clé usb avec trojan et peut-être ordi aussi

lesmoldus · le 30 mai 2010

Re,

Il faudra supprimer ces cracks manuellement.

Pour Kerio, je n'en sais rien du tout; il faudra qu'on m'explique comment un firewall peut s'installer tout seul

Un Poltergeist dans ton pc?

@++

Bon pour Kerio je vois que tu n'as pas réponse à tout ! Je sais que lorsqu'il y a un problème à priori inexplicable la solution se trouve très souvent entre le clavier et la chaise !

Les fichiers ont été supprimés ainsi que le dossier de la mule...

un énorme merci Apollo pour ton aide hyper précise, fiable et tes réponses rapides. tu peux mettre résolu dans le titre du topic.

il est cependant possible que je revienne pour régler les problèmes avec ce virus sur les autres postes de mes collègues ou au boulot !

bon dimanche à toi je pars faire des grillades je m'enlève de l'ordi !!!

@ +

Modifié le 30 mai 2010 par lesmoldus

Apollo · le 30 mai 2010

Bonjour,

Je dirais que Kerio se désinstalle comme tout autre programme mais que sur XP, il est indispensable d'avoir un pare-feu tiers.

Un tuto ici: Tuto: http://www.malekal.com/kerio_firewall.html

Bon dimanche.

lesmoldus · le 2 juin 2010

Coucou, me revoilà malheureusement

Depuis ce matin Kerio me bloque une tentative d'intrusion toutes les 30 secondes !

Détails techniques sur l'intrusion :

Application injectrice : G:\carpet\shey.exe(new line)

Description : shey(new line)

Version du fichier : (new line)

Produit : (new line)

Version du produit : (new line)

Créé le : 2010/6/1, 06:08:32(new line)

Modifié le : 2010/6/1, 01:19:30(new line)

Dernier accès le : 2010/6/1, 22:00:00

Application cible : C:\WINDOWS\Explorer.EXE(new line)

Description : Explorateur Windows(new line)

Version du fichier : 6.00.2900.3156 (xpsp_sp2_gdr.070613-1234)(new line)

Produit : Système d'exploitation Microsoft® Windows®(new line)

Version du produit : 6.00.2900.3156(new line)

Créé le : 2004/8/5, 04:00:00(new line)

Modifié le : 2007/6/13, 13:22:28(new line)

Dernier accès le : 2010/6/2, 17:18:15

Adresse de l'injection : 0x014E3C85G:\carpet\shey.exe(new line)

je ne comprends pas et antivir me bloque aussi une tentative d'accès...

j'ai fait une analyse avec usb fix comme la première fois et ci-dessous le rapport :

############################## | UsbFix 7.003 |

Utilisateur: Compaq_Propriétaire (Administrateur) # FMN [ ]

Mis à jour le 01/06/10 par El Desaparecido & C_XX

Lancé à 21:37:04 | 02/06/2010

Site Web: http://pagesperso-orange.fr/NosTools/index.html

Contact: FindyKill.Contact@gmail.com

CPU: AMD Athlon 64 Processor 3200+

Microsoft Windows XP Édition familiale (5.1.2600 32-Bit) # Service Pack 2

Internet Explorer 7.0.5730.11

Pare-feu Windows: Désactivé /!\

Antivirus: AntiVir Desktop 9.0.1.32 [Enabled | Updated]

Firewall: Norton Internet Worm Protection 2006 [(!) Disabled]

Firewall: Kerio Personal Firewall 4.2.3 T [Enabled]

RAM -> 1982 Mo

C:\ (%systemdrive%) -> Disque fixe # 144 Go (102 Go libre(s) - 71%) [PRESARIO] # NTFS

D:\ -> Disque fixe # 5 Go (604 Mo libre(s) - 11%) [PRESARIO_RP] # FAT32

E:\ -> CD-ROM

G:\ -> Disque amovible # 8 Go (8 Go libre(s) - 100%) [MARINONI] # FAT32

K:\ -> Disque amovible # 966 Mo (963 Mo libre(s) - 100%) [FABMARINONI] # FAT32

################## | Éléments infectieux |

Présent! C:\Recycler\S-1-5-21-3952235584-1944796791-1833628041-1008

Présent! C:\Recycler\S-1-5-21-3952235584-1944796791-1833628041-1010

################## | Registre |

Présent! HKLM\software\microsoft\windows nt\currentversion\winlogon|Taskman

Présent! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives

Présent! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives

################## | Mountpoints2 |

################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

D:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

G:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | E.O.F |

j'ai cliqué sur vaccination sur usbfix.

c'est mon deuxième rapport usbfix je n'avais pas brancher ma seconde clé ...

