Attention potentiel nouveau virus !!

[gameslover]

Je vous informe juste que j'ai plusieurs amis par ici qui sont victimes d'un virus récent : worms.goabot.S

Il y a des variantes pour le nom... ce virus n'est pas bien méchant à la base, en fait il se recopie sans cesse lui-même. Il devient donc rapidement pénible sur un PC peu puissant... de plus, il exploite la faille RTC (je crois...), celle découverte par Lovsan, mais n'est pas détecté par les utilitaires pour éradiquer Lovsan...

Donc faire attention si le PC n'est pas à jour à ce niveau...

Là où il y a un réel problème, c'est que ce virus est malin... en effet, en plus de se recopier, il empêche l'utilisation de n'importe quel antivirus !! Il les ferme, directement !! Le pire, il arrive à fermer regedit !!! Ce qui fait que même si on sait où il se trouve et qu'on l'efface, il est recrée à chaque démarrage vu qu'il est dans le registre...

Voilà un peu le topo... je suis en train de chercher pour les amis en question un moyen de pouvoir éditer le registre autrement que par regedit afin qu'il ne puisse peut-être pas empêcher son ouverture, ou alors un logiciel pour chasser ce maudit ver... mais je ne trouve rien pour le moment...

Si quelqu'un a une idée je suis donc preneur

[J-C (ancien compte)]

Je sais pas si ca a un rapport mais ds ma boite hotmail, j'ai eu pas mal de spam ainsi que des mails de copains mais tjs avec un forward et tjs de la meme taille (90ko le mail) donc, je suis quasi sur que là aussi virus...

faites gaffe

[RyF]

j' ai réussi en erradiquer un virus comme ça à la main au bureau, mais j'ai un peu endommager le système (je peu plus rien lancer à par windows), ou alors il faut que je lance les aplli (même les applis windows) avec VDMS pour qu'elle démarrent(...) et la base de registre est toujours bloquée....
demain je teste un truc pour voir si j'arrive à réparer mon système recopiant de sfichiers sytème de mon ordi de la maison (même système, même version) sur celui du bureau.
pour la BdR je ne sais pas pas , je chercherai sdemain sur le net

[gameslover]

Le virus en question se propage via Windows Update si mes sources sont fiables... de plus, il empêcherait également les mises à jour WinUPD en fermant tout simplement la fenêtre d'installation...

C'est réellement une sale bête ce truc !! De plus, selon les amis infectés en question, même un formatage ne résoud pas le problème !! En effet, dès la première connexion Internet détectée, le ver se créerait à nouveau...

Diabolique quand même... autant dire que ton PC est bon pour passer à la poubelle si tu as ce truc... ou alors tu ne le mets plus jamais à jour et tu n'utilises plus d'antivirus

[Picpic]

Via Windows Update?

Les serveurs de chez Microsoft ont été touchés :confused:

[MuetDhiver]

Le registre de Windows est en fait créé à partir de 2 fichiers : USER.DAT et SYSTEM.DAT.

La solution. C'éer une sauvegarde du registre (tout le registre attention) ou mieux, copier les 2 precedents fichiers sur un coins sure du DDH, et travailler sur ces copies. Normalemnt si ces fichiers ont un nom different de la BD, alors il est possible de l'editer (click droit sur le fichier *.reg=> edition). Ensuite il ne reste plus qu'a remplacer la vrai base de donnée par la sauvegarde modifiée (ou bien remplacer les fichiers USER.DAT et SYSTEM.DAT par les sauvegardes)

:mad: Je viens de me rendre compte que les 2 fichiers ne sont pas lisibles en mode texte (donc pas moyen de les modifier autremet qu'en bassant par la BD sous peine de planter irremediablement Windows).

Derniere solution (mais j'ai des doutes quand à son efficacitée) travailler sous windows en mode sans echec.

Enfin en ce qui concerne l'antivirus, je suppose qu'il doit toujours être possible d'utiliser un antivirus en ligne comme secuser.com

Edit : Une clée de registre dans la BD n'a jamais permis de reinstaller un logiciel ou un virus si celui-ci n'est plus présent sur l'ordinateur. Donc en passant sur un antivirus en ligne les choses devraient aller un peu mieux.

