Infection par virtumondeRésolu/Fermé

Question

Bonjour,
Mon ordinateur est infecté par virtumonde.
J'ai nettoyé mon ordi avec ad-aware et mon antivirus : NOD32. Aujourd'hui il n'apparait plus lorsque je scanne avec NOD32, mais je viens d'utiliser Hijackthis et il me semble qu'il apparait encore.
Que dois-je faire

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:12:45, on 18/01/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\agrsmsvc.exe
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\Intel\Intel Matrix Storage Manager\IAANTMon.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\Program Files\Eset
od32krn.exe
C:\Program Files\PDF Complete\pdfsvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\SearchIndexer.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Program Files\Analog Devices\Core\smax4pnp.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\system32\AccelerometerSt.Exe
C:\Program Files\Intel\Intel Matrix Storage Manager\iaanotif.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe
C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe
C:\Program Files\Eset
od32kui.exe
C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Fichiers communs\LightScribe\LightScribeControlPanel.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\uTorrent\uTorrent.exe
C:\Program Files\Power Soft\Freebie Notes\FreebieNotes.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\Com4QLBEx.exe
C:\Program Files\Windows Desktop Search\WindowsSearch.exe
C:\Program Files\OpenOffice.org 2.4\program\soffice.exe
C:\Program Files\OpenOffice.org 2.4\program\soffice.BIN
C:\Program Files\Hewlett-Packard\Shared\HpqToaster.exe
C:\Program Files\Lavasoft\Ad-Aware\AAWTray.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\Program Files\Skype\Toolbars\Shared\SkypeNames.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.update.microsoft.com/windowsupdate/v6/default.aspx
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\wscript.exe C:\WINDOWS\system32\sys.vbs
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {46924112-BF84-41FB-95CC-F9051FB59828} - C:\WINDOWS\system32qRIxvTM.dll (file missing)
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: {770ec089-f951-14a9-de04-5283140e3add} - {dda3e041-3825-40ed-9a41-159f980ce077} - C:\WINDOWS\system32\pyrkcv.dll (file missing)
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: (no name) - {EF783F5D-2305-4617-BD82-08AAEBBE61AC} - C:\WINDOWS\system32\jkkLDUND.dll (file missing)
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [SoundMAX] C:\Program Files\Analog Devices\SoundMAX\Smax4.exe /tray
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [AccelerometerSysTrayApplet] C:\WINDOWS\system32\AccelerometerSt.Exe
O4 - HKLM\..\Run: [IAAnotif] C:\Program Files\Intel\Intel Matrix Storage Manager\iaanotif.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [QlbCtrl.exe] C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start
O4 - HKLM\..\Run: [Cpqset] C:\Program Files\Hewlett-Packard\Default Settings\cpqset.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [PDF Complete] C:\Program Files\PDF Complete\pdfsty.exe
O4 - HKLM\..\Run: [hpWirelessAssistant] C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
O4 - HKLM\..\Run: [WatchDog] C:\Program Files\InterVideo\DVD Check\DVDCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [f49ad395] rundll32.exe "C:\WINDOWS\system32\darunuwe.dll",b
O4 - HKLM\..\Run: [CPMf7a9e009] Rundll32.exe "c:\windows\system32\kafawagi.dll",a
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset
od32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [LightScribe Control Panel] C:\Program Files\Fichiers communs\LightScribe\LightScribeControlPanel.exe -hidden
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [uTorrent] "C:\Program Files\uTorrent\uTorrent.exe"
O4 - HKCU\..\Run: [Google Update] "C:\Documents and Settings\HP\Local Settings\Application Data\Google\Update\GoogleUpdate.exe" /c
O4 - HKCU\..\Run: [Freebie Notes] "C:\Program Files\Power Soft\Freebie Notes\FreebieNotes.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: LimeWire On Startup.lnk = C:\Program Files\LimeWire\LimeWire.exe
O4 - Startup: OpenOffice.org 2.4.lnk = C:\Program Files\OpenOffice.org 2.4\program\quickstart.exe
O4 - Global Startup: Adobe Acrobat Speed Launcher.lnk = ?
O4 - Global Startup: DVD Check.lnk = C:\Program Files\InterVideo\DVD Check\DVDCheck.exe
O4 - Global Startup: Windows Search.lnk = C:\Program Files\Windows Desktop Search\WindowsSearch.exe
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre6\bin\jp2iexp.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre6\bin\jp2iexp.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/...
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: c:\windows\system32\kafawagi.dll
O20 - Winlogon Notify: jkkLDUND - jkkLDUND.dll (file missing)
O21 - SSODL: SSODL - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - (no file)
O22 - SharedTaskScheduler: STS - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - (no file)
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) - Agere Systems - C:\WINDOWS\system32\agrsmsvc.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Com4QLBEx - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\Com4QLBEx.exe
O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\IAANTMon.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset  - C:\Program Files\Eset
od32krn.exe
O23 - Service: PDF Document Manager (pdfcDispatcher) - PDF Complete Inc - C:\Program Files\PDF Complete\pdfsvc.exe
O23 - Service: RoxMediaDB10 - Sonic Solutions - C:\Program Files\Fichiers communs\Roxio Shared\10.0\SharedCOM\RoxMediaDB10.exe
O23 - Service: stllssvr - MicroVision Development, Inc. - C:\Program Files\Fichiers communs\SureThing Shared\stllssvr.exe

