Virus W32/Trats+autres.......help

Résolu
jamesdean67 Messages postés 23 Statut Membre -  
FillPCA Messages postés 2264 Statut Contributeur sécurité -
Bonjour,

Bonjour, j'ai cherché sur le forum mais je n'ai pas trouvé de sujet traitant les virus qui infeste mon ordinateur.
Si quelqu'un pouvait m'aider à supprimer ces cochonneries....merci!

Donc, mcafee détecte sans cesse les mêmes chevaux de troie
"GENERIC DROPPER"
"Adcliker-FK"
"Downloader.gen.a"

il les supprime pourtant mais ils reviennent sans cesse.
Mon ordi commence à être ralenti, parfois il plante, j'ai des messages d'erreur du type :

"A potential problem has been detected an windows has been shutdown buggy application to prevent damage to your computer"
ou:
****WXYZ.SYS-Adress F73120AE base at C00000 DateStamp 36b072A3 Kernel Debugger Using: COM2 (port Ox28f, Baud rate 192000)
ou
During scan files at system startup, potential errors in the system registry were found p-07-0100irql:1fsysver 0xff00024 NT_Kernel error 1256 KMODE_EXCEPTION_NOT_HANDLED
ou
A Critical error could occur
***STOP: 0x000007B (0xF20184, 0x00000, 0xCC0034)***
Inacessible handler or device
Click this balloon to fix the problem

je n'ai pas osé cliquer où que ce soit au sujet de ce dernier message!!!

De multiples fenêtres s'ouvrent sous IE, me disant des phrases pour que je clique sur "ok" pour soit disant protéger mon ordi, le scanner...etc...
J'ai bien compris qu'il ne faut pas les utiliser, je les ferme en utilisant la croix.

Malgré que mcafee me dit qu'il détruit les chevaux de troie, à chaque démarrage, j'ai un message mcaffe dans une fenêtre qui me dit que mcafee a détecté des fichiers suspects et que je devrais analyser mon ordi....mais lors de l'analyse...il ne trouve rien...

J'ai l'impression que mon processeur tourne à fond.
J'ai aussi dans mon poste de travail une croix rouge devant C: à la place de l'icone du disque dur ( j'espère qu'i l est pas mort)

j'ai lancé analyse avec ad-aware 2007 et spybot surch and destroy.

Adaware a trouver "FakeAlert"=>Malware
et " Win32.Trojandownloader.Zlob==>Malware

FakeAlerte a été supprimé mais pas Win32.Trojandownloader.Zlob!!

ANALYSE EN MODE SANS ECHEC

1 Virus détecté dans C:Windows\system32\awtss.exe
nom du virus W32/Trats

( mais bon mcafee me l'a détecté et détruit plein de fois celui là déjà depuis ce matin)
Je me demande si le virus n'est pas dans la restauration système, ce qui lui permet malgré la destruction de revenir à chaque fois......?
Il faut peut être la désactiver pour que mcafee le détruise une bonne fois pour toutes......mais il y en a d'autres.....attendons la fin........

Analyse faite une fois tous les Temp et Caches vidés, et la restauration système désactivée.
Analyse en mode sans echec:

Résusltat : Liste des fichiers infectés

C:\program files\mcafee\agent\mcagent.exe==>désinfecté /
nom du virus:W32/Trats

C:\Program Files\McAfee.com\Agent\McUpdate.exe==>désinfecté/
nom du virus: W32/Trats

C:\WINDOWS\system32\awtss.exe==>le fichier a été supprimé pour terminer le processus de désinfection/
nom du virus: W32/Trats

C:\WINDOWS\system32\CFTMON.EXE==>désinfecté/
nom du virus: W32/Trats

J'ai ensuite redémarré en mode normal, résultat:

Fenêtre de Mcafee viruscan avant même que le bureau ne s'affiche ( ce qui me laisse penser un fichier suspect au niveau du démarrage se lance ce qui pourra être analysé avec HiJackThis plus loin?)

"McAfee ActiveShield a détecté un fichier suspect sur votre ordinateur.
McAfee vous recommande vivement de soumettre votre ordinateur à une analyse."

