High-Tech Santé Médecine Droit-Finances

Auto-Entrepreneur

Comment faire ?

Rechercher : dans
Par :

Worm bagle désinfecté ?

Dernière réponse le 18 aoû 2008 à 11:26:00 jutax, le 14 aoû 2008 à 16:18:37 
 Signaler ce message aux modérateurs

Bonjour,
j'ai été infecté par le worm bagle (d'après avast il s'agissait de la version bagle.aaw). Ce worm est une vrai saleté. Il se trouvait dans une archive censée contenir un programme pour retrouver les mots de passe d'archives cryptées winrar. J'avais pourtant scanné l'archive avec avast avant de l'ouvrir mais il n'avait rien trouvé ...
Bref, j'ai suivi les instructions données iciComment supprimer le virus Beagle/Bagle ? , J'ai utilisé les méthodes 1, 3 et 4, plusieurs fois (elibagle, même renommé a été totalement inefficace) mais les deux autres programmes semblaient avoir eradiqué ce !*%£¤$#{! de ver. Suite à ce problème, j'ai changé l'antivirus avast pour antivir, qui m'a trouvé (en mode sans echec) 10 fichiers infectés que les autres n'avaient pas vu ! après j'ai installé NOD32 qui n'a rien trouvé (mais j'ai demandé seulement une analyse basée sur les heuristiques).
Voilà, maintenant j'arrive à bout des solutions proposées sur les forums et je ne suis toujours pas sûr d'être complètement désinfecté. En effet, mon ordi a toujours un "comportement étrange" (quand je demande d'éteindre l'ordi, il me propose l'option "installer les mises à jours et éteindre" mais je n'ai vu aucune mise à jour se télécharger. Autre chose : outlook express retélécharge tous mes anciens messages (mais ne les affiche pas en double pour autant). L'ordi est plus long qu'avant à s'allumer.
Je sollicite votre aide pour savoir :
1. Comment savoir avec certitude si mon ordi est vraiment clean ?
2. Même si je suis complètement débarrassé de ce ver, il me semble qu'il a fait des dégâts, comment les identifier tous et les réparer ? (j'ai déjà fait regsrubXP qui m'a réparé 22 problèmes ...)
Voilà, je vous remercie par avance de votre aide.

Configuration: Windows XP
Firefox 2.0.0.16
Antivir
Zonealarm

Meilleures réponses pour « Worm bagle désinfecté ? » dans :
[Virus] Kit de désinfection pour éradiquer W32/Beagle@mm (Bagle) VoirNom des variantes Beagle/bagle Kits de désinfection Nom des variantes Beagle/bagle Plusieurs éditeurs ont mis au point des kits de désinfection permettant de supprimer les variantes suivantes du Virus W32.Beagle@mm, appelé aussi Win32.Bagle...
Comment supprimer le virus Beagle/Bagle ? VoirLe malware Bagle est en réalité un ver informatique se propageant essentiellement par les logiciels P2P et via de faux cracks (= logiciels piratés !), ainsi que par mail. L'internaute croyant télécharger un crack pour un logiciel en faisant une...
[Spywares] Méthodes de désinfection Voir
Utilitaires de désinfection des principaux virus et vers VoirQu'est-ce qu'un kit de désinfection ? Un kit de désinfection est un petit exécutable dont le but est de nettoyer une machine infectée par un virus particulier. Chaque kit de désinfection est donc uniquement capable d'éradiquer un type de virus...
Posez votre question Répondre

1

jutax, le 14 aoû 2008 à 17:05:18

Hello, bon ça se confirme, le ver est toujours là ! Je viens d'avoir une alerte antivir (bagle.wr). Je met les fichiers en quarantaine, mais je ne sais plus quoi faire. J'ai l'impression qu'il s'agit d'une nouvelle version du ver car elle est résistante aux méthodes proposées ...
Merci de votre aide !

   
Répondre à jutax

2

jutax, le 14 aoû 2008 à 20:38:08

Bonsoir,
il y a quelqu'un ?
Si vous avez une idée n'hésitez pas ...
Merci,
@ +.

