trojan.fakevir.P

Question

Bonjour à tous,
Mon analyse par adaware se bloque au bout d'un certain temps,  BitDefender me signale que je suis infecté par "Trojan.Fakevir.P"et que le virus a été bloqué.
Pourtant lorsque je lance une analyse antivirus, il ne trouve rien mais adaware se bloque toujours...du coup je suis coincé!
En espèrant que quelqu'un puisse m'aider merci d'avance.

Lyonnais92 · Answer

Bonjour,

1) Ouvre ce lien  (merci a S!RI pour ce programme). http://siri.urz.free.fr/Fix/SmitfraudFix.php 
et télécharge SmitfraudFix.exe.

Regarde le tuto
Exécute le en choisissant l’option 1, il va générer un rapport
Copie/colle le sur le poste stp. 

2) Télécharge HijackThis ici: 
https://www.01net.com/telecharger/windows/Securite/anti-spyware/fiches/29061.html 

Dézippe le dans un dossier prévu à cet effet. 
Par exemple C:\hijackthis < Enregistre le bien dans c : ! 
Démo : (Merci a Balltrap34 pour cette réalisation) 
http://pageperso.aol.fr/balltrap34/Hijenr.gif 

Lance le puis: 
clique sur "do a system scan and save logfile" (cf démo) 
faire un copier coller du log entier sur le forum 

Démo : (Merci a Balltrap34 pour cette réalisation) 
http://pageperso.aol.fr/balltrap34/demohijack.htm 

@+

Lyonnais92 · Answer

Bonjour;

ON commence comme ça :

Active le parefeu Windows !!!

On en changera plus tard, mais c'est un minimum.
Démarrer, panneau de configuration, parefeu Windows.


Démarre en mode sans échec : 
 (si tu ne sais pas faire : Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter. 
Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée. 
Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal ! 
(Si F8 ne marche pas utilise la touche F5). 
---------------------------------------------------------------------------- 
Relance le programme Smitfraudfix, 
Cette fois choisit l’option 2, répond oui a tous ; 
Sauvegarde le rapport, Redémarre en mode normal, copie/colle le rapport sauvegardé sur le forum.

Remets un nouveau log HijackThis.

Je regarde s'il y a d'autres problèmes.

@+

saturnin33 · Answer

Bonjour Lyonnais92,
J'ai opéré dans l'ordre, pour le parefeu, il était activé, voici le nouveau rapport SmitfraudFix:
SmitFraudFix v2.131

Rapport fait à 18:03:39,12, 20/12/2006
Executé à partir de C:\Documents and Settings\Laurent\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est FAT32
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

C:\WINDOWS\system32\1024\ supprimé
C:\Program Files\IntCodec\ supprimé
C:\Program Files\SpyFalcon\ supprimé

»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre
 
Nettoyage terminé. 
 
»»»»»»»»»»»»»»»»»»»»»»»» Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

et le nouveau rapport Hijackthis: 
Logfile of HijackThis v1.99.1
Scan saved at 18:14:28, on 20/12/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\EasyBox\apache\apache.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe
C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe
C:\WINDOWS\system32\fxssvc.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\EasyBox\apache\apache.exe
C:\Program Files\Softwin\BitDefender10\vsserv.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\PROGRA~1\LAUNCH~1\CPLCL32.EXE
C:\Program Files\CRW\shwicon.exe
C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
C:\Program Files\DAEMON Tools\daemon.exe
C:\Program Files\Softwin\BitDefender10\bdmcon.exe
C:\Program Files\Softwin\BitDefender10\bdagent.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Alliance MCA\Internet Fax\faxtray.exe
C:\Program Files\OpenOffice.org 2.0\program\soffice.exe
C:\Program Files\OpenOffice.org 2.0\program\soffice.BIN
C:\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: (no name) - {0BF43445-2F28-4351-9252-17FE6E806AA0} - (no file)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\CPLCL32.EXE
O4 - HKLM\..\Run: [ShowIcon_Chander_CRW Series Driver v1.17r019] "C:\Program Files\CRW\shwicon.exe" -t"Chander\CRW Series Driver v1.17r019"
O4 - HKLM\..\Run: [EPSON Stylus C66 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0S2.EXE /P23 "EPSON Stylus C66 Series" /O6 "USB001" /M "Stylus C66"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [BDMCon] "C:\Program Files\Softwin\BitDefender10\bdmcon.exe" /reg
O4 - HKLM\..\Run: [BDAgent] "C:\Program Files\Softwin\BitDefender10\bdagent.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Startup: OpenOffice.org 2.0.lnk = C:\Program Files\OpenOffice.org 2.0\program\quickstart.exe
O4 - Global Startup: Mozilla Thunderbird.lnk = C:\Program Files\Mozilla Thunderbird	hunderbird.exe
O4 - Global Startup: Gestionnaire de lancement d'application fax.lnk = C:\Program Files\Alliance MCA\Internet Fax\faxtray.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {983AB2CC-3D50-11D9-ADFE-00062919A34C} (ActiveXUpload.UserCtrl) - http://www.photoservice.com/activeX/newUpload.CAB
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: EasyModApache - Unknown owner - C:\Program Files\EasyBox\apache\apache.exe" -k runservice (file missing)
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)
O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Program Files\Softwin\BitDefender10\vsserv.exe" /service (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

Merci encore et à bientôt.

Lyonnais92 · Answer

Bonsoir,

SmitfraudFix a bien travaillé.