Utilisateur anonyme · Answer

Salut,

Il ne s'agit apparemment que de traces (les fichiers ont été neutralisés), on va les supprimer :


• Télécharge Malwarebytes' Anti-Malware (MBAM)

• Double clique sur mbam-setup.exe pour lancer l'installation

• Laisse les options par défaut lors de l'installation

• Lance MBAM et laisse les Mises à jour se télécharger

• Va dans l'onglet Recherche, choisis "Exécuter un examen complet" puis clique sur Rechercher
Note : le scan peut durer plusieurs heures en fonction de la quantité de données présente sur ton PC

• A la fin du scan, clique sur Afficher les résultats

• Coche tous les éléments détectés puis clique sur Supprimer la sélection

• S'il t'est demandé de redémarrer, clique sur Yes

• Un rapport va s'ouvrir, copie/colle le dans ta réponse

&#9650; Le rapport se trouve dans l'onglet Rapports/Logs de MBAM

neo*** · Answer

salut

Télécharge Malwarebytes’ Anti-Malware 

- Sur la page cliques sur Télécharger Malwarebyte’s Anti-Malware 
- Enregistres le sur le bureau 
- Double cliques sur le fichier téléchargé pour lancer le processus d’installation 
- Mets le a jour /!\  
-  Double-cliques sur l’icône de malwarebytes pour le relancer 
- Dans l’onglet, Recherche, probablement ouvert par défaut, 
- Sélectionne Exécuter un examen complet et Rechercher 
- Si des malwares ont été détectés, cliques sur Afficher les résultats 
- Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
- Colle le rapport ici, il se trouve dans l’onglet rapport/log

Si tu as besoin d’aide regarde ce tutorial 

https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
ps: s'il te demande de redemarrer : fais le !

neo*** · Answer

salut sans filet, je te laisse , bonne continuation ;)

sugarju · Answer

Salut,
c'est sympa de m'aider :)

voici le rapport :

Malwarebytes' Anti-Malware 1.44
Version de la base de données: 3588
Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

18/01/2010 19:13:51
mbam-log-2010-01-18 (19-13-51).txt

Type de recherche: Examen complet (C:\|)
Eléments examinés: 236632
Temps écoulé: 58 minute(s), 33 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 9
Valeur(s) du Registre infectée(s): 4
Elément(s) de données du Registre infecté(s): 3
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 3

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{dda3e041-3825-40ed-9a41-159f980ce077} (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{dda3e041-3825-40ed-9a41-159f980ce077} (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{ef783f5d-2305-4617-bd82-08aaebbe61ac} (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\jkkldund (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{ef783f5d-2305-4617-bd82-08aaebbe61ac} (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\dslcnnct (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\f49ad395 (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\cpmf7a9e009 (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler\{ec43e3fd-5c60-46a6-97d7-e0b85dbdd6c4} (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\ssodl (Trojan.BHO) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\WINDOWS\system32\pyrkcv.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\jkkLDUND.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\mcrh.tmp (Malware.Trace) -> Quarantined and deleted successfully.

