Virus WORM_RBOT.FWN

Salut! Essaies de scanner en sans echec mais aussi seulement par sections EX: memoire, C:/ D:/ E:/ ect. puis entre les nettoyages, si tu peut nettoyer, utilses ccleaner en 7 passes .

Bonsoir

Matt, est-ce que le scan Trend Micro a détecté une majorité de fichiers *.rar, infectés par le ver ?

a+

Merci pour vos réponses,

jalobservateur,
comment faut il faire pour scanner sans echec ? j'essaie de trouver cette option sur mon antivrius, mais je ne la vois pas :s
sinon j'avais scanné chacunde mes disques dur (C, D et G) et le virus était présent sur chaque DD....

moe,
effectivement la majorité des fichiers étaient des *.ZIP (pas des *.rar car je n'avais pas encore winrar, mais ca reste des archives non?)

Salut Matt

Effectivement, je pense que ce ver infecte les archives (j'étais pas sur pour les *.zip) en plus de se propager de DD en DD/partitions, clé USB, médias externes sous un nom généré aléatoirement.

Télécharges et enregistre sur ton HijacThis, ici :
http://www.trendsecure.com/portal/en-US/threat_analytics/HJT­Install.exe

Double clic sur HJTInstall.exe que tu viens de télécharger pour lancer l'installation.
Accepte la licence, ensuite le prog va se lancer automatiquement.
Clic sur [Do a system scan and save logfile] pour générer le rapport.
Le bloc note va s'ouvrir, copie tout le contenu et colle le ici a la suite de ton message.

a+

ps:
N'essayes pas d'ouvrir ton DD/partition ou médias externe en double cliquant sur leur icône ou en faisant un clic droit > ouvrir, sous peine de relancer l'infection.
Mais utilise plutôt, le clic droit > Explorer

J'ai fait la procedure que tu m'as indiqué
Voila ce que le logiciel me met

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:12:22, on 05/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)
Boot mode: Normal

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
D:\WINDOWS\system32\spoolsv.exe
D:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
D:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
D:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
D:\Program Files\Trend Micro\OfficeScan Client\ntrtscan.exe
D:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
D:\WINDOWS\system32\nvsvc32.exe
D:\WINDOWS\system32\svchost.exe
D:\Program Files\Trend Micro\OfficeScan Client\tmlisten.exe
D:\WINDOWS\Explorer.EXE
D:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
D:\Program Files\Trend Micro\OfficeScan Client\OfcPfwSvc.exe
D:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nTrayFw.exe
D:\WINDOWS\system32\RUNDLL32.EXE
D:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe
D:\Program Files\Lavasoft\Ad-Aware 2007\AAWTray.exe
D:\WINDOWS\system32\ctfmon.exe
D:\WINDOWS\TEMP\CKD35B.EXE
D:\Program Files\Internet Explorer\iexplore.exe
D:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe­
D:\Program Files\Trend Micro\OfficeScan Client\Pop3Trap.exe
D:\Program Files\MSN Messenger\msnmsgr.exe
D:\Program Files\MSN Messenger\usnsvc.exe
D:\Program Files\RamBoost XP\rambxpfr.exe
D:\WINDOWS\system32\MSIEXEC.EXE
D:\WINDOWS\system32\msiexec.exe
D:\WINDOWS\system32\MsiExec.exe
D:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - (no file)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - d:\program files\google\googletoolbar2.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - D:\Program Files\Google\GoogleToolbarNotifier\2.1.615.5858\swg.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - d:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [nTrayFw] D:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nTrayFw.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [OfficeScanNT Monitor] "D:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow
O4 - HKLM\..\Run: [AAWTray] D:\Program Files\Lavasoft\Ad-Aware 2007\AAWTray.exe
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] D:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [msnmsgr] "D:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [DWQueuedReporting] "D:\PROGRA~1\FICHIE~1\MICROS~1\DW\dwtrig20.exe" -t
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://D:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - D:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - D:\WINDOWS\bdoscandel.exe
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - D:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: ForceWare Intelligent Application Manager (IAM) - Unknown owner - D:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - D:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
O23 - Service: Google Updater Service (gusvc) - Google - D:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA - D:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA - D:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
O23 - Service: Scan en temps réel OfficeScanNT (ntrtscan) - Trend Micro Inc. - D:\Program Files\Trend Micro\OfficeScan Client\ntrtscan.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pare-feu OfficeScanNT (OfcPfwSvc) - Trend Micro Inc. - D:\Program Files\Trend Micro\OfficeScan Client\OfcPfwSvc.exe
O23 - Service: OfficeScanNT Listener (tmlisten) - Trend Micro Inc. - D:\Program Files\Trend Micro\OfficeScan Client\tmlisten.exe
End of file - 6673 bytes


Je ne sais pas trop ce que ca veut dire, mais bon !

