Je voudrais savoir si je suis infecté, svpFermé

Question

Bonjour, 

Après un telechargement et une infection, la semaine dernière, je suis venu sur ce forum et ai commencé une désinfection.
Malheureusment, je n'ai pas eu le temps de la terminer, et j'ai tenté de "bidouiller" des trucs tout seul. Je crois avoir effacer des fichiers, notamment "csrss" (je ne sais pas ce que c'est). Windows m'indique qu'il n'a pas pu trouver tel ou tel fichier au démarrage.

Après une défaillance de Firefox par rapport au proxy, j'ai changé les options de proxy, et pour l'instant ... ca marche, et meme ! je n'ai plus le problème initial qui m'avait amené sur ce forum la semaine dernière, mais j'aimerais bien savoir si mon ordi est clean, et si ma "bidouille" est dangereuse.

Merci d'avance.
(je suis dispo jusque 20h00)


Configuration: Windows XP / Firefox 4.0.1

gen-hackman · Accepted Answer

salut ceci manque de precision pour pouvoir t'aider

Windows m'indique qu'il n'a pas pu trouver tel ou tel fichier au démarrage.

Ben' · Answer

Bonjour,

Télécharge Roguekiller, et fais une recherche, déballe le tout ici dans une autre réponse. Roguekiller va permettre de nous établir les processus malicieux ou non que tu as sur ton ordinateur.

green day · Answer

Bonjour,

Merci de bien vouloir continuer le désinfection en forum.
Les Mp ne doivent être utiliser que pour des dialogues d'ordre privé et non technique, merci.

@+

Oalmasqué · Answer

Dsl pr ces desagréments. (J'espère que ce msg passera, sans avoir à ecrire en MP)

J'ai téléchargé Malwarrebytes, et procédé à l'analyse. 12 menaces detectées. je poste le rapport ?

gen-hackman · Answer

ben vas-y maintenant que c'est fait...

Oalmasqué · Answer

je préfère poser la question, des fois que ca ne serve à rien...

Malwarebytes' Anti-Malware 1.51.0.1200
www.malwarebytes.org

Version de la base de données: 6796

Windows 5.1.2600 Service Pack 2
Internet Explorer 6.0.2900.2180

07/06/2011 17:13:50
mbam-log-2011-06-07 (17-13-39).txt

Type d'examen: Examen complet (C:\|F:\|)
Elément(s) analysé(s): 174906
Temps écoulé: 1 heure(s), 6 minute(s), 8 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 3
Elément(s) de données du Registre infecté(s): 3
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 6

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load (Trojan.Agent) -> Value: Load -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\ForceClassicControlPanel (Hijack.ControlPanelStyle) -> Value: ForceClassicControlPanel -> No action taken.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer (PUM.Bad.Proxy) -> Value: ProxyServer -> No action taken.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\documents and settings\oanig\application data\dwm.exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\oanig\application data\microsoft\conhost.exe (Backdoor.Cycbot.Gen) -> No action taken.
c:\program files\ZHPDiag\quarantine\conhost.exe.vir (Backdoor.Cycbot.Gen) -> No action taken.
c:\program files\ZHPDiag\quarantine\csrss.exe.vir (Backdoor.Cycbot.Gen) -> No action taken.
c:\program files\ZHPDiag\quarantine\svchost.exe.vir (Trojan.Agent.Gen) -> No action taken.
c:\WINDOWS\system32\calc.exe (Trojan.Agent.Gen) -> No action taken.

gen-hackman · Answer

tu as le lien de ta precedente desinfection ?

gen-hackman · Answer

tu peux donner une réponse à mon premier message ?

Oalmasqué · Answer

Je pense que tu parles des msgs de windows signalant qu'il ne peut ouvrir tel ou tel fichier...
je redémarre, je note, et je te dis.

