pb virus qui empêche l'installation de avast

roly20

20 Février 2007 17:19:07

Bonjour,
Je cherche quelqu'un qui pourrait m'aider. J'ai un virus dans mon ordinateur qui m'empêche l'installation d'avast. Je suis donc très embêté car je ne parviens pas à le supprimer et je surf sans anti virus. Il s'agirait de bagle-b mais je ne parviens pas à le supprimer. aidez moi svp. merci

Autres pages sur : virus empeche installation avast

| Etre averti des réponses
| Alerter

Répondre à roly20

Angeldark

20 Février 2007 17:30:58

Bonjour,

On va voir si c'est Bagle.

Télécharge Blacklight (F-Secure), clique sur " I ACCEPT " en bas de la page :
Clique sur le premier " Download " afin de télécharger le programme
Sauvegarde le sur ton Bureau
Double-clique blbeta.exe et accepte la licence; clique Scan puis Next.

A la fin du scan, NE TOUCHE A RIEN !

Tu verras un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres).
Nous devons analyser ce rapport, ferme donc le BlackLight.

Poste le rapport sur le forum.

AIDE : Tuto sur BlackLight (Malekal)

&

Télécharge Hijackthis (de Merjin).
Dézippe le dans un dossier ou sur ton bureau.

Lance l'application.
Choisis l'option "Do a system scan and save a logfile"
Le Bloc-Notes s'ouvre :
-> Edition / Sélectionner Tout
-> Edition / Copier
Colle le rapport ici.

AIDE : Tuto sur Hijackthis (Malekal)

| Alerter

Répondre à Angeldark

roly20

20 Février 2007 18:08:38

voici le 1er rapport de F Secure:

02/20/07 19:03:35 [Info]: BlackLight Engine 1.0.55 initialized
02/20/07 19:03:35 [Info]: OS: 5.1 build 2600 (Service Pack 2)
02/20/07 19:03:35 [Note]: 7019 4
02/20/07 19:03:35 [Note]: 7005 0
02/20/07 19:03:46 [Note]: 7006 0
02/20/07 19:03:46 [Note]: 7011 1420
02/20/07 19:03:46 [Note]: 7026 0
02/20/07 19:03:46 [Note]: 7026 0
02/20/07 19:03:46 [Note]: 7024 3
02/20/07 19:03:46 [Info]: Hidden process: C:\WINDOWS\system32\wintems.exe
02/20/07 19:03:52 [Note]: FSRAW library version 1.7.1021
02/20/07 19:03:52 [Info]: Hidden file: c:\Documents and Settings\Administrateur\Application Data\hidires\hidr.exe
02/20/07 19:03:52 [Note]: 10002 2
02/20/07 19:03:52 [Info]: Hidden file: c:\Documents and Settings\Administrateur\Application Data\hidires\m_hook.sys
02/20/07 19:03:52 [Note]: 10002 2
02/20/07 19:03:52 [Note]: 10002 3
02/20/07 19:03:52 [Note]: 10002 3
02/20/07 19:03:52 [Note]: 10002 2
02/20/07 19:03:52 [Note]: 10002 2
02/20/07 19:04:27 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\empty.txt
02/20/07 19:04:27 [Note]: 10002 3
02/20/07 19:04:27 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\filters.xml
02/20/07 19:04:27 [Note]: 10002 3
02/20/07 19:04:27 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\news.png
02/20/07 19:04:27 [Note]: 10002 3
02/20/07 19:04:27 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\paint.png
02/20/07 19:04:27 [Note]: 10002 3
02/20/07 19:04:27 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\profiles\blank.txt
02/20/07 19:04:27 [Note]: 10002 3
02/20/07 19:04:27 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\sample1.jpg
02/20/07 19:04:27 [Note]: 10002 3
02/20/07 19:04:27 [Info]: Hidden file: c:\Program Files\Movie Maker\shared\sample2.jpg
02/20/07 19:04:27 [Note]: 10002 3
02/20/07 19:04:27 [Note]: 10002 2
02/20/07 19:04:27 [Note]: 10002 2
02/20/07 19:06:27 [Info]: Hidden file: c:\WINDOWS\ime\shared\imepaden.hlp
02/20/07 19:06:27 [Note]: 10002 3
02/20/07 19:06:27 [Info]: Hidden file: c:\WINDOWS\ime\shared\imepadsm.dll
02/20/07 19:06:27 [Note]: 10002 3
02/20/07 19:06:27 [Info]: Hidden file: c:\WINDOWS\ime\shared\imepadsv.exe
02/20/07 19:06:27 [Note]: 10002 3
02/20/07 19:06:27 [Info]: Hidden file: c:\WINDOWS\ime\shared\imlang.dll
02/20/07 19:06:27 [Note]: 10002 3
02/20/07 19:06:27 [Info]: Hidden file: c:\WINDOWS\ime\shared\res\PADRS404.DLL
02/20/07 19:06:27 [Note]: 10002 3
02/20/07 19:06:27 [Info]: Hidden file: c:\WINDOWS\ime\shared\res\padrs411.dll
02/20/07 19:06:28 [Note]: 10002 3
02/20/07 19:06:28 [Info]: Hidden file: c:\WINDOWS\ime\shared\res\padrs412.dll
02/20/07 19:06:28 [Note]: 10002 3
02/20/07 19:06:28 [Info]: Hidden file: c:\WINDOWS\ime\shared\res\padrs804.dll
02/20/07 19:06:28 [Note]: 10002 3
02/20/07 19:06:28 [Note]: 10002 2
02/20/07 19:06:28 [Note]: 10002 2
02/20/07 19:06:43 [Info]: Hidden file: C:\WINDOWS\system32\wintems.exe
02/20/07 19:06:43 [Note]: 10002 2
02/20/07 19:07:58 [Note]: 2000 1012
02/20/07 19:08:03 [Note]: 7007 0

