[RESOLU] Besoin d'aide pour un erradiquer un virus (revenu)

Fanny56 · le 20 octobre 2008

Falkra,

Ça y est, c'est réglé

En fait, la ligne EnableLUA dans ce truc

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

était absente.

Je l'ai rajoutée.

Il semble que ce soit une conséquence de Bagle (j'ai lu cette soluce sur un site où quelqu'un avait eu aussi ce virus)

Je te remercie en tout cas pour toute ton intervention.

Penses-tu qu'il soit nécessaire que l'on vérifie ensemble que ce virus soit bien totalement disparu de mon ordi ?

A+

Falkra · le 20 octobre 2008

Tu n'as plus Bagle.

Essaie ça, ça ne peut pas faire de mal.

Télécharge Malwarebytes' Anti-Malware (MBAM)

Double clique sur le fichier téléchargé pour lancer le processus d'installation.
Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
Sélectionne "Exécuter un examen rapide"
Clique sur "Rechercher"
L'analyse démarre, le scan est relativement long, c'est normal.
A la fin de l'analyse, un message s'affiche :
L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.
Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
Ferme tes navigateurs.
Si des malwares ont été détectés, clique sur Afficher les résultats.
Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.

NB : Si MBAM te demande à redémarrer, fais-le.

Fanny56 · le 20 octobre 2008

Falkra,

Gros problème, il est revenu

Je pense que c'est à nouveau bagle parce que c'est les mêmes symptomes.

Là je suis sur un autre ordi car je n'ai même plus l'accès à internet.

J'attends ton aide , s'il te plait ?

Il est a priori revenu quand j'ai cliqué sur un truc dans lequel j'avais confiance. Il devait être caché sous un faux nom (est-ce possible ?) . Je crois que ça s'appelait googlebartools.exe mais pas sur (en tout cas ça commençait par google et ça se terminait par .exe). J'avais fait une recherche sur ce nom et ça ne m'avait pas paru suspect.

Modifié le 20 octobre 2008 par Fanny56

Falkra · le 20 octobre 2008

Bagle injecte les antivirus et autres, il faut les réinstaller après nettoyage.

Repasse combofix. Re-télécharge la nouvelle version et écrase ton ancien fichier, gaffe au renommage.

Attention à bien suivre ces instructions en détail, ne pas oublier de renommer combofix.exe AVANT qu'il ne soit téléchargé, quand on peut encore changer le nom du fichier et dire au navigateur où le télécharger.

Télécharge combofix.exe de sUBs et renomme-le combo-fix.exe avant de le sauvegarder sur ton bureau (et pas ailleurs).

Assure toi que tous les programmes sont fermés avant de commencer.
Double-clique combo-fix.exe afin de l'exécuter.
Clique sur "Oui" au message de Limitation de Garantie qui s'affiche.
Il est possible que ton parefeu te demande si tu acceptes ou non l'accès de nircmd.cfexe à la zone sûre: accepte.
Ne ferme pas la fenêtre qui vient de s'ouvrir, tu te retrouverais avec un bureau vide.
Lorsque l'analyse sera terminée, un rapport apparaîtra.
Copie-colle ce rapport dans ta prochaine réponse.
Le rapport se trouve dans : C:\Combofix.txt (si jamais).

Fanny56 · le 20 octobre 2008

Merci Falkra

J'ai retéléchargé combofix avec un autre ordi (car je n'ai plus l'accès internet sur l'ordi infecté). J'ai bien changé le nom. Je l'ai recopier à l'aide d'une clé usb.

J'ai lancé combofix. A un moment il a demandé un redémarrage de l'ordi, et là j'ai une grande page bleue qui commence par :

a problem has been detected and windows has been shut down to prevent damage ....

ça se termine par

initialing disk for crash dump ...

Et rien ne se passe

Que dois-je faire ?

Falkra · le 20 octobre 2008

Combofix doit être téléchargé directement (en général), depuis une clé USB, ça ne marche pas toujours.

