Logo GNT
Actualités Tests & Guides Bons Plans
GTA 6 iPhone 17 Copilot Switch 2 Temu ChatGPT Tesla
OVH Cloud OVH Cloud
Entraide Applications Applications Internet Explorer Un virus bizarre

Un virus bizarre

21 réponses
Avatar
J-Pierre
Bonjour,

Je sais, vous allez dire "ce n'est pas le bon NG", mais j'ai posté hier sur le NG securite, pas de réponse. Et côté virus,
j'aurai d'aussi bonnes réponses ici que là-bas :-)

Depuis 2 jours, j'ai à nouveau un virus qui se manifeste (C:\irdvxc.exe). Il s'était déjà manifesté du 5/11 au 10/11 environ.
A ce moment, BitDefender le détectait comme le virus "DeepScan:Generic.Malware.Swx!g.918B7611". Maintenant, il ne le détecte
plus comme un virus mais le parefeu le bloque.

Je fais le ménage, à savoir, terminer le processus de irdvxc.exe, supprimer cet exe qui est installé à la racine du C:\,
supprimer l'entrée créée dans la BDR: HKCR\CLSID\{07.......}, et je supprime les 1 ou 2 tâches planifiées qui ont été créées,
et je suis tranquille pour 12 à 24 heures.

Après, scan de la machine avec BitDefender, Defender de Windows, Ad-Aware, SpyBot et Avast! qui ne détectent rien.
J'ai aussi passé un p'tit coup de HiJackThis, rien d'anormal il me semble.
Enfin, scan avec Kaspersky on line, qui ne trouve rien, mais qui est capable d'identifier le virus que je garde dans un coin
dans un fichier zippé pour l'envoyer éventuellement au labo de BitDefender. Ce qui prouve qu'en ce moment, le virus n'est pas
installé sur ma machine, mais qu'il va revenir tout seul.

Ce qui serait intéressant serait de trouver ce qui installe ce programme irdvxc.exe à la racine de ma partition C et ce qui
crée ces tâches planifiées, c'est ça, la vraie origine du problème, et éventuellement ce qui crée ce processus. Est-il
possible de le savoir ? Parmi les milliards de log que MS garde comme trace de mes activités, y-en-a-t-il un quelque part ?

Autre possibilité. La cause est un programme résident en mémoire ? Comment le savoir ? Apparemment, BitDefender 9 n'analyse
pas la mémoire, en tout cas, je n'ai rien vu dans ce sens quand je lance un full scan.

Merci
J-Pierre

Tiens, pendant que je rédigeais ce post, le programme s'est à nouveau manifesté, re-nettoyage, et théoriquement, je suis
tranquille pour 12 ou 24 heures....
Signaler un problème avec ce contenu

10 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
1 2 3
Avatar
Jacques-A
"J-Pierre" a écrit dans le message
de news: %23lHwHD%
Bonjour,


Bonjour Jean-Pierre,

Effectivement, pour le NG, ce n'est pas génial... As-tu essayé WinXP?

Autrement, le problème avec certains virus est qu'ils bloquent leurs
fichiers. Il est donc recommandé d'effectuer les scans en mode sans échec.
Bien que ce ne soient pas un AV, j'ai aussi toujours trouvé de l'aide du
côté de SpyBot. Il ne détecte pas mais est assez explicites sur les
démarrages.

Une tentative à effectuer aussi avec filemon de Sysinternals. Si ce n'est
pas un processus qui est au démarrage mais un fichier piégé, en lançant
filemon dès le début de session, avec un filtre sur le nom irdvxc, il
donnera peut-être le processus coupable.

Enfin, une dernière possibilité est créer "manuellement" un fichier
idvxc.exe au bon emmplacement, changer les droits (seul l'administrateur qui
ne fonctionne qu'en mode sans échec ayant le droit de le manipuler), et voir
s'il y a un message d'erreur dans les logs système.