   
Répondre à jutax

3

jorginho67, le 14 aoû 2008 à 20:43:22
  • +2

Salut !

Bizarre, en princioe Bagle shoote l'antivirus et les logiciels de protection...

est ce que tu as un message spécifique "....win32 application non valide" lorsque tu essaye d'installer ou exécuter un logiciel de sécurité ??

On esssaye comme çà :

Il est possible que les fichiers soient cachés, aussi, modifie les options d'affichage afin de les voir comme indiqué ici > http://www.informatruc.com/afficher_fichiers_caches.php

Bon, pour en etre sur, peux tu me faire un scan en ligne Kaspersky sous Internet Explorer stp ?

voir ici comment

Désactive ton antivirus, le temps du scan !

Clique sur Démarrer Online-Scanner
Clique ensuite sur J'accepte.
Valide l'installation d'un ou de plusieurs ActiveX si c'est nécessaire.
Patiente pendant l'installation des Mises à jour.
Choisis par la suite l'analyse du Poste de travail.
Sauvegarde puis colle le rapport généré en fin de scan.

NOTE : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée"
va dans Ajout/Suppression de programmes puis désinstalle On-Line Scanner
reconnecte toi sur le site de Kaspersky pour retenter le scan en ligne. (00)
_llll_

   
Répondre à jorginho67

4

jutax, le 15 aoû 2008 à 10:39:21

Bonjour jorginho67, je te remercie de prendre mon problème en considération. Je n'ai jamais eu de message d'erreur avec ce ver, seulement des alertes par l'antivirus. Bagle avait effectivement réussi à détruire l'antivirus avast mais j'ai eu quand même une alerte avant. Ensuite j'ai réussi à le désinstaller complètement et à le réinstaller. Puis, après avoir réalisé plusieurs des méthodes proposées (combofix renommé, elibagle renommé et malwarebyte) j'ai dégagé avast pour le remplacer par antivir.
Depuis la dernière alerte envoyée par antivir (il s'agissait de fichiers issus du dossier "system volume information"), j'ai désactivé puis réactivé la "restauration système", j'ai aussi fait un ccleaner. Le rapport hijackthis a l'air clean mais j'ai toujours des gros doutes sur la présence du vers car antivir a l'air d'avoir des problèmes (la protection résidente est activée mais l'icone n'apparait pas toujours dans la barre des tâches ou alors apparait avec le parapluie fermé) et quand je clique sur "arrêter" pour éteindre l'ordi il me propose toujours l'option "installer les mises à jour et éteindre" mais aucune mise à jour ne s'est téléchargée, j'en suis sûr, il me l'a même fait une fois où je n'avais pas braché le wi fi.
Je précise en cas de besoin qu'il s'agit d'un ordi portable HP compaq nx 6110.
Sinon je fais ce que tu me demandes. J'ai modifié les options d'affichage et je lance maintenant le scan en ligne kaspersky. Je te tiens au courant.
Merci,
@ +.

PS : je le fais depuis internet explorer comme demandé mais je soupçonne bagle de l'avoir infecté. Notamment, c'est ce programme qui a été choisi par défaut alors qu'avant c'était firefox ... je me dit que bagle a peut être besoin de passer par IE plutôt que par firefox. Enfin bon, je respecte les conseils de l'expert.

   
Répondre à jutax

5

jorginho67, le 15 aoû 2008 à 11:30:43

Hello !

En te lisant, je vois que tu as bien réagi face a l'infection ;-))

ça fait plaisir de tomber sur quelqu'un qui maitrise un peu le domaine ... et qui utilise un " langage " cohérant ;-))

D'habitude, la plupart du temps nous avons a faire a des SMS, ou autres " charabias " incompréhensibles...

Bon, pour l'histoire du parapluie, il se peux que se soit autre chose, on verra ensuite .

