[trojan] mais impossible de savoir lequel

Résolu
quenjochris Messages postés 7 Statut Membre -  
quenjochris Messages postés 7 Statut Membre -
Mon ordinateur n'arrête pas de planter pour rien.
Aprés avoir fait des scan avec a2 free, remover trojan, spibot, the cleaner, tauscan, il ne m'a rien trouvé. Seulement, si je fais un scan avec ravantivirus, il me trouve netskyC et netskyP dans ma messagerie mais si je lance le scan de bitdefender, il ne me trouve rien. Ensuite, le scan sur le site de symantec m'indique que j'ai un trojan. Je suis un peu perdue, je sais plus trop quoi faire. Est ce qu'il faudrait que je mette en ligne un log de hijackthis ou avez vous d'autres idées.

ps : mon firewall et mon antivirus sont en à jour et tous les scans ont été fait en mode sans échec.

Merci de votre aide.
Configuration: pc win xp sp2
antivirus : avast 4.6
firewall : zone alarm

17 réponses

  2.
    oussema sfaihi Messages postés 158 Statut Membre 18
     
    esseyer d'installer une version de norton antivirus et le mettre à jour puis scanner l'ordinateur
    0
  3. quenjochris Messages postés 7 Statut Membre
     
    Je ne pense pas que mettre noton resoudra quelque chose, avast est tout à fait fiable et mis à jour tous les jours, en plus il est gratuit.

    c'est plutôt le trojan qui m'ennuie. Je vous met un log hijackthis, et aidezmoi svp à savoir s'il y a un pb ou pas.

    Merci.

    Logfile of HijackThis v1.99.1
    Scan saved at 14:08:21, on 26/06/2005
    Platform: Windows XP SP2 (WinNT 5.01.2600)
    MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

    Running processes:
    C:\WINDOWS\System32\smss.exe
    C:\WINDOWS\system32\winlogon.exe
    C:\WINDOWS\system32\services.exe
    C:\WINDOWS\system32\lsass.exe
    C:\WINDOWS\system32\Ati2evxx.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\system32\Ati2evxx.exe
    C:\WINDOWS\Explorer.EXE
    C:\WINDOWS\system32\spoolsv.exe
    C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
    C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
    C:\WINDOWS\SOUNDMAN.EXE
    C:\Program Files\Logitech\iTouch\iTouch.exe
    C:\Program Files\Java\jre1.5.0_02\bin\jusched.exe
    E:\Program Files\QuickTime\qttask.exe
    C:\Program Files\Logitech\MouseWare\system\em_exec.exe
    C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
    E:\PROGRA~1\TAUSCA~1.7\taumon.exe
    E:\Program Files\The Cleaner\tca.exe
    E:\Program Files\The Cleaner\tcm.exe
    C:\WINDOWS\system32\ctfmon.exe
    C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
    C:\Program Files\Alwil Software\Avast4\ashServ.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\system32\ZoneLabs\vsmon.exe
    C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
    C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
    E:\download\HijackThis.exe

    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.free.fr/
    R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
    O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
    O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - E:\PROGRA~1\SPYBOT~1\SDHelper.dll
    O4 - HKLM\..\Run: [Ptipbmf] rundll32.exe ptipbmf.dll,SetWriteCacheMode
    O4 - HKLM\..\Run: [PtiuPbmd] Rundll32.exe ptipbm.dll,SetWriteBack
    O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
    O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
    O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
    O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
    O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
    O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe
    O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
    O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_02\bin\jusched.exe
    O4 - HKLM\..\Run: [QuickTime Task] "E:\Program Files\QuickTime\qttask.exe" -atboottime
    O4 - HKLM\..\Run: [CloneCDTray] "E:\Program Files\CloneCD\CloneCDTray.exe" /s
    O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
    O4 - HKLM\..\Run: [Tau Monitor] E:\PROGRA~1\TAUSCA~1.7\taumon.exe
    O4 - HKLM\..\Run: [TrojanScanner] e:\Program Files\Trojan Remover\Trjscan.exe
    O4 - HKLM\..\Run: [tcactive] e:\Program Files\The Cleaner\tca.exe
    O4 - HKLM\..\Run: [tcmonitor] e:\Program Files\The Cleaner\tcm.exe
    O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
    O4 - HKCU\..\Run: [eMuleAutoStart] E:\eMule\emule.exe -AutoStart
    O4 - Startup: Raccourci vers thunderbird.exe.lnk = E:\Program Files\Mozilla Thunderbird\thunderbird.exe
    O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
    O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
    O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll
    O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll
    O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
    O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
    O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
    O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
    O16 - DPF: {4E330863-6A11-11D0-BFD8-006097237877} (InstallFromTheWeb ActiveX Control) - http://tw.msi.com.tw/autobios/client/iftwclix.cab
    O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
    O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
    O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
    O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
    O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
    O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
    O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
    O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
    O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - E:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR1\RpcSandraSrv.exe
    O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
    0
  4. balltrap34 Messages postés 16241 Statut Contributeur sécurité 332
     
    salut
    il serait bien que tu nous mette le rapport de rav
    j analyse ton hijack
    0

  5. Vous n’avez pas trouvé la réponse que vous recherchez ?

    Posez votre question
  6. quenjochris Messages postés 7 Statut Membre
     
    Désolé pour le rapport mqis le pc a encore planté...

    Mais voici le rapport de ravantivirus :

    Scan started at 26/06/2005 18:57:10

    Scanning memory...
    Scanning boot sectors...
    Scanning files...
    C:\Documents and Settings\cleoquenjochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0790:)->(IFRAME0000) - HTML/IFrame_Exploit* -> Infected
    C:\Documents and Settings\cleoquenjochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0791:message.scr) - Win32/Netsky.P@mm -> Infected
    C:\Documents and Settings\cleoquenjochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0794:old_photos.doc .pif) - Win32/Netsky.P@mm -> Infected
    C:\Documents and Settings\cleoquenjochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0797:number_phone.txt.scr) - Win32/Netsky.C@mm -> Infected
    C:\Documents and Settings\cleoquenjochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0800:msg.zip)->data.rtf .scr - Win32/Netsky.P@mm -> Infected
    C:\Documents and Settings\cleoquenjochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0802:)->(IFRAME0000) - HTML/IFrame_Exploit* -> Infected
    C:\Documents and Settings\cleoquenjochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0803:message.scr) - Win32/Netsky.P@mm -> Infected
    C:\Documents and Settings\cleoquenjochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0813:signature.zip)->data.rtf .scr - Win32/Netsky.P@mm -> Infected
    C:\Documents and Settings\cleoquenjochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0815:)->(IFRAME0000) - HTML/IFrame_Exploit* -> Infected
    C:\Documents and Settings\cleoquenjochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0816:message.scr) - Win32/Netsky.P@mm -> Infected
    C:\Documents and Settings\cleoquenjochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0832:dinner.com) - Win32/Netsky.C@mm -> Infected
    C:\Program Files\WinRAR\Uninstall.exe - Backdoor:Win32/Poebot.E -> Suspicious
    E:\Documents and Settings\jochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0790:)->(IFRAME0000) - HTML/IFrame_Exploit* -> Infected
    E:\Documents and Settings\jochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0791:message.scr) - Win32/Netsky.P@mm -> Infected
    E:\Documents and Settings\jochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0794:old_photos.doc .pif) - Win32/Netsky.P@mm -> Infected
    E:\Documents and Settings\jochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0797:number_phone.txt.scr) - Win32/Netsky.C@mm -> Infected
    E:\Documents and Settings\jochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0800:msg.zip)->data.rtf .scr - Win32/Netsky.P@mm -> Infected
    E:\Documents and Settings\jochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0802:)->(IFRAME0000) - HTML/IFrame_Exploit* -> Infected
    E:\Documents and Settings\jochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0803:message.scr) - Win32/Netsky.P@mm -> Infected
    E:\Documents and Settings\jochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0813:signature.zip)->data.rtf .scr - Win32/Netsky.P@mm -> Infected
    E:\Documents and Settings\jochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0815:)->(IFRAME0000) - HTML/IFrame_Exploit* -> Infected
    E:\Documents and Settings\jochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0816:message.scr) - Win32/Netsky.P@mm -> Infected
    E:\Documents and Settings\jochris\Application Data\Thunderbird\Profiles\gqu8avee.default\Mail\pop.free-2.fr\Inbox->(part0832:dinner.com) - Win32/Netsky.C@mm -> Infected
    E:\Documents and Settings\jochris\Local Settings\Temp\CC109.tmp->(part0001:)->(IFRAME0000) - HTML/IFrame_Exploit* -> Infected
    E:\Program Files\WinRAR\Uninstall.exe - Backdoor:Win32/Poebot.E -> Suspicious
    0
  7. balltrap34 Messages postés 16241 Statut Contributeur sécurité 332
     
    vas dans ta maeeagerie et suppr tous les element recus /supprimer/envoyer
    et utilise se log
    http://pageperso.aol.fr/Balltrap34/CleanUp312.exe
    voir demo
    http://pageperso.aol.fr/balltrap34/democleanup.htm
    0
    1. Rumbacampus Messages postés 1244 Statut Membre 184
       
      Salut balltrap

      Dis-moi, as-tu une raison précise pour ne pas conseiller la nouvelle version de cleanup ?
      Merci pour ta réponse

      @+
      0
  8. balltrap34 Messages postés 16241 Statut Contributeur sécurité 332
     
    la derniere c est la 4.0
    si oui lol je l est sur mon pc mais j ai oublier de la changer sur le site
    0
    1. Rumbacampus Messages postés 1244 Statut Membre 184
       
