Ordinateur infecté ?

[invite0e8b7c46]

Bonjour à vous tous !

je laisse ce message pour vous faire part de mon désarrois. Mon PC a un comportement bizarre :
parfois il se bloque quelques secondes pendant lesquelles le disque dur fait CRACRACRA.... Des fenêtres de pub (3suisse, redoute...) s'ouvrent quand je surfe. L'historique des logiciels installé est amputé d'une bonne partie dans la fenêtre d'ajout suppression de programmes.
Voiklà à peu près tous les symptômes que je peux vous signaler.
Comme indiqué sur le dossier sur les malwares du site FS je vous laisse ci joint les pièces qui pourront peut être vous aider à me dépanner.
Merci à vous de me signaler la suite des opérations à suivre.
Bon week end !

Remdo
-----

[igor51]

Bonjour et bienvenu sur Futura !


Télécharge SmitfraudFix (by S!Ri) sur ton Bureau.


*
Option 1

Double-clique sur SmitfraudFix.exe
Selectionne l'option #1 - Chercher en appuyant sur 1 et presse "Entrée";
un texte va apparaitre, qui liste les fichiers infectés si présent.
Poste le rapport dans ta prochaine réponse.

**Si l'outils n'arrive pas à se lancer de ton Bureau, déplace
SmitfraudFix.exe directement à la racine de ton système (généralement C:), et lance le de là.

Note : process.exe est détecté par certain antivirus (AntiVir, Dr.Web, Kaspersky) comme un "RiskTool"; ce n'est pas un virus, mais un programme pour tuer les processus.Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.
http://www.beyondlogic.org/consultin...rocessutil.htm

Poste le rapport en pièce jointe dans ta prochaine réponse.

Bonne journée,
Igor

[invite0e8b7c46]

Merci !
De retour de congés, j'essaye dès ce soir.

[invite0e8b7c46]

La fenêtre DOS me renvoie une dizaine de lignes toutes identiques : Accès refusé...
c'est grave docteur ?

[A voir en vidéo sur Futura]

[Cyrrus]

Bonjour remdo,

Igor est indisponible en ce moment, c'est moi qui vais prendre le relais.

1. Pour Smitfraudfix :
Es-tu sur un compte administrateur ? Si oui désactive temporairement tes protections avant de le passer : Tea Timer, Spysweeper. Elles peuvent interférer et bloquer Smitfraudfix.

2. Télécharge OTMoveIt de OldTimer.

• Sauvegarde le sur ton Bureau.
• Double-Clique sur OTMoveIt.exe pour le lancer.
• Copie le chemin des fichiers suivants en selectionnant TOUT et en appuyant sur CTRL + C (ou, après avoir sélectionner, clique-droit et choisis Copier):
  
  

  C:\WINDOWS\system32\acjfoebn.exe

• Retourne dans OTMoveit, fais un clique-droit dans la fenêtre "Paste List of Files/Folders to be moved" et choisis Coller.
• Clique sur le boutton rouge Moveit!.
• Ferme OTMoveIt

Si un fichier ou un dossier ne peut être déplacer immédiatement il te sera demander de redémarrer ta machine pour finir le processus. Si c'est le cas, choisis Yes.

Un rapport va être créé ici >> C:\_OTMoveIt\MovedFiles , poste le dans ta prochaine réponse

3. Il manque le rapport de Diaghelp, poste le je te prie.

Bonne journée
Cyrrus

[invite0e8b7c46]

Merci Cirrus
j'ai refait la manip initiale en compte admin je te poste les 2 rapports obtenus (1 en mode sans echec et un en mode normal)

J'attends ton avis sur ces rapports avant de suivre ta procédure.

Cordialement,

Remdo

[Cyrrus]

Bonjour remdo,

Peux tu faire ma manip à présent ?

