la Wii à Internet

Posez votre question Format imprimable Liste des forums Aidez-les Statistiques Rechercher Charte Forum Virus-Sécurité

Suspicious Mh690 et Backdoor graybird

Dernière réponse le 30 jan 2009 à 20:52:13 paule, le 30 jan 2009 à 11:29:03

Signaler ce message aux modérateurs

Bonjour,
Je possède un portable de marque ACER modèle Aspire 5 100. Sur cet ordinateur j'avais installé Norton et Avast.
Hier, alors que j'ai voulu me servir de cet ordinateur, Avast s'est déclanché, immédiatement il a été bloqué Norton également. depuis, ni Norton, ni Avast apparaissent sur mon portable. Je n'ai plus de connexion internet... Apparemment, il est attaqué par deux virus: suspicious MH 690 et backdoor graybird. Ils ont infecté programme files.
J'ai essayé via une clé usb de réinstaller avast et cclenear, impossible de les exécuter les virus les inerceptent dès leur installation. Que puis-je faire?
Je peux avoir accès à internet par un pc, donc je peux tout faire passer par clé usb.
merci pour votre réponse
paule

Configuration: Windows XP
Internet Explorer 7.0

Posez votre question Répondre

loloetseb, le 30 jan 2009 à 11:41:01

+1

Evites d'utiliser une clefs usb car tu risques d'infecter l'autre ordianteur(utilises plutot un cd reinscriptible)

Tu ne dois pas avoir 2 antivirus car conflit,lequel souhaites tu garder (il faut en supprimer un avant de poursuivre la procedure).Dis moi lequel tu veux supprimer et je te donne la demarche a suivre

Ensuite on fera ce qui suit

Télécharge et installe le logiciel HijackThis :

ici http://static.commentcamarche.net/www.commentcamarche.net/download/fichiers/HJTInstall.exe
ou ici http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe
ou ici http://www.clubic.com/lancer-le-telechargement-51452-0-hijackthis.html

> Clique sur le setup pour lancer l'installe : laisse toi guider et ne modifie pas les paramètres d'installation .
A la fin de l'installe , le prg ce lance automatiquement : ferme le en cliquant sur la croix rouge .
Au final, tu dois avoir un raccourci sur ton bureau et aussi un cheminement comme :
"C:\ program files\Trend Micro\HijackThis\HijackThis.exe " .

tuto pour utilisation :
Regarde ici, c'est parfaitement expliqué en images (merci balltrap34),
http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm
( Ne fixe encore AUCUNE ligne, cela pourrait empêcher ton PC de fonctionner correctement )

Répondre à loloetseb

paule, le 30 jan 2009 à 11:45:47

En fait, je n'ai plus aucun anti-virus. Tout a été effacé comme par "magie"

Répondre à paule

loloetseb, le 30 jan 2009 à 11:54:07

Fais le rapport hijack this
!! Déconnecte toi et ferme toutes tes applications en cours !!

Clique sur le raccourci du bureau pour lancer le prg :
fais un scan HijackThis en cliquant sur : "Do a system scan and save a logfile"

---> Poste le rapport généré pour analyse ... (ctrl+c)+(ctrl+v)

Répondre à loloetseb

loloetseb, le 30 jan 2009 à 12:01:24

Fais le rapport hijack this,ensuite oon supprimera les deux antivirus qui doivent etre encore present sur ton ordinateur,meme s'il ne fonctionne plus,ensuite on installera antivir,le meilleur antivirus gratuit present à l'heure actuelle sur le marché.Et ensuite on attaquera la desinfection.