Une autre fenêtre qui s'ouvre 2 fois d'affilée:

"During a scan of files at system startup, potential errors in the system registry were found p-07-0100 irql: 1f SYSVER 0xff00024
NT_Kernel error 1256
KMODE_EXCEPTION_NOT_HANDLED"

Et encore une:
"The instruction at "0x01d62760" referenced memory at "0x05354e50".
The memory could not be "read. Click on OK to terminate."

Une autre:
"A potential problem has been detected and Windows has been shutdown buggy application to prevent damage to your computer.
****WXYZ.SYS- Adress F73120AE base at C00000, DateStamp 36b072A3
Kernel Debugger Using: COM2 (Port 0x28f, Baud rate 192000).

Et la dernière:

"-Unwanted and unused files/folders appear in system folders
-Incorrect files association
-System files are damages and maybe corrupted
Click Ok to fix system errors and boost overall system performance"

JE NE CLIQUE NUL PART SAUF SUR LES CROIX ROUGES POUR FERMER CES FENETRES, ON NE SAIT JAMAIS............

L'icone de Mcafee reste noire dans la barre de lancement rapide!!
Clic droit=>viruscan=>activer
"Mcafee protège maintenant votre ordinateur"
Mais l'icone reste noire!! elle devrait être rouge!

_________________
On apprend un peu tous les jours
A voir également:

76 réponses

jamesdean67
 
Incident Status Location

Spyware:Cookie/Bluestreak Not disinfected C:\Documents and Settings\Marc\Application Data\Mozilla\Firefox\Profiles\chcp69z1.default\cookies.txt[.bluestreak.com/]
Spyware:Cookie/Advertising Not disinfected C:\Documents and Settings\Marc\Application Data\Mozilla\Firefox\Profiles\chcp69z1.default\cookies.txt[.advertising.com/]
Spyware:Cookie/Xiti Not disinfected C:\Documents and Settings\Marc\Application Data\Mozilla\Firefox\Profiles\chcp69z1.default\cookies.txt[.xiti.com/]
0
jamesdean67
 
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:09:49, on 06/03/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\ATKKBService.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
c:\program files\mcafee.com\agent\mcdetect.exe
c:\PROGRA~1\mcafee.com\vso\mcshield.exe
c:\PROGRA~1\mcafee.com\agent\mctskshd.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\PROGRA~1\McAfee.com\PERSON~1\MpfService.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe
C:\Program Files\McAfee.com\VSO\oasclnt.exe
C:\PROGRA~1\mcafee.com\agent\mcagent.exe
c:\program files\mcafee.com\vso\mcvsshld.exe
C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
c:\program files\mcafee.com\vso\mcvsescn.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\McAfee.com\PERSON~1\MpfAgent.exe
c:\progra~1\mcafee.com\vso\mcvsftsn.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.estvideo.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
O2 - BHO: HelperObject Class - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Program Files\TechSmith\SnagIt 7\SnagItBHO.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll
O4 - HKLM\..\Run: [VSOCheckTask] "C:\PROGRA~1\McAfee.com\VSO\mcmnhdlr.exe" /checktask
O4 - HKLM\..\Run: [VirusScan Online] ; C:\Program Files\McAfee.com\VSO\mcvsshld.exe
O4 - HKLM\..\Run: [OASClnt] C:\Program Files\McAfee.com\VSO\oasclnt.exe
O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] c:\PROGRA~1\mcafee.com\agent\mcupdate.exe
O4 - HKLM\..\Run: [MPFExe] C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray.exe
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [CloneCDTray] ; "C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [DVD43] ; "C:\Program Files\DVD Region+CSS Free\DVDRegionFree.exe" /hidden
O4 - HKLM\..\Run: [iTunesHelper] ; "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [LogMeIn GUI] ; "C:\Program Files\LogMeIn\x86\LogMeInSystray.exe"
O4 - HKLM\..\Run: [Microsoft Works Update Detection] ; C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [MSKDetectorExe] ; C:\Program Files\McAfee\SpamKiller\MSKDetct.exe /uninstall
O4 - HKLM\..\Run: [NeroFilterCheck] ; C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] ; "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SpySweeper] ; "C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe" /startintray
O4 - HKLM\..\Run: [SunJavaUpdateSched] ; C:\Program Files\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKLM\..\Run: [TkBellExe] ; "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [CTSyncU.exe] ; "C:\Program Files\Creative\Sync Manager Unicode\CTSyncU.exe"
O4 - HKCU\..\Run: [Foxmail] ; "C:\Program Files\Foxmail\Foxmail.exe" -min
O4 - HKCU\..\Run: [NBJ] ; "C:\Program Files\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - https://bitdefender.solutions-antivirus.com/scan8/oscan8.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: McAfee WSC Integration (McDetect.exe) - McAfee, Inc - c:\program files\mcafee.com\agent\mcdetect.exe
O23 - Service: McAfee Proxy Service (McProxy) - Unknown owner - c:\PROGRA~1\FICHIE~1\mcafee\mcproxy\mcproxy.exe (file missing)
O23 - Service: McAfee.com McShield (McShield) - McAfee Inc. - c:\PROGRA~1\mcafee.com\vso\mcshield.exe
O23 - Service: McAfee Task Scheduler (McTskshd.exe) - McAfee, Inc - c:\PROGRA~1\mcafee.com\agent\mctskshd.exe
O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\PROGRA~1\McAfee.com\Agent\mcupdmgr.exe
O23 - Service: McAfee Personal Firewall Service (MpfService) - McAfee Corporation - C:\PROGRA~1\McAfee.com\PERSON~1\MpfService.exe
O23 - Service: PC Tools Spyware Doctor (SDhelper) - Unknown owner - C:\Program Files\Spyware Doctor\sdhelp.exe (file missing)
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe
0
FillPCA Messages postés 2264 Statut Contributeur sécurité 123
 
