probleme malware win32.agent.pz rapport HiJack joint

[zavie]

j'en ai marre mais j'en ai marre : de nouveaux soucis en vue !

 

tout à l'heure j'ai lancé psybot pour controle. comme je t'ai dit, il m'a trouvé le trojan win32.winlagons.co (localisé à C:\windows\system32\uniq.tll) que visiblement il n'arrive pas à éradiquer. lorsque je fais un second scan suite à la soi-disant suppression effectuée par un premier passage, le même élément réapparait dans la liste des infections.

 

et maintenant quand je veux utiliser adware 2008 pour voir si lui peut le détecter et le supprimer, le logiciel démarre un scan "astucieux' et arrivé au contrôle de la base de registre, l'ordi redémarre tout seul sans intervention de ma part bien sûr ! j'ai essayé plusieurs fois...

 

c'est symptomatique de quelque chose de connu ?

 

@+

[Apollo]

re,

 

oublie AdAware et Spybot S&D, ces outils sont vraiment dépassés et ne peuvent pas faire grand-chose contre les infections modernes.

 

Au contraire un truc comme le Tea Timer ne fait que gêner lors d'une désinfection.

Si tu veux, on les virera mais pour Spybot, ça ne se désinstalle pas n'importe comment.

 

MBAM est bien suffisant en général comme antimalware.

 

As-tu changé l'antivirus?

 

Si oui lance l'analyse avec Antivir et poste le rapport.

 

@++

[zavie]

non pas encore, je ferai çà plus tard.

 

je vais faire une analyse en ligne par kaspersky et je te le posterai ici.

 

bonne soirée (ce qu'il en reste, hé hé hé....)

 

@+

[zavie]

salut Apollo

 

voici le rapport Kaspersky. j'ai galéré pour que ce scanner se fasse. impossible de le faire démarrer sous Mozilla. il a fallu utiliser IE.

il me semblait bien pourtant que la première fois c'était sous Mozilla ....

 

--------------------------------------------------------------------------------

KASPERSKY ONLINE SCANNER 7 REPORT

Monday, February 2, 2009

Operating System: Microsoft Windows XP Professional Service Pack 3 (build 2600)

Kaspersky Online Scanner 7 version: 7.0.25.0

Program database last update: Sunday, February 01, 2009 23:04:06

Records in database: 1735991

--------------------------------------------------------------------------------

 

Scan settings:

Scan using the following database: extended

Scan archives: yes

Scan mail databases: yes

 

Scan area - My Computer:

A:\

C:\

D:\

E:\

 

Scan statistics:

Files scanned: 117602

Threat name: 3

Infected objects: 4

Suspicious objects: 0

Duration of the scan: 05:15:39

 

 

File name / Threat name / Threats count

C:\WINDOWS\system32\cmdow.exe Infected: not-a-virus:RiskTool.Win32.HideWindows 1

C:\_OTMoveIt\MovedFiles\02012009_135430\Documents and Settings\Milou.XPSP2-9F686CD63\Mes documents\Windows XP\Outil pour avoir windows original.rar Infected: not-a-virus:PSWTool.Win32.RAS.a 2

C:\_OTMoveIt\MovedFiles\02012009_135430\WINDOWS\system32\chert9-303359.exe Infected: Trojan.Win32.Agent.blbt 1

 

The selected area was scanned.

 

 

@ bientôt

[Apollo]

Bonsoir,

 

non pas encore, je ferai çà plus tard.

 

Je regrette mais si tu ne suis pas les conseils qu'on te donne, je ne peux pas t'aider.

 

Le scan de Kaspersky n'a rélélé que des objets de la quarantaine d'OtMoveIt et des processus d'outils utilisés qui ne sont évidement pas dangereux.

 

Le scan de Kaspersky ne révèle donc aucune infection active.

 

@+

[zavie]

hello

 

çà c'est tout de même une bonne nouvelle....

 

pour le changement d'anti-virus, j'y pense mais sincèrement, je n'ai pas eu le temps de m'en occuper. je fais çà très bientôt....

 

encore merci pour ton temps.......