Répondre à loloetseb

paule, le 30 jan 2009 à 12:31:34

J'ai essayé de téléchargé à partir du lien hijack, mais je n'ai eu que spyware doctor du coup je ne peux pas faire ce que tu me demandes. J'ajoute que c'est certainement du au fait que je n'ai plus de connexion internet sur ce portable (je corespond avec toi par un autre ordinateur).
Désolée, je suis vraiment nulle en info

Répondre à paule

paule, le 30 jan 2009 à 12:50:13

J'ai réussi à télécharger hijack this, l'ai installé comme tu l'as dit. En revanche, en voulant le démarrer pour suivre la procédure indiquée j'ai eu un message d'erreur: C:\Program Files\Trend Micro\Hijack This\Hijack This.exe n'est pas une application win 323 valide.

Il a bloqué mon portable. J'ai du le redémarrer et voici le message que j'ai eu à l'ouverture de ma session (la seule existante sur cet ordi): une autre instance d'openoffice.org a accès à vos paramètres personnels ou les bloque. Un accès simultané peut provoquer des incohérences dans vos paramètres personnels. Avant de continuer, assuerez-vous que l'utilisateur "quitte bien openoffice.org sur l'hôte". Etes vous sûr de bien vouloir continuer?
QUE FAIRE!?!
merci pour tes éclaircissements à venir (je n'en peux plus)

Répondre à paule

loloetseb, le 30 jan 2009 à 12:41:32

As tu des cd reincriptible ou pas? c'est preferable.Sinon je te ferais charger par avance plusieurs logiciels sur ta clef usf afin d'eviter les allez retour

Répondre à loloetseb

paule, le 30 jan 2009 à 12:59:29

J'ai cherché en vain, je n'ai plus aucun cd réinscriptible.

Répondre à paule

loloetseb, le 30 jan 2009 à 13:33:42

Bon,nous allons le faire avec une clefs usb par contre evites les allez retours (meme si nous ferons en sorte de la desinfecter).

Peut tu me dire si tu es sous xp ou vista?

Afin de determiner ton infection (et eviter de tes faire charger 50 logiciels),peux tu repondre aux trois questions suivante:

Charges tu sur le psp des films,jeux,musiques

Utilises tu beaucoup msn (si oui as tu cliqué sur des liens,ou as tu des bugs avec msn)

Joues tu des jeux jeux en ligne (casino,poker,etc)

Recevais tu beaucoup de pages de pub quand tu surfais avec ton ordinateur

Répondre à loloetseb

paule, le 30 jan 2009 à 13:51:49

Je suis sous XP avec mon portable (en revanche, l'ordinateur que j'utilise sur ce forum fonctionne avec vista)
Je ne télécharge pas de film, musique, jeux...
J'utilise msn, clique sur des liens contenus dans le texte des mails reçus, mais je n'ai pas eu de problème avec msn.
Je ne joue pas à des jeux en ligne
Par contre, je recevais énormément de pub lorsque je surfais sur internet.

Répondre à paule

loloetseb, le 30 jan 2009 à 14:18:49

Bon ok,

Tu vas charger tous les logiciels dans l'ordre ou je te les donne.Afin d'essayer de recuperer la liaison internet nous allons charger ceux ci:

Télécharge Toolbar-S&D (Team IDN) sur ton Bureau :

http://eric.71.mespages.googlepages.com/ToolBarSD.exe

* Lance l'installation du programme en exécutant le fichier téléchargé.
* Double-clique maintenant sur le raccourci de Toolbar-S&D.
* Sélectionne la langue souhaitée en tapant la lettre de ton choix puis en validant avec la touche Entrée.
* Choisis maintenant l'option "1" puis valide en appuyant sur "Entrée".
! Ne ferme pas la fenêtre lors de la suppression !
Un rapport sera généré, poste son contenu ici.

Télécharge Rooter de l'équipe IDN sur ton bureau :

http://eric.71.mespages.googlepages.com/Rooter.exe

! Déconnecte toi d'internet et ferme toutes applications en cours !

* Exécute Rooter et laisse travailler l'outil .

* Une fois terminé, poste le rapport obtenu pour analyse ...

