[résolu] Autorun.inf se recréé automatiquement

[lolo55]

Bonjour,

 

Je vous détaille mon problème :

 

j'ai inséré une clé USB contenant un autorun.inf et une dll (infectée par un virus).

 

Voici les lignes de l'autorun.inf :

 

[autorun]

open=

shell\open=Explore

shell\open\Command=rundll32.exe .\\atiodvaa.dll,InstallM

shell\open\Default=1

 

Dans le cas présent la dll porte le nom de atiodvaa.dll. Le problème étant que dans les processus rien ne me semble anormal, ni dans les DLL utilisées par les processus de Windows.

 

Mais je constate qu'un virus est présent sur mon PC à cause d'un "détail" : quand je supprime de la clé USB l'autorun.inf et la dll, des que j'enlève la clé et la remet un autre autorun.inf est créé avec une autre dll (qui est sous un nouveau nom).

 

Je tiens a préciser qu'aucun autorun.inf n'est présent sur mes disques.

 

Voici le rapport Hijackthis :

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 22:09:46, on 28/05/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal

 

Running processes:

D:\WINDOWS\System32\smss.exe

D:\WINDOWS\system32\winlogon.exe

D:\WINDOWS\system32\services.exe

D:\WINDOWS\system32\lsass.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\System32\svchost.exe

D:\WINDOWS\system32\spoolsv.exe

D:\WINDOWS\Explorer.EXE

D:\program files\powerstrip\pstrip.exe

D:\Program Files\Microsoft IntelliPoint\ipoint.exe

D:\Program Files\Windows Live\Messenger\msnmsgr.exe

D:\WINDOWS\system32\ctfmon.exe

D:\Program Files\Samurize\Client.exe

D:\WINDOWS\system32\SearchIndexer.exe

D:\Program Files\Windows Live\Contacts\wlcomm.exe

D:\WINDOWS\System32\svchost.exe

C:\Program Files\Teamspeak2_RC2\TeamSpeak.exe

D:\WINDOWS\Explorer.EXE

D:\WINDOWS\System32\NOTEPAD.EXE

D:\Program Files\Mozilla Firefox\firefox.exe

D:\Program Files\Internet Download Manager\IDMan.exe

D:\Program Files\Trend Micro\HijackThis\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr/ie

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com?SearchSource=10&ctid=CT1561552

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.fr/ie

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.fr/keyword/%s

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Reloaded Lite V2

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Hotspot Shield Toolbar - {c95a4e8e-816d-4655-8c79-d736da1adb6d} - D:\Program Files\Hotspot_Shield\tbHots.dll

O2 - BHO: IDM Helper - {0055C089-8582-441B-A0BF-17B458C2A3A8} - D:\Program Files\Internet Download Manager\IDMIECC.dll

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - D:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - D:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Program Files\Java\jre6\bin\ssv.dll

O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - D:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: VMN Toolbar - {A057A204-BACC-4D26-8287-79A187E26987} - D:\PROGRA~1\VMNTOO~1\VMNTOO~1.DLL

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - D:\Program Files\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll

O2 - BHO: Hotspot Shield Toolbar - {c95a4e8e-816d-4655-8c79-d736da1adb6d} - D:\Program Files\Hotspot_Shield\tbHots.dll

O2 - BHO: Java Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - D:\Program Files\Java\jre6\bin\jp2ssv.dll

O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - D:\Program Files\Windows Live\Toolbar\wltcore.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - D:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O2 - BHO: Hotspot Shield Class - {F9E4A054-E9B1-4BC3-83A3-76A1AE736170} - D:\Program Files\Hotspot Shield\hssie\HssIE.dll

O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - D:\Program Files\Windows Live\Toolbar\wltcore.dll

O3 - Toolbar: VMN Toolbar - {A057A204-BACC-4D26-8287-79A187E26987} - D:\PROGRA~1\VMNTOO~1\VMNTOO~1.DLL

O3 - Toolbar: Hotspot Shield Toolbar - {c95a4e8e-816d-4655-8c79-d736da1adb6d} - D:\Program Files\Hotspot_Shield\tbHots.dll

O4 - HKLM\..\Run: [Vistadrv] D:\WINDOWS\system32\Vistadrive\vsdrv.exe

O4 - HKLM\..\Run: [PowerStrip] d:\program files\powerstrip\pstrip.exe

O4 - HKLM\..\Run: [intelliPoint] "D:\Program Files\Microsoft IntelliPoint\ipoint.exe"

O4 - HKCU\..\Run: [msnmsgr] "D:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [ctfmon.exe] D:\WINDOWS\system32\ctfmon.exe

O4 - Startup: Client Default.lnk = D:\Program Files\Samurize\Client.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://D:\PROGRA~1\MI1933~1\Office12\EXCEL.EXE/3000

