FORUM D’ENTRAIDE INFORMATIQUE (FEI)Site d’assistance et de sécurité informatique

[g3n-h@ckm@n]

faut faire TOUTES les mises à jour de windows et internet explorer aussi

[grisouille78]

Toutes les maj proposées par Windows update sont passées..
Il y en avait tres peu, Update est actif et en principe, je valide toutes celles qui sont proposées ..
je n'avais pas fait depuis que je me suis apperçu que j'avais Brontok.. (environ 3 à 4 semaines)

Que dois je faire maintenant, ?? la désinfection est elle terminée???

[g3n-h@ckm@n]

internet explorer a été mis à jour ?

[grisouille78]

Je crois qu'il y avait une maj IE6 dans les maj proposées...

Par contre faut il passer sur un autre IE???
Je ne l'utilise pas... j'utilise Chrome...

[g3n-h@ckm@n]

chrome pas bon....rammasse-mer$e , surtout si il est synchronisé avec ton compte gmail alors là c'est pire que tout

fadrait penser à installer internet explorer , au moins le 9 ^^

[g3n-h@ckm@n]

bon j'ai fait un enorme travail sur usbfix , et il se trouve que j'ai decouvert que tu as encore des fichiers appartenant à brontok dans ton pc.

ta page verte brontok qui s'affichait , c'est une page html ( codage internet ) qui se trouve dans c:\users\ta session\mes images\About.Brontok.A
il y a aussi une application dans tes documents qui s'apelle "documents.exe" ne clique pas dessus te vas reinstaller toute l infection
il se peut que tu aies aussi c:\windows\system32\"ton de session" 's settings.scr

pour plus de securité repasse la version bêta que je viens de mettre à jour après avoir desinstallé usbfix en le relancant et cliquant sur "désinstaller"

lien de rappel :

http://www.aht.li/2132853/UsbFix.exe

voici les resultats de mes derniers tests :

Supprimé! : C:\Users\g3n-h@ckm@n\AppData\Local\csrss.exe
Supprimé! : C:\Users\g3n-h@ckm@n\AppData\Local\inetinfo.exe
Supprimé! : C:\Users\g3n-h@ckm@n\AppData\Local\lsass.exe
Supprimé! : C:\Users\g3n-h@ckm@n\AppData\Local\services.exe
Supprimé! : C:\Users\g3n-h@ckm@n\AppData\Local\smss.exe
Supprimé! : C:\Users\g3n-h@ckm@n\AppData\Local\svchost.exe
Supprimé! : C:\Users\g3n-h@ckm@n\AppData\Local\winlogon.exe
Supprimé! : C:\Users\g3n-h@ckm@n\AppData\Local\br7515on.exe
Supprimé! : C:\Users\g3n-h@ckm@n\AppData\Roaming\Microsoft\Windows\Templates\13212-NendangBro.com
Supprimé! : C:\Windows\ShellNew\RakyatKelaparan.exe
Supprimé! : C:\Windows\KesenjanganSosial.exe
Supprimé! : C:\Windows\System32\cmd-brontok.exe
Supprimé! : C:\Users\g3n-h@ckm@n\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif
Supprimé! : C:\Windows\System32\g3n-h@ckm@n's setting.scr
Supprimé! : C:\Users\g3n-h@ckm@n\Pictures\About.Brontok.A.html
Repaired : [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]|[Shell] : Explorer.exe "C:\Windows\KesenjanganSosial.exe" - explorer.exe
Supprimé! HKLM\Software\Microsoft\Windows\CurrentVersion\Run|Bron-Spizaetus
Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Run|tok-cirrhatus
Réparé ! HKLM\System\ControlSet001\Control\SafeBoot|[AlternateShell] : cmd-brontok.exe - cmd.exe
Réparé ! HKLM\System\ControlSet002\Control\SafeBoot|[AlternateShell] : cmd-brontok.exe - cmd.exe

[grisouille78]

Ok, j'ai bien compris..

Pour l'instant, le PC est en train de faire une 30taine de nouvelles maj...

Dans l'update auto, tou tétait installé, mais en allant dans l'update du menu démarrer, et en lançant une demande de verif d'update, il a retrouvé des maj critiques, et aussi qq facultatives comme IE8..

