Backdoor trojan
yoana02
Messages postés
9
Statut
Membre
-
balltrap34 Messages postés 16241 Statut Contributeur sécurité -
balltrap34 Messages postés 16241 Statut Contributeur sécurité -
Bonjour,
Norton antivirus à jour ne peut ni réparer, ni supprimer le virus Backdoor Trojan dans c\windows\system32\sql.dll
j'ai appliqué la procédure de désactivation de restauration en mode sans échec. J'ai recherché le fichier sql.dll et trouvé un fichier msdasql.dll.
est-ce le même fichier? Puis-je le supprimer sans préjudice pour le reste.
Merci d'avance de votre réponse.
Cordialement.
Yoana
Norton antivirus à jour ne peut ni réparer, ni supprimer le virus Backdoor Trojan dans c\windows\system32\sql.dll
j'ai appliqué la procédure de désactivation de restauration en mode sans échec. J'ai recherché le fichier sql.dll et trouvé un fichier msdasql.dll.
est-ce le même fichier? Puis-je le supprimer sans préjudice pour le reste.
Merci d'avance de votre réponse.
Cordialement.
Yoana
A voir également:
- Backdoor trojan
- Trojan remover - Télécharger - Antivirus & Antimalwares
- Trojan agent ✓ - Forum Virus
- Csrss.exe trojan ✓ - Forum Virus
- [Virus] Trojan ou virus dans csrss.exe et spo - Forum Virus
- Trojan b901 system32 win config 34 ✓ - Forum Virus
45 réponses
Hum, j'ai copié une version incomplète...
Voilà donc mon "output.txt" en intégralité...
--==***@@@ FIND-ALL' VERSION MODIFIED -6/05 @@@***==--
--==***@@@ ORIGINAL BY FREEATLAST @@@***==--
22/07/2004
21:26
System Info:
Microsoft Windows XP [version 5.1.2600]
C: "" (0000:0212) - FS:NTFS clusters:4k
Total: 39 999 500 288 [37G] - Free: 30 042 316 800 [28G]
*IE version and Service packs:
6.0.2800.1106 C:\Program Files\Internet Explorer\Iexplore.exe
*Notepad version :
5.1.2600.0 C:\WINDOWS\system32\notepad.exe
5.1.2600.0 C:\WINDOWS\notepad.exe
*Media Player version :
8.0.0.4490 C:\Program Files\Windows Media Player\wmplayer.exe
! REG.EXE VERSION 2.0
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings
MinorVersion REG_SZ ;SP1;Q832894;Q330994;Q837009;Q831167;Q823353;
Locked or 'Suspect' file(s) found...
These may be other files that Dllfix doesnt target.
\\?\C:\WINDOWS\System32\DCIHFAA.DLL +++ File read error
\\?\C:\WINDOWS\System32\DCIHFAA.DLL +++ File read error
Scanning for main Hijacker:
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"DeviceNotSelectedTimeout"="15"
"GDIProcessHandleQuota"=dword:00002710
"Spooler"="yes"
"swapdisk"=""
"TransmissionRetryTimeout"="90"
"USERProcessHandleQuota"=dword:00002710
"AppInit_DLLs"="C:\\WINDOWS\\System32\\hlp.dll"
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]
@=""
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{02A4652D-D679-4480-8620-62550AD07D4A}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{53707962-6F74-2D53-2644-206D7942484F}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{601DFB36-F9D6-2A98-81A4-2655BE44B64D}]
@=""
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{BDF3E430-B101-42AD-A544-FADC6B084872}]
@="NAV Helper"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{F97993D2-5B93-4FA0-A3EA-2627BC2E6A08}]
REGEDIT4
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter]
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\application/octet-stream]
"CLSID"="{1E66F26B-79EE-11D2-8710-00C04F79ED0D}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\application/x-complus]
"CLSID"="{1E66F26B-79EE-11D2-8710-00C04F79ED0D}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\application/x-msdownload]
"CLSID"="{1E66F26B-79EE-11D2-8710-00C04F79ED0D}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\Class Install Handler]
@="AP Class Install Handler filter"
"CLSID"="{32B533BB-EDAE-11d0-BD5A-00AA00B92AF1}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\deflate]
@="AP Deflate Encoding/Decoding Filter "
"CLSID"="{8f6b0360-b80d-11d0-a9b3-006097942311}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\gzip]
@="AP GZIP Encoding/Decoding Filter "
"CLSID"="{8f6b0360-b80d-11d0-a9b3-006097942311}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\lzdhtml]
@="AP lzdhtml encoding/decoding Filter"
"CLSID"="{8f6b0360-b80d-11d0-a9b3-006097942311}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/html]
"CLSID"="{7E3E84A1-A79D-48E0-BC1B-898199B15B03}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/plain]
"CLSID"="{7E3E84A1-A79D-48E0-BC1B-898199B15B03}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/webviewhtml]
@="WebView MIME Filter"
"CLSID"="{733AC4CB-F1A4-11d0-B951-00A0C90312E1}"
! REG.EXE VERSION 2.0
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
AppInit_Dlls REG_SZ C:\WINDOWS\System32\hlp.dll
*Security settings for 'Windows' key:
RegDACL 5.1 - Permissions Manager for Registry keys for Windows NT 4 and above
Copyright (c) 1999-2001 Frank Heyne Software (http://www.heysoft.de)
This program is Freeware, use it on your own risk!
