trojan

Question

bonjour a tous;
voila j ai un tit soucis de trojan !
antivir me detecte 51 detections du nom de TR/Agent.CS.1
des j ai allumer l ordi j ai ete bombardé de message d alertes et donc ja i du desactiver l antivirus pr pouvoir faire quelque chose !
ill le situe sur une dll <preuve a l appui:
11/05/2005,18:46:32 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
Unable to move the file to the quarantine directory:
0x00000020 - Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus.
11/05/2005,21:35:13 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,21:34:22 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,21:49:54 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,21:49:54 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,21:58:02 ---------------------------------------------------------
11/05/2005,21:58:02 [INIT] The AVGuard Service is starting.
11/05/2005,21:58:03 [INIT] Keyfile contains a valid license. The AVGuard service will run as a fully functional version!
11/05/2005,21:58:11 [LOGON] Connection request by remote computer. Establishing secure communication channel.
11/05/2005,21:58:11 [LOGON] Connection to computer 127.0.0.1 established successfully. Session ID = 0xaaaad6c9.
11/05/2005,21:59:06 [INFO] Start Filter Device.
11/05/2005,21:59:06 AntiVirService Version: 6.29.00.03 AVE Version 6.30.0.12 VDF Version: 6.30.0.170
11/05/2005,21:59:06 AVGuard has been started successfully!
11/05/2005,22:00:05 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
Unable to move the file to the quarantine directory:
0x00000020 - Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus.
11/05/2005,22:02:47 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:03:10 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:03:28 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:04:10 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
Unable to delete the file:
0x00000020 - Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus.
11/05/2005,22:04:52 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:10:39 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:30:43 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
Unable to move the file to the quarantine directory:
0x00000020 - Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus.
11/05/2005,22:31:18 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:31:59 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:32:09 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:32:37 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:32:50 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:33:09 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:33:25 [LOGON] Connection request by remote computer. Establishing secure communication channel.
11/05/2005,22:33:25 [LOGON] Connection to computer 127.0.0.1 established successfully. Session ID = 0xaa8a6aa2.
11/05/2005,22:33:22 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:33:56 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
Unable to move the file to the quarantine directory:
0x00000020 - Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus.
11/05/2005,22:34:05 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:34:16 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
Unable to move the file to the quarantine directory:
0x00000020 - Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus.
11/05/2005,22:34:22 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
Unable to move the file to the quarantine directory:
0x00000020 - Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus.
11/05/2005,22:34:24 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:34:34 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:34:49 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:34:58 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:35:07 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
Unable to move the file to the quarantine directory:
0x00000020 - Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus.
11/05/2005,22:35:14 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:35:29 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:35:45 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:35:54 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:36:08 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:36:22 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:36:42 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:36:58 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:37:11 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:37:25 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:37:40 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:37:48 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:37:59 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:38:09 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:38:27 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:38:38 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
Unable to move the file to the quarantine directory:
0x00000020 - Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus.
11/05/2005,22:39:01 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:39:11 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
Unable to delete the file:
0x00000020 - Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus.
11/05/2005,22:39:26 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:39:36 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
Unable to move the file to the quarantine directory:
0x00000020 - Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus.
11/05/2005,22:40:15 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:40:17 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:40:20 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:40:23 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:40:25 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:40:29 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL
11/05/2005,22:40:52 [INFO] Stop Filter Device.
11/05/2005,22:40:45 WARNING: The Trojan horse TR/Agent.CS.1!
C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL

Impossible de supprimer cette dll en mode normal ! j ai pas encore essayer en mode sans echec ! en mode normal voici le message;:
impossiblee de supprimer cmdlog cette ressource est utilisée par une autre personne ou un autre programme ! quelqu un est connecté a mon pc? que faire svp merci

Afficher la suite

Nini · Answer

svp, vs savez pas?

petit-pere · Answer

je n'ai rien trouvé sur ce virus, ni sur google ni sur les sites de différents éditeurs d'antivirus dont antivir.de ... ce qui ne veut pas dire que c'est de la daube, loin de là

donc je propose de redémarrer en mode sans échec et de virer le fichier C:\WINDOWS\SERVICEPACKFILES\CMDLOG.DLL

ne pas oublier de réactiver antivir

ce serait aussi utile de lancer un scan avec hijackthis et de le poster ici pour vérification