Bon WE
Cyrrus

[invite0e8b7c46]

Je me prépare à partir "en pont aérien" donc je m'y colle dès mercredi soir prochain... Chi va piano va sano....
Merci Cyrrus
Bon week end aussi

[Cyrrus]

Bonsoir remdo,

Pas de souçi, bon déplacement

[invite0e8b7c46]

[*]Copie le chemin des fichiers suivants en selectionnant TOUT et en appuyant sur CTRL + C (ou, après avoir sélectionner, clique-droit et choisis Copier):

C:\WINDOWS\system32\acjfoebn.exe

Bonjour Cyrrus,
je ne comprends ta phrase ci dessus. Peux tu préciser le "chemin des fichiers suivants" ? Quel chemin dois-je mettre dans OtmoveIt ?
Merci

[JPL]

C:\WINDOWS\system32\acjfoebn.exe

[invite0e8b7c46]

j'ai bien essayé de mettre C:\WINDOWS\system32\acjfoebn.e xe mais le message suivant me revient : Cannot create file c:\_OTMoceIt\Movedfiles\050720 07_093851.log

alors que dois je faire ?

[invite0e8b7c46]

re bonjour,
je n'ai pas trouvé de diaghelp mais ceci devrait faire l'affaire ???

[igor51]

Bonjour remdo,


je suis de retour, je vais pouvoir m'occuper de toi...

Fais ceci :

Avant de commencer, lis la licence de Blacklight (F-Secure)
En lisant ce document, tu as pris connaissance et accepté les conditions d'utilisation de ce programme inclus dans Navilog1.zip.

Télécharge maintenant Navilog1.zip (Il Mafioso)
Enregistre-le sur ton Bureau.
Dézippe le contenu de l'archive en faisant un Clique droit sur Navilog1.zip puis en choisissant Tout Extraire.

Double clique sur Navilog1.bat.
Laisse-toi guider par l'utilitaire. Choisis l'option 1 puis valide.
/!\ N'utilise pas l'option 2,3 et 4 sans notre accord /!\
Patiente jusqu'à l'apparition de ce message :
"*** Analyse Termine le ..... ***"
Appuie sur une touche comme demandé. Le Bloc-notes va s'ouvrir. Poste-nous le rapport en pièce jointe

Bonne journée

[invite0e8b7c46]

Merci Igor51

Comme j'ai du temps aujourd'hui, je vais pouvoir être réactif, donc voici le précieux rapport lancé en mode normal sur mon compte administrateur.

Bonne lecture et merci encore

[igor51]

Re,

voici la suite :

---------------------------------------------------------------------------
Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :

• Redémarre ton ordinateur
• Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
• A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
• Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
• Choisis ton compte.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~

Double-clique ATF-Cleaner.exe afin de lancer le programme.

• Sous l'onglet Main, choisis : Select All
  Clique sur le bouton Empty Selected

Si tu utilises le navigateur Firefox :

• Clique Firefox au haut et choisis : Select All
  Clique le bouton Empty Selected
  NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.

Si tu utilises le navigateur Opera :

• Clique Opera au haut et choisis : Select All
  Clique le bouton Empty Selected
  NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.

Clique Exit, du menu principal, afin de fermer le programme.
Pour obtenir du Support technique, double-clique l'adresse électronique située au bas de chacun des menus.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~


Double clique sur Navilog1.bat.
Choisis maintenant l'option 2 puis valide.
Laisse toi guider et réponds aux questions éventuelles.

Réponds aux questions éventuelles.
Ton bureau va disparaître, c'est normal !

Patiente jusqu'à l'apparition de ce message :
"*** Nettoyage Termine le ..... ***"

Appuie sur une touche comme demandé, le Bloc-notes va s'ouvrir.
Sauvegarde le rapport de manière à le retrouver en mode normal.
Referme le Bloc-notes. Ton bureau va maintenant réapparaître.
Redémarre normalement puis poste le rapport sauvegardé auparavant.

NOTES :

• Le rapport se trouve également ici : %root%\cleannavi.txt
• Si ton Bureau ne réapparaît pas, fais ceci :
  -> Clique simultanément sur Ctrl + Alt + Suppr.
  Clique sur l'onglet Fichier puis choisis Nouvelle tâche.
  Tape Explorer puis valide.
  -> Choisis Exécuter..., tape Explorer puis valide.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~~

Redémarre en mode normal

---------------------------------------------------------------------------

Dans ta prochaine réponse, j'attends les rapports suivant en pièce jointe:

-> le rapport de navilog1 option 2
-> un nouveau rapport Hijackthis fait en mode normal

Bonne journée

[invite0e8b7c46]

Coucou, c'est encore moi
voilà les 2 rapports que tu m'as demandé. J'espère que cela te convient (en tout cas de mon côté j'arrive à suivre )

[igor51]

Re,

J'ai besion d'info supplémentaire...

• Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
• Cocher la case : Afficher les fichiers et dossiers cachés
• Décocher la case : Masquer les extensions des fichiers dont le type est connu
• Décocher la case : Masquer les fichiers protégés du système d'exploitation
• cliquer sur "Appliquer"
• cliquer sur le bouton "Appliquer à tous les dossiers" / OK

---------------------------------------------------------------------------

Vas sur le site http://virusscan.jotti.org/
- Clic en haut à droite sur "Parcourir", navigue dans les dossiers et sélectionne ce fichier : 53C431A5.exe ( chemin exacte C:\WINDOWS\System32\53C431A5.e xe )
- Clic sur submit toujours en haut à droite
- Le scan va se lancer, ça va prendre un petit instant
- En bas, tu as le résultat du scan, copie/colle le résultat complet du scan ici - ATTENTION de bien prendre le résultat du scan de ton fichier (le nom du fichier apparaît en haut) et non le scan fait avant le tiens!
Aide : http://www.malekal.com/scan_Av_en_li...mozTocId662799


Bonne journée

[invite0e8b7c46]

et zou !!

File: 53C431A5.exe
Status: OK(Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)
MD5 f9648de38cf4d70836d4a95f3e19a0 5f
Packers detected: -

Scanner results
Scan taken on 07 May 2007 10:12:34 (GMT)
A-Squared Found nothing
AntiVir Found nothing
ArcaVir Found nothing
Avast Found nothing
AVG Antivirus Found nothing
BitDefender Found nothing
ClamAV Found nothing
Dr.Web Found nothing
F-Prot Antivirus Found nothing
F-Secure Anti-Virus Found nothing
Fortinet Found nothing
Kaspersky Anti-Virus Found nothing
NOD32 Found nothing
Norman Virus Control Found nothing
Panda Antivirus Found nothing
Rising Antivirus Found nothing
VirusBuster Found nothing
VBA32 Found nothing


Pour info, les paramètres étaient bien cochés dans "options des dossiers\affichage"

C'est grave doc ?

[igor51]

Re,

on continue la désinfection

Voici la procédure à faire en entier, si dedans, il y a quelque chose que tu ne comprends pas, n'hésite pas à poser des questions.
Les rapports demandés seront récapitulés à la fin de la procédure et tous doivent être postés en pièce jointe

---------------------------------------------------------------------------

La procédure est assez longue et elle va s'opérer en mode sans échec, tu n'auras donc pas accès à internet, il faut donc que tu conserves cette procédure sur ton ordinateur.
Si tu utilises Internet explorer:

• Clique sur Fichier
• Puis sur Enregistrer sous
• Choisis l'emplacement de la sauvegarde ( ie : Mes documents par exemple )
• Clique sur Enregistrer

Si tu utilises Firefox:

• Clique sur Fichier
• Puis sur Enregistrer sous
• Choisis l'emplacement de la sauvegarde ( ie : Bureau par exemple )
• Clique sur Enregistrer

Je te conseille en plus de la lire une fois entièrement pour que tu puisses t'en imprégner.