J'ai demander de faire tte les update proposée... et il a chargé (plus de 400mhz je crois) et maintenant il est en train de faire les installations..

Je vais faire ce que tu m'as demandé, je te tiens informé..

Tu es le concepteur de uSBFix???

[g3n-h@ckm@n]

non c'est El Desaparecido , moi je ne suis que le co-developpeur on dira

[grisouille78]

Super... Respect Monsieur...  

je ferai de mon mieux pour te fournir ce dont tu peux avoir besoin..

désolé si je pose parfois des questions qui peuvent paraitre stupides, mais je ne ne suis pas très sur de moi dans ce domaine... et je prefère "assurer" le coup plutôt que de faire des bétises....

[g3n-h@ckm@n]

tu as raison

[grisouille78]

Dans C\document and setting\clea\local setting\application Data\

je vois 2 fichiers

Kosong.Bron.tok (document text) 1ko
Bron.tok.A12;em (Vlc Media file (.bin)) 13ko

si cela peut t'interessé...

[g3n-h@ckm@n]

poubelle je les ai

refais usbfix comme indiqué ^^

[grisouille78]

ok, je refais USBFix...

Pour les fichiers, je les "poubellise" avant de relancer USBFix...???

[grisouille78]

Quand tu dis de refaire USBFix, je lance en cliquant sur "suppression"????

[2011N2]

Salut,

Pour répondre aux questions.

Peu importe pour les "poubelliser" avant ou non, je pense qu'ils sont prit en compte par UsbFix.

Sinon, oui, plus simple de passer directement la suppression.

Gabriel.

[g3n-h@ckm@n]

surtout desinstaler l ancienne version avant

[grisouille78]

Bonjour..

Impossible de lancer USBFix (version du lien ci dessus) en mode normal..

une fenetre "reboot" apparait au lancement et le PC s'éteint.

Lancement en mode "ss echec"... le lancement se fait tout seul après double clic sur le fichier ".exe)

Cela a tourné environ 1heure, puis un message est apparu arrivé a 86%..

Une fenetre s'est ouverte , avec en titre "Autolt"

indiquant "Error Allocating memory"

une seconde fenêtre s'est ouverte en bas a droite de l'ecran, avec:

Windows-" Memoire virtuelle minimale insuffisante "


que dois je faire???

[g3n-h@ckm@n]

ok fournis le rapport qui est dans c:\

[grisouille78]

Voici le rapport apres le 1er plantage ce matin

############################## | UsbFix V8 bêta V 7.133 | [Suppression]

Utilisateur: Cléa (Administrateur) # PC-HP-DV5000
Mis à jour le 23/08/2013 par El Desaparecido g3n-h@ckm@n
Lancé à 10:33:53 | 06/09/2013

Site Web: http://sosvirus.net/
Upload Malware: http://sosvirus.net/viewtopic.php?f=6t=489
Contact: eldesaparecido@sosvirus.net

PC: Hewlett-Packard (HP Pavilion dv5000 (RG009EA#ABF) ) (X86-based PC)
CPU: Genuine Intel(R) CPU T2050 @ 1.60GHz (1596)
RAM - [Total : 510 | Free : 345]
BIOS: Ver 1.00PARTTBL
BOOT: Fail-safe with network boot

OS: Microsoft Windows XP Édition familiale (5.1.2600 32-Bit) # Service Pack 3
WB: Windows Internet Explorer 8.0.6001.18702

SC: Security Center Service [Enabled]
WU: Windows Update Service [Enabled]
FW: Windows FireWall Service [Enabled]

C:\ (%systemdrive%) - Disque fixe # 66 Go (13 Go libre(s) - 19%) [] # NTFS
D:\ - Disque fixe # 7 Go (1 Go libre(s) - 18%) [HP_RECOVERY] # FAT32

############### | Drives

c:\ - Fixed # 68 GO ( Free : 13 Go) [] # NTFS
d:\ - Fixed # 7 GO ( Free : 1 Go) [HP_RECOVERY] # FAT32

