[résolu] Problème winupgro

Mark · le 11 mars 2009

Zut, bien sûr, Bagle tue les antivirus et pares-feu...

Désinstalle les deux (Nod et Zone alarm) via le Panneau de config. C'est peut-être ZA qui te cause les soucis (corrompu et injecté par Bagle).

Je te propose ensuite d'installer AntiVir, en version française et gratuite, puis fais un scan complet avec. Poste le rapport ici.

Lien pour la version française :

http://dlce.antivir.com/down/windows/antiv...n_winu_fr_h.exe

Ne remets pas ZA tout de suite ; tu peux avoir bien mieux que lui, en gratuit. J'y reviendrai (demain).

Au boulot maintenant

sleepy · le 12 mars 2009

Enfin, je peux accéder au net, et même au délà de 3~4 minutes ! Merci à toi Qc001

Je vais de ce pas télécharger antivir.

Par contre, je vais pas me rejouir trop vite, on sait jamais.

Bref, je posterai le rapport plus tard, et j'attendrai tes propositions de firewall. ;D

Merci à vous, Qc001 et pear.

Mark · le 12 mars 2009

Excellente nouvelle

J'aurais dû y penser plus tôt (Zone Alarm) car un pare-feu détraqué fait partie des toutes premières choses à vérifier lorsqu'il y a problèmes de connexion. Mais avec Bagle qui désactive plein de trucs, ça brouille les cartes un brin.

Ça devrait aller maintenant

Pour AntiVir : je t'aurais bien suggéré de remettre Nod32 mais, de toute évidence, il ne t'a pas protégé contre Bagle alors qu'AntiVir le connait très bien (et le bloque dès détection). AntiVir est un excellent produit ; pas de soucis de ce côté.

Possible qu'AntiVir trouve quelques restes de Bagle. Il va aussi bondir sur ComboFix ; je te suggère de lui dire d'ignorer pour ce dernier.

À demain

sleepy · le 12 mars 2009

En effet:

C'est un pote qui s'est occupé de mon pc, a savoir sécurité et software.

Et la, avec les.log, j'ai vu qu'il y avait des keygens et toute les choses qui faut pas : maintenant, je sais ce que je dois éradiquer ce petit malin en plus.

Et puis il me semble que le nod32 qui m'a installé n'est pas la bonne version: il s'agissait de la version windows 95/98 -_-

Bah au moins, je refais un peu le pc.

Le rapport viendra bientôt.

Mark · le 12 mars 2009

Bon ben pas dodo tout de suite hein ? Héhéhé. (moi j'ai l'avantage du décalage horaire )

Pour ce qui est des cracks et keygens : Bagle se chope généralement via les cracks, effectivement. Si tu fais allusion aux multiples cracks/keygens qui apparaissent dans le rapport de ComboFix, je dois te dire que ceux-là ont été installés par Bagle et non par "toi". Bagle transforme la machine en zombie et la met en réseau sur le BotNet de Bagle ; en termes simples, ta machine servait de serveur pour 1) spammer (les mails de Viagra, etc...) et/ou 2) distribuer des cracks infectés. Pas gentil ce Bagle... et très efficace.

sleepy · le 12 mars 2009

Oui, en effet, pas gentil x)

Bon je suis en plein scan sur antivir;

Si t'es toujours la, j'ai une question:

j'en fais quoi des fichers infectés, ils ont été mis en quarantaine sur un dossier Qoobox sur C: par un programme (combofix je crois), je le met en quarantaine avec antivir ou je les supprime?

Mark · le 12 mars 2009

Resalut

Pour ce qui est des détections dans la quarantaine de ComboFix (Qoobox), tu peux laisser AntiVir les supprimer ; ça en fera moins dans la quarantaine d'AntiVir. Et on virera les restes de Qoobox dans une prochaine étape.

@+

sleepy · le 12 mars 2009

Bon matin,

Alors, tous les fichiers infectés que antivir a trouvé ont été déplacés en quarantaine. Combofix n'a même pas été trouvé (je pense que c'est à cause de son nom: keke.exe ).