Access Control List for Registry key hklm\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows:
(ID-NI) ALLOW Read BUILTIN\Utilisateurs
(ID-IO) ALLOW Read BUILTIN\Utilisateurs
(ID-NI) ALLOW Full access BUILTIN\Administrateurs
(ID-IO) ALLOW Full access BUILTIN\Administrateurs
(ID-NI) ALLOW Full access AUTORITE NT\SYSTEM
(ID-IO) ALLOW Full access AUTORITE NT\SYSTEM
(ID-IO) ALLOW Full access CREATEUR PROPRIETAIRE
Effective permissions for Registry key hklm\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows:
Read BUILTIN\Utilisateurs
Full access BUILTIN\Administrateurs
Full access AUTORITE NT\SYSTEM
Voilà donc mon "output.txt" en intégralité...
--==***@@@ FIND-ALL' VERSION MODIFIED -6/05 @@@***==--
--==***@@@ ORIGINAL BY FREEATLAST @@@***==--
22/07/2004
21:26
System Info:
Microsoft Windows XP [version 5.1.2600]
C: "" (0000:0212) - FS:NTFS clusters:4k
Total: 39 999 500 288 [37G] - Free: 30 042 316 800 [28G]
*IE version and Service packs:
6.0.2800.1106 C:\Program Files\Internet Explorer\Iexplore.exe
*Notepad version :
5.1.2600.0 C:\WINDOWS\system32\notepad.exe
5.1.2600.0 C:\WINDOWS\notepad.exe
*Media Player version :
8.0.0.4490 C:\Program Files\Windows Media Player\wmplayer.exe
! REG.EXE VERSION 2.0
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings
MinorVersion REG_SZ ;SP1;Q832894;Q330994;Q837009;Q831167;Q823353;
Locked or 'Suspect' file(s) found...
These may be other files that Dllfix doesnt target.
\\?\C:\WINDOWS\System32\DCIHFAA.DLL +++ File read error
\\?\C:\WINDOWS\System32\DCIHFAA.DLL +++ File read error
Scanning for main Hijacker:
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"DeviceNotSelectedTimeout"="15"
"GDIProcessHandleQuota"=dword:00002710
"Spooler"="yes"
"swapdisk"=""
"TransmissionRetryTimeout"="90"
"USERProcessHandleQuota"=dword:00002710
"AppInit_DLLs"="C:\\WINDOWS\\System32\\hlp.dll"
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]
@=""
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{02A4652D-D679-4480-8620-62550AD07D4A}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{53707962-6F74-2D53-2644-206D7942484F}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{601DFB36-F9D6-2A98-81A4-2655BE44B64D}]
@=""
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{BDF3E430-B101-42AD-A544-FADC6B084872}]
@="NAV Helper"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{F97993D2-5B93-4FA0-A3EA-2627BC2E6A08}]
REGEDIT4
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter]
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\application/octet-stream]
"CLSID"="{1E66F26B-79EE-11D2-8710-00C04F79ED0D}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\application/x-complus]
"CLSID"="{1E66F26B-79EE-11D2-8710-00C04F79ED0D}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\application/x-msdownload]
"CLSID"="{1E66F26B-79EE-11D2-8710-00C04F79ED0D}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\Class Install Handler]
@="AP Class Install Handler filter"
"CLSID"="{32B533BB-EDAE-11d0-BD5A-00AA00B92AF1}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\deflate]
@="AP Deflate Encoding/Decoding Filter "
"CLSID"="{8f6b0360-b80d-11d0-a9b3-006097942311}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\gzip]
@="AP GZIP Encoding/Decoding Filter "
"CLSID"="{8f6b0360-b80d-11d0-a9b3-006097942311}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\lzdhtml]
@="AP lzdhtml encoding/decoding Filter"
"CLSID"="{8f6b0360-b80d-11d0-a9b3-006097942311}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/html]
"CLSID"="{7E3E84A1-A79D-48E0-BC1B-898199B15B03}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/plain]
"CLSID"="{7E3E84A1-A79D-48E0-BC1B-898199B15B03}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/webviewhtml]
@="WebView MIME Filter"
"CLSID"="{733AC4CB-F1A4-11d0-B951-00A0C90312E1}"
! REG.EXE VERSION 2.0
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
AppInit_Dlls REG_SZ C:\WINDOWS\System32\hlp.dll
*Security settings for 'Windows' key:
RegDACL 5.1 - Permissions Manager for Registry keys for Windows NT 4 and above
Copyright (c) 1999-2001 Frank Heyne Software (http://www.heysoft.de)
This program is Freeware, use it on your own risk!
