trojan

Question

Bonjour,
J'ai chope un trojan. Internet ne marche plus. En allumant mon ordi, j'ai des pages runddl qui s'ouvrent.

Pouvez vous me dire quoi faire. Merci.

Voila le rapport Hijacthis

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:10:45, on 29/06/2008
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\system32	askeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Apoint\Apoint.exe
C:\Program Files\sony\ISB Utility\ISBMgr.exe
C:\Program Files\Adobe\Reader 8.0\Readereader_sl.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Windows\System32\hkcmd.exe
C:\Windows\System32\igfxpers.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\ehome\ehtray.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\sony\Click to DVD 2\ctdatsvr.exe
C:\Windows\ehome\ehmsas.exe
C:\Program Files\Apoint\Apntex.exe
C:\Windows\System32\mobsync.exe
G:\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.club-vaio.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O1 - Hosts: ::1 localhost
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Browser Address Error Redirector - {CA6319C0-31B7-401E-A518-A07C3DB8F777} - C:\PROGRA~1\GOOGLE~1\BAE.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint\Apoint.exe
O4 - HKLM\..\Run: [ISBMgr.exe] "C:\Program Files\Sony\ISB Utility\ISBMgr.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [MSServer] rundll32.exe C:\Windows\system32\xxyxXNgG.dll,#1
O4 - HKLM\..\Run: [SBI] C:\Users\sam\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\3M71Q3KO\install_sbd_fr[1].exe
O4 - HKLM\..\Run: [IgfxTray] C:\Windows\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\Windows\system32\igfxpers.exe
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [BitTorrent] "C:\Program Files\BitTorrent\bittorrent.exe" --force_start_minimized
O4 - HKCU\..\Run: [cmds] rundll32.exe C:\Users\sam\AppData\Local\Temp\byXOeFyW.dll,c
O4 - HKCU\..\Run: [MSServer] rundll32.exe C:\Users\sam\AppData\Local\Temp\fccdecCT.dll,#1
O4 - HKCU\..\Run: [MS Juan] rundll32 "C:\Users\sam\AppData\Local\Temp\yswqvrsf.dll",run
O4 - HKCU\..\Run: [BMc1248e07] Rundll32.exe "C:\Users\sam\AppData\Local\Temp\ayaypsim.dll",s
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\S-1-5-21-1722150855-1596470574-4256188591-1003\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun (User '?')
O4 - HKUS\S-1-5-21-1722150855-1596470574-4256188591-1003\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe (User '?')
O4 - HKUS\S-1-5-21-1722150855-1596470574-4256188591-1003\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background (User '?')
O4 - HKUS\S-1-5-21-1722150855-1596470574-4256188591-1003\..\Run: [BitTorrent] "C:\Program Files\BitTorrent\bittorrent.exe" --force_start_minimized (User '?')
O4 - HKUS\S-1-5-21-1722150855-1596470574-4256188591-1003\..\Run: [cmds] rundll32.exe C:\Users\sam\AppData\Local\Temp\byXOeFyW.dll,c (User '?')
O4 - HKUS\S-1-5-21-1722150855-1596470574-4256188591-1003\..\Run: [MSServer] rundll32.exe C:\Users\sam\AppData\Local\Temp\fccdecCT.dll,#1 (User '?')
O4 - HKUS\S-1-5-21-1722150855-1596470574-4256188591-1003\..\Run: [MS Juan] rundll32 "C:\Users\sam\AppData\Local\Temp\yswqvrsf.dll",run (User '?')
O4 - HKUS\S-1-5-21-1722150855-1596470574-4256188591-1003\..\Run: [BMc1248e07] Rundll32.exe "C:\Users\sam\AppData\Local\Temp\ayaypsim.dll",s (User '?')
O4 - HKUS\S-1-5-21-1722150855-1596470574-4256188591-1003\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe (User '?')
O4 - S-1-5-21-1722150855-1596470574-4256188591-1003 Startup: Programme de démarrage du Mode automatique Click to DVD.lnk = C:\Program Files\sony\Click to DVD 2\ctdatsvr.exe (User '?')
O4 - Startup: Programme de démarrage du Mode automatique Click to DVD.lnk = C:\Program Files\sony\Click to DVD 2\ctdatsvr.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0\bin
pjpi160.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0\bin
pjpi160.dll
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O13 - Gopher Prefix: 
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe (file missing)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: IviRegMgr - InterVideo - C:\Program Files\Common Files\InterVideo\RegMgr\iviRegMgr.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AvLib\MSCSPTISRV.exe
O23 - Service: PACSPTISVR - Unknown owner - C:\Program Files\Common Files\Sony Shared\AvLib\PACSPTISVR.exe
O23 - Service: Planificateur LiveUpdate automatique - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: SonicStage Back-End Service - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AvLib\SsBeSvc.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AvLib\SPTISRV.exe
O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AvLib\SSScsiSV.exe
O23 - Service: VAIO Entertainment TV Device Arbitration Service - Sony Corporation - C:\Program Files\Common Files\Sony Shared\VAIO Entertainment Platform\VzCs\VzHardwareResourceManager\VzHardwareResourceManager.exe
O23 - Service: VAIO Event Service - Sony Corporation - C:\Program Files\sony\VAIO Event Service\VESMgr.exe
O23 - Service: VAIO Media Integrated Server (VAIOMediaPlatform-IntegratedServer-AppServer) - Sony Corporation - C:\Program Files\sony\VAIO Media Integrated Server\VMISrv.exe
O23 - Service: VAIO Media Integrated Server (HTTP) (VAIOMediaPlatform-IntegratedServer-HTTP) - Sony Corporation - C:\Program Files\sony\VAIO Media Integrated Server\Platform\SV_Httpd.exe
O23 - Service: VAIO Media Integrated Server (UPnP) (VAIOMediaPlatform-IntegratedServer-UPnP) - Sony Corporation - C:\Program Files\sony\VAIO Media Integrated Server\Platform\UPnPFramework.exe
O23 - Service: VAIO Media Gateway Server (VAIOMediaPlatform-Mobile-Gateway) - Sony Corporation - C:\Program Files\sony\VAIO Media Integrated Server\Platform\VmGateway.exe
O23 - Service: VAIO Media Content Collection (VAIOMediaPlatform-UCLS-AppServer) - Sony Corporation - C:\Program Files\sony\VAIO Media Integrated Server\UCLS.exe
O23 - Service: VAIO Media Content Collection (HTTP) (VAIOMediaPlatform-UCLS-HTTP) - Sony Corporation - C:\Program Files\sony\VAIO Media Integrated Server\Platform\SV_Httpd.exe
O23 - Service: VAIO Media Content Collection (UPnP) (VAIOMediaPlatform-UCLS-UPnP) - Sony Corporation - C:\Program Files\sony\VAIO Media Integrated Server\Platform\UPnPFramework.exe
O23 - Service: VAIO Entertainment UPnP Client Adapter (Vcsw) - Sony Corporation - C:\Program Files\Common Files\Sony Shared\VAIO Entertainment Platform\VCSW\VCSW.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Check Point Software Technologies LTD - C:\Windows\System32\ZoneLabs\vsmon.exe
O23 - Service: VAIO Entertainment Database Service (VzCdbSvc) - Sony Corporation - C:\Program Files\Common Files\Sony Shared\VAIO Entertainment Platform\VzCdb\VzCdbSvc.exe
O23 - Service: VAIO Entertainment File Import Service (VzFw) - Sony Corporation - C:\Program Files\Common Files\Sony Shared\VAIO Entertainment Platform\VzCdb\VzFw.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