Je vais lancer une détection par MBAM et je joint le rapport quand c'est fini ...

Modifié le 2 juin 2010 par lesmoldus

Apollo · le 2 juin 2010

Bonsoir,

Quand ton pare feu bloque une entrée litigieuse, tu dois créer une règle dessus: soit autoriser, soit bloquer; dans ce cas-ci il faut bloquer (créer la règle).

EDIT: Attention! Si le pare feu a réagi quand tu as utilisé USBFIX, tu dois laisser faire!!!!

Ne lance pas d'outils spéciaux d'initiative stp, sinon tu peux rencontrer des problèmes avec certains d'entre eux.

Si tu es sous XP, Double-clique sur USBFix.exe pour le lancer.
Si tu es sous Vista, Clique droit sur USBFix.exe et choisis Exécuter en tant qu'administrateur.
Clique sur Suppression et laisse travailler l'outil.
Une fenêtre de te demandant de bancher tous les périphériques externes que tu as pu utiliser ces derniers jours (clés USB, lecteurs MP3, disques durs externes, etc ...) va apparaitre.
Branche le matériel puis clique sur OK pour poursuivre.
USBFix va continuer son exécution. Le bureau va disparaitre et ne sera plus accessible tout le temps du scan. Ne t'inquiète pas, c'est normal. Patiente le temps du nettoyage sans l'interrompre.
A la fin, un rapport va être généré (C:/USBFix.txt). Copie-colle l'intégralité de son contenu dans ta prochaine réponse.

Modifié le 2 juin 2010 par Apollo

lesmoldus · le 2 juin 2010

Bonsoir Apollo,

Désolé pour l'initiative concernant usbfix mais comme les symptômes semblaient identiques...mais message reçu

EDIT : Kerio a disparu après l'analyse de usbfix !!!

voici le rapport usbfix ci-dessous :

############################## | UsbFix 7.003 |

Utilisateur: Compaq_Propriétaire (Administrateur) # FMN [ ]

Mis à jour le 01/06/10 par El Desaparecido & C_XX

Lancé à 21:45:03 | 02/06/2010

Site Web: http://pagesperso-orange.fr/NosTools/index.html

Contact: FindyKill.Contact@gmail.com

CPU: AMD Athlon 64 Processor 3200+

Microsoft Windows XP Édition familiale (5.1.2600 32-Bit) # Service Pack 2

Internet Explorer 7.0.5730.11

Pare-feu Windows: Désactivé /!\

Antivirus: AntiVir Desktop 9.0.1.32 [Enabled | Updated]

Firewall: Norton Internet Worm Protection 2006 [(!) Disabled]

Firewall: Kerio Personal Firewall 4.2.3 T [Enabled]

RAM -> 1982 Mo

C:\ (%systemdrive%) -> Disque fixe # 144 Go (102 Go libre(s) - 71%) [PRESARIO] # NTFS

