Virtumonde Favorit : suspicion éradicationRésolu/Fermé

Question

Bonjour,  

J'ai, cette nuit, demandé à Spybot S&D de vérifier mon PC Dell Inspiron I1720 ; verdict affiché ce matin :  
Félicitations! Aucun mouchard n'a été trouvé !  

Néanmoins, précédaient 514 messages Erreur lors des vérifications! :  
- 1-511: Microsoft.Windows.RedirectedHosts [nnn - §hex_Addr] (Cannot open file "C:\Windows\System32\drivers\etc\hosts". Accès refusé)  
- 512: Dummy [1 - §649C5A6E] (Cannot open file "C:\Windows\System32\drivers\etc\hosts". Accès refusé)  
- 513: Dummy [1 - §649C5A6E] (Cannot open file "C:\Windows\System32\drivers\etc\hosts". Accès refusé)  
- 514: Virtumonde.sdn [5033 - §0C71C5B8] (Cannot open file "C:\Windows\System32\drivers\etc\hosts". Accès refusé)  

Ça faisait un bout de temps que je n'avais demandé à Spybot de vacciner :(  
Hier, j'ai laissé ouverte ma hotmail-box toute la journée, chose que je ne fais jamais. Comme, avant d'éteindre le PC, j'avais remarqué qu'il ramait inhabituellement (beaucoup d'activité sur le disque dur mais, avec Vista, on peut s'attendre à celà et à de tout !!!) :  
1. j'ai demandé à Malekal_Morte (free), base updatée, de faire un scan rapide (en MSE et en tant qu'admin) : verdict = pas de saloperie...  
2. j'ai mis à jour la base de Spybot puis lui ai fait faire un scan complet dont je livre le verdict supra.  
3. Je viens de "vacciner".  
4. J'ai alors effectué un scan par Avira AntiVir qui m'a laissé le diagnostic suivant : les 2 avertissements usuels + celui-ci :  
C:\Users\venus\Downloads\OOo_3.1.0_Win32Intel_install_fr.exe.part  
  [0] Type d'archive: NSIS  
    --> e  
      [1] Type d'archive: CAB (Microsoft)  
      --> crashrep.exe  
        [AVERTISSEMENT] Aucun autre fichier n'a pu être décompressé de cette archive. L'archive est refermée.  


1. Faut-il recréer le Host file et comment ?  
2. Je suppose qu'il faudra éradiquer les saloperies associées à Virtumonde mais je ne prends pas sur moi d'exécuter tout seul Navilog1 sans être monitoré.  
3. Est-ce le fait de ne plus avoir "vacciné" via Spybot qui m'a peut-être "offert" à l'"infection" ?  
4. Quelle est la meilleure prévention possible pour ne plus se faire coller cet adware Favorit à l'insu de notre plein gré ? Note : il faut dire qu'avec ABP on n'a pas conscience de la haute ou de la basse activité des Adwares sur notre petite bécane adorée !!!   

Merci pour une guidance !  

Configuration: Dell I1720 - Windows Vista SP2 - FireFox 3.6, sinon Safari, sinon IE 8

La supériorité du QI ne compense pas la médiocrité du coe­ur.

CCMclaude · Answer

Commentaire ajouté au sujet.
 
Je viens d'effectuer un ZHPDiag dont le diagnostic est déposé chez Cijoint.fr : 
ZHPDiag.txt 

O2 en bleu :
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} . (.Pas de propriétaire - Pas de description.) -- (.not file.) 

O53 en rouge : 
O53 - SMSR:HKLM\...\startupreg\SearchSettings  [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\pdfforge Toolbar\SearchSettings.exe 

O64 en bleu :
O64 - Services: CurCS - (.not file.) - aswFsBlk (aswFsBlk)  .(.Pas de propriétaire - Pas de description.) - LEGACY_ASWFSBLK 
O64 - Services: CurCS - (.not file.) - avast! Self Protection (aswSP)  .(.Pas de propriétaire - Pas de description.) - LEGACY_ASWSP 
O64 - Services: CurCS - (.not file.) - avast! Network Shield Support (aswTdi)  .(.Pas de propriétaire - Pas de description.) - LEGACY_ASWTDI 
O64 - Services: CurCS - (.not file.) - AVG Anti-Spyware Clean Driver (AvgAsCln)  .(.Pas de propriétaire - Pas de description.) - LEGACY_AVGASCLN 
O64 - Services: CurCS - (.not file.) - Beep (Beep)  .(.Pas de propriétaire - Pas de description.) - LEGACY_BEEP 
O64 - Services: CurCS - (.not file.) - catchme (catchme)  .(.Pas de propriétaire - Pas de description.) - LEGACY_CATCHME 
O64 - Services: CurCS - (.not file.) - FAT12/16/32 File System Driver (fastfat)  .(.Pas de propriétaire - Pas de description.) - LEGACY_FASTFAT 
O64 - Services: CurCS - (.not file.) - File Security Driver (IKFileSec)  .(.Pas de propriétaire - Pas de description.) - LEGACY_IKFILESEC 
O64 - Services: CurCS - (.not file.) - System Filter Driver (IKSysFlt)  .(.Pas de propriétaire - Pas de description.) - LEGACY_IKSYSFLT 
O64 - Services: CurCS - (.not file.) - System Security Driver (IKSysSec)  .(.Pas de propriétaire - Pas de description.) - LEGACY_IKSYSSEC 
O64 - Services: CurCS - (.not file.) - mchInjDrv (mchInjDrv)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MCHINJDRV 
O64 - Services: CurCS - (.not file.) - McAfee Inc. (mfeavfk)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MFEAVFK 
O64 - Services: CurCS - (.not file.) - McAfee Inc. (mfebopk)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MFEBOPK 
O64 - Services: CurCS - (.not file.) - McAfee Inc. (mfehidk)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MFEHIDK 
O64 - Services: CurCS - (.not file.) - McAfee Inc. (mfehidk01)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MFEHIDK01 
O64 - Services: CurCS - (.not file.) - McAfee Inc. (mferkdk)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MFERKDK 
O64 - Services: CurCS - (.not file.) - McAfee Inc. (mfesmfk)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MFESMFK 
O64 - Services: CurCS - (.not file.) - MPFP (MPFP)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPFP 
O64 - Services: CurCS - (.not file.) - Security Driver (secdrv)  .(.Pas de propriétaire - Pas de description.) - LEGACY_SECDRV 
O64 - Services: CurCS - (.not file.) - Security Processor Loader Driver (spldr)  .(.Pas de propriétaire - Pas de description.) - LEGACY_SPLDR 

