[RESOLU] Log Hijackthis pour infection Dropper.gen et CriptXPACK.gen

[greenman]

Rien avec Malwarebyte's à jour, mais voici quand même le log.

 

Pour avira, je fais un scan complet?

 

Malwarebytes' Anti-Malware 1.42

Version de la base de données: 3407

Windows 5.1.2600 Service Pack 3

Internet Explorer 8.0.6001.18702

 

22/12/2009 12:11:06

mbam-log-2009-12-22 (12-11-06).txt

 

Type de recherche: Examen rapide

Eléments examinés: 104546

Temps écoulé: 8 minute(s), 1 second(s)

 

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 0

 

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Clé(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Valeur(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

 

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

 

Fichier(s) infecté(s):

(Aucun élément nuisible détecté)

[greenman]

Et le rapport avira qui donne toujours le même avertissement concernant pagefile.sys

Rien de grave?

 

 

 

 

Avira AntiVir Personal

Date de création du fichier de rapport : mardi 22 décembre 2009 12:16

 

La recherche porte sur 1462406 souches de virus.

 

Détenteur de la licence : Avira AntiVir Personal - FREE Antivirus

Numéro de série : 0000149996-ADJIE-0000001

Plateforme : Windows XP

Version de Windows : (Service Pack 3) [5.1.2600]

Mode Boot : Démarré normalement

Identifiant : Pierre BAINI

Nom de l'ordinateur : PRESARIO_2100

 

Informations de version :

