trojan vundo.ehs,problemes internet

Question

Bonjour, mon antivirus a trouver un trojan "vundo.ehs" dans le dossier window, jai remarquer des ralentissements avec internet, impossible de faire une recherche avec mozilla le serveur est introuvable,bizarrement les raccourcis marques pages marchent toujours eux,jai tenter de supprimer le trojan via mon antivirus mais il n'arrive pas a le supprimer,meme en mode sans echec
voici un log hijackthis:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:48:44, on 01/05/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
G:\WINDOWS\System32\smss.exe
G:\WINDOWS\system32\winlogon.exe
G:\WINDOWS\system32\services.exe
G:\WINDOWS\system32\lsass.exe
G:\WINDOWS\system32\Ati2evxx.exe
G:\WINDOWS\system32\svchost.exe
G:\WINDOWS\System32\svchost.exe
G:\WINDOWS\system32\svchost.exe
G:\WINDOWS\system32\Ati2evxx.exe
G:\WINDOWS\system32\spoolsv.exe
G:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
G:\Program Files\logiciels gravure\Nero 8\Nero BackItUp\NBService.exe
G:\WINDOWS\system32\IoctlSvc.exe
G:\Program Files\Cyberlink\Shared files\RichVideo.exe
G:\Program Files\logiciels gravure\Alcohol 120\StarWind\StarWindServiceAE.exe
G:\WINDOWS\system32\svchost.exe
G:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe
G:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe
G:\WINDOWS\System32\svchost.exe
G:\WINDOWS\system32\wscntfy.exe
G:\WINDOWS\Explorer.EXE
G:\Program Files\Java\jre1.6.0_05\bin\jusched.exe
G:\Program Files\ASUS\AASP\1.00.09\aaCenter.exe
G:\Program Files\Analog Devices\Core\smax4pnp.exe
G:\Program Files\Analog Devices\SoundMAX\Smax4.exe
G:\PROGRA~1\HARDWA~1\HDTUNE~1\HDTune.exe
G:\Program Files\lecteur video\power dvd\PDVDServ.exe
G:\Program Files\LClock\LClock.exe
G:\Program Files\VisualTooltip\VisualToolTip.exe
G:\Program Files\Styler\Styler.exe
G:\DOCUME~1\jeremy\LOCALS~1\Temp\{BA7E1B0D-E3E9-43F0-B0B9-FC9A5E745D73}\Blaero Start Orb.exe
G:\PROGRA~1\BITDEF~1\bdmcon.exe
G:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
G:\Program Files\BitDefender10\bdagent.exe
G:\WINDOWS\system32\Rundll32.exe
G:\WINDOWS\system32undll32.exe
G:\Program Files\ViStart\ViStart.exe
G:\Program Files\logiciels gravure\AnyDVD\AnyDVD.exe
G:\Program Files\ViOrb\ViOrb.exe
G:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe
G:\Program Files\imprimante hp 1110 psc\Digital Imaging\bin\hpotdd01.exe
G:\Program Files\ATI Technologies\ati tools\ATITool\ATITool.exe
G:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
G:\Program Files\imprimante hp 1110 psc\Digital Imaging\Bin\hpoSTS08.exe
G:\Program Files\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
G:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe
G:\Program Files\BitDefender10\vsserv.exe
G:\PROGRA~1\BITDEF~1\bdlite.exe
G:\Program Files\Mozilla Firefox\firefox.exe
G:\Program Files\antivirus spyware\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://actus.sfr.fr
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O3 - Toolbar: StylerToolBar - {D2F8F919-690B-4EA2-9FA7-A203D1E04F75} - G:\Program Files\Styler\TB\StylerTB.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] "G:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [AsusServiceProvider] G:\Program Files\ASUS\AASP\1.00.09\aaCenter.exe
O4 - HKLM\..\Run: [SoundMAXPnP] G:\Program Files\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [SoundMAX] "G:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [HD Tune] G:\PROGRA~1\HARDWA~1\HDTUNE~1\HDTune.exe
O4 - HKLM\..\Run: [RemoteControl] "G:\Program Files\lecteur video\power dvd\PDVDServ.exe"
O4 - HKLM\..\Run: [LanguageShortcut] "G:\Program Files\lecteur video\power dvd\Language\Language.exe"
O4 - HKLM\..\Run: [AsusStartupHelp] G:\Program Files\ASUS\AASP\1.00.09\AsRunHelp.exe
O4 - HKLM\..\Run: [QuickTime Task] "G:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [LClock] G:\Program Files\LClock\LClock.exe
O4 - HKLM\..\Run: [VisualTooltip] G:\Program Files\VisualTooltip\VisualToolTip.exe
O4 - HKLM\..\Run: [Blaero Start Orb] G:\Program Files\Blaero Start Orb\Blaero Start Orb.exe
O4 - HKLM\..\Run: [Styler] G:\Program Files\Styler\Styler.exe
O4 - HKLM\..\Run: [NBKeyScan] "G:\Program Files\logiciels gravure\Nero 8\Nero BackItUp\NBKeyScan.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] G:\Program Files\Fichiers communs\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [StartCCC] "G:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe"
O4 - HKLM\..\Run: [BDMCon] G:\PROGRA~1\BITDEF~1\bdmcon.exe
O4 - HKLM\..\Run: [BDAgent] "G:\Program Files\BitDefender10\bdagent.exe"
O4 - HKLM\..\Run: [fde9136c] rundll32.exe "G:\WINDOWS\system32\pmqwdcqj.dll",b
O4 - HKLM\..\Run: [BMc7c0a145] Rundll32.exe "G:\WINDOWS\system32\lfwraavj.dll",s
O4 - HKCU\..\Run: [updateMgr] G:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_9
O4 - HKCU\..\Run: [AnyDVD] G:\Program Files\logiciels gravure\AnyDVD\AnyDVD.exe
O4 - HKCU\..\Run: [LClock] G:\Program Files\LClock\lclock.exe
O4 - HKCU\..\Run: [ViStart] G:\Program Files\ViStart\ViStart.exe
O4 - HKCU\..\Run: [ViOrb] G:\Program Files\ViOrb\ViOrb.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: ATITool.lnk = G:\Program Files\ATI Technologies\ati tools\ATITool\ATITool.exe
O4 - Global Startup: hp psc 1000 series.lnk = ?
O4 - Global Startup: hpoddt01.exe.lnk = ?
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - G:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - G:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: BitComet - {D18A0B52-D63C-4ed0-AFC6-C1E3DC1AF43A} - res://G:\Program Files\peer to peer\BitComet	ools\BitCometBHO_1.1.11.30.dll/206 (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - G:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - G:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {7FC1B346-83E6-4774-8D20-1A6B09B0E737} (Windows Live Photo Upload Control) - http://cid-e270f7de79d83aba.spaces.live.com/PhotoUpload/MsnPUpld.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{F0DCA235-7C28-44AA-BB19-3AA1F1ECF9F6}: NameServer = 192.168.1.1,194.117.200.10
O23 - Service: Apple Mobile Device - Apple, Inc. - G:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - G:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - G:\WINDOWS\system32\ati2sgag.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - G:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - G:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - G:\Program Files\iPod\bin\iPodService.exe
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - SOFTWIN S.R.L. - G:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - G:\Program Files\logiciels gravure\Nero 8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - G:\Program Files\Fichiers communs\Nero\Lib\NMIndexingService.exe
O23 - Service: PLFlash DeviceIoControl Service - Prolific Technology Inc. - G:\WINDOWS\system32\IoctlSvc.exe
O23 - Service: Pml Driver HPZ12 - HP - G:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - G:\Program Files\Cyberlink\Shared files\RichVideo.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - G:\Program Files\logiciels gravure\Alcohol 120\StarWind\StarWindServiceAE.exe
O23 - Service: stllssvr - MicroVision Development, Inc. - G:\Program Files\Fichiers communs\SureThing Shared\stllssvr.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - SOFTWIN S.R.L. - G:\Program Files\BitDefender10\vsserv.exe
O23 - Service: BitDefender Communicator (XCOMM) - SOFTWIN S.R.L - G:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe

manu_dog · Answer

Commence par ceci

Télécharge BTFix 1.017 (de bibi26)
BTFix vous propose de détecter et de désinstaller les barres d'outils publicitaires, qui s'invitent souvent lors de l'installation d'applications. Ce programme vous permet d'éliminer facilement les toolbars indésirables telles que Zango, MyWebSearch, MySearch, WhenU, Spam Blocker Utility, EZshopper, Browser Accelerator et beaucoup d'autres.

http://cluster1.easy-hebergement.net/

RECHERCHE
* Décompresse l'archive sur ton Bureau (Clique-Droit/Extraire tout).
* Ouvre le dossier "BTFix"
* Double clique sur "BTFix.exe"
* Clique sur "Rechercher"
* Un rapport va apparaître, copie/colle-le dans ta prochaine réponse
NETTOYAGE
* Démarre l'ordinateur en MSE comme ceci http://www.coupdepoucepc.com/modules/news/article.php?storyid=253 > ==> (Une fois le chargement du BIOS terminé, il y a un écran noir. Appuie sur la touche F8 ou F5, à répétition jusqu'à l'affichage du menu des options avancées de Windows. Ensuite, en utilisant les touches du curseur, sélectionne "mode sans échec" et appuie sur [Entrée]. Choisis ton compte usuel et non pas "Administrateur".)
* Ouvre "BTFix"
* Clique sur "Nettoyer" * Un rapport va apparaître, copie/colle-le dans ta prochaine réponse