Destrio5 · Answer

Salut,

C'est Vundo qui te bouffe ton Vista.

jacques.gache · Answer

bonjour, déja au premier regard de ton hijackthis tu as deux anti-virus avast et norton je pense que norton est mal désinstaller il faut le supprimer avec l'outil de cher symantec  à cette adresse http://service1.symantec.com/support/inter/tsgeninfointl.nsf/fr_docid/20050414110429924?OpenDocument&seg=hm&lg=fr&ct=fr  entre temps je regarde de plus près et te donne les procédures à suivre

Destrio5 · Answer

- Désactive l'UAC le temps de la désinfection :
https://www.zebulon.fr/astuces/pratique/220-desactiver-l-uac-dans-vista.html

- Télécharge ComboFix.exe (de sUBs)
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

- Enregistre ce fichier sur le bureau

- Redémarre en mode sans échec :
http://forum.telecharger.01net.com/forum/high-tech/SECURITE/Securite/redemarrer-mode-echec-sujet_1526_1.htm

- Double-clique sur ComboFix.exe, tape 1, valide par Entrée pour lancer le scan

- Lorsque le scan sera complété, un rapport apparaîtra.
Enregistre ce rapport sur ton bureau.

- Redémarre en mode normal. Poste le rapport ici.

NOTE : Le rapport se trouve également ici : C:\Combofix.txt

* Combofix est détecté par certains antivirus comme une infection, il s'agit d'un "faux positif"

** N'en tiens pas compte, continue la procédure.

jacques.gache · Answer

re, perso je te propose de télécharger  OTMoveIt http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe (de Old_Timer) sur ton Bureau. 
double-clique sur OTMoveIt.exe pour le lancer. 
Assurez vous que la case "Unregister Dll 's and Ocx's" soit bien cochée 
copie les lignes qui se trouvent en gras ci-dessous, 
et colle-les dans le cadre de gauche de OTMoveIt :Paste List of Files/Folders to be moved. 

c:\windows\system32\xxyxxngg.dll
c:\users\sam\appdata\local	emp\byxoefyw.dll
c:\users\sam\appdata\local	emp\fccdecct.dll
c:\users\sam\appdata\local	emp\yswqvrsf.dll
c:\users\sam\appdata\local	emp\ayaypsim.dll

clique sur MoveIt! pour lancer la suppression. S'il propose de redémarrer votre PC, acceptez
le résultat apparaitra dans le cadre "Results". 
clique sur Exit pour fermer. 
poste le rapport situé dans C:\_OTMoveIt\MovedFiles. 

il te sera peut-être demander de redémarrer le pc pour achever la suppression.si c'est le cas accepte par Yes.   

