Infection par cheval de Troie

[belo71]

Voilà le rapport de Findykill.

 

 

 

############################## | FindyKill V5.043 |

 

# User : Quicounou (Administrateurs) # ZACHARIE

# Update on 12/05/2010 by El Desaparecido

# Start at: 12:57:47 | 16/05/2010

# Website : http://pagesperso-orange.fr/NosTools/index.html

# Contact : FindyKill.Contact@gmail.com

 

# Genuine Intel® CPU T2050 @ 1.60GHz

# Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3

# Internet Explorer 7.0.5730.11

# Windows Firewall Status : Disabled

# AV : AntiVir Desktop 9.0.1.32 [ Enabled | Updated ]

# FW : Norton Internet Worm Protection[ (!) Disabled ]2006

# FW : COMODO Firewall[ Enabled ]3.5

 

# C:\ # Disque fixe local # 19,41 Go (5,34 Go free) # NTFS

# D:\ # Disque CD-ROM

# E:\ # Disque fixe local # 24,42 Go (9,71 Go free) [DATA] # NTFS

# F:\ # Disque fixe local # 9,81 Go (1,23 Go free) [MMEDIA] # FAT32

# G:\ # Disque CD-ROM

# H:\ # Disque amovible # 960,45 Mo (370,88 Mo free) [J SÉBASTIEN] # FAT

# J:\ # Disque fixe local # 149,01 Go (71,3 Go free) [iOMEGA HDD] # FAT32

 

################## | Eléments infectieux |

 

J:\autorun.inf

 

################## | Registre |

 

[HKLM\SYSTEM\ControlSet004\Services\srosa]

[HKCU\Software\bisoft]

[HKCR\ed2k]

[HKCU\Software\Classes\ed2k]

[HKU\S-1-5-21-3750419004-2757159887-3081379767-1006\Software\bisoft]

[HKCU\Software\Local AppWizard-Generated Applications\hldrrr]

[HKCU\Software\Local AppWizard-Generated Applications\NoteWorthy_Composer_1.75c_[Key+Serial]]

[HKU\S-1-5-21-3750419004-2757159887-3081379767-1006\Software\Local AppWizard-Generated Applications\hldrrr]

[HKU\S-1-5-21-3750419004-2757159887-3081379767-1006\Software\Local AppWizard-Generated Applications\NoteWorthy_Composer_1.75c_[Key+Serial]]

 

################## | Etat |

 

# Affichage des fichiers cachés : OK

 

# Mode sans echec : OK

 

# Ndisuio -> Start = 3 ( Good = 3 | Bad = 4 )

# EapHost -> Start = 3 ( Good = 2 | Bad = 4 )

# Ip6Fw -> Start = 3 ( Good = 2 | Bad = 4 )

# SharedAccess -> Start = 2 ( Good = 2 | Bad = 4 )

# wuauserv -> Start = 2 ( Good = 2 | Bad = 4 )

# wscsvc -> Start = 2 ( Good = 2 | Bad = 4 )

 

################## | ! Fin du rapport # FindyKill V5.043 ! |

[belo71]

J'ai détruit les deux fichiers manuellement.

 

Merci pour le tuyau.

[Apollo]

Tu as de la chance, tu aurais tout aussi bien pu choper Virut et il est drôlement plus destructeur...

 

! Déconnecte toi et ferme toutes applications en cours ( navigateur compris ) .

 

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...)

 

Relance "FindyKill" : au menu principal choisis l'option " F " pour français et tape sur [entrée] .

 

Au second menu choisis l'option 2 (suppression) et tape sur [entrée]

 

Le pc va redémarrer automatiquement ...

 

le programme va travailler , ne touche à rien ... , ton bureau ne sera pas accessible c est normal !

 

--> Poste le rapport qui apparait à la fin ( le rapport est sauvegardé aussi sous C:\FindyKill.txt )

 

/!\ Si le Bureau ne réapparait pas, presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tape explorer.exe et valide

 

Aides en images : http://pagesperso-orange.fr/NosTools/findykill.html

 

 

########### [ Option 4 ( Désinstal ) XP ]

 

 

Double clic sur le raccourci FindyKill présent sur ton bureau

 

Au menu principal choisis l'option " F " pour français et tape sur [entrée] .

