T'as bien bossé!

 

Poste un ultime rapport HijackThis pour que l'on s assure que tout est propre.

 

Maintenant si tu le souhaites, on pourra sécuriser ton PC, et tu pourras apprendre quelques réflexes à avoir pour éviter les infections.

[tyrex974]

Ben il faut encore que je te remercie (et oui) pour tout ce temps que tu a concentré pour m'aider

Cette infection m'aura quand même fait découvert ce super site et appris 2 3 truc sur la sécurité d'un pc.

Maintenant il faut juste que je passe le mot à toute la famille pour une bonne utilisation d'internet.

MERCI.

 

 

voila mon rapport HiJackthis:

 

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 08:06:22, on 28/03/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.5730.0013)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe

C:\WINDOWS\system32\cisvc.exe

C:\WINDOWS\System32\FTRTSVC.exe

C:\WINDOWS\System32\snmp.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\RunDll32.exe

C:\WINDOWS\system32\keyhook.exe

C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

C:\Program Files\ScanSoft\OmniPageSE2.0\OpwareSE2.exe

C:\Program Files\QuickTime\qttask.exe

C:\WINDOWS\system32\LXSUPMON.EXE

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\PROGRA~1\Wanadoo\TaskBarIcon.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Program Files\Wanadoo\GestionnaireInternet.exe

C:\Program Files\Nikon\PictureProject\NkbMonitor.exe

C:\PROGRA~1\HEWLET~1\HPSHAR~1\hpgs2wnf.exe

C:\Program Files\Wanadoo\ComComp.exe

C:\PROGRA~1\Wanadoo\Toaster.exe

C:\PROGRA~1\Wanadoo\Inactivity.exe

C:\PROGRA~1\Wanadoo\PollingModule.exe

C:\WINDOWS\System32\ALERTM~1\ALERTM~1.EXE

C:\Program Files\Wanadoo\Watch.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\MSN Messenger\usnsvc.exe

C:\WINDOWS\system32\cidaemon.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.msn.fr/spbasic.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Orange

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll

O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll

O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll

O4 - HKLM\..\Run: [siSUSBRG] C:\WINDOWS\SiSUSBrg.exe

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe

O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\GestMaj.exe TaskBarIcon.exe

O4 - HKLM\..\Run: [siS Windows KeyHook] C:\WINDOWS\system32\keyhook.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [OpwareSE2] "C:\Program Files\ScanSoft\OmniPageSE2.0\OpwareSE2.exe"

O4 - HKLM\..\Run: [OPSE reminder] "C:\Program Files\ScanSoft\OmniPageSE2.0\EregFre\Ereg.exe" -r "C:\Program Files\ScanSoft\OmniPageSE2.0\EregFre\ereg.ini"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [PrinTray] C:\WINDOWS\System32\spool\DRIVERS\W32X86\2\printray.exe

O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\system32\LXSUPMON.EXE RUN

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [WOOKIT] C:\Program Files\Wanadoo\GestMaj.exe GestionnaireInternet.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'Default user')

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O4 - Global Startup: NkbMonitor.exe.lnk = C:\Program Files\Nikon\PictureProject\NkbMonitor.exe

O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm

O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx

O8 - Extra context menu item: Easy-WebPrint Add To Print List - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html

O8 - Extra context menu item: Easy-WebPrint High Speed Print - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html

O8 - Extra context menu item: Easy-WebPrint Preview - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html

O8 - Extra context menu item: Easy-WebPrint Print - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html

O9 - Extra button: Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll

O16 - DPF: {9122D757-5A4F-4768-82C5-B4171D8556A7} (PhotoPickConvert Class) - http://appdirectory.messenger.msn.com/AppD...ap/PhtPkMSN.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{1279FC58-184D-4334-98C3-4BB63A3F0F91}: NameServer = 80.10.246.130 80.10.246.3

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe

O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

 

--

End of file - 7519 bytes

[oGu]

Maintenant il faut juste que je passe le mot à toute la famille pour une bonne utilisation d'internet.

