Trojan hidden resistant

Bonjour,

il te reste un nettoyeur a passer : ADAWARE

N'oubli pas d'effectuer les mise a jour avant de les utiliser

pour CWshredder...il faut imperativement que toute les fenetre soit fermees pour l'utiliser

il me semble que j'avais aussi passé adaware mais qu'il ne pouvait pas erradiquer ce qu'il avait trouvé car il fallait s'enregistrer... connais-tu un lien pour le logiciel complet ?

sinon, je n'ai pas desactivé l'option restauration automatique (mais je scan toujours mon D: qui est le lecteur de restauration) le problème peut-il venir de là ?

merci

Re,

Voila les liens....et n'oubli pas de faire les mise a jour

Ad-Aware :
http://telecharger.01net.com/windows/Internet/internet_utlitaire/fiches/11643.html

Le patch en Français pour Ad-Aware :
http://telecharger.01net.com/windows/Internet/internet_utlitaire/fiches/25543.html

ok, merci, je vais essayer ça ce soir et je te tiens au courant...a+

bon, j'ai refait un scan complet de mon PC en mode sans echec avec spysweeper : trouvé trojan downloader hidd
ad-aware : ras
spybot : ras
a²: trojan dans System32\sfcman32.dll/sp.htm
CWShreader: ras
hijackthis
vidé les temp et la corbeille
redémarré en mode normal

et là a² me signale que qu'un trojan a été bloqué:

\system32\sysobj.exe idem avec
\system32\conmie.exe
\system32\truttf.exe
\system32\dxconf.exe

et ensuite norton me dit qu'il a detecté un trojan dans \system32\opensdl.exe...quarantaine

bon j'avoue que je commence à plus savoir, est ce que j'arrive au bout ou alors je suis encore dans la mouise ??? allez un petit hijackthis.... merci de votre aide !!!

