Antimalware Doctor à encore frappé

[Thanos]

désolé, je m'étais absenté!

Euh sinon il y a toujours sbmgr.exe qui veut s'executer et qui fait une ":error" lorsque je refuse.

Ah oui, ton pc est un TOSHIBA et pas un Sony. Tu vas faire aussi analyser ce fichier stp pour voir s'il fait partie de l'infection: j'ai des infos diverses sur le sujet et il faut s'en assurer.

Retourne sur le site VirusTotal et recherche le fichier sur ton disque dur. Je n'ai pas le chemin exact du fichier car il n'apparait pas sur tes rapports, mais il doit être dans le répertoire suivant => C:\Windows\system32

 

De plus, et c'est très important, je te demanderais ceci =>

 

• Rend toi ensuite sur cette page > Free large file hosting. Send big files the easy way!
  
• Clique sur le bouton "Parcourir": une fenêtre s'ouvre=> recherche dans le dossier C:\_OTM\MovedFiles un fichier zippé dont le nom correspond à l'heure/la date à laquelle OTM a été lancé (03152010_005948.zip par ex).
  
• Double-clique sur le fichier pour le sélectionner.
  
• Clique maintenant sur "ouvrir" en bas de la fenêtre.
  
• Coche la case "I have read and agree to the terms of service."
  
• Clique enfin sur le bouton Upload File .
  
• Le lien d'upload va s'afficher en bas de page: envoie le moi par MP stp
  

Après ca, si le fichier en question est bien infecté, on le supprimera à l'aide d'un script.

[kartatus]

Re,

 

En fait ,le fichier sbmgr était dans C:\Utilisateurs\Wax. Au passage, il y a plein d'autres fichier qui y sont, comme xoogeg, yuuzeq.... Tu veux que je les analyse ?

 

Je t'envoie le MP aussi.

 

File name:

sbmgr.exe

Submission date:

2010-09-17 11:17:49 (UTC)

Current status:

finished

Result:

18 /43 (41.9%)

 

VT Community

 

not reviewed

Safety score: -

Compact

Print results

Antivirus Version Last Update Result

AhnLab-V3 2010.09.17.02 2010.09.17 Trojan/Win32.Tdss

AntiVir 8.2.4.52 2010.09.17 -

Antiy-AVL 2.0.3.7 2010.09.17 -

Authentium 5.2.0.5 2010.09.17 -

Avast 4.8.1351.0 2010.09.17 -

Avast5 5.0.594.0 2010.09.17 -

AVG 9.0.0.851 2010.09.17 -

BitDefender 7.2 2010.09.17 Gen:Variant.Kazy.642

CAT-QuickHeal 11.00 2010.09.17 -

ClamAV 0.96.2.0-git 2010.09.17 -

Comodo 6109 2010.09.17 -

DrWeb 5.0.2.03300 2010.09.17 -

Emsisoft 5.0.0.37 2010.09.17 -

eSafe 7.0.17.0 2010.09.17 -

eTrust-Vet 36.1.7861 2010.09.17 Win32/TDSS.B!generic

F-Prot 4.6.1.107 2010.09.16 -

F-Secure 9.0.15370.0 2010.09.17 Gen:Variant.Kazy.642

Fortinet 4.1.143.0 2010.09.17 W32/PackTdss.Z!tr

GData 21 2010.09.17 Gen:Variant.Kazy.642

Ikarus T3.1.1.88.0 2010.09.17 -

Jiangmin 13.0.900 2010.09.17 -

K7AntiVirus 9.63.2533 2010.09.16 -

Kaspersky 7.0.0.125 2010.09.17 Trojan-Dropper.Win32.TDSS.hge

McAfee 5.400.0.1158 2010.09.17 Artemis!9D95376020AB

McAfee-GW-Edition 2010.1C 2010.09.17 Artemis!9D95376020AB

Microsoft 1.6201 2010.09.17 -

NOD32 5457 2010.09.17 Win32/Olmarik.AEE

Norman 6.06.06 2010.09.17 -

nProtect 2010-09-17.01 2010.09.17 -

Panda 10.0.2.7 2010.09.16 Suspicious file

PCTools 7.0.3.5 2010.09.17 -

Prevx 3.0 2010.09.17 Medium Risk Malware

Rising 22.65.04.01 2010.09.17 -

Sophos 4.57.0 2010.09.17 Mal/EncPk-OJ

Sunbelt 6887 2010.09.17 Trojan.Win32.Alureon.Ch (v)

