Infection virus inconnu mais chiantRésolu/Fermé

Question

Hello,

Alors voilà, je vous explique mon problème. Ca fait déjà depuis quelques semaines que je suis infecté par un virus que je n'arrive pas à trouver. Il n'y a aucune trace visible mais son activité est très chiante. En fait il m'ouvre spontanément 50 pages internet (en utilisant IE6) mais ce sont des pages qui n'existent même pas car il me dit "impossible d'afficher la page..."). En tout cas voici un exemple d'adresse: http://webfull.com/mul5.php. C'est vrai qu pendant un moment je n'avais plus aucun antivirus d'installé et il a du venir à ce moment même que je le voie. En tout cas le problème maintenant c'est que je n'arrive plus à installer quoique ce soit. J'ai essayé Panda mais pendant l'install il me dit d'insérer le CD contenant un fichier spécifique (j'ai plus son nom en tête). Pourtant il n'y a qu'un cd d'install et le fichier est bien dessus. Je me suis dit c'est peut etre un bug de Panda, alors je suis allé récuper l'install updatée sur leur site mais même résultat, j'obtiens une erreur, cette fois différente. J'ai essayé Avast comme solution de secours mais il refuse de s'exécuter. Pendant un certain temps j'arrivais à "cohabiter" avec mon virus mais il devient insupportable. Une fois sur deux il bloque tout le systeme, et impossible de faire un clic droit/fermer groupe ou encore CTRL+ALT+SUPPR et mettre fin au processus IE6. Seule solution, rebooter le pc ce qui est très chiant quand il faut le faire toutes les 5 minutes. Donc voilà, si quelqu'un a une idée du problème et par miracle une solution je suis preneur ^^ 
Merci d'avance!

philae83 · Answer

Bonjour,

on va essayer de voir ton problème
* Télécharge HijackThis et poste le rapport stp

http://pchelpbordeaux.free.fr/logiciels.html
Tutorial
http://pchelpbordeaux.free.fr/tuto.html
Démo en image
http://pageperso.aol.fr/balltrap34/demohijack.htm

* Télécharge  Blacklight
https://europe.f-secure.com/exclude/blacklight/index.shtml
 (de F-Secure)
(le premier de la page)

Clique sur "I ACCEPT" au bas de la page. Sauvegarde le sur ton Bureau.
Double-clique blbeta.exe  et accepte la licence;
clique Scan  puis Next

Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport,
sur ton Bureau, nommé fsbl.xxxxxxx.log  (les xxxxxxx sont des chiffres).

Copie et colle le contenu de ce rapport dans ta prochaine réponse.
 NE PAS choisir l'option "Rename" de suite : nous devons analyser le rapport,
 car des fichiers légitimes peuvent être présents,  tel wbemtest.exe

DJPolak · Answer

Merci pour ton aide. Voici donc les deux choses que tu m'as demandé: En premier le rapport de Hijack:


Logfile of HijackThis v1.99.1
Scan saved at 17:42:49, on 24/01/2007
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\windows\System32\smss.exe
C:\windows\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\svchost.exe
C:\windows\System32\svchost.exe
C:\windows\system32\spoolsv.exe
C:\windows\Explorer.EXE
C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe
C:\windows\System32\LVCOMSX.EXE
C:\windows\System32\ctfmon.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe
C:\windows\System32
vsvc32.exe
C:\windows\System32\sgd.exe
C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexStoreSvr.exe
C:\windows\System32\svchost.exe
C:\Program Files\MSN Messenger\usnsvc.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\Microsoft Games\Flight Simulator 9\fs9.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Hijackthis Version Française\hijackthis vf.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Program Files\BitComet	ools\BitCometBHO.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\windows\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [PWRISOVM.EXE] C:\Program Files\PowerISO\PWRISOVM.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Fichiers communs\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [LVCOMSX] C:\windows\System32\LVCOMSX.EXE
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [avast!] F:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\windows\System32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray
O4 - Startup: user_manual.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Download all links using BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddAllLink.htm
O8 - Extra context menu item: Download all videos using BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddVideo.htm
O8 - Extra context menu item: Download link using &BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddLink.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\windows\webelated.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\windows\webelated.htm
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\windows\System32
vsvc32.exe
O23 - Service: System Guardian/XC 2000 (SGD) -  DuoCor, Inc. - C:\windows\System32\sgd.exe

Et voici le deuxieme, celui de Blacklight:

01/24/07 17:44:25 [Info]: BlackLight Engine 1.0.55 initialized
01/24/07 17:44:25 [Info]: OS: 5.1 build 2600 ()
01/24/07 17:44:26 [Note]: 7019 4
01/24/07 17:44:26 [Note]: 7005 0
01/24/07 17:44:54 [Note]: 7006 0
01/24/07 17:44:54 [Note]: 7011 1904
01/24/07 17:44:54 [Note]: 7026 0
01/24/07 17:44:54 [Note]: 7026 0
01/24/07 17:44:54 [Note]: 7024 3
01/24/07 17:44:54 [Info]: Hidden process: C:\windows\System32\hldrrr.exe
01/24/07 17:44:54 [Note]: 7024 3
01/24/07 17:44:54 [Info]: Hidden process: C:\windows\System32\hldrrr.exe
01/24/07 17:45:39 [Note]: FSRAW library version 1.7.1021
01/24/07 17:45:45 [Info]: Hidden file: c:\Documents and Settings\Kamil\Shared\DJ Ozi - Juicy Pen.mp3
01/24/07 17:45:45 [Note]: 10002 3
01/24/07 17:45:45 [Info]: Hidden file: c:\Documents and Settings\Kamil\Shared\MONTE E FAGO  - Esta Loca [Heiko & Maiko Rmx] w
01/24/07 17:45:45 [Note]: 10002 3
01/24/07 17:45:45 [Note]: 10002 2
01/24/07 17:45:45 [Note]: 10002 2
01/24/07 17:45:45 [Info]: Hidden file: c:\Documents and Settings\Kamil\Application Data\hidires\hidr.exe
01/24/07 17:45:45 [Note]: 10002 2
01/24/07 17:45:45 [Info]: Hidden file: c:\Documents and Settings\Kamil\Application Data\hidires\m_hook.sys
01/24/07 17:45:46 [Note]: 10002 2
01/24/07 17:45:46 [Note]: 10002 3
01/24/07 17:45:46 [Note]: 10002 3
01/24/07 17:45:46 [Note]: 10002 2
01/24/07 17:45:46 [Note]: 10002 2
01/24/07 17:51:13 [Note]: 10002 2
01/24/07 17:51:13 [Note]: 10002 2
01/24/07 17:52:17 [Info]: Hidden file: c:\WINDOWS\system32\wintems.exe
01/24/07 17:52:17 [Note]: 10002 2
01/24/07 17:52:17 [Info]: Hidden file: C:\windows\System32\hldrrr.exe
01/24/07 17:52:17 [Note]: 10002 2
01/24/07 17:53:37 [Note]: 2000 1012

Alors, tu vois des trucs bizzares?

philae83 · Answer

bonsoir,

je regarde tes rapports, on ne peut pas dire que tu as donné dans le facile !
réponse dans un moment

philae83 · Answer

re

a faire dans l'ordre stp.


* télécharge ERUNT
http://www.zebulon.fr/articles/base-de-registre-3.php#sauve
pour éviter des bêtises dans la bdr.

puis

Tu te rends sur ce lien
http://www.malekal.com/W32.Beagle.KF_Trojan.Tooso.R.php
tu suis les manips données à la lettre stp

puis

 Démarrer > Exécuter----------tu tapes regedit--------oki

navigue jusqu'à la sous-clé :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Dans le volet droit, supprime la valeur :

"hldrrr" = "%System%\hldrrr.exe"

Navigue vers la sous-clé suivante et supprime-la :

HKEY_CURRENT_USER\Software\FirstRRRun

poste tous les rapports demandés ainsi qu'un nouveau rapport F SECURE BLACKLIGHT

bon courage

DJPolak · Answer

Hey!

Désolé pour le retard mais j'ai fini ca super tard hier soir et j'avais plus envie d'écrire lol. En tout cas j'ai suivi ce que tu m'as dit, j'ai suivi le tuto de malekal.com jusqu'à l'étape de redémarrer en mode sans echec. Là j'ai obtenu un ecran bleu de Windows avec une erreur. Trop fatigué pour lutter contre ca, j'ai donc redemarré normalement, et j'ai laissé le PC tourner toute la nuit pour voir si mes pages internet revenaient. Apparement c'est fini, j'en ai eu aucune et c'est le principal. Maintenant je peux aussi installer Panda donc je vais lancer une analyse pendant que je serai en cours et on va voir ce que ca donnera. Par contre, au sujet de ton dernier conseil de supprimer la clé FirstRRRun dans la bdr, je l'ai fait mais juste au dessus de cette clé il y en a une autre qui y ressemble bcp c'est FirstR. Est ce que je la vire aussi ou j'y touche pas??
En tout cas un grand merci a toi! Ca m'a vraiment aidé parce que je me demandais si je devais pas tout formater dans mon désespoir lol. Ceci dit, je me demande aussi ou t'es allé pêcher toutes ces infos parce que je trouve ca impréssionnant lol.
Bonne journée!!

philae83 · Answer

Bonsoir,

me revoilà

Par contre, au sujet de ton dernier conseil de supprimer la clé FirstRRRun dans la bdr, je l'ai fait mais juste au dessus de cette clé il y en a une autre qui y ressemble bcp c'est FirstR. Est ce que je la vire aussi ou j'y touche pas?? 

plutôt que de te dire de faire une bêtise, j'aimerai bien une capture d'écran de cette clé si possible. Merci
reposte un rapport de F SECURE BLACKLIGHT que l'on voit réellement l'avancement de la situation ainsi qu'un rapport hijackthis

Infection virus inconnu mais chiant

6 réponses

Discussions similaires

Newsletters