En même temps, si tu as réinfecté la machine, ça peut être parun programme pourri.

Tu as MBAM sous le coude, sur la machine ?

Fais un scan avec.

A mettre à jour par clé usb (ça marche) depuis cette page :

http://www.gt500.org/malwarebytes/database.jsp

MBAM peut te shooter Bagle.

Il se peut que ComboFix (rare) endommage ta connexion Internet: si tu ne peux plus te connecter après le scan de cet outil, redémarre ton PC. Si cela s'avère insuffisant, suis cette méthode:

Clique sur le bouton Démarrer.
Clique sur l'option de menu Paramètres.
Clique sur l'option Panneau de configuration.
Après l'ouverture du Panneau de configuration, fais un double clic sur l'icône Connexions réseau. Si ton Panneau de configuration est paramétré pour un affichage en catégories, fais un double clic sur Connexions réseau et Internet puis clique sur Connexions réseau tout en bas.
Tu verras alors une liste de toutes les connexions réseau disponibles. Repère la connexion Réseau local (ou Sans fil si tu es en Wifi) et fais un clic droit dessus.
Tu verras alors un menu similaire à celui de l'image ci-dessous. Clique simplement sur l'option de menu Réparer.

Fanny56 · le 20 octobre 2008

Merci Falkra,

Finalement, après un redémarrage forcé de l'ordi, Combo-fix a continué à s'exécuter et j'ai retrouvé ma connection internet. (je n'ai donc pas installé MBAM)

Voilà le rapport :

ComboFix 08-10-19.04 - Valérie 2008-10-20 18:36:29.1 - NTFSx86

Microsoft® Windows Vista™ Édition Familiale Premium 6.0.6000.0.1252.1.1036.18.1221 [GMT 2:00]

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\Windows\system32\drivers\downld

C:\Windows\system32\drivers\hldrrr.exe

C:\Windows\system32\drivers\srosa.sys

.

((((((((((((((((((((((((((((( Fichiers créés du 2008-09-20 au 2008-10-20 ))))))))))))))))))))))))))))))))))))

.

Pas de nouveau fichier créé dans ce laps de temps

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-10-20 16:44 4,718,592 --sha-w C:\Users\Valérie\ntuser.dat

2008-10-20 14:49 13,119 ----a-w C:\Users\Valérie\AppData\Roaming\nvModes.dat

2008-10-20 14:00 --------- d-----w C:\ProgramData\Google Updater

2008-10-20 13:59 --------- d-----w C:\Program Files\Tap'Touche Junior

2008-10-20 13:59 --------- d-----w C:\Program Files\Picasa2

2008-10-20 13:59 --------- d-----w C:\Program Files\Microsoft Works

2008-10-20 13:59 --------- d-----w C:\Program Files\Microsoft Picture It! 9

2008-10-20 13:59 --------- d-----w C:\Program Files\Google

2008-10-20 13:59 --------- d-----w C:\Program Files\Common Files\Symantec Shared

2008-10-20 11:23 --------- d-----w C:\ProgramData\Symantec

2008-10-20 07:12 --------- d-----w C:\Program Files\Norton 360

2008-10-19 11:50 --------- d-----w C:\Users\Valérie\AppData\Roaming\Symantec

2008-10-19 11:39 --------- d-----w C:\ProgramData\eMule

2008-10-19 08:54 --------- d-----w C:\Program Files\MSECACHE

2008-10-18 19:18 805 ----a-w C:\Windows\system32\drivers\SYMEVENT.INF

2008-10-18 19:18 123,952 ----a-w C:\Windows\system32\drivers\SYMEVENT.SYS

2008-10-18 19:18 10,671 ----a-w C:\Windows\system32\drivers\SYMEVENT.CAT

2008-10-18 19:18 --------- d-----w C:\Program Files\Symantec

2008-10-17 19:04 0 ----a-w C:\ntuser.dat

2008-10-17 17:31 --------- d-----w C:\Program Files\Windows Mail

2008-10-15 17:24 20 ---h--w C:\Users\All Users\PKP_DLbz.DAT

2008-10-15 17:24 20 ---h--w C:\ProgramData\PKP_DLbz.DAT

2008-10-14 11:59 --------- d--h--w C:\Program Files\InstallShield Installation Information

