[ok] pc contaminé

[nickW]

Bonjour,

Je voudrais que tu me transmettes certains des fichiers signalés comme infectés pour vérifier s'ils sont réellement dangereux.

Méthode:

Note préliminaire importante:
Ces fichiers sont infectés. Il ne faut donc pas faire de double clic dessus, ce qui les ouvrirait dans un navigateur.
Il faut uniquement faire un clic droit dessus pour les compresser dans une archive.


Dans l'Explorateur, ouvrir le dossier F:\logiciels\architecte 3D\Programme

Mettre le fichier Default.htm dans une archive zip que tu nommeras archive.zip


Dans l'Explorateur, ouvrir le dossier F:\logiciels\Flash 5\Aide\ActionScriptDictionary\html

Ajouter à l'archive archive.zip les fichiers 01_overview1.html, 01_overview2.html, 01_overview3.html et 01_overview4.html

Déposer l'archive archive.zip sur YouSendIt

A suivre,

[ginie2449]

Bonsoir nickW,

voici ce que tu m'as demandé :
http://download.yousendit.com/A6176DE642967C62
qu'en penses-tu ?

Virginie

[ginie2449]

Bonjour,
je ne sais pas si tu as regardé si les fichiers infectés étaient dangereux...
j'ai une question autre : je voudrai installer windows xp familial à la place de windows xp pro que je ne peux pas mettre à jour. Comment dois-je m'y prendre ? j'ai vu qu'il y avait une section windows sur le forum mais je n'ai pas trouvé ce que je cherchais. Peux-tu m'aiguiller ? et je suppose qu'il faut que l'ordinateur soit propre pour faire cette manip...?

Merci

[nickW]

Bonjour,

Après des heures de recherches et tests, j'ai enfin trouvé une façon simple (malgré de petites manipulations de ta part) de réparer les fichiers infectés du disque F:


1/ Télécharger et installer grepWin
Page officielle: http://tools.tortoisesvn.net/grepWin
Téléchargement direct: http://grepwin.googlecode.com/files/grepWin-1.2.7.msi


2/ Désactiver le module de surveillance en temps réel de l'antivirus et de l'antispyware.


3/ Naviguer jusqu'au dossier F:\logiciels de jeux, faire un clic droit dessus et choisir RegexSearch

Attention: les paramètres ci-dessous sont tous très importants pour la réussite de cette manip. Il faut les saisir avec soin!

Dans l'écran de grepWin, il y a plusieurs paramètres à positionner:

Dans le paragraphe Search in
Si ce n'est déjà fait, naviguer jusqu'au dossier F:\logiciels de jeux et le sélectionner

Dans le paragraphe Search
*- Cocher Regex search
*- Dans Search for: copier exactement ce qui se trouve ci-dessous dans la zone blanche située sous Code:

Code: Tout sélectionner

^<OBJECT type="application/x-oleobject"CLASSID="CLSID.*"></OBJECT>

*- Dans Replace with: copier exactement ce qui se trouve ci-dessous dans la zone blanche située sous Code:

Code: Tout sélectionner

<!-- correction -->

*- décocher la case Search case-sensitive
*- cocher la case Create backup files

Dans le paragraphe Limit search
*- cocher All sizes
*- décocher Include system folders
*- décocher Include hidden items
*- cocher Include subfolders
*- décocher Include binary files
*- dans la case qui suit Files which match: copier exactement ce qui se trouve ci-dessous dans la zone blanche située sous Code:

Code: Tout sélectionner

*.htm*

*- juste sous cette case cocher Text match

Cliquer sur le bouton Replace

La liste des fichiers modifiés s'affiche en bas.

Très important:
Noter le nombre de fichiers scannés (Searched *** files)
le nombre de fichiers omis (skipped *** files)
le nombre de fichiers traiés (found *** files which match the search parameters)


Recommencer exactement la même manip en partant du dossier F:\logiciels


4/ Réactiver le module de surveillance en temps réel de l'antivirus et de l'antispyware.


5/ Pour vérification, refaire un scan en ligne avec Kaspersky.

