[Résolu] Virus dans mon PC

[euterpe]

Bonsoir à tous,

 

après avoir consulté ma messagerie orange avant hier soir, mon antivirus (AVG) s'est affollé et a détecté presque 900 virus ou troyens, etc. ; j'ai fait une analyse poussée et tout mis en quarantaine ou détruit ; puis j'ai lancé spybot et il a corrigé 8 problèmes ; etc. Mais depuis, je formate et reformate, et j'installe et réinstalle windows, mais rien n'y fait, j'ai des messages d'erreur en cascades, de la simple multiplication des erreurs de scripts sur internet explorer 6 en passant par des trucs du type:

code erreur 0x00000002, le fichier spécifié est introuvable

ou encore C:\WINDOWS\system32\NVMCTRAY.DLL (ou NvCpl.dll) ou system32\regedit.exe manquant

 

maintenant, windows xp ne veut pas s'updater, car il n'arrive pas à installer le service de transfert intelligent en arrière-plan (BITS) 2.0 et WIN HTTP 5.1 (KB842773)

 

j'ai cherché dans les forums des informations, et j'ai compris, un peu tard, profane que je suis ! , qu'on ne peut simplement se contenter de mettre en quarantaine des virus....

 

j'ai donc téléchargé hijack this, et je me permets de vous soumettre le rapport qu'il m'indique :

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 23:39:16, on 02/09/2009

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\msa.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Raxco\PerfectDisk10\PDAgent.exe

C:\WINDOWS\System32\sofatnet.exe

C:\WINDOWS\System32\reader_s.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Documents and Settings\euterpe\reader_s.exe

C:\Documents and Settings\euterpe\Local Settings\Temp\JDstart.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\8.tmp

C:\WINDOWS\system32\C.tmp

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\DOCUME~1\euterpe\LOCALS~1\Temp\unzip86.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\29.tmp

C:\DOCUME~1\euterpe\LOCALS~1\Temp\b.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Documents and Settings\euterpe\Mes documents\Téléchargements\HiJackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

F3 - REG:win.ini: load=C:\WINDOWS\fonts\services.exe

F3 - REG:win.ini: run=C:\WINDOWS\fonts\services.exe

O1 - Hosts: 91.121.97.18 www.thepiratebay.org

O1 - Hosts: 91.121.97.18 thepiratebay.org

O1 - Hosts: 91.121.97.18 www.thepiratebay.org

O1 - Hosts: 91.121.97.18 thepiratebay.org

O2 - BHO: XML module - {500BCA15-57A7-4eaf-8143-8C619470B13D} - C:\WINDOWS\System32\msxml71.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [reader_s] C:\WINDOWS\System32\reader_s.exe

O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [reader_s] C:\Documents and Settings\euterpe\reader_s.exe

O4 - HKCU\..\Run: [Monopod] C:\DOCUME~1\euterpe\LOCALS~1\Temp\b.exe

O4 - HKLM\..\Policies\Explorer\Run: [exec] C:\WINDOWS\fonts\services.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [euterpe] C:\Documents and Settings\euterpe\euterpe.exe /i (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [euterpe] C:\Documents and Settings\euterpe\euterpe.exe /i (User 'Default user')

O4 - Startup: Windows Updater.lnk = C:\Documents and Settings\euterpe\Local Settings\Temp\JDstart.exe

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1251923513312

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: NVIDIA Display Driver Service (nvsvc) - Unknown owner - C:\WINDOWS\System32\nvsvc32.exe (file missing)

O23 - Service: PDAgent - Raxco Software, Inc. - C:\Program Files\Raxco\PerfectDisk10\PDAgent.exe

O23 - Service: PDEngine - Raxco Software, Inc. - C:\Program Files\Raxco\PerfectDisk10\PDEngine.exe

O23 - Service: sofatnet Service (sofatnet) - Sigma Designs In - C:\WINDOWS\System32\sofatnet.exe

 

--

End of file - 4174 bytes

 

 

Pour moi, tout cela reste du chinois, et si quelqu'un voulait me consacrer un peu de son temps, je lui en serait très reconnaissant, d'autant que mes recherches et ma thèse au format word se trouvent dans mon pc (je n'ai pas enregistré mes dernières modifications sur clé usb encore

 

Par avance, merci infiniment à ceux qui accepteraient d'aider un néophyte,

 

Euterpe.

[Mark]

Bonsoir euterpe ; je te souhaite la bienvenue sur le forum

 

À la lecture des problèmes et en regardant le rapport (merci), les nouvelles ne sont pas bonnes. La machine est horriblement infectée par des portes dérobées et probablement par un virus destructeur nommé Virut (ou Scribble, selon l'éditeur d'antivirus). Virut infecte tous les fichiers exécutables présents sur la machine et survit à quasi tout, sauf le formatage. Mais le formatage doit être minutieusement fait, et je t'expliquerai comment éviter les pièges. Je pourrais te demander quelques analyses de fichiers pour confirmer la présence de Virut mais... vu le log, les symptômes et les efforts déployés, il faudra reformater.