Access Control List for Registry key hklm\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows:
(ID-NI) ALLOW Read BUILTIN\Utilisateurs
(ID-IO) ALLOW Read BUILTIN\Utilisateurs
(ID-NI) ALLOW Full access BUILTIN\Administrateurs
(ID-IO) ALLOW Full access BUILTIN\Administrateurs
(ID-NI) ALLOW Full access AUTORITE NT\SYSTEM
(ID-IO) ALLOW Full access AUTORITE NT\SYSTEM
(ID-IO) ALLOW Full access CREATEUR PROPRIETAIRE
Effective permissions for Registry key hklm\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows:
Read BUILTIN\Utilisateurs
Full access BUILTIN\Administrateurs
Full access AUTORITE NT\SYSTEM
salut piternor
je te promet rien il devienne de plus en plus dur a virer
on vas tenter
-Relance "dllfix.exe" du début. Cette fois-ci option "2 : run fix"
Sous menu "1- Enter dll name..."
Tu rentres le nom : C:\WINDOWS\System32\DCIHFAA.DLL
Touche entrée.
-Il va la chercher et la supprimer après un redémarrage.
-Passer CoolWebSchredder : ->Fix.
-Passer AdAware et supprimer tout ce qu'il trouvera.
(Passer CWS et AdAware impérativement, même si ça a été fait avant!)
voici les lien des 2 log a telecharger avant
CWShredder
http://www.spywareinfo.com/~merijn/downloads.html
il faut l'ouvrir (absolument) toutes fenêtres fermées et hors connexion et faire fix- next - next
-----------------------------
http://www.ordi-netfr.org/tutorialadaware.html
la chasse et le balltrap ma vrai passion
voir site perso dans profil
je te promet rien il devienne de plus en plus dur a virer
on vas tenter
-Relance "dllfix.exe" du début. Cette fois-ci option "2 : run fix"
Sous menu "1- Enter dll name..."
Tu rentres le nom : C:\WINDOWS\System32\DCIHFAA.DLL
Touche entrée.
-Il va la chercher et la supprimer après un redémarrage.
-Passer CoolWebSchredder : ->Fix.
-Passer AdAware et supprimer tout ce qu'il trouvera.
(Passer CWS et AdAware impérativement, même si ça a été fait avant!)
voici les lien des 2 log a telecharger avant
CWShredder
http://www.spywareinfo.com/~merijn/downloads.html
il faut l'ouvrir (absolument) toutes fenêtres fermées et hors connexion et faire fix- next - next
-----------------------------
http://www.ordi-netfr.org/tutorialadaware.html
la chasse et le balltrap ma vrai passion
voir site perso dans profil
Bonsoir balltrap,
un seul mot: MERCI!
Tes coseils du message 23 ont portés leurs fruits, le trojan est mort de sa belle mort.
