W32 SANIT

[FREDCHAR5]

j'ai besoin de nettoeyr un pc infecté avec le virus W32/SANIT qui bouffe les fichiers en .exe;

 

les conséquences sont les suivantes, je ne peux plus ouvrir aucun logiciel.

au début, ca a commencé avec antivir qui me faisait apparaître des messages pour des fichiers infectés, j'en ai détruit certain, ensuite j'ai désinstaller antivir puis je l'ai réinstaller et avant j'ai essayé toolbar repair, exefix, linkfilerestore qui sont des utilitaires trouvés dans des forums sur ce site mais rien n'y fait.

 

mon PC semble inutilisable en l'état.

 

merci à celui ou celle qui pourrait m'aider. c'est urgent !!!!!!

 

fredchar5

[regis56]

Bonjour FREDCHAR5 !

 

suit la procedure que tu trouvera ici

 

http://forum.zebulon.fr/index.php?showtopic=83986

 

ensuite met nous un rapport HijackThis

 

Bon courage a plus !

[tornado]

Salut Fredchars, régis56

 

 

Ca me rappelle quelque chose ---> http://forum.zebulon.fr/index.php?showtopic=75896&hl=

Modifié le 3 février 2006 par tornado

[FREDCHAR5]

J'ai pris connaissance de la procédure. mais il y a problème. l'antivirus ne se lance pas cause problème du .exe, je ne peux me connecter au net cause problème du .exe. j'ai tout de même fait un hijackthis, le résumé j'ai réussi à le récupérer par le lecteur de disquette, voici le résultat :

 

Logfile of HijackThis v1.99.1

Scan saved at 23:04:36, on 03/02/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Unable to get Internet Explorer version!

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AVPersonal\AVGUARD.EXE

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\AVPersonal\AVWUPSRV.EXE

C:\WINDOWS\system32\Brmfrmps.exe

C:\PROGRA~1\Iomega\System32\AppServices.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program Files\Iomega HotBurn Pro\Autolaunch.exe

C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe

C:\Program Files\Scansoft\PaperPort\pptd40nt.exe

C:\Program Files\AVPersonal\AVGNT.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\BRMFRSMG.EXE

C:\Program Files\Scansoft\PaperPort\SmartUI\SmartUI.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\wscntfy.exe

C:\DOCUME~1\CHARRIER\LOCALS~1\Temp\Répertoire temporaire 4 pour hijackthis.zip\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.qfind.net/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.qfind.net/search.php?qq=%s

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://qfind.net/bar/index.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.qfind.net/

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.qfind.net/search.php?qq=%s

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.qfind.net/search.php?qq=%s

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.qfind.net/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.qfind.net/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\Userinit.exe

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O3 - Toolbar: Virtual Maid - {77B2F8DE-CB3F-4b6b-839B-807DD1ADBA1C} - C:\PROGRA~1\VIRTUA~1\VIRTUA~1.DLL

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [Drag'n'Drop_Autolaunch] "C:\Program Files\Iomega HotBurn Pro\Autolaunch.exe"

O4 - HKLM\..\Run: [MMTray] C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe

O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [PaperPort PTD] C:\Program Files\Scansoft\PaperPort\pptd40nt.exe

O4 - HKLM\..\Run: [indexSearch] C:\Program Files\Scansoft\PaperPort\IndexSearch.exe

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [stopSignSsTsMon] Rundll32.exe "C:\Program Files\Acceleration Software\Anti-Virus\sstsmon.dll",VerifyStatus

O4 - HKLM\..\Run: [webscan] C:\Program Files\Acceleration Software\Anti-Virus\stopsignav.exe -k

O4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /min

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - Startup: La Solution Ciel.lnk = C:\CIEL\STARTER.EXE

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\AVPersonal\INFECTED\OSA.EXE.VIR

O4 - Global Startup: SmartUI.lnk = ?

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: TREND MICRO HouseCall - {2B5EA4F8-620A-4A8B-B003-4C8C5EBEA826} - http://uk.trendmicro-europe.com/enterprise...usecall_pre.php (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra button: Microsoft AntiSpyware helper - {33BB223D-B107-43EA-98FF-73D627480430} - (no file) (HKCU)

O9 - Extra 'Tools' menuitem: Microsoft AntiSpyware helper - {33BB223D-B107-43EA-98FF-73D627480430} - (no file) (HKCU)

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedC...bin/AvSniff.cab

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedC...n/bin/cabsa.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

O16 - DPF: {7ED7005B-4AF6-4CFF-9AE0-F243C4B8260F} (HouseCallButton.setup) - http://de.trendmicro-europe.com/file_downl...eCallButton.CAB

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{F05351E3-2233-4CAE-8634-4C885EE97157}: NameServer = 212.27.32.176,212.27.32.177

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe (file missing)

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: Brother Popup Suspend service for Resource manager (brmfrmps) - Unknown owner - C:\WINDOWS\system32\Brmfrmps.exe" -service (file missing)

O23 - Service: Iomega App Services - Iomega Corporation - C:\PROGRA~1\Iomega\System32\AppServices.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

 

j'espère que l'on réussira à trouver sur ce rapport hijackthis les problèmes et qu'ils seront les seuls!!!!!