D:\ -> Disque fixe # 5 Go (604 Mo libre(s) - 11%) [PRESARIO_RP] # FAT32

E:\ -> CD-ROM

G:\ -> Disque amovible # 8 Go (8 Go libre(s) - 100%) [MARINONI] # FAT32

K:\ -> Disque amovible # 966 Mo (963 Mo libre(s) - 100%) [FABMARINONI] # FAT32

################## | Éléments infectieux |

Supprimé! C:\Recycler\S-1-5-21-3952235584-1944796791-1833628041-1008

Supprimé! C:\Recycler\S-1-5-21-3952235584-1944796791-1833628041-1010

################## | Registre |

Supprimé! HKLM\software\microsoft\windows nt\currentversion\winlogon|Taskman

Supprimé! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives

Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives

################## | Mountpoints2 |

################## | Listing |

[20/08/2009 - 23:29:17 | D ] C:\4fbe13bd3ef721614e349a614c66a40d

[26/05/2010 - 14:48:27 | D ] C:\AAA provisoire

[23/11/2004 - 09:21:48 | A | 0] C:\AUTOEXEC.BAT

[02/06/2010 - 21:30:26 | RASHD ] C:\Autorun.inf

[05/07/2006 - 11:47:27 | RASH | 218] C:\BOOT.BAK

[05/07/2006 - 11:50:25 | RASH | 298] C:\boot.ini

[04/08/2004 - 23:00:00 | RASH | 4952] C:\Bootfont.bin

[15/11/2006 - 16:25:56 | D ] C:\c226bf3340f37e4674bc8f

[01/01/2010 - 17:02:43 | D ] C:\Casino

[05/07/2006 - 11:50:25 | RASHD ] C:\cmdcons

[04/08/2004 - 23:00:00 | RSH | 263488] C:\cmldr

[18/01/2007 - 20:10:53 | D ] C:\col1832

[18/01/2007 - 20:08:40 | D ] C:\col5319

[28/05/2010 - 20:10:29 | A | 19736] C:\ComboFix.txt

[23/11/2004 - 09:21:48 | A | 0] C:\CONFIG.SYS

[27/05/2010 - 07:04:11 | D ] C:\Documents and Settings

[02/06/2010 - 06:38:54 | ASH | 2078855168] C:\hiberfil.sys

[05/07/2006 - 13:21:11 | AD ] C:\hp

[20/03/2006 - 17:25:54 | D ] C:\i386

[01/04/2008 - 18:43:53 | A | 442] C:\InstallHelper.log

[23/11/2004 - 09:21:48 | RASH | 0] C:\IO.SYS

[30/08/2006 - 21:05:54 | D ] C:\kav

[24/05/2009 - 18:46:29 | D ] C:\Mes Sites Web

[20/08/2009 - 07:48:38 | D ] C:\Microgaming

[26/08/2006 - 08:25:21 | D ] C:\MPS

[23/11/2004 - 09:21:48 | RASH | 0] C:\MSDOS.SYS

[04/08/2004 - 23:00:00 | RASH | 47564] C:\NTDETECT.COM

[04/08/2004 - 23:00:00 | RASH | 251712] C:\ntldr

[02/06/2010 - 06:38:52 | ASH | 1509949440] C:\pagefile.sys

[13/02/2009 - 12:06:11 | A | 1627] C:\photodex-presenter-install.log

[30/05/2010 - 11:42:18 | D ] C:\Program Files

[05/12/2006 - 22:55:47 | D ] C:\Python22

[02/01/2010 - 22:45:19 | D ] C:\quarantine

[11/04/2009 - 20:56:25 | A | 217] C:\Raccourci vers Lecteur CD.lnk

[02/06/2010 - 21:45:51 | SHD ] C:\RECYCLER

[01/10/2007 - 15:06:07 | D ] C:\RooArr Export

[03/02/2007 - 13:49:05 | D ] C:\sj657

[18/01/2007 - 20:09:57 | D ] C:\sj700

[02/05/2010 - 13:03:43 | A | 27520] C:\stub.log

[29/05/2010 - 17:09:31 | SHD ] C:\System Volume Information

[20/03/2006 - 17:17:05 | D ] C:\system.sav

[02/06/2010 - 21:45:23 | D ] C:\UsbFix

[02/06/2010 - 21:45:54 | A | 3633] C:\Usbfix.txt

[28/05/2010 - 13:00:22 | A | 2562] C:\UsbFix_Upload_Me_FMN.zip

[29/05/2010 - 16:43:45 | AD ] C:\WINDOWS

[02/10/2008 - 06:48:05 | A | 92736705] C:\xscan.txt

[26/05/2010 - 21:10:13 | D ] C:\_OTL

[29/05/2010 - 16:45:13 | D ] C:\_OTM

[27/07/2001 - 15:07:38 | SH | 0] D:\AUTOEXEC.BAT

[02/06/2010 - 21:30:30 | RASHD ] D:\Autorun.inf