A suivre,

[ginie2449]

Bonjour nickW,

je te suis très reconnaissante du temps que tu passes à essayer de m'aider, je t'en remercie vivement...

j'ai effectué les manipulations que tu m'as indiquées.
Au niveau des "logiciels de jeux" voici ce que ça donne :
fichiers scannés : 224
fichiers omis : 11815
fichiers traités : 221

au niveau "logiciels" :
fichiers scannés : 1044
fichiers omis : 27090
fichiers traités : 960

j'ai refait une analyse avec kaspersky, c'est déprimant, toujours des virus dans F !
voici le résultat :
http://www.yousendit.com/download/TTdFK ... Y3JIRGc9PQ

Virginie

[nickW]

Bonsoir,

c'est déprimant

Pas du tout!

N'entends-tu pas mon cri de victoire?


Les seuls fichiers infectés sont:
[action à effectuer]

*- sur C: le fichier archive.zip situé sur le Bureau
Ce sont des fichiers infectés que tu m'a transmis.
Supprimer ce fichier archive.zip situé sur le Bureau

*- sur C: le dossier Quarantaine de DoctorWeb
Vider la quarantaire de DoctorWeb

*- sur C: le dossier de sauvegarde de SDFix
Supprimer le dossier C:\SDFix\backups_old1

*- sur C: le dossier C:\WINDOWS\system32\i
Supprimer ce dossier C:\WINDOWS\system32\i (en mode sans échec si nécessaire)

*- sur F: les sauvegardes des fichiers infectés avant réparation par grepWin
Il faudrait essayer d'utiliser l'aide de quelques logiciels trouvés sur F, ou d'ouvrir quelques fichiers ayant l'extension HTM ou HTML.
S'il n'y a pas de problème, il faut supprimer ces sauvegardes de fichiers infectés:
supprimer tous les fichiers ayant l'extension .BAK dans les dossiers ci-dessous:
F:\logiciels de jeux\Chicken Invaders
F:\logiciels de jeux\data
F:\logiciels de jeux\rock manager
F:\logiciels de jeux\rock manager\Helpfiles
F:\logiciels de jeux\support\EA Help
F:\logiciels de jeux\support\EA Help\whdata
F:\logiciels de jeux\support\EA Help\whgdata
F:\logiciels\architecte 3D\Programme
F:\logiciels\Flash 5
F:\logiciels\Flash 5\Aide\ActionScriptDictionary
F:\logiciels\Flash 5\Aide\ActionScriptDictionary\html
F:\logiciels\Flash 5\Aide\ActionScriptReference
F:\logiciels\Flash 5\Aide\ActionScriptReference\html
F:\logiciels\Flash 5\Aide\UsingFlash
F:\logiciels\Flash 5\Aide\UsingFlash\html
F:\logiciels\Flash 5\Lecteurs
F:\logiciels\Flash 8\fr\First Run\HelpPanel\_sharedassets
F:\logiciels\Flash 8\fr\First Run\HTML\Learning Extensions Srvr Files
F:\logiciels\Office\1036
F:\logiciels\Settings\MovieManager\Templates
F:\logiciels\Settings\virtualdubmod\Source\VirtualDub\docs


*- sur F: des fichiers du dossier de la Restauration système
Pour vider ce dossier:
Démarrer---->Paramètres---->Panneau de configuration---->Système
Onglet Restauration du système
Sélectionner le disque F:
Cliquer sur Paramètres
Cocher Désactiver la Restauration système sur ce lecteur, valider par OK, confirmer par Oui
Sélectionner à nouveau le disque F:
Cliquer sur Paramètres
Décocher Désactiver la Restauration système sur ce lecteur, valider par OK


Un nouveau scan Kaspersky devrait être "propre".

A suivre,

[ginie2449]

Bonjour,

j'ai supprimé tous les fichiers que tu m'as indiqués et j'ai refait un scan avec Kaspersky et voilà le résultat...
Ne reste t-il pas quelques virus?

