Infection par Worm/IRCB.47104.2.A

[Madscalp]

Salut à tous,

 

Depuis ce matin, mon AV (Antivir Personal) me signale la présence de ce ver.

Il y a en fait un exe qui s'installe à répétition dans le dossier Temp de Documents and Settings.

Cet exe est de forme **exmodulao.exe, les ** étant 2 chiffres aléatoires.

A chaque fois que je vire cet exe, il réapparaît dans le même dossier avec 2 chiffres différents en tête.

J'ai donc désactivé la restauration du système, rescanné complètement avec Antivir Personal, nettoyé avec Cclean et fait un rapport avec Hijackthis que voici:

 

Logfile of HijackThis v1.99.1

Scan saved at 15:13:30, on 06/03/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Prevx Home\SAGUI.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\PyGrenouille\pygrenouille.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Fichiers communs\EPSON\EBAPI\eEBSVC.exe

C:\Program Files\Adobe\Photoshop Elements 4.0\PhotoshopElementsFileAgent.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

C:\Program Files\Prevx Home\PXAgent.exe

C:\Program Files\CyberLink\Shared Files\RichVideo.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\AntiVir PersonalEdition Classic\GUARDGUI.EXE

I:\Mes fichiers\Informatique et video\Traitement antivirus\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.dell.fr/myway

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.my.yahoo.com/index.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.dell.fr/myway

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.dell.fr/myway

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: (no name) - {4D25F926-B9FE-4682-BF72-8AB8210D6D75} - C:\Program Files\MyWaySA\SrchAsDe\deSrcAs.dll (file missing)

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {4D25F921-B9FE-4682-BF72-8AB8210D6D75} - C:\Program Files\MyWaySA\SrchAsDe\deSrcAs.dll (file missing)

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O4 - HKLM\..\Run: [PrevxHome] C:\Program Files\Prevx Home\SAGUI.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [.nvsvc] C:\WINDOWS\system\smss.exe /w

O4 - HKCU\..\Run: [NetAppel] "C:\Program Files\NetAppel\NetAppel.exe" -nosplash -minimized

O4 - HKCU\..\Run: [VoipBuster] "C:\Program Files\VoipBuster.com\VoipBuster\VoipBuster.exe" -nosplash -minimized

O4 - Global Startup: PyGrenouille.lnk = C:\Program Files\PyGrenouille\pygrenouille.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\system32\msjava.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\system32\msjava.dll

O9 - Extra button: Girafa - {78A7D3B4-23E3-11D4-A682-0050DA502650} - C:\Program Files\Girafa\GirafaBar.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {1F83CD9E-505E-4F87-BECE-0832A763E36F} (Image Uploader 3.0 Control) - http://www.mypixmania.com/fr/fr/importer/MypixUploader.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1130238952343

O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://213.41.176.23:81/activex/AxisCamControl.cab

O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.5 Control) - http://www.photoways.com/clients/ImageUploader3.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{29CB944C-17CC-487D-8BFE-A0377C4F1027}: NameServer = 212.27.32.176,212.27.32.177

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll

O20 - Winlogon Notify: WRNotifier - WRLogonNTF.dll (file missing)

O23 - Service: Adobe Active File Monitor V4 (AdobeActiveFileMonitor4.0) - Unknown owner - C:\Program Files\Adobe\Photoshop Elements 4.0\PhotoshopElementsFileAgent.exe

O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: EpsonBidirectionalService - Unknown owner - C:\Program Files\Fichiers communs\EPSON\EBAPI\eEBSVC.exe

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: Prevx Agent (PrevxAgent) - Unknown owner - C:\Program Files\Prevx Home\PXAgent.exe" -f (file missing)

O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe

O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Unknown owner - C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe (file missing)

O23 - Service: Windows Log - Unknown owner - C:\WINDOWS\system32\nvsvcd.exe

 

------------------------------------------------------------------------------------------------------------------------

 

Précisions :Prevx Home est un firewall qui est installé depuis longtemps sans problème

et Pygrenouille est un compteur DL - UL et ping (installé aussi depuis longtemps).

