[LOGICIEL] [Ré Infection!] Virus tenga.a

zekiller3 · le 25 septembre 2005

Bonjour à tous!

j'ai récemment été infecté par un virus dénommé tenga.a ou gael selon les éditeurs, le fait est que grace à Avast j'ai pu supprimé les fichiers infectés (réparation impossible) mais il revient sans arrêt!

j'ai cherché sur le net les outils de suppression mais sans succès

aussi j'ai lu quelque part qu'un patch Windows pouvait empêcher le virus de se "reproduire" dcom quelquechose... donc j'aimerai savoir si quelqu'un pouvait m'aider à trouver ce patch car mon windows est update!

j'ai parcouru plusieurs forum concernant ce virus que hijack this ne détectait pas d'anomalie.

merci bien

::Windows XP SP2

snooky · le 25 septembre 2005

http://www.microsoft.com/technet/security/...n/MS03-026.mspx

As-tu cette MAJ Windows ?

Passe A²Squared Free pour voir si le trojan est toujours présent.

(Edit : désactive la restauration system AVANT de faire tes scans )

Poste un rapport HijackThis ( vise ma signature )

zekiller3 · le 25 septembre 2005

oula ok j'arrête le scan tout de suite

zekiller3 · le 26 septembre 2005

ok j'ai fait les scan, les fix les clean mais le virus est revenu à la charge cette aprèm!

dois-je envisager un formatage...?

snooky · le 26 septembre 2005

Change de pc , c'est plus sûr .

:roll:

Nan je déconne :sucre:

Installe Kaspersky 5 personal comme je te l'ai déjà conseillé et scan , puis poste un nouveau rapport Hijackthis .

:yes:

gailuron66 · le 26 septembre 2005

et le firewall ???

où qu'il est le firewall hein !!! ???

c'est comme si tu laissais ta bagnole ouverte, moteur en marche sur le parking d'auchan :sucre:

snooky · le 27 septembre 2005

Le firewall XP est désactivé zekiller3 ?????? :roll:

gailuron66 · le 27 septembre 2005

bin oué, t'as pas regardé son rapport hijackthis ?

moi oui :eeek2:

:roll:

édit:

meme pas d'antivirus :yes:

à part son truc ewido :sucre:

snooky · le 27 septembre 2005

Bah si , l'est même corrigé ... :roll:

Ca tombe tellement sous le sens d'avoir un firewall ...!

...Il a peut être un routeur :sucre:

:yes:

gailuron66 · le 27 septembre 2005

et meme qu'il a peut etre pas internet :sucre:

:yes:

:roll:

zekiller3 · le 27 septembre 2005

ben j'ai installé kaspersky comme tu l'as conseillé

anti hack et tout le package quoi

mais le virus a qd même réussi à corrompre de nouveaux executables... :chinois:

j'poste un nouveau rapport hijackthis

XZombi · le 27 septembre 2005

Le titre n'étant pas conforme, je verrouille le temps que tu me mp pour faire le changement ou un autre modérateur de la section :chinois:

Le tout dans le but de clarifier la présentation de la section, et permettre une meilleure aide, tout en optimisant le processus de production INpactienne.

Je ferme :pleure:

Edit: Bon, comme l'auteur m'a contacté par mp, je rouvre :mad2:

zekiller3 · le 27 septembre 2005

merci

nouveau rapport hijackthis posté :chinois:

snooky · le 27 septembre 2005

Le rapport est clean .

Tu as bien Kaspersky 5 personal , et non Kaspersky anti-Hacker , qui fait parti de la suite Kaspersky.

Donc , toujours pas de firewall activé ( peut être la protection réseau de l'antivirus ...)

Active le Firewall XP .

:chinois:

D'où proviennent les messages concernant Tenga ?

Quel est le chemin trouvé ? Quel fichier est infecté ? ...

Tu peux nous faire un screen ou poster un rapport qui montre cette infection ?

zekiller3 · le 27 septembre 2005

j'ai découvert le virus lors d'un scan en ligne sur secuser

apparement tous mes fichiers comportant l'extension .exe étaient infectés

et seuls ceux important à l'utilisation de mon pc (dans les répertoires program files, windows ...) étaient réparables.

Les autres fichiers tels que ceux d'installation étaient tous corrompus et avaient une taille ne dépassant pas 46Ko et n'étaient pas récupérables.

j'ai fait quelques recherches, et le virus se nomme également Gael selon symantec

je n'ai pour l'instant pas la main sur mon screenshot de l'infection détectée par ewido

mais en attendant voici un exemple du fichier

j'viens de libérer le fichier en quarantaine de kaspersky et voilà le résultat :

**firewall activé :chinois:

snooky · le 27 septembre 2005

ANTI-Hacker est bien présent dans la suite kaspersky , non ? Pourquoi ne le voit - on pas dans ton rapport ?

Poste ici un nouveau rapport , stp.

zekiller3 · le 27 septembre 2005

non rien de bien grave je n'ai effectivement pas installer la suite! mais bien uniquement l'anti virus fournit dans ton lien

snooky · le 27 septembre 2005

!