 

Effectivement, maintenant que tu en sait davantage, merci de faire profiter de tes connaissances pour aider ton entourage: indique-leur que des forums comme Zebulon existent pour désinfecter, explique-leur les risques des infections, du peer-to-peer etc...Ainsi tu auras rendu service à ton tour dans la lutte antimalware.

 

Je reviendrai en fin d'après-midi après le boulot pour t'indiquer la marche à suivre afin de sécuriser ton PC (cette démarche peut s'appliquer sur toute machine propre). A tout à l'heure.

[oGu]

SECURISER SON PC

 

 

 

 

Ce ne sont que des conseils basiques, ils ne sont en rien exhaustifs, mais ils sont efficaces et relativement faciles à mettre en place, à condition de prendre le temps de tout lire et comprendre.

 

Si tu as des questions n'hésite pas!!

 

 

 

Quelques règles de base à respecter en sécurité:

• j'abandonne le peer-to-peer, qui draîne fakes, infections et virus déguisés en cracks.
  
• ne jamais télécharger n'importe quoi sans se renseigner
  
• ne jamais installer n'importe quoi sans se renseigner:: attention aux faux logiciels, les rogues !
  
• j'ai un doute sur un fichier, un programme, un exécutable? Je le scanne avec VirusTotal:
  www.virustotal.com/fr
  
• je me méfie des sites X (et des sites de cracks et warez), très souvent piégés.
  
• je me méfie des sites de jeux en lignes (surtout de type Casino et Poker), très souvent piégés.
  
• ne pas faire une confiance aveugle aux logiciels de protection: ils sont tous faillibles.
  
• je me méfie des mails que je reçois
  
• je en connecte pas mes clés USB n'importe où
  
• je me méfie de MSN, Windows live Messenger etc..., cibles d'infections quotidiennes
  
• la première cause d'infection est le manque de prudence et de discernement de l'internaute
  
• je ne clique pas sur n'importe quoi et je me méfie du Net, qui est autant un espace de loisir qu'un espace de profits, où certains sont sans foi ni loi.
  

 

 

CREER UN COMPTE LIMITE

 

Explications: Pour sécuriser ta machine lors de tes surfs, la première chose à faire est de créer un COMPTE LIMITE sur ta machine: dorénavant, tu te connecteras sur ce compte pour surfer ou chatter, et ainsi aucun ver, virus, codec porno infectieux, trojan (la liste est longue!) etc... ne pourra s'installer ou s'éxecuter, car les comptes limités INTERDISENT ces actions sur ton PC. C'est la plus simple et la plus efficace des protections.

 

Ton compte actuel, qui est ADMINISTRATEUR, pourra être utilisé pour de la maintenance, des installations de logiciels etc...

 

• Va dans le "Panneau de configuration"
  
• Dans l'onglet "Compte utilisateur", crée un nouveau compte :
   
  
  
• Règle-le sur "Compte limité" :
   
  
   
   
   
   
   
   
   
  INSTALLER UN HOST
   
   
  Explications: Un hosts est un simple fichier texte recensant les sites à risque (contenant des exploits, des failles de sécurité, des virus etc...); ce fichier va INTERDIRE à ta machine de s'y connecter. Simple et redoutable! On va utiliser un logiciel qui automatise la création d'un hosts: HpHosts
   
  
• Télécharge le logiciel HpHosts
  
• Installe-le en cliquant successivement sur "next" puis "install"
  
• Avant la fin de l'installation une fenêtre apparaît: cocher "Disable Windows DNS Client (recommended)"
   
  
  
• Redémarre
  
• Supprime HpHosts
  

 

 

 

FERMER LES PORTS

 

Explications: par défaut, XP comporte de nombreux ports ouverts, qui sont autant de cibles pour les pirates et les infections, qui profitent de ces failles.Nous allons donc verrouiller les ports inutiles (mais dangereux!) avec ZebProtect, créé par des membres de Zebulon

 

• Télécharge le logiciel ZebProtect
  
• Suis le tuto de Tesgaz
  

 

 

 

 

RENFORCER LE REGISTRE

 

Explications: par défaut, le regsitre de Windows n'est pas optimisé pour combattre certains risques sécuritaires: en renforçant le registre avec un peu de "hardening" (= création et modifications de clés), on sécurise le système contre certaines attaques ciblées. Un logiciel automatise ces modifications (qui sont dangereuses et difficiles à faire à la main): ZigStack

 

• Télécharge le logiciel ZigStack
  
• Décompresse l'archive sur ton bureau et ouvre le dossier "bin".
  