Utilisateur anonyme · Answer

Ok, on va analyser ton PC :

• Télécharge RSIT de Random/Random, et enregistre le sur ton Bureau.

• Sous XP : Double clique sur RSIT.exe
• Sous Vista/7 : Fais un clic droit sur RSIT.exe et sélectionne "Exécuter en tant qu'administrateur"

• Clique sur Continue à l'écran Disclaimer.

• Si l'outil HijackThis n'est pas présent sur ton PC, RSIT le téléchargera (autorise l'accès dans ton pare-feu s'il te le demande) et tu devras accepter la licence en cliquant sur le bouton accept.

• Une fois le scan terminé, deux rapports vont apparaître : poste les dans deux messages séparés.

&#9650; Les rapports sont sauvegardés dans C:\rsit\info.txt et C:\rsit\log.txt

&#9658; Aide en images

sugarju · Answer

Petite question en rapport avec les effets de virtumonde.
Depuis dimanche ma connexion internet freebox fonctionne au ralentit.
La bande passante est à 1MG alors que normalement nous sommes à 28 MG.
D'après la hotline de free, cela viendrait de chez nous. Il a évoqué la possibilité d'un virus qui ralentit la connexion. Est- ce possible que ce soit virtumonde ?

merci d'avance :)

Utilisateur anonyme · Answer

Cà me paraît quand même assez énorme comme différence.
On va encore faire quelques vérifications afin de s'assurer que ton PC soit clean.

Utilisateur anonyme · Answer

On a pas encore fini !

Note : tu as une infection qui se propage par les disques amovibles.

• Télécharge USBFix (de El Desaparecido et C_XX) sur ton Bureau

• Sous XP : Double clique sur UsbFix.exe
• Sous Vista/7 : Fais un clic droit sur UsbFix.exe et sélectionne "Exécuter en tant qu'administrateur"

• Appuie sur la touche F pour sélectionner le français et valide avec la touche Entrée.

• Choisis l'option "Recherche" en appuyant sur la touche 1 et valide avec la touche Entrée

• Branche à ton PC tes disques amovibles (clé USB, disque dur externe, lecteur MP3, téléphone, etc...) susceptibles d'avoir été infectés sans les ouvrir quand l'outil te le demande et clique sur le bouton OK

• Patiente pendant que l'outil travaille

• A la fin du scan un rapport va s'ouvrir, copie/colle le dans ta réponse

&#9650; Le rapport est sauvegardé dans C:\UsbFix.txt

Note :
    Process.exe est détecté par certains antivirus comme étant un RiskTool.
    Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.

Tutoriel recherche en images

Utilisateur anonyme · Answer

Bien, la suite :

• Relance UsbFix.exe

• Appuie sur la touche F pour sélectionner le français et valide avec la touche Entrée.

• Choisis l'option "Suppression" en appuyant sur la touche 2 et valide avec la touche Entrée

• Branche à ton PC tes disques amovibles (clé USB, disque dur externe, lecteur MP3, téléphone, etc...) susceptibles d'avoir été infectés sans les ouvrir quand l'outil te le demande et clique sur le bouton OK

• Patiente pendant que l'outil travaille

• A la fin de la suppression un rapport va s'ouvrir, copie/colle le dans ta réponse

&#9650; Le rapport est sauvegardé dans C:\UsbFix.txt

Tutoriel suppression en images

sugarju · Answer

Voici le rapport :


############################## | UsbFix V6.074 |

User : HP (Administrateurs) # CRG
Update on 15/01/2010 by El Desaparecido , C_XX & Chimay8
Start at: 22:44:24 | 18/01/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Genuine Intel(R) CPU             575  @ 2.00GHz
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Enabled
AV : NOD32 Antivirus System 2.50 2.50 [ Enabled | Updated ]