Oalmasqué · Answer

Re,
msg 1 : "impossible de trouver C:_documents1_locals~1_temp_csrss.exe. Vérifiez qu'il existe ou faites une recherche.
Je fais OK (j'ai pas d'autre choix)
msg 2 : impossible de charger/executer C:\docu\etc\csrss.exe.vérifiez qu'il existe sur l'ordi ou supprimez la reference dans le registre.
Je fais OK (j'ai pas d'autre choix), et ... voilà.

gen-hackman · Answer

ok 

&#9654 Télécharge ici : USBFIX sur ton bureau 

branche tous tes periphériques sans les ouvrir

/!\ Désactive provisoirement et seulement le temps de l'utilisation d'USBFIX, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur l'icône Usbfix située sur ton Bureau.
Sur la page, clique sur le bouton :

&#9654 choisi l option Suppression

&#9654 UsbFix scannera ton pc , laisse travailler l outil.

&#9654 Ensuite post le rapport UsbFix.txt qui apparaitra avec le bureau .

&#9654 Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

Oalmasqué · Answer

ayet !

############################## | UsbFix 7.047 | [Suppression]

Utilisateur: oanig (Administrateur) # ORDINATEUR [ ]
Mis à jour le 06/06/2011 par TeamXscript
Lancé à 20:09:45 | 07/06/2011
Site Web: http://www.teamxscript.org
Submit your sample: http://www.teamxscript.org/Upload.php
Contact: TeamXscript.ElDesaparecido@gmail.com

CPU:  Intel(R) Pentium(R) 4 CPU 2.40GHz
Microsoft Windows XP Professionnel (5.1.2600 32-Bit) # Service Pack 2
Internet Explorer 6.0.2900.2180

Pare-feu Windows: Activé
Antivirus: AntiVir Desktop 9.0.1.32 [(!) Disabled | Updated]
RAM -> 503 Mo 
C:\ (%systemdrive%) -> Disque fixe # 37 Go (7 Go libre(s) - 19%) [] # NTFS
D:\ -> CD-ROM
E:\ -> CD-ROM
F:\ -> Disque fixe # 233 Go (88 Go libre(s) - 38%) [DD Oanig] # NTFS

################## | Éléments infectieux |

Supprimé! C:\Recycler\S-1-5-21-854245398-1979792683-682003330-1003
Supprimé! F:\$RECYCLE.BIN\S-1-5-21-493834933-3827274755-3397516916-1000
Supprimé! F:\Recycler\S-1-5-21-854245398-1979792683-682003330-1003

