Sujet Précédent Sujet Suivant

Win32:vundo@dll

Résolu
nicobr69 Messages postés 5 Statut Membre -  
^^Marie^^ Messages postés 126523 Date d'inscription   Statut Membre Dernière intervention   -
Bonjour,

J'ai un probleme il met impossible de suprimer ce tojan win32:vundo@dll.
Mon antivirus mis a jour le bloque, le met en quarantaine, mais il revient a cahque fois.
Je sais qu'il ce trouve dans les dossier system32, mais impossible de le suprimer.

je sais plus koi faire. J'ai regarder sur les ancien post et il faut faire un scan avec hijakthis.
Je le poste ici pour que vous m'aidez.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 07:11:26, on 02/06/2008
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Avast4\aswUpdSv.exe
C:\Program Files\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\Avast4\ashDisp.exe
C:\Program Files\Lexmark 2300 Series\lxcgmon.exe
C:\Program Files\Lexmark 2300 Series\ezprint.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alcohol Soft\Alcohol 52\StarWind\StarWindServiceAE.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Avast4\ashMaiSv.exe
C:\Program Files\Avast4\ashWebSv.exe
C:\WINDOWS\System32\lxcgcoms.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Trend Micro\HijackThis\HJT.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
O2 - BHO: (no name) - {EF4CC146-43C9-4741-8D21-EB5035A4EBEC} - C:\WINDOWS\system32\awttqqRI.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [lxcgmon.exe] "C:\Program Files\Lexmark 2300 Series\lxcgmon.exe"
O4 - HKLM\..\Run: [EzPrint] "C:\Program Files\Lexmark 2300 Series\ezprint.exe"
O4 - HKLM\..\Run: [FaxCenterServer] "C:\Program Files\Lexmark Fax Solutions\fm3032.exe" /s
O4 - HKLM\..\Run: [LXCGCATS] rundll32 \3\LXCGtime.dll,_RunDLLEntry@16
O20 - Winlogon Notify: awttqqRI - C:\WINDOWS\SYSTEM32\awttqqRI.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Avast4\ashWebSv.exe
O23 - Service: lxcg_device - - C:\WINDOWS\System32\lxcgcoms.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 52\StarWind\StarWindServiceAE.exe

11 réponses

Réponse 1 / 11
jetmc Messages postés 11 Statut Membre
 
salut a tu essayer de scaner ton pc en mode sans echec?
0
Réponse 2 / 11
jetmc Messages postés 11 Statut Membre
 
PS: avant desactive le restoration system et apres le scan reactive la
0
^^Marie^^ Messages postés 126523 Date d'inscription   Statut Membre Dernière intervention   3 279
 
Bonjour

PS: avant desactive le restoration system et apres le scan reactive la
Quand le PC est sain OUI, sinon NON.

0
Réponse 3 / 11
^^Marie^^ Messages postés 126523 Date d'inscription   Statut Membre Dernière intervention   3 279
 
Bonjour nicobr69

Télécharge VundoFix.exe (par Atribune) sur ton Bureau.
http://www.atribune.org/ccount/click.php?id=4

* Double-clique VundoFix.exe afin de le lancer.
* Lorsque l'outil se lance à nouveau, clique sur le bouton Scan for Vundo
* Clique sur le bouton Scan for Vundo.
* Lorsque le scan est complété, clique sur le bouton Remove Vundo
* Une invite te demandera si tu veux supprimer les fichiers, clique YES
* Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers.
* Tu verras une invite qui t'annonce que ton PC va s'éteindre ("shutdown"); clique OK
* Démarre ton PC à nouveau.
* Copie/colle le contenu du rapport situé dans C:\vundofix.txt

Télécharge VirtumundoBegone sur le bureau:
http://secured2k.home.comcast.net/tools/VirtumundoBeGone.exe

Double clique ensuite sur VirtumundoBeGone.exe et suis les instructions.
Une fois terminé, redémarre et poste le rapport VBG.TXT créé sur le bureau dans ta prochaine réponse

ainsi qu'un nouveau rapport HijackThis! dans ta prochaine réponse.