 

Au second menu Choisis l'option " 4 " (Désinstaller) et tape sur [entrée]

 

++

[belo71]

Bonsoir,

 

Ca a mis un peu de temps...

 

Belo71.

 

 

############################## | FindyKill V5.043 |

 

# User : Quicounou (Administrateurs) # ZACHARIE

# Update on 12/05/2010 by El Desaparecido

# Start at: 13:14:28 | 16/05/2010

# Website : http://pagesperso-orange.fr/NosTools/index.html

# Contact : FindyKill.Contact@gmail.com

 

# Genuine Intel® CPU T2050 @ 1.60GHz

# Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3

# Internet Explorer 7.0.5730.11

# Windows Firewall Status : Enabled

# AV : AntiVir Desktop 9.0.1.32 [ Enabled | Updated ]

# FW : Norton Internet Worm Protection[ (!) Disabled ]2006

# FW : COMODO Firewall[ Enabled ]3.5

 

# C:\ # Disque fixe local # 19,41 Go (5,35 Go free) # NTFS

# D:\ # Disque CD-ROM

# E:\ # Disque fixe local # 24,42 Go (9,71 Go free) [DATA] # NTFS

# F:\ # Disque fixe local # 9,81 Go (1,19 Go free) [MMEDIA] # FAT32

# G:\ # Disque CD-ROM

# H:\ # Disque amovible # 960,45 Mo (370,88 Mo free) [J SÉBASTIEN] # FAT

# J:\ # Disque fixe local # 149,01 Go (71,3 Go free) [iOMEGA HDD] # FAT32

 

################## | Eléments infectieux |

 

Supprimé ! J:\autorun.inf

 

################## | MD5 ... |

 

 

################## | CRC32 ... |

 

Cleaned : E:\Sources\Materiel\Framakey\FUR091~1.ZIP

-> Supprimé ! Apps\PortableOpenOffice\App\openoffice\share\uno_packages\cache\registry\com.sun.star.comp.deployment.executable.PackageRegistryBackend |Size : 0 |With bagle CRC32 :

 

 

################## | Registre |

 

Supprimé ! [HKLM\SYSTEM\ControlSet004\Services\srosa]

Supprimé ! [HKCU\Software\bisoft]

Supprimé ! [HKCR\ed2k]

Supprimé ! [HKCU\Software\Local AppWizard-Generated Applications\hldrrr]

Supprimé ! [HKCU\Software\Local AppWizard-Generated Applications\NoteWorthy_Composer_1.75c_[Key+Serial]]

 

################## | Etat |

 

# Mode sans echec : OK

 

 

# Affichage des fichiers cachés : OK

 

# Ndisuio -> Start = 3 ( Good = 3 | Bad = 4 )

# EapHost -> Start = 2 ( Good = 2 | Bad = 4 )

# Ip6Fw -> Start = 2 ( Good = 2 | Bad = 4 )

# SharedAccess -> Start = 2 ( Good = 2 | Bad = 4 )

# wuauserv -> Start = 2 ( Good = 2 | Bad = 4 )

# wscsvc -> Start = 2 ( Good = 2 | Bad = 4 )

 

################## | Fichiers corrompus |

 

... OK !

 

################## | Upload |

 

Veuillez envoyer le fichier : C:\FindyKill_Upload_Me_ZACHARIE.zip : http://chiquitine.changelog.fr/Sample/Upload.php

Merci pour votre contribution .

 

################## | ! Fin du rapport # FindyKill V5.043 ! |

[Apollo]

Re,

 

Ca va plus vite pour être infecté hein

 

Si tu ne l'as encore fait, ce serait sympa d'envoyer ce fichier: Veuillez envoyer le fichier à l'auteur de l'outil : C:\FindyKill_Upload_Me_ZACHARIE.zip : http://chiquitine.changelog.fr/Sample/Upload.php

Merci pour votre contribution .