Bon courage

Jacques

Je sais, vous allez dire "ce n'est pas le bon NG", mais j'ai posté hier
sur le NG securite, pas de réponse. Et côté virus,
j'aurai d'aussi bonnes réponses ici que là-bas :-)

Depuis 2 jours, j'ai à nouveau un virus qui se manifeste (C:irdvxc.exe).
Il s'était déjà manifesté du 5/11 au 10/11 environ.
A ce moment, BitDefender le détectait comme le virus
"DeepScan:Generic.Malware.Swx!g.918B7611". Maintenant, il ne le détecte
plus comme un virus mais le parefeu le bloque.

Je fais le ménage, à savoir, terminer le processus de irdvxc.exe,
supprimer cet exe qui est installé à la racine du C:,
supprimer l'entrée créée dans la BDR: HKCRCLSID{07.......}, et je
supprime les 1 ou 2 tâches planifiées qui ont été créées,
et je suis tranquille pour 12 à 24 heures.

Après, scan de la machine avec BitDefender, Defender de Windows, Ad-Aware,
SpyBot et Avast! qui ne détectent rien.
J'ai aussi passé un p'tit coup de HiJackThis, rien d'anormal il me semble.
Enfin, scan avec Kaspersky on line, qui ne trouve rien, mais qui est
capable d'identifier le virus que je garde dans un coin
dans un fichier zippé pour l'envoyer éventuellement au labo de
BitDefender. Ce qui prouve qu'en ce moment, le virus n'est pas
installé sur ma machine, mais qu'il va revenir tout seul.

Ce qui serait intéressant serait de trouver ce qui installe ce programme
irdvxc.exe à la racine de ma partition C et ce qui
crée ces tâches planifiées, c'est ça, la vraie origine du problème, et
éventuellement ce qui crée ce processus. Est-il
possible de le savoir ? Parmi les milliards de log que MS garde comme
trace de mes activités, y-en-a-t-il un quelque part ?

Autre possibilité. La cause est un programme résident en mémoire ? Comment
le savoir ? Apparemment, BitDefender 9 n'analyse
pas la mémoire, en tout cas, je n'ai rien vu dans ce sens quand je lance
un full scan.

Merci
J-Pierre

Tiens, pendant que je rédigeais ce post, le programme s'est à nouveau
manifesté, re-nettoyage, et théoriquement, je suis tranquille pour 12 ou
24 heures....



Avatar
J-Pierre
Bonjour Jacques,

Au vu de ta réponse, j'étais sur le bon forum :-)
Mes réponses ci-après
Merci
J-Pierre

"Jacques-A" a écrit dans le message de news:
ePHzQO%

"J-Pierre" a écrit dans le message de news:
%23lHwHD%
Bonjour,


Bonjour Jean-Pierre,

Autrement, le problème avec certains virus est qu'ils bloquent leurs fichiers. Il est donc recommandé d'effectuer les scans
en mode sans échec. Bien que ce ne soient pas un AV, j'ai aussi toujours trouvé de l'aide du côté de SpyBot. Il ne détecte
pas mais est assez explicites sur les démarrages.



Effectivement, Kaspersky trouve de nombreux fichiers bloqués. Si je démarre en mode sans échec, est-ce que BitDefender sera
toujours actif ? Dois-je choisir "mode sans échec avec réseau" ? Est-ce que je peux toujours me connecter à Internet, car
Kaspersky voudra charger les nouvelles définitions ? Pour SPyBot, pas de problème.

Une tentative à effectuer aussi avec filemon de Sysinternals. Si ce n'est pas un processus qui est au démarrage mais un
fichier piégé, en lançant filemon dès le début de session, avec un filtre sur le nom irdvxc, il donnera peut-être le
processus coupable.



J'ai essayé www.sysinternals.com, ça me renvoie sur le site TechNet de MS. C'est bien ça ? Si oui, j'ai de la lecture, je vais
m'y coller :-)


Enfin, une dernière possibilité est créer "manuellement" un fichier idvxc.exe au bon emmplacement, changer les droits (seul
l'administrateur qui ne fonctionne qu'en mode sans échec ayant le droit de le manipuler), et voir s'il y a un message
d'erreur dans les logs système.




Ca, c'est plus que très astucieux. Si j'ai bien compris, je ne donne des droits qu'à l'administrateur, pas aux utilisateurs
ayant des droits administrateur.

