Trojan: Trojan-PSW.Win32.Nilage.ajfRésolu/Fermé

Question

Bonjour à tous,

habituellement je me débrouille seul, mais cette fois-ci j'ai besoin d'aide d'experts puisque ce n'est pas mon propre ordinateur, je ne veux pas supprimer des éléments importants...

Mon problème: J'ai récement installé le jeux World of warcraft sur cet ordinateur. Lorsque je démarre le jeu, le ''launcher'' attrappe le trojan  PSW.Win32.Nilage.ajf (environ une fois sur 3).. -> KEYLOGGER

En faisant quelques recherches je pense bien qu'il s'agit du trojan PWS-Maran.dll, pourtant je n'ai pas trouvé de méthode de désinstallation concrète.

J'ai récemment upgradé Kaspersky internet security 7.0 à la version 8.0, et pourtant il ne semble pas le détecter.

Aussi, j'ai installer Avira Antivir, qui détectait le fichier ou6viewer.dll (il semblerait que ouviewer.dll soit lier a PWS-Maran.dll). Il avait réussit à le supprimer, mais en le faisant, il a aussi coupé la connection à internet (J'ai lu sur un tutorial d'Hijackthis, que cela arriverais lorsqu'on supprime ce genre de trojan)

Je vous post mon rapport d'Hijackthis; 

Sachez que j'apprécie énormement votre aide d'avance,

Merci

- Koronis 

PS: Je crois bien que le probleme ce situe à la ligne O10, par contre je ne sais pas quoi faire comme manipulation! 
-------------------------------------------------------------------

Running processes:
H:\WINDOWS\System32\smss.exe
H:\WINDOWS\system32\winlogon.exe
H:\WINDOWS\system32\services.exe
H:\WINDOWS\system32\lsass.exe
H:\WINDOWS\system32\Ati2evxx.exe
H:\WINDOWS\system32\svchost.exe
H:\WINDOWS\System32\svchost.exe
H:\WINDOWS\system32\Ati2evxx.exe
H:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
H:\WINDOWS\system32\spoolsv.exe
H:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
H:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe
H:\WINDOWS\System32\svchost.exe
H:\WINDOWS\system32\wscntfy.exe
H:\WINDOWS\Explorer.EXE
H:\Program Files\Java\jre1.6.0_01\bin\jusched.exe
h:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE
H:\WINDOWS\RTHDCPL.EXE
H:\PROGRA~1\PESTPA~1\PPMemCheck.exe
H:\Program Files\PestPatrol\PPControl.exe
H:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe
H:\PROGRA~1\PESTPA~1\CookiePatrol.exe
h:\Program Files\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
H:\Program Files\QuickTime\QTTask.exe
H:\Program Files\iTunes\iTunesHelper.exe
H:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe
H:\Program Files\Windows Live\Messenger\msnmsgr.exe
H:\Program Files\ATI Multimedia\RemCtrl\ATIRW.exe
H:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe
H:\WINDOWS\System32\svchost.exe
H:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqimzone.exe
H:\Program Files\iPod\bin\iPodService.exe
H:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqSTE08.exe
H:\WINDOWS\system32\HPZipm12.exe
H:\Program Files\Internet Explorer\iexplore.exe
H:\Program Files\Internet Explorer\iexplore.exe
H:\Documents and Settings\Administrateur\Mes documents\**********\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.ca/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - H:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - H:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\ievkbd.dll
O2 - BHO: (no name) - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - H:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - H:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] "H:\Program Files\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKLM\..\Run: [StartCCC] "h:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe"
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [PPMemCheck] H:\PROGRA~1\PESTPA~1\PPMemCheck.exe
O4 - HKLM\..\Run: [Phase One Media Reader] H:\PROGRA~1\PHASEO~1\CAPTUR~1\DCIMImp.exe /noscan /CheckAutoStart
O4 - HKLM\..\Run: [PestPatrol Control Center] H:\Program Files\PestPatrol\PPControl.exe
O4 - HKLM\..\Run: [HP Software Update] H:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [CookiePatrol] H:\PROGRA~1\PESTPA~1\CookiePatrol.exe
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [QuickTime Task] "H:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "H:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [AVP] "H:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe"
O4 - HKCU\..\Run: [MsnMsgr] "H:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [ATI Remote Control] H:\Program Files\ATI Multimedia\RemCtrl\ATIRW.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] H:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] H:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] H:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] H:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - S-1-5-18 Startup: Adobe Gamma.lnk = H:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe (User 'SYSTEM')
O4 - .DEFAULT Startup: Adobe Gamma.lnk = H:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe (User 'Default user')
O4 - Startup: Adobe Gamma.lnk = H:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = H:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Démarrage rapide de HP Photosmart Premier.lnk = H:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = H:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Microsoft Office.lnk = H:\Program Files\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: Ajouter à Kaspersky Anti-Bannière - H:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\ie_banner_deny.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - H:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - H:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: Statistiques de la protection du trafic Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - H:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\SCIEPlgn.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - H:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - H:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: h:\windows\system32\ou6viewer.dll
O10 - Unknown file in Winsock LSP: h:\windows\system32\ou6viewer.dll
O12 - Plugin for .spop: H:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx1.hotmail.com/mail/w2/resources/MSNPUpld.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/EN-CA/a-UNO1/GAME_UNO1.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O18 - Protocol: intu-ir2005 - {5691FBE2-D220-46A0-9859-C20374E05534} - H:\ImpotRapide 2005\IR2005\ic2005pp.dll
O18 - Protocol: intu-ir2007 - {52BAEC6B-9405-46F9-A131-6D50720A3CC4} - H:\Program Files\ImpotRapide 2007\ic2007pp.dll
O20 - AppInit_DLLs: H:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd.dll,H:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd3.dll,H:\PROGRA~1\KASPER~1\KASPER~1\adialhk.dll,H:\PROGRA~1\KASPER~1\KASPER~1\kloehk.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - H:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - H:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - H:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - H:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - H:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Kaspersky Internet Security (avp) - Kaspersky Lab - H:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe
O23 - Service: HP Port Resolver - Hewlett-Packard Company - H:\WINDOWS\system32\spool\drivers\w32x86\3\HPBPRO.EXE
O23 - Service: HP Status Server - Hewlett-Packard Company - H:\WINDOWS\system32\spool\drivers\w32x86\3\HPBOID.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - H:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - H:\Program Files\iPod\bin\iPodService.exe
O23 - Service: MSCSPTISRV - Sony Corporation - H:\Program Files\Fichiers communs\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: Card Adapter (NETDown) - Unknown owner - H:\WINDOWS\smss.exe (file missing)
O23 - Service: PACSPTISVR - Sony Corporation - H:\Program Files\Fichiers communs\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: Pml Driver HPZ12 - HP - H:\WINDOWS\system32\HPZipm12.exe
O23 - Service: ScsiAccess - Unknown owner - H:\Program Files\Photodex\ProShowGold\ScsiAccess.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - H:\Program Files\Fichiers communs\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: X10 Device Network Service (x10nets) - Unknown owner - H:\PROGRA~1\ATIMUL~1\RemCtrl\x10nets.exe (file missing)