@ + et bonne soirée

[zavie]

salut Apollo

 

j'ai suivi tes conseils : j'ai viré McAfee et installé Antivir à la place.

voici le résultat du scan :

 

 

 

Avira AntiVir Personal

Date de création du fichier de rapport : mardi 3 février 2009 20:39

 

La recherche porte sur 1312037 souches de virus.

 

Détenteur de la licence :Avira AntiVir PersonalEdition Classic

Numéro de série : 0000149996-ADJIE-0001

Plateforme : Windows XP

Version de Windows :(Service Pack 3) [5.1.2600]

Mode Boot : Démarré normalement

Identifiant : SYSTEM

Nom de l'ordinateur :XPSP2-9F686CD63

 

Informations de version :

BUILD.DAT : 8.2.0.52 16931 Bytes 02/12/2008 14:55:00

AVSCAN.EXE : 8.1.4.10 315649 Bytes 18/11/2008 08:21:00

AVSCAN.DLL : 8.1.4.1 49921 Bytes 21/07/2008 13:44:27

LUKE.DLL : 8.1.4.5 164097 Bytes 12/06/2008 12:44:16

LUKERES.DLL : 8.1.4.0 13057 Bytes 04/07/2008 07:30:27

ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27/10/2008 11:30:36

ANTIVIR1.VDF : 7.1.1.113 2817536 Bytes 14/01/2009 18:25:16

ANTIVIR2.VDF : 7.1.1.207 1359360 Bytes 30/01/2009 18:25:23

ANTIVIR3.VDF : 7.1.1.222 149504 Bytes 03/02/2009 18:25:24

Version du moteur: 8.2.0.71

AEVDF.DLL : 8.1.1.0 106868 Bytes 03/02/2009 18:25:40

AESCRIPT.DLL : 8.1.1.39 344443 Bytes 03/02/2009 18:25:38

AESCN.DLL : 8.1.1.6 127348 Bytes 03/02/2009 18:25:37

AERDL.DLL : 8.1.1.3 438645 Bytes 04/11/2008 13:58:38

AEPACK.DLL : 8.1.3.6 393589 Bytes 03/02/2009 18:25:35

AEOFFICE.DLL : 8.1.0.33 196987 Bytes 03/02/2009 18:25:33

AEHEUR.DLL : 8.1.0.89 1569143 Bytes 03/02/2009 18:25:32

AEHELP.DLL : 8.1.2.0 119159 Bytes 03/02/2009 18:25:29

AEGEN.DLL : 8.1.1.12 328053 Bytes 03/02/2009 18:25:28

AEEMU.DLL : 8.1.0.9 393588 Bytes 14/10/2008 10:05:56

AECORE.DLL : 8.1.6.4 176501 Bytes 03/02/2009 18:25:27

AEBB.DLL : 8.1.0.3 53618 Bytes 14/10/2008 10:05:56

AVWINLL.DLL : 1.0.0.12 15105 Bytes 09/07/2008 08:40:02

AVPREF.DLL : 8.0.2.0 38657 Bytes 16/05/2008 09:27:58

AVREP.DLL : 8.0.0.2 98344 Bytes 31/07/2008 12:02:15

AVREG.DLL : 8.0.0.1 33537 Bytes 09/05/2008 11:26:37

AVARKT.DLL : 1.0.0.23 307457 Bytes 12/02/2008 08:29:19

AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 12/06/2008 12:27:46

SQLITE3.DLL : 3.3.17.1 339968 Bytes 22/01/2008 17:28:02

SMTPLIB.DLL : 1.2.0.23 28929 Bytes 12/06/2008 12:49:36

NETNT.DLL : 8.0.0.1 7937 Bytes 25/01/2008 12:05:07

RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 04/07/2008 07:23:16

RCTEXT.DLL : 8.0.52.1 86273 Bytes 17/07/2008 10:08:43

 

Configuration pour la recherche actuelle :

Nom de la tâche..................: Contrôle intégral du système

Fichier de configuration.........: c:\program files\avira\antivir personaledition classic\sysscan.avp

Documentation....................: bas

Action principale................: interactif

Action secondaire................: ignorer

Recherche sur les secteurs d'amorçage maître: marche

Recherche sur les secteurs d'amorçage: marche

Secteurs d'amorçage..............: C:,

Recherche dans les programmes actifs: marche

Recherche en cours sur l'enregistrement: marche

Recherche de Rootkits............: marche

Fichier mode de recherche........: Sélection de fichiers intelligente

Recherche sur les archives.......: marche

Limiter la profondeur de récursivité: 20

Archive Smart Extensions.........: marche

Heuristique de macrovirus........: marche

Heuristique fichier..............: moyen

Catégories de dangers divergentes: +SPR,

 

Début de la recherche : mardi 3 février 2009 20:39

 

La recherche d'objets cachés commence.