################## | El Desaparecido Section |

HKLM\software | Run|[hpWirelessAssistant] : C:\Program Files\hpq\HP Wireless Assistant\HP Wireless Assistant.exe
HKLM\software | Run|[NvCplDaemon] : RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
HKLM\software | Run|[NvMediaCenter] : RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
HKLM\software | Run|[nwiz] : nwiz.exe /installquiet /nodetect
HKLM\software | Run|[High Definition Audio Property Page Shortcut] : CHDAudPropShortcut.exe
HKLM\software | Run|[SynTPEnh] : C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
HKLM\software | Run|[QPService] : "C:\Program Files\HP\QuickPlay\QPService.exe"
HKLM\software | Run|[HP Software Update] : C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
HKLM\software | Run|[QlbCtrl] : %ProgramFiles%\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start
HKLM\software | Run|[Cpqset] : C:\Program Files\HPQ\Default Settings\cpqset.exe
HKLM\software | Run|[RecGuard] : C:\Windows\SMINST\RecGuard.exe
HKLM\software | Run|[HP Component Manager] : "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"
HKLM\software | Run|[HPDJ Taskbar Utility] : C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb10.exe
HKLM\software | Run|[Adobe ARM] : "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"
HKLM\software | Run|[SunJavaUpdateSched] : "C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe"
HKU\S-1-5-21-1744838932-353309017-3117134509-1006\software | Run|[Skype] : "C:\Program Files\Skype\Phone\Skype.exe" /minimized /regrun
HKU\S-1-5-21-1744838932-353309017-3117134509-1006\software | Run|[ctfmon.exe] : C:\WINDOWS\system32\ctfmon.exe
HKU\S-1-5-18\software | Run|[CTFMON.EXE] : C:\WINDOWS\system32\CTFMON.EXE

##### | Scan zones sensibles |

C:\Documents and Settings\Cléa\Local Settings\Application Data\Bron.tok.A12.em.bin
C:\Documents and Settings\Cléa\Local Settings\Application Data\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
C:\Documents and Settings\Cléa\ntuser.ini

################## | Processus Stoppés |

(1852) -- explorer.exe
(2016) -- wmiprvse.exe

################## | Éléments infectieux |


(!) Fichiers temporaires supprimés.

################## | Réparations registre |

Réparé ! HKLM\Software\Microsoft\Internet Explorer\Main|[Default_search_url] : http://go.microsoft.com/fwlink/?LinkId=54896 - http://www.microsoft.com/isapi/redir.dl ... r=iesearch
Réparé ! HKLM\Software\Microsoft\Internet Explorer\Main|[Default_page_url] : http://go.microsoft.com/fwlink/?LinkId=69157 - http://www.microsoft.com/isapi/redir.dl ... ar=msnhome
Réparé ! HKLM\Software\Microsoft\Internet Explorer\Main|[Start page] : http://go.microsoft.com/fwlink/?LinkId=69157 - http://fr.msn.com/
Réparé ! HKCU\Software\Microsoft\Internet Explorer\Main|[Default_page_url] : - http://www.microsoft.com/isapi/redir.dl ... ar=msnhome
Réparé ! HKCU\Software\Microsoft\Internet Explorer\Main|[Search bar] : - http://go.microsoft.com/fwlink/?linkid=54896
Réparé ! HKCU\Software\Microsoft\Internet Explorer\Main|[Search page] : http://www.microsoft.com/isapi/redir.dl ... r=iesearch - http://go.microsoft.com/fwlink/?LinkId=54896
Réparé ! HKCU\Software\Microsoft\Internet Explorer\Main|[Window Title] : - Windows Internet Explorer
Réparé ! HKCU\Software\Microsoft\Internet Explorer\SearchScopes\${searchCLSID}|[URL] : http://search.live.com/results.aspx?q={ ... orm=IE8SRC - http://search.live.com/results.aspx?q={ ... rer:source?}
Réparé ! HKLM\System\ControlSet002\Control\SafeBoot|[AlternateShell] : - cmd.exe

################## | Winlogon User |


################## | Winlogon Machine |


################## | Registre |

Supprimé! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegistryTools



################## | Mountpoints2 |



################## | Comparaison MD5 |

B2DE3452DE03674C6CEC68B8C8CE7C78 : C:\ntdetect.com
B2DE3452DE03674C6CEC68B8C8CE7C78 : C:\cmdcons\NTDETECT.COM
095F5574535284431BAB15F3AD4D3767 : C:\Documents and Settings\Cléa\Mes documents\Downloads\UsbFix (2).exe

[grisouille78]

J'ai fait une seconde tentative....

exactement le même phénomène... au meme moment (86%)...