 

Comment va l'engin?

 

Si tu as des supports amovibles comme clés usb, lecteur mp3, etc. tu peux les désinfecter et surtout les protéger par "vaccination avec USBFIX. Le pc sera également vacciné.

 

Si vous êtes sous Vista:Désactiver provisoirement l'UAC

 

:arrow: Télécharge USBFix de El Desaparecido et C_XX et enregistre le sur ton bureau.

 

• Si tu es sous XP, Double-clique sur USBFix.exe pour le lancer.
  Si tu es sous Vista, Clique droit sur USBFix.exe et choisis Exécuter en tant qu'administrateur.
   
  
• Une fenêtre de commandes va s'ouvrir. Appuie sur F puis sur la touche [Entrée] pour choisir la langue du script.
  
• Dans le menu suivant, tape 1 puis [Entrée] pour lancer la recherche.
   
  
• Une fenêtre de te demandant de bancher tous les périphériques externes que tu as pu utiliser ces derniers jours (clés USB, lecteurs MP3, disques durs externes, etc ...) va apparaitre.
  Branche le matériel puis clique sur OK pour poursuivre.
   
  
• Patiente le temps d'exécution du scan.
   
  
• A la fin, un rapport va être généré (C:/USBFix.txt). Copie-colle l'intégralité de son contenu dans ta prochaine réponse.
  

 

------------------------------------------

 

On passe à la désinfection:

 

• Si tu es sous XP, Double-clique sur USBFix.exe pour le lancer.
  Si tu es sous Vista, Clique droit sur USBFix.exe et choisis Exécuter en tant qu'administrateur.
   
  
• Une fenêtre de commandes va s'ouvrir. Appuie sur F puis sur la touche [Entrée] pour choisir la langue du script.
  
• Dans le menu suivant, tape 2 puis [Entrée] pour lancer le nettoyage.
   
  
• Une fenêtre de te demandant de bancher tous les périphériques externes que tu as pu utiliser ces derniers jours (clés USB, lecteurs MP3, disques durs externes, etc ...) va apparaitre.
  Branche le matériel puis clique sur OK pour poursuivre.
   
  
• USBFix va continuer son exécution. Le bureau va disparaitre et ne sera plus accessible tout le temps du scan. Ne t'inquiète pas, c'est normal. Patiente le temps du nettoyage sans l'interrompre.
   
  
• A la fin, un rapport va être généré (C:/USBFix.txt). Copie-colle l'intégralité de son contenu dans ta prochaine réponse.
  

 

--------------------------------------------------------------

 

Envoi de fichiers: http://chiquitine.changelog.fr/Sample/Upload.php

 

Double-clique sur USBFix

Choisis la langue : F puis saisis 6 pour désinstaller l'outil.

 

@++

[belo71]

Bonsoir,

 

Ca va plus vite pour être infecté hein icon_wink.gif

C'est sûr.

 

Si tu ne l'as encore fait, ce serait sympa d'envoyer ce fichier: Veuillez envoyer le fichier à l'auteur de l'outil : C:\FindyKill_Upload_Me_ZACHARIE.zip : http://chiquitine.changelog.fr/Sample/Upload.php

Merci pour votre contribution .

 

C'est fait.

 

Comment va l'engin?

 

J'ai eu besoin de redémarrer. Mais a priori, je dirais que le bouzin tourne beaucoup plus vite... Illusion ?

 

Je me rends compte aussi que j'ai accumulé beaucoup de fichiers inutiles. Et qu'il va falloir faire le ménage.

 

Pour le reste, je me lance et je poste les résultats dès que possible.

 

Un grand merci pour ces opérations délicates.

 

Bélo71.

