Trojan.win32.agent.gt

Question

Bonjour,
Quelqu'un pourrait-il s'il vous plait m'indiquer la marche a suivre afin d'éliminer définitivement ce trojan ? 

merci..

rudyrital · Answer

Tout d'abord Bonjour et bienvenue sur le forum d'entraide COMMENT CA MARCHE 

quel est le nom de ton trojan??

fait ceci :

télécharge HijackThis ici: 
https://www.zebulon.fr/telechargements/securite/systeme/hijackthis.html

Dézippe le dans un dossier prévu à cet effet. 
Par exemple C:\hijackthis < Enregistre le bien dans c : ! 
Démo : (Merci a Balltrap34 pour cette réalisation) 
http://pageperso.aol.fr/balltrap34/Hijenr.gif 

renomme hijackthis. en "scan" par exemple 
Lance le puis: 
clique sur "do a system scan and save logfile" (cf démo) 
faire un copier coller du log entier sur le forum 

Démo : (Merci a Balltrap34 pour cette réalisation) 
http://pageperso.aol.fr/balltrap34/demohijack.htm 

Bon courage 
A+

12345666 · Answer

Merci pour avoir répondu aussi vite, d'aprés le scan d'a2anti-malware, le trojan so nomme Trojan.win32.agent.gt

ici le log :(ma partition windows est sous F:\, mais j'ai installé hijack sous c:\ comme cité)

Logfile of HijackThis v1.99.1
Scan saved at 18:54:18, on 18/05/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16441)

Running processes:
F:\WINDOWS\System32\smss.exe
F:\WINDOWS\system32\csrss.exe
F:\WINDOWS\system32\winlogon.exe
F:\WINDOWS\system32\services.exe
F:\WINDOWS\system32\lsass.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\System32\svchost.exe
F:\Program Files\TGTSoft\StyleXP\StyleXPService.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\system32\spoolsv.exe
F:\WINDOWS\Explorer.EXE
F:\WINDOWS\SOUNDMAN.EXE
F:\WINDOWS\system32\RUNDLL32.EXE
F:\Program Files\SlySoft\CloneCD\CloneCDTray.exe
F:\Program Files\QuickTime\qttask.exe
F:\Program Files\iTunes\iTunesHelper.exe
F:\Program Files\Java\jre1.5.0_05\bin\jusched.exe
F:\Program Files\HP\HP Software Update\HPWuSchd2.exe
F:\Program Files\a-squared Anti-Malware\a2guard.exe
F:\Program Files\Unlocker\UnlockerAssistant.exe
F:\Program Files\Logitech\MouseWare\system\em_exec.exe
F:\WINDOWS\system32\ctfmon.exe
F:\Program Files\MSN Messenger\MsnMsgr.Exe
F:\Program Files\TGTSoft\StyleXP\StyleXP.exe
F:\Program Files\Messenger\msmsgs.exe
F:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
F:\Program Files\Sony Corporation\Image Transfer\SonyTray.exe
F:\Program Files\Sony\Sony Picture Utility\VolumeWatcher\SPUVolumeWatcher.exe
F:\Program Files\HP\Digital Imaging\bin\hpqimzone.exe
F:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe
F:\WINDOWS\system32
vsvc32.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\system32\wdfmgr.exe
F:\Program Files\iPod\bin\iPodService.exe
F:\WINDOWS\System32\alg.exe
F:\WINDOWS\system32\wscntfy.exe
F:\Program Files\HP\Digital Imaging\Product Assistant\bin\hprblog.exe
F:\Program Files\a-squared Anti-Malware\a2scan.exe
g:\maxempire\jeux\warcraft iii\warcraft iii\war3.exe
F:\Program Files\Internet Explorer\iexplore.exe
C:\hijackthis\scan.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NVIDIA nTune] "F:\Program Files\NVIDIA Corporation
Tune\nTune.exe" clear
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE F:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE F:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [CloneCDTray] "F:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [QuickTime Task] "F:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "F:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] F:\Program Files\Java\jre1.5.0_05\bin\jusched.exe
O4 - HKLM\..\Run: [HP Software Update] F:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [a-squared] "F:\Program Files\a-squared Anti-Malware\a2guard.exe"
O4 - HKLM\..\Run: [CTDrive] rundll32.exe F:\WINDOWS\system32\drvfog.dll,startup
O4 - HKLM\..\Run: [UnlockerAssistant] "F:\Program Files\Unlocker\UnlockerAssistant.exe"
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKCU\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "F:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [STYLEXP] F:\Program Files\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [MSMSGS] "F:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Ihma] "F:\WINDOWS\FNTS~1undll32.exe" -vt yazb
O4 - Startup: Outil de détection de support Picture Motion Browser.lnk = F:\Program Files\Sony\Sony Picture Utility\VolumeWatcher\SPUVolumeWatcher.exe
O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk = F:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = F:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Image Transfer.lnk = ?
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = F:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://G:\MAXEMP~1\PROGRA~1\LOGITH~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Program Files\Java\jre1.5.0_05\bin
pjpi150_05.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Program Files\Java\jre1.5.0_05\bin
pjpi150_05.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - G:\MAXEMP~1\PROGRA~1\LOGITH~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Program Files\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - F:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - F:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: WgaLogon - F:\WINDOWS\SYSTEM32\WgaLogon.dll
O20 - Winlogon Notify: winexz32 - winexz32.dll (file missing)
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - F:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - F:\WINDOWS\system32
vsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - F:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcappcapd.exe" -d -f "%ProgramFiles%\WinPcappcapd.ini (file missing)
O23 - Service: StyleXPService - Unknown owner - F:\Program Files\TGTSoft\StyleXP\StyleXPService.exe