      Salut & merci
      0
  9. quenjochris Messages postés 7 Statut Membre
     
    Pour netsky, j'ai supprimé le dossier incriminé dans ma messagerie, plus de virus à l'horizon.
    Pour le trojan Poebot, j'ai désinstallé winrar et vider complétement la base de registre de sa présence. J'ai vidé la corbeille. Tout ça en mode sans échec. A prioiri, je n'ai plus rien.
    Je referais demain un scan ravantivirus (il est vraiment super ce scan online soit dis en passant), pour être sùr que mon trojan soit bien parti. Et j'espère mettre un message (résolu).
    0
  10. quenjochris Messages postés 7 Statut Membre
     
    Avant d'indiquer que mon pb est résolu, une dernière question :
    RAvantivirus ne m'a rien trouvé aujourd'hui...ouf...
    Par contre, si je fais un scan de symantec, il me trouve toujours le même pb.

    cf scan :

    Etat du virus : Contaminé !
    Votre ordinateur est contaminé par au moins un virus ou cheval de Troie connu.

    81085 fichiers analysés, 1 fichier(s) contaminé(s) sur vos disques.

    Votre ordinateur est contaminé par au moins un virus ou cheval de Troie connu.

    Recherchez le nom du ou des virus répertorié(s) ci-dessous sur le site Symantec Security Response pour obtenir des instructions de suppression.

    C:\WINDOWS\SVCHOST.exe est contaminé par Backdoor.Trojan

    Quelqu'un peut m'expiquer si je suis encore contaminé ou pas?
    0
  11. Rumbacampus Messages postés 1244 Statut Membre 184
     
    Salut

    Le bon svchost.exe est situé dans le répertoire System32 de windows.
    svchost.exe dans Windows est un ver.
    Il s'agit de W32 Welchia Worm.
    Tu trouveras un outil d'éradication ici :
    http://securityresponse.symantec.com/avcenter/venc/data/w32.welchia.worm.removal.tool.html
    Si ça ne marche pas, fais-le à l'arrachée. Ton système ne sera pas clean, mais ça marchera.
    Choisis d'afficher tous les dossiers. Vérifie que le bon svchost.exe est bien dans syteme32. Et effaces le mauvais svchost.exe du répertoire Windows. (pour être sûr, tu peux avant tester ce fichier ici ):
    http://virusscan.jotti.org
    Supprimes en mode sans éhec après avoir neutralisé la restauratioN...

    Salut & @+
    0
  12. quenjochris Messages postés 7 Statut Membre
     
    bonsoir,

    Aprés vos conseils avisés, j'ai réussi à supprimer "welchia" (mode sans echec : suppression manuelle, ça à l'air de fonctionné), seulement aprés j'ai refais un scan symantec que j'ai maintenant Bloodhound.Exploit.6.
    Ca commence à me fatiguer. j'ai pas encore eu le temps de me renseigner ou d'aller voir sur les forums. Je verrais ça demain. Mais si vous avez une idées, n'hésitez pas...

    Merci et @ demain.
    0
  14. Rumbacampus Messages postés 1244 Statut Membre 184
     
    Re pour Balltrap

    Salut. Précise tes nouvelles ref pour Cleanup, sinon ceux qui lisent les anciens log vont croire que t'es en grève lol !

    @+
    0
  15. jean38 Messages postés 2534 Date d'inscription   Statut Contributeur Dernière intervention   47
     
    salut à tous,

    balltrap travaille donc je me permets de repondre.

    Pour la version 4 le site officiel est
    http://www.stevengould.org/software/cleanup/

    je sais que balltrap travaillait à la mise à jour de son site, il l'a peut être fait.

    Jean
    0
  17. Rumbacampus Messages postés 1244 Statut Membre 184
     
    salut Jean.. et Regis..

    C'est pourquoi je dis qu'il faut le préciser, "officiellement" sinon plein de gus vont continuer au fil des posts à cliquer sur l'ancien lien qui n'est plus opérationnel, mais qui est quand même repris par plein de "procédures", d'ou, grand stress...énervements et troll pour quelque's'un !

    @+
    0
  18. quenjochris Messages postés 7 Statut Membre
     
    Merci, pour toutes vos informations.
    J'ai fait un clean up et effectivement, le scan symantec ne m'a plus rien trouvé.

    Grace à vous mon pc est clean, jusqu'a la prochaine fois.

    Bonsoir.
    0

Discussions similaires

Aide pour un virus
cerise92700 -
MisteryBean -

41 réponses
Trojan impossible à supprimer!
Gridouu -
Malekal_morte- -

12 réponses
Comment supprimer le virus Trojan
vitsou -
vitsou -

18 réponses
Menace détectée TrojanSMS-PA sur Google Huawei/Android
Outmost -
bazfile -

6 réponses
Mon antivirus detecte un Trojan Gen.2
Utilisateur anonyme -
Fish66 -

25 réponses