Supprime SecuritySuite 1.1.53 de Kaspersky de ton pc .

Passe Ccleaner et supprime TOUT ce qu'il trouve.

Poste un nouveau rapport Hijackthis , ici .

zekiller3 · le 27 septembre 2005

Logfile of HijackThis v1.99.1

Scan saved at 14:03:56, on 27/09/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\TGTSoft\StyleXP\StyleXPService.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\NetLimiter\NetLimiter.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Program Files\Executive Software\Diskeeper\DkService.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\WISPTIS.EXE

C:\Program Files\LeechFTP\Leechftp.exe

C:\Program Files\AM Browser\AM Browser.exe

C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.neuf.fr/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: TGTSoft Explorer Toolbar Changer - {C333CF63-767F-4831-94AC-E683D962C63C} - C:\Program Files\TGTSoft\StyleXP\TGT_BHO.dll

O4 - HKLM\..\Run: [NetLimiter] C:\Program Files\NetLimiter\NetLimiter.exe /s

O4 - HKLM\..\Run: [KAVPersonal50] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKCU\..\Run: [steam] "c:\program files\steam\steam.exe" -silent

O4 - HKCU\..\Run: [sTYLEXP] C:\Program Files\TGTSoft\StyleXP\StyleXP.exe -Hide

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Send To &Bluetooth - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra button: ATI TV - {44226DFF-747E-4edc-B30C-78752E50CD0C} - C:\WINDOWS\System32\shdocvw.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm

O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O15 - Trusted Zone: *.musicmatch.com

O15 - Trusted Zone: *.musicmatch.com (HKLM)

O16 - DPF: {001EE746-A1F9-460E-80AD-269E088D6A01} (Infotl Control) - http://site.ebrary.com/support/plugins/ebraryRdr.cab

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab30149.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/06ce435b99b70f...RdxIE601_fr.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - http://www.touslesdrivers.com/hardwaredetection.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...StatsClient.cab

O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://www.parispourvous.com/paris4you/act...sCamControl.ocx

O16 - DPF: {9AA73F41-EC64-489E-9A73-9CD52E528BC4} (ZoneAxRcMgr Class) - http://messenger.zone.msn.com/binary/ZAxRcMgr.cab

O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.0 Control) - http://www.photoways.com/clients/ImageUploader3.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab30149.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{F6D9CD3E-53D8-4E83-A80D-6EFD5BE1EE76}: NameServer = 80.118.192.111 80.118.196.41

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - AppInit_DLLs: MsgPlusLoader.dll

O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Program Files\Executive Software\Diskeeper\DkService.exe

O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: StyleXPService - Unknown owner - C:\Program Files\TGTSoft\StyleXP\StyleXPService.exe

snooky · le 27 septembre 2005

Tu serais gentil de répondre aux questions et de faire savoir si tu fais bien les manips que je te propose .

1/La Suite Kaspersky est - elle supprimée de ton pc ( l'executable que tu as téléchargé ) ?

2/Active les Bases étendues dans Kaspersky 5 Personal

3/ Pourquoi le Firewall XP n'est pas activé ?

4/ As-tu un service Alg.exe dans les processus de Ctrl+Alt+Suppr ?

gailuron66 · le 27 septembre 2005

ton fichier infecté se trouve dans le répertoire d'extraction pour l'installation de kaspersky :-D

C:\ KAV

où est ce que tu as telechargé kaspersky ??? :non: :non:

sur emule ???

(c'est pas bien de telecharger des version crackés , c'est farcis de virus )

édit:

apres désinstallation de ta suite kaspersky, le dossier KAV dans le lecteur "C:" est a supprimer à la main ---> corbeille

snooky · le 27 septembre 2005

Il ne l'as pas installé la suite Kaspersky.

Il a Kaspersky5 personal.

zekiller3 · le 27 septembre 2005

je voulais juste vous montrer un exemple de fichier qui s'infecte après s'être téléchargé, ça aurait très bien pu être winamp_setup.exe, msnsetup.exe et que sais-je encore...(je sais, c'est pas les noms exacts) j'en avais une bonne cinquantaine il y a peu, j'ai été obligé de les supprimer comme conseillé sur secuser et de toute façon tous mes fichiers ne dépassaient pas 45ko

donc pour en revenir...

excuse moi

j'ai passé Ccleaner une nouvelle fois

je viens d'activer la base étendue de kaspersky

j'ai bien activé le firewall! et j'ai redémarré la connexion pour être sûr qu'il soit activé!

et oui j'ai bien kaspersky5 personal et non la suite bidule d'installée!

et oui j'ai un service ALG.exe en service local

je m'apprête à installer kerio personal firewall 4.1.2

snooky · le 27 septembre 2005

... et tu as oublié de poster un rapport Hijackthis !

zekiller3 · le 27 septembre 2005

au temps pour moi

Logfile of HijackThis v1.99.1

Scan saved at 15:00:43, on 27/09/2005