-----------------------------------------------------------------------------

Démarrer > Exécuter et taper Services.msc puis OK
Choisir le mode "Etendu" (onglets inférieurs)
Grâce à la barre de défilement (à droite) rechercher le service suivant:
53C431A5
Quand le service est trouvé, pointer dessus, double-cliquer (bouton gauche).
Dans la fenêtre suivante qui apparait, sous l'onglet Général cliquer sur le bouton Arrêter,
puis dérouler le Type de Démarrage pour le modifier en Désactivé
Cliquer sur Appliquer puis OK

~~~~~~~~

Lancer Hijackthis, choisir Open the Misc.Tools section
la fenêtre "Configuration va s'ouvrir
cliquer sur Delete a NT service...
la fenêtre "Delete a Windows NT service" va s'ouvrir
Entrer dans la zone de dialogue :
53C431A5
Note : assurez-vous de ne mettre d'espace, ni avant, ni après !
cliquer OK
Une autre fenêtre devrait s'ouvrir, donnant des informations sur le service et demandant si vous voulez re-démarrer.
Cliquer NO


~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~

Télécharge AVG Anti-Spyware

1. Lance AVG Anti-Spyware et clique sur le bouton Mise à jour (barre d'outils - au haut). Sous Mise à jour manuelle clique Commencer la mise à jour.
2. Tu verras ceci juste au bas, lorsque la mise à jour sera complétée : "Mise à jour réussie"
3. Ferme AVG Anti-Spyware. Ne pas le lancer tout de suite.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~

Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau.
Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~
Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :

• Redémarre ton ordinateur
• Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
• A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
• Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
• Choisis ton compte.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~

1. Du mode Sans Échec, lance AVG Anti-Spyware,
2. Choisis l'onglet Analyse puis sur Paramètre, clique sur Actions recommandées : La, choisis Quarantaine.
3. Clique sur le bouton Analyse (de la barre d'outils) et ensuite clique sur Analyse complète du sytème. Le scan prendra un certain temps, donc sois patient.
4. AVG Anti-Spyware affichera une liste des fichiers détectés, sur la gauche. En fin de scan, l'outil appliquera les "Actions" à appliquer automatiquement". Clique sur le bouton Appliquer toutes les actions. AVG Anti-Spyware affichera "Toutes les actions ont été effectuées" du côté droit.
5. Clique sur "Enregistrer le rapport", puis "Enregistrer sous". Ceci génère un rapport en fichier texte. Assure-toi de le sauvegarder dans un endroit sûr (sur ton Bureau, par exemple).

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~

Lance Hijackthis, choisis Do a scan only et coche les lignes suivantes :

O4 - HKLM\..\Run: [sceltuqr] c:\windows\system32\sceltuqr.exe sceltuqr
O23 - Service: 53C431A5 - Unknown owner - C:\WINDOWS\System32\53C431A5.exe

Ferme toutes les fenêtres sauf Hijackthis et clique sur Fix Checked

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~

Supprime manuellement les fichiers/dossiers suivants si présent :

c:\windows\system32\sceltuqr.exe << le fichier
C:\WINDOWS\system32\acjfoebn.exe << le fichier
C:\WINDOWS\System32\53C431A5.exe << le fichier


Vide la corbeille

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~

Déroule la liste des instructions ci-dessous :

• Ouvre le dossier SDFix qui vient d'être créé sur le Bureau et double clique sur RunThis.bat pour lancer le script.
• Appuie sur Y pour commencer le processus de nettoyage.
• Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
• Appuie sur une touche pour redémarrer le PC.
• Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
• Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
• Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.
• Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~

• Fais un scan en ligne Kaspersky avec Internet Explorer :
• Clique sur
• Clique maintenant sur J'accepte.
• Valide l'installation d'un ou de plusieurs ActiveX si c'est nécessaire.
• Patiente pendant l'installation des Mises à jour.
• Choisis par la suite l'analyse du Poste de travail
• Sauvegarde puis poste le rapport généré en fin d'analyse.

AIDE : Configurer le contrôle des ActiveX
Note : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée", vas dans Ajout/Suppression de programmes et désinstalle On-Line Scanner, reconnecte toi sur le site de Kaspersky pour retenter le scan en ligne.

---------------------------------------------------------------------------

Dans ta prochaine réponse, j'attends les rapports suivant en pièce jointe :

-> Le rapport d'AVG-AS ( situé sur ton Bureau )
-> Le rapport de SDFix ( situé dans le dossier de SDFix )
-> Le rapport de Kaspersky ( situé sur ton Bureau )
-> Un nouveau log Hijackthis


La procédure peut paraitre longue mais elle est juste très détaillée

Bonne journée,
Igor

