TR/Downloader.Gen \~temp\mlp75\mdm.exe

OldNickeuh -  
 JaZZ -
Bonjour,
Avira AntiVir détecte le cheval de Troie TR/Downloader.Gen dans le dossier
C:\Users\OldNickeuh\Local\Temp\~temp\mlp75\mdm.exe
et rien n'a faire, AntiVir ne veut pas le supprimer défénitivement. Et Malwarebytes' Anti-Malware n'y change pas grand chose j'ai l'impression. Je suis sous Windows 7. Si quelqu'un peut m'aider svp !
Voilà mon rapport HijackThis :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:57:32, on 21/11/2009
Platform: Unknown Windows (WinNT 6.01.3004)
MSIE: Internet Explorer v8.00 (8.00.7100.0000)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Winamp\winampa.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Windows\system32\taskhost.exe
C:\Users\OldNickeuh\Local Settings\APPLIC~1\MICROS~1\dllhst3g.exe
C:\Windows\system32\wuauclt.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Avira\AntiVir Desktop\GUARDGUI.EXE
C:\Program Files\Avira\AntiVir Desktop\GUARDGUI.EXE
C:\Users\OldNickeuh\Desktop\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
F3 - REG:win.ini: load=C:\Users\OLDNIC~1\AppData\Roaming\MICROS~1\spoolsv.exe
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: MegaIEMn - {bf00e119-21a3-4fd1-b178-3b8537e75c92} - C:\Program Files\Megaupload\Mega Manager\MegaIEMn.dll
O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\winampa.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Windows\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [Malwarebytes Anti-Malware (reboot)] "C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Policies\Explorer\Run: [DllHst] C:\Users\OLDNIC~1\LOCALS~1\APPLIC~1\MICROS~1\dllhst3g.exe /waitservice
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O13 - Gopher Prefix:
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Program Files\CDBurnerXP\NMSAccessU.exe

--
End of file - 3806 bytes
Configuration: Windows 7
Firefox 3.5.5

6 réponses

  1. Utilisateur anonyme
     
    bonjour

    O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
    O4 - HKCU\..\Policies\Explorer\Run: [DllHst] C:\Users\OLDNIC~1\LOCALS~1\APPLIC~1\MICROS~1\dllhst3g.exe /waitservice

    Relance Hijackthis
    Clique sur do a system scan only
    Coche les lignes que je t'indique en gras
    Clique sur fix checked
    Redémarre le PC

    Ensuite fait Malwarebytes en mode sans échec
    0
    1. OldNickeuh
       
      Bonsoir, voilà mon rapport Malwarebytes après avoir effectuer tes manip' :
      Il detecte un fichier effecté (spoolsv.exe) mais pas le TR/Downloader.Gen (mdm.exe) que vient tout juste d'être detecté par Avira.

      Malwarebytes' Anti-Malware 1.41
      Version de la base de données: 3196
      Windows 6.1.7100

      21/11/2009 19:11:08
      mbam-log-2009-11-21 (19-10-58).txt

      Type de recherche: Examen rapide
      Eléments examinés: 93497
      Temps écoulé: 7 minute(s), 58 second(s)

      Processus mémoire infecté(s): 0
      Module(s) mémoire infecté(s): 0
      Clé(s) du Registre infectée(s): 0
      Valeur(s) du Registre infectée(s): 0
      Elément(s) de données du Registre infecté(s): 0
      Dossier(s) infecté(s): 0
      Fichier(s) infecté(s): 1

      Processus mémoire infecté(s):
      (Aucun élément nuisible détecté)

      Module(s) mémoire infecté(s):
      (Aucun élément nuisible détecté)

      Clé(s) du Registre infectée(s):
      (Aucun élément nuisible détecté)

      Valeur(s) du Registre infectée(s):
      (Aucun élément nuisible détecté)

      Elément(s) de données du Registre infecté(s):
      (Aucun élément nuisible détecté)

      Dossier(s) infecté(s):
      (Aucun élément nuisible détecté)

      Fichier(s) infecté(s):
      C:\Users\OldNickeuh\AppData\Roaming\Microsoft\spoolsv.exe (Trojan.Agent) -> No action taken.
      0
      1. Utilisateur anonyme > OldNickeuh
         
        Relance Malwarebytes
        0
      2. OldNickeuh > Utilisateur anonyme
         
        Bonjour,
        voilà le nouveau rapport Malwarebytes : c'est la même chose, spoolsv.exe est détecté mais pas de mdm.exe

        Malwarebytes' Anti-Malware 1.41
        Version de la base de données: 3196
        Windows 6.1.7100

        23/11/2009 12:18:46
        mbam-log-2009-11-23 (12-18-39).txt

        Type de recherche: Examen complet (C:\|)
        Eléments examinés: 174501
        Temps écoulé: 55 minute(s), 4 second(s)

        Processus mémoire infecté(s): 0
        Module(s) mémoire infecté(s): 0
        Clé(s) du Registre infectée(s): 0
        Valeur(s) du Registre infectée(s): 0
        Elément(s) de données du Registre infecté(s): 0
        Dossier(s) infecté(s): 0
        Fichier(s) infecté(s): 1

        Processus mémoire infecté(s):
        (Aucun élément nuisible détecté)

        Module(s) mémoire infecté(s):
        (Aucun élément nuisible détecté)

        Clé(s) du Registre infectée(s):
        (Aucun élément nuisible détecté)

        Valeur(s) du Registre infectée(s):
        (Aucun élément nuisible détecté)

        Elément(s) de données du Registre infecté(s):
        (Aucun élément nuisible détecté)

        Dossier(s) infecté(s):
        (Aucun élément nuisible détecté)

        Fichier(s) infecté(s):
        C:\Users\OldNickeuh\AppData\Roaming\Microsoft\spoolsv.exe (Trojan.Agent) -> No action taken.
        0
      3. OldNickeuh > Utilisateur anonyme
         
        Bonsoir,
        tu m'as bien envoyé des messages en me disant que tu ne pouvais pas poster la suite ?
        0
  2. Utilisateur anonyme
     
    je ne peux pas te poster de canned, on me dit erreur
    0
  4. Utilisateur anonyme
     
    désolée, j'étais pas là
    Télécharge Random's System Information Tool (RSIT) de random/random et enregistre l'exécutable sur ton Bureau.