-------------------------------------------------------------------------------
KASPERSKY ON-LINE SCANNER REPORT
Sunday, July 06, 2008 2:14:41 PM
Système d'exploitation : Microsoft Windows XP Professional, Service Pack 1 (Build 2600)
Kaspersky On-line Scanner version : 5.0.83.0
Dernière mise à jour de la base antivirus Kaspersky : 6/07/2008
Enregistrements dans la base antivirus Kaspersky : 818580
-------------------------------------------------------------------------------

Paramètres d'analyse:
Analyser avec la base antivirus suivante: standard
Analyser les archives: vrai
Analyser les bases de messagerie: vrai

Cible de l'analyse - Poste de travail:
C:\
D:\
E:\
F:\
G:\
H:\

Statistiques de l'analyse:
Total d'objets analysés: 85767
Nombre de virus trouvés: 4
Nombre d'objets infectés: 15 / 0
Nombre d'objets suspects: 0
Durée de l'analyse: 02:23:12

Nom de l'objet infecté / Nom du virus / Dernière action
C:\Documents and Settings\All Users\Application Data\avg7\Log\emc.log L'objet est verrouillé ignoré
C:\Documents and Settings\All Users\Application Data\Grisoft\Avg7Data\avg7log.log L'objet est verrouillé ignoré
C:\Documents and Settings\All Users\Application Data\Grisoft\Avg7Data\avg7log.log.lck L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Cookies\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Local Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\NTUSER.DAT L'objet est verrouillé ignoré
C:\Documents and Settings\LocalService\ntuser.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\NetworkService\NTUSER.DAT L'objet est verrouillé ignoré
C:\Documents and Settings\NetworkService\ntuser.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\user\Cookies\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\user\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré
C:\Documents and Settings\user\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré
C:\Documents and Settings\user\Local Settings\Application Data\Musicmatch\Jukebox\mmjbaltlog.txt L'objet est verrouillé ignoré
C:\Documents and Settings\user\Local Settings\Application Data\Musicmatch\Jukebox\mmjblog.txt L'objet est verrouillé ignoré
C:\Documents and Settings\user\Local Settings\Application Data\Musicmatch\MIM\Database\Default.ldb L'objet est verrouillé ignoré
C:\Documents and Settings\user\Local Settings\Application Data\Musicmatch\MIM\Database\Default.mdb L'objet est verrouillé ignoré
C:\Documents and Settings\user\Local Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\user\Local Settings\Historique\History.IE5\MSHist012008070620080707\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\user\Local Settings\Temp\JETD949.tmp L'objet est verrouillé ignoré
C:\Documents and Settings\user\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré
C:\Documents and Settings\user\NTUSER.DAT L'objet est verrouillé ignoré
C:\Documents and Settings\user\ntuser.dat.LOG L'objet est verrouillé ignoré
C:\System Volume Information\tracking.log L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP23\A0012293.exe L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP49\A0077119.bat Infecté : Trojan-Downloader.BAT.Ftp.n ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP50\A0082119.bat Infecté : Trojan-Downloader.BAT.Ftp.n ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP50\A0083118.bat Infecté : Trojan-Downloader.BAT.Ftp.n ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP51\A0091558.com L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP52\A0094295.exe L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP53\A0094357.bat Infecté : Trojan-Downloader.BAT.Ftp.n ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP54\A0095391.bat Infecté : Trojan-Downloader.BAT.Ftp.n ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP65\A0130454.exe L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP66\A0130455.exe L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP66\A0131675.exe L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP68\A0138485.exe L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0149564.exe L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0150571.exe/l0v3ly.sys Infecté : Backdoor.IRC.Small.t ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0150571.exe/orrl.exe Infecté : not-a-virus:NetTool.Win32.Sniffer.c ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0150571.exe Instyler: infecté - 2 ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0150572.exe/l0v3ly.sys Infecté : Backdoor.IRC.Small.t ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0150572.exe/orrl.exe Infecté : not-a-virus:NetTool.Win32.Sniffer.c ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0150572.exe Instyler: infecté - 2 ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0150573.exe/l0v3ly.sys Infecté : Backdoor.IRC.Small.t ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0150573.exe/orrl.exe Infecté : not-a-virus:NetTool.Win32.Sniffer.c ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0150573.exe Instyler: infecté - 2 ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0150574.dll L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0150575.dll L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0150576.dll L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0150577.dll L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0150579.dll L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0150582.exe L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0150583.exe L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0150584.dll L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0150585.dll L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0150588.exe L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\A0152588.exe L'objet est verrouillé ignoré
C:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\change.log L'objet est verrouillé ignoré
C:\WINDOWS\Debug\PASSWD.LOG L'objet est verrouillé ignoré
C:\WINDOWS\SchedLgU.Txt L'objet est verrouillé ignoré
C:\WINDOWS\Sti_Trace.log L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\AppEvent.Evt L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\default L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\DEFAULT.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SAM L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SAM.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SecEvent.Evt L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SECURITY L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SECURITY.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\software L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SOFTWARE.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SysEvent.Evt L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\system L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\SYSTEM.LOG L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\CLMZGXUV\84785_winhtb[1].exe L'objet est verrouillé ignoré
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\W5URKT67\84785_winhtb[1].exe L'objet est verrouillé ignoré
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR L'objet est verrouillé ignoré
C:\WINDOWS\wiadebug.log L'objet est verrouillé ignoré
C:\WINDOWS\wiaservc.log L'objet est verrouillé ignoré
D:\System Volume Information\tracking.log L'objet est verrouillé ignoré
D:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\change.log L'objet est verrouillé ignoré
E:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\change.log L'objet est verrouillé ignoré
F:\logiciels\Office\1036\FEEDBACK.HTM Infecté : Net-Worm.Win32.Allaple.a ignoré
F:\System Volume Information\MountPointManagerRemoteDatabase L'objet est verrouillé ignoré
F:\System Volume Information\tracking.log L'objet est verrouillé ignoré
F:\System Volume Information\_restore{C71C6BBD-9CC3-4C56-8A08-3BA6ED81F675}\RP73\change.log L'objet est verrouillé ignoré

