infection EXP/MouseDis.AFermé

Question

Bonjour,
Suite a une mauvaise manipulation j'ai apparement été infecté par un virus:
J'utilise avira antivirus.
Toute les 15 ou vingt minute une fenêtre s'ouvre avec comme entête scan4star.com mais elle est blanche.
Ensuite avira fait une alerte et propose  de bloquer l'accès. J'ai dis oui mais ça recommence la même chose plus tard. J'ai essayé de le mettre en quarantaine mais rien a faire.
Si je lance un scan avira il ne le détecte pas.
Après lui avoir interdit l'accès il y a systématiquement un message de rapport d'erreur windows.
J'utilise le firewall windows et je tourne sous XP

Avira indique dans son alerte "EXP/MouseDis.A" et Mouse_block[1].js

si vous avez un tuyau je suis preneur.

Merci d'avance
JDS

pimprenelle27 · Answer

Bonsoir,

Pour commencer :  faire un petit nettoyage de l'ordi et du registre avec Ccleaner, regarde bien le Tuto CCleaner

Ensuite :

Télécharge le fichier d'installation d'HijackThis.

Enregistre HJTInstall.exe sur ton bureau.

Renomme Hijackthis en Tutu

Double-clique sur HJTInstall.exe (tutu)  pour lancer le programme

Par défaut, il s'installera là :
C:\Program Files\Trend Micro\HijackThis

Accepte la licence en cliquant sur le bouton "I Accept"

Choisis l'option "Do a system scan and save a log file"

Clique sur "Save log" pour enregistrer le rapport qui s'ouvrira avec le bloc-note

Clique sur "Edition -> Sélectionner tout", puis sur "Edition -> Copier" pour copier tout le contenu du rapport

Colle le rapport que tu viens de copier sur ce forum

Ne fixe encore AUCUNE ligne, cela pourrait empêcher ton PC de fonctionner correctement

Tutoriaux (ne fixe rien pour le moment !!)

Pour ceux qui ont vista, ne pas oublier de désactiver Le contrôle des comptes utilisateurs

jds13 · Answer

Merci pimprenelle

J'ai installé et fait le nettoyage avec ccleaner.
et j'ai fait hijackthis dont voici le résultat.

"Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:47:54, on 14.04.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Google\Update\GoogleUpdate.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\windows\pp06.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\WINDOWS\system32\dll32.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Program Files\OpenOffice.org 3\program\soffice.exe
C:\Program Files\OpenOffice.org 3\program\soffice.bin
C:\Program Files\Skype\Plugin Manager\skypePM.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\Program Files\Internet Explorer\iexplore.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=localhost:7171
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local;<local>
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program Files\Google\Google Toolbar\GoogleToolbar.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll
O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:\Program Files\Google\Google Toolbar\Component\fastsearch_219B3E1547538286.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: &Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar.dll
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [sysldtray] C:\windows\ld07.exe
O4 - HKLM\..\Run: [pp] C:\windows\pp06.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [dll32] dll32
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 3.0.lnk = C:\Program Files\OpenOffice.org 3\program\quickstart.exe
O4 - Global Startup: hp psc 1000 series.lnk = ?
O4 - Global Startup: hpoddt01.exe.lnk = ?
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Personal - Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: getPlus(R) Helper - NOS Microsystems Ltd. - C:\Program Files\NOS\bin\getPlus_HelperSvc.exe
O23 - Service: Service Google Update (gupdate1c9a4319ad61466) (gupdate1c9a4319ad61466) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Process Monitor (LVPrcSrv) - Unknown owner - c:\program files\fichiers communs\logishrd\lvmvfm\LVPrcSrv.exe (file missing)
O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com\maconfservice.exe

pimprenelle27 · Answer

Bonjour,



Télécharge GenProc sur ton bureau

Double-clique sur GenProc.exe

et poste le contenu du rapport qui s'ouvre à la suite de la question êtes vous aider par quelqu'un, répondre oui. Merci.

Voir  comment utiliser GenProc

Pour ceux qui ont Vista, ne pas oublier de désactiver Le contrôle des comptes utilisateurs

IMPORTANT : Poste la procédure Genproc et ne fais rien d'autre pour l'instant ( souvent il faut ajouter des consignes à la manipe indiquée pour que cela fonctionne parfaitement )

Le rapport ce trouve soit  :

- Allez dans dossier Genproc, puis choisir le dossier page, ensuite choisir Genproc.html pour avoir le rapport sous navigateur internet

où

- Allez dans le dossier Genproc, puis choisir le dossier arguments, ensuite choisir Genproc.txt pour avoir le rapport format texte.

pimprenelle27 · Answer

Télécharger AVPTool

La page qui vous accueille comporte en général les 12 dernières versions générées. Regardez attentivement l'heure et la date affichées dans le nom du logiciel pour déterminer celle qui est la plus récente. Téléchargez-la sans hésiter sur le bureau de votre PC. Double-cliquez dessus pour lancez l'installation.

