Comment retirer le virus Raswrap-A ?

Question

Bonkour,

J'ai chopé le virus RasWrap-A description :
Troj/RasWrap-A est un cheval de Troie qui installe un logiciel composeur.
Troj/RasWrap-A crée les fichiers suivants dans le répertoire racine :
124783.exe (détecté sous le nom de Dial/Tibsys-A)
hooks.dll (détecté sous le nom de Troj/RasWrap-A)
inst.ex (détecté sous le nom de Troj/RasWrap-A)

Pb. il n'est pas connu de Norton et autres Anti-virus.

Comment peut-on le supprimer ?

Merci pour votre aide.

Afficher la suite

Losloan · Answer

C'est encor moi !Si ça peut aider, voici le scan :Logfile of HijackThis v1.98.2Scan saved at 01:19:18, on 14/10/2004Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\Explorer.EXEC:\Program Files\Norton AntiVirus
avapsvc.exeC:\Program Files\Norton Internet Security\NISUM.EXEC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32\svchost.exeC:\Program Files\Norton Internet Security\SymProxySvc.exeC:\WINDOWS\System32\mqsvc.exeC:\Program Files\Norton Internet Security\NISSERV.EXEC:\WINDOWS\System32\mqtgsvc.exeC:\Program Files\eMule\emule.exeC:\Program Files\Internet Explorer\iexplore.exeC:\WINDOWS\system32\NOTEPAD.EXEE:\install1\spybot\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://lookfor.cc/sp.php?pin=29126R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.heretofind.com/show.php?id=15&q=%sR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://actualite.free.fr/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://lookfor.cc?pin=29126R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://lookfor.cc/sp.php?pin=29126R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://lookfor.cc/sp.php?pin=29126R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.heretofind.com/show.php?id=15&q=%sR0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.comR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dllO4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXEO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initializeO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [iamapp] C:\Program Files\Norton Internet Security\IAMAPP.EXEO4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1
avapw32.exeO4 - HKLM\..\Run: [WinFast2KLoadDefault] rundll32.exe wf2kcpl.dll,DllLoadDefaultSettingsO4 - HKLM\..\Run: [MsmqIntCert] regsvr32 /s mqrt.dllO4 - HKLM\..\Run: [mmtask] C:\Program Files\MusicMatch\MusicMatch Jukebox\mmtask.exeO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\RunServices: [Microsoft Update] vpc32.exeO4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exeO4 - HKCU\..\Run: [Microsoft Update] vpc32.exeO4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exeO4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st800\DSLMON.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXEO9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO9 - Extra button: Corel Network monitor worker - {A0B5C0FE-1E34-44A8-865D-9BD6636C477C} - (no file)O9 - Extra 'Tools' menuitem: Corel Network monitor worker - {A0B5C0FE-1E34-44A8-865D-9BD6636C477C} - (no file)O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\webelated.htmO9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\webelated.htmO9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dllO9 - Extra button: Corel Network monitor worker - {A0B5C0FE-1E34-44A8-865D-9BD6636C477C} - (no file) (HKCU)O9 - Extra 'Tools' menuitem: Corel Network monitor worker - {A0B5C0FE-1E34-44A8-865D-9BD6636C477C} - (no file) (HKCU)O12 - Plugin for .mp3: C:\Program Files\Internet Explorer\PLUGINS
pqtplugin4.dllO12 - Plugin for .mpeg: C:\Program Files\Internet Explorer\PLUGINS
pqtplugin3.dllO14 - IERESET.INF: START_PAGE_URL=http://freebox.free.fr/O15 - Trusted Zone: *.05p.comO15 - Trusted Zone: *.clickspring.netO15 - Trusted Zone: *.flingstone.comO15 - Trusted Zone: *.mt-download.comO15 - Trusted Zone: *.my-internet.infoO15 - Trusted Zone: *.scoobidoo.comO15 - Trusted Zone: *.searchbarcash.comO15 - Trusted Zone: *.searchmiracle.comO16 - DPF: fdjeux - https://www.fdjeux.net/classes/fdjeux.cabO16 - DPF: {09C21411-B9A2-4DE6-8416-4E3B58577BE0} (France Telecom MDM ActiveX Control) - http://imin.cvf.fr/imin_data/ocx/MDM.cabO16 - DPF: {386A771C-E96A-421F-8BA7-32F1B706892F} (Installer Class) - http://www.xxxtoolbar.com/ist/softwares/v4.0/0006_regular.cabO16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1096710133218O16 - DPF: {75D1F3B2-2A21-11D7-97B9-0010DC2A6243} (SecureLogin.SecureControl) - http://secure2.comned.com/signuptemplates/ActiveSecurity.cabO16 - DPF: {7DBFDA8E-D33B-11D4-9269-00600868E56E} (WWWInstall Class) - http://go.securelive.com/speed/WebInstall.dllO16 - DPF: {C1C2AC28-5E4B-4228-B7A0-05E986FFCE14} (TIBSLoader Class) - http://go-in-now.com/tl4000.dllO16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec.com/SSC/SharedContent/common/bin/cabsa.cabO16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://fdl.msn.com/public/chat/msnchat45.cabO16 - DPF: {F72BC3F0-6C20-4793-9DDA-258589D8A907} - http://akamai.downloadv3.com/binaries/IA/netslv32_FR_XP.cabO17 - HKLM\System\CCS\Services\Tcpip\..\{54F52543-ED93-4FEE-B593-A79AB5E7714E}: NameServer = 212.27.32.176 212.27.39.1Merci d'avance !

