processus troyan et virus

Question

bonjour

depuis quelque temps j'essaie de me dépatouiller d'un problème d'infection. (virus troyan....) ^
je travaille sur une version XP familiale SP1 et malgré plusieurs formatage de mon disque dur, dès que je me conect sur le réseau, mon problème d'infection réapparait.
Auusi cherche bonne âme, qui m'aiderait

D'avance merci à tous

philae83 · Answer

Bonjour,

* Télécharge HijackThis et poste le rapport stp

http://pchelpbordeaux.free.fr/logiciels.html
Tutorial
http://pchelpbordeaux.free.fr/tuto.html
Démo en image
http://pageperso.aol.fr/balltrap34/demohijack.htm

et

* Télécharge CCleaner.

https://www.pcastuces.com/logitheque/ccleaner.htm

Installe le dans un répertoire dédié.

Décoche pendant l'installation

--- les deux cases "Ajouter l'option ... "

--- Contrôler les mises à jour

--- Ajouter la Barre d'Outils Yahoo! CCleaner

* Lance Ccleaner pour un nettoyage complet.

------

* télécharge AVG Anti-Spyware (ewido)

https://www.avg.com/en-ww/free-antivirus-download

* tu l'installes

* lance AVG Anti-Spyware et clique sur le bouton Mise à jour.<g/ras> Patiente

puis

Lance <gras>AVG Anti-Spyware

Clique sur le bouton Analyse (de la barre d'outils)

Puis sur l'onglets Comment réagir, clique sur Actions recommandées. Sélectionne Quarantaine.

Reviens à l'onglet Analyse. Clique sur Analyse complète du système.

A la fin du scan, choisis l'option 3

"Appliquer toutes les actions " en bas.

Clique sur "Enregistrer le rapport".

Ceci génère un rapport en fichier texte qui se trouve dans le dossier Reports du dossier d'AVG Anti-Spyware.

Poste le.

m--mi · Answer

merci d'avoir répondu
voici le 1er rapport 
Logfile of HijackThis v1.99.1
Scan saved at 13:38:44, on 03/02/2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Documents and Settings\-\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\PROGRA~1\SPYWAR~2	ools\iesdsg.dll
O2 - BHO: (no name) - {AC16C3BC-AEBE-4B17-B0AD-D2B7F76DFAB8} - C:\WINDOWS\System32\khfdbcd.dll
O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\PROGRA~1\SPYWAR~2	ools\iesdpb.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [CtrlVol] C:\Program Files\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [PRISMSTA.EXE] PRISMSTA.EXE START
O4 - HKLM\..\Run: [OSD] C:\Program Files\Launch Manager\OSD.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [LaunchAp] C:\Program Files\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [HotkeyApp] C:\Program Files\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKCU\..\Run: [Spyware Doctor] C:\PROGRA~1\SPYWAR~2\swdoctor.exe /Q
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~2	ools\iesdpb.dll
O20 - Winlogon Notify: awtqnkh - awtqnkh.dll (file missing)
O20 - Winlogon Notify: khfdbcd - C:\WINDOWS\SYSTEM32\khfdbcd.dll
O20 - Winlogon Notify: pmnoljg - pmnoljg.dll (file missing)
O23 - Service: Application Layer Gateway - Unknown owner - C:\WINDOWS\system\msrv32.exe (file missing)
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - Unknown owner - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe (file missing)
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - Unknown owner - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe (file missing)
O23 - Service: AVG E-mail Scanner (AVGEMS) - Unknown owner - C:\PROGRA~1\Grisoft\AVG7\avgemc.exe (file missing)
O23 - Service: Microsoft update Service - Unknown owner - C:\WINDOWS\System32\dllcache\msiupdate32.exe
O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\System32\msasvc.exe
O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - C:\Program Files\Spyware Doctor\sdhelp.exe
O23 - Service: Secured Process (secureprocess) - Unknown owner - C:\WINDOWS\secureprocs32.exe
O23 - Service: Microsoft Windows DMR Service (Windows DMR Service) - Unknown owner - C:\WINDOWS\dmrproc.exe

je procède tout de suite aux tâches qui suivantes et conseiller
merci

philae83 · Answer

alors avant que le forum ne tombe en rade, j'étais en train de te dire

après avg, tu passes à ceci :