 

Malgré ça, la "chose" revient régulièrement.

Qu'en pensez-vous ?

[regis56]

Bonjour Madscalp !

 

Prevx n'est pas un firewall mais un antispyware en temps réel

 

Tu devra instaler un firewall apres quand ton système sera désinfecté

 

Attend la procédure d'un conseiller en sécurité !

 

Fait analyser

C:\WINDOWS\system\smss.exe

Avec http://www.virustotal.com/flash/index_en.html

et http://virusscan.jotti.org/

 

Poste les rapports stp

 

A plus !

Modifié le 6 mars 2006 par regis56

[Madscalp]

Bonjour Madscalp !

 

Prevx n'est pas un firewall mais un antispyware en temps réel

 

Tu devra instaler un firewall apres quand ton système sera désinfecté

 

Attend la procédure d'un conseiller en sécurité !

 

Fait analyser

C:\WINDOWS\system\smss.exe

Avec http://www.virustotal.com/flash/index_en.html

et http://virusscan.jotti.org/

 

Poste les rapports stp

 

A plus !

 

Merci de ta réponse.

 

Bien sur Prevx est un antispyware et non un firewall.

 

L'examen du fichier smss.exe par Virustotal donne:

 

Antivirus Version Update Result

AntiVir 6.33.1.53 03.06.2006 no virus found

Avast 4.6.695.0 03.03.2006 no virus found

AVG 718 03.06.2006 no virus found

Avira 6.33.1.53 03.06.2006 no virus found

BitDefender 7.2 03.06.2006 no virus found

CAT-QuickHeal 8.00 03.06.2006 no virus found

ClamAV devel-20060126 03.05.2006 no virus found

DrWeb 4.33 03.06.2006 DLOADER.IRC.Trojan

eTrust-InoculateIT 23.71.94 03.05.2006 no virus found

eTrust-Vet 12.4.2106 03.06.2006 no virus found

Ewido 3.5 03.06.2006 no virus found

Fortinet 2.71.0.0 03.06.2006 no virus found

F-Prot 3.16c 03.03.2006 no virus found

Ikarus 0.2.59.0 03.06.2006 Backdoor.Win32.IRCBot.NW

Kaspersky 4.0.2.24 03.06.2006 no virus found

McAfee 4710 03.03.2006 no virus found

NOD32v2 1.1431 03.05.2006 a variant of Win32/Agent.TV

Norman 5.70.10 03.06.2006 no virus found

Panda 9.0.0.4 03.06.2006 Suspicious file

Sophos 4.03.0 03.06.2006 no virus found

Symantec 8.0 03.06.2006 no virus found

TheHacker 5.9.5.107 03.06.2006 no virus found

UNA 1.83 03.02.2006 no virus found

VBA32 3.10.5 03.06.2006 no virus found

 

et Jotti:

 

File: smss.exe

Status: INFECTED/MALWARE

MD5 f363b04f0f492c545fee1e0d4e62d25f

Packers detected: UPX

Scanner results

AntiVir Found nothing

ArcaVir Found nothing

Avast Found nothing

AVG Antivirus Found nothing

BitDefender Found nothing

ClamAV Found nothing

Dr.Web Found DLOADER.IRC.Trojan (probable variant)

F-Prot Antivirus Found nothing

Fortinet Found nothing

Kaspersky Anti-Virus Found nothing

NOD32 Found a variant of Win32/Agent.TV

Norman Virus Control Found nothing

UNA Found nothing

VirusBuster Found nothing

VBA32 Found Malware.Agent.53 (paranoid heuristics) (probable variant)

 

 

Est-ce que je peux virer ce fichier sans problème ?

[Madscalp]

Je n'avais pas vu que le fichier smss.exe existait dans system et dans system32.