Utilisateur anonyme · Answer

salut telecharge a2fee http://www.emsisoft.net/fr/stingerhttp://download.nai.com/products/mcafee-avert/stinger.exe@+++

Losloan · Answer

Merci !Je m'y met de suite !A+

LosLoan · Answer

Stinger m'a détecté et supprimé un autre virus dans svchost mais raswrap est toujours la !Sale bête !Si vous avez d'autres idées, je suis preneur.Merci.

losloan · Answer

Commentaire : Comment je connais ce virus ?

Je l'ai trouvé sur le site de sophos.

Ils ont l'anti-virus depuis le 30/09.
Mais je n'ai pas sophos et les autres logiciels AV ne références pas ce virus (en particulier Norton que j'ai sur mon PC).

Me voila bien ...

Utilisateur anonyme · Answer

salut supprime le comme ceci :

1.redemarre en mode sans echec (redemarage + tapotte sans arret sur F8 desque l'ordi s'allume)

2. desactive ta restaraution (si ta le xp ) comme ceci :
clike droit sur post de travaille/proprietes/restauration system et la tu coche desactiver la restauration du systeme tu applique

3. affiche les fichier cacher comme ceci :
clicker sur demarrer/panneau de configuration/option des dossiers/affichage
Cocher afficher les dossiers cacher
Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"
Puis fais «Ok» pour valider les changements.
Decocher masquer les extentions dont le type est connues

4.ensuite va dans demarrer/rechercher et tape: le nom du fichier infecter par le virus

suprime le et tu vide ta corebeille

refait un scan si tt va bien reactive la restauration et masque les fichiers caché en suivant le meme chemin

telecharge aussi a2fee il exelent ;-)
@+++

Utilisateur anonyme · Answer

ensuite refait un hijack et colle le resultat ici @+++++

losloan · Answer

Salut !

D'abord merci pour vos réponses.

J'ai encore un problème car dans ta méthode, il faut que je supprime le fichier infecté.

Mais, je ne sais pas dans quel fichier se trouve le virus (qu'aucun AV n'a détecté alors qu'il se lance périodiquement lorsque j'accede au Web).

Je ne peux donc pas supprimer le fichier infecté.

