Gros souci, impossibilité de télécharger...

Question

Bonjour à tous,

Ça fait un petit moment que je consulte le forum et je profite de mon inscription pour remercier les admins de leurs conseils et infos. Combien de fois ça m'a sauvé la mise... 
On trouve tout ici ! Ou presque... 

Voici mon problème : depuis 2 jours, je ne peux plus me connecter à certains sites web que je consulte régulièrement, les pages web s'affichent partiellement, etc. Mais le gros problème, c'est surtout que je ne peux plus rien télécharger. Ni pièces jointes des mails que je reçoit, ni logiciels... ce qui ne m'aide pas pour faire face au problème !

Avast m'a averti que j'avais un trojan : Win32:Kates-BL [Trj]. J'ai plusieurs fois mis cette saleté en quarantaine et cliqué sur "supprimer", mais Avast ne semble pas être capable de l'éliminer. Il le détecte, le stocke, et c'est tout. Idem avec Spybot S&D qui ne fait rien de concluant. 
Je ne sais pas comment l'éliminer... Et je désespère un peu, là. J'ai besoin de votre aide !

Merci par avance, et à bientôt.
Florence

Quelques infos sur ma config :
Système d'exploitation : Windows XP SP3 (Edition familiale)
Navigateur : Firefox 3.6.3
Antivirus : Avast!

Malekal_morte- · Answer

Salut,

Oubli Spybot.
Win32:Kates-BL [Trj] est détecté dans quel fichier ?

Si tu peux transférer par clef USB depuis un autre PC et à faire sur le PC infecté :

- Télécharge  http://www.trendsecure.com/portal/fr/_download/HJTInstall.exe ton bureau.        
- Double-clic sur HijackThis        
- Génère un rapport en suivant ces indications :        
    - Exécute le et clique sur Do a scan and save log file.        
    - Le rapport s'ouvre sur le Bloc-Note        
- Colle le rapport ici, pour cela :        
    - Menu Edition / Selectionner Tout        
    - Menu Edition / copier        
    - Ici dans un nouveau message : clic droit / coller

g.chinal · Answer

Hello !

 Commence par passer un coup de CCleaner
 Ensuite, Vire Avast et installe AntiVir !
 Passe un petit coup d'AntiVir, si lui non plus ne parvient pas à la supprimer, c'est bon t'as gagné tu peux re-mettre Avast ^^
 Télécharge donc HiJackThis en dernier recours, clique sur do a system scan and save a log file puis post le ici !

Voilà voilà bon courage !

Malekal_morte- · Answer

Utiliser CCleaner dans ces cas là, c'est est encore plus inutile que utiliser Spybot. 
Et garde Avast!... Elle va pas aller se prendre la tête à installer Antivir sans connexion internet, donc faire une maj manuelle & co pour faire un scan et prier pour qu'il enlève un des trojans et probablement en laisser d'autres (surtout des rootkits).

La roulette russe des scans avec des antimachins pour espérer supprimer des trucs détectés par l'autre, c'est vraiment pas efficace.

g.chinal · Answer

Les trojans peuvent se loger dans les cookies d'où l'utilisation de CCleaner ...
Spybot, pour info détecte spywares & trojans donc je ne vois rien d'inutile à tout ça ...
@+

Malekal_morte- · Answer

Les trojans peuvent se loger dans les cookies d'où l'utilisation de CCleaner ...   

Les trojans se logent pas dans les cookies.   
Eventuellement t'as des tracking cookies issus des pubs (que certains antimachins tagguent en spywares)... sauf que... CCleaner il fait pas la différence entre un tracking cookies d'un cookies "sain", donc aux mieux tu supprimes tous les cookies et donc tu perds les cookies de sessions et compagnie.   
Et toute façon dans son cas, c'est pas un prb de cookies. 
Donc CCleaner sert à rien. 

Spybot, pour info détecte spywares & trojans donc je ne vois rien d'inutile à tout ça ...    

oui sur le papier c'est un antimachin qui est censé détecter...   
Dans la réalité, sur une infection, il va te détecter 20% et dans les 20% ce sera en grande partie des clefs du registre....   
Ensuite détecté c'est pas supprimé.... et spybot, c'est une brèle pour supprimer là où déjà la majorité des antivirus sont largués.
Donc au final, il sert à rien.
Spybot c'était bien en 2000.

g.chinal · Answer

Okai donc repartis pour la bonne vieille méthode HiJackThis

Malekal_morte- · Answer

oui et encore c'est pas suffiant.
(pour revenir à Spybot, si tu regardes les posts, y a de grandes chances qu'il soit installé et certains vont te préciser qu'ils ont déjà fait un scan avec et le prb n'est pas résolu).

