Reprise du message précédent :
je voudrais rajouter je ne sais plus qui a dit a quoi sert un programme ou il vous faut demander a quelq un de competent de l aide
alors la je repond  
il en est de meme avec hijackthis ou il ne faut rien fixer sans un avis competent
ddlfix idem
et je pourrait en trouver d autres pourqu oi vous n en parlez pas de ceux la pourtant il ont une existence beaucoup plus grande que le rimouver

Au risque de te décevoir, Agobot n'est pas le seul à utiliser la bdr afin de se rendre résidant et fréquement un malware ne se limite à la copie d'1 ou 2 fichiers
 
Petite analyse pour l'exemple : (Date de téléchargement de Rimouver : 24/07/04)
J'ai pris au pif une des éradications proposé : celle de KWbot
Rimouver propose comme solution d'éradication de supprimer les fichiers suivant présent dans %SystemRoot%\system32\ :

• mscidaemon.* (soit mscidaemon.com et mscidaemon.exe)
• hrdf.dll
• rgml.dll

Après une courte recherche il s'agit en effet du vers KWbot mais de 2 variantes seulement (W32/KWbot-B et W32/KWbot-H (Sophos)).
Le fichier mscidaemon.dll situé toujours dans le répertoire system de Windows n'est pas pris en compte par Rimouveur, pourtant présent dans les 2 cas.
 
Dans sa version W32/KWbot-H, le vers se copie dans les répertoires partagés de clients p2p sous les noms

• MakeCash.exe
• MSCHECK64.EXE
• TASKMOON.EXE

Pour Rimouveur, ces derniers sont inconnus au bataillon laissant ainsi toute possibilité de propagation (et pourquoi pas de réinfection)
(Il en va de même pour la version W32/KWbot-G)
 
Bien évidement, une clé ajouté dans HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ n'est pas supprimée...
 
Vous affirmez que le Rimouver supprime le vers KWbot (il est nommé de manière générique), je trouve cela bien présomptueux au vu des multiples variantes (toujours en me basant sur Sophos).
En effet, parfois il se trouve que le Rimouver supprime certains éléments caractérisant certaines de ces variantes (2 en fait) mais pas dans ce but précis, il s'agit en fait d'une prise en considération "chanceuse" d'un autre malware.
 
Par exemple, le dossier %SystemRoot%\sCache32 présent dans la variante W32/KWbot-E est bien supprimé mais sera annoncé comme le vers SdBot (vous noterez encore une fois le nommage générique...)
 
Vous pourez dire "tant mieux, c'est mieux que ne rien détecter". Certes mais en fait le fichier %SystemRoot%\System32\xmw32.exe, le vers lui même, n'est pas supprimé donc Rimouver vous rassure en prétextant que vous êtes désinfectés alors que la réalité est toute autre
 
Au fait à quoi servait le dossier sCache32 ?
Un partage est créé au niveau de ce répertoire par le vers afin que les clients p2p le prenne en compte (des clés sont ajoutés dans la base de registre à cet effet) afin de se propager.
 
Donc si vous êtes infectés par W32/KWbot-E et que vous pensez en être débarassé suite à un passage de Rimouver, et bien non le vers est encore pleinement fonctionnel
 
Au fait en se qui concerne la clé HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\, la variante W32/KWbot-A en ajoute justement une...
A oui, le Rimouver ne détecte pas cette variante ainsi qu'une autre et leurs copies partagées dans les répertoires destinés au p2p
 
Je m'arrête là
 

Tu ne m'as pas vu parler de Norton
 
Certains remarqueront peut être que mon ancien post n'est plus. En effet hier je me suis apperçu que certains éléments étaient pris en compte par Rimouver alors que lors de ma recherche je ne les avaient pas vu (gt un peu occupé au même moment ). D'où cette nouvelle version

Bonjour,
 
C'est quoi ce délire! Les auteurs et défenseurs de ce Rimouver, vous avez perdu tout bon sens!
 
De la lecture du fil de discussion, après avoir examiné le fichier bat, je retiens qu'il vaudrait mieux considérer ce programme comme un utilitaire dangereux, à ne surtout pas utiliser. Il est infiniment plus dangereux que les malveillances qu'il est supposé éradiquer. C'est un vrai Virus.bat
 
J'y vois un gros défaut de conception: la suppression pure et simple des fichiers soit-disant "suspects" sans aucune vérification de leur contenu, en se basant uniquement sur leur nom et leur localisation. Il aurait été bien plus intelligent de les renommer sur place en établissant une liste des fichiers renommés, de sorte que l'utilisateur puisse annuler l'opération pour certains fichiers qu'il trouverait légitimes.
 