 

Virut attaque les fichiers .htm, .html et .php en plus des exécutables (.exe et .scr). Il faut également soupçonner toutes les archives (fichiers .zip, .rar, etc...) car ils contiennent souvent des exécutables. Tous les fichiers mentionnés ci-haut, programmes compris, ne doivent pas être sauvegardés ni réinstallés suite au formatage. Voilà la clé du succès. À surveiller aussi : les lecteurs amovibles (clés USB, disques externes, cartes mémoire, etc...) qui peuvent être infectées : il faut les formater. Finalement, les disques internes supplémentaires et les partitions qui contiennent des fichiers exécutables, .htm, .html ou .php >> doivent êtres supprimés avant réinstallation de Windows sur la partition système. Il faut absolument formater et non réparer Windows (= suppression de la partition système avant réinstallation). Les cracks, fichiers téléchargés par P2P et pièces jointes suspectes de messageries doivent impérativement aller à la Corbeille pronto.

 

Dernier point : nous avons vu un cas de Virut dernièrement où des fichiers .doc (Word), .jpeg (images) et .pdf étaient infectés ; cas unique et inexpliqué, mais il faut prévoir. Prévoir signifie faire la sauvegarde des fichiers .jpeg, .doc et .pdf sur un disque amovible (CD/DVD ou clé USB par exemple) et de le garder au frais, pour ensuite le scanner à l'antivirus lorsque Windows est complètement réinstallé, mis à jour et protégé.

 

=============

 

Première étape : sauvegarde des fichiers perso, sauf ceux mentionnés ci-haut. Cas particuliers : images + documents Word + .pdf (sauvegarde à part des autres fichiers perso).

 

Deuxième étape : suppressions des fichiers exécutables + autres à risque sur partitions/disques auxiliaires. Formatage des lecteurs amovibles.

 

Troisième étape : formatage de la partition système + réinstallation de Windows.

 

Quatrième étape : installation des protections (au minimum un antivirus : AntiVir - version gratuite - fortement recommandé).

 

Cinquième étape : mise à jour de Windows.

 

Sixième et dernière étape : réinstallation des sauvegardes, avec toute la prudence requise. Si des images + .doc + .pdf ont été sauvegardés sur disque ou autre média : scanner ce dernier avec l'antivirus avant de réinstaller sur la machine (insérer le disque/lecteur >> ouvrir le Poste de Travail >> clic droit dessus et analyser/contrôler avec l'antivirus).

 

Je pense avoir fait le tour. Ça peut sembler long, mais ce n'est qu'un formatage typique fait avec quelques précautions additionnelles.

 

 

Si tu as des questions, pas de gêne

 

Bon succès.

 

Mark

[euterpe]

Merci beaucoup pour ta réponse nocturne

 

je vais essayer de suivre la procédure telle que tu me l'as indiquée dans ton message.

 

Cependant, cette nuit, après avoir poster mon sujet, j'ai installé malaware et avast, car mon antivirus AVG me dit qu'il ne peut se connecter au serveur (sans doute à cause du virus). J'ai lu très attentivement les résultats des scans (ainsi que celui de hijackthis) en fonction des tutoriels disponibles sur le net, et je n'ai procédé qu'en mode sans échec.

 

Avast ne pouvait ni réparer ni mettre en quarantaine certains virus, alors j'en ai supprimé (je crois qu'en tout ils ne formaient que 2 familles de virus, dont celui-ci : Win32 agant AFVS (Rtk). J'ai réparé au compte goutte, de sorte que j'ai réalisé en tout et pour tout une dizaine de scan, en recoupant les infos que je pouvais lire d'un logiciel à l'autre.

 

Au total, il me semble que cela a fait du bien à mon ordinateur ; en effet, au démarrage, je n'ai plus qu'un seul message d'erreur :

 

Windows ne trouve pas C:\WINDOWS\fonts\service.exe.

Oups, au moment où je t'écris m'indique qu'il vient de trouver deux virus ou trojans (!), impossible de réparer ni de mettre en quarantaine, j'ai supprimé.

 

En tout cas, certaines infections ont l'air (mais je ne suis qu'un vulgaire profane en la matière) d'avoir disparu.

 

Par contre, par prudence, je n'ai supprimé aucune valeur ni clé de registre dans le scan de malaware, ni dans celui de spybot ; j'ai trop peur de faire une bêtise.

 

Voilà, je poste un nouveau rapport hijackthis ci-dessous :

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 10:17:29, on 03/09/2009

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Java\jre6\bin\jqs.exe

C:\Program Files\Raxco\PerfectDisk10\PDAgent.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\system32\7.tmp

C:\WINDOWS\System32\reader_s.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\Java\jre6\bin\jusched.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Documents and Settings\euterpe\Mes documents\Téléchargements\HiJackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

F3 - REG:win.ini: load=C:\WINDOWS\fonts\services.exe

F3 - REG:win.ini: run=C:\WINDOWS\fonts\services.exe

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Java Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"

O4 - HKLM\..\Run: [10916] C:\WINDOWS\system32\7.tmp.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKLM\..\Policies\Explorer\Run: [exec] C:\WINDOWS\fonts\services.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User '?')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User '?')

O4 - HKUS\S-1-5-21-1715567821-764733703-839522115-1003\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe (User '?')

