IE7 en panne - Bandook : msdll.exe [Résolu]

[Sév]

Ouaip on a une belle variante toute neuve là.

On va déjà essayer de réparer le mode sans échec, mais il est possible qu'il soit de nouveau désactivé, tant que la machine est infectée.

Comme je ne sais pas de quoi est capable ce delf, je te conseille de sauvegarder tes données les plus importantes si elles se trouvent sur la partition système. Il vaut mieux être prudent.

• Télécharge ce fichier et décompresse le sur ton Bureau,
  
  
• Double clique sur Safeboot_SP2.reg et accepte la fusion à la base de registre.

Fais analyser ces fichiers sur VirusTotal :

[pg45]

Bojour SEV,

je repasse rapidement sur ma machine, je serai plus présent ce soir.

J'ai bien fait l'inscription dans la BDR
en revanche je ne trouve aucun des 4 fichiers de \system32 que tu souhaites analyser par virus total.

Au sujet de la dernière remarque "crack", rien de particulier récemment.
En fait mes soucis sont apparus après que j'ai eu changé ma carte mère, qui s'est parfaitement passé, à une exception près: lorsque j'ai voulu relancer Adobe acrobat pro 8, installé sans encombre depuis au moins trois mois, mises à jour effectuées sans problème, j'ai eu une alerte disant que ma version ne pouvait être validée, ayant tenté de revalider sans résultat, j'ai désinstallé.
C'est le seul incident notable.

Encore merci, à bientôt
_________________
Pierre

[jjcojax]

Bonjour,

Pour voir les fichiers cachés et systèmes:

En texte ou en image.

Si ces fichiers sont présents dans les rapports, ...

[pg45]

Bonsoir Sev

Effectivement les 4 fichiers étaient bien présents, j'étais pourtant convaincu de les avoir rendus visibles.

Total Virus ne donne aucun résultat positif pour ces 4 fichiers

Pour ce qui est de "DSS" je n'ai obtenu ce soir que le fichier main:

http://cjoint.com/?mgvKkcHXfA

j'avais auparavant lancé une permière fois, mais sans désactiver winpatrol et l'antivirus, et j'avais obtenu les 2 fichiers, je les ai donc effacés et j'ai relancé Dss après désactivation et je n'ai plus qu'un seul fichier.
J'ai pensé à désinstaller dss mais je n'ai vu aucune procédure pour le faire.

J'ai l'impression de patauger comme un débutant

Merci

Edit
je viens de tenter un mode sans echec et cette fois ça marche
_________________
Pierre

[Sév]

Bonsoir,

Merci JJCojax

[pg45]

Bonjour Sev,

voici les liens pour les rapports des 4 fichiers:

http://ww.virustotal.com/fr/resultado.html?c6de1092ee7eb64beaff72a74785b2b8

http://www.virustotal.com/fr/resultado.html?ecbda68afc29ee2de271bc1effc81cf3

http://www.virustotal.com/fr/resultado.html?cd09f4f8142a568770d1c6af85189508

http://www.virustotal.com/fr/resultado.html?2bd93c188078b28a603693f43980b19c

le reste à suivre

y'a encore du boulot
_________________
Pierre

[pg45]

Re Sev,

suite avec les liens pour les fichiers DSS:

http://cjoint.com/?mhokPqKTaC

http://cjoint.com/?mhoneX5Sh1

juste une remarque je ne trouve plus ce fichier "msdll.exe" dans \system32

est ce un bon présage?

Edit

Tomtom et Riva Tuner sont parfaitement 'clean'
je suis le seul utilisateur, avec un branchement permanent à internet (modem adsl routeur WiFi Linksys)

Re Edit

je viens de faire une recherche sur msdll.exe, il a bel et bien disparu de \system32
et je l'ai retrouvé renommé en "msdll.exe.vir" dans un répertoire inconnu: C:\qoobox\Quarantine\C\WINDOWS\system32

je n'ai aucune idée de ce que peut être ce répertoire, sûrement consécutif à toutes les manipulations que tu m'as fait faire, apparemment celles ci ont permis de renommer ce fichier et je l'espère de le désactiver.

Je ne touche plus à rien sans ordre de ta part
_________________
Pierre

[Sév]

Bonsoir

[pg45]

Bonsoir Sev,

le lien de Combofix:

http://cjoint.com/?mhwo5ejJDS

je reviens dans ce message après avoir essayé le mode sans echec

Edit

le mode sans échec fonctionne normalement, mais à la fermeture de Windows j'ai toujours la fenêtre qui me dit que "dwwin.exe la dll n'a pu s'initialiser"
Merci

Re Edit

je viens de refaire un scan avec Combofix car le lien ci dessus donne un fichier d'hier, voici le dernier fichier:

http://cjoint.com/?mhwQOMGaGO

il semble qu'il y ait toujours une inscription de "msdll" dans la Bdr, mais là c'est facile à supprimer, j'espère
_________________
Pierre

[Sév]

Bonjour,

C'était bien le 1er rapport de CF que je voulais pour voir ce qu'il avait fait.

On va s'occuper de la clé en question :

• Suppprime CFScript de ton Bureau, on va en créer un nouveau,
  
  
• Ouvre le bloc notes et copie/colle ceci :
  
  

  Citation:

  [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{B6A807N6-42DF-4W02-93E5-B156B3FA8AL1}]=-

  
  
  
• Enregistre le fichier en le nommant CFScript.txt et recommence la manipulation du glisser/déposer vers Combofix
  
  
• Poste le rapport obtenu. :)

@+
_________________

[pg45]

Bonsoir Sev

voici le lien après le nouveau scan:

http://cjoint.com/?miseIBHmsK

une simple intervention dans la Bdr pour supprimer la clé dans HKLM ne suffirait pas?

je vois dans le rapport qu'il est peut être question de rootkit ?

Merci
_________________
Pierre

[Sév]

Arf, désolée, j'ai mangé un bout de la syntaxe en route

Le bon script est celui-ci :

[pg45]

Bonsoir Sev,
ça me rassure, y'a pas que moi qui fait des bétises

voici le lien, j'espère qu'il te conviendra:

http://cjoint.com/?miwKeCoDxj

pour ce qui est de la Bdr, je pense que ça devrait aller, avec regedit bien sûr, mais j'ai également jv16 powertool qui est sûrement mieux
_________________
Pierre

[Sév]

Ok, alors va atomiser cette clé, redémarre et vérifie qu'elle ne soit pas revenue.

Un petit nettoyage de la BDR et des fichiers temporaires avec CCleaner ne devrait pas faire de mal à ton PC ensuite.

Si succès de suppression de la clé je pense que tu ne devrais plus avoir de message d'erreur avant l'extinction du PC. :)

++
_________________

[pg45]

Sev,

avant cela voici ce que donne une recherche sur msdll

http://cjoint.com/?miw6cD1GqO

recherche faite avec jv16
je ne les supprime qu'après ton avis
_________________
Pierre