A+

Utilisateur anonyme · Answer

salut,tu dois d'abord identifier CLAIREMENT le virus et sa localisation sinon tu ne peux pas t'en débarasser*Mais, je ne sais pas dans quel fichier se trouve le virus (qu'aucun AV n'a détecté alors qu'il se lance périodiquement lorsque j'accede au Web)* <--alors là! c'est rare ça - il est à jour ton Norton? récent? (si ta version est périmée il ne te sert à RIEN) et ton parefeu? il ne bloque rien non plus? c'pas des outils efficaces mais des passoires que tu possèdes...... (pour preuve ton log Hijack méga vérolé)Sur le site de Sophos (Troj/RasWrap-A) on te dit de *supprimer 124783.exe +  hooks.dll +  inst.ex  - tu as appliqué ce que te disais Jess pour supprimer les fichiers infectés? (j'en doute)1) affiche les dossiers cachés et protégés2) tu désactives ta restauration système3) tu passes en mode sans échec4) tu recherches et supprimes les fichiers incriminés*5) tu rebootes en mode normal6) nettoyage du cache internet+la corbeille+nettoyage de disque7) tu réactives ta restauration système8) tu fais une dernière vérification virale pour voir si ton ordi est désinfectévirus ! Que dois-je faire ? <--lit svp :-)http://www.inoculer.com/virusdesinfection.php3@+*Devise : Je m'intéresse à l'avenir parceque  c'est là que je vais passer le reste de ma vie*

SG1 · Answer

Bonjour,

J'ai exactement le même problème et la bestiole revient toujours.

Norton (A jour) ne trouve strictement rien.

J'ai essayé Adaware, HijackThis, Spybot, Spy Sweeper, rien n'y a fait. Lors de la connection internet, il revient toujours.

Supprimer les trois fichiers "124783.exe + hooks.dll + inst.ex " ne sert à rien puisque le virus se trouve ailleur !

Merci de votre aide

@+

balltrap34 · Answer

salutqui te dit que tu as se virusla chasse et le balltrap ma vrai passionvoir site perso dans profil

SG1 · Answer

Bonjour,

Comme Losloan, j'ai trouvé des infos sur le seul site qui en parle.
Sophos !

http://www.sophos.fr/virusinfo/analyses/trojraswrapa.html

Mais, moi non plus, je ne possède pas cet antivirus !

En fait ce n'est pas un virus mais un Cheval de Troie !

@+

balltrap34 · Answer

salut
regarde si tu trouve un de ces prog au demarrage
124783.exe + hooks.dll + inst.ex
demarrer/executer
tu tape msconfig/onglet demarrage
si tu trouve tu decoche et appliquer

la chasse et le balltrap ma vrai passion
voir site perso dans profil

Losloan · Answer

Bonjour à tous,

Je ne suis donc pas le seul dans cette galère (salut SG1).

Dabord, merci encore à tous pour votre participation.
Voici une réponse pour chacun d'entre vous :

balltrap34 :
"qui te dit que tu as se virus "
-> C'est parcequ'il se déclenche lorsque je navigue sur le net et que mon firewall l'intercepte.

"regarde si tu trouve un de ces prog au demarrage
124783.exe + hooks.dll + inst.ex
demarrer/executer
tu tape msconfig/onglet demarrage
si tu trouve tu decoche et appliquer "
-> Je viens de regarder, ils n'y sont pas.

la chasse et le balltrap ma vrai passion
-> Moi c'est plutôt la musique ...

dolly.dagger
*Mais, je ne sais pas dans quel fichier se trouve le virus (qu'aucun AV n'a détecté alors qu'il se lance périodiquement lorsque j'accede au Web)* <--alors là! c'est rare ça - il est à jour ton Norton? récent? (si ta version est périmée il ne te sert à RIEN) et ton parefeu? il ne bloque rien non plus? c'pas des outils efficaces mais des passoires que tu possèdes...... (pour preuve ton log Hijack méga vérolé).
-> Effectivement, j'ai une passoir puisque j'ai Norton AV 2002 + le firewall qui va avec ... et que je me retrouve dans cet état !
Je suis à jour sur l'ensemble des composants, liste des virus comprise (j'ai la dernière mise à jour qui date du 13/10/04). J'ai également Spybot, je pensais que c'était l'arme ultime contre les troyens ... (il faudrait peut être un AV grec contre les troyens !)
-> Mon log Hijack est méga vérolé ?Je suis content de l'apprendre mais pourrais du me dire quels sont les éléments à virer ?

Bon, je vais potasser http://www.inoculer.com/virusdesinfection.php3, si j'ai du nouveau, je vous le fais savoir !

A bientôt (et bon courage SG1 !)

SG1 · Answer

Bonjour Losloan

Je suis d'accord avec toi...

Rien au démarrage... et Norton, c'est une véritable passoire !

Mais il faut reconnaitre aussi que norton est un antivirus, ici on a affaire à un Cheval de Troie.