Le seul scanneur antiqqchose qui tient la route en désinfection, c'est Malwarebyte.
Dès que l'infection est un peu sophistiquées (rootkit par exemple), le scanneur avec un antimachin depuis le système d'exploitation infectée servira à rien.
Après depuis un CD Live, c'est une autre histoire.

Florence D. · Answer

Merci pour ta rapidité Malekal ! Je suis passée par un autre PC et fait ce que tu m'as indiqué.

Win32 est situé dans "Documents and Settings > Local Settings > Temp. C'est ce que m'indique Avast, qui nomme le fichier "faol.bak".

Voici le rapport :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:42:53, on 28/05/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\CyberLink\Shared Files\RichVideo.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Inventel\Gateway\wlancfg.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\ScanSoft\OmniPageSE4.0\OpwareSE4.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\CyberLink\PCM4Everio\EverioService.exe
C:\Program Files\Unlocker\UnlockerAssistant.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Fichiers communs\Nikon\Monitor\NkMonitor.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Java\jre6\bin\jucheck.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Adobe\Photoshop CS\Photoshop.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.noos.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://fr.yahoo.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://fr.yahoo.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/customize/fuji/defaults/su/*https://fr.yahoo.com/?p=us
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://fr.yahoo.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_3_19_0.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Canon Easy Web Print Helper - {68F9551E-0411-48E4-9AAF-4BC42A6A46BE} - C:\Program Files\Canon\Easy-WebPrint\EWPBrowseLoader.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_3_19_0.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [Raccourci vers la page des propriétés de High Definition Audio] HDAShCut.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Muscbrigade] c:\Musicbrigade\Musicbrigade.exe check
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Install5G] D:\Install.exe plug_Cameo
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Program Files\Fichiers communs\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [OpwareSE4] "C:\Program Files\ScanSoft\OmniPageSE4.0\OpwareSE4.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [EverioService] "C:\Program Files\CyberLink\PCM4Everio\EverioService.exe"
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Program Files\Unlocker\UnlockerAssistant.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [fsc-reminder.exe] C:\WINDOWSeminder\fsc-reminder.exe 2454359 14
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: Nikon Monitor.lnk = C:\Program Files\Fichiers communs\Nikon\Monitor\NkMonitor.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html
O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O20 - AppInit_DLLs: winmm.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe
O23 - Service: Service de lancement de WlanCfg (Wlancfg) - Inventel - C:\Program Files\Inventel\Gateway\wlancfg.exe

g.chinal · Answer

Une analyse par Live CD, ça va quand même un peu loin enfin ça reste une des meilleures solutions. Mais HiJackThis résout quand même 90% des problèmes ! 

Sur ce, je te laisse gérer tout ça, t'as plutôt l'air de bien t'y connaitre ;) Con courage !

Malekal_morte- · Answer

Win32 est situé dans "Documents and Settings > Local Settings > Temp. C'est ce que m'indique Avast, qui nomme le fichier "faol.bak". 

OK ca doit être Trojan.Daonol (rien à voir avec les yaourghts :p)
Normalement il fait des redirections lors des recherches Google (bon t'as plus internet) et je crois que les derniers volent les mots de passe surtout FTP.

Normalement Combofix lui pète la tête.

Désactive les logiciels de protection (Antivirus, Antispywares) puis :          

Télécharge Combofix sUBs : http://download.bleepingcomputer.com/sUBs/ComboFix.exe et sauvegarde le sur ton bureau et pas ailleurs!          

Double-clic sur combofix, accepte la licence d'utilisation et laisse toi guider.          

Eventuellement, installe la console de récupération comme cela est conseillé          

Attends que combofix ait terminé, un rapport sera créé. Poste le rapport.          

Tu as le tutorial sur ce lien pour t'aider : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix          

PS : si Combofix ne se lance pas, renomme le fichier Combofix et retente.          

Si pas mieux, tente en mode sans échec sans prise en charge du réseau : Redémarre en mode sans échec, pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec et appuye sur la touche entrée du clavier.

Malekal_morte- · Answer

Tjrs des alertes d'Avast! ?

Tjrs un prb de connexion internet ?

Tu es en cable chez noos ?
Pas de Wifi ?