BUILD.DAT : 9.0.0.74 21698 Bytes 04/12/2009 13:56:00

AVSCAN.EXE : 9.0.3.10 466689 Bytes 13/10/2009 10:25:46

AVSCAN.DLL : 9.0.3.0 49409 Bytes 03/03/2009 09:21:02

LUKE.DLL : 9.0.3.2 209665 Bytes 20/02/2009 10:35:11

LUKERES.DLL : 9.0.2.0 13569 Bytes 03/03/2009 09:21:31

VBASE000.VDF : 7.10.0.0 19875328 Bytes 06/11/2009 06:35:52

VBASE001.VDF : 7.10.1.0 1372672 Bytes 19/11/2009 12:29:02

VBASE002.VDF : 7.10.1.1 2048 Bytes 19/11/2009 12:29:02

VBASE003.VDF : 7.10.1.2 2048 Bytes 19/11/2009 12:29:02

VBASE004.VDF : 7.10.1.3 2048 Bytes 19/11/2009 12:29:02

VBASE005.VDF : 7.10.1.4 2048 Bytes 19/11/2009 12:29:02

VBASE006.VDF : 7.10.1.5 2048 Bytes 19/11/2009 12:29:02

VBASE007.VDF : 7.10.1.6 2048 Bytes 19/11/2009 12:29:02

VBASE008.VDF : 7.10.1.7 2048 Bytes 19/11/2009 12:29:02

VBASE009.VDF : 7.10.1.8 2048 Bytes 19/11/2009 12:29:03

VBASE010.VDF : 7.10.1.9 2048 Bytes 19/11/2009 12:29:03

VBASE011.VDF : 7.10.1.10 2048 Bytes 19/11/2009 12:29:03

VBASE012.VDF : 7.10.1.11 2048 Bytes 19/11/2009 12:29:03

VBASE013.VDF : 7.10.1.79 209920 Bytes 25/11/2009 12:29:03

VBASE014.VDF : 7.10.1.128 197632 Bytes 30/11/2009 12:29:04

VBASE015.VDF : 7.10.1.178 195584 Bytes 07/12/2009 12:29:04

VBASE016.VDF : 7.10.1.224 183296 Bytes 14/12/2009 12:29:04

VBASE017.VDF : 7.10.1.247 182272 Bytes 15/12/2009 12:29:04

VBASE018.VDF : 7.10.2.30 198144 Bytes 21/12/2009 16:16:51

VBASE019.VDF : 7.10.2.31 2048 Bytes 21/12/2009 16:16:51

VBASE020.VDF : 7.10.2.32 2048 Bytes 21/12/2009 16:16:51

VBASE021.VDF : 7.10.2.33 2048 Bytes 21/12/2009 16:16:51

VBASE022.VDF : 7.10.2.34 2048 Bytes 21/12/2009 16:16:51

VBASE023.VDF : 7.10.2.35 2048 Bytes 21/12/2009 16:16:51

VBASE024.VDF : 7.10.2.36 2048 Bytes 21/12/2009 16:16:51

VBASE025.VDF : 7.10.2.37 2048 Bytes 21/12/2009 16:16:51

VBASE026.VDF : 7.10.2.38 2048 Bytes 21/12/2009 16:16:51

VBASE027.VDF : 7.10.2.39 2048 Bytes 21/12/2009 16:16:51

VBASE028.VDF : 7.10.2.40 2048 Bytes 21/12/2009 16:16:52

VBASE029.VDF : 7.10.2.41 2048 Bytes 21/12/2009 16:16:52

VBASE030.VDF : 7.10.2.42 2048 Bytes 21/12/2009 16:16:52

VBASE031.VDF : 7.10.2.46 35328 Bytes 22/12/2009 11:00:27

Version du moteur : 8.2.1.122

AEVDF.DLL : 8.1.1.2 106867 Bytes 08/11/2009 06:38:52

AESCRIPT.DLL : 8.1.3.4 586105 Bytes 22/12/2009 11:00:36

AESCN.DLL : 8.1.3.0 127348 Bytes 18/12/2009 12:29:08

AESBX.DLL : 8.1.1.1 246132 Bytes 08/11/2009 06:38:44

AERDL.DLL : 8.1.3.4 479605 Bytes 18/12/2009 12:29:08

AEPACK.DLL : 8.2.0.3 422261 Bytes 08/11/2009 06:38:40

AEOFFICE.DLL : 8.1.0.38 196987 Bytes 08/11/2009 06:38:38

AEHEUR.DLL : 8.1.0.189 2195833 Bytes 22/12/2009 11:00:34

AEHELP.DLL : 8.1.9.0 237943 Bytes 18/12/2009 12:29:07

AEGEN.DLL : 8.1.1.82 369014 Bytes 22/12/2009 11:00:29

AEEMU.DLL : 8.1.1.0 393587 Bytes 08/11/2009 06:38:26

AECORE.DLL : 8.1.9.1 180598 Bytes 18/12/2009 12:29:06

AEBB.DLL : 8.1.0.3 53618 Bytes 08/11/2009 06:38:20

AVWINLL.DLL : 9.0.0.3 18177 Bytes 12/12/2008 07:47:30

AVPREF.DLL : 9.0.3.0 44289 Bytes 26/08/2009 14:13:31

AVREP.DLL : 8.0.0.3 155905 Bytes 20/01/2009 13:34:28

AVREG.DLL : 9.0.0.0 36609 Bytes 07/11/2008 14:24:42

AVARKT.DLL : 9.0.0.3 292609 Bytes 24/03/2009 14:05:22

AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30/01/2009 09:36:37

SQLITE3.DLL : 3.6.1.0 326401 Bytes 28/01/2009 14:03:49

SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02/02/2009 07:20:57

NETNT.DLL : 9.0.0.0 11521 Bytes 07/11/2008 14:40:59

RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 17/06/2009 12:44:26

RCTEXT.DLL : 9.0.73.0 88321 Bytes 02/11/2009 15:58:32

 

Configuration pour la recherche actuelle :

Nom de la tâche...............................: Contrôle intégral du système

Fichier de configuration......................: c:\program files\avira\antivir desktop\sysscan.avp