@+ (00)
_llll_

   
Répondre à jorginho67

6

jutax, le 15 aoû 2008 à 13:39:07

Salut, encore un grand merci à toi pour ton aide jorginho67. Je suis content de voir que je n'ai pas trop mal réagi, heureusement que les forums existent, car sinon j'aurais été bien désemparé !
Le rapport kaspersky est terminé. Il n'a rien trouvé si ce n'est des fichiers verrouillés qu'il a ignoré (une bonne cinquantaine quand même) . Est-ce que je dois copier-coller le rapport ici ou bien est-ce inutile ?
Merci,
@ +.

   
Répondre à jutax

7

jorginho67, le 15 aoû 2008 à 17:51:01

Oui, poste moi le rapport stp . (00)
_llll_

   
Répondre à jorginho67

8

jutax, le 15 aoû 2008 à 18:43:57

Ok, alors voilà la bête !

------------------------------------------------------------­-------------------
KASPERSKY ON-LINE SCANNER REPORT
Friday, August 15, 2008 1:17:13 PM
Système d'exploitation : Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Kaspersky On-line Scanner version : 5.0.84.2
Dernière mise à jour de la base antivirus Kaspersky : 15/08/2008
Enregistrements dans la base antivirus Kaspersky : 973994
------------------------------------------------------------­-------------------

Paramètres d'analyse:
Analyser avec la base antivirus suivante: standard
Analyser les archives: vrai
Analyser les bases de messagerie: vrai

Cible de l'analyse - Poste de travail:
C:\
D:\
E:\

Statistiques de l'analyse:
Total d'objets analysés: 93755
Nombre de virus trouvés: 0
Nombre d'objets infectés: 0 / 0
Nombre d'objets suspects: 0
Durée de l'analyse: 02:18:54

Nom de l'objet infecté / Nom du virus / Dernière action
C:\Documents and Settings\Administrateur\Cookies\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\Administrateur\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré
C:\Documents and Settings\Administrateur\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\Administrateur\Local Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\Administrateur\Local Settings\Temp\~DF5772.tmp L'objet est verrouillé ignoré
C:\Documents and Settings\Administrateur\Local Settings\Temp\~DF7FBA.tmp L'objet est verrouillé ignoré
C:\Documents and Settings\Administrateur\Local Settings\Temporary Internet Files\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat ­L'objet est verrouillé ignoré
C:\Documents and Settings\Administrateur\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\Administrateur\NTUSER.DAT L'objet est verrouillé ignoré
C:\Documents and Settings\Administrateur\ntuser.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat L'objet est verrouillé ignoré
C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat L'objet est verrouillé ignoré
C:\Documents and Settings\All Users\Application Data\Prism\96a8211 L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Cookies\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Local Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\NTUSER.DAT L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\ntuser.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\NetworkService\Cookies\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\NetworkService\Local Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\NetworkService\NTUSER.DAT L'objet est verrouillé ignoré
C:\Documents and Settings\NetworkService\ntuser.dat.LOG L'objet est verrouillé ignoré
C:\System Volume Information\MountPointManagerRemoteDatabase L'objet est verrouillé ignoré
C:\System Volume Information\tracking.log L'objet est verrouillé ignoré
C:\System Volume Information\_restore{36D576C6-D89E-469E-9FBC-ABF0712A416E}\R­P461\change.log L'objet est verrouillé ignoré
C:\WINDOWS\Debug\PASSWD.LOG L'objet est verrouillé ignoré
C:\WINDOWS\Internet Logs\fwdbglog.txt L'objet est verrouillé ignoré
C:\WINDOWS\Internet Logs\fwpktlog.txt L'objet est verrouillé ignoré
C:\WINDOWS\Internet Logs\IAMDB.RDB L'objet est verrouillé ignoré
C:\WINDOWS\Internet Logs\PORTABLE.ldb L'objet est verrouillé ignoré
C:\WINDOWS\Internet Logs\tvDebug.log L'objet est verrouillé ignoré
C:\WINDOWS\SchedLgU.Txt L'objet est verrouillé ignoré
C:\WINDOWS\SoftwareDistribution\EventCache\{FD1710E5-85E3-4F­CB-A84A-AF9A08190FAF}.bin L'objet est verrouillé ignoré
C:\WINDOWS\SoftwareDistribution\ReportingEvents.log L'objet est verrouillé ignoré
C:\WINDOWS\Sti_Trace.log L'objet est verrouillé ignoré
C:\WINDOWS\system32\CatRoot2\edb.log L'objet est verrouillé ignoré
C:\WINDOWS\system32\CatRoot2\tmp.edb L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\AppEvent.Evt L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\default L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\default.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\Internet.evt L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\ODiag.evt L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\OSession.evt L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SAM L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SAM.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SecEvent.Evt L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SECURITY L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SECURITY.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\software L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\software.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SysEvent.Evt L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\system L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\system.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\drivers\fidbox.dat L'objet est verrouillé ignoré
C:\WINDOWS\system32\drivers\fidbox.idx L'objet est verrouillé ignoré
C:\WINDOWS\system32\drivers\sptd.sys L'objet est verrouillé ignoré
C:\WINDOWS\system32\h323log.txt L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP L'objet est verrouillé ignoré
C:\WINDOWS\Temp\ZLT02bab.TMP L'objet est verrouillé ignoré
C:\WINDOWS\Temp\ZLT02bc1.TMP L'objet est verrouillé ignoré
C:\WINDOWS\wiadebug.log L'objet est verrouillé ignoré
C:\WINDOWS\wiaservc.log L'objet est verrouillé ignoré
C:\WINDOWS\WindowsUpdate.log L'objet est verrouillé ignoré

