Help - Search - Members
Full Version: [Résolu] Virus Sality.AO et AX
Kaspersky Lab Forum > Forum des Utilisateurs Français > Virus & Sécurité
ALAIN NIQUET
Bonjour
Voici 4 mois que je me bat avec un virus indetectable.
Les symptomes d'infections sont des mails qui n'arrivent pas à leur destinataires, des disfonctionnement divers est variés du matériel ports USB.
J'ai formaté mon disque système 4 fois. Le systeme remarche un certain temps puis repars en boudin.
Le virus est caché dans un autre disque est se réinstalle puis refait son invasion.

Il m'a fallut changer d'antivirus à plusieurs reprises mais aucun n'est en capacité de trouver la béte
Je suis passé de AVAST gratuit à Dt WEB payant pour finir par Kapersky internet sécurity 2010 payé aussi.

Tous cela ne sont pas en capacité de détecter le virus.
J'ai donc chercher par les scans en ligne : trend Micro, bit défender puis Panda en ligne est voilà que seul celui-ci a pu trouver tous les fichiers infectés (et il y en a environ 2000), j'ai payé la petite redevance pour qu'il puisse passer à la désinfection mais il s'avère qu'il ne peut pas les désinfecter, super dash1.gif .

Les virus trouvés sont Sality.AO et sality.AX plus quelques autres !!! (voir le rapport d'ananlyse de panda ci-dessous).

Je suis donc allé sur les forums divers et variès ont trouve des solutions mais qui correspondent à l'ancienne version de ce virus qui était d'actualité dans les années 2000.
mad.gif Car ces c..... de pirates qui font c... le monde avec leur s..... ont bien sur réactualisé le virus en le rendant plus dur et plus invasif. Y a en vraiment qui ont que ça à faire que d'e...... les autres. mad.gif ils feraient mieux de bosser et de faire de choses contructives avec les connaissances qu'ils ont mais on sait tous que la connaissance et la culture n'est pas toujours synonime d'intelligence...

Quelq'un aurait-il une solution ?

Sachant que certains des fichiers infectés ne peuvent pas être fromaté car trop importants pour mon activité professionnelle.
J'aurais déjà fait un formatage total de l'ordi si j'avais pu le faire.
C'est un PC sous Windos XP Pro avec licence officielle, qui est équipé de 3 Disques durs SATA II
1 dédié au syteme de 150go, 1 dédié au montage video, 1 dédié aux docs divers et photos. certains sont partionnés pour faciliter les répartitions de docs.

Il me faut donc arriver au moins à desinfecter les fichiers importants.
Mais j'ai aussi des doutes sur la racine ou se trouve le virus.
Donc il faut absolument que j'arrive à nettoyer complétement les disques dures de ce virus. Sinon je icon20.gif

Merci à tous ceux qui voudront bien m'aider et aussi aux autres.
bye

LE RAPPORT DE PANDA EN LIGNE : afin de vous donner une idée de l'étendue des dégats

ANALYSIS: 2009-11-05 23:17:12
PROTECTIONS: 1
MALWARE: 6
SUSPECTS: 3
;*******************************************************************************
********************************************************************************
*
*******************
PROTECTIONS
Description Version Active Updated
;===============================================================================
================================================================================
=
===================
Kaspersky Internet Security 9.0.0.736 Yes Yes
;===============================================================================
================================================================================
=
===================
MALWARE
Id Description Type Active Severity Disinfectable Disinfected Location
;===============================================================================
================================================================================
=
===================
00168110 Cookie/Server.iad.Liveperson TrackingCookie No 0 Yes Yes c:\documents and settings\administrateur\cookies\administrateur@server.iad.liveperson[2].txt
00915612 JS/Sality.AO Virus No 0 Yes No c:\documents and settings\88 instants nature\application data\thunderbird\profiles\ai12mhe0.default\mail\local folders\sent[~0000003.~]
02717081 JS/Sality.AX Virus No 1 Yes Yes c:\documents and settings\88 instants nature\application
03880324 Generic Malware Virus/Trojan No 0 Yes No i:\logiciels\ms office 0\microsoftoffice2007applications.zip;=======================================
================================================================================
=
===========================================================
SUSPECTS
Sent Location
;===============================================================================
================================================================================
=
===================
No d:\téléchargements\mailpv.zip[mailpv.exe]
No i:\logiciels\adobe\illustrator\adobe_illustrator_cs_tryout_.zip
No i:\logiciels\protection\sunbelt-personal-firewall.exe
;===============================================================================
================================================================================
=
===================
VULNERABILITIES
Id Severity Description
snooky
Salut ,

créer un rapport GSI et AVZ ( vise ma signature )
ALAIN NIQUET

Bonsoir

Click to view attachmentClick to view attachmentBonsoir
et merci pour cette réponse
Le rapport Get System infos

Avz est en cours
Dés qu'il sera fait je le poste

Click to view attachment
snooky
... il faut charger le *.zip créé sur le site suivant : http://www.getsysteminfo.com ... et donner l'url du rapport GSI dans ta réponse .

snooky
Désinstalle Panda ActiveScan 2.0 et MBAM .

