Reprise du message précédent :
Alors dans l'ordre ca aniker
 
Ntoskrnl.exe  
System
System.sav
 
et plein d'autre jimagine
 
xaT

ben j oze pas redemarer moi  windoz ma demander d inserer le cd d XP paske des fichiers avaient changer et k ils etaient plus anciens bla bla

redemar po
t foutu

Ta fait une sauvegarde du system ?
Ta fait ce que XP ta demandé ?
 
xaT

 
bah insère le CD alors

Il a fait annuler jen suis sur
 
xaT

 
ben c fait mais il s est rien passé
 
ca la fait pdt un simple netoyage   je sais pas si c ca ki a provoké ca.
koment je peux verrifer si toot va bien ?

g pas de ficher patche.exe moi, et g pas irc  kan au mail je klik jamais sur rien

 
Check les fichier :
 
ntoskernel.exe
SYSTEM
System.sav
 
EDIT : A mon avis c pas pareil ou c'est un autre virus ou tout simplement une install pourri
Prend un antivirus met le a jour et test    
 
xaT

 
 
ntoskernel.exe  : g pas  
SYSTEM    : avp me dit rien  
System.sav  : date de dernierre modif 07/2003

bon je v rebooter on verra bien

 
c'est ntoskrnl.exe

voila

attention c virus est apparement tres dangereux, déjà deux potes infectés avec windows 2k + partitionnement mort! malgré les mise a jour AV + les firewall and cie
 
svp ne balancer pas les urls de ce virus sur hfr kkn qui clique un peu vite et c fini
 
au passage une fois rebooter c fini, c mort

Le jour où les gens arrêteront de surfer avec IE...

bon j ai rebooté  je suis toojoor vivant

 
   Bah la c'est le navigateur par défaut de mIRC (enfin tu peux régler) et puis comme le virus se propage par irc    
 
xaT

mIRC n'a qu'à lancer le navigateur par défaut du PC au lieu de lancer IE

 
Donc  
 
TRK ---------------------> []
   
 
xaT

 
C'est pet le cas,  faut regarder dans mIRC    
 
xaT

Bon ça y est j'ai trouvé une info sur le virus que je viens de choper...
Mon windows 2000 est mort. J'ai cliqué sur le lien dont la fin est /britney.jpg Ce lien provenait d'un pseusdo d'un de mes potes sur irc qui venait en faite de se faire infecter juste avant, c'est donc pour ça que j'ai cliqué sur le lien sans me méfier. Ensuite, une page IE se lance et ouvre l'onglet windows media player intégré dans IE, je faisais autre chose à ce moment là donc je n'ai pas regardé le chargement de la page et d'un coup mon explorateur et IE ne fonctionnait plus. J'ai donc redémarrer proprement et puis écran noir au démarrage de windows.
 
J'ai posté mon problème sur le forum Windows http://forum.hardware.fr/forum2.ph [...] subcat=406 en ne pensant pas que c'était un virus à ce moment là...
 
J'avais Kaspersky Pro mis à jour tous les jours avec scan des disques durs tous les jours. Sinon mon windows 2000 avait les dernières mises à jour dès qu'elle sortait par l'intermédiaire de la mise à jour automatique de windows update.
 
En ce moment je suis en train d'essayer de récupérer mes données sur mes disques sachant que j'ai un système raid 0 mais dont les partitions sont défaites. Qui sait comment faire ?

kel est la baze de difinition de virus la plus komplet (en francais si possible)  
 
sur symantek ya pas mon trojan

c'est le cas depuis la v6.10

 
bonne chance à toi ... apparemment il n'y a pas encore de définitions de virus chez les éditeurs pour détecter et éradiquer celui-ci !!    
 
tu t'es fais avoir comme beaucoup, à cause de ce putain d'IE qui execute le script alors que c'est un fichier avec extension jpg !!!    
 
pour l'instant, il ne semble pas y avoir de solution à part de réinstaller la machine ...    
 

ba moi j utilise firebird par defaut IE est "desinstallé" de mon pc sur Mirc kan je clock sur un lien il se alnce tjs now j utilise Xchat g plus ce probleme

 
C'est plus complexe
Le browser ne doit se fier qu'aux infos données par le serveur pour savoir ce qui est dans le fichier :
- soit le serveur dit que c'est un jpeg, alors il doit tenter d'afficher l'image et rien d'autre (ce que fait Mozilla)
- soit le serveur dit que c'est un script, alors il ne doit pas exécuter ça comme ça sans prévenir
Dans le premier cas, IE est en tort : il n'a pas à analyser le contenu, si l'image est invalide il doit afficher une croix rouge et c'est tout
Dans le second cas, je me demande pourquoi il l'exécute.
À mon avis on est dans le premier cas, et du fait que c'est une image IE passe l'étape "demander confirmation" et passe direct au traitement de fichier... même si en fin de compte ce n'est plus une image.

