[trojan] infectee par WIN32:agentBSU[trj] Résolu/Fermé

Question

Bonjour,
mon pc est infecté par le trojan win32 agent BSU.
il a été detecté par avast , mis en quarantaine, supprimé et réapparait toujours dans un fichier different.
Dois je vous poster un rapport hi jack this ou faire autre chose avant . merci par avance de votre aide...

Utilisateur anonyme · Answer

Salut

envoi le rapport hijackthis ;-)

normanchampy · Answer

Salut , merci de me repondre a cette heure ci....

le rapport:

Logfile of HijackThis v1.99.1
Scan saved at 02:58:34, on 24/12/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Acer\Acer Arcade\PCMService.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\PROGRA~1\LAUNCH~1\LManager.exe
C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
C:\Program Files\OpenOffice.org 2.1\program\soffice.exe
C:\Program Files\OpenOffice.org 2.1\program\soffice.BIN
C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLCapSvc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLServer.exe
C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLService.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\Program Files\CyberLink\Shared Files\RichVideo.exe
C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLSched.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\DOCUME~1\CELINE~1\LOCALS~1\Temp\Répertoire temporaire 1 pour hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.acer.com/worldwide/selection.html
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.aceradvantage.com/stdreg
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: C:\WINDOWS\system32\zsPoCrypt.dll - {8A5849C4-93F3-429D-FF34-660A2068897C} - C:\WINDOWS\system32\zsPoCrypt.dll
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\WINDOWS\system32\eDStoolbar.dll
O4 - HKLM\..\Run: [AzMixerSel] C:\Program Files\Realtek\InstallShield\AzMixerSel.exe
O4 - HKLM\..\Run: [PCMService] "C:\Program Files\Acer\Acer Arcade\PCMService.exe"
O4 - HKLM\..\Run: [ntiMUI] C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7
tiMUI.exe
O4 - HKLM\..\Run: [Acer ePresentation HPD] C:\Acer\Empowering Technology\ePresentation\ePresentation.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe 1
O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
O4 - HKLM\..\Run: [Boot] C:\Acer\Empowering Technology\ePower\Boot.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\LManager.exe
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Recoveru systems] C:\DOCUME~1\CELINE~1\LOCALS~1\Temp\svchost.exe
O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\CELINE~1\LOCALS~1\Temp\winlogon.exe
O4 - Startup: OpenOffice.org 2.1.lnk = C:\Program Files\OpenOffice.org 2.1\program\quickstart.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: Acer Empowering Technology.lnk = C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O23 - Service: Memory Check Service (AcerMemUsageCheckService) - Acer Inc. - C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLCapSvc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLSched.exe
O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLServer.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe

Utilisateur anonyme · Answer

Regarde dans ton pare-feu tu dois y avoir des lignes pas très correctes bloque les.


¤ Telecharge et installe CCleaner (n'installe pas la barre d'outil Yahoo)
---> Ccleaner


Redémarres le PC en mode sans échec : tu tapotes sur la touche F8 de ton clavier (ou F5 ) dès le démarrage et tu choisis le mode sans échec) 


dans la colonne de gauche clic sur "erreurs" coches toutes les cases, puis cliques en bas sur "chercher des erreurs" une fois finit, cliques sur "reparer les erreurs" et tu aura un message pour sauvegarder ta base de registre tu dis "oui" puis tu recommences jusqu'a ce qu'il te trouve plus d'erreurs.
Les sauvegardes que tu aura faites tu pourra les supprimer si ton ordinateur n'a plus de problémes

¤Relance Ccleaner, vas dans l'onglet "nettoyeur" present sur la gauche, decoches la derniere case (Avancé si elle est cochée) puis clic sur "lancer le nettoyage"


Puis redémarre normalement


Fait ce scan anti-virus en ligne avec Internet Explorer, accepte l'active X; la barre anti-popup du SP2 (en haut) va se mettre à clignoter, clique dessus et choisis "accepter l'active X" pour  faire fonctionner le scan anti-virus.
Une fois qu'il a terminé colle le rapport ici stp

https://www.bitdefender.com/toolbox/

normanchampy · Answer

Merci de ta reponse.
Jai fait les manips avec ccleaner, la le scan bitdefender se fait , je te poste le rapport des qu'il est finit.
Par contre quand tu me dis il doit y avoir des lignes pas tres correctes, bloque les, je ne sais pas comment faire , peux tu me dire?
merci.
Céline

normanchampy · Answer

voila le rapport de bit defender:



BitDefender Online Scanner
	

 
	

 

Scan report generated at: Sun, Dec 24, 2006 - 14:08:40

 
	

 
	

 

Scan path: C:\;D:\;E:\;
	

 
	

 

 
	

 
	

 

Statistics

Time
	

00:26:15

Files
	

336106

Folders
	

3378

Boot Sectors
	

4

Archives
	

6634

Packed Files
	

17389
	

 
	

 

Results

Identified Viruses
	

1

Infected Files
	

1

Suspect Files
	

0

Warnings
	

0

Disinfected
	

0

Deleted Files
	

0
	

 
	

 

Engines Info

Virus Definitions
	

356952

Engine build
	

AVCORE v1.0 (build 2371) (i386) (Dec 13 2006 11:16:42)

Scan plugins
	

14

Archive plugins
	

38

Unpack plugins
	

6

E-mail plugins
	

6

System plugins
	

1
	

 
	

