download trojan dans req.dll Résolu

Question

Bonjour a tous,
norton a detecté le download trojan dans
c:\windows\system32\req.dll
Impossible de l'eliminer ou renommer meme en mode sans echec et en ayant eliminé la restauration du systeme. Une fenêtre s'ouvre en disant que ce fichier est en utilisation par une autre application.

D'ailleurs j'ai fait marcher AD Aware, Spybot, A squared2, AntiTrojan Elite et No Adware, mais aucun de ces programmes ne le detecte. J'ai meme essayé avec des scan online comme Housecall qui ne le trouve pas, mais aussi avec Bitdefender qui ne fait rien non plus.

Quelqu'un pourrait m'aider svp?? Je ne sais plus quoi faire.
merci beaucoup pour votre aide

Afficher la suite

Utilisateur anonyme · Answer

BonjourTélécharge HijackThis v1.99.1http://www.merijn.org/files/hijackthis.zipTutorialhttp://sitethemacs.free.fr/aide_enregistrement_de_hijackthi.htmDémo en image http://pageperso.aol.fr/balltrap34/demohijack.htm Fais un scan et poste l'analyse ici.

Utilisateur anonyme · Answer

Bonsoir* 1 * Télécharge- Process Explorer de Systernals http://www.sysinternals.com/ntw2k/freeware/procexp.shtmlDézippe le dans un répertoire dédié.- Pocket KillBox de Option^Explicit http://www.bleepingcomputer.com/files/spyware/KillBox.zipEnsuite, tu le dézippes sur ton bureau.Démo animéehttp://pageperso.aol.fr/balltrap34/killbox.htm* 2 * Ouvre le Bloc-note et copie-colle les lignes entre --- ci-dessous (y compris la ligne vide à la fin) -----------------------------------------------------------------------------------REGEDIT4 [-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8E13DDE1-E013-47ec-9C4C-27C2F78BDD26}] [-HKEY_CLASSES_ROOT\CLSID\{8E13DDE1-E013-47ec-9C4C-27C2F78BDD26}] [-HKEY_CLASSES_ROOT\MSEvents.MSEvents] [-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MSEvents.MSEvents] ----------------------------------------------------------------------------------Enregistre ce fichier sur ton bureau (Nom du fichier : "Fixme.reg " -sans inclure les guillemets- ; Type : Tous les fichiers).* 3 * Redémarre en mode sans echec. Attention, tu n'as pas accès à internet dans ce mode, note bien ce que tu as à faire. Démarre l'ordinateur.Une fois le chargement du BIOS terminé, il y a un écran noir. Appuye sur la touche F8 ou F5 jusqu'à l'affichage du menu des options avancées de Windows. En utilisant les touches du curseur, sélectionne le mode sans échec approprié et appuye sur Entrée.* 4 * Ouvre Process ExplorerDouble clique sur winlogon.exe, cela ouvre une fenetre qui affiche les proprietes de winlogon.exe.Clique sur l'onglet "thread". Cherche toutes les instances de req.dll et clique sur le bouton "Kill". Fait de même si tu as un fichier req.ini or req.bak. Ensuite, clique sur OK.Double clique sur explorer.exe. Et recommence la même manipulation.* 5 * Relance un scan HijackThis et coche les lignes ci-dessous :R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = R3 - Default URLSearchHook is missing O2 - BHO: (no name) - {8E13DDE1-E013-47ec-9C4C-27C2F78BDD26} - C:\WINDOWS\System32\req.dll O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab O16 - DPF: {2A32B14F-4D29-4EA3-AC54-E9B19F436CE7} (Scanner Class) - http://www.windowsecurity.com/trojanscan/TDECntrl.CAB O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender-es.com/scan8/oscan8.cab O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab O16 - DPF: {92E7E45A-D8C8-480E-AF99-176E43997CAA} (Aurigma Image Uploader 3.5 Combo Control) - http://www.pixdiscount.fr/clients/ImageUploader3.cab O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.5 Control) - http://www.pixdiscount.fr/clients/ImageUploader3.cab O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab O16 - DPF: {F54C1137-5E34-4B95-95A5-BA56D4D8D743} (Secure Delivery) - http://www.gamespot.com/KDX22/download/kdx.cab O20 - Winlogon Notify: req - C:\WINDOWS\System32\req.dll Ferme toutes les fenêtres Windows, Internet explorer, Outlook,sauf le logiciel Hijackthis et clique sur « Fix checked »* 6 * Double-clique sur Fixme.reg  et clique sur Oui lorsqu'on te demande confirmation pour Fusionner.Lorsque tu reçois un message du bon déroulement, supprime le fichier Fixme.reg.* 7 * OuvrePocket Killbox colle dans la petite boite, le chemin complet du fichier suivant:C:\WINDOWS\System32\req.dllet clique sur Delete on Reboot, puis clique sur le cercle rouge avec la croix, tu auras le message suivant:"File with be deleted on next reboot, Process and Reboot now?" ,tu cliques sur "yes" .8 Redémarre normalement et poste un nouveau log HijackThis pour vérification.

violeta75 · Answer

Merci beaucoup pour ton aide. A priori tout va bien maintenant. Voici le rapport du scan.