Est ce que tu as installé ce programme ? ShowIcon_Chander_CRW Series Driver v1.17r019

Sais tu à quoi il sert ?

Quand tu ouvres, dans le panneau de configuration Ajouter/supprimmer des programmes, est il dans la liste ?

Si tu réponds non aux 2 premières questions et oui à la 3ème, tu le désinstalles.

Si tu réponds non aux trois, tu fais ceci :


Rends toi sur ce site :
http://www.virustotal.com/xhtml/virustotal_en.html

Clique sur parcourir et cherche ce fichier : C:\Program Files\CRW\shwicon.exe

Clique sur send.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse. 

Où en es tu de tes soucis ?

@+

saturnin33 · Answer

Bonsoir lyonnais92, 

Pour répondre à ta dernière question, j'ai lancé une analyse Ad-Aware et  elle n'est pas restée bloquée comme les dernières fois. Apparement tout ce que tu m'as fais faire a été efficace, merci.

Voici le rapport de virustotal:

Complete scanning result of "shwicon.exe", received in VirusTotal at 12.21.2006, 01:07:01 (CET).

Antivirus	Version	Update	Result
AntiVir	7.3.0.19	12.20.2006	no virus found
Authentium	4.93.8	12.20.2006	no virus found
Avast	4.7.892.0	12.20.2006	no virus found
AVG	386	12.20.2006	no virus found
BitDefender	7.2	12.20.2006	no virus found
CAT-QuickHeal	8.00	12.20.2006	no virus found
ClamAV	devel-20060426	12.20.2006	no virus found
DrWeb	4.33	12.20.2006	no virus found
eSafe	7.0.14.0	12.19.2006	no virus found
eTrust-InoculateIT	23.73.91	12.20.2006	no virus found
eTrust-Vet	30.3.3264	12.20.2006	no virus found
Ewido	4.0	12.20.2006	no virus found
Fortinet	2.82.0.0	12.20.2006	no virus found
F-Prot	3.16f	12.20.2006	no virus found
F-Prot4	4.2.1.29	12.20.2006	no virus found
Ikarus	T3.1.0.27	12.20.2006	no virus found
Kaspersky	4.0.2.24	12.20.2006	no virus found
McAfee	4923	12.20.2006	no virus found
Microsoft	1.1904	12.21.2006	no virus found
NOD32v2	1932	12.20.2006	no virus found
Norman	5.80.02	12.20.2006	no virus found
Panda	9.0.0.4	12.21.2006	no virus found
Prevx1	V2	12.21.2006	no virus found
Sophos	4.12.0	12.18.2006	no virus found
Sunbelt	2.2.907.0	12.18.2006	no virus found
TheHacker	6.0.3.135	12.20.2006	no virus found
UNA	1.83	12.20.2006	no virus found
VBA32	3.11.1	12.20.2006	no virus found
VirusBuster	4.3.19:9	12.20.2006	no virus found

Aditional Information
File size: 73728 bytes
MD5: abdf8895df9209d4c65fbeb37a3a6436
SHA1: 8aeb792f72e327d85396231eefd3c905c5592374

Et j'espère qu'on en aura terminé pour cette fois, sinon merci de continuer à me dicter la marche à suivre.
 @+

Utilisateur anonyme · Answer

Salut vous deux

Bitdefender as déjà un pare-feu, tu peux désactiver celui de Windows ;-)
Je laisse Lyonnais finir le nettoyage ;-)

Lyonnais92 · Answer

Bonjour,

Merci Boulepate, j'ai toujours du mal à le voir.

Saturnin, panneau de configuration, parefeu Windows, désactiver.

Si shwicon.exe est clean, tu n'as pas dit si tu l'as installé et si tu en as usage.

Relance HijackThis. Choisis do a scan only.

Coche la case devant :
O3 - Toolbar: (no name) - {0BF43445-2F28-4351-9252-17FE6E806AA0} - (no file)

Si tu n'utilise pas (ou plus) www.photoservice.com coche aussi la case devant O16 - DPF: {983AB2CC-3D50-11D9-ADFE-00062919A34C} (ActiveXUpload.UserCtrl) - http://www.photoservice.com/activeX/newUpload.CAB 

Si swhicon.exe est inutile, coche aussi 
O4 - HKLM\..\Run: [ShowIcon_Chander_CRW Series Driver v1.17r019] "C:\Program Files\CRW\shwicon.exe" -t"Chander\CRW Series Driver v1.17r019" 

Ferme toutes les fenêtres autres que  HijackThis et cliques sur Fix checked.

Fermes HijackThis.

Tout ceci est réversible tant que tu gardes le dossier HijackThis via le fichier backup qui va se créer.

Pour le reste, un petit nettoyage hebdomadaire avec AVG antispyware (en plus de Ad aware), avec Spybot search & destroy (mise à jour systématique, nettoyer et vacciner), avec ccleaner (cases saisie seme automatique et avancé décochée)(nettoyage et erreurs) maintient l'ordi clean et en bon état de marche.

Tu trouves les liens de téléchargement à partir du bandeau de haut de page (télécharger).

Pour les tutos, tu les trouveras tous ici : 

http://forum.cfasi.net/viewforum.php?f=24&sid=76915e5cf24756b12bcb2c77f09eb2e2

Attention avec AVG, règle bien sur mise en quarantaine (ou supprimer) sinon cela ne sert à rien.

Renvoie un dernier log HijackThis.

@+

Trojan.fakevir.P

7 réponses

Newsletters