Supprime ce fichier > C:\WINDOWS\system32\drivers\tmcomm.sys

Redémarre le pc et créer un rapport AVZ .
ALAIN NIQUET
Désolé voici le lien

http://www.getsysteminfo.com/read.php?file...4a9820&ms=0

J'ai supprimé les fichiers

Et j'envoi l'autre rapportClick to view attachment

Merci
[/quote]


Nouveau rapport AVZ

Click to view attachmentClick to view attachment[quote name='ALAIN NIQUET' date='7.11.2009 20:06' post='1155672']
snooky
Ce n'est pas le bon GSI ...
Il faut créer un nouveau rapport avec l'utilitaire > http://www.getsysteminfo.com/download/GetSystemInfo.exe , puis charger le *.zip créé sur le site suivant : http://www.getsysteminfo.com


Quitte Kaspersky en barre de tâches.

Télécharge ComboFix > http://download.bleepingcomputer.com/sUBs/ComboFix.exe

Exécute ComboFix , laisse toi guider . N'installe pas la console de récupération.
Après redémarrage du pc , un rapport va être créé > C:\ComboFix.txt

Joint ce rapport dans ta prochaine réponse.
ALAIN NIQUET
Bonjour

Voici le lien vers le nouveau rapport GSI
http://www.getsysteminfo.com/read.php?file...8d8b6f&ms=0

Je fais le combo fix et je reposte le rapport

Merci pour le temps passé avec ce problème

snooky
Désinstalle HouseCall 6.6 wink.gif
snooky
Services.msc dans Exécuter , puis passe ce service en manuel Carte de performance WMI



Va ensuite dans le panneau de configuration :

* Ajout/suppression de logiciels,
* ajouter ou supprimer des composants Windows,
* sélectionnez "Outils de gestion et d'analyse",
* cliquez sur "Détails",
* Décochez SNMP (Protocole simplifié de gestion de réseaux)

Désinstalle également TuneUp Utilities.
ALAIN NIQUET
Re

Le rapport de comboxfix en fichier joint.

Il est fait d'avoir supprimé Housecall et tuneup
Le service catre performance WMI est sur manuel
par contre le SNMP étati déja décoché ainsi que la case Fournisseur SNMP WMI.

snooky
Lance Clean v2.0 by FRUiT , procédure 1 en mode sans échec > http://www.pcinpact.com/forum/index.php?showtopic=106555
Le fond d'écran sera supprimé , l'explorateur devrait se fermer , attends que le rapport s'ouvre , ce sera la fin du nettoyage .... refuse l'avertissement Windows .

Toujours en mode sans échec , exécute ce Fix AVG comme indiqué ici > ( télécharge les 3 fichiers sur ton Bureau )
http://free.avg.com/fr-fr/suppression-de-virus.ndi-67769

Redémarre en mode normal et joint le rapport créé par AVG > clique sur Save log > VirusRemover.log
ALAIN NIQUET
Rebonjour
J'ai fait les manip ci dessus
au redemarrage du PC il se bloque sur un écran bleu de XP avec les texte :

virus remover for win32/Sality
Scanning...
L:\77e26667b1a9b474de0632d254bbaf0c\kmdfcustom.dll Cannot open
L:\77e26667b1a9b474de0632d254bbaf0c\spmsg.dll Cannot open
L:\77e26667b1a9b474de0632d254bbaf0c\spuninst.exe Cannot open
L:\77e26667b1a9b474de0632d254bbaf0c\spupdsvc.exe Cannot open
L:\77e26667b1a9b474de0632d254bbaf0c\wdf01000.sys Cannot open
L:\77e26667b1a9b474de0632d254bbaf0c\wdfldr.sys Cannot open
complete
Press any key to exit...