Edit 2: il y a toujours un moyen sous Dos de retablire une ancienne sauvegarde de la base de registre. la commande :
scanreg /fix

Pour les options
scanreg. /o

[gameslover]

Je ne sais pas si les serveurs de M$ sont touchés, je pense plutôt que c'est le propre ordi de la personne infectée qui bloque les mises à jour...

A part ça merci Muet pour les infos. J'ai transmis aux amis en questions, le truc, c'est qu'ils n'arrivent pas à éditer les fichiers en question, ils ont essayé tout simplement avec le bloc-note, mais il n'y a rien qui ressemble à la base de registre, c'est des caractères illisibles parait-il... il faut un logiciel spécial pour lire ces deux fichiers ?

Concernant la sauvegarde de la base de registre, elle ne s'effectue pas. En effet, vu que se ferme presque tout de suite, impossible de lancer la sauvegarde...

Sous DOS est-il possible de faire cette sauvegarde ? Il me semblait que oui mais comment, aucune idée...

Les antivirus en ligne fonctionnent oui, mais le problème avec ces derniers, c'est qu'ils enlèvent bien les virus, mais pas leurs entrées dans la base de registre... au prochain démarrage ils seront donc recrées de suite...

Edit : je t'assure que j'ai vu de mes propres yeux les virus à nouveau présents même après avoir été effacés via un antivirus en ligne... peut-être qu'ils se recréent d'ailleurs que depuis le registre alors...

[MuetDhiver]

Pour faire une sauvegarde, c'est :
scanreg /backup

Et pour restaurer la sauvegarde :
scanreg /restore

Mais comme la BD est deja contaminée c'est trop tard. A moins d'importer une vieille base de donnée enregistrée avant.

En ce qui concerne les 2 fichiers, penser à verifier qu'ils ne sont pas en simple lecture (protégés en ecriture). Et puis sinon faire la copie (si une sauvegarde valide existe quelque part) sous dos.

En ce qui concerne le virus il doit encore exister le programme infecté quelque part. Sinon la DB ne pourrait pas faire appel au fichier pour reinstaller le virus. Si celui-ci n'exite plus pas moyen de le remettre (la BD ne fait que lancer des instructions elle ne contient pas de programme en elle-même).

Quand j'ai un virus, la premiere chose à verifier est tout ce qui se lance au demarrage, avec msconfig (et virer tout ce qui est suspect). Puis detruire tout les processus suspects (sous Xp c'est possible, sous Win9x j'utilise Taskiller). Là normalement le processus du virus ne devrait plus être actif, et on devrait pouvoir éditer normalment la base de registe.

Au passage verifier tout les fichiers de Msconfig (config.sys, autoexec.bat, system.ini, win.ini). C'est long et là c'est au filing. Il faut essayer de trouver une ligne qui cloche et qui lancerait un programme suspect.
Verifier en particulier les rubriques : [boot], [386Enh] et [NonWindowsApp].

PS: au fait pour les *.dat, c'est vrai que c'est illisible en mode txt. Je m'en suis rendu compte trop tard.

EDIT : je viens d'avoir une idée. Essayer de passer l'antivirus sous windows en mode sans echec

[gameslover]

Bon, ça commence à devenir très bizarre...

Voilà ce qu'ils m'ont dit :

MSconfig est inutilisable car comme un antivirus, regedit ou Windows Update, il se referme quelques secondes après son ouverture...

On va retenter le mode sans échec, peut-être que ça ira aujourd'hui, hier ça faisait la même chose malheureusement...

Merci pour tes précieux conseils en tout cas

[MuetDhiver]

J'aurais peut-être trouvé la source du probleme grace à ce site.

Ils disent que ce virus (aui est en fait un vers) utilise MSVCP60.DLL pour s'executer (vers ecrit en visual). Donc en supprimant ce fichier (ainsi les autres de la même famille, msvcp10.dll, msvcp20.dll ...) le vers devrait ne plus fonctionner.

Pour plus de sureté, il vaut mieux garder les fichiers dll dans un coin. Ils ne sont pas cruciaux pour windows, mais quand même (par exemple les mettre sur disquette).