Documentation.................................: bas

Action principale.............................: réparer

Action secondaire.............................: renommer

Recherche sur les secteurs d'amorçage maître..: marche

Recherche sur les secteurs d'amorçage.........: marche

Secteurs d'amorçage...........................: C:,

Recherche dans les programmes actifs..........: marche

Recherche en cours sur l'enregistrement.......: marche

Recherche de Rootkits.........................: marche

Contrôle d'intégrité de fichiers système......: arrêt

Fichier mode de recherche.....................: Tous les fichiers

Recherche sur les archives....................: marche

Limiter la profondeur de récursivité..........: 20

Archive Smart Extensions......................: marche

Heuristique de macrovirus.....................: marche

Heuristique fichier...........................: moyen

Catégories de dangers divergentes.............: +APPL,+GAME,+JOKE,+PCK,+PFS,+SPR,

 

Début de la recherche : mardi 22 décembre 2009 12:16

 

La recherche d'objets cachés commence.

'41875' objets ont été contrôlés, '0' objets cachés ont été trouvés.

 

La recherche sur les processus démarrés commence :

Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés

Processus de recherche 'avcenter.exe' - '1' module(s) sont contrôlés

Processus de recherche 'alg.exe' - '1' module(s) sont contrôlés

Processus de recherche 'scheduler.exe' - '1' module(s) sont contrôlés

Processus de recherche 'RaConfig2500.exe' - '1' module(s) sont contrôlés

Processus de recherche 'SuperCopier.exe' - '1' module(s) sont contrôlés

Processus de recherche 'ctfmon.exe' - '1' module(s) sont contrôlés

Processus de recherche 'wdfmgr.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'IoctlSvc.exe' - '1' module(s) sont contrôlés

Processus de recherche 'avgnt.exe' - '1' module(s) sont contrôlés

Processus de recherche 'HotFixQ0306270.exe' - '1' module(s) sont contrôlés

Processus de recherche 'PLBkMon.exe' - '1' module(s) sont contrôlés

Processus de recherche 'mdm.exe' - '1' module(s) sont contrôlés

Processus de recherche 'SynTPEnh.exe' - '1' module(s) sont contrôlés

Processus de recherche 'SynTPLpr.exe' - '1' module(s) sont contrôlés

Processus de recherche 'PDVDServ.exe' - '1' module(s) sont contrôlés

Processus de recherche 'carpserv.exe' - '1' module(s) sont contrôlés

Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés

Processus de recherche 'atiptaxx.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés

Processus de recherche 'spoolsv.exe' - '1' module(s) sont contrôlés

Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'ati2evxx.exe' - '1' module(s) sont contrôlés

Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés

Processus de recherche 'services.exe' - '1' module(s) sont contrôlés

Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés

Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés

Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés

'35' processus ont été contrôlés avec '35' modules

 

La recherche sur les secteurs d'amorçage maître commence :

Secteur d'amorçage maître HD0

[iNFO] Aucun virus trouvé !

 

La recherche sur les secteurs d'amorçage commence :

Secteur d'amorçage 'C:\'

[iNFO] Aucun virus trouvé !

 

La recherche sur les renvois aux fichiers exécutables (registre) commence :

Le registre a été contrôlé ( '65' fichiers).

 

 

La recherche sur les fichiers sélectionnés commence :

 

Recherche débutant dans 'C:\'

C:\pagefile.sys

[AVERTISSEMENT] Impossible d'ouvrir le fichier !

[REMARQUE] Ce fichier est un fichier système Windows.

[REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche.

 

 

Fin de la recherche : mardi 22 décembre 2009 13:33

Temps nécessaire: 1:16:20 Heure(s)

 

La recherche a été effectuée intégralement

 

9980 Les répertoires ont été contrôlés

381243 Des fichiers ont été contrôlés

0 Des virus ou programmes indésirables ont été trouvés

0 Des fichiers ont été classés comme suspects

0 Des fichiers ont été supprimés

0 Des virus ou programmes indésirables ont été réparés

0 Les fichiers ont été déplacés dans la quarantaine

0 Les fichiers ont été renommés

1 Impossible de contrôler des fichiers

381242 Fichiers non infectés

1318 Les archives ont été contrôlées

1 Avertissements

1 Consignes

41875 Des objets ont été contrôlés lors du Rootkitscan

0 Des objets cachés ont été trouvés

[Le sioux]

Hello greenman

 

Pour pagefile.sys, c'est normal.

