infection d'un trojan Fermé

Question

Bonjour,

L'ordi de ma soeur a été infecté par un trojan à cause d'un crack foireux pour un jeu vidéo. J'ai donc dès l'alerte donnée par l'antivirus coupé la connexion à internet de l'ordi et après un scan, AVG a supprimé les fichiers infectés puis j'ai effectué le reste manuellement. J'ai nettoyé avec CCleaner et j'ai refais un scan qui ne m'a indiqué aucune nouvelle infection. J'ai alors tenté de reconnecter cet ordi à Internet mais dès que la connexion s'est effectuée et à peine arriver sur un site internet, l'antivirus m'annoncait une nouvelle infection. J'ai donc immédiatement recoupé la connexion mais maintenant je ne sais pas trop quoi faire. J'ai fais un scan HiJackThis et j'ai supprimer 2-3 trucs qui me semblaient suspect comme par exemple un fichier EoRezo qui est venu là je ne sais trop comment mais maintenant? J'aimerais beaucoup éviter un reformatage de l'ordinateur.

Merci d'avance pour les réponses =)

Voici le log HiJackThis

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:43:37, on 20/02/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\WLTRYSVC.EXE
C:\WINDOWS\System32\bcmwltry.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
C:\WINDOWS\system32\basfipm.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\Explorer.EXE
C:\Program Files\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Microsoft Référence\Bibliorom\QS96F.EXE
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\Grisoft\AVG7\avgcc.exe
C:\Program Files\Grisoft\AVG7\avgwb.dat
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\HiJackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.bing.com/?cc=fr&toHttps=1&redig=D4322FEE7CF74A348CB9CE970F098EF5
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F3 - REG:win.ini: run="C:\WINDOWS\system32\winupdate.exe"
O2 - BHO: ShoppingReport - {100EB1FD-D03E-47FD-81F3-EE91287F9465} - C:\Program Files\ShoppingReport\Bin\2.0.21\ShoppingReport.dll
O2 - BHO: (no name) - {182C7ED7-E56D-4509-9D9B-AC49318D9895} - C:\WINDOWS\system32\hgghfdc.dll
O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - C:\Program Files\EoRezo\EoAdv\EoRezoBHO.dll (file missing)
O2 - BHO: (no name) - {6A2FFF94-FD7F-441E-9E3F-174D1E8CC6AD} - C:\WINDOWS\system32\xxwtr.dll (file missing)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [BitTorrent] "C:\Program Files\BitTorrent\bittorrent.exe" --force_start_minimized
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: QuickShelf.lnk = ?
O4 - Startup: Robert.lnk = C:\WINDOWS\Robert.cmd
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ShopperReports - Compare product prices - {C5428486-50A0-4a02-9D20-520B59A9F9B2} - C:\Program Files\ShoppingReport\Bin\2.0.21\ShoppingReport.dll
O9 - Extra button: ShopperReports - Compare travel rates - {C5428486-50A0-4a02-9D20-520B59A9F9B3} - C:\Program Files\ShoppingReport\Bin\2.0.21\ShoppingReport.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32
wprovau.dll
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O20 - Winlogon Notify: hgghfdc - C:\WINDOWS\SYSTEM32\hgghfdc.dll
O20 - Winlogon Notify: winsxf32 - winsxf32.dll (file missing)
O21 - SSODL: syshelps - {D5084EC6-FA0F-42B9-A79F-81577590074C} - syshelps.dll (file missing)
O21 - SSODL: SysVolume - {092c6b65-affa-47bc-afe8-eb80d282c9a3} - C:\WINDOWS\Installer\{092c6b65-affa-47bc-afe8-eb80d282c9a3}\SysVolume.dll (file missing)
O21 - SSODL: zip - {113bf004-96ea-48ba-912e-6359c400bae1} - C:\WINDOWS\Installer\{113bf004-96ea-48ba-912e-6359c400bae1}\zip.dll (file missing)
O21 - SSODL: CheckAvp - {081a4f32-8773-4e4e-8431-0e0398ce02c1} - C:\WINDOWS\Installer\{081a4f32-8773-4e4e-8431-0e0398ce02c1}\CheckAvp.dll (file missing)
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O23 - Service: Broadcom ASF IP monitoring service v3.0.1 (BAsfIpM) - Broadcom Corp. - C:\WINDOWS\system32\basfipm.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Dell Wireless WLAN Tray Service (wltrysvc) - Unknown owner - C:\WINDOWS\System32\WLTRYSVC.EXE

g!rly · Answer

Salut jerryjay,

Télécharge combofix.exe (par sUBs) sur ton Bureau.

-> http://download.bleepingcomputer.com/sUBs/ComboFix.exe     

-> Double clique combofix.exe.
-> Tape sur la touche 1 (Yes) pour démarrer le scan.
-> Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse. 

NOTE : Le rapport se trouve également ici : C:\Combofix.txt

Avant d'utiliser ComboFix :

-> Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours.

-> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent géner fortement la procédure de recherche et de nettoyage de l'outil.

Une fois fait, sur ton bureau double-clic sur Combofix.exe.

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.

- En fin de scan il est possible que ComboFix ait besoin de redemarrer le pc pour finaliser la désinfection\recherche, laisses-le faire.

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt)

-> Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet.

-> Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message ainsi qu´un nouveau hijack this.

@+

••RiverToo•• · Answer

Bonjours et bienvenue sur CCM

tu peux télécharger ces 2 utilitaires
ATF CLEANER : http://www.infos-du-net.com/telecharger/ATF-Cleaner,0301-10869.html
( tu l'execute ensuite tu fait select all et empty selected )

et ceci
A squared : https://www.01net.com/telecharger/

Execute le lance la mise à jour !
Ensuite redémarre ton pc et pianote sur F8 (ou F5) pour lancé le mode sans echec une fois lancée lance a squared et fait une analyse details et supprime tout ce qu'il trouve.

Une fois l'analyse fini tu supprime tout ce qu'il trouve et va faire un tour sur ce scan online

http://lesservices.fnac.com/scan8/ie.html ( ne marche qu'avec IE )

Post le rapport sur le forum merci  :D

Tien moi au courant :) 

••RiverToo••

g!rly · Answer

River tool, 

T´aurais du mettre : "pour suivre"

Car toutes tes recommandations ne vont pas suffir...

@+

••RiverToo•• · Answer

:) On sait jamais on verras bien (mais c'est RiverToo >< pas RiverTool ^^)

g!rly · Answer

Désolé,
River too...

••RiverToo•• · Answer

pas grave :)

jorginho67 · Answer

Pour suivre... ( combo toujours....)

g!rly · Answer

jerryjay,

Pas de retour?

@+

jerryjay · Answer

Mon père ne m'a pas laissé essayer ta solution -_-". Il a pris le relais et il semble avoir réussi à désinfecter complètement. S'il y a nouvelle alerte je reposterai. Merci beaucoup en tout cas

g!rly · Answer

Ok jerryjay.

Post un nouveau hijack this, si tu le veux; pour que je verifie ?!

@+

Infection d'un trojan

10 réponses

Discussions similaires