Trojan + Virus = svchost.exe @50% :'(

[saro_92]

Salut TLM, voilà ça faisait un bail que j'avais pas choppé de cochonnerie (enfin je crois). Mais même quand on est assez sérieux on a toujours de la poisse.

-Je vous raconte en gros comment j'ai fais mon affaire . C'était le 30 Avril j'avais besoin d'une image (photo) avec un "?".
J'ai chercher ça via Google Image, plusieurs images me sont proposées et quand je click sur une qui me plaisait et que j'atterris sur le site hébergeant l'image... PAF!!! 6 alertes de Avira!
-J'ai aussitôt refuser l'accès via Avira et depuis bas j'ai mon processus "svchost.exe qui utilise 50% du CPU.
Et le 01 Mai j'ai de-nouveau eu une alerte concernant ces 6 éléments, du coup je les aient mis en "quarantaine", que j'ai vidé aujourd'hui (oupsss?).

Résultat si je coupe le processus bas il veut éteindre mon PC et je suis obligé de reculer la date pour pas que le PC s'éteigne.

J'ai scanner les dossiers concerné avec Avira et Malwarebytes mais les 2 ne détectent rien.
*Voila en gros mon aventure, désolé pour ce gros patté. Et merci d'avance cordialement SarO_92 ^^

[Malekal_morte]

Salut,

Télécharge Combofix sUBs : combofix.exe et sauvegarde le sur ton bureau et pas ailleurs!

Double-clic sur combofix, accepte la licence d'utilisation et laisse toi guider.

Eventuellement, installe la console de récupération comme cela est conseillé

Attends que combofix ait terminé, un rapport sera créé. Poste le rapport.

Tu as le tutorial sur ce lien pour t'aider : http://www.bleepingcomputer.com/combofi ... r-combofix

PS : Si Combofix ne se lance pas en mode normal, tente en mode sans échec sans prise en charge du réseau : Redémarre en mode sans échec, pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec et appuye sur la touche entrée du clavier.

[saro_92]

Salutation, un grand merci pour cette réponse très rapide. ^^
-J'ai bien suivi tes instructions et voici le rapport en pièce jointe.

En tout cas mon soucie concernant le processus svchost.exe a l'air réglé car il ne consomme plus mon CPU.
EDIT: arf j'ai parlé trop vite le Processus est toujours à 50% de mon CPU loOL.

PS: ComboFix c'est très bien lancé sous Windows, je n'ai pas pu créer de "point de sauvegarde" car apparemment il n'est pas installé. ComboFix a voulu l'installer, il fallait un accès internet j'ai accepté mais il n'a pas réussi a ce connecter... J'ai donc fais sans "point de sauvegarde".

PS²: c'est normal qu'il me crée une sorte de "Poste de Travail" ayant pour nom "ComboFix" dans "C:"?!

Dans l'attente d'une réponse, merci. Cordialement SarO_92...

[Malekal_morte]

Le rapport est OK.

Regarde si c"est pas ZoneAlarm qui fout la grouille....
Désinstalle le et vois ce que cela donne.

[saro_92]

Salut TLM, désolé de répondre aussi tard j'ai pas trop squatter le PC ces derniers jours. ^^

Bon comme je le pensais la désinstallation de ZA n'a servie a rien. :S
Y avait aucune raison que cela provienne de ZA vu que ce problème est apparu depuis que j'ai eu les 6 alertes.

Et un rapport "hijackthis" peut apporter d'autres résultats?!

----------
EDIT: en 1er je dirais "LOL"! Car je viens d'effectuer un simple "examen rapide" avec Malwarebytes et il m'a détecté cela:
C:\Documents and Settings\AzO\Menu Démarrer\Programmes\Démarrage\srvaju32.exe (Trojan.Agent) -> Delete on reboot.
-Et après un petit reboot mon processus en redevenu normal sois à 0%.
----------
*Encore merci pour l'aide Malekal_morte ainsi que tout ceux qui bosse de près ou de loin sur le site et le forum.
@+ TLM ^^

[Malekal_morte]

ha je l'avais zappé dans le rapport, désolé.

Si ce PC est utilisé pour des accès FTP, faut changer les mots de passe, car il les vole.

[saro_92]

ha je l'avais zappé dans le rapport, désolé.

Si ce PC est utilisé pour des accès FTP, faut changer les mots de passe, car il les vole.

Re et merci pour ta rapidité! Heu... t'as pas a être désolé vu tout le taff que tu fourni loOL.