SUPERAntiSpyware 4.40.0.1006 2010.09.17 Trojan.Agent/Gen-Falint

Symantec 20101.1.1.7 2010.09.17 Trojan.FakeAV!gen32

TheHacker 6.7.0.0.020 2010.09.17 -

TrendMicro 9.120.0.1004 2010.09.17 BKDR_TDSS.SMW

TrendMicro-HouseCall 9.120.0.1004 2010.09.17 BKDR_TDSS.SMW

VBA32 3.12.14.0 2010.09.17 -

ViRobot 2010.8.25.4006 2010.09.17 -

VirusBuster 12.65.10.0 2010.09.16 -

Additional information

Show all

MD5 : 9d95376020ab38119916de13eb550e93

SHA1 : 32dad60b17d96e7320c7f12f21b49b58feed9c88

SHA256: adb328fd2d242ca2ad277bb833db9be51eb1c43a0f24bb9fcf5d0aef536e8cfc

[Thanos]

re!

 

Ok c'est bien ce que je pensais! ComboFix peux supprimer cette infection assez facilement. Aussi je vais te demander de recommencer avec ComboFix, mais comme ceci =>

 

1°) Supprime le fichier ComboFix.exe sur le Bureau ainsi que le dossier C:\Qoobox si ce n'est déjà fait.

 

2°) Téléchargement de l'outil.

• Fais un clic sur le bouton droit de ta souris ICI
  
• Choisis Enregistrer la cible (du lien) sous > une fenêtre s'ouvre >>
  
• Dans le champs à droite de "Nom du Fichier" en bas de page, modifie le nom présent (ComboFix.exe) et met ceci >> kartatus.exe
  
• Enregistre-le fichier sur le Bureau: pour cela clique sur le bouton Enregistrer.

3°) Redémarre le pc en mode sans échec.

 

Si tu ne sais pas comment faire, procède comme indiqué dans ce tutoriel => Démarrer Windows Vista en « mode sans échec » | Forum-vista

 

4°) Utilisation de ComboFix.

 

• Assure toi que tous les programmes soient fermés avant de lancer le fix!
  
• Branche tous les supports amovibles que tu possèdes avant de faire ce scan (clé usb/disque dur externe etc)
  
• Fais un clic droit sur kartatus.exe pour lancer l'exécution de l'outil puis choisis Exécuter en tant qu'administrateur.
  
• Note: Ne ferme pas la fenêtre qui vient de s'ouvrir , tu te retrouverais avec un bureau vide !
  
• Tape sur la touche Y (Yes) pour démarrer le scan.
  
• Lorsque le scan est terminé, un rapport sera généré : poste en le contenu dans ton prochain message.
  
• Si le rapport est trop long, poste le en deux fois.
  
• Si tu ne vois pas le rapport, tu le trouveras ici > C:\ComboFix.txt
  

[kartatus]

J'y ai cru,... mais non. Ca n'a pas marché à trois reprises. Par contre ça allait plus loin (j'ai vu Etape 1, 2....). Mais ils y a eu des problèmes je crois.

Le premier est que quand je le lance, dans la fenêtre bleu ou se fait le scan, il y a écrit au début : "Access Denied. Administrator permissions are needed to use the selected option. Use an administrator command prompt to complete those tracks. Tentative de création d'un nouveau Point de restauration système".

Ensuite ça se bloque au moment ou le compte rendu est en train de se créer, car plusieurs fenetres d'erreurs s'ouvre (come iexplorer je crois...). Donc ça, ça l'a fait 2X.

La troisième fois, c'est allé moins loin et ça a écrit plein de fois : "Le système ne peut...". Et j'ai pas fini de lire, car l'ordi s'est rallumé tout seul, et en mode Normal directement.

Une fois rallumer (je sais toujours pas s'il il y a un lien, mais je note^^) , j'ai ce message d'erreur qui s'ouvre : RunDLL : C:\Users\Wax\AppData\Local\Temp\sshnas21.dll "le module spécifié est introuvable".

 

Voilà tout ce qui s'est passé.

J'espère qu'on va (enfin, surtout toi^^) y arriver...

Encore bon courage

[Thanos]

Une fois rallumer (je sais toujours pas s'il il y a un lien, mais je note^^) , j'ai ce message d'erreur qui s'ouvre : RunDLL : C:\Users\Wax\AppData\Local\Temp\sshnas21.dll "le module spécifié est introuvable".

Oui c'est lié! le fichier n'existe plus sur le disque.

Regarde stp dans le lecteur C:\ et cherche un fichier nommé ComboFix.txt

Si tu le trouve, poste son contenu.

On va procéder ainsi =>

 

• Fais un clic droit sur OTM.exe pour lancer l'exécution de l'outil puis choisis Exécuter en tant qu'administrateur.
  