Le contrôle d'un MD5 pour chaque fichier comme indiqué par un des auteurs de message est ridicule, parce que:
- il faudrait connaître les MD5 de tous les fichiers légitimes sous toutes les versions existantes,En,Fr,etc. ce qui est imposssible.
- ou connaître les MD5 de tous les fichiers "viraux" à supprimer.  
La seule modification d'un octet dans une zone inutilisée du fichier rendrait le MD5 inutilisable. Si vous avez déjà examiné le code hexa d'un fichier exe quelconque vous verrez que c'est bourré de zones inutilisées remplies de 00 hexa. Modifier un de ces octets ne changera rien à l'exécution du programme, mais modifiera le MD5. A oublier de toute façon!
 
Et je vais citer ici intégralement l'avis d'un expert en matière de sécurité, membre de l'ASAP:
 
"Je n'ai pas approfondi du tout la question car un batch, déjà, me semble pathétique. Aligner des "deltree" ou des rd et des del de fichiers, sans aucune possibilité de tests, comparaisons, vérifications, contrôles, confirmations manuelles, sauvegardes, droit à l'erreur etc. ... simplement basés sur l'emplacement et les noms des fichiers, parce que, lorsque le virus machin s'installe, il fait comme ça, me semble délirant. Collectionner les noms de fichiers et répertoires à supprimer et les mettre dans un batch, en écumant les bases de connaissances des éditeurs d'antivirus est une folie. Prétendre suppléer ces antivirus incapables de détruire ces fichiers en lançant le rimouver en mode sans échec alors que l'on se tue à dire qu'il faut lancer les antivirus et les anti-trojans en mode sans échec est un enfantillage. Le tout me semble un enfantillage.
 
On ne se base pas sur un nom de fichier mais sur son contenu pour déterminer son appartenance à un groupe ou à un autre. Se comparer à un antivirus est puant d'orgueil.
 
Ce truc est à proscrire absolument car même si le travail en lui-même mérite le respect, le résultat et le risque sont cataclysmiques."
 
Pour info, l'expert et moi-même sommes dans l'informatique depuis bien avant l'arrivée des premiers ordis individuels et forcément des PCs.
 
Allez les auteurs, retournez faire joujou avec vos consoles Nintendo et laissez donc les grands travailler en paix.
 
@+

fermeture du sujet pour cause de publicité concernant un logiciel effectivement reconnu comme néfaste.

réouverture pour cause de modifications du logiciel.
 

mdr, aller on ferme, aller on ouvre

c'est la fête  

hihi trop lol
 
quelque chose à redire?

Salut à tous !
 
Comme promis et en avance, voici une version amélioré du Rimouveur.exe
 
 - Ajout d'un Disclaimer
 - Déplacement et non Suppression des fichiers litigieux
 - Ajout d'un Module de téléchargement d'Update (avec wget pour ceux qui connaissent )
 - et d'autre petites fonctionnalités
 
Voulant faire plaisir à tous le monde, nous avons essayé de rester le plus fidèle à vos remarques
 
Effectivement, nous n'avons pas inclut de hachage MD5... (le débat reste entier )
 
Voici le code du Disclaimer.bat (qui installe le Rimouveur.exe)
 
 

 
Voici le nouveau lanceur :
 

 
et voilà le moteur :
 
 

 
Pour ceux qui voulait voir le code, c'est chose faite
 
Nous avons aussi bien avancé sur la version Win32, donc vous aurez bientôt la possibilité de la tester
 
Bien à vous,
 
Merci à Krapaud pour la réouverture du topics  

désolé    ( je recommencerai plus à me moquer des modos, promi )

Salut à tous !
 
Voilà encore des news du Rimouveur.exe    
 
Nous avons ENCORE rechanger le moteur !!!!
 