Désolé de ne pas t'avoir remercié hier soir mais je n'arrivais pas à me connecter au forum que ce soit par mon raccourci ou bien par CCM, etc..., je n'ai toujours pas compris pourquoi; en désespoir de cause j'ai fait d'autres forum de discussions sur le même sujet (c'est fou ce qu'il ya de PC infectés et de personnes em...); et sur le forum "infos du net.com" je suis tombé sur un pseudo "torgnol" qui vantait un dénommé balltrap...... en donnant ta solution et apparemment cela a bien marché pour d'autres pseudos de ce forum. Je me demande s'il ne faudrait pas que tu émarges chez symantec, cela augmenterai leur efficacité.
Je vais leur envoyer un mail en leur disant tout le bien que je pense sur le fait de payer un anti virus qui n'est pas capable de nous aider dans ces situations, sans parler de leur solution en ligne.
J'ai discuté avec un copain informaticien, qui a bien essayé de m'aider mais sans succés, vu la longueur de sa machoire inférieure quand je lui ai dis ta solution, il devait être impressioné.
Ceci dit bonne chance aux autres "infectés" et bonne chasse à toi. Je garde un "favori"pour ce forum (on ne sait jamais) malgré mon firewall, antivirus, ADaware, CWS, ... j'oublie mes gants de chirurgien pour tapoter sur mon clavier.
Grand merci encore.
jc31
un seul mot: MERCI!
Tes coseils du message 23 ont portés leurs fruits, le trojan est mort de sa belle mort.
Désolé de ne pas t'avoir remercié hier soir mais je n'arrivais pas à me connecter au forum que ce soit par mon raccourci ou bien par CCM, etc..., je n'ai toujours pas compris pourquoi; en désespoir de cause j'ai fait d'autres forum de discussions sur le même sujet (c'est fou ce qu'il ya de PC infectés et de personnes em...); et sur le forum "infos du net.com" je suis tombé sur un pseudo "torgnol" qui vantait un dénommé balltrap...... en donnant ta solution et apparemment cela a bien marché pour d'autres pseudos de ce forum. Je me demande s'il ne faudrait pas que tu émarges chez symantec, cela augmenterai leur efficacité.
Je vais leur envoyer un mail en leur disant tout le bien que je pense sur le fait de payer un anti virus qui n'est pas capable de nous aider dans ces situations, sans parler de leur solution en ligne.
J'ai discuté avec un copain informaticien, qui a bien essayé de m'aider mais sans succés, vu la longueur de sa machoire inférieure quand je lui ai dis ta solution, il devait être impressioné.
Ceci dit bonne chance aux autres "infectés" et bonne chasse à toi. Je garde un "favori"pour ce forum (on ne sait jamais) malgré mon firewall, antivirus, ADaware, CWS, ... j'oublie mes gants de chirurgien pour tapoter sur mon clavier.
Grand merci encore.
jc31
salut g le mm prob sauf que mon fichier est sous le nom resa.dll, ( c:\winnt\system32\resa.dll
Malgré tous mes essais ca n'a tjrs rien donné, on dirait kle fichier n'existe mm pas pourtant norton me flood. Je laiss donc les résultats de dllfix en précisant que qd jlé fait ca ma mit un message du genre: "error: The system was unable to find the specifiedregistry key or value" et ca mla floodé meme.
Merci d'avance pour l'aide qu'on pourra m'apporter.
--==***@@@ FIND-ALL' VERSION MODIFIED -6/05 @@@***==--
--==***@@@ ORIGINAL BY FREEATLAST @@@***==--
jeu. 22/07/2004
22:52
System Info:
Microsoft Windows 2000 [Version 5.00.2195]
C: "" (102E:6722) - FS:NTFS clusters:4k
Total: 81 948 430 336 [76G] - Free: 26 078 568 448 [24G]
*IE version and Service packs:
6.0.2800.1106 C:\Program Files\Internet Explorer\Iexplore.exe
*Notepad version :
5.0.2140.1 C:\WINNT\system32\notepad.exe
5.0.2140.1 C:\WINNT\notepad.exe
*Media Player version :
9.0.0.2980 C:\Program Files\Windows Media Player\wmplayer.exe
! REG.EXE VERSION 2.0
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings
MinorVersion REG_SZ ;SP1;Q813489;
Locked or 'Suspect' file(s) found...
These may be other files that Dllfix doesnt target.
