Trojan.Win32.Qhost.r

Question

Bonsoir,le securitoo de wanadoo vient d'identifier un virus qu'il ne peut pas éliminerTrojan.Win32.Qhost.r qui peut m'aider ?MerciH.

^^Marie^^ · Answer

'soir,

Regarde par là , déjà :

http://www.infos-du-net.com/forum/138553-11-trojan.win32.qhst.r-virer

Ensuite pour la prudence ::

télécharge HijackThis ici:
http://www.hijackthis.de/downloads/hijackthis_199.zip

Dézippe le dans un dossier prévu à cet effet.
Par exemple C:\hijackthis < Enregistre le bien dans c : !
Lance le puis:
clique sur "do a system scan and save logfile" (cf démo)
faire un copier coller du log entier sur le forum

Démo : (merci à balltrap34 pour cette réalisation)
http://pageperso.aol.fr/balltrap34/demohijack.htm

Bon courage

A+

cathay · Answer

Bonsoir,à votre bon coeur ... qui peut me conseiller, cad me dire quelles sont les lignes suspectesmerci d'avanceH

incognito02 · Answer

Bonsoir,

salut

Télécharge ceci: (merci a S!RI pour ce petit programme).
http://siri.urz.free.fr/Fix/SmitfraudFix.zip
Exécute le, Double click sur Smitfraudfix.cmd choisit l’option 1, il va générer un rapport
Copie/colle le sur le post stp.

a+

Utilisateur anonyme · Answer

salut just apres le scan repost un log hijack stp@+++++++++

cathay · Answer

SmitFraudFix v2.00

Rapport fait à 21:42:27,07 le 29.11.2005
Executé à partir de C:\smitfraudfix\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600]

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\Web

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system32

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Dokumente und Einstellungen\Carine\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Recherche Menu Démarrer

»»»»»»»»»»»»»»»»»»»»»»»» Recherche Bureau

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Programme

»»»»»»»»»»»»»»»»»»»»»»»» Recherche présence de clés corrompues

»»»»»»»»»»»»»»»»»»»»»»»» Recherche éléments du bureau

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Die derzeitige Homepage"

»»»»»»»»»»»»»»»»»»»»»»»» Recherche Sharedtaskscheduler

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport

incognito02 · Answer

Bonsoir Jess ! ;-)

Comment vas tu ?

Ne t'affoles pas, je ne lui demande que l'option 1, ça ne nettoie rien pour l'instant. :)

Après le passage de l'option 2, tu pouuras lui demander un log Hjt ;-)

si tu veux je te le laisse.

Amitiés.

incognito02 · Answer

Ok,Double click sur Smitfraudfix.cmd choisit l’option2, il va générer un rapportCopie/colle le sur le post stp.et derrière repostes un log hijackthisbon courage.A+

ben13010 · Answer

salut

fixe ca

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL

O4 - HKCU\..\Run: [Microsoft Service Host] svchost2.exe

O4 - HKCU\..\Run: [Microsoft Services] lsrv.exe

O4 - HKLM\..\Run: [Cryptographic Service] C:\WINDOWS\System32\urvisj.exe

O4 - HKLM\..\Run: [System Update] C:\WINDOWS\System32\beaxi.exe

O4 - HKCU\..\Run: [Microsoft Windows Updater] MSd32.exe

O4 - HKCU\..\Run: [Microsoft Services] lsrv.exe

O4 - HKCU\..\Run: [Microsoft Update] snlogsvc.exe

O4 - HKCU\..\Run: [Microsoft Windows 32Bit Updater] WinUpdater32.exe

O16 - DPF: ppctlcab - http://69.44.122.156/scanner/ppctlcab.cab
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {2A32B14F-4D29-4EA3-AC54-E9B19F436CE7} (Scanner Class) - http://www.windowsecurity.com/trojanscan/TDECntrl.CAB
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {2FC9A21E-2069-4E47-8235-36318989DB13} (PPSDKActiveXScanner.MainScreen) - http://69.44.122.156/scanner/axscanner.cab
O16 - DPF: {4E15D681-1D20-11D4-8B72-000021DA1956} - http://www.e-sexcash.com/plugin/540/natjanl.exe
O16 - DPF: {54B52E52-8000-4413-BD67-FC7FE24B59F2} (EARTPatchX Class) - http://www.ea.com/downloads/rtpatch/EARTPX.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://a840.g.akamai.net/7/840/537/2005111401/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {94908617-0D0A-470E-977F-7BAB6920D184} (CustomToolbar.Setup) - http://www.infocrawler.com/toolbar/Customtoolbar.CAB
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {B020B534-4AA2-4B99-BD6D-5F6EE286DF5C} (Symantec Download Bridge) - http://www2.service.t-online.de/dyn/c/23/34/15/2334156.html
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {D719897A-B07A-4C0C-AEA9-9B663A28DFCB} (iTunesDetector Class) - http://ax.phobos.apple.com.edgesuite.

desactive la ligne 023 de norman puisque tu n'a plus cet antivirus , tu n'a plus besoin de ce service

incognito02 · Answer

WAS PASSIERT ? Ich weiss nicht, ich hab nicht gesehen ! lolTrêve de plaisanterie !tu peux faire ça :Scanne en ligne avec bitdefender http://www.bitdefender.fr/bd/site/page.phpTon micro est serieusement touché !A+

Utilisateur anonyme · Answer

salut incognito je vais bien merci :)
je sais pas quoi repondre j'ai just demandé un log hijack pour l'aider . je pense que c'est ca la but du forum .... :)

si tu veut me laissé ce post y'a pas de probleme mais je pense que ca serai bien qu'on essaye tout les deux de trouver la soluce. a deux ca ira plus vite :) si tu es d'accord biensure :)

bonne soirée

@++++++++++

ben13010 · Answer

re

desole lors du precedent post j'ai oublié de te dire

de supprimer des fichiers

alors voila les lignes suspectes

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL

O4 - HKCU\..\Run: [Microsoft Service Host] svchost2.exe

O4 - HKCU\..\Run: [Microsoft Services] lsrv.exe

O4 - HKLM\..\Run: [Cryptographic Service] C:\WINDOWS\System32\urvisj.exe

O4 - HKLM\..\Run: [System Update] C:\WINDOWS\System32\beaxi.exe

O4 - HKCU\..\Run: [Microsoft Windows Updater] MSd32.exe

O4 - HKCU\..\Run: [Microsoft Services] lsrv.exe

O4 - HKCU\..\Run: [Microsoft Update] snlogsvc.exe

O4 - HKCU\..\Run: [Microsoft Windows 32Bit Updater] WinUpdater32.exe

tu supprime manuellement tous les fichiers en gras et tu vide ta poubelle

ensuite tu desactive ta ligne de service norman (desormais inutiles )

Démarrer -> Exécuter -> tape services.msc, et supprime le service Norman API-hooking helper
fais arreter puis desactiver

reposte ensuite

bye
redemarre et reposte

cathay · Answer

merci a vous deux ... je viens de relancer un scan par le super anti virus de wanadooverdict dans 1 minute

ben13010 · Answer

ok

mais si tu enleve pas ces fichier , tu sera toujours infecté ..

