exe bizarre C:\Program Files\CornWipeFirst\Castencdate.

[mediaforest]

Je viens de télécharger et de tester runalyzer, outil complémentaire de Spybot S&d, et grâce à lui j'ai remarqué la présence d'un programme bizarre, référencé dans les tâches planifiées :

il se situe en C:\Program Files\CornWipeFirst\Castencdate.exe

et d'après runalyzer, son id de job est 5FC758D991D938B8.job

Bien sûr j'ai cherché dans google les mot-clefs "CornWipeFirst" et "Castencdate" sans trouver la moindre réponse...

Si jamais l'un d'entre vous peut me donner des informations sur cet exécutable, je suis preneur

[regis56]

Bonjour mediaforest !

 

Le fichier effectivement à l'air inconnu :

 

voici deux ou trois pistes à explorer :

 

1/ Rechercher la date de création de ce fichier

 

2/ Faire analyser le fichier :

 

Assure toi d'avoir accès à tous les fichiers, certains fichiers/dossiers sont cachés!!

 

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Activer l'option : Afficher les fichiers et dossiers cachés

Désactiver l'option : Masquer les extensions des fichiers dont le type est connu

Désactiver l'option : Masquer les fichiers protégés du système d'exploitation

Puis cliquer sur "Appliquer à tous les dossiers"

 

C:\Program Files\CornWipeFirst\Castencdate.exe

 

Fais soumettre le fichier en gras ici =>

1- http://virusscan.jotti.org/

2- http://www.virustotal.com/flash/index_en.html

 

Lorsque tu cliques sur ces deux adresses, tu as une case nommée "Parcourir", tu cliques dessus et une fenêtre s'ouvre=> parcours ton disque dur

Recherche le fichier en cause

Clique une fois sur le fichier (il prend une couleur bleue!) puis tu cliques sur "ouvrir" en bas de la fenêtre puis sur "submit"(soumettre)

Pour le virusscan de jotti et "send" pour virustotal.

Le scan de ce fichier va débuter.

Tu n'as plus qu'à sélectionner puis copier /coller l’analyse. Il est possible que tu reçoives ce message =>

"Server is extremely busy at the moment. Please try again later."Auquel cas il faut retenter le coup plus tard!

communiquer les 2 rapports.

 

3/ Ton fichier est dans le dossier des programmes installés :

 

Recherche dans la liste de programme celui qui corespond ou ayant un nom approchant ou inconnu

-Faire démarrer/panneau de configuration/ajout-supression de programmes

Regarder dans la liste si présent

CornWipeFirst

 

Tu pourra éventuellement le désinstaller mais comme on ne sait pas ce que cela est méfiance.

 

Je te propose plutot de le renommer en attendant d'avoir plus d'info dessus.

 

Fais ceci :

 

-Redémarrer en mode sans échec :

(En mode sans échec : seul les processus systèmes sont lancés il est donc plus facile de supprimer ce qui est infecté.)

Au redémarrage de l'ordinateur, une fois le chargement du BIOS terminé,

Il y a un écran noir qui apparaît rapidement, appuyer sur la touche [F8] ou [F5] jusqu’à l'affichage du menu des options avancées de Windows. Sélectionner "Mode sans échec"et appuyer sur [Entrée].

NB:Si problème aller voir ici: http://service1.symantec.com/SUPPORT/INTER...020325143456924

 

renomme le fichier comme ceci :

C:\Program Files\CornWipeFirst\Castencdate.exe=> C:\Program Files\CornWipeFirst\Castencdate-exe.bad

 

-Redémarrer en mode normal :

 

-Poster une réponse dans le même sujet

(Cliquer sur répondre entre "flash" et "nouveau " tout en bas de page!)

-Mettre un rapport HijackThis

plus d'info sur hijackthis

http://pchelpbordeaux.free.fr/tuto.html

 

Ensuite fais un scan en ligne ici

http://www.kaspersky.com/virusscanner

tuto d'aide ici

http://www.malekal.com/scan_Av_en_ligne.html

 

A plus et tiens nous au courant !

[mediaforest]

Merci beaucoup regis56 pour ta réponse rapide

Après contrôle sur http://virusscan.jotti.org et http://www.virustotal.com il semble bien que ce fichier soit contaminé...

Voici les résultats des analyses :

sur http://virusscan.jotti.org/

File: 	Castencdate.exe
Status: INFECTED/MALWARE
MD5 	d96bed6b8f8f251d94600e47cb82c004
Packers detected: -

AntiVir : Found Heuristic/Crypted (probable variant)
ArcaVir : Found nothing
Avast 	: Found Win32:Swizzor-gen
AVG Antivirus : Found nothing
BitDefender 	: Found GenPack:Trojan.Downloader.Swizzor.CB
ClamAV 	: Found nothing
Dr.Web 	: Found Trojan.LopAd
F-Prot Antivirus : Found W32/Swizzor.BN@dl
Fortinet 	: Found nothing
Kaspersky Anti-Virus : Found Trojan-Downloader.Win32.Swizzor.fg
NOD32 	: Found a variant of Win32/TrojanDownloader.Swizzor
Norman Virus Control : Found Swizzor.HC
UNA 	: Found nothing
VirusBuster : Found nothing
VBA32 	: Found Trojan-Downloader.Win32.Swizzor.cb

et sur http://www.virustotal.com

 