• Copie les lignes de la zone "Code" ci-dessous dans le Presse-papiers en les sélectionnant toutes puis en appuyant simultanément sur les touches CTRL et C (ou, après les avoir sélectionnées, en faisant un clic droit puis en choisissant Copier):
  

  :first
  
  :processes
  explorer.exe
  sbmgr.exe
  
  :files
  C:\Users\Wax\sbmgr.exe
  
  :commands
  [emptytemp]
  [start explorer]
  [zipfiles]

  
  

• Retourne dans la fenêtre de OTMoveIt3, fais un clic droit dans la zone de gauche intitulée "Paste Instructions for Items to be Moved" puis choisis Coller.
  
• Clique sur le bouton rouge MoveIt!
  
• Ferme OTM
  
• Poste dans ta prochaine réponse le rapport de OTM (contenu du fichier C:\_OTM\MovedFiles\********_******.log - les *** sont des chiffres représentant la date [moisjourannée] et l'heure)
  

Note: Si un fichier ou un dossier ne peut pas être déplacé immédiatement, un redémarrage sera peut-être nécessaire pour permettre de terminer le processus de déplacement. Si le redémarrage de la machine vous est demandé, choisir Oui/Yes.

 

Désactive ton antivirus temporairement le temps de faire ce scan =>

 

Télécharge Dr.Web CureIt sur ton Bureau:

ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe

• Double clique drweb-cureit.exe et ensuite clique sur Analyse ;
  
• Clique Ok à l'invite de l'analyse rapide. Ce scan permet l'analyse des processus chargés en mémoire ; s'il trouve des processus infectés, clique le bouton Oui pour tout à l'invite.
  **Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction" ; vous pouvez quitter en cliquant le "X"
  
• Lorsque le scan rapide est terminé, Clique sur le menu Options >> Changer la configuration;
  
• Choisis l'onglet "Scanner", et décoche "Analyse heuristique". Clique "Ok"
  
• De retour à la fenêtre principale : clique pour activer "Analyse complète";
  
• Clique le bouton avec flèche verte sur la droite, et le scan débutera.
  
• Clique Oui pour tout à l'invite "Désinfecter ?" lorsqu'un fichier est détecté, et ensuite clique "Désinfecter".
  
• Lorsque le scan sera complété, regarde si tu peux cliquer sur cet icône, adjacent aux fichiers détectés :
  
• Si oui, alors clique dessus et ensuite clique sur l'icône "Suivant", au dessous, et choisis Déplacer en quarantaine l'objet indésirable
  
• Du menu principal de l'outil, au haut à gauche, clique sur le menu Fichier et choisis Enregistrer le rapport
  
• Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv
  
• Ferme Dr.Web Cureit
  
• Redémarre ton ordi (*très important*), car certains fichiers peuvent être déplacés/réparés au redémarrage.
  
• Suite au redémarrage, poste (Copie/Colle) le contenu du rapport de l'outil Dr.Web dans ta prochaine réponse.
  

[kartatus]

Pas de ComboFix.txt...

 

Voilà pour OTM :

All processes killed

Error: Unable to interpret <:first> in the current context!

========== PROCESSES ==========

No active process named explorer.exe was found!

No active process named sbmgr.exe was found!

========== FILES ==========

C:\Users\Wax\sbmgr.exe moved successfully.

========== COMMANDS ==========

 

[EMPTYTEMP]

 

User: All Users

 

User: Default

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

->Flash cache emptied: 0 bytes

 

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

->Flash cache emptied: 0 bytes

 

User: postgres

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

->Flash cache emptied: 0 bytes

 

User: Public

 

User: Wax

->Temp folder emptied: 85152 bytes

->Temporary Internet Files folder emptied: 32902 bytes

->Java cache emptied: 0 bytes

->FireFox cache emptied: 64035088 bytes

->Flash cache emptied: 874 bytes

 

%systemdrive% .tmp files removed: 0 bytes

%systemroot% .tmp files removed: 0 bytes

%systemroot%\System32 .tmp files removed: 0 bytes

%systemroot%\System32\drivers .tmp files removed: 0 bytes

Windows Temp folder emptied: 0 bytes

%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 0 bytes

%systemroot%\system32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 33170 bytes

RecycleBin emptied: 0 bytes

 

Total Files Cleaned = 61,00 mb

 

 

OTM by OldTimer - Version 3.1.16.1 log created on 09182010_002751

 

Files moved on Reboot...

 

Registry entries deleted on Reboot...

 

je post le reste après.