Afin de desinfecter ta clef usb ceci

Télécharge RavAntivirus d'Evosla sur ton bureau : http://www.evosla.com/compteur.php?soft=rav_antivirus
- Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir avant de lancer ce FIX
- Clique droit sur le fichier .ZIP, puis "Extraire vers" Bureau.
- Doucle-clique sur "RAV.exe" pour lancer le fix.
- Laisse le programme agir : il scanne automatiquement tout les lecteurs (disques fixes et amovibles)
- En cas d'infections un rapport sera généré : postes le dans ta prochaine réponse stp.
- Ensuite : retire tes disques amovibles et redémarre le PC.

Téléchargez Flash_Disinfector de sUBs : http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe

.enregistres le sur le bureau
.branches tous tes lecteurs amovible ( DD externe, clés usb...) ferme toutes tes applications en cour
.N'utilise pas le double-clique tout le temps que l'infection n'est pas supprimée
.cliques droit et ouvrir
.sur le message qui suit tu cliques sur OK
.laisses le travailler et sur le petit message qui apparrait cliques sur OK

Téléchargez Flash_Disinfector de sUBs : http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe

.enregistres le sur le bureau
.branches tous tes lecteurs amovible ( DD externe, clés usb...) ferme toutes tes applications en cour
.N'utilise pas le double-clique tout le temps que l'infection n'est pas supprimée
.cliques droit et ouvrir
.sur le message qui suit tu cliques sur OK
.laisses le travailler et sur le petit message qui apparrait cliques sur OK

Afin d'evaluer ton infection,telecharges ceci:

Fais "do a scan and save a log",copies le rapport (ctrl+c) et postes le (ctrl+v) sur cette page

http://www.commentcamarche.net/telecharger/telecharger 159 hijackthis

Et afin de poursuivre la desinfection à priori publicitaire,telecharges ceux ci

Telecharges AD REMOVER

http://sd-1.archive-host.com/membres/up/16506160323759868/AD-R.exe

Installes ,selectionnes F pour la langue et A pour scanner et postes le log sur la page

Fermes tous tes programmes et fenetres de navigation avant de lancer la procedure

1)Telecharges NAVILOG

Clique sur ce lien :
http://perso.orange.fr/il.mafioso/Navifix/Navilog1.exe
Clique sur navilog1.exe pour télécharger navilog1
Choisis Enregistrer

et enregistre-le sur ton bureau.

/ !\ Déconnecte-toi et désactive ton antivirus et antispyware résident pour que Navilog1 puisse s'exécuter normalement. /!\

Ensuite double clique sur navilog1.exe pour lancer l'installation.
Une fois l'installation terminée, le fix s'exécutera automatiquement.
(Si ce n'est pas le cas, double-clique sur le raccourci Navilog1 présent sur le bureau).

Laisse-toi guider. Au menu principal, choisis 1 et valide.

Patiente jusqu'au message :
*** Analyse Terminée le ..... ***
Appuie sur une touche comme demandé, le bloc note va s'ouvrir.
Copie-colle l'intégralité dans une réponse. Referme le bloc note.
Le rapport est en outre sauvegardé à la racine du disque (C:\fixnavi.txt)
poste le rapport obtenu

Répondre à loloetseb

loloetseb, le 30 jan 2009 à 14:20:45

Télécharges juste les logiciels ne suit aucune procédure pour le moment.Je dois partir ,je reviendrais environ dans une heure à tout à l'heure.

Répondre à loloetseb

paule, le 30 jan 2009 à 15:47:19

J'ai téléchargé Toolbar-S&D.
Voici le rapport:
\\ Toolbar S&D 1.2.8 XP/Vista
Microsoft Windows XP Edition Familiale Xp edition familiale (v5.1.2006) service pack 3
X86-based PC (multiprocessor Free: AMD Turion (tm) 64 x 2 Mobile Technology TL-50)
BIOS: Ver 1.00PARTTBL
USER: ESCOFFIER
BOOT: Normal boot
C:\ (Local disk) - Fat32 - Total: 43 Go (free: 21 Go)
D:\ (Local Disk) - FAT32 - Total: 44 Go ( Free: 44 Go)
E:\ (CD or DVD)
F:\ (USB) - FAT - total: 495 Mo (Free 0 Go)