Celui que tu m'as fait examiné et qui a été analysé est dans system.

Celui de system32 est nickel.

Le problème est donc le suivant:

Quand j'ouvre le PC, Antivir Personal détecte le virus dans un fichier du dossier Temp et la destruction s'effectue sans problème.

Je fais un scan complet avec Antivir Personal en mode sans échec comme décrit plus haut et rien n'est trouvé.

Je reboote le PC et le fichier pourri se réinstalle !!!!!!

Il y a donc un exe qui réinstalle ça et qui n'est pas détruit.

Qu'en pensez-vous ?

[regis56]

Bonsoir Madscalp !

 

Ton système a besoin d'étre désinfecté attend la procédure d'un conseiller en sécurité stp !

 

A plus !

[Madscalp]

Merci Régis,

mais j'ai vu hier soir beaucoup de réponses de conseillers en sécurité et rien en ce qui me concerne

Y a-t'il quelqu'un en particulier à joindre ?

Merci de ta réponse.

[regis56]

Re Madscalp !

 

procédure validée merci Qc001

 

Copier ses instructions dans un fichier texte car en mode sans échec on n'a pas accès à internet.

 

-Télécharger Ewido (Programme faisant parti des antymalwares)

http://www.ewido.net/fr/download/

Installer et mettre à jour.

Important : Pendant l'installation, sur la page "Additional Options" décocher les deux options "Install background guard" et "Install scan via context menu".

Démarrer Ewido avec l'icône qui se trouve sur le Bureau. Cliquer sur mise à jour, attendre la fin de cette mise à jour puis, fermer le programme.

 

-Redémarrer en mode sans échec :

(En mode sans échec : seul les processus systèmes sont lancés il est donc plus facile de supprimer ce qui est infecté.)

 

Au redémarrage de l'ordinateur, une fois le chargement du BIOS terminé,

Il y a un écran noir qui apparaît rapidement, appuyer sur la touche [F8] ou [F5] jusqu’à l'affichage du menu des options avancées de Windows. Sélectionner "Mode sans échec"et appuyer sur [Entrée].

NB:Si problème aller voir ici: http://service1.symantec.com/support/inter...020905112131924

 

-Ouvrir panneau de configuration puis ajout/suppression de programmes désinstaller si présent:

MyWaySA

 

 

-Maintenant Je vais te demander d'arrêter un service qui est lancé automatiquement en mode normal et qui est lié à l'infection !

Dans le menu Démarrer > Exécuter > taper: services.msc

Rechercher en regardant dans la liste pour trouver ce service en gras avec cette orthographe exacte:

Windows Log

Double clic dessus et clic sur [arrêter] puis dans Type de démarrage --> sélectionner désactivé.

 

-Maintenant on va modifier la base de registres pour éliminer les lignes liées à l'infection !

Lancer HijackThis, (scan only ou scanner seulement) cocher les lignes suivantes si présentes:

 

R3 - URLSearchHook: (no name) - {4D25F926-B9FE-4682-BF72-8AB8210D6D75} - C:\Program Files\MyWaySA\SrchAsDe\deSrcAs.dll (file missing)

O2 - BHO: (no name) - {4D25F921-B9FE-4682-BF72-8AB8210D6D75} - C:\Program Files\MyWaySA\SrchAsDe\deSrcAs.dll (file missing)

O4 - HKLM\..\Run: [.nvsvc] C:\WINDOWS\system\smss.exe /w

O16 - DPF: {1F83CD9E-505E-4F87-BECE-0832A763E36F} (Image Uploader 3.0 Control) - http://www.mypixmania.com/fr/fr/importer/MypixUploader.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1130238952343

O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://213.41.176.23:81/activex/AxisCamControl.cab

O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.5 Control) - http://www.photoways.com/clients/ImageUploader3.cab

O23 - Service: Windows Log - Unknown owner - C:\WINDOWS\system32\nvsvcd.exe

 

Fermer tous les programmes et navigateur, et Cliquer sur Fix Checked

 

-Vérifier d'avoir accès à tous les fichiers :

 

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Activer l'option : Afficher les fichiers et dossiers cachés

Désactiver l'option : Masquer les extensions des fichiers dont le type est connu

Désactiver l'option : Masquer les fichiers protégés du système d'exploitation

Puis cliquer sur "Appliquer à tous les dossiers"

 

-Maintenant on va supprimer manuellement sur le disque, des fichiers infectieux signalés par Hijackthis.