Analyse terminée.


Merci,
@ +.

   
Répondre à jutax

9

jorginho67, le 15 aoû 2008 à 19:42:19
  • +1

C'est clean...

Vu que des infections se trouvent dans la restauration systeme, il faut créer un point propre .

Désactive ta "Restauration du système" puis réactive la.

(1) Désactivation

Clique droit sur le "Poste de travail" > Propriétés > onglet "Restauration du système" > coche la case "Désactiver la Restauration du système sur tous les lecteurs" => Appliquer .

Patiente jusqu'a que cela soit marqué "désactivée" puis Ok.

(2) Activation

Suivre le même chemin . décoche la case "Désactiver la Restauration du système sur tous les lecteurs" => Appliquer
.
Attends que cela soit a nouveau sur "surveillance" puis Ok. Redémarre l'ordinateur !

Pour l'histoire de parapluie, je pense justement a une mise a jour pas faite...

Bien souvent, les serveurs sont encombrés et elles ne se font pas.

Je demande a un collègue, je sais qu'il y a une manip' mais je ne me souviens plus...

@+ (00)
_llll_

   
Répondre à jorginho67

10

jutax, le 15 aoû 2008 à 22:21:59

Ok, super ! Je suis content d'en être débarrassé. Mais tu es vraiment sûr hein ?
Sinon, j'ai refais la desactivation/activation de la restauration du système comme tu me l'a conseillé.
Une dernière chose : as-tu une idée pour l'histoire du "installer les mises à jour et éteindre" qui s'affiche ?
J'ai vu que bagle avait modifié l'option dans les mises à jour auto pour qu'elles s'installent automatiquement, alors peut être y-a t'il eu vraiment un màj qui s'est téléchargée sans que je m'en aperçoive, mais je trouve ça louche d'autant plus que je suis presque sûr d'avoir eu ce message une fois où je n'étais pas connecté et que par ailleurs, ne sachant que faire au début, j'ai accepté 2 fois "d'installer les mises à jour et éteindre" et que l'option m'était toujours proposée la fois suivante ...
Voilà, encore merci à toi, ça fait plaisir de trouver des gens altruistes et désintéressés qui savent donner de leur temps, gratuitement, juste pour le plaisir d'aider les autres. C'est pour ça que j'aime le net : un espace de liberté et de solidarité.
Dis-moi si je dois mettre le sujet résolu.
@ +.

   
Répondre à jutax

11

jorginho67, le 15 aoû 2008 à 22:42:24

Deux solutions se présentent :

1)
Un petit rafraichissement du centre de sécurité peut arranger le coup :
Dans Démarrer, Exécuter, tape cmd.

