Win32:Trojan-gen Help!

Question

Bonjour, 

Je crois avoir récupérer un trojan aprés avoir utilisé ma clé usb sur 
un ordi (infecté apparement).
Maintenant, lorsque je branche ma clé (sur mon ordi) et que je l'ouvre, 
Avast me met une alerte: 

C:\WINDOWS\system32\avpo0.dll
Win32:Trojan-gen {Other} 

j'ai beau supprimer le fichier ou le mettre en quarantaine, à chaque  
fois que je double click sur "Disque ammovible" le message 
réapparait. 
Quelqu'un aurait-il une solution ?
J'ai lu quelques post au sujet de Trojan-gen mais les marches à suivre 
me paraissent compliquées et pas toujours concluantes. 
Y aurait-il un patch ou un truc dans le genre pour se débarrasser 
de cette saloperie ?

Merci

Utilisateur anonyme · Answer

Salut,

télécharge HijackThis ici:
https://www.zebulon.fr/telechargements/securite/systeme/hijackthis.html

Clique sur "do a system scan and save logfile"
faire un copier coller du log entier sur le forum

Une démo si c'est compliqué :
http://pageperso.aol.fr/balltrap34/demohijack.htm

duddy67 · Answer

Merci pour ta réponse.
Voici donc le logfile:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:52:19, on 26/10/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\kxmixer.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\Program Files\Apache Software Foundation\Apache2.2\bin\ApacheMonitor.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Apache Software Foundation\Apache2.2\bin\httpd.exe
C:\Program Files\Apache Software Foundation\Apache2.2\bin\httpd.exe
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32
otepad.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Internet Explorer\iexplore.exe
D:\fiches paye\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [kX Mixer] C:\WINDOWS\system32\kxmixer.exe --startup
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [avpa] C:\WINDOWS\system32\avpo.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: Monitor Apache Servers.lnk = C:\Program Files\Apache Software Foundation\Apache2.2\bin\ApacheMonitor.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O17 - HKLM\System\CCS\Services\Tcpip\..\{B0FC0156-F7FE-4454-9CF6-B8196FD0BA64}: NameServer = 84.103.237.141 86.64.145.141
O23 - Service: Apache2 - Apache Software Foundation - C:\Program Files\Apache Software Foundation\Apache2.2\bin\httpd.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: MySQL - Unknown owner - C:\Program.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe

Utilisateur anonyme · Answer

je ne vois rien sur ton log.

connecte toi sur :
https://www.eset.com/
ensuite : Scanner en ligne.
Coche la case et puis clique sur start.
Accepte l'active X
Coche les 2 options du scan et fait un scan complet.

duddy67 · Answer

Bon, aprés 1h de scanning Eset a trouvé 2 threats (je sais pas ce que ça veut dire)
Voici le résultat:

Probably a variant of Win32\Pacex.Gen virus (unable to clean - deleted)
C:\WINDOWS\system32\avpo.exe

Probably a variant of Win32\Pacex.Gen virus (unable to clean - deleted)
C:\Documents and Settings\The Dude\Local Setting\Temp\q8j4x7rw.dll


A ton avis est ce que c'est bon ?

Utilisateur anonyme · Answer

ok,
donc c'est 2 virus qu'il a supprimé.

Télécharge CCleaner et fait un nettoyage complet (sans cocher l'avancé ):
https://www.01net.com/telecharger/windows/Utilitaire/nettoyeurs_et_installeurs/fiches/32599.html


voila toujours des soucis ?

duddy67 · Answer

Ben oui.
Toujours pareil en fait. 
Quand je ferme l'explorateur et que je le réouvre (sur disque ammovible) Avast 
me ressort la même alerte :-(  
On dirait que le trojan est sur ma clé usb, 'comprend pas.

duddy67 · Answer

Je viens de formater ma clé usb et depuis je n'ai 
plus d'alerte d'Avast. Bizzare ce trojan. 
En tout cas merci pour ton aide.

duddy67 · Answer

Je viens de formater ma clé usb et depuis je n'ai 
plus d'alerte d'Avast. Bizzare ce trojan sur ma clé usb. 
En tout cas merci pour ton aide.

duddy67 · Answer

Je viens de formater ma clé usb et depuis je n'ai 
plus d'alerte d'Avast. Bizzare ce trojan sur ma clé usb. 
En tout cas merci pour ton aide.