"C:\Tooblar SD" (MAJ: 21-12-2008 l 20:47)
Option : [1] ( 30/01/2009 l 14:56)

Recherche de fichiers / dossiers

[ .. \Internet Explorer \Main]
[HKEY_CURRENT_USER\software\Microsoft\nternet Explorer\Main]
"Local page" = C: \\Windows\\system32\\balnk.htm"
"start page" = "http: // www.google.fr/"
"search page" = "http://www.google.com"
"searchMigratedDefaultURL" = "http://search.yahoo.com/search?p={searchTerms}&ei=utf-8&fr=b1ie7"
"search Bar" = "hattp://google.com/ie"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
"Default_page_URL"= "http://www.01net.com/telecharger/"
"Default_Search_URL"= "http://go.microsoft.comfwlink/?LinkId=54896"
"Search Page"= "http://go.microsoft.com/fxlink/?LinkId=54896"
"Start Page" = "http://www.01net.com/telecharger/"

Recherche d'autres infections

C:\DOCUME~1\ESCOFF~1\LOCALS~1\APPLIC~1\QAOYSYI.exe
C:\DOCUME~1\ESCOFF~1\LOCALS~1\APPLIC~1\QAOYSYI.dat
C:\DOCUME~1\ESCOFF~1\LOCALS~1\APPLIC~1\QAOYSYI_nav.dat
C:\DOCUME~1\ESCOFF~1\LOCALS~1\APPLIC~1\QAOYSYI_navps.dat

ROOTKIT !!

Rootkit Bagle ! .. [HKEY_LOCAL_MACHINE\YSTEM\controlset001\Root\LEGALICY_SROSA]
Rootkit Bagle ! .. [HKEY_LOCAL_MACHINE\YSTEM\controlset002\Root\LEGALICY_SROSA]
Rootkit Bagle ! .. [HKEY_LOCAL_MACHINE\YSTEM\CurrentControlset\Root\LEGALICY_SROSA]

1 - "C:\Tooblar SD\TB_1.txt" - 30/01/2009 l14:58 - Option: [1]

Fin du rapport a 14:58:34,57

Répondre à paule

loloetseb, le 30 jan 2009 à 15:16:19

Je suis revenu

Répondre à loloetseb

paule, le 30 jan 2009 à 15:50:17

Que dois-je faire ensuite?On ne me propose pas de supprimer. Est-ce que je dois refaire la manip mais appuyer sur choix 2 au lieu de 1 pour la supression?

Répondre à paule

loloetseb, le 30 jan 2009 à 16:04:11

Alors tu vas faire la procedure de toolbar sd cliques sur 1

Répondre à loloetseb

loloetseb, le 30 jan 2009 à 16:05:28

Ne fermes pas le rapport toolbar sd lorsqu'il va apparaitre

Répondre à loloetseb

loloetseb, le 30 jan 2009 à 16:07:28

Supprimes ta zone de quarantaine malwarebytes et refais toolbar sd ,puis 1

Répondre à loloetseb

loloetseb, le 30 jan 2009 à 16:09:54

Escuse le dernier post etait pas pour toi

Répondre à loloetseb

loloetseb, le 30 jan 2009 à 16:11:28

Bingo,très belle infection rootkit,tu dois avoir la totale!!!!

Relance toolbar sd ,puis 2,postes moi le rapport

As tu retrouvé ta connexion internet

Répondre à loloetseb

loloetseb, le 30 jan 2009 à 16:16:14

Tu es encore la?