Tape les commandes suivantes en répondant O (Oui) aux demandes de confirmation :

net stop winmgmt ===> Entrée -Cliquer sur o - Entrée
cd /c %windir%\system32\wbem ===> Entrée
rd /s Repository ===> Entrée -Cliquer sur o - Entrée
net start winmgmt ===> Entrée et tu fermes la fenêtre

Après redémarrage du PC, le système met environ une minute à récupérer les informations WMI.
Les informations du centre de sécurité sont à jour.

2)

Désinstaller et réinstaller AVIRA.

Essaye la premiere et tiens moi au courant

@+ (00)
_llll_

   
Répondre à jorginho67

12

jutax, le 16 aoû 2008 à 11:04:00

Bonjour,
alors j'ai essayé de suivre tes instructions mais j'ai quelques soucis.
La ligne 2 ne marche pas pour moi. J'ai un peu fouillé les autres forums en tapant cette ligne dans google et j'ai trouvé une autre version : cd %windir%\system32\wbem (sans le /c). J'ai essayé ça et ça semble fonctionner : je me retrouve dans le bon répertoire.
Mais ensuite, la ligne 3 me pose à nouveau problème. J'obtiens le message suivant : "repository\FS\INDEX.BTR - Le processus ne peut pas accèder au fichier car ce fichier est utilisé par un autre processus." même chose pour index.map, mapping.ver, mapping1.map, mapping2.map, objects.data et objects.map.
Je suppose qu'il faut fermer un programme de plus que celui qui est stoppé à la première ligne de commande, mais je ne sais pas lequel ...
J'ai quand même entré la dernière ligne mais là, j'ai le message suivant : "le service demandé a déjà été démarré".
Voilà, j'attends tes instructions pour la suite,
Merci,
@ +.

   
Répondre à jutax

13

jutax, le 17 aoû 2008 à 19:35:49

Hello,
bon alors j'ai essayé la deuxième méthode, c'est à dire désinstaller et réinstaller antivir, mais le problème du "parapluie fermé" est toujours là.
J'ai lu quelque part que le problème pouvait venir de zonealarm qui bloquerait un "processus" d'antivir, j'ai autorisé l'accès pour tous les morceaux d'antivir qui apparaissaient dans la liste de ZA mais ça n'a rien changé non plus.
Bon, j'ai l'impression que bagle a été éradiqué mais qu'il a fait des dégâts ...
Mon système est instable.
J'ai résolu le problème du "installer les mises à jours et éteindre". Le problème venait d'une mise à jour qui se réinstallait en boucle. D'après microsoft, ce problème se produit quand le système est endommagé ...
J'ai résolu le problème en désinstallant/réinstallant la màj.
Ensuite j'ai installé le SP3, mais cette fois, en redémarrant l'ordi, j'ai eu un message d'erreur "non system disk".
Bref, je suis bien embêté maintenant avec ce système bancal.
Y-a t'il un moyen d'identifier et de réparer les dégâts ?
Je précise que je n'ai pas le cd de windows, ni aucun cd pour réinstaller le SE.
Merci,
@ +.

   
Répondre à jutax

14

jorginho67, le 17 aoû 2008 à 21:21:46

Je précise que je n'ai pas le cd de windows, ni aucun cd pour réinstaller le SE. Aie.....

Il faudrait " réparer " windows, mais il faut le cd...
Je demande dans mon entourage d'autres éventuelles possibilités de réparation (00)
_llll_

   
Répondre à jorginho67

15

 jutax, le 18 aoû 2008 à 11:26:00

Bon ok, je vais essayer de voir du côté de la garantie HP. Peut être aussi du côté microsoft. C'est quand même incroyable de vendre un logiciel sans donner le cd !
En tous cas je te remercie encore jorginho67, je vais mettre ce sujet comme résolu.
@ +.

   
Répondre à jutax
Posez votre question Répondre
Ils ont besoin de votre aide