Utilisateur anonyme · Answer

lu,
oui tu peux fixer les 2 O10 :
O10 - Unknown file in Winsock LSP: h:\windows\system32\ou6viewer.dll

puis 

Télécharge 
http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe 
sur ton Bureau et lance le. 

Assure toi que la case "Unregister Dll's and Ocx's" soit bien cochée. 

Copie et colle les ligne ci-dessous dans l'encadré bleue de OTMoveIt nommé Paste Standard List of Files/Folders to move. 

O10 - Unknown file in Winsock LSP: h:\windows\system32\ou6viewer.dll

Clique sur MoveIt! pour lancer la suppression. 
Si OTMoveIt propose de redémarrer ton PC, accepte ! 
Lorsque un résultat apparaît dans le cadre Results, clique sur Exit. 

Dans ta future réponse, envoie le rapport de OTMoveIt situé sur C:\_OTMoveIt\MovedFiles 


PUIS

fait un scan en ligne avec internet explore, si tu as firefox fait: 
démarrer -> executer -> tape : iexplore (puis valide) 

(coche toutes les cases à chaque fois) : 
https://www.eset.com/ 

à la fin colle le rapport : C:\Program Files\EsetOnlineScanner\log.txt 

si ta besoin d'aide tu as un tutoriel ici : 
http://bibou0007.com/scans-en-ligne-f75/tutorial-nod32-online-scanner-t128.htm

Utilisateur anonyme · Answer

fix aussi ca mais c'est moins important (fichier n'existe plus) :

O23 - Service: Card Adapter (NETDown) - Unknown owner - H:\WINDOWS\smss.exe (file missing)

Koronis · Answer

Merci de ta réponse, j'essaie ça à l'instant et t'en donne de mes nouvelles

Utilisateur anonyme · Answer

oulla une erreur pour OT move it :

Télécharge 
http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe 
sur ton Bureau et lance le. 

Assure toi que la case "Unregister Dll's and Ocx's" soit bien cochée. 

Copie et colle les ligne ci-dessous dans l'encadré bleue de OTMoveIt nommé Paste Standard List of Files/Folders to move. 

h:\windows\system32\ou6viewer.dll 

Clique sur MoveIt! pour lancer la suppression. 
Si OTMoveIt propose de redémarrer ton PC, accepte ! 
Lorsque un résultat apparaît dans le cadre Results, clique sur Exit. 

