Virus malgache récalcitrant...

coopérant · le 4 février 2010

Bonjour,

je suis à Madagascar et un ami gérant d'une radio associative rencontre des problèmes sur ses ordinateurs, j'ai regardé sur plusieurs forum et j'ai trouvé des cas semblables aux miens, cependant, pour les résoudres il fallait à chaque fois poster un rapport Hijackthis. Je sollicite donc votre aide pour m'aider à résoudre ces problèmes: l'options des dossiers ne fonctionne pas, ctrl+sup non plus et la fonction rechercher aussi...

De plus dans les registres on observe :C:\WINDOWS\Inf\smss.exe I'm so ugly, I hate myself and I want to die ce qui parait douteux...

Merci d'avance pour votre aide !

PS: voici le rapport Hijackthis d'un des ordinateurs:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 15:20:33, on 04/02/2010

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\AVG\AVG9\avgchsvx.exe

C:\Program Files\AVG\AVG9\avgrsx.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AVG\AVG9\avgcsrvx.exe

C:\Program Files\AVG\AVG9\avgwdsvc.exe

C:\WINDOWS\system32\CTsvcCDA.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\System32\TUProgSt.exe

C:\Program Files\AVG\AVG9\avgnsx.exe

C:\Program Files\Fichiers communs\Nero\Lib\NMIndexingService.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Creative\SBAudigy\Surround Mixer\CTSysVol.exe

C:\WINDOWS\system32\Rundll32.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Program Files\USB Disk Security\USBGuard.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe

C:\Program Files\Winamp\winampa.exe

C:\PROGRA~1\AVG\AVG9\avgtray.exe

C:\WINDOWS\Inf\smss.exe

C:\Documents and Settings\Administrateur\Application Data\svchost.exe

C:\Documents and Settings\Administrateur\Menu Démarrer\Programmes\Démarrage\Dos Optimizer.pif

C:\Program Files\Zain Internet\Zain Internet.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Documents and Settings\Administrateur\Bureau\hijackthis-2.0.2.75917.exe

C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\hijackthis-2.0.2.75917.exe

C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG9\avgssie.dll

O4 - HKLM\..\Run: [CTSysVol] C:\Program Files\Creative\SBAudigy\Surround Mixer\CTSysVol.exe /r

O4 - HKLM\..\Run: [P17Helper] Rundll32 P17.dll,P17Helper

O4 - HKLM\..\Run: [updReg] C:\WINDOWS\UpdReg.EXE

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [uSB Antivirus] C:\Program Files\USB Disk Security\USBGuard.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\winampa.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Fichiers communs\Nero\Lib\NeroCheck.exe

O4 - HKLM\..\Run: [NBKeyScan] "C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"

O4 - HKLM\..\Run: [AVG9_TRAY] C:\PROGRA~1\AVG\AVG9\avgtray.exe

O4 - HKLM\..\Run: [XP-A9B300AF] C:\WINDOWS\system32\XP-A9B300AF.EXE

O4 - HKLM\..\Run: [FrameWorkService] C:\WINDOWS\Inf\smss.exe I'm so ugly, I hate myself and I want to die

O4 - HKCU\..\Run: [CTFMON.EXE] 1

O4 - HKCU\..\Run: [bgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] 1

O4 - HKCU\..\Run: [superCopier2.exe] 1

O4 - HKCU\..\Run: [MSMSGS] 1

O4 - HKCU\..\Run: [NT_Authority] C:\Documents and Settings\Administrateur\Application Data\smss.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Startup: Dos Optimizer.pif = ?

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{BE2794F4-6726-4E7B-B776-574F98A05CAE}: NameServer = 10.77.96.77 10.77.96.78

O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG9\avgpp.dll

O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll

O23 - Service: AVG Free WatchDog (avg9wd) - AVG Technologies CZ, s.r.o. - C:\Program Files\AVG\AVG9\avgwdsvc.exe

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe

O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe

O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Fichiers communs\Nero\Lib\NMIndexingService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software - C:\WINDOWS\System32\TuneUpDefragService.exe

O23 - Service: TuneUp Program Statistics Service (TuneUp.ProgramStatisticsSvc) - TuneUp Software - C:\WINDOWS\System32\TUProgSt.exe

--

End of file - 5526 bytes

Apollo · le 4 février 2010

Bonjour,

I'm so ugly, I hate myself and I want to die

S'il est moche, se hait et veut mourir, il n'a qu'à prendre une corde au lieu d'emmerder le monde

Il faudra réinstaller Hijackthis en l'enregistrant dans un dossier créé sur le C:\HJT par exemple mais jamais dans un Temp comme tu l'as fait.