Bon courage

Jacques

Je sais, vous allez dire "ce n'est pas le bon NG", mais j'ai posté hier sur le NG securite, pas de réponse. Et côté virus,
j'aurai d'aussi bonnes réponses ici que là-bas :-)

Depuis 2 jours, j'ai à nouveau un virus qui se manifeste (C:irdvxc.exe). Il s'était déjà manifesté du 5/11 au 10/11
environ.
A ce moment, BitDefender le détectait comme le virus "DeepScan:Generic.Malware.Swx!g.918B7611". Maintenant, il ne le
détecte
plus comme un virus mais le parefeu le bloque.

Je fais le ménage, à savoir, terminer le processus de irdvxc.exe, supprimer cet exe qui est installé à la racine du C:,
supprimer l'entrée créée dans la BDR: HKCRCLSID{07.......}, et je supprime les 1 ou 2 tâches planifiées qui ont été
créées,
et je suis tranquille pour 12 à 24 heures.

Après, scan de la machine avec BitDefender, Defender de Windows, Ad-Aware, SpyBot et Avast! qui ne détectent rien.
J'ai aussi passé un p'tit coup de HiJackThis, rien d'anormal il me semble.
Enfin, scan avec Kaspersky on line, qui ne trouve rien, mais qui est capable d'identifier le virus que je garde dans un
coin
dans un fichier zippé pour l'envoyer éventuellement au labo de BitDefender. Ce qui prouve qu'en ce moment, le virus n'est
pas
installé sur ma machine, mais qu'il va revenir tout seul.

Ce qui serait intéressant serait de trouver ce qui installe ce programme irdvxc.exe à la racine de ma partition C et ce qui
crée ces tâches planifiées, c'est ça, la vraie origine du problème, et éventuellement ce qui crée ce processus. Est-il
possible de le savoir ? Parmi les milliards de log que MS garde comme trace de mes activités, y-en-a-t-il un quelque part ?

Autre possibilité. La cause est un programme résident en mémoire ? Comment le savoir ? Apparemment, BitDefender 9 n'analyse
pas la mémoire, en tout cas, je n'ai rien vu dans ce sens quand je lance un full scan.

Merci
J-Pierre

Tiens, pendant que je rédigeais ce post, le programme s'est à nouveau manifesté, re-nettoyage, et théoriquement, je suis
tranquille pour 12 ou 24 heures....






Avatar
Jacques-A
"J-Pierre" a écrit dans le message
de news: uF3t4Y%
Bonjour Jacques,

Au vu de ta réponse, j'étais sur le bon forum :-)



Presque car mes connaissances ne valent pas (et de loin) celles des autres
intervenants du forum XP.
Je maintiens qu'ils pourraient être d'excellent secours. Je n'ai jamais été
sur le forum sécurité, je ne connais pas ses intervenants.

Mes réponses ci-après
Merci
J-Pierre

"Jacques-A" a écrit dans le
message de news: ePHzQO%

"J-Pierre" a écrit dans le
message de news: %23lHwHD%
Bonjour,


Bonjour Jean-Pierre,

Autrement, le problème avec certains virus est qu'ils bloquent leurs
fichiers. Il est donc recommandé d'effectuer les scans en mode sans
échec. Bien que ce ne soient pas un AV, j'ai aussi toujours trouvé de
l'aide du côté de SpyBot. Il ne détecte pas mais est assez explicites sur
les démarrages.



Effectivement, Kaspersky trouve de nombreux fichiers bloqués. Si je
démarre en mode sans échec, est-ce que BitDefender sera toujours actif ?
Dois-je choisir "mode sans échec avec réseau" ? Est-ce que je peux
toujours me connecter à Internet, car Kaspersky voudra charger les
nouvelles définitions ? Pour SPyBot, pas de problème.


Pour les scans en ligne, une autre solution que la connexion Internet en
mode sans échec (cela me parrait dangeruex) est de copier le fichier bloqué
dans un autre emplacement puis de faire le test lors d'une session normale.
Les fichiers "normalement" bloqués sont les ntuser.dat, pagefile.sys et
autres indispensables au système. Leur examen peut orienter sur le problème
si un fichier exotique est dans la liste.


