Trojan-Dropper.Win32

Question

Bonjour à tous ! J'utilise XP sp2, Norton AV, a2, Spybot et Ad-Aware. Pourtant, tous les jours en scannant avec a2, je trouve des Trojan-Dropper.Win 32 + Trojan.Win32.Qhost.qr sur mon System Volume Information. Hier, j'ai fait un scan en désactivant puis réactivant mon système de restauration. Je n'ai naturellement plus rien trouvé. Mais cet aprem, rebelotte ! Je refais un scan normal (sans désactiver ), et revoilà mon Dropper. Pourriez-vous svp me dire que faire pour m'en débarrasser une bonne fois pour toute ? Merci

Utilisateur anonyme · Answer

Pareildesactive et reactive ta restauration systeme (il se trouve bien ds systeme volume information?)a+

Starling · Answer

Salut Oui, il se trouve bien dans mon système volume information. Mais pourquoi revient-il tous les jours, malgré mes scans en désactivant ? Ca ne les élimine pas définitivement ?

Utilisateur anonyme · Answer

re,tu pocedes comme ceci?desactivation de la restau < scan< reactivation?a+

Starling · Answer

Oui, Oui :Désact., scan, puis réactiv. ( + nouveau point de restauration )

Utilisateur anonyme · Answer

En effet c est curieuxSinon tu fais l inverse:tu scan avec a² < tu desactive et reactive ensuite ta restauration systeme < et c est tout ...a+

Starling · Answer

OK Je vais essayer ça ( scan a2, désactiver puis réactiver system restore ). Je fais redémarrer mon PC et je te dis si Dropper est revenu à l'attaque. Merci et à +

Utilisateur anonyme · Answer

de rienA+

Starling · Answer

Rebonsoir J'ai fait comme tu as dit : scan a2 + désactivation + réactivation du système de restauration. A nouveau scan :  rienRedémarrage du PC, puis rescan (sans désactivation cette fois ) : et là :  suspense ! : le Dropper (et ses jumeaux ) etait à nouveau là, toujours dans le System Volume Information.  Si je comprends bien, pour ne plus voir de Dropper, je devrai à chaque fois désactiver mon syst de restau à chaque scan a2 ?

Utilisateur anonyme · Answer

saluttoujours hclean32 ?a+

Starling · Answer

Salut ! Pas seulement, mais, d'après le rapport d'audit de Norton, aussi      C:\WINDOWS\system32\dmbvb.exe Mais tout d'abord, pourrais-tu répondre à ma question précédente ? Donc, un Dropper à chaque scan dans system volume information. Dois-je, pour ne plus le revoir, à chaque scan, désactiver puis réactiver la restauration du système ? Merci pour tes réponses

Utilisateur anonyme · Answer

salutJe crois que tes 2 problemes sont liés, le dropper et autres reviennes à chaques redemarrages, donc si ton pc crée un point de sauvegarde il est automatiquement infecté.Tant que que tu ne resoudra pas ton probleme de trojan, ca reviendra à chaque fois.En plus, tu n'est pas tombé sur le plus facile à supprimer...a+

Utilisateur anonyme · Answer

j'ai une petite demi heure avant d'arreter, si tu as le temps on peut essayer quelques manips, sinon je repasse demain, c'est toi qui vois.a+

Utilisateur anonyme · Answer

c'est pas grave, demande si tu comprend pas une manip et je t'expliquerais.commence par telecharger ces 3 progs:telecharge la derniere version d'hijackthis ici:http://www.merijn.org/files/hijackthis.zip et reposte un rapport. Telecharge aussi silentrunners ici: http://www.silentrunners.org/Silent%20Runners.vbs lance le et quand norton va te le demander, autorise le script poste le rapport de silentrunners telecharge ce prog ici: http://cjoint.com/?jAu7RJ0V1J dezippe le (clic droit sur le fichier > extraire tout) et lance hc.bat, le bloc note va s'ouvrir, copie et colle le contenu ici. et surtout ne redemarre pas le pc pour l'instant. a+

Utilisateur anonyme · Answer

celui de silentrunners n'est pas en entier, reposte lea+

Utilisateur anonyme · Answer

bah non il en manque, quand tu ouvre le rapport, tu clic sur le menu edition du bloc note et tu clic sur selectionner tout puis tu fais clic droit sur le texte > copieret tu colle ici.T'inquiete, c'est juste des verifications, seulement on peut pas tout voir avec hijackthis et il faut l'aide d'autres prog pour cerner comme il faut ton trojan.a+edit:ne tiens pas compte de ce post, j'avais pas vu le rapport de silentrunners

Utilisateur anonyme · Answer

si, si c'etait complet, mais j'avais pas vu que tu l'avais reposté en entier au moment ou j'ai ecrit le message.Imprime, ou enregistre la manip dansun fichier txt (bloc notes) pour etre sur ne rien oublier et de tout faire dans l'ordre.Déconnecte toi d'internet et ferme tout les programmes en cours. Rend visible les fichiers cachés et systeme panneau de configuration > options des dossiers > onglet affichage Cocher la case devant " afficher les fichiers et dossiers cachés "Décocher la case devant " masquer les extentions des fichiers dont le type est connu" Décocher la case devant " masquer les fichiers protégés du système"clic sur [Appliquer] puis sur [ok] pour valider-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_ Lance hijackthis et clic sur [do a system scan only]cocher la case au début des lignes suivantes:O1 - Hosts: localhost 127.0.0.1 O17 - HKLM\System\CCS\Services\Tcpip\..\{121A3E71-9482-4A61-BAD2-E71719EB0933}: NameServer = 195.95.218.1 85.255.112.7 O17 - HKLM\System\CS2\Services\Tcpip\..\{121A3E71-9482-4A61-BAD2-E71719EB0933}: NameServer = 195.95.218.1 85.255.112.7 valider en cliquant sur le bouton [fix checked]-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_ouvre le bloc note et fais un copier coller de ce qui est en gras ci-dessous:REGEDIT4[-HKEY_LOCAL_MACHINE\SOFTWARE\CLASSES\HCLEAN32.EXE][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion] "Disabled"=- [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersionuins][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "dmbvb.exe"=- [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] "System"=- "System"="" Puis clic sur fichier>enregistrer sous et dans: Nom du fichier, met fix.reg Type de fichier: selectionne "tous les fichiers" <- n'oublie pas cette etapeclic sur enregistrer ensuite double clic sur fix.reg et accepte de fusionner-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_Maintenant, recherche et supprime s'ils sont présents:C:\WINDOWS\system32\dmbvb.exeC:\WINDOWS\system32\csavv.exeC:\WINDOWS\balloon.wavC:\WINDOWS\SYSTEM32\dllhstgp.exe C:\WINDOWS\System32dsndin.exe C:\WINDOWSdt.iniC:\WINDOWS\System32
tfsnlpa.exeC:\WINDOWS\System32dsndin.exe C:\WINDOWS\System32\loadctr32.exetous ne seront peut etre pas présents...-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_et fais un scan av ici:http://www.bitdefender.fret poste le rapportNe pas oublier après les manips de recacher les fichiers systeme dans les options des dossiers.je dois arreter pour ce soir, je repasse demain pour la suitea+++

starling · Answer

Voici les résultats du scan bitdefender. Désolée, mais j'ai du en faire deux car j'ai enregistré le rapport du premier en format texte. Voilà ce que j'ai pu en tirer: Rapport d'analyse généré à: Thu, Sep 29, 2005 - 01:55:07        StatistiquesTemps                  00:38:00Fichiers119461                        Directoires                        3101Secteurs de boot3Archives972Paquets programmes23473                    RésultatsVirus identifiés4Fichiers infectés5Fichiers suspects0                        Avertissements0Désinfectés0Fichiers effacés5Info sur les moteursDéfinition virus213151Version des moteursAVCORE v1.0 (build 2292) (i386) (Mar  3 2005 11:57:29)Analyse des plugins13Archive des plugins39Unpack des plugins4E-mail plugins6Système plugins1Paramètres d'analysePremière actionDésinfectéSeconde ActionSuppriméHeuristiqueOuiAcceptez les avertissementsOuiExtensions analyséesexe;com;dll;ocx;scr;bin;dat;386;vxd;sys;wdm;cla;class;ovl;ole;hlp;doc;dot;xls;ppt;wbk;wiz;pot;ppa;xla;xlt;vbs;vbe;mdb;rtf;htm;hta;html;xml;xtp;php;asp;js;shs;chm;lnk;pif;prc;url;smm;pfd;msi;ini;csc;cmd;basExcludez les extensionsAnalyse d'emailsOuiAnalyse des ArchivesOuiAnalyser paquets programmesOuiAnalyse des fichiersOuiAnalyse de bootOuiFichier analyséStatutC:\System Volume Information\_restore{A9C7C618-D116-477F-A055-B61991414290}\RP14\A0005262.exeInfecté par: Trojan.Dropper.Vidro.UC:\System Volume Information\_restore{A9C7C618-D116-477F-A055-B61991414290}\RP14\A0005262.exeEchec de la désinfectionC:\System Volume Information\_restore{A9C7C618-D116-477F-A055-B61991414290}\RP14\A0005262.exeSuppriméC:\System Volume Information\_restore{A9C7C618-D116-477F-A055-B61991414290}\RP14\A0005270.exeInfecté par: Trojan.Dropper.Vidro.UC:\System Volume Information\_restore{A9C7C618-D116-477F-A055-B61991414290}\RP14\A0005270.exeEchec de la désinfectionC:\System Volume Information\_restore{A9C7C618-D116-477F-A055-B61991414290}\RP14\A0005270.exeSuppriméC:\System Volume Information\_restore{A9C7C618-D116-477F-A055-B61991414290}\RP14\A0005281.exeInfecté par: Trojan.Click.526C:\System Volume Information\_restore{A9C7C618-D116-477F-A055-B61991414290}\RP14\A0005281.exeEchec de la désinfectionC:\System Volume Information\_restore{A9C7C618-D116-477F-A055-B61991414290}\RP14\A0005281.exeSuppriméC:\System Volume Information\_restore{A9C7C618-D116-477F-A055-B61991414290}\RP14\A0005282.exeInfecté par: Trojan.FakealertC:\System Volume Information\_restore{A9C7C618-D116-477F-A055-B61991414290}\RP14\A0005282.exeEchec de la désinfectionC:\System Volume Information\_restore{A9C7C618-D116-477F-A055-B61991414290}\RP14\A0005282.exeSuppriméC:\WINDOWS\system32\spnping.exeInfecté par: Trojan.Small.AttcC:\WINDOWS\system32\spnping.exeEchec de la désinfectionC:\WINDOWS\system32\spnping.exeSuppriméEt le second scan bitdefender a donné ceci : BitDefender Online Scanner  Rapport d'analyse généré à: Thu, Sep 29, 2005 - 02:45:51  Voie d'analyse: A:\;C:\;Q:\;  Statistiques Temps 00:40:09 Fichiers 119490 Directoires 3102 Secteurs de boot 3 Archives 972 Paquets programmes 23472      Résultats Virus identifiés 1 Fichiers infectés 1 Fichiers suspects 0 Avertissements 0 Désinfectés 0 Fichiers effacés 1      Info sur les moteurs Définition virus 213151 Version des moteurs AVCORE v1.0 (build 2292) (i386) (Mar 3 2005 11:57:29) Analyse des plugins 13 Archive des plugins 39 Unpack des plugins 4 E-mail plugins 6 Système plugins 1      Paramètres d'analyse Première action Désinfecté Seconde Action Supprimé Heuristique Oui Acceptez les avertissements Oui Extensions analysées exe;com;dll;ocx;scr;bin;dat;386;vxd;sys;wdm;cla;class;ovl;ole;hlp;doc;dot;xls;ppt;wbk;wiz;pot;ppa;xla;xlt;vbs;vbe;mdb;rtf;htm;hta;html;xml;xtp;php;asp;js;shs;chm;lnk;pif;prc;url;smm;pfd;msi;ini;csc;cmd;bas; Excludez les extensions   Analyse d'emails Oui Analyse des Archives Oui Analyser paquets programmes Oui Analyse des fichiers Oui Analyse de boot Oui        Fichier analysé  Statut C:\System Volume Information\_restore{A9C7C618-D116-477F-A055-B61991414290}\RP14\A0005283.exe Infecté par: Trojan.Small.Attc C:\System Volume Information\_restore{A9C7C618-D116-477F-A055-B61991414290}\RP14\A0005283.exe Echec de la désinfection C:\System Volume Information\_restore{A9C7C618-D116-477F-A055-B61991414290}\RP14\A0005283.exe Supprimé    Bonne analyse et d'avance merci pour l'aide de demainBonne nuit

