[Virus] Trojan-gen et Lookme-gen

Question

Bonjour,

Mon ordinateur est dans une belle galère !!
S'arrêtant de manière intempestive et bloquant sans arrêt, je lui ai fait une analyse avec Ad-aware et Avast.
Résultat : plusieurs fichiers sont infectés par Win32 : trojan-gen et win32 : lookme-gen.


J'ai lu quelques messages d'assistance précédents sur le même thème et ai utilisé le logiciel Hijack.
Je ne suis pas fort du tout pour savoir quelles lignes fixer. Je vous serais très reconnaissant de bien vouloir m'aider.

Voici le résultat du scan :
Logfile of HijackThis v1.99.1
Scan saved at 18:31:05, on 28/09/2006
Platform: Windows 2000 SP1 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\WINNT\System32\Ati2evxx.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\stisvc.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINNT\System32\winservnt32.exe
C:\WINNT\Explorer.exe
C:\WINNT\System32\atiptaxx.exe
C:\WINNT\System32\internat.exe
C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe
C:\Program Files\Fujitsu\Fujitsu Quick Touch\AUVCore.exe
C:\Program Files\palmOne\Hotsync.exe
C:\Program Files\Fujitsu\BtnHnd\BtnHnd.exe
C:\WINNT\system32\msiexec.exe
C:\Program Files\HP\Digital Imaging\bin\hpqgalry.exe
C:\Program Files\Google\Google Desktop Search\GoogleDesktopIndex.exe
C:\Program Files\Google\Google Desktop Search\GoogleDesktopCrawl.exe
C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.neuf.fr
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://actus.sfr.fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: DeskbarBHO - {A8B28872-3324-4CD2-8AA3-7D555C872D96} - C:\Program Files\Deskbar\deskbar.dll
F2 - REG:system.ini: Shell=Explorer.exe winservnt32.exe
F2 - REG:system.ini: UserInit=C:\WINNT\System32\userinit.exe,winservnt32.exe
O1 - Hosts: 235.214.107.41 www.virustotal.com
O1 - Hosts: 33.3.169.44 virusscan.jotti.org
O1 - Hosts: 95.95.239.187 sandbox.norman.no
O1 - Hosts: 236.16.252.76 www.symantec.com
O1 - Hosts: 81.237.212.190 securityresponse.symantec.com
O1 - Hosts: 153.77.69.6 symantec.com
O1 - Hosts: 101.81.142.37 www.sophos.com
O1 - Hosts: 51.92.5.83 sophos.com
O1 - Hosts: 22.84.63.236 www.mcafee.com
O1 - Hosts: 204.205.34.167 mcafee.com
O1 - Hosts: 243.212.96.143 liveupdate.symantecliveupdate.com
O1 - Hosts: 61.96.74.78 www.viruslist.com
O1 - Hosts: 104.47.238.203 viruslist.com
O1 - Hosts: 109.147.117.22 f-secure.com
O1 - Hosts: 13.244.51.53 www.f-secure.com
O1 - Hosts: 57.5.230.76 kaspersky.com
O1 - Hosts: 17.115.16.33 www.avp.com
O1 - Hosts: 90.161.208.139 www.kaspersky.com
O1 - Hosts: 50.145.99.80 avp.com
O1 - Hosts: 233.168.246.216 www.networkassociates.com
O1 - Hosts: 64.114.128.249 www.ca.com
O1 - Hosts: 236.121.110.141 ca.com
O1 - Hosts: 54.114.43.161 mast.mcafee.com
O1 - Hosts: 118.182.103.146 my-etrust.com
O1 - Hosts: 221.234.42.53 www.my-etrust.com
O1 - Hosts: 78.49.5.243 download.mcafee.com
O1 - Hosts: 11.207.240.9 dispatch.mcafee.com
O1 - Hosts: 185.176.201.53 secure.nai.com
O1 - Hosts: 219.150.202.149 nai.com
O1 - Hosts: 192.252.18.2 www.nai.com
O1 - Hosts: 21.236.30.16 update.symantec.com
O1 - Hosts: 19.195.32.170 updates.symantec.com
O1 - Hosts: 130.65.67.206 us.mcafee.com
O1 - Hosts: 115.196.49.111 liveupdate.symantec.com
O1 - Hosts: 117.157.101.252 customer.symantec.com
O1 - Hosts: 183.213.47.157 rads.mcafee.com
O1 - Hosts: 68.79.239.155 trendmicro.com
O1 - Hosts: 211.47.228.251 www.trendmicro.com
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: @msdxmLC.dll,-1@1036,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [Spooler SubSystem App] C:\WINNT\system32\spoolsvc.exe
O4 - HKLM\..\Run: [Windows Network Firewall] C:\WINNT\system32\firewall.exe
O4 - HKLM\..\Run: [defender] C:\dfndrff_12.exe
O4 - HKLM\..\Run: [keyboard] C:\kybrdff_12.exe
O4 - HKLM\..\Run: [newname] C:\nwnmff_12.exe
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [Local Security Authority Service] C:\WINNT\system32\Isass.exe
O4 - HKLM\..\Run: [Ms Update WinServices NT/XP] winservnt32.exe
O4 - HKLM\..\Run: [Windows Socket Procedure] WinSock32.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\RunServices: [Windows Socket Procedure] WinSock32.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [Google Desktop Search] "C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKCU\..\Run: [Ms Update WinServices NT/XP] winservnt32.exe
O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: Fujitsu Quick Touch.lnk = C:\Program Files\Fujitsu\Fujitsu Quick Touch\AUVCore.exe
O4 - Global Startup: HotSync Manager.lnk = C:\Program Files\palmOne\Hotsync.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Traduire à partir de l'anglais - res://c:\program files\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Recherche &Google - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O14 - IERESET.INF: START_PAGE_URL=https://www.msn.com/fr-fr/
O14 - IERESET.INF: MS_START_PAGE_URL=https://www.msn.com/fr-fr/
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - https://onedrive.live.com/
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O20 - Winlogon Notify: App Management - C:\WINNT\system32\jtl0073me.dll (file missing)
O20 - Winlogon Notify: Group Policy - C:\WINNT\system32\fp4803hue.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\System32\Ati2evxx.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Windows Network Security Management Service (nsms) - Unknown owner - C:\WINNT\system32\7.tmp (file missing)
O23 - Service: Pml Driver HPZ12 - HP - C:\WINNT\System32\HPZipm12.exe
O23 - Service: Remote Reader Machine - Unknown owner - C:\WINNT\system32\ssmc.exe
O23 - Service: Remote Procedure Call (RPC) Remote (RpcRemote) - Unknown owner - C:\WINNT\system32emote.exe (file missing)
O23 - Service: sqlmanagement - Unknown owner - C:\WINNT\sqlmanagement.exe (file missing)
O23 - Service: Windows Genuine Advantage Registration Service (wgareg) - Unknown owner - C:\WINNT\system32\wgareg.exe (file missing)

Merci encore de bien vouloir m'assister.
o.hube

Utilisateur anonyme · Answer

Salut,

Ma- gni -fiqueee ! lol

Relance HijackThis, choisis "do a scan only" coche la case devant les lignes ci-dessous et clic en bas sur "fix checked"

R3 - URLSearchHook: DeskbarBHO - {A8B28872-3324-4CD2-8AA3-7D555C872D96} - C:\Program Files\Deskbar\deskbar.dll 
F2 - REG:system.ini: Shell=Explorer.exe winservnt32.exe 
F2 - REG:system.ini: UserInit=C:\WINNT\System32\userinit.exe,winservnt32.exe 
O1 - Hosts: 235.214.107.41 www.virustotal.com 
O1 - Hosts: 33.3.169.44 virusscan.jotti.org 
O1 - Hosts: 95.95.239.187 sandbox.norman.no 
O1 - Hosts: 236.16.252.76 www.symantec.com 
O1 - Hosts: 81.237.212.190 securityresponse.symantec.com 
O1 - Hosts: 153.77.69.6 symantec.com 
O1 - Hosts: 101.81.142.37 www.sophos.com 
O1 - Hosts: 51.92.5.83 sophos.com 
O1 - Hosts: 22.84.63.236 www.mcafee.com 
O1 - Hosts: 204.205.34.167 mcafee.com 
O1 - Hosts: 243.212.96.143 liveupdate.symantecliveupdate.com 
O1 - Hosts: 61.96.74.78 www.viruslist.com 
O1 - Hosts: 104.47.238.203 viruslist.com 
O1 - Hosts: 109.147.117.22 f-secure.com 
O1 - Hosts: 13.244.51.53 www.f-secure.com 
O1 - Hosts: 57.5.230.76 kaspersky.com 
O1 - Hosts: 17.115.16.33 www.avp.com 
O1 - Hosts: 90.161.208.139 www.kaspersky.com 
O1 - Hosts: 50.145.99.80 avp.com 
O1 - Hosts: 233.168.246.216 www.networkassociates.com 
O1 - Hosts: 64.114.128.249 www.ca.com 
O1 - Hosts: 236.121.110.141 ca.com 
O1 - Hosts: 54.114.43.161 mast.mcafee.com 
O1 - Hosts: 118.182.103.146 my-etrust.com 
O1 - Hosts: 221.234.42.53 www.my-etrust.com 
O1 - Hosts: 78.49.5.243 download.mcafee.com 
O1 - Hosts: 11.207.240.9 dispatch.mcafee.com 
O1 - Hosts: 185.176.201.53 secure.nai.com 
O1 - Hosts: 219.150.202.149 nai.com 
O1 - Hosts: 192.252.18.2 www.nai.com 
O1 - Hosts: 21.236.30.16 update.symantec.com 
O1 - Hosts: 19.195.32.170 updates.symantec.com 
O1 - Hosts: 130.65.67.206 us.mcafee.com 
O1 - Hosts: 115.196.49.111 liveupdate.symantec.com 
O1 - Hosts: 117.157.101.252 customer.symantec.com 
O1 - Hosts: 183.213.47.157 rads.mcafee.com 
O1 - Hosts: 68.79.239.155 trendmicro.com 
O1 - Hosts: 211.47.228.251 www.trendmicro.com


Désactive le pare-feu de Windows(SP2) il ne sert à rien puis installe celui ci pour plus de sécurité.Tu risques d'avoir pas mal d'alerte vu ton infection, refuse tout mise à part internet et avast pour le moment.

Kerio: (pare-feu, qui reste gratuit après la periode d'essai!)
Kerio Personal Firewall
-tutorial: pour configurer et comprendre l'utilisation de Kerio
https://kerio.probb.fr/

Télécharge SmitfraudFix (enregistre le sur le "bureau")
http://siri.urz.free.fr/Fix/SmitfraudFix.zip

décompresse SmitfraudFix
Lance le fichier SmitfraudFix ou SmitfraudFix.cmd et choisis l option 1 copie le rapport ici stp

Utilisateur anonyme · Answer

Salut,

Redémarres le PC en mode sans échec : tu tapotes sur la touche F8 de ton clavier (ou F5 ) et tu choisis le mode sans échec) 

- Ouvre le dossier "SmitfraudFix" et double clic sur "Smitfraudfix.cmd", choisit l 'option 2 et tu réponds oui à tout. 

Copie/colle le rapport sur le forum stp.


puis fait ça:


Fait ce scan anti-virus en ligne avec Internet Explorer, accepte l'active X; la barre anti-popup du SP2 (en haut) va se mettre à clignoter, clic dessus et choisis "accepter l'active X" pour  faire fonctionner le scan anti-virus.
Une fois qu'il a terminé colle le rapport ici stp

https://www.bitdefender.com/toolbox/

o.hube · Answer

Voici le rapport demandé :

SmitFraudFix v2.102

Rapport fait à 21:53:49,01, ven. 29/09/2006
Executé à partir de D:\Utilitaires\SmitfraudFix
OS: Microsoft Windows 2000 [Version 5.00.2195] - Windows_NT
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

C:\drsmartload?.exe supprimé

»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires


»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre
 
Nettoyage terminé. 
 
»»»»»»»»»»»»»»»»»»»»»»»» Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

Merci encore et encore !

