rien ne démarres bis Fermé

Question

Re,

Je recommences:
http://www.commentcamarche.net/forum/affich 4982950 infection win32 trojan gen log highjack#0

Le topic a carrément disparu bizarre?
Supprimé du Bureau des CCMistes par BmV le 17/02/2008 à 09:18 pour les raisons suivantes :
Le modérateur n'a pas indiqué de raison


J'avais gardé ouvert sur mon navigateur, j'ai les derniers messages, j'ai encore la dernère réponse que je vous ai fait:
>>>>

Merci à tous pour votre temps et vos conseils,

noctambule28,
mysql est peut être un trojan, comme housecall l'avait pointé.
myspql devrait être dans program files, mais je l'ai vu sur c: également :-(
O23 - Service: MySqlInventime - Unknown owner - c:\mysql\bin\mysqld-max-nt.exe
https://www.file.net/process/mysqld-max-nt.exe.html


D||D,
Je gardes Clean v2 sous le coude, bonne idée.
Mais il commence à être tentant, elle commence a s'impatienter je la comprends.


Jorginho67,
Merci à trop regarder proche on ne voit plus rien.
Je vais lui proposer cela pour commencer de réinitialiser runonce, cela ne coute rien.

J'avais vu ces lignes mais pas que cela concernait Symantec (j'ai pourtant une très bonne vue :-D)
Effectivement il y a 4 lignes dont 2 lancent la désinstallation qui sont toujours là mais elle pointe vers des fichiers textes temporaires C:\WINDOWS\TEMP\SND532unin.txt qui ne doivent surement plus exister.

Peut être qu'en lançant le patch de symantec cela résoudrait une autre partie le problème également mais je sais cela enlève une clé qui perturbe la mise à jour de antivir (action - réaction).

Lyonnais92,
Je vais présenter cette procédure, car effectivement le gros problème est que les programmes démarrent, la première action s'exécute et tout fige semble t-il.

>>>>
tites questions : son Windows est légitime ? aucun programme n'est cracké 
Elle avait répondu oui sans se cacher semble t-il
http://www.commentcamarche.net/forum/affich 4982950 infection win32 trojan gen log highjack?page=2#34

Mais on vient d'apprendre qu'elle avait installé Panda mais avec une source pas clean il y a de cela 1 ou 2 ans.
http://www.commentcamarche.net/forum/affich 4982950 infection win32 trojan gen log highjack?page=4#66

A+

^^Marie^^ · Answer

Slt

Pour suivre ;;))

DeNisCoOl · Answer

Re,

Après le passage de runonce remover, Word a un petit mieux, il s'ouvre partiellement, mais la tentative de réinstallation  échoue.

Elle n'a pas installé ou utilisé Mysql.
En attendant vos commentaires, je vais lui faire arrêter et enlever c:\mysql\bin\mysqld-max-nt.exe

Voici le rapport look.txt:

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Environment
ComSpec REG_EXPAND_SZ %SystemRoot%\system32\cmd.exe
Path REG_EXPAND_SZ %systemroot%\system32;%systemroot%;%systemroot%\system32\wbem;C:\PROGRA M FILES\ATI TECHNOLOGIES\ATI CONTROL PANEL;C:\PROGRA~1\FICHIE~1\TVNAVI~1;C:\Program Files\Panda Software\Panda Antivirus Platinum;C:\Program Files\Fichiers communs\Autodesk Shared;C:\Program Files\Fichiers communs\Adobe\AGL;C:\Program Files\QuickTime\QTSystem
windir REG_EXPAND_SZ %SystemRoot%
OS REG_SZ Windows_NT
PROCESSOR_ARCHITECTURE REG_SZ x86
PROCESSOR_LEVEL REG_SZ 6
PROCESSOR_IDENTIFIER REG_SZ x86 Family 6 Model 9 Stepping 5, GenuineIntel
PROCESSOR_REVISION REG_SZ 0905
NUMBER_OF_PROCESSORS REG_SZ 1
PATHEXT REG_SZ .COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH
TEMP REG_EXPAND_SZ %SystemRoot%\TEMP
TMP REG_EXPAND_SZ %SystemRoot%\TEMP
FP_NO_HOST_CHECK REG_SZ NO
CLASSPATH REG_EXPAND_SZ C:\Program Files\Java\jre1.5.0_06\lib\ext\QTJava.zip
QTJAVA REG_EXPAND_SZ C:\Program Files\Java\jre1.5.0_06\lib\ext\QTJava.zip

On remarque C:\Program Files\Java\jre1.5.0_06
Elle m'a pourtant dit avoir enlever sa version Java, est ce uniquement une clé de registre qui pointe vers cette archive?
QTJava.zip ce n'est pas normalement le fichier archive d'installation ? Bizarre qu'il se trouve dans le répertoire d'installation lui même.

