se debarrasser de downloader.trojan

Question

Bon courage a ceux qui voudront lire ce truc de dingue jusko bout sans devenir dingues a leur tour .....
Pour vous expliquer mon problème j'ai été infecté du virus downloader.trojan ou backdoor.trojan c'est comme vous voulez ...
J'ai un super antivirus qui m'a couté très cher qui s'appel norton 2004 et qui n'a jamais remarqué ce virus sur mon pc! pourtant il est bien là !
J'ai fais un scan en ligne sur deux sites différents qui m'ont tous les deux affirmé que 4 fichiers dans mes fichiers temporaires étaient infectés!
contentIE5\4ZEZEIX\ieds.... blablabla c'est le nom !
bon ok, mon antivirus ne me le detecte pas donc je suprime cookies, blabla+fichiers temporaires + temp
pourtant après le scan en ligne les fichiers sont toujours là et toujours infectés !
Pourtant j'ai bien coché l'option 'afficher les dossiers/fichiers cachés'
okkkkk!
je télécharge donc un antivius antispy dont je ne me souviens plus le nom qui est recommandé a plusieurs reprises sur les forums mais lui non plus ne detecte rien ....
çà commence a faire long ...
bon je télécharge ad aware! il me trouve 92 fichiers ennuyeux aprfait je supprime tout mais parmis ces fichiers il n'y a évidement pas ceux contenant ce fichu trojan de malheur!
bon je prends a squared! il me fait une liste de tous els fichiers infectés mais ne propose SURTOUT PAS de le ssupprimer (des fois que ej voudrais conserver me spetits virus chéris) T_____T
encore une fois je pars armée de patience pour désactiver la restauration du systeme gnagna mode sans echec blabla .... kédalle
*petite crise d'hysterie*
après kelke cachetons je me remets a la tache
sur le site de secuser je fais une analyse en ligne
resultat: "felicitation vous n'avez pas de virus!!!" =________=
okay!
je télécharge donc fixautoupdur sur le lien ci présent : http://www.secuser.com/telechargement/desinfection.htm
jexecute laffaire, resultat: 'gnagnagn hasn't be found' yeaaah
donc je télécharge celui juste en dessous pour etre sure que je n'ai donc pas ce trojan de *@#¤ !
j'execute fixklez qui me dit que ce trojan est bien sur mon pc (=_____= mon dieu mais kelle surpriiiiiiise)
bien évidement ce merveilleux petit scan était sensé reperer et supprimer le virus hein ! ben il 'la detecté mais il m'a pas aprlé du tout de le supprimer;
c un peu genre 'ben tiens t content on la retrouvé ton ptit trojan bha tiens tu sais où il est maitnenant hein ben ta ka le garder!"
>________< merciiiii
pis finalement je reessaie un scan en ligne des fois ke çà aurait quand meme supprimé sans me prevenir pour me faire une ptite surprise mais bon c bien ce ke je me disais ce serait trop bo pour etre vrai hein! bha je els ai toujours c 4 fichiers infectés -_____-"
donc bha keske je fais moi maintenant ?
*prends ses petites boules roses en attendant une reponse*

Rumbacampus · Answer

Bonsoir

4ZEZEIX etc c'est un trojan downloader, comme ZSX8521etc.
Les caractéristiques de ce type de malware, c'est ça :
"Trojan downloader is usually a standalone program that attempts to hiddenly download and run other files from remote web and ftp sites. Usually trojan downloaders download different trojans and backdoors and activate them on an affected system without user's approval. Trojan downloader, when run, usually installs itself to system and waits until Internet connection becomes available. After that it attempts to connect to a web or ftp site, download specific file or files and run them". (Excuse-moi, j'ai la flegme de traduire...).
Ces choses-la sont généralement introduites par des sites internet (douteux) pour ouvrir des portes sur ton systeme et permettre des intrusions ultérieures diverses (et avariées, de la pub au hacker).
Pour limiter les risques d'intrusion initiales, compliquer ensuite les communications et éventuellement détruire les parasites, il faut un antivirus avec un gardien, un parefeu, et différents outils de prévention et de désinfection de malwares.
Il faut aussi de la prudence...
CF http://sebsauvage.net/safehex.html
et http://assiste.free.fr
Concernant tes infections, je n'ai pas tout compris, mais les fichiers temp, tu t'm pas, tu les effaces...avec "pockett Killbox :
http://www.bleepingcomputer.com/files/killbox.php
Attention aux scan en ligne, il y a des m' qui font croire aux gogos (si, si, ça existe..) que leur ordinateur est infecté, mais que leur logiciel est le meilleur etc...y en a même qui te mettent des fichiers 4SZX23 exprès (ou qui te font croire qu'il y en a)
Vois sur assiste.free la qualité de tes scanneurs.
Pour fixklez, il y a une procédure très précise à suivre (CF sur http://www.secuser.com/telechargement/desinfection.htm) sinon, ça marche pas...
(mais, au fait ça c'est pour le virus klez, tu l'as ?)