2008-10-14 11:58 --------- d-----w C:\Program Files\PSCS2

2008-10-11 08:06 --------- d-----w C:\Program Files\PhotomatixPro3

2008-10-07 09:22 --------- d-----w C:\ProgramData\{3276BE95_AF08_429F_A64F_CA64CB79BCF6}

2008-10-06 11:18 --------- d-----w C:\Program Files\Common Files\Adobe

2008-10-06 09:17 --------- d-----w C:\ProgramData\FLEXnet

2008-10-05 23:59 --------- d-----w C:\Users\Valérie\AppData\Roaming\Adobe

2008-10-05 23:05 --------- d-----w C:\Users\Valérie\AppData\Roaming\Ahead

2008-10-02 03:49 826,368 ----a-w C:\Windows\System32\wininet.dll

2008-10-02 03:49 56,320 ----a-w C:\Windows\System32\iesetup.dll

2008-10-02 03:49 52,736 ----a-w C:\Windows\AppPatch\iebrshim.dll

2008-10-02 03:48 26,624 ----a-w C:\Windows\System32\ieUnatt.exe

2008-09-18 04:35 3,505,208 ----a-w C:\Windows\System32\ntkrnlpa.exe

2008-09-18 04:35 3,470,904 ----a-w C:\Windows\System32\ntoskrnl.exe

2008-09-18 02:03 2,027,520 ----a-w C:\Windows\System32\win32k.sys

2008-09-01 11:09 --------- d-----w C:\Users\Valérie\AppData\Roaming\XnView

2008-08-26 19:48 --------- d-----w C:\Users\Valérie\AppData\Roaming\Mozilla

2008-08-26 01:12 290,304 ----a-w C:\Windows\system32\drivers\srv.sys

2008-08-06 03:27 428,032 ----a-w C:\Windows\System32\EncDec.dll

2008-08-06 03:27 292,352 ----a-w C:\Windows\System32\psisdecd.dll

2008-08-06 03:27 1,244,672 ----a-w C:\Windows\System32\mcmde.dll

2008-07-31 03:34 537,600 ----a-w C:\Windows\AppPatch\AcLayers.dll

2008-07-31 03:34 449,536 ----a-w C:\Windows\AppPatch\AcSpecfc.dll

2008-07-31 03:34 28,160 ----a-w C:\Windows\System32\Apphlpdm.dll

2008-07-31 03:34 2,144,256 ----a-w C:\Windows\AppPatch\AcGenral.dll

2008-07-31 03:34 173,056 ----a-w C:\Windows\AppPatch\AcXtrnal.dll

2008-07-31 03:34 1,686,528 ----a-w C:\Windows\System32\gameux.dll

2008-07-30 23:47 4,247,552 ----a-w C:\Windows\System32\GameUXLegacyGDFs.dll

2008-07-30 23:32 2,560 ----a-w C:\Windows\AppPatch\AcRes.dll

2008-07-21 13:13 174 --sha-w C:\Program Files\desktop.ini

2007-12-11 19:31 20 ---h--w C:\Users\All Users\PKP_DLdw.DAT

2007-12-11 19:31 20 ---h--w C:\ProgramData\PKP_DLdw.DAT

2007-11-30 13:01 20 ---h--w C:\Users\All Users\PKP_DLdu.DAT

2007-11-30 13:01 20 ---h--w C:\ProgramData\PKP_DLdu.DAT

2007-05-10 18:20 0 ----a-w C:\Users\Valérie\AppData\Roaming\wklnhst.dat

2007-11-03 19:55 16,384 --sha-w C:\Windows\ServiceProfiles\NetworkService\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat

2007-11-03 19:55 32,768 --sha-w C:\Windows\ServiceProfiles\NetworkService\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat

2007-11-03 19:55 16,384 --sha-w C:\Windows\ServiceProfiles\NetworkService\AppData\Roaming\Microsoft\Windows\Cookies\index.dat

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Sidebar"="C:\Program Files\Windows Sidebar\sidebar.exe" [2008-01-09 1232896]

"ehTray.exe"="C:\Windows\ehome\ehTray.exe" [2006-11-02 125440]

"WMPNSCFG"="C:\Program Files\Windows Media Player\WMPNSCFG.exe" [2006-11-02 201728]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NvSvc"="C:\Windows\system32\nvsvc.dll" [2006-12-10 90191]

"NvCplDaemon"="C:\Windows\system32\NvCpl.dll" [2006-12-10 7766016]

"NvMediaCenter"="C:\Windows\system32\NvMcTray.dll" [2006-12-10 81920]

"Apoint"="C:\Program Files\Apoint2K\Apoint.exe" [2006-11-07 159744]

"FuncKey"="C:\Program Files\Hotkey Management\FuncKey.exe" [2006-11-23 20480]

"PowerManager"="C:\Program Files\Power Manager\PM.exe" [2006-11-06 26112]

"NeroFilterCheck"="C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe" [2006-01-12 155648]

"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784]

"Adobe Photo Downloader"="C:\Program Files\Adobe\Adobe Photoshop Lightroom 1.3\apdproxy.exe" [2007-11-05 61440]

"QuickTime Task"="C:\Program Files\QuickTime\QTTask.exe" [2007-06-29 286720]

"TkBellExe"="C:\Program Files\Common Files\Real\Update_OB\realsched.exe" [2008-01-02 185896]

"CloneCDTray"="C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" [2005-05-19 57344]

"ccApp"="C:\Program Files\Common Files\Symantec Shared\ccApp.exe" [2008-10-20 115816]

"Symantec PIF AlertEng"="C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" [2008-01-29 583048]

"RtHDVCpl"="RtHDVCpl.exe" [2006-11-09 C:\Windows\RtHDVCpl.exe]

C:\Users\Val‚rie\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\

Adobe Gamma.lnk - C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe [2007-05-12 110592]

Nikon Monitor.lnk - C:\Program Files\Common Files\Nikon\Monitor\NkMonitor.exe [2007-06-14 479232]

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\

Adobe Gamma Loader.lnk - C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe [2007-05-12 110592]

Adobe Reader Synchronizer.lnk - C:\Program Files\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe [2006-10-23 734872]

Bluetooth Manager.lnk - C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtMng1.exe [2006-10-12 421888]

Lancement rapide d'Adobe Reader.lnk - C:\Program Files\Adobe\Reader 8.0\Reader\reader_sl.exe [2006-10-23 40048]

Outil de mise … jour Google.lnk - C:\Program Files\Google\Google Updater\GoogleUpdater.exe [2007-05-18 125624]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"EnableLUA"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"UacDisableNotify"=dword:00000001

"InternetSettingsDisableNotify"=dword:00000001

"AutoUpdateDisableNotify"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]

"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]

"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]

"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc\S-1-5-21-2791425115-355343530-223830805-1000]

"EnableNotificationsRef"=dword:00000003

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\DomainProfile]

"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\FirewallRules]

"{95C22037-FC95-45F9-B461-9EE359921CA9}"= C:\Program Files\Windows Live\Messenger\livecall.exe:Windows Live Messenger (Phone)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\PublicProfile]

"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\RestrictedServices\Static\System]

"DFSR-1"= RPort=5722|UDP:%SystemRoot%\system32\svchost.exe|Svc=DFSR:Allow inbound TCP traffic|

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\StandardProfile]

"EnableFirewall"= 0 (0x0)

R1 IDSvix86;Symantec Intrusion Prevention Driver;C:\PROGRA~2\Symantec\DEFINI~1\SymcData\idsdefs\20081014.001\IDSvix86.sys [2008-10-08 270384]