Logfile of HijackThis v1.99.1
Scan saved at 11:18:16, on 20/09/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\WINDOWS\System32\CTsvcCDA.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe
C:\WINDOWS\System32\atiptaxx.exe
C:\Program Files\WinFast\WFTVFM\WFWIZ.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\System32\devldr32.exe
C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\ycomp5_6_2_0.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll (file missing)
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\ycomp5_6_2_0.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [WinFast Schedule] C:\Program Files\WinFast\WFTVFM\WFWIZ.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender-es.com/scan/Msie/bitdefender.cab
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: C-DillaCdaC11BA - C-Dilla Ltd - C:\WINDOWS\System32\drivers\CDAC11BA.EXE
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.EXE
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe

Utilisateur anonyme · Answer

Bonsoir

Effectivement, le rapport est propre. Il reste une ligne inutile.

Relance un scan HijackThis et coche la ligne ci-dessous :

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll (file missing)

Ferme toutes les fenêtres Windows, Internet explorer, Outlook,sauf le logiciel Hijackthis et clique sur « Fix checked »

Utilisateur anonyme · Answer

Bonsoir* 1 * Télécharge- Process Explorerhttp://www.sysinternals.com/ntw2k/freeware/procexp.shtmlDézippe le dans un répertoire dédié.- Pocket KillBox http://www.bleepingcomputer.com/files/spyware/KillBox.zipEnsuite, tu le dézippes sur ton bureau.* 2 * Ouvre le Bloc-note et copie-colle les lignes entre --- ci-dessous (y compris la ligne vide à la fin) -----------------------------------------------------------------------------------REGEDIT4 [-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8E13DDE1-E013-47ec-9C4C-27C2F78BDD26}]  [-HKEY_CLASSES_ROOT\CLSID\{8E13DDE1-E013-47ec-9C4C-27C2F78BDD26}] [-HKEY_CLASSES_ROOT\MSEvents.MSEvents] [-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MSEvents.MSEvents] ----------------------------------------------------------------------------------Enregistre ce fichier sur ton bureau (Nom du fichier : "Fixme.reg " -sans inclure les guillemets- ; Type : Tous les fichiers).* 3 * Redémarre en mode sans echec. Attention, tu n'as pas accès à internet dans ce mode, note bien ce que tu as à faire.Démarre l'ordinateur.Une fois le chargement du BIOS terminé, il y a un écran noir. Appuye sur la touche F8 ou F5 jusqu'à l'affichage du menu des options avancées de Windows. En utilisant les touches du curseur, sélectionne le mode sans échec approprié et appuye sur Entrée.* 4 * Désinstalle ces applications (si tu les trouves) dans Ajout-Suppression de programmes :AdwareAlert --> Faux utilitaire avec des faux positifs.BT2Net* 5 * Ouvre Process ExplorerDouble clique sur winlogon.exe, cela ouvre une fenetre qui affiche les proprietes de winlogon.exe.Clique sur l'onglet "thread". Cherche toutes les instances de req.dll et clique sur le bouton "Kill". Fait de même si tu as un fichier req.ini or req.bak. Ensuite, clique sur OK.Double clique sur explorer.exe. Et recommence la même manipulation.* 6 * Relance un scan HijackThis et coche les lignes ci-dessous :O2 - BHO: (no name) - {8E13DDE1-E013-47ec-9C4C-27C2F78BDD26} - C:\WINDOWS\system32\req.dll O2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - (no file) O4 - HKLM\..\Run: [AdwareAlert] C:\Program Files\AdwareAlert\AdwareAlert.Exe -boot O18 - Protocol: bt2 - {1730B77B-F429-498F-9B15-4514D83C8294} - C:\PROGRA~1\BT2Net\BT2PLU~1.DLL (file missing) O18 - Filter: application/x-bt2 - {6E1DDCE8-76BC-4390-9488-806E8FB1AD77} - C:\PROGRA~1\BT2Net\BT2PLU~1.DLL O20 - Winlogon Notify: req - C:\WINDOWS\system32\req.dll Ferme toutes les fenêtres Windows, Internet explorer, Outlook,sauf le logiciel Hijackthis et clique sur « Fix checked »* 7 * Double-clique sur Fixme.reg  et clique sur Oui lorsqu'on te demande confirmation pour Fusionner.Lorsque tu reçois un message du bon déroulement, supprime le fichier Fixme.reg.8 Supprime les fichiers/dossiers incriminésC:\Program Files\BT2NetC:\Program Files\AdwareAlert* 9 * OuvrePocket Killboxcolle dans la petite boite, le chemin complet du fichier suivant:C:\WINDOWS\system32\req.dll et clique sur Delete on Reboot, puis clique sur le cercle rouge avec la croix, tu auras le message suivant:"File with be deleted on next reboot, Process and Reboot now?" ,tu cliques sur "yes" .10 Redémarre normalement et poste un nouveau log HijackThis pour vérification.

Download trojan dans req.dll

5 réponses

Votre réponse

Newsletters