Télécharge Malwarebytes' Anti-Malware (MBAM)

Ce logiciel est à garder.

Uniquement en cas de problème de mise à jour:

Télécharger mises à jour MBAM

Exécute le fichier après l'installation de MBAM

Connecter les supports amovibles (clés usb etc.) avant de lancer l'analyse.

Double clique sur le fichier téléchargé pour lancer le processus d'installation.
Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
Sélectionne "Exécuter un examen complet"
Clique sur "Rechercher"
L'analyse démarre, le scan est relativement long, c'est normal.
A la fin de l'analyse, un message s'affiche :
L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.
Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
Ferme tes navigateurs.
Si des malwares ont été détectés, clique sur Afficher les résultats.
Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.

Si MBAM demande à redémarrer le pc, fais-le.

!!! Ne pas vider la quarantaine de MBAM sans avis !!! (en cas de faux-positifs toujours possibles.)

Réinstallation Hijackthis -->

Télécharge HijackThisV2 dans un nouveau dossier créé sur C:\ nomme-le HJT.

Double-clique sur HJTInstall.exe et suis les instructions d'installation.
--> Sous VISTA: faire un clic droit/exécuter en temps qu'administrateur
Tu trouveras un tutoriel pour l'installation et la génération d'un rapport ici
Lance le, valide le message d'avertissement, puis clique sur Do a system scan and save a logfile.
A la fin de l'analyse, le bloc-notes va s'ouvrir. Copie-colle tout son contenu ici à la suite.
Poste le rapport généré sur le forum.

@++

coopérant · le 9 février 2010

Bonjour,

Désolé de te répondre si tard mais je n'ai pas reçu de mail pour m'indiquer que j'avais reçu une réponse et comme ici la connexion n'est pas terrible on va pas souvent sur internet... mais on va guetter ta réponse.

J'ai bien fait tout e que tu avais dis, malwarebytes a bien detecté des objets suspects mais je te laisse constater ça par toi même: voilà les 2 rapports demandés:

Malwarebytes' Anti-Malware 1.44

Version de la base de données: 3712

Windows 5.1.2600 Service Pack 2

Internet Explorer 6.0.2900.2180

09/02/2010 14:01:29

mbam-log-2010-02-09 (14-01-29).txt

Type de recherche: Examen complet (C:\|D:\|F:\|H:\|I:\|)

Eléments examinés: 154569

Temps écoulé: 14 minute(s), 23 second(s)

Processus mémoire infecté(s): 2

Module(s) mémoire infecté(s): 6

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 7

Elément(s) de données du Registre infecté(s): 3

Dossier(s) infecté(s): 1

Fichier(s) infecté(s): 33

Processus mémoire infecté(s):

C:\Documents and Settings\Administrateur\Application Data\lsass.exe (Trojan.Delf) -> Unloaded process successfully.

C:\WINDOWS\inf\smss.exe (Trojan.Delf) -> Unloaded process successfully.

Module(s) mémoire infecté(s):

C:\Documents and Settings\Administrateur\Local Settings\Temp\E_4\krnln.fnr (Trojan.Agent) -> Delete on reboot.

C:\Documents and Settings\Administrateur\Local Settings\Temp\E_4\com.run (Worm.AutoRun) -> Delete on reboot.

C:\Documents and Settings\Administrateur\Local Settings\Temp\E_4\dp1.fne (Worm.AutoRun) -> Delete on reboot.

C:\Documents and Settings\Administrateur\Local Settings\Temp\E_4\shell.fne (Worm.AutoRun) -> Delete on reboot.

C:\Documents and Settings\Administrateur\Local Settings\Temp\E_4\eAPI.fne (Worm.AutoRun) -> Delete on reboot.

C:\Documents and Settings\Administrateur\Local Settings\Temp\E_4\RegEx.fnr (Worm.AutoRun) -> Delete on reboot.

Clé(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\nt_authority (Trojan.Delf) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\frameworkservice (Trojan.Delf) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun\1 (Security.Hijack) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun\4 (Security.Hijack) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun\3 (Security.Hijack) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\nofolderoptions (Hijack.FolderOptions) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\xp-a9b300af (Trojan.Agent) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFind (Hijack.Find) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions (Hijack.FolderOptions) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRun (Hijack.Run) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):

C:\Documents and Settings\Administrateur\Local Settings\Temp\E_4 (Worm.AutoRun) -> Delete on reboot.