    - http://images.malwareremoval.com/random/RSIT.exe

    ! Déconnecte toi et ferme toutes tes applications en cours !

    * Double-clique sur RSIT.exe pour le lancer .
    * Une première fenêtre s'ouvre avec en titre : Disclaimer of warranty .
    * Devant l'option List files/folders created ... , tu choisis 2 months
    * Clique ensuite sur Continue pour lancer l'analyse ...
    * Laisse faire le scan et ne touche pas au PC ...
    * Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront (probablement avec le bloc-note).
    * Héberge le contenu de log.txt (c'est celui qui apparait à l'écran), ainsi que de info.txt ici.
    Clique sur parcourir
    Une fois que tu as trouvé les rapports à héberger, clique sur ouvrir
    Clique sur Cliquez ici pour déposer le fichier, puis donne le lien
    qui apparait comme ceci http:/www.cijoint.fr/cjlink.php?file=cj200911/cijgAdC3Ch.txt

    Note : les rapports seront en outre sauvegardés dans ce dossier C:\rsit
    0
    1. OldNickeuh
       
      Bonsoir, j'ai eu un message d'erreur après avoir lancer RSIT quand la barre de chargement était à "Listing serivces and drivers". Une fenetre intitulée AutoIt Error, avec ceci :
      Line-1:
      Error : Variable used without being declared

      RSIT ferme après avoir clicker sur le OK de cette fenetre d'erreur (il n'y a rien d'autre).
      Cependant j'ai tout de même eu un fichier texte dans le dossier C:\rsit log.txt
      Fichier que voilà : http://www.cijoint.fr/cjlink.php?file=cj200911/cijmA1XI7R.txt
      0

  5. Vous n’avez pas trouvé la réponse que vous recherchez ?

    Posez votre question
  6. Utilisateur anonyme
     
    C:\Users\OLDNIC~1\LOCALS~1\APPLIC~1\MICROS~1\dllhst3g.exe
    essaye de supprimer ce fichier en mode sans échec
    cela se trouve dans le dossier caché application data

    Tu dois afficher les fichiers et dossiers cachés
    Démarrer, Poste de travail
    Clique sur outils
    Sélectionne options de dossier
    Va dans l'onglet affichage
    Coche afficher les fichiers et dossiers cachés, puis OK

    et ensuite tu redémarre ton PC en mode sans échec
    0
    1. OldNickeuh
       
      Fichier dllhst3g.exe supprimé. J'ai redémarré en mode sans échec, puis ne pouvant pas aller sur Internet en mode sans échec, je suis revenu en mode normal. Que dois-je faire maintenant ? Merci
      0
    2. Utilisateur anonyme > OldNickeuh
       
      F3 - REG:win.ini: load=C:\Users\OLDNIC~1\AppData\Roaming\MICROS~1\spoolsv.exe

      Relance Hijackthis
      Clique sur do a system scan only
      Coche les lignes que je t'indique en gras
      Clique sur fix checked
      Redémarre le PC
      0
    3. OldNickeuh > Utilisateur anonyme
       
      C'est fait.
      0
    4. Utilisateur anonyme > OldNickeuh
       
      essaye de supprimer en mode sans échec ce fichier
      C:\Users\OLDNIC~1\AppData\Roaming\MICROS~1\spoolsv.exe
      0
    5. OldNickeuh > Utilisateur anonyme
       
      Le fichier C:\Users\OLDNIC~1\AppData\Roaming\MICROS~1\spoolsv.exe
      a apparement bien été supprimé
      par contre Avira AntiVir détecte toujours regulierement le cheval de Troie TR/Downloader.Gen dans le dossier
      C:\Users\OldNickeuh\Local\Temp\~temp\mlp75\mdm.exe
      0
  7. Utilisateur anonyme
     
    excuse moi, on verra cela demain, car il est tard
    0
    1. OldNickeuh
       
      Pas de probleme. Merci et à demain.
      0
      1. JaZZ > OldNickeuh
         
        Exactement le même problème pour moi, avec réapparition permanente du mdm.exe dans le répertoire ~temp. J'ai à peu près tout testé pour m'en défaire, jusqu'à ce que je tombe sur l'anti-virus / anti-troyan a-squared a-squared: un simple scan rapide m'a débarassé du problème.
        J'espère que ça règlera le tien.
        0

Discussions similaires

Signification des abréviations RE: et TR:
La Salamandre -
Iolose -

19 réponses
Sa veux dire koi??Subject: FW: Tr :FW: TR: TR
france22 -
ghano0666545160 -

12 réponses
casque sans fil Sennheiser TR 4200 ne fonctionne plus
jcb83400 -
DIY -

3 réponses
Signification "TR"
andromeid -
matrix4422 -

3 réponses
Problème casque sennheiser 4200
barbie35 -
Beenaxa -

1 réponse