Bonjour,

Je viens d'être infecté par un virus, et j'ai fait quelques tentatives pour me désinfecter. Parallèlement je suis tombé sur votre forum, où un des membres avait eu un problème similaire (http://www.infos-du-net.com/forum/277305-11-avcenter-application-win32-valide) mais avec un virus différent. Mais comme j'étais déjà bien avancé dans mes tentatives, j'ai pensé qu'il n'était pas judicieux de suivre la procédure que vous aviez conseillé à ce membre.

Avant de vous résumer les faits, je vous pose ma question : Maintenant que je n'arrive plus à détecter le virus (ni avec Antivir, ni en ligne avec Symantec Security Check), puis-je considérer que mon PC est sain?

Ce qui s'est passé :
Désolé pour le manque de détail, mais dans le feu de l'action j'ai pas pensé à tout noter.

Pour tester les possibilités d'un shareware, j'ai ouvert un patch que j'aurais mieux fait de m'abstenir de télécharger (un moment de faiblesse). Ce dernier était curieusement lent pour ce qu'il avait à faire, déjà c'était louche, et en plus il n'a même pas fonctionné.
> Quelques minutes plus tard, sans raison apparente, un écran bleu, plantage. Redoutant qu'il puisse s'agir d'un méchant virus en train de faire du mal à mon PC, j'ai immédiatement fait un Reset et au redémarrage, j'ai choisi le mode sans échec.
> Je lance un scan Antivir sur tout le PC, il me trouve quelques virus, dont un dans le dossier d'installation de l'application concernée par le keygen. Je le mets en quarantaine.
> Ensuite je redémarre, mais je m'apperçois que l'icône d'Antivir a disparu de la zone de notification.
> J'essaie de relancer Antivir manuellement, et j'obtient le message "avcenter.exe n'est pas une application win32 valide"
> Là sous le stress j'ai commencé à improviser, je sais pas si j'ai bien fait, c'est pour ça que je vous demande conseil.

Comme j'ai un second disque dur vide qui traine, je me suis dit qu'en installant un XP tout neuf dessus, je pourrai y faire tourner Antivir et rescanner mon disque dur infecté, pour voir. C'est donc ce que je fais et en effet, Antivir me détecte 8 virus TR/Bagle.gen... (je me souviens plus du nom exact).

En même temps je tombe sur votre forum, et dans mes lectures je suis amené sur le site Symantec Security Check. Par curiosite, je lance un scan, toujours depuis le XP que je viens d'installer. Le site me détecte 3 virus (j'ai pas noté, mais ça ne comprenait pas Bagle). Par contre, pendant que le site faisait la détection, Antivir me lançait des alertes pour des TR/Bagle.gen, situés dans des fichiers de types variés (même des fichiers .jpg).

Après tout ça, j'ai refait un Antivir complet, aucune détection. J'ai relance Symantec Security Check, aucune détection.

Je reprends ma question : puis-je redémarrer sur mon disque dur habituel, réinstaller Antivir, et dormir sur mes deux oreilles? Ou faut-il que je fasse encore des vérifications? Merci d'avance pour votre aide.

PS: Je viens de lire vos dossiers sur la prévention et la protection, c'était très instructif. Félicitation pour votre travail et votre dévouement.

Salut,

C'est très bien que tu aies pris cette initiative

On va tout de même vérifier

Remets ton disque dur "infecté" et fais la manipulation suivante :

Télécharge ELIBAGLA au bas de cette page. Il est préférable pour certains antivirus de les désactiver avant d’entâmer cette procédure !
Clique sur le Descargar Elibagla afin de télécharger le fichier, enregistre-le sur ton bureau.
Lance le en double cliquant dessus.
Vérifie que dans le menu déroulant Unidad, il y ait bien C:\
L'option Eliminar Ficheros Automaticamente doit également être cochée.
Clique sur Explorar pour lancer l'analyse.
Poste le rapport généré en fin fin d'analyse.

J'ai pas vu de bouton pour exporter un rapport, alors voilà une copie d'écran :



Dois-je le faire aussi sur les autres lecteurs?

Re,

Le rapport apparaît tout seul en fin d'analyse, tu dois cliquer sur explorar.
Pour le lecteur, tu sélectionnes la partition principale (celle où est installée le système), en général C:\

Ben oui, mon rapport, c'est la capture!
Si j'ai fait une capture d'écran en fin d'analyse, c'est parce qu'aucun rapport n'est apparu sous forme de texte que j'aurais pu copier-coller dans le forum.

Ok, c'est parce qu'en fait il n'indique le rapport que quand on quitte le logiciel. Et moi je l'avais laissé ouvert, ça explique tout!
Voici donc le rapport, en texte cette fois :


Tue Feb 26 09:29:22 2008
EliBagle v11.05 (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
Restaurada Clave: "SafeBoot\Minimal y Network"

Tue Feb 26 09:31:12 2008
EliBagle v11.05 (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Nº Total de Directorios: 4714
Nº Total de Ficheros: 51189
Nº de Ficheros Analizados: 6598
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados: 0

Apparemment, tu ne sembles plus infecté, c'est vrai.