Une tentative à effectuer aussi avec filemon de Sysinternals. Si ce n'est
pas un processus qui est au démarrage mais un fichier piégé, en lançant
filemon dès le début de session, avec un filtre sur le nom irdvxc, il
donnera peut-être le processus coupable.



J'ai essayé www.sysinternals.com, ça me renvoie sur le site TechNet de MS.
C'est bien ça ? Si oui, j'ai de la lecture, je vais m'y coller :-)



Oui, leur site a migré depuis rachat par MS de la société qu'ils avaient
créée mais leurs utilitaires les plus utiles semblent toujours y être.



Enfin, une dernière possibilité est créer "manuellement" un fichier
idvxc.exe au bon emmplacement, changer les droits (seul l'administrateur
qui ne fonctionne qu'en mode sans échec ayant le droit de le manipuler),
et voir s'il y a un message d'erreur dans les logs système.




Ca, c'est plus que très astucieux. Si j'ai bien compris, je ne donne des
droits qu'à l'administrateur, pas aux utilisateurs ayant des droits
administrateur.


Affirmatif. Sous XP-Home, ce n'est d'origine qu'en mode sans échec (sauf si
ajout de la fonctionnalité à l'aide des conseils de la FAQ-XP).



Bon courage

Jacques

Je sais, vous allez dire "ce n'est pas le bon NG", mais j'ai posté hier
sur le NG securite, pas de réponse. Et côté virus,
j'aurai d'aussi bonnes réponses ici que là-bas :-)

Depuis 2 jours, j'ai à nouveau un virus qui se manifeste
(C:irdvxc.exe). Il s'était déjà manifesté du 5/11 au 10/11 environ.
A ce moment, BitDefender le détectait comme le virus
"DeepScan:Generic.Malware.Swx!g.918B7611". Maintenant, il ne le détecte
plus comme un virus mais le parefeu le bloque.

Je fais le ménage, à savoir, terminer le processus de irdvxc.exe,
supprimer cet exe qui est installé à la racine du C:,
supprimer l'entrée créée dans la BDR: HKCRCLSID{07.......}, et je
supprime les 1 ou 2 tâches planifiées qui ont été créées,
et je suis tranquille pour 12 à 24 heures.

Après, scan de la machine avec BitDefender, Defender de Windows,
Ad-Aware, SpyBot et Avast! qui ne détectent rien.
J'ai aussi passé un p'tit coup de HiJackThis, rien d'anormal il me
semble.
Enfin, scan avec Kaspersky on line, qui ne trouve rien, mais qui est
capable d'identifier le virus que je garde dans un coin
dans un fichier zippé pour l'envoyer éventuellement au labo de
BitDefender. Ce qui prouve qu'en ce moment, le virus n'est pas
installé sur ma machine, mais qu'il va revenir tout seul.

Ce qui serait intéressant serait de trouver ce qui installe ce programme
irdvxc.exe à la racine de ma partition C et ce qui
crée ces tâches planifiées, c'est ça, la vraie origine du problème, et
éventuellement ce qui crée ce processus. Est-il
possible de le savoir ? Parmi les milliards de log que MS garde comme
trace de mes activités, y-en-a-t-il un quelque part ?

Autre possibilité. La cause est un programme résident en mémoire ?
Comment le savoir ? Apparemment, BitDefender 9 n'analyse
pas la mémoire, en tout cas, je n'ai rien vu dans ce sens quand je lance
un full scan.

Merci
J-Pierre

Tiens, pendant que je rédigeais ce post, le programme s'est à nouveau
manifesté, re-nettoyage, et théoriquement, je suis tranquille pour 12 ou
24 heures....









Bon courage,

A+

Jacques



Avatar
J-Pierre
Me revoilà,

J'ai donc copié les dossiers avec des fichiers verrouillés ailleurs. Certains répertoires (C:Windows, Documents &
settings...localservices et networkservices, X:RECYCLER) ne peuvent pas être intégralement copiés, même en mode sans échec.
J'avais effectivement dans "Internet Temporary FilesContent.IE5NTYXKS... des virus (exploit IFrame). Je m'en suis débarassé
en supprimant le contenu de ce répertoire en mode sans échec, car la fonction "Supprimer les fichiers" d'IE ne les supprimait
pas.