O66 en bleu :
O66 - EventLog: ID=455 (ESENT) - (.Pas de propriétaire - Pas de description.) -- C:\Windows\system32\CatRoot2\edb001B2.log (.not file.) 

---\ Infection BT - BHO/Toolbar (Possible) 
O53 - SMSR:HKLM\...\startupreg\SearchSettings  [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\pdfforge Toolbar\SearchSettings.exe 

sKe69 est-il amateur ?

CCMclaude · Answer

UP

dédétraqué · Answer

Salut CCMclaude


On va vérifier cela, télécharge RSIT (de random/random) sur le bureau ici :
http://images.malwareremoval.com/random/RSIT.exe

- Double clique sur RSIT.exe qui est sur le bureau
- Clique sur Continue dans la fenêtre
- RSIT téléchargera HijackThis si il n'est pas présent où détecté, alors il faudra accepter la licence
- Poste le contenue des deux rapports, log.txt et info.txt(réduit dans la barre des tâches) à la fin de l'analyse

Les rapports sont dans le dossier ici C:\rsit


@++ :)

dédétraqué · Answer

Salut CCMclaude


Je me demande s'il ne s'agit pas de traces de merdouilles résiduelles ; j'ai lu la doc de Spybot concernant ces entrées dans le fichier Host et, pour moi, c'est pas trop clair... 
Non rien d'infectieux, spybot modifie lui même le fichier hosts en y ajoutant des sites indésirables.
https://www.malekal.com/fichier-hosts/


Faire un clique droit sur le raccourci d'HijackThis sur ton Bureau et choisir exécuter en tant qu'administrateur, clique sur Do a scan system only coche la case devant la(les) ligne(s) suivante(s) si présente(s)
Si pas de raccourci sur le bureau, il ce trouve ici :
C:\Program Files	rend micro\venus.exe

R3 - URLSearchHook: (no name) - *{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file) 
R3 - URLSearchHook: (no name) - *{E312764E-7706-43F1-8DAB-FCDD2B1E416D} - (no file) 
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)


- Ferme les fenêtres en cours sauf HijackThis, clique sur Fix checked 

- Quitte HijackThis


Si tu as des questions ou autre souci?


@++   :)

dédétraqué · Answer

Salut CCMclaude 


Je vais vérifier le contenu du fichier hosts, utilise cjoint.com pour poster en lien ton fichier :
https://www.cjoint.com/

- Clique sur Parcourir et copier/coller ceci:
C:\WINDOWS\system32\drivers\etc\hosts

- Clique sur Ouvrir ensuite sur Créer le lien Cjoint

- Fais un copier/coller du lien qui est devant Le lien a été créé: dans ta prochaine réponse.


@++  :)

dédétraqué · Answer

Salut CCMclaude 



Je pense que cela a un rapport de ne pas avoir exécuter en mode administrateur, ton rapport ne contient rien de suspect, on peut quand même restaurer le fichier a l'origine si le demande et tu n'auras plus cette erreur en double cliquant dessus.


Pour la lenteur :
Avira AntiVir
AVG Anti-Virus Free
AVG Anti-Spyware
COMODO Internet Security
Malwarebytes
Windows Defender
Spybot

https://forum.malekal.com/viewtopic.php?t=4650&start=


@++   :)

dédétraqué · Answer

Salut CCMclaude 


Rien à craindre avec la restauration du fichier Hosts, déjà Wot fais le même boulot pour le blocage des sites néfastes.


Voilà se que je te conseil :

Antivir
Malewarebytes
Comodo -- seulement le par feu (firewall)


Et tu vires tous le restes ++


@++    :)

Virtumonde Favorit : suspicion éradication

7 réponses

Discussions similaires

Newsletters