En mode sans echec, le scan démarre directement apres avoir lancé l'exe



Le plantage "memoire virtuelle" se produit environ 1h45 après le debut..

voici le second rapport

############################## | UsbFix V8 bêta V 7.133 | [Suppression]

Utilisateur: Cléa (Administrateur) # PC-HP-DV5000
Mis à jour le 23/08/2013 par El Desaparecido g3n-h@ckm@n
Lancé à 14:28:32 | 06/09/2013

Site Web: http://sosvirus.net/
Upload Malware: http://sosvirus.net/viewtopic.php?f=6t=489
Contact: eldesaparecido@sosvirus.net

PC: Hewlett-Packard (HP Pavilion dv5000 (RG009EA#ABF) ) (X86-based PC)
CPU: Genuine Intel(R) CPU T2050 @ 1.60GHz (1595)
RAM - [Total : 510 | Free : 351]
BIOS: Ver 1.00PARTTBL
BOOT: Fail-safe with network boot

OS: Microsoft Windows XP Édition familiale (5.1.2600 32-Bit) # Service Pack 3
WB: Windows Internet Explorer 8.0.6001.18702

SC: Security Center Service [Enabled]
WU: Windows Update Service [Enabled]
FW: Windows FireWall Service [Enabled]

C:\ (%systemdrive%) - Disque fixe # 66 Go (13 Go libre(s) - 19%) [] # NTFS
D:\ - Disque fixe # 7 Go (1 Go libre(s) - 18%) [HP_RECOVERY] # FAT32

############### | Drives

c:\ - Fixed # 68 GO ( Free : 13 Go) [] # NTFS
d:\ - Fixed # 7 GO ( Free : 1 Go) [HP_RECOVERY] # FAT32

################## | El Desaparecido Section |

HKLM\software | Run|[hpWirelessAssistant] : C:\Program Files\hpq\HP Wireless Assistant\HP Wireless Assistant.exe
HKLM\software | Run|[NvCplDaemon] : RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
HKLM\software | Run|[NvMediaCenter] : RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
HKLM\software | Run|[nwiz] : nwiz.exe /installquiet /nodetect
HKLM\software | Run|[High Definition Audio Property Page Shortcut] : CHDAudPropShortcut.exe
HKLM\software | Run|[SynTPEnh] : C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
HKLM\software | Run|[QPService] : "C:\Program Files\HP\QuickPlay\QPService.exe"
HKLM\software | Run|[HP Software Update] : C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
HKLM\software | Run|[QlbCtrl] : %ProgramFiles%\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start
HKLM\software | Run|[Cpqset] : C:\Program Files\HPQ\Default Settings\cpqset.exe
HKLM\software | Run|[RecGuard] : C:\Windows\SMINST\RecGuard.exe
HKLM\software | Run|[HP Component Manager] : "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"
HKLM\software | Run|[HPDJ Taskbar Utility] : C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb10.exe
HKLM\software | Run|[Adobe ARM] : "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"
HKLM\software | Run|[SunJavaUpdateSched] : "C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe"
HKU\S-1-5-21-1744838932-353309017-3117134509-1006\software | Run|[Skype] : "C:\Program Files\Skype\Phone\Skype.exe" /minimized /regrun
HKU\S-1-5-21-1744838932-353309017-3117134509-1006\software | Run|[ctfmon.exe] : C:\WINDOWS\system32\ctfmon.exe
HKU\S-1-5-18\software | Run|[CTFMON.EXE] : C:\WINDOWS\system32\CTFMON.EXE

##### | Scan zones sensibles |

C:\Documents and Settings\Cléa\Local Settings\Application Data\Bron.tok.A12.em.bin
C:\Documents and Settings\Cléa\Local Settings\Application Data\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
C:\Documents and Settings\Cléa\ntuser.ini

################## | Processus Stoppés |

(1836) -- explorer.exe
(1552) -- wmiprvse.exe

################## | Éléments infectieux |


(!) Fichiers temporaires supprimés.

