generic artemis

[arthuroz]

bonjour, j'ai sur mon pc un virus nommé generic!artemis et avast n'arrive ni à le supprimer ni à le mettre en quarantaine. par contre il a supprimé un element qu'il sappelait backdoor.
comment dois-je faire pour me débarasser de ce virus?

[r@in | b0w]

Bonjour.

1_ Tu suis ce tutorial et tu nous postes le rapport généré.


2_ Tu télécharges Malwarebytes' Anti-Malware, tu l'installes puis tu procèdes à sa mise à jour.

Tu lances l'application en double-cliquant sur l'icône Malwarebytes' Anti Malware.

Tu cliques ensuite sur Exécuter un examen complet puis tu lances l'analyse en cliquant sur Rechercher.

_ Si l'utilitaire ne trouve rien de néfaste, cliques sur Ok. Le Bloc-notes va s'ouvrir avec le rapport d'analyse, celui-ci n'est pas intéressant car la machine est propre.
Tu peux fermer le Bloc-notes.

_ Si l'utilitaire trouve des éléments suspects, tu cliques sur Afficher les résultats puis sur Supprimer la sélection.
Tu enregistres le rapport d'analyse que tu nous copies-colles dans ton prochain message.

Il est possible que le programme te demande de redémarrer pour effectuer des suppressions supplémentaires, tu acceptes le redémarrage volontaire en cliquant sur Ok.

Ps: il faudra peut-être installer un autre antivirus pour venir à bout de ta bestiole.

Ps2: une backdoor est une porte dérobée permettant à un pirate de prendre le contrôle de ta machine.

[arthuroz]

voici le rapport:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:14:42, on 23/03/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32csrss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32WLTRYSVC.EXE
C:WINDOWSSystem32cmwltry.exe
C:Program FilesAlwil SoftwareAvast4aswUpdSv.exe
C:Program FilesAlwil SoftwareAvast4ashServ.exe
C:WINDOWSExplorer.EXE
C:WINDOWSOEM02Mon.exe
C:WINDOWSsystem32WLTRAY.exe
C:WINDOWSsystem32 undll32.exe
C:WINDOWSsystem32RUNDLL32.EXE
C:Program FilesSynapticsSynTPSynTPEnh.exe
C:Program FilesDellQuickSetquickset.exe
C:WINDOWSstsystra.exe
C:WINDOWSsystem32KADxMain.exe
C:WINDOWSsystem32spoolsv.exe
C:PROGRA~1ALWILS~1Avast4ashDisp.exe
C:WINDOWSsystem32ctfmon.exe
C:Program FilesGoogleGoogleToolbarNotifierGoogleToolbarNotifier.exe
C:Program FilesMessengermsmsgs.exe
C:WINDOWSSystem32spoolDRIVERSW32X863E_FATICDE.EXE
C:WINDOWSsystem32
vsvc32.exe
C:WINDOWSsystem32PSIService.exe
C:Program FilesSpyware Doctorsdhelp.exe
C:Program FilesOpenOffice.org 3programsoffice.exe
C:Program FilesOpenOffice.org 3programsoffice.bin
C:WINDOWSsystem32svchost.exe
C:Program FilesAlwil SoftwareAvast4ashMaiSv.exe
C:Program FilesAlwil SoftwareAvast4ashWebSv.exe
C:WINDOWSsystem32wbemwmiprvse.exe
C:WINDOWSSystem32alg.exe
C:WINDOWSsystem32wuauclt.exe
C:Program FilesInternet Exploreriexplore.exe
C:Program FilesSpyware Doctorswdoctor.exe
C:Program FilesAlwil SoftwareAvast4ashSimpl.exe
C:Documents and SettingsarthurozBureaumirage.exe
C:WINDOWSsystem32wbemwmiprvse.exe