Merci pour le conseil, je ferai attention dès que j'ouvrirai mon disque dur externe...

Salut Matt

L'infection, n'a pas l'air d'être active sur D pour l'instant, mais il va falloir vérifier de plus près tes autres périfs externes.

Télécharges Autosrch et dézippes le sur ton bureau.

Connecte tous les périphériques externes susceptibles d'avoir été infectés (DD,clé).
Une fois fait, va dans le dossier Autosrch et double clic sur Autosearch.bat.
Un rapport sera généré après analyse et portera le nom : autosrch.txt.
Copie et colle son contenu dans ta prochaine réponse.

Ensuite, rends toi sur ce site :
http://www.virustotal.com/fr/
Et fais analyser ce fichier:
D:\WINDOWS\TEMP\CKD35B.EXE

Pour celà, clic sur parcourir, et à l'aide de l'explorateur rends toi dans D:\WINDOWS\TEMP.
Selectionne le fichier CKD35B.EXE et valide.
De retour sur le site, clic sur Envoyer le fichier.
Surligne, puis copie et colle dans le bloc notes le résultat d'analyse.

a+

Arf, ma réponse n'a pas été publiée... je vais tout refaire alors.

Voila le resultat avec autosearch (je n'ai qu'un seul epripherique qui est connecté a l'ordi, G:, mon dd externe)

Exécuté dans D:\Documents and Settings\Matthieu\Bureau\Autosrch.

############################################################­###############

Registre:



Listing des fichiers *.exe cachés du dossier D:\WINDOWS\System32



############################################################­###############

C: - Lecteur fixe



Listing fichiers *.exe...

:. Fichiers *.exe: Non trouvés


Recherche des fichiers autorun.*...

C:\autorun.inf

Contenu de C:\autorun.inf :

[AutoRun]
open=jombgdmvw.exe
shellexecute=jombgdmvw.exe
shell\Auto\command=jombgdmvw.exe
shell=Auto
[VVflagRun]
aabb=kdkfjdkfk1



############################################################­###############

D: - Lecteur fixe



Listing fichiers *.exe...

:. Fichiers *.exe: Non trouvés


Recherche des fichiers autorun.*...

D:\autorun.inf

Contenu de D:\autorun.inf :

[AutoRun]
open=jombgdmvw.exe
shellexecute=jombgdmvw.exe
shell\Auto\command=jombgdmvw.exe
shell=Auto
[VVflagRun]
aabb=kdkfjdkfk1



############################################################­###############

E: - Lecteur de CD-ROM



Listing fichiers *.exe...

-> E:\Setup.exe
/!\ Est aussi présent dans : D:\WINDOWS\System32 !



Recherche des fichiers autorun.*...

E:\autorun.inf

Contenu de E:\autorun.inf :

[autorun]
open=Setup.exe -auto
icon=Setup.exe,0


###########################################################################

G: - Lecteur fixe



Listing fichiers *.exe...

:. Fichiers *.exe: Non trouvés


Recherche des fichiers autorun.*...

G:\autorun.inf

Contenu de G:\autorun.inf :

[AutoRun]
open=jombgdmvw.exe
shellexecute=jombgdmvw.exe
shell\Auto\command=jombgdmvw.exe
shell=Auto
[VVflagRun]
aabb=kdkfjdkfk1



###########################################################################

Registre :


HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run
CTFMON.EXE REG_SZ D:\WINDOWS\system32\ctfmon.exe
swg REG_SZ D:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
msnmsgr REG_SZ "D:\Program Files\MSN Messenger\msnmsgr.exe" /background
RamBoostXp REG_SZ D:\Program Files\RamBoost XP\rambxpfr.exe


HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run
nTrayFw REG_SZ D:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nTrayFw.exe
NvCplDaemon REG_SZ RUNDLL32.EXE D:\WINDOWS\system32\NvCpl.dll,NvStartup
nwiz REG_SZ nwiz.exe /install
NvMediaCenter REG_SZ RUNDLL32.EXE D:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
OfficeScanNT Monitor REG_SZ "D:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow
AAWTray REG_SZ D:\Program Files\Lavasoft\Ad-Aware 2007\AAWTray.exe

HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents
<NO NAME> REG_SZ

HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL
Installed REG_SZ 1
<NO NAME> REG_SZ

HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI
NoChange REG_SZ 1
Installed REG_SZ 1
<NO NAME> REG_SZ

HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS
Installed REG_SZ 1
<NO NAME> REG_SZ


HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
Shell REG_SZ Explorer.exe


HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
Userinit REG_SZ D:\WINDOWS\system32\userinit.exe,


HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer
NoDriveTypeAutoRun REG_BINARY 95000000


Error: Key: software\microsoft\windows\currentversion\policies\explorer does not exist!



HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system
dontdisplaylastusername REG_DWORD 0 (0x0)
legalnoticecaption REG_SZ
legalnoticetext REG_SZ
shutdownwithoutlogon REG_DWORD 1 (0x1)
undockwithoutlogon REG_DWORD 1 (0x1)


HKEY_LOCAL_MACHINE\system\currentcontrolset\control\safeboot
AlternateShell REG_SZ cmd.exe


HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\your image file name here without a path
Debugger REG_SZ ntsd -d
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\C\Shell
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\C\Shell\Auto
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\C\Shell\Auto\command
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\C\Shell\AutoRun
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\C\Shell\AutoRun\command
<NO NAME> REG_SZ D:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL jombgdmvw.exe
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\D\Shell
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\D\Shell\Auto
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\D\Shell\Auto\command
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\D\Shell\AutoRun
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\D\Shell\AutoRun\command
<NO NAME> REG_SZ D:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL jombgdmvw.exe
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\E\Shell
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\E\Shell\AutoRun
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\E\Shell\AutoRun\command
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G\Shell
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G\Shell\Auto
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G\Shell\Auto\command
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G\Shell\AutoRun
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G\Shell\AutoRun\command
<NO NAME> REG_SZ D:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL jombgdmvw.exe
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{30e9d42f-5a69-11dc-a5fe-806d6172696f}\Shell
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{30e9d42f-5a69-11dc-a5fe-806d6172696f}\Shell\AutoRun
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{30e9d42f-5a69-11dc-a5fe-806d6172696f}\Shell\AutoRun\command


################################# END ###################################




Par contre, je n'arrive plus a faire le test avec virus total! :s
Hier, ca avait marché, et un seul antivirus m'avait detecté le virus.
Aujourd'hui, le fichier n'est plus dans le dossier...
bizarre
...
J'ai passé un coup de Ccleaner entre temps, c'est peut etre pour ca ?

Salut matt

Apparement ton AV, a du faire quand même un peu de ménage car le fichier infectieux jombgdmvw.exe, n'apparait sur aucun de tes médias externes ou partition et c'est vraiment bon signe.
Il ne reste que les fichiers autorun.inf que tu vas devoir supprimer manuellement.

Pour celà:

1/
Rends visible les fichiers cachés et système:

Démarrer > Panneau de configuration > options des dossiers > onglet affichage
Cocher la case devant " Afficher les fichiers et dossiers cachés "
Décocher la case devant " Masquer les extentions des fichiers dont le type est connu "
Décocher la case devant " Masquer les fichiers protégés du système "
clic sur [Appliquer] puis sur [ok] pour valider

2/
Ouvre le poste de travail, puis fait un clic droit > explorer sur l'icône du DD C:
Puis supprime le fichier autorun.inf

3/
Toujours dans le poste de travail, fait un clic droit > explorer sur l'icône du DD/partition D:
Puis supprime le fichier autorun.inf


4/
Toujours dans le poste de travail, fait un clic droit > explorer sur l'icône du DD/partition G:
Puis supprime le fichier autorun.inf

5/
Redemarre le pc.

6/
Après le redemarrage du pc, vérifies que ce fichier ne soit plus présent:
C:\Windows\system32\jombgdmvw.exe
S'il existe, supprimes-le

7/
Désactive la restauration système :
Clic droit sur poste de travail > propriétés > onglet restauration système
Puis coche la case "désactiver la restauration système sur tous les lecteurs". <- important !
et valide.

