SOS Virus Trojan Horse (Generic3, Generic6) Fermé

Question

Bonjour,

J'ai attrapé un Virus Trojan et je ne sais pas comment m'en débarasser, J'ai suivi la méthode préliminaire de désinfection, ci-dessous se trouve les rapports d'AVG Spyware, AVG Anti-Virus, Bitdefender,  Hijackthis et Ad-aware.
Merci d'avance pour votre aide.
Kahuette

·	Ccleaner : OK (ça c'est fait!)

·	Rapport AVG spyware :
---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	18:08:31 05/03/2008

 + Résultat de l'analyse:	



C:\Documents and Settings\Did\Cookies\did@adbrite[2].txt -> TrackingCookie.Adbrite : Aucune action entreprise.
C:\Documents and Settings\Did\Cookies\did@adrevolver[2].txt -> TrackingCookie.Adrevolver : Aucune action entreprise.
C:\Documents and Settings\Did\Cookies\did@www.adtrak[1].txt -> TrackingCookie.Adtrak : Aucune action entreprise.
C:\Documents and Settings\Did\Cookies\did@ssl-hints.netflame[1].txt -> TrackingCookie.Netflame : Aucune action entreprise.
C:\Documents and Settings\Did\Cookies\did@weborama[2].txt -> TrackingCookie.Weborama : Aucune action entreprise.
C:\Documents and Settings\Did\Cookies\did@ad.yieldmanager[2].txt -> TrackingCookie.Yieldmanager : Aucune action entreprise.


Fin du rapport

·	Rapport AVG Anti-Virus (free edition): 

Complete Test: Threats found Deleted:
-	Trojan horse Generic3.UNS: 
C:\WINDOWS	k58.exe
-	Trojan horse Generic3.UNS: 
C:\WINDOWS	k58.exe
-	Trojan horse Generic3.UNS:   
C:\Documents and Settings\Did\Local Settings\Temporary Internet Files\Content.IE5\QDAG48ZK	k58[1].exe 
-	Trojan horse Generic3.UNS:  
C:\System Volume Information\_restore{OAEBF596-4C31-46AB-BF28-34AD25B3447D}\RP242\A0027405.dll
-	Trojan horse Downloader.Generic6.AHRZ
C:\System Volume Information\_restore{OAEBF596-4C31-46AB-BF28-34AD25B3447D}\RP329\A0027360.dll
-	Trojan horse Downloader.Generic6.AHRZ
C:\System Volume Information\_restore{OAEBF596-4C31-46AB-BF28-34AD25B3447D}\RP328\A0026595.dll
       -  Trojan horse BHO.DFY: 
C:\System Volume Information\_restore{OAEBF596-4C31-46AB-BF28-34AD25B3447D}\RP236\A0025205.dll
       -  Trojan horse BHO.DFY: 
C:\System Volume Information\_restore{OAEBF596-4C31-46AB-BF28-34AD25B3447D}\RP236\A0025207.dll
      -  Trojan horse BHO.DFY:
C:\System Volume Information\_restore{OAEBF596-4C31-46AB-BF28-34AD25B3447D}\RP236\A0025208.dll
-	Trojan horse BHO.DFY:
C:\System Volume Information\_restore{OAEBF596-4C31-46AB-BF28-34AD25B3447D}\RP237\A0026398.dll
-	Trojan horse BHO.DFY: 
C:\System Volume Information\_restore{OAEBF596-4C31-46AB-BF28-34AD25B3447D}\RP239\A0027358.dll
-	Trojan horse BHO.DFY: 
C:\System Volume Information\_restore{OAEBF596-4C31-46AB-BF28-34AD25B3447D}\RP239\A0027359.dll
-     Virus found Lop:
C:\System Volume Information\_restore{OAEBF596-4C31-46AB-BF28-34AD25B3447D}\RP237\A0026386.dll
- Virus found Lop:
C:\System Volume Information\_restore{OAEBF596-4C31-46AB-BF28-34AD25B3447D}\RP237\A0026387.dll


·	Rapport Bitdefender :

BitDefender Online Scanner	 	 
Scan report generated at: Wed, Mar 05, 2008 - 19:19:14
 	 	 
Scan path: C:\;D:\;	 	 
 	 	 
Statistics
Time	01:06:24
Files	91216
Folders	3772
Boot Sectors	3
Archives	1898
Packed Files	6404
	 	 
