Infecté par trojan TR/Crypt.FKM.Gen Fermé

Question

Bonjour 

Mon Antivir détecte ce cheval de troie sur le fichier C:\WINDOWS\vwffl1.dll que je n'arrive pas à localiser avec l'explorateur et ceci à chaque tentative de connection internet et chaque ouverture de l'explorateur windows. 
Quoique je fasse dans la fenêtre de détection ( delete,rename,deny access,quarentaine,etc)il me laisse passer mais reaparait à la prochaine tentative de connection. 
Pouvez vous , s'il vous plait , me donner la façon de me débarrasser de ce problème. 

Merci

espiguette · Accepted Answer

bjr est ce que vs pouvez m aider a me debarrasser definitivement
du trojan    TR/Rrypt.ULPM.Gen
merci

philae83 · Answer

bonsoir,

* Télécharge  HijackThis  et poste le rapport stp

http://pchelpbordeaux.free.fr/logiciels.html
Tutorial
http://pchelpbordeaux.free.fr/tuto.html
Démo en image
http://pageperso.aol.fr/balltrap34/demohijack.htm

philae83 · Answer

bonsoir, pas bien grand chose de toutes façons pour localiser ton fichier C:\WINDOWS\vwffl1.dll il faut afficher les fichiers et dossiers cachés, essaye de le faire analyser sur VIRUS TOTAL avant de le supprimer http://www.virustotal.com/en/indexf.html * Colle dans la case à gauche de "parcourir" : * clique ensuite sur "send". Il faut patienter car tu es sur une file d'attente. Le rapport ne sera complet que lorsque tu verras la mention "FINISHED"sur la droite. Dépose le dans ta réponse. et * télécharge AVG Anti-Spyware (ewido) https://www.avg.com/en-ww/free-antivirus-download * tu l'installes * lance AVG Anti-Spyware et clique sur le bouton Mise à jour. Patiente puis Lance AVG Anti-Spyware Clique sur le bouton Analyse (de la barre d'outils) Puis sur l'onglet Paramètres, sous : "Comment réagir "clique sur Actions recommandées. Sélectionne Quarantaine. Reviens à l'onglet Analyse. Clique sur Analyse complète du système. A la fin du scan, choisis l'option 3 "Appliquer toutes les actions " en bas. Clique sur "Enregistrer le rapport". Ceci génère un rapport en fichier texte qui se trouve dans le dossier Reports du dossier d'AVG Anti-Spyware. Poste le.

philae83 · Answer

ok, alors passe à AVG stp

Canidé · Answer

C'est n'importe quoi l'heure affichée près de la date des messages

philae83 · Answer

je n'avais pas remarqué, c'est vrai qu'il y a 1 heure de +

Canidé · Answer

Rapport Antispyware


---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	22:51:09 13/02/2007

 + Résultat de l'analyse:	



C:\Documents and Settings\Administrateur\Cookies\administrateur@247realmedia[2].txt -> TrackingCookie.247realmedia : Nettoyé.
C:\Documents and Settings\Administrateur\Cookies\administrateur@bluestreak[1].txt -> TrackingCookie.Bluestreak : Nettoyé.
C:\Documents and Settings\Administrateur\Cookies\administrateur@bs.serving-sys[1].txt -> TrackingCookie.Serving-sys : Nettoyé.
C:\Documents and Settings\Administrateur\Cookies\administrateur@serving-sys[1].txt -> TrackingCookie.Serving-sys : Nettoyé.
C:\Documents and Settings\Administrateur\Cookies\administrateur@www.smartadserver[1].txt -> TrackingCookie.Smartadserver : Nettoyé.
C:\Documents and Settings\Administrateur\Cookies\administrateur@weborama[2].txt -> TrackingCookie.Weborama : Nettoyé.