C:\ -> Disque fixe local # 232,88 Go (191,79 Go free) # NTFS
D:\ -> Disque CD-ROM
E:\ -> Disque fixe local # 76,69 Go (1,44 Go free) [June disque dur externe] # NTFS

############################## | Processus actifs |

C:\WINDOWS\System32\smss.exe 784
C:\WINDOWS\system32\csrss.exe 868
C:\WINDOWS\system32\winlogon.exe 892
C:\WINDOWS\system32\services.exe 936
C:\WINDOWS\system32\lsass.exe 948
C:\WINDOWS\system32\svchost.exe 1096
C:\WINDOWS\system32\svchost.exe 1176
C:\WINDOWS\System32\svchost.exe 1220
C:\WINDOWS\system32\svchost.exe 1268
C:\WINDOWS\system32\svchost.exe 1328
C:\WINDOWS\system32\logonui.exe 1364
C:\WINDOWS\system32\userinit.exe 1772
C:\WINDOWS\system32\WgaTray.exe 1796
C:\WINDOWS\Explorer.EXE 1816
C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe 1832
C:\WINDOWS\system32\spoolsv.exe 2008
C:\WINDOWS\System32\SCardSvr.exe 184
C:\WINDOWS\system32\svchost.exe 280
C:\WINDOWS\system32\agrsmsvc.exe 316
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe 424
C:\Program Files\Intel\Intel Matrix Storage Manager\IAANTMon.exe 580
C:\Program Files\Java\jre6\bin\jqs.exe 628
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe 704
C:\Program Files\Eset
od32krn.exe 740
C:\Program Files\PDF Complete\pdfsvc.exe 756
C:\WINDOWS\system32\svchost.exe 1116
C:\WINDOWS\system32\SearchIndexer.exe 1556
C:\WINDOWS\system32\wscntfy.exe 1252
C:\WINDOWS\system32\wbem\wmiprvse.exe 1584

################## | Elements infectieux |

Supprimé ! C:\DOCUME~1\HP\LOCALS~1\Temp\utt318D.tmp.exe 
Supprimé ! C:\DOCUME~1\HP\LOCALS~1\Temp\Setup.exe 
Supprimé ! C:\Recycler\S-1-5-21-1275210071-1682526488-839522115-1003 
Supprimé ! E:\$Recycle.Bin\S-1-5-21-3848473508-3159110581-1042385915-1000 
Supprimé ! E:\Recycler\S-1-5-21-1275210071-1682526488-839522115-1003 
Supprimé ! E:\Recycler\S-1-5-21-343818398-1801674531-682003330-1004 
Supprimé ! E:\Recycler\S-1-5-21-821871856-4075899123-3147272239-1005 

################## | Registre |

Supprimé ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System] "DisableTaskMgr"  
Supprimé ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoFolderOptions"  

################## | Mountpoints2 |

Supprimé ! HKCU\...\Explorer\MountPoints2\{1cc8f53e-e283-11de-9d5f-002264595709}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{4660b4aa-dbd0-11dd-9d0a-0021006c61f6}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{49af4af8-5c37-11de-9d3f-002264595709}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{7c9d01e6-c580-11de-9d4c-002264595709}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{845bce62-db2e-11de-9d59-002264595709}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{a87c47bc-df45-11dd-9d0e-0021006c61f6}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{b7af4689-e149-11dd-9d0f-0021006c61f6}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{b7af468a-e149-11dd-9d0f-0021006c61f6}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{bb1c1499-f290-11dd-9d21-0021006c61f6}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{dd877c66-d525-11de-9d53-002264595709}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{ef878b2a-5ca7-11de-9d40-002264595709}\Shell\AutoRun\Command  