Results
Identified Viruses 	1
Infected Files 	1
Suspect Files 	0
Warnings	0
Disinfected	0
Deleted Files	1
	 	 
Engines Info
Virus Definitions	985614
Engine build	AVCORE v1.0 (build 2422) (i386) (Sep 25 2007 08:26:36)
Scan plugins	16
Archive plugins	41
Unpack plugins	7
E-mail plugins	6
System plugins	5
	 	 
Scan Settings
First Action	Disinfect
Second Action	Delete
Heuristics	Yes
Enable Warnings	Yes
Scanned Extensions	*;
Exclude Extensions	 
Scan Emails	Yes
Scan Archives	Yes
Scan Packed	Yes
Scan Files	Yes
Scan Boot	Yes
	 	 
  Scanned File	 Status
C:\System Volume Information\_restore{0AEBF596-4C31-46AB-BF28-34AD25B3447D}\RP230\A0023743.ini	Infected with: Trojan.Vundo.DVS
C:\System Volume Information\_restore{0AEBF596-4C31-46AB-BF28-34AD25B3447D}\RP230\A0023743.ini	Disinfection failed
C:\System Volume Information\_restore{0AEBF596-4C31-46AB-BF28-34AD25B3447D}\RP230\A0023743.ini	Deleted
	 
 	 	 
 	 	 
 


·	Rapport Hijackthis :

Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
C:\Program Files\Dell\QuickSet\NICCONFIGSVC.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\pctspk.exe
C:\Program Files\Lexmark X5100 Series\lxbabmgr.exe
C:\Program Files\Dell\QuickSet\quickset.exe
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe
C:\PROGRA~1\Nero\NEROPH~1\data\Xtras\mssysmgr.exe
C:\Program Files\Lexmark X5100 Series\lxbabmon.exe
C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexStoreSvr.exe
C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\MSN Messenger\usnsvc.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Program Files\Inventel\Gateway\wlancfg.exe
C:\Program Files\Microsoft Office\Office\WINWORD.EXE
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.0.1:3128
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Program Files\BitComet	ools\BitCometBHO_1.1.11.30.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: (no name) - {923c5e80-b19f-4d19-bca7-9295c4b92079} - (no file)
O3 - Toolbar: Veoh Browser Plug-in - {D0943516-5076-4020-A3B5-AEFAF26AB263} - C:\Program Files\Veoh Networks\Veoh\Pluginseg\VeohToolbar.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [IMEKRMIG6.1] C:\WINDOWS\ime\imkr6_1\IMEKRMIG.EXE
O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [Lexmark X5100 Series] "C:\Program Files\Lexmark X5100 Series\lxbabmgr.exe"
O4 - HKLM\..\Run: [Dell QuickSet] C:\Program Files\Dell\QuickSet\quickset.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [Nero PhotoShow Media Manager] C:\PROGRA~1\Nero\NEROPH~1\data\Xtras\mssysmgr.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: &D&ownload &with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddLink.htm
O8 - Extra context menu item: &D&ownload all video with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddVideo.htm
O8 - Extra context menu item: &D&ownload all with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddAllLink.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: BitComet - {D18A0B52-D63C-4ed0-AFC6-C1E3DC1AF43A} - res://C:\Program Files\BitComet	ools\BitCometBHO_1.1.11.30.dll/206 (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O15 - Trusted Zone: [http://]*.avsystemcare.com
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} - http://download.divx.com/player/DivXBrowserPlugin.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: NICCONFIGSVC - Dell Inc. - C:\Program Files\Dell\QuickSet\NICCONFIGSVC.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Service de lancement de WlanCfg (Wlancfg) - Inventel - C:\Program Files\Inventel\Gateway\wlancfg.exe

booddha · Answer

De l'aide pour quoi? Tes outils ont apparemment bien travaillés.

Pour faire propre fait ça

Vide ta poubelle

Repasse un coup de CCLeaner

----------------------- Fixer des lignes  HitjackThis -------------------

Relancer Hitjackthis

	•	Fixer cette/ces lignes


O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: (no name) - {923c5e80-b19f-4d19-bca7-9295c4b92079} - (no file)
O9 - Extra button: BitComet - {D18A0B52-D63C-4ed0-AFC6-C1E3DC1AF43A} - res://C:\Program Files\BitComet	ools\BitCometBHO_1.1.11.30.dll/206 (file missing)
O15 - Trusted Zone: http://*.avsystemcare.com


	•	Pour fixer cette/ces lignes.
	•	Cliquer sur la petite case à gauche de chaque ligne à fixer.

