Sujet Précédent Sujet Suivant

4 trojans et un virus coriaces

salverius -  
 salverius -
Bonjour,

j'ai lu le forum et j'ai commencé les démarches classiques , CCLEANER , VAG , AVAST , spybot
mais rien n'y fait, ils sont toujours là :-(
les betes en questions sont :
SHeur.AJDZ
generic13.AFUT
BackDoor.Generic_r.GL
Dropper.generic.AKWU
WIN32/virut

voici ce que j'ai comme rapport HIJACK

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 09:57:06, on 09/06/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.yahoo.com/search/ie.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.fr/toolbar/ie8/sidebar.html
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: HP Print Enhancer - {0347C33E-8762-4905-BF09-768834316C61} - C:\Program Files\Hewlett-Packard\Digital Imaging\Smart Web Printing\hpswp_printenhancer.dll
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG8\avgssie.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\PROGRA~1\AVG\AVG8\AVGTOO~1.DLL
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FlashFXP\IEFlash.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: HP Smart BHO Class - {FFFFFFFF-CF4E-4F2B-BDC2-0E72E116A856} - C:\Program Files\Hewlett-Packard\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\PROGRA~1\AVG\AVG8\AVGTOO~1.DLL
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User 'Default user')
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Sélection intelligente HP - {DDE87865-83C5-48c4-8357-2F5B1AA84522} - C:\Program Files\Hewlett-Packard\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {215B8138-A3CF-44C5-803F-8226143CFC0A} (Trend Micro ActiveX Scan Agent 6.6) - http://housecall65.trendmicro.com/housecall/applet/html/native/x86/win32/activex/hcImpl.cab
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG8\avgpp.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
A voir également:

39 réponses

Précédent
  • 1
  • 2
Réponse 21 / 39
eZula Messages postés 3509 Statut Contributeur 392
 
Fais le scan nod32
0
Réponse 22 / 39
Nshox Messages postés 108 Statut Membre 16
 
Ah M**** , c'est dommage que tu n'est qu'un pc avec la methode que je t'ai proposer plus haut cela aurai fonctionner car les virus que tu as meme si tu arrive à les supprimer vont se régenerer.
0
Réponse 23 / 39
salverius
 
je viens de faire nod 32 ( enfin la version d'évaluation de 30 jours )
2h30 de scan , rien signaler .

j'ai aussi un agréable message qui s'affiche :

"l'instruction à "0x595c16e2" emploie l'adresse mémoire " 0x011d005c". la mémoire ne peut pas être "read".
cliquez sur ok pour terminer le programme.
cliquez sur Annuler pour déboguer le programme. "

je désespère ...
0
Réponse 24 / 39
eZula Messages postés 3509 Statut Contributeur 392
  
SHeur.AJDZ
generic13.AFUT
BackDoor.Generic_r.GL
Dropper.generic.AKWU
WIN32/virut


tu peux donner les chemins de ces fichiers ? car les alias c'est bien beau, mais ça ne donne pas grand-chose comme info exploitable à ce stade
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 25 / 39
salverius
 
ok voici les chemines d'accès :
pour: Dropper.generic.AKWU

C:\documents and settings\Network Service\local Settings\Temporary internet Files\Content.IE5\K7U9UPML\x[1]
C:\documents and settings\Network Service\local Settings\Temporary internet Files\Content.IE5\OJMPOZMN\x[1]
C:\documents and settings\Network Service\local Settings\Temporary internet Files\Content.IE5\S12V8J25\x[3]
C:\documents and settings\Network Service\local Settings\Temporary internet Files\Content.IE5\S12V8J25\x[5]

pour : BackDoor.Generic_r.GL

C:\documents and settings\Network Service\local Settings\Temporary internet Files\Content.IE5\S12V8J25\x[6]
0
Réponse 26 / 39
eZula Messages postés 3509 Statut Contributeur 392
 
ces fichiers sont dans le cache d'un navigateur merdique, sans grand intérêt pour nous. Virut, il est où ?
0
Réponse 27 / 39
Nshox Messages postés 108 Statut Membre 16
 
C'est le virus qui se régenere dés qu'on le supprime!
0
Réponse 28 / 39
salverius
 
nouvelles localisation pour les trojans : ( SHeur2.AJDZ )