Répondre à loloetseb

paule, le 30 jan 2009 à 16:23:14

Oui, désolée ai eu nombreux appels pour mon travail ai fait la manip rapport suit

Répondre à paule

paule, le 30 jan 2009 à 16:46:24

Voici le rapport toolbar option 2

Recherches de fichiers/ Dossiers

[..\Internet Explorer \Main]
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Local Page"= "C:\\WINDOWS\\system32\\blank.htm"
"Start Page"= "http://www.google.fr/"
"Search Page"= "Http://www.google.com/"
"SearchMigratedDefaultURL"= "hattp://search.yahoo.com/search?p={searchTerms}ei=utf-8&fr=b1ie7"
"Search Bar"= "http://www.google.com.ie"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
"Default_Page_URL" = "http://www.01net.com/telecharger/"
Default_Search_URL"= "http://go.microsoft.com/fwlink/?LinKid=54896"
"Search Page"="http://go.microsoft.com/fwlink/?LinKid=54896"
"Start Page"= "http://www.msn.com/"

Recherche d'autres infections

C:\DOCUME~1\ESCOFF~1\LOCALS~1\APPLIC~1\QAOYSYI.exe
C:\DOCUME~1\ESCOFF~1\LOCALS~1\APPLIC~1\QAOYSYI.dat
C:\DOCUME~1\ESCOFF~1\LOCALS~1\APPLIC~1\QAOYSYI_nav.dat
C:\DOCUME~1\ESCOFF~1\LOCALS~1\APPLIC~1\QAOYSYI_navps.dat
[b] ==> EGDACCESS <== [\b]

ROOKIT !!

Rookit bagle ! .. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\enuml\Root\LEGACY_SROSA]
Rookit bagle ! .. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\enuml\Root\LEGACY_SROSA]
Rookit bagle ! .. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\enuml\Root\LEGACY_SROSA]

1- "C: \TOOLBAR SD\TB-1.TXT" - 30/01/2009 l 14:58 - option 1
2- " C: \TOOLBAR SD\TB-1.TXT" - 30/01/2009 l 16:21 - option 2
fin du rapport à 16:21:4,96

Répondre à paule

loloetseb, le 30 jan 2009 à 16:26:27

Apres fais la procedure Rooter

Tu devrais avoir retrouvé ta connexion internet

Desinstalles norton avec ceci

http://service1.symantec.com/...

Desinstalles Avast avec ceci

http://www.avast.com/fre/avast-uninstall-utility.html

Installes antivir et mets le a jour

Telecharges le ici

http://www.commentcamarche.net/telecharger/telecharger 55 antivir

Tutorial Antivir

http://www.malekal.com/tutorial_antivir.php

Lances un scan complet antivir et postes moi le rapport

Tu as une infection bagle (surement attrappé avec des cracks telechargés) et surement d'autres infections

Répondre à loloetseb

loloetseb, le 30 jan 2009 à 16:27:11

D'accord postes moi le rapport sd et dis moi si tu as retrouvé la connexion?

Répondre à loloetseb

loloetseb, le 30 jan 2009 à 16:33:28

Je te redonne le lien de l'antivirus antivir ici

http://www.commentcamarche.net/telecharger/telecharger 55 antivir

Ensuite:

Télécharge Malwarebytes' Anti-Malware: http://www.malekal.com/tutorial_MalwareBytes_AntiMalware.php

. sur la page cliques sur Télécharger Malwarebyte's Anti-Malware
. enregistres le sur le bureau
. Double cliques sur le fichier téléchargé pour lancer le processus d'installation.
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour
. si le pare-feu demande l'autorisation de se connecter pour malwarebytes, acceptes
. Une fois la mise à jour terminée,fermes Malwarebytes
. redemarres en mode sans échec pour savoir comment au cas ou tu ne saurrais pas regarde plus bas
. une fois en mode sans echec tu double-cliques sur l'icône de malwarebytes
. une fois ouvert rend-toi dans l'onglet, Recherche
. Sélectionnes Exécuter un examen complet
. Cliques sur Rechercher
. Le scan démarre.
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.
. Cliques sur Ok pour poursuivre.
. Si des malwares ont été détectés, cliques sur Afficher les résultats
. Sélectionnes tout (ou laisses cochés)

