Infection avec un trojan win32\Agent.okdRésolu/Fermé

Question

Bonjour,

tout d'abord je tiens a vous remercier pour votre travail, tant de fois j'ai trouvé les solutions sans poster le moindre message :)

mais il y a un début a tout, hélas :(

je vous expose mon problème.

j'ai eu plusieurs infections sur un PC qui tourne sous XP SP3 le soucis c'est que je ne peux même pas nettoyer et pour cause je n'arrive pas a installer de logiciel que ce soit Antivirus, Anti Spy ou autre 

Je n'ai ni internet, la page censée afficher mes périphériques dans le Gestionnaire de périph est désespérément vierge, les outils d'admin ( Services.msc et autres ) le sont aussi, plus d'imprimantes, en gros il reste plus grand chose, (je me demande si le pc ne demarre pas en mode réduit )

j'ai quand même accès a la Base de registre.

j'ai quand même réussi a installer Mbam (malwarebytes Anti-malware) en lui changeant de nom, et il m'a trouvé un certain nombre d'infections qu'il a nettoyé ( si quelque veut le rapport je peux le poster )

impossible de mettre Hijackthis, ni kaspersky, ni Bitdefender.

la clé que j'ai mis sur le pc est infectée, quand je la mets sur mon PC (ESET NOD32 Smart Sécurity ) il me détecte ceci:

G:\m.exe - Win32/Agent.OKD cheval de troie - nettoyé par suppression - mis en quarantaine


Voila a vous maintenant, je vous remercie par avance et j'espère que quelqu'un pourra m'aider.

benurrr · Answer

salut

Telecharge FindyKill sur ton bureau : 

http://sd-1.archive-host.com/membres/up/116615172019703188/FindyKill.exe

--> Lance l installation avec les paramètres par defaut 

--> Double clic sur le raccourci FindyKill sur ton bureau 

--> Au menu principal,choisi l option 1 (Recherche) 

