Analyse scan rav

dave -  
Après avoir lu plusieurs échanges de mail et plusieurs méthodes de détection dans ce site , je joins le retour de mon scan rav.

Est ce que quelqu'un peut m'aider à analyser ce retour qui ne veut strictement rien dire pour moi

Merci

Scan started at 05/03/05 18:35:35

Scanning memory...
c:\WINDOWS\taskmon.exe.$$$ - TrojanDownloader:Win32/Agent.Z -> Infected
c:\WINDOWS\scanregw.exe - TrojanDownloader:Win32/Agent.Z -> Infected
c:\WINDOWS\DOWNLOADED - TrojanDownloader:Win32/Agent.Z -> Infected
c:\WINDOWS\ADDJE32.EXE.$$$ - TrojanDownloader:Win32/Agent.Z -> Infected
c:\WINDOWS\ultzli.log - TrojanDownloader:Win32/WinShow.AK -> Suspicious
c:\WINDOWS\SYSTEM\mpekb.dll - TrojanDownloader:Win32/WinShow.AK -> Suspicious

Scanned
============================
Objects: 16680
Directories: 1751
Archives: 489
Size(Kb): 499800
Infected files: 4

Found
============================
Viruses found: 1
Suspicious files: 2
Disinfected files: 0
Mail files: 84

28 réponses

Résumé de la discussion

Un utilisateur sollicite de l'aide pour interpréter un rapport d’analyse antivirus Rav et des logs HijackThis, indiquant des infections TrojanDownloader et d'autres éléments suspects. Plusieurs réponses évoquent le mode sans échec, la suppression de fichiers problématiques et l'examen des clés de démarrage ainsi que des entrées R1/R3 et des modules externes. Le fil discute des résultats du scan Rav et des rapports HijackThis, avec des détails sur les détections TrojanDownloader et les répertoires Windows suspects. En fin de fil, un échange mentionne l'analyse de deux dossiers jugés suspects et la poursuite des vérifications, sans conclure à l'éradication complète.

Bobot (l’IA à votre service)
  1. dave
    Merci pour tout les gars.

    La nuit portant conseil, j'utiliserai vos précieux conseils le plus rapidement possible en semaine, et n'hésiterai pas encore à vous solliciter.

    Bonne nuit et bon WE
    1. balltrap34 Contributeur sécurité
      je parlais de demain car sur le post il disait qu il arreter pour se soir
      c est pas grave je plaisante
      il y a plus grand monde je suis en train de me balader de forum en forum
      1. bernie61
        re salut
        je croyais que tu étais déjà au lit car j'avais lu dans l'autre msg que tu laissais la suite à d'autres, lol
        a+
        4. dave
          Suppression impossible de supprimer ces deux fichiers car un encadré apparaît etme spécifie ques ces dossiers sont utilisés par windows.

          So ??????
          1. bernie61
            salut
            tu redémarres en mode VGA tu pourras les effacer
            a+
        6. dave
          Voici pour le premier dossier IEME.EXE

          Service load: 0% 100%

          File: IEME.EXE
          Status: INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)
          Packers detected: PE-CRYPT.SQR, UPX

          AntiVir TR/Dldr.Agent.BQ (0.81 seconds taken)
          Avast Win32:Trojano-994 (3.89 seconds taken)
          AVG Antivirus Downloader.Agent.9.BF (1.78 seconds taken)
          BitDefender Trojan.Downloader.Agent.BQ (2.70 seconds taken)
          ClamAV No viruses found (2.03 seconds taken)
          Dr.Web Trojan.DownLoader.1799 (4.56 seconds taken)
          F-Prot Antivirus W32/Agent.JK@dl (0.23 seconds taken)
          Fortinet W32/Agent.MQ-tr (1.33 seconds taken)
          Kaspersky Anti-Virus Trojan-Downloader.Win32.Agent.bq (3.00 seconds taken)
          mks_vir Trojan.Downloader.Agent.Bq (0.78 seconds taken)
          NOD32 No viruses found (2.34 seconds taken)
          Norman Virus Control No viruses found (6.66 seconds taken)

          Voici le second.