bon courage

Nini · Answer

Salut,merci de mre repondre ! pour ce qui est de le supprimer en mode sans echec, tjr pareils tjr le meme message !Pour le log, apparemment le voila a la ligne 020 qu en penses tu?Logfile of HijackThis v1.99.1Scan saved at 17:01:04, on 12/05/2005Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\System32\Ati2evxx.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\Program Files\AVPersonal\AVGUARD.EXEC:\PROGRA~1\FICHIE~1\AOL\ACS\AOLacsd.exeC:\Program Files\AVPersonal\AVWUPSRV.EXEC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\Ati2evxx.exeC:\WINDOWS\system32\ZoneLabs\vsmon.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\wanmpsvc.exeC:\windows\system\hpsysdrv.exeC:\Program Files\HP\Digital Imaging\Unload\hpqcmon.exeC:\WINDOWS\System32\hphmon05.exeC:\HP\KBD\KBD.EXEC:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeC:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exeC:\Program Files\Real\RealPlayer\RealPlay.exeC:\PROGRA~1\TECHCI~1\AOLSAV\AOLAgent.exeC:\Program Files\Fichiers communs\AOL\ACS\AOLDial.exeC:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exeC:\Program Files\QuickTime\qttask.exeC:\Program Files\AVPersonal\AVSched32.EXEC:\PROGRA~1\FICHIE~1\AOL\AOLSPY~1\AOLSP Scheduler.exeC:\Program Files\Zone Labs\ZoneAlarm\zlclient.exeC:\Program Files\AVPersonal\AVGNT.EXEC:\PROGRA~1\HPPAVI~1\Pavilion\XPHWWBP4\plugin\bin\PCHButton.exeC:\WINDOWS\system32\ctfmon.exeC:\Program Files\Messenger\msmsgs.exeC:\Program Files\AOL 9.0a\waol.exeC:\Program Files\Fichiers communs\Aol\aoltpspd.exeC:\Program Files\AOL 9.0a\shellmon.exeC:\Program Files\MSN Apps\Updater\01.02.3000.1001\fr\msnappau.exeC:\DOCUME~1\PROPRI~1\LOCALS~1\Temp\Répertoire temporaire 1 pour hijackthis_199.zip\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://fr10.hpwis.com/R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://srch-fr10.hpwis.com/R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr10.hpwis.com/R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.fr/R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dllO2 - BHO: MSEvents Object - {44240BB5-BD7D-4D49-A1AA-8AB0F3D3CB44} - C:\WINDOWS\ServicePackFiles\cmdlog.dllO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dllO3 - Toolbar: AOL Toolbar - {4982D40A-C53B-4615-B15B-B5B5E98D167C} - C:\Program Files\AOL Toolbar	oolbar.dllO3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dllO4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exeO4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exeO4 - HKLM\..\Run: [CamMonitor] c:\Program Files\HP\Digital Imaging\Unload\hpqcmon.exeO4 - HKLM\..\Run: [HPHUPD05] c:\Program Files\HP\{45B6180B-DCAB-4093-8EE8-6164457517F0}\hphupd05.exeO4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\System32\hphmon05.exeO4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXEO4 - HKLM\..\Run: [UpdateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /rO4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXEO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded /nodetectO4 - HKLM\..\Run: [VTTimer] VTTimer.exeO4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exeO4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exeO4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeO4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exeO4 - HKLM\..\Run: [RealTray] C:\Program Files\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYERO4 - HKLM\..\Run: [AOLSAV] C:\PROGRA~1\TECHCI~1\AOLSAV\AOLAgent.exeO4 - HKLM\..\Run: [AOLDialer] C:\Program Files\Fichiers communs\AOL\ACS\AOLDial.exeO4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe" /iconO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [AVSCHED32] C:\Program Files\AVPersonal\AVSched32.EXE /minO4 - HKLM\..\Run: [AOL Spyware Protection] "C:\PROGRA~1\FICHIE~1\AOL\AOLSPY~1\AOLSP Scheduler.exe"O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /minO4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHookO4 - HKCU\..\Run: [BackupNotify] c:\Program Files\HP\Digital Imaging\bin\backupnotify.exeO4 - HKCU\..\Run: [Acme.PCHButton] C:\PROGRA~1\HPPAVI~1\Pavilion\XPHWWBP4\plugin\bin\PCHButton.exeO4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exeO4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /backgroundO4 - Global Startup: AOL 8.0 Icône AOL.lnk = C:\Program Files\AOL 8.0c\aoltray.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXEO9 - Extra button: AOL Toolbar - {4982D40A-C53B-4615-B15B-B5B5E98D167C} - C:\Program Files\AOL Toolbar	oolbar.dllO9 - Extra 'Tools' menuitem: AOL Toolbar - {4982D40A-C53B-4615-B15B-B5B5E98D167C} - C:\Program Files\AOL Toolbar	oolbar.dllO9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dllO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall-beta.trendmicro.com/housecall/xscan60.cabO16 - DPF: {31DDC1FD-CEA3-4837-A6DC-87E67015ADC9} - http://akamai.downloadv3.com/binaries/IA/svcsysnet32_FR_XP.cabO16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cabO16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cabO16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cabO16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cabO17 - HKLM\System\CCS\Services\Tcpip\..\{1B3D55E8-2565-4A51-A094-32EBFF549A5F}: NameServer = 205.188.146.145O20 - Winlogon Notify: cmdlog - C:\WINDOWS\ServicePackFiles\cmdlog.dllO23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXEO23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\PROGRA~1\FICHIE~1\AOL\ACS\AOLacsd.exeO23 - Service: AOL Spyware Protection Service (AOLService) - Unknown owner - C:\Program Files\Fichiers communs\AOL\AOL Spyware Protection\aolserv.exeO23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exeO23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXEO23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exeO23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exeO23 - Service: WAN Miniport (ATW) Service (WANMiniportService) - America Online, Inc. - C:\WINDOWS\wanmpsvc.exePS: j ai antivir, ad aware, spybot, zone alarme et chaos shreddera+

Utilisateur anonyme · Answer

salut nini

ton trojan agent cs est aussi appelé vundo b, vundo h et il n'est pas facile a virer.