Fin du rapport

philae83 · Answer

rien que des cookies,

fait un scan antivirus en ligne ici

https://www.pandasecurity.com/?ref=www.pandasoftware.com/activescan/fr/activescan_principal.htm
et poste le rapport ensuite

si besoin désactive ton antivirus le temps du scan, quelquefois ils ne s'aiment pas.

Canidé · Answer

Je n'y arrive pas j'ai essayé plusieurs foiset après redemarrage toujours le même message:

'Erreur survenue au cours de l’installation
Une erreur s'est produite lors du téléchargement de Panda ActiveScan. 
Recommencez l'opération. Si l'erreur se produit de nouveau, redémarrez votre ordinateur et essayer une nouvelle fois
Les raisons de l’erreur peuvent être: 

Ne pas autoriser le téléchargement du contrôle ActiveScan de l’application. 

Des problèmes avec la connexion Internet. 

Une erreur est survenue au cours de l’installation d’ActiveScan. Merci de vérifier que votre connexion Internet fonctionne puis cliquez sur 'Réessayer'.'.

philae83 · Answer

TU le fais bien avec IE ?
tu autorises bien les scripts
tuto en image à la lettre T
https://forum.pcastuces.com/default.asp#haut

essaye de relancer avant Hijackthis et de cocher les lignes 016 afférentes aux scans antivirus en ligne.

Essaye ici également
http://www.bitdefender.fr/scan8/ie.html

ou alors
https://www.trendmicro.com/fr_fr/business.html
(mais en dernier)

Canidé · Answer

panda marche toujours pas

bitdefender me met en anlais " This web site is not authorized to host this ActivX control

Canidé · Answer

Bonsoir Philae83

Merci de t'interesser à mon problème
J'espère que tu pourras trouver une solution car j'en ai vraiment marre de ces détections à tout bout de champs

Canidé · Answer

Est ce que Philéa recoit bien mes messages?

philae83 · Answer

bonsoir,

oui je te reçois, mais suis malade ! lol

as tu essayé le 3ème lien que je t'ai donné hier ?

Canidé · Answer

Bonjour

Désolé de t'avoir dérangée et espère que tu vas retrouver la grande forme très vite

Oui j'ai essayé Housecall dont voici le rapport:

Rapport housecall 

Everything ok? 
Yes, everything's alright! 

HouseCall did not find any potential threats on your computer- you can go on working reliably. 

Keep it up and don't give the next attack a chance! 

Bon courage pour ta guérison

philae83 · Answer

Bonjour,

visiblement il n'a rien trouvé. A part ton antivirus qui te trouve
C:\WINDOWS\vwffl1.dll
et ne veut visiblement pas le supprimer, aucun autre problème apparent ?

Canidé · Answer

Voici ce que j'ai répondu sur 01net

Oui Philae j'ai bien posté là ou tu le dis ,pourquoi 
il y a un caractère d'exclusivité sur les forums? 

Naheulbeuk "je te le laisse si tu veux" tu ne me considérerais pas comme du bétail à tout hazard 

En attendant  mon problème est toujours là!

philae83 · Answer

bonsoir,

Oui Philae j'ai bien posté là ou tu le dis ,pourquoi
il y a un caractère d'exclusivité sur les forums? 

non mais il est inutile de poster sur plusieurs forums en même temps, comment comptes tu t'en sortir avec les manips qq fois différentes. C'est pas cool

Naheulbeuk "je te le laisse si tu veux" tu ne me considérerais pas comme du bétail à tout hazard 

non loin de moi cette idée de te considérer pour du bétail, mais quand on a un problème on essaye de rester sur le même forum, ou alors on a la politesse de dire qu'on va ailleurs.

En attendant mon problème est toujours là!

en ce qui me concerne, j'ai aussi le choix de te répondre ou non, et je te laisse avec les autres helpers sur les 2 autres forums

Bonne soirée

Rockatkasa · Answer

Hello !!!!!