+++

0
Réponse 4 / 11
nicobr69 Messages postés 5 Statut Membre
 
J'ai scanné avec Vundofix deux fois pour erte sur qu'il y avait pas de probleme.
Le logiciel a marqué que il n'y avait pas deux virus et il n'avait rien trouvé.

VundoFix V7.0.5

Scan started at 12:30:03 02/06/2008

Listing files found while scanning....

No infected files were found.

VundoFix V7.0.5

Scan started at 12:33:57 02/06/2008

Listing files found while scanning....

No infected files were found.

Le deuxieme logiciel ma mis sa sur le bureau.

[06/02/2008, 12:38:45] - VirtumundoBeGone v1.5 ( "C:\Documents and Settings\NiKo\Mes documents\Logiciel\VirtumundoBeGone.exe" )
[06/02/2008, 12:39:01] - Detected System Information:
[06/02/2008, 12:39:01] - Windows Version: 5.1.2600,
[06/02/2008, 12:39:01] - Current Username: NiKo (Admin)
[06/02/2008, 12:39:01] - Windows is in NORMAL mode.
[06/02/2008, 12:39:01] - Searching for Browser Helper Objects:
[06/02/2008, 12:39:01] - BHO 1: {EF4CC146-43C9-4741-8D21-EB5035A4EBEC} ()
[06/02/2008, 12:39:01] - WARNING: BHO has no default name. Checking for Winlogon reference.
[06/02/2008, 12:39:01] - Checking for HKLM\...\Winlogon\Notify\awttqqRI
[06/02/2008, 12:39:01] - Found: HKLM\...\Winlogon\Notify\awttqqRI - This is probably Virtumundo.
[06/02/2008, 12:39:01] - Assigning {EF4CC146-43C9-4741-8D21-EB5035A4EBEC} MSEvents Object
[06/02/2008, 12:39:01] - BHO list has been changed! Starting over...
[06/02/2008, 12:39:01] - BHO 1: {EF4CC146-43C9-4741-8D21-EB5035A4EBEC} (MSEvents Object)
[06/02/2008, 12:39:01] - ALERT: Found MSEvents Object!
[06/02/2008, 12:39:01] - Finished Searching Browser Helper Objects
[06/02/2008, 12:39:01] - *** Detected MSEvents Object
[06/02/2008, 12:39:01] - Trying to remove MSEvents Object...
[06/02/2008, 12:39:02] - Terminating Process: IEXPLORE.EXE
[06/02/2008, 12:39:03] - Terminating Process: RUNDLL32.EXE
[06/02/2008, 12:39:03] - Disabling Automatic Shell Restart
[06/02/2008, 12:39:03] - Terminating Process: EXPLORER.EXE
[06/02/2008, 12:39:05] - Suspending the NT Session Manager System Service
[06/02/2008, 12:39:05] - Terminating Windows NT Logon/Logoff Manager
[06/02/2008, 12:39:06] - Re-enabling Automatic Shell Restart
[06/02/2008, 12:39:06] - File to disable: C:\WINDOWS\system32\awttqqRI.dll
[06/02/2008, 12:39:06] - Renaming C:\WINDOWS\system32\awttqqRI.dll -> C:\WINDOWS\system32\awttqqRI.dll.vir
[06/02/2008, 12:39:06] - ! File rename was unsucessful.
[06/02/2008, 12:39:06] - Attempting to Deny Access to C:\WINDOWS\system32\awttqqRI.dll
[06/02/2008, 12:39:07] - *** IMPORTANT: Delete/Rename/Move on reboot (like Killbox) MAY NOT work.
[06/02/2008, 12:39:07] - ERROR: Le mappage entre les noms de compte et les ID de sécurité n'a pas été effectué.

[06/02/2008, 12:39:07] - *** IMPORTANT: The file is disabled and will need to be deleted by the user.
[06/02/2008, 12:39:07] - Removing HKLM\...\Browser Helper Objects\{EF4CC146-43C9-4741-8D21-EB5035A4EBEC}
[06/02/2008, 12:39:07] - Removing HKCR\CLSID\{EF4CC146-43C9-4741-8D21-EB5035A4EBEC}
[06/02/2008, 12:39:07] - Adding Kill Bit for ActiveX for GUID: {EF4CC146-43C9-4741-8D21-EB5035A4EBEC}
[06/02/2008, 12:39:07] - Deleting ATLEvents/MSEvents Registry entries
[06/02/2008, 12:39:07] - Removing HKLM\...\Winlogon\Notify\awttqqRI
[06/02/2008, 12:39:07] - Searching for Browser Helper Objects:
[06/02/2008, 12:39:07] - Finished Searching Browser Helper Objects
[06/02/2008, 12:39:07] - Finishing up...
[06/02/2008, 12:39:07] - A restart is needed.
[06/02/2008, 12:41:01] - Attempting to Restart via STOP error (Blue Screen!)

Pour finir voila le raport de hijackthis.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:52:12, on 02/06/2008
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Avast4\aswUpdSv.exe
C:\Program Files\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\Avast4\ashDisp.exe
C:\Program Files\Lexmark 2300 Series\lxcgmon.exe
C:\Program Files\Lexmark 2300 Series\ezprint.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alcohol Soft\Alcohol 52\StarWind\StarWindServiceAE.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Avast4\ashMaiSv.exe
C:\WINDOWS\System32\lxcgcoms.exe
C:\Program Files\Avast4\ashWebSv.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Trend Micro\HijackThis\HJT.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [lxcgmon.exe] "C:\Program Files\Lexmark 2300 Series\lxcgmon.exe"
O4 - HKLM\..\Run: [EzPrint] "C:\Program Files\Lexmark 2300 Series\ezprint.exe"
O4 - HKLM\..\Run: [FaxCenterServer] "C:\Program Files\Lexmark Fax Solutions\fm3032.exe" /s
O4 - HKLM\..\Run: [LXCGCATS] rundll32 \3\LXCGtime.dll,_RunDLLEntry@16
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Avast4\ashWebSv.exe
O23 - Service: lxcg_device - - C:\WINDOWS\System32\lxcgcoms.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 52\StarWind\StarWindServiceAE.exe
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 11
^^Marie^^ Messages postés 126523 Date d'inscription   Statut Membre Dernière intervention   3 279
 
Re

Platform: Windows XP (WinNT 5.01.2600) ► pas à jour. Ta version est officielle ou pas ??
MSIE: Internet Explorer v6.00 (6.00.2600.0000) ► pas à jour ► IE7

Fais un clic droit sur hijackthis, choisis "renommer" marque : PROUT.exe
Puis remet un rapport stp

Pourquoi renommer HT

Parce que qu'il semble que les infections Vundo aient la particularité de se "cacher" à la détection de HJT proprement dite ou à son analyse : la modification du nom de l'exe pallie ce problème...
https://leblogdeclaude.blogspot.com/2006/10/informatique-section-hijackthis.html

0
Réponse 6 / 11
nicobr69 Messages postés 5 Statut Membre
 
J'ai renomé HJT.exe en Prout.exe

et j'ai lancé un scan voila le resultat.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:16:05, on 02/06/2008
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Avast4\aswUpdSv.exe
C:\Program Files\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\Avast4\ashDisp.exe
C:\Program Files\Lexmark 2300 Series\lxcgmon.exe
C:\Program Files\Lexmark 2300 Series\ezprint.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alcohol Soft\Alcohol 52\StarWind\StarWindServiceAE.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Avast4\ashMaiSv.exe
C:\WINDOWS\System32\lxcgcoms.exe
C:\Program Files\Avast4\ashWebSv.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Trend Micro\HijackThis\Prout.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [lxcgmon.exe] "C:\Program Files\Lexmark 2300 Series\lxcgmon.exe"
O4 - HKLM\..\Run: [EzPrint] "C:\Program Files\Lexmark 2300 Series\ezprint.exe"
O4 - HKLM\..\Run: [FaxCenterServer] "C:\Program Files\Lexmark Fax Solutions\fm3032.exe" /s
O4 - HKLM\..\Run: [LXCGCATS] rundll32 \3\LXCGtime.dll,_RunDLLEntry@16
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Avast4\ashWebSv.exe
O23 - Service: lxcg_device - - C:\WINDOWS\System32\lxcgcoms.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 52\StarWind\StarWindServiceAE.exe
0
Réponse 7 / 11
^^Marie^^ Messages postés 126523 Date d'inscription   Statut Membre Dernière intervention   3 279
 
Recommence
Quand tu le renommes il faut que des lignes 02 apparaissent
0
Réponse 8 / 11
nicobr69 Messages postés 5 Statut Membre
 
Je l'ai renomé comme tu las dit :
PROUT.exe avec clic droit.
Je l'ai rescaner mais j'ai le meme resultat apres avoir éteint et ralumer l'ordi.
En tout cas je le pense.