Filemon est maintenant remplaçé par "Process Monitor". J'ai un peu de mal à définir un filtre pour ne voir que les évènements
qui m'intéressent, là, je suis submergé de messages, mais je trouverai bien.

Enfin, j'ai créé mon fichier c:irdvxc.exe en ne donnant les droits qu'à l'administrateur, mais quand je me suis connecté
comme utilisateur du groupe administrateur, j'ai pu le supprimer sans message d'erreur :-(

Promis juré, la prochaine fois, je vais sur windowsxp, mais je trouve ton intervention de qualité :-)
Merci

J-Pierre

"Jacques-A" a écrit dans le message de news:
OM2XN$%

"J-Pierre" a écrit dans le message de news:
uF3t4Y%
Bonjour Jacques,

Au vu de ta réponse, j'étais sur le bon forum :-)



Presque car mes connaissances ne valent pas (et de loin) celles des autres intervenants du forum XP.
Je maintiens qu'ils pourraient être d'excellent secours. Je n'ai jamais été sur le forum sécurité, je ne connais pas ses
intervenants.

Mes réponses ci-après
Merci
J-Pierre

"Jacques-A" a écrit dans le message de news:
ePHzQO%

"J-Pierre" a écrit dans le message de news:
%23lHwHD%
Bonjour,


Bonjour Jean-Pierre,

Autrement, le problème avec certains virus est qu'ils bloquent leurs fichiers. Il est donc recommandé d'effectuer les
scans en mode sans échec. Bien que ce ne soient pas un AV, j'ai aussi toujours trouvé de l'aide du côté de SpyBot. Il ne
détecte pas mais est assez explicites sur les démarrages.



Effectivement, Kaspersky trouve de nombreux fichiers bloqués. Si je démarre en mode sans échec, est-ce que BitDefender sera
toujours actif ? Dois-je choisir "mode sans échec avec réseau" ? Est-ce que je peux toujours me connecter à Internet, car
Kaspersky voudra charger les nouvelles définitions ? Pour SPyBot, pas de problème.


Pour les scans en ligne, une autre solution que la connexion Internet en mode sans échec (cela me parrait dangeruex) est de
copier le fichier bloqué dans un autre emplacement puis de faire le test lors d'une session normale. Les fichiers
"normalement" bloqués sont les ntuser.dat, pagefile.sys et autres indispensables au système. Leur examen peut orienter sur
le problème si un fichier exotique est dans la liste.


Une tentative à effectuer aussi avec filemon de Sysinternals. Si ce n'est pas un processus qui est au démarrage mais un
fichier piégé, en lançant filemon dès le début de session, avec un filtre sur le nom irdvxc, il donnera peut-être le
processus coupable.



J'ai essayé www.sysinternals.com, ça me renvoie sur le site TechNet de MS. C'est bien ça ? Si oui, j'ai de la lecture, je
vais m'y coller :-)



Oui, leur site a migré depuis rachat par MS de la société qu'ils avaient créée mais leurs utilitaires les plus utiles
semblent toujours y être.



Enfin, une dernière possibilité est créer "manuellement" un fichier idvxc.exe au bon emmplacement, changer les droits
(seul l'administrateur qui ne fonctionne qu'en mode sans échec ayant le droit de le manipuler), et voir s'il y a un
message d'erreur dans les logs système.




Ca, c'est plus que très astucieux. Si j'ai bien compris, je ne donne des droits qu'à l'administrateur, pas aux utilisateurs
ayant des droits administrateur.


Affirmatif. Sous XP-Home, ce n'est d'origine qu'en mode sans échec (sauf si ajout de la fonctionnalité à l'aide des conseils
de la FAQ-XP).



Bon courage

Jacques

Je sais, vous allez dire "ce n'est pas le bon NG", mais j'ai posté hier sur le NG securite, pas de réponse. Et côté
virus,
j'aurai d'aussi bonnes réponses ici que là-bas :-)

Depuis 2 jours, j'ai à nouveau un virus qui se manifeste (C:irdvxc.exe). Il s'était déjà manifesté du 5/11 au 10/11
environ.
A ce moment, BitDefender le détectait comme le virus "DeepScan:Generic.Malware.Swx!g.918B7611". Maintenant, il ne le
détecte
plus comme un virus mais le parefeu le bloque.

