[trojan] pc infecté par Win32:dBot-4142 [Tri]Résolu/Fermé

Question

Bonjour à tous, je vous contacte parce que là, j'aurais besoin d'un sérieux coup de pouce...j'essaie de me débarasser d'un troyen depuis qelque temps déjà, sans succès !

Mon anti virus est Avast 4 (la version familiale gratuite sur leur site) et mon firewall est kerio 4.3.268. J'ai déjà reformaté plusieurs fois  mon disque dur et le troyen se remet systématiquement dans Windows\system32\iezyling.exe

Avant le formatage, j'avais sauvegardé mes données sur un disque dur externe, avant de les replacer sur mon pc : peut être le troyen se planque-t-il dans mes données ? Avast ne le détecte plus et je suis censé avoir supprimé les fichiers infectés. Le problème survient quand je suis connecté au net et bloque le système (au pire un plantage sur écran bleu).

Ayant regardé les précédents forums, j'ai télécharger hijackthis et réalisé un scan dont voici le rapport :


Logfile of HijackThis v1.99.1
Scan saved at 12:57:56, on 01/02/2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
C:\Program Files\Analog Devices\SoundMAX\Smax4.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
C:\Program Files\Daemon Tool\daemon.exe
C:\Program Files\Winamp\winampa.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Aniki\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://runonce.msn.com/?v=msgrv75
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = 

https://login.live.com/ppsecure/sha1auth.srf?lc=1036
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 

6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers 

communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [EPSON Stylus C44 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON 

Stylus C44 Series" /O6 "USB001" /M "Stylus C44"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\Daemon Tool\daemon.exe"  -lang 1033
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma 

Loader.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - 

C:\WINDOWS\web\related.htm
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems 

Shared\Service\Adobelmsvc.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil 

Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service 

(file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service 

(file missing)
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Fichiers 

communs\EPSON\EBAPI\SAgent2.exe
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt 

Software\Personal Firewall\kpf4ss.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program 

Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp 

Utilities 2006\WinStylerThemeSvc.exe


Voilà. En espérant que vous pourrez m'aider et en vous remerciant dans tous les cas d'essayer. Voilà plus d'un mois que je me bats avec...alors pleeasse...si mon sauveur de pc (et surtout de données) existe...

Bonne journée à tous.

philae83 · Answer

Bonjour, * télécharge AVG Anti-Spyware (ewido) https://www.avg.com/en-ww/free-antivirus-download * tu l'installes * lance AVG Anti-Spyware et clique sur le bouton Mise à jour. Patiente puis Lance AVG Anti-Spyware Clique sur le bouton Analyse (de la barre d'outils) Puis sur l'onglets Comment réagir, clique sur Actions recommandées. Sélectionne Quarantaine. Reviens à l'onglet Analyse. Clique sur Analyse complète du système. A la fin du scan, choisis l'option 3 "Appliquer toutes les actions " en bas. Clique sur "Enregistrer le rapport". Ceci génère un rapport en fichier texte qui se trouve dans le dossier Reports du dossier d'AVG Anti-Spyware. Poste le.

beataniki · Answer

Merci à toi...je vais essayer ca tout de suite et te tiens au courant...

Merci encore... 

++

beataniki · Answer

re, 

j'ai fait l'analyse que tu m'as indiqué avec AVG Anti-Spyware et voici le rapport :

---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	16:31:21 01/02/2007

 + Résultat de l'analyse:	



HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\{c95fe080-8f5d-11d2-a20b-00aa003c157a} -> Adware.Generic : Nettoyé et sauvegardé (mise en quarantaine).
:mozilla.63:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.247realmedia : Nettoyé.
:mozilla.64:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.247realmedia : Nettoyé.
:mozilla.65:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.247realmedia : Nettoyé.
:mozilla.22:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.2o7 : Nettoyé.
C:\Documents and Settings\Aniki\Cookies\aniki@2o7[2].txt -> TrackingCookie.2o7 : Nettoyé.
:mozilla.123:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Adbrite : Nettoyé.
:mozilla.124:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Adbrite : Nettoyé.
:mozilla.125:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Adbrite : Nettoyé.
:mozilla.94:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Advertising : Nettoyé.
:mozilla.95:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Advertising : Nettoyé.
:mozilla.96:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Advertising : Nettoyé.
:mozilla.26:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Atdmt : Nettoyé.
C:\Documents and Settings\Aniki\Cookies\aniki@atdmt[2].txt -> TrackingCookie.Atdmt : Nettoyé.
:mozilla.59:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Bluestreak : Nettoyé.
C:\Documents and Settings\Aniki\Cookies\aniki@bluestreak[2].txt -> TrackingCookie.Bluestreak : Nettoyé.
:mozilla.74:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Casalemedia : Nettoyé.
:mozilla.75:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Casalemedia : Nettoyé.
:mozilla.76:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Casalemedia : Nettoyé.
:mozilla.77:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Casalemedia : Nettoyé.
:mozilla.78:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Casalemedia : Nettoyé.
:mozilla.79:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Casalemedia : Nettoyé.
:mozilla.46:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Doubleclick : Nettoyé.
:mozilla.92:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Estat : Nettoyé.
:mozilla.109:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Fastclick : Nettoyé.
:mozilla.110:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Fastclick : Nettoyé.
:mozilla.126:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Mediaplex : Nettoyé.
:mozilla.38:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Smartadserver : Nettoyé.
:mozilla.40:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Smartadserver : Nettoyé.
:mozilla.41:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Smartadserver : Nettoyé.
C:\Documents and Settings\Aniki\Cookies\aniki@www.smartadserver[1].txt -> TrackingCookie.Smartadserver : Nettoyé.
:mozilla.132:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Statcounter : Nettoyé.
:mozilla.133:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Statcounter : Nettoyé.
:mozilla.134:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Statcounter : Nettoyé.
:mozilla.39:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Weborama : Nettoyé.
:mozilla.43:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Weborama : Nettoyé.
C:\Documents and Settings\Aniki\Cookies\aniki@weborama[1].txt -> TrackingCookie.Weborama : Nettoyé.
:mozilla.115:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Yieldmanager : Nettoyé.
:mozilla.116:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Yieldmanager : Nettoyé.
:mozilla.118:C:\Documents and Settings\Aniki\Application Data\Mozilla\Firefox\Profiles\cmunv56n.default\cookies.txt -> TrackingCookie.Yieldmanager : Nettoyé.


Fin du rapport

Je ne suis pas sûr qu'il ait localisé l'endroit où se situe "la souche" du troyen (certainement dans mes données). Une précision qui pourrait t'être utile : j'avais mis le fichier infecté "windows\system32\iezylimg.exe" en quarantaine avec Avast lors de sa détection. 

Je peux aussi te préciser que j'avais, a priori, supprimé les fichiers dans mes données qui contenaient le troyen.  (un troyen peut-il se répandre et infecter d'autres fichiers ?)

En te remerciant de ton aide.

philae83 · Answer

re
ce ne sont que des cookies

lance hijackthis coche et fixe ces lignes

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} -

C:\WINDOWS\web\related.htm 

puis

* Assure toi d'avoir accès à tous les fichiers

-démarrer

-poste de travail ou autre dossier

-menu outils

-options de dossier

-onglet affichage

puis

- activer la case : Afficher les fichiers et dossiers cachés

- désactiver la case : Masquer les extensions des fichiers dont le type est connu

- désactiver  la case : Masquer les fichier protégés du système d'exploitation

Puis  - Appliquer

* et Supprime le(s) fichier(s) ci dessous si il(s) est (sont) présent(s) :

C:\WINDOWS\web\related.htm 
C:\windows\system32\iezylimg.exe

* Dans l'Explorateur Windows recache les fichiers système afin de ne pas faire d'erreur à l'avenir. Retourne à la fenêtre Paramètres de dossiers et sélectionne Ne pas afficher les fichiers cachés ou les fichiers système

* fait un scan antivirus en ligne ici
http://www.bitdefender.fr/scan8/ie.html
et poste le rapport ensuite

philae83 · Answer

re

si tu les sors de la quarantaine ils vont repolluer ton pc. Pourquoi veux tu les sortir de là ?
laisse les et supprime ta quarantaine.

Fait quand même le scan antivirus préconisé plus haut et poste le rapport

beataniki · Answer

bonsoir à toi,

Voilà, c'est fait. A priori, tout fonctionne (bon, le pc rame beaucoup ce soir quand je suis sur le net mais peut être sans aucun rapport).

Pour le rapport du scan antivirus :

file:///C:/Documents%20and%20Settings/Aniki/Bureau/rapport%20bitdefender.html


Donc : merci merci merci  à toi ! Sincèrement merci.


A une prochaine fois.  ;-)

philae83 · Answer

bonsoir,

je n'ai pas accès à ton lien.

beataniki · Answer

Bonjour,

autant pour moi pour le lien, celui-ci devrait fonctionner :

http://dl.free.fr/1ERXi0V5/BitDefenderOnlineScanner-Rapportd

Bonne journée à toi

beataniki · Answer

re,

juste un détail : il s'agit d'un pdf que j'ai exporter. Donc utilise acrobat pour l'ouvrir   ;-)

philae83 · Answer

Bonjour,

ok, donc ras dans le rapport. 
normalement tu ne devrais plus avoir de problème maintenant ?

[trojan] pc infecté par Win32:dBot-4142 [Tri]

10 réponses

Newsletters