VIRUS ALERT ! Le retour mais en pire !

[Arethusa]

Bonjour.

J'ai avec moi 2 PC, un portable est une tour en xp home sp2.

Et les deux ont le même problème ! Il y a "VIRUS ALERT !" de gréfé a l'heure, (par exemple, meme les logiciel se font berner, exemple "dernier mise à jours '10h20 VIRUS ALERT !'

Donc le truc est vraiment incrusté quoi.

De plus, les deux PC n'ont plus accès à grand chose ! Par example, ctrl+alt+sup dit : le gestionnaire de tache à été désactivé par votre administrateur"

dans poste de travail, je ne voie pas les DD, dans démarrer, il n'y a presque rien non plus.

En mode sans échec, je peut accéder à la session administrateur, qui me confirme que mes utilisateurs bugé sont bien des admin !

J'avais deja supprimé le VIRUS ALERT ! avec Malwerbyte's mais cette foi ça passe pas (déjà posté sur ce forum)

j'ai utilisé :

Spybote
Ccleaner
Kaspersky
Smitfraudfix
Hijackthis
Malwerbyte

Tous à jour est en mode sans échec en admin.

ils ont tous trouver des truc à virer, mais le problème est tjr la.

A savoir, le "VIRUS ALERT !" tjr à coté de l'heure, et une session bugué sans aucun droit avec la moitié des chose utile inaccessibles.


Peut etre un virus un peut nouveau ? Vu que j'ai le même problème sur 2 PC sans aucun lien...

Bref, j'y travail encore, si quelqu'un a une solution... Sinon je vous tien bien sur au courant de l'avancement !

Merci.

[Arethusa]

J'ai recrée des sessions, celle-la ne sont plus bugé et le VIRUS ALERT n'est plus la.

Il est donc possible que mes session doit définitivement foutu, je vais quand même faire une réparation windows pour voir, au pire un transfert de document d'une session a l'autre ne devrai pas poser de problème.

[r@in | b0w]

Bonjour.

SmitFraudix semblerait être à même de le supprimer mais tu dis l'avoir utilisé.

Tu l'as utilisé en Mode sans échec? Choix 2, 3 ou/et 5?

Fais-nous un petit scan HiJackThis pour qu'on trouve d'où vient le problème, sûrement une installation frauduleuse...

[Arethusa]

Bon, y'a un moment ont peut plus ^^

la nouvelle session crée fonctionne tres bien, je vais donc suprimer l'autre, et changer le chemun de mes doc, et recopier sont bureau...


sinon le hijackthis :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:00:00, on 08/07/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Safe mode

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSExplorer.EXE
J:UtilitairsHijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:Program FilesAdobeAcrobat 7.0ActiveXAcroIEHelper.dll
O2 - BHO: (no name) - {468FCCA6-F1AF-48B9-8B49-2839DFEE7085} - C:WINDOWSsystem32efcCrQGW.dll
O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:Program FilesKaspersky LabKaspersky Internet Security 2009ievkbd.dll
O2 - BHO: (no name) - {5D72C2A4-9AC6-4727-A705-CEA1F0220B78} - C:WINDOWSsystem32urqRJATJ.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:Program FilesJavajre1.6.0_05inssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:program filesgooglegoogletoolbar3.dll
O4 - HKLM..Run: [AVP] "C:Program FilesKaspersky LabKaspersky Internet Security 2009avp.exe"
O4 - HKLM..Run: [NvCplDaemon] RUNDLL32.EXE C:WINDOWSsystem32NvCpl.dll,NvStartup
O4 - HKLM..Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM..Run: [nwiz] nwiz.exe /install
O4 - HKLM..Run: [NvMediaCenter] RUNDLL32.EXE C:WINDOWSsystem32NvMcTray.dll,NvTaskbarInit
O4 - HKCU..RunOnce: [SpybotDeletingB920] command /c del "C:WINDOWS
qgpedlr.dll_tobedeleted_old"
O4 - HKCU..RunOnce: [SpybotDeletingD6201] cmd /c del "C:WINDOWS
qgpedlr.dll_tobedeleted_old"
O4 - HKCU..RunOnce: [SpybotDeletingB6562] command /c del "C:WINDOWSaxrfgvek.dll_tobedeleted_old"
O4 - HKCU..RunOnce: [SpybotDeletingD555] cmd /c del "C:WINDOWSaxrfgvek.dll_tobedeleted_old"
O9 - Extra button: Statistiques de la protection du trafic Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:Program FilesKaspersky LabKaspersky Internet Security 2009SCIEPlgn.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengermsmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengermsmsgs.exe
O20 - AppInit_DLLs: C:PROGRA~1KASPER~1KASPER~1mzvkbd.dll,C:PROGRA~1KASPER~1KASPER~1adialhk.dll,C:PROGRA~1KASPER~1KASPER~1kloehk.dll
O20 - Winlogon Notify: urqRJATJ - C:WINDOWSSYSTEM32urqRJATJ.dll
O23 - Service: Kaspersky Internet Security (AVP) - Kaspersky Lab - C:Program FilesKaspersky LabKaspersky Internet Security 2009avp.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:WINDOWSsystem32rsvc01a.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:Program FilesFichiers communsLightScribeLSSrvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:WINDOWSsystem32
vsvc32.exe

--
End of file - 3146 bytes


A noter que j'avai deja tout virer sauf le kaspersky.