* Télécharge VundoFix.exe (par Atribune) sur ton Bureau

http://www.atribune.org/ccount/click.php?id=4

 * Double-clique VundoFix.exe afin de le lancer

* Clique sur le bouton Scan for Vundo

* Lorsque le scan est complété, clique sur le bouton Remove Vundo

* Une invite te demandera si tu veux supprimer les fichiers, clique YES

* Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers

* Tu verras une invite qui t'annonce que ton PC va redémarrer; clique OK

* Copie/colle le contenu du rapport situé dans C:\vundofix.txt ainsi qu'un nouveau rapport HijackThis dans ta prochaine réponse

 
Note: Il est possible que VundoFix soit confronté à un fichier qu'il ne peut supprimer. Si tel est le cas, l'outil se lancera au prochain redémarrage; il faut simplement suivre les instructions ci-haut, à partir de "clique sur le bouton Scan for Vundo".

m--mi · Answer

philea83

Ah oui j'ai oublié, j'ai été dans l'impossibilité d'effectuer un scan complet avec AVG et dons je n'ai pu avoir de rapport .

désolé pour le décalage dans l'information, mais j'ai de plus ma connexion qui à tendance à se fermé de façon intempestive et aussi quelques extinctions du PC infecté.

merci de votre compréhension

philae83 · Answer

re



Démarrer "Exécuter…" puis Tape "services.msc" et valide par  OK
la fenêtre des Services s'ouvre => vérifier dans la partie inférieure que l'onglet "Etendu" est bien sélectionné, sinon faites le.

 Microsoft update service
et le chemin
C:\WINDOWS\System32\dllcache\msiupdate32.exe

Microsoft authenticate service (MsaSvc) 
et le chemin
 C:\WINDOWS\System32\msasvc.exe

 Secured Process (secureprocess) 
et le chemin
C:\WINDOWS\secureprocs32.exe 

 Application Layer Gateway - et le chemin
C:\WINDOWS\system\msrv32.exe

- Dans la colonne "Nom", DOUBLE CLIQUE sur le service noté en GRAS ci dessus, pour faire apparaître "Propriétés".
- Vérifie dans "Chemin d'accès des fichiers exécutables" qu'il s'agit bien de l'emplacement souligné.
- Puis clique sur Arrêter
- Dans le menu déroulant "Type de démarrage", sélectionne "Désactivé".
- valide la modification par OK
- Ferme la fenêtre des Services.

puis

Ouvre HijackThis---open the misc tool section>Misc tools>delete an NT service.
Dans l'invite de commande, entre 
Microsoft update service
Valide.
recommence avec
Microsoft authenticate service
et
Secured Process 
et
 Application Layer Gateway

puis

* lance Hijackthis, puis coche ces lignes :

O2 - BHO: (no name) - {68D5CF1D-EC5C-4bdd-A9EF-F0E517565D50} - C:\WINDOWS\System32\msmulpup.dll (file missing)
O2 - BHO: (no name) - {ABA1F026-BC43-4C73-B359-E489B7EE3019} - C:\WINDOWS\System32\awvtq.dll (file missing)
O2 - BHO: (no name) - {AC16C3BC-AEBE-4B17-B0AD-D2B7F76DFAB8} - C:\WINDOWS\System32\khfdbcd.dll (file missing) 
O20 - Winlogon Notify: awtqnkh - awtqnkh.dll (file missing)
O20 - Winlogon Notify: pmnoljg - pmnoljg.dll (file missing)
 