Salut,

OK. Ca se termine.

* Télécharge OTMoveIt2 (de Old_Timer) sur ton bureau : http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe
* Double-clique sur OTMoveIt.exe pour lancer le programme,
* Copie la liste de fichiers ou de dossiers ci-dessous et colle-la dans la fenêtre du programme "Paste Standard List of Files/Folders to Move" :

HKEY_CURRENT_USER\Software\Trymedia Systems
HKEY_CURRENT_USER\Software\Microsoft\affltid
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\affltid
C:\Documents and Settings\Administrateur\Bureau\Help and Support Center.lnk


* Copie la liste de fichiers ou de dossiers ci-dessous et colle-la dans la fenêtre du programme "Paste Custom List of Files/Folders to Move" :

EmptyTemp


* Clique sur MoveIt! pour lancer la suppression,
* Le résultat appraraîtra dans le cadre Results.
* Clique sur Exit pour fermer le programme.
* Poste le rapport qui est situé ici : C:\\\_OTMoveIt\MovedFiles
* Il te sera peut-être demandé de redémarrer ton PC. Dans ce cas, clique sur Yes.

Edite ce rapport. Comment se porte le pc ?

FillPCA
0
jamesdean67
 
File/Folder HKEY_CURRENT_USER\Software\Trymedia Systems not found.
File/Folder HKEY_CURRENT_USER\Software\Microsoft\affltid not found.
File/Folder HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\affltid not found.
File/Folder C:\Documents and Settings\Administrateur\Bureau\Help and Support Center.lnk not found.

OTMoveIt2 v1.0.20 log created on 03072008_075857

Salut,

Voici le rapport.....

Euh, mon pc se porte très bien, mais quand tu m'as dis que j'étais réinfesté il se portai déjà très bien.
Je veut dire que je n'avais ni ralentissement ni messages d'erreur ni fenêtres qui s'ouvrent inopinément...bizarre?

Sachant que je n'ai pas utilisé bitcomet ou emule depuis la dernière désinfection, comment ais je pu être réinfesté?

Bonne journée, merci
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
FillPCA Messages postés 2264 Statut Contributeur sécurité 123
 
Salut,

Difficile à dire, mais cela semble réglé. Y a-t-il plusieurs utilisateurs sur ce pc ?

