[LOGICIEL] [Ré Infection!] Virus tenga.a

[snooky]

Alg.exe n'est pas présent dans les processus ... c'est pourtant le firewall XP

Inutile pour le moment d'installer un autre firewall .

Reboot et regarde si le firewall XP est bien activé !

[zekiller3]

bon après redémarrage

Logfile of HijackThis v1.99.1

Scan saved at 15:14:08, on 27/09/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\TGTSoft\StyleXP\StyleXPService.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\NetLimiter\NetLimiter.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Program Files\Executive Software\Diskeeper\DkService.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.neuf.fr/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: TGTSoft Explorer Toolbar Changer - {C333CF63-767F-4831-94AC-E683D962C63C} - C:\Program Files\TGTSoft\StyleXP\TGT_BHO.dll

O4 - HKLM\..\Run: [NetLimiter] C:\Program Files\NetLimiter\NetLimiter.exe /s

O4 - HKLM\..\Run: [KAVPersonal50] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize

O4 - HKCU\..\Run: [steam] "c:\program files\steam\steam.exe" -silent

O4 - HKCU\..\Run: [sTYLEXP] C:\Program Files\TGTSoft\StyleXP\StyleXP.exe -Hide

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Send To &Bluetooth - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra button: ATI TV - {44226DFF-747E-4edc-B30C-78752E50CD0C} - C:\WINDOWS\System32\shdocvw.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm

O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O15 - Trusted Zone: *.musicmatch.com

O15 - Trusted Zone: *.musicmatch.com (HKLM)

O16 - DPF: {001EE746-A1F9-460E-80AD-269E088D6A01} (Infotl Control) - http://site.ebrary.com/support/plugins/ebraryRdr.cab

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab30149.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/06ce435b99b70f...RdxIE601_fr.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - http://www.touslesdrivers.com/hardwaredetection.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...StatsClient.cab

O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://www.parispourvous.com/paris4you/act...sCamControl.ocx

O16 - DPF: {9AA73F41-EC64-489E-9A73-9CD52E528BC4} (ZoneAxRcMgr Class) - http://messenger.zone.msn.com/binary/ZAxRcMgr.cab

O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.0 Control) - http://www.photoways.com/clients/ImageUploader3.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab30149.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{F6D9CD3E-53D8-4E83-A80D-6EFD5BE1EE76}: NameServer = 80.118.192.100 80.118.196.36

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - AppInit_DLLs: MsgPlusLoader.dll

O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Program Files\Executive Software\Diskeeper\DkService.exe

O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: StyleXPService - Unknown owner - C:\Program Files\TGTSoft\StyleXP\StyleXPService.exe

j't'assure que alg.exe est là le firewall activé

[snooky]

Arf

Va dans services de Outils d'Administration du panneau de configuration , puis au service : Pare-feu Windows

Clic droit , Arrête et redémarre le service. Place le également en automatique .

Désactive la restauration system et scan avec kaspersky .

Montre nous le rapport de kaspersky.

[zekiller3]

rapport kaspersky

Statistiques:

Lancement : 27/09/2005 15:12:34

Fin : 27/09/2005 16:32:52

Objets analysés : 1865

Objets dangereux découverts : 3

Objets dangereux neutralisés : 0

Objets supprimés : 0

Mis en quarantaine : 0

Paramètres:

Objets de l'analyse :

Poste de travail, disque et répertoires de réseau

Actions exécutées sur les objets dangereux:

Interdire l'accès en cas de découverte d'un virus, confirmer l'action auprès de l'utilisateur

Niveau d'analyse :

Recommandé

Configuration des exclusions de la zone protégée :

Ne sont pas applicables

Rapport:

C:\Program Files\BPFTP Server\G6FTPSrv.exe est le riskware not-a-virus:Server-FTP.Win32.BulletProof.221 27/09/2005 16:32:26

C:\Program Files\BPFTP Server\G6FTPSrv.exe est le riskware not-a-virus:Server-FTP.Win32.BulletProof.221 27/09/2005 16:32:26

C:\Program Files\BPFTP Server\G6FTPSrv.exe est le riskware not-a-virus:Server-FTP.Win32.BulletProof.221 27/09/2005 16:32:27

C:\Program Files\BPFTP Server\G6FTPSrv.exe l'objet n'a pas été réparé, option "Ne pas traiter" sélectionnée 27/09/2005 16:32:52

[snooky]

Mets le dossier BPFTP Server en exclusion dans Kaspersky. Pas de souci avec ce fichier .

Rien d'autre de détecté par tes autres logiciels ?

[zekiller3]

pour le moment non...

car je n'utilise plus mon pc de façon "normale"

ça doit être le 6è scan que je fais

mais bon dès qu'il reviendra à l'attaque le tenga.a j'ne manquerai pas de le prendre en photo :)

en tout cas merci

si ce moment de quiétude persiste

[snooky]

Tu peux installer un firewall , maintenant .

http://snooky730.free.fr/kerio-pf-2.1.5-en-win.exe

http://snooky730.free.fr/kpf_fr.exe

Et réactiver la restauration system.

[zekiller3]

dernière question, je sais que celà a été posé dans d'autre topic mais bon

faut-il que je laisse le parefeu windows activé?

après avoir installé kerio

[snooky]

C'est comme pour les antivirus , pour éviter les conflits , 1 Firewall ( logiciel ) pour 1 PC

[zekiller3]

retour de la bête :(

[snooky]

Et si tu nous disais de quoi il s'agit ?

