Se debarrasser de downloader.trojan

Bonsoir

4ZEZEIX etc c'est un trojan downloader, comme ZSX8521etc.
Les caractéristiques de ce type de malware, c'est ça :
"Trojan downloader is usually a standalone program that attempts to hiddenly download and run other files from remote web and ftp sites. Usually trojan downloaders download different trojans and backdoors and activate them on an affected system without user's approval. Trojan downloader, when run, usually installs itself to system and waits until Internet connection becomes available. After that it attempts to connect to a web or ftp site, download specific file or files and run them". (Excuse-moi, j'ai la flegme de traduire...).
Ces choses-la sont généralement introduites par des sites internet (douteux) pour ouvrir des portes sur ton systeme et permettre des intrusions ultérieures diverses (et avariées, de la pub au hacker).
Pour limiter les risques d'intrusion initiales, compliquer ensuite les communications et éventuellement détruire les parasites, il faut un antivirus avec un gardien, un parefeu, et différents outils de prévention et de désinfection de malwares.
Il faut aussi de la prudence...
CF http://sebsauvage.net/safehex.html
et http://assiste.free.fr
Concernant tes infections, je n'ai pas tout compris, mais les fichiers temp, tu t'm pas, tu les effaces...avec "pockett Killbox :
http://www.bleepingcomputer.com/files/killbox.php
Attention aux scan en ligne, il y a des m' qui font croire aux gogos (si, si, ça existe..) que leur ordinateur est infecté, mais que leur logiciel est le meilleur etc...y en a même qui te mettent des fichiers 4SZX23 exprès (ou qui te font croire qu'il y en a)
Vois sur assiste.free la qualité de tes scanneurs.
Pour fixklez, il y a une procédure très précise à suivre (CF sur http://www.secuser.com/telechargement/desinfection.htm) sinon, ça marche pas...
(mais, au fait ça c'est pour le virus klez, tu l'as ?)

@+

merci rumbacampus ! le pockett killbox est bien méchant lol ! je crois qu'il a tout éradiqué :s
j'attends qu'il finisse son carnage et ensuite je referais un scan en ligne pour verifier l'état du système ;-)
Je te tiens au courant biz

erf pockett killbox n'a finalement pas pu supprimer mes dossiers temporaires ! je n'arrive vraiment pas a virer ce trojan a la c**!
c dangereux si je le garde dans mon pc ?
voilà le resultat du scan effectué sur le site http://www.ravantivirus.com/ :

C:\Documents and Settings\Propriétaire\Local Settings\Temporary Internet Files\Content.IE5\7Y35P1NF\CA1876FH.HTM - Exploit:HTML/MhtRedir.gen* -> Infected
C:\Documents and Settings\Propriétaire\Local Settings\Temporary Internet Files\Content.IE5\7Y35P1NF\CAB69K9R.HTM - Exploit:HTML/MhtRedir.gen* -> Infected
C:\Documents and Settings\Propriétaire\Local Settings\Temporary Internet Files\Content.IE5\7Y35P1NF\CAHHFNUK.HTM - Exploit:HTML/MhtRedir.gen* -> Infected
C:\Documents and Settings\Propriétaire\Local Settings\Temporary Internet Files\Content.IE5\7Y35P1NF\CAORML2H.HTM - Exploit:HTML/MhtRedir.gen* -> Infected

que faire maintenant ? formater ?!?!

Re

C'est galère...

Va là :
Télécharge le programme Hijackthis (si tu ne l'as pas) crée un dossier hijackthis dans C: (C:\hijackthis)
Lance hijackthis dans ce dossier et fait un log.
Copie ce log ici.
Va voir aussi sur le site précité pour évaluer tes lignes.

@+

Re

Pour effacer les fichiers, essaie aussi "dellater", tu trouveras le programme là :
http://www.diamondcs.com.au/index.php?page=dellater
Tu copie le fichier dellater.exe dans sytem32 et tu commande avec la commande excécuter

@+

salut tout le monde !

il faut nettoyer ton cache internet

pour cela

demarrer << executer tu tapes cleanmgrclique sur fichier temporaire internet puis sur afficher les fichiers et la tu supprimes tout sauf le dossier index data et
redemarrer et refait scanne pour controle et donne des nouvelles
ok

re

Essaie dellater, mais je doute que ça marche. Les fichiers temp sont utilisés par un programme. il y a donc des parasites sur ton ordi.
Hijackthis devrait nous aider.
D'autant qu'il y a des spécialistes sur le forum qui vont bien finir par donner leur avis.
Tu vois, à l'avenir, en plus des outils préventifs dont on a parlé plus haut, il faut effacer réguliérement les fichiers internet temporaire.
(tu demande d'effacer ces fichiers a chaque démarrage d'IE)
Ca peut éviter qu'ils aient eu le temps de communiquer avec le site concerné et d'introduire d'autres m'

@+

Hijackthis:

Logfile of HijackThis v1.99.1
Scan saved at 17:42:24, on 21/03/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe
C:\Program Files\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe
C:\Program Files\Winamp\Winampa.exe
C:\Program Files\Logitech\Video\LogiTray.exe
C:\WINDOWS\System32\winupdate32.exe
C:\Program Files\MessengerPlus! 3\MsgPlus.exe
C:\WINDOWS\System32\LVComS.exe
C:\Program Files\a2\a2guard.exe
C:\Program Files\Norton Internet Security\Norton AntiVirus\SAVScan.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\Program Files\Winamp\winamp.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system\lsass.exe
C:\WINDOWS\explorer.exe
C:\PROGRA~1\WinZip\winzip32.exe
C:\DOCUME~1\PROPRI~1\LOCALS~1\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.cegetel.net/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Ins3DT] F:\INSTALL4\INS3DT.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [adiras] adiras.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Program Files\Fichiers communs\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\System32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [AdTools Service] C:\Program Files\AdTools Service\AdTools.exe
O4 - HKLM\..\Run: [Windows Updater Online] winupdate32.exe
O4 - HKLM\..\Run: [helpr] C:\Program Files\SETI\helper.exe -loader -nolog
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [lsass Service] C:\WINDOWS\system\lsass.exe
O4 - HKLM\..\RunServices: [Windows Updater Online] winupdate32.exe
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [a-squared] "C:\Program Files\a2\a2guard.exe"
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: JT's Blocks - http://download.games.yahoo.com/games/clients/y/blt1_x.cab
O16 - DPF: RaptisoftGameLoader - http://www.miniclip.com/hamsterball/raptisoftgameloader.cab
O16 - DPF: Yahoo! Chess - http://download.games.yahoo.com/games/clients/y/ct2_x.cab
O16 - DPF: Yahoo! Dominoes - http://download.games.yahoo.com/games/clients/y/dot8_x.cab
O16 - DPF: Yahoo! Pool 2 - http://download.games.yahoo.com/games/clients/y/pote_x.cab
O16 - DPF: Yahoo! Towers 2.0 - http://download.games.yahoo.com/games/clients/y/ywt0_x.cab
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwebproducts/ei-2/SmileyCentralFWBInitialSetup1.0.0.8-2.cab
O16 - DPF: {24311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab
O16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\ex.cab
O16 - DPF: {33331111-1111-1111-1111-611111193458} - file://c:\ex.cab
O16 - DPF: {43331111-1111-1111-1111-611111195622} - file://c:\ex.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab
O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game13.zylomgames.com/activex/zylomgamesplayer.cab
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://game17.zylomgames.com/activex/zylomloader.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{CFDD0BFA-11A9-4BDF-90E1-9C74D5B36C1E}: NameServer = 217.19.192.131 217.19.192.132
O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} - C:\WINDOWS\System32\vbsys2.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

J'ai un problème avec dellater: lorsque je veux lancer l'application je reçois le message suivant : Usage: dellater.exe <filename>
et je susi très nulle en anglais donc pour lire le read me =____= houlalala

La commande cleanmgr ne me permet que de netooyer le disque C ou le disque C et non pas un dossier specifique donc je ne me suis pas lancée là dedans! en revanche j'ai vidé mon cache a l'aide de firefox.
Pourtant je suis sensée avoir une très bonne protection antivirus (vive norton 2005 et son supeeeer firewall =____=)
en tout cas mille merci pour votre aide c'est très gentil : )

re

la commande cleanmgr est la mellieur maniere de nettoyer ton cache internet tu effaces tout sauf le dossier index data
c est pourtant simple !!!

oui mais je ne peux pas selectionner de dossier specifique, je n'ai que deux options de nettoyage: lecteur C ou lecteur D

tu clique lecteur c puis dans la prochaine fenetre qui s affiche
tu clique sur fichier temporaire internet puis sur afficher et dans
la prochaine fenetre tu supprimes tout sauf index data
et tu vides ta corbeil et tu refait un scanne de RAV pour
verif ok .....

je t'assure que c'est seulement un nettoyage de disque, il veut compresser me sfichiers pour liberer 950ko d'espace voilà tout ...
en aucun cas il ne me laisse le choix

si tu as xp tu suis la procedure de A a Z et tu ne tarretes pas a chaque fois va jusqua la fin SVP

Re

Va voir sur l'adresse que je t'ai donnée pour analyser ton log.
Si tu as besoin d'explications complémentaires va voir là aussi :
http://www.zebulon.fr/articles/HijackThis.php
Avant de fixer les lignes douteuses, il faudrait arrêter le processus lsass.exe qui correspond au fichier lsass.exe du répertoire C:\windows\system puis effacer le fichier . Ceci semble être significatif du virus RATSU.B qui est listé plus bas...
Te gourre pas, tu en as 2, le bon (dans system32) et le mauvais (dans system)
vbsys2.dll est significative du trojan horse cliker
Va voir là les symptomes dans ton log, fixe et efface vbsys2.dll
http://www.commentcamarche.net/forum/affich-1358007-Probleme-avec-TROJAN-HORSE-CLICKER-5-BF
Pour eclaicir les process et les programmes chargés au démarrage, télécharge starter là :
http://www.zdnet.fr/telecharger/windows/fiche/0,39021313,39068625s,00.htm
Ce programme te permettra de voir très exactement tout les process et les programmes chargés au démarrage avec plein d'info et aussi la possibilité d'interdire (de façon réversible) aux programmes douteux de se charger au démarrage de windows, ce qui te permettra peut-être de supprimer enfin les 4 fichiers m'.
Télécharge aussi process explorer là :
http://www.zdnet.fr/telecharger/windows/fiche/0,39021313,39057960s,00.htm
Ce programme te donnera des informations sur les dll chargées par les process.

@+

merci beaucoup Rumbacampus je vais essayer ces nouvelles solutions! le fichier vbsys2.dll a été supprimé sans problème maispas le fichier lsass.exe , on me dit qu'un programme doit utiliser ce truc.... :s donc impossible de l'enlever et mon pc refuse d'arreter le processus qu'il dit critique! :s çà me fais peur

c'est bon tes programmes m'ont permis de supprimer lsass.exe mais mon trojan lui est encore là T____________T

je crois ke je vais devoir formater =___________________________=