J’ai un virus nommé 78exssd32a

par **Rendo** » 14 Avr 2006 11:02

J’ai un virus nommé 78exssd32a

Depuis quelques jours Norton détecte pas mal de virus dans mon répertoire C:\Doccuments and setting\ User\Local Settings\Temp, des virus nommé par exemple 78exssd32a.exe où 56exssd32a exe , il y en a plusieurs comme ça, mais quand je vais dans le répertoire en question je ne trouve pas ses fichiers, quelqu’un saurait-il me dire d’où viennent ses virus ?

par **sulimim** » 14 Avr 2006 11:06

Tu peux toujours essaye les antivirus en ligne

et aussi stinger : http://vil.nai.com/vil/stinger

par **Rendo** » 14 Avr 2006 11:09

Bonjour et merci :wink:

Mais je voudrai juste savoir d'où peuvent bien venir ses virus.

par **sulimim** » 14 Avr 2006 11:12

Tu dois avoir un fichier infecte qui est lance de temps en temps

Ou une page web

C'est pour ca que ce n'est pas toujours visible je pense

T'as interet de faire une chasse aus spywares/adwares et aux virus sur ton poste dans un premier je pense

par **Rendo** » 14 Avr 2006 11:18

Bonjour, et merci pour ses renseignements :wink:

Mais je vourdrai juste savoir d'où viennent ses virus.

Si quelqu'un saurait me dire d'où viennent ses virus ?

par **S0l0** » 14 Avr 2006 14:00

glop! glop!

Ses virus peuvent provenir de soit de site web certaisn petit malin des que tu vien sur leur site te fait telecharger en arriere plan plein de coch*nnerie executables , activeX , et peuvent aussi modifier ta page d'accueil , tes favoris etc.... sinon ca peut etre aussi des Bots un programme qui scanne le net a la recherche des failles potentiels sur I.E lance completement au hazard tout sorte de chose virus , spyware etc...

par **Rendo** » 14 Avr 2006 14:08

Bonjour et merci beaucoup pour ses renseignements :wink:

par **Rendo** » 14 Avr 2006 16:22

J'ai fait un scan, voici le résultat:

Code: Tout sélectionner: Logfile of HijackThis v1.99.1 Scan saved at 15:57:11, on 14/04/2006 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe C:\Program Files\Stardock\Object Desktop\WindowBlinds\wbload.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\Program Files\MessengerPlus! 3\MsgPlus.exe C:\PROGRA~1\SYMANT~1\VPTray.exe C:\Program Files\Fichiers communs\Acronis\Schedule2\schedul2.exe C:\Program Files\Java\jre1.5.0_03\bin\jusched.exe C:\Program Files\Symantec AntiVirus\DefWatch.exe C:\WINDOWS\system32\drivers\KodakCCS.exe C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe C:\WINDOWS\system32\ctfmon.exe C:\WINDOWS\SYSTEM\DRIVER\ntuser.exe C:\WINDOWS\system32\rundll32.exe C:\Program Files\MSN Messenger\msnmsgr.exe C:\Program Files\Megatec\RUPS 2000\Rupsd.exe C:\WINDOWS\system32\svchost.exe C:\Program Files\Symantec AntiVirus\Rtvscan.exe C:\WINDOWS\system32\thusrsrvsvc.exe C:\WINDOWS\System32\ups.exe C:\Program Files\watchDirectory\wdPostMan.exe C:\Program Files\Outlook Express\msimn.exe C:\Program Files\Outlook Express\OELauncher.exe C:\Program Files\WhenUSearch\Search.exe C:\WINDOWS\system32\svchost.exe C:\DOCUME~1\1747\LOCALS~1\Temp\15exmodulbk.exe C:\PROGRA~1\DAP\DAP.EXE C:\Documents and Settings\1747\Bureau\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/ R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.google.fr/ R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O2 - BHO: (no name) - {724d43a9-0d85-11d4-9908-00400523e39a} - C:\Program Files\Siber Systems\AI RoboForm\roboform.dll O2 - BHO: SnapFlash Class - {A44CBB0B-C77D-4BF5-87CC-B4EE79AD1B7E} - C:\Program Files\Fichiers communs\justDo\Jd2002.dll O2 - BHO: WhenUSearch Helper - {BA2325ED-F9EB-4830-8FCE-0BC35B16969B} - C:\Program Files\WhenUSearch\search.dll O3 - Toolbar: DAP Bar - {62999427-33FC-4baf-9C9C-BCE6BD127F08} - C:\Program Files\DAP\DAPIEBar.dll O3 - Toolbar: &Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - C:\Program Files\Siber Systems\AI RoboForm\roboform.dll O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe" O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\VPTray.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_03\bin\jusched.exe O4 - HKLM\..\Run: [.nvsvc] C:\WINDOWS\system\smss.exe /w O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [RegEdit Extensions 1.0 (Beta)] rundll32.exe regedex.dll,StartExReg O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background O8 - Extra context menu item: &Download with &DAP - C:\PROGRA~1\DAP\dapextie.htm O8 - Extra context menu item: Barre RoboForm - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html O8 - Extra context menu item: Download &all with DAP - C:\PROGRA~1\DAP\dapextie2.htm O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: Enregistrer le formulaire - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html O8 - Extra context menu item: Personnaliser le menu - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html O8 - Extra context menu item: Remplir le formulaire - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html O8 - Extra context menu item: Save Flash with Flash Catcher - res://C:\Program Files\Fichiers communs\justDo\IECatcher.DLL/FlashCatcher.htm O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_05\bin\npjpi142_05.dll O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_05\bin\npjpi142_05.dll O9 - Extra button: Remplir - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html O9 - Extra 'Tools' menuitem: Remplir le formulaire - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html O9 - Extra button: Enregistrer - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html O9 - Extra 'Tools' menuitem: Enregistrer le formulaire - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll O9 - Extra button: Run DAP - {669695BC-A811-4A9D-8CDF-BA8C795F261C} - C:\PROGRA~1\DAP\DAP.EXE O9 - Extra button: Barre RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html O9 - Extra 'Tools' menuitem: Barre RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html O9 - Extra button: Flash Catcher - {90BAE0EF-F4BF-4FAC-B2EC-2C725C34AF12} - C:\Program Files\Fichiers communs\justDo\IECatcher.DLL O9 - Extra 'Tools' menuitem: Flash Catcher - {90BAE0EF-F4BF-4FAC-B2EC-2C725C34AF12} - C:\Program Files\Fichiers communs\justDo\IECatcher.DLL O12 - Plugin for .wav: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin.dll O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing) O20 - AppInit_DLLs: wbsys.dll MsgPlusLoader.dll O20 - Winlogon Notify: ldr64 - ldr64.dll (file missing) O20 - Winlogon Notify: NavLogon - C:\WINDOWS\system32\NavLogon.dll O20 - Winlogon Notify: WB - C:\PROGRA~1\Stardock\OBJECT~1\WINDOW~1\fastload.dll O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Program Files\Fichiers communs\Acronis\Schedule2\schedul2.exe O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - C:\Program Files\Symantec AntiVirus\DefWatch.exe O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\WINDOWS\system32\drivers\KodakCCS.exe O23 - Service: Macromedia Licensing Service - Macromedia - C:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exe O23 - Service: NTBOOTMGR (NTBOOT) - Unknown owner - C:\WINDOWS\SYSTEM\DRIVER\ntuser.exe O23 - Service: NTLOAD - Unknown owner - C:\WINDOWS\SYSTEM\DRIVER\ntsrv.exe O23 - Service: NTSVCMGR - Unknown owner - C:\WINDOWS\SYSTEM\DRIVER\ntsrv.exe O23 - Service: Rupsd - Mega System Technologies, Inc. - C:\Program Files\Megatec\RUPS 2000\Rupsd.exe O23 - Service: SAVRoam (SavRoam) - symantec - C:\Program Files\Symantec AntiVirus\SavRoam.exe O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe O23 - Service: Symantec AntiVirus - Symantec Corporation - C:\Program Files\Symantec AntiVirus\Rtvscan.exe O23 - Service: ThalliumBackup UserServer (ThUserSrvSvc) - Astase - C:\WINDOWS\system32\thusrsrvsvc.exe O23 - Service: wdPostMan - GdP Software - C:\Program Files\watchDirectory\wdPostMan.exe O23 - Service: Windows Log - Unknown owner - C:\WINDOWS\system32\nvsvcd.exe

