virus albumphoto.zip

[invitea767330b]

bonjour

j'ai eu hier sur msn messenger le virus album photo.zip et maintenant quand je dialogue j'ai plein de fichiers photos qui s'introduisent dans ma boite de dialogue.

j'ai lu sur differents forum la procedure a suivre mais je ne sais pas quelle manipulation executer car il y en a beaucoup .

tout d'abord je voudrais savoir coment agit ce virus sur mon ordi, s'introduit il uniquement quand j'ouvre mon msn ou aussi quand je demarre le pc? quels sont les risques?

bien sur ni ad ware ni mon anti virus f_prot n'a detecte quoi que ce soit.

comment trouver ce virus sur mon pc et l'effacer?

merci beaucoup de votre reponse , je suis un peu perdue la.

a bientot
-----

[JPL]

Il faut exécuter tous les points de la procédure suivante http://www.futura-sciences.com/fr/co...701/c3/221/p1/ sauf la partie consacrée aux rootkit que tu sautes pour le moment. Les rapports doivent être postés en pièces jointes dans cette discussion (que je déplace afin de la mettre dans le bon forum).
Ensuite un membre du groupe antimalware viendra te conseiller sur les opérations à faire (les rapports sont destinés à vérifier si tu n'as pas d'autres infections sur ton ordinateur, ce qui est très fréquent car un malheur arrive rarement seul).

[invitea767330b]

bonjour
j'ai donc suivi la procedure et je vous poste les rapports obtenus. j'avoue que je n'y comprend rien.
que dois je faire maintenant?
suis je infectée?
merci de votre reponse que j'attends impatiemment
a bientot
poupoune

[invitea767330b]

Re bonjour
peut etre que le week end il n'y a personne...
j'aurais bien voulu savoir quoi faire maintenant??
a l'aide svp...
merci merci

[A voir en vidéo sur Futura]

[invitea767330b]

re re bonjour
j'ai pris les devants en lisant les forums et j'ai fait MSNfix
je vous poste le rapport.
maintenat je ne sais pas si je suis toujours inferctée ou pas?
merci de votre reponse.

[yoda1234]

peut etre que le week end il n'y a personne...

Bonsoir,

un peu de patience, l'explication se trouve là.

[invite275db609]

Bonjour à tous

Et oui, j'etais absent hier ... :/

Le rapport de diaghelp n'est pas complet ... lors de l'apparition de la fenetre rouge, il t'es demandé d'appuyer sur Entrée pour que diaghelp finisse son scan et t'affiche son rapport situé ici : C:\resultat.txt, c'est ce rapport que nous voulons.

Le ver MSN s'envoie seul à TOUS tes contacts MSN, s'il clique sur le fichier, ils se trouvent vérolés à leur tour. Previens donc ton entourage de ne rien télécharger venant de ta part.

Tu as bien fait de passer MSNFix (fais attention à ne pas passer n'importe quel outil sans l'avis de quelqu'un d'averti).

• Fais un scan en ligne Kaspersky avec Internet Explorer :
• Dans la nouvelle fenêtre, clique sur J'accepte.
• Valide l'installation d'un ou de plusieurs ActiveX si c'est nécessaire.
• Patiente pendant l'installation des Mises à jour.
• Choisis par la suite l'analyse du Poste de travail
• Sauvegarde puis poste le rapport généré (en pièce jointe) en fin d'analyse.

AIDE : Configurer le contrôle des ActiveX
NOTE : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée", va dans Ajout/Suppression de programmes puis désinstalle On-Line Scanner, reconnecte toi sur le site de Kaspersky pour retenter le scan en ligne.

Peux-tu poster le rapport (complet) de diaghelp, KasperskyOnline et un nouveau hijackthis.

Bon dimanche.