Attention : AVPTool (tout comme d'autres outils du même acabit tels que Antivir, BitDefender Free, etc.) n'est pas une protection. C'est un détecteur et un nettoyeur d'infections déjà présentes sur le PC. Pour vous protéger efficacement contre les menaces modernes que sont les Drive-by Downloads, les Stage Downloads, les Banking Trojans, les Webstorms, il faut disposer d'authentiques suites de sécurité comme Kaspersky Antivirus 8.0 (KAV) ou Kaspersky Internet Security 8.0 (KIS).

AVPTool fonctionne sous Windows 2000, XP, Vista 32 bits. Il ne doit pas être utilisé sur des machines déjà équipées de KAV 8.0 ou KIS 8.0.

jds13 · Answer

MERCI 

mais actuellement je n'arrive pas a me connecter avec l'ordi infecté avez vous un tuyau? CF mon poste précédent?

pimprenelle27 · Answer

ah ouais c'est vrai fais un scan complet avec ton antivirus et poste le rapport.

jds13 · Answer

Bonjour

le scan antivir a pris toute la nuit.

J'ai le rapport antivir mais j'ai un soucis.
Comme je n'arrive pas à me connecter à internet avec l'ordi en question il faut que je sorte ce rapport pour l'envoyer depuis notre portable. J'ai la possibilité de passer par un disque dur externe ou une clef usb.
Comme ma femme utilise le portable pour faire son mémoire de diplôme je ne peux prendre aucuns risques, elle a trop besoin du portable. Donc, y a t-il un risque que l'un ou l'autre des virus puisse profiter de passer au portable par le disque dur externe ou la clef usb si je les utilise pour faire transiter le rapport.

Sinon j'aurais la possibilité de passer par un ordinateur qui tourne sous linux au boulot mais je ne sais pas si il va reconnaitre le dique ou la clef.

Merci
JDS

pimprenelle27 · Answer

sinon a-y-il détecté des virus?

jds13 · Answer

oui 
apparement les deux que j'ai cité 

Worm/KoobfaceA.16 
TR/Proxy.smallNDD.Trojan 

(enfin c'est un vers et un trojan) je ne sait pas si on peut leur étendre le terme de virus.

merci

pimprenelle27 · Answer

tu as pu les supprimer?

jds13 · Answer

avira m'a proposé de les mettre en quarantaine, ce que j'ai accepté.
Malgré ça je n'arrive toujours pas a me connecter a internet.

jds13 · Answer

Bonjour

après pas mal d'essais.
Je n'arrive tjrs pas a me connecter.

J'ai désinstallé firefox et réinstallé: rien
refait une connexion réseaux: rien
tenté de me connecter a mon routeur: impossible

Mais, j'arrive a utiliser skype donc la connexion n'est pas totalement fermée. il semble que ce ne soit que ce qui passe par un navigateur qui est interrompu.

concernant le rapport avira y a t'il un risque de le copier et de le faire passer par un autre ordi.
Je précise qu'avira ne détecte plus les deux virus susmentionnés depuis qu'il les a mis en quarantaine.

merci

pimprenelle27 · Answer

supprime les de la quarantaine, et regarde ta connexion sur l'ordi tu en as? au niveau des petits ordi en bas à gauche de l'horloge.

jds13 · Answer

je ne connectais pas ni avant ni après la quarantaine.

pimprenelle27 · Answer

oui mais comment est cette connexion ?

jds13 · Answer

Je ne comprends pas bien la question mais je vais donner la meilleures réponse que je peut.

La connexion skype est sans problème.
Le portable qui passe via wifi sur le routeur puis sur le modem adsl n'a aucuns problème de connexion, la vitesse est tout a fait normale pour le coin de cambrousse ou je suis.
C'est la connexion via le navigateur qui ne marche pas. J'ouvre le navigateur et il me dit que le proxy n'autorise pas la connexion. Page grise avec un cadre au centre et un panneau attention en jaune.
Si j'essaye de communique avec le routeur via son adresse ip j'ai le même résultat.
A l'heure actuelle j'ai débranché mon câble réseaux car il me semble qu'il y a une activité internet via mon ordi.
Donc si quelqu'un essaye de l'utiliser à distance, c'est cuit pour lui.
Lorsque j'essayais de réparer la connexion dans le panneau de configuration j'avais de indication qu'une petite quantité d'informations était échangée malgré mon impossibilité de me connecter. 

Concernant le virus, hier soir celui mis en quarantaine s'est manifestement réactivé car mon anti virus me l'a a nouveau signalé, il essayait manifestement de faire une connexion internet.

voiilà ce que je peux dire, si vous avez d'autres questions, précisez svp ce que je doit regarder.

