Troyen system 32

bonjour a tous
balltrap34 je fait appel à toi sachant que tu a bonne réputation et que tu va surement pouvoir m'aider pour mon probleme du mm style que la personne du dessu

je m'explik et jexpose les faits:

j'ai chopé un virus averti par norton nommé par norton "backdoor.trojan"
apres cet avertissement , norton ne répondai plus du tt, les updates ne s'executant pa, les analyses du systeme non plu ,et auto protect ne s'execute pa au démarrage.

de ce fait, j'ai identifier le nom du virus étant "reginv.dll" dans windows/system32 (version xp pro sp2)
j'ai suivi tes conseil datant de 2004 en executant selon les procédures dllfix.exe
voila le résultat de output.txt :

--==***@@@ FIND-ALL' VERSION MODIFIED -6/05 @@@***==--
--==***@@@ ORIGINAL BY FREEATLAST @@@***==--

22/08/2005
21:14

System Info:

Microsoft Windows XP [version 5.1.2600]
C: "koxx" (EC80:0AB4) - FS:NTFS clusters:4k
Total: 137 427 943 424 [128G] - Free: 107 900 084 224 [100G]


*IE version and Service packs:
6.0.2900.2180 C:\Program Files\Internet Explorer\Iexplore.exe
*Notepad version :
5.1.2600.2180 C:\WINDOWS\system32\notepad.exe
5.1.2600.2180 C:\WINDOWS\notepad.exe
*Media Player version :
10.0.0.3646 C:\Program Files\Windows Media Player\wmplayer.exe

! REG.EXE VERSION 2.0

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings
MinorVersion REG_SZ ;SP2;



Locked or 'Suspect' file(s) found...
These may be other files that Dllfix doesnt target.


Scanning for main Hijacker:


REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"DeviceNotSelectedTimeout"="15"
"GDIProcessHandleQuota"=dword:00002710
"Spooler"="yes"
"swapdisk"=""
"TransmissionRetryTimeout"="90"
"USERProcessHandleQuota"=dword:00002710
"Appinit_Dlls"=""

REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]
@=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9ECB9560-04F9-4bbc-943D-298DDF1699E1}]
@="Web assistant"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{BDF3E430-B101-42AD-A544-FADC6B084872}]
@="NAV Helper"

REGEDIT4

[HKEY_CLASSES_ROOT\PROTOCOLS\Filter]

[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\Class Install Handler]
@="AP Class Install Handler filter"
"CLSID"="{32B533BB-EDAE-11d0-BD5A-00AA00B92AF1}"

[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\deflate]
@="AP Deflate Encoding/Decoding Filter "
"CLSID"="{8f6b0360-b80d-11d0-a9b3-006097942311}"

[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\gzip]
@="AP GZIP Encoding/Decoding Filter "
"CLSID"="{8f6b0360-b80d-11d0-a9b3-006097942311}"

[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\lzdhtml]
@="AP lzdhtml encoding/decoding Filter"
"CLSID"="{8f6b0360-b80d-11d0-a9b3-006097942311}"

[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/webviewhtml]
@="WebView MIME Filter"
"CLSID"="{733AC4CB-F1A4-11d0-B951-00A0C90312E1}"


! REG.EXE VERSION 2.0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
AppInit_Dlls REG_SZ

*Security settings for 'Windows' key:


RegDACL 5.1 - Permissions Manager for Registry keys for Windows NT 4 and above
Copyright (c) 1999-2001 Frank Heyne Software (http://www.heysoft.de)
This program is Freeware, use it on your own risk!

Access Control List for Registry key hklm\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows:
(NI) ALLOW Read BUILTIN\Utilisateurs
(IO) ALLOW Read BUILTIN\Utilisateurs
(NI) ALLOW Read BUILTIN\Utilisateurs avec pouvoir
(IO) ALLOW Read BUILTIN\Utilisateurs avec pouvoir
(NI) ALLOW Full access BUILTIN\Administrateurs
(IO) ALLOW Full access BUILTIN\Administrateurs
(NI) ALLOW Full access AUTORITE NT\SYSTEM
(IO) ALLOW Full access AUTORITE NT\SYSTEM
(NI) ALLOW Full access BUILTIN\Administrateurs
(IO) ALLOW Full access CREATEUR PROPRIETAIRE

Effective permissions for Registry key hklm\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows:
Read BUILTIN\Utilisateurs
Read BUILTIN\Utilisateurs avec pouvoir
Full access BUILTIN\Administrateurs
Full access AUTORITE NT\SYSTEM



le virus reginv.dll n'étant pas mentionné ds le rapport, j'ai tout de mm essayé en le saisissant dans l'option 2 de dllfix.exe , mais en vain il ne le trouve pa !!

ensuite j'ai analyser avec addadware qui le trouve mais a chaque suppression il réaparai avec ses 7 objets critiques qui vont avec !!

ensuite jj'ai analyser avec CWshredder qui ne me trouve rien du tt.

de plus j'ai égallement essayer le mode ss echec et aussi les manips ds le paneau de config mentionné ci dessu ce qui ne donne rien.

voila je pense que je t'ai fait un bon résumé de mon probleme
a oui aussi pour préciser j'avai réinstaller norton 3 fois pour voir si il planterai plu ms ca change rien le virus le fait planter apparemment sur les analyse et les updates !!


merci de prendre mon probleme a coeur , je pense que tu est une des personnes les mieux placer sur ce site pour répondre a mon besoin ,
merci d'avance je te sui reconnaissant ,si tu as besoin d'info pour trouver une solution n'ésite surtt po a me le dire.

cordialement, pierro

merci bcp pour ta réponse balltrap , ms n'ayant que peu de connaissance en informatique ds ce domaine peut tu m'expliquer ce qu'est un hijack et comment cela fonctionne ( si par ex il faut un logiciel spécifique, etc...)

merci encore
pierro

a oui encore une chose lors de la saisie de "127.0.0.1 localhost"
faut-il mettre un espace entre les chiffre et localhost ?? parce ke g po envie davoir un plantage tu sé moi jy connai rien du tt !!!

merci a++

balltrap j'ai trouvé ta démo hijack merci encore jte fait un rapport au +vite....