--> Poste le rapport FindyKill.txt 

Note : le rapport FindyKill.txt est sauvegardé a la racine du disque

Nando · Answer

Je te remerice pour ta réponse, voila le rapport de FindlyKill ----------------- FindyKill V4.709 ------------------ * User : STEPHANE - SROYER * Emplacement : C:\Program Files\FindyKill * Outils Mis a jours le 10/12/08 par Chiquitine29 * Recherche effectuée à 15:03:10 le 15/12/2008 * Windows XP - Internet Explorer 7.0.5730.13 ((((((((((((((((( *** Recherche *** )))))))))))))))))) --------------- [ Processus actifs ] ---------------- C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\Program Files\FSC\WebCam HotKey Utility\WebCam_HotKey.exe C:\Program Files\FSC\TouchPad HotKey Utility\TouchPad_HotKey.exe C:\Program Files\Synaptics\SynTP\SynTPEnh.exe C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe C:\Program Files\Samsung\EmoDio\SMSTray.exe C:\WINDOWS\system32\igfxpers.exe C:\WINDOWS\system32\igfxsrvc.exe C:\WINDOWS\system32\igfxtray.exe C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe C:\Program Files\TomTom HOME 2\HOMERunner.exe C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe C:\WINDOWS\system32\ctfmon.exe C:\WINDOWS\system32\rundll32.exe --------------- [ Fichiers/Dossiers infectieux ] ---------------- »»»» Presence des fichiers dans C: Found ! [13/12/2008 18:19] - C:\fsc.tmp Found ! [15/12/2008 12:39] - C:\InfoSat.txt »»»» Presence des fichiers dans C:\WINDOWS »»»» Presence des fichiers dans C:\WINDOWS\Prefetch »»»» Presence des fichiers dans C:\WINDOWS\system32 »»»» Presence des fichiers dans C:\WINDOWS\system32\config\systemprofile\AppData\Roaming »»»» Presence des fichiers dans C:\WINDOWS\system32\drivers »»»» Presence des fichiers dans C:\Documents and Settings\STEPHANE\Application Data »»»» Presence des fichiers dans C:\DOCUME~1\STEPHANE\LOCALS~1\Temp »»»» Presence des fichiers dans C:\Documents and Settings\STEPHANE\Local Settings\Temporary Internet Files\Content.IE5 --------------- [ Registre / Startup ] ---------------- [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\run] TomTomHOME.exe="C:\Program Files\TomTom HOME 2\HOMERunner.exe" swg=C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe CTFMON.EXE=C:\WINDOWS\system32\ctfmon.exe [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run] WebCamHotKey=C:\Program Files\FSC\WebCam HotKey Utility\WebCam_HotKey.exe TouchPadHotKey=C:\Program Files\FSC\TouchPad HotKey Utility\TouchPad_HotKey.exe SynTPEnh=C:\Program Files\Synaptics\SynTP\SynTPEnh.exe SunJavaUpdateSched="C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe" SMSTray=C:\Program Files\Samsung\EmoDio\SMSTray.exe RTHDCPL=RTHDCPL.EXE Persistence=C:\WINDOWS\system32\igfxpers.exe Kernel and Hardware Abstraction Layer=KHALMNPR.EXE IgfxTray=C:\WINDOWS\system32\igfxtray.exe HotKeysCmds=C:\WINDOWS\system32\hkcmd.exe Google Desktop Search="C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startup BluetoothAuthenticationAgent=rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent BEWINTERNET-FR-DMESessionManager="C:\Program Files\OrangeBS\BEWInternet\SessionManager\SessionManager.exe" Adobe Reader Speed Launcher="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents= = HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL= Installed=1 = HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI= NoChange=1 Installed=1 = HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS= Installed=1 = [HKEY_CURRENT_USER\software\local appwizard-generated applications\DestComp] [HKEY_CURRENT_USER\software\local appwizard-generated applications\FSC Browser] [HKEY_CURRENT_USER\software\local appwizard-generated applications\hprbui] [HKEY_CURRENT_USER\software\local appwizard-generated applications\Samsung Media Studio] [HKEY_CURRENT_USER\software\local appwizard-generated applications\Video Conversion Tool 1.1] --------------- [ Registre / Clés infectieuses ] ---------------- --------------- [ Etat / Services ] ---------------- +- Services : [ Auto=2 / Demande=3 / Désactivé=4 ] Ndisuio - Type de démarrage = 3 /!\ EapHost - Type de démarrage = 4 Ip6Fw - Type de démarrage = 3 SharedAccess - Type de démarrage = 2 wuauserv - Type de démarrage = 2 wscsvc - Type de démarrage = 2 --------------- [ Recherche dans supports amovibles] ---------------- +- Informations : C: - Lecteur fixe F: - Lecteur amovible +- Contenu de l'autorun : F:\autorun.inf [AutoRun] shellexecute=F:\m.exe /s Action=Autorun +- presence des fichiers : Found ! [13/12/2008 18:19][d--------] - C:\fsc.tmp Found ! [15/12/2008 15:01][---h-----] - F:\autorun.inf (c'est ma clé usb) --------------- [ Registre / Mountpoint2 ] ---------------- -> Not found ! ------------------- ! Fin du rapport ! --------------------

benurrr · Answer

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d avoir été infectés sans les ouvrir 


--> Double clic sur le raccourci FindyKill sur ton bureau 

--> Au menu principal,choisi l option 2 (Suppression) 


/!\ il y aura 2 redémarrage, laisse travailler l outils jusqu a l apparition du message "nettoyage effectué" 

/!\ Ne te sert pas du pc durant la suppression , ton bureau ne sera pas accessible c est normal ! 