Télécharge Hijackthis (de Trend Micro)
Poste un rapport en suivant ce tuto.

Merci pour la rapidité des réponses, c'est sympa.


Voilà mon rapport [b]HijackThis, en fin de post.

Même après avoir (j'espère) éliminé le virus, Antivir ne s'ouvrait toujours pas, et en l'ouvrant manuellement j'avais toujours le message "avcenter.exe n'est pas une application win32 valide". Donc j'ai téléchargé le dernier installeur sur le site d'Avira et j'ai lancé une réparation de l'installation. Après redémarrage, Antivir refonctionne normalement.

Mon rapport HiJackThis est ultérieur à la réparation d' Antivir :

***********************************

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:25:23, on 26/02/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
C:\Program Files\Winamp\winampa.exe
C:\Program Files\ASUS\GamerOSD\GamerOSD.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\DAEMON Tools\daemon.exe
C:\Program Files\SuperCopier2\SuperCopier2.exe
C:\PROGRA~1\Yahoo!\MESSEN~1\ymsgr_tray.exe
C:\Program Files\Windows NT\Accessoires\WORDPAD.EXE
C:\TuDienHND\3rdparty\basta\AppToService.exe
C:\WINDOWS\ATKKBService.exe
C:\TuDienHND\3rdparty\jre\bin\jrew.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\oodag.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Tablet.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\system32\WTablet\TabUserW.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\WINDOWS\system32\Tablet.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\HijackThis\HijackThis.exe
Z:\PortableFirefox\firefox\firefox.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.divx.com/divx/webplayerd [...] 6.8&yo=iet
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\winampa.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ASUSGamerOSD] C:\Program Files\ASUS\GamerOSD\GamerOSD.exe
O4 - HKLM\..\Run: [CheckMedi8or] C:\Program Files\Mediator 7 Pro\CheckNewUser.exe
O4 - HKLM\..\Run: [OODefragTray] C:\WINDOWS\system32\oodtray.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [UniKey] C:\Program Files\UniKey\UniKeyNT.exe
O4 - HKCU\..\Run: [Yahoo! Pager] "C:\PROGRA~1\Yahoo!\MESSEN~1\YAHOOM~1.EXE" -quiet
O4 - HKCU\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKCU\..\Run: [SuperCopier2.exe] C:\Program Files\SuperCopier2\SuperCopier2.exe
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'Default user')
O4 - Startup: mémo_2007.lnk = ?
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AppToService TuDienHND (AppToService_TuDienHND) - Basta Computing - C:\TuDienHND\3rdparty\basta\AppToService.exe
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: TabletService - Wacom Technology, Corp. - C:\WINDOWS\system32\Tablet.exe

--
End of file - 6817 bytes

Re,

Télécharge sur ton bureau : Clean (de Malekal) >Tuto<
Dézippe le sur ton bureau. Double-clic sur ce dossier clean.
Double-clic sur clean.cmd. (L’extension cmd peut ne pas apparaître) Cela va ouvrir une fenêtre noire.
Un menu va apparaître, choisis l'option 1 puis entrée. Ensuite appuies sur une touche comme il te sera demandé.
Poste le rapport se trouve ici : C:\rapport_clean.txt

Si tu obtiens un fichier C:\upload_moi.zip, merci de faire ceci.

********

Fais une analyse Antivir, poste le rapport

Voici le rapport de Clean :

26/02/2008 a 17:20:28,37

*** Recherche des fichiers dans C:
C:\autorun.inf FOUND

*** Recherche des fichiers dans C:\WINDOWS\

*** Recherche des fichiers dans C:\WINDOWS\system32

*** Recherche des fichiers dans C:\Program Files

L'autorun qui est sur C, c'est juste pour changer l'icône du lecteur.
Je sais pas trop, mais on dirait qu'il n'y a rien d'instructif. J'envoie quand-même le rapport à Malekal?


Je lance Antivir et posterai le rapport dès qu'il aura fini le scan.

Et voilà le scan d'Antivir

AntiVir PersonalEdition Classic
Report file date: mardi 26 février 2008 17:38

Scanning for 1125445 virus strains and unwanted programs.

