Problème de Trojan récurrent

Question

Bonjour à tous !
J'ai l'ADSL depuis pas longtemps, et évidemment, je me suis choppé des virus !
Mais j'ai un problême depuis quatre jours :
Quand je démarre mon PC et que je clique sur Internet Explorer, au lieu d'arriver sur wanadoo, ma page de démarrage, j'arrive sur celle-ci : http://dka.directwebsearch.net/index.php
Illico, mon antivirus (Norton) me dit qu'un trojan a été trouvé dans un fichier temporaire internet. J'ai le choix entre Continuer, Exclure, Supprimer, Reparer. Je ne peux pas réparer, alors je supprime. Puis, juste après, le site (dka) m'ouvre une fenêtre marquant : "voulez-vous installer...". Je clique sur non. Une fenêtre apparaît pour me dire de cliquer sur oui. Si je ferme cette fenêtre, j'ai à nouveau l'alerte de virus, et le site (dka) me rebalance la fenêtre "voulez-vous installer...", etc, etc...
Pour tout couper, je dois passer en mode hors connexion pour aller sur une autre page web.
Ce que j'ai tenté de faire:
1.Je suis allé dans Outils, Options Internet, et j'ai remis ma page de démarrage wanadoo. Cependant, dès que j'éteins et je redémarre mon PC, la page de démarrage est à nouveau : dka...
2.Je fais une mise à jour de windows et de mon antivirus : rien. Pas de virus, et j'ai toujours le problème.
3.J'ai utilisé nettoyage de dique dur pour dégager tous les fichiers temporaires, et j'ai utilisé Norton Uninstall Deluxe pour supprimer tous les cookies et fichiers temporaires internet. Aucune amélioration.
4.J'ai téléchargé ad-aware 6.0 et j'ai scanné mon disque dur. Il m'a supprimé 220 fichiers. Que dalle, le problème est toujours là.

Voilà, voilà. Est ce que vous pouvez me filer un coup de main?
D'avance merci.
P.S. Je précise que j'ai zone alarm comme firewall.

Badger · Answer

salut,essaye spybot comme anti spyware..télécharge hijackthis, "scan" "save log" et poste le résultat à la suite de ce message...http://www.mjc1.com/files/merijn/hijackthis.zip

François · Answer

J'imagine qu'il faut que je supprime les applications liées à dka?

darkcrystal33 · Answer

a fixer==>

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://dka.directwebsearch.net/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://dka.directwebsearch.net/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://dka.directwebsearch.net/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://dka.directwebsearch.net/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://dka.directwebsearch.net/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://dka.directwebsearch.net/search.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://dka.directwebsearch.net/index.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://dka.directwebsearch.net/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://dka.directwebsearch.net/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://dka.directwebsearch.net/search.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://dka.directwebsearch.net/search.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://dka.directwebsearch.net/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer,Search = http://dka.directwebsearch.net/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer,Search = http://dka.directwebsearch.net/search.php

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\WANADOO\SEARCH~1.DLL

François · Answer

Malheureusement, même en effaçant les fichiers (merci quand même, darkcrystal33!) , j'ai toujours le même problême : dka en page de démarrage.
Par contre, j'ai remarqué un truc : dès que j'allume mon PC, 1.j'arrive sur Windows, 2.le programme de protection automatique de Norton se lance, 3.les icones s'affichent, et 4.d'autres programmes se lancent : mon modem, mon imprimante, le contrôle du volume, l'espace wanadoo et zone alarm. Jusque là, OK.
J'ai remarqué, en cliquant sur "propriétés" après un clic-droit sur internet explorer avant le 4., que wanadoo est en page de démarrage, puis juste après le 4., j'ai à nouveau dka.
Le virus doit s'activer pendant le 4.
Qu'est ce que je peux faire ?
Voilà le log de Hijack :
Logfile of HijackThis v1.97.7
Scan saved at 20:19:37, on 09/07/04
Platform: Windows 98 Gold (Win9x 4.10.1998)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\ZONELABS\VSMON.EXE
C:\PROGRAM FILES\NORTON ANTIVIRUS\NAVAPW32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\MOUSE\SYSTEM\EM_EXEC.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\MEDIASCAPE\MULTIMEDIA KEYBOARD\MMKEYBD.EXE
C:\MEDIASCAPE\ONSCREEN DISPLAY\OSD.EXE
C:\WINDOWS\SYSTEM\HPZTSB04.EXE
C:\WINDOWS\LOADQM.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\LVCOMS.EXE
C:\PROGRAM FILES\FICHIERS COMMUNS\REAL\UPDATE_OB\REALSCHED.EXE
C:\PROGRAM FILES\WANADOO\CNXMON.EXE
C:\PROGRAM FILES\THOMSON\SPEEDTOUCH USB\DRAGDIAG.EXE
C:\PROGRAM FILES\WANADOO\TASKBARICON.EXE
C:\PROGRAM FILES\ZONE LABS\ZONEALARM\ZAPRO.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\PROGRAM FILES\WANADOO\ESPACEWANADOO.EXE
C:\PROGRAM FILES\WANADOO\COMCOMP.EXE
C:\PROGRAM FILES\WANADOO\WATCH.EXE
C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE
C:\MES DOCUMENTS\DOSSIER FRANçOIS\HIJACKTHIS\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://dka.directwebsearch.net/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wanadoo.fr/go/page_recherche/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://dka.directwebsearch.net/search.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://dka.directwebsearch.net/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://dka.directwebsearch.net/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://dka.directwebsearch.net/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://dka.directwebsearch.net/search.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://dka.directwebsearch.net/index.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://dka.directwebsearch.net/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://dka.directwebsearch.net/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://dka.directwebsearch.net/search.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://dka.directwebsearch.net/search.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://dka.directwebsearch.net/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R1 - HKCU\Software\Microsoft\Internet Explorer,Search = http://dka.directwebsearch.net/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer,Search = http://dka.directwebsearch.net/search.php
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRAM FILES\FLASHGET\JCCATCH.DLL
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRAM FILES\FLASHGET\FGIEBAR.DLL
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [ScanRegistry] c:\windows\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] c:\windows\taskmon.exe
O4 - HKLM\..\Run: [EM_EXEC] c:\mouse\system\em_exec.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [Multimedia Keyboard] C:\Mediascape\Multimedia Keyboard\MMKeybd.exe
O4 - HKLM\..\Run: [OnScreen Display] C:\Mediascape\OnScreen Display\OSD.exe
O4 - HKLM\..\Run: [Norton Auto-Protect] C:\PROGRA~1\NORTON~1\NAVAPW32.EXE /LOADQUIET
O4 - HKLM\..\Run: [NInit] C:\Program Files\Norton Uninstall Deluxe\NINIT.EXE
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\SYSTEM\hpztsb04.exe
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\Run: [DXM6Patch_981116] C:\WINDOWS\p_981116.exe /Q:A
O4 - HKLM\..\Run: [LVComs] c:\windows\SYSTEM\LVComS.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\WANADOO\CnxMon.exe
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\WANADOO\Watch.exe
O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRAM FILES\WANADOO\taskbaricon.exe
O4 - HKLM\..\Run: [winupd] C:\WINDOWS\SYSTEM\winupd.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [TrueVector] C:\WINDOWS\SYSTEM\ZONELABS\VSMON.EXE -service
O4 - Startup: Microsoft Recherche accélérée.lnk = C:\Program Files\Microsoft Office\OFFICE\FINDFAST.EXE
O4 - Global Startup: ZoneAlarm Pro.lnk = C:\Program Files\Zone Labs\ZoneAlarm\zapro.exe
O8 - Extra context menu item: Télécharger en utilisant FlashGet - C:\PROGRAM FILES\FLASHGET\jc_link.htm
O8 - Extra context menu item: Tout télécharger en utilisant FlashGet - C:\PROGRAM FILES\FLASHGET\jc_all.htm
O8 - Extra context menu item: &Google Search - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR1.DLL/cmsearch.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR1.DLL/cmcache.html
O8 - Extra context menu item: Si&milar Pages - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR1.DLL/cmsimilar.html
O8 - Extra context menu item: Backward &Links - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR1.DLL/cmbacklinks.html
O9 - Extra button: FlashGet (HKLM)
O9 - Extra 'Tools' menuitem: &FlashGet (HKLM)
O9 - Extra button: Wanadoo (HKCU)
O11 - Options group: [Accessibilité] Accessibilité
O12 - Plugin for .mov: C:\Program Files\Netscape\Communicator\Program\PLUGINS\NPQTW32.DLL
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/ansi/iuctl.CAB?38166.1047453704
O16 - DPF: {6B4788E2-BAE8-11D2-A1B4-00400512739B} (PWMediaSendControl Class) - http://216.249.24.142/code/PWActiveXImgCtl.CAB
O16 - DPF: {05D96F71-87C6-11D3-9BE4-00902742D6E0} (QuickPlace Class) - http://www.mayeticvillage.fr/qp2.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex/EPSControl_v1-32.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/19cec2af6a8d20923305/netzip/RdxIE601_fr.cab