Dans ta future réponse, envoie le rapport de OTMoveIt situé sur C:\_OTMoveIt\MovedFiles


ne met pa le "O10 - Unknown file in Winsock LSP:"

Koronis · Answer

Merci beaucoup de m'aider dorgane

voici mon résultats de OTMoveIt:
----------------------------------------------------------------------------------------------------------

DllUnregisterServer procedure not found in h:\windows\system32\ou6viewer.dll
h:\windows\system32\ou6viewer.dll NOT unregistered.
h:\windows\system32\ou6viewer.dll moved successfully.
 
OTMoveIt2 by OldTimer - Version 1.0.4.3 log created on 08102008_175705

----------------------------------------------------------------------------------------------------------

Je vais effectuer le test de eset-nod32 maintenant

Utilisateur anonyme · Answer

ok fait un scan en ligne et ca devrai etre ok, suis bien le tutoriel, coche bien les 2 cases et met le rapport.

Koronis · Answer

Bon, il semblerais que d'avoir supprimé le fichier ne me donne plus access à internet (lorsque j'ouvre IE, Impossible d'afficher la page - Par contre, je peux répondre ici car j'ai déja l'onglet d'ouvert

J'avais lu ça dans le tutoriel d'Hijackthis en anglais, je te repost en anglais ce que j'avais lu dans quelques secondes

Koronis · Answer

''Cette section correspond aux piratages Winsock aussi nommés LSP (Layered Service Provider).

Les LSPs sont un moyen de chaîner un fragment de logiciel à votre application Winsock 2 sur votre ordinateur. Comme les LSPs sont chaînés l'un à l'autre, lorsque Winsock est utilisé, les données sont transportées à travers chacun des LSPs de la chaîne. Les espiogiciels (spyware) et les pirates peuvent utiliser les LSPs pour voir la totalité du trafic sur votre connexion Internet. 

Vous devriez faire très attention lorsque vous supprimez ces objets, car s'ils sont supprimés sans rétablir correctement la séquence dans la chaîne, vous pourriez perdre votre accès Internet.

Exemple O10 - Broken Internet access because of LSP provider 'spsublsp.dll' missing 

De nombreux Anti-Virus commencent à rechercher les virus, trojans, etc, au niveau Winsock. Le problème est que beaucoup d'entre eux ont tendance à ne pas recréer les LSPs dans le bon ordre après avoir supprimé le LSP malveillant. Ceci peut avoir pour conséquence que HijackThis identifiera un problème et affichera un avertissement, qui peut être semblable à l'exemple ci-dessus, même si la connexion Internet fonctionne encore. Par conséquent vous devriez demander l'avis d'un assistant expérimenté avant de corriger ces erreurs. Il vous est aussi conseillé d'utiliser LSPFix, voir le lien ci-dessous, pour les corriger.''

Source: https://www.bleepingcomputer.com/tutorials/comment-utiliser-hijackthis/#O10Diag


---------------------------------------------------------------

J'ai cependant oublier de fixer le fichier avec Hijackthis avant de faire OTMOVEIT (quel idiot je suis !)

Je fais ça et t'en redonne de mes nouvelles

Utilisateur anonyme · Answer

ta essayer de rebooter au moins?

Koronis · Answer

Oui, j'avais rebooté et ça marche pas, j'ai restauré le fichier. Merci pour ton aide dorgane, laurent005 m'a redirigé vers d'autre forums.

Si jamais je regle mon probleme, je posterai la solution

Koronis · Answer

J'ai décidé d'essayer quelque chose et mon problème de connection semble réglé...

1. Utiliser OTMoveIt2 pour bouger le fichier  H:\WINDOWS\system32\ou6viewer.dll (Merci à dorgane pour la solution)
Téléchargement: http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe

Méthode:
- Enregistrer sur le bureau, lancer le programme
- S'assurer que la case ''Unregister Dll's and Ocx's'' soit bien cohée
- Copier et coller H:\WINDOWS\system32\ou6viewer.dll dans l'encadré de gauche de OTMoveIt (qui s'intitulle ''Paste   List Of Files/Folders To Move'')
- Cliquer sur MoveIt! Pour lancer la suppression
- Si OTMoveIt propose de redémarrer l'ordinateur, accepter
- Lorsqu'un résultat apparait dans la case de droite (intitullée Results), cliquer Exit
- Le fichier du rapport ce situe sous C:>_OTMoveIt>MovedFiles

(Merci encore à dorgane pour la solution)


Si internet explorer affiche une page ''Serveur introuvable''...
2. Utiliser LSPfix pour réparer l'accès à internet 
''LSPFix est un utilitaire qui permet de corriger les problèmes de connexion internet sur les modules Layered Service Provider (LSP) instable ou mal supprimer''
Téléchargement: http://www.cexx.org/LSPFix.exe

Méthode:
- Enregistrer sur le bureau
- Executer le programme
- Cliquer sur finish, ce qui se trouve dans la case de droite ''Remove'' devrait être supprimé

Bonne chance à tous!

Trojan: Trojan-PSW.Win32.Nilage.ajf

11 réponses

Discussions similaires

Newsletters