Puis rends-toi sur ce site pour faire une analyse complète du pc (et éventuellement désinfecter les archives *.zip et *.rar)
http://www.pandasoftware.fr/activescan/activescan.html

Clique sur Analyser votre PC.
Une nouvelle fenêtre de navigateur s'ouvrira avec l'interface Panda ActiveScan.
Des contrôles ActiveX devront être téléchargés pour que le scan puisse s'effectuer, acceptes-les.
Le temps nécessaire au téléchargement de ces contrôles pourra être assez long.
Choisis ensuite le Poste de travail comme cible d'analyse.
Une fois l'analyse terminée et si Panda ActiveScan a détecté un virus, clique sur le bouton [Voir Rapport], puis sur [Enregistrer le rapport].
Pour plus de commodité, tu peux sauvegarder sur ton bureau le fichier rapport Activescan.txt.

Pour plus de renseignements, consulte ce lien:
http://www.malekal.com/scan_Av_en_ligne.php#mozTocId237368

Si tu as le temps, profite que la restau système soit désactivé pour scanner aussi ton pc avec ton antivirus, car possible qu'elle est pu géner les désinfections lorsque tu l'avais lancé pour la première fois, si elle était activée.

9/
- Recache les fichiers cachés et système
- Réactive la restauration système.
(Clic droit sur poste de travail > propriétés > onglet "restauration système"
puis décocher "désactiver la restauration système sur tout les lecteurs".)

10/
Reposte un rapport hijackthis + le rapport de scan Panda

11/
Bon courage :-)

a++


ps:
Pas grave pour virustotal, on verra ce que donnera le résultat d'analyse du scan AV en ligne.

Encore merci pour ton aide
Je crois (mais bon, je n'y connais pas grand chose) que ça a bien fonctionné, car mon scan avec OfficeScan m'a indiqué que je n'avais plus aucun virus! Ca change des 474 virus que j'avais...

Le rapport hijackthis :
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:35:52, on 06/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16512)
Boot mode: Normal

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
D:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
D:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
D:\Program Files\Trend Micro\OfficeScan Client\ntrtscan.exe
D:\WINDOWS\system32\nvsvc32.exe
D:\WINDOWS\system32\svchost.exe
D:\Program Files\Trend Micro\OfficeScan Client\tmlisten.exe
D:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
D:\Program Files\Trend Micro\OfficeScan Client\OfcPfwSvc.exe
D:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
D:\WINDOWS\Explorer.EXE
D:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nTrayFw.exe
D:\WINDOWS\system32\RUNDLL32.EXE
D:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe
D:\Program Files\Lavasoft\Ad-Aware 2007\AAWTray.exe
D:\WINDOWS\SOUNDMAN.EXE
D:\WINDOWS\system32\ctfmon.exe
D:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe­
D:\WINDOWS\TEMP\CNF4DB.EXE
D:\Program Files\RamBoost XP\rambxpfr.exe
D:\Program Files\Trend Micro\OfficeScan Client\Pop3Trap.exe
D:\Program Files\MSN Messenger\usnsvc.exe
D:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
D:\Program Files\MSN Messenger\msnmsgr.exe
D:\Program Files\Internet Explorer\iexplore.exe
D:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - (no file)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - d:\program files\google\googletoolbar2.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - D:\Program Files\Google\GoogleToolbarNotifier\2.1.615.5858\swg.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - d:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [nTrayFw] D:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nTrayFw.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [OfficeScanNT Monitor] "D:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] D:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [msnmsgr] "D:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [RamBoostXp] D:\Program Files\RamBoost XP\rambxpfr.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Adobe Gamma.lnk = D:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://D:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - D:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - D:\WINDOWS\bdoscandel.exe
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - D:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - D:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: ForceWare Intelligent Application Manager (IAM) - Unknown owner - D:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - D:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
O23 - Service: Google Updater Service (gusvc) - Google - D:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA - D:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA - D:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
O23 - Service: Scan en temps réel OfficeScanNT (ntrtscan) - Trend Micro Inc. - D:\Program Files\Trend Micro\OfficeScan Client\ntrtscan.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pare-feu OfficeScanNT (OfcPfwSvc) - Trend Micro Inc. - D:\Program Files\Trend Micro\OfficeScan Client\OfcPfwSvc.exe
O23 - Service: OfficeScanNT Listener (tmlisten) - Trend Micro Inc. - D:\Program Files\Trend Micro\OfficeScan Client\tmlisten.exe
End of file - 6924 bytes




Le rapport panda :


