Trojan.Win32.Qhost.r

Question

Bonsoir,le securitoo de wanadoo vient d'identifier un virus qu'il ne peut pas éliminerTrojan.Win32.Qhost.r qui peut m'aider ?MerciH.

^^Marie^^ · Answer

'soir,Regarde par là , déjà :http://www.infos-du-net.com/forum/138553-11-trojan.win32.qhst.r-virerEnsuite pour la prudence ::télécharge HijackThis ici:http://www.hijackthis.de/downloads/hijackthis_199.zipDézippe le dans un dossier prévu à cet effet.Par exemple C:\hijackthis < Enregistre le bien dans c : !Lance le puis:clique sur "do a system scan and save logfile" (cf démo)faire un copier coller du log entier sur le forumDémo : (merci à balltrap34 pour cette réalisation)http://pageperso.aol.fr/balltrap34/demohijack.htmBon courageA+

cathay · Answer

Bonsoir,à votre bon coeur ... qui peut me conseiller, cad me dire quelles sont les lignes suspectesmerci d'avanceH

incognito02 · Answer

Bonsoir,salutTélécharge ceci: (merci a S!RI pour ce petit programme).http://siri.urz.free.fr/Fix/SmitfraudFix.zipExécute le, Double click sur Smitfraudfix.cmd choisit l’option 1, il va générer un rapportCopie/colle le sur le post  stp.a+

Utilisateur anonyme · Answer

salut just apres le scan repost un log hijack stp@+++++++++

cathay · Answer

SmitFraudFix v2.00Rapport fait à 21:42:27,07 le 29.11.2005Executé à partir de C:\smitfraudfix\SmitfraudFixOS: Microsoft Windows XP [Version 5.1.2600]»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\Web»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system32»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Dokumente und Einstellungen\Carine\Application Data»»»»»»»»»»»»»»»»»»»»»»»» Recherche Menu Démarrer»»»»»»»»»»»»»»»»»»»»»»»» Recherche Bureau»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Programme »»»»»»»»»»»»»»»»»»»»»»»» Recherche présence de clés corrompues»»»»»»»»»»»»»»»»»»»»»»»» Recherche éléments du bureau [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]"Source"="About:Home""SubscribedURL"="About:Home""FriendlyName"="Die derzeitige Homepage" »»»»»»»»»»»»»»»»»»»»»»»» Recherche Sharedtaskscheduler[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader""{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport

incognito02 · Answer

Bonsoir Jess ! ;-)Comment vas tu ?Ne t'affoles pas, je ne lui demande que l'option 1, ça ne nettoie rien pour l'instant. :)Après le passage de l'option 2, tu pouuras lui demander un log Hjt ;-)si tu veux je te le laisse. Amitiés.

incognito02 · Answer

Ok,Double click sur Smitfraudfix.cmd choisit l’option2, il va générer un rapportCopie/colle le sur le post stp.et derrière repostes un log hijackthisbon courage.A+

ben13010 · Answer

salut fixe ca R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL O4 - HKCU\..\Run: [Microsoft Service Host] svchost2.exe O4 - HKCU\..\Run: [Microsoft Services] lsrv.exe O4 - HKLM\..\Run: [Cryptographic Service] C:\WINDOWS\System32\urvisj.exe O4 - HKLM\..\Run: [System Update] C:\WINDOWS\System32\beaxi.exe O4 - HKCU\..\Run: [Microsoft Windows Updater] MSd32.exe O4 - HKCU\..\Run: [Microsoft Services] lsrv.exe O4 - HKCU\..\Run: [Microsoft Update] snlogsvc.exe O4 - HKCU\..\Run: [Microsoft Windows 32Bit Updater] WinUpdater32.exe O16 - DPF: ppctlcab - http://69.44.122.156/scanner/ppctlcab.cabO16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cabO16 - DPF: {2A32B14F-4D29-4EA3-AC54-E9B19F436CE7} (Scanner Class) - http://www.windowsecurity.com/trojanscan/TDECntrl.CABO16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cabO16 - DPF: {2FC9A21E-2069-4E47-8235-36318989DB13} (PPSDKActiveXScanner.MainScreen) - http://69.44.122.156/scanner/axscanner.cabO16 - DPF: {4E15D681-1D20-11D4-8B72-000021DA1956} - http://www.e-sexcash.com/plugin/540/natjanl.exeO16 - DPF: {54B52E52-8000-4413-BD67-FC7FE24B59F2} (EARTPatchX Class) - http://www.ea.com/downloads/rtpatch/EARTPX.cabO16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cabO16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://a840.g.akamai.net/7/840/537/2005111401/housecall.trendmicro.com/housecall/xscan53.cabO16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cabO16 - DPF: {94908617-0D0A-470E-977F-7BAB6920D184} (CustomToolbar.Setup) - http://www.infocrawler.com/toolbar/Customtoolbar.CABO16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cabO16 - DPF: {B020B534-4AA2-4B99-BD6D-5F6EE286DF5C} (Symantec Download Bridge) - http://www2.service.t-online.de/dyn/c/23/34/15/2334156.htmlO16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cabO16 - DPF: {D719897A-B07A-4C0C-AEA9-9B663A28DFCB} (iTunesDetector Class) - http://ax.phobos.apple.com.edgesuite.desactive la ligne 023 de norman puisque tu n'a plus cet antivirus , tu n'a plus besoin de ce service

incognito02 · Answer

WAS PASSIERT ? Ich weiss nicht, ich hab nicht gesehen ! lolTrêve de plaisanterie !tu peux faire ça :Scanne en ligne avec bitdefender http://www.bitdefender.fr/bd/site/page.phpTon micro est serieusement touché !A+

Utilisateur anonyme · Answer

salut incognito je vais bien merci :) je sais pas quoi repondre j'ai just demandé un log hijack pour l'aider . je pense que c'est ca la but du forum .... :) si tu veut me laissé ce post y'a pas de probleme mais je pense que ca serai bien qu'on essaye tout les deux de trouver la soluce. a deux ca ira plus vite :) si tu es d'accord biensure :) bonne soirée@++++++++++

ben13010 · Answer

re desole lors du precedent post j'ai oublié de te dire de supprimer des fichiers alors voila les lignes suspectes R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLLO4 - HKCU\..\Run: [Microsoft Service Host] svchost2.exeO4 - HKCU\..\Run: [Microsoft Services] lsrv.exeO4 - HKLM\..\Run: [Cryptographic Service] C:\WINDOWS\System32\urvisj.exeO4 - HKLM\..\Run: [System Update] C:\WINDOWS\System32\beaxi.exeO4 - HKCU\..\Run: [Microsoft Windows Updater] MSd32.exeO4 - HKCU\..\Run: [Microsoft Services] lsrv.exeO4 - HKCU\..\Run: [Microsoft Update] snlogsvc.exeO4 - HKCU\..\Run: [Microsoft Windows 32Bit Updater] WinUpdater32.exe tu  supprime manuellement tous les fichiers en gras et tu vide ta poubelle ensuite tu desactive ta ligne de service norman (desormais inutiles ) Démarrer -> Exécuter -> tape services.msc, et supprime le service Norman API-hooking helper fais arreter puis desactiver reposte ensuite bye redemarre et reposte

cathay · Answer

merci a vous deux ... je viens de relancer un scan par le super anti virus de wanadooverdict dans 1 minute

ben13010 · Answer

ok mais si tu enleve pas ces fichier , tu sera toujours infecté ..mais un coup d'antivirus fais pas de mal telecharge et utilise aussi cleanup http://www.stevengould.org/software/cleanup/ewido spybot a2 free ad aware ccleaner passe tous ces log et vire tous ce qu'ils trouvent y compris les sauvegardes reposte ensuite un rapport bye

cathay · Answer

VOICI UN NOUVEAU RAPPORT ... EST CE EN ORDRE ?SUR VOS BONS CONSEILS JE VAIS FAIRE DES SCANJ AI TOUTEFOIS L'IMPRESSION QUE IL S AGIT D IDENTIFICATION PLUS QUE D ELIMINATIONAI JE UNE VISION FAUSSELogfile of HijackThis v1.99.1Scan saved at 22:37:13, on 29.11.2005Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\csrss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\PROGRA~1\SECURI~1\av_fw\backweb\1044199\Program\SERVIC~1.EXEC:\Programme\T-Online\Dialerschutz-Software\DFInject.exeC:\Programme\Securitoo\av_fw\Anti-Virus\fsgk32st.exeC:\Programme\Securitoo\av_fw\Anti-Virus\FSGK32.EXEC:\Programme\Securitoo\av_fw\backweb\1044199\program\fsbwsys.exeC:\Programme\Securitoo\av_fw\Anti-Virus\fssm32.exeC:\Programme\Securitoo\av_fw\fswsclds.exeC:\WINDOWS\System32\FTRTSVC.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\wdfmgr.exeC:\Programme\Securitoo\av_fw\Common\FSMA32.EXEC:\Programme\Securitoo\av_fw\Common\FSMB32.EXEC:\Programme\Securitoo\av_fw\Common\FCH32.EXEC:\Programme\Securitoo\av_fw\Anti-Virus\fsav32.exeC:\Programme\Securitoo\av_fw\Common\FAMEH32.EXEC:\Programme\Securitoo\av_fw\DFW\Program\fsdfwd.exeC:\WINDOWS\System32\alg.exeC:\WINDOWS\system32\wuauclt.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\system32\RUNDLL32.EXEC:\Programme\Pinnacle\Shared Filesemoterm.exeC:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0K2.EXEC:\WINDOWS\SOUNDMAN.EXEC:\Programme\ZTE Corporation\ZXDSL852\CnxDslTb.exeC:\Programme\Securitoo\av_fw\Common\FSM32.EXEC:\PROGRA~1\Wanadoo\TaskBarIcon.exeC:\WINDOWS\system32\ctfmon.exeC:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exeC:\Programme\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exeC:\PROGRA~1\Wanadoo\EspaceWanadoo.exeC:\Programme\Sony Corporation\Picture Package\Picture Package Menu\SonyTray.exeC:\Programme\Sony Corporation\Picture Package\Picture Package Applications\Residence.exeC:\PROGRA~1\Wanadoo\ComComp.exeC:\PROGRA~1\Wanadoo\Toaster.exeC:\PROGRA~1\Wanadoo\Inactivity.exeC:\PROGRA~1\Wanadoo\PollingModule.exeC:\WINDOWS\System32\ALERTM~1\ALERTM~1.EXEC:\PROGRA~1\Wanadoo\Watch.exeC:\Programme\Securitoo\av_fw\backweb\1044199\Program\BackWeb-1044199.exeC:\Programme\Internet Explorer\iexplore.exeC:\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wanadoo.fr/go/page_recherche/R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.frR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = WanadooO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dllO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInitO4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe -CheckRegO4 - HKLM\..\Run: [PinnacleRemote] C:\Programme\Pinnacle\Shared Filesemoterm.exeO4 - HKLM\..\Run: [EPSON Stylus Photo RX500 (Kopie 1)] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0K2.EXE /P34 "EPSON Stylus Photo RX500 (Kopie 1)" /O6 "USB001" /M "Stylus Photo RX500"O4 - HKLM\..\Run: [EPSON Stylus Photo RX500] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0K2.EXE /P24 "EPSON Stylus Photo RX500" /O5 "LPT1:" /M "Stylus Photo RX500"O4 - HKLM\..\Run: [Microsoft Windows 32Bit Updater] WinUpdater32.exeO4 - HKLM\..\Run: [Services] C:\winread.exeO4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXEO4 - HKLM\..\Run: [CnxDslTaskBar] "C:\Programme\ZTE Corporation\ZXDSL852\CnxDslTb.exe" "ZTE Corporation\ZXDSL852"O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exeO4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\GestMaj.exe TaskBarIcon.exeO4 - HKLM\..\Run: [F-Secure Manager] "C:\Programme\Securitoo\av_fw\Common\FSM32.EXE" /splashO4 - HKLM\..\Run: [F-Secure TNB] "C:\Programme\Securitoo\av_fw\TNB\TNBUtil.exe" /CHECKALLO4 - HKLM\..\Run: [T-Online Dialerschutz-Software] "C:\Programme\T-Online\Dialerschutz-Software\Defender.exe"O4 - HKLM\..\RunServices: [Microsoft Windows 32Bit Updater] WinUpdater32.exeO4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exeO4 - HKCU\..\Run: [InstantTray] c:\Programme\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exeO4 - HKCU\..\Run: [IW_Drop_Icon] c:\Programme\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe /DropDiscO4 - HKCU\..\Run: [WOOKIT] C:\PROGRA~1\Wanadoo\GestMaj.exe EspaceWanadoo.exeO4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXEO4 - Global Startup: Picture Package Menu.lnk = ?O4 - Global Startup: Picture Package VCD Maker.lnk = C:\Programme\Sony Corporation\Picture Package\Picture Package Applications\Residence.exeO9 - Extra button: Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exeO9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin
pjpi142.dllO9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin
pjpi142.dllO9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)O17 - HKLM\System\CCS\Services\Tcpip\..\{E7BC69CB-0D06-4F98-9986-ACD4124097DE}: NameServer = 80.10.246.130 80.10.246.3O23 - Service: Securitoo AntiVirus Firewall (BackWeb Client - 1044199) - Unknown owner - C:\PROGRA~1\SECURI~1\av_fw\backweb\1044199\Program\SERVIC~1.EXEO23 - Service: Dialerschutz Dienst (DFSVC) - Unknown owner - C:\Programme\T-Online\Dialerschutz-Software\DFInject.exeO23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Programme\Securitoo\av_fw\Anti-Virus\fsgk32st.exeO23 - Service: F-Secure Authentication Agent (FSAA) - Unknown owner - C:\Programme\Securitoo\av_fw\Common\FSAA.EXE (file missing)O23 - Service: fsbwsys - F-Secure Corp. - C:\Programme\Securitoo\av_fw\backweb\1044199\program\fsbwsys.exeO23 - Service: F-Secure Distributed Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Programme\Securitoo\av_fw\DFW\Program\fsdfwd.exeO23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Programme\Securitoo\av_fw\Common\FSMA32.EXEO23 - Service: F-Secure Windows Security Center Legacy Detection Service (Fswsclds) - F-Secure Corporation - C:\Programme\Securitoo\av_fw\fswsclds.exeO23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exeO23 - Service: Norman API-hooking helper (NipSvc) - Unknown owner - C:\NORMAN\Nvc\BIN
ipsvc.exe (file missing)O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exe

