Les Allergies
Alimentaires
Posez votre question Signaler

W32 sality mem [Résolu]

j14349 11Messages postés 12 novembre 2008Date d'inscription 13 février 2010Dernière intervention - Dernière réponse le 30 janv. 2009 à 20:02
Bonjour,
mon antivirus me détecte a chaque démarrage le cheval de troie suivant : w32 sality mem dans windows explorer.
Il me précise que le fichier est nettoyé, mais ce virus revient assez fréquemment (lors du démarrage).
Existe-t-il une solution pour éradiquer définitivement ce virus.
Merci d'avance
Lire la suite 

W32 sality mem »

16 réponses
Réponse
+0
moins plus
SwaN.n 62Messages postés 18 janvier 2009Date d'inscription 20 janv. 2009 à 18:09
Salut ;; fait ceci s'il te plaît ;;

*Télécharges et installes le logiciel HijackThis (prog de diagnostic !)ici :

* : http://www.trendsecure.com/portal/en-US/_download/HJTInstall­.exe

*Ouvre et click sur: "do you scan systeme and save log file" a la fin du scan poste le rapport ici .

 Ajouter un commentaire
j14349 - 20 janv. 2009 à 18:20
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:18:02, on 20/01/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Unable to get Internet Explorer version!
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\ALCWZRD.EXE
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE
C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe
C:\Program Files\Fichiers communs\Network Associates\TalkBack\TBMon.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Fichiers communs\Nero\Lib\NMBgMonitor.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Logitech\SetPoint\SetPoint.exe
C:\Program Files\Fichiers communs\Logishrd\KHAL2\KHALMNPR.EXE
C:\Program Files\Canal\Canal Widget\VOD\CanalPlus.VOD.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
C:\Program Files\Network Associates\VirusScan\Mcshield.exe
C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Nero\Lib\NMIndexingService.exe
C:\Program Files\Fichiers communs\Nero\Lib\NMIndexStoreSvr.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Program Files\eMule\emule.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPBOID.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPBPRO.EXE
C:\Documents and Settings\Golgoth\Local Settings\Temporary Internet Files\Content.IE5\7K1SPQ85\HiJackThis[1].exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://orange.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: e-Carte Bleue Browser Helper Object - {2E03C0FD-4C48-43A7-9A54-00240C70FF16} - C:\WINDOWS\system32\BhoECart.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\3.1.807.1746\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [Raccourci vers la page des propriétés de High Definition Audio] HDAudPropShortcut.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [ShStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Program Files\Fichiers communs\Network Associates\TalkBack\TBMon.exe"
O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Fichiers communs\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [NBKeyScan] "C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [REGSHAVE] C:\Program Files\REGSHAVE\REGSHAVE.EXE /AUTORUN
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Nero\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-21-2346403852-433668302-3152481498-1010\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'kodak')
O4 - HKUS\S-1-5-21-2346403852-433668302-3152481498-1010\..\RunOnce: [NeroHomeFirstStart] C:\Program Files\Fichiers communs\Ahead\Lib\NMFirstStart.exe (User 'kodak')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O16 - DPF: {67A5F8DC-1A4B-4D66-9F24-A704AD929EEE} (System Requirements Lab) - http://www.nvidia.com/content/DriverDownload/srl/2.0.0.1/sysreqlab2.cab
O16 - DPF: {6E5E167B-1566-4316-B27F-0DDAB3484CF7} (Image Uploader Control) - http://www.mypix.com/fr/fr/importer/ImageUploader4.cab
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - http://fichiers.touslesdrivers.com/...
O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game06.zylom.com/activex/zylomgamesplayer.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {EDFCB7CB-942C-4822-AF14-F0B687409848} (Image Uploader Control) - http://www.mypix.com/fr/fr/importer/ImageUploader4.cab
O23 - Service: CanalPlus.VOD - Canal+ Active - C:\Program Files\Canal\Canal Widget\VOD\CanalPlus.VOD.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: HP Port Resolver - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBPRO.EXE
O23 - Service: HP Status Server - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBOID.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Kodak Digital Display Service (KodakDigitalDisplayService) - Orb Networks, Inc. - C:\Program Files\Kodak\Digital Display\OrbKodakLauncher\DllStartupService.exe
O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Program Files\Fichiers communs\Logitech\Bluetooth\LBTServ.exe
O23 - Service: Service Framework McAfee (McAfeeFramework) - Network Associates, Inc. - C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\Mcshield.exe
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Fichiers communs\Nero\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
Ajouter un commentaire
Réponse
+0
moins plus
SwaN.n 62Messages postés 18 janvier 2009Date d'inscription 20 janv. 2009 à 18:37
Desacive tea-timer ici ;; http://www.safer-networking.org/fr/howto/disable.html

Ensuite Télécharge et installe Malwarebyte's Anti-Malware:

http://www.malwarebytes.org/mbam/program/mbam-setup.exe

*met le a jours! =)
*ouvre malwaresbyte's ! et scan avec (exécute un scan complet !)
*a la fin tout ce qui trouvera tu supprimera :)
*a la fin un rapport sera généré(bloc note s'ouvre) garde le et poste le ici

 Ajouter un commentaire
j14349 - 21 janv. 2009 à 21:00
Malwarebytes' Anti-Malware 1.33
Version de la base de données: 1671
Windows 5.1.2600 Service Pack 3

21/01/2009 20:57:48
mbam-log-2009-01-21 (20-57-48).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 160759
Temps écoulé: 1 hour(s), 31 minute(s), 30 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)
Ajouter un commentaire
Réponse
+5
moins plus
jalobservateur 7125Messages postés 16 juillet 2007Date d'inscription 14 octobre 2011Dernière intervention 21 janv. 2009 à 21:11
Salut vs 2 ,
j'interviens seulement pour indiquer ceci: j14349
Tu as intérêt à ne plus cliquer sur rien pour le moment, sauf de faire illico une sauvegarde de tes 'précieux'.
W32 sality mem N'est pas très commode.