Apres pour suprimer le vers, va faire un tour sur le site de MacAfee. J'ai pas tout compris avec leur histoire de DAT.

[gameslover]

De retour de chez les amis en question, voici les dernières nouvelles, plutôt bonnes !!

Tout d'abord un grand merci de ma part mais également de la part des personnes infectées pour ton aide très précieuse Muet

Ensuite, ben le mode sans échec ne fonctionnait toujours pas cet après-midi... c'est seulement ce soir, grâce à ton conseil sur les fichiers MSVCP60.DLL et Cie, qu'on a pu faire qqch.

En effet, en effaçant ces fichiers, le virus n'était pas éradiqué, mais ne se lançait plus en mode sans échec !! Par contre en mode normal oui... donc il a suffit de lancer en mode sans échec l'antivirus pour qu'il se mette à jour, détecte les virus en question et les efface... ensuite, toujours en mode sans échec, on en a profité pour mettre à jour Windows et notamment la mise à jour critique suite à une faille d'XP qu'explotait ce virus Gaobot...

Tout semblait donc réglé, et c'est le cas... subsite juste une bizarrerie... l'antivirus, en mode normal, se ferme toujours tout seul... pareil pour msconfig et regedit... alors que l'ordi est totalement propre et à jour, il y a toujours ce petit problème... bon c'est pas non plus terrifiant, mais c'est ennuyant, surtout pour l'antivirus car évidemment la protection automatique ne se lance pas...

Personnellement j'ai pensé à un bug d'XP quelconque... d'autres personnes m'ont dit que ça pouvait venir d'un trojan... indétectable par un antivirus car totalement inactif mais qui pourrait se manifester au moment de l'installation de certains logiciels M$ type Office...

Je ne sais trop si c'est crédible à vrai dire... mais si qqn aurait une idée concernant ces fermatures intempestives, je suis évidemment preneur !!

Encore merci

[gameslover]

Enfin LA solution !!!

Oui, j'ai enfin eu la chance de pouvoir totalement éradiquer ce maudit virus des PC de mes amis !!!

Comme dit dans mon précédent post, il subsistait toujours le problème des fenêtres qui se fermaient toutes seules... eh bien cela était simplement dû à la présence d'une autre variante de gaobot... en effet, ce virus à une bonne vingtaine de confrères !! Et ils ne se manifestent pas tous de la même façon !!

Celui dont étaient infecté mes amis s'attaquait aux fichiers scvhost.exe et win32hlp.exe... de plus, il inscrivait une clé au registre dans localmachine/system/curentcontrolset/services/cfgldr

Tout le répertoire cfgldr était a effacer pour empêcher le virus de se réactiver lors du redémarrage du PC...

Etant donné qu'il est pas mal actif en ce moment je vous conseille vivement de faire très attention... notamment ceux équipés de l'antivirus Norton qui ne détecte pas du tout ce virus !!! En effet, pas défaut, Norton exclu les fichiers système de son analyse... donc il ne voit rien... l'antivirus en ligne conseillé par Muet est le moyen le plus sur pour contrôler efficacement son PC...

D'ailleurs mon anti-virus personnel est fait par cette même firme qui propose celui en ligne... et je n'ai jamais eu le moindre problème...

Enfin voilà, histoire réglée !!

[MuetDhiver]

Bon temps mieux. Maintenant on est prevenu et on sait quoi faire. Point de vue virus, j'ai jamais vraiment eu peur parce que je sais à peu pres quoi faire (sauf si les degats sont irreversibles).
Mais pour un non inité à ces choses c'est la galère.

[s***]

salut,

pour info si tu veux entrer dans la base de registre sans passer par regedit, il y a regcleaner a telecharger sur http://www.jv16.org

donc voila pour tout ceux qui veulent.


Snipereyes

[Sergejack]

Tout à l'heure j'ai installé XP chez un amis.
Son pc est connecté au net via le cable en ethernet, et donc il ne contrôle le moment où il se conect et se déconnecte qu'en allumant et éteignant son pc.

Alors, j'ai eu droit au reboot 60 sec...
Plus de maj de win possible, l'installation des correctifs étant devennu impossible.
Plus de regedit non plus.

Moralité : j'ai installé windows 98.

Xp, est vraiment un XPrience à part entière.