balltrap34 · Answer

Salut
Relance hijack et coche et fix toutes ces lignes

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://dka.directwebsearch.net/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://dka.directwebsearch.net/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://dka.directwebsearch.net/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://dka.directwebsearch.net/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://dka.directwebsearch.net/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://dka.directwebsearch.net/search.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://dka.directwebsearch.net/index.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://dka.directwebsearch.net/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://dka.directwebsearch.net/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://dka.directwebsearch.net/search.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://dka.directwebsearch.net/search.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://dka.directwebsearch.net/search.php
R1 - HKCU\Software\Microsoft\Internet Explorer,Search = http://dka.directwebsearch.net/search.php
R1 - HKLM\Software\Microsoft\Internet Explorer,Search = http://dka.directwebsearch.net/search.php
O4 - HKLM\..\Run: [winupd] C:\WINDOWS\SYSTEM\winupd.exe

la chasse et le balltrap ma vrai passion
http://pageperso.aol.fr/balltrap34/page1.html

François · Answer

Non, toujours aucun effet...:(

BmV · Answer

Salut.

1 - les "virus" détectés sous les noms de "backdoor.xxxx" ou de "trojan.xxxx" ou de "troj.xxxx" ne sont pas vraiment des virus mais des chevaux de troie (lire => http://www.commentcamarche.net/virus/trojan.php3) dont les antivirus traditionnels ont presque toujours du mal à se débarrasser ; ils ne sont en principe pas destructifs. Il ne suffit pas de les éradiquer, il faut surtout les empêcher de revenir !

2 - un logiciel facile, gratos et efficace pour en virer certains est SpybotS&d, avec notamment une version française, disponible ici http://sebsauvage.net/logiciels/spybotsd.html ou TheCleaner ici http://www.moosoft.com/thecleaner/ ou encore http://www.kephyr.com/spywarescanner/index.html ; tu peux aussi commencer par un scan anti-troyens ici http://assiste.free.fr/p/frameset/03_06.php ; beaucoup d'outils intéressants aussi.

3 - Important : l'installation d'un firewall http://www.commentcamarche.net/lan/firewall.php3 pour limiter ce genre de soucis est absolument indispensable ; large choix ici => http://www.firewall-net.com/fr/

4 - lire aussi, et dès que possible, la page "SafeHex" sur ce site http://sebsauvage.net/ et ... appliquer ce qui y est conseillé !!!

A+

-=O(_BmV_)O=- L'amour comme épée,
|| || l'humour comme bouclier.

vado · Answer

Salut François,

Tu es déjà infecté par le ver W32/Bagle-N

http://www.sophos.fr/virusinfo/analyses/w32baglen.html

puis par le trojan : Troj/StartPa-BR

http://www.sophos.fr/virusinfo/analyses/trojstartpabr.html

annalyse en ligne ton pc avec GFItrojan-scan

http://assiste.free.fr/p/frameset/03_06.php

puis avec

http://assiste.free.fr/p/frameset/03.php

Allez François au boulot

François · Answer

Merci vado ! Maintenant je sais ce qui infecte mon PC...
Cependant GFItrojan-scan ne détecte rien...Je vais essayer avecSpybotS&d, on verra bien. Merci pour l'info, BmV.
Je vous tiens au courant.

Encore merci à tous !
:)

François · Answer

Spybot m'a trouvé et corrigé les trucs suivants :
CoolWWWSearch
Alexa Related
Avenue A, Inc.
BDE Projector
DownloadWare
DSO Exploit
DyFuCA
Gator
Hacker.ag
Statblaster.All files7
UCmore
Unknow dans HKEY_USERS\.DEFAULT\Software\kgcs
VX2/f

Ensuite, j'ai remarqué que ma page de démarrage reste enfin la même (wanadoo). J'espère pouvoir en conclure que le trojan est éradiqué...
Par contre, pour le ver, j'en ai aucune idée...
J'ai refait hijackthis, et j'ai réparé la ligne suivante qui était ré-apparu :
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://dka.directwebsearch.net/search.php

J'espère ne pas avoir fait de bêtises...:(
Pensez-vous que mon système est sain ?

P.S.Encore un grand merci à tous ceux qui ont pris la peine de me répondre.
Sinon, je voudrais savoir : comment désinstaller Outlook Express ?

Problème de Trojan récurrent

10 réponses

Discussions similaires

Newsletters