Je fais le ménage, à savoir, terminer le processus de irdvxc.exe, supprimer cet exe qui est installé à la racine du C:,
supprimer l'entrée créée dans la BDR: HKCRCLSID{07.......}, et je supprime les 1 ou 2 tâches planifiées qui ont été
créées,
et je suis tranquille pour 12 à 24 heures.

Après, scan de la machine avec BitDefender, Defender de Windows, Ad-Aware, SpyBot et Avast! qui ne détectent rien.
J'ai aussi passé un p'tit coup de HiJackThis, rien d'anormal il me semble.
Enfin, scan avec Kaspersky on line, qui ne trouve rien, mais qui est capable d'identifier le virus que je garde dans un
coin
dans un fichier zippé pour l'envoyer éventuellement au labo de BitDefender. Ce qui prouve qu'en ce moment, le virus n'est
pas
installé sur ma machine, mais qu'il va revenir tout seul.

Ce qui serait intéressant serait de trouver ce qui installe ce programme irdvxc.exe à la racine de ma partition C et ce
qui
crée ces tâches planifiées, c'est ça, la vraie origine du problème, et éventuellement ce qui crée ce processus. Est-il
possible de le savoir ? Parmi les milliards de log que MS garde comme trace de mes activités, y-en-a-t-il un quelque part
?

Autre possibilité. La cause est un programme résident en mémoire ? Comment le savoir ? Apparemment, BitDefender 9
n'analyse
pas la mémoire, en tout cas, je n'ai rien vu dans ce sens quand je lance un full scan.

Merci
J-Pierre

Tiens, pendant que je rédigeais ce post, le programme s'est à nouveau manifesté, re-nettoyage, et théoriquement, je suis
tranquille pour 12 ou 24 heures....









Bon courage,

A+

Jacques






Avatar
j
Bonsoir à tous !

"J-Pierre" a écrit dans le message
news:%23lHwHD%

Bonjour,

Je sais, vous allez dire "ce n'est pas le bon NG", mais j'ai posté hier
sur le NG securite, pas de réponse. Et côté virus,
j'aurai d'aussi bonnes réponses ici que là-bas :-)
..........................



Ah la la ...le multipost ....

* il ne faut pas écrire que tu n'as pas eu de réponse CAR les gens vont te
croire ;-) *

Sujet déjà abordé le 09.11 sur le NG XP--»

http://groups.google.com/groups?threadm=%23n5au69ahha.4568%40tk2msftngp04.phx.gbl= il ne faut pas changer de fil !!!!!!!!!!!!!!!!!!!!!!!!!!!!NB: Comme les intervenants sont svt les mêmes sur * les NG MS* ...ils zèment peut-être pas trop (se) répéter :o)--« De la discussion, jaillit la lumière.. » Cdlt@+ à tous
Avatar
J-Pierre
Bonsoir

Les gens vont me croire, et ils le peuvent.

Le fil auquel tu fais référence se trouve dans le NG windowsxp. Je l'ai ouvert le 9/11. J'y ai obtenu des réponses (peu
satisfaisantes d'ailleurs, à part la tienne, mais tu m'as suggéré une action que j'ai faite, et tu n'as plus donné suite....).
J'ai également fait ce qu'un autre répondant me suggérait, mais il ne s'est plus manifesté non plus. J'ai finalement dit que
le virus ne se manifestant plus, le fil était clos et j'en ouvrirai un nouveau s'il se remanifestait.

2/3 jours plus tard je crois, le virus s'est remanifesté, j'ai donné créé un nouveau fil le 13/11 dans le NG approprié,
sécurité.

N'ayant pas ouvert de réponse, j'ai continué ici le 14/11, ce qui peut paraître bien court, mais quand on a un virus, 24
heures, c'est très long..

, j'apprécie tes interventions, tu es toujours très claire et précise, mais là, tu aurais dû faire attention, il n'y a
pas de multipost, si ici, je suis demandeur, ailleurs, je réponds aux questions et je n'aime pas plus que toi les gens qui
postent et repostent sans lire les réponses.