| Alerter

Répondre à roly20

roly20

20 Février 2007 18:09:32

et le 2e rapport

Logfile of HijackThis v1.99.1
Scan saved at 19:09:00, on 20/02/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe
C:\Program Files\MessengerPlus! 3\MsgPlus.exe
C:\Program Files\NetLimiter\NetLimiter.exe
C:\Program Files\Webroot\Spy Sweeper\SpySweeperUI.exe
C:\PROGRA~1\Magentic\bin\MgApp.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\Program Files\Webroot\Spy Sweeper\SSU.EXE
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Administrateur\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Acrobat\Reader\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [NetLimiter] "C:\Program Files\NetLimiter\NetLimiter.exe" /s
O4 - HKLM\..\Run: [SpySweeper] "C:\Program Files\Webroot\Spy Sweeper\SpySweeperUI.exe" /startintray
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [IncrediMail] "C:\Program Files\IncrediMail\bin\IncMail.exe" /c
O4 - HKCU\..\Run: [Magentic] "C:\PROGRA~1\Magentic\bin\Magentic.exe" /c
O4 - HKCU\..\Run: [WOOKIT] C:\PROGRA~1\Wanadoo\GestMaj.exe GestionnaireInternet.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/default/kavweb...
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin...
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common...
O16 - DPF: {9D190AE6-C81E-4039-8061-978EBAD10073} (F-Secure Online Scanner 3.0) - http://support.f-secure.com/ols/fscax.cab
O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{DAAC6549-67EF-45C6-9AA8-7F9A6F3AF457}: NameServer = 80.10.246.130 80.10.246.3
O17 - HKLM\System\CCS\Services\Tcpip\..\{FB80FC71-BC0F-4B13-950E-29EEA030A193}: NameServer = 192.168.0.1
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Moteur Webroot Spy Sweeper (WebrootSpySweeperService) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe

| Alerter

Répondre à roly20

Angeldark

20 Février 2007 18:37:55

C'est effectivement Bagle.

Télécharge ELIBAGLA en bas de cette page.
Clique sur le bouton Descargar Elibagla, cela va télécharger le fichier, place-le sur ton Bureau.
Double-clique dessus pour l'ouvrir.
Assure-toi que dans le menu déroulant Unidad, vous ayez bien C:\
Vérifie aussi aussi que l'option en bas de la fenêtre Eliminar Ficheros Automaticamente soit bien cochée.
Clique sur le bouton Explorar pour lancer l'analyse.
Poste le rapport généré en fin fin d'analyse.

| Alerter

Répondre à Angeldark

roly20

20 Février 2007 21:42:47

Tue Feb 20 22:31:00 2007
EliBagle v10.16 (c)2007 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Renombrado a .VIR
C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
C:\DOCUMENTS AND SETTINGS\ADMINISTRATEUR\APPLICATION DATA\HIDIRES\HIDR.EXE --> Eliminado Bagle
C:\DOCUMENTS AND SETTINGS\ADMINISTRATEUR\APPLICATION DATA\HIDIRES\M_HOOK.SYS --> Eliminado Bagle (rootkit)
Restaurada Clave: "SafeBoot\Minimal y Network"