[invitea767330b]

Bonsoir
merci pour la reponse c'est vrai qu'on a tous droit a un week end...
j'ai donc fait kaspersky et il a trouvé 3 virus et 229 fichiers infectes. mais que dois je faire pour les supprimer?
depuis que j'ai chargé pas mal de logiciel dont msnfix mon antivirus me signale des alertes de trojan?? je ne m'en sors pas!!
comment savoir et faire pour tout supprier et ne plus avoir de probleme! enfin si ca existe?
je vous poste les rapports .
merci de votre reponse

[invitea767330b]

re bonsoir
en attendant la reponse j'ai fait aussi AVG anti spyware et je vous poste le rapport.
maintenat que j'ai fait toutes ses manoeuvres je dois sans doute vider des dossiers. dois je vider le dossier content.IE mais le chemin est doc and setting/window/syst 32/ conf/tempory internet/ content.IE5
bon je reviens demain en esperant avoir une reponse.
merci encore

[invite275db609]

Bonjour poupoune13

Tu n'aurais pas recliqué sur un lien ou un fichier que l'on t'aurait envoyé sur MSN ? Tu es encore vérolé par ce ver ....
Super, bon boulot. on va essayer de te débarrasser de ce qu'il reste, ne t'inquiete pas, on va en venir à bout. On enchaine :

Supprime le dossier suivant :
C:\Documents and Settings\Alain\Bureau\MSNFix

• Télécharge (à nouveau, important) MSNFix (de !aur3n7) sur ton bureau.
• Décompresse-le (clic droit >> Extraire ici) et double cliquer sur le fichier MSNFix.bat.
• Exécute l'option R.
• Si l'infection est détectée, un message l'indiquera et il suffira de presser une touche pour lancer le nettoyage.
• Sauvegarde ce rapport puis fais un copier/coller de ce rapport sur le forum, ainsi qu'un nouveau scan HijackThis fait en mode normal.
  Note :
  Si une erreur de suppression est détectée un message s'affichera demandant de redémarrer l'ordinateur afin de terminer les opérations. Dans ce cas il suffit de redémarrer l'ordinateur en mode normal
• Le rapport sera enregistré dans le même dossier que MSNFix sous forme date_heure.txt

==========================

Télécharge ATF Cleaner par Atribune.
Double-clique ATF-Cleaner.exe afin de lancer le programme.

• Sous l'onglet Main, choisis : Select All
  Clique sur le bouton Empty Selected

Si tu utilises le navigateur Firefox :

• Clique Firefox au haut et choisis : Select All
  Clique le bouton Empty Selected
  NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.

Si tu utilises le navigateur Opera :

• Clique Opera au haut et choisis : Select All
  Clique le bouton Empty Selected
  NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.

Clique Exit, du menu prinicipal, afin de fermer le programme.
Pour obtenir du Support technique, double-clique l'adresse électronique située au bas de chacun des menus.

==========================

• Télécharge OTMoveIt de OldTimer.
• Sauvegarde le sur ton Bureau.
• Double-Clique sur OTMoveIt.exe pour le lancer.
• Copie le chemin des fichiers suivants en selectionnant TOUT et en appuyant sur CTRL+C (ou, après avoir sélectionner, clique-droit et choisis Copier) :

C:\hermcx.exe

• Retourne dans OTMoveit, fais un clique-droit dans la fenêtre "Paste List of Files/Folders to be moved" et choisis Coller.
• Clique sur le bouton rouge Moveit!.
• Ferme OTMoveIt.
  Note : Si un fichier ou un dossier ne peut être déplacer immédiatement il te sera demander de redémarrer ta machine pour finir le processus. Si c'est le cas, choisis Yes.

Poste moi le rapport de OTMoveIT dispo ici : C:\_OTMoveIt\MovedFiles.

===========================

Repasse DiagHelp option1.

===========================

Passe une nouvelle fois KasperskyOnline.

===========================

Poste les rapports demandés : le nouveau MSNFix, OTmoveIT, DiagHelp option1, Kaspersky et un nouveau hijackthis.