\\?\C:\WINNT\System32\RESA.DLL +++ File read error
\\?\C:\WINNT\System32\RESA.DLL +++ File read error
Scanning for main Hijacker:
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]
@=""
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{0F298FE2-27A6-4DE2-9AA3-6E8119AF9FCF}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{53707962-6F74-2D53-2644-206D7942484F}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{BDF3E430-B101-42AD-A544-FADC6B084872}]
@="NAV Helper"
REGEDIT4
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter]
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\Class Install Handler]
@="AP Class Install Handler filter"
"CLSID"="{32B533BB-EDAE-11d0-BD5A-00AA00B92AF1}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\deflate]
@="AP Deflate Encoding/Decoding Filter "
"CLSID"="{8f6b0360-b80d-11d0-a9b3-006097942311}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\gzip]
@="AP GZIP Encoding/Decoding Filter "
"CLSID"="{8f6b0360-b80d-11d0-a9b3-006097942311}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\lzdhtml]
@="AP lzdhtml encoding/decoding Filter"
"CLSID"="{8f6b0360-b80d-11d0-a9b3-006097942311}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/webviewhtml]
@="Filtre MIME de l'afficheur Web"
"CLSID"="{733AC4CB-F1A4-11d0-B951-00A0C90312E1}"
*Security settings for 'Windows' key:
RegDACL 5.1 - Permissions Manager for Registry keys for Windows NT 4 and above
Copyright (c) 1999-2001 Frank Heyne Software (http://www.heysoft.de)
This program is Freeware, use it on your own risk!
Can't open Registry key hklm\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows:
2 - Le fichier sp‚cifi‚ est introuvable.
Malgré tous mes essais ca n'a tjrs rien donné, on dirait kle fichier n'existe mm pas pourtant norton me flood. Je laiss donc les résultats de dllfix en précisant que qd jlé fait ca ma mit un message du genre: "error: The system was unable to find the specifiedregistry key or value" et ca mla floodé meme.
Merci d'avance pour l'aide qu'on pourra m'apporter.
--==***@@@ FIND-ALL' VERSION MODIFIED -6/05 @@@***==--
--==***@@@ ORIGINAL BY FREEATLAST @@@***==--
jeu. 22/07/2004
22:52
System Info:
Microsoft Windows 2000 [Version 5.00.2195]
C: "" (102E:6722) - FS:NTFS clusters:4k
Total: 81 948 430 336 [76G] - Free: 26 078 568 448 [24G]
*IE version and Service packs:
6.0.2800.1106 C:\Program Files\Internet Explorer\Iexplore.exe
*Notepad version :
5.0.2140.1 C:\WINNT\system32\notepad.exe
5.0.2140.1 C:\WINNT\notepad.exe
*Media Player version :
9.0.0.2980 C:\Program Files\Windows Media Player\wmplayer.exe
! REG.EXE VERSION 2.0
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings
MinorVersion REG_SZ ;SP1;Q813489;
Locked or 'Suspect' file(s) found...
These may be other files that Dllfix doesnt target.
\\?\C:\WINNT\System32\RESA.DLL +++ File read error
\\?\C:\WINNT\System32\RESA.DLL +++ File read error
Scanning for main Hijacker:
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]
@=""
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{0F298FE2-27A6-4DE2-9AA3-6E8119AF9FCF}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{53707962-6F74-2D53-2644-206D7942484F}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{BDF3E430-B101-42AD-A544-FADC6B084872}]
@="NAV Helper"
REGEDIT4
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter]
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\Class Install Handler]
@="AP Class Install Handler filter"
"CLSID"="{32B533BB-EDAE-11d0-BD5A-00AA00B92AF1}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\deflate]
@="AP Deflate Encoding/Decoding Filter "
"CLSID"="{8f6b0360-b80d-11d0-a9b3-006097942311}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\gzip]
@="AP GZIP Encoding/Decoding Filter "
"CLSID"="{8f6b0360-b80d-11d0-a9b3-006097942311}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\lzdhtml]
@="AP lzdhtml encoding/decoding Filter"
"CLSID"="{8f6b0360-b80d-11d0-a9b3-006097942311}"
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/webviewhtml]
@="Filtre MIME de l'afficheur Web"
"CLSID"="{733AC4CB-F1A4-11d0-B951-00A0C90312E1}"
*Security settings for 'Windows' key:
RegDACL 5.1 - Permissions Manager for Registry keys for Windows NT 4 and above
Copyright (c) 1999-2001 Frank Heyne Software (http://www.heysoft.de)
This program is Freeware, use it on your own risk!
Can't open Registry key hklm\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows:
2 - Le fichier sp‚cifi‚ est introuvable.