[kartatus]

Hey,

 

Alors je n'ai toujours pas fini, car j'ai du éteindre mon pc car je me déplaçais. Du coup j'ai repris tout depuis le début (obligatoirement) et le logiciel n'a pas retrouvé les fichiers infectés de la première fois. Du coup je ne sais pas s'il apparaîtront dans le rapport (en tout cas, avant que j'arrête (1/5 de l'analyse complète), il y avait au moins 30 fichiers infectés je crois).

Je te post tout dès que je peux, et redis moi s'il te faut plus que le rapport que j'aurais à la fin.

 

Merci encore !!

[Thanos]

salut,

 

Ok poste le rapport dès que tu peux

[kartatus]

Voici le rapport à la fin de l'analyse complète (2ème, donc il manque les premiers virus... enlevés):

4b96a5d0.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4b96a5d0.qua;BackDoor.Tdss.based.3;;

4b96a5d0.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4b97ecc0.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4b97ecc0.qua;BackDoor.Click.953;;

4b97ecc0.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4b97ecc1.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4b97ecc1.qua;BackDoor.Click.953;;

4b97ecc1.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4ba45250.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4ba45250.qua;Win32.HLLW.VBNA.based;;

4ba45250.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4ba4fc80.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4ba4fc80.qua;Win32.HLLW.VBNA.based;;

4ba4fc80.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4bd4a610.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4bd4a610.qua;Tool.Killproc.3;;

4bd4a610.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4bd730f0.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4bd730f0.qua;Trojan.Fakealert.11884;;

4bd730f0.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4bdd8130.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4bdd8130.qua;Win32.HLLW.Autoruner.7341;;

4bdd8130.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4c3f48d0.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4c3f48d0.qua;Win32.HLLW.Autoruner.7341;;

4c3f48d0.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4c91c280.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4c91c280.qua;Win32.HLLW.Autoruner.7341;;

4c91c280.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4cad8300.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4cad8300.qua;Win32.HLLW.Autoruner.7341;;

4cad8300.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4cb66350.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4cb66350.qua;Trojan.Winlock.2398;;

4cb66350.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4cb66351.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4cb66351.qua;Trojan.DownLoader1.19419;;

4cb66351.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4cb66390.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4cb66390.qua;Trojan.Winlock.2398;;

4cb66390.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4cbca870.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4cbca870.qua;BackDoor.Tdss.based.7;;

4cbca870.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4cbca871.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4cbca871.qua;BackDoor.Tdss.based.7;;

4cbca871.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4cbca890.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4cbca890.qua;BackDoor.Tdss.based.7;;

4cbca890.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4cc13110.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4cc13110.qua;Trojan.MulDrop1.46687;;

4cc13110.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4cc14670.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4cc14670.qua;Trojan.MulDrop1.46687;;

4cc14670.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4cc14680.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4cc14680.qua;Trojan.MulDrop1.15267;;

4cc14680.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4cc14690.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4cc14690.qua;Trojan.MulDrop1.15267;;

4cc14690.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4cc146e0.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4cc146e0.qua;Trojan.MulDrop1.15267;;

4cc146e0.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4cc146e1.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4cc146e1.qua;Trojan.MulDrop1.15267;;

4cc146e1.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4cc146e2.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4cc146e2.qua;Trojan.MulDrop1.15267;;

4cc146e2.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

4cd6c111.qua\data001;C:\Documents and Settings\Wax\DoctorWeb\Quarantine\4cd6c111.qua;Win32.HLLW.Autoruner.7341;;

4cd6c111.qua;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Conteneur comporte des objets infectés;Quarantaine.;

OTM____0.exe;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Trojan.Siggen2.2694;Irréparable.Quarantaine.;

rkill__1.scr;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Trojan.MulDrop1.46285;Irréparable.Quarantaine.;

rkill__2.scr;C:\Documents and Settings\Wax\DoctorWeb\Quarantine;Trojan.MulDrop1.46285;Irréparable.Quarantaine.;

sshnas21.dll;C:\_OTM\MovedFiles\09172010_115321\C_Users\Wax\AppData\Local\Temp;BackDoor.Click.1058;Supprimé.;

xaagut.exe;G:\;Trojan.DownLoader1.21338;Supprimé.;

xaagutx.exe;G:\;Trojan.DownLoader1.21338;Supprimé.;

[Thanos]

salut

 

Ok DrWebCureiT n'a pas trouvé grand chose au second scan (des éléments déjà en quarantaine).

 

Je vais te demander de refaire un dernier scan GMER stp ainsi qu'un scan RSIT pour voir si c'est bon: poste son rapport