j'ai été infecté dimanche apres midi, revenant de manger, idle sur irc je vois le lien sur un chan private balancé par une de mes connaissance... je clic betement, IE se lance avec une image de lapin et d'un ours (ou l on voit une panquarte marqué "stfu" ) dans le même laps de temps, IE charge un fichier media ( ). Je regarde sur un chan public et là je comprend tout de suite ma grave erreur.
 
le worms prend le contrôle totale du pc, et nous fait dire qu il faut checker ce link. j'essaye de fermer les programmes pour eviter que d'autre personne ne clic dessus,ctrl alt supr, plus rien ne répond    
 
ma bonne idée fu de rebooté    ... les fichiers system ont été endommagé, impossible de redemarrer ! j'ai essayé de "recuperer" le systeme en echangeant les fichiers endommagé par des fichiers sain, mais ca n'a pas marché. J'ai tout simplement du formaté  

Virus probablement identifié IRC.Trojan.Fgt, IRC-Worm.Fagot [Kaspersky], Fagot [F-Secure]
 
chez norton ici
 
http://securityresponse.symantec.c [...] n.fgt.html
 
Infectés:  IRC USER
 
en plus de ce qu'on en connais : Deletes critical system files, Removes critical registry keys, Terminates firewall and antivirus processes
 
classé en en dommage maximal la bête
 
d'apres la description c le britney (ou du moins une variante)
 
bref voilà le cafard qui risque de faire marrer pas mal d'utilisateurs d'irc!

oups j'allais oublier chez norton inclus dans les def le 29 octobre soit demain

bref voilà le cafard qui risque de faire marrer pas mal d'utilisateurs d'irc!  > je ne suis pas a pleindre j'ai recup mes données avant de formater (favorie, quelque fichiers) mais tout mes données sont sur un autre DD. Donc j'ai evité le pire...

Quand on pense qu'il n'y aura plus de mise a jour majeure d'IE avant la sortie de Longhorn, les viruseurs ont encore de beaux jours devent eux

 
ca veux dire k une mize d avp regle le pb now ?

purée, en lisant la description chez symantec, on se dit qu'il y a des mecs ingénieux ... Il est bien salaud ce virus là

 
Non, une fois infecté l'AV ne peut pas faire grand chose, ca veut jsute dire que les AV sont maintenant capable de detecter le virus lorsqu'il se copie sur le dur, evitant qu'il infecte la machine.

 
a ben c bon alors

le pire est a venir a mon avis... les types qui ont mis le virus 'online' vont réagir a la fermeture de leur site sur angelfire bidul, on peut s'attendre sans risque à une version plus élaborée sur le même principe malheureusement, faites gaffe aux messages irc meme si ils viennent de vos potes. En tout cas c'est vrai que la mécanique du truc est belle faille faille IE puis faille WMP!

Voila en détail ce que fait ce joli virus sur votre machine :
 
Info Symantec ...
 
When IRC.Trojan.Fgt runs, it performs the following actions:
 
 
Copies itself as:  
C:\Windows\System32\IUserinit32.exe  
C:\Windows\System32\dllhost32.exe  
C:\Windows\Notepad.exe  
C:\Windows\Regedit.exe
 
 
--------------------------------------------------------------------------------
Note: These values are hard-coded and do not depend on system variables.
--------------------------------------------------------------------------------
 
 
Changes the value to:
 
"Userinit"="C:\Windows\system32\userinit32.exe"
 
in the registry key:
 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
 
 
Adds the value that refers to:
 
C:\Windows\system32\dllhost32.exe
 
to the registry key:
 
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
 
 
Searches for and disables the following processes and programs:  
_Avp32.exe  
_avpcc.exe  
_avpm.exe  
Avnt.exe  
Avp.exe  
Blackice.exe  
Blackice.exe  
Ccevtmgr.exe  
Ccsetmgr.exe  
Fprot.exe  
Fp-win.exe  
Fsav32.exe  
Fsgk32.exe  
Fsm32.exe  
Fsma32.exe  
Fsma32.exe  
Fsmb32.exe  
Fsmb32.exe  
Fssm32.exe  
Fwenc.exe  
Kavlite40eng.exe  
Kavpers40eng.exe  
N32scanw.exe  
Nav auto-protect  
Navapsvc.exe  
Navapw32.exe  
Navw32.exe  
Nmain.exe  
Normist.exe  
Norton_internet_secu_3.0_407.exe  
Npf40_tw_98_nt_me_2k.exe  
Npfmessenger.exe  
Nprotect.exe  
Npssvc.exe  
Nsched32.exe  
Ntvdm.exe  
Pavcl.exe  
Pavsched.exe  
Wfindv32.exe  
Zapro.exe  
Zapsetup3001.exe  
Zatutor.exeZauinst.exe  
Zonalm2601.exe  
Zonealarm.exe
 
 
Deletes the following registry keys:
 
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Desktop\SafeMode
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Control\SafeBoot
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot
HKEY_LOCAL_MACHINE\SYSTEM\MountedDevices
HKEY_LOCAL_MACHINE\SYSTEM\LastKnownGoodRecovery
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\ContentIndex\Catalogs\System
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Biosinfo
 
 
Resets the Internet Explorer home page by changing the registry key:
 
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Start Page
 
to a value of www.blacksnake.com, which is a Web site that contains pornographic material.
 