Mais puisque tu es là, je suis sûr que tu vas m'aider :-)))))

J-Pierre

"" a écrit dans le message de news: OdW$

Bonsoir à tous !

"J-Pierre" a écrit dans le message
news:%23lHwHD%

Bonjour,

Je sais, vous allez dire "ce n'est pas le bon NG", mais j'ai posté hier sur le NG securite, pas de réponse. Et côté virus,
j'aurai d'aussi bonnes réponses ici que là-bas :-)
..........................



Ah la la ...le multipost ....

* il ne faut pas écrire que tu n'as pas eu de réponse CAR les gens vont te croire ;-) *

Sujet déjà abordé le 09.11 sur le NG XP--»

http://groups.google.com/groups?threadm=%23n5au69ahha.4568%40tk2msftngp04.phx.gbl= il ne faut pas changer de fil
!!!!!!!!!!!!!!!!!!!!!!!!!!!!NB: Comme les intervenants sont svt les mêmes sur * les NG MS* ...ils zèment peut-être pas trop
(se) répéter :o)--« De la discussion, jaillit la lumière.. » Cdlt@+ à tous


Avatar
j
Re'

"J-Pierre" a écrit dans le message
news:

Bonsoir Les gens vont me croire, et ils le peuvent. Le fil auquel
tu fais référence se trouve dans le NG windowsxp. Je l'ai ouvert le 9/11.
J'y ai obtenu des réponses (peu satisfaisantes d'ailleurs, à part la
tienne, mais tu m'as suggéré une action que j'ai faite, et tu n'as plus
donné suite....). J'ai également fait ce qu'un autre répondant me
suggérait, mais il ne s'est plus manifesté non plus. J'ai finalement dit
que le virus ne se manifestant plus, le fil était clos et j'en ouvrirai un
nouveau s'il se remanifestait. 2/3 jours plus tard je crois, le virus
s'est remanifesté, j'ai donné créé un nouveau fil le 13/11 dans le NG
approprié, sécurité.

N'ayant pas ouvert de réponse, j'ai continué ici le 14/11, ce qui peut
paraître bien court, mais quand on a un virus, >24 heures, c'est très
long..




CLF doit être occupé ..et j'étais au Salon nautique de Barcelone ...
Pas tjrs scotchée au pc qd même lol
250h /mois, c'est suffisant non ??


Mais puisque tu es là, je suis sûr que tu vas m'aider :-)))))




* Ce processus irdvxc.exe ...eh bien sur les NG étrangers, c'est aussi
l'énigme
http://www.whatsrunning.net/whatsrunning/Processes_Range.aspx?Start=I&Stop=J

* Là il est question d'un trojan qui serait responsable --»

http://forums.spywareinfo.com/lofiversion/index.php/t89227.html

* Et ENFIN chez TMicro ( mon encyclopédie préférée ...) il est bien là ..
1/ Origine, duplication etc

http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=BKDR_RBOT.ERZ&VSect=T


2/ Sur l'onglet Solution, il y a les manip' à faire en plus de leur scan

Prends ton temps ... mais fais méthodiquement et absolument TOUT ...
et dis-ns :o)

--
« De la discussion, jaillit la lumière.. »
Cdlt@+ à tous
Avatar
j
re'

"J-Pierre" a écrit dans le message
news:%

...................


Et Windows Defender détecte les tâches planifiées (At1 At2 etc) créées
automatiquement, mais les laissent s'exécuter. Malheureusement, il semble
qu'il ne soit pas possible d'interdire un item:
Description:
This program has potentially unwanted behavior.
Advice:
Permit this detected item only if you trust the program or the software
publisher.
Resources:
file:
C:WINDOWStasksAt2.job
taskscheduler:
C:WINDOWStasksAt2.job
Category:
Not Yet Classified
......................



_ Normalement, ds WDefender --» Tools --» (nb: sers-toi de l'aide de WD sur
chq page )


** Allowed items ----»

[ si ds History, tu n'as pas effacé l'historique par un clic en bas sur /
Clear History ] en cliquant sur / Allowed items / tu devrais pouvoir
rectifier le tir
« Select the item that you want to monitor again, and then click Remove From
List. » et tu le bloques la prochaine fois qu'il se manifeste ;-) ..

