[Download Trojan] c:\windows\isrvs\sysupd.dllRésolu/Fermé

Question

Bonjour,Norton me signale la présence sur ma machine d'un Trojan du doux nom de c:\windows\isrvs\sysupd.dll.J'ai fait un scan des fichiers douteux à l'aide de HijackThis v1.99.1 (voir le résultat complet ci-dessous).A partir de là, quelqu'un peut-il m'aider à déterminer les fichiers dont il faut que je me débarrasse et m'expliquer la façon de m'en débarasser ?J'ai l'impression que les 2 lignes à supprimer sont :O4 - HKLM\..\Run: [Desktop Search] C:\WINDOWS\isrvs\desktop.exeO4 - HKLM\..\Run: [ffis] C:\WINDOWS\isrvs\ffisearch.exeJ'ai coché ces 2 lignes dans HiJackThis, mais après avoir rebooté, elles étaient core là.Merci d'avance pour votre aide !Navidson---------------------------------Logfile of HijackThis v1.99.1Scan saved at 12:13:47, on 20/02/2005Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\System32\drivers\CDAC11BA.EXEC:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeC:\WINDOWS\System32\CTsvcCDA.exeC:\WINDOWS\System32\gearsec.exeC:\Program Files\Norton AntiVirus
avapsvc.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32\MsPMSPSv.exeC:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exeC:\WINDOWS\system32\dla	fswctrl.exeC:\Program Files\Dell\Media Experience\PCMService.exeC:\WINDOWS\System32\DSentry.exeC:\Program Files\Fichiers communs\Symantec Shared\ccApp.exeC:\PROGRA~1\MESSAG~1\StartMessager.exeC:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exeC:\PROGRA~1\Wanadoo\TaskbarIcon.exeC:\Program Files\QuickTime\qttask.exeC:\Program Files\iTunes\iTunesHelper.exeC:\Program Files\Real\RealPlayer\RealPlay.exeC:\WINDOWS\isrvs\desktop.exeC:\WINDOWS\system32\ctfmon.exeC:\Program Files\Creative\SBLive\Diagnostics\diagent.exeC:\Program Files\iPod\bin\iPodService.exeC:\Program Files\Wanadoo\EspaceWanadoo.exeC:\Program Files\Wanadoo\ComComp.exeC:\Program Files\Wanadoo\Watch.exeC:\Program Files\Internet Explorer\iexplore.exeC:\WINDOWS\system32\wuauclt.exeC:\Program Files\Outlook Express\msimn.exeC:\Program Files\Messenger\msmsgs.exeC:\DOCUME~1\BERANG~1\LOCALS~1\Temp\Répertoire temporaire 3 pour hijackthis_199.zip\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wanadoo.fr/go/page_recherche/R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.frR1 - HKCU\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = http://www.motor-search.info/R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = WanadooR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensR3 - Default URLSearchHook is missingO1 - Hosts: 127.0.0.0 localhostO1 - Hosts: 127.0.0.2 auditmypc.comO1 - Hosts: 127.0.0.3 boards.cexx.orgO1 - Hosts: 127.0.0.4 bulletproofsoft.netO1 - Hosts: 127.0.0.5 camtech2000.netO1 - Hosts: 127.0.0.6 cexx.orgO1 - Hosts: 127.0.0.7 computercops.usO1 - Hosts: 127.0.0.8 ct7support.comO1 - Hosts: 127.0.0.9 doxdesk.comO1 - Hosts: 127.0.0.20 kellys-korner-xp.comO1 - Hosts: 127.0.0.21 kephyr.comO1 - Hosts: 127.0.0.24 lurkhere.comO1 - Hosts: 127.0.0.25 majorgeeks.comO1 - Hosts: 127.0.0.26 merijn.orgO1 - Hosts: 127.0.0.27 mjc1.comO1 - Hosts: 127.0.0.28 moosoft.comO1 - Hosts: 127.0.0.29 mvps.orgO1 - Hosts: 127.0.0.30 net-integration.netO1 - Hosts: 127.0.0.31 noadware.netO1 - Hosts: 127.0.0.32 no-spybot.comO1 - Hosts: 127.0.0.33 onlinepcfix.comO1 - Hosts: 127.0.0.34 pchell.comO1 - Hosts: 127.0.0.35 pestpatrol.comO1 - Hosts: 127.0.0.36 safer-networking.orgO1 - Hosts: 127.0.0.37 secure.spykiller.comO1 - Hosts: 127.0.0.38 secureie.comO1 - Hosts: 127.0.0.39 security.kolla.deO1 - Hosts: 127.0.0.40 spybot.infoO1 - Hosts: 127.0.0.41 spychecker.comO1 - Hosts: 127.0.0.42 spychecker.comO1 - Hosts: 127.0.0.43 spycop.comO1 - Hosts: 127.0.0.44 spyguard.comO1 - Hosts: 127.0.0.45 spykiller.comO1 - Hosts: 127.0.0.46 spyware.co.ukO1 - Hosts: 127.0.0.47 spyware-cop.comO1 - Hosts: 127.0.0.48 spywareinfo.comO1 - Hosts: 127.0.0.49 spywarenuker.comO1 - Hosts: 127.0.0.50 spywareremove.comO1 - Hosts: 127.0.0.51 spywareremove.comO1 - Hosts: 127.0.0.52 stopzillapro.comO1 - Hosts: 127.0.0.53 sunbelt-software.comO1 - Hosts: 127.0.0.54 thiefware.comO1 - Hosts: 127.0.0.55 tomcoyote.orgO1 - Hosts: 127.0.0.56 unwantedlinks.comO1 - Hosts: 127.0.0.57 webattack.comO1 - Hosts: 127.0.0.58 wilders.orgO1 - Hosts: 127.0.0.59 www.auditmypc.comO1 - Hosts: 127.0.0.60 www.bulletproofsoft.netO1 - Hosts: 127.0.0.61 www.cexx.orgO1 - Hosts: 127.0.0.62 www.computercops.usO1 - Hosts: 127.0.0.63 www.ct7support.comO1 - Hosts: 127.0.0.64 www.doxdesk.comO1 - Hosts: 127.0.0.65 www.eblocs.comO1 - Hosts: 127.0.0.66 www.enigmasoftwaregroup.comO1 - Hosts: 127.0.0.67 www.free-spyware-scan.comO1 - Hosts: 127.0.0.68 www.free-web-browsers.comO1 - Hosts: 