@+

shinda · Answer

merci rumbacampus ! le pockett killbox est bien méchant lol ! je crois qu'il a tout éradiqué :s
j'attends qu'il finisse son carnage et ensuite je referais un scan en ligne pour verifier l'état du système ;-)
Je te tiens au courant biz

shinda · Answer

erf pockett killbox n'a finalement pas pu supprimer mes dossiers temporaires ! je n'arrive vraiment pas a virer ce trojan a la c**!
c dangereux si je le garde dans mon pc ?
voilà le resultat du scan effectué sur le site http://www.ravantivirus.com/ :

C:\Documents and Settings\Propriétaire\Local Settings\Temporary Internet Files\Content.IE5\7Y35P1NF\CA1876FH.HTM - Exploit:HTML/MhtRedir.gen* -> Infected
C:\Documents and Settings\Propriétaire\Local Settings\Temporary Internet Files\Content.IE5\7Y35P1NF\CAB69K9R.HTM - Exploit:HTML/MhtRedir.gen* -> Infected
C:\Documents and Settings\Propriétaire\Local Settings\Temporary Internet Files\Content.IE5\7Y35P1NF\CAHHFNUK.HTM - Exploit:HTML/MhtRedir.gen* -> Infected
C:\Documents and Settings\Propriétaire\Local Settings\Temporary Internet Files\Content.IE5\7Y35P1NF\CAORML2H.HTM - Exploit:HTML/MhtRedir.gen* -> Infected

que faire maintenant ? formater ?!?!

Rumbacampus · Answer

Re

C'est galère...

Va là :
Télécharge le programme Hijackthis (si tu ne l'as pas) crée un dossier hijackthis dans C: (C:\hijackthis)
Lance hijackthis dans ce dossier et fait un log.
Copie ce log ici.
Va voir aussi sur le site précité pour évaluer tes lignes.

@+

Rumbacampus · Answer

Re

Pour effacer les fichiers, essaie aussi "dellater", tu trouveras le programme là :
http://www.diamondcs.com.au/index.php?page=dellater
Tu copie le fichier dellater.exe dans sytem32 et tu commande avec la commande excécuter

@+

tufs · Answer

salut tout le monde !

il faut nettoyer ton cache internet

pour cela

demarrer << executer tu tapes cleanmgrclique sur fichier temporaire internet puis sur afficher les fichiers et la tu supprimes tout sauf le dossier index data et
redemarrer et refait scanne pour controle et donne des nouvelles
ok

Rumbacampus · Answer

re

Essaie dellater, mais je doute que ça marche. Les fichiers temp sont utilisés par un programme. il y a donc des parasites sur ton ordi.
Hijackthis devrait nous aider.
D'autant qu'il y a des spécialistes sur le forum qui vont bien finir par donner leur avis.
Tu vois, à l'avenir, en plus des outils préventifs dont on a parlé plus haut, il faut effacer réguliérement les fichiers internet temporaire.
(tu demande d'effacer ces fichiers a chaque démarrage d'IE)
Ca peut éviter qu'ils aient eu le temps de communiquer avec le site concerné et d'introduire d'autres m'