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question
salut ldo
je ne suis pas sur que cela marche avec 2000 mais tente le coup et passe obligatoirement les 2 log qui suivent
-Relance "dllfix.exe" du début. Cette fois-ci option "2 : run fix"
Sous menu "1- Enter dll name..."
Tu rentres le nom : C:\WINNT\System32\RESA.DLL
Touche entrée.
-Il va la chercher et la supprimer après un redémarrage.
-Passer CoolWebSchredder : ->Fix.
-Passer AdAware et supprimer tout ce qu'il trouvera.
(Passer CWS et AdAware impérativement, même si ça a été fait avant!)
voici les lien des 2 log a telecharger avant
CWShredder
http://www.spywareinfo.com/~merijn/downloads.html
il faut l'ouvrir (absolument) toutes fenêtres fermées et hors connexion et faire fix- next - next
-----------------------------
http://www.ordi-netfr.org/tutorialadaware.html
la chasse et le balltrap ma vrai passion
voir site perso dans profil
je ne suis pas sur que cela marche avec 2000 mais tente le coup et passe obligatoirement les 2 log qui suivent
-Relance "dllfix.exe" du début. Cette fois-ci option "2 : run fix"
Sous menu "1- Enter dll name..."
Tu rentres le nom : C:\WINNT\System32\RESA.DLL
Touche entrée.
-Il va la chercher et la supprimer après un redémarrage.
-Passer CoolWebSchredder : ->Fix.
-Passer AdAware et supprimer tout ce qu'il trouvera.
(Passer CWS et AdAware impérativement, même si ça a été fait avant!)
voici les lien des 2 log a telecharger avant
CWShredder
http://www.spywareinfo.com/~merijn/downloads.html
il faut l'ouvrir (absolument) toutes fenêtres fermées et hors connexion et faire fix- next - next
-----------------------------
http://www.ordi-netfr.org/tutorialadaware.html
la chasse et le balltrap ma vrai passion
voir site perso dans profil
salut balltrap34
j'ai suivi les instructions, mais rien a faire l'alerte norton reapparait
meme apres plusieurs passage
voici le texte apres avoir utiliser ddfix :
CWSDLL/Searchx Appinit Fix By Shadowwar
Version 3.01 060504
Please Do not mirror Without Permission!
I can be contacted at spywaresubmit at aol.com
22/07/2004
18:55
Backing up Registry Hive
L'opération s'est bien déroulée
Deleting Windows Key
L'opération s'est bien déroulée
Adding Test Windows Key
L'opération s'est bien déroulée
Restoring temp Values Key
L'opération s'est bien déroulée
Deleting Bad Appinit Value
L'opération s'est bien déroulée
Backup of Modified Hiv
L'opération s'est bien déroulée
Deleting test Windows key
L'opération s'est bien déroulée
Deleting Filter text
Running from C:\Documents and Settings\STANDARD\Bureau\dllfix
Scanning for Locked File
If this repeats 4 times than you may have another
Locked File not related to About:blank Hijack
Scanning For main hijacker.
Processing File Manually
C:\WINDOWS\system32\D3DHJN.DLL
Md5 Check of C:\WINDOWS\system32\D3DHJN.DLL
Md5 tested As
File was found but md5 didnt match
MD5 was:
Resetting file attributes
Processing ACL of: <\\?\C:\WINDOWS\system32\D3DHJN.DLL>
SetACL finished successfully.
File was zipped for submission to Shadowwar
File is located at C:\Documents and Settings\STANDARD\Bureau\dllfix\submit.zip
please Email a copy to spywaresubmit at aol.com
Please include a link to your post.
File is still in original location now unlocked.
It is now ok to proceed with Rest of Cleanup.
Adding Back Windows Key
L'opération s'est bien déroulée
Restoring Registry Hive
L'opération s'est bien déroulée
Restoring Cleaned Appinit Value
L'opération s'est bien déroulée
qu'en penses tu ?
j'ai suivi les instructions, mais rien a faire l'alerte norton reapparait
meme apres plusieurs passage
voici le texte apres avoir utiliser ddfix :
CWSDLL/Searchx Appinit Fix By Shadowwar
Version 3.01 060504
Please Do not mirror Without Permission!