Incident Statut Analyse

Outil indésirable:Application/Processor No Désinfecté D:\Documents and Settings\Matthieu\Bureau\Autosrch\Process.exe
Spyware:Cookie/Atlas DMT No Désinfecté D:\Documents and Settings\Matthieu\Cookies\matthieu@atdmt[2].txt
Spyware:Cookie/Serving-sys No Désinfecté D:\Documents and Settings\Matthieu\Cookies\matthieu@bs.serving-sys[1].txt
Spyware:Cookie/Doubleclick No Désinfecté D:\Documents and Settings\Matthieu\Cookies\matthieu@doubleclick[2].txt
Spyware:Cookie/Overture No Désinfecté D:\Documents and Settings\Matthieu\Cookies\matthieu@overture[1].txt
Spyware:Cookie/Serving-sys No Désinfecté D:\Documents and Settings\Matthieu\Cookies\matthieu@serving-sys[1].txt
Spyware:Cookie/Xiti No Désinfecté D:\Documents and Settings\Matthieu\Cookies\matthieu@xiti[1].txt
Virus:W32/IRCbot.BDH.worm Désinfecté G:\Animations flash\flash.zip[Bdl8QE2.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\cdprof506\b2i\gibii.zip[k43UD02.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\cdprof506\gava\gava.zip[O5MB3Wl.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\cdprof506\gava.zip[im4oP3S.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\cdprof506\lilimath\disk3\liligra.zip[dr0XN1G.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\cdprof506\spip.zip[uS2fyLX.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\Formation\Nouveaux programmes cinquième\Journée complète\Atelier 6\Atelier6_complet.zip[rS366Hx.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\Logiciels maths\123maths.zip[xw54BqG.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\Logiciels maths\Orge_comp.zip[rcq4q2l.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\System Volume Information\_restore{998F2A45-CC03-443E-B222-39E0FF2946A0}\RP515\A0306781.exe
Virus:W32/IRCbot.BDH.worm Désinfecté G:\System Volume Information\_restore{998F2A45-CC03-443E-B222-39E0FF2946A0}\RP516\A0306803.exe
Virus:W32/IRCbot.BDH.worm Désinfecté G:\System Volume Information\_restore{998F2A45-CC03-443E-B222-39E0FF2946A0}\RP516\A0306937.exe
Virus:W32/IRCbot.BDH.worm Désinfecté G:\System Volume Information\_restore{998F2A45-CC03-443E-B222-39E0FF2946A0}\RP518\A0309998.exe
Virus:W32/IRCbot.BDH.worm Désinfecté G:\System Volume Information\_restore{998F2A45-CC03-443E-B222-39E0FF2946A0}\RP518\A0310006.exe
Virus:W32/Sdbot.LCA.worm Désinfecté G:\System Volume Information\_restore{998F2A45-CC03-443E-B222-39E0FF2946A0}\RP519\A0310038.exe
Virus:W32/Sdbot.LCA.worm Désinfecté G:\System Volume Information\_restore{998F2A45-CC03-443E-B222-39E0FF2946A0}\RP519\A0310081.exe
Virus:W32/Sdbot.LCA.worm Désinfecté G:\System Volume Information\_restore{998F2A45-CC03-443E-B222-39E0FF2946A0}\RP519\A0310098.exe
Virus:W32/Sdbot.LCA.worm Désinfecté G:\System Volume Information\_restore{998F2A45-CC03-443E-B222-39E0FF2946A0}\RP519\A0311114.exe
Virus:W32/Sdbot.LCA.worm Désinfecté G:\System Volume Information\_restore{998F2A45-CC03-443E-B222-39E0FF2946A0}\RP519\A0311127.exe
Virus:W32/Sdbot.LCA.worm Désinfecté G:\System Volume Information\_restore{998F2A45-CC03-443E-B222-39E0FF2946A0}\RP519\A0312128.exe
Virus:W32/Sdbot.LCA.worm Désinfecté G:\System Volume Information\_restore{998F2A45-CC03-443E-B222-39E0FF2946A0}\RP519\A0312138.exe
Virus:W32/Sdbot.LCA.worm Désinfecté G:\System Volume Information\_restore{998F2A45-CC03-443E-B222-39E0FF2946A0}\RP519\A0312153.exe
Virus:W32/Sdbot.LCA.worm Désinfecté G:\System Volume Information\_restore{998F2A45-CC03-443E-B222-39E0FF2946A0}\RP520\A0313452.exe
Virus:W32/IRCbot.BDH.worm Désinfecté G:\System Volume Information\_restore{998F2A45-CC03-443E-B222-39E0FF2946A0}\RP521\A0313465.exe
Virus:W32/IRCbot.BDH.worm Désinfecté G:\TICE\Exemples.zip[vJeQtl2.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\TICE\Formation du 061206\geospace_tp3.zip[B42ejqH.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\TICE\Formation du 221106\aire.zip[o7SDwN4.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\TICE\Formation du 221106\Angles.zip[I2v0B2k.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\TICE\Formation du 221106\bissectrice.zip[or2HOh8.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\TICE\Formation du 221106\Formation college tice 221106\aire.zip[VV2bOlO.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\TICE\Formation du 221106\Formation college tice 221106\Angles.zip[NYt173s.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\TICE\Formation du 221106\Formation college tice 221106\bissectrice.zip[v2jf52W.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\TICE\Formation du 221106\Formation college tice 221106\mediatrice.zip[DlL00.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\TICE\Formation du 221106\Formation college tice 221106\rapporteur.zip[ujWkgH7.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\TICE\Formation du 221106\mediatrice.zip[Y1le4QL.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\TICE\Formation du 221106\rapporteur.zip[i7b1cVp.gif .scr]
Virus:W32/IRCbot.BDH.worm Désinfecté G:\Valentin\Cours MAC\quatrième\espace 4\espace.zip[uWg1cDo.gif .scr]