@+

shinda · Answer

Hijackthis:Logfile of HijackThis v1.99.1Scan saved at 17:42:24, on 21/03/2005Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\csrss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exeC:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exeC:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exeC:\Program Files\Norton Internet Security\Norton AntiVirus
avapsvc.exeC:\WINDOWS\System32
vsvc32.exeC:\Program Files\Analog Devices\SoundMAX\SMAgent.exeC:\WINDOWS\System32\svchost.exeC:\Program Files\Analog Devices\SoundMAX\SMTray.exeC:\Program Files\Fichiers communs\Symantec Shared\ccApp.exeC:\Program Files\Winamp\Winampa.exeC:\Program Files\Logitech\Video\LogiTray.exeC:\WINDOWS\System32\winupdate32.exeC:\Program Files\MessengerPlus! 3\MsgPlus.exeC:\WINDOWS\System32\LVComS.exeC:\Program Files\a2\a2guard.exeC:\Program Files\Norton Internet Security\Norton AntiVirus\SAVScan.exeC:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exeC:\Program Files\Winamp\winamp.exeC:\Program Files\MSN Messenger\msnmsgr.exeC:\Program Files\Messenger\msmsgs.exeC:\Program Files\Internet Explorer\iexplore.exeC:\Program Files\Mozilla Firefox\firefox.exeC:\WINDOWS\system\lsass.exeC:\WINDOWS\explorer.exeC:\PROGRA~1\WinZip\winzip32.exeC:\DOCUME~1\PROPRI~1\LOCALS~1\Temp\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.cegetel.net/R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dllO2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dllO2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dllO3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dllO4 - HKLM\..\Run: [Ins3DT] F:\INSTALL4\INS3DT.EXEO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exeO4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [adiras] adiras.exeO4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exeO4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\Winampa.exe"O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [SSC_UserPrompt] C:\Program Files\Fichiers communs\Symantec Shared\Security Center\UsrPrmpt.exeO4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\System32\IME\PINTLGNT\ImScInst.exe /SYNCO4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNCO4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMENameO4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exeO4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exeO4 - HKLM\..\Run: [AdTools Service] C:\Program Files\AdTools Service\AdTools.exeO4 - HKLM\..\Run: [Windows Updater Online] winupdate32.exeO4 - HKLM\..\Run: [helpr] C:\Program Files\SETI\helper.exe -loader -nologO4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"O4 - HKLM\..\Run: [lsass Service] C:\WINDOWS\system\lsass.exeO4 - HKLM\..\RunServices: [Windows Updater Online] winupdate32.exeO4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe" /WinStartO4 - HKCU\..\Run: [a-squared] "C:\Program Files\a2\a2guard.exe"O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /backgroundO4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exeO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO16 - DPF: JT's Blocks - http://download.games.yahoo.com/games/clients/y/blt1_x.cabO16 - DPF: RaptisoftGameLoader - http://www.miniclip.com/hamsterball/raptisoftgameloader.cabO16 - DPF: Yahoo! Chess - http://download.games.yahoo.com/games/clients/y/ct2_x.cabO16 - DPF: Yahoo! Dominoes - http://download.games.yahoo.com/games/clients/y/dot8_x.cabO16 - DPF: Yahoo! Pool 2 - http://download.games.yahoo.com/games/clients/y/pote_x.cabO16 - DPF: Yahoo! Towers 2.0 - http://download.games.yahoo.com/games/clients/y/ywt0_x.cabO16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cabO16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cabO16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwebproducts/ei-2/SmileyCentralFWBInitialSetup1.0.0.8-2.cabO16 - DPF: {24311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cabO16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cabO16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\ex.cabO16 - DPF: {33331111-1111-1111-1111-611111193458} - file://c:\ex.cabO16 - DPF: {43331111-1111-1111-1111-611111195622} - file://c:\ex.cabO16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cabO16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cabO16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cabO16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cabO16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game13.zylomgames.com/activex/zylomgamesplayer.cabO16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://game17.zylomgames.com/activex/zylomloader.cabO16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cabO17 - HKLM\System\CCS\Services\Tcpip\..\{CFDD0BFA-11A9-4BDF-90E1-9C74D5B36C1E}: NameServer = 217.19.192.131 217.19.192.132O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} - C:\WINDOWS\System32\vbsys2.dllO23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeO23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exeO23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exeO23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exeO23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus
avapsvc.exeO23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exeO23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus\SAVScan.exeO23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exeO23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exeO23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exeO23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exeJ'ai un problème avec dellater: lorsque je veux lancer l'application je reçois le message suivant : Usage: dellater.exe <filename> et je susi très nulle en anglais donc pour lire le read me =____= houlalalaLa commande cleanmgr ne me permet que de netooyer le disque C ou le disque C et non pas un dossier specifique donc je ne me suis pas lancée là dedans! en revanche j'ai vidé mon cache a l'aide de firefox.Pourtant je suis sensée avoir une très bonne protection antivirus (vive norton 2005 et son supeeeer firewall =____=)en tout cas mille merci pour votre aide c'est très gentil : )