	•	Une fois cette/ces lignes cochées, cliquer sur le bouton en bas FIX CHECKED

=========== POINT DE RESTAURATION SYSTEME =============

* Désactivation :
Clic droit sur le "Poste de travail" > Propriétés > onglet "Restauration du système" > cocher la case "Désactiver la Restauration du système sur tous les lecteurs"
	•	Appliquer 
	•	patienter jusqu’a ce que cela soit marqué "désactivé" puis Ok.

* Activation :
Suivre le même chemin ; décocher la case "Désactiver la Restauration du système sur tous les lecteurs"
	•	Appliquer 
	•	patienter que cela soit à nouveau sur "surveillance" puis Ok. 

	•	Redémarrer l'ordinateur..     
	•	relancer HitJackThis
	•	Copier/Coller le nouveau rapport sur le forum.

booddha · Answer

Oui

booddha · Answer

Ha, tu as du zapper cette ligne recommence


---------------------- Fixer des lignes HitjackThis -------------------

Relancer Hitjackthis

• Fixer cette/ces lignes

O9 - Extra button: BitComet - {D18A0B52-D63C-4ed0-AFC6-C1E3DC1AF43A} - res://C:\Program Files\BitComet	ools\BitCometBHO_1.1.11.30.dll/206 (file missing)

• Pour fixer cette/ces lignes.
• Cliquer sur la petite case à gauche de chaque ligne à fixer.

• Une fois cette/ces lignes cochées, cliquer sur le bouton en bas FIX CHECKED


Relance la machine et remet un rapport hijackthis

booddha · Answer

Un récalcitrant

Fais ceci


=========================== VundoFix VirtumundoBeGone =====================
	•	Imprimer la procédure suivante et execute la à la lettre.
	•	Télécharger VundoFix.exe ici http://www.atribune.org/ccount/click.php?id=4


Utiliser VundoFix (de Atribune)
	•	Mettre le fichier VundoFix.exe sur le Bureau Windows.
	•	Fermer tous les programmes car il va y avoir arrêt du PC.
	•	double clic sur VundoFix.exe 
	        (les droits administratifs sont nécéssaires sinon les accès dont à besoin VundoFix.exe lui seront refusés)
	•	Click sur le bouton Scan for Vundo
	•	Click sur le bouton Remove Vundo lorsque le balayage (scan) est terminé, 
	•	Click sur Yes sur l'invite de demande de suppression de fichiers s'il y a infection, 
	        Le Bureau va disparaître un moment lors de la suppression des fichiers
	        Une fenêtre annonce que le PC va redémarrer: 
	•	Click sur OK

Note:
Il est possible que VundoFix soit confronté à un fichier qu'il ne peut supprimer. 
Si tel est le cas, l'outil se lancera au prochain redémarrage. 
Il faut simplement suivre les instructions ci-dessus, à partir de : 
Click sur le bouton Scan for Vundo.

------------------------------
Utiliser VirtumundoBegone (de secured2k)
	•	Télécharger VirtumundoBeGone.exe ici http://secured2k.home.comcast.net/tools/VirtumundoBeGone.exe
	•	Mettre le fichier VirtumundoBeGone.exe sur le Bureau Windows.
	•	Fermer toutes les fenêtres, tous les programmes, pas de connexion ouverte: il va y avoir redémarrage du PC.
	•	Double clic sur VirtumundoBeGone.exe 
	•	Suivre les instructions (Click sur Run si demandé, Click sur Start, puis Click sur Yes).
	        Lorsque l'outil a terminé, redémarrer.

Ne pas s'inquiéter s'il y a un message "Erreur fatale" avec Ecran bleu (BSOD), c'est normal et attendu. 
Redémarrer.

Remettre un message Hijacthis

booddha · Answer

Ok, bon après vérification cela ne semble pas important ni dangereux.

Supprime les deux outils que l'on vient d'installer.

Si tu rencontres des soucis reviens ici. Pour moi tu n'as pas d'infection

SOS Virus Trojan Horse (Generic3, Generic6)

5 réponses

Discussions similaires