Plusieurs méthodes pour le virer, la plus simple mais qui ne marche pas tout le temps c'est le fix de symantec:
http://securityresponse.symantec.com/avcenter/FxVundoB.exe

* Désactive la restauration systeme
Clic droit sur poste de travail > propriétés > onglet restauration système
puis cocher "désactiver la restauration système".
(accepte le redemarrage).

* Redemarre en mode sans echecs
Laisse passer l'écran du bios, puis tapote sur la touche F8.
Choisis le mode sans échec dans les options et valide avec entrée.

* Lance FxVundoB.exe

* Redemarre normallement

* Relance une seconde fois FxVundoB.exe

Reposte un log hijackthis, et si ca n'a pas marché on essayera autre chose

a+

Utilisateur anonyme · Answer

juste une question auparavant, ne suffit il pas juste de supprimer la 020? est ce vraiment vundo?a+

Nini · Answer

Bonjour,j ai voulu essayer en premier lieu de le lancer en mode normal(le fix)mais il n a pas trouver de trojan vundoQue puis je faire svp? supprimer la ligne 020?J espere avoir de vos nouvelles

Utilisateur anonyme · Answer

salut nini

supprimer la ligne 20 ne sera pas suffisant.
Ca ne m'étonne qu'a moitié que le fix n'est rien detecté, beaucoup on eut le meme probleme.

On peut le supprimer autrement, mais tu dois suivre la manip suivante dans l'ordre, et faire tout ce qui est indiquée.

Imprime, ou enregistre dans le bloc note pour ne rien oublier

Désactive la restauration systeme
Clic droit sur poste de travail > propriétés > onglet restauration système
puis cocher "désactiver la restauration système".

et reboot le pc normalement (pas en sans echecs)

1/

telecharge process xp ici:
http://www.sysinternals.com/files/procexpnt.zip

Telecharge: Pocket Killbox ici
http://www.downloads.subratam.org/KillBox.exe

Désactive le temps de la manip, le Tea timer de spybot
lance spybot >> outils >> résident
Décoche la case résident "tea timer"
referme spybot

2/

Déconnecte toi du net.
Ferme tous les programmes en cours (média player, internet explorer, ...etc)

Dézippe(clic droit > extraire) process xp et double clic sur processxp.exe

* Dans la fenetre principale de processxp double clic sur winlogon.exe
Dans la nouvelle fenetre qui s'ouvre clic sur threads
selectionne seulement les lignes qui contiennent cmdlog.dll puis clic sur kill pour chacunes des lignes trouvées.
une fois fait, valider avec ok

* Dans la fenetre principale de processxp double clic sur explorer.exe
Dans la nouvelle fenetre qui s'ouvre clic sur threads
selectionner seulement les lignes qui contiennent cmdlog.dll puis clic sur kill pour chacunes des lignes trouvées.
une fois fait, valider avec ok

3/

puis lancer hijackthis:

clic sur "do a system scan only"

* Cocher la case au début de ces lignes:
O2 - BHO: MSEvents Object - {44240BB5-BD7D-4D49-A1AA-8AB0F3D3CB44} - C:\WINDOWS\ServicePackFiles\cmdlog.dll
O20 - Winlogon Notify: cmdlog - C:\WINDOWS\ServicePackFiles\cmdlog.dll

* Valider avec fix checked

5/

Double clic sur killbox.exe (Pocket Killbox)

- coche: delete on reboot
- Dans "Full Path of File to Delete"
copie et colle:

C:\WINDOWS\ServicePackFiles\cmdlog.dll

- clic sur la croix rouge
- une fenetre va apparaitre pour confirmation clic sur YES
- une seconde fenetre te demande si tu veux redemarrer clic sur YES

Laisse le pc redemarrer
recoche la case pour réactiver le tea timer de spybot
et après reposte un log hijackthis.