Tue Feb 20 22:31:42 2007
EliBagle v10.16 (c)2007 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Tue Feb 20 22:36:43 2007
EliBagle v10.16 (c)2007 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):
Eliminada Carpeta "%AppData%\Hidires"

Désolé de tout ce retard, je pensais pas que tu répondrais aussi vite. En tout cas, merci beaucoup de ton aide... Voici le rapport d'analyse

Tue Feb 20 22:36:53 2007
EliBagle v10.16 (c)2007 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

| Alerter

Répondre à roly20

Angeldark

20 Février 2007 22:24:37

Re,

Citation :

- Assure toi d'avoir accès aux dossiers/fichiers cachés
-> Démarrer
-> Panneau de configuration
-> Options des Dossiers, onglet Affichage :
. Clique sur Afficher les dossiers cachés
. Décoche Masquer les extensions des fichiers dont le type est connu
. Décoche Masquer les fichiers protégés du système d'exploitation

Supprime ce fichier :
C:\WINDOWS\SYSTEM32\WINTEMS.VIR

Refais un scan Blacklight.

| Alerter

Répondre à Angeldark

roly20

20 Février 2007 23:41:19

je n'ai pas de C:\WINDOWS\SYSTEM32\WINTEMS.VIR , par contre, j'ai un
C:\WINDOWS\SYSTEM32\WINTEMS.EXE.VIR dont l'accès est refusé d ou l'impossibilité de le supprimer. que dois je faire?

| Alerter

Répondre à roly20

Angeldark

21 Février 2007 10:47:36

Tu peux le supprimer en sans échec ?

| Alerter

Répondre à Angeldark

roly20

21 Février 2007 10:48:37

jfais ça comment en sans échec?

| Alerter

Répondre à roly20

Angeldark

21 Février 2007 10:58:54

Redémarrer en mode sans échec

| Alerter

Répondre à Angeldark

roly20

21 Février 2007 16:06:28

Et voici le rapport de Blacklight

02/21/07 17:00:45 [Info]: BlackLight Engine 1.0.55 initialized
02/21/07 17:00:45 [Info]: OS: 5.1 build 2600 (Service Pack 2)
02/21/07 17:00:45 [Note]: 7019 4
02/21/07 17:00:45 [Note]: 7005 0
02/21/07 17:00:48 [Note]: 7006 0
02/21/07 17:00:48 [Note]: 7011 1436
02/21/07 17:00:48 [Note]: 7026 0
02/21/07 17:00:48 [Note]: 7026 0
02/21/07 17:00:59 [Note]: FSRAW library version 1.7.1021
02/21/07 17:05:20 [Note]: 2000 1012
02/21/07 17:05:41 [Note]: 7007 0

| Alerter

Répondre à roly20

Angeldark

21 Février 2007 16:10:28

Reposte un rapport Hijacthis.

| Alerter

Répondre à Angeldark

roly20

21 Février 2007 16:17:03

Logfile of HijackThis v1.99.1
Scan saved at 17:16:58, on 21/02/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe
C:\Program Files\MessengerPlus! 3\MsgPlus.exe
C:\Program Files\NetLimiter\NetLimiter.exe
C:\Program Files\Webroot\Spy Sweeper\SpySweeperUI.exe
C:\PROGRA~1\Magentic\bin\MgApp.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\Program Files\Webroot\Spy Sweeper\SSU.EXE
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Administrateur\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Acrobat\Reader\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [NetLimiter] "C:\Program Files\NetLimiter\NetLimiter.exe" /s
O4 - HKLM\..\Run: [SpySweeper] "C:\Program Files\Webroot\Spy Sweeper\SpySweeperUI.exe" /startintray
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [IncrediMail] "C:\Program Files\IncrediMail\bin\IncMail.exe" /c
O4 - HKCU\..\Run: [Magentic] "C:\PROGRA~1\Magentic\bin\Magentic.exe" /c
O4 - HKCU\..\Run: [WOOKIT] C:\PROGRA~1\Wanadoo\GestMaj.exe GestionnaireInternet.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/default/kavweb...
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin...
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common...
O16 - DPF: {9D190AE6-C81E-4039-8061-978EBAD10073} (F-Secure Online Scanner 3.0) - http://support.f-secure.com/ols/fscax.cab
O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{DAAC6549-67EF-45C6-9AA8-7F9A6F3AF457}: NameServer = 80.10.246.1 80.10.246.132
O17 - HKLM\System\CCS\Services\Tcpip\..\{FB80FC71-BC0F-4B13-950E-29EEA030A193}: NameServer = 192.168.0.1
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Moteur Webroot Spy Sweeper (WebrootSpySweeperService) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe