Impossible de supprimer 3 trojans

Fermé

nicky2 Messages postés 97 Date d'inscription vendredi 20 mai 2005 Statut Membre Dernière intervention 6 décembre 2009 - 20 juin 2005 à 21:42
Utilisateur anonyme - 21 août 2005 à 22:07

Bonjour,

J'ai 3 virus sous Windows XP Pro que mon antivirus Kapersky (ainsi que d'autres tel que AVG..) reconnaissent mais n'arrive pas à supprimer. Il s'agit de trojan de type Win32.commonName.a et Win32.CommonName.b qui se sont logés sous c:\program Files\tsrsvttt\fawDakrn.exe et NrKAdwaf.exe. Le troisième trojan
du type rootkit.win32.agent.q est logé sous c:\windows\system32\winik.sys.
En allant sous les fichiers infectés il m'est impossible de les supprimer.
Quelqu'un a la solution à ce type de malware sans devoir forcément formater tout le disque

Scanning en mode sans echec et restauration désactivée n'ont rien donné de plus.

Merci par avance

Nicky

A voir également:

Impossible de supprimer 3 trojans
Impossible de supprimer une page word - Guide
Impossible de supprimer un fichier - Guide
Supprimer compte instagram - Guide
Supprimer pub youtube - Accueil - Streaming
Supprimer mot de passe windows 10 - Guide

85 réponses

Réponse 21 / 85

Utilisateur anonyme
23 juin 2005 à 20:28

alut nicky

je viens de voir dans le log que tu viens de poster, que le dossier exact ou se trouve winik.sys est C:\WINDOWS\system32\drivers\winik.sys et pas C:\WINDOWS\system32\winik.sys.
avec killbox on a rentré le mauvais chemin.

essaye en faisant ceci:

redemarre en mode sans echecs.

1/
demarrer > executer tape ou fais un copier/coller dans la boite de dialogue: (si tu tape manuellement, respecte les espaces)

sc config WinIK start= disabled

valide avec ok

2/
demarrer > executer tape ou fais un copier/coller dans la boite de dialogue:

sc stop WinIK

valide avec ok

3/
demarrer > executer tape ou fais un copier/coller dans la boite de dialogue:

sc delete WinIK

valide avec ok

ensuite lance killbox et:

- Selectionne "Delete on Reboot"
- Copie le chemin suivant: C:\WINDOWS\system32\drivers\winik.sys et colle dans "Full Path of File to Delete"
5- clic sur le bouton rouge
6- une fenetre va apparaitre pour confirmation clic sur YES
7- une seconde fenetre te demande si tu veux redemarrer clic sur YES

laisse redemarrer le pc et dis moi si il est encore présent.

a+

Réponse 22 / 85

balltrap34 Messages postés 16240 Date d'inscription jeudi 8 janvier 2004 Statut Contributeur sécurité Dernière intervention 28 novembre 2009 331
23 juin 2005 à 20:32

salut
tu na pas essayer de mettre linux sur ton pc par hazard

Réponse 23 / 85

nicky2 Messages postés 97 Date d'inscription vendredi 20 mai 2005 Statut Membre Dernière intervention 6 décembre 2009
23 juin 2005 à 22:57

Merci infiniment moe31 Tu as réussi , winik.sys a disparu. Mon PC est clean.
Je tiens à te remercier aussi pour tout le temps que tu as consacré à mon problème.

Bonne nuit

Nicky

Réponse 24 / 85

Utilisateur anonyme
23 juin 2005 à 23:03

salut nicky

content pour toi, vraiment.
si tu ne l'a pas dejà fais, reactive la restauration systeme.
Clic droit sur poste de travail > propriétés > onglet restauration système
puis décocher la case "désactiver la restauration système".
clic sur ok pour valider

douce nuit

moe

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question

Réponse 25 / 85

the_rock93 Messages postés 94 Date d'inscription samedi 25 juin 2005 Statut Membre Dernière intervention 27 février 2020 2
29 juin 2005 à 20:53

bonjours si je peux me permet moi aussi je suis infecter par se virus esque vous pourriez m'aider sa serai gentil merci
j'ai fait aussi avec killibox est tout mode sans echec ....
moi mon fichier infecter est msdirect.sys
bon voila j'ai utiliser le logiciel comme vous l'avez dit (Registry Search Tool )voicie mon rapport ;
REGEDIT4
; RegSrch.vbs © Bill James

; Registry search results for string "msdirect" 01/08/2005 20:51:24

; NOTE: This file will be deleted when you close WordPad.
; You must manually save this file to a new location if you want to refer to it again later.
; (If you save the file with a .reg extension, you can use it to restore any Registry changes you make to these values.)

[HKEY_USERS\S-1-5-21-1454471165-1637723038-839522115-1003\Software\Microsoft\Search Assistant\ACMru\5603]
"000"="msdirect"

[HKEY_USERS\S-1-5-21-1454471165-1637723038-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU]
"a"="sc config msdirectx start= disabled\\1"

[HKEY_USERS\S-1-5-21-1454471165-1637723038-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU]
"b"="sc stop msdirectx\\1"

[HKEY_USERS\S-1-5-21-1454471165-1637723038-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU]
"c"="sc delete msdirectx\\1"

merci de m'aider

Réponse 26 / 85

Utilisateur anonyme
29 juin 2005 à 20:56

salut

poste un hijack pour voir

a+

Réponse 27 / 85

the_rock93 Messages postés 94 Date d'inscription samedi 25 juin 2005 Statut Membre Dernière intervention 27 février 2020 2
30 juin 2005 à 00:07

ok

Logfile of HijackThis v1.99.1
Scan saved at 00:06:33, on 02/08/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Executive Software\Diskeeper\DkService.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\MSN Apps\Updater\01.02.0002.1001\fr\msnappau.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\PROGRA~1\MOZILLA.ORG\MOZILLA\MOZILLA.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\hafiane\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.02.3000.1001\en-xu\stmain.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll
O4 - HKLM\..\Run: [msnappau] "C:\Program Files\MSN Apps\Updater\01.02.3000.1001\fr\msnappau.exe"
O4 - HKLM\..\Run: [WinConfig9324] wincfgkop9.exe
O4 - HKLM\..\Run: [KAVPersonal50] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kav.exe" /minimize
O4 - HKLM\..\RunServices: [WinConfig9324] wincfgkop9.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: MSN Messenger 7.0.lnk = ?
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Program Files\Executive Software\Diskeeper\DkService.exe
O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kavsvc.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exe

Réponse 28 / 85

the_rock93 Messages postés 94 Date d'inscription samedi 25 juin 2005 Statut Membre Dernière intervention 27 février 2020 2
30 juin 2005 à 00:30

alors?

Réponse 29 / 85

Cedric RICARD
27 juil. 2005 à 11:11

Pour info, j'ai eu beau suivre à la lettre toutes les instructions données ici, les refaire plusieurs fois, etc... je n'ai jamais réussi à supprimer winik.sys

Par contre, j'ai une méthode radicale (qui ne fonctionne que pour les fichiers situés dans le répertoire C:\Windows) :
démarrer avec la console de récup (depuis le CD d'installation de Windows), aller dans le bon répertoire, et taper "del winik.sys"

Attention, je pense que toutes les étapes décrites ci dessus sont indispensables pour permettre une éradication définitive...

Réponse 30 / 85

elodi Messages postés 24 Date d'inscription dimanche 21 août 2005 Statut Membre Dernière intervention 21 août 2005
21 août 2005 à 13:42

salut tout le monde.j'ai moi aussi le meme probleme de trojan que nicky2 rootkit.win32.agent.q dans c:\windows\system32\drivers\winik.sys .j'ai fai tou ce kil ya d'ecrit et je n'arrive pas a m'en debarasser.quand je suis en mode sans echec dans killbox et que j'ai appuyer sur le bouton rouge et cliqué 2fois sur oui il s'affiche:
Pending file rename operations registry data has been removed by external process.
quelqu'un peut il m'aider s'il vous plait.je pete un plomb avec ce cheval de troie.

Réponse 31 / 85

Utilisateur anonyme
21 août 2005 à 13:53

salu elodi

telecharge hijackthis:
http://www.merijn.org/files/hijackthis.zip
Dezippe le dans un dossier prévu a cet effet.
Par exemple C:\hijack
et surtout pas dans un dossier temporaire (temp)
lance le puis:
clic sur "do a system scan and save logfile" et pas autre chose
Le bloc note va s'ouvrir, copie tout le contenu et colle le ici a la suite de ton message.
Si tu as du mal, regarde ceci:
http://pageperso.aol.fr/balltrap34/demohijack.htm

a+

Réponse 32 / 85

elodi Messages postés 24 Date d'inscription dimanche 21 août 2005 Statut Membre Dernière intervention 21 août 2005
21 août 2005 à 14:07

ca yé c fai
Logfile of HijackThis v1.99.1
Scan saved at 14:04:49, on 21/08/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\ALCWZRD.EXE
C:\WINDOWS\ALCMTR.EXE
C:\ATI-CPanel\atiptaxx.exe
C:\Program Files\Adobe\Adobe Version Cue\ControlPanel\VersionCueTray.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\MessengerPlus! 3\MsgPlus.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Adobe\Adobe Acrobat 6.0\Distillr\acrotray.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\WINDOWS\system32\DRIVERS\CDANTSRV.EXE
C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Elo\Mes documents\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Adobe Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Adobe Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll (file missing)
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Adobe Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll (file missing)
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [ATIPTA] C:\ATI-CPanel\atiptaxx.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AdobeVersionCue] C:\Program Files\Adobe\Adobe Version Cue\ControlPanel\VersionCueTray.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [REVJTc1x] C:\PROGRA~1\wrwoxrwr\YcQDFAgM.exe
O4 - HKLM\..\Run: [KAVPersonal50] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kav.exe" /minimize
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Assistant d'Acrobat.lnk = C:\Program Files\Adobe\Adobe Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: hp psc 2000 Series.lnk = C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)
O12 - Plugin for .tif: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin6.dll
O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AdobeVersionCue - Adobe Sytems - C:\Program Files\Adobe\Adobe Version Cue\service\VersionCue.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\system32\DRIVERS\CDANTSRV.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kavsvc.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

Réponse 33 / 85

elodi Messages postés 24 Date d'inscription dimanche 21 août 2005 Statut Membre Dernière intervention 21 août 2005
21 août 2005 à 14:58

quelqu'un peut il m'aider avant que je parte??

Réponse 34 / 85

Utilisateur anonyme
21 août 2005 à 15:41

salut

regarde dans c:\program files si tu as un dossier avec un nom completement aleatoire du genre
C:\Program Files\tsrsvttt

Réponse 35 / 85

elodi Messages postés 24 Date d'inscription dimanche 21 août 2005 Statut Membre Dernière intervention 21 août 2005
21 août 2005 à 18:46

ben g ca:
wrwoxrwr

Réponse 36 / 85

Utilisateur anonyme
21 août 2005 à 18:51

donne moi le nom exact de tous les fichiers qui se trouvent à l'interieur

si tu trouve le fichier profile.dat, ouvre le avec le bloc note et copie et colle le contenu ici

a+

Réponse 37 / 85

balltrap34 Messages postés 16240 Date d'inscription jeudi 8 janvier 2004 Statut Contributeur sécurité Dernière intervention 28 novembre 2009 331
21 août 2005 à 18:52

doctor s profil data lol

Réponse 38 / 85

Utilisateur anonyme
21 août 2005 à 18:54

lol

la 1ere fois il m'a fallu + de 100 post avant de trouver cette manip sur un forum

Réponse 39 / 85

balltrap34 Messages postés 16240 Date d'inscription jeudi 8 janvier 2004 Statut Contributeur sécurité Dernière intervention 28 novembre 2009 331
21 août 2005 à 18:55

elle est efficace!

Réponse 40 / 85

Utilisateur anonyme
21 août 2005 à 18:56

ben j'espere, je crois que cette saleté est detecté comme adware-commoname a ou b celon les av

Discussions similaires

Que signifie cet emoji :3

Voxbone ? qui est-ce ?

Signification de " :3 "

Masque diapositives : superposition image et forme