Tu risques de tout contaminer si tu exécutes.
Alors en premier: Sauvegardes...

Ajouter un commentaire - Site web
Ajouter un commentaire
Réponse
+1
moins plus
jalobservateur 7125Messages postés 16 juillet 2007Date d'inscription 14 octobre 2011Dernière intervention 21 janv. 2009 à 22:33
Alors , une fois 'Tout sauvegardé'

Tu pourrais tenter cette méthode ici: http://www.malekal.com/Sality.php


Mais en tenant compte de la note en bas : Attention selon l'étendue de l'infection, la seule solution fiable pour se débarrasser du virus ne peut-être que le formatage.

Et j'ajoute ceci : Dans certains cas de ''Sality ou de Virut'', il arrive même que le format conventionnel ne règle pas le problème.

Alors, tant qu'à formater sans connaître l'efficacité et le résultat, alors il est bien plus simple et sécuritaire de passer par ''Killdisk''.

Ici tuto en images et lien puis explications. : http://entraide.purforum.com/tutoriel-killdisk-simple-f40/
Ceci est plus court et efficace .

Mais c'est à toi de décider la direction à prendre ;-)
Voilà.
Finalement : Assures-toi que si tu as un DD externe ou usb , qu'ils soient propres.
Puis si tu as une collection de nouveaux 'cracks' alors tu as intérêt à ne pas les sauvegarder 'eux'.

Ajouter un commentaire - Site web
Ajouter un commentaire
Réponse
+0
moins plus
jalobservateur 7125Messages postés 16 juillet 2007Date d'inscription 14 octobre 2011Dernière intervention 22 janv. 2009 à 15:01
Re bonjour j14349
Signe de vie ?Ou de mort ?

Ajouter un commentaire - Site web
Ajouter un commentaire
Réponse
+0
moins plus
jalobservateur 7125Messages postés 16 juillet 2007Date d'inscription 14 octobre 2011Dernière intervention 23 janv. 2009 à 00:17
UP !

Ajouter un commentaire - Site web
j14349 - 24 janv. 2009 à 11:27
Mon pb est plus grave que ce que je pensais.

En effet, il m'est impossible d'ouvrir Windows en mode sans échec ainsi que de faire une restauration système à une date antérieure au 1/1/9.

Bref, je crois qu'il va falloir sévir : formatage et réinstallation windows.

Merci quand même
Ajouter un commentaire
Réponse
+0
moins plus
jalobservateur 7125Messages postés 16 juillet 2007Date d'inscription 14 octobre 2011Dernière intervention 24 janv. 2009 à 13:57
Ok donc tu as essayé la méthode chez Malekal_morte ?

Ajouter un commentaire - Site web
Ajouter un commentaire
Réponse
+0
moins plus
jalobservateur 7125Messages postés 16 juillet 2007Date d'inscription 14 octobre 2011Dernière intervention 24 janv. 2009 à 14:14
Sality est effectivement une 'Saleté'.

Mais en employant Killdisk, comme je t'indique plus haut, assures-toi que aucun ,crack' récents n'existe...
Sinon tu devras tout te 're tapper'...
Ces types de 'malwares' s'auto-connectent à un serveur et te collent au "ip' comme une mouche sur du fumier.

Ajouter un commentaire - Site web
Ajouter un commentaire
Réponse
+0
moins plus
g!rly 18213Messages postés 17 août 2007Date d'inscription 12 septembre 2010Dernière intervention 24 janv. 2009 à 14:37
LOL

Ajouter un commentaire - Site web
Ajouter un commentaire
Réponse
+0
moins plus
jalobservateur 7125Messages postés 16 juillet 2007Date d'inscription 14 octobre 2011Dernière intervention 24 janv. 2009 à 14:42
Toi G!rly : Ne ris pas ! c'est pas drôle ,, loll ;-)

Ajouter un commentaire - Site web
Ajouter un commentaire
Réponse
+0
moins plus
g!rly 18213Messages postés 17 août 2007Date d'inscription 12 septembre 2010Dernière intervention 24 janv. 2009 à 14:44
ReLOL, j´en rajoute une couche :P

Ajouter un commentaire - Site web
Ajouter un commentaire
Réponse
+0
moins plus
jalobservateur 7125Messages postés 16 juillet 2007Date d'inscription 14 octobre 2011Dernière intervention 30 janv. 2009 à 17:59
Donc si tu ne donnes pas suite j'en conclu que ce post est résolu ?

Ajouter un commentaire - Site web
Ajouter un commentaire
Réponse
+0
moins plus
afideg 8987Messages postés 10 octobre 2005Date d'inscription 26 janvier 2012Dernière intervention 30 janv. 2009 à 20:02
Hi,hi

Re-LOL, j´en rajoute une couche :P

;)
Al

Ajouter un commentaire
Ajouter un commentaire
Posez votre question
Ce document intitulé « w32 sality mem » issu de CommentCaMarche (www.commentcamarche.net) est mis à disposition sous les termes de la licence Creative Commons. Vous pouvez copier, modifier des copies de cette page, dans les conditions fixées par la licence, tant que cette note apparaît clairement.
Dossier à la une
5 extensions si vous voulez revenir à l'ancien Facebook