Licensed to: Avira AntiVir PersonalEdition Classic
Serial number: 0000149996-ADJIE-0001
Platform: Windows XP
Windows version: (Service Pack 2) [5.1.2600]
Username: Flo
Computer name: FLOPC

Version information:
BUILD.DAT : 270 15603 Bytes 19/09/2007 13:32:00
AVSCAN.EXE : 7.0.6.1 290856 Bytes 23/08/2007 13:16:29
AVSCAN.DLL : 7.0.6.0 49192 Bytes 16/08/2007 12:23:51
LUKE.DLL : 7.0.5.3 147496 Bytes 14/08/2007 15:32:47
LUKERES.DLL : 7.0.6.1 10280 Bytes 21/08/2007 12:35:20
ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18/07/2007 14:27:15
ANTIVIR1.VDF : 7.0.1.95 3367424 Bytes 14/12/2007 13:23:31
ANTIVIR2.VDF : 7.0.2.181 1993728 Bytes 24/02/2008 13:23:31
ANTIVIR3.VDF : 7.0.2.194 58368 Bytes 26/02/2008 13:23:31
AVEWIN32.DLL : 7.6.0.67 3293696 Bytes 26/02/2008 13:23:31
AVWINLL.DLL : 1.0.0.7 14376 Bytes 26/02/2007 10:36:26
AVPREF.DLL : 7.0.2.2 25640 Bytes 18/07/2007 07:39:17
AVREP.DLL : 7.0.0.1 155688 Bytes 16/04/2007 13:16:24
AVPACK32.DLL : 7.6.0.3 360488 Bytes 26/02/2008 13:23:31
AVREG.DLL : 7.0.1.6 30760 Bytes 18/07/2007 07:17:06
AVARKT.DLL : 1.0.0.20 278568 Bytes 28/08/2007 12:26:33
AVEVTLOG.DLL : 7.0.0.20 86056 Bytes 18/07/2007 07:10:18
NETNT.DLL : 7.0.0.0 7720 Bytes 08/03/2007 11:09:42
RCIMAGE.DLL : 7.0.1.30 2342952 Bytes 07/08/2007 12:38:13
RCTEXT.DLL : 7.0.62.0 86056 Bytes 21/08/2007 12:50:37
SQLITE3.DLL : 3.3.17.1 339968 Bytes 23/07/2007 09:37:21

Configuration settings for the scan:
Jobname..........................: Manual Selection
Configuration file...............: C:\Documents and Settings\All Users\Application Data\Avira\AntiVir PersonalEdition Classic\PROFILES\folder.avp
Logging..........................: low
Primary action...................: interactive
Secondary action.................: ignore
Scan master boot sector..........: on
Scan boot sector.................: on
Boot sectors.....................: C:,
Scan memory......................: on
Process scan.....................: on
Scan registry....................: on
Search for rootkits..............: on
Scan all files...................: Intelligent file selection
Scan archives....................: on
Recursion depth..................: 20
Smart extensions.................: on
Macro heuristic..................: on
File heuristic...................: high

Start of the scan: mardi 26 février 2008 17:38

Starting search for hidden objects.
The driver could not be initialized.

The scan of running processes will be started
Scan process 'avscan.exe' - '1' Module(s) have been scanned
Scan process 'avcenter.exe' - '1' Module(s) have been scanned
Scan process 'explorer.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'lsass.exe' - '1' Module(s) have been scanned
Scan process 'services.exe' - '1' Module(s) have been scanned
Scan process 'winlogon.exe' - '1' Module(s) have been scanned
Scan process 'csrss.exe' - '1' Module(s) have been scanned
Scan process 'smss.exe' - '1' Module(s) have been scanned
10 processes with 10 modules were scanned

Starting master boot sector scan:
Master boot sector HD0
[NOTE] No virus was found!

Start scanning boot sectors:
Boot sector 'C:\'
[NOTE] No virus was found!

Starting to scan the registry.
The registry was scanned ( '41' files ).


Starting the file scan:

Begin scan in 'C:\' <System30>
C:\WINDOWS\system32\drivers\sptd.sys
[WARNING] The file could not be opened!


End of the scan: mardi 26 février 2008 17:47
Used time: 09:40 min

The scan has been done completely.

4738 Scanning directories
133379 Files were scanned
0 viruses and/or unwanted programs were found
0 Files were classified as suspicious:
0 files were deleted
0 files were repaired
0 files were moved to quarantine
0 files were renamed
1 Files cannot be scanned
133379 Files not concerned
1145 Archives were scanned
1 Warnings
0 Notes

Re,

Pas normal que ce soit aussi court.
Sélectionne bien tout ton poste de travail.

Pour Clean, si ça marche upload le fichier sinon tan pis.
Supprime C:\autorun.inf (tu le vois si tu affiches les fichiers cachés/système.

C'est court? j'ai pourtant tout sélectionné et collé tel quel dans mon post. J'ai juste mis du rouge sur un avertissement que j'ai repéré, histoire qu'il saute aux yeux d'un lecteur que le topic intéresserait.

Dans les préférences d'Antivir, le type de rapport sélectionné est Default (il était sélectionné d'office à l'installation du logiciel). Il y a aussi Extended et Complete. Tu veux lequel?
J'ai seulement scanné C:

Quant au fichier .inf, est-ce bien nécessaire de le supprimer? Je l'ai fait moi-même, juste pour personnaliser l'icône du lecteur. Il ne contient que ces deux lignes :
[autorun]
ICON=samsung_logo.ico

Re,

Tu me fais douter, le scan a duré 9 min 30 c'est ça ?
Garde autorun.inf alors