O4 - HKUS\S-1-5-18\..\Run: [reader_s] C:\Documents and Settings\euterpe\reader_s.exe (User '?')

O4 - HKUS\.DEFAULT\..\Run: [reader_s] C:\Documents and Settings\euterpe\reader_s.exe (User 'Default user')

O4 - S-1-5-21-1715567821-764733703-839522115-1003 Startup: Windows Updater.lnk = C:\Documents and Settings\euterpe\Local Settings\Temp\JDstart.exe (User '?')

O4 - Startup: Windows Updater.lnk = C:\Documents and Settings\euterpe\Local Settings\Temp\JDstart.exe

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.zebulon.fr/scan8/oscan8.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1251923513312

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe

O23 - Service: NVIDIA Display Driver Service (nvsvc) - Unknown owner - C:\WINDOWS\System32\nvsvc32.exe (file missing)

O23 - Service: PDAgent - Raxco Software, Inc. - C:\Program Files\Raxco\PerfectDisk10\PDAgent.exe

O23 - Service: PDEngine - Raxco Software, Inc. - C:\Program Files\Raxco\PerfectDisk10\PDEngine.exe

 

--

End of file - 5143 bytes

 

 

Y a-t-il une évolution encourageante depuis le rapport de cette nuit ? Ou bien dois-je me suicider ?

 

En tout cas, avant de suivre la procédure que tu m'as indiquée, j'attends ta réponse à ce message.

 

Et SURTOUT, merci beaucoup à toi de t'être penché sur mon problème aussi tard, c'est quand même très rassurant de savoir que certains peuvent aider à tout moment les les consommateurs ignorants de l'informatique sur le net. Encore merci

 

Euterpe

[Mark]

Y a pas de quoi, Euterpe, et le décalage horaire aide

 

Étant donné que tu as amorcé des procédures, je peux te guider pour quelques vérifications supplémentaires, même si je crois qu'un formatage en règle serait souhaitable pour la machine. On vérifie quelques trucs et ensuite je te donne un nouveau verdict

 

Le dernier rapport n'est pas mieux que le premier, mais si tu n'as réparé aucune clé/valeur de registre, ça pourrait expliquer, en partie.

 

Ce message pour C:\WINDOWS\fonts\services.exe est lié à la suppression d'un fichier infecté que Windows cherche à lancer ; il ne le trouve pas (bien) alors il lance l'erreur. Pas grave pour celui-là (pour l'instant).

 

Tout d'abord, on va vérifier si Virut est toujours là :

=====================

 

- Il faut tout d'abord démasquer les fichiers cachés :

 

1. Ferme tous les programmes/fenêtres afin de te retrouver sur le Bureau.
   
2. Double-clique sur le Poste de Travail
   
3. Du menu Outils, clique Options des dossiers...
   
4. De la nouvelle fenêtre, choisis l'onglet Affichage
   
5. Sous Fichiers et dossiers, coche la case Afficher le contenu des dossiers système
   
6. Sous Fichiers et dossiers cachés, clique le bouton Afficher les fichiers et dossiers cachés
   
7. Décoche la case Masquer les extensions des fichiers dont le type est connu
   
8. Décoche la case Masquer les fichiers protégés du système d'exploitation (recommandé)
   
9. Clique le bouton Appliquer puis OK. Ferme les fenêtres du Poste de travail.
   

 

Ensuite...

 

Va sur le site de VirusTotal >>

http://www.virustotal.com/fr/

 

- Clique "Parcourir..."

- Retrouve le fichier suivant :

 

C:\WINDOWS\explorer.exe

 

- Double-clique dessus pour le sélectionner

- Clique maintenant sur le bouton "Envoyer le fichier"

- Possible que tu sois mis en file d'attente ; il faut alors patienter

- Possible qu'on te dise que le fichier ait déjà été analysé ; si c'est le cas, choisis une nouvelle analyse.

- Les résultats d'analyse apparaîtront progressivement ; cela ne prend qu'une ou deux minutes.

- Lorsque terminé, copie/colle le rapport ici, dans ta réponse.

 

>> Refais la même chose pour les deux fichiers suivants :

 

C:\WINDOWS\System32\userinit.exe

C:\WINDOWS\system32\svchost.exe

 

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

 

Là il faut que tu fasses tes sauvegardes de fichiers perso avant de lancer tout outil de nettoyage, car avec de telles infections, la machine peut cesser de fonctionner si les exécutables système sont touchés.

 

@bientôt

 

Mark

[euterpe]

Merci beaucoup Mark pour tes nouvelles indications,

 

je te poste les rapports obtenus pour l'analyse des trois fichiers que tu m'as demandés.

 

Je te précise également que, finalement, j'ai appliqué tes consignes à la lettre ; ça a été très long , j'ai travaillé en mode sans échec. J'ai détruit tous les fichiers que tu disais, en réglant ccleaner sur 7 passages. J'ai alterné malaware, spybot et avast environ une 20taine de fois, formaté, reformaté et reformaté comme un abruti et réinstallé windows, pour l'instant, je n'ai aucun messsage d'erreur, rien, sauf UN TRUC BIZARRE !! Non seulement l'installation d'AVIRA a échoué une première fois, écran bleu, redémarrage (l'icône du raccourci sur le bureau en transparence, inaccessible, mais avec un format comme quand on ne dispose pas du bon logiciel pour lire un type de fichier) , ensuite j'ai réussi à l'installer à la 2e tentative ; mais même si après 5 ou 6 scan pour voir, si Avira ne détecte aucun virus, il ne veut pas se mettre à jour, exactement comme avast au début avant que je n'applique tes consignes.

 

 

Voici l'analyse du fichier C:\WINDOWS\explorer.exe

 

Information additionnelle

File size: 1008128 bytes

MD5...: 82fe0d400cb1ac937234467b927b867a

SHA1..: bf9408584d2019c4c7c8f7b6c0ea08ac4d7de574

SHA256: 7c019cb6adeb33e249dc60f05d031d2396be3cb091b7e30926101149d1c509f7

ssdeep: 12288:pOifaHNmB8gA8a5dBbcH6a0BVa/oXqoJpaz/g/J/v/c:PUNj15dhM6a0BE

oXJaz/g/J/3

 

PEiD..: -

PEInfo: PE Structure information

 

( base data )

entrypointaddress.: 0x160cc

timedatestamp.....: 0x3d6de1e2 (Thu Aug 29 08:57:06 2002)

machinetype.......: 0x14c (I386)

 

( 4 sections )

name viradd virsiz rawdsiz ntrpy md5

.text 0x1000 0x3d78d 0x3d800 6.47 aa37fe12cd8a60a3165c012b1ac5d46b

.data 0x3f000 0x1cd8 0x1c00 0.96 02facb4867aeeafea7058f9e55938fd9

.rsrc 0x41000 0xb3270 0xb3400 6.63 91f4d488f646defbe097d16a939107f6

.reloc 0xf5000 0x34cc 0x3600 6.75 428919792c2214f0c87c578ed0170d3e

 

( 13 imports )

> msvcrt.dll: realloc, memmove, free, _itow, _ftol, _except_handler3

> ADVAPI32.dll: RegSetValueW, RegEnumKeyW, RegNotifyChangeKeyValue, RegQueryValueExA, RegOpenKeyExA, RegQueryValueW, RegCloseKey, RegCreateKeyW, RegDeleteValueW, RegEnumValueW, RegOpenKeyExW, RegQueryInfoKeyW, RegQueryValueExW, RegCreateKeyExW, RegSetValueExW, RegEnumKeyExW, GetUserNameW

> KERNEL32.dll: GetLocaleInfoW, FreeLibrary, GetSystemDefaultLCID, SetProcessShutdownParameters, ReleaseMutex, CreateMutexW, SetPriorityClass, GetCurrentProcess, GetStartupInfoW, GetCommandLineW, SetErrorMode, LeaveCriticalSection, EnterCriticalSection, CompareFileTime, GetSystemTimeAsFileTime, lstrcpynW, SetThreadPriority, GetCurrentThreadId, GetThreadPriority, GetCurrentThread, GetUserDefaultLangID, Sleep, GetBinaryTypeW, SystemTimeToFileTime, GetLocalTime, GetFileAttributesW, MoveFileW, FindClose, FindNextFileW, CreateEventW, IsBadCodePtr, SetEvent, GetCurrentProcessId, GetEnvironmentVariableW, lstrcatW, lstrcmpW, UnregisterWait, ResetEvent, GlobalGetAtomNameW, LoadLibraryExW, lstrcmpiA, RegisterWaitForSingleObject, GetDateFormatW, GetTimeFormatW, FlushInstructionCache, HeapFree, GetProcessHeap, HeapAlloc, HeapReAlloc, HeapSize, GetUserDefaultLCID, ReadProcessMemory, SetLastError, OpenProcess, InterlockedCompareExchange, LoadLibraryA, GetLastError, OpenEventW, WaitForSingleObject, GetTickCount, ExpandEnvironmentStringsW, GetModuleFileNameW, GetPrivateProfileStringW, GetSystemDirectoryW, GetWindowsDirectoryW, CreateFileW, DeviceIoControl, lstrcmpiW, LocalAlloc, LocalFree, ExitProcess, CreateJobObjectW, CreateThread, CreateProcessW, AssignProcessToJobObject, ResumeThread, TerminateProcess, TerminateThread, DelayLoadFailureHook, GetQueuedCompletionStatus, CreateIoCompletionPort, SetInformationJobObject, CloseHandle, LoadLibraryW, GetModuleHandleW, GetProcAddress, DeleteCriticalSection, HeapDestroy, InitializeCriticalSection, lstrlenW, lstrcpyW, InterlockedDecrement, InterlockedIncrement, CreateEventA, GetFileAttributesExW, MulDiv, GetLongPathNameW, GetProcessTimes, GetVersionExA, GetModuleHandleA, InterlockedExchange, GlobalFree, GlobalAlloc, FindFirstFileW

> GDI32.dll: OffsetViewportOrgEx, GetLayout, CombineRgn, CreateDIBSection, GetTextExtentPoint32W, StretchBlt, SetStretchBltMode, GetStockObject, CreatePatternBrush, CreateRectRgn, GetClipRgn, IntersectClipRect, GetViewportOrgEx, SelectClipRgn, PatBlt, GetBkColor, CreateCompatibleDC, CreateCompatibleBitmap, OffsetWindowOrgEx, DeleteDC, SetBkColor, BitBlt, ExtTextOutW, GetTextExtentPointW, GetClipBox, GetObjectW, CreateRectRgnIndirect, CreateFontIndirectW, SetTextColor, SetBkMode, DeleteObject, GetTextMetricsW, SelectObject, GetDeviceCaps, TranslateCharsetInfo, SetViewportOrgEx

> USER32.dll: SendDlgItemMessageW, EndDialog, ChildWindowFromPoint, SetCursorPos, ChangeDisplaySettingsW, RegisterHotKey, UnregisterHotKey, SetCursor, SendMessageTimeoutW, GetWindowPlacement, LoadImageW, SetWindowRgn, IntersectRect, OffsetRect, EnumDisplayMonitors, RedrawWindow, SubtractRect, TranslateAcceleratorW, TranslateMessage, DispatchMessageW, WaitMessage, InflateRect, CallWindowProcW, GetDlgCtrlID, SetCapture, LockSetForegroundWindow, CopyRect, MonitorFromRect, MonitorFromPoint, RegisterClassW, SetPropW, GetWindowLongA, SetWindowLongW, FillRect, GetCursorPos, PtInRect, BeginPaint, EndPaint, SetWindowTextW, GetAsyncKeyState, GetWindow, ShowWindowAsync, TrackPopupMenuEx, UpdateWindow, DestroyIcon, IsRectEmpty, SetActiveWindow, IsHungAppWindow, SetTimer, GetMenuItemID, TrackPopupMenu, EndTask, DestroyWindow, SendMessageCallbackW, GetClassLongW, LoadIconW, SetScrollPos, ShowWindow, BringWindowToTop, GetDesktopWindow, CascadeWindows, TileWindows, SwitchToThisWindow, InternalGetWindowText, GetScrollInfo, GetMenuItemCount, ModifyMenuW, InsertMenuW, IsWindowEnabled, GetMenuState, LoadCursorW, GetParent, OpenInputDesktop, CloseDesktop, EnumWindows, GetSysColorBrush, AllowSetForegroundWindow, IsWindowVisible, GetClientRect, UnionRect, EqualRect, GetWindowThreadProcessId, GetForegroundWindow, GetSysColor, DrawTextW, KillTimer, GetClassInfoExW, DefWindowProcW, RegisterClassExW, GetIconInfo, SetScrollInfo, GetLastActivePopup, SetForegroundWindow, IsWindow, GetSystemMenu, IsIconic, IsZoomed, EnableMenuItem, SetMenuDefaultItem, MonitorFromWindow, GetMonitorInfoW, GetWindowInfo, GetFocus, SetFocus, MapWindowPoints, ScreenToClient, ClientToScreen, GetWindowRect, SetWindowPos, DeleteMenu, GetMenuItemInfoW, wsprintfW, SetMenuItemInfoW, CharUpperBuffW, PeekMessageW, PostMessageW, EnumDisplayDevicesW, EnumDisplaySettingsExW, GetDC, ReleaseDC, LoadStringW, MessageBoxW, GetShellWindow, FindWindowW, SystemParametersInfoW, GetSystemMetrics, GetDoubleClickTime, CharNextW, CreatePopupMenu, GetMenuDefaultItem, DestroyMenu, GetKeyState, RegisterWindowMessageW, SendMessageW, CreateWindowExW, DialogBoxParamW, MsgWaitForMultipleObjects, CharNextA, RegisterClipboardFormatW, EndDeferWindowPos, DeferWindowPos, BeginDeferWindowPos, PrintWindow, SetClassLongW, GetPropW, GetNextDlgGroupItem, GetNextDlgTabItem, ChildWindowFromPointEx, IsChild, NotifyWinEvent, TrackMouseEvent, GetCapture, GetAncestor, CharUpperW, SetWindowLongA, DrawCaption, LoadMenuW, GetSubMenu, RemoveMenu, SetParent, CheckDlgButton, GetMessagePos, EnableWindow, IsDlgButtonChecked, GetDlgItemInt, SetDlgItemInt, CopyIcon, AdjustWindowRectEx, DrawFocusRect, GetDCEx, ExitWindowsEx, WindowFromPoint, SetRect, LoadAcceleratorsW, LoadBitmapW, SendNotifyMessageW, AppendMenuW, SetWindowPlacement, CheckMenuItem, MessageBeep, GetActiveWindow, PostQuitMessage, MoveWindow, GetDlgItem, RemovePropW, InvalidateRect, GetClassNameW, GetWindowLongW, EnumChildWindows, DrawEdge

> ntdll.dll: NtQueryInformationProcess, RtlNtStatusToDosError

> SHLWAPI.dll: -, -, -, -, -, -, -, -, -, AssocCreate, -, -, PathIsNetworkPathW, SHQueryValueExW, -, -, -, StrRetToStrW, StrRetToBufW, -, -, -, -, StrCpyW, -, StrCmpNW, -, StrCmpIW, -, -, -, -, -, -, SHGetValueW, -, wnsprintfW, PathUnquoteSpacesW, PathGetArgsW, -, StrCatBuffW, PathQuoteSpacesW, PathAppendW, StrCmpNIW, PathRemoveBlanksW, PathRemoveArgsW, PathFindFileNameW, StrStrIW, -, StrToIntW, SHRegGetBoolUSValueW, SHRegWriteUSValueW, SHRegCloseUSKey, SHRegCreateUSKeyW, SHRegGetUSValueW, -, -, -, -, -, PathCombineW, SHSetValueW, -, -, -, SHStrDupW, PathIsPrefixW, PathParseIconLocationW, AssocQueryKeyW, StrCatW, -, AssocQueryStringW, StrCmpW, -, -, -, -, -, -, -, -, SHRegQueryUSValueW, SHRegOpenUSKeyW, SHRegSetUSValueW, PathFindExtensionW, PathIsDirectoryW, -, PathRemoveFileSpecW, StrChrW, -, PathFileExistsW, PathGetDriveNumberW, -, -, -, PathStripToRootW, -, -, SHOpenRegStream2W, -, StrCpyNW, -, -, StrDupW, SHDeleteValueW, SHDeleteKeyW

> SHELL32.dll: -, -, -, -, -, -, -, -, -, -, -, -, -, -, SHGetDesktopFolder, SHChangeNotify, SHAddToRecentDocs, -, -, -, DuplicateIcon, -, -, -, -, -, -, -, -, SHUpdateRecycleBinIcon, SHGetFolderLocation, -, SHGetPathFromIDListA, -, -, -, -, -, -, SHGetPathFromIDListW, -, -, -, -, -, -, -, ExtractIconExW, -, -, -, -, -, SHGetFolderPathW, -, SHGetSpecialFolderLocation, -, -, -, -, -, -, -, -, -, -, ShellExecuteW, -, -, -, -, -, -, -, -, -, SHGetSpecialFolderPathW, ShellExecuteExW, -, -, -, SHBindToParent, -, -

> ole32.dll: CoFreeUnusedLibraries, RegisterDragDrop, RevokeDragDrop, OleUninitialize, CoInitializeEx, OleInitialize, CoRevokeClassObject, CoRegisterClassObject, CoMarshalInterThreadInterfaceInStream, CoCreateInstance, CoUninitialize, DoDragDrop

> OLEAUT32.dll: -, -

> BROWSEUI.dll: -, -, -, -

> SHDOCVW.dll: -, -, -

> UxTheme.dll: GetThemeBackgroundContentRect, GetThemeBool, GetThemePartSize, DrawThemeParentBackground, OpenThemeData, CloseThemeData, DrawThemeBackground, SetWindowTheme, GetThemeTextExtent, DrawThemeText, GetThemeBackgroundRegion, -, IsAppThemed, GetThemeFont, GetThemeColor, GetThemeMargins, GetThemeRect

 

( 0 exports )

 

RDS...: NSRL Reference Data Set

-

pdfid.: -

trid..: Win32 Executable Generic (42.3%)

Win32 Dynamic Link Library (generic) (37.6%)

Generic Win/DOS Executable (9.9%)

DOS Executable Generic (9.9%)

Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)

 

ENCORE BEAUCOUP BEAUCOUP MERCI

 

je te poste l'analyse des 2 autres fichiers demandés dans 2 autres posts, car les rapports sont très longs.

 

Euterpe

[euterpe]

voici le rapport pour svchost.exe

 