Dans le rapport il y a un espace bizarrement placé (^: ici)
C:\PROGRA^M FILES\ATI TECHNOLOGIES\ATI CONTROL PANEL 

A+

jorginho67 · Answer

Salut les zami(e)s

Le topic a carrément disparu bizarre?
Supprimé du Bureau des CCMistes par BmV le 17/02/2008 à 09:18 pour les raisons suivantes :
Le modérateur n'a pas indiqué de raison 

Justement je le cherchait tout a l'heure et pas trouvé ...   ???????
pas pigé..........

@+

DeNisCoOl · Answer

Re,

Moi non plus pas pigé ;-)

J'ai envoyé un message a BmV pour comprendre.

A+

jorginho67 · Answer

tu nous tiendras au courant...

J'aimerais bien savoir pourquoi, surtout que s'etait un sujet interressant...

@+

DeNisCoOl · Answer

J'attends en fait Lyonnais92 ou LeSioux pour pouvoir interpréter le rapport le look.txt

A+

jorginho67 · Answer

je voulais parler de çà :

Supprimé du Bureau des CCMistes

@+

Lyonnais92 · Answer

Bonsoir,

je n'ai pas retrouvé le modèle et je préfererai que Le Sioux confirme.

Mais quand je regarde sur mon ordi, je ne vois pas de problèmes avec path et patext.

Donc, chou blanc.

Utilisateur anonyme · Answer

Bonsoir vous tous,

D||D,
Je gardes Clean v2 sous le coude, bonne idée.
Mais il commence à être tentant, elle commence a s'impatienter je la comprends. ,

Je tiens à rappeler qu'il doit s'agir là d'un dernier recours !!!,

De toutes les manières la première chose ===> Sauvegarde des données perso. (si c'est pas déjà fait).

PS : Je pense aussi à une fausse manip. de BmV...sinon je ne comprends pas non plus...

@suivre.

DeNisCoOl · Answer

Taaatannn

Téléportation de CCMiste vers Virus/Sécurité.

Pas de nouvelles encore LeSioux est très occupé.

A+

Lyonnais92 · Answer

Bonsoir,

Spy agent :

http://translate.google.com/...

Friends toolbar :

https://www.trendmicro.com/vinfo/us/threat-encyclopedia/search/adwfriendxmsa

(yc un désinstallateur ?

Le sioux · Answer

Bonsoir tout le monde

Suite au message de Denis hier dans la nuit (j'étai au taff), je passe faire un coucou, pas eu le temps depuis, sommeil en retard ++

Je pense comme   Lyonnais :

Mais quand je regarde sur mon ordi, je ne vois pas de problèmes avec path et patext.

Donc, chou blanc.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Environment
    ComSpec	REG_EXPAND_SZ	%SystemRoot%\system32\cmd.exe
    Path	REG_EXPAND_SZ	%systemroot%\....
    windir	REG_EXPAND_SZ	%SystemRoot%

Bonne soirée

DeNisCoOl · Answer

Lyonnais92, Le Sioux,

Merci, je comprends pour Spyagent.
Le second lien que tu donnais est pour la recherche d’autres infections ?

Bon alors salade de choux blanc pour tous :-(

Infection initial détecté par Avast:
WIn32:Trojan-gen 

Bitdefender (restauration):
Trojan.Spy.Ghostkeylogger.A
Trojan.Spy.Keyghost.A
Trojan.Spy.Keylogger.Y

Antivir (Restauration):
dropper DR/007SpySoft.342.1
dropper DR/SpyAgent.G.2

AVG AS (restauration):
Backdoor.Agent.duj

Housecall multiple occurence dans C:\APPS\Inventime\j2re1.4.2 :
Dump_Virus:pfcb 

F-Secure (restauration):
Trojan-Spy.Win32.GhostKeyLogger.a << renamed and submitted(idem bitdefender bizarre, tout n'a pas été enlevé la première fois, il se réinfecte?)

Elle n'a utiliser qu'une fois la restauration avant de poster le premier message.

Panda :
Application/Psexec.A dans C:\Windows\psexesvc.exe <=== arrêté et supprimé manuellement

SDFix rien détecté
Smitfraudfix rapport incomplet (fige)

Clean, Combofix et Diaghelp démarre mais fige.

GMER, Sophos et Panda anti rootkit rien détecté.
Panda antirootkit en ligne détecté 5 rootkit mais pas donné de rapport.

Voir aussi le rapport de Trojan Scanner:
http://www.commentcamarche.net/forum/affich 4982950 infection win32 trojan gen log highjack?page=3#53


A+

DeNisCoOl · Answer

D||D,

Oui on dirait, elle semblait très infecté.
Je lui ai demandé de lancer Combofix et Smitfraudfix pour voir ce que cela va donner.

Quasiment 1 scan sur 2 trouve quelque chose.
Ou tous les 2 messages elle avait quelque chose de nouveau.

Elle seule peut agir rapidement.
Elle efface les dll infecté (vérification sur Google) ainsi que les clés associés dans la base de registre, elle a débloqué son problème mais pas encore fini.

A+

Lyonnais92 · Answer

Bonjour,

non, c'est pour :

C:\WINDOWS\system32\Winsey\FrdParis.dll est infecté par Adware.StartPage.

DeNisCoOl · Answer

Bonjour,

Effectivement je les avais mis de côté, merci.
Pas encore de nouvelles.

A+

DeNisCoOl · Answer

Re,

Je n'avais pas vu la réponse sur le déplacement du second post:

Bonjour, Votre message intitulé « rien ne démarres bis » datant du 2008-02-17 18:03:54 vient d'être déplacé par un modérateur (Serge) car il n'était pas posté dans le forum adéquat.

Et BmV ne m'a toujours pas répondu, visiblement pas de temps à perdre avec ça ;-)

A+

DeNisCoOl · Answer

Re,

Dernière nouvelles.

je ne trouve pas le rapport COMBOFIX !!! Pourtant il s'est à priori super bien éxécuté (+de 40 étapes il me semble) > il a même supprimé msrv.dll (dans system32), qui était invisible (je l'avais cherchée mais elle était cachée-hidden)...
ComboFix m'a redémarré le pc, ok, super :) mais ya pas de rapport. C:/ComboFix.txt > ya que dalle... 



Il y a déjà plusieurs jour de ça un rapport qui me pause problème.

Pour le moment j'ai fait supprimer c:\mysql\bin\mysqld-max-nt MySqlInventime

TROJAN SCANNER ALERT

The following file is called by the Windows registry at boot time :

C:\Program Files\SpyBro\Antispy.sys
C:\WINDOWS\System32\DRIVERS\COMFiltr.sys
C:\WINDOWS\system32\B.tmp
c:\mysql\bin\mysqld-max-nt MySqlInventime
C:\WINDOWS\System32\DRIVERS\PPPoEWin.SYS
C:\WINDOWS\system32\DRIVERS\WlanUIG.sys

The file is called from the following Registry Key :

HKLM\SYSTEM\CurrentControlSet\Services\Antispy
HKLM\SYSTEM\CurrentControlSet\Services\ComFiltr
HKLM\SYSTEM\CurrentControlSet\Services\MEMSWEEP2
HKLM\SYSTEM\CurrentControlSet\Services\MySqlInventime
HKLM\SYSTEM\CurrentControlSet\Services\PPPoEWin
HKLM\SYSTEM\CurrentControlSet\Services\WlanUIG
> These files cannot be found, they might be hidden

Ce scanner invite lorsqu'il se termine à lancer l'application TROJAN REMOVER, dont voici les avertissements :

THIS FILE IS CALLED BY A SERVICES REGISTRY KEY
C:\Program Files\SpyBro\Antispy.sys
C:\WINDOWS\System32\DRIVERS\COMFiltr.sys
C:\WINDOWS\system32\B.tmp
C:\WINDOWS\System32\DRIVERS\PPPoEWin.SYS
C:\WINDOWS\system32\DRIVERS\WlanUIG.sys

THIS FILE IS LOADED BY THE FOLLOWING REGISTRY KEY
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Antispy\"ImagePath"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ComFiltr\"ImagePath"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MEMSWEEP2\"ImagePath"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PPPoEWin\"ImagePath"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WlanUIG\"ImagePath"

Et à la fermeture du programme, j'ai ça >>> "ERROR > Access violation at 0x01AF4789 (tried to read from 0x01A4F4789), program terminated."


A+

DeNisCoOl · Answer

Salut à tous,

Des petite nouvelles,

Cela avance bien, mais pas encore fini.
Spyware doctor et Spybot en mode sans échec on fait énormément de ménages 254 infections détectés a eux 2.

En renommant combofix en CBF.exe et en l'exécutant en mode sans échec, le rapport est enfin sorti.

Pourriez vous me donner votre avis j'ai déjà trouvé ceci à mettre dans CFScript.txt:

Driver::
LEGACY_NPF 
LEGACY_WINDOWS_LOG 
poof

Folder::
C:\Program Files\kauav

File::
C:\WINDOWS\system32\drivers\lvuvc.hs <=== pas sure encore?

A+

Rien ne démarres bis

19 réponses

Discussions similaires