Et remets un nouveau hijackthis pour controle et voir les lignes à fixer

Destrio5 · Answer

Oui mais en faisant ça, tu supprimes 3-4 fichiers Vundo et vont revenir avec d'autres noms.

jacques.gache · Answer

Destrio5 bonjour, si tu cherches sur google à qui appartiennent toutes ces DLL il te repond "
Les termes de recherche spécifiés - ayaypsim.dll – ne correspondent à aucun document." pariel pour les autres donc comment est tu sur que c'est un vundo

Destrio5 · Answer

C'est du Vundo ou du Agent, même chose pour moi ---> Utilisation de ComboFix.

De toute façon, s'il suit ta procédure, on va bien voir qu'ils vont revenir avec des noms différents.

jacques.gache · Answer

si je n'avais pas pro^posé ça j'aurrai proposé une suppression manuel pour celui de systèm32 et puis de vider le dossier temps incriminer et de Ccleaner et un passage de malwarebytes c'est mon point de vue
DEFARY applique comme te demande Destrio5, comme il était le premier sur ton problème

Destrio5 · Answer

Oui pour le dossier temp.

Mais je pense sincèrement qu'ils seraient revenus.

defary ---> Suis la procédure de Jacques pour tester.

Lyonnais92 · Answer

Bonsoir,

jacques, ne discute jamais avec un Destrio5, tu y perdras ton âme.

Regarde son premier post, il ne sert à rien à l'internaute.

jacques.gache · Answer

Lyonnais92 bonjour, que penses tu de ma proposition

Destrio5 · Answer

jacques.gache ---> Pardonne-moi, je n'avais pas à te dire ça ;)

Par rapport à Lyonnais92, il a peut-être plus de trois fois mon âge mais il se comporte vraiment comme un crétin. Son post est aussi inutile que mon premier post dans ce topic. D'ailleurs, son post est là juste pour chercher une querelle inutile dont je préfère me retirer.

Lyonnais92 · Answer

Re,

techniquement, il a raison, Combofix va éradiquer une partie de l'infection.

Par contre son canned sppeech ne respecte pas les consignes du créateur de l'outil.


   Désactive le contrôle des comptes utilisateurs (tu le réactiveras après ta désinfection):

    - Va dans démarrer puis panneau de configuration
    - Double Clique sur l'icône "Comptes d'utilisateurs"
    - Clique ensuite sur désactiver et valide.

 
télécharge combofix (par sUBs) ici :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

et enregistre le sur le Bureau.

déconnecte toi d'internet et ferme toutes tes applications.

désactive tes protections (antivirus, parefeu, garde en temps réel de l'antispyware)


double-clique sur combofix.exe et suis les instructions

à la fin, il va produire un rapport C:\ComboFix.txt

réactive ton parefeu, ton antivirus, la garde de ton antispyware

copie/colle le rapport C:\ComboFix.txt dans ta prochaine réponse.

Attention, n'utilise pas ta souris ni ton clavier (ni un autre système de pointage) pendant que le programme tourne. Cela pourrait figer l'ordi.

Tu as un tutoriel complet ici :

https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Destrio5 · Answer

Je préfère le scan de ComboFix en mode sans échec car ComboFix pourra mieux supprimer les fichiers infectés. De plus, il n'y aura pas d'antivirus, ni d'autres logiciels de sécurité en route.

Lyonnais92 · Answer

Re,

fais redémarrer l'ordi en mode normal.

Remets un rapport Hijackthis.

jacques.gache · Answer

bien joué Destrio5 plus rien sur hijackthis il n'y a même plus norton lol

Lyonnais92 · Answer

Re,

Relance HijackThis.

Choisis Do a scan only

Coche la case devant les lignes suivantes

O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - (no file) 
O3 - Toolbar: (no name) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - (no file

Ferme toutes les fenêtres (hormis HijackThis), y compris ton navigateur.

Clique sur fix checked.

Ferme Hijackthis.

Où en sont tes problèmes ?

jacques.gache · Answer

regarde si c'est pas ton pare-feu qui te bloque

Lyonnais92 · Answer

Re,

as-tu essayé la maneuvre présentée dans le tuto de Combofix ?

Destrio5 · Answer

Re,

J'avais plus Internet. Lyonnais92, je te laisse la main car je sais pas si ma connexion va durer longtemps ;)

Trojan

20 réponses

Votre réponse

Discussions similaires

Newsletters