Bonne journée

[invitea767330b]

Bonjour
merci encore de suivre mon affaire!!
bon j'ai fait les 2 premieres manip et je poste le rapport msnfix.
j'ai telechargé OTMovelt sur le bureau mais je n'ai pas compris quand tu dis copie le chemin des fichiers suivants.
j'ai cliqué sur le logo OTMovelt et la j'ai une fenetre avec movelt clean up et exit en dessous past list of files/folder to be move et a droite result.
je copie ou le chemin ?
desolee de te faire repeter cette manipulation.
j'attends pour continuer.
j'ai fait aussi ATF cleaner.

rapport msnfix:
MSN_Fix 1.464

C:\Documents and Settings\Alain\Bureau\MSNFix
Fix exécuté le 20/08/2007 - 13:55:41,32 By Alain
mode normal

************************ Recherche les fichiers présents

Aucun Fichier trouvé

************************ Recherche les dossiers présents

Aucun dossier trouvé


************************ Fichiers suspects

Aucun Fichier trouvé



------------------------------------------------------------------------
Auteur : !aur3n7 Contact: http://changelog.fr
------------------------------------------------------------------------

--------------------------------------------- END --------
merci Syntexe!!

[invitea767330b]

encore et toujours moi!!!
mon antivirus F-PROT me fais des alertes meme kan je ne suis pas connectée.
la derniere alerte etait:

c:\systemvolumeinformation\_re store{173A3597-A61A-
4CE5-9CF4-F86321793F2A}RP1\A0000056.exe is a destructive program named W32/Trojan.AYRD.

J'ai fait un scan mais il n'a rien detecté.
peux tu me dire que sont ses alertes?
merci beaucoup
poupoune13

[invitea767330b]

bonjour

j'ai passé ma soiree a faire ce que tu m'as demande. et voila tout les resultats.
je pars demain soir pour une semaine ca serait super cool si j'avais une reponse dans la matinée.
vais je m'en sortir?? car le dernier karpserky a trouve 3 virus encore sniffff.
merci de ton aide
poupoune

[invite275db609]

Bonjour poupoune

Je ne pense pas que l'on aura completement terminé la désinfection avant ton départ en vacances ...
Enchainons au maximum ...

============================

Tu n'as pas de Firewall, c'est la 1ere des protections à installer pour un minimum de sécurité...
Le parefeu windows ne bloque QUE LES ENTREES, il ne bloque aucune sortie, ce qui fait que lorsque l'on est infecté, toutes les infos récupérées par les éditeurs de malwares peuvent sortir en douce sans que tu ne les apercoives, ce qui n'est pas le cas des parefeux suivants, qui bloque les entrées ET les sorties.

Tu DOIS ABSOLUMENT installer un FIREWALL, en voila 4, gratuits et performants :
Zone alarm, parefeu gratuit et performant :

• Téléchargement de ZoneAlarm : http://www.zonelabs.com/store/conten...&ctry=&lang=fr
• Tutorial de configuration : http://speedweb1.free.fr/frames2.php?page=tuto1

Kerio Personnal Firewall très bon et gratuit aussi :

• Téléchargement de Kerio : http://telechargement.zebulon.fr/kerio.html
• Tutorial de configuration : http://www.vulgarisation-informatique.com/kerio.php

Jetico, que je n'ai pas testé mais dont j'ai eu de très bons échos :

• Téléchargement de Jetico : http://www.jetico.com/download.htm
• Tutorial de configuration : http://www.malekal.com/tutorial_JeticoFirewall.php

Outpost

• Téléchargement d'Outpost : http://www.agnitum.com/products/outp...e/download.php
• Tutorial de configuration : http://c.rosu.free.fr/Conf_outpost.htm

============================

Clique sur Démarrer --> Exécuter --> Saisie ensuite ce qui suit :
SC stop IDriverT
Valide en cliquant sur Ok.
Recommence l'opération en saisissant ceci :
SC delete IDriverT

============================

Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau.
Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau. Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :

• Redémarre ton ordinateur
• Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
• A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
• Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
• Choisis ton compte.