Par contre quand je ralume mon ordi maintenant il y a un message d'erreur des le debut.
Il ne trouve pas le dossier. LXCGtime.dll est ce que je doit telecharger ce .dll et le metre dans le system32 ou pas.
Et depuis quelque temps mon antivirus ne fais plus de bruit. Est ce que c'est possible de l'avoir suprimer?

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:41:39, on 02/06/2008
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Avast4\aswUpdSv.exe
C:\Program Files\Avast4\ashServ.exe
C:\PROGRA~1\Avast4\ashDisp.exe
C:\Program Files\Lexmark 2300 Series\lxcgmon.exe
C:\Program Files\Lexmark 2300 Series\ezprint.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alcohol Soft\Alcohol 52\StarWind\StarWindServiceAE.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Avast4\ashMaiSv.exe
C:\Program Files\Avast4\ashWebSv.exe
C:\WINDOWS\System32\lxcgcoms.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Azureus\Azureus.exe
C:\Program Files\Trend Micro\HijackThis\PROUT.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [lxcgmon.exe] "C:\Program Files\Lexmark 2300 Series\lxcgmon.exe"
O4 - HKLM\..\Run: [EzPrint] "C:\Program Files\Lexmark 2300 Series\ezprint.exe"
O4 - HKLM\..\Run: [FaxCenterServer] "C:\Program Files\Lexmark Fax Solutions\fm3032.exe" /s
O4 - HKLM\..\Run: [LXCGCATS] rundll32 \3\LXCGtime.dll,_RunDLLEntry@16
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Avast4\ashWebSv.exe
O23 - Service: lxcg_device - - C:\WINDOWS\System32\lxcgcoms.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 52\StarWind\StarWindServiceAE.exe
0
Réponse 9 / 11
^^Marie^^ Messages postés 126523 Date d'inscription   Statut Membre Dernière intervention   3 279
 
Salut

Tu pourrais me donner une réponse :

Platform: Windows XP (WinNT 5.01.2600) ► pas à jour. Ta version est officielle ou pas ??
MSIE: Internet Explorer v6.00 (6.00.2600.0000) ► pas à jour ► IE7
0
Réponse 10 / 11
nicobr69 Messages postés 5 Statut Membre
 
Tout d'abord MERCI !!!
Je sais pas comment tu as fait, mais je suis rester toute l'aprem sur l'ordinateur et aucune alrte de mon antivirus Avast.
Alors que d'habitude je l'entendais au moin une dizaine de fois par jpur.

Merci.

Mais maintenant quand je demare l'ordinateur.

J'ai une fenetre RUNDLL qui s'ouvre avec une croix rouge.
Qui me dit: Erreur de chargement de \3\LXCGtime.dll
Le module specifie est introuvable.

Est ce que c grave.
Que doit je faire, je le laisse comme ça?

En tout cas merci pour ce cheval de troie suprimé.

Nico
0
Réponse 11 / 11
^^Marie^^ Messages postés 126523 Date d'inscription   Statut Membre Dernière intervention   3 279
 
Re

J'aimerai bien avoir une réponse ► http://www.commentcamarche.net/forum/affich 6690816 win32 vundo dll#10

0

Discussions similaires

Problème avec "PUADIManager:Win32/OfferCore
Knaki -
bazfile -

3 réponses
PUADlManager:Win32/OfferCore
tenmalade -
tenmalade -

2 réponses
win32:malware-gen bloqué par avast
ikkual -
Utilisateur anonyme -

69 réponses
PUABundler:Win32/CandyOpen : dangereux ?
joubine -
bazfile -

2 réponses
Pb Windows 7, .EXE n'est pas app win32 valide
Witeric -
Lio -

15 réponses