################## | Listing des fichiers présent |

[18/01/2010 22:44|--a------|1356] C:\aaw7boot.log 
[30/12/2008 10:00|--a------|0] C:\AUTOEXEC.BAT 
[30/12/2008 11:28|--a------|86] C:\bcmwl5.log 
[26/11/2009 10:53|--a------|87] C:\bcmwl6.log 
[30/12/2008 09:56|---hs----|212] C:\boot.ini 
[02/03/2006 12:00|-rahs----|4952] C:\Bootfont.bin 
[30/12/2008 10:16|--a------|164] C:\chicony.log 
[30/12/2008 10:00|--a------|0] C:\CONFIG.SYS 
[30/12/2008 10:12|--a------|161] C:\esuinst.log 
[30/12/2008 10:05|--a------|198] C:\esu_xpsp2.log 
[?|?|?] C:\hiberfil.sys 
[30/12/2008 11:16|--a------|169] C:\HSC.log 
[30/12/2008 10:15|--a------|108986] C:\intel_chipset.log 
[30/12/2008 10:16|--a------|259976] C:\intel_msm.log 
[30/12/2008 10:00|-rahs----|0] C:\IO.SYS 
[21/08/2003 14:11|---------|2736] C:\LANG.INI 
[30/12/2008 10:00|-rahs----|0] C:\MSDOS.SYS 
[02/03/2006 12:00|-rahs----|47564] C:\NTDETECT.COM 
[30/12/2008 11:39|-rahs----|252240] C:
tldr 
[29/02/2004 16:44|--a------|52576] C:\orange.bmp 
[?|?|?] C:\pagefile.sys 
[30/12/2008 11:16|--a------|2248] C:\pdfco.log 
[30/12/2008 10:12|--a------|227] C:\sedinst2.log 
[30/12/2008 11:28|--a------|189] C:\setup.log 
[30/12/2008 11:28|--a------|24840] C:\sunjava.log 
[30/12/2008 10:18|--a------|190] C:\syntpad.log 
[18/01/2010 22:48|--a------|5258] C:\UsbFix.txt 
[14/01/2010 22:52|--a------|81789952] E:\backupoutlook.pst 

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix.  
# E:\autorun.inf -> Dossier créé par UsbFix.  

################## | Crack > Keygen > Serial |


################## | Upload | 

Veuillez envoyer le fichier : C:\DOCUME~1\HP\Bureau\UsbFix_Upload_Me_CRG.zip : https://www.ionos.fr/?affiliate_id=77097 
Merci pour votre contribution .

Utilisateur anonyme · Answer

Un nouveau petit rapport rsit stp :)

Utilisateur anonyme · Answer

La suite :

•  Télécharge OTM (de Old_Timer) sur ton Bureau

• Sous XP : Double clique sur OTM.exe
• Sous Vista : Fais un clic droit sur OTM.exe et sélectionne "Exécuter en tant qu'administrateur"

• Copie la liste ci-dessous et colle-la dans le cadre jaune (celui de gauche) de OTM sous Paste Instructions for Items to be Moved





:Services

:files
c:\windows\system32\kafawagi.dll

:reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLS"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{EF783F5D-2305-4617-BD82-08AAEBBE61AC}"=-
"{7de72cff-9084-47ad-9b91-13aa6db39200}"=-

:commands
[emptytemp]




• Clique sur le bouton MoveIt! pour lancer la suppression.

• Clique sur le bouton YES pour redémarrer le PC

• Un rapport s'ouvre au redémarrage du PC, copie/colle le dans ta réponse

&#9650; Le rapport est sauvegardé dans C:\_OTM\MovedFiles

Utilisateur anonyme · Answer

On continue (on a bientôt fini ;) ):

• Sous XP : Double clique sur HijackThis qui se trouve ici ==> C:\Program Files	rend micro\.exe
• Sous Vista/7 : Fais un clic droit et choisis exécuter en tant qu'administrateur sur HijackThis qui se trouve ici ==> C:\Program Files	rend micro\.exe

• Clique sur Do a system Scan only

• Coche les cases suivantes (si elles sont présentes) :




