[Split] Sujet de Mamad

Mamad · le 26 mars 2009

Salut les gars!!

J aurai savoir comment vous faites pour savoir lesquelles sont des virus ou des fichiers malveillants...

Je suis entrain de faire un scan en ce moment.

J'avais déjà antivir mais je me retrouve toujours avec une cette erreur:" C:\Windows\inf\other.exe"

J 'espère que ton tuto va fonctionner.

En tout cas merci pour ton aide

Jah

Mamad · le 26 mars 2009

Voici mon rapport après scan de MBAM:

Malwarebytes' Anti-Malware 1.34

Version de la base de données: 1749

Windows 5.1.2600 Service Pack 2

26/03/2009 23:21:15

mbam-log-2009-03-26 (23-21-02).txt

Type de recherche: Examen complet (C:\|)

Eléments examinés: 185222

Temps écoulé: 47 minute(s), 2 second(s)

Processus mémoire infecté(s): 1

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 12

Valeur(s) du Registre infectée(s): 1

Elément(s) de données du Registre infecté(s): 2

Dossier(s) infecté(s): 4

Fichier(s) infecté(s): 21

Processus mémoire infecté(s):

C:\documents and settings\Pascal\local settings\application data\kgkyk.exe (Adware.Navipromo.H) -> No action taken.

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):

HKEY_CLASSES_ROOT\hottvplayer.htplayer (Adware.EGDAccess) -> No action taken.

HKEY_CLASSES_ROOT\TypeLib\{95012afd-f4f1-4a96-bf3b-4f5d6c54d593} (Adware.EGDAccess) -> No action taken.

HKEY_CLASSES_ROOT\Interface\{1f323594-30e9-4e1e-8262-ca7b4d0a65a1} (Adware.EGDAccess) -> No action taken.

HKEY_CLASSES_ROOT\Interface\{c2ccbfaf-1474-4e53-8130-0cc12b31856b} (Adware.EGDAccess) -> No action taken.

HKEY_CLASSES_ROOT\CLSID\{fd31bf07-70e3-4b98-8f70-0970af614275} (Adware.EGDAccess) -> No action taken.

HKEY_CLASSES_ROOT\hottvplayer.htplayer.1 (Adware.EGDAccess) -> No action taken.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\video add-on (Trojan.Zlob) -> No action taken.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CSNetManagerXp (Worm.Silly) -> No action taken.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\CSNetManagerXp (Worm.Silly) -> No action taken.

HKEY_CURRENT_USER\SOFTWARE\Online Add-on (Trojan.Zlob) -> No action taken.

HKEY_CLASSES_ROOT\videoaccessactivex.Chl (Trojan.Zlob) -> No action taken.

HKEY_CLASSES_ROOT\multimediaControls.chl (Trojan.Zlob) -> No action taken.

Valeur(s) du Registre infectée(s):

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\kgkyk (Adware.Navipromo.H) -> No action taken.

Elément(s) de données du Registre infecté(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\System (Rootkit.DNSChanger.H) -> Data: kdoep.exe -> No action taken.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\StartMenuLogOff (Hijack.StartMenu) -> Bad: (1) Good: (0) -> No action taken.

Dossier(s) infecté(s):

C:\Program Files\Video Add-on (Trojan.Zlob) -> No action taken.

C:\Program Files\Antivirus 2009 (Rogue.Antivirus2008) -> No action taken.

C:\Documents and Settings\All Users\Application Data\ADSL Software Ltd (Rogue.Multiple) -> No action taken.

C:\Documents and Settings\All Users\Application Data\ADSL Software Ltd\WinSpywareProtect (Rogue.Multiple) -> No action taken.

Fichier(s) infecté(s):

C:\Documents and Settings\JEROME\Local Settings\Application Data\mmyaqws_navps.dat (Adware.Navipromo.H) -> No action taken.

C:\Documents and Settings\JEROME\Local Settings\Application Data\mmyaqws_nav.dat (Adware.Navipromo.H) -> No action taken.

C:\Documents and Settings\JEROME\Local Settings\Application Data\mmyaqws.dat (Adware.Navipromo.H) -> No action taken.

C:\Documents and Settings\JEROME\Local Settings\Application Data\mmyaqws.exe (Adware.Navipromo.H) -> No action taken.

C:\Documents and Settings\Pascal\Local Settings\Application Data\kgkyk_navps.dat (Adware.Navipromo.H) -> No action taken.

C:\Documents and Settings\Pascal\Local Settings\Application Data\kgkyk_nav.dat (Adware.Navipromo.H) -> No action taken.

C:\Documents and Settings\Pascal\Local Settings\Application Data\kgkyk.dat (Adware.Navipromo.H) -> No action taken.

C:\Documents and Settings\Pascal\Local Settings\Application Data\kgkyk.exe (Adware.Navipromo.H) -> No action taken.