P.S. je me demande toujours si je peux faire transiter le rapport de l'antivirus par le portable via une clef usb sans risquer de contaminer le portable.

merci
JDS

pimprenelle27 · Answer

Si tu as un autre ordinateur tu peux télécharger genproc que j'ai mis plus haut et l'installer sur l'ordi malade, on déjà essayer de voir s'il y a des virus ou des portes dérobées sur cette ordi.

jds13 · Answer

Bonsoir j'ai téléchargé genproc et exécuté.
Le rapport ne détecte aucun infection caractéristique.

quelle est la suite.

si vous avez une idée pour rétablir la connexion je suis preneur, c'est particulièrement handicapant sans.

pimprenelle27 · Answer

Télécharge malwarebytes

NB : S'il te manque COMCTL32.OCX alors télécharge le ici

Tu l´installe; le programme va se mettre automatiquement a jour.

Une fois a jour, le programme va se lancer; clic sur l´onglet paramètre, et coche la case : "Arrêter internet explorer pendant la suppression".

Clic maintenant sur l´onglet recherche et coche la case : "exécuter un examen complet".

Puis clic sur "rechercher".

Laisse le scanner le pc...

Si des éléments on été trouvés > clic sur supprimer la sélection.

si il t´es demandé de redémarrer > clic sur "yes".

A la fin un rapport va s´ouvrir; sauvegarde le de manière a le retrouver en vu de le poster sur le forum.
Copie et colle le rapport stp.

PS : les rapport sont aussi rangé dans l'onglet rapport/log


Tutoriaux

jds13 · Answer

Voila j'ai effectué malwarebites.
ça a pris une bonne partie de la nuit.
Il a détecté et détruit un cheval de troie. voici le rapport:

"22.04.2009 07:00:45
mbam-log-2009-04-22 (07-00-45).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 222379
Temps écoulé: 1 hour(s), 11 minute(s), 32 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 2

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\WINDOWS	55ft2829f44.dat (Trojan.KoobFace) -> Quarantined and deleted successfully.
C:\WINDOWS	55ft3546f44.dat (Trojan.KoobFace) -> Quarantined and deleted successfully.
"

Par contre il n'a pas détecté le cheval de troie qui est apparu l'autre jour "Proxy.smallNDD.trojan".
Je me demande si vu son nom ce n'est pas lui qui a pourri la connection internet.

Merci d'avance.

pimprenelle27 · Answer

ok très bien maintenant fais ceci : 

Pour commencer :  faire un petit nettoyage de l'ordi et du registre avec Ccleaner, regarde bien le Tuto CCleaner


Télécharge Superantispyware (SAS)



Choisis "enregistrer" et enregistre-le sur ton bureau.

Double-clique sur l'icône d'installation qui vient de se créer et suis les instructions.

Créé une icône sur le bureau.

Double-clique sur l'icône de SAS (une tête dans un cercle rouge barré) pour le lancer.

- Si l'outil te demande de mettre à jour le programme ("update the program definitions", clique sur yes.
- Sous Configuration and Préférences, clique sur le bouton "Préférences"
- Clique sur l'onglet "Scanning Control "
- Dans "Scanner Options ", assure toi que la case devant lles lignes suivantes est cochée :

Close browsers before scanning  (Fermer Navigateur avant le scan)

Scan for tracking cookies  (Scan pour dépister les cookies)

Terminate memory threats before quarantining (Terminez les menaces de mémoire avant de mettre en quarantaine)

- Laisse les autres lignes décochées.

- Clique sur le bouton "Close" pour quitter l'écran du centre de contrôle.

- Dans la fenêtre principale, clique, dans "Scan for Harmful Software", sur "Scan your computer".

Dans la colonne de gauche, coche C:\Fixed Drive.

Dans la colonne de droite, sous "Complète scan", clique sur "Perform Complète Scan"

Clique sur "next" pour lancer le scan. Patiente pendant la durée du scan.

A la fin du scan, une fenêtre de résultats s'ouvre . Clique sur OK.

Assure toi que toutes les lignes de la fenêtre blanche sont cochées et clique sur "Next".

Tout ce qui a été trouvé sera mis en quarantaine. S'il t'es demandé de redémarrer l'ordi ("reboot"), clique sur Yes.

Pour recopier les informations sur le forum, fais ceci :

- après le redémarrage de l'ordi, double-clique sur l'icône pour lancer SAS.
- Clique sur "Préférences" puis sur l'onglet "Statistics/Logs ".
- Dans "scanners logs", double-clique sur SuperAntiSpyware Scan Log.

- Le rapport va s'ouvrir dans ton éditeur de texte par défaut.

- Copie son contenu dans ta réponse.


Regarde bien le tuto SuperAntiSpyware il est très bien expliqué.

Infection EXP/MouseDis.A

21 réponses

Discussions similaires

Newsletters