I can be contacted at spywaresubmit at aol.com
22/07/2004
18:55
Backing up Registry Hive
L'opération s'est bien déroulée
Deleting Windows Key
L'opération s'est bien déroulée
Adding Test Windows Key
L'opération s'est bien déroulée
Restoring temp Values Key
L'opération s'est bien déroulée
Deleting Bad Appinit Value
L'opération s'est bien déroulée
Backup of Modified Hiv
L'opération s'est bien déroulée
Deleting test Windows key
L'opération s'est bien déroulée
Deleting Filter text
Running from C:\Documents and Settings\STANDARD\Bureau\dllfix
Scanning for Locked File
If this repeats 4 times than you may have another
Locked File not related to About:blank Hijack
Scanning For main hijacker.
Processing File Manually
C:\WINDOWS\system32\D3DHJN.DLL
Md5 Check of C:\WINDOWS\system32\D3DHJN.DLL
Md5 tested As
File was found but md5 didnt match
MD5 was:
Resetting file attributes
Processing ACL of: <\\?\C:\WINDOWS\system32\D3DHJN.DLL>
SetACL finished successfully.
File was zipped for submission to Shadowwar
File is located at C:\Documents and Settings\STANDARD\Bureau\dllfix\submit.zip
please Email a copy to spywaresubmit at aol.com
Please include a link to your post.
File is still in original location now unlocked.
It is now ok to proceed with Rest of Cleanup.
Adding Back Windows Key
L'opération s'est bien déroulée
Restoring Registry Hive
L'opération s'est bien déroulée
Restoring Cleaned Appinit Value
L'opération s'est bien déroulée
qu'en penses tu ?
re-bonjour
c'est a devenir fou :
je lance dllfix, redemarre le pc hors connexion et le message d'alerte norton n'apparait pas (alors qu'hier le message apparaisait tres rapidement).
je me connecte, sur spywareinfo, charge CWS, me deconnecte, ferme les fenetres, lance CWS : toujours pas d'alerte.
puis je lance AdAware (toujours hors connexion) et quand il examine SYSTEM32, un message d'alerte BACKDOOR TROJAN apparait et AdAware trouve un fichier "tracking cookie type data miner"
as-tu une idee ? merci
c'est a devenir fou :
je lance dllfix, redemarre le pc hors connexion et le message d'alerte norton n'apparait pas (alors qu'hier le message apparaisait tres rapidement).
je me connecte, sur spywareinfo, charge CWS, me deconnecte, ferme les fenetres, lance CWS : toujours pas d'alerte.
puis je lance AdAware (toujours hors connexion) et quand il examine SYSTEM32, un message d'alerte BACKDOOR TROJAN apparait et AdAware trouve un fichier "tracking cookie type data miner"
as-tu une idee ? merci
salut
retente dllfix avec les 2 facon de l ecrire
la chasse et le balltrap ma vrai passion
voir site perso dans profil
retente dllfix avec les 2 facon de l ecrire
la chasse et le balltrap ma vrai passion
voir site perso dans profil
Deux remarques concernant ce Trojan:
1. Je ne sais pas si c'est lié, mais j'ai aussi un sérieux problème avec NOTEPAD;
2 . Et de plus en plus de difficultés à naviguer (pages qui ne s'ouvrent pas etc...)
1. Je ne sais pas si c'est lié, mais j'ai aussi un sérieux problème avec NOTEPAD;
2 . Et de plus en plus de difficultés à naviguer (pages qui ne s'ouvrent pas etc...)
REMARQUE d'un autre ordre:
Je crois que le trojan qui nous affecte tous est "ancien" (un mois et demi) et a plusieurs noms pour symantec (Backdoor.Trojan ou Backdoor.Agent.BA). Des internautes en palait déjà le 10 juin dernier sur ce lien:
http://www.computing.net/security/wwwboard/forum/12255.html
NORTON, apparemment le seul au courant du problème Backdoor, n'a pas de solution. C'est du moins ce que m'a dit le technicien de Symantec (après avoit tenté de me facturer 69,90 euros!!!!). La question c'est:
SI SYMANTEC est au courant qu'il y a un TROJAN très coriace sur le réseau depuis un mois et demi, si ce TROJAN est même à l'huere actuelle impossible à éradiquer (sauf pour Balltrap qui est manifestement un génie de l'informatqiue), pourquoi ils n'ont rien dit à personne ??!!!! Vous trouvez ça normal, vous?