Voici le rapport tant attendu de antivir:

Avira AntiVir Personal

Date de création du fichier de rapport : jeudi 12 mars 2009 02:27

La recherche porte sur 1294756 souches de virus.

Détenteur de la licence :Avira AntiVir PersonalEdition Classic

Numéro de série : 0000149996-ADJIE-0001

Plateforme : Windows XP

Version de Windows :(Service Pack 2) [5.1.2600]

Mode Boot : Démarré normalement

Identifiant : SYSTEM

Nom de l'ordinateur :049142220150

Informations de version :

BUILD.DAT : 8.2.0.52 16931 Bytes 02/12/2008 14:55:00

AVSCAN.EXE : 8.1.4.10 315649 Bytes 18/11/2008 08:21:00

AVSCAN.DLL : 8.1.4.1 49921 Bytes 21/07/2008 13:44:27

LUKE.DLL : 8.1.4.5 164097 Bytes 12/06/2008 12:44:16

LUKERES.DLL : 8.1.4.0 13057 Bytes 04/07/2008 07:30:27

ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27/10/2008 11:30:36

ANTIVIR1.VDF : 7.1.2.12 3336192 Bytes 11/02/2009 00:04:36

ANTIVIR2.VDF : 7.1.2.152 749568 Bytes 11/03/2009 00:04:38

ANTIVIR3.VDF : 7.1.2.158 22016 Bytes 11/03/2009 00:04:39

Version du moteur: 8.2.0.109

AEVDF.DLL : 8.1.1.0 106868 Bytes 12/03/2009 00:04:46

AESCRIPT.DLL : 8.1.1.60 360826 Bytes 12/03/2009 00:04:45

AESCN.DLL : 8.1.1.8 127346 Bytes 12/03/2009 00:04:44

AERDL.DLL : 8.1.1.3 438645 Bytes 04/11/2008 13:58:38

AEPACK.DLL : 8.1.3.10 397686 Bytes 12/03/2009 00:04:44

AEOFFICE.DLL : 8.1.0.36 196987 Bytes 12/03/2009 00:04:43

AEHEUR.DLL : 8.1.0.104 1634679 Bytes 12/03/2009 00:04:42

AEHELP.DLL : 8.1.2.2 119158 Bytes 12/03/2009 00:04:40

AEGEN.DLL : 8.1.1.27 336244 Bytes 12/03/2009 00:04:40

AEEMU.DLL : 8.1.0.9 393588 Bytes 14/10/2008 10:05:56

AECORE.DLL : 8.1.6.6 176501 Bytes 12/03/2009 00:04:39

AEBB.DLL : 8.1.0.3 53618 Bytes 14/10/2008 10:05:56

AVWINLL.DLL : 1.0.0.12 15105 Bytes 09/07/2008 08:40:02

AVPREF.DLL : 8.0.2.0 38657 Bytes 16/05/2008 09:27:58

AVREP.DLL : 8.0.0.2 98344 Bytes 31/07/2008 12:02:15

AVREG.DLL : 8.0.0.1 33537 Bytes 09/05/2008 11:26:37

AVARKT.DLL : 1.0.0.23 307457 Bytes 12/02/2008 08:29:19

AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 12/06/2008 12:27:46

SQLITE3.DLL : 3.3.17.1 339968 Bytes 22/01/2008 17:28:02

SMTPLIB.DLL : 1.2.0.23 28929 Bytes 12/06/2008 12:49:36

NETNT.DLL : 8.0.0.1 7937 Bytes 25/01/2008 12:05:07

RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 04/07/2008 07:23:16

RCTEXT.DLL : 8.0.52.1 86273 Bytes 17/07/2008 10:08:43

Configuration pour la recherche actuelle :

Nom de la tâche..................: Contrôle intégral du système

Fichier de configuration.........: c:\program files\avira\antivir personaledition classic\sysscan.avp

