Infecté par un trojan Generic à l'aide svp!!! Résolu

Question

Bonjour amis décontamineurs
Je suis contaminé par un trojan extra résistant!! GData le détecte à chaque fois dans un nouveau dossier du Système32/Drivers/... J'ai beau le supprimer il revient à chaque démarrage!!! J'ai décoché la case retauration du système car des fichiers volume restore étaient infectés. J'ai utilisé CCleaner aussi pour tout nettoyé!! Mais rien à faire il revient toujours, je m'en remet à vous voici le dernier rapport HiJackthis: 
Merci par avance

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:30:16, on 16/04/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\G DATA\AVKProxy\AVKProxy.exe
C:\Program Files\G Data\AntiVirus\AVK\AVKService.exe
C:\Program Files\G Data\AntiVirus\AVK\AVKWCtl.exe
C:\Program Files\CyberLink\Shared Files\RichVideo.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Fichiers communs\G DATA\GDScan\GDScan.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe
C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\Program Files\HP\hpcoretech\hpcmpmgr.exe
C:\Program Files\G Data\AntiVirus\AVKTray\AVKTray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\OpenOffice.org 3\program\soffice.exe
C:\Program Files\OpenOffice.org 3\program\soffice.bin
C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexingService.exe
C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexStoreSvr.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: G Data WebFilter Class - {0124123D-61B4-456f-AF86-78C53A0790C5} - C:\Program Files\G Data\AntiVirus\Webfilter\AVKWebIE.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: G Data WebFilter - {0124123D-61B4-456f-AF86-78C53A0790C5} - C:\Program Files\G Data\AntiVirus\Webfilter\AVKWebIE.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Fichiers communs\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [LanguageShortcut] "C:\Program Files\CyberLink\PowerDVD\Language\Language.exe"
O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\HP\HP Software Update\HPWuSchd2.exe"
O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [G DATA AntiVirus Trayapplication] C:\Program Files\G Data\AntiVirus\AVKTray\AVKTray.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 3.0.lnk = C:\Program Files\OpenOffice.org 3\program\quickstart.exe
O4 - Startup: syspck32.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {E77F23EB-E7AB-4502-8F37-247DBAF1A147} (Windows Live Hotmail Photo Upload Tool) - http://gfx1.hotmail.com/mail/w4/pr01/photouploadcontrol/MSNPUpld.cab
O23 - Service: G Data AntiVirus Proxy (AVKProxy) - G Data Software AG - C:\Program Files\Fichiers communs\G DATA\AVKProxy\AVKProxy.exe
O23 - Service: Planificateur G Data (AVKService) - G Data Software AG - C:\Program Files\G Data\AntiVirus\AVK\AVKService.exe
O23 - Service: G Data Gardien (AVKWCtl) - G Data Software AG - C:\Program Files\G Data\AntiVirus\AVK\AVKWCtl.exe
O23 - Service: G Data Scanner (GDScan) - G Data Software AG - C:\Program Files\Fichiers communs\G DATA\GDScan\GDScan.exe
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexingService.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe

gen-hackman · Answer

hello

&#9654 Télécharge : Gmer (by Przemyslaw Gmerek)


&#9654 Dezippe gmer ,cliques sur l'onglet rootkit,lances le scan,des lignes rouges vont apparaitre.

&#9654 Les lignes rouges indiquent la presence d'un rootkit.Postes moi le rapport gmer (cliques sur copy,puis vas dans demarrer ,puis ouvres le bloc note,vas dans edition et cliques sur coller,le rapport gmer va apparaitre,postes moi le)

Ensuite

&#9654 sur les lignes rouge:

&#9654 Services:cliques droit delete service
&#9654 Process:cliques droit kill process
&#9654 Adl ,file:cliques droit delete files

mhax · Answer

Bonjour gen-hackman

merci de m'aider! J'ai suivi tes instructions je te post le rapport gmer par contre impossible de supprimer la ligne rouge j'ai bien fait click droit delete mais il refuse!

1.0.15.15281 - http://www.gmer.net
Rootkit quick scan 2010-04-16 13:05:30
Windows 5.1.2600 Service Pack 3
Running: gmer.exe; Driver: C:\DOCUME~1\lepretre\LOCALS~1\Temp\pweyrkod.sys


---- Devices - GMER 1.0.15 ----

Device          \FileSystem\Ntfs \Ntfs       8A6A4458

AttachedDevice  \FileSystem\Fastfat \Fat     fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)

Device          \Driver\Tcpip \Device\Ip     GDTdiIcpt.sys (G DATA Software AG)
Device          \Driver\Tcpip \Device\Tcp    GDTdiIcpt.sys (G DATA Software AG)
Device          \Driver\Tcpip \Device\Udp    GDTdiIcpt.sys (G DATA Software AG)
Device          \Driver\Tcpip \Device\RawIp  GDTdiIcpt.sys (G DATA Software AG)

---- Services - GMER 1.0.15 ----

Service          (*** hidden *** )           [BOOT] zeponvo                                                           <-- ROOTKIT !!!

---- EOF - GMER 1.0.15 ----

gen-hackman · Answer

/!\ ATTENTION SUIVRE SCRUPULEUSEMENT A LA LETTRE CES INDICATIONS/!\

________________________________________________________________
>Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.<
>>>>>>>Ne pas utiliser en dehors de ce cas de figure : dangereux!<<<<<<<<
=====================================================

▶ Surtout , pense à l'enregistrement à renommer Combofix en "ton prenom.exe" avant qu'il soit enregistré sur ton disque dur

▶ On va utiliser ComboFix.exe. Rends toi sur cette page web pour obtenir les liens de téléchargement, ainsi que des instructions pour exécuter l'outil:

https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Avant d'utiliser ComboFix :
______________________________________________________________________
>> referme les fenêtres de tous les programmes en cours.
>> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix,
>>la protection en temps réel de ton Antivirus et de tes Antispywares,
>>qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.
°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°

▶ !!!!!NE TOUCHE A RIEN PENDANT LE TRAVAIL DE COMBOFIX (SOURIS/CLAVIER.....)!!!!!

▶ n'oublie pas de reactiver la garde de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet.

▶▶ Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

mhax · Answer

Aie Aie Aie
Alors là tu peux me fustiger si tu veux!!! J'avais pas prévu qu'il fallait internet pour combofix alors j'ai lancé la procédure après avoir lu le manuel et là pb pa moyen d'installer la console de récupération alors je fais fermer le programme je descends mon pc pour le brancher en bas en ethernet mais voila je le branche et il ne redémarre pas normalement!! Il commence à démarrer et puis c'est écran noir....
C'est parce que j'ai arrèter combofix?? Grrrrr c'est pas faute d'avoir été prévenu!!! J'ai moyen de remédier à ça???
Dsl

gen-hackman · Answer

essaie de redemarer avec la derniere bonne configuration connue en faisant F8 au demarrage

mhax · Answer

Rien à faire je choisis de redemarrer avec la dernière bonne configuration il me demande si je le veux avec la partition xp familiale je clique dessus et écran noir....

gen-hackman · Answer

novemail...Aie aie aie !!!!!

bon....systeme bien planté.....

la console ne s'est pas installé , on est paq dans la merd**** !!!!

tu as la possibilité de graver sur le pc avec lequel tu me parles ?

mhax · Answer

Ouais j'ai un ordi portable et un pc qui peuvent graver je suis tout ouie .Du coup je te donne un challenge merci pour ton aide en tout cas !!!

gen-hackman · Answer

qu'as-tu comme logiciel de gravure ? Nero ?

mhax · Answer

Oui dsl j'ai pas précisé j'ai Néro!

gen-hackman · Answer

parfait

pour commencer doubleclic la dessus apres l'avoir téléchargé ,Nero s'ouvrira tout seul avec les parametres recommandés

insere un CD vierge , et grave

http://sd-1.archive-host.com/membres/up/829108531491024/cdr.iso

mhax · Answer

Ok I386 gravé sur cr-rw j'espère que ça va le faire je n'avais que ça sous la main!! j'ai extrait avant de graver j'espère que j'ai bien fait aussi!!

gen-hackman · Answer

on va le voir de suite :

change la sequence de demarrage dans le bios avec la touche F2 (en general) lorsque tu lances le pc
Mets le lecteur CD en premier (ou first boot)mets le cd gravé dedans  puis memorise avec F10 pour confirmer

ton pc devrait demarrer sur le cd si c est le cas , ca va te dire "appuyer sur une touche pour demarrer du cd

mhax · Answer

Je suis bien rentré dans le bios mais il me propose nul part de booter surle cd en premier...
J'ai un cd d'install windows xp il peut peut être nous aider??

gen-hackman · Answer

bah si tu peux pas booter sur le cd ca revient au meme ^^ 

cherche dans le bios un menu "boot sequence" ou "boot" 
?G3?-?@¢??@?(TM)©®?

mhax · Answer

OK avec le cd d 'instal il boot direct dessus il me demande juste d'appuyer sur une touche j'en suis à voulez vous réparer ou réinstaller...

gen-hackman · Answer

ok reparer

et a la question : sur quelle session.....tu choisis 1 et tu devrais te retrouver avec ca :

C:\WINDOWS>

mhax · Answer

Tout à fait mon cher Watson!!
j'en suis bien là!
C:\windows>

gen-hackman · Answer

ok tape :