Utilisateur anonyme · Answer

ok, c'est bon maintenant tu peux faire le scan en ligne stp ;-)

Utilisateur anonyme · Answer

je pense que ça vient bon oui ..

pour ton probléme avec Windows Installer essai ça

Clic sur démarrer, exécuter,  tape: services.msc vas tout en bas et régle Windows Installer sur manuel

Utilisateur anonyme · Answer

Remets un rapport hijackthis du Pc malade stp ;-)

Utilisateur anonyme · Answer

Salut, 

pas grave ;-)


Relance HijackThis, choisis "do a scan only" coche la case devant les lignes ci-dessous et clic en bas sur "fix checked"

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\windows\system32\blank.htm 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\windows\system32\blank.htm
F2 - REG:system.ini: Shell=Explorer.exe winservnt32.exe 
F2 - REG:system.ini: UserInit=C:\WINNT\System32\userinit.exe,winservnt32.exe 
O1 - Hosts: 57.5.230.76 kaspersky.com 
O4 - HKLM\..\Run: [Spooler SubSystem App] C:\WINNT\system32\spoolsvc.exe 
O4 - HKLM\..\Run: [Windows Network Firewall] C:\WINNT\system32\firewall.exe 
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon 
O4 - HKLM\..\Run: [Local Security Authority Service] C:\WINNT\system32\Isass.exe 
O4 - HKLM\..\Run: [Ms Update WinServices NT/XP] winservnt32.exe 
O4 - HKLM\..\Run: [Windows Socket Procedure] WinSock32.exe 
O4 - HKLM\..\RunServices: [Windows Socket Procedure] WinSock32.exe 
O4 - HKCU\..\Run: [Google Desktop Search] "C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startup 
O4 - HKCU\..\Run: [Ms Update WinServices NT/XP] winservnt32.exe 
O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe 
O4 - Global Startup: Fujitsu Quick Touch.lnk = C:\Program Files\Fujitsu\Fujitsu Quick Touch\AUVCore.exe 
O4 - Global Startup: HotSync Manager.lnk = C:\Program Files\palmOne\Hotsync.exe 
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe 
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - https://onedrive.live.com/ 
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab 
O20 - Winlogon Notify: App Management - C:\WINNT\system32\jtl0073me.dll (file missing) 
O20 - Winlogon Notify: Group Policy - C:\WINNT\system32\fp4803hue.dll (file missing)


Clic sur exécuter, tape: services.msc cherche dans la liste ces lignes double clic dessus et régle les sur "désactivé"


AVG7 Alert Manager Server
AVG7 Update Service 
Microsoft update Service
Windows Network Security Management Service
Remote Procedure Call (RPC) Remote (RpcRemote)
Remote Reader Machine
Windows Genuine Advantage Registration Service
sqlmanagement 


Fais une recherche et fichiers et supprime ces fichiers si présent:

sqlmanagement.exe
gareg.exe 
ssmc.exe 
remote.exe
WinSock32.exe
winservnt32.exe
spoolsvc.exe 
firewall.exe

**Si un fichier persiste lors de la suppression fais ceci:
-Redemarres ton pc, dès l'allumage de celui-ci tapote la touche F8 (ou F5 si F8 ne fonctionne pas), à l'écran qui va apparaitre choisis "mode sans echec" attends un peu.. puis vas supprimer les fichiers/dossiers qui persistaient, vides ta corbeille et redemarres normalement


Si tu peux fais ce transfére de fichier sur le Pc malade

Fait ce nettoyage: (à faire réguliérement)

¤Telecharges et installes ceci:
CCleaner:
Ccleaner

dans la colonne de gauche clic sur "erreurs" coches toutes les cases, puis cliques en bas sur "chercher des erreurs" une fois finit, cliques sur "reparer les erreurs" et tu aura un message pour sauvegarder ta base de registre tu dis "oui" puis tu recommences jusqu'a ce qu'il te trouve plus d'erreurs.
Les sauvegardes que tu aura faites tu pourra les supprimer si ton ordinateur n'a plus de problémes

¤Relance Ccleaner, vas dans l'onglet "nettoyeur" present sur la gauche, decoches la derniere case (Avancé si elle est cochée) puis clic sur "lancer le nettoyage"
 

SpyBot-Search & Destroy: (gratuit)
Spybot

A² squared: (gratuit)
A-squared


Puis tu scannes même s'ils ne sont pas à jour ils devraient te trouver des bestioles car tu es bien infecté ;-)


A+++

o.hube · Answer

Bonsoir,

Merci pour toutes ces indications !!
Je me mets à l'oeuvre de suite... et te tiens au courant du résultat.

[Virus] Trojan-gen et Lookme-gen

8 réponses

Discussions similaires

Newsletters