tufs · Answer

rela  commande  cleanmgr  est  la  mellieur  maniere  de  nettoyer  ton  cache  internet   tu  effaces  tout  sauf  le  dossier  index  data  c  est  pourtant  simple  !!!

shinda · Answer

oui mais je ne peux pas selectionner de dossier specifique, je n'ai que deux options de nettoyage: lecteur C ou lecteur D

tufs · Answer

tu clique lecteur c puis dans la prochaine fenetre qui s affiche
tu clique sur fichier temporaire internet puis sur afficher et dans
la prochaine fenetre tu supprimes tout sauf index data
et tu vides ta corbeil et tu refait un scanne de RAV pour
verif ok .....

shinda · Answer

je t'assure que c'est seulement un nettoyage de disque, il veut compresser me sfichiers pour liberer 950ko d'espace voilà tout ...en aucun cas il ne me laisse le choix

tufs · Answer

si  tu  as  xp    tu  suis  la  procedure  de  A   a   Z     et  tu  ne  tarretes  pas  a  chaque  fois  va  jusqua  la  fin   SVP

Rumbacampus · Answer

Re

Va voir sur l'adresse que je t'ai donnée pour analyser ton log.
Si tu as besoin d'explications complémentaires va voir là aussi :
http://www.zebulon.fr/articles/HijackThis.php
Avant de fixer les lignes douteuses, il faudrait arrêter le processus lsass.exe qui correspond au fichier lsass.exe du répertoire C:\windows\system puis effacer le fichier . Ceci semble être significatif du virus RATSU.B qui est listé plus bas...
Te gourre pas, tu en as 2, le bon (dans system32) et le mauvais (dans system)
vbsys2.dll est significative du trojan horse cliker
Va voir là les symptomes dans ton log, fixe et efface vbsys2.dll
http://www.commentcamarche.net/forum/affich-1358007-Probleme-avec-TROJAN-HORSE-CLICKER-5-BF
Pour eclaicir les process et les programmes chargés au démarrage, télécharge starter là :
http://www.zdnet.fr/telecharger/windows/fiche/0,39021313,39068625s,00.htm
Ce programme te permettra de voir très exactement tout les process et les programmes chargés au démarrage avec plein d'info et aussi la possibilité d'interdire (de façon réversible) aux programmes douteux de se charger au démarrage de windows, ce qui te permettra peut-être de supprimer enfin les 4 fichiers m'.
Télécharge aussi process explorer là :
http://www.zdnet.fr/telecharger/windows/fiche/0,39021313,39057960s,00.htm
Ce programme te donnera des informations sur les dll chargées par les process.

@+

shinda · Answer

merci beaucoup  Rumbacampus je vais essayer ces nouvelles solutions! le fichier vbsys2.dll a été supprimé sans problème maispas  le fichier lsass.exe , on me dit qu'un programme doit utiliser ce truc.... :s donc impossible de l'enlever et mon pc refuse d'arreter le processus qu'il dit critique! :s çà me fais peur

shinda · Answer

c'est bon tes programmes m'ont permis de supprimer lsass.exe mais mon trojan lui est encore là T____________T

shinda · Answer

je crois ke je vais devoir formater                        =___________________________=

Se debarrasser de downloader.trojan

17 réponses

Discussions similaires

Newsletters