Erreur dans la bibliothèque ARK

 

La recherche sur les processus démarrés commence :

Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés

Processus de recherche 'avcenter.exe' - '1' module(s) sont contrôlés

Processus de recherche 'wlcomm.exe' - '1' module(s) sont contrôlés

Processus de recherche 'wlmail.exe' - '1' module(s) sont contrôlés

Processus de recherche 'apcsystray.exe' - '1' module(s) sont contrôlés

Processus de recherche 'MSOFFICE.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'SATARaid.exe' - '1' module(s) sont contrôlés

Processus de recherche 'iPodService.exe' - '1' module(s) sont contrôlés

Processus de recherche 'TeaTimer.exe' - '1' module(s) sont contrôlés

Processus de recherche 'ctfmon.exe' - '1' module(s) sont contrôlés

Processus de recherche 'spm.exe' - '1' module(s) sont contrôlés

Processus de recherche 'msnmsgr.exe' - '1' module(s) sont contrôlés

Processus de recherche 'avgnt.exe' - '1' module(s) sont contrôlés

Processus de recherche 'apdproxy.exe' - '1' module(s) sont contrôlés

Processus de recherche 'iTunesHelper.exe' - '1' module(s) sont contrôlés

Processus de recherche 'winampa.exe' - '1' module(s) sont contrôlés

Processus de recherche 'realsched.exe' - '1' module(s) sont contrôlés

Processus de recherche 'jusched.exe' - '1' module(s) sont contrôlés

Processus de recherche 'iTouch.exe' - '1' module(s) sont contrôlés

Processus de recherche 'AsusProb.exe' - '1' module(s) sont contrôlés

Processus de recherche 'sstray.exe' - '1' module(s) sont contrôlés

Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés

Processus de recherche 'alg.exe' - '1' module(s) sont contrôlés

Processus de recherche 'wdfmgr.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'jqs.exe' - '1' module(s) sont contrôlés

Processus de recherche 'mDNSResponder.exe' - '1' module(s) sont contrôlés

Processus de recherche 'AppleMobileDeviceService.exe' - '1' module(s) sont contrôlés

Processus de recherche 'mainserv.exe' - '1' module(s) sont contrôlés

Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés

Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés

Processus de recherche 'spoolsv.exe' - '1' module(s) sont contrôlés

Processus de recherche 'aawservice.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés

Processus de recherche 'services.exe' - '1' module(s) sont contrôlés

Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés

Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés

Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés

'42' processus ont été contrôlés avec '42' modules

 

La recherche sur les secteurs d'amorçage maître commence :

Secteur d'amorçage maître HD0

[iNFO] Aucun virus trouvé !

 

La recherche sur les secteurs d'amorçage commence :

Secteur d'amorçage 'C:\'

[iNFO] Aucun virus trouvé !

 

La recherche sur les renvois aux fichiers exécutables (registre) commence.

Le registre a été contrôlé ( '61' fichiers).

 

 

La recherche sur les fichiers sélectionnés commence :

 

Recherche débutant dans 'C:\'

C:\hiberfil.sys

[AVERTISSEMENT] Impossible d'ouvrir le fichier !

C:\pagefile.sys

[AVERTISSEMENT] Impossible d'ouvrir le fichier !