R2 TestHandler;Fujitsu Siemens Computers Diagnostic Testhandler;C:\firststeps\OnlineDiagnostic\TestManager\TestHandler.exe [2006-11-14 204800]

R3 SIS163u;SiS163 USB Wireless LAN Adapter Driver;C:\Windows\system32\DRIVERS\sis163u.sys [2007-01-25 218112]

R3 SYMNDISV;SYMNDISV;C:\Windows\system32\Drivers\SYMNDISV.SYS [2007-01-10 38200]

S3 PCAMp50;PCAMp50 NDIS Protocol Driver;C:\Windows\system32\Drivers\PCAMp50.sys [2006-11-28 28224]

S3 PCASp50;PCASp50 NDIS Protocol Driver;C:\Windows\system32\Drivers\PCASp50.sys [2006-11-28 27072]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

bthsvcs REG_MULTI_SZ BthServ

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{e06e155c-5708-11dc-9345-001060d009d8}]

\shell\AutoRun\command - F:\nideiect.com

\shell\explore\Command - F:\nideiect.com

\shell\open\Command - F:\nideiect.com

*Newly Created Service* - COMHOST

.

- - - - ORPHELINS SUPPRIMES - - - -

HKCU-Run-swg - C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

.

------- Examen supplémentaire -------

.

FireFox -: Profile - C:\Users\Valérie\AppData\Roaming\Mozilla\Firefox\Profiles\1uk1e7gm.default\

FF -: plugin - C:\Program Files\Google\Google Updater\2.2.1111.1511\npCIDetect11.dll

FF -: plugin - C:\Program Files\Mozilla Firefox\plugins\NPMyrMus.dll

FF -: plugin - C:\Program Files\Picasa2\npPicasa2.dll

.

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-10-20 18:44:34

Windows 6.0.6000 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès

Fichiers cachés: 0

**************************************************************************

.

Heure de fin: 2008-10-20 18:46:54

ComboFix-quarantined-files.txt 2008-10-20 16:46:40

ComboFix2.txt 2008-10-18 12:58:19

Avant-CF: Le texte du message associé au numéro 0x2379 est introuvable dans le fichier de messages pour Application.

Après-CF: 43,203,190,784 octets libres

176 --- E O F --- 2008-10-18 19:45:29

Modifié le 20 octobre 2008 par Fanny56

Falkra · le 20 octobre 2008

Il y avait du Bagle, en effet.

Ouvre le bloc notes. Copie-colle dedans le contenu de la boite code qui suit, sans ligne blanche vide au début, ça doit commencer par Windows Registry Editor Version 5.00 comme ci dessous :

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=-
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=-
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=-
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{e06e155c-5708-11dc-9345-001060d009d8}]

Sauvegarde cela sur le bureau en donnant comme nom lib.reg (pas d'extension texte donc).
Le fichier va être créé avec une icône de base de registre, double clique dessus et confirme pour l'ajouter au registre.

Amprès ça fait le scan "recherche rapide" (voir infos + haut) de MBAM après l'avoir mis à jour. Poste le rapport obtenu stp.

Fanny56 · le 21 octobre 2008

Bonjour Falkra,

Pour MBAM, la recherche de mise à jour ne fonctionne pas. A priori ce serait le parefeu qui bloquerait Cependant, le logiciel indique que c'est une version du 10/14/2008 (certainement donc du 14/10/2008). Le scan est en cours

Merci d'avance

Modifié le 21 octobre 2008 par Fanny56

Fanny56 · le 21 octobre 2008

Voilà le résultat du scan MBAM (ça n'a pas été très long)

Malwarebytes' Anti-Malware 1.29

Version de la base de données: 1271

Windows 6.0.6000

21/10/2008 08:56:19

mbam-log-2008-10-21 (08-56-19).txt

Type de recherche: Examen rapide

Eléments examinés: 45093

Temps écoulé: 3 minute(s), 34 second(s)

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 0

Processus mémoire infecté(s):