Sauf que le fait presser une touche ne déclenche plus rien.
L'ordi reste figé sur l'écran

Je suppose que ce sont des fichiers infectés mais qui n'ont pas pu être nettoyés unsure.gif

comme je suis sur mon pc portable je ne paux pas récupérer le fichier du rapport fait par AVG
Dés que l'ordi repartira j'espère pouvoir continuer

Merci a+
snooky
Le pc redémarre-t-il l en mode sans échec ? ( tapote la touche F8 au redémarrage du pc )

Les fichiers plus haut concernent Windows Update .

snooky
... ça sent le 5ème formatage ... ^^

Déconnecte tes périphérique USB et disques autres que système pour le moment . wink.gif
ALAIN NIQUET

Désolé Je reviens sur l'ordi, un peu d'air frais ça fait du bien au milieu de ces dédales de l'informatique

J'ai déconnecté tous les périphériques ainsi que les deux disques durs
Le redemarrage en mode sans échec prend apparemment beaucoup de temps ou il reste bloqué sur un écran noir avec un curseur qui clignote en haut à gauche.

je suis déjà à 5mn d'attente.

Pour le formatage maintenant je commence à connaitre la manip... unsure.gif

snooky
Tente une restauration système ( Touche F8 ) ... choisis " Dernière bonne configuration connue " ... dis moi si ok wink.gif
ALAIN NIQUET


Ok il est reparti avec "la dernière config"
snooky
En mode normal >

Refait la manip avec Clean v2.0 by FRUiT et ComboFix .

Créer un rapport AVZ . ( vise ma signature )
ALAIN NIQUET

Je lance le clean 2.0 mais il a l'air beaucoup plus long quand mode sans echec j'ai à peine 3 barres, mais ça à l'air de se passer.

je te tiens au courant dés que c'est fini.

J'ai trouvé également le rapport de l'analyse en mode sans échec mais pour l'instants je ne peux pas le transférer sur le portable, je n'ai pas la main pendant l'analyse.

ALAIN NIQUET
Voici les derniers fichiers fait par les logiciels



snooky
Désinstalle Tune Up !

Dans AVZ , copie/colle ce texte , puis clique sur RUN ( le pc redémarre tout seul ) :

begin
SetServiceStart('SSDPSRV', 4);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
SetAVZPMStatus(True);
SetAVZGuardStatus(True);
SearchRootkit(true, true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.


Lance ComboFix et poste le rapport créé , ou joint le rapport créé si tu l'a exécuté wink.gif . > il faut quitter Kaspersky avant ComboFix .
ALAIN NIQUET
Bon
il ne me reste plus qu'a faire le combox fix mais il me mais une boite en me disant que j'ai encore Dr web antivirus actif alors que c'est une logiciel que j'ai désinstallé il y a un certin moment déjà quand je suis passé à la suit Kapersky.
Je n'arrive pas à trouver de processus actif sur ce logiciel, je ne vois pas ou il peut se nicher.
Je lance un nettoyage du registre pour voir si cela change les choses
et je refais le combo fix

A bientôt
ALAIN NIQUET
Voici le nouveau rapport combo fix

snooky
Désolé pour le nombre de rapports ... mais créer un nouveau rapport GSI .

PS: Kaspersky est démarré et à jour ?
ALAIN NIQUET

Pas de soucis pour le nombre de rapport et surtout merci de passer du temps avecmon problème

Voici le nouveau rapport GSI
http://www.getsysteminfo.com/read.php?file...f8e8ac&ms=0
snooky
Bon , branche ta clé USB , ou un de tes disques externes ... Kaspersky réagit ?

Si analyse , qu'en est-il ? Détection ? fait une capture , rapport d'analyse , etc ...
ALAIN NIQUET

Kapersky réagit j'ai une analyse compléte de la clé usb insérée voici le rapport

snooky
Fait une capture de " Toutes les menaces détectées " ( élargit les colonnes" Objet " pour voir le chemin sur le disque )

http://snooky730.free.fr/exploreboard/inde...E9tect%E9es.PNG

PS: kaspersky t'a demandé de faire une analyse de la clé USB .
Qu'en est-il ? ... des découvertes d'objets infectés ?
ALAIN NIQUET
Kapersky n'a rien détecté sur la clé
Voici la capture
snooky
... continue ... branche un disque .
ALAIN NIQUET


rolleyes.gif
Je viens de terminer de rebrancher les DD en faisant à chaque fois des analyses avec Kapersky

Il n'a rien trouvé.

Peux-t'on lui faire confiance la dernière fois il n'avait rien trouvé non plus sur ce virus ? blink.gif
snooky
Dès que tu trouves quelque chose , tu viens nous le dire , capture d'écran à l'appui , emplacement sur le disque , etc ...

@+
ALAIN NIQUET
rolleyes.gif

Merci pour cette efficacité bravo.gif

Je vous tiendrai au courant

A plus
This is a "lo-fi" version of our main content. To view the full version with more information, formatting and images, please click here.
Invision Power Board © 2001-2009 Invision Power Services, Inc.