R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.free.fr/
R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:Program FilesFichiers communsAdobeAcrobatActiveXAcroIEHelperShim.dll
O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:PROGRA~1SPYWAR~1 oolsiesdsg.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:Program FilesGoogleGoogle ToolbarGoogleToolbar.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:Program FilesGoogleGoogleToolbarNotifier5.0.926.3450swg.dll
O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:PROGRA~1SPYWAR~1 oolsiesdpb.dll
O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:Program FilesGoogleGoogle ToolbarComponentfastsearch_219B3E1547538286.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:Program FilesEPSONEPSON Web-To-PageEPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:Program FilesEPSONEPSON Web-To-PageEPSON Web-To-Page.dll
O3 - Toolbar: &Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:Program FilesGoogleGoogle ToolbarGoogleToolbar.dll
O4 - HKLM..Run: [OEM02Mon.exe] C:WINDOWSOEM02Mon.exe
O4 - HKLM..Run: [Broadcom Wireless Manager UI] C:WINDOWSsystem32WLTRAY.exe
O4 - HKLM..Run: [NvCplDaemon] RUNDLL32.EXE C:WINDOWSsystem32NvCpl.dll,NvStartup
O4 - HKLM..Run: [nwiz] nwiz.exe /installquiet
O4 - HKLM..Run: [NVHotkey] rundll32.exe nvHotkey.dll,Start
O4 - HKLM..Run: [NvMediaCenter] RUNDLL32.EXE C:WINDOWSsystem32NvMcTray.dll,NvTaskbarInit
O4 - HKLM..Run: [SynTPEnh] C:Program FilesSynapticsSynTPSynTPEnh.exe
O4 - HKLM..Run: [Dell QuickSet] C:Program FilesDellQuickSetquickset.exe
O4 - HKLM..Run: [DELL Webcam Manager] "C:Program FilesDellDell Webcam ManagerDellWMgr.exe" /s
O4 - HKLM..Run: [SigmatelSysTrayApp] stsystra.exe
O4 - HKLM..Run: [KADxMain] C:WINDOWSsystem32KADxMain.exe
O4 - HKLM..Run: [Adobe Reader Speed Launcher] "C:Program FilesAdobeReader 9.0ReaderReader_sl.exe"
O4 - HKLM..Run: [NeroFilterCheck] C:WINDOWSsystem32NeroCheck.exe
O4 - HKLM..Run: [avast!] C:PROGRA~1ALWILS~1Avast4ashDisp.exe
O4 - HKCU..Run: [CTFMON.EXE] C:WINDOWSsystem32ctfmon.exe
O4 - HKCU..Run: [swg] C:Program FilesGoogleGoogleToolbarNotifierGoogleToolbarNotifier.exe
O4 - HKCU..Run: [MSMSGS] "C:Program FilesMessengermsmsgs.exe" /background
O4 - HKCU..Run: [EPSON Stylus DX7400 Series] C:WINDOWSSystem32spoolDRIVERSW32X863E_FATICDE.EXE /FU "C:WINDOWSTEMPE_SE2.tmp" /EF "HKCU"
O4 - HKCU..Run: [Spyware Doctor] "C:Program FilesSpyware Doctorswdoctor.exe" /Q
O4 - HKUSS-1-5-19..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUSS-1-5-20..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'SERVICE RESEAU')
O4 - HKUSS-1-5-18..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'SYSTEM')
O4 - HKUS.DEFAULT..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 3.0.lnk = C:Program FilesOpenOffice.org 3programquickstart.exe
O4 - Global Startup: Microsoft Office.lnk = C:Program FilesMicrosoft OfficeOffice10OSA.EXE
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:WINDOWSsystem32GPhotos.scr/200
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:PROGRA~1MICROS~3Office10EXCEL.EXE/3000
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:PROGRA~1SPYWAR~1 oolsiesdpb.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengermsmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengermsmsgs.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:Program FilesAlwil SoftwareAvast4aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:Program FilesAlwil SoftwareAvast4ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:Program FilesAlwil SoftwareAvast4ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:Program FilesAlwil SoftwareAvast4ashWebSv.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:Program FilesGoogleCommonGoogle UpdaterGoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:Program FilesFichiers communsInstallShieldDriver1050Intel 32IDriverT.exe
O23 - Service: McAfee Real-time Scanner (McShield) - Unknown owner - C:PROGRA~1McAfeeVIRUSS~1mcshield.exe (file missing)
O23 - Service: McAfee SystemGuards (McSysmon) - Unknown owner - C:PROGRA~1McAfeeVIRUSS~1mcsysmon.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:WINDOWSsystem32
vsvc32.exe
O23 - Service: ProtexisLicensing - Unknown owner - C:WINDOWSsystem32PSIService.exe
O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - C:Program FilesSpyware Doctorsdhelp.exe
O23 - Service: Dell Wireless WLAN Tray Service (wltrysvc) - Unknown owner - C:WINDOWSSystem32WLTRYSVC.EXE