C:\WINDOWS\system32\HotTVPlayer.dll (Adware.EGDAccess) -> No action taken.

C:\Program Files\Video Add-on\ot.ico (Trojan.Zlob) -> No action taken.

C:\Program Files\Video Add-on\ts.ico (Trojan.Zlob) -> No action taken.

C:\Program Files\Video Add-on\uninst.exe (Trojan.Zlob) -> No action taken.

C:\Program Files\Antivirus 2009\av2009.exe.tmp (Rogue.Antivirus2008) -> No action taken.

C:\Documents and Settings\aa\Favoris\Online Security Test.url (Rogue.Link) -> No action taken.

C:\Documents and Settings\All Users\Menu Démarrer\Online Security Guide.url (Rogue.Link) -> No action taken.

C:\Documents and Settings\aa\Application Data\Microsoft\Internet Explorer\Quick Launch\VirusLocker 3.4.lnk (Rogue.Virus.Locker) -> No action taken.

C:\Documents and Settings\aa\Menu Démarrer\VirusLocker 3.4.lnk (Rogue.Virus.Locker) -> No action taken.

C:\WINDOWS\system32\iccce_navps.dat (Adware.NaviPromo) -> No action taken.

C:\WINDOWS\system32\iccce_nav.dat (Adware.NaviPromo) -> No action taken.

C:\WINDOWS\system32\nvs2.inf (Adware.EGDAccess) -> No action taken.

C:\Program Files\EoRezo (Rogue.Eorezo) -> No action taken.

Mamad · le 26 mars 2009

Merci de regarder c'est le Pc d'un ami mais je galère dessus il va sur des sites pas conseillé.........

Falkra · le 26 mars 2009

Mamad, on crée un sujet par machine, n'applique pas au pig la provcédure faite pour d'autres PC.

Je déplace ton sujet dans peu de temps.

Mamad · le 26 mars 2009

Ok merci Falkra désolé

Falkra · le 26 mars 2009

Re. Ce n'est pas grave.

On va traiter ça autrement, n'utilise pas MalwareBytes pour le moment, on s'en occupera après.

Je vais te demander 2 rapports d'abord.

** 1 **

Clique sur ce lien de navilog1 de IL-MAFIOSO :
http://perso.orange.fr/il.mafioso/Navifix/Navilog1.exe
Enregistre le fichier sur ton bureau.
Ensuite double clique sur navilog1.exe pour lancer l'installation.
Une fois l'installation terminée, navilog1 s'exécutera automatiquement.
(Si ce n'est pas le cas, double-clique sur le raccourci Navilog1 présent sur le bureau).
Laisse-toi guider. Au menu principal, choisis 1 et valide.
(ne fais pas le choix 2,3 ou 4 sans accord)
Cela dure un moment, attends le message :
*** Analyse Termine le ..... ***
Appuie sur une touche comme demandé, le Bloc-notes va s'ouvrir.
Copie-colle l'intégralité du rapport dans ton prochain post. Referme le bloc note.

Note :

Le rapport est aussi sauvegardé à la racine du disque (fixnavi.txt)

Si ton antivirus se plaint de fichiers de Navilog1, dis lui d'ignorer les fichiers.

** 2 **

Télécharge SmitFraudFix de S!Ri sur le bureau :
http://siri.urz.free.fr/Fix/SmitfraudFix.exe
Note: si tu as une version de SmitfraudFix, ne l'utilise pas, élimine là et télécharge la dernière version.
Double-clique sur smitfraudfix.exe
Choisis l'option 1 pour créer un rapport des fichiers responsables de l'infection.
Poste le rapport sur le forum dans ta prochaine réponse. (si tu ne le trouves pas, il est dans "C:\rapport.txt")

Si un virus est détecté par ton antivirus ou un autre logiciel (genre riskTool.win32.reboot), n'en tiens pas compte (choisis d'ignorer) et ne bloque pas le fichier, il faut partie de l'outil et des antivirus qui y voient un danger potentiel.

Mamad · le 26 mars 2009

Falkra merci pour ton aide...

Voici le rapport de la première étape:

Search Navipromo version 3.7.6 commencé le 26/03/2009 à 23:49:47,37

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!

!!! Postez ce rapport sur le forum pour le faire analyser !!!

!!! Ne lancez pas la partie désinfection sans l'avis d'un spécialiste !!!