a+

Nini · Answer

re mon cher moe,1/voici mon log apres les manips extremement chirurgicale:Logfile of HijackThis v1.99.1Scan saved at 20:02:31, on 12/05/2005Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\System32\Ati2evxx.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\Program Files\AVPersonal\AVGUARD.EXEC:\PROGRA~1\FICHIE~1\AOL\ACS\AOLacsd.exeC:\Program Files\AVPersonal\AVWUPSRV.EXEC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\ZoneLabs\vsmon.exeC:\WINDOWS\system32\Ati2evxx.exeC:\WINDOWS\wanmpsvc.exeC:\WINDOWS\Explorer.EXEC:\windows\system\hpsysdrv.exeC:\Program Files\HP\Digital Imaging\Unload\hpqcmon.exeC:\WINDOWS\System32\hphmon05.exeC:\HP\KBD\KBD.EXEC:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeC:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exeC:\Program Files\Real\RealPlayer\RealPlay.exeC:\PROGRA~1\TECHCI~1\AOLSAV\AOLAgent.exeC:\Program Files\Fichiers communs\AOL\ACS\AOLDial.exeC:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exeC:\Program Files\QuickTime\qttask.exeC:\Program Files\AVPersonal\AVSched32.EXEC:\PROGRA~1\FICHIE~1\AOL\AOLSPY~1\AOLSP Scheduler.exeC:\Program Files\Zone Labs\ZoneAlarm\zlclient.exeC:\Program Files\AVPersonal\AVGNT.EXEC:\PROGRA~1\HPPAVI~1\Pavilion\XPHWWBP4\plugin\bin\PCHButton.exeC:\WINDOWS\system32\ctfmon.exeC:\Program Files\Messenger\msmsgs.exeC:\Program Files\Spybot - Search & Destroy\TeaTimer.exeC:\Program Files\AOL 9.0a\waol.exeC:\Program Files\AOL 9.0a\shellmon.exeC:\Program Files\Fichiers communs\Aol\aoltpspd.exeC:\DOCUME~1\PROPRI~1\LOCALS~1\Temp\Répertoire temporaire 4 pour hijackthis_199.zip\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://fr10.hpwis.com/R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://srch-fr10.hpwis.com/R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr10.hpwis.com/R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.fr/R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dllO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dllO3 - Toolbar: AOL Toolbar - {4982D40A-C53B-4615-B15B-B5B5E98D167C} - C:\Program Files\AOL Toolbar	oolbar.dllO3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dllO4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exeO4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exeO4 - HKLM\..\Run: [CamMonitor] c:\Program Files\HP\Digital Imaging\Unload\hpqcmon.exeO4 - HKLM\..\Run: [HPHUPD05] c:\Program Files\HP\{45B6180B-DCAB-4093-8EE8-6164457517F0}\hphupd05.exeO4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\System32\hphmon05.exeO4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXEO4 - HKLM\..\Run: [UpdateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /rO4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXEO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded /nodetectO4 - HKLM\..\Run: [VTTimer] VTTimer.exeO4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exeO4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exeO4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeO4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exeO4 - HKLM\..\Run: [RealTray] C:\Program Files\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYERO4 - HKLM\..\Run: [AOLSAV] C:\PROGRA~1\TECHCI~1\AOLSAV\AOLAgent.exeO4 - HKLM\..\Run: [AOLDialer] C:\Program Files\Fichiers communs\AOL\ACS\AOLDial.exeO4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe" /iconO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [AVSCHED32] C:\Program Files\AVPersonal\AVSched32.EXE /minO4 - HKLM\..\Run: [AOL Spyware Protection] "C:\PROGRA~1\FICHIE~1\AOL\AOLSPY~1\AOLSP Scheduler.exe"O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /minO4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHookO4 - HKCU\..\Run: [BackupNotify] c:\Program Files\HP\Digital Imaging\bin\backupnotify.exeO4 - HKCU\..\Run: [Acme.PCHButton] C:\PROGRA~1\HPPAVI~1\Pavilion\XPHWWBP4\plugin\bin\PCHButton.exeO4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exeO4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /backgroundO4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exeO4 - Global Startup: AOL 8.0 Icône AOL.lnk = C:\Program Files\AOL 8.0c\aoltray.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXEO9 - Extra button: AOL Toolbar - {4982D40A-C53B-4615-B15B-B5B5E98D167C} - C:\Program Files\AOL Toolbar	oolbar.dllO9 - Extra 'Tools' menuitem: AOL Toolbar - {4982D40A-C53B-4615-B15B-B5B5E98D167C} - C:\Program Files\AOL Toolbar	oolbar.dllO9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dllO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall-beta.trendmicro.com/housecall/xscan60.cabO16 - DPF: {31DDC1FD-CEA3-4837-A6DC-87E67015ADC9} - http://akamai.downloadv3.com/binaries/IA/svcsysnet32_FR_XP.cabO16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cabO16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cabO16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cabO16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cabO17 - HKLM\System\CCS\Services\Tcpip\..\{1B3D55E8-2565-4A51-A094-32EBFF549A5F}: NameServer = 205.188.146.145O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXEO23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\PROGRA~1\FICHIE~1\AOL\ACS\AOLacsd.exeO23 - Service: AOL Spyware Protection Service (AOLService) - Unknown owner - C:\Program Files\Fichiers communs\AOL\AOL Spyware Protection\aolserv.exeO23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exeO23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXEO23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exeO23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exeO23 - Service: WAN Miniport (ATW) Service (WANMiniportService) - America Online, Inc. - C:\WINDOWS\wanmpsvc.exe2/J ai reactuiver ma restauration systeme, ai je bien fait?3/Pour le tea timer de spybot, avant cela la case n etait pas cocher, dois je la laisser? si je comprends il effectue des controle en tant reel, alors ma question est, etant donné j ai zone alarm, dois je cocher ou decocher tea timerMerci de tes precieux conseils, je te revaudrais ca lola++

Utilisateur anonyme · Answer

salut nini

Désolé pour les manips mais il est vraiment très dur à supprimer sinon, et le simple fait de fixer avec hijackthis ne suffit pas...