Fichier(s) infecté(s):

C:\Documents and Settings\Administrateur\Local Settings\Temp\E_4\krnln.fnr (Trojan.Agent) -> Delete on reboot.

C:\Documents and Settings\Administrateur\Local Settings\Temp\E_4\com.run (Worm.AutoRun) -> Delete on reboot.

C:\Documents and Settings\Administrateur\Local Settings\Temp\E_4\dp1.fne (Worm.AutoRun) -> Delete on reboot.

C:\Documents and Settings\Administrateur\Local Settings\Temp\E_4\shell.fne (Worm.AutoRun) -> Delete on reboot.

C:\Documents and Settings\Administrateur\Local Settings\Temp\E_4\eAPI.fne (Worm.AutoRun) -> Delete on reboot.

C:\Documents and Settings\Administrateur\Local Settings\Temp\E_4\RegEx.fnr (Worm.AutoRun) -> Delete on reboot.

C:\WINDOWS\system32\shell.fne (Worm.AutoRun) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\dp1.fne (Worm.AutoRun) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\eAPI.fne (Worm.AutoRun) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\krnln.fnr (Trojan.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\com.run (Worm.AutoRun) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\RegEx.fnr (Worm.AutoRun) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\21E4C8\RegEx.fnr (Worm.AutoRun) -> Quarantined and deleted successfully.

C:\Documents and Settings\Administrateur\Local Settings\Temp\E_4\internet.fne (Worm.AutoRun) -> Delete on reboot.

C:\Documents and Settings\Administrateur\Local Settings\Temp\E_4\spec.fne (Worm.AutoRun) -> Quarantined and deleted successfully.

C:\Documents and Settings\Administrateur\Application Data\Installation de hijackthis 2.0.2.exe (Trojan.Swizzor) -> Quarantined and deleted successfully.

C:\Documents and Settings\Administrateur\Application Data\OTMoveIt2 by OldTimer - Version 1.0.4.3.exe (Trojan.Swizzor) -> Quarantined and deleted successfully.

C:\Documents and Settings\Administrateur\Application Data\Trend Micro HijackThis - v2.0.2.exe (Trojan.Swizzor) -> Quarantined and deleted successfully.

C:\Documents and Settings\Administrateur\Application Data\Installation de hijackthis 2.0.2 .exe (Trojan.Swizzor) -> Quarantined and deleted successfully.

C:\Documents and Settings\Administrateur\Application Data\BPM-Studio 4.6.exe (Trojan.Swizzor) -> Quarantined and deleted successfully.

C:\Documents and Settings\Administrateur\Application Data\lsass.exe (Trojan.Delf) -> Quarantined and deleted successfully.

C:\Documents and Settings\Administrateur\Application Data\smss.exe (Trojan.Delf) -> Quarantined and deleted successfully.

C:\Documents and Settings\Administrateur\Application Data\svchost.exe (Trojan.Delf) -> Quarantined and deleted successfully.

C:\Program Files\TT_RIAA.dll (Spyware.OnlineGames) -> Quarantined and deleted successfully.

C:\Documents and Settings\Administrateur\Menu Démarrer\Programmes\Démarrage\¡¡¡¡¡¡.lnk (Worm.AutoRun) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\internet.fne (Worm.AutoRun) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\og.dll (Worm.AutoRun) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\og.edt (Worm.AutoRun) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\Sexy Girls.scr (Trojan.Delf) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\spec.fne (Worm.AutoRun) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\ul.dll (Worm.AutoRun) -> Quarantined and deleted successfully.

C:\WINDOWS\inf\smss.exe (Trojan.Delf) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\XP-A9B300AF.EXE (Trojan.Agent) -> Delete on reboot.

et le rapport Hijack:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 14:16:36, on 09/02/2010

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\AVG\AVG9\avgchsvx.exe

C:\Program Files\AVG\AVG9\avgrsx.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AVG\AVG9\avgcsrvx.exe

C:\Program Files\AVG\AVG9\avgwdsvc.exe

C:\WINDOWS\system32\CTsvcCDA.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\System32\TUProgSt.exe

C:\Program Files\AVG\AVG9\avgnsx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Creative\SBAudigy\Surround Mixer\CTSysVol.exe

C:\WINDOWS\system32\Rundll32.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Program Files\USB Disk Security\USBGuard.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe

C:\Program Files\Winamp\winampa.exe

C:\PROGRA~1\AVG\AVG9\avgtray.exe

C:\Documents and Settings\Administrateur\Menu Démarrer\Programmes\Démarrage\Dos Optimizer.pif

C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE

C:\Program Files\Zain Internet\Zain Internet.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe