Trojan.Downloader.cs Résolu

Question

Coucou me revoilà ! Bitdefender trouve trojan.downloader.cs dans D:\System Volume Information\_restore{992C8FA0-1091-40BC-9AAE-AC806FA9D775}\RP136\A0044009.exe=>(ZIP Sfx o)=>run.exe et ne peut pas l'enlever et moi non plus je n'ai pas trouvé comment l'enlever. Peut-on effacer ce répertoire que je n'arrive pas à faire apparaître bienque j'aie demandé l'affichage des fichiers cachés. Voici le log de bitdefender : BitDefender Online Scanner -Scan Report

BitDefender Online Scanner

Scan report generated at: Wed, Sep 27, 2006 - 14:46:17

Scan path: D:\;

Statistics
Time	00:38:13
Files	208094
Folders	3489
Boot Sectors	5
Archives	11143
Packed Files	17601

Results
Identified Viruses	1
Infected Files	1
Suspect Files	0
Warnings	0
Disinfected	0
Deleted Files	1

Engines Info
Virus Definitions	456024
Engine build	AVCORE v1.0 (build 2310) (i386) (Apr 17 2006 16:24:38)
Scan plugins	13
Archive plugins	38
Unpack plugins	6
E-mail plugins	6
System plugins	1

Scan Settings
First Action	Disinfect
Second Action	Delete
Heuristics	Yes
Enable Warnings	Yes
Scanned Extensions	*;
Exclude Extensions
Scan Emails	Yes
Scan Archives	Yes
Scan Packed	Yes
Scan Files	Yes
Scan Boot	Yes

Scanned File	Status
D:\System Volume Information\_restore{992C8FA0-1091-40BC-9AAE-AC806FA9D775}\RP136\A0044009.exe=>(ZIP Sfx o)=>run.exe	Infected with: Trojan.Downloader.CS
D:\System Volume Information\_restore{992C8FA0-1091-40BC-9AAE-AC806FA9D775}\RP136\A0044009.exe=>(ZIP Sfx o)=>run.exe	Disinfection failed
D:\System Volume Information\_restore{992C8FA0-1091-40BC-9AAE-AC806FA9D775}\RP136\A0044009.exe=>(ZIP Sfx o)=>run.exe	Deleted
D:\System Volume Information\_restore{992C8FA0-1091-40BC-9AAE-AC806FA9D775}\RP136\A0044009.exe=>(ZIP Sfx o)	Updated
D:\System Volume Information\_restore{992C8FA0-1091-40BC-9AAE-AC806FA9D775}\RP136\A0044009.exe	Update failed

Séb08 · Answer

slt,

Désactive ta restauration système (uniquement si tu es sous XP): 
Clic droit sur poste de travail puis, 
propriété, tu cliques sur onglet restauration système 
tu coches la case « désactiver la restauration » et applique. 


Ensuite :

scanne ton PC avec ce log :

ewido (gratuit même après la période d’essai) 
Téléchargement :
http://perso.orange.fr/entraide-hijackthis/Ewido/
Cliques sur « update » fais les mise à jour ensuite clique sur « scanner » puis sur « complete scan system ».
Tuto pour la version 4 d’Ewido :
https://www.malekal.com/tutorial-et-guide-ewido-v4/

"delete" tout ce qu'il te trouve et copie/colle le rapport STP.

A+

quemigny · Answer

Me re-voilà de nouveau. Depuis tout à l'heure, j' ai fait un fixwareout et un hijackthis. Je joins les logs en bas. Mais à mon avis ça ne donnera rien puisque le spyware se trouve dans System volume information du 2ème disque dur.

J'ai donc pensé faire la chose suivante : 
recopier toutes les données du disque D: sur le C: (il y a la place)
formater le D: (en bas niveau, peut-être ?)
recopier les données sur D:

Qu'en pensez-vous ? Y a-t-il risque d'importer le spyware de D: sur C: ?
A moins que vous ne connaissiez un moyen d'éradiquer ce fichu trojan ?

Merci

 
Fixwareout ver 1.003
Last edited 8/11/2006
Post this report in the forums please 
 
Reg Entries that were deleted 
...

Microsoft (R) Windows Script Host Version 5.6
Random Runs removed from HKLM 
...
 
PLEASE NOTE, There WILL be LEGITIMATE FILES LISTED. IF YOU ARE UNSURE OF WHAT IT IS LEAVE THEM ALONE.
 
»»»»» Searching by size/names... 
 
»»»»» 
Search five digit cs, dm and jb files.
This WILL/CAN also list Legit Files, Submit them at Virustotal
 
Other suspects.
Directory of C:\WINDOWS\system32
 
»»»»» Misc files. 
 
»»»»» Checking for older varients covered by the Rem3 tool.


Logfile of HijackThis v1.99.1
Scan saved at 23:00:16, on 27/09/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\ewido anti-spyware 4.0\guard.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Program Files\ewido anti-spyware 4.0\ewido.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\YCIII\YankClip.exe
D:\Logiciels\Protection\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {206E52E0-D52E-11D4-AD54-0000E86C26F6} - C:\PROGRA~1\FRESHD~1\FRESHD~1\fdcatch.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [!ewido] "C:\Program Files\ewido anti-spyware 4.0\ewido.exe" /minimized
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: Yankee Clipper III.lnk = C:\Program Files\YCIII\YankClip.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_05\bin
pjpi150_05.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_05\bin
pjpi150_05.dll
O9 - Extra button: FreshDownload - {5AC0D4FF-2028-42E4-8825-9957B47E3F97} - C:\Program Files\FreshDevices\FreshDownload\fd.exe
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Aluria Spyware Eliminator Service (ASEService) - Unknown owner - C:\WINDOWS\system32\ASEServ.exe (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

Séb08 · Answer

look au <1> ! ;-)

PS : Mais ne  télécharge pas Ewido car je vois que tu l'as déja ...

quemigny · Answer

OK C'est en cours... Je te tiens au courant. Merci de ton aide

quemigny · Answer

Voilà le log ewido : rien trouvé...

---------------------------------------------------------
ewido anti-spyware - Scan Report
---------------------------------------------------------

 + Created at:	23:50:45 27/09/2006

 + Scan result:	



	Nothing found.



::Report end

quemigny · Answer

Voilà le log ewido : rien trouvé...

---------------------------------------------------------
ewido anti-spyware - Scan Report
---------------------------------------------------------

 + Created at:	23:50:45 27/09/2006

 + Scan result:	



	Nothing found.



::Report end

Séb08 · Answer

Désactive aussi le tea timer de spybot ...
Ouvre spybot ->mets toi en "mode avancé"-> outil -> résident -> décoches "résident tea timer".

maintenant que ta restauration système est désactivé ainsi que le tea timer de Spybot,fais ce scan online avec cet antivirus en ligne (sous IE et accepte l’activX) : 

www.bitdefender.fr/bd/site/search.php#

Clique sur « scan on line »  suis les instructions.

Et colle le rapport 

A+

quemigny · Answer

Excuse pour la réponse tardive...mais je suis allé au lit finalement.

Pour en revenir au troyen, j'ai fait comme tu as dit (désactiver restauration système et TeaTimer) pour passer BitDefender de nouveau et (oh ! miracle) cette fois, il n'a rien trouvé... 
Je ne comprends pas trop puisque si les deux désactivations lui permettent de mieux travailler, il aurait du trouver de nouveau le troyen et le supprimer. Or, rien de rien ! Mystère !

Bon, on va s'en contetter puisque ni Avast ni Ewido (je refais un scan pour être sûr) ne trouvent rien non plus...

En tous cas merci pour ton aide, c'est super !

quemigny · Answer

Ca y est , j'ai compris... je crois

Le troyen était dans l'enregistrement d'un point de restauration. Quand j'ai annulé la restauration du système, windows a effacé les points de restauration et donc le troyen...

Quand j'ai ensuite réactivé la restauration du système, je l'ai configurée pour le disque C/ seul. Le D: (celui qui était infesté) ne contient que des données et ne me paraissait pas en avoir l'utilité. Et puis ça évitera qu'une autre saleté ne s'y installe.

Raisonnement correct, à votre avis ?

Séb08 · Answer

ok !

Ou en sont tes probs ?

A+

quemigny · Answer

Tout me parait résolu.

Grace à ton aide et celle de boulepate62 (surtout sur un autre post). résultat 3 ou 4 jours de boulot mais l'impression d'avoir un peu mieux compris et d'avoir un PC plus sécurisé maintenat.

Encore merci

Séb08 · Answer

ok alors réactive ton tea timer de spybot et ensuite réactive ta resto :

¤Réactive ta restauration système (uniquement si tu es sous XP): 
Clic droit sur poste de travail puis, 
propriété, tu cliques sur onglet restauration système 
tu décoches la case « désactiver la restauration » et applique.

http://www.libellules.ch/desactiver_restauration.php


Et cré un point de resto propre.

Création d'un point propre :

* Cliquez sur « Démarrer » => tous les programmes=> accessoires=> outils systèmes=> restauration du système=> creer un point de restauration =>nomme le 
créer ==> "ok"

Bon surf ! ;-)

A+

Trojan.Downloader.cs

12 réponses

Votre réponse

Newsletters