[belo71]

Bonsoir,

 

Voilà le rapport d'UsbFix :

 

 

############################## | UsbFix V6.114 |

 

User : Quicounou (Administrateurs) # ZACHARIE

Update on 16/05/2010 by El Desaparecido , C_XX & Chimay8

Start at: 22:47:10 | 16/05/2010

Website : http://pagesperso-orange.fr/NosTools/index.html

Contact : FindyKill.Contact@gmail.com

 

Genuine Intel® CPU T2050 @ 1.60GHz

Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3

Internet Explorer 7.0.5730.11

Windows Firewall Status : Disabled

AV : AntiVir Desktop 9.0.1.32 [ Enabled | Updated ]

FW : Norton Internet Worm Protection[ (!) Disabled ]2006

FW : COMODO Firewall[ Enabled ]3.5

 

C:\ -> Disque fixe local # 19,41 Go (5,34 Go free) # NTFS

D:\ -> Disque CD-ROM

E:\ -> Disque fixe local # 24,42 Go (9,71 Go free) [DATA] # NTFS

F:\ -> Disque fixe local # 9,81 Go (1,19 Go free) [MMEDIA] # FAT32

G:\ -> Disque CD-ROM

H:\ -> Disque amovible # 960,45 Mo (370,88 Mo free) [J SÉBASTIEN] # FAT

J:\ -> Disque fixe local # 149,01 Go (71,56 Go free) [iOMEGA HDD] # FAT32

 

################## | Elements infectieux |

 

H:\.\recycled\info.exe

H:\RECYCLED\INFO.exe

J:\start.exe

 

################## | Registre |

 

[HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDrives"

[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDrives"

 

################## | Mountpoints2 |

 

HKCU\..\..\Explorer\MountPoints2\J

Shell\AutoRun\command =J:\start.exe

Shell\FramaKey\command =J:\start.exe

 

HKCU\..\..\Explorer\MountPoints2\{413b8622-940c-11db-b462-00a0d146a382}

Shell\AutoRun\command =G:\InstallTomTomHOME.exe

 

HKCU\..\..\Explorer\MountPoints2\{6ccbe50f-af49-11de-bad8-00a0d146a382}

Shell\AutoRun\command =G:\LaunchU3.exe -a

 

HKCU\..\..\Explorer\MountPoints2\{761ed8de-7b3d-11dd-b89a-00a0d146a382}

Shell\AutoRun\command =G:\LaunchU3.exe

 

HKCU\..\..\Explorer\MountPoints2\{92168d99-1963-11df-bb1e-0013026b0d91}

Shell\AutoRun\command =H:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\RemovableDriveHelper.exe

Shell\open\command =H:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\RemovableDriveHelper.exe

 

HKCU\..\..\Explorer\MountPoints2\{ac91fc20-4f5f-11dd-b849-00a0d146a382}

Shell\AutoRun\command =I:\start.exe

Shell\iledefrance\command =I:\start.exe

 

################## | Vaccin |

 

(!) Cet ordinateur n'est pas vacciné !

 

################## | ! Fin du rapport # UsbFix V6.114 ! |

[belo71]

Bonsoir,

Le dernier rapport après désinfection (rapport posté à chiquitine).

Merci pour le coup de main.

 

J'espère que l'UC est "clean" maintenant.

 

Bélo71

 

 

############################## | UsbFix V6.114 |

 

User : Quicounou (Administrateurs) # ZACHARIE

Update on 16/05/2010 by El Desaparecido , C_XX & Chimay8

Start at: 22:53:15 | 16/05/2010

Website : http://pagesperso-orange.fr/NosTools/index.html

Contact : FindyKill.Contact@gmail.com

 

Genuine Intel® CPU T2050 @ 1.60GHz

Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3

Internet Explorer 7.0.5730.11

Windows Firewall Status : Enabled

AV : AntiVir Desktop 9.0.1.32 [ Enabled | Updated ]

FW : Norton Internet Worm Protection[ (!) Disabled ]2006

FW : COMODO Firewall[ Enabled ]3.5

 

C:\ -> Disque fixe local # 19,41 Go (5,33 Go free) # NTFS

D:\ -> Disque CD-ROM

E:\ -> Disque fixe local # 24,42 Go (9,71 Go free) [DATA] # NTFS

F:\ -> Disque fixe local # 9,81 Go (1,19 Go free) [MMEDIA] # FAT32

G:\ -> Disque CD-ROM

H:\ -> Disque amovible # 960,45 Mo (370,88 Mo free) [J SÉBASTIEN] # FAT

J:\ -> Disque fixe local # 149,01 Go (71,56 Go free) [iOMEGA HDD] # FAT32

 