Antivirus Version Dernière mise à jour Résultat

a-squared 4.5.0.24 2009.09.03 -

AhnLab-V3 5.0.0.2 2009.09.03 -

AntiVir 7.9.1.7 2009.09.03 -

Antiy-AVL 2.0.3.7 2009.09.03 -

Authentium 5.1.2.4 2009.09.03 -

Avast 4.8.1335.0 2009.09.03 -

AVG 8.5.0.409 2009.09.03 -

BitDefender 7.2 2009.09.03 -

CAT-QuickHeal 10.00 2009.09.02 -

ClamAV 0.94.1 2009.09.03 -

Comodo 2194 2009.09.03 -

DrWeb 5.0.0.12182 2009.09.03 -

eSafe 7.0.17.0 2009.09.03 -

eTrust-Vet 31.6.6718 2009.09.03 -

F-Prot 4.5.1.85 2009.09.03 -

F-Secure 8.0.14470.0 2009.09.03 -

Fortinet 3.120.0.0 2009.09.03 -

GData 19 2009.09.03 -

Ikarus T3.1.1.68.0 2009.09.03 -

Jiangmin 11.0.800 2009.09.03 -

K7AntiVirus 7.10.835 2009.09.03 -

Kaspersky 7.0.0.125 2009.09.03 -

McAfee 5729 2009.09.03 -

McAfee+Artemis 5729 2009.09.03 -

McAfee-GW-Edition 6.8.5 2009.09.03 Heuristic.LooksLike.Win32.Luder.L

Microsoft 1.5005 2009.09.03 -

NOD32 4392 2009.09.03 -

Norman 6.01.09 2009.09.02 -

nProtect 2009.1.8.0 2009.09.03 -

Panda 10.0.2.2 2009.09.03 -

PCTools 4.4.2.0 2009.09.03 -

Prevx 3.0 2009.09.03 -

Rising 21.45.14.00 2009.09.01 -

Sophos 4.45.0 2009.09.03 -

Sunbelt 3.2.1858.2 2009.09.02 -

Symantec 1.4.4.12 2009.09.03 -

TheHacker 6.3.4.3.396 2009.09.03 -

TrendMicro 8.950.0.1094 2009.09.03 -

VBA32 3.12.10.10 2009.09.03 -

ViRobot 2009.9.3.1916 2009.09.03 -

VirusBuster 4.6.5.0 2009.09.03 -

Information additionnelle

File size: 12800 bytes

MD5...: 333a4db8410d8e24db06d6aebecdc7c2

SHA1..: 1eeb0e284d1e141e549f810fa2bd3f436a9d5ff2

SHA256: 17746fbf9cf9a51e0bf89076f8207712674245c44b3caea170a86dae3304c42f

ssdeep: 384:TRbFd9NSY0qnCKUlaQ2Cwx/DSNC1xz0Tm/+1Mai284YHrFWCZbW:TNBsYvUs

Q2CwN/LV

 

PEiD..: -

PEInfo: PE Structure information

 

( base data )

entrypointaddress.: 0x1ce2

timedatestamp.....: 0x3b7de4c5 (Sat Aug 18 03:45:09 2001)

machinetype.......: 0x14c (I386)

 

( 3 sections )

name viradd virsiz rawdsiz ntrpy md5

.text 0x1000 0x2450 0x2600 6.10 10ebd9a2b71c5bf7a4094caeaad55b46

.data 0x4000 0x1f4 0x200 1.50 1a396ac5334432d459f3697937a48e6e

.rsrc 0x5000 0x408 0x600 2.47 df415f1328865e4cbd290ad3189697e1

 

( 4 imports )

> ADVAPI32.dll: RegQueryValueExW, SetSecurityDescriptorGroup, SetSecurityDescriptorOwner, SetSecurityDescriptorDacl, InitializeSecurityDescriptor, GetTokenInformation, OpenProcessToken, OpenThreadToken, SetServiceStatus, RegisterServiceCtrlHandlerW, RegCloseKey, RegOpenKeyExW, StartServiceCtrlDispatcherW

> KERNEL32.dll: HeapFree, GetLastError, WideCharToMultiByte, lstrlenW, GetCurrentProcess, GetCurrentThread, HeapAlloc, LoadLibraryExW, LeaveCriticalSection, lstrcmpW, EnterCriticalSection, LCMapStringW, lstrcpyW, ExpandEnvironmentStringsW, lstrcmpiW, ExitProcess, GetCommandLineW, InitializeCriticalSection, GetProcessHeap, SetErrorMode, SetUnhandledExceptionFilter, FreeLibrary, InterlockedCompareExchange, LoadLibraryA, LocalFree, GetProcAddress, DelayLoadFailureHook, LocalAlloc

> ntdll.dll: NtQuerySecurityObject, RtlFreeHeap, NtOpenKey, wcscat, wcscpy, RtlAllocateHeap, RtlCompareUnicodeString, RtlInitUnicodeString, RtlInitializeSid, RtlLengthRequiredSid, RtlSubAuthoritySid, RtlCopySid, RtlSubAuthorityCountSid, NtClose, RtlGetDaclSecurityDescriptor, RtlQueryInformationAcl, RtlGetAce, RtlUnhandledExceptionFilter, wcslen, RtlImageNtHeader

> RPCRT4.dll: RpcMgmtSetServerStackSize, RpcMgmtWaitServerListen, RpcMgmtStopServerListening, RpcServerUnregisterIf, RpcServerUnregisterIfEx, RpcServerListen, RpcServerUseProtseqEpW, RpcServerRegisterIf, I_RpcMapWin32Status

 

( 0 exports )

 

RDS...: NSRL Reference Data Set

-

trid..: Win32 Executable Generic (42.3%)

Win32 Dynamic Link Library (generic) (37.6%)

Generic Win/DOS Executable (9.9%)

DOS Executable Generic (9.9%)

Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)

pdfid.: -

[euterpe]

je crois que pour le fichier explorer.exe j'aurais peut-être dû copier/coller la liste des antivirus pour voir lequel avait quelque chose à signaler non ? dois-je refaire l'analyse ?

[Mark]

Oké ça va pour les deux fichiers (explorer et svchost) donc j'attends pour le troisième.

 

Pour AntiVir : bizarre. Je te fais faire les mises à jour en manuel et ensuite tu pourras faire un scan complet. Un tuto ici :

http://www.libellules.ch/dotclear/index.ph...re-les-serveurs

 

Poste le rapport ici et on verra pour la suite. C'est long, je sais...

 

@+

[euterpe]

Voici l'analyse de userini.exe (+ de 40 minutes, j'ai rafraîchi la page internet et m'a sorti de suite ce rapport ; du coup, est-il vraiment fiable ?)