Rechercher et supprimer le(s) dossier(s) en gras suivant(s) si présent(s):(Clic droit sur le dossier et supprimer)

C:\Program Files\MyWaySA

 

Rechercher et supprimer le(s) fichier(s) en gras suivant(s) si présent(s):(Clic droit sur le fichier et supprimer)

C:\WINDOWS\system\smss.exe Attention ne pas confondre avec C:\WINDOWS\system32\smss.exe qui lui est légitime !!

C:\WINDOWS\system32\nvsvcd.exe

 

Vider la poubelle !

 

-lancer Ewido et cliquer sur scanner puis sur scan complet du système.

Si des fichiers infectés sont trouvés, garder l'option par défaut Supprimer

(avec la ligne "Créer des copies de sauvegarde cryptées dans la quarantaine" cochée), et cocher "Effectuer cette action avec toutes les infections".

A la fin du scan, sauvegarder le rapport (Fichier/Enregistrer sous...) sur le Bureau.

 

-Exécuter EasyCleaner (Utiliser le raccourci sur le bureau):

(Utilitaire qui va supprimer les dossiers temporaires/inutiles et nettoyer la base de registre)

Utiliser les fonctions "Inutiles" et "Registre" seulement. Ne pas toucher à la fonction "doublons".

 

-Ouvrir le dossier :

-C:\Program Files

Si des programmes dans la liste paraissent louchent ou inconnus mettre les noms et le chemin dans la prochaine réponse

 

-Poster une réponse dans le même sujet

(Cliquer sur répondre entre "flash" et "nouveau " tout en bas de page!)

-Mettre un nouveau rapport HijackThis

-Poster le rapport Ewido

-Indiquer si le Pc présente encore des dysfonctionnements

-Indiquer le fournisseur d’accès Internet

 

-Faire un scan antivirus en ligne

http://www.pandasoftware.fr/Activescan/Activescan.html

 

Poster le rapport

 

-Rétablir l'affichage :

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Activer l'option : Ne pas afficher les fichiers et dossiers cachés

Activer l'option : Masquer les fichiers protégés du système d'exploitation

Laisser désactivé : Masquer les extensions des fichiers dont le type est connu

 

-Avec encore un peu de courage défragmenter les disques durs

(Clique droit sur le disque dur à défragmenter/propriétés/outils/Défragmenter maintenant.)

 

Bon courage et tiens nous au courant à plus !

Modifié le 7 mars 2006 par regis56

[Madscalp]

Merci, Régis, pour ton dévouement.

Je dispose d'une version récente de Kaspersky Pro: ne penses-tu pas que dans un premier temps je pourrais faire un scan complet en mode sans échec ?

Le verdict de VirusTotal est sans appel: il y a des différences entre les logiciels antivirus.

Si ça ne marche pas, j'essaierais ton protocole.

Merci encore.

Modifié le 7 mars 2006 par Madscalp

[regis56]

Re

 

Tu peut faire ceci aussi en attendant

 

-Faire un scan antivirus en ligne

http://housecall65.trendmicro.com/

http://www.trendmicro.com/spyware-scan/

 

A la fin du scan, sauvegarder le rapport (Fichier/Enregistrer sous...) sur le Bureau.

 

-Poster les rapports trendmicro

[regis56]

Re

 

Pour ceux que ca interesse la procédure a été modifiée mais toujours en attente de validation

 

à suivre