[Trojan] Conhook-v qui me tient tête

Résolu
Nono -  
Bonjour,
On va bientôt m'appeler Barthez, tellement je m'arrache les cheveux.
PC Cillin a détecté un Trojan Conhook-V sur soi-disant awtqn.dll ... Sauf que ce fichier n'existe pas sur le PC ! (oui, oui, aucun doute...). Du coup, PC Cillin boucle sur le message.
J'ai pensé à un Bug de ce produit, mais Spy Sweeper le détecte aussi et me précise même les clés de registre. Il me dit même qu'il les a virées, Mais non ! elles sont là dans la seconde qui suit ! Idem avec JV16 powertools !

Je crois que j'ai tout essayé:
- coupé l'accès au net (je mail d'un autre poste)
- Vidé les temp, cookies, poubelle, temporary Internet files, prefetch, ...
- désactivé la restau
- Nettoyé dans tous les sens : Kaspersky, Spybot, Unhook, CWShredder, KillBox, LockFileWiz, Spy Sweeper, JV16 Power tools, L2MFixBdRRepair, vundofix, ... (tous en dernières versions et, quand c'était possible, en mode sans échec, fichiers backup vidés à chaque fois...)

Bref, je bugge ...
J'ai un rapport HiJack , si besoin. Voici déja quelques lignes significatives :

O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINDOWS\system32\awtqn.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O20 - Winlogon Notify: awtqn - C:\WINDOWS\SYSTEM32\awtqn.dll

...

Alors, quelqu'un a envie de s'arracher les cheveux avec moi ?

Question subsidiaire, pour ma curiosité personnelle : ce Conhook-v ne serait-il pas ce qu'on appelle un rootkit ?

Au plaisir de lire l'un d'entre vous ...
Nono

9 réponses

  1.  ben13010 Contributeur
    salut

    met le rzpport hiack complet , on y verra plus clair
    0
    1. Nono
      Salut Ben,
      Merci de me lire, Voici le Hijack :

      Logfile of HijackThis v1.99.1
      Scan saved at 16:45:24, on 20/01/2006
      Platform: Windows XP (WinNT 5.01.2600)
      MSIE: Internet Explorer v6.00 (6.00.2600.0000)

      Running processes:
      C:\WINDOWS\System32\smss.exe
      C:\WINDOWS\system32\winlogon.exe
      C:\WINDOWS\system32\services.exe
      C:\WINDOWS\system32\lsass.exe
      C:\WINDOWS\system32\svchost.exe
      C:\WINDOWS\System32\svchost.exe
      C:\WINDOWS\system32\spoolsv.exe
      C:\WINDOWS\Explorer.EXE
      C:\WINDOWS\system32\netdde.exe
      C:\WINDOWS\System32\nvsvc32.exe
      C:\WINDOWS\System32\HPZipm12.exe
      C:\WINDOWS\System32\svchost.exe
      C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe
      C:\WINDOWS\System32\sistray.EXE
      C:\WINDOWS\System32\LVCOMSX.EXE
      C:\Program Files\Logitech\Video\LogiTray.exe
      C:\Program Files\Fichiers communs\DataViz\DvzIncMsgr.exe
      C:\Program Files\HP\Digital Imaging\bin\hpqimzone.exe
      C:\Program Files\Logitech\Video\FxSvr2.exe
      C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe
      C:\Program Files\ProtectionArnaud\HijackThis\HijackThis.exe

      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
      R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
      R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
      R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
      R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
      R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - (no file)
      O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINDOWS\system32\awtqn.dll
      O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
      O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
      O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\System32\sistray.EXE
      O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\sisUSBrg.exe
      O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
      O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\System32\LVCOMSX.EXE
      O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
      O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe
      O4 - HKLM\..\Run: [Ad-watch] "C:\Program Files\Lavasoft\Ad-aware 6\Ad-watch.exe"
      O4 - HKLM\..\Run: [Ulead AutoDetector] C:\Program Files\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe
      O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
      O4 - HKLM\..\Run: [Windows Audio Mixer] mingw.exe
      O4 - HKLM\..\Run: [pccguide.exe] "C:\Program Files\Trend Micro\Internet Security 12\pccguide.exe"
      O4 - HKLM\..\RunOnce: [WIAWizardMenu] RUNDLL32.EXE C:\WINDOWS\System32\sti_ci.dll,WiaCreateWizardMenu
      O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
      O4 - HKCU\..\Run: [LogitechSoftwareUpdate] "C:\Program Files\Logitech\Video\ManifestEngine.exe" boot
      O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
      O4 - Global Startup: DataViz Inc Messenger.lnk = C:\Program Files\Fichiers communs\DataViz\DvzIncMsgr.exe
      O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe
      O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
      O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
      O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
      O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1136979002183
      O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
      O20 - Winlogon Notify: awtqn - C:\WINDOWS\SYSTEM32\awtqn.dll
      O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
      O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
      O23 - Service: Trend Micro Central Control Component (PcCtlCom) - Trend Micro Incorporated. - C:\PROGRA~1\TRENDM~1\INTERN~1\PcCtlCom.exe
      O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
      O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe
      O23 - Service: Trend Micro Real-time Service (Tmntsrv) - Trend Micro Incorporated. - C:\PROGRA~1\TRENDM~1\INTERN~1\Tmntsrv.exe
      O23 - Service: Trend Micro Personal Firewall (TmPfw) - Trend Micro Inc. - C:\PROGRA~1\TRENDM~1\INTERN~1\TmPfw.exe
      O23 - Service: Trend Micro Proxy Service (tmproxy) - Trend Micro Inc. - C:\PROGRA~1\TRENDM~1\INTERN~1\tmproxy.exe
      O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe

      à toi de jouer ...

      Nono
      0
      1. ben13010 Contributeur
        ok
        O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINDOWS\system32\awtqn.dll

        et

        O20 - Winlogon Notify: awtqn - C:\WINDOWS\SYSTEM32\awtqn.dll

        tu remarque que ces 2 lignes ont la meme dll verolé

        cest une infection vundo

        tu va faire ca

        télécharge : process xp ici:
        http://www.sysinternals.com/files/procexpnt.zip
        decompresse le

        Déconnecte toi
        Ferme tous les programmes

        double clic sur processxp.exe

        * Dans la fenêtre principale de processxp double clic sur winlogon.exe
        Dans la nouvelle fenêtre qui s'ouvre clique sur threads
        sélectionne seulement les lignes qui contiennent la dll awtqn.dll puis clique sur kill pour chacune des lignes trouvées.
        une fois fait, valide avec ok

        * Dans la fenêtre principale de processxp double clic sur explorer.exe
        Dans la nouvelle fenêtre qui s'ouvre clique sur threads
        sélectionner seulement les lignes qui contiennent la dll awtqn.dll puis clique sur kill pour chacune des lignes trouvées.
        une fois fait, valide avec ok

        ensuite tu ouvre la kill box

        Télécharge: Pocket Killbox ici
        http://www.downloads.subratam.org/KillBox.exe

        Démo d utilisation (merci a Balltrap34 pour cette réalisation) :
        http://pageperso.aol.fr/balltrap34/killbox.htm

        tu colle les dll suspectes et tu les effaces
        Comme ceci:

        Double clic sur killbox.exe (Pocket Killbox)

        - coche: delete on reboot
        - Dans "Full Path of File to Delete"
        copie et colle: C:\WINDOWS\SYSTEM32\awtqn.dll


        - clique sur la croix rouge
        - une fenêtre va apparaître pour confirmation clique sur YES
        - une seconde fenêtre te demande si tu veux redémarrer clique sur YES

        Laisse le pc redémarrer.
        Et après reposte un log HijackThis. y'a encore des choses a fixer
        0
        1. Nono
          Merci pour tes indications,

          Je ne connaissais pas process Xp...

          j'ai "killé" deux lignes sur Winlogon, mais aucune sur explorer.
          Puis, Killbox a semble-t-il réagi comme il faut,

          Voici le HiJack après Reboot :

          - - - - - - - - - - - - - -

          Logfile of HijackThis v1.99.1
          Scan saved at 18:20:09, on 20/01/2006
          Platform: Windows XP (WinNT 5.01.2600)
          MSIE: Internet Explorer v6.00 (6.00.2600.0000)

          Running processes:
          C:\WINDOWS\System32\smss.exe
          C:\WINDOWS\system32\winlogon.exe
          C:\WINDOWS\system32\services.exe
          C:\WINDOWS\system32\lsass.exe
          C:\WINDOWS\system32\svchost.exe
          C:\WINDOWS\System32\svchost.exe
          C:\WINDOWS\system32\spoolsv.exe
          C:\WINDOWS\Explorer.EXE
          C:\WINDOWS\system32\netdde.exe
          C:\WINDOWS\System32\nvsvc32.exe
          C:\PROGRA~1\TRENDM~1\INTERN~1\PcCtlCom.exe
          C:\WINDOWS\System32\HPZipm12.exe
          C:\WINDOWS\System32\svchost.exe
          C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe
          C:\WINDOWS\System32\sistray.EXE
          C:\WINDOWS\System32\LVCOMSX.EXE
          C:\Program Files\Logitech\Video\LogiTray.exe
          C:\Program Files\Lavasoft\Ad-aware 6\Ad-watch.exe
          C:\Program Files\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe
          C:\Program Files\Trend Micro\Internet Security 12\pccguide.exe
          C:\Program Files\MSN Messenger\msnmsgr.exe
          C:\Program Files\Fichiers communs\DataViz\DvzIncMsgr.exe
          C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
          C:\Program Files\HP\Digital Imaging\bin\hpqimzone.exe
          C:\Program Files\Logitech\Video\FxSvr2.exe
          C:\PROGRA~1\TRENDM~1\INTERN~1\Tmntsrv.exe
          C:\PROGRA~1\TRENDM~1\INTERN~1\tmproxy.exe
          C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe
          C:\PROGRA~1\TRENDM~1\INTERN~1\TmPfw.exe
          C:\Program Files\ProtectionArnaud\HijackThis\HijackThis.exe
          C:\WINDOWS\System32\wuauclt.exe

          R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
          R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
          R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
          R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
          R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
          R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
          O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINDOWS\system32\awtqn.dll (file missing)
          O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
          O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
          O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\System32\sistray.EXE
          O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\sisUSBrg.exe
          O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
          O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\System32\LVCOMSX.EXE
          O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
          O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe
          O4 - HKLM\..\Run: [Ad-watch] "C:\Program Files\Lavasoft\Ad-aware 6\Ad-watch.exe"
          O4 - HKLM\..\Run: [Ulead AutoDetector] C:\Program Files\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe
          O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
          O4 - HKLM\..\Run: [Windows Audio Mixer] mingw.exe
          O4 - HKLM\..\Run: [pccguide.exe] "C:\Program Files\Trend Micro\Internet Security 12\pccguide.exe"
          O4 - HKLM\..\RunOnce: [WIAWizardMenu] RUNDLL32.EXE C:\WINDOWS\System32\sti_ci.dll,WiaCreateWizardMenu
          O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
          O4 - HKCU\..\Run: [LogitechSoftwareUpdate] "C:\Program Files\Logitech\Video\ManifestEngine.exe" boot
          O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
          O4 - Global Startup: DataViz Inc Messenger.lnk = C:\Program Files\Fichiers communs\DataViz\DvzIncMsgr.exe
          O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe
          O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
          O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
          O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
          O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1136979002183
          O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
          O20 - Winlogon Notify: awtqn - awtqn.dll (file missing)
          O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
          O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
          O23 - Service: Trend Micro Central Control Component (PcCtlCom) - Trend Micro Incorporated. - C:\PROGRA~1\TRENDM~1\INTERN~1\PcCtlCom.exe
          O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
          O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe
          O23 - Service: Trend Micro Real-time Service (Tmntsrv) - Trend Micro Incorporated. - C:\PROGRA~1\TRENDM~1\INTERN~1\Tmntsrv.exe
          O23 - Service: Trend Micro Personal Firewall (TmPfw) - Trend Micro Inc. - C:\PROGRA~1\TRENDM~1\INTERN~1\TmPfw.exe
          O23 - Service: Trend Micro Proxy Service (tmproxy) - Trend Micro Inc. - C:\PROGRA~1\TRENDM~1\INTERN~1\tmproxy.exe
          O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe

          - - - - - --

          Après vous, docteur !

          Nono
          0
          2. ben13010 Contributeur
            ok

            les lignes apparaissent toujours mais apres les avoir fixé , ca devrai aller

            fixe

            O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINDOWS\system32\awtqn.dll (file missing)

            O20 - Winlogon Notify: awtqn - awtqn.dll (file missing)

            R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
            R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

            tes problemes sont il s encore presents ?
            0
            1. Nono
              Je n'ai qu'une chose à dire : Chapeau !!

              J'ai fixé, c'est nickel. ( Pour confirmer,j'ai passé Spy sweeper, qui l'identifiait mais ne corrigeait pas)

              Félicitations de loin (je suppose que ben13010 signifie que tu es sur Marseille), et moi sur le 95.

              Une question pour finir, pourquoi les outils classiques (Kaspersky, PC Cillin, Spy Sweeper) n'arrivent pas à s'en débarrasser ?

              Euh, encore une question : Y a t-il une procédure sur le forum pour indiquer que le problème est résolu ?

              Nono
              (Et 3 étoiles pour Ben, trois !)
              0
              1. ben13010 Contributeur
                lol

                vundo c'est une infection specifique

                c'est pour ca que les av ont du mal mais ca devrai pas continuer

                pour indiquer que ton bleme est resolu , t'a une croix en haut de ton post a cocher

                content d'avoir pu t'aider

                bye
                0
                1. Nono
                  Euh, ... je suis confus ... Euh .. je trouve pas l'endroit où cocher 'résolu' !?!
                  (peut-être parce que c'est réservé aux membres inscrits et que je suis en tant qu'invité, non ? ou alors, je suis vraiment fatigué, lol !

                  ---

                  Une précision : Killbox conserve un log de la destruction du awtqn.dll ... et L'antivirus détecte ça comme un virus ...
                  Je dis ça pour les lecteurs, car moi,ça m'a fait peur un instant !!

                  ---

                  Encore une question, Ben et je te laisse tranquille : Qu'est-ce qui t'a permis de dire que c'était un Vundo ? C'est dans le HiJack ou c'est l'habitude de croiser des awtqn ? (... suis curieux !)

                  Merci

                  Nono

                  (Non, j'ai beau chercher, je la vois pas, c'te case à cocher !)
                  0
                  1. ben13010 Contributeur
                    alors pour la croix en haut

                    ca doit etre reservé aux membres .. lol

                    pour les infection vundo , ca se caracterise par les meme dll aux ligne 02 et 020

                    en general , si tu n'utilise pas la procedure de process xp que tu as effectué , c'est impossible de fixer ces lignes ; elles reapparaissent toujours

                    regarde ce post par exemple , c'est encore du vundo

                    http://www.commentcamarche.net/forum/affich-2049035-VIRUS-INFECTE

                    bye

                    0
                    1. Nono
                      Pour Ben,

                      Ok, je n'avais pas droit à la coche 'résolu', mais comme j'avais demandé à avoir copie de tes réponses en mail, là, j'ai trouvé une possibilité de CCM pour mettre 'résolu', c'est donc OK.

                      Pour identifier un Vundo, merci pour l'info, je me sentais un peu pris au piège par cette saloperie.

                      Bon Week-end à toi, et merci encore,

                      Nono
                      0

                  Discussions similaires

                  Code caractère "V à l'envers
                  mikel831

                  2 réponses
                  Changer la couleur de fond d'un en-tête
                  Adamantine

                  5 réponses
                  teste tete parabole
                  Michle

                  5 réponses
                  comment savoir si tête LNB est bien alimentée
                  nando38

                  14 réponses
                  vérifier une tete de parabole
                  sim15

                  5 réponses