Logfile of HijackThis v1.99.0
Scan saved at 07:40:32, on 01/03/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
c:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe
c:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
c:\Program Files\Norton AntiVirus\navapsvc.exe
C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
c:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\lotus\notes\ntmulti.exe
c:\Program Files\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
c:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\windows\system\hpsysdrv.exe
C:\WINDOWS\system32\hphmon06.exe
C:\HP\KBD\KBD.EXE
C:\Program Files\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\keyhook.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\ALCWZRD.EXE
C:\WINDOWS\ALCMTR.EXE
C:\PROGRA~1\HELPAN~1\Pavilion\XPHWWBF4\plugin\bin\pchbutton.exe
C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe
C:\Program Files\a2\a2guard.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\Aluria Software\ASE\ASE Scheduler.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\En attente Install\Utilitaires\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.wanadoo.fr
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_FR&c=Q404&bd=pavilion&pf=desktop
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Name - {0E7A210C-7CEB-43B1-8FB9-76139E9E037B} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Name - {16520169-1CEC-4110-A91C-1F541814B67A} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Name - {2DD1B6E6-126F-4DB6-B423-5521A40CFD22} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Name - {33984E3C-838E-4656-B8BD-8C9EB1428BF6} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Name - {3A38860B-23AF-4B92-A557-4C64014AAD42} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Name - {3FAF1431-1462-4221-953C-1D3395A5E703} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Name - {4EBD916B-D341-4A09-9E92-1827B7D347A9} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {549B5CA7-4A86-11D7-A4DF-000874180BB3} - (no file)
O2 - BHO: Name - {5E233DB9-6595-4A66-992C-BCFFA00EDF7B} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Name - {675C63B6-7239-4470-BDAC-C58412041E2D} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - c:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - c:\Program Files\Norton AntiVirus\NavShExt.dll
O2 - BHO: Name - {BFE436C7-863E-463A-81B9-A4CECFBF8B7E} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Name - {D172E7FE-C6CE-47C4-AC50-2C168E38EFF9} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Name - {E0DB750E-FE07-4A4D-8AE0-08ACC80472D2} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - (no file)
O3 - Toolbar: Vue HP - {B2847E28-5D7D-4DEB-8B67-05D28BCF79F5} - c:\Program Files\HP\Digital Imaging\bin\HPDTLK02.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - c:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe
O4 - HKLM\..\Run: [HPHUPD06] c:\Program Files\HP\{AAC4FC36-8F89-4587-8DD3-EBC57C83374D}\hphupd06.exe
O4 - HKLM\..\Run: [HPHmon06] C:\WINDOWS\system32\hphmon06.exe
O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE
O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\system32\keyhook.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [Reminder] "C:\Windows\Creator\Remind_XP.exe"
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [Aluria Security Center] C:\PROGRA~1\ALURIA~2\SecurityCenter.exe /sm
O4 - HKCU\..\Run: [Acme.PCHButton] C:\PROGRA~1\HELPAN~1\Pavilion\XPHWWBF4\plugin\bin\pchbutton.exe
O4 - HKCU\..\Run: [SpySweeper] "C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe" /0
O4 - HKCU\..\Run: [a-squared] "C:\Program Files\a2\a2guard.exe"
O4 - Startup: ASE Scheduler.lnk = C:\Program Files\Aluria Software\ASE\ASE Scheduler.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.wanadoo.fr
O14 - IERESET.INF: MS_START_PAGE_URL=http://www.wanadoo.fr
O17 - HKLM\System\CCS\Services\Tcpip\..\{0B3DDB8E-B0B5-420C-960D-03D5C1E4B7BA}: NameServer = 69.50.188.180,195.225.176.31
O17 - HKLM\System\CCS\Services\Tcpip\..\{379C9097-382B-43A5-9EF3-248201F69D10}: NameServer = 69.50.188.180,195.225.176.31
O17 - HKLM\System\CCS\Services\Tcpip\..\{41E693BB-7278-4245-87CF-1A4BFBDE7E45}: NameServer = 69.50.188.180,195.225.176.31
O17 - HKLM\System\CCS\Services\Tcpip\..\{FAC620FF-EABF-4F55-B905-0A927B2DEDAE}: NameServer = 69.50.188.180,195.225.176.31
O17 - HKLM\System\CS1\Services\Tcpip\..\{0B3DDB8E-B0B5-420C-960D-03D5C1E4B7BA}: NameServer = 69.50.188.180,195.225.176.31
O23 - Service: Aluria Spyware Eliminator Service - Unknown - C:\PROGRA~1\ALURIA~1\ASE\ASEServ.exe
O23 - Service: Ati HotKey Poller - Unknown - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Symantec Event Manager - Symantec Corporation - c:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy - Symantec Corporation - c:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation - Symantec Corporation - c:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager - Symantec Corporation - c:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique - Unknown - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: Journal des événements - Unknown - C:\WINDOWS\system32\services.exe
O23 - Service: Fax - Unknown - C:\WINDOWS\system32\fxssvc.exe
O23 - Service: Service COM de gravage de CD IMAPI - Unknown - C:\WINDOWS\system32\imapi.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Partage de Bureau à distance NetMeeting - Unknown - C:\WINDOWS\system32\mnmsrvc.exe
O23 - Service: Multi-user Cleanup Service - IBM Corp - C:\Program Files\lotus\notes\ntmulti.exe
O23 - Service: Service Norton AntiVirus Auto-Protect - Symantec Corporation - c:\Program Files\Norton AntiVirus\navapsvc.exe
O23 - Service: Plug-and-Play - Unknown - C:\WINDOWS\system32\services.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance - Unknown - C:\WINDOWS\system32\sessmgr.exe
O23 - Service: SAVScan - Symantec Corporation - c:\Program Files\Norton AntiVirus\SAVScan.exe
O23 - Service: Carte à puce - Unknown - C:\WINDOWS\System32\SCardSvr.exe
O23 - Service: Symantec Network Drivers Service - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service - Symantec Corporation - c:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: Journaux et alertes de performance - Unknown - C:\WINDOWS\system32\smlogsvc.exe
O23 - Service: Cliché instantané de volume - Unknown - C:\WINDOWS\System32\vssvc.exe
O23 - Service: Carte de performance WMI - Unknown - C:\WINDOWS\system32\wbem\wmiapsrv.exe

