SOS spyware ou virus tres difficile a traiterFermé

Question

Bonjour,

Cela fait 2 jours que j'essaie de traiter un virus ou peut-être spyware infectes sur mon PC par l'intermédiaire d'un email.
Jusqu'ici, j'ai employé Ad-Aware Plus qui fait le scan et les traite en meme temps + cleaner de PC. Je refais plusieurs fois le scan mais tout cela en vain. Quand je redémarre mon PC, tous les virus reviennent et ne veulent pas s'en aller.
Voici les noms des virus:
- Win32Rootkit.dss
-RKT/TDss.eyj.65
-RKT/TDss.eyj.66
-TR/PCKTDssF135
IL est a noter que ces virus m'empechent de me connecter sur internet, sinon, il prennent mes mots de passe.
Aidez-moi SVP!

Merci beaucoup.

chlen62 · Answer

salut a toijai eu ossi se win32 de merde et le seul moyen que jai trouver c de reformater lordi hier matin lol

chlen62 · Answer

ok bon couraj a toi alors ^^

baluze · Answer

http://www.malekal.com/Rootkit.Win32.Agent.fq.php
voila pour le rootkit
les autres très peu connus google, t'as pas du choper ca sur le site de la redoute...
on ne clique jamais sur un lien dans un mail comme ça, c'est suicidaire.
tu passe d'abord ta souris dessus sans cliquer ca va t'afficher le vrai lien, sic'est pas le m^me ou tu connais pas tu laisses tomber.
télécharge hijackthis et poste un log
mode d'emploi ici
https://forums.cnetfrance.fr

chlen62 · Answer

on en reparlera strick strack^^

Ced_King · Answer

Salut, tu peux telecharger ou pas ?

- Tu es sous vista, il faut desactiver le controle des comptes utilisateurs >> clicc sur " demarrer " > panneau de configuration >> activer/desactiver le controle des comptes, tu le desactives puis tu redemarres l'ordi

- Hijackthis : http://www.trendsecure.com/portal/en-US/tools/Security_tools/hijackthis et enregistres le sur ton bureau
- Clic droit ( executer en tant qu'administrateur) sur le raccourci de ton bureau
- clic sur " Do a scan and save a logfile " >> Le rapport s'ouvre sur le bloc-note
- Copie/colles le et postes son contenu

baluze · Answer

Après tu attends les pros hijackthis ou navilog, ils vont tout t'expliquer.
Ca va venir, patience.

nanee · Answer

Merci pour toutes vos reponses!! Je vais essayer de les faire un a un et je vous tiendrai au courant de la suite...
Je ne vais pas opter pour le formatage pour l'instant. Il parait que ce virus est tres recent et puissant...:(((
A bientot.

Ced_King · Answer

Tu as une clé USB ?

nanee · Answer

Suite: -le combofix.exe ne s'ouvre pas!! Qu'est-ce que je dois faire??? MERCI

Ced_King · Answer

- Telecharges Malwarebytes Anti-Malware 

http://www.malwarebytes.com/mbam/program/mbam-setup.exe

- Avant de lancer l'installation, choisis de renommer le " Mbam-setup.exe " en " nanee.exe " par exemple
- Une fois renommé, lances l'installation, à la fin de celle-ci Mbam se mettra à jour automatiquement
- ( tu le transfert avec ta clé usb sur le pc malade)

- Puis lances Mbam et clic sur " Recherche " >> executes un examen rapide
- A la fin de l'analyse, clic sur " afficher les resultats "
- Puis sur " supprimer la selection ", si mbam doit redemarrer l'ordi pour terminer le nettoyage, acceptes
- Un rapport s'etablira, postes son contenu
.

nanee · Answer

Resultats Hijackthis, si quelqu'un pourrait analyser ça SVP:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 7:31:45 PM, on 3/4/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16791)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\System32	cpsvcs.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Lavasoft\Ad-Aware\AAWTray.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\explorer.exe
D:\Pisobe.exe.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.spywarebot-t.com/AntiSpyware
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://centurylink.net/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://www.aol.com/
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAudPropShortcut.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exe
O4 - HKLM\..\Run: [UpdateManager] "c:\Program Files\Common Files\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Ad-Watch] C:\Program Files\Lavasoft\Ad-Aware\AAWTray.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O9 - Extra button: (no name) - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~4\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: Qwest Live - {18B18956-A8D6-43D6-8B34-9CBC0CEA773A} - https://centurylink.net/ (file missing) (HKCU)
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://download.divx.com/player/DivXBrowserPlugin.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: iPod Service - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe

DeNisCoOl · Answer

salut nanee,

Ça part un peu dans tous les sens, continue la désinfection ici, la solution est proche.
Un petit conseil, pour la clarté et l'efficacité, comme beaucoup de monde intervient ici, dans une désinfection ne jamais utiliser le bouton répondre à sinon les messages se retrouvent en vrac.

Pour tout remettre à plat, comme indiqué par malekal :

1-- Combofix il y a quelque chose que je ne comprends pas, le rapport arrive incomplet et avant que la machine ne soit désinfecté.
nanee, le jeudi 5 mars 2009 à 02:10:51
Resultats combofix:....  

nanee, le jeudi 5 mars 2009 à 02:23:39
Le PC malade est entrain de se faire analyser par Combofix!!

2-- Malwarebytes Antimalware à faire, suivre procédure de Ced-King --> ICI <--

3-- Scan en ligne je conseillerais Kaspersky
4-- Ensuite nettoyage base de registre et fichiers temporaire, je conseillerais Wise Registry Cleaner et Disk Cleaner.
5-- Terminer uniquement par HJThis par principe ou en cas de problème persistant, car les infections détecté par Avast ne semble être que des rootkit et HJThis ne les détecte pas


-- En attendant le rapport MB'AM:

Relancer HiJackthis cliquer sur Do a scan only et cocher les lignes en gras:


O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O9 - Extra button: Qwest Live - {18B18956-A8D6-43D6-8B34-9CBC0CEA773A} - https://centurylink.net/ (file missing) (HKCU)


Comment fixer une ligne: (Merci a Balltrap34 pour cette réalisation vidéo) 
http://pagesperso-orange.fr/rginformatique/section%20virus/demohijack.htm
Fermer toutes tes applications et ton navigateur puis fix checked.


-- Ah une autre chose, Avast et Ad-aware ne sont plus le meilleur couple pour être le mieux protégé depuis pratiquement 2ans.
Comme les AV ne pas utiliser 2 bouclier temps réel AS (Ad-aware et Spybot)

A+

Denis

SOS spyware ou virus tres difficile a traiter

12 réponses

Discussions similaires

Newsletters