Déroule la liste des instructions ci-dessous :

• Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.bat pour lancer le script.
• Appuie sur Y pour commencer le processus de nettoyage.
• Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
• Appuie sur une touche pour redémarrer le PC.
• Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
• Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
• Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.
• Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.
• Enfin, poste le contenu du fichier Report.txt dans ta prochaine réponse, en pièce jointe, sur le forum, avec un nouveau log Hijackthis !

N.B.:
- Le fichier SDFIX_README.htm (dans le dossier SDFix) contient la liste des malwares pris en compte par l'outil.

==========================

Relance OTmoveIT, comme demandé précédemment en copiant/collant ceci :

C:\vfjvjn.exe
C:\ebwrsj.exe
C:\WINDOWS\Temp\$_2341233.TMP
C:\WINDOWS\Temp\$_2341234.TMP

============================

Fais en nouveau scan en ligne chez Kaspersky et poste son rapport, ainsi que celui de SDFix et d'OTmoveIT.

Bonne journée

[invitea767330b]

bonjour synthexe

j'ai chargée zone alarm mais il faudra que je prenne plus de temps pour l'etudier. il me proposait de charger zone alarm security pour un essai ou zone alarm simple.
j'ai choisi le 2eme ai je bien fait?
.
ensuite j'ai fait SDfix et a la fin quand il a demande d'appuyer sur une touche j'ai plus rien eu j'ai attendu un bon moment . j'ai du eteindre l'ordi et en rallumant je n'ai pas eu la suite du chargement.
je suis un peu pressé donc je ferais tout cela a mon retour lundi.
merci pour tes conseils j'espere qu'on pourra continuer lundi et qu'on arrivera a bout.
bonne semaine
poupoune

[invite275db609]

Reu poupoune, pas de probleme, on continuera à ton retour de vacances ... que je te souhaite bonne d'ailleurs.

Tu as bien fait de choisir le 2eme ... il faudra repasser SDFix à ton retour.

Bonnes vacances

[invitea767330b]

Bonjour synthexe

Je me remet donc au boulot apres quelques jours de vacances.

j'ai en effet zone alarm mais alors il me demande toutes les minutes si j'autorise un programme ou non? et comme je ne sais pas a quoi ca correspond ben je refuse tout... et en fin de compte je le desactive pour le moment le temps de comprendre.

je dois donc refaire SDFix? dois je le desinstaller et le reinstaller ou je relance simplement en mode sans echec?

Que dois je faire d'autres j'ai encore quelques jours de vacances pour m'y atteler

merci de ton aide

[invite275db609]

Bonsoir

Oui, le mieux est de désinstaller/supprimer SDFix et de le retélécharger et éxécuter à nouveau les consignes.

Pour Zone alarm : as-tu bien lu le tutorial, une fois bien configuré, il ne te demandera les acces que pour les nouveaux programmes, pour ceux qui sont récurrent et que tu sais légitime, crée une "règle", du coup, il ne te demandera plus à chaque fois.

Bonne soirée

[invitea767330b]

Bonjour

J'ai donc refait SDFix qui cette fois ci a bien fonctionné!! je te poste le rapport.
j'ai fait diaghelp egalement.
Dois je faire aussi OTmoveIt en copiant collant les fichiers cités dans un de tes messages plus haut?
J'attends tes informations pour faire la suite mais je sens qu'ont est proche n'est ce pas?
merci synthexe

[invite275db609]

Bonjour

Super, bon travail.

Oui, fais la procédure avec OTmoveIT (il ne devrait trouver que les 2 premiers fichiers).

On s'approche du but, je te le confirme, petites vérifications :

• Fais un scan en ligne Kaspersky avec Internet Explorer :
• Dans la nouvelle fenêtre, clique sur J'accepte.
• Valide l'installation d'un ou de plusieurs ActiveX si c'est nécessaire.
• Patiente pendant l'installation des Mises à jour.
• Choisis par la suite l'analyse du Poste de travail
• Sauvegarde puis colle le rapport généré en fin d'analyse.