mais un coup d'antivirus fais pas de mal

telecharge et utilise aussi

cleanup

http://www.stevengould.org/software/cleanup/

ewido

spybot

a2 free

ad aware

ccleaner

passe tous ces log et vire tous ce qu'ils trouvent y compris les sauvegardes

reposte ensuite un rapport

bye

cathay · Answer

VOICI UN NOUVEAU RAPPORT ... EST CE EN ORDRE ?SUR VOS BONS CONSEILS JE VAIS FAIRE DES SCANJ AI TOUTEFOIS L'IMPRESSION QUE IL S AGIT D IDENTIFICATION PLUS QUE D ELIMINATIONAI JE UNE VISION FAUSSELogfile of HijackThis v1.99.1Scan saved at 22:37:13, on 29.11.2005Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\csrss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\PROGRA~1\SECURI~1\av_fw\backweb\1044199\Program\SERVIC~1.EXEC:\Programme\T-Online\Dialerschutz-Software\DFInject.exeC:\Programme\Securitoo\av_fw\Anti-Virus\fsgk32st.exeC:\Programme\Securitoo\av_fw\Anti-Virus\FSGK32.EXEC:\Programme\Securitoo\av_fw\backweb\1044199\program\fsbwsys.exeC:\Programme\Securitoo\av_fw\Anti-Virus\fssm32.exeC:\Programme\Securitoo\av_fw\fswsclds.exeC:\WINDOWS\System32\FTRTSVC.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\wdfmgr.exeC:\Programme\Securitoo\av_fw\Common\FSMA32.EXEC:\Programme\Securitoo\av_fw\Common\FSMB32.EXEC:\Programme\Securitoo\av_fw\Common\FCH32.EXEC:\Programme\Securitoo\av_fw\Anti-Virus\fsav32.exeC:\Programme\Securitoo\av_fw\Common\FAMEH32.EXEC:\Programme\Securitoo\av_fw\DFW\Program\fsdfwd.exeC:\WINDOWS\System32\alg.exeC:\WINDOWS\system32\wuauclt.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\system32\RUNDLL32.EXEC:\Programme\Pinnacle\Shared Filesemoterm.exeC:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0K2.EXEC:\WINDOWS\SOUNDMAN.EXEC:\Programme\ZTE Corporation\ZXDSL852\CnxDslTb.exeC:\Programme\Securitoo\av_fw\Common\FSM32.EXEC:\PROGRA~1\Wanadoo\TaskBarIcon.exeC:\WINDOWS\system32\ctfmon.exeC:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exeC:\Programme\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exeC:\PROGRA~1\Wanadoo\EspaceWanadoo.exeC:\Programme\Sony Corporation\Picture Package\Picture Package Menu\SonyTray.exeC:\Programme\Sony Corporation\Picture Package\Picture Package Applications\Residence.exeC:\PROGRA~1\Wanadoo\ComComp.exeC:\PROGRA~1\Wanadoo\Toaster.exeC:\PROGRA~1\Wanadoo\Inactivity.exeC:\PROGRA~1\Wanadoo\PollingModule.exeC:\WINDOWS\System32\ALERTM~1\ALERTM~1.EXEC:\PROGRA~1\Wanadoo\Watch.exeC:\Programme\Securitoo\av_fw\backweb\1044199\Program\BackWeb-1044199.exeC:\Programme\Internet Explorer\iexplore.exeC:\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wanadoo.fr/go/page_recherche/R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.frR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = WanadooO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dllO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInitO4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe -CheckRegO4 - HKLM\..\Run: [PinnacleRemote] C:\Programme\Pinnacle\Shared Filesemoterm.exeO4 - HKLM\..\Run: [EPSON Stylus Photo RX500 (Kopie 1)] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0K2.EXE /P34 "EPSON Stylus Photo RX500 (Kopie 1)" /O6 "USB001" /M "Stylus Photo RX500"O4 - HKLM\..\Run: [EPSON Stylus Photo RX500] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0K2.EXE /P24 "EPSON Stylus Photo RX500" /O5 "LPT1:" /M "Stylus Photo RX500"O4 - HKLM\..\Run: [Microsoft Windows 32Bit Updater] WinUpdater32.exeO4 - HKLM\..\Run: [Services] C:\winread.exeO4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXEO4 - HKLM\..\Run: [CnxDslTaskBar] "C:\Programme\ZTE Corporation\ZXDSL852\CnxDslTb.exe" "ZTE Corporation\ZXDSL852"O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exeO4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\GestMaj.exe TaskBarIcon.exeO4 - HKLM\..\Run: [F-Secure Manager] "C:\Programme\Securitoo\av_fw\Common\FSM32.EXE" /splashO4 - HKLM\..\Run: [F-Secure TNB] "C:\Programme\Securitoo\av_fw\TNB\TNBUtil.exe" /CHECKALLO4 - HKLM\..\Run: [T-Online Dialerschutz-Software] "C:\Programme\T-Online\Dialerschutz-Software\Defender.exe"O4 - HKLM\..\RunServices: [Microsoft Windows 32Bit Updater] WinUpdater32.exeO4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exeO4 - HKCU\..\Run: [InstantTray] c:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exeO4 - HKCU\..\Run: [IW_Drop_Icon] c:\Programme\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe /DropDiscO4 - HKCU\..\Run: [WOOKIT] C:\PROGRA~1\Wanadoo\GestMaj.exe EspaceWanadoo.exeO4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXEO4 - Global Startup: Picture Package Menu.lnk = ?O4 - Global Startup: Picture Package VCD Maker.lnk = C:\Programme\Sony Corporation\Picture Package\Picture Package Applications\Residence.exeO9 - Extra button: Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exeO9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin
pjpi142.dllO9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin
pjpi142.dllO9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)O17 - HKLM\System\CCS\Services\Tcpip\..\{E7BC69CB-0D06-4F98-9986-ACD4124097DE}: NameServer = 80.10.246.130 80.10.246.3O23 - Service: Securitoo AntiVirus Firewall (BackWeb Client - 1044199) - Unknown owner - C:\PROGRA~1\SECURI~1\av_fw\backweb\1044199\Program\SERVIC~1.EXEO23 - Service: Dialerschutz Dienst (DFSVC) - Unknown owner - C:\Programme\T-Online\Dialerschutz-Software\DFInject.exeO23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Programme\Securitoo\av_fw\Anti-Virus\fsgk32st.exeO23 - Service: F-Secure Authentication Agent (FSAA) - Unknown owner - C:\Programme\Securitoo\av_fw\Common\FSAA.EXE (file missing)O23 - Service: fsbwsys - F-Secure Corp. - C:\Programme\Securitoo\av_fw\backweb\1044199\program\fsbwsys.exeO23 - Service: F-Secure Distributed Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Programme\Securitoo\av_fw\DFW\Program\fsdfwd.exeO23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Programme\Securitoo\av_fw\Common\FSMA32.EXEO23 - Service: F-Secure Windows Security Center Legacy Detection Service (Fswsclds) - F-Secure Corporation - C:\Programme\Securitoo\av_fw\fswsclds.exeO23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exeO23 - Service: Norman API-hooking helper (NipSvc) - Unknown owner - C:\NORMAN\Nvc\BIN
ipsvc.exe (file missing)O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exe

ben13010 · Answer

oui tu as tord ces log vont enlever des amlwares et non pas uniquement les identifier

fixe

O4 - HKLM\..\Run: [Microsoft Windows 32Bit Updater] WinUpdater32.exe

O4 - HKLM\..\Run: [Services] C:\winread.exe

efface manuellment les fixhiers en gras

l'as tu fais sur toutes les lignes que je t'ai donnée ?

y'a t il une difference ?

Utilisateur anonyme · Answer

salut ton log est presque propre
fix ces lignes avec hijack

O4 - HKLM\..\Run: [Microsoft Windows 32Bit Updater] WinUpdater32.exe
O4 - HKLM\..\Run: [Services] C:\winread.exe
O4 - HKLM\..\Run: [Microsoft Windows 32Bit Updater] WinUpdater32.exe

1.redemarre en mode sans echec (redemarage + tapotte sans arret sur F8 desque l'ordi s'allume)

2. desactive ta restauration (pour win xp ) comme ceci :
clike droit sur post de travaille/proprietes/restauration system et la tu coche desactiver la restauration du systeme tu applique

3. affiche les fichier cacher comme ceci :
clicker sur demarrer/panneau de configuration/option des dossiers/affichage
Cocher afficher les dossiers cacher
Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"
Puis fais «Ok» pour valider les changements.
Decocher masquer les extentions dont le type est connues

4.ensuite va dans demarrer/rechercher et tape:
WinUpdater32.exe
winread.exe

suprime les et vide ta corebeille

refait un scan si tt va bien reactive la restauration et masque les fichiers caché en suivant le meme chemin

@+++++++

Utilisateur anonyme · Answer

lol bonne nuit !! incognito02 @+++++

cathay · Answer

incognito02jess15je vais egalement vous quittermerci et bonne nuitje me suis arrete au point 2demain soir je tenterai de finaliserGrussC

ben13010 · Answer

et moi je pue ?

incognito02 · Answer

Bien sûr que non Ben ! :)Bonne nuit Ben !!!!!!!!!!!!!!!A+

ben13010 · Answer

lol  je plaisante bien sur bye

Trojan.Win32.Qhost.r

21 réponses

Discussions similaires

Newsletters