(il m'a trouvé pas mal de virus, et de spywares que j'ai désinfectés après avec AdAware)


Voila pour l'activité antivirale de la journée, j'espère que c'est en bonne voie pour la désinfection totale...

Salut Matt


Effectivement, ça a l'air d'avoir très bien fonctionné :-), et le scan chez panda semble avoir fait du bon boulot pour la désinfection des archives entre autre.
Est-ce que tu as rencontré des problèmes particuliers concernant la suppression des fichiers autorun.inf ?
Je voudrais pas moi non plus trop m'avancer, mais il me semble que c'est en bonne voie de résolution pour pas dire résolu...

Donc voilà ce que tu peux faire pour l'instant:

Supprime le dossier autosrch et autosrch.zip tu n'en aura plus besoin.

Dans ajout/suppression de programmes, désinstalles :
RamBoost XP (ce prog est complètement inutile, sauf bien sur si tu tiens vraiment à le conserver.)
et
Panda ActiveScan
Accepte le redémarrage du pc si il t'est demandé.

Lance internet explorer, puis dans le menu "Outils", clic sur "Uninstall BitDefender Online Scanner v8"


Relance hijackthis et et clic sur [Do a system scan only]</gras>

- Coche la case devant les lignes suivante:

O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - (no file)
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKCU\..\Run: [RamBoostXp] D:\Program Files\RamBoost XP\rambxpfr.exe

valide en cliquant sur le bouton [Fix checked]


Et enfin, dernière vérification :

Télécharge Ewido anti-spyware 4.0 Micro scanner ici:
http://downloads.ewido.net/ewido_micro.exe
Et sauvegardes-le sur ton bureau.

Double clic sur ewido_micro.exe, le programme va mettre à jours automatiquement sa base de donnée, ce qui peut provoquer une alerte de ton pare-feu, autorises-le si c'est le cas et patiente le temps du téléchargement de la base de donnée virale.
Une fois fait, décoche la case devant "Cookies" et laisse les autres options tel quel.
Puis clic sur le bouton [Start Scan].
En fin d'analyse tu verras apparaître deux boutons en bas de l'interface:
[Save report] et [Remove infections].

Pour éviter d'avoir à refaire une seconde analyse, sauvegarde d'abord le rapport en premier, en cliquant sur [Save report].
Ensuite si des éléments infectieux ont étés détectés, clic sur [Remove infections].
Poste sur le forum le rapport que tu auras sauvegardé.

a+ tard !

ps:
Est-ce que tu as pensé à réactiver la restauration Système ?

Non, je n'ai rencontré aucun problème lors de lla suppression des autorun.
J'ai jeté ramboost, merci pour l'info !

