DCOM Exploit [Résolu]

Salut,

Pour voir si tu es infecté.


* Télécharge http://oldtimer.geekstogo.com/OTL.exe sur ton bureau.
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)

* Lance OTL
* Sous Peronnalisation, copie-colle ce qu'il y a dans le cadre ci-dessous :
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
CREATERESTOREPOINT
* Clique sur le bouton Quick Scan.
* Quand le scan est fini, utilise le site http://www.cijoint.fr/ pour me donner les deux rapports : OTL.Txt et Extras.Txt.

Bonsoir.

Je vais faire les étapes et quand j'ai finis, je te tiendrais au courant.

Amicalement.

-Lien du fichier Extras:

http://www.cijoint.fr/cj201006/cijCyFGm4u.txt


-Lien du fichier OTL:

http://www.cijoint.fr/cj201006/cijwphC5cD.txt


P.S: pendant l'analyse, Avast m'a afficher 6 fois le message d'alerte...

Amicalement.

Tu es infecté.

Affiche les fichiers cachés :
http://www.commentcamarche.net/...

Envoie C:\Users\Itachi\AppData\Roaming\winlogon.exe sur http://upload.malekal.com

Relance OTL.
o sous Peronnalisation, copie_colle le contenu du cadre ci dessous et clic Correction, un rapport apparraitra suite à l'operation que tu conserveras sur clé usb par exemple afin d'en coller le resultat:

:OTL
O4 - HKCU..\Run: [Winlogon] C:\Users\Itachi\AppData\Roaming\winlogon.exe (Prive)

* redemarre le pc sous windows et poste le rapport ici

Re bonsoir.

Je ne sais pas ce que je dois dire, OTL ne m'a pas affiché de rapport, mais c'est Avast qui m'a affiché une autre alerte:

http://img707.imageshack.us/i/avastbc.png/

Que dois-je faire ?

Amicalement.

P.S: L'application Winlogon a été envoyée au site demandé.

Ah pardon, excuse moi, j'avais oublié de cliquer sur OK x)

Voici le rapport:

========== OTL ==========
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\Winlogon deleted successfully.
C:\Users\Itachi\AppData\Roaming\winlogon.exe moved successfully.
 
OTL by OldTimer - Version 3.2.7.0 log created on 06272010_211922

Amicalement.

Mouais bon c'est de la daube ton malware.
Truc bateau...

La détection : http://www.virustotal.com/...

Ca se connecte à ça fandematez.no-ip.org (mais down), c'est une freebox, donc ça doit être un FR qui est derrière.

M'enfin bon ça doit être un kevin qui a récupérer le code du malware (ou le malware) et qui joue avec et qui est pas foutu de le protéger pour faire bypasser les détections des AV.

Y a des groupes qui font ça en postant des lien cracks sur les fofos.

Ca vole les mots de passe etc donc change tous tes mots de passe, hotmail, jeux en ligne etc.

Regarde si y a du mieux (plus d'alerte d'Avast!)
Et éviter de télécharger n'importe quoi... ça t'évitera les ennuies :
[2010/06/25 19:28:22 | 000,000,000 | ---D | C] -- C:\Users\Itachi\Desktop\The Sims 3 - Razor1911 Final MAXSPEED
[2010/06/25 17:25:14 | 000,132,096 | -H-- | C] (Prive) -- C:\Users\Itachi\AppData\Roaming\winlogon.exe

???

Que signifie le Razor1911 Final MAXSpeed ?!

Je ne sais pas d'où ça sort !

Peut tu m'expliquer s'il te plait ?

Amicalement.

A ce que je vois, c'est marqué aussi Sims 3.

Le problème, c'est que je n'ai que Les Sims 2.

c'est normal ?

Par contre, il y a aussi ma famille qui utilisent mon PC, ça peut venir d'ici ?

Amicalement.

T'as une version de The SIM cracké....
Donc pris je ne sais où et donc potentiellement ça peux contenir des malwares.

J'ai les Sims 2 cracké ?

Je l'ai acheté il y a 3 jours, d'un magasin d'occasion.

Amicalement.

possible, mais Razor c'est une team de Warez qui produit des cracks.
Donc peut-être que qq1 a mis un NoCD derrière ou j'en sais rien :)

enfin bon tout ça pour dire de pas faire executer n'importe quoi sur le PC surtout quand la source est inconnue.

C'est tout :)

J'ai un petit frère, qui est fou de jeu vidéo... Je lui demanderais si c'est lui qu'est derrière tout cela...

Enfin, le virus a t-il disparu ?


J'ai aussi remarqué une autre application, SPYKEY.EXE, c'est quoi ça ?

Amicalement.

Je sais pas je le vois pas sur ton rapport.
Ca a l'air bof d'après Google.

Tu rechercher le fichier et noter son emplacement et le donner ici.
Tu peux scanner le fichier sur http://www.virustotal.com et donner le lien iic.
Scanne ce fichier aussi pour voir : C:\Users\Itachi\AppData\Local\Temp\nsp5FBD.tmp\NM.exe

Voici le lien d'analyse de SPYKEY:

http://www.virustotal.com/...

Lien d'analyse de NM:

http://www.virustotal.com/...

Amicalement.

envoie les deux sur http://upload.malekal.com pour voir :)

C'est fait :)

Amicalement.

ça vient de là ton spykey : http://www.spy-key.fr/
je te laisse lire le contenu :D

pour l'autre, ça semble OK.

Tu devrais plus avoir d'alerte Avast! je pense.


Maintiens tes logiciel à jour c'est important, utilise ce programme : /faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite
Absolument à faire.


Un peu de lecture pour éviter les infections :
- connaitre et éviter les infections : http://www.malekal.com/fichiers/projetantimalwares/ProjetAntiMalware-courte.pdf
- sécuriser son PC : http://forum.malekal.com/comment-securiser-son-ordinateur.html

Par contre, il y a un truc que je ne comprend toujours pas avec ce fichier:

C:\Users\Itachi\Desktop\The Sims 3 - Razor1911 Final MAXSPEED

Je vois qu'il doit etre dans le bureau, le problème, c'est que je ne vois rien ?

Normal ou pas ?

Amicalement.

bhe ouais ché pas bizarre ouais :)

fais une recherche Razor comme fichier :)