Un patch pour Fireworks ou un jeu vidéo ?

[cgege38]

Je suis dans le même cas de figure que notre ami.

Tous mes executables sont vérolés par le TENGA.A . Pourtant, j'avais Zone Alarm, Kaspersky Pro....

J'ai donc fait un FORMAT c:\, j'ai réinstallé seulement XP PRO et dès que je veux installé un logiciel, le .EXE est corrompu.

Ca fait 2 jous entiers que je suis sur le net pour ce TENGA, j'ai essayé toutes les procédures données, mais rien n'y fait puisque dès que l'on redémarre le PC comme demandé, les .EXE sont à nouveau corrompus, et je pense que la seule solution est de faire un FORMAT sur toutes les partitions.

A moins que vous ayez mieux à proposer ...

En tous cas, merci de votre attention

[cgege38]

Heu j'avais oublié de vous donner ceci :

Logfile of HijackThis v1.99.0

Scan saved at 17:57:33, on 06/10/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Unable to get Internet Explorer version!

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\userinit.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\wpabaln.exe

D:\Gérard\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

R3 - Default URLSearchHook is missing

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE (file missing)

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE (file missing)

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

O23 - Service: AVWUpSrv - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: Service d'administration du Gestionnaire de disque logique - Unknown - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Journal des événements - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Service COM de gravage de CD IMAPI - Unknown - C:\WINDOWS\System32\imapi.exe

O23 - Service: Partage de Bureau à distance NetMeeting - Unknown - C:\WINDOWS\System32\mnmsrvc.exe

O23 - Service: DDE réseau - Unknown - C:\WINDOWS\system32\netdde.exe

O23 - Service: DSDM DDE réseau - Unknown - C:\WINDOWS\system32\netdde.exe

O23 - Service: Plug-and-Play - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance - Unknown - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Prise en charge des cartes à puces - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Carte à puce - Unknown - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Journaux et alertes de performance - Unknown - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Cliché instantané de volume - Unknown - C:\WINDOWS\System32\vssvc.exe

O23 - Service: Carte de performance WMI - Unknown - C:\WINDOWS\System32\wbem\wmiapsrv.exe

[snooky]

Rien d'infectieux dans ton rapport.

MSIE: Unable to get Internet Explorer version!

C'est quoi le CD d' XP que tu as utilisé , là ?

Fixe ces lignes avec Hijackthis :

R3 - Default URLSearchHook is missing

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE (file missing)

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE (file missing)

Fait un scan avec : FluxScan

Fait un scan de ce fichier On Line Malware Scan: C:\WINDOWS\System32\wpabaln.exe

Installe le SP2 .

Installe un firewall d'urgence !

edit: Hijackthis se place à la racine du disque system .

Installe Kaspersky 5 personal et scan .

Puis donne nous le résultat des 3 scan .

[Scaramouche]

C'est quoi le CD d' XP que tu as utilisé , là ?

j'attend la réponse avec INpatience

[cgege38]

, tu ne m'auras pas sur ce coup-là

Pour une fois que j'utilise le CD de ma licence, tu ne vas pas me le reprocher

Plus sérieusement, c'est le CD de WINDOWS XP qui m'a été vendu avec mon PC et que j'ai payé 199 €

Et oui, j'étais riche à l'époque

Bon j'ai réussi à virer cette m#&µ£ de virus, par contre j'ai perdu tous mes .exe de D et E.

Ensuite j'ai fait à nouveau FORMAT C:, je vais regarder les dégats de D et E. Je vais aller retélécharger tous mes petits utilitaires, ( Zone alarm, avast, etc ) je réinstalle tout ça et je vous vais vos scans. Mais pas avant lundi soir vu que je pars en week-end.

Une dernière chose, les 2 autres PC de mon réseau sont restés sains. F-Secure a veillé au grain. Je dis MERCI F-Secure

Donc à la semaine prochaine et passez un bon week-end

[snooky]

Virus ? tu connais son nom ? tu as des screens ou rapports des scans où l'on voit apparaître le nom ce virus fantôme ?

[cgege38]

Nom de code : TENGA.A

Tu en veux? Je ne suis pas égoïste sur ce coup-là, je veux bien le donner, même pas partager, je te dis DONNER !!!

[snooky]

lol , pas de problème , je veux bien voir ça de plus près .

snooky730 AT hotmail.com , snooky730 AT free.fr pour mes emails.

La solution est tout simplement de mettre à jour ton pc .

Ce virus est connu depuis belle lurette .

Un XP pas à jour , alors que des patchs correctifs sont dispo , un XP sans firewall ...

un peu plus ...

Edit : les adresses en clair même si c'est des adresses poubelles

[cgege38]

Bah c'est justement ça qui me chiffonne

J'avais kasperski mis à jour une fois par semaine, avec un scan une fois par semaine; Zone Alarm, c'est vrai que je n'avais pas le pack 2 mais quant même, bizarre que je l'ai chopé.

Par contre, F-Secure sur mon 2eme pc me l'a détecté immédiatement !!!

Ma foi, l'essentiel est que je m'en sois débarrassé

[snooky]

Ce que tu n'as pas compris , c'est que le SP2 t'aurais évité cette infection ...