 
Sets the default user name and the alternate default user name to C**K_S******G_F****T
 
 
Deletes the following files:  
C:\ Windows \System32\Userinit.exe  
C:\Windows\Cmd.exe  
C:\Windows\Notepad.exe  
C:\Windows\Notepad.exe  
C:\Windows\Regedit.exe  
C:\Windows\Regedit.exe  
C:\Windows\System32\Alg.exe  
C:\Windows\System32\Alg.exe  
C:\Windows\System32\Autochk.exe  
C:\Windows\System32\Autochk.exe  
C:\Windows\System32\Bootok.exe  
C:\Windows\System32\Bootok.exe  
C:\Windows\System32\Chcp.exe  
C:\Windows\System32\Chcp.exe  
C:\Windows\System32\Chkdsk.exe  
C:\Windows\System32\Chkntfs.exe  
C:\Windows\System32\Chkntfs.exe  
C:\Windows\System32\Ctfmon.exe  
C:\Windows\System32\Ctfmon.exe  
C:\Windows\System32\Dumprep.exe  
C:\Windows\System32\Dumprep.exe  
C:\Windows\System32\Imapi.exe  
C:\Windows\System32\Imapi.exe  
C:\Windows\System32\Logon.exe  
C:\Windows\System32\Logon.exe  
C:\Windows\System32\MDM.exe  
C:\Windows\System32\MDM.exe  
C:\Windows\System32\Ntkrnlpa.exe  
C:\Windows\System32\Ntkrnlpa.exe  
C:\Windows\System32\Ntoskrnl.exe  
C:\Windows\System32\Ntoskrnl.exe  
C:\Windows\System32\Progman.exe  
C:\Windows\System32\Progman.exe  
C:\Windows\System32\Recover.exe  
C:\Windows\System32\Recover.exe  
C:\Windows\System32\Regedt32.exe  
C:\Windows\System32\Regsvr32.exe  
C:\Windows\System32\Services.exe  
C:\Windows\System32\Services.exe  
C:\Windows\System32\Shutdown.exe  
C:\Windows\System32\Shutdown.exe  
C:\Windows\System32\Systray.exe  
C:\Windows\System32\Systray.exe  
C:\Windows\System32\Taskman.exe  
C:\Windows\System32\Taskmgr.exe  
C:\WINDOWS\System32\Userinit.exe  
C:\Windows\System32\Win.exe  
C:\Windows\System32\Win.exe  
C:\Windows\System32\Wowexec.exe  
C:\Windows\System32\Wowexec.exe  
C:\Windows\System32\Wuauclt.exe  
C:\Windows\System32\Wuauclt.exe  
C:\Windows\TASKMAN.exe
 
 
--------------------------------------------------------------------------------
Note: These paths are hard-coded and do not depend on system variables. If the Trojan deletes these files, in most cases, Windows will no longer run when the computer is restarted.
--------------------------------------------------------------------------------
 
 
Removes most, if not all, of the subkey paths from the following registry subkeys of HKEY_LOCAL_MACHINE:
 
HARDWARE
SECURITY
SOFTWARE
SYSTEM
Software
System
 
 
Displays the fake error message:
 
Error in memory block: #A5487F
 
 
Runs mIRC and executes a one-line command with the message "...//************/britney.jpg <- uuh, check it out !! "
 
If ActiveX controls are enabled when the file is downloaded, it will execute. Since firewall protection is disabled, there is no other warning about ActiveX applications.
 
 
Autant dire un sacré bordel !!!
 
La mise à jour des signatures detectant ce virus n'étant pas encore disponible, en tout cas que ce soit chez Norton ou McAfee, je recommanderais aux utilisateurs d'IRC la plus grande attention ...    
 
Eventuellement, le mieux serait de ne plus utiliser IRC jusqu'à la mise à jour de l'antivirus dans quelques jours !!

non le virus n'affecte QUE les utilisateurs d'irc qui CLIQUENT sur le lien vérolé, donc suffit de ne pas cliquer sur des liens Ou de modifier votre navigateur par defaut en mettant un browser comme Opera ou Thunderbird...

 
+1
je suis actuellement sur IRC et RAS, il n y a plus de lien avec britney (enfin sur quakenet)...  
 
ceci dit c'est une des plus belle saloperie que je connaisse !

 
C'est un client mail ça

oups Firebird autant pour moi lol