-------> ensuite post le rapport FindyKill.txt 

Note : le rapport FindyKill.txt est sauvegardé a la racine du disque 
Note : Si le Bureau ne réapparait pas presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tapes explorer.exe et valides 


Par Manque De Curiosité On Risque De Mourir Ignorant;Tu es libre de penser que tu es C..,
Mais C.. de penser que ­tu es libre...Merci a australe13

benurrr · Answer

poste un rapport hijackthis (outil de diagnostic)

Télécharge http://www.trendsecure.com/portal/en-US/tools/security_tools/hijackthis/download

--) Enregistre HJTInstall.exe sur ton bureau
--) Double-clique sur HJTInstall.exe pour lancer le programme
--) Par défaut, il s'installera içi C:\Programme Files\Trend Micro\HijackThis
--) Accepte la license en cliquant sur le bouton "I Accept"
--) Choisis l'option "Do a system scan and save a log file"
--) Clique sur "Save log" pour enregistrer le rapport qui s'ouvrira avec le bloc-note
--) Clique sur "Édition -> Sélectionner tout", puis sur "Édition -> Copier" pour copier tout le contenu du rapport
--) Colle le rapport que tu viens de copier sur ce forum
--) Ne fixe encore AUCUNE ligne,

Nando · Answer

bonjour benurrr,

toujours pas possible de mettre Hijackthis :s

j'ai horreur des formatage je trouve que c'est une solution de facilité mais je crains que cette fois ci ça ne soit obligatoire :s

Merci pour tout :)

benurrr · Answer

SALUT

Moi aussi j'aime pas le formatage

Télécharge combofix : http://download.bleepingcomputer.com/sUBs/ComboFix.exe

-> Double clique combofix.exe. 

-> Tape sur la touche 1 (Yes) pour démarrer le scan. 
-> Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse. 

NOTE : Le rapport se trouve également ici : C:\Combofix.txt 

Avant d'utiliser ComboFix : 

-> Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours. 

-> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent géner fortement la procédure de recherche et de nettoyage de l'outil. 

Une fois fait, sur ton bureau double-clic sur Combofix.exe. 

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc. 

-Attention  Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes. risque de figer l'ordi 

- En fin de scan il est possible que ComboFix ait besoin de redemarrer le pc pour finaliser la désinfection\recherche, laisses-le faire. 

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt) 

-> Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. 

-> Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message. 

!\ Ne touche à rien tant que le scan n'est pas terminé. /!\ : risque de figer l'ordi (plantage complet) 

::Si combofix demande a faire mise a jour tu refuse 
::Si combofix detecte quelque chose et de demande a redemarer tu accepte

benurrr · Answer

salut a vous 

nando sa donne quoi avec ton problème ?

anvaratoustra · Answer

merci pour le tips, c'est passé pour le test, mais pa pour la mise a jour car j'ai un peu titillé les petits habitants trojans avec spybot killbox, ils m'ont coupé ma connexion, j'aurai aussi a restorer mes parametres tcpip et netsh!! :)
bref, fallait s'y attendre en represailles.
voici le rapport



Malwarebytes' Anti-Malware 1.31
Version de la base de données: 1456
Windows 5.1.2600 Service Pack 3

23/12/2008 15:46:03
mbam-log-2008-12-23 (15-45-53).txt

Type de recherche: Examen complet (C:\|)
Eléments examinés: 65440
Temps écoulé: 10 minute(s), 58 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 1
Clé(s) du Registre infectée(s): 6
Valeur(s) du Registre infectée(s): 3
Elément(s) de données du Registre infecté(s): 3
Dossier(s) infecté(s): 2
Fichier(s) infecté(s): 20

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
C:\WINDOWS\system32\gadonesi.dll (Trojan.Vundo.H) -> No action taken.

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{3fc65612-41ae-4d2d-90ce-0c27309caf88} (Trojan.Vundo.H) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{3fc65612-41ae-4d2d-90ce-0c27309caf88} (Trojan.Vundo.H) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{3fc65612-41ae-4d2d-90ce-0c27309caf88} (Trojan.Vundo.H) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\spyware guard 2008 (Rogue.SpywareGuard) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\dslcnnct (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\rdfa (Trojan.Vundo) -> No action taken.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zofawezodi (Trojan.Vundo.H) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler\{ec43e3fd-5c60-46a6-97d7-e0b85dbdd6c4} (Trojan.BHO) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\ssodl (Trojan.BHO) -> No action taken.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (Trojan.Vundo.H) -> Data: c:\windows\system32\gadonesi.dll -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Notification Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\gadonesi.dll  -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (Trojan.Vundo.H) -> Data: system32\gadonesi.dll -> No action taken.