Je ne le vois plus dans ton log, est ce que tu recois encores des alertes de ton antivirus ?
Pour la restau tu as bien fais.
Par contre à ma connaissance, pas de probleme avec le tea timer de spybot et ton firewall, après c'est toi qui vois si tu veux l'activer ou pas, mais ca serait dommage de se passer de cette fonction de spybot.

Tu peux aussi cocher et fixer cette ligne dans hijack:

O16 - DPF: {31DDC1FD-CEA3-4837-A6DC-87E67015ADC9} - http://akamai.downloadv3.com/binaries/IA/svcsysnet32_FR_XP.cab

elle m'avait échappé tout à l'heure.. lol

a++

Nini · Answer

Merci moe, franchement tu as assurer grave,
je n ai plus aucunes alertes concernant ceci !
pour spybot je vais le garder alors et si j ai qqs soucis avec mon pare feu je le desactiverais !
merci pour cette ligne a fixer

jte dois une fier chandelle, cela avait qd meme passer a travers zone alarm.....

Merci bcp

a+

Utilisateur anonyme · Answer

salut moe,en un mot: remarquable !dis moi la manip faite au dessu c est a utiliser ds quel cas? lorsque une dll  doit etre supprimé?a++

Utilisateur anonyme · Answer

salut regis

C'est pour vundo B, H, agent cs, en fait c'est tous les trois les memes.
Mais il vaut mieux en premier utiliser le fix de symantec, vu que la manip comporte un risque si on "kill" les mauvaise lignes.
En fait impossible de supprimer la dll tant que explorer.exe et winlogon.exe sont actifs meme en mode sans echec.
Process xp, c'est un gestionnaire des taches amélioré qui permet de killer juste ce qu'il faut pour pouvoir supprimer le fichier sans avoir à arreter les 2 procéssus car sinon on peut plus rien faire.
Balltrap obtient le meme résultat avec lm2fix.
J'utilise process xp depuis quelques temps mais j'avoue que je ne connaissais pas cette manip, prise sur le forum du site geekstogo.

voilà

a+

Utilisateur anonyme · Answer

Merci chef, je retiens ! lol merci pour le cours

petit-pere · Answer

Bravo aussi de ma part et merci pour le cours ...

solo · Answer

bonjour,
j'ai le même problème que nini et je suis désespérée... J'ai antivir qui me détecte à tout moment un trojan :

C:/windows/SRUN.DLL
Trojan horse TR\Agent.CS.1

J'ai essayé symantec sans aucun résultat et je voulais faire les autres manip donnés par moe mais j'ai peur...je ne suis pas douée... je ne comprends pas qu'est-ce que le hijackthis... J'ai peur de faire une mauvaise manip mais d'un autre côté, j'aimerais l'essayer car j'ai vu que pour nini tout était rentré dans l'ordre. J'ai un travail important à terminer pour lundi et j'aimerais pouvoir travailler sur mon ordi ce week-end. J'attends impatiamment vos réponses.

Vous êtes le seul forum français que j'ai trouvé en faisant une recherche sur TR\Agent.CS.1

Une désespérée :(((

Utilisateur anonyme · Answer

ok super tu es la bienvenue;

pour hijack:
télécharge hijackthis ici:
http://www.hijackthis.de/downloads/hijackthis_199.zip
L'aide est ici:
http://www.zebulon.fr/articles/HijackThis.php

Dezippz le dans un dossier prévu a cet effet.
Par exemple C:\hijackthis
lancez le puis:
clic sur "do a system scan and save logfile"
faire un copier coller du log entier sur le forum.

*pour moe:
dis moi le procede que tu as donner a nini, je peux faire de meme mais juste en rapplacement la dll de nini par une autre infecté?tu piges? si je remplace la dll de nini par celle de solo, est ce la solution stp?? < comme ca je pourrais le faire ici et sur l autre poste

