Win32.skiMorph

Salut, j'ai le même soucis sur le PC d'un ami ; je lui dépanne le PC par TeamViewer c'est vraiment pas mal comme truc...

Bon j'ai utilisé Hijackthis et le rapport est le suivant :


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:09:48, on 14/04/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16791)
Boot mode: Normal

Running processes:
C:\Windows\System32\smss.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Windows\Explorer.EXE
C:\Windows\vVX1000.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Windows\system32\ctfmon.exe
C:\Program Files\Logitech\SetPoint\SetPoint.exe
C:\Program Files\Fichiers communs\Logishrd\KHAL2\KHALMNPR.EXE
C:\Windows\system32\spoolsv.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Microsoft LifeCam\MSCamS32.exe
C:\Windows\System32\NMSSvc.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\Windows\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\System32\wbem\wmiapsrv.exe
C:\Documents and Settings\Administrateur\temp\TeamViewer\Version4\TeamViewer.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - (no file)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [VX1000] C:\Windows\vVX1000.exe
O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Windows\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Program Files\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent
O4 - HKLM\..\RunOnce: [Malwarebytes Anti-Malware (reboot)] "C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript
O4 - HKCU\..\Run: [ctfmon.exe] C:\Windows\system32\ctfmon.exe
O4 - HKCU\..\Run: [NBJ] "C:\Program Files\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\Windows\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\Windows\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\Windows\system32\GPhotos.scr/200
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\Windows\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\Windows\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Program Files\Fichiers communs\Logitech\Bluetooth\LBTServ.exe
O23 - Service: Intel(R) NMS (NMSSvc) - Intel Corporation - C:\Windows\System32\NMSSvc.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

--
End of file - 5939 bytes

mais là forcément j'suis bloqué ; ce serait cool de m'aider !

A+

Ted

Bonsoir Ted

Ton message a été déplacé pour ne pas relancer un sujet trop ancien.

Pour SkiMorph, donne un peu plus de détails : il a été détecté par Avast ou Malwarebytes-Anti malware ? et tu l'as mis en quarantaine ? Peux-tu nous donner l'emplacement du fichier (le chemin) ?
Tu as trouvé d'autres choses avec MBAM ?

Pour le rapport, rien de très méchant, juste des processus inutiles en arrière-plan.
Il y a tout de même ça:
O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - (no file)

EoRezo est une "saloperie". Même désinstallé il s'accroche

* Si tu ne l'as pas, télécharge CCleaner (lien + tuto). Ne l'utilise pas pour l'instant.
* Redémarre en mode sans échec, regarde dans les dossiers suivants et supprime les dossiers EoRezo si tu en trouves.
Il faut d'abord que tu affiches les dossiers/fichiers cachés.
Démarrer/clic droit sur Poste de travail/Propriétés/onglet Affichage/coche la case Afficher les fichiers et les dossiers cachés/bouton Appliquer/Ok
- Regarde dans C:\Program files
- Regarde dans C:\Documents and Settings\All Users\Application Data
- Regarde dans C:\Documents and Settings\Ta session\Application Data ; fais la même chose pour toutes les sessions
- Regarde dans C:\Program Files\Fichiers communs
- Vide la Corbeille
- Retourne désactiver la case Afficher les fichiers et les dossiers cachés.

* Lance CCleaner et fais un nettoyage du disque et du Registre.

* Redémarre normalement et fais un scan en ligne avec Kaspersky. A faire exclusivement avec IE. Désactive Avast pendant le scan.
Clique sur Démarrer on-line scanner/ accepte l'installation de l'ActiveX/ une fois la base virale chargée, clique sur Paramètres et choisis Etendue/ sélectionne Poste de travail dans la Cible de l'analyse.
S'il trouve qqchose, tu peux poster le rapport si tu veux.

Si tout va bien, on peut voir ensuite pour désencombrer un peu le PC

Ouahhhhhh,

super rapide la réponse...
Je vais essayer de répondre au mieux aux questions, mais comme je l'ai dit, je fait ça à distance, ça prend un peu de temps.
J'ai détecté Skimorph avec Avast, Malware-machin a détecté 57 trucs pas sympa que j'ai viré.
J'ai déjà passé CCleaner, mais ça donne rien de bien concluant. Je vais voir ce que je peux trouver avec les fichiers cachés.

Merci beaucoup pour ton aide.



Ted

Hello Ted euh... the Ted

Citation :

super rapide la réponse..

il se trouve que, pour ma part, je viens en général en fin de soirée et comme tu avais posté en début de soirée

Je connais le principe de Team Viewer qui permet d'intervenir sur un ordi distant mais je ne l'ai jamais utilisé.
Est-ce que tu peux poster le rapport de "Malware-machin"

Citation :

J'ai déjà passé CCleaner, mais ça donne rien de bien concluant

C'est un bon outil de nettoyage et pas trop agressif --> généralement pas de problèmes de suppressions malencontreuses.
Quand aura fini, on passera un outil un peu plus "costaud" pour nettoyer la Base de Registre.

A plus tard.