Analyse terminée.

[nickW]

Bonsoir,

Il reste sur le disque F un seul fichier infecté, que tu peux modifier manuellement:

Dans l'Explorateur ouvrir le dossier F:\logiciels\Office\1036

Sélectionner par un clic droit (surtout pas de double clic) le fichier FEEDBACK.HTM et choisir Ouvrir avec ... le Bloc-notes (sans cocher la case "Toujours utiliser ce programme...").

La deuxième ligne du fichier ressemble à ceci:

Code: Tout sélectionner

<OBJECT type="application/x-oleobject"CLASSID="CLSID:********-****-****-****-************"></OBJECT>

(*= chiffre ou lettre de A à F)

Il faut supprimer cette ligne puis enregistrer le fichier.


Les 14 autres fichiers détectés comme infectés sont dans le dossier de la Restauration système du disque C (nous viderons ce dossier et nous créerons un nouveau point de restauration lorsque tu m'auras dit si le PC fonctionne normalement ou non).

A suivre,

[ginie2449]

Bonsoir nickW,

j'ai modifié manuellement le fichier infecté sur le disque F comme tu me l'as indiqué.

Le pc semble mieux fonctionné, toutefois ce n'est pas encore parfait... Quand il est allumé un moment et que personne ne s'en sert il se bloque, seule la souris bouge mais aucune icône du bureau ne fonctionne, ni la barre des tâches, il faut alors éteindre l'ordinateur "de force". D'autres fois les boutons gauche et droit de la souris s'inversent, ou encore au démarrage la souris ne fonctionne pas du tout, il faut la débrancher et la rebrancher...

Je m'absente une dizaine jours à la fin de la semaine, je consulterai tes messages, mais ne je pourrais pas intervenir sur mon pc.

Merci
Virginie

[ginie2449]

Bonsoir,

me voici de retour !
Bon le fonctionnement de l'ordinateur ne s'est pas amélioré pendant mon absence toujours les mêmes bugs (cités dans le message précédent)
que faire des 14 fichiers détectés comme infectés ?
et puis-je installer windows xp familial à la place de xp pro ?

Virginie