 

* Pour Malwarebytes' Anti-Malware:

• C'est un bon scan anti malware que tu peux garder avec lequel tu pourras effectuer un nettoyage hebdomadaire, sans oublier de faire une mise à jour manuelle avant d'exécuter l’analyse .
  
• Regarde ce test de Malekal_Morte http://forum.malekal.com/viewtopic.php?f=45&t=8765.
  
• Il faut penser à Vider la quarantaine de MalwareByte's Anti-Malware :
  
• Double-clique sur le raccourci de MalwareByte's Anti-Malware présent sur ton Bureau afin de le lancer, puis
  
• Clique sur "Quarantaine", clique sur "Supprimer", puis ferme MalwareByte's Anti-Malware.
  

* As tu vider également celle d'Antivir s'il t'avait trouvé des malwares lors des précédents scans ? Sais tu faire ?

 

* Comment se porte le PC ?

 

@ plus.

[greenman]

Rebonjour,

 

La quarantaine d'avira était déjà vidée, celle de malwarebyte's c'est fait.

Le pc s'éteint en 20s et démarre en 45s!! (pour cette machine s'en est presque louche )

 

Je pense qu'il y a un Enorme Mieux, et j'ai envie de crier Victoire !!

 

Un grand merci pour ton aide précieuse sur ce sujet!

Toutefois, je me retrouve à devoir analyser 5 autres postes suite à cette réussite, puis-je continuer sur le même sujet?

Si quelqu'un d'autre reprend l'aide à ta place, il saura que je connais déjà tous les liens nécessaires pour un nettoyage des postes. Mais le sujet ne sera pas marqué comme résolu.

 

Sinon je voulais te demander quelques informations supplémentaires :

- Est ce que Spybot garde une utilité avec malwarbyte's (je pense notamment à la foultitude d'options proposés par spybot).

- Le pare-feu windows configuré uniquement sur exceptions peut il être suffisant ou est-il préférable d'évoluer vers un Zone alarm ou autres?

- Puis-je désinfecter toutes mes clefs avec USBFIX, à partir d'une machine propre? Ou plutôt une machine déjà infecté?

- Liberkey qui a été supprimé est un utilitaire regroupant de nombreux freeware de toutes sortes, dont j'ai pu vérifier l'utilité au jour le jour depuis que je l'ai découvert. Sais-tu pourquoi il posait problème?

 

Merci pour toutes les informations que j'ai pu glaner grâce à tes liens ainsi que pour la rapidité de réponses (qui encore une fois m'a très agréablement surpris). Je suis en formation en informatique et je déplore un manque de cours au niveau sécurité internet d'un poste de travail, mais j'espère acquérir assez d'expérience pour pouvoir régler les infections classiques avec plus d'autonomie.

 

a+

Modifié le 22 décembre 2009 par greenman

[Le sioux]

Salut greenman

 

C'est cool .

 

Toutefois, je me retrouve à devoir analyser 5 autres postes suite à cette réussite, puis-je continuer sur le même sujet?

Si quelqu'un d'autre reprend l'aide à ta place, il saura que je connais déjà tous les liens nécessaires pour un nettoyage des postes. Mais le sujet ne sera pas marqué comme résolu.

Je préfèrerai que tu crées un autre sujet .