 

fredchar5

[regis56]

Bonjour FREDCHAR5 !

 

Je laisse aux experts en analyse te dire ce que tu as !!

 

Par contre si tu n'arrive pas a executer les .EXE essaye de faire des scans en lignes va voir ici

 

http://www.zebulon.fr/outils/antivirus/ant...us-en-ligne.php

 

et ici

 

http://www.trendmicro.com/spyware-scan/

 

envoye nous tes rapports !

 

bon courage a plus !

[FREDCHAR5]

j'ai besoin de nettoeyr un pc infecté avec le virus W32/SANIT qui bouffe les fichiers en .exe;

 

les conséquences sont les suivantes, je ne peux plus ouvrir aucun logiciel.

au début, ca a commencé avec antivir qui me faisait apparaître des messages pour des fichiers infectés, j'en ai détruit certain, ensuite j'ai désinstaller antivir puis je l'ai réinstaller et avant j'ai essayé toolbar repair, exefix, linkfilerestore qui sont des utilitaires trouvés dans des forums sur ce site mais rien n'y fait.

 

mon PC semble inutilisable en l'état.

 

merci à celui ou celle qui pourrait m'aider. c'est urgent !!!!!!

 

fredchar5

[FREDCHAR5]

MERCI REGIS 56, je reprends le dialogue sur ma requête d'hier W32/STANIT.

 

CHER REGIS, je te fais ce message par mon ordi portable, le PC infecté ne peut pas se connecter à internet à cause de STANIT qui a supprimé ou changer les fichiers en .exe.

 

de plus, je suis équipé d'antivir, or il m'est compliqué de suivre la procédure car je ne peux plus lancer antivir, j'ai essayé de le désinstaller et de le réinstaller, rien n'y fait. il est la mais ne peux pas faire d'ananlyse virale. lorsque je le démarre il m'annonce : "the CRC sum ofC:\program files\Avpersonnal\avwim.exe has been changed! chutting dowm Antivir"

 

j'ai donc installé avast et je suis en train de faire une analyse virale avec avast en mode sans échec, c'est à dire que je suis à la lettre la procédure mais avec avast.....

avast ne détecte aucun virus !!!!!! je trouve ca pas banal, n'es ce pas ?

 

du coup je n'ai aucun avguard ect....... dans le gestionnaire des taches

 

qu'es ce que je fais ???? help les gars !!!!!!

[tornado]

Salut,

 

 

 

Essaie de faire un scan avec Ewido, qui est très efficace en mode sans échec:

 

-Télécharge la version d'essai d'Ewido à cette adresse ---> http://www.ewido.net/en/download/

-Pendant l'installation, décoche les 2 cases (protection en temps réel)

-Fais la mise à jour

EDIT: arf désolé, tu peux plus te connecter à internet... (j'avais oublié) Essaie sans la mise à jour...

 

-Redémarre en mode sans échec puis fais un "scan complet"

-Vide la quarantaine

-Sauve le rapport et poste-le

 

Bonne chance...

 

Juste une chose... est-ce que tu peux lancer hijackthis ?

Modifié le 4 février 2006 par tornado

[Svr32]

J'ai une idée pour lui sauver la mise :

 

Installer Ewido sur les deux PC (si c'est avec un installeur ça devrait marcher ou alors le faire en mode sans échec sur le PC vérolé), mettre à jour Ewido sur le PC sain, recopier le fichier avec les màj actives d'aujourd'hui et le mettre sur le PC infecté.

 

Pour procéder à la suite il suffit de connaitre le nom du répertoire dans lequel Ewido stocke ses màj, celui des fichiers màj, et de remplacer le fichier d'origine par celui le plus récent...

 

N'utilisant pas Ewido (j'ai win 98 snif !) je ne serais pas capable de fournir moi-même ces infomations. A l'époque où j'utilisais Morton j'avais réussi à faire les màj sur un logiciel qui coinçait justement en recopiant ces fichiers de màj dans le bon emplacement pour que ça fonctionne.

 

Une fois que c'est fait il n'y a plus qu'à le passer en mode sans échec.

 

Au besoin il peut protéger son Ewido en renommant son exécutable avec une extension neutre le temps de procéder (le virus ne le trouvera pas et ne l'inactivera pas)

Modifié le 4 février 2006 par Svr32

[Sebastien.B]

Slt,

 

Tu peux toujours tenter de désinfecter ton ordi via un antivirus sous DOS tel que F-Prot:

http://www.f-prot.com/download/home_user/download_fpdos.html

Tu peux trouver ses updates ici:

http://updates.f-prot.com/cgi-bin/get_randomly?fp-def

http://updates.f-prot.com/cgi-bin/get_randomly?macrdef2

 

Via ton PC fonctionnel crée toi un disque avec l'antivirus dessus puis une fois que tu l'as, démarre l'ordi infecté sur le disque et tente de désinfecter ton disque dur.

Modifié le 4 février 2006 par Sebastien.B