################## | Elements infectieux |

 

Supprimé ! C:\Recycler\S-1-5-21-3750419004-2757159887-3081379767-1006

Supprimé ! E:\Recycler\S-1-5-21-3750419004-2757159887-3081379767-1006

Supprimé ! E:\Recycler\S-1-5-21-3750419004-2757159887-3081379767-1007

Supprimé ! H:\.\recycled\info.exe

Supprimé ! J:\start.exe

 

################## | Registre |

 

Supprimé ! [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDrives"

Supprimé ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDrives"

 

################## | Mountpoints2 |

 

Supprimé ! HKCU\...\Explorer\MountPoints2\J\Shell\AutoRun\Command

Supprimé ! HKCU\...\Explorer\MountPoints2\{413b8622-940c-11db-b462-00a0d146a382}\Shell\AutoRun\Command

Supprimé ! HKCU\...\Explorer\MountPoints2\{6ccbe50f-af49-11de-bad8-00a0d146a382}\Shell\AutoRun\Command

Supprimé ! HKCU\...\Explorer\MountPoints2\{761ed8de-7b3d-11dd-b89a-00a0d146a382}\Shell\AutoRun\Command

Supprimé ! HKCU\...\Explorer\MountPoints2\{92168d99-1963-11df-bb1e-0013026b0d91}\Shell\AutoRun\Command

Supprimé ! HKCU\...\Explorer\MountPoints2\{ac91fc20-4f5f-11dd-b849-00a0d146a382}\Shell\AutoRun\Command

 

################## | Listing des fichiers présent |

 

[16/11/2009 23:24|---------|51] C:\.directory

[05/04/2010 15:49|--a------|26582] C:\ASLog.txt

[16/01/2006 18:37|--a------|0] C:\AUTOEXEC.BAT

[31/08/2006 17:11|-rahs----|216] C:\boot.ini

[05/08/2004 13:00|-rahs----|4952] C:\Bootfont.bin

[16/01/2006 18:37|--a------|0] C:\CONFIG.SYS

[27/12/2006 16:31|--a------|460] C:\dmusedbg.txt

[16/05/2010 20:12|--a------|1186] C:\FindyKill_Upload_Me_ZACHARIE.zip

[?|?|?] C:\hiberfil.sys

[16/01/2006 18:37|-rahs----|0] C:\IO.SYS

[16/01/2006 18:37|-rahs----|0] C:\MSDOS.SYS

[05/08/2004 13:00|-rahs----|47564] C:\NTDETECT.COM

[01/10/2008 11:23|-rahs----|252240] C:\ntldr

[?|?|?] C:\pagefile.sys

[02/12/2006 17:33|--a------|90] C:\Setup.log

[04/04/2006 23:43|--ah-----|388] C:\SWSTAMP.TXT

[16/05/2010 12:49|--a------|2897] C:\TB.txt

[20/05/2009 22:13|--a------|425] C:\TCleaner.txt

[16/05/2010 22:58|--a------|3105] C:\UsbFix.txt

[23/05/2009 11:48|--a------|0] C:\VDMAD.tmp

[23/05/2009 11:48|--a------|0] C:\VDMAE.tmp

[23/05/2009 11:52|--a------|0] C:\VDMB3.tmp

[23/05/2009 11:52|--a------|0] C:\VDMB4.tmp

[03/01/2010 01:05|---------|30720] E:\lettre-recteur-ostad.doc

[03/01/2010 01:19|--a------|41984] E:\lettre_recteur_ostad_2.doc

[21/05/2009 11:46|--a------|12609501] H:\Synthese2.mp3

[08/09/2009 13:29|--a------|47104] H:\TBC.doc

[04/12/2009 19:35|--ah-----|4096] J:\._.Trashes

[09/12/2009 00:15|--ah-----|4096] J:\._.TemporaryItems

[09/11/2009 22:16|--ah-----|838860800] J:\casper-rw

[09/11/2009 22:29|--a------|5347] J:\Readme.txt

[28/10/2009 22:14|--ah-----|222] J:\README.diskdefines

[16/05/2010 22:29|--ah-----|1359] J:\start.ini

[07/11/2009 08:41|--ah-----|0] J:\ubuntu

[13/11/2009 21:33|--a------|290961] J:\VirtualBox-installation.exe

[26/10/2009 17:16|--a------|1468640] J:\wubi.exe

 

################## | Vaccination |

 

# C:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido).

# E:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido).

# F:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido).

# H:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido).

# J:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido).

 

################## | Upload |

 

Veuillez envoyer le fichier : C:\UsbFix_Upload_Me_ZACHARIE.zip : http://chiquitine.changelog.fr/Sample/Upload.php

Merci pour votre contribution .

 

################## | ! Fin du rapport # UsbFix V6.114 ! |

[belo71]

Bonsoir Apollo,

 

Pendant qu'on y est, je me permets une question.

 

Je suis tombé sur ce post : http://forum.zebulon.fr/rapport-hijackthis...eme-t69732.html

 

Est-ce que c'est possible d'avoir la même configuration au démarrage et de virer tous ces trucs inutiles qui pourrissent le bon fonctionnement du pc à l'allumage ?

 

Est-ce que c'est pas mieux d'aller sur Linux ?

 

Bonne nuit.

 

 

Bélo71.

[Apollo]

Bonjour,

 

C'est sûr que si un programme non-essentiel peut être démarré manuellement, il n'y a aucun besoin qu'il se trouve au boot de Windows.

 

Mais cet article remonte à quelques années et les choses ont bien changé depuis.

Je ne m'imagine pas démarrer mon pc sans au moins avoir mes protections de sécurité au boot.

 

Cela relève du forum sécurité/optimisation mais on va vérifier qu'il n'y a plus rien de mauvais sur ta machine avant que tu n'y ailles.

 

Linux? C'est un choix comme un autre mais je ne puis te conseiller, je n'y connais rien là-dedans.

 

Tu vas désinstaller les outils spéciaux avant de faire un scan en ligne.

Télécharge OTC d'Old Timer :

http://oldtimer.geekstogo.com/OTC.exe

Double clique dessus, puis clique sur le gros bouton CleanUp ! pour supprimer les outils spéciaux.

 

-----------------------------

Le scan est long, aussi il te faudra de la patience.

 

Assure toi que la console Java est bien la plus récente; pour le savoir rends-toi sur cette page et clique sur Vérifier la version de Java -> http://www.java.com/fr/download/installed.jsp -> Il te sera indiqué si tu dois installer la dernière version.

Si tu installes une nouvelle version Java, désinstalle toutes les plus anciennes via ajout/suppr de programmes.

 

JavaRa ou désinstaller proprement les anciennes versions de la console Java

 

Fais un scan en ligne avec Kaspersky.

 

Va dans outils/options internet et sous l'onglet sécurité, clique sur "par défaut".

 

TUTO: http://www.vista-xp.fr/forum/topic109.html

 

Désactive ton antivirus le temps d'installation et de mises à jour du webscanner Kaspersky.

 

• Fais un scan en ligne Kaspersky
  
• Clique sur Accept
  
• Patiente le temps d'installation du Webscanner.
  
• Les bases de mises à jour vont s'installer, patiente un moment
  
• Clique sur Next.
  
• Clique sur My Computer, le scan se met en route; attends la fin du scan sans fermer la fenêtre sinon il s'arrêtera.
  

 

A la fin du scan, si des objets infectés sont découverts, clique sur Save report as... Choisis bureau et nomme le rapport "rapport Kaspersky" et dans le champ d'enregistrement, choisis "fichiers texte" enregistre alors le rapport.

 

Copie l'entièreté du fichier texte ouvert, par clic droit dessus, sélectionner tout/copier.

 

Colle ce rapport dans ta réponse sur le forum.

 

++