* ferme toutes les instances ouvertes, y compris Internet Explorer et  clique sur "fix checked"

puis

* Assure toi d'avoir accès à tous les fichiers

-démarrer

-poste de travail ou autre dossier

-menu outils

-options de dossier

-onglet affichage

puis

- activer la case : Afficher les fichiers et dossiers cachés

- désactiver la case : Masquer les extensions des fichiers dont le type est connu

- désactiver  la case : Masquer les fichier protégés du système d'exploitation

Puis  - Appliquer

* et Supprime le(s) fichier(s) ci dessous si il(s) est (sont) présent(s) :

C:\WINDOWS\System32\msmulpup.dll 
C:\WINDOWS\System32\awvtq.dll 
C:\WINDOWS\System32\khfdbcd.dll 
C:\WINDOWS\System32\pmnoljg.dll 
C:\WINDOWS\secureprocs32.exe 
C:\WINDOWS\System32\msasvc.exe 
C:\WINDOWS\System32\dllcache\msiupdate32.exe 
C:\WINDOWS\system\msrv32.exe

* Dans l'Explorateur Windows recache les fichiers système afin de ne pas faire d'erreur à l'avenir. Retourne à la fenêtre Paramètres de dossiers et sélectionne Ne pas afficher les fichiers cachés ou les fichiers système

* réessaye maintenant AVG et poste le rapport, ainsi qu'un nouveau rapport Hijackthis

m--mi · Answer

je reposte mon précédent message
j'ai eu la suite du message et voici ce qui suit 

Logfile of HijackThis v1.99.1 
Scan saved at 16:49:34, on 03/02/2007 
Platform: Windows XP SP1 (WinNT 5.01.2600) 
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) 

Running processes: 
C:\WINDOWS\System32\smss.exe 
C:\WINDOWS\system32\winlogon.exe 
C:\WINDOWS\system32\services.exe 
C:\WINDOWS\system32\lsass.exe 
C:\WINDOWS\System32\Ati2evxx.exe 
C:\WINDOWS\system32\svchost.exe 
C:\WINDOWS\System32\svchost.exe 
C:\WINDOWS\system32\ZoneLabs\vsmon.exe 
C:\WINDOWS\Explorer.EXE 
C:\Program Files\Launch Manager\Wbutton.exe 
C:\WINDOWS\System32\PRISMSTA.EXE 
C:\Program Files\Launch Manager\OSD.exe 
C:\Program Files\Launch Manager\LaunchAp.exe 
C:\Program Files\Launch Manager\HotkeyApp.exe 
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe 
C:\WINDOWS\System32\ctfmon.exe 
C:\WINDOWS\system32\spoolsv.exe 
C:\WINDOWS\System32\dllcache\msiupdate32.exe 
C:\WINDOWS\System32\msasvc.exe 
C:\WINDOWS\secureprocs32.exe 
C:\Documents and Settings\-\Bureau\HijackThis.exe 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll 
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll 
O2 - BHO: (no name) - {68D5CF1D-EC5C-4bdd-A9EF-F0E517565D50} - C:\WINDOWS\System32\msmulpup.dll (file missing) 
O2 - BHO: (no name) - {ABA1F026-BC43-4C73-B359-E489B7EE3019} - C:\WINDOWS\System32\awvtq.dll (file missing) 
O2 - BHO: (no name) - {AC16C3BC-AEBE-4B17-B0AD-D2B7F76DFAB8} - C:\WINDOWS\System32\khfdbcd.dll (file missing) 
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx 
O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll 
O4 - HKLM\..\Run: [CtrlVol] C:\Program Files\Launch Manager\CtrlVol.exe 
O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe" 
O4 - HKLM\..\Run: [PRISMSTA.EXE] PRISMSTA.EXE START 
O4 - HKLM\..\Run: [OSD] C:\Program Files\Launch Manager\OSD.exe 
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe 
O4 - HKLM\..\Run: [LaunchAp] C:\Program Files\Launch Manager\LaunchAp.exe 
O4 - HKLM\..\Run: [HotkeyApp] C:\Program Files\Launch Manager\HotkeyApp.exe 
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe 
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized 
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe" 
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe 
O4 - HKCU\..\Run: [ccleaner] "C:\Program Files\CCleaner\ccleaner.exe" /AUTO 
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present 
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll 
O20 - Winlogon Notify: awtqnkh - awtqnkh.dll (file missing) 
O20 - Winlogon Notify: pmnoljg - pmnoljg.dll (file missing) 
O23 - Service: Application Layer Gateway - Unknown owner - C:\WINDOWS\system\msrv32.exe (file missing) 
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe 
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe 
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - Unknown owner - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe (file missing) 
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - Unknown owner - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe (file missing) 
O23 - Service: AVG E-mail Scanner (AVGEMS) - Unknown owner - C:\PROGRA~1\Grisoft\AVG7\avgemc.exe (file missing) 
O23 - Service: Microsoft update Service - Unknown owner - C:\WINDOWS\System32\dllcache\msiupdate32.exe 
O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\System32\msasvc.exe 
O23 - Service: Secured Process (secureprocess) - Unknown owner - C:\WINDOWS\secureprocs32.exe 
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe 