Utilisateur anonyme · Answer

ok,
donc

Télécharge ce tool de sUBs : http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe

Double clique dessus et laisse toi guider.



 Télécharge clean.zip : http://www.malekal.com/download/clean.zip

décompresse-le sur votre bureau (clic droit / extraire tout), vous obtenez alors un dossier clean

Double clique sur le fichier clean et choisis l'option 1

copier/coller le rapport dans la réponse

le rapport est dans ---> C:\rapport_clean.txt

Utilisateur anonyme · Answer

ah ok

mais ton pc et peut être infecté et/ou risque de ré-infecter ta clé.
fait une analyse complète de ta machine quand même.

duddy67 · Answer

C'est quoi l'option 1 ?
Quand je double clic sur le fichier clean j'ai des fichier 
cherche.cmd, clean.cmd, del2.cmd etc...
Qu'est ce que je dois faire exactement ?

Utilisateur anonyme · Answer

voila et dedans ta un fichier clean.cmd
tu le lance et tu choisi option 1.

duddy67 · Answer

ça y est c'est terminé !
Est ce que je dois faire quelque chose de particulier maintenant ?

Utilisateur anonyme · Answer

ben il a du te sortir un rapport ?

duddy67 · Answer

Oui, mais y a pas grand chose dedans:


*** Recherche des fichiers dans C: 
C:\autorun.inf FOUND 
 
*** Recherche des fichiers dans C:\WINDOWS\ 
 
*** Recherche des fichiers dans C:\WINDOWS\system32 
 
*** Recherche des fichiers dans C:\Program Files 
 
*** Suppression des clefs du registre effectuee..

Utilisateur anonyme · Answer

super supprime ce fichier maintenant.
en fesant nettoyage.

duddy67 · Answer

ça y est. Tu penses que c'est bon maintenant ?

Utilisateur anonyme · Answer

oui je le pense, sur je sais pas à toi de voir si ta des signes ou quoi.

duddy67 · Answer

Depuis le formatage de la clé tout semble ok. 
Merci pour tout :-)

hassan1231 · Answer

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:09:07, on 06/02/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\ESET\ESET Smart Security\ekrn.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\hkcmd.exe
C:\Program Files\ESET\ESET Smart Security\egui.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\SuperCopier2\SuperCopier2.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\WINDOWS\system32	askmgr.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\DOCUME~1\ADMINI~3.UNI\LOCALS~1\Temp\Rar$EX07.828\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.files-ftp.com/~unicorni/phpBB2/index.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.files-ftp.com/~unicorni/phpBB2/index.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET Smart Security\egui.exe" /hide /waitservice
O4 - HKLM\..\Run: [PRONoMgr.exe] C:\Program Files\Intel\NCS\PROSet\PRONoMgr.exe
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
O4 - HKCU\..\Run: [SuperCopier2.exe] C:\Program Files\SuperCopier2\SuperCopier2.exe
O4 - Global Startup: DSLMON.lnk = ?
O9 - Extra button: Antivirus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\WINDOWS\system32\shdocvw.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.files-ftp.com/~unicorni/phpBB2/index.php
O17 - HKLM\System\CCS\Services\Tcpip\..\{1256E868-A6E0-4B9B-8BCC-4A47C7BC78C5}: NameServer = 212.217.1.4 212.217.0.14
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Eset HTTP Server (EHttpSrv) - ESET - C:\Program Files\ESET\ESET Smart Security\EHttpSrv.exe
O23 - Service: Eset Service (ekrn) - ESET - C:\Program Files\ESET\ESET Smart Security\ekrn.exe
O23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - C:\Program Files\Intel\NCS\Sync\NetSvc.exe

hassan1231 · Answer

j arreve pas à supprimer ce trojan  "Win32:Trojan-gen"       Help! plzzzzzzzzzz

Win32:Trojan-gen Help!

22 réponses

Discussions similaires

Newsletters