 

Le scan de Spybot S&D est dépassé, celui de MBAM est bien meilleur (et plus rapide) mais Spybot S&D offre une protection préventive qui peut être intéressante (avec ses 2 résidents, ses vaccinations et sa liste Hosts )

 

-Tuto :

http://www.malekal.com/tutorial_spybot.php

http://perso.orange.fr/jesses/Docs/Logiciels/Spybot.htm

En video http://tutoriels-video.zebulon.fr/28-spybo...ch-destroy.html

 

Puis-je désinfecter toutes mes clefs avec USBFIX, à partir d'une machine propre? Ou plutôt une machine déjà infecté?

Comme tu veux, c'est idem, le tout étant de télécharger une version récentes, l'outil étant continuellement mis à jour.

 

- Liberkey qui a été supprimé est un utilitaire regroupant de nombreux freeware de toutes sortes, dont j'ai pu vérifier l'utilité au jour le jour depuis que je l'ai découvert. Sais-tu pourquoi il posait problème?

Je ne connais pas ce programme, je demanderai à Chiquitine, l'auteur de l'outil ce qu'il en est je te dirais cela par la suite

 

Merci pour toutes les informations que j'ai pu glaner grâce à tes liens ainsi que pour la rapidité de réponses (qui encore une fois m'a très agréablement surpris). Je suis en formation en informatique et je déplore un manque de cours au niveau sécurité internet d'un poste de travail, mais j'espère acquérir assez d'expérience pour pouvoir régler les infections classiques avec plus d'autonomie.

 

C'est avec plaisir, pour la peine, en voici d'autres :

(Note : il est vrai qu'à mon grand étonnement le peu d'informaticien que j'ai croisé ne s'interressait pas plus que cela à la sécurité, c'est bien que cela te plaise. )

 

=========================================================================

 

=> Maintenant que ton PC n'est plus infecté, désactive ta "Restauration du système" puis réactive la, ce qui éliminera les malwares mémorisés dans les anciens Points de contrôle et créera un point de restauration sain":

 

* Désactivation:

Clique droit sur le "Poste de travail" > Propriétés > onglet "Restauration du système" > coche la case "Désactiver la Restauration du système sur tous les lecteurs"

puis clique sur "Appliquer" et patiente jusqu'à ce que cela soit marqué "Désactivé" puis valide en cliquant sur OK.

* Activation :

Suis le même chemin ; décoche la case "Désactiver la Restauration du système sur tous les lecteurs"

puis clique sur "Appliquer" . Attends que cela soit à nouveau sur "Surveillance" puis clique sur OK.

 

=========================================================================

 

=> Comportement à adopter : http://assiste.com.free.fr/p/abc/a/safe_cex.html

http://forum.pcastuces.com/prevention_et_p...r-f25s36131.htm

 

=> Reste protégé en utilisant un antivirus, un pare-feu. et un antispyware

Effectue des scan réguliers de surveillance (une fois tous les 15 jours, par exemple) avec ton antivirus et ton anti-spyware après les avoir mis à jour et supprime ce qu'ils peuvent trouver.

 

=========================================================================

 

=> Il te faut impérativement mettre à jour Windows (puis le tenir à jour régulièrement) ainsi qu' Internet Explorer:

 

* Via Internet Explorer, rends-toi sur Microsoft Update

http://windowsupdate.microsoft.com/

afin de télécharger puis d'installer toutes les mise à jour critiques proposées.

Tu seras obligé de faire redémarrer ton PC et de retourner à la fonction de mise à jour jusqu'à ce qu'il n'y ait plus rien de signalé.

 

* Par la suite, vérifie que les mises à jour de Windows soient bien réglés en automatique, pour cela :

 

- Menu Démarrer / Paramètres / Panneau de configuration et dans Centre de sécurité, clique sur Mises à jour automatiques, puis coche Installation automatique (recommandé), en dessous indique une heure où tu es connecté habituellement

puis clique sur Appliquer puis OK.