a+moe

solo · Answer

d'abord un grand merci regis59 d'avoir répondu :) C'est très gentil, je l'apprécie :)Voici ce que j'ai :Logfile of HijackThis v1.99.1Scan saved at 11:12:27, on 2005-05-13Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\system32\spoolsv.exeC:\Program Files\QuickTime\qttask.exeC:\Program Files\Java\j2re1.4.2_05\bin\jusched.exeC:\Program Files\NetDrive
etdrive.exeC:\WINDOWS\System32\LVCOMSX.EXEC:\Program Files\Logitech\Video\LogiTray.exeC:\WINDOWS\System32\ctfmon.exeC:\Program Files\Zone Labs\ZoneAlarm\zonealarm.exeC:\PROGRA~1\INCRED~1\bin\IMApp.exeC:\Program Files\Logitech\Video\FxSvr2.exeC:\Program Files\AVPersonal\AVWUPSRV.EXEC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\ZONELABS\vsmon.exeC:\Program Files\NetDrive\wdService.exeC:\Program Files\Internet Explorer\iexplore.exeC:\Program Files\AVPersonal\AVGUARD.EXEC:\HijackThis.exeC:\PROGRA~1\INCRED~1\bin\ImNotfy.exeR1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.google.fr/keyword/%sR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr/ieR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.frR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://webmasterofgoldanddiamonds.com/R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.fr/ie_rsearch.htmlR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = CaroR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: MSEvents Object - {44240BB5-BD7D-4D49-A1AA-8AB0F3D3CB44} - C:\WINDOWS\srun.dllO2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocxO3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dllO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_05\bin\jusched.exeO4 - HKLM\..\Run: [WebDriveTray] C:\Program Files\NetDrive
etdrive.exe /trayiconO4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\System32\LVCOMSX.EXEO4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exeO4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exeO4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /minO4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exeO4 - HKCU\..\Run: [IncrediMail] C:\Program Files\IncrediMail\bin\IncMail.exe /cO4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimizedO4 - Startup: Äµµð¹Ù À©µµ¿ì ½Ã°è.lnk = ?O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXEO4 - Global Startup: Photo Express SE Calendar Checker.lnk = D:\Ulead Photo Express 3.0 SE\CalCheck.exeO4 - Global Startup: ZoneAlarm.lnk = C:\Program Files\Zone Labs\ZoneAlarm\zonealarm.exeO4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exeO8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\binesources\WebMenuImg.htmO8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.htmlO8 - Extra context menu item: Backward Links - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.htmlO8 - Extra context menu item: Cached Snapshot of Page - res://c:\program files\google\GoogleToolbar2.dll/cmcache.htmlO8 - Extra context menu item: Ouvrir le cadre dans une nouvelle fenêtre - file://C:\WINDOWS\web
vcadre.htmlO8 - Extra context menu item: Similar Pages - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.htmlO8 - Extra context menu item: Translate into English - res://c:\program files\google\GoogleToolbar2.dll/cmtrans.htmlO9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_05\bin
pjpi142_05.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_05\bin
pjpi142_05.dllO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall-beta.trendmicro.com/housecall/xscan60.cabO16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://groups.msn.com/controls/PhotoUC/MsnPUpld.cabO16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO16 - DPF: {C3DFA998-A486-11D4-AA25-00C04F72DAEB} (MSN Photo Upload Tool) - http://sc.groups.msn.com/controls/PhotoUC/MsnPUpld.cabO16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup/downloader_sp1/imloader.cabO16 - DPF: {F5192746-22D6-41BD-9D2D-1E75D14FBD3C} - http://216.65.38.226/crack.CABO20 - Winlogon Notify: srun - C:\WINDOWS\srun.dllO23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXEO23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXEO23 - Service: Macromedia Licensing Service - Macromedia - C:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exeO23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZONELABS\vsmon.exeO23 - Service: WebDrive Service (WebDriveService) - Unknown owner - C:\Program Files\NetDrive\wdService.exeJ'attends...a+

Utilisateur anonyme · Answer

salut solo,je te tiens au courant, je voudrais d abord me renseigner pr pouvoir t aider !!je te tiens au courant ! Promisa+

solo · Answer

j'attendrai et merci de prendre de ton temps pour moi :)

Utilisateur anonyme · Answer

merci moe mais je voulais savoir en fait si la manip avec explorer.exe et winlogon.exe c etait pareil, juste e,n changeant les lignes hijack bien sur et la dll? merci d avance

(de + en + se plaigne de ce soucis, au moins je serais le faire et grace a toi en plus !! lol)

Utilisateur anonyme · Answer

oui, mais détaille bien la procédure (avec process xp).a+

Utilisateur anonyme · Answer

ok super moe, on fait une bonne equipe tu trouve pas?? lolje vais reprendre ton model !! pas folle la guepe !! lolBon courage moe et a +++