Mmm par "acces FTP" tu veux dire si j'en ai crée un sur ma machine et que des amis y on accès (par exemple)?!
*Si c'est ça, NAN. ;)

Mais par contre j'utilise Mozilla (temps en temps) et FlashFXP (rarement) pour acceder a des FTP genre:
-mon site
-mon serveur de jeu
-et quelque autre truc (rarement)

Dans l'attente d'une réponse, MERCI ^^

[Malekal_morte]

Mais par contre j'utilise Mozilla (temps en temps) et FlashFXP (rarement) pour acceder a des FTP genre:
-mon site
-mon serveur de jeu
-et quelque autre truc (rarement)

Les comptes ont été volés par l'infection présente sur ton PC et ton site peut potentiellement avoir été modifié afin d'infecter les visiteurs.
C'est quoi l'adresse ?

[saro_92]

Hoooooooooooooooooooo la vache!!! Bas bien vu j'ai été touché sur mon site . Heureusement qu'on a changé d'hébergeur ya peu de temps et j'ai pas les acces au FTP du nouveau. ^^

/\Voici les sites auxquels je me connecte via le FTP:/\
ATTENTION Virus http://teamcharognards.free.fr/
Un pote de ma team m'a dit que son Antivirus l'avait alerté et bloqué le site.
C'est l'ancien site de ma petite team de jeu, on ne va plus dessus car on a pris un hébergement OVH depuis peu.
*Mais il ce peut que des visiteurs passent, comment vérifier ou nettoyer le FTP sans perde les données?! :S

/\Le reste des trucs ou je me connecte via FTP:/\
- http://aziz92.free.fr/ <= j'y tient un peu
- 195.122.134.85 <= mon serveur de jeux (pas de site dessus)
- http://teamcharognards.clanservers.com/ <= l'hébergement offert avec mon serveur de jeu sur le quel j'avais bidouillé. Il n'a pas l'air infecté et il n'est d'aucune importance.
- hd1.freebox.fr <= le boitier TV de ma Freebox (lol)

Comment savoir si il on été infecté (hormis la FBX peu de chance)?! A vu d'œil je dirais nan, mais bon...
PS: vaux mieux que je change tout mes login et PW?!

PS²: il ne vole rien d'autre ce cochon?! j'effectue des paiements en ligne de temps en temps ya pas de risque?!

@tte et encore merci!

[Malekal_morte]

mouaip, y a un javascript pourri sur les pages :

Code : Tout sélectionner

<script>var KV=["H","e"];function J() etcc</script>
<!--daa2001d8e9f903994f46bfe8f8c897d-->        </td>

ça va là :

Code : Tout sélectionner

1273217567.081    314 192.168.1.27 TCP_MISS/200 31214 GET http://flowlaugh.ru:8080/welcome.php?id=0&pid=1 - DIRECT/83.169.37.246 application/octet-stream

- Je t'ai dit, faut changer les mots de passe des comptes
- nettoyer les pages et c'est bon.

Les identifiants ont été vol du temps où ton PC était infecté, donc si tu changes, c'est OK.

[saro_92]

Salut Malekal, désolé du retard. C'est OK j'ai bien changé mes MDP pour mes sites.
Mais coté nettoyage du site je suis perdu car je n'y connais rien...
C'est moi qui l'ai installé, c'était facile car c'est le système Nuked-Klan un site préfabriqué en gros. Mais quand ça devient trop compliqué je suis vite perdu car aucune connaissance en la matière.

*Il serait possible que tu m'aide? Si tu as le temps bien sur!

Cependant encore merci pour l'aide, d'ailleurs je vais bientôt refaire surface car j'ai eu une boulette récemment . Enfin bref cela est une autre histoire.

[Malekal_morte]

Il faut supprimer les lignes comme j'ai donnée en exemple au dessus.
A faire sur toutes les pages.

[saro_92]

Re,
Bon bas n'ayant aucune connaissance j'ai opté pour une solution radical (conne aussi).
Qui est la plus basic et consiste a télécharger "tout" le contenu de mon FTP sur mon PC.

J'ai eu 12 alertes concernant ce virus "script Java JS/Pegel.10121" Comme tu me l'as dit.
Je les ai aussitôt placé en "quarantaine" et remplacé par une copie de fichier que j'avais fait le 10/10/2009 ça fais vieux .

Et puis j'ai de nouveaux téléchargé tout le contenu du FTP sur mon PC et Avira ne m'a rien signalé j'en déduis que c'est réglé?!
*PS: Aurais tu un meilleur moyen plus technique que le mien pour vérifier si tout est OK?!
*PS2: heu Avira les a placé en quarantaine normalement c'est bon? Je risque rien?!

***Cependant mon site a l'air "mort" http://teamcharognards.free.fr/
*Tu aurais une idée STP ou cela n'est pas de ton domaine?!

---Encore merci--- @tte

[Malekal_morte]

ben t'as niqué le fichier index :

Code : Tout sélectionner

Parse error: syntax error, unexpected $end in /mnt/104/sdb/c/a/teamcharognards/index.php on line 80

T'as pas une sauvegarde ou tu peux pas restaurer...