Up !!

j'ajoute que spysweeper bloque regulièrement l'ajout dans mes favoris ie de pages genre strippoker etc...

salut bountchac

- Redémarre en mode sans échec en appuyant sur la touche F8 au démarrage de ton PC (apres l'ecran du bios)

- Rend visible les fichiers cachés et systemes:
panneau de configuration > options des dossiers > onglet affichage
cocher " afficher les fichiers et dossiers cachés "
décocher " masquer les extentions des fichiers dont le type est connu
décocher " masquer les fichiers protégés du système"

==================

Lance hijackthis et Fixe:
(cocher au début de chaques lignes valider avec fix checked)

O2 - BHO: Name - {0E7A210C-7CEB-43B1-8FB9-76139E9E037B} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Name - {16520169-1CEC-4110-A91C-1F541814B67A} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Name - {2DD1B6E6-126F-4DB6-B423-5521A40CFD22} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Name - {33984E3C-838E-4656-B8BD-8C9EB1428BF6} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Name - {3A38860B-23AF-4B92-A557-4C64014AAD42} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Name - {3FAF1431-1462-4221-953C-1D3395A5E703} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Name - {4EBD916B-D341-4A09-9E92-1827B7D347A9} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: (no name) - {549B5CA7-4A86-11D7-A4DF-000874180BB3} - (no file)
O2 - BHO: Name - {5E233DB9-6595-4A66-992C-BCFFA00EDF7B} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Name - {675C63B6-7239-4470-BDAC-C58412041E2D} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Name - {BFE436C7-863E-463A-81B9-A4CECFBF8B7E} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Name - {D172E7FE-C6CE-47C4-AC50-2C168E38EFF9} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: Name - {E0DB750E-FE07-4A4D-8AE0-08ACC80472D2} - C:\WINDOWS\system32\mstnb.dll
O2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - (no file)
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

Recherche et supprime:

C:\WINDOWS\system32\mstnb.dll
C:\WINDOWS\ALCMTR.EXE

Redemarrer normalement et lance, spybot(à jour)...et supprime tout ce qu'il trouve.
Reposte un log hijack pour vérifier si tout et ok

Ne pas oublier après les manips de recocher " masquer les fichiers protégés du système" dans les options des dossiers

ok merci moe, je vais faire cela ce soir en rentrant et je te tiens au courant, a+

ok a+

est ce que quelqu'un pourrait me dire si je dois vraiment suprimer alcmtr.exe ? merci d'avance

salut

Bon, ne supprime pasALCMTR.EXE, ALCWZRD.EXE , mais tu peux éviter qu'ils ne se lancent au demarrage en les fixant avec hijackthis.
Ensuite fais un scan ici:
http://www.ravantivirus.com/scan/
Poste le resutat du scan ici.

a+

salut

Pour rav, je voulais dire une analyse complete de ton disque

pour alcmtr.exe et alcwzrd.exe, font partie de "RealTek High Definition audio driver", mais il n'ont pas besoins de se lancer au demarrage.

lance hijackthis et fixe
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

Ca ne supprime pas les fichier, mais ils ne se lanceront plus automatiquement au demarrage(inutiles).

a+

oui pour rav, il faut accepter le controle active x dans le cas ou tu surfe avec IE.
Sinon, tu peux vérifier ici:
http://assiste.free.fr/p/antivirus_gratuits_en_ligne/antivirus_en_ligne.php
la compatibilité des different AV en ligne selon ton navigateur.

a+

Salut moe, je reviens vers toi car ce matin norton m'a alerté sur la présence d'un trojan.Eman situé dans le répertoire backup de hijackthis !!! penses tu que le lien de téléchargement est en cause (je l'ai trouvé ici) ?
pour info norton me dit que Eman est apparu sur le net le 28/2/2005...

salut

supprime ce qui est a l'interieur du dossier backup et repasse ton av pour voir si tout est ok.
je pense pas que ca vienne du telechargement d'hijack sinon ton av l'aurait immediatement détecté.
Tu peux aussi faire un scan en ligne pour te rassurer.

a+