Poursuis avec cette analyse, STP:

Télécharge et installe Malwarebyte's Anti-Malware
http://www.malwarebytes.org/mbam/program/mbam-setup.exe

Suivre ce tutoriel https://forum.pcastuces.com/malwarebytes_antimalwares___tutoriel-f31s3.htm

A la fin du scan >>> clique sur « Afficher les résultats » >>> « Enregistrer le Rapport »
Suppression des éléments détectés >>>> clique sur « Supprimer la sélection »
S'il t'est demandé de redémarrer >>> clique sur "Yes"

Un rapport de scan s'ouvre, poste le rapport.




Merci

jerem 72 · Answer

merci de ta reponse manu dog,alors btfix na rien trouver lors de la recherche je poste quand meme le rapport de nettoyage:

BTFix 1.098 (par bibi26) - 01/05/2008 17:20:27 - Nettoyage - Mode sans échec avec réseau
Lancé depuis G:\Documents and Settings\jeremy\Bureau\download fire fox\BTFix\BTFix.exe

---> Fichiers/dossiers supprimés (Première passe)

 - Fichiers temporaires effacés

---> Nettoyage terminé le 01/05/2008 17:20:33

par contre malwarebytes  a trouver 15 infections, voici le rapport:

Malwarebytes' Anti-Malware 1.11
Version de la base de données: 705

Type de recherche: Examen complet (G:\|)
Eléments examinés: 184818
Temps écoulé: 58 minute(s), 44 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 2
Clé(s) du Registre infectée(s): 14
Valeur(s) du Registre infectée(s): 2
Elément(s) de données du Registre infecté(s): 2
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 8

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
G:\WINDOWS\system32\geBuSMdc.dll (Trojan.Vundo) -> Unloaded module successfully.
G:\WINDOWS\system32\pmnljIBu.dll (Trojan.Vundo) -> Unloaded module successfully.

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{95fadf71-7af6-416b-8204-418d4e8218ae} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{95fadf71-7af6-416b-8204-418d4e8218ae} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{ee5a1465-1e73-4784-8f63-45983fdf0db8} (Trojan.Vundo) -> Delete on reboot.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{ee5a1465-1e73-4784-8f63-45983fdf0db8} (Trojan.Vundo) -> Delete on reboot.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\pmnljibu (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\aoprndtws (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\Microsoft\affri (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\Microsoft\affltid (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\Microsoft\rdfa (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\affltid (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\affri (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{ee5a1465-1e73-4784-8f63-45983fdf0db8} (Trojan.Vundo) -> Delete on reboot.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\BMc7c0a145 (Trojan.Agent) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Authentication Packages (Trojan.Vundo) -> Data: g:\windows\system32\gebusmdc -> Delete on reboot.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Authentication Packages (Trojan.Vundo) -> Data: g:\windows\system32\gebusmdc  -> Delete on reboot.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
G:\WINDOWS\system32\geBuSMdc.dll (Trojan.Vundo) -> Delete on reboot.
G:\WINDOWS\system32\cdMSuBeg.ini (Trojan.Vundo) -> Quarantined and deleted successfully.
G:\WINDOWS\system32\cdMSuBeg.ini2 (Trojan.Vundo) -> Quarantined and deleted successfully.
G:\WINDOWS\system32\pmqwdcqj.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
G:\WINDOWS\system32\jqcdwqmp.ini (Trojan.Vundo) -> Quarantined and deleted successfully.
G:\WINDOWS\system32\pmnljIBu.dll (Trojan.Vundo) -> Delete on reboot.
G:\WINDOWS\system32\lfwraavj.dll (Trojan.Agent) -> Quarantined and deleted successfully.
G:\WINDOWS\system32:Explore.exe (Rootkit.ADS) -> Quarantined and deleted successfully.


voila je redémare le pc pour voir mettre a jour tout ça

jerem 72 · Answer

desoler pour le double post mais internet remarche correctement maintenant,il y a juste un message au demmarage comme quoi il manque un fichier run.dll >pmqwdcaj.dll,mais window marche bien pour autant,est ce que ce fichier éffacer est indispensable?

Trojan vundo.ehs,problemes internet

3 réponses

Votre réponse

Discussions similaires

Newsletters