################## | Registre |

Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|forceclassiccontrolpanel

################## | Mountpoints2 |


################## | Listing |

[26/05/2011 - 19:45:49 | N | 3059] 	C:\Ad-Report-CLEAN[1].txt
[26/05/2011 - 19:52:01 | N | 2442] 	C:\Ad-Report-CLEAN[2].txt
[06/06/2011 - 16:57:13 | N | 2572] 	C:\Ad-Report-CLEAN[3].txt
[26/05/2011 - 19:42:35 | N | 2839] 	C:\Ad-Report-SCAN[1].txt
[06/06/2011 - 16:55:46 | N | 2461] 	C:\Ad-Report-SCAN[2].txt
[29/01/2010 - 16:46:45 | N | 0] 	C:\AUTOEXEC.BAT
[26/05/2011 - 06:22:33 | N | 265] 	C:\boot.ini
[28/08/2001 - 20:00:00 | N | 4952] 	C:\Bootfont.bin
[29/01/2010 - 17:39:44 | D ] 	C:\compaq
[29/01/2010 - 16:46:45 | N | 0] 	C:\CONFIG.SYS
[04/04/2010 - 15:41:01 | D ] 	C:\DigitalVideoConverter
[29/01/2010 - 16:58:44 | D ] 	C:\Documents and Settings
[29/01/2010 - 17:27:03 | D ] 	C:\Drivers
[02/11/2010 - 19:08:34 | N | 2821] 	C:\install.log
[29/01/2010 - 16:46:45 | N | 0] 	C:\IO.SYS
[29/01/2010 - 16:46:45 | N | 0] 	C:\MSDOS.SYS
[02/11/2010 - 20:10:33 | D ] 	C:\Nouveau dossier
[04/08/2004 - 04:38:34 | N | 47564] 	C:\NTDETECT.COM
[04/08/2004 - 04:59:44 | N | 251712] 	C:
tldr
[07/06/2011 - 19:35:20 | ASH | 792723456] 	C:\pagefile.sys
[26/05/2011 - 16:16:56 | N | 512] 	C:\PhysicalDisk0_MBR.bin
[07/06/2011 - 15:54:41 | D ] 	C:\Program Files
[07/06/2011 - 20:10:42 | SHD ] 	C:\RECYCLER
[04/01/2011 - 15:37:34 | N | 91] 	C:\Setup.log
[29/01/2010 - 17:46:17 | D ] 	C:\swsetup
[23/05/2011 - 17:49:20 | SHD ] 	C:\System Volume Information
[07/06/2011 - 20:10:42 | D ] 	C:\UsbFix
[07/06/2011 - 20:11:37 | A | 1160] 	C:\UsbFix.txt
[07/06/2011 - 19:36:27 | D ] 	C:\WINDOWS
[06/06/2011 - 16:46:54 | N | 3796] 	C:\ZHPExportRegistry-06-06-2011-16-46-54.txt
[26/05/2011 - 17:00:03 | N | 7158] 	C:\ZHPExportRegistry-26-05-2011-17-00-03.txt
[26/05/2011 - 18:41:55 | N | 4124] 	C:\ZHPExportRegistry-26-05-2011-18-41-55.txt
[26/05/2011 - 18:49:08 | N | 7158] 	C:\ZHPExportRegistry-26-05-2011-18-49-08.txt
[18/08/2010 - 09:44:58 | SHD ] 	F:\$RECYCLE.BIN
[17/04/2010 - 17:45:59 | D ] 	F:\c363473454809ff873db6245
[28/01/2011 - 17:45:53 | D ] 	F:\Oanig
[07/06/2011 - 20:10:42 | SHD ] 	F:\RECYCLER
[14/06/2009 - 10:47:02 | SHD ] 	F:\System Volume Information

################## | Vaccin |

C:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
F:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_ORDINATEUR.zip
http://www.teamxscript.org/Upload.php
Merci de votre contribution.

################## | E.O.F |

gen-hackman · Answer

ok

desactive ton antivirus
desactive Windows defender si présent
desactive ton pare-feu

Ferme toutes tes appilications en cours

telecharge et enregistre ceci sur ton bureau :

Pre_Scan

s'il n'est pas sur ton bureau coupe-le de ton dossier telechargements et colle-le sur ton bureau

Avertissement: Il y aura une extinction courte du bureau --> pas de panique. 

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan.txt" sur le bureau.

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

si l'outil semble ne pas avoir fonctionné renomme-le winlogon , ou change son extension en .com ou .scr

 Il se peut que l'outil soit un peu long sur la reattribution des fichiers tout depend combien tu en as , laisse-le travailler 

Poste Pre_Scan.txt qui apparaitra sur le bureau en fin de scan

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

&#9654 Copie ce lien dans ta réponse.

Oalmasqué · Answer

Salut,

Voici le rapport.
NB : Ne trouvant pas le fichier "prescan.txt" sur le bureau, j'ai effectué la manip 2 fois. En fait le fichier était à la racine de C:\

http://www.cijoint.fr/cjlink.php?file=cj201106/cijFqyDbfQ.txt

gen-hackman · Answer

je serais curieux de savoir qui t'a modifié cette clé...

[HKCU | Internet Settings] | AutoConfigProxy : 0

Tigzy · Answer

Salut

Tu as les rapports RogueKiller que tu as fait en MP?
Parce là MBAM a trouvé des trucs qui sont supprimés théoriquement par RK....

gen-hackman · Answer

pas moi tigzy qui faisait les MP...