Utilisateur anonyme · Answer

coucou,Imprime, ou enregistre dans le bloc note pour ne rien oublier Désactive la restauration systeme Clic droit sur poste de travail > propriétés > onglet restauration système puis cocher "désactiver la restauration système". et reboot le pc normalement (pas en sans echecs) 1/ telecharge process xp ici: http://www.sysinternals.com/files/procexpnt.zip Telecharge: Pocket Killbox ici http://www.downloads.subratam.org/KillBox.exe Désactive le temps de la manip, le Tea timer de spybot (si tu l as)lance spybot >> outils >> résident Décoche la case résident "tea timer" referme spybot 2/ Déconnecte toi du net. Ferme tous les programmes en cours (média player, internet explorer, ...etc) Dézippe(clic droit > extraire) process xp et double clic sur processxp.exe * Dans la fenetre principale de processxp double clic sur winlogon.exe Dans la nouvelle fenetre qui s'ouvre clic sur threads selectionne seulement les lignes qui contiennent srun.dll puis clic sur kill pour chacunes des lignes trouvées. une fois fait, valider avec ok * Dans la fenetre principale de processxp double clic sur explorer.exe Dans la nouvelle fenetre qui s'ouvre clic sur threads selectionner seulement les lignes qui contiennent srun.dll puis clic sur kill pour chacunes des lignes trouvées. une fois fait, valider avec ok 3/puis lancer hijackthis: clic sur "do a system scan only" * Cocher la case au début de ces lignes: O2 - BHO: MSEvents Object - {44240BB5-BD7D-4D49-A1AA-8AB0F3D3CB44} - C:\WINDOWS\srun.dll O20 - Winlogon Notify: srun - C:\WINDOWS\srun.dll* Valider avec fix checked 5/ Double clic sur killbox.exe (Pocket Killbox) - coche: delete on reboot - Dans "Full Path of File to Delete" copie et colle:  C:\WINDOWS\srun.dll (ou recherche grace a l explorateur)- clic sur la croix rouge - une fenetre va apparaitre pour confirmation clic sur YES - une seconde fenetre te demande si tu veux redemarrer clic sur YES Laisse le pc redemarrer recoche la case pour réactiver le tea timer de spybot reactive en decochant la case de la restauration systemeet après reposte un log hijackthis. a+

solo · Answer

coucou regis59 :)Youppi, je crois que c'est tout bon...enfin je croise les doigts.Voici mon log de hijackthis :Logfile of HijackThis v1.99.1Scan saved at 12:41:30, on 2005-05-13Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\Explorer.EXEC:\Program Files\QuickTime\qttask.exeC:\Program Files\Java\j2re1.4.2_05\bin\jusched.exeC:\Program Files\NetDrive
etdrive.exeC:\WINDOWS\System32\LVCOMSX.EXEC:\Program Files\Logitech\Video\LogiTray.exeC:\Program Files\AVPersonal\AVGNT.EXEC:\WINDOWS\System32\ctfmon.exeD:\Ulead Photo Express 3.0 SE\CalCheck.exeC:\PROGRA~1\INCRED~1\bin\IMApp.exeC:\Program Files\Zone Labs\ZoneAlarm\zonealarm.exeC:\Program Files\Logitech\Video\FxSvr2.exeC:\Program Files\AVPersonal\AVGUARD.EXEC:\Program Files\AVPersonal\AVWUPSRV.EXEC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\ZONELABS\vsmon.exeC:\Program Files\NetDrive\wdService.exeC:\WINDOWS\System32\wuauclt.exeC:\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.google.fr/keyword/%sR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr/ieR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.frR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://webmasterofgoldanddiamonds.com/R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.fr/ie_rsearch.htmlR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = CaroR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocxO3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dllO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_05\bin\jusched.exeO4 - HKLM\..\Run: [WebDriveTray] C:\Program Files\NetDrive
etdrive.exe /trayiconO4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\System32\LVCOMSX.EXEO4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exeO4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exeO4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /minO4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exeO4 - HKCU\..\Run: [IncrediMail] C:\Program Files\IncrediMail\bin\IncMail.exe /cO4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimizedO4 - Startup: Äµµð¹Ù À©µµ¿ì ½Ã°è.lnk = ?O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXEO4 - Global Startup: Photo Express SE Calendar Checker.lnk = D:\Ulead Photo Express 3.0 SE\CalCheck.exeO4 - Global Startup: ZoneAlarm.lnk = C:\Program Files\Zone Labs\ZoneAlarm\zonealarm.exeO4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exeO8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\binesources\WebMenuImg.htmO8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.htmlO8 - Extra context menu item: Backward Links - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.htmlO8 - Extra context menu item: Cached Snapshot of Page - res://c:\program files\google\GoogleToolbar2.dll/cmcache.htmlO8 - Extra context menu item: Ouvrir le cadre dans une nouvelle fenêtre - file://C:\WINDOWS\web
vcadre.htmlO8 - Extra context menu item: Similar Pages - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.htmlO8 - Extra context menu item: Translate into English - res://c:\program files\google\GoogleToolbar2.dll/cmtrans.htmlO9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_05\bin
pjpi142_05.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_05\bin
pjpi142_05.dllO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall-beta.trendmicro.com/housecall/xscan60.cabO16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://groups.msn.com/controls/PhotoUC/MsnPUpld.cabO16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO16 - DPF: {C3DFA998-A486-11D4-AA25-00C04F72DAEB} (MSN Photo Upload Tool) - http://sc.groups.msn.com/controls/PhotoUC/MsnPUpld.cabO16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup/downloader_sp1/imloader.cabO16 - DPF: {F5192746-22D6-41BD-9D2D-1E75D14FBD3C} - http://216.65.38.226/crack.CABO23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXEO23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXEO23 - Service: Macromedia Licensing Service - Macromedia - C:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exeO23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZONELABS\vsmon.exeO23 - Service: WebDrive Service (WebDriveService) - Unknown owner - C:\Program Files\NetDrive\wdService.exeJ'attend le verdict...a+

