Smitfraud-C - Bifrose : Demande d'aide

[TomKrouze]

Bonsoir à tous !

Et bien voilà, un beau jour un pote me file un lien pas très net, et arrivant dessus, quelques messages d'erreurs et mon pauvre petit AVG s'affole en me disant "Threat detected" ou un bazar du genre !

Il le soigne, ok c'est cool.

Le jour après, je remarque que je reçois souvent des messages d'AVG en me disant qu'il y a un virus sur mon ordinateur, qu'il soigne sans aucun problème à chaque fois. Je fais une analyse, et je remarque que j'ai une centaine de virus (du même nom approximativement, genre "A0447514.exe").

Je fais un chtit scan Spybot, et il me trouve pas mal de Spywares, dont un certain Smitfraud-C ! Celui-ci contient deux lignes de registres et un dll infectés apparement. Les lignes du registre sont réparés, mais la dll reste impossible d'accès pour Spybot.

Une partie du log de Spybot, pour vous rendre compte :

[Angeldark]

Bonsoir,

Tu es effectivement infecté.
Mais plus particulièrement par Bifrose.

Utilises-tu POKER.FR ?

- Lance Hijackthis ->Do a system scan only
->Coche les lignes ci-dessous :

O2 - BHO: (no name) - {E818A918-D973-6B0D-95C1-BCC57410FED0} - (no file)
O20 - Winlogon Notify: rpcc - C:\WINDOWS\System32\rpcc.dll
O21 - SSODL: Internet Explorer - {F28A40D7-AD0E-034A-C651-5F0ED76232E6} - (no file)

Clique sur Fix checked (en bas à gauche)

Télécharge OTMoveIt (d'OldTimer). Sauvegarde-le sur ton Bureau.
Double-clique sur OTMoveIt.exe afin de le lancer.
Sélectionne l'emplacement suivant :

C:\WINDOWS\System32\rpcc.dll

---> Clique-droit puis Copier

Retourne sur OTMoveIt, fais un Clique-droit sur le cadre de gauche puis choisis Coller.
Clique maintenant sur MoveIt!

Si un fichier ou dossier ne peut être supprimé immédiatement, le logiciel te demandera de redémarrer. Accepte en cliquant sur YES

Poste le rapport situé dans ce dossier : C:\_OTMoveIt\MovedFiles\
Le nom du rapport est la date de sa création.
_________________

[TomKrouze]

Bonsoir ! Merci pour la rapidité de réponse :)

Bifrose donc ! Première nouvelle ^^. Et oui en effet, j'utilise Poker.fr !

Alors, j'ai bien réparé les trois lignes avec HiJackThis. Puis j'ai utilisé Move It, et il m'a mis que c'était pas possible à cet instant, j'ai alors rebooté.

Voici le log :

[TomKrouze]

Rebonjour.

Grande nouvelle : mon PC ne démarre plus ! Même en mode sans échec ! J'ai rebooté après le Move It, puis il ne dépasse pas la page d'accueil de Windows XP.

En fait, je vois mon fond d'écran avec le pointeur, pas d'icônes, pas de menu démarrer, et alors à ce moment-là, il reboot tout seul. Les disques durs ont l'air de s'arrêter en fait, car je les entends reprendre au nouveau reboot.

Ce matin, je réessaye donc après une nuit de calme, et il me fait un scan windows, et il m'a dit qu'il y avait une erreur dans deux fichiers du dossier system32, à savoir un truc genre config et un log, j'me souviens plus de la fin du fichier.

Me faites pas formater, je vous en supplie...

[Angeldark]

Re,

Tu n'as pourtant rien fait de spécial...
On peut essayer une réparation (cela ne supprimera aucun de tes fichiers), possèdes-tu le cd de Windows ?
_________________

[TomKrouze]

Finalement j'ai opté pour la solution radicale, j'ai trouvé une ancienne image de mon disque C et je l'ai réinstallée. A vrai dire, même mon routeur s'emballait, j'ai plus rien compris sur la fin.. :-/

Bref, me voici avec une nouvelle image tout belle. Et n'a pu rien..

Gros gros groooos merci pour l'aide apportée ! Mon PC a perdu le contrôle sur la fin, mais c'est rien

[Angeldark]

Tu peux quand même faire un scan en ligne Panda pour vérifier ?
_________________

[TomKrouze]

Ouaip, sans problème !

En fait, je viens de remettre AVG sur mon image, ainsi que Spybot et Ad-Aware. Je les ai mis à jour avant d'aller sur un quelconque site, puis j'ai fait une analyse avec les trois pour voir. J'ai aussi Zone Alarm au passage ^^.

Ad-Aware a trouvé quelques saletés, puis Spybot aussi quelques lignes de registres. AVG a découvert un machin Trojan.swizzor.8.bl ! Et que vois-je.. Quelques fichiers avec des noms genre A0017447.exe...

Tout a été supprimé ! Je commence à l'instant le scan Panda.

Je sens que je vais finir par formater pour de bon


Edit : Voici le scan Panda : Ici

Tiens, les 4 premiers exe, quand je clic droit dessus, ça fait planter explorer

J'arrive à en détruire 3 avec TuneUp Shredder, mais il reste le ERYMXGKF.EXE.

Re-edit : Ah nan, gros boulet que je suis, j'avais pas vu qu'il était en cours de fonctionnement. Je l'ai alors supprimé dans le gestionnaire des tâches, puis je l'ai supprimé aussi avec TuneUpShredder.