par **the_Sphinx** » 23 Août 2006 01:42

Salut,

Je connais ces virus, pour avoir monté un honeypot qui les a attrappés.
http://www.journaldunet.com/encyclopedi ... ypot.shtml

Bref, voici des logs les concernant :

Complete scanning result of "14exssd32i.exe", received in VirusTotal at 08.20.2006, 00:15:50 (CET).

Antivirus Version Update Result
AntiVir 6.35.1.3 08.18.2006 TR/Dldr.Horst.A
Authentium 4.93.8 08.19.2006 no virus found
Avast 4.7.844.0 08.18.2006 Win32:Horst-N
AVG 386 08.18.2006 no virus found
BitDefender 7.2 08.19.2006 Trojan.Downloader.Horst.A
CAT-QuickHeal 8.00 08.18.2006 no virus found
ClamAV devel-20060426 08.19.2006 no virus found
DrWeb 4.33 08.19.2006 Trojan.Popuper
eTrust-InoculateIT 23.72.101 08.18.2006 no virus found
eTrust-Vet 30.3.3026 08.18.2006 no virus found
Ewido 4.0 08.19.2006 Downloader.Horst.a
Fortinet 2.77.0.0 08.18.2006 W32/Horst.A!tr.dldr
F-Prot 3.16f 08.18.2006 no virus found
F-Prot4 4.2.1.29 08.19.2006 no virus found
Ikarus 0.2.65.0 08.18.2006 no virus found
Kaspersky 4.0.2.24 08.20.2006 Trojan-Downloader.Win32.Horst.a
McAfee 4832 08.18.2006 no virus found
Microsoft 1.1560 08.17.2006 no virus found
NOD32v2 1.1715 08.18.2006 no virus found
Norman 5.90.23 08.18.2006 no virus found
Panda 9.0.0.4 08.19.2006 Suspicious file
Sophos 4.08.0 08.19.2006 no virus found
Symantec 8.0 08.19.2006 no virus found
TheHacker 5.9.8.195 08.18.2006 no virus found
UNA 1.83 08.18.2006 TrojanDownloader.Win32.Horst.8050
VBA32 3.11.0 08.18.2006 Trojan-Downloader.Win32.Horst.a
VirusBuster 4.3.7:9 08.19.2006 no virus found

Les 2 nombres présents dans le nom du fichier sont aléatoires, ainsi que quelques lettres, mais "exssd" par exemple est commun.

Donc
Désinfection

1) mettre à jour Windows (windowsupdate.microsoft.com)
Si ton XP n'est pas un officiel et que tu ne peux pas mettre les patchs, hé bien il faut assumer tes choix...

2) télécharger Ewido
http://www.ewido.net/en/
et dans l'interface virer les 2 résidents ("Resident Shield" + "Automatic Update"), mets le à jour puis fais un scan.

3) Installes Antivir et fais un scan avec.

PS: tu peux changer d'antivirus, car franchement là ce n'est qu'une preuve de plus que Norton est une arnaque commerciale ![/b]

@+++

J’ai un virus nommé 78exssd32a

J’ai un virus nommé 78exssd32a

Qui est en ligne ?