• Clique sur l'executable Zigstack.
  
• Clique en bas sur "select all" puis sur " set hardening".
  
• Redémarre.
  
• Pour voir si cela a fonctionné ouvre à nouveau Zigstack et assure-toi que chaque élément soit "enabled" (colonne à droite).
  
• Si oui tu peux supprimer Zigstack de ton PC.
  

 

 

 

SECURISER TA BOX

 

Explications: les routeurs sont équipés de pare-feu qui complètent très efficacement le firewall de ton PC: jette un oeil sur ce tuto, en espérant que ta Box y soit détaillée.

 

 

 

 

PROTEGER LE NAVIGATEUR, LA MESSAGERIE et ton logiciel de TCHAT

 

Explications: ces 3 catégories de logiciels sont les premiers pourvoyeurs de virus car ils se conncetent au net: en restreignant leurs droits, tu limite drastiquement les risques que des virus se faufilent par ton navigateur ou tes mails . Un logiciel permet de restreindre les droits: StripMyRights

 

Suis mon petit tuto sur Libellules.

 

 

 

 

UTILISER ET SECURISER FIREFOX

 

Explications: Firefox est un navigateur mieux protégé que Internet Explorer, et qui permet via des extensions de le rendre encore plus sécuritaire.

 

• Utilise exclusivement FIREFOX
  
• Sécurise-le avec les extensions suivantes:
  • extension AdBlock Plus contre les publicités.
    
  • avec AdBlock Plus, installe les filtres Liste FR + EasyList en abonnement
    
  • extension Customize Google:disparation des pubs Google et anonymisation des cookies Google
    

  [*] Ta navigation sera plus sûre et agréable.

 

 

 

 

NETTOYER LES FICHIERS TEMPORAIRES

 

Explications: les fichiers temporaires, en plus d'avoir une utilité limitée dans le temps, sont un emplacement privilégié pour les droppers et virus. Il faut donc les supprimer de temsp à autres avec CCleaner.

 

• Télécharge CCleaner Slim
  
• Installe-le
  
• LanceCCleaner Slim:
  
• Clique sur l'onglet "Nettoyeur"
  
• Clique sur le bouton "Lancer le nettoyage"
  
• Clique sur l'onglet : "Registre"
  
• Clique sur "Rechercher des erreurs" puis "Corriger les erreurs"
  
• Répond "oui" à la demande de sauvegarde proposée par le logiciel et enregistre-là dans tes documents
  

 

 

 

VACCINER SON PC CONTRE LES INFECTIONS de CLES USB

 

Explications: on trouve de plus en plus de virus spécialement conçus pour s'installer sur une clé USB, et qui, une fois connecteé sur ton PC, reproduit le virus sur ton système (et comme on connecte parfois ses clés sur des PC dont on ne connaît pas la santé, au boulot, au Web café, chez des amis etc..., mieux vaut se prémunir!). Un logiciel automatise cette vaccination: VaccinUSB

 

 

• Télécharge VaccinUSB (qui en est le créateur?? C'est toi Gof??)
  ATTENTION:certains antivirus réagissent à son téléchargement: ignore l'alerte, ou bien désactive l'antivirus: VaccinUSB est un logiciel sain!!
  
• Colle VaccinUSB sur ton disque C:\ (et pas ailleurs!) de manière à obtenir ceci: C:\VaccinUSB
  
• Double-clique dessus
  

 

-----------------> VaccinUSB, à l'image d'un vaccin, va créer sur ta clé de faux virus inoffensifs portant le nom des vrais virus: ainsi si un virus USB tente de s'installer sur ton PC, il ne le fera pas car il aura l'impression d'être déjà installé ! Par ailleurs il va protéger ton autorun en empêchant sa modification par un virus.