J'ai oublié de décocher les cookies dans ewido :s
Mais voila le rapport :
__________________________________________________
ewido anti-spyware online scanner
http://www.ewido.net
__________________________________________________


Name: TrackingCookie.Atdmt
Path: D:\Documents and Settings\Matthieu\Cookies\matthieu@atdmt[1].txt
Risk: Medium

Name: TrackingCookie.Weborama
Path: D:\Documents and Settings\Matthieu\Cookies\matthieu@weborama[2].txt
Risk: Medium

Name: Not-A-Virus.BadJoke.Win32.Enfin.a
Path: G:\Matthieu\Sauvegarde ordi\Mes documents\Mes fichiers reçus\F_56.exe
Risk: Low

Name: Not-A-Virus.BadJoke.Win32.Enfin.a
Path: G:\Matthieu\Sauvegarde ordi\Mes documents\Mes fichiers reçus\musique.exe
Risk: Low

Name: Adware.NewDotNet
Path: G:\System Volume Information\_restore{998F2A45-CC03-443E-B222-39E0FF2946A0}\R­P521\A0313584.exe
Risk: Medium

Name: Adware.NewDotNet
Path: G:\System Volume Information\_restore{998F2A45-CC03-443E-B222-39E0FF2946A0}\R­P521\A0313612.exe
Risk: Medium

Name: Adware.NewDotNet
Path: G:\System Volume Information\_restore{998F2A45-CC03-443E-B222-39E0FF2946A0}\R­P521\A0313657.exe
Risk: Medium



Apparament, il a détecté quelques infections...

Et avant, mon PC s'est mis à redevenir tout lent (ce qui ne lui était pas arrivé depuis le reformatage), j'ai redémarré et il ya eu un message d'erreur (petite fenetre avec "terminer maintenant" en bas...) marquant "virus détecté"... donc je ne sais pas trop quoi penser ! :s

a ++

ps: oui; j'ai remis la restauration ^^

Pas grave pour les cookies.
Apparement Ewido n'a rien détecté d'important, quelques points de restaurations système sur G: et ces deux fichiers que tu peux supprimer:

G:\Matthieu\Sauvegarde ordi\Mes documents\Mes fichiers reçus\F_56.exe
G:\Matthieu\Sauvegarde ordi\Mes documents\Mes fichiers reçus\musique.exe

Par contre, la fenêtre marquant "Virus détecté", c'était celle de ton antivirus ?
Ca mentionnait un fichier en particulier ?

Redémarre ton pc et dis moi si ça se reproduit.

a+

Je ne trouve pas les fichiers ! :s
Bizarre..

J'ai redémarré le PC, et la fenêtre n'est pas réapparue
Ce n'était pas celle de mon antivirus, plutot une fenetre windows (un peu comme quand l'ordi rame et que je quitte le programme parce qu'il ne répond plus...)

a +

Au temps pour moi ! Désolé.
Si tu avais cliqué sur "Remove infections" après avoir sauvegardé le rapport, c'est normal qu'ils n'existent plus puisqu'Ewido les a supprimés ensuite :-)

Pour la fenêtre et le message, tu vas par précaution refaire un dernier scan AV en ligne, histoire d'être sur:
Vas sur http://www.kaspersky.com/virusscanner
Clic sur le bouton "Kaspersky Online Virus Scanner" et accepte le controle activeX.
Une fois le contrôle téléchargé, choisis "My computer" comme cible d'analyse et démarre le scan.

Poste ensuite le rapport.

Petit problème...
j'ai essayé deux fois de lancer kaspersky, et les deux fois, ca n'a pas marché... soit le controle active X ne se lancait pas soit (maintenant) la page ne s'ouvre carrement pas...
Du coup, j'ai lancé un scan avec mon antivirus, et il n'a rien détecté. Mais bon, je sais pas si je peux lui faire trop confiance..
Y atil un autre AV en ligne efficace avec lequel je peux scanner mon PC ? (ou sinon, je reesayerai demain Kaspersky, à tête reposée...)

++

Salut Matt

Personnellement je pense que tu peux avoir confiance en ton AV car c'est un des tout premier à avoir inclu la detection du WORM_RBOT.FWN.

Sinon, à défaut de Kaspersky, tu peux essayer ici :
http://www.bitdefender.fr/scan_fr/scan8/ie.html
ou là:
http://fr.trendmicro-europe.com/consumer/housecall/housecall­_launch.php
ou bien ici:
http://support.f-secure.com/enu/home/ols.shtml

Quelque soit celui que tu choisiras, poste ensuite son rapport d'analyse.

a++

J'ai fait le scan avec BitDefender
Il m'a trouvé plein de virus (bcp dans le repertoire d'office scan, qui avaie