[09/01/2002 - 18:52:30 | SH | 244] D:\BOOT.INI

[10/12/2005 - 03:00:14 | D ] D:\cmdcons

[16/08/2001 - 18:26:26 | SH | 237728] D:\CMLDR

[28/07/2001 - 06:07:38 | SH | 0] D:\CONFIG.SYS

[25/05/2005 - 03:48:26 | SH | 102] D:\Desktop.ini

[10/09/2002 - 09:21:08 | SH | 7850] D:\Folder.htt

[17/06/2001 - 16:31:08 | SH | 0] D:\GRAPH

[25/01/2002 - 09:21:24 | SH | 0] D:\GRAPH16

[30/11/2004 - 04:01:50 | SH | 73728] D:\Info.exe

[28/07/2001 - 06:07:38 | SH | 0] D:\IO.SYS

[19/01/2006 - 08:06:14 | AD ] D:\MiniNT

[28/07/2001 - 06:07:38 | SH | 0] D:\MSDOS.SYS

[25/07/2001 - 22:00:00 | SH | 45124] D:\NTDETECT.COM

[25/07/2001 - 22:00:00 | SH | 222880] D:\NTLDR

[10/12/2005 - 06:02:48 | D ] D:\PRELOAD

[03/03/2003 - 05:46:06 | SH | 111377] D:\protect.ed

[20/03/2006 - 17:12:48 | SH | 36] D:\SAVEFILE.DIR

[03/03/2003 - 05:41:48 | SH | 88038] D:\Warning.bmp

[20/03/2006 - 17:13:36 | D ] D:\I386

[20/03/2006 - 17:16:50 | D ] D:\HP

[20/03/2006 - 17:18:00 | D ] D:\TOOLS

[20/03/2006 - 17:35:56 | SH | 938] D:\MASTER.LOG

[17/08/2001 - 07:32:24 | SH | 0] D:\NTFS

[23/05/2001 - 20:19:06 | SH | 0] D:\SVGA

[18/08/2001 - 07:00:00 | SH | 10] D:\WIN51

[22/01/2001 - 06:00:00 | SH | 11] D:\WIN51.B2

[25/07/2001 - 07:00:00 | SH | 11] D:\WIN51.RC1

[25/07/2001 - 12:47:04 | SH | 11] D:\WIN51.RC2

[18/08/2001 - 07:00:00 | SH | 10] D:\WIN51IC

[20/03/2001 - 06:00:00 | SH | 11] D:\WIN51IC.B2

[25/07/2001 - 07:00:00 | SH | 11] D:\WIN51IC.RC1

[25/07/2001 - 07:00:00 | SH | 11] D:\WIN51IC.RC2

[17/08/2001 - 07:00:00 | SH | 10] D:\WIN51IP

[22/01/2001 - 06:00:00 | SH | 11] D:\WIN51IP.B2

[25/07/2001 - 12:47:04 | SH | 11] D:\WIN51IP.RC2

[17/08/2001 - 05:17:02 | SH | 184] D:\WINBOM.INI

[20/03/2006 - 17:35:26 | SH | 6] D:\BLOCK.RIN

[29/04/2004 - 08:37:18 | SH | 4096] D:\Thumbs.db

[20/03/2006 - 17:38:24 | SH | 0] D:\USER

[20/03/2006 - 17:38:24 | RD ] D:\Réinstallation Système

[05/07/2006 - 11:49:38 | SHD ] D:\System Volume Information

[29/08/2006 - 11:18:56 | SHD ] D:\Recycled

[02/06/2010 - 21:30:32 | RASHD ] G:\Autorun.inf

[30/05/2010 - 20:55:50 | A | 513024] K:\EC libertés et droits 2010.ppt

[30/05/2010 - 20:57:06 | A | 2552832] K:\la france unité et diversité.ppt

################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

D:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

G:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

K:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_FMN.zip

http://chiquitine.changelog.fr/Sample/Upload.php

Merci de votre contribution.

################## | E.O.F |

Modifié le 2 juin 2010 par lesmoldus

lesmoldus · le 2 juin 2010

rapport MBAM à priori RAS, j'espère qu'usbfix a suffit à nettoyer tout ça !

Malwarebytes' Anti-Malware 1.46

www.malwarebytes.org

Version de la base de données: 4165

Windows 5.1.2600 Service Pack 2

Internet Explorer 7.0.5730.11

02/06/2010 22:42:00

mbam-log-2010-06-02 (22-42-00).txt

Type d'examen: Examen complet (C:\|D:\|E:\|F:\|G:\|H:\|I:\|J:\|K:\|)

Elément(s) analysé(s): 245894

Temps écoulé: 45 minute(s), 19 seconde(s)

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 0

Processus mémoire infecté(s):