 

 

Tu peux faire la même opération sur tes clés USB et sur ton disque dur externe, en collant VaccinUSB sur chaque support amovible et en l'exécutant.

 

 

 

 

SAUVEGARDER LE SYSTEME

 

Explications: maintenant que ton PC est sain et sécurisé, on va en faire une sauvegarde que l'on pourra utiliser en cas de coup dur (nouveau virus faisant beaucoup de dêgats, mort du disque dur etc...). Cette sauvegarde s'appelle un "image-disque"; il existe un freeware très efficace: DriveImage XML

 

• Lance d'abord Ccleaner afin de nettoyer ton PC
  
• Défragmente ton PC
  
• Connecte ton disque dur externe.
  
• Télécharge puis installe DriveImage XML
  
• Lance Drive Image: dans le menu à gauche , choisis "backup" (= sauvegarde)
   
  
  
• Dans la nouvelle fenêtre, sélectionne ton disque C en haut de la fenêtre, de manière à ce qu'il soit surligné, puis clique en bas sur "next"
   
  
  
• Une nouvelle fenêtre s'ouvre: contrôle que ce soit bien le disque C qui apparaisse, puis clique sur "next"
   
  
  
• Une nouvelle fenêtre s'affiche, c'est là qu'il faut être vigilant:
  
• Dans la première ligne, tu dois indiquer l'endroit où sera créée l'image: TU NE PEUX PAS LA CREER SUR C:\.
  
• Il te faut donc indiquer le chemin de ton disque dur externe, en parcourant ton PC avec le bouton à droite.
  
• L'idéal est d'indiquer dans le chemin le nom d' un dossier intitulé, par exemple, Sauvegarde Drive Image.
  Nota: Drive Image créera ce dossier tout seul .
  
• Dans la seconde partie de cette fenêtre, contrôle que ce soit bien le disque C:\ qui apparaisse;
  
• dans la partie "options":
  * ne pas sélectionner Raw Mode (cette option crée une image inexploitable pour ce qui nous importe)
   
  * sélectionner "split large files", qui permettra à Drive Image de découper l'image en plusieurs parties
   
  * sélectionner "compressed" afin de compresser l'image pour qu'elle soit plus légère.
  
• Dans la partie "Hot Imaging Strategy" à droite , laisse le choix par défaut : Try Volume Locking First (Drive Image va d'abord essayer de créer l'image en verrouillant ton disque).
   
   
  
  
• Quant tout est OK, clique sur "NEXT": la création de l'image va se lancer.
  
• Une fenêtre d'avertissement apparaît, répond "oui" à la question.
   
   
  
   
  
  
• La création de la sauvegarde peut prendre un peu de temps (variable selon la puissance de ton PC , la qualité de tes disques et la taille de tes données sur C:\)
  
• Une barre de progression t'indique le temps restant et le pourcentage du travail effectué.
   
  IMPORTANT: pendant la création de l'image, NE FAIS RIEN SUR TON PC (de toute façon tu ne pourras pas car Drive Image aura verrouillé ton PC).
  
• Un message t'indiquera que l'opération est terminée.
  

 

 

Bon travail !

 

Modifié le 28 mars 2008 par oGu

[oGu]

Yo!

 

Je complète ma procédure !!

 

SUPPRESSION DES LOGICIELS DE DESINFECTION

 

Explications: Les logiciels que je t'ai fait utiliser ne doivent pas être utilisés sans c[/color][/color]onnaissances sur leurs fonctions et leurs rôles: mal utilisés, ils peuvent plus de mal que de bien. Nous allons donc les désinstaller.

Efface:

• VundoFix
  
• SDFix
  
• OtMoveIt
  
• SmitFraudFix
  

 

 

 

EWIDO & MALWAREBYTES ANTIMALWARE

 

Garde ces deux antispywares gratuits et lance un scan tous les mois: si le rapport est positif, poste un message d'aide sur le forum en joignant le rapport.

Modifié le 29 mars 2008 par oGu