Documentation....................: bas

Action principale................: interactif

Action secondaire................: ignorer

Recherche sur les secteurs d'amorçage maître: marche

Recherche sur les secteurs d'amorçage: marche

Secteurs d'amorçage..............: C:, D:,

Recherche dans les programmes actifs: marche

Recherche en cours sur l'enregistrement: marche

Recherche de Rootkits............: arrêt

Fichier mode de recherche........: Sélection de fichiers intelligente

Recherche sur les archives.......: marche

Limiter la profondeur de récursivité: 20

Archive Smart Extensions.........: marche

Heuristique de macrovirus........: marche

Heuristique fichier..............: moyen

Début de la recherche : jeudi 12 mars 2009 02:27

La recherche sur les processus démarrés commence :

Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés

Processus de recherche 'avcenter.exe' - '1' module(s) sont contrôlés

Processus de recherche 'iTunes.exe' - '1' module(s) sont contrôlés

Processus de recherche 'wltuser.exe' - '1' module(s) sont contrôlés

Processus de recherche 'iexplore.exe' - '1' module(s) sont contrôlés

Processus de recherche 'avgnt.exe' - '1' module(s) sont contrôlés

Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés

Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés

Processus de recherche 'wlcomm.exe' - '1' module(s) sont contrôlés

Processus de recherche 'msnmsgr.exe' - '1' module(s) sont contrôlés

Processus de recherche 'iPodService.exe' - '1' module(s) sont contrôlés

Processus de recherche 'ctfmon.exe' - '1' module(s) sont contrôlés

Processus de recherche 'iTunesHelper.exe' - '1' module(s) sont contrôlés

Processus de recherche 'soundman.exe' - '1' module(s) sont contrôlés

Processus de recherche 'point32.exe' - '1' module(s) sont contrôlés

Processus de recherche 'AOSD.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'jusched.exe' - '1' module(s) sont contrôlés

Processus de recherche 'vsnpstd2.exe' - '1' module(s) sont contrôlés

Processus de recherche 'ABOARD.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'wmiapsrv.exe' - '1' module(s) sont contrôlés

Processus de recherche 'alg.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'SeaPort.exe' - '1' module(s) sont contrôlés

Processus de recherche 'PnkBstrA.exe' - '1' module(s) sont contrôlés

Processus de recherche 'mdm.exe' - '1' module(s) sont contrôlés

Processus de recherche 'libusbd-nt.exe' - '1' module(s) sont contrôlés

Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés

Processus de recherche 'jqs.exe' - '1' module(s) sont contrôlés

Processus de recherche 'HidService.exe' - '1' module(s) sont contrôlés

Processus de recherche 'AppleMobileDeviceService.exe' - '1' module(s) sont contrôlés

Processus de recherche 'ANIWZCSdS.exe' - '1' module(s) sont contrôlés

Processus de recherche 'spoolsv.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'StyleXPService.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés

Processus de recherche 'services.exe' - '1' module(s) sont contrôlés

Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés

Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés

Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés

'44' processus ont été contrôlés avec '44' modules

La recherche sur les secteurs d'amorçage maître commence :

Secteur d'amorçage maître HD0

[iNFO] Aucun virus trouvé !

Secteur d'amorçage maître HD1

[iNFO] Aucun virus trouvé !

[AVERTISSEMENT] Erreur système [21]: Le périphérique n'est pas prêt.

Secteur d'amorçage maître HD2

[iNFO] Aucun virus trouvé !

[AVERTISSEMENT] Erreur système [21]: Le périphérique n'est pas prêt.

Secteur d'amorçage maître HD3

[iNFO] Aucun virus trouvé !

[AVERTISSEMENT] Erreur système [21]: Le périphérique n'est pas prêt.

Secteur d'amorçage maître HD4

[iNFO] Aucun virus trouvé !

[AVERTISSEMENT] Erreur système [21]: Le périphérique n'est pas prêt.

La recherche sur les secteurs d'amorçage commence :

Secteur d'amorçage 'C:\'

[iNFO] Aucun virus trouvé !

Secteur d'amorçage 'D:\'

[iNFO] Aucun virus trouvé !

La recherche sur les renvois aux fichiers exécutables (registre) commence.

Le registre a été contrôlé ( '85' fichiers).

La recherche sur les fichiers sélectionnés commence :

Recherche débutant dans 'C:\' <HDD>

C:\pagefile.sys

[AVERTISSEMENT] Impossible d'ouvrir le fichier !