 

Scan Settings

First Action
	

Disinfect

Second Action
	

Delete

Heuristics
	

Yes

Enable Warnings
	

Yes

Scanned Extensions
	

*;

Exclude Extensions
	

 

Scan Emails
	

Yes

Scan Archives
	

Yes

Scan Packed
	

Yes

Scan Files
	

Yes

Scan Boot
	

Yes
	

 
	

 
 

Scanned File
	

 Status

C:\WINDOWS\system32\zsPoCrypt.dll
	

Infected with: Generic.Malware.dld!!.05873C68

C:\WINDOWS\system32\zsPoCrypt.dll
	

Disinfection failed

C:\WINDOWS\system32\zsPoCrypt.dll
	

Delete failed

normanchampy · Answer

j'ai refait un scan avast, il ne detecte rien.
je suis en train de faire un scan avg
je te poste le rapport des ke cest terminé.

normanchampy · Answer

bon , voila le rapport avg qui ne trouve rien:
---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	15:24:22 24/12/2006

 + Résultat de l'analyse:	



Rien à signaler.


Fin du rapport



-mon pare feu kerio me dit tentative d'intrusion bloquée voici le rapport:

Détails techniques sur l'intrusion :

Application injectrice : C:\WINDOWS\Explorer.EXE(new line)
Description : Explorateur Windows(new line)
Version du fichier : 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)(new line)
Produit : Système d'exploitation Microsoft® Windows®(new line)
Version du produit : 6.00.2900.2180(new line)
Créé le : 2004/8/5, 04:00:00(new line)
Modifié le : 2004/8/5, 04:00:00(new line)
Dernier accès le : 2006/12/23, 23:00:00

Application cible : C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe(new line)
Description : Sunbelt Kerio Firewall GUI(new line)
Version du fichier : 4.3.268.0(new line)
Produit : Sunbelt Kerio Personal Firewall(new line)
Version du produit : 4.3.268.0(new line)
Créé le : 2006/7/18, 11:02:56(new line)
Modifié le : 2006/7/18, 11:02:56(new line)
Dernier accès le : 2006/12/23, 23:00:00

Adresse de l'injection : 0x014A159B


-Ensuite, avast me trouve toujours le mm cheval de troie, toujours pas moyen de le supprimer ni de le mettre en quarantaine.
-J'ai voulu desactiver la restauration systeme, pour redemarrer en mode sans echec et supprimer manuellement les fichiers mais je ne peux pas la desctiver (demarrer/programmes/accessoires/restauration systeme/la case a gauche est en gris et impossible a cocher.)

Je ne sais pas quoi faire .
aidez moi s'il vous plait.

Utilisateur anonyme · Answer

Salut

Télécharge Killbox: 
http://www.killbox.net/downloads/KillBox.exe

Double clique sur killbox.exe (Pocket Killbox)

- coche: delete on reboot
dans la barre vide entre ceci: (exactement)

C:\WINDOWS\system32\zsPoCrypt.dll

- clique sur le rond rouge avec la croix blanche
- une fenêtre va apparaître pour confirmation cliques sur "YES"
- une seconde fenêtre te demande si tu veux redémarrer cliques sur "YES"


Laisse le pc redémarrer s'il ne redémarre pas de lui même alors fait le.

normanchampy · Answer

salut 
jai bien telechargé killbox mais il ne fonctionne pasau lancement, il m'affiche "component'MSCOMCTL.OCX' or one of its dependencies is not registered : a file is missing or invalid.
que faire???

normanchampy · Answer

bonsoir...quelqu'un a t il une idee de comment me debarasser de ce trojan?merci beaucoup.
Céline

Utilisateur anonyme · Answer

Redémarres le PC en mode sans échec : tu tapotes sur la touche F8 de ton clavier (ou F5 ) dès le démarrage et tu choisis le mode sans échec) 

Et sui tce chemin et supprime le fichier en question :

C:\WINDOWS\system32\zsPoCrypt.dll

normanchampy · Answer

ok merci beaucoupde ta reponse boulepate.je teste ca et te rcontacte juste apres...
en fait tu penses que cest ce fichier qui est infecté??
Céline

Utilisateur anonyme · Answer

Oui, c'est sûr même ;-)

normanchampy · Answer

bon et bien cefichier est impossible a supprimer, mm en mode sans echec...
komme ca mesaoulait trop jai fait une restauration  du pc grace aux cd acer ke jai gravés....la il  semble tt propre, je me suis pas encore reconnectee avec , d'abord je vais mettre les utilitaires necessaires...
dans c:\windows\system32\zsPOcrypt.dll n'existe plus...je suis confiante et vous tiens au courant des ke je me reconnecte avec

Utilisateur anonyme · Answer

Pense à nettoyer plus souvent ton PC avec un logiciel comme Ccleaner qui te fera le ménage pour éviter pas mal de petites bestioles dont tu etais infecté ;-)

normanchampy · Answer

bin ouipourtant , ccleaner avait fait le menge...
merci beaucoup pour votre aide...
et a une prochaine, maintenant je sais ou venir pour apprendre des choses, j'ai beaucoup plus appris en un wikend ke en des annees de navigation sans pbs...
a bientot

[trojan] infectee par WIN32:agentBSU[trj]

16 réponses

Discussions similaires