Au secours je craque ... J'ai le même problème que tous mes petits camarades .... HELP HELP
donc je poste le rapport HIJACK. Merci de me répondre je deviens FOU avec ce truc je peux + ouvrir IE et surtout ma messagerie

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:12:34, on 21/03/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\WINDOWS\System32
vsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\Windows Live\Messenger\usnsvc.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\fab\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUME~1\fab\LOCALS~1\Temp\services.exe
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Winamp Toolbar BHO - {25CEE8EC-5730-41bc-8B58-22DDC8AB8C20} - C:\Program Files\Winamp Toolbar\winamptb.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: Winamp Toolbar - {EBF2BA02-9094-4c5a-858B-BB198F3D8DE2} - C:\Program Files\Winamp Toolbar\winamptb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [MSNCleaner] C:\Documents and Settings\fab\Bureau\MSNCleaner.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: &Winamp Toolbar Search - C:\Documents and Settings\All Users\Application Data\Winamp Toolbar\ieToolbaresources\en-US\local\search.html
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{1DB7D8D3-8137-4228-9493-9A5841C48C7C}: NameServer = 193.252.118.111
O17 - HKLM\System\CCS\Services\Tcpip\..\{210A3C1F-A977-4F6B-AB26-E3D83409D05E}: NameServer = 193.252.118.111
O17 - HKLM\System\CCS\Services\Tcpip\..\{4313C6D0-2043-4A0F-8F2B-07CEC0889A2A}: NameServer = 193.252.118.111
O17 - HKLM\System\CCS\Services\Tcpip\..\{A09C4519-DF44-4E6F-B00C-F66F1D0F3923}: NameServer = 193.252.118.111
O17 - HKLM\System\CCS\Services\Tcpip\..\{AEB276DE-28D6-49DE-9F36-DE92DA5BCFAE}: NameServer = 193.252.118.111
O17 - HKLM\System\CCS\Services\Tcpip\..\{F6485986-A9ED-4643-BAEF-A0DBEF274FEA}: NameServer = 193.252.118.111
O17 - HKLM\System\CCS\Services\Tcpip\..\{FEDC1895-71E4-4425-B1C9-859BE7825ADD}: NameServer = 193.252.118.111
O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Program Files\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exe

wincpp · Answer

Salut. 

Moi je sais comment supprimer ce cheval de troie (si c'est pas une variante) parce que je l'ai crée. 

Mais comme je ne l'utilise plus et que j'en ai marre de voir des posts du genre: "Infecté par TR/Crypt.FKM.Gen aidez moi" je me suis dit que je donnerai la soluce à ce problème. 

Mais avant tout j'ai été totalement stupéfait de mon virus. Il ne devrait pas résister autant. J'ai remarqué que dans les logs des antivirus le nom du virus n'apparaissait pas dans les fichiers scannés alors que c'est un simple fichier masqué à l'aide de la commande msdos "ATTRIB". 

Mais bon voilà pour le supprimer il faut aller dans l'invite de commandes msdos et taper: 

attrib -r -s -h -a %windir%\mwupdtt.exe & del/q /f %windir%\mwupdtt.exe 

et appuyer sur ENTREE. 

Mais souvent il y a un autre fichier qui contient le cheval de troie (ça doit être le fichier setup.exe dans le même répertoire). Donc pour le supprimer il faut refaire la commande précédente en remplaçant juste mwupdtt.exe par setup.exe et appuyer sur ENTREE et normalement vous ne devriez plus avoir de problèmes. 

a+

wincpp · Answer

Ba si c'était vraiment résolu j'aurai pas rep. Et déjà c'est pas un virus crée en msdos mais en C++

wincpp · Answer

Je sais que c'est très facile de le supprimer mais à ce que j'ai vu sur le net ya pas grand monde qui à su s'en débarasser. Et pour info je fait dla prog en C/C++ depuis 4 ans. Et pourrait tu m'expliquer ce que tu entends par virus "à la surface" ?

Infecté par trojan TR/Crypt.FKM.Gen

22 réponses

Discussions similaires