Merci.

Probleme non résolu compltement, mais contourné...

[r@in | b0w]

Yep.

Tu as bien des fichiers infectés:

O2 - BHO: (no name) - {468FCCA6-F1AF-48B9-8B49-2839DFEE7085} - C:WINDOWSsystem32efcCrQGW.dll
O2 - BHO: (no name) - {5D72C2A4-9AC6-4727-A705-CEA1F0220B78} - C:WINDOWSsystem32urqRJATJ.dll
O20 - Winlogon Notify: urqRJATJ - C:WINDOWSSYSTEM32urqRJATJ.dll

Je suppose que les fichiers suivants:

O4 - HKCU..RunOnce: [SpybotDeletingB920] command /c del "C:WINDOWS
qgpedlr.dll_tobedeleted_old"
O4 - HKCU..RunOnce: [SpybotDeletingD6201] cmd /c del "C:WINDOWS
qgpedlr.dll_tobedeleted_old"
O4 - HKCU..RunOnce: [SpybotDeletingB6562] command /c del "C:WINDOWSaxrfgvek.dll_tobedeleted_old"
O4 - HKCU..RunOnce: [SpybotDeletingD555] cmd /c del "C:WINDOWSaxrfgvek.dll_tobedeleted_old"

sont de toi.

Au sujet des trois lignes infectieuses HJT, sans appel: Vundo.

Si tu n'as pas traité la chose encore,

Tu télécharges ComboFix.exe.

Tu le lances ensuite en double cliquant dessus, tu confirmes l'ouverture en cliquant sur Exécuter.

A la fenêtre Disclaimer, tu tapes sur [1].

L'analyse se lancera par la suite avec création d'un point de restauration et sauvegarde des fichiers Windows.
Patientes, ComboFix nettoie en 41 étapes.

Tu ne t'inquiètes surtout pas, il se charge de tout.
Laisse-le faire et suis bien les instructions à l'écran, il est possible qu'il te demande de redémarrer.

Surtout, tant que tu n'as pas un message de ComboFix t'informant que le ménage est terminé, tu ne fais rien de plus que ce que l'utilitaire t'indique, c'est important car il peut être long mais travaille efficacement.

Quand tout sera fini, tu liras:

Code: Tout sélectionner

Almost done... This window will close in a short while
Please wait a few seconds for the report log to pop up

ComboFix's log shall be located at C:ComboFix.txt

Sinon, il semblerait que VirusAlert ne soit plus là, mais:

Tu l'as utilisé en Mode sans échec? Choix 2, 3 ou/et 5?

Et au fait, MAJ de la version d'Internet Explorer à faire

[Arethusa]

Merci.

Pour smitFraudFix, j'ai fait tout les options, et bien sur en mode sans echec.

le Virus aleret ee tjr la sur les vielle session, mais bon, la j'en ai recreer d'autre, qui ne pause pas de probleme.

Tout foi, je v utiliser ton lien pour bien finir de netoyer ces PC.

Merci pour ton aide, encor un pti soft qui poura m'etre util ^^

[r@in | b0w]

Très utile et que je recommande pour Vundo.

Ayant testé tous les fix possibles, il n'y a que ComboFix qui m'a allégé de cette bestiole.

Pour VirusAlert, curieux qu'il ne l'enlève pas... peut-être que ComboFix finira le ménage.

[Arethusa]

vu que j'ai supprimé les session avec le ALERT VIRUS, je ne peut plus vraiement voir si ça a fait effet, tout foi, il m'a bien virer des truc.

donc voila un soft ajouté sur ma clef usb^^

un grand penseur a dit " after the rain, always the sun shine"

et moi je dit "when the sun shine after the rain, maybe the Rainbow could show the road" (enfin si mon englais et bon ^^)

[r@in | b0w]

Tu es trop bon avec moi mon cher Arethusa

J'espère que ta machine est enfin propre.

Si dans le prochain log HJT tu retrouves des dll inexistantes ou des VirusAlert, il faudra s'y repencher.
Et pour couronner le tout, un scan antivirus en ligne devrait suffire.

Ps: tutorial ComboFix officiel ici.

[Arethusa]

Re ! j'ai eu 2 autres PC dans le meme etat que cela.

Combofix aura donc bien aidé, avec l'aide de SmitfraudFix et SmitRem, et autre spybote et malwerbyte.

J'ajouterai une information capital, il ne faut pas lancer ces programmes en administrateur ! mais absolument dans la sesion contaminé, sinon ça ne fonctionne pas (en mode dans echec bien sur).

Je rapelle qu'a la base, tous ces PC avaient ALERT VIRUS à coté de l'heure, et qu'il n'avai plus accés au poste de travail ni meme au gestionnair de tache.

Sur un des PC, meme en mode sans echec il n'y avai plus l'icone du poste de travail, donc en Administrateur, j'ai fait un copier collé du poste de travail dans documents ans seting>user>bureau , ducou dans la session User, j'avai bien un poste de travail ^^ (petit finte pratique)

Voila !

[Arethusa]

Parcontre la vertion de combofix de ton lien, donc celle que j'avai sur ma clef usb, ne fonctionne plus :/, celle de 2.31Mo parcontre celle de 2.53 Mo fonctionne : sur ForoSpyware.com
(le 2 iem lien de DL dans ton lien vers le didacticiel)