 

Information additionnelle

File size: 22528 bytes

MD5 : f4127a2a00825c69a870035da1264ae0

SHA1 : cb8bbfd716704c800b2a6f14da1df62045736c6a

SHA256: ce63dc93d43d502a39bace13639d2327057c7e5b0b155f5cbec1dbc0e57a448a

PEInfo: PE Structure information

 

( base data )

entrypointaddress.: 0x463B

timedatestamp.....: 0x3D6DD941 (Thu Aug 29 10:20:17 2002)

machinetype.......: 0x14C (Intel I386)

 

( 3 sections )

name viradd virsiz rawdsiz ntrpy md5

.text 0x1000 0x421C 0x4400 5.90 09ecdf977b7bb3c0bbf1e54f34f19981

.data 0x6000 0x134 0x200 1.70 a25ed8b09ee9807621e1f8420e874b6b

.rsrc 0x7000 0xD64 0xE00 3.63 0df2896c340492aca61ad7873d1c3195

 

( 7 imports )

 

> advapi32.dll: RegOpenKeyExA, ReportEventW, RegisterEventSourceW, DeregisterEventSource, OpenProcessToken, RegCreateKeyExW, RegSetValueExW, GetUserNameW, RegQueryValueExW, RegOpenKeyExW, RegQueryInfoKeyW, RegCloseKey, RegQueryValueExA

> crypt32.dll: CryptProtectData

> kernel32.dll: CompareFileTime, LoadLibraryW, GetProcAddress, FreeLibrary, lstrcpyW, CreateProcessW, lstrlenW, GetVersionExW, LocalFree, LocalAlloc, GetEnvironmentVariableW, CloseHandle, lstrcatW, WaitForSingleObject, DelayLoadFailureHook, GetStartupInfoA, GetModuleHandleA, LoadLibraryA, InterlockedCompareExchange, LocalReAlloc, GetSystemTime, lstrcmpW, GetCurrentThread, SetThreadPriority, CreateThread, SetCurrentDirectoryW, FormatMessageW, lstrcmpiW, GetFileAttributesExW, GetSystemDirectoryW, GetCurrentProcess, GetUserDefaultLangID, GetCurrentProcessId, SetEvent, OpenEventW, Sleep, ExpandEnvironmentStringsW, GetLastError, SearchPathW, SetEnvironmentVariableW

> msvcrt.dll: _controlfp, __set_app_type, __p__fmode, __p__commode, _adjust_fdiv, _except_handler3, _initterm, __getmainargs, exit, _cexit, _XcptFilter, _exit, _c_exit, __setusermatherr, _acmdln

> ntdll.dll: RtlLengthSid, RtlCopySid, _itow, RtlFreeUnicodeString, DbgPrint, wcslen, wcscpy, wcscat, wcscmp, RtlInitUnicodeString, NtOpenKey, NtClose, _wcsicmp, memmove, NtQueryInformationToken, RtlConvertSidToUnicodeString

> user32.dll: CreateWindowExW, DestroyWindow, RegisterClassExW, DefWindowProcW, LoadRemoteFonts, wsprintfW, GetSystemMetrics, GetKeyboardLayout, SystemParametersInfoW, GetDesktopWindow, LoadStringW, MessageBoxW, ExitWindowsEx, CharNextW

> winspool.drv: SpoolerInit

 

( 0 exports )

 

TrID : File type identification

60.8% (.EXE) Win32 Executable MS Visual C++ (generic) (31206/45/13)

16.6% (.EXE) Win32 Executable Generic (8527/13/3)

14.7% (.DLL) Win32 Dynamic Link Library (generic) (7583/30/2)

3.9% (.EXE) Generic Win/DOS Executable (2002/3)

3.8% (.EXE) DOS Executable Generic (2000/1)

ThreatExpert: http://www.threatexpert.com/report.aspx?md...870035da1264ae0

ssdeep: 384:MJefqtfJEZ+zZb9qGUkI9NXPyehqeQ7CZWm2txHLjGsnvf9SZWUxUFp:Xf8J2+BskIzmLjpr

PEiD : -

RDS : NSRL Reference Data Set

 

( Microsoft )

 

MSDN Disc 2307: userinit.exeMSDN Disc 2439: userinit.exeMSDN Disc 2439.1: userinit.exeMSDN Disc 2439.2: userinit.exeMSDN Disc 2439.3: userinit.exeMSDN Disc 3264: userinit.exePlatforms, SDK/DDK: userinit.exe

 

Merci Mark pour ton aide, j'espère que cette analyse est aussi encourageante que pour les 2 premiers fichiers.

 

je télécharge la mise à jour antivir par ton lien, merci.

je te tiens au courant du scan effectué.

 

Euterpe

[Mark]

Re-salut

 

Oui c'est fiable car le hash des fichiers (MD5) est Oké ; pas nécessaire de consulter le détail des détections. le système semble donc propre pour ce qui est de Virut. AntiVir pourra nous confirmer.

 

Suite au rapport d'AntiVir, on verra. Si c'est propre, il faudra mettre Windows à jour (SP2 + toutes MAJ critiques minimum pour l'instant).

 

À suivre..