127.0.0.69 www.grc.comO1 - Hosts: 127.0.0.70 www.grisoft.comO1 - Hosts: 127.0.0.71 www.hackfaq.orgO1 - Hosts: 127.0.0.72 www.hazeleger.netO1 - Hosts: 127.0.0.73 www.javacoolsoftware.comO1 - Hosts: 127.0.0.74 www.kellys-korner-xp.comO1 - Hosts: 127.0.0.75 www.kephyr.comO1 - Hosts: 127.0.0.78 www.lurkhere.comO1 - Hosts: 127.0.0.79 www.majorgeeks.comO1 - Hosts: 127.0.0.80 www.merijn.orgO1 - Hosts: 127.0.0.81 www.mjc1.comO1 - Hosts: 127.0.0.82 www.moosoft.comO1 - Hosts: 127.0.0.83 www.mvps.orgO1 - Hosts: 127.0.0.84 www.net-integration.netO1 - Hosts: 127.0.0.85 www.noadware.netO1 - Hosts: 127.0.0.86 www.no-spybot.comO1 - Hosts: 127.0.0.87 www.onlinepcfix.comO1 - Hosts: 127.0.0.88 www.pchell.comO1 - Hosts: 127.0.0.89 www.pestpatrol.comO1 - Hosts: 127.0.0.90 www.safer-networking.orgO1 - Hosts: 127.0.0.91 www.secureie.comO1 - Hosts: 127.0.0.92 www.security.kolla.deO1 - Hosts: 127.0.0.93 www.spybot.infoO1 - Hosts: 127.0.0.94 www.spychecker.comO1 - Hosts: 127.0.0.95 www.spychecker.comO1 - Hosts: 127.0.0.96 www.spycop.comO1 - Hosts: 127.0.0.97 www.spyguard.comO1 - Hosts: 127.0.0.98 www.spykiller.comO1 - Hosts: 127.0.0.99 www.spyware.co.ukO2 - BHO: BTGrabObj Class - {00000000-F09C-02B4-6EC2-AD0300000000} - C:\WINDOWS\BTGrab.dllO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dllO2 - BHO: IE Update Class - {5B4AB8E2-6DC5-477A-B637-BF3C1A2E5993} - C:\WINDOWS\isrvs\sysupd.dllO2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla	fswshx.dllO2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dllO3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dllO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [diagent] "C:\Program Files\Creative\SBLive\Diagnostics\diagent.exe" startupO4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXEO4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla	fswctrl.exeO4 - HKLM\..\Run: [StorageGuard] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /rO4 - HKLM\..\Run: [PCMService] "C:\Program Files\Dell\Media Experience\PCMService.exe"O4 - HKLM\..\Run: [DVDSentry] C:\WINDOWS\System32\DSentry.exeO4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe"O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\Wanadoo\CnxMon.exeO4 - HKLM\..\Run: [MessagerStarter Wanadoo] C:\PROGRA~1\MESSAG~1\StartMessager.exe Messager WanadooO4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe" /iconO4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exeO4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\TaskbarIcon.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exeO4 - HKLM\..\Run: [RealTray] C:\Program Files\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYERO4 - HKLM\..\Run: [Desktop Search] C:\WINDOWS\isrvs\desktop.exeO4 - HKLM\..\Run: [ffis] C:\WINDOWS\isrvs\ffisearch.exeO4 - HKLM\..\Run: [qjplsyvrdpe] C:\WINDOWS\system32\cqnzyr.exeO4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exeO4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /backgroundO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLLO9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dllO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)O16 - DPF: {10000000-1000-0000-1000-000000000000} - file://C:\Program Files\Internet Explorer\grxqpzdb.exeO16 - DPF: {11111111-1111-1111-1111-111111111732} - file://c:\progra~1\pl.exeO16 - DPF: {1C78AB3F-A857-482E-80C0-3A1E5238A565} - ms-its:mhtml:file://C:\ss.MHT!http://toolbar.isearch.com/install/00022/chm.chm::/files/initial.cabO16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/20040105/qtinstall.info.apple.com/mickey/fr/win/QuickTimeInstaller.exeO17 - HKLM\System\CCS\Services\Tcpip\..\{BEC41D77-735A-4DF0-B0E3-A43574A479EE}: NameServer = 80.10.246.1 80.10.246.132O18 - Filter: text/html - {950238FB-C706-4791-8674-4D429F85897E} - C:\WINDOWS\isrvs\mfiltis.dllO19 - User stylesheet: C:\WINDOWS\sstyle.css (file missing)O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\System32\drivers\CDAC11BA.EXEO23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeO23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exeO23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exeO23 - Service: Service de sécurité matérielle (GEARSecurity) - GEAR Software - C:\WINDOWS\System32\gearsec.exeO23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exeO23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus
avapsvc.exeO23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - C:\Program Files\Intel\NCS\Sync\NetSvc.exeO23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exeO23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exeO23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe---------------------------------