et le seull fichier txt pour vundofix que j'ai trouvé: 
addmorefiles 

C:\WINDOWS\System32\msmulpup.dll


Ah oui j'ai oublié, j'ai été dans l'impossibilité d'effectuer un scan complet avec AVG . Il me donne ce message.

Program ...mfiles\Grisoft\AVG Anti spyware7.5\avgas.exe

A buffer overrun has been detected wich has coorupted the programs internal state. The program canot safely
continue execution and must now be terminated.

j'ai tenté de réinstaller le programme, sans résultat

merci de votre compréhension

philae83 · Answer

je crois qu'on a posté en même temps, remonte à 18h47 je t'ai mis les manips à effectuer.

dans l'attente de la suite

m--mi · Answer

voici  le rapport obtenu
---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	19:27:02 03/02/2007

 + Résultat de l'analyse:	



HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\{c95fe080-8f5d-11d2-a20b-00aa003c157a} -> Adware.Generic : Ignoré.
C:\WINDOWS\system32\TFTP560 -> Backdoor.EggDrop.v : Ignoré.


Fin du rapport

m--mi · Answer

Hello

entre temps j'ai supprimer "backdoors" mais je crois que j'ai mal anticipé, car je, n'ai plus de connexion internet.

désolé...

philae83 · Answer

re

de cette manip donnée à 
(samedi 3 février 2007 à 18:47:28)

as tu tout fait ou non ?

m--mi · Answer

re philea89

oui j'ai tout fait
Sur les fichiers dll, un seul était présent.

comme je ne peux plus me connecter avec le PC défaillant et que cela devient très compliquer de poursuivre des va et vient entre deux ordinateurs, etc, etc 

j'ai tout reformaté sur le PC défaillant et espère me prémunir, d'après les conseils sur votre site, en installant les logiciels recommandés.

J'espère seulement que le "bios" n'est pas contaminé. Connaissez vous un outil pour le savoir ? Sinon, je repartirai pour une demande d'aide.

je vous remercie d'avance pour votre aide, mais comme je ne suis pas patient, je vais clore cette session après votre prochain message

encore merci pour votre gentillesse et votre compréhension.
bonne fin de journée

m--mi

philae83 · Answer

bonsoir,

J'espère seulement que le "bios" n'est pas contaminé. Connaissez vous un outil pour le savoir ? Sinon, je repartirai pour une demande d'aide. 

non je ne connais pas du tout

philae83 · Answer

j'en suis ravie pour toi.
Pense à bien sécuriser ton pc

Processus troyan et virus

13 réponses

Votre réponse

Discussions similaires

Newsletters