. cliques sur Supprimer la sélection

. Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
. redemarre le pc
. une fois redémarré en mode normal double-cliques sur malwarebytes
. rends toi dans l'onglet rapport/log
. tu cliques dessus pour l'afficher une fois affiché
. tu cliques sur edition en haut du boc notes,et puis sur sélectionner tous
. tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. tu cliques droit dans le cadre de la reponse et coller

Si tu as besoin d'aide regarde ces tutoriels :
http://forum.pcastuces.com/malwarebytes_antimalwares___tutoriel-f31s3.htm
http://www.malekal.com/tutorial_MalwareBytes_AntiMalware.php

(attention : pas de connexion possible en mode sans échec , donc copies ou imprimes bien la manipe pour éviter les erreurs ...)

Répondre à loloetseb

paule, le 30 jan 2009 à 17:03:37

Je viens d'effectuer la manip Rooter
voici le rapport

Search..

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"qaoysyi= "\"C\\documents and settings\\escoffier\\local settings\\application data\\qaoysyi"

C: \DOCuME~1\ESCOFF~1\LOCALS~1\APPLIC~1\qaoysyi.exe
C: \DOCuME~1\ESCOFF~1\LOCALS~1\APPLIC~1\qaoysyi.dat
C: \DOCuME~1\ESCOFF~1\LOCALS~1\APPLIC~1\qaoysyi_nav.dat
C: \DOCuME~1\ESCOFF~1\LOCALS~1\APPLIC~1\qaoysyi_navps.dat
[b]==>NAVIPROMO<==/b

C: \DOCuME~1\ESCOFF~1\APPLIC~1\drivers\srosa2.sys
C: \DOCuME~1\ESCOFF~1\APPLIC~1\drivers
[b]==>BAGLE<==/b

ROOKIT !!
Rookit Bagle ! .. [HKEY_LOCAL_MACHINE\SYSTEM\Controlset001\Enum\Root\LEGACY_SROSA]
Rookit Bagle ! .. [HKEY_LOCAL_MACHINE\SYSTEM\Controlset002\Enum\Root\LEGACY_SROSA]
Rookit Bagle ! .. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlset\Enum\Root\LEGACY_SROSA]

1 - "C:\Rooster$Rooster_1.txt" - 30/01/2009 l 16:48
scan complete

Je n'ai toujours pas réccupéré mon accès internet, je ne peux donx pasdéinstaller les anti virus par les liens que tu m'as envoyé

Répondre à paule

loloetseb, le 30 jan 2009 à 16:53:42

Ok suis la procedure indiqué,as tu retrouvé la connexion.Je dois partir ,je reviens dans une heure pour continuer

Répondre à loloetseb

paule, le 30 jan 2009 à 17:05:36

Je dois aussi m'absenter une bonne heure

Répondre à paule

paule, le 30 jan 2009 à 18:59:59

Je n'ai toujours pas de connexion internet en wifi avec mon ordinateur je viens de lancer malwarebytes'anti-Malware
déja une 20 élèments infectés.
as tu une solution pour me connecter en wifi

Répondre à paule

loloetseb, le 30 jan 2009 à 18:29:20

Je suis revenu

Répondre à loloetseb

paule, le 30 jan 2009 à 19:37:02

Je dialogue avec toi avec un autre pc
je ne peux pas lancer Hijackthis sur l ordi portable
voici ce qu'il s affiche c:\program files \trend micro\hijackthis.exe n'est pas une application win 32 valide .
de plus je n arrive pas à me connecter via le wifi de mon portable.
si tu as une idée ?
si j arrive a me connecter que pourrai t envoyer les rapports.

Répondre à paule

paule, le 30 jan 2009 à 20:26:26

Oui j ai une autre cles usb.

Répondre à paule

38 réponses 12 Suivant

Posez votre question Répondre