O8 - Extra context menu item: Télécharger avec IDM - D:\Program Files\Internet Download Manager\IEExt.htm

O8 - Extra context menu item: Télécharger le contenu de video FLV avec IDM - D:\Program Files\Internet Download Manager\IEGetVL.htm

O8 - Extra context menu item: Télécharger tous les liens avec IDM - D:\Program Files\Internet Download Manager\IEGetAll.htm

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre6\bin\jp2iexp.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre6\bin\jp2iexp.dll

O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - D:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll

O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - D:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MI1933~1\Office12\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: d:\windows\system32\nwprovau.dll

O16 - DPF: {4E218431-2F07-40BD-A9D3-035324C1F13F} (DyynoX Class) - http://webserver.dyyno.com/tng/dyyno-client/DyynoCAB.CAB

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1232273459109

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shoc...ash/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{67809211-A5B3-470F-ADCE-F24F045B7D96}: NameServer = 212.27.40.240,212.27.40.241

O17 - HKLM\System\CCS\Services\Tcpip\..\{C6219E87-06CC-4757-B94C-7568AF3A5E08}: NameServer = 212.27.40.241,212.27.40.240

O21 - SSODL: UpdateCheck - {0C2A94AC-3241-4EF7-B3E8-1110E0BE2921} - D:\WINDOWS\system32\wvcsvc.dll

O23 - Service: wampapache - Apache Software Foundation - c:\wamp\bin\apache\apache2.2.11\bin\httpd.exe

O23 - Service: wampmysqld - Unknown owner - c:\wamp\bin\mysql\mysql5.1.32\bin\mysqld.exe

 

--

End of file - 7502 bytes

 

 

Si quelqu'un pouvait m'aider je lui serais reconnaissant.

 

Merci

Modifié le 29 mai 2009 par lolo55

[lolo55]

Je réédite mon message car en fait j'ai toujours le problème :

 

Il s'agit de la DLL D:\WINDOWS\system32\wvcsvc.dll : dans les processus elle avait comme description Java Machine Process, et comme fabriquant Microsoft Corporation, c'est pour cela que je n'avais pas fait attention.

 

En attendant une aide.

 

Merci.

Modifié le 28 mai 2009 par lolo55

[Apollo]

Bonjour,

 

Et installer un antivirus, tu n'y as jamais pensé?

 

http://www.vista-xp.fr/forum/topic4162.html

 

Connecte les supports amovibles sans les ouvrir

 

1) Sous Vista:Désactiver provisoirement l'UAC

 

Télécharge USBFix de C_XX & Chiquitine29 sur ton Bureau.

http://sd-1.archive-host.com/membres/up/12...5653/UsbFix.exe

Double-clique pour l'exécuter. ---> (Sous VISTA: clic droit/exécuter en temps qu'administrateur!)

Le programme va s'installer et un raccourci va se créer sur ton Bureau.

Double-clique sur le raccourci pour exécuter l'outil

Sélectionne 1 puis laisse l'outil travailler

Poste le rapport stp.

 

------------------------------------------

 

2) Relance USB Fix et choisis cette fois l'option 2, valide par Entrée (Enter).

 

Le menu démarrer et les icônes vont à nouveau disparaître.. c'est normal.

Le nettoyage va prendre quelques minutes... Appuyer sur OK sur la fenêtre d'informations.

Le fix peux avoir besoin de redémarrer l'ordinateur, un message vous en avertit, vous devez appuyer sur une touche.

Au redémarrage, le fix se relance... laissez l'opération s'effectuer.

Un rapport de nettoyage vous est proposé... appuyez sur une touche pour ouvrir ce rapport.

 

Colle le rapport ici stp.

 

@++

[lolo55]

Je te remercie de ton aide, mais mon problème est en fait maintenant résolu :

 

J'ai supprimé la DLL en question qui donc était exécutée par explorer.exe, sous la description "Java Virutal Mashine" (et oui avec un "s"

) et comme développeur microsoft, j'ai reperé cette DLL grace a Hijackthis :

 

O21 - SSODL: UpdateCheck - {0C2A94AC-3241-4EF7-B3E8-1110E0BE2921} - D:\WINDOWS\system32\wvcsvc.dll

 

Je l'ai supprimé en killant le processus "explorer.exe" en modifiant les attributs du fichier avec cmd (attrib -s -h -r wvcsvc.dll) et l'ai ensuite supprimée (del wvcsvc.dll) Puis j'ai supprimé l'autorun.inf et la DLL de la clé USB et ils ne se recréent plus désormais.

 

Donc pour ceux qui eventuellement aurait eu le même problème

Modifié le 29 mai 2009 par lolo55