C\WINDOWS\system32\71.scr
C\WINDOWS\system32\83.scr

rien pour le virus ( VIRUT )
0
Réponse 29 / 39
salverius
 
bilan des courses :

j'ai effectué des scan avec nod32
puis avast et avg en mode sans echec,
rien n'y a fait , je reste toujours avec ses virus et trojans ,

je vais donc passer à une méthode bcp plus radicale , je vais réinstaller windows,
car je ne vois pas d'amélioration significative malgré tout les nettoyages effectués
si qq'un à une bonne idée de dernière minute , je suis preneur .
merci à tous pour les conseils donnés .
a+
0
Trying2 Messages postés 7751 Date d'inscription   Statut Contributeur sécurité Dernière intervention   234
 
Hello,

Laisse tomber la réinstall de Windows. Si tu es vraiment touché par Virut, cela ne servira à rien.
0
Réponse 30 / 39
salverius
 
ah bon ?

si je formate mon disque dur , le répartitionne et réinstalle windows , il peut encore rester qque chose dessus ( Virut en l'occurrence ) ???
0
Trying2 Messages postés 7751 Date d'inscription   Statut Contributeur sécurité Dernière intervention   234
 
Tout à fait.

Il nous faudrait donc confirmer si ton pc est porteur de l'infection.

Qu'est-ce qui te l'a fait écrire dans ton premier message?
0
Réponse 31 / 39
salverius
 
tout simplement le fait que VIRUT faisait parti de la première liste de virus et trojan détectés sur mon PC ( par AVG il me semble) ,

mais depuis , je n'en ai plus aucune trace ,je ne sais pas s'il a été effacé , ou si les scan ne le voient tout simplement plus .
0
Réponse 32 / 39
Nshox Messages postés 108 Statut Membre 16
 
Passe un coup de Malwarebytes' Anti-Malware (MBAM) dispo ici:
http://www.commentcamarche.net/telecharger/telecharger 34055379 malwarebytes anti malware

Il fait le lien entre les .exe et les cle de registre, il fait des sauvgarde des cle de registre infecter avant de les supprimer.
0
Réponse 33 / 39
salverius
 
ok , je viens d'effectuer ce scan voici le résultat :

Malwarebytes' Anti-Malware 1.37
Version de la base de données: 2288
Windows 5.1.2600 Service Pack 2

16/06/2009 20:48:33
mbam-log-2009-06-16 (20-48-33).txt

Type de recherche: Examen complet (C:\|)
Eléments examinés: 120339
Temps écoulé: 8 minute(s), 15 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 4
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSMHelp (Hijack.Help) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Not selected for removal.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Not selected for removal.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Not selected for removal.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\WINDOWS\system32\winamp.exe (Backdoor.Bot) -> Quarantined and deleted successfully.

JE n'ai effacé que les 2 fichiers correspondant a un nom de trojan,et hijack
pas les 3 autres dites moi s'il faut les éliminer aussi .
0
Réponse 34 / 39
Nshox Messages postés 108 Statut Membre 16
 
Les 3 autres clef informe que ton centre de sécuriter est désactiver , les mise à jour automatique aussi et l'antivirus aussi.
Mais je pense que c'est toi qui à du les désactiver. Si ce n'est pas le cas tu peux les supprimer.
Apparament tu n'est plus infecter.

Voila tu est enfin arriver Bravo!
0
Réponse 35 / 39
salverius
 
bonjour ,

je ne suis pas aussi optimiste ,
car le bouclier d'avg , bloque régulièrement backdoor et dropper
le bon coté , c'est que je n'entends plus parler de virut .
0
Nshox Messages postés 108 Statut Membre 16
 
Est-ce que AVG te donne le chemin du Backdoor et dropper.
Sont ils sur ton pc et les vois-tu dans le gestionnaire des taches (dans prcessus)?
0
Réponse 36 / 39
Trying2 Messages postés 7751 Date d'inscription   Statut Contributeur sécurité Dernière intervention   234
 
Hello,

Un petit coucou par ici:

Tu as bien fait ceci? Et supprimer éventuellement d'autres non détectés par Findykill?

Parce que sinon on va tourner en rond...
0
Réponse 37 / 39
salverius
 
voila le dernier rapport genproc

Rapport GenProc 2.590 [3]
@ 17/06/2009 à 19:37:43
@ Windows XP Service Pack 2 - Mode normal
@ Mozilla Firefox (3.0.11) [Navigateur par défaut]

GenProc n'a détecté aucune infection caractéristique et suggère de suivre la procédure suivante :

Fais scanner le(s) fichier(s) suivant(s) sur ce site https://www.virustotal.com/gui/ :

C:\Documents and Settings\Admin.XPSP2-53C91E3D3\Local Settings\Temp\nro.tmp\"

et poste le(s) rapport(s) obtenu(s) dans ta prochaine réponse.