1/ * Télécharge Toolscleaner de A.Rothstein sur ton Bureau : http://a-rothstein.changelog.fr/TC/ToolsCleaner2.exe
* Double-clique sur ToolsCleaner2.exe>Recherche puis Suppression,
* Ton Bureau va disparaître. Ceci est normal.
* S'il ne réapparait pas, fais ceci : CTRL+ALT+SUP pour faire apparaître le gestionnaire de tâches.
Rends-toi à l'onglet Processus, clique en haut à gauche sur "Fichiers" et choisis "Exécuter". Tape "explorer" et valide. Cela te fera ré-apparaître ton Bureau.

2/ Tu dois désactiver puis réactiver la restauration système. Pour cela, fais un clic droit sur « poste de travail ». Dans l’onglet « restauration du système », coche la case « désactiver la restauration système ». Clique sur appliquer.
Décoche cette case, clique sur appliquer>OK et redémarre le PC.

Si tu n'as plus de problème, c'est réglé.

FillPCA
0
jamesdean67
 
OK, tout est fait...

L'ordi marche très bien.......

Je ne suis pas le seul utilisateur sur ce pc..mon épouse..........

Elle m'a dit qu'effectivement elle a utilisé la mule la semaine dernière........!

Bon, dois je remettre la restauration système en route?

J'espère que cette fois ci ce sera bon.......
0
FillPCA Messages postés 2264 Statut Contributeur sécurité 123
 
Re,

Oui. Il faut désactiver, valider avec OK, ré-activer, appliquer et redémarrer le pc.

Bon surf !

FillPCA
0
jamesdean67
 
Merci beaucoup pour ton aide......je ne te dis pas à bientôt car plus on a de contacts plus c'est mauvais signe....lol
0
FillPCA Messages postés 2264 Statut Contributeur sécurité 123
 
Re,

Bonne continuation.

FillPCA
0
jamesdean67
 
Rebonjour....

J'ai choisi d'installer kaspersky ( KIS ) comme antivirus sur mes 2 pc mais sur celui que j'utilise le + souvent j'ai du mal à configurer car j'ai sans cesse des fenêtres d'alerte qui s'ouvrent ( sic) .........souvent, je ne sais pas quoi répondre.....

J'ai peut être déjà mal répondu sur des fenêtres du pare feu..........est ce que, Filipca, tu peut m'aider car je crois que tu as le même antivirus......merci
0
FillPCA Messages postés 2264 Statut Contributeur sécurité 123
 
Salut,

Je l'utilise en effet sur le pc portable. Dans l'onglet pare-feu, tu as la liste des applications qui ont demandé l'aurosation pour accéder à Internet. Tu as la possibilité d'accepter ou de refuser l'accès. Quandtu fais une règle, l'autorisation ou le refus d'accès au net est mémorisé, et cela ne t'es pas re-demandé. Toutefois, tu as la possibilité de modifier ta réponse si tu change d'avis.

Le contrôle des programmes est un peu plus délicat à régler. Pour ma part, je l'ai désactivé.

FillPCA
0
poupou
 
bonjour
je suit attentivement les opérations pour ce débarrasser des trojans.apparement ce n'est pas si simple que ça.
mon pc est atteint de win 32:small-jmh et backdoor w32.sdbot.cqm.
grace a avast que je viens d'installé je peut me servir de mon pc,sauf que a chaque démarrage,il me les ressorts systématiquement.
exit'il une possibilitée de ce débarasser de ces trojans.
merci d'avance
0
jamesdean67
 
Oui mais je pense qu'on va te dire de crééer ton propre post....sinon cela devient vite compliqué de comprendre ce post pour les autres ^^
0
xav02 Messages postés 2 Statut Membre
 
Vas sur ce site http://mickael.barroux.free.fr/securite/navilog.php

et suis les instructions pour utiliser Navilog1
0
miloud.. Messages postés 1 Statut Membre
 
salam ana ouride site de stare academy pour envoye les mesage slt
0
FillPCA Messages postés 2264 Statut Contributeur sécurité 123
 
J'ai pas tout compris.
0