AIDE : Configurer le contrôle des ActiveX
NOTE : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée", va dans Ajout/Suppression de programmes puis désinstalle On-Line Scanner, reconnecte toi sur le site de Kaspersky pour retenter le scan en ligne.

===========================

Poste les rapports demandés : OTmoveIT, KasperskyOnline et un nouveau hijackthis.

Bonne journée

[invitea767330b]

Bonjour synthexe

Quelle deception en faisant kaspersky et en voyant le resultat sniff 4 virus trouvé. Moi qui croyais en venir a bout!!!!
Je te poste les 3 rapports.
Merci beaucoup pour la suite.
A très vite j'espere

[invitea767330b]

re bonsoir

J'ai fait une analyse avec AVg antispyware et je te poste le rapport.
Mon antivirus m'affiche meme quand je ne suis pas connectée un message d'alerte avec ce nom la:

C:\System Volume Information\_restore{173A3597-A61A-4CE5-9CF4-F86321793F2A}\RP1\A0000025.exe -> Hijacker.Costrat.be : Nettoyé et sauvegardé (mise en quarantaine).

AVg a detecté aussi cela, qu'est ce exactement?
J'attends donc la suite avant de faire autre chose
merci
bonne soirée.

[invite275db609]

Bonsoir

Quelle deception en faisant kaspersky et en voyant le resultat sniff 4 virus trouvé. Moi qui croyais en venir a bout!!!!

Ne te fais pas de soucis, ce que Kaspersky a trouvé est NON-ACTIF, car situé dans la restauration systeme et dans la quarantaine d'OTmoveIT, aucun souci à avoir donc.

Si tu n'as plus de dysfonctionnements, fais ce qui suit (si tu en as encore, décris-les le plus précisement possible) :

• Clic droit sur Poste de travail --> Propriétés --> onglet Système de restauration
• Coche la case "Désactiver le système de restauration..."
• Redémarre l'ordinateur
• Après redémarrage, retourne dans le même onglet pour rétablir le Système de restauration
• Décoche la case "Désactiver le système de restauration..."

Et voila, un nouveau point de restauration qui est a priori propre.

Désinsalle/supprime tout ce que je t'ai fait télécharger (sauf bien sur le firewall), tu peux aussi garder ATF-Cleaner.

Lis bien le dossier de prevention pour éviter de rattraper ce genre d'infection. La sécurisation est un tout et passe entre autre par un Antivirus, un firewall et un antispyware, correctement paramétrés.

Si tu as des questions n'hésite surtout pas à nous les poser, nous sommes aussi là pour çà.

Maintenant que ton ordinateur est désinfecté, tu as aussi la possibilité de nous aider à poursuivre les créateurs de ces malwares en justice en déposant un témoignage de ton infection sur Malware Complaints.

Pour cela, rends-toi sur Malware Complaints, et inscris-toi sur le forum.
Poste une réponse (en cliquant sur Post reply) dans ce type d'infection : Autres Infections
Ton infection était Backdoor.Win32.IRCBot.acd, Trojan-Downloader.Win32.Murlo.fo, Trojan-Clicker.Win32.Costrat.be, Trojan-Proxy.Win32.Dlena.cq

Aide-toi des règles de Malware Complaints pour formater ton message.
Merci de ton aide

Bonne fin de journée

[invitea767330b]

Bonjour synthexe

Merci ca me rassure alors!!
la seule chose qui est bizarre c'est mon anti virus qui me met une alerte que je sois connectee ou non avec plusieurs fichiers de ce genre et quand je fais analyser avec lui il met 0 objets infectés ou suspicieux.

nom du fichier inscrit:
C:\system volume information_restore{173A3597-A61A-4CE5-9CF4-F86321793F2A}Rp1\A000056.exe is a destructive programme named W32/Trojan.AYRD
Que dois faire avec ca?