 

=========================================================================

 

=> Afin d’éviter les autres failles de sécurité des autres programmes présents sur ton PC :

 

Vérifie tes mises à jours des différents softs régulièrement ici et mets à jour ce qui ne l'est pas.

http://secunia.com/software_inspector/

-Tuto http://www.malekal.com/scan_vulnerabilite.php

 

=========================================================================

 

=> Il faut mettre à jour la console Java :

 

Rends toi sur http://www.java.com/fr/download/manual.jsp et télécharge la dernière version de la console Java ou ici http://www.filehippo.com/download_java_run...d_java_runtime/

Installe la, puis désinstalle les anciennes versions (la console Java) afin d’éliminer les failles de sécurité présentes dans celles-ci et de libérer, par la même occasion de l'espace disque.

via Démarrer / Paramètres / Panneau de configuration / et dans Ajout/suppression de programmes navigue jusqu'aux anciennes versions de la console Java qui s'y trouvent, puis Supprimer, suis les invites de commandes dans la boîte de dialogue qui va s'ouvrir afin de mener la désinstallation à son terme.

Fais cela pour chacune d'elles, une à une, fais redémarrer ton PC quand cela te sera demandé .

Retourne ensuite chez Java ci-dessus et clique sur le bouton "Vérifier l'installation" pour t'assurer que tout est en ordre.

 

=========================================================================

 

=> Afin de sécuriser ton PC comme il faut :

 

* Installe un vrai Pare-feu celui de Windows fourni avec le SP2 n'étant pas assez efficace:

 

Oneline armor firewall free

 

- Lien téléchargement :

http://fra.tallemu.com/downloads.html

(Clique en bas de page sur French en dessous de Oneline Armor Personnal Firewall ‘Edition gratuite v …)

- Tutorials :

http://www.malekal.com/tutorial_Online_Armor.php

http://infomars.fr/forum/index.php?showtopic=1644

- Tu peux désactiver le gardien des programmes et l'HIPS (via clic droit sur OneLine Armor dans ta barre des tâches) de sorte qu'il ne te restera qu'à gérer les règles du pare-feu, par la suite, une fois plus à l'aise, tu pourras éventuellement réactiver ces deux fonctions.

 

* En complément de ton Pare-feu, pour fermer les ports risqués (dangereux, s’ils restent ouverts) :

 

ZebProtect (application ne nécessitant pas d'installation à lancer et paramétrer une unique fois)

- Lien téléchargement :

http://telechargement.zebulon.fr/123.html

- Tuto http://www.zebulon.fr/articles/zebprotect.php

 

=========================================================================

 

=> Pour sécuriser ta navigation :

 

* Essaye et adopte le navigateur Firefox plus sûr / sécurisé qu'I.E

http://www.mozilla-europe.org/fr/products/firefox/

-Tutorial pour le sécuriser: http://forum.zebulon.fr/index.php?showtopic=69628

- Une extension intéressante WOT

(Alerte en cas d’accès à des sites Web présentant des risques de fraude, de logiciels malveillants ou de courrier indésirable)

 

FireFox n'utilise pas le dangereux protocole ActiveX

Ce que sont les activeX : http://assiste.com.free.fr/p/abc/a/activex_dangers.html

S'en protéger : http://assiste.com.free.fr/p/abc/c/anti_activex.html

 

 

=========================================================================

 

Peux tu stp, éditer ton premier message et mettre [Résolu] devant le titre de celui-ci

Merci

 

Voila bon courage et bonnes lectures.

[greenman]

Merci pour tout, je viens de finir de faire le tour de tout ça, a priori seul ce poste avait de réels problèmes, mais j'en ai encore trois à vérifier et je me garde ça pour lundi

Le firewall est peut-être une peu rude d'utilisation pour un novice, mais il ne m'a pas posé de problème particulier, par contre il semblerait que le Tuto chez malekal ne soit plus tout à fait a jour, certaines options n'existant pas dans le firewall par rapport au tuto et vice versa.

 

Bonne continuation!