Sujet Précédent Sujet Suivant

Trojan.Win32.Crypt.t

Fermé
Colosseum - 20 oct. 2005 à 10:38
 Xemnas - 2 sept. 2008 à 07:16
Bonjour, j'ai un problème avec mon ordinateur : depuis hier, un message apparait très souvent, et insiste pour que je clique sur " oui " ( je dois cliquer sur non des dizaines de fois pendant 30 secondes pour que le message s'en va ). Voici le message :

Personnal Firewall has detected that application 'C:\WINDOWS\SYSTEM32\DEBMARTA.EXE' was replaced by another application with description 'DEBMARTA.EXE'. Do you want to accept replacement of this application ?

Je ne sais pas à quoi ça correspond, mais je sais que c'est un trojan car j'ai tapé oui, énervé et lassé, un message " unable nani nana replace debmarta.exe error 2 " truc du genre et un tas de trojans ont commencés à débarquer, ou plutôt, apparement, le même mais se mettant sur plusieurs fichiers. J'ai fais une analyse antivirus, j'en avais 5 ( c'est la première fois avec Kaspersky et Kerio que j'en ai eu ), le trojan apparement s'appelait Trojan.Win32.crypt.t et s'était foutu en 1 er lieu sur C\...\system32\Itkxmasf.dll puis plein d'autres fichiers. Impossible de le supprimer, alors
JE CRiE UN GROS HELP à CEUX QUi M'ENTENDRONT, SVP AiDEZ MOI !

66 réponses

Précédent
Réponse 41 / 66
Colosseum
23 oct. 2005 à 11:35
UP
0
Réponse 42 / 66
Utilisateur anonyme
23 oct. 2005 à 13:00
salut a toi
moe semble absent
ton rapport silent runner n est pas complet
atends qqs minutes avant de le copier

a+
0
Réponse 43 / 66
Colosseum
23 oct. 2005 à 15:22
"Silent Runners.vbs", revision 41, http://www.silentrunners.org/
Operating System: Windows XP SP2
Output limited to non-default values, except where indicated by "{++}"


Startup items buried in registry:
---------------------------------

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\
"0" = "C:\WINDOWS\win32spool.exe" [file not found]

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"Steam" = ""c:\program files\steam\steam.exe" -silent" ["Valve Corporation"]
"DesktopX" = ""C:\PROGRA~1\Stardock\OBJECT~1\DesktopX\DesktopX.exe"" [file not found]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"SunJavaUpdateSched" = "C:\Program Files\Java\j2re1.4.2_06\bin\jusched.exe" [null data]
"NeroCheck" = "C:\WINDOWS\system32\\NeroCheck.exe" ["Ahead Software Gmbh"]
"adiras" = "adiras.exe" [file not found]
"QuickTime Task" = ""C:\Program Files\QuickTime\qttask.exe" -atboottime" ["Apple Computer, Inc."]
"TkBellExe" = ""C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot" ["RealNetworks, Inc."]
"KAVPersonal50" = "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize" ["Kaspersky Lab"]
"WinampAgent" = "C:\Program Files\Winamp\winampa.exe" [null data]

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}\(Default) = "AcroIEHlprObj Class" [from CLSID]
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx" [empty string]
{53707962-6F74-2D53-2644-206D7942484F}\(Default) = (no title provided)
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\SPYBOT~1\SDHelper.dll" ["Safer Networking Limited"]
{AA58ED58-01DD-4d91-8333-CF10577473F7}\(Default) = "Google Toolbar Helper" [from CLSID]
-> {CLSID}\InProcServer32\(Default) = "c:\program files\google\googletoolbar3.dll" ["Google Inc."]

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "Extension Affichage Panorama du Panneau de configuration"
-> {CLSID}\InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Extension icône HyperTerminal"
-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\hticons.dll" ["Hilgraeve, Inc."]
"{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]
"{640167b4-59b0-47a6-b335-a6b3c0695aea}" = "Portable Media Devices"
-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\Audiodev.dll" [MS]
"{cc86590a-b60a-48e6-996b-41d25ed39a1e}" = "Portable Media Devices Menu"
-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\Audiodev.dll" [MS]
"{32020A01-506E-484D-A2A8-BE3CF17601C3}" = "AlcoholShellEx"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\ALCOHO~1\ALCOHO~1\AXShlEx.dll" ["Alcohol Soft Development Team"]
"{F0CB00CD-5A07-4D91-97F5-A8C92CDA93E4}" = "Shell Extensions for RealOne Player"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Real\RealPlayer\rpshell.dll" ["RealNetworks, Inc."]
"{2F5AC606-70CF-461C-BFE1-734234536262}" = "WindowBlinds CPL Extension"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\Stardock\OBJECT~1\WINDOW~1\wbui.dll" ["Stardock.Net, Inc"]
"{AB77609F-2178-4E6F-9C4B-44AC179D937A}" = "a² Context Menu Shell Extension"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\A2FREE~1\A2CONT~1.DLL" [null data]

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\
INFECTION WARNING! "AppInit_DLLs" = "wbsys.dll" ["Stardock.Net, Inc"]

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
INFECTION WARNING! WB\DLLName = "C:\PROGRA~1\Stardock\OBJECT~1\WINDOW~1\fastload.dll" ["Stardock"]

HKLM\Software\Classes\*\shellex\ContextMenuHandlers\
Kaspersky Anti-Virus\(Default) = "{dd230880-495a-11d1-b064-008048ec2fc5}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\shellex.dll" ["Kaspersky Lab"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\
a2ContMenu\(Default) = "{AB77609F-2178-4E6F-9C4B-44AC179D937A}"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\A2FREE~1\A2CONT~1.DLL" [null data]
Kaspersky Anti-Virus\(Default) = "{dd230880-495a-11d1-b064-008048ec2fc5}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\shellex.dll" ["Kaspersky Lab"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]


Active Desktop and Wallpaper:
-----------------------------

Active Desktop is disabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState

HKCU\Control Panel\Desktop\
"Wallpaper" = "C:\Documents and Settings\Emmanuel P\Local Settings\Application Data\Microsoft\Wallpaper1.bmp"


Enabled Screen Saver:
---------------------

HKCU\Control Panel\Desktop\
"SCRNSAVE.EXE" = "C:\WINDOWS\system32\ssmypics.scr" [MS]


Startup items in "Emmanuel P" & "All Users" startup folders:
------------------------------------------------------------

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage
"DSLMON" -> shortcut to: "C:\Program Files\modem ADSL USB\modem ADSL USB\dslmon.exe" [empty string]


Enabled Scheduled Tasks:
------------------------

"Symantec NetDetect" -> launches: "C:\Program Files\Symantec\LiveUpdate\NDETECT.EXE" ["Symantec Corporation"]


Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]
000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

Transport Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
%SystemRoot%\system32\mswsock.dll [MS], 01 - 03, 06 - 17
%SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05


Toolbars, Explorer Bars, Extensions:
------------------------------------

Toolbars

HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\
"{2318C2B1-4965-11D4-9B18-009027A5CD4F}" = "&Google" [from CLSID]
-> {CLSID}\InProcServer32\(Default) = "c:\program files\google\googletoolbar3.dll" ["Google Inc."]

HKLM\Software\Microsoft\Internet Explorer\Toolbar\
"{2318C2B1-4965-11D4-9B18-009027A5CD4F}" = "&Google" [from CLSID]
-> {CLSID}\InProcServer32\(Default) = "c:\program files\google\googletoolbar3.dll" ["Google Inc."]

Extensions (Tools menu items, main toolbar menu buttons)

HKLM\Software\Microsoft\Internet Explorer\Extensions\
{08B0E5C0-4FCB-11CF-AAA5-00401C608501}\
"MenuText" = "Console Java (Sun)"
"CLSIDExtension" = "{08B0E5C0-4FCB-11CF-AAA5-00401C608501}"
-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\msjava.dll" [MS]

{85D1F590-48F4-11D9-9669-0800200C9A66}\
"MenuText" = "Uninstall BitDefender Online Scanner v8"
"Exec" = "%windir%\bdoscandel.exe" [null data]

{FB5F1910-F110-11D2-BB9E-00C04F795683}\
"ButtonText" = "Messenger"
"MenuText" = "Windows Messenger"
"Exec" = "C:\Program Files\Messenger\msmsgs.exe" [MS]


Miscellaneous IE Hijack Points
------------------------------

C:\WINDOWS\INF\IERESET.INF (used to "Reset Web Settings")

Added lines (compared with English-language version):
[Strings]: START_PAGE_URL=http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
[Strings]: SAFESITE_VALUE="http://home.microsoft.com/intl/fr/"

Missing lines (compared with English-language version):
[Strings]: 2 lines


Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

kavsvc, kavsvc, "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe" ["Kaspersky Lab"]
Kerio Personal Firewall, PersFw, ""C:\Program Files\Kerio\Personal Firewall\persfw.exe"" ["Kerio Technologies"]
Windows User Mode Driver Framework, UMWdf, "C:\WINDOWS\system32\wdfmgr.exe" [MS]


----------
+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
launch it from a command prompt or a shortcut with the -all parameter.
+ To search all directories of local fixed drives for DESKTOP.INI
DLL launch points and all Registry CLSIDs for dormant Explorer Bars,
use the -supp parameter or answer "No" at the first message box.
---------- (total run time: 38 seconds, including 4 seconds for message boxes)
0
Réponse 44 / 66
Utilisateur anonyme
23 oct. 2005 à 15:54
re,
c est ton antivirus ou ton pare feu qui t alerte?

a+
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 45 / 66
Colosseum
23 oct. 2005 à 17:13
le pare feu ( Kerio Personal Firewall )
0
Réponse 46 / 66
Utilisateur anonyme
23 oct. 2005 à 17:25
re,
avec l explorateur de killbox, tu arrives a le situer?

a+
0
Réponse 47 / 66
Colosseum
23 oct. 2005 à 17:43
kézako ? comment faire ?
0
Réponse 48 / 66
Utilisateur anonyme
23 oct. 2005 à 17:50
Kézako? lol , tu es du sud?

Alors lance killbox
Puis clik sur: le dossier jaune entrouvert
puis sur poste de travail
c
SYSTEM32
DEBMARTA.EXE <<<---tu le trouves?
0
Réponse 49 / 66
Colosseum
23 oct. 2005 à 18:12
non mais c'est quoi killbox ?
0
Réponse 50 / 66
Utilisateur anonyme
23 oct. 2005 à 18:40
tu rigoles? lol
tu l as utiliser ici
< 29 > - Trojan.Win32.Crypt.t
Ajouté par moe31 (22/10/2005 à 18:04 GMT+2)
Telecharge: Pocket Killbox ici
http://www.downloads.subratam.org/KillBox.exe
l'aide détaillé de la manip est en video ici:
http://pageperso.aol.fr/balltrap34/killbox.htm

lance killbox:
- coche: delete on reboot
- Dans "Full Path of File to Delete"
copie et colle:

C:\WINDOWS\SYSTEM32\DEBMARTA.EXE

- clic sur la croix blanche dans le rond rouge
- une fenetre va apparaitre pour confirmation clic sur YES
- une seconde fenetre te demande si tu veux redemarrer clic sur YES
0
Réponse 51 / 66
Colosseum
23 oct. 2005 à 19:57
bin j'ai presque envie de c/c ce que j'avais mis.
comme hier, ca a rien fait le truc.
après le redemarrage, hop le truc revient.
0
Réponse 52 / 66
Utilisateur anonyme
23 oct. 2005 à 20:08
re,
dans le programme ou tu as avait fais cette manip, en faisant ceci
lance killbox
Puis clik sur: le dossier jaune entrouvert
puis suis ce chemin:
C:\WINDOWS\SYSTEM32\DEBMARTA.EXE

tu le vois?

a+
0
Réponse 53 / 66
Colosseum
23 oct. 2005 à 21:40
négatif.
0
Réponse 54 / 66
Utilisateur anonyme
23 oct. 2005 à 21:52
re,
je seches...

dans ton gestionnaire de tache (ctlr+alt+supp)
onglet processus
tu as ce DEBMARTA.EXE ?

a+
0
Réponse 55 / 66
Colosseum
23 oct. 2005 à 22:19
oui, mais sous le nom " Keria Personal Firewall "
0
Réponse 56 / 66
Colosseum
23 oct. 2005 à 23:06
kerio* pardon
0
Réponse 57 / 66
Utilisateur anonyme
23 oct. 2005 à 23:38
re,
je comprends pas quand tu me dis sous le nom de kerio???
Le nom debmarta.exe apparait ecrit exactement comme cela?

a+
0
Réponse 58 / 66
Colosseum
24 oct. 2005 à 08:13
bin dans le gestionnaire de tâches la fenêtre apparait bien, mais elle s'appelle " kerio personal firewall " et pas debmarta.exe, debmarta.exe c'est le nom d'un fichier mentionné DANS la fenêtre, sinon la fenêtre elle même vient de kerio apparement.
0
Réponse 59 / 66
Colosseum
24 oct. 2005 à 18:29
UP
0
Réponse 60 / 66
Colosseum
25 oct. 2005 à 17:59
UP
0

Discussions similaires

Trojan Win32 generic
yelena94 -
yelena94 -

27 réponses
Trojan.Win32.Hosts2.gen
matthieugoua -
afideg -

38 réponses
Infection par Trojan.Win32.Bazon.a
Capdec -
Capdec -

16 réponses
PDM:Trojan.generic.win32 depuis 2 jours
CTF05 -
Malekal_morte- -

5 réponses
que veut dire virus Trojan-Downloader.Win32.A
patrefutine -
Utilisateur anonyme -

44 réponses