rudyrital · Answer

tu n'as ni parefeu ni antivirus????


Télécharge et installe Avast à partir de ce lien. Il faut que tu demandes un numéro à Avast : 
avast 


¤ Désactive le pare-feu de Windows (SP2) puis installe celui-ci pour plus de sécurité 

Kerio (pare-feu) : reste gratuit après la période d'essai en français 
----> http://www.infos-du-net.com/telecharger/Firewall-Kerio-Personal,0301-390.html 

Regarde ce tutoriel si tu as besoin d'aide pour l'installation, la configuration et compréhension de Kerio 
--> https://kerio.probb.fr/ 

Plus d'info : 
->https://kerio.probb.fr/ 


ensuite,

* télécharge AVG Anti-Spyware (ewido) 

avg antispyware
http://www.infos-du-net.com/telecharger/Ewido-Security-Suite,0301-734.html


Tuto : http://www.kachouri.com/tuto/tuto-161-avg-anti-spyware-75-pour-votre-securite.html

* tu l'installes 

Démarrer AVG antispyware. Cliquer sur "mise à jour", cliquer sur le bouton "Commencer la mise à jour" et attendre la fin de cette mise à jour puis, fermer le programme. 

si tu n'arrives pas à le mettre à jour prends ici les Mise à jour:

http://downloads.ewido.net/avgas-signatures-full-current.exe 



Démarre en mode sans échec : 
Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter 
Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée. 
Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal ! 
(Si F8 ne marche pas utilise la touche F5). 

 relancer AVG AS et cliquer sur l'onglet "scanner" puis sur "Analyse complète du système". 
Une fois le scan terminé, il t'affiche un rapport. Cliquer sur "configurer..." en bas a gauche et choisir "supprimer". Ensuite cliquer sur "Appliquer toutes les actions ", ca va supprimer toutes les infections détectées. 
Ensuite cliquer sur "Enregistrer le rapport d'analyse" -> "enregistrer sous" et enregistrer le rapport où bon te semble, afin de me l'envoyer dans ta prochaine réponse. 


Copie Et colle le rapport ici

12345666 · Answer

---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	23:26:30 18/05/2007

 + Résultat de l'analyse:	



F:\WINDOWS\Temp\win49E.tmp.exe -> Adware.Virtumonde : Ignoré.
F:\WINDOWS\Temp\win77A.tmp.exe -> Adware.Virtumonde : Ignoré.
F:\WINDOWS\system32\byxvvuv.dll -> Adware.Virtumonde : Ignoré.
F:\WINDOWS\system32\mljkigg.dll -> Adware.Virtumonde : Ignoré.
F:\WINDOWS\Temp\win4A9.tmp.exe -> Downloader.Agent.bls : Nettoyé et sauvegardé (mise en quarantaine).
F:\WINDOWS\Temp\win7E4.tmp.exe -> Downloader.Agent.bls : Nettoyé et sauvegardé (mise en quarantaine).
F:\WINDOWS\Temp\win49C.tmp.exe -> Downloader.Alphabet : Nettoyé et sauvegardé (mise en quarantaine).
F:\WINDOWS\Temp\win4A9.tmp -> Downloader.Alphabet : Nettoyé et sauvegardé (mise en quarantaine).
F:\System Volume Information\_restore{FA39A315-86D5-4940-B4F1-5352FE1BDD13}\RP26\A0003143.exe -> Downloader.PurityScan.eg : Nettoyé et sauvegardé (mise en quarantaine).
F:\System Volume Information\_restore{FA39A315-86D5-4940-B4F1-5352FE1BDD13}\RP26\A0003162.exe -> Downloader.PurityScan.eg : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{FA39A315-86D5-4940-B4F1-5352FE1BDD13}\RP26\A0003168.exe -> Downloader.Small.cwj : Nettoyé et sauvegardé (mise en quarantaine).
G:\System Volume Information\_restore{C03C53F1-E761-4D71-A5BD-03D3AA24622F}\RP93\A0033242.exe/sponsor.exe -> Downloader.Swizzor.ag : Nettoyé et sauvegardé (mise en quarantaine).
G:\System Volume Information\_restore{EB545944-AA4D-4BDA-B452-411C9220D979}\RP6\A0000352.exe/sponsor.exe -> Downloader.Swizzor.ag : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{FA39A315-86D5-4940-B4F1-5352FE1BDD13}\RP26\A0003169.exe -> Hijacker.Agent.is : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{FA39A315-86D5-4940-B4F1-5352FE1BDD13}\RP26\A0003170.exe -> Hijacker.Costrat.ak : Nettoyé et sauvegardé (mise en quarantaine).
G:\Maxempire\Programax\Logitheque\Crak and Key\adobe\photoshop cs8\Adobe Photoshop 8.0 CS - keygen.exe -> Logger.Delf.ncs : Nettoyé et sauvegardé (mise en quarantaine).
G:\Maxempire\Programax\Setup\SystemDoctor\SystemDoctor2006FreeInstall_fr.exe -> Not-A-Virus.Downloader.Win32.WinFixer.l : Ignoré.
F:\Documents and Settings\Leonhart\Cookies\leonhart@www.smartadserver[2].txt -> TrackingCookie.Smartadserver : Nettoyé.
F:\Documents and Settings\Leonhart\Cookies\leonhart@adopt.specificclick[1].txt -> TrackingCookie.Specificclick : Nettoyé.
F:\Documents and Settings\Leonhart\Cookies\leonhart@toplist[1].txt -> TrackingCookie.Toplist : Nettoyé.
F:\Documents and Settings\Leonhart\Cookies\leonhart@ad.yieldmanager[2].txt -> TrackingCookie.Yieldmanager : Nettoyé.
G:\Maxempire\Programax\Logitheque\Crak and Key\Alcohol120%p\Alcohol_120_Percent_v1.4.8_build_1222_Retail_by_Betamaster\Patch.exe -> Trojan.Feutel.av : Nettoyé et sauvegardé (mise en quarantaine).