[invite0e8b7c46]

quand je disais que j'avais un peu de temps !!!! Mon repassage attendra.
Merci encore pour le temps que tu passes sur mon cas
J'essaie de ce pas de suivre tes instructions

[igor51]

Re,

pour le repassage, je pense que tu auras le temps de le faire pendant le scan de Kaspersky qui peut etre assez long.

Surtout ne te presse pas pour faire la procédure

[invite0e8b7c46]

Remarque 1 : le service' 53c431a5 ne semblait pas démarré

allez, j'y retourne

[invite0e8b7c46]

l'analyse d'AVG dure depuis 30 mn maintenant... le fait que le disque dur fasse CRACRACRA régulièrement n'arrange rien !

[invite0e8b7c46]

Et voilà !!!
3 rapports et un log pour le 51 !

Bon courage Igor

Merci

PS : le kasper.html ne passait pas alors je l'ai joint en txt.

[igor51]

Re,

As-tu encore des problèmes ?

Si tu n'as plus de problèmes voici la fin de la désinfection !!

--------------------------------------------------------------------------

• Clic droit sur Poste de travail --> Propriétés --> onglet Système de restauration
• Coche la case "Désactiver le système de restauration..."
• Redémarre l'ordinateur
• Après redémarrage, retourne dans le même onglet pour rétablir le Système de restauration
• Décoche la case "Désactiver le système de restauration..."

Et voila, un nouveau point de restauration qui est a priori propre

--------------------------------------------------------------------------

Lis bien le dossier de prevention pour éviter de rattraper ce genre d'infection. La sécurisation est un tout et passe entre autre par un Antivirus, un firewall et un antispyware, correctement paramétrés.

Si tu as des questions n'hésite surtout pas à nous les poser, nous sommes aussi là pour çà.

Maintenant que ton ordinateur est désinfecté, tu as aussi la possibilité de nous aider à poursuivre les créateurs de ces malwares en justice en déposant un témoignage de ton infection sur Malware Complaints.

Pour cela, rends-toi sur Malware Complaints, et inscris-toi sur le forum.
Poste une réponse (en cliquant sur Post reply) dans ce type d'infection : Autre infection
Nom de l'infection : Magic.Control

Aide-toi des règles de Malware Complaints pour formater ton message.
Merci de ton aide

--------------------------------------------------------------------------

Si tu as des questions, surtout n'hésite pas.


Bonne soirée,
Igor

[igor51]

Re,

J'ai oublié quelques petits trucs.

Supprime les outils suivant, avant tout en passant par Ajout/Suppression de programmes, sinon supprime juste les dossiers sur ton Bureau, tu peux aussi supprimer les différents rapports enregistrés :

-> SmitfraudFix
-> Rootkit Unhooker
-> OTmoveIT ainsi que le dossier suivant C:\_OTMoveIt
-> Navilog1
-> SDFix
-> Hijackthis

Après le reste tu peux le garde à ta guise après lecture du dossier de prévention

Regarde aussi ici C: si tu n'as pas de dossier créer par les outils.

Bonne soirée

[invite0e8b7c46]

Bonsoir Igor
je te réponds demain, mais à priori il y a encore un problème, le disque dur continu à faire CRACRACRA de temps en temsp alors que seul real player tourne sur le PC. J'essaie de surfer demain matin et je te tiens au courant.
Pour info j'utilise antivir, zonealarm et adaware régulièrement mais aucun ne détecte quoi que ce soit.

Merci et bonne soirée

Remdo

[igor51]

Bonsoir,

On va d'abord s'occuper de finir le désinfection, on verra pour le disque dur après

Bonne soirée

[igor51]

Bouh...c'est ma soirée des oublies moi ce soir...

Il faut que tu fasses ceci c'est très important :

Ta console Java n'est pas à jour. Les plus vieilles versions ont des vulnérabilités que les malwares peuvent utiliser pour infecter ton système. Suis cette procédure pour supprimer les composants des vieilles versions de Java et faire les mises à jour nécessaire.

Mise à jour de Java:

• Télécharge la dernière version : Java Runtime Environment (JRE) 6.
• Descends la page pour voir "The J2SE Runtime Environment (JRE) allows end-users to run Java applications".
• Clique sur le bouton "Download" sur la droite.
• Coche la case: "Accept License Agreement".
• La page sera rafraichie.
• Clique sur le lien pour télécharger Windows Offline Installation avec ou sans le Multi-langage et sauvegarde le sur ton Bureau.
• Ferme tous les programmes qui tournent, surtout ton navigateur web.
• Clique sur Démarrer > Panneau de configuration double-clique sur Ajout/Suppression de programme et supprime toutes les vieilles versions de Java.
• Cherche tous les items avec Java Runtime Environment (JRE or J2SE) dans leur nom.
• Clique sur Supprimer ou Modifier/Supprimer.
• Répète autant de fois que nécessaire cette opération pour supprimer tous les composants Java .
• Redémarre ton ordinateur une fois que la désinstallation de tous les composants est effectuée.
• Ainsi depuis ton Bureau, double-clique sur jre-1_6_0_01-windowsi586-p.exe pour installer la nouvelle version.

Bonne soirée