C:\Windows\System32\Restore\rstrui.exe puis entrée

ca devrait te faire demarrer la restauration systeme , si c'est le cas tu restaures avant combofix

mhax · Answer

Grrrr
J'ai tapé à la lettre et la majuscule prêt à la ligne

C:\WINDOWS> (ça c'est déja marqué)
System32\Restore\rstrui.exe
Et il me dit la commande n'est pas reconnue....

gen-hackman · Answer

tape ceci :

CHKDSK /R

mhax · Answer

CHKDSK/R commande pas reconnue
 Quand je mets uniquement CHKDSK il me dit 
Volume créé le ....
Le volume semble en bon état et n'a pas été vérifié utilisez /p si vous voulez tout de même vérifier le volume. Je vérifie chef???

gen-hackman · Answer

non tape :

Fixboot C:

mhax · Answer

OK alors il me dit
La partition de destination est C: Voulez vous vraiment écrire un nouveau secteur de démarrage su la partition c:?
C'est oui (yes? Y?)

gen-hackman · Answer

oui

mhax · Answer

J'ai mit oui (o) il me dit 
le système de fichier sur la partition de démarrage est NTFS.
FIXBOOT écrit un nouveau secteur de démarrage.
Le nouveau secteur de démarrage a été correctement écrit.
C:\WINDOWS>
(encore merci de prendre le temps je t'en suis vraiment reconnaissant...)
Si tu connais les étapes tu peux m'en donner plusieurs ça t'évite de me répondre toute les 10 min...

gen-hackman · Answer

vire le cd et vois si ton pc redemarre normalement

mhax · Answer

Nan pareil écran noir!!

gen-hackman · Answer

tape FIXMBR C: et retente

mhax · Answer

Il m'a averti que le secteur de démarrage principal ne semble pas standard ou endommagé et que FIXMBR peut endommager.... Voulez vous écrire un nveau secteur de démarrage? J'ai fait oui j'ai redémarré en enlevant le cd et ... pareil écran noir ... Il est coriace ce plantage!!

mhax · Answer

Par contre j'ai oublié de te préciser un truc qui est peut être très important quand je fait choisir la partition je tape 1 il me demande le mot de passe administrateur et vu que je ne le connais pas je tape entrée sans rien noter et la aparait 
C:windows

gen-hackman · Answer

bon je pense que le systeme est mort....

tu as des données importantes ?

mhax · Answer

Ouais j'ai des données archi importantes!!
J'ai bien pensé démonter mon disk dur et le monter sur mon autr pc mai j'ai peur de choper le virus....
Sinon enlever la pile de la carte mère çA n'aurait pas d'effet??

gen-hackman · Answer

non....

bon il faut que tu bootes sur un cd de Linux pour recuperer tes données

clique sur telecharger maintenant en bas de cette page

https://ubuntu.com/

mhax · Answer

Ok chef je suis sur le menu Kubuntu je t'écoute!!

gen-hackman · Answer

essayer sans installer

mhax · Answer

ok j'ai un bureau devant moi!

gen-hackman · Answer

https://forums.commentcamarche.net/forum/affich-17399271-infecte-par-un-trojan-generic-a-l-aide-svp?page=2#37

mhax · Answer

ça y est j'ai tout récupérer bravo!!!
On formate maintenant c'est ça???

gen-hackman · Answer

oui 

tu as essayé un peu de naviguer sur internet sous linux ????

marrant y a pas de virus sous ce systeme....donc pas besoin de protections ^^

mhax · Answer

Même pas je le ferais une fois tout ça régler! Tu crois pas que ça viendra quand les "fabricants" de virus s'y intéresseront??
D'ailleurs j'ai une question à te poser j'ai GData comme antivirus sur le pc qui est en train d'être formaté tu connais ce logiciel (que j'ai payé...) ? Tu saurais me conseiller un autre logiciel performant? Tu crois que l'association spybot et GData est nuisible??
ça fai plus qu'une question je sais....

gen-hackman · Answer

non c'est bon

par contre un autre logiciel plus performant que GDATA , ca va etre dûr à trouver

c'est  un antivirus monstreux , mais malheureusement , il prend enormement de ressources

il m'a deja figé quelques pc fragiles ^^

mhax · Answer

Un grand grand merci à toi  gen-hackman vraiment du fond du coeur!!! On vient mine de rien de passer presque 12h à échanger pour essayer de trouver des solutions et là c'est bon je vais m'en sortir pour le formatage!!!
Partager tes savoirs et les mettre au service des autres , (inconnus et svt pas doués de surcroit) je trouve ça très noble et altruiste de ta part!!! Des valeurs qui se perdent c'est bien dommage.
Je vous bénis donc toi et tes autres camarades!!
Je vous tire ma révérence!
Salutations
Mhax

Infecté par un trojan Generic à l'aide svp!!!

43 réponses

Votre réponse

Discussions similaires

Newsletters