Nous sommes entrain d'intégré le hachage MD5 )
 
Il n'y a qu'un seul petit soucis... Il nous manque la base de donnée des fichiers malwares avec leurs hachages.... Certes il y a les sites d'AV mais cela prends bcp de tps de tous recopier...
DONC (:-p) si quelqu'un à déjà une base ou qui connait un site qui répertorie les informations suivantes:
 - Chemin absolu du fichiers virus
 - le nom du fichiers virus
 - le hachage MD5
 - le nom du virus
nous sommes preneurs
 
Je suis en train de finaliser la customisation d'un PHPBB pour RAVEL
 
A très bientôt,
 

 
A mon avis, le mieux serait de laisser le choix à l'utilisateur. Pour les fichiers où vous avez un doute (ceux pour lesquels vous vous êtes posé quelques questions), mieux vaut sortir un message expliquant les risques, comment déterminer si le fichier est valable ou non, et lui laisser le choix, avec la possibilité de le sauvegarder dans un fichier txt pour les scans suivants.
Parce que détruire un fichier valable est souvent pire que ce que font de nombreux virus.

Bonjour Ravana,
 
J’ai utilisé le Rimouveur le 14 septembre et, pour ma part, j’aurais 2 suggestions : Serait-il possible d’ajouter un mode d’emploi à ce programme et de faire en sorte que toute alternative soit possible ?
En attendant, serait-il possible de m’aider pour que je puisse annuler toutes les modifications qui ont été apportées par ce programme ?  
D’ores et déjà, je dois préciser que je n’ai que très peu de compétences en informatique.
 
Toutes les vérifications faites de ma machine ont révélé un ordinateur propre. Toutefois, des noms plus que douteux apparaissent dans la base de registre dont certains sont tenus en respect par SpywareBlaster.  
C’est pourquoi, j’ai tenté le Rimouveur.
 
Sans introduction de déroulement, ce programme part très vite à l’œuvre. Il a commencé par radicalement supprimer un fichier; je n’ai eu que le temps de lire le mot mapi, car écrit en majuscule.
Successivement, il demande si j’accepte de réinscrire les Dll d’IE et du service de cryptographie (énumération pour laquelle je n’ai le temps de noter que la première Dll) et de remplacer le fichier hosts par une page vierge. Mon incompétence me fait répondre non, même si…
A la troisième question concernant le nettoyage de la BDR, j’ai répondu oui.
Il a placé en quarantaine 5 fichiers détectés :
- C:\*.exe (suspicion de virus Fichier)
- C:\win*.log (suspicion de virus Sasser)
- C:\WINDOWS\*.tmp (suspicion de virus MiMail/Troyan)
- C:\WINDOWS\autoclk.exe (suspicion de virus Troyan.KillReg)
- C:\WINDOWS\System32\Drivers\*.exe (suspicion de virus Fichier)
 
Concernant ce qu’il a supprimé et mis en quarantaine, mystère.
MAPI : j’utilise Outlook Express. Est-ce en rapport ?
autoclk.exe : cela concerne t-il le sagem800 fourni par mon FAI ?
Win*.log : De quoi s’agit-il ? Les Maj / correctifs sont faits autant que de besoin.
Les tmp… Lequel ? Ce n’est pas vraiment ceux que l’on garde, mais certains sont essentiels !  
Ce qui n’est pas drôle, c’est la modif’ sur UN driver. Il se pourrait que ce soit celui de l’appareil photo.
Comment savoir, puisque les indications sont * ?
 
Concernant la sauvegarde, c’est un peu flou pour moi. Le Rimouveur dit : Si certains programmes sont encore indisponibles, des copies avec un nom modifié sont disponibles dans : C:\ProgramFiles\Rimouveur\    
- msconfig_copie.exe  
- taskmgr_copie.exe  
- regedit_copie.exe  
- services_copie.msc
Serait-ce là un retour possible et si oui, comment procéder ?
 
J’ai constaté la suppression du "Freecell", seul jeu que j’avais laissé et que je m’autorise occasionnellement ! Y aurait-il un rapport avec "Free Solitaire" identifié comme embarquant le spyware Radiate/Aureate ?
Autre constatation : le convertisseur euro a été placé en quarantaine et je peux l’y utiliser. Où est le bon sens ?  
Je ne souhaite pas tout mettre sur le compte de Rimouveur, mais je constate maintenant un souci pour vider la corbeille : "erreur lors de la suppression du fichier ou du dossier – Impossible de lire à partir du fichier ou de la disquette source". J’y parviens uniquement en sélectionnant ce qui s’y trouve, puis suppr.
 
En résumé, je n’ai rien compris à ce qu’a fait Rimouveur, mais puisqu’il ne s’agit que de suspicions, je préfère récupérer ce qui existait. J’apprécierais beaucoup un coup de main et si je peux contribuer à l’amélioration de ce programme, ce sera avec plaisir.
 
Cordialement