=======================

@Oalmasqué :

fais glisser une icone n'importe laqueele sur Pre_scan , pre_script va apparaitre

selectionne ce texte sans les lignes :
___________________________________________________
processes::
dwm.exe    

file::
C:\Documents and Settings\oanig\Application Data\dwm.exe    
C:\Documents and Settings\oanig\Local Settings\Application Data\setup.txt      

folder::
C:\Users\PC DE NICO2\AppData\Roaming\Symantec   
C:\Documents and Settings\oanig\Application Data\BEA6.27B 
C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy         

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SunJavaUpdateSched"=-
"Adobe Reader Speed Launcher"=-
"EzPrint"=-                                          
___________________________________________________

copie-le (ctrl+c) puis lance Pre_Script qui est sur ton bureau

colle dans le document texte qui s'ouvre , puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte 

poste Pre_Script.txt qui apparaitra à coté de l'executable en fin de travail

Oalmasqué · Answer

Je ne comprends pas trop le sens de la question, mais je vois le mot "proxy"

1/ A part moi, personne n'a accès physiquement à l'ordi.
2/ Il y a 3 jours, je n'arrivais pas à me connecter à internet, mais une application boursière fonctionnelle me signifiait que j'avais accès au réseau. 
Un message de firefox disait que pour fonctionner, firefox utilisait un proxy et que celui ci n'était pas detecté ou présent, je ne sais plus.
Dans Firefox, Je suis donc allé dans outils/options/parametres de connexion. Le réglage était "configuration manuelle du proxy", et j'ai coché, "pour voir", "détection automatiquees paramètres de proxy pour ce réseau".
Non seulement j'avais accès de nouveau à internet, mais en plus, les recherches sur google n'amenaient plus immanquablement sur une page de pub, ce qui était un de mes problèmes initiaux.

Espérant t'avoir apporter des éléments de réponse...
Si c'est pas ça... alors ce n'est pas moi !

Oalmasqué · Answer

le fichier 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

Utilisateur : oanig (Administrateurs)
Ordinateur : ORDINATEUR
Système d'exploitation : Microsoft Windows XP (32 bits)
Internet Explorer : 6.0.2900.2180
Mozilla Firefox : 4.0.1 (fr)

Switchs possibles :

processes:: | file:: | folder::
Registry:: | replace:: | txt::
Host:: | DNS:: | NsLook::
Command::

Script : 18:16:39

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

switchs :

processes::
dwm.exe


file::
C:\Documents and Settings\oanig\Application Data\dwm.exe
C:\Documents and Settings\oanig\Local Settings\Application Data\setup.txt


folder::
C:\Users\PC DE NICO2\AppData\Roaming\Symantec
C:\Documents and Settings\oanig\Application Data\BEA6.27B
C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy


Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SunJavaUpdateSched"=-
"Adobe Reader Speed Launcher"=-
"EzPrint"=- 


¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Processus: dwm.exe introuvable

¤

Modification du registre effectuéé

¤

Supprimé : C:\Documents and Settings\oanig\Application Data\dwm.exe
Supprimé : C:\Documents and Settings\oanig\Local Settings\Application Data\setup.txt

¤

Dossier : C:\Users\PC DE NICO2\AppData\Roaming\Symantec introuvable
Supprimé : C:\Documents and Settings\oanig\Application Data\BEA6.27B
Supprimé : C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy

¤

Fin : 18:16:41

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

gen-hackman · Answer

comment ca dossier symantec introuvable ? ^^ lol

Oalmasqué · Answer

Si pas d'objection, je lance RK , en modes 2, 3 et 4 dans 5 minutes! :)

Oalmasqué · Answer

Voilà c'est fait...
Aucune fumée ne sort de la tour... ca doit etre bon signe ...?

Des rapports pertinents à poster ? un scan à faire ?

gen-hackman · Answer

hello tiens un peu de lecture pour commencer la journée

https://www.commentcamarche.net/faq/2981-j-utilise-une-version-piratee-de-windows

gen-hackman · Answer

et oui

le seul probmleme est qu'avec l evolution , tu es de moins en moins compatible donc au fur et à mesure du temps tu pourras de moins en moins te servir des logiciels et te faire infecter par n'importe quoi

gen-hackman · Answer

Y'a t il moyen de detecter une faille de sécurité ?

oui ton logiciel non légal , ca c'est la plus grosse faille de securité  que tu pourras trouver dans ton pc

Je voudrais savoir si je suis infecté, svp

25 réponses

Discussions similaires

Newsletters