solo · Answer

je veux vous remercier du fond du coeur !  C'est rare qu'on trouve des gens aussi sympas et dévoués de nos jours sur internet!  C'est la première fois que je viens sur ce forum et je suis ravie de l'avoir trouvée.Merci spécial à regis et moe, j'espère que vous me lirez...j'ai fait deux petites animations...c'est rien du tout mais c'est de bon coeur, je suis tellement contente que mon pc soit de nouveau fonctionnel !http://solosolo.site.voila.fr/moe.gif  (merci moe)http://solosolo.site.voila.fr/regis.gif (merci regis)A bientôt,solo :))

Utilisateur anonyme · Answer

salut !!Merci du bon fond du coeur mais toutes ces manips viennent de moe !! lol je n ai fait qu appliquer sa methode !Merci pour ce lien, c est super !!Vous etes debarrassée de ce trojan, je n ai pas le matos sous la main mais je ppense vous pouvez fixer ceci aussi :O4 - Startup: Äµµð¹Ù À©µµ¿ì ½Ã°è.lnk = ? R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.google.fr/keyword/%s PS: ceci:http://webmasterofgoldanddiamonds.com/  c est votre site??a+

Utilisateur anonyme · Answer

salut solomerci pour le gif, c'est vraiment sympa de ta part.Pour la méthode, elle ne viens pas de moi, je n'ai fais que la reprendre.à bientot, mais pas trop vite quand meme ;-)a+

solo · Answer

Vous etes debarrassée de ce trojan, je n ai pas le matos sous la main mais je ppense vous pouvez fixer ceci aussi : O4 - Startup: Äµµð¹Ù À©µµ¿ì ½Ã°è.lnk = ? R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.google.fr/keyword/%s PS: ceci: http://webmasterofgoldanddiamonds.com/ c est votre site?? merci regis, je vais voir ça ;)pour la question en p.s.  oui :)Bye. Bye.Encore merci :)

Utilisateur anonyme · Answer

re moi,desole de poser cette question:as tu deja consulter des sites X?en tout cas fix ces 2 la deja:O4 - Startup: Äµµð¹Ù À©µµ¿ì ½Ã°è.lnk = ? R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.google.fr/keyword/%s puis recolle un log mais tu as deja consulter toi ou qqun d autre?a+ (soit pas gene)

balltrap34 · Answer

saluta tous j ai lu quelque part qu il faut passer le fix en mode sans echec et en veillent a desactiver norton et la restauration

Utilisateur anonyme · Answer

oui, mais apparement ca marche pas a tout les coups, erreur de manips ou fix fait dans l'urgence, je sais pas.C'est comme avec nail.exe, sur un post, croyant lui faire sa fete avec lm2fix qui pourtant donne de bon résultats et ben non, plus dur que prévu lolhttp://www.commentcamarche.net/forum/affich-1504975-ipassist-biz-et-autres-pbs-SCAN-HIJACKING#55a+

balltrap34 · Answer

oui j ai vu le post ou tu la zapper avec find it bien jouer

Utilisateur anonyme · Answer

oui, mais j'ai bien cru ne pas y arriverHeureusement qu'il y a des gens qui font des log comme find it, car ca devient pour certain trojans de plus en plus complexe à virer juste avec hijack.a+

balltrap34 · Answer

oui j aimerais bien etre a leur niveaux lolj ai un amis qui fait de la programation en pro mais il a jamais le temp dur dur

Utilisateur anonyme · Answer

moi aussi j'aimerais bien, mais doit falloir du temp pour apprendre, meme pour un bat, ca demande quand meme de connaitre un minimum de chose sur les commandes employéés.sur ce, j'arrete pour ce soir...a+

balltrap34 · Answer

oui il faut connaitre deja le dos pour commencer et c est que le debut lol re lol

fushia · Answer

Bonsoir à vous puis-je vous aider si vous le souhaitez concernant votre problème de ce virus trojan moi aussi je vis la meme chose depuis une semaine et la je fini justement un programe qui a bien fonctionné a+

Utilisateur anonyme · Answer

coucou fushia (tres beau) télécharge hijackthis ici: http://www.hijackthis.de/downloads/hijackthis_199.zip L'aide est ici: http://www.zebulon.fr/articles/HijackThis.php Dezippz le dans un dossier prévu a cet effet. Par exemple C:\hijackthis lancez le puis: clic sur "do a system scan and save logfile" faire un copier coller du log entier sur le forum. a+

Utilisateur anonyme · Answer

mince j ai lu trop vite lolvous pouvez plus vous explicité svp loldesole jme suis trompé je pensais voyus aviez pareille, desole

Trojan

39 réponses

Votre réponse

Discussions similaires

Newsletters