Utilisateur anonyme · Answer

salutapparement bitdefender à supprimé tout ce qu'il a trouvé.Ou en sont tes soucis, toujours des alertes de ton av ?reposte un hijackthis + le rapport de hc.bat + silentrunners pour verifier si tout est ok.a++

Utilisateur anonyme · Answer

salutest ce que tu as redemarré ton pc depuis que tu as posté les derniers rapports ?a+

Utilisateur anonyme · Answer

salutalors reposte les 3 rapports des 3 progs:hijackthissilentrunnershc.bata+

Utilisateur anonyme · Answer

ok

Imprime, ou enregistre la manip dans un fichier txt (bloc notes) pour etre sur ne rien oublier et de tout faire dans l'ordre.

Déconnecte toi d'internet et ferme tout les programmes en cours.< tres important

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

Lance hijackthis et clic sur [do a system scan only]
cocher la case au début des lignes suivantes:

O17 - HKLM\System\CCS\Services\Tcpip\..\{121A3E71-9482-4A61-BAD2-E71719EB0933}: NameServer = 195.95.218.1 85.255.112.7
O17 - HKLM\System\CS2\Services\Tcpip\..\{121A3E71-9482-4A61-BAD2-E71719EB0933}: NameServer = 195.95.218.1 85.255.112.7

valider en cliquant sur le bouton [fix checked]

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

ouvre le bloc note et fais un copier coller de ce qui est en gras ci-dessous

REGEDIT4

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ruins]

Puis clic sur fichier>enregistrer sous et dans:
Nom du fichier, met fix.reg
Type de fichier: selectionne "tous les fichiers" <- n'oublie pas cette etape
clic sur enregistrer

ensuite double clic sur fix.reg et accepte de fusionner

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

Rend visible les fichiers cachés et systeme
panneau de configuration > options des dossiers > onglet affichage
Cocher la case devant " afficher les fichiers et dossiers cachés "
Décocher la case devant " masquer les extentions des fichiers dont le type est connu"
Décocher la case devant " masquer les fichiers protégés du système"
clic sur [Appliquer] puis sur [ok] pour valider

supprime:

C:\WINDOWS\System32\loadctr32.exe
C:\WINDOWS\System32\hclean32.exe
C:\WINDOWS\System32\dmbvb.exe

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

ensuite redemarre le pc et reposte un hijack

a+

Utilisateur anonyme · Answer

ok, ils font de la resistance
on va procéder autrement:

reste connecté, et lance hijackthis:
supprime ces deux lignes:
O17 - HKLM\System\CCS\Services\Tcpip\..\{121A3E71-9482-4A61-BAD2-E71719EB0933}: NameServer = 195.95.218.1 85.255.112.7
O17 - HKLM\System\CS2\Services\Tcpip\..\{121A3E71-9482-4A61-BAD2-E71719EB0933}: NameServer = 195.95.218.1 85.255.112.7

puis, déconnecte toi du net

puis vérifie ceci:
demarrer > connections > clic droit sur ta connection > propriétés
onglet gestion de reseau
assure toi que protocole internet tcp/ip est en surbrillance (attention, ne décoche pas la case)> clic sur propriétés > vérifie que "obtenir les adresses des serveurs DNS automatiquement" soit coché

relance hijackthis et clic sur [Open the misc tools section]
valide avec ok
clic sur delete a file on reboot
dans la fenetre qui s'ouvre, et dans "nom du fichier" copie et colle:
C:\WINDOWS\System32\dmbvb.exe
et valide
hijack va te demander si tu veux redemarrer le pc, refuse
refais pareil pour
C:\WINDOWS\System32\hclean32.exe
et quand hijack va te demande de redemarrer, cette fois ci accepte

ensuite reposte un hijack

a+

Utilisateur anonyme · Answer

re

tu supprime les 2 017 avec hijack en etant connecté (puisque elles n'apparaissent pas hors connec)
ensuite tu fais le reste de la manip hors connection

tu n'as pas à etre désolé lol, il vaut mieux que tu demande, plutot que de faire n'importe quoi ;-)

a+

Utilisateur anonyme · Answer

oui, il n'y a pas de touche ok apres open the misc..... lol ne suis trompé.reposte un hijackthis que tu auras fais apres t'etre connecté , pour vérifier si les 017 sont partiesa+

Utilisateur anonyme · Answer

salut starlingdsl, mais j'ai du m'absenter hier soir.reposte un hijackthis pour voir, le probleme de connection, semble venir de 017.a+

Utilisateur anonyme · Answer

salut starling

tu as fais quoi exactement pour retrouver ta connection ?
je pense que le probleme devait venir de la suppression des lignes 017 et je vois quelle sont à nouveau présentes dans ton hijack.
Il doit rester un processus qui les recrées, est ce que tu as toujours des alertes ?

a+

Utilisateur anonyme · Answer

salutje ne sais si moe est la, donc je vais juste t indiquer un ptit truc en attendant son retour,Lance ce scan en ligne: http://www.bitdefender.com/scan/licence.phpCopie/colle le rapporta+

Utilisateur anonyme · Answer

fas un scan avec a² et copie colle le rapporta+

Utilisateur anonyme · Answer

salut
pour a² verifie qu il est accepter ds ton pare feu comme ca tu pourras le laisser actif

De plus System Volume Information = ta restauration systeme, normal qu il soit parti, avec la manip de moe ou le scan en ligne il faut automatiquement la suppression

a+

Utilisateur anonyme · Answer

salut starlingCa a l'air de s'arranger ;-)reposte quand meme un hijack, histoire de voir si tout est oka+

Utilisateur anonyme · Answer

hello starling

Ca va ?

le log à l'air correct, les 017 sont ok ;-)
toujours des soucis ?

juste ce fichier qui est bizarre:
C:\Program Files\Outlook Express\OLD49.tmp
fais le analyser ici:
http://www.virustotal.com/xhtml/virustotal_en.html
et poste le rapport

a+++

Utilisateur anonyme · Answer

salut

pour norton, quand tu double clic sur l'icone, tu dois avoir une fenetre qui s'ouvre avec les options de reglage de norton, est ce que auto protect et activé ?

C'est peut etre juste un petit temps de mise en fonction au demarrage.

a+

Utilisateur anonyme · Answer

ok, donc il est bien activéa+++

Utilisateur anonyme · Answer

C'est vraiment très gentil et je suis sur que toutes les personnes qui passent un peu de leur temps ici apprécieront aussi.
N’hésite surtout pas à revenir si tu a le moindre soucis, une question, ou pour faire un petit bonjour.
Content que tes problèmes de virus soient réglés.

A+++

Trojan-Dropper.Win32 - Page 2

Discussions similaires

Newsletters