Antivirus	Version	Update	Result
AntiVir	6.35.0.21	07.07.2006	HEUR/Crypted
Authentium	4.93.8	07.07.2006	W32/Swizzor.BN@dl
Avast	4.7.844.0	07.07.2006	Win32:Swizzor-gen
AVG	386	07.04.2006	no virus found
BitDefender	7.2	07.07.2006	GenPack:Trojan.Downloader.Swizzor.CB
CAT-QuickHeal	8.00	07.07.2006	(Suspicious) - DNAScan
ClamAV	devel-20060426	07.06.2006	no virus found
DrWeb	4.33	07.07.2006	Trojan.LopAd
eTrust-InoculateIT	23.72.61	07.07.2006	no virus found
eTrust-Vet	12.6.2291	07.07.2006	Win32/Swizzor
Ewido	3.5	07.07.2006	no virus found
Fortinet	2.77.0.0	07.06.2006	suspicious
F-Prot	3.16f	07.07.2006	security risk named W32/Swizzor.BN@dl
F-Prot4	4.2.1.29	07.06.2006	W32/Swizzor.BN@dl
Ikarus	0.2.65.0	07.07.2006	no virus found
Kaspersky	4.0.2.24	07.07.2006	Trojan-Downloader.Win32.Swizzor.fg
McAfee	4801	07.06.2006	Swizzor.gen
Microsoft	1.1481	07.01.2006	C2.Lop
NOD32v2	1.1648	07.07.2006	a variant of Win32/TrojanDownloader.Swizzor
Norman	5.90.23	07.07.2006	Swizzor.HC
Panda	9.0.0.4	07.06.2006	Adware/Lop
Sophos	4.07.0	07.07.2006	no virus found
Symantec	8.0	07.07.2006	no virus found
TheHacker	5.9.8.170	07.07.2006	Trojan/Downloader.Swizzor
UNA	1.83	07.06.2006	no virus found
VBA32	3.11.0	07.06.2006	Trojan-Downloader.Win32.Swizzor.cb
VirusBuster	4.3.7:9	07.06.2006	no virus found

J'ai donc mis le dossier CornWipeFirst dans une archive rar, j'ai pu le faire sans basculer en mode sans échec

et je vais redémarrer, je vous tiens au courant (sans doute pas avant lundi car c'est sur mon poste de travail que j'ai ce problème)

[mediaforest]

Après redémarrage, le dossier n'a pas ré-apparu, (c'est déjà ça)

voici mon log hijackthis :

Logfile of HijackThis v1.99.1
Scan saved at 14:54:34, on 07/07/2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\outils\AVGFRE~1\avgamsvr.exe
C:\outils\AVGFRE~1\avgupsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\Explorer.EXE
C:\outils\AVGFRE~1\avgcc.exe
C:\System\TuneUp Utilities 2006\MemOptimizer.exe
C:\System\Hijackthis\VERSION TRADUITE ORIGINALE.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\SYSTEM\blank.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Micro$oft Internet Exploder
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\OUTILS\SPYBOT~1\SDHELPER.DLL
O2 - BHO: CmjBrowserHelperObject Object - {AC41D38F-B56D-40AD-94E0-B493D130C959} - C:\Programmation\MindManager\Mm6InternetExplorer.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: NuSphere ToolBar - {0F62D223-9206-4EA3-9EA8-D0F3C7C82ACA} - C:\Programmation\nusphere\phped4\nubar\NuSphereIEBar.dll (file missing)
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVG7_CC] C:\outils\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [TuneUp MemOptimizer] "C:\System\TuneUp Utilities 2006\MemOptimizer.exe" autostart
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O8 - Extra context menu item: NuSphere PhpED :: Debug this page - res://C:\Programmation\nusphere\phped4\nubar\NuSphereIEBar.dll/1000
O9 - Extra button: Send to Mindjet MindManager - {531B9DC0-D8EE-4c76-A6EE-6C1E50569655} - C:\Programmation\MindManager\Mm6InternetExplorer.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1149750402656
O17 - HKLM\System\CCS\Services\Tcpip\..\{BB81D76D-3869-46EC-8E3A-0C0E9461D81B}: NameServer = 192.168.10.5,192.168.10.202
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\outils\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\outils\AVGFRE~1\avgupsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\smagent.exe

Je ferais un scan complet lundi matin

 

Encore merci

[regis56]

Re

 

Bon le rapport hijackthis ne montre rien de méchant.

 

Mais tu ne me dis pas si tu as une entrée louche dans ta liste de programme ?

[mediaforest]

Non je n'ai rien remarqué de louche dans ajout/supression de programmes. ( a part une série de KBxxxxx )

Question subsidiaire : mon antivirus résident, c'est AVGfree, et il semble qu'il ne détecte pas ce virus, aussi bien sur mon poste que dans les tests de viruscan et virustotal... Sais-tu comment on peut "remonter" un fichier contaminé comme celui-là vers grisoft, pour qu'ils mettent à jour leur base de signatures ? J'ai cherché sur leur site mais je n'ai rien trouvé dans ce sens.

[regis56]

Bonsoir mediaforest !

 

Avg free n'est pas le plus réputé des antivirus si tu as la posssibilitée de la changer fais le !

 

Il y a antivir et avast qui sont très bien mais si c'est un Pc professionnel je ne sait pas si cela peut marcher.

 

On attend le scan en ligne et ensuite je te donnerai la marche à suivre pour supprimer tout ca !

 

A plus !