Tu peux surfer ou ce sont juste les téléchargements qui sont impossible ?

Malekal_morte- · Answer

Et Avast! m'a refait une alerte à l'instant pour Win32... 

Quand tu as une alerte, il faut donner le nom du fichier.
Sinon ça sert à rien.

Par contre, certains sites s'affichent toujours partiellement et je ne peux toujours pas télécharger de logiciels. 

C'est à dire ? ça fait quoi quand tu veux télécharger, tu clics sur le lien et après... il se passe quoi ?

Malekal_morte- · Answer

OK pour le téléchargement, ça doit être Firefox qui déconne. 
CCleaner doit pouvoir aider en virant via analyse firefox et histo téléchargement) 

Sinon faut supprimer le fichier downloads.sqlite qui doit se trouver grosso modo par là : 
c:\documents and settings\Le Cabestan\Application Data\Mozilla\Firefox\Profiles\xxxxxx.default\downloads.sqlite  


Pour le malware : 

Télécharger SystemLook à partir d'un des liens ci dessous sur ton Bureau. 
Download Mirror:: http://jpshortstuff.247fixes.com/SystemLook.exe 
Download Mirror #2:: http://images.malwareremoval.com/jpshortstuff/SystemLook.exe 

* Double-click SystemLook.exe pour le lançer. 
* Clic droit|copier le contenu du cadre ci dessous ,et clic droit|coller dans le cadre blanc de SystemLook: 

:reg 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\ /sub

* Click le bouton Look pour commencer le scan. 
* Copie-colle dans ta prochaine réponse le rapport\contenu du fichier texte qui s'affiche 


~~ 


 * Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.  
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)  

* Sous Custom Scans/Fixes, copie-colle ce qu'il y a dans le cadre ci-dessous :  
netsvcs  
%SYSTEMDRIVE%\*.exe  
HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32 /s 
%systemroot%\*. /mp /s  
CREATERESTOREPOINT  
* Clique sur le bouton Quick Scan.  
* Quand le scan est fini, utilise le site http://www.cijoint.fr/ pour me donner les deux rapports : OTL.Txt et Extras.Txt.  

Madness Rox \o/

Malekal_morte- · Answer

Bon c'est bien Trojan.Danoal.  

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\]  
"aux"="wdmaud.drv"  
"midi"="wdmaud.drv"  
"midi9"="C:\DOCUME~1\LECABE~1\LOCALS~1\Temp\faol.bak 2yAPFDOFNF"   


Fais ça :  
DESACTIVE LA PROTECTION ANTIVIR DURANT LA PROCEDURE   

Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes :   

file::  
C:\DOCUME~1\LECABE~1\LOCALS~1\Temp\faol.bak
C:\DOCUME~1\LECABE~1\LOCALS~1\Temp\faol.bak 2yAPFDOFNF  
Registry::  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32]  
midi9=-   

Enregistre ce fichier sous le nom CFScript   

[*]Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe    

[*]Combofix se lance, laisse toi guider..   

[*]Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal!   
Ne touche à rien tant que le scan n'est pas terminé.   
[*]Une fois le scan achevé, un rapport va s'afficher: poste son contenu, en précisant où en sont tes soucis  


Regarde si tu as encore des alertes Avast!.  


Madness Rox \o/

Malekal_morte- · Answer

lol je suis sûr que tu ne regarderas plus les yaourghts de la mm manière :D

Un peu de boulot pour ce WE :D :

Adobe Reader est pas à jour et contient des vulnérabilités qui peuvent mettre l'infection de ton PC. 
Lire explications : https://forum.malekal.com/viewtopic.php?t=13629&start= 

Maintiens tes progs à jour c'est important, utilise ce programme : https://www.commentcamarche.net/faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite   
Absolument à faire.   

~~

Ta version d'Avast! est périmé, tu sembles avoir la version 4.
La dernière est la version 5 et elle protège bcp plus !!

~~ 

Un peu de lecture pour éviter les infections :      
- connaitre et éviter les infections : https://www.malekal.com/fichiers/projetantimalwares/ProjetAntiMalware-courte.pdf      
- sécuriser son PC : http://forum.malekal.com/comment-securiser-son-ordinateur.html      

Si tu veux désinstaller Combofix :  
- Menu Démarrer / exécuter et tape : Combofix /uninstall puis OK (attention il y a pas d'espace entre le / et le uninstall)

Gros souci, impossibilité de télécharger...

15 réponses

Newsletters