ben13010 · Answer

oui tu as tord  ces log vont enlever des amlwares et non pas uniquement les identifier fixe O4 - HKLM\..\Run: [Microsoft Windows 32Bit Updater] WinUpdater32.exe O4 - HKLM\..\Run: [Services] C:\winread.exe efface manuellment les fixhiers en gras l'as tu fais sur toutes les lignes que je t'ai donnée ?y'a t il une difference ?

Utilisateur anonyme · Answer

salut ton log est presque propre fix ces lignes avec hijack O4 - HKLM\..\Run: [Microsoft Windows 32Bit Updater] WinUpdater32.exe O4 - HKLM\..\Run: [Services] C:\winread.exe O4 - HKLM\..\Run: [Microsoft Windows 32Bit Updater] WinUpdater32.exe 1.redemarre en mode sans echec (redemarage + tapotte sans arret sur F8 desque l'ordi s'allume) 2. desactive ta restauration (pour win xp ) comme ceci  :clike droit sur post de travaille/proprietes/restauration system et la tu coche desactiver la restauration du systeme tu applique3.  affiche les fichier cacher comme ceci : clicker sur demarrer/panneau de configuration/option des dossiers/affichage Cocher afficher les dossiers cacher Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)" Puis fais «Ok» pour valider les changements. Decocher masquer les extentions dont le type est connues 4.ensuite va dans demarrer/rechercher et tape: WinUpdater32.exe winread.exe  suprime les et  vide ta corebeille refait un scan si tt va bien reactive la restauration et masque les fichiers caché en suivant le meme chemin @+++++++

Utilisateur anonyme · Answer

lol bonne nuit !! incognito02 @+++++

cathay · Answer

incognito02jess15je vais egalement vous quittermerci et bonne nuitje me suis arrete au point 2demain soir je tenterai de finaliserGrussC

ben13010 · Answer

et moi je pue ?

incognito02 · Answer

Bien sûr que non Ben ! :)Bonne nuit Ben !!!!!!!!!!!!!!!A+

ben13010 · Answer

lol  je plaisante bien sur bye

Trojan.Win32.Qhost.r

21 réponses

Votre réponse

Discussions similaires

Newsletters