O2 - BHO: (no name) - {46924112-BF84-41FB-95CC-F9051FB59828} - C:\WINDOWS\system32qRIxvTM.dll (file missing)
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [PDF Complete] C:\Program Files\PDF Complete\pdfsty.exe
O4 - HKLM\..\Run: [WatchDog] C:\Program Files\InterVideo\DVD Check\DVDCheck.exe
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKCU\..\Run: [LightScribe Control Panel] C:\Program Files\Fichiers communs\LightScribe\LightScribeControlPanel.exe -hidden
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Google Update] "C:\Documents and Settings\HP\Local Settings\Application Data\Google\Update\GoogleUpdate.exe" /c
O4 - Startup: OpenOffice.org 2.4.lnk = C:\Program Files\OpenOffice.org 2.4\program\quickstart.exe
O4 - Global Startup: Adobe Acrobat Speed Launcher.lnk = ?
O4 - Global Startup: DVD Check.lnk = C:\Program Files\InterVideo\DVD Check\DVDCheck.exe



Si tu ne souhaites pas que ùtorrent et limwire se lancent au démarrage, tu peux aussi cocher ces lignes :


O4 - HKCU\..\Run: [uTorrent] "C:\Program Files\uTorrent\uTorrent.exe"
O4 - Startup: LimeWire On Startup.lnk = C:\Program Files\LimeWire\LimeWire.exe




• Clique sur Fix checked puis sur "Oui" dans la fenêtre d'avertissement

• Ferme HijackThis 


On va supprimer les différents outils utilisés :

• Télécharge ToolsCleaner sur ton Bureau

• Sous XP : Double clique sur ToolCleaner2.exe
• Sous Vista/7 : Fais un clic droit sur ToolCleaner2.exe et sélectionne "Exécuter en tant qu'administrateur"

• Clique sur Recherche et patiente pendant le scan

• Clique sur Suppression pour supprimer les outils

• Clique sur Quitter, un rapport va s'ouvrir, copie/colle le dans ta réponse

&#9650; Le rapport est sauvegardé dans C:\TCleaner.txt


Tu peux supprimer ToolsCleaner2.exe

Utilisateur anonyme · Answer

Ce rapport n'est pas trop important, toolscleaner permettant de supprimer les outils utilisés, vérifie par exemple que le dossier c:\rsit n'est plus présent, si c'est le cas, Toolscleaner a bien travaillé.

Utilisateur anonyme · Answer

Tu peux supprimer UsbFix manuellement et tu pourras conserver Malwarebytes.
Je vérifie un dernier point et on pourra conclure.

Utilisateur anonyme · Answer

Encore une petite manip avant de conclure (merci à fix200 pour les infos) :

•  Télécharge OTM (de Old_Timer) sur ton Bureau

• Sous XP : Double clique sur OTM.exe
• Sous Vista : Fais un clic droit sur OTM.exe et sélectionne "Exécuter en tant qu'administrateur"

• Copie la liste ci-dessous et colle-la dans le cadre jaune (celui de gauche) de OTM sous Paste Instructions for Items to be Moved





:Services

:files

:reg
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
"Authentication Packages"=hex(7):6d,73,76,31,5f,30,00,00
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"appinit_dlls"=""

:commands





• Clique sur le bouton MoveIt! pour lancer la suppression.

• Clique sur le bouton YES pour redémarrer le PC

• Un rapport s'ouvre au redémarrage du PC, copie/colle le dans ta réponse

&#9650; Le rapport est sauvegardé dans C:\_OTM\MovedFiles

Utilisateur anonyme · Answer

Bien, tu peux supprimer OTM.exe présent sur ton bureau et le dossier C:\_OTM.

Puis :

Suppression des points de restauration :
• Clique sur Démarrer
• Clique droit sur Poste de travail
• Clique sur Propriétés
• Clique sur l'onglet Restauration du système
• Clique sur Restauration système
• Coche la case Désactiver la Restauration du système sur tous les lecteurs
• Clique sur Appliquer
• Clique sur Oui au message "Voulez-vous vraiment déactiver la restauration système ?"
• Décoche la case Désactiver la Restauration du système sur tous les lecteurs
• Clique sur Appliquer
• Clique sur OK

Création d'un nouveau point de restauration :
• Clique sur Démarrer
• Clique sur Programmes
• Clique sur Accessoires
• Clique sur Outils système
• Clique sur Restauration système
• Active la restauration si un message le demande
• Sélectionne Créer un point de restauration
• Clique sur Suivant
• Entre une Description
• Clique sur Créer
• Clique sur Fermer