***Tjrs ds Tools, il y a une option Software Explorer où amha tu pourras
aussi le coincer dès qu'il démarrera -» cherche le avec les possibilités du
cadre Category

_ s'il est ds l'option Network Connected Programs ---» clic / Block... ou
End process

_ s'il est ds Startup programs --» clic /Remove

http://www.microsoft.com/athome/security/spyware/software/support/howto/softwareexplorer.mspx


** Mais surtout ....ds les tâches planifiées de WXP ( Démarrer --» ts les
programmes --» Outils système --» Tâches planifiées ) ??? tu n'as VRAIMENT
rien qui y est écrit ???

--
« De la discussion, jaillit la lumière.. »
Cdlt@+ à tous
http://www.microsoft.com/athome/security/spyware/software/support/howto/beyondbasics.mspx
Avatar
J-Pierre
Re,

"" a écrit dans le message de news:

re'

"J-Pierre" a écrit dans le message
news:%

...................


Et Windows Defender détecte les tâches planifiées (At1 At2 etc) créées automatiquement, mais les laissent s'exécuter.
Malheureusement, il semble qu'il ne soit pas possible d'interdire un item:
Description:
This program has potentially unwanted behavior.
Advice:
Permit this detected item only if you trust the program or the software publisher.
Resources:
file:
C:WINDOWStasksAt2.job
taskscheduler:
C:WINDOWStasksAt2.job
Category:
Not Yet Classified
......................



_ Normalement, ds WDefender --» Tools --» (nb: sers-toi de l'aide de WD sur chq page )


** Allowed items ----»

[ si ds History, tu n'as pas effacé l'historique par un clic en bas sur / Clear History ] en cliquant sur / Allowed items /
tu devrais pouvoir rectifier le tir >
« Select the item that you want to monitor again, and then click Remove From List. » et tu le bloques la prochaine fois
qu'il se manifeste ;-) ..

***Tjrs ds Tools, il y a une option Software Explorer où amha tu pourras aussi le coincer dès qu'il démarrera -» cherche le
avec les possibilités du cadre Category

http://www.microsoft.com/athome/security/spyware/software/support/howto/softwareexplorer.mspx





"Allowed items" permet d'autoriser l'exécution d'un programme, pas de l'empêcher, si j'ai bien compris.
Je viens de contrôler dans les 4 catégories de Software Explorer, programme par programme. Pas de irdvxc.exe. Ce qui me paraît
normal puisque BirDefender le bloque.

** Mais surtout ....ds les tâches planifiées de WXP ( Démarrer --» ts les programmes --» Outils système --» Tâches
planifiées ) ??? tu n'as VRAIMENT rien qui y est écrit ???




Non, il n'y a VRAIMENT rien d'écrit :-) Et dèq que le virus voudra s'activer, j'y trouverai 2 tâches, une avec planification
de démarrage dans la minute qui suit, l'autre planifiée pour la prochaine journée à 00:00:00

Est-il possible de trouver dans un log ce qui crée cette tâche ? Là aussi, j'ai beaucoup cherché....

J-Pierre
Avatar
J-Pierre
Bonjour,

Le virus vient de réattaquer.

A 17h09 et 19h21, Windows Defender enregistre la tâche suspecte.
Aux mêmes heures, Bitdefender met irdvxc.exe en quarantaine.
Et je retrouve de nouvelles tâches planifiées, j'ai donc refait le ménage.

En relisant la description de BitDefender, je penche pour une attaque par Internet, car les autres machines du réseau local ne
sont pas infectées/attaquées, je cite:
The bot/worm installed on a computer searches for other computers in the same network or even in the internet. Once it finds a
computer, it sends a malformed TCP packet that will cause the target computer to execute the content of the packet, which is a
batch script - detected as Backdoor.BotGet.FtpA.Gen.

Mais BitDefender ne détecte pas Backdoor.BotGet.FtpA.Gen

Que faire ????????

J-Pierre
1 2 3