C:\Program Files\Tweak-XP Pro 4\tweak-xp.exe.BAK

[RESULTAT] Contient le modèle de détection du ver WORM/Spybot.1917952

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4a1d685c.qua' !

C:\Qoobox\Quarantine\C\Program Files\MSN Messenger\msnmsgr.exe.vir

[RESULTAT] Contient le cheval de Troie TR/Dldr.Bagle.aoq

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4a266bbf.qua' !

C:\System Volume Information\_restore{751238CC-FEB5-4605-9EA9-B441EBD3D66D}\RP883\A0292433.exe

[RESULTAT] Contient le cheval de Troie TR/Dldr.Bagle.aoq

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '49ea6bb8.qua' !

C:\System Volume Information\_restore{751238CC-FEB5-4605-9EA9-B441EBD3D66D}\RP885\A0292513.exe

[RESULTAT] Contient le cheval de Troie TR/Dldr.Bagle.aoq

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '49ea6bc2.qua' !

C:\WINDOWS\system32\drivers\sptd.sys

[AVERTISSEMENT] Impossible d'ouvrir le fichier !

Recherche débutant dans 'D:\' <DATA>

D:\Documents and Settings\Papa\Local Settings\Temp\Temporary Internet Files\Content.IE5\RJWRYZ6M\WHCC2[1].exe

[0] Type d'archive: RAR SFX (self extracting)

--> whAgent.exe

[RESULTAT] Contient le cheval de Troie TR/Drop.Web.381.5.C

--> whSurvey.exe

[RESULTAT] Contient le cheval de Troie TR/Drop.Web.381.5.B

--> webhdll.dll

[RESULTAT] Contient le cheval de Troie TR/Drop.Web.381.5.A

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '49fb705a.qua' !

D:\Documents and Settings\user.049142220150\Mes documents\Liwa PELAYO\Tweak XP pro\Patch 02.exe

[RESULTAT] Contient le cheval de Troie TR/Keygen.Q.20

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4a2c74d1.qua' !

D:\Documents and Settings\Warren\Local Settings\Temp\cd4E.tmp.exe

[RESULTAT] Contient le modèle de détection du dropper DR/Shopper.K.18

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '49ec76cf.qua' !

D:\Documents and Settings\Warren\Local Settings\Temp\Temporary Internet Files\Content.IE5\83MXKR2D\zpopup[1].cgi

[RESULTAT] Contient le modèle de détection de l'exploit EXP/UrlSpoof.D

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4a27773b.qua' !

D:\Documents and Settings\Warren\Mes documents\Logiciels privés\Adobe photoshop CS2\TPhotoshop\Keygen Photoshop CS2 Fr.exe

[RESULTAT] Contient le modèle de détection du ver WORM/Autorun.cxl

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4a317bd9.qua' !

D:\Documents and Settings\Warren\Mes documents\Logiciels privés\AVG anti-virus\AVG Antivirus 7.1.362a652+Firewall Multilanguage+Keygen.rar

[0] Type d'archive: RAR

--> Keygen.exe

[RESULTAT] Contient le cheval de Troie TR/Spirt.8

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '49ff7be2.qua' !

D:\Documents and Settings\Warren\Mes documents\Logiciels privés\AVG anti-virus\Keygen.exe

[RESULTAT] Contient le cheval de Troie TR/Spirt.8

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4a317bf6.qua' !

D:\System Volume Information\_restore{751238CC-FEB5-4605-9EA9-B441EBD3D66D}\RP883\A0292442.exe

[RESULTAT] Contient le cheval de Troie TR/Dldr.Bagle.aoq

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '49ea7c45.qua' !

D:\System Volume Information\_restore{751238CC-FEB5-4605-9EA9-B441EBD3D66D}\RP885\A0292468.sys

[RESULTAT] Contient le cheval de Troie TR/Rootkit.Gen

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '49ea7c4b.qua' !

D:\System Volume Information\_restore{751238CC-FEB5-4605-9EA9-B441EBD3D66D}\RP885\A0292487.exe