Norton, comme la plupart des antivirus, n'est efficace que si la signature de la bestiole se trouve dans la base de données.

En clair, je crois que je vais revenir à mon ancien antivirus : Viguard. Lui, n'a pas besoin de mise à jour et ne m'avait jamais posé de problèmes.

Si tu trouves plus d'info, Losloan, passe un mot ici.

Merci

@+

SG1 · Answer

Au fait, Losloan, je crois qu'effectivement tu as également pas mal d'autres problèmes sur ton micro.

Je ne connais pas tout, mais ça, je sais déjà que sais pas bon :

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.heretofind.com/show.php?id=15&q=%s

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.heretofind.com/show.php?id=15&q=%s

O16 - DPF: {386A771C-E96A-421F-8BA7-32F1B706892F} (Installer Class) - http://www.xxxtoolbar.com/ist/softwares/v4.0/0006_regular.cab

http://lookfor.cc/sp.php?pin=29126
searchbarcash.com

Installe Spy Sweeper. C'est le plus efficace AntiSpy que j'ai testé...
Mais il n'est pas parfait, puisqu'il n'a pas résolu Raswrap-A

Bloque également la page de démarrage.

@+

Utilisateur anonyme · Answer

salut ;losloan refait un hijack et colle le resultat ici @++++++++

Utilisateur anonyme · Answer

salut ferme internet explorer, coche ces lignes ensuite clike sur "fix checked"

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://lookfor.cc/sp.php?pin=29126
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.heretofind.com/show.php?id=15&q=%s
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://actualite.free.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://lookfor.cc?pin=29126
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://lookfor.cc/sp.php?pin=29126
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://lookfor.cc/sp.php?pin=29126
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.heretofind.com/show.php?id=15&q=%s

pour ces O4 fait : ctrl/alt/supprime et termine la tache de "mmtask.exe" et "vpc32.exe" ensuite fix ces ligne avec hijack :

O4 - HKLM\..\Run: [mmtask] C:\Program Files\MusicMatch\MusicMatch
Jukebox\mmtask.exe
O4 - HKLM\..\RunServices: [Microsoft Update] vpc32.exe
O4 - HKCU\..\Run: [Microsoft Update] vpc32.exe

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} -
C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links -
{c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O15 - Trusted Zone: *.05p.com
O15 - Trusted Zone: *.clickspring.net
O15 - Trusted Zone: *.flingstone.com
O15 - Trusted Zone: *.mt-download.com
O15 - Trusted Zone: *.my-internet.info
O15 - Trusted Zone: *.scoobidoo.com
O15 - Trusted Zone: *.searchbarcash.com
O15 - Trusted Zone: *.searchmiracle.com

O16 - DPF: {386A771C-E96A-421F-8BA7-32F1B706892F} (Installer Class) -
http://www.xxxtoolbar.com/ist/softwares/v4.0/0006_regular.cab
O16 - DPF: {75D1F3B2-2A21-11D7-97B9-0010DC2A6243}
(SecureLogin.SecureControl) -
http://secure2.comned.com/signuptemplates/ActiveSecurity.cab
O16 - DPF: {7DBFDA8E-D33B-11D4-9269-00600868E56E} (WWWInstall Class) -
http://go.securelive.com/speed/WebInstall.dll
O16 - DPF: {C1C2AC28-5E4B-4228-B7A0-05E986FFCE14} (TIBSLoader Class) -
http://go-in-now.com/tl4000.dll
O16 - DPF: {F72BC3F0-6C20-4793-9DDA-258589D8A907} -
http://akamai.downloadv3.com/binaries/IA/netslv32_FR_XP.cab

ensuite supprime ces 2 fichier :
vpc32.exe
mmtask.exe

ensuite supprime les fichiers temporaire ;
demarrer/paneau de configuration/option internet/suprimer fichier temporaaire apres une petite fentre s'ouvre tu coche "suprimer tout le contenu hors connexion" suprime aussi les cookies et efface l'historique

puis passe un coup d'antispy ( adware, spybot , a2free..ect)

redemarree....
@++++++++

Comment retirer le virus Raswrap-A ?

18 réponses

Votre réponse

Discussions similaires

Newsletters