moe · Answer

Salut navidson - Redémarre en mode sans échec en appuyant sur la touche F8 au démarrage de ton PC(apres l'ecran du bios) - Afficher les dossiers cachés et fichiers système: panneau de configuration > options des dossiers > onglet affichage cocher " afficher les fichiers et dossiers cachés " décocher " masquer les extentions des fichiers dont le type est connu décocher " masquer les fichiers protégés du système" 1-) Termine les processus douteux: Ouvrir le gestionnaire des taches: CTRL+ALT+SUPPR Clic-droit sur le processus et choisir terminer le processus. Termine si présent: desktop.exe edmond.exe ffisearch.exe cqnzyr.exe 2-) demarrer>executer> regedit Aller dans les cles suivantes et supprimer la valeur en gras: HKEY_CLASSES_ROOT\clsid\=> supprime {5b4ab8e2-6dc5-477a-b637-bf3c1a2e5993} HKEY_CLASSES_ROOT\clsid\=> supprime: {950238fb-c706-4791-8674-4d429f85897e} HKEY_CLASSES_ROOT\=> supprime: mfiltis HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\ext\clsid\=> supprime: {5b4ab8e2-6dc5-477a-b637-bf3c1a2e5993} HKEY_LOCAL_MACHINE\system\currentcontrolset\enum\root\=> supprime: legacy_delprot HKEY_LOCAL_MACHINE\system\currentcontrolset\services\=> supprime: delprot HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run=> supprime: Desktop Search= C:\WINDOWS\isrvs\desktop.exe HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run=> supprime: "ffis"=C:\WINDOWS\isrvs\ffisearch.exe HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run=> supprime: qjplsyvrdpe C:\WINDOWS\system32\cqnzyr.exe Puis dans C:\Windows\ et/ou C:\Windows\System32\ supprime si présent: C:\WINDOWS\system32\cqnzyr.exe delprot.ini delprot.log desktop.exe isrvs <= le dossier entier C:\windows\system32\drivers\delprot.sys puis va dans: C:\Documents and Settings\\bureau\ et supprime si présent: anal exploits.url big dick school for 2.95.url evidence eraser.lnk popup blocker stops popups.lnk spyware avenger.lnk virus hunter security.lnk your platinum visa.lnk Redemarrer et refaire un scan hijack pour vérifier