Nettoyage des fichiers temporaires et de la base de registre :

• Télécharge Ccleaner

• Lance l'installation en double cliquant sur le fichier téléchargé

• Laisse les options par défaut lors de l'installation

• Lance Ccleaner

• Clique sur le bouton Nettoyer et clique sur OK dans la fenêtre d'avertissement

• Clique sur l'onglet Registre

• Clique sur le bouton Chercher les erreurs

• Clique sur le bouton Corriger les erreurs sélectionnées

• Refais la recherche d'erreurs jusqu'à ce qu'il n'en trouve plus

Utilisateur anonyme · Answer

Bien, on passe aux mises à jour :

Java : 

    • Télécharge JavaRa.zip
	
    • Décompresse le fichier sur ton bureau (clique droit > Extraire tout.)
	
    • Double-clique sur le répertoire JavaRa obtenu.
	
    • Puis double-clique sur le fichier JavaRa.exe (le .exe peut ne pas s'afficher)
	
    • Clique sur Search For Updates.
	
    • Sélectionne Update Using jucheck.exe puis clique sur Search.
	
    • Autorise le processus à se connecter s'il te le demande, clique sur Install et suis les instructions d'installation. Cela prendra quelques minutes.
	
    • Quand l'installation est terminée, revient à l'écran de JavaRa et clique sur Remove Older Versions.
	
    • Clique sur Oui pour confirmer. L'outil va travailler, clique ensuite sur Ok, puis une deuxième fois sur Ok.
	
    • Un rapport va s'ouvrir, copie-colle le dans ta prochaine réponse.
	
    * Note : le rapport se trouve aussi là : ( C:\JavaRa.log )
	
    • Ferme l'application
    

Acrobat Reader :

• Lance Acrobat Reader

• Va dans le menu Aide puis Rechercher les mises à jour

• Accepte l'installation des différentes mises à jour trouvées

Utilisateur anonyme · Answer

Pour finir :

Pour vérifier que tes logiciels soient à jour, tu peux utiliser régulièrement Update Checker comme ceci :

• Télécharge Update Checker de FileHippo.com sur ton bureau

• Exécute UpdateChecker.exe et patiente pendant qu'il vérifie les versions de tes logiciels installés

• Une page internet va s'ouvrir avec les mises à jour disponible

• Clique sur les flèches vertes pour accéder aux nouvelles mises à jour que tu souhaites installer (n'installe pas les programmes betas)


/!\ Tu as des logiciels de P2P présent sur ton PC, sache qu'une grande partie des infections s'attrape par le biais des réseaux de P2P, soit donc très vigilant concernant les fichiers que tu pourrais télécharger.

A lire : Le danger des cracks


Tu peux désinstaller Ad-Aware de Lavasoft qui est obsolète en passant par le menu démarrer, le panneau de configuration puis ajout/suppression de programmes.


Tu peux garder Malwarebytes et Ccleaner afin de faire un scan de temps en temps avec.


Je te conseille ces extensions pour améliorer la sécurité de Firefox :

• WOT (Web Of Trust) : cette extension permettra de savoir, quand tu accèdes à un site ou en faisant une recherche sur Google, s'il s'agit d'un site de confiance ou au contraire à éviter.
Lien de l'extension : https://addons.mozilla.org/fr/firefox/addon/wot-safe-browsing-tool/

• Adblock Plus : cette extension permet de bloquer les pages ou bannières publicitaires. Cela permet de ne pas être envahit par toutes les publicités et accélère l'accès aux pages web.
Lien de l'extension : https://addons.mozilla.org/fr/firefox/addon/adblock-plus/


Si tu n'as plus d'autre problème/question, merci de mettre le sujet en résolu.

fred691 · Answer

salut ,

regarde ici :) : https://www.commentcamarche.net/faq/6862-supprimer-le-trojan-vundo-virtumonde

Utilisateur anonyme · Answer

De rien, merci d'être resté jusqu'au bout.
Peut être à une prochaine.

Infection par virtumonde

21 réponses

Discussions similaires

Newsletters