Fin du rapport

voici le log d'avg en mode sans echec

rudyrital · Answer

Télécharge VundoFix.exe (par Atribune) sur ton Bureau. 
http://www.atribune.org/ccount/click.php?id=4 

* Double-clique VundoFix.exe afin de le lancer. 
* Lorsque l'outil se lance à nouveau, clique sur le bouton Scan for Vundo 
* Clique sur le bouton Scan for Vundo. 
* Lorsque le scan est complété, clique sur le bouton Remove Vundo 
* Une invite te demandera si tu veux supprimer les fichiers, clique YES 
* Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers. 
* Tu verras une invite qui t'annonce que ton PC va s'éteindre ("shutdown"); clique OK 
* Démarre ton PC à nouveau. 
* Copie/colle le contenu du rapport situé dans C:\vundofix.txt ainsi qu'un nouveau rapport HijackThis! dans ta prochaine réponse. 

Note Il est possible que VundoFix soit confronté à un fichier qu'il ne peut supprimer. Si tel est le cas, l'outil se lancera au prochain redémarrage; il faut simplement suivre les instructions ci-haut, à partir de "clique sur le bouton Scan for Vundo".

12345666 · Answer

Voila j'ai télécharger VundoFix.exe , j'ai fait le scan mais m'a trouver aucun fichier infecter, dailleur même résultat avec avast avg et a2 peut-être que les trojan ont été suprimer définitivement ^^
En tout cas merci pour ton aide !

rudyrital · Answer

Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau.
http://downloads.andymanchesta.com/RemovalTools/SDFix.exe 
Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau. Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :
• Redémarre ton ordinateur
• Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
• A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
• Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
• Choisis ton compte.
Déroule la liste des instructions ci-dessous :
• Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.bat pour lancer le scrïpt.
• Appuie sur Y pour commencer le processus de nettoyage.
• Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
• Appuie sur une touche pour redémarrer le PC.
• Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
• Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
• Appuie sur une touche pour finir l'exécution du scrïpt et charger les icônes de ton Bureau.
• Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.
• Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum, avec un nouveau log Hijackthis !

rudyrital · Answer

Fais un clic droit sur ce lien :
http://perso.orange.fr/il.mafioso/Navifix/Navilog1.zip
Enregistrer la cible (du lien) sous... et enregistre-le sur ton bureau.
Fais un clic droit sur navilog1.zip et choisis "tout extraire"
Ensuite double clique sur navilog1.exe pour lancer l'installation.
Une fois l'installation terminée, le fix s'exécutera automatiquement.
(Si ce n'est pas le cas, double-clique sur le raccourci Navilog1 présent sur le bureau).

Laisse-toi guider. Au menu principal, choisis 1 et valides.
(ne fais pas le choix 2,3 ou 4 sans notre avis/accord)

Patiente jusqu'au message :
*** Analyse Termine le ..... ***
Appuie sur une touche comme demandé, le blocnote va s'ouvrir.
Copie-colle l'intégralité dans une réponse. Referme le blocnote.
Le rapport est en outre sauvegardé à la racine du disque (fixnavi.txt)

Trojan.win32.agent.gt

8 réponses

Votre réponse

Discussions similaires

Newsletters