Pas la peine que je garde AVG anti spy?
je garde ATcleaner,zone alarm et?

Je mettrais bien sur un mot pour me plaindre car je ne comprend pas le but de ces virus c'est vraiment juste pour embeter!!!!
et je mettrais aussi que vous etes super clair dans vos explications et tres attentifs.

puis je encore te solliciter pour quelques questions?

merci je vais faire ce que tu as dit pour la restauration.

bonne journée

[invite275db609]

Bonjour poupoune13

nom du fichier inscrit:
C:\system volume information_restore{173A3597-A61A-4CE5-9CF4-F86321793F2A}Rp1\A000056.exe is a destructive programme named W32/Trojan.AYRD
Que dois faire avec ca?

As-tu bien vider/recréer un nouveau point de restauration, comme demandé dans mon message précédent ? Si oui, tu ne devrais plus avoir cette alerte (elle est liée à la restauration systeme, non-active, c'est pour cela que je te demandais de la vider dans mon post ci-dessus)

Pas la peine que je garde AVG anti spy?
je garde ATcleaner,zone alarm et?

Tu peux effectivement garder AVG-AS, ATFCleaner et zone alarm, le reste de ce que je t'ai fait télécharger, tu désinstalles/supprimes tout. Penses bien aussi à supprimer le dossier C:\_OTmoveIT.

Je mettrais bien sur un mot pour me plaindre car je ne comprend pas le but de ces virus c'est vraiment juste pour embeter!!!!

Non non, ce n'est pas juste pour embeter, mais pour faire de l'argent, beaucoup d'argent ... et oui, ca rapporte un max de faire des malwares ...

et je mettrais aussi que vous etes super clair dans vos explications et tres attentifs.

Merci pour ces mots, n'en fais/dis pas trop, je risquerais de ne plus rentrer dans mes chaussures, lol.

puis je encore te solliciter pour quelques questions?

Aucun problème, si j'ai les réponses.

Bonne journée

[invitea767330b]

Bonjour synthexe

Et bien je crois qu'on y est arrivé, j'ai fait point de restauration et pour le moment ca a l'air ok.
penses tu que mon pc est propre maintenant et que je ne risque rien?

j'ai refait une analyse AVg et juste un cookie detecté!

j'ai eu pas mal de probleme avec zone alarme, qui me demandait sans cesse d'autoriser ou de bloquer '' generic Host process for win 32 services' et quand je bloque je n'ai plus de navigation...

je suis allee lire sur les forums et a priori c'est normal, donc j'ai autorise dans zone alarm acces et j'ai bloque generic Host process dans case serveur.
ai je bien fait? est ce normal cet alerte de zone alarme.

voila je pense que pour le moment ca ira pour les questions je t'ai pas mal sollicité et je te remercie beaucoup de ton attention et de toutes tes explications.

bonne journée

[invitea767330b]

re bonjour
je n'ai pas reussi a m'inscrire sur le forum complaint, quand je met post reply je dois mettre mon pseudo et password et il repond inconnu?
ou exactement dois je m'inscrire stp?
merci

[yoda1234]

Bonjour,

tu dois d'abord t'inscrire en cliquant ici (register).

[invitea767330b]

Bonjour
C'est encore moi pour une question
ma souris parfois se dirige seule ou part a l'inverse de ou je veux aller..je me demande d'ou cela peut venir d'autant plus que par exemple ma soeur a le meme soucis sur son pc.
est ce un probleme de souris ou est ce un virus.
j'ai tout scanné et n'ai rien trouvé a ce jour.
merci de votre aide
poupoune13

[invite275db609]

Bonsoir

Cela peut-etre du à un trojan, qui laisse à quelqu'un le control de ta machine (subseven faisait ca par exemple)
As-tu vérifier la configuration de ta souris ? Peut-etre (supposition) cela est du à un conflit matériel ...?

Bonne soirée