Outil exécuté depuis C:\Program Files\navilog1

Mise à jour le 14.03.2009 à 18h00 par IL-MAFIOSO

Microsoft Windows XP Édition familiale ( v5.1.2600 ) Service Pack 2

X86-based PC ( Multiprocessor Free : Intel® Pentium® 4 CPU 3.00GHz )

BIOS : Ver 1.00PARTTBL;

USER : Pascal ( Administrator )

BOOT : Normal boot

Antivirus : Avira AntiVir PersonalEdition Classic 8.0.1.30 (Not Activated)

Firewall : Norton Internet Security 2005 (Activated)

C:\ (Local Disk) - NTFS - Total:74 Go (Free:29 Go)

D:\ (CD or DVD)

Recherche executé en mode normal

*** Recherche dossiers dans "C:\WINDOWS" ***

*** Recherche dossiers dans "C:\Program Files" ***

*** Recherche dossiers dans "C:\Documents and Settings\All Users\menudm~1\progra~1" ***

*** Recherche dossiers dans "C:\Documents and Settings\All Users\menudm~1" ***

*** Recherche dossiers dans "c:\docume~1\alluse~1\applic~1" ***

*** Recherche dossiers dans "C:\Documents and Settings\Pascal\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\aa\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\ADMINI~1\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\INVIT~1\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\JEROME\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\visiteur\applic~1" ***

*** Recherche dossiers dans "C:\Documents and Settings\Pascal\locals~1\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\aa\locals~1\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\ADMINI~1\locals~1\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\INVIT~1\locals~1\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\JEROME\locals~1\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\visiteur\locals~1\applic~1" ***

*** Recherche dossiers dans "C:\Documents and Settings\Pascal\menudm~1\progra~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\aa\menudm~1\progra~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\ADMINI~1\menudm~1\progra~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\INVIT~1\menudm~1\progra~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\JEROME\menudm~1\progra~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\visiteur\menudm~1\progra~1" ***

*** Recherche avec Catchme-rootkit/stealth malware detector par gmer ***

pour + d'infos : http://www.gmer.net

*** Recherche avec GenericNaviSearch ***

!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!

!!! A vérifier impérativement avant toute suppression manuelle !!!

* Recherche dans "C:\WINDOWS\system32" *

* Recherche dans "C:\Documents and Settings\Pascal\locals~1\applic~1" *

* Recherche dans "C:\DOCUME~1\aa\locals~1\applic~1" *

* Recherche dans "C:\DOCUME~1\ADMINI~1\locals~1\applic~1" *

* Recherche dans "C:\DOCUME~1\INVIT~1\locals~1\applic~1" *

* Recherche dans "C:\DOCUME~1\JEROME\locals~1\applic~1" *

* Recherche dans "C:\DOCUME~1\visiteur\locals~1\applic~1" *

*** Recherche fichiers ***

C:\WINDOWS\pack.epk trouvé !

*** Recherche clés spécifiques dans le Registre ***

!! Les clés trouvées ne sont pas forcément infectées !!

HKEY_CURRENT_USER\Software\Lanconfig

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"iccce"="\"c:\\windows\\system32\\iccce.exe\" iccce"

*** Module de Recherche complémentaire ***

(Recherche fichiers spécifiques)

1)Recherche nouveaux fichiers Instant Access :

2)Recherche Heuristique :

* Dans "C:\WINDOWS\system32" :

iccce.exe trouvé !

iccce.dat trouvé !

iccce_navps.dat trouvé !

* Dans "C:\Documents and Settings\Pascal\locals~1\applic~1" :

* Dans "C:\DOCUME~1\aa\locals~1\applic~1" :

* Dans "C:\DOCUME~1\ADMINI~1\locals~1\applic~1" :

* Dans "C:\DOCUME~1\INVIT~1\locals~1\applic~1" :

* Dans "C:\DOCUME~1\JEROME\locals~1\applic~1" :

* Dans "C:\DOCUME~1\visiteur\locals~1\applic~1" :

3)Recherche Certificats :

Certificat Egroup trouvé !

Certificat Electronic-Group trouvé !

Certificat Montorgueil absent !

Certificat OOO-Favorit trouvé !

Certificat Sunny-Day-Design-Ltd absent !

4)Recherche autres dossiers et fichiers connus :

*** Analyse terminée le 26/03/2009 à 23:59:41,75 ***

Mamad · le 26 mars 2009

Voici le rapport de la seconde étape:

SmitFraudFix v2.405

Rapport fait à 0:04:27,95, 27/03/2009

Executé à partir de C:\Documents and Settings\Pascal\Bureau\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Le type du système de fichiers est NTFS

Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\SPAMfighter\sfus.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Sony Ericsson\Sony Ericsson PC Suite\SEPCSuite.exe

C:\windows\system32\iccce.exe

C:\Program Files\Microsoft Office\Office\OSA.EXE

C:\Program Files\Microsoft Office\Office\FINDFAST.EXE

C:\Documents and Settings\Pascal\Bureau\SmitfraudFix\Policies.exe

C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts

»»»»»»»»»»»»»»»»»»»»»»»» C:\

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Pascal

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\Pascal\LOCALS~1\Temp

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Pascal\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\Pascal\Favoris

»»»»»»»»»»»»»»»»»»»»»»»» Bureau

»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]

"Source"="About:Home"

"SubscribedURL"="About:Home"

"FriendlyName"="Ma page d'accueil"

»»»»»»»»»»»»»»»»»»»»»»»» o4Patch