--
End of file - 7551 bytes

[arthuroz]

Malwarebytes' Anti-Malware 1.34
Version de la base de données: 1889
Windows 5.1.2600 Service Pack 2

23/03/2009 23:44:26
mbam-log-2009-03-23 (23-44-26).txt

Type de recherche: Examen complet (C:|)
Eléments examinés: 202941
Temps écoulé: 1 hour(s), 10 minute(s), 54 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 1
Fichier(s) infecté(s): 10

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
C:Documents and SettingsCamilleApplication Data hcp22j0e38g (Rogue.Multiple) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):
C:Documents and SettingsCamilleLocal SettingsTemp.tt1.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:Documents and SettingsCamilleLocal SettingsTemp.tt2.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:Documents and SettingsCamilleLocal SettingsTemp.tt3.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:Documents and SettingsCamilleLocal SettingsTemp.tt4.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:Documents and SettingsCamilleLocal SettingsTemp.tt5.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:Documents and SettingsCamilleLocal SettingsTemp.tt7.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:Documents and SettingsCamilleLocal SettingsTemp.tt8.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:Documents and SettingsCamilleLocal SettingsTemp.ttB.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:Documents and SettingsCamilleLocal SettingsTemp.ttD.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:Documents and SettingsCamilleLocal SettingsTemp.ttE.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.

[arthuroz]

Malwarebytes' Anti-Malware a viré qqs trucs mais en refaisant un scan avec avast il trouve win32 adware-gen qu'il n'arrive pas à supprimer.
il est dans c:systeme volume information-restore

comment l'enlever? aidez moi svp.

[arthuroz]

personne ne peut m'aider?

[r@in | b0w]

Bonjour.


_ Via HiJackThis, tu supprimes les lignes:

O4 - HKLM..Run: [Adobe Reader Speed Launcher] "C:Program FilesAdobeReader 9.0ReaderReader_sl.exe"
O4 - HKCU..Run: [MSMSGS] "C:Program FilesMessengermsmsgs.exe" /background


_ Tu désinstalles Spyware Doctor, Mbam le remplace et reste plus performant.


_ Ta version d'Internet Explorer n'est pas à jour. Tu installes la version 7 ici.


_ Tu relances Mbam pour faire un nouvel examen complet.


_ Pour le fichier dans ...restore:

Dans un premier temps, il faut supprimer tous les points de restauration.

Pour cela, cliques sur Poste de travail puis Propriétés.
Onglet Restauration automatique du système, tu coches la ligne Désactiver la restauration du système puis tu valides par Ok.
Tu confirmes la suppression de tous les points de restauration, puis tu cliques sur Appliquer et/ou Ok.

Ensuite, il faut réactiver la restauration automatique du système.

Tu refais la manipulation précédente pour relancer les propriétés du Poste de travail.
Tu décoches la ligne puis cliques sur Appliquer & Ok.

Tu auras créer un point de restauration propre.

[arthuroz]

c'est quoi ces lignes?
O4 - HKLM..Run: [Adobe Reader Speed Launcher] "C:Program FilesAdobeReader 9.0ReaderReader_sl.exe"
O4 - HKCU..Run: [MSMSGS] "C:Program FilesMessengermsmsgs.exe" /background

[r@in | b0w]

J'explique une fois, pas deux, tu comprendras que je n'ai pas assez de temps pour aider aux désinfections alors tout expliquer...

Ce sont des lignes de registre lançant ces programmes (Adobe Reader & MSN) au démarrage de ta session Windows.

Supprime-les si tu penses que ces logiciels ne servent à rien en étant toujours lancé (ce que je pense).

Ensuite, on passe à la suite, c'est suffisamment explicite je l'espère.

[arthuroz]

j'ai essayé d'installer internet explorer 7, la mise à jour se fait bien mais lorsque je fais un scan avec HiJackThis il y a toujours marqué version 6.

[r@in | b0w]

Bonjour.

Tu es certain de l'avoir installé? Tu as redémarré ta machine ensuite?

Continue le nettoyage et poste les rapports.