C:\Documents and Settings\Milou\Local Settings\Application

 

Data\IM\Identities\{29621968-4D16-4D0A-A6A9-656E765A6AA7}\Message Store\biaze j pierre.imm

[0] Type d'archive: MIME

--> file14.mim

[1] Type d'archive: MIME

--> file14.mim

[2] Type d'archive: MIME

--> file3.mim

[3] Type d'archive: MIME

--> file3.mim

[4] Type d'archive: MIME

--> file14.mim

[5] Type d'archive: MIME

--> file3.mim

[6] Type d'archive: MIME

--> file14.mim

[7] Type d'archive: MIME

--> file14.mim

[8] Type d'archive: MIME

--> file14.mim

[9] Type d'archive: MIME

--> file14.mim

[10] Type d'archive: MIME

--> file14.mim

[11] Type d'archive: MIME

--> file14.mim

[12] Type d'archive: MIME

--> file14.mim

[13] Type d'archive: MIME

--> file14.mim

[14] Type d'archive: MIME

--> file14.mim

[15] Type d'archive: MIME

--> file14.mim

[16] Type d'archive: MIME

--> file14.mim

[17] Type d'archive: MIME

--> file14.mim

[18] Type d'archive: MIME

--> file14.mim

[19] Type d'archive: MIME

--> file14.mim

[AVERTISSEMENT] Impossible d'écrire le fichier !

C:\Documents and Settings\Milou\Local Settings\Application

 

Data\IM\Identities\{29621968-4D16-4D0A-A6A9-656E765A6AA7}\Message Store\Ebay.imm

[0] Type d'archive: MIME

--> file1.html

[RESULTAT] Contient le modèle de détection du virus de script HTML HTML/Spoofing.Gen

[REMARQUE] Fichier supprimé.

C:\Downloads\NON INSTALLES\2 ACDSee 6.02 PowerPack + All Plugins + KeyGen + Cracks.zip

[0] Type d'archive: ZIP

--> ACDSee 6.02 PowerPack + All Plugins + KeyGen + Cracks/ACDSee 6.0 KeyGen by ROR.exe

[RESULTAT] Contient le cheval de Troie TR/Agent.31856.B

--> ACDSee 6.02 PowerPack + All Plugins + KeyGen + Cracks/LuraDoc/keygen/CR-LD10K.EXE

[RESULTAT] Contient le cheval de Troie TR/Crypt.FSPM.Gen

--> ACDSee 6.02 PowerPack + All Plugins + KeyGen + Cracks/LuraWave/keygen/CR-LW10K.EXE

[RESULTAT] Contient le cheval de Troie TR/Crypt.FSPM.Gen

--> ACDSee 6.02 PowerPack + All Plugins + KeyGen + Cracks/Web Cracks Desktop/ACDSee 6.0 PowerPack

 

Patch (Bidjan).exe

[RESULTAT] Contient le modèle de détection du ver WORM/Rbot.95941

--> ACDSee 6.02 PowerPack + All Plugins + KeyGen + Cracks/Web Cracks Desktop/ACDSee 6.0 PowerPack

 

Serial (Kalbar - EFC87).exe

[RESULTAT] Contient le cheval de Troie TR/Small.20992.N

[REMARQUE] Fichier supprimé.

C:\Downloads\NON INSTALLES\crack PowerDVD_All_versions.zip

[0] Type d'archive: ZIP

--> CRACK.EXE

[RESULTAT] Contient le cheval de Troie TR/Small.35840

[REMARQUE] Fichier supprimé.

C:\Downloads\NON INSTALLES\VCD-(S)VCD\dvdshrink23.zip

[0] Type d'archive: ZIP

--> DVD Shrink 2.3.exe

[RESULTAT] Contient le code suspect : HEUR/Crypted

[REMARQUE] Fichier supprimé.

C:\Program Files\eMule\Incoming\Fish Tycoon Crack.rar

[0] Type d'archive: RAR

--> Reflexive.Arcade.Games.Universal.Launcher\r_lnch.exe

[RESULTAT] Contient le cheval de Troie TR/Crack.U

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '49fbc361.qua' !

C:\Program Files\eMule\Temp\130.part

[0] Type d'archive: ACE

--> Mick Jagger - Through The Years\Through The Years_Front.jpg

[AVERTISSEMENT] Aucun autre fichier n'a pu être décompressé de cette archive. L'archive est

 

refermée.

C:\Program Files\ISOpen\ISOpen.exe

[RESULTAT] Contient le code suspect : HEUR/Crypted

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '49d7c4e5.qua' !