----------------------------------------------------------------------
Sites officiels GenProc : www.alt-shift-return.org et www.genproc.com
----------------------------------------------------------------------

~~ Fin à 19:39:36 ~~

je vais donc m'exécuter dans cette nouvelle tache .
0
Réponse 38 / 39
salverius
 
voila le résultat de virus total.

Information additionnelle
File size: 5903656 bytes
MD5 : d1ab724228eef2b41f70bbb29f7a82e5
SHA1 : 097d0f57876ba8c40826d51f20bfb9b1fb3e887f
SHA256: c37dc385bb5201bc9593396fdd27f1a5733dbdb2764f443adb70ecd01c8ca8d3
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x5F3128
timedatestamp.....: 0x493FCC6E (Wed Dec 10 15:04:30 2008)
machinetype.......: 0x14C (Intel I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x277C14 0x278000 6.62 ea7b9c96bd6ece7eedab840f69002a0e
.rdata 0x279000 0xBD180 0xBE000 4.61 95f471f1292e2efeaaf1856f008f7a70
.data 0x337000 0x1ACC0 0x15000 5.47 618849ab1a61c0f5285340aa3ccb2be7
.rsrc 0x352000 0x253578 0x254000 5.97 b32d4b62e215d0ad63cb1f6bf93cfac9

( 0 imports )

( 0 exports )
TrID : File type identification
InstallShield setup (42.6%)
Win32 Executable MS Visual C++ (generic) (37.3%)
Win32 Executable Generic (8.4%)
Win32 Dynamic Link Library (generic) (7.5%)
Generic Win/DOS Executable (1.9%)
ssdeep: 49152:BQuAgLuD1XbBtKqGv5Hhq5e6GPaBM2C9qTbJCZ0V+7qN4eTtH+ewyZRlO8OJZp:BQ7yH5SBw9qTq0EqN4Q+J
PEiD : -
RDS : NSRL Reference Data Set

------------------------------------------------------------------------

ps : hier j'ai formaté mon ordi et effectivement , les trojans ont survécu puisque avg les a repéré ensuite ,
pour ce qui est des chemins d'accès , je ne les ai pas relevé , j'efface systématiquement tout ce qui passe en quarantaine,
mais je noterai toutes les info à la prochaine prise.

j'en profite pour remercier tous ceux qui m'aident dans cette aventure ;-(
0
Trying2 Messages postés 7751 Date d'inscription   Statut Contributeur sécurité Dernière intervention   234
 
Hello,


hier j'ai formaté mon ordi et effectivement , les trojans ont survécu puisque avg les a repéré ensuite


Toujours pas de rapport d'AVG...

Mais puisque tu en es à reformater, et que tes soucis reviennent (Ce qui peut laisser supposer la présence effective de Virut), fais le correctement avec KillDisk.

Lis l'intégralité de ceci, et pense qu'une clé ou un DD externe peut également te réinfecter.

@+
0
Réponse 39 / 39
salverius
 
voici ce qu'il y a dans la quarantaine d'AVG
ceci corresponds à des blocages du bouclier résident.
le scan d'AVG ne trouve rien ...

dropper.generic.AKWU : C\WINDOWS\system32\25.scr
worm/generic_c.ABP : c\WINDOWS\system32\00.scr
worm/generic_c.ABP : c\WINDOWS\system32\32.scr
Backdoor.Generic_r.GL : C\documents and settings\adminXPSP2\local settings\temporary Internet Files\Content.IE5\KRODJEMA\x[1]

je vais formater à nouveau le disque DUR ( avec killdisk cette fois ci )
histoire de voir ce que ça donne .
0

Discussions similaires

Softonic,est-ce un virus ?
techmel1 -
techmel1 -

6 réponses
Message Apple virus !!
Souclik67 -
MPMP10 -

3 réponses
Comment supprimer le virus Trojan
vitsou -
vitsou -

18 réponses
Samsung Z Flip 4 s'éteint lorsque je le plie.
BOBJENNY -
Tinoon -

4 réponses
Toutes les combinaisons à 4 chiffres de 0000 a 9999
Sarah -
baladur13 -

11 réponses