vivino · Answer

Apparament, ton ordi est configuré pour un réseau privé ou d'entreprise.Avec notepad, consulte le fichier suivat:C:\WINDOWS\system32\drivers\etc\hosts.icset supprime les hosts qui ne doivent pas avoir accés à ton réseau. S'il y a des hosts indisérables, alors ce fichier a été modifié par un virus ou spyware.Sur l'ordinateur qui se connecte à Internet, cliquer sur cette connexion, ensuite cliquer sur Propriétés et desactive le partage de fichiers et imprimantes. Ne pas oublier de revérifier si le pare-feu est activé sur cette connexion.Parfois, les nouveaux virus, très bien programmés, sont très difficils à supprimer. Ils ont tout prévu. J'en ai eu l'expérience avec un 'bon?' Norton bien tenu à jour dans ses signatures.Il se peut aussi que t'as ramassé cette saloprie en navigant sur Internet. Si tel est le cas, je te conseil vivement de suivre les instructions sur http://www.ifrance.com/Victor-Costa/Cela a bien marché pour moi et je n'arrete pas d'en faire la pub.Réf.3KEYSUCCES

moe · Answer

salut navidsonisrvs n'est plus présent dans ton log et c'est une bonne chose, preuve que tu t'es bien débrouillé avec la manipEncore quelques bricoles à virer:- Afficher les dossiers cachés et fichiers système: panneau de configuration > options des dossiers > onglet affichage cocher " afficher les fichiers et dossiers cachés "décocher " masquer les extentions des fichiers dont le type est     connu décocher " masquer les fichiers protégés du système"en mode sans echecs:Lance hijackthis et Fixe:cocher au début de chaques lignes valider avec fix checked:R3 - Default URLSearchHook is missing O2 - BHO: BTGrabObj Class - {00000000-F09C-02B4-6EC2-AD0300000000} - C:\WINDOWS\BTGrab.dllO2 - BHO: IE Update Class - {5B4AB8E2-6DC5-477A-B637-BF3C1A2E5993} - (no file)O16 - DPF: {10000000-1000-0000-1000-000000000000} - file://C:\Program Files\Internet Explorer\grxqpzdb.exe O16 - DPF: {11111111-1111-1111-1111-111111111732} - file://c:\progra~1\pl.exe O16 - DPF: {1C78AB3F-A857-482E-80C0-3A1E5238A565} - ms-its:mhtml:file://C:\ss.MHT!http://toolbar.isearch.com/install/00022/chm.chm::/files/initial.cab O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/20040105/qtinstall.info.apple.com/mickey/fr/win/QuickTimeInstaller.exe O18 - Filter: text/html - {950238FB-C706-4791-8674-4D429F85897E} - (no file) O19 - User stylesheet: C:\WINDOWS\sstyle.css (file missing) Puis recherche et supprime si présent:C:\WINDOWS\BTGrab.dllC:\Program Files\Internet Explorer\grxqpzdb.exe C:\Program Files\pl.exeet ensuite, fais un nettoyage du disque:Panneau de configuration >accessoires > outils système > nettoyage du disque  cocher:     fichiers et programmes téléchargés     fichiers internet temporaires    corbeille      fichier temporaires  valider ok Redemarrer normalement et recocher " masquer les fichiers protégés du système"Reposte un log hijack pour voir l'évolution.Si tu ne les possèdes pas encore, telecharge spybot et ad-awareMet les à jours, puis tu les lance un après l'autre en mode sans echecssupprime tout se qu'ils trouvent.- Spybot S&D:http://telechargement.zebulon.fr/79-Spybot---Search-&-Destroy.htmll'aide:http://www.zebulon.fr/articles/spybot_1.phphttp://assiste.free.fr/p/internet_utilitaires/spybot_search_destroy.php#ssd_02- Ad-aware:http://www.lavasoftusa.com/french/support/download/l'aide:http://www.ordi-netfr.org/tutorialadaware.htmla+

navidson · Answer

OK.Je vais m'en charger.Merci pour tous ces conseils.Navidson

[Download Trojan] c:\windows\isrvs\sysupd.dll

4 réponses

Discussions similaires

Newsletters