Dossier(s) infecté(s):
C:\Program Files\Spyware Guard 2008 (Rogue.SpywareGuard) -> No action taken.
C:\Program Files\Spyware Guard 2008\quarantine (Rogue.SpywareGuard) -> No action taken.

Fichier(s) infecté(s):
C:\WINDOWS\system32\dunuhobu.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\ubohunud.ini (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\rovoyato.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\gadonesi.dll (Trojan.Vundo.H) -> No action taken.
C:\WINDOWS\system32\59324aed4cc9aba23233c86eeb6b43f6.sys (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\59324aed4cc9aba23233c86eeb6b43f6.sys.bd.ren (Trojan.Agent) -> No action taken.
C:\Program Files\Spyware Guard 2008\conf.cfg (Rogue.SpywareGuard) -> No action taken.
C:\Program Files\Spyware Guard 2008\mbase.vdb (Rogue.SpywareGuard) -> No action taken.
C:\Program Files\Spyware Guard 2008\quarantine.vdb (Rogue.SpywareGuard) -> No action taken.
C:\Program Files\Spyware Guard 2008\queue.vdb (Rogue.SpywareGuard) -> No action taken.
C:\Program Files\Spyware Guard 2008\spywareguard.exe (Rogue.SpywareGuard) -> No action taken.
C:\Program Files\Spyware Guard 2008\uninstall.exe (Rogue.SpywareGuard) -> No action taken.
C:\Program Files\Spyware Guard 2008\vbase.vdb (Rogue.SpywareGuard) -> No action taken.
C:\WINDOWS\sysexplorer.exe (Trojan.FakeAlert) -> No action taken.
C:\WINDOWS\reged.exe (Rogue.SpywareGuard) -> No action taken.
C:\WINDOWS\spoolsystem.exe (Rogue.SpywareGuard) -> No action taken.
C:\WINDOWS\sys.com (Rogue.SpywareGuard) -> No action taken.
C:\WINDOWS\syscert.exe (Rogue.SpywareGuard) -> No action taken.
C:\WINDOWS\vmreg.dll (Rogue.SpywareGuard) -> No action taken.
C:\Documents and Settings\mélanie bajolet\Bureau\Spyware Guard 2008.lnk (Rogue.SpywareGuard) -> No action taken.

anvaratoustra · Answer

voila, mais dès que je supprime les cle du registre, en a peine 5min, les meme infections reviennent!!!!
et  vundo j'avais deja essayé, pareil, il est coupé.

Ah aussi, moi ça ne me dérange pas de formatter et tout recommencer, le seul hic c'est que c'est bloqué de partout, je ne peux rien faire: à l'installation, g un ecran bleu!! y a pas un moyen plus radical? sans ouvrir le hdd du portable?

anvaratoustra · Answer

merci encore pour tout,

je boote bien sur le disque de démarrage, j'ai aussi tenté de booter avec ubunthu mais tt se squeeze,
tout à l'heure, windows m'a sortir le message d'erreure "de l'ecriture décalée" je commence à penser que le hdd s'est peu etre pris un coup!! mais c'es très con, le pc à 15j!!!
bref
formater serait la solution rapide, easy recovery me dit que le systeme de fichier est corrompu. je vais tenter le powerquest, il doit trainer ds un tirroir. j'aimerai récuperer le command.com pour booter dessus afin d'avori acces à chkdsk ou au fdisk, bref,
sacrée vérole qui est chopée sur la machine!!

benurrr · Answer

salut

vérifie et répare ton dd

Fait Démarrer, Exécuter et taper la commande:  chkdsk /f/r il va faire sa au redémarrage

Infection avec un trojan win32\Agent.okd

11 réponses

Discussions similaires

Newsletters