Je crois que le trojan qui nous affecte tous est "ancien" (un mois et demi) et a plusieurs noms pour symantec (Backdoor.Trojan ou Backdoor.Agent.BA). Des internautes en palait déjà le 10 juin dernier sur ce lien:
http://www.computing.net/security/wwwboard/forum/12255.html
NORTON, apparemment le seul au courant du problème Backdoor, n'a pas de solution. C'est du moins ce que m'a dit le technicien de Symantec (après avoit tenté de me facturer 69,90 euros!!!!). La question c'est:
SI SYMANTEC est au courant qu'il y a un TROJAN très coriace sur le réseau depuis un mois et demi, si ce TROJAN est même à l'huere actuelle impossible à éradiquer (sauf pour Balltrap qui est manifestement un génie de l'informatqiue), pourquoi ils n'ont rien dit à personne ??!!!! Vous trouvez ça normal, vous?
Bon Balltrap, je pense avoir suivi scrupuleusement ta procédure, qui s'est d'ailleurs très bien déroulée. Hélas, la fenêtre de Norton est toujours là, et bien là... Et quand je relance ta manip, dllfix me répond : "erreur. le système n'a pu trouver la valeur ou la clé de registre spécifiée." Cela signifie t-il que ce maudit trojan aurait malgré tout disparu ?
Jte demande ça au cas où, car pour moi, tout ça, c'est du chinois...
Merci en tous cas pour ta disponibilité. Tu vas devenir un héros ici !
Jte demande ça au cas où, car pour moi, tout ça, c'est du chinois...
Merci en tous cas pour ta disponibilité. Tu vas devenir un héros ici !
salut
vas voir la si tu ne trouve pas cette dll des fois
Pour désinstaller le " réinstalleur " secret, faites ceci :
Démarrer->exécuter-> taper regedit
Naviguez à : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
Surlignez Windows dans le panneau de gauche.
Cherchez dans le panneau droit : AppInit_Dlls
la chasse et le balltrap ma vrai passion
voir site perso dans profil
vas voir la si tu ne trouve pas cette dll des fois
Pour désinstaller le " réinstalleur " secret, faites ceci :
Démarrer->exécuter-> taper regedit
Naviguez à : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
Surlignez Windows dans le panneau de gauche.
Cherchez dans le panneau droit : AppInit_Dlls
la chasse et le balltrap ma vrai passion
voir site perso dans profil
J'ai aussi profiter de ces conseils - ca marche tres bien, ca m'as fait eviter de reinstaller le systeme d'un collegue.
C'est quand meme une des rares situation ou symantec AV ne fait rien - mais il le detecte quand meme...
Merci a balltrap !
C'est quand meme une des rares situation ou symantec AV ne fait rien - mais il le detecte quand meme...
Merci a balltrap !
Salut
j'ai le mem message que piternor lorsque je lance dllfix :
"erreur. le système n'a pu trouver la valeur ou la clé de registre spécifiée"
le fichier d3dhjn.dll est present dans l'explorateur : C:\WINDOWS\system32\d3dhjn.dll
mais impossible a supprimer avec Suppr
que faire ?
j'ai le mem message que piternor lorsque je lance dllfix :
"erreur. le système n'a pu trouver la valeur ou la clé de registre spécifiée"
le fichier d3dhjn.dll est present dans l'explorateur : C:\WINDOWS\system32\d3dhjn.dll
mais impossible a supprimer avec Suppr
que faire ?
Salut balltrap,
j'ai suivi tes conseil pour supprimer le backdoor qui me pourrissait la vie depuis une semaine et m'en suis debarassée en quelques minutes. Un grand merci. Il m'a suffit d'adapter ta solution à mon fichier sql.dll et voilà plus de backdoor.
Merci pour tes conseils tu est mon sauveur!
j'ai suivi tes conseil pour supprimer le backdoor qui me pourrissait la vie depuis une semaine et m'en suis debarassée en quelques minutes. Un grand merci. Il m'a suffit d'adapter ta solution à mon fichier sql.dll et voilà plus de backdoor.
Merci pour tes conseils tu est mon sauveur!
Salut Balltrap, si tu as encore un peu de temps et d'énergie à me consacrer, jvoulais juste te signaler que mon backdoor.trojan s'était mué en "trojan.bookmarker.Gen"... J'ai vu que t'as soulagé beaucoup de monde, moi j'ai ptet merdé qq part, toujours est-il que jsuis pas tiré d'affaire...! Franck aussi, visiblement. Que me conseillerais-tu ? Recommencer la même manip ? merci d'avance