C:\System Volume Information\_restore{3C366CCC-08C8-4306-BD58-8CAD77D72B20}\RP4\A0001051.exe

[RESULTAT] Contient le cheval de Troie TR/Spy.Agent.wrc

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '49b8d12a.qua' !

C:\System Volume Information\_restore{3C366CCC-08C8-4306-BD58-8CAD77D72B20}\RP4\A0001075.old

[RESULTAT] Contient le cheval de Troie TR/Crypt.ZPACK.Gen

[REMARQUE] Fichier supprimé.

C:\System Volume Information\_restore{3C366CCC-08C8-4306-BD58-8CAD77D72B20}\RP4\A0001078.exe

[RESULTAT] Contient le cheval de Troie TR/Crypt.XPACK.Gen

[REMARQUE] Fichier supprimé.

C:\System Volume Information\_restore{3C366CCC-08C8-4306-BD58-8CAD77D72B20}\RP4\A0001196.exe

[RESULTAT] Contient le cheval de Troie TR/Crypt.XPACK.Gen

[REMARQUE] Fichier supprimé.

C:\System Volume Information\_restore{3C366CCC-08C8-4306-BD58-8CAD77D72B20}\RP4\A0001214.sys

[RESULTAT] Contient le cheval de Troie TR/Trash.Gen

[REMARQUE] Fichier supprimé.

C:\System Volume Information\_restore{3C366CCC-08C8-4306-BD58-8CAD77D72B20}\RP8\A0004691.exe

[RESULTAT] Contient le cheval de Troie TR/Crypt.XPACK.Gen

[REMARQUE] Fichier supprimé.

C:\System Volume Information\_restore{3C366CCC-08C8-4306-BD58-8CAD77D72B20}\RP8\A0004692.exe

[RESULTAT] Contient le code suspect : HEUR/Crypted

[REMARQUE] Fichier supprimé.

C:\unzipped\nortoninternetsecuritypro2004keygentmg\tmg-nis2004pro.exe

[RESULTAT] Contient le cheval de Troie TR/Agent.15456.A

[REMARQUE] Fichier supprimé.

C:\WINDOWS\system32\cmdow.exe

[RESULTAT] Contient le modèle de détection du programme SPR/HideWindows.I

[REMARQUE] Fichier supprimé.

C:\WINDOWS\system32\drivers\3b3748c8.sys

[AVERTISSEMENT] Impossible d'ouvrir le fichier !

C:\_OTMoveIt\MovedFiles\02012009_135430\Documents and Settings\Milou.XPSP2-9F686CD63\Mes

 

documents\Windows XP\Outil pour avoir windows original.rar

[0] Type d'archive: RAR

--> Outil pour avoir windows original\outils\2Changer de clef XP.exe

[RESULTAT] Contient le modèle de détection du programme SPR/XP.Keyfinder

[RESULTAT] Contient le modèle de détection du programme SPR/PSW.RAS.A.2

[RESULTAT] Contient le modèle de détection du programme SPR/PSW.RAS.A.3

[REMARQUE] Fichier supprimé.

C:\_OTMoveIt\MovedFiles\02012009_135430\WINDOWS\system32\chert9-303359.exe

[RESULTAT] Contient le cheval de Troie TR/Agent.bkad

[REMARQUE] Fichier supprimé.

 

 

Fin de la recherche : mercredi 4 février 2009 00:34

Temps nécessaire: 3:55:01 Heure(s)

 

La recherche a été effectuée intégralement

 

15322 Les répertoires ont été contrôlés

510341 Des fichiers ont été contrôlés

20 Des virus ou programmes indésirables ont été trouvés

3 Des fichiers ont été classés comme suspects

14 Des fichiers ont été supprimés

0 Des virus ou programmes indésirables ont été réparés

3 Les fichiers ont été déplacés dans la quarantaine

0 Les fichiers ont été renommés

3 Impossible de contrôler des fichiers

510315 Fichiers non infectés

20715 Les archives ont été contrôlées

5 Avertissements

17 Consignes

90276 Des objets ont été contrôlés lors du Rootkitscan

0 Des objets cachés ont été trouvés

[Apollo]

Bonjour,

 

Débarrasse toi d'OtMoveIt ainsi que de son dossier qui se trouve sur le C:\

 

++

[zavie]

ok c'est fait !

 

@ bientôt