################## | Réparations registre |

Réparé ! HKLM\System\ControlSet002\Control\SafeBoot|[AlternateShell] : - cmd.exe

################## | Winlogon User |


################## | Winlogon Machine |


################## | Winlogon User |


################## | Winlogon Machine |


################## | Registre |




################## | Mountpoints2 |



################## | Comparaison MD5 |

B2DE3452DE03674C6CEC68B8C8CE7C78 : C:\ntdetect.com
B2DE3452DE03674C6CEC68B8C8CE7C78 : C:\cmdcons\NTDETECT.COM

[g3n-h@ckm@n]

ah ouais mais t'as que 512 Mo de RAM :/

[grisouille78]

Ok... ce n'est pas beaucoup.. si je comprends bien :-(


Je dois faire quoi maintenant pour continuer??
Le PC n'est pas encore décontaminé je suppose... 

[2011N2]

Hello,

Passe Dr.Web, et poste le rapport : http://www.forum-entraide-informatique. ... t-tutoriel
L'analyse risque d'être longue...

Gabriel.

[grisouille78]

Voici le lien pour le Log drWeb..

Comme échangé, j'ai bien cliquer sur "neutraliser" avant de fermer la fenêtre..

Le rapport ci dessous..

http://cjoint.com/?0IgxfjMMorX



J'attends tes nouvelles instructions...

Merci !! ;-)

[2011N2]

Re,

Ok, en effet rien de spécial n'a été supprimé à part UsbFix.

Fais moi un nouveau ZHPDiag pour voir où on en est.

Gabriel.

[g3n-h@ckm@n]

aucun peripherique n'a été branché ....)

[grisouille78]

Bonsoir....

Voici le ZHP Diag demandé...

Attention, le ZHPdiag a été fait sur la même version que celle du 1er effectué le 03/09/2013..
En effet lorsque j'ai cliqué sur l'icone ZHPDiag, une fenetre est apparue me demandant si je voulais telecharger la version 2013.9.5.10 .. sur tes conseilles j'ai accepté, mais lors de l'installation....

Une erreur est apparue sur l'installation de la nouvelle version... "une erreur est survenue lors du remplacement d'un fichier existant" "Deletefile a échoué code 5... acces refusé"..

J'ai donc abandonné l'installation, est donc le diag a été fait sur la version telechargée le 03/09..


http://cjoint.com/?CIhaHzf3avb

merci pour ton retour...

[2011N2]

Salut,

Ok, toujours des traces de Brontok...

Et en effet, tu n'avais pas branché tes périphériques durant Dr.Web ?

Gabriel.

[grisouille78]

Effectivement non...  

est il necessaire de recommencer DrWeb avec les peripherique.. (DD externe et Clé USB)???

Dis moi ce que je dois faire??? merci!!! 

[2011N2]

Re,

Ce serait bien de refaire avec tout branché oui...

Gabriel.

[grisouille78]

J'ai repassé un dr Web, avec une clé USB et un DD externe connectés..

1 menace détectée sur le DDur... c'est un aurorun.inf...

Je suppose que je doit "neutraliser" avant de fermer drweb???

merci pour ton retour..

[2011N2]

Re,

Oui neutralise même si je doute que ce soit Brontok.

Gabriel.

[grisouille78]

Voici le rapport..
Il n'y a qu'un seul rapport dans le dossier drweb...

alors que c'est le deuxième queje lance..

Ce qui est étonnant c'est que la durée de scan est a peut pres la même que celle d'hier soir... alors que j'avais connecté une clé de 4Go et un DD d'environ 500Go...

le voici...
http://cjoint.com/?CIhsNMizXw8

merci pour ton retour

[g3n-h@ckm@n]

possible d'avoir le contenu de f:\autorun.inf ?

[grisouille78]

Si je peux... mais dis moi comment le trouver!! 

[g3n-h@ckm@n]

touche windows + R puis tape :

notepad f:\autorun.inf

[grisouille78]

Avec la cde "notepad f:\autorun.inf", une fenêtre s'ouvre avec
" Bloc note:"
"impossible de trouver le fichier f:\autorun.inf "
"Voulez vous créer un nouveau fichier ?? Oui, Non, Annulé.

Désolé...  


autre chose??

[g3n-h@ckm@n]

le lecteur F:\ est toujours connecté ?

[grisouille78]

oui, oui le lecteur f etait toujours connecté lors de la cde...

[g3n-h@ckm@n]

tu peux le copier sur ton bureau ce fichier ?