          Service load: 0% 100%

          File: NETEK32.EXE
          Status: INFECTED/MALWARE
          Packers detected: PE-CRYPT.SQR, UPX

          AntiVir TR/Agent.bi1 (0.43 seconds taken)
          Avast Win32:Trojano-995 (1.52 seconds taken)
          AVG Antivirus No viruses found (0.49 seconds taken)
          BitDefender Trojan.Agent.BI (0.63 seconds taken)
          ClamAV No viruses found (0.67 seconds taken)
          Dr.Web Trojan.Filtr (0.92 seconds taken)
          F-Prot Antivirus W32/Backdoor.AWX (0.09 seconds taken)
          Fortinet No viruses found (0.45 seconds taken)
          Kaspersky Anti-Virus Trojan.Win32.Agent.bi (1.26 seconds taken)
          mks_vir Trojan.Agent.Bi (0.22 seconds taken)
          NOD32 No viruses found (0.50 seconds taken)
          Norman Virus Control No viruses found (0.69 seconds taken)

          Statistics
          No sample yet

          Qu'en penses tu ?

          merci
          1. balltrap34 Contributeur sécurité
            quand tu auras fait se que je t ai dit refait un hijack
            1. dave
              Re-salut Balltrap,

              Je me mets sur l'nalyse des deux dossiers qui te parraissent suspects et je te tiens au courant.

              a+
              1. balltrap34 Contributeur sécurité
                R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
                R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                R3 - Default URLSearchHook is missing
                1. moe
                  salut dave

                  C'est 2 fichiers sont tres suspects:

                  C:\WINDOWS\IEME.EXE
                  C:\WINDOWS\SYSTEM\NETEK32.EXE
                  fais les analyser ici, ca ne prend que quelques secondes:
                  http://virusscan.jotti.org/

                  ensuite on verra pour hijackthis
                  1. dave
                    Je te joins mon dernier rapport hijack pour que tu puisses me dire ed que je dois fixer. Ensuite je mettrai le about buster.

                    merci pour toute ton aide

                    C:\WINDOWS\SYSTEM\MSGSRV32.EXE
                    C:\WINDOWS\SYSTEM\MPREXE.EXE
                    C:\WINDOWS\SYSTEM\MSTASK.EXE
                    C:\WINDOWS\SYSTEM\ATI2EVXX.EXE
                    C:\WINDOWS\SYSTEM\NETEK32.EXE
                    C:\WINDOWS\SYSTEM\mmtask.tsk
                    C:\WINDOWS\EXPLORER.EXE
                    C:\WINDOWS\SYSTEM\SYSTRAY.EXE
                    C:\PROGRAM FILES\ADAPTEC\DIRECTCD\DIRECTCD.EXE
                    C:\PROGRAM FILES\MICROSOFT HARDWARE\MOUSE\POINT32.EXE
                    C:\PROGRAM FILES\NORTON ANTIVIRUS\NAVAPW32.EXE
                    C:\WINDOWS\SYSTEM\STIMON.EXE
                    C:\PROGRAM FILES\TEXTBRIDGE PRO 8.0\BIN\INSTANTACCESS.EXE
                    C:\WINDOWS\SYSTEM\USBMONIT.EXE
                    C:\WINDOWS\LOADQM.EXE
                    C:\WINDOWS\SYSTEM\QTTASK.EXE
                    C:\PROGRAM FILES\CREATIVE\SHAREDLL\CTNOTIFY.EXE
                    C:\WINDOWS\IEME.EXE
                    C:\PROGRAM FILES\FICHIERS COMMUNS\MICROSOFT SHARED\WORKS SHARED\WKCALREM.EXE
                    C:\PROGRAM FILES\CREATIVE\SHAREDLL\MEDIADET.EXE
                    C:\WINDOWS\SYSTEM\WMIEXE.EXE
                    C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE
                    C:\PROGRAM FILES\HIJACKTHIS.EXE

                    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
                    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                    R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                    R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                    R3 - Default URLSearchHook is missing
                    O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
                    O2 - BHO: Class - {214827F0-3D1E-01DE-2873-544D6D4CEBAA} - C:\WINDOWS\WINCO32.DLL
                    O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
                    O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
                    O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
                    O4 - HKLM\..\Run: [Adaptec DirectCD] C:\PROGRA~1\ADAPTEC\DIRECTCD\DIRECTCD.EXE
                    O4 - HKLM\..\Run: [POINTER] point32.exe
                    O4 - HKLM\..\Run: [Norton Auto-Protect] C:\PROGRA~1\NORTON~1\NAVAPW32.EXE /LOADQUIET
                    O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
                    O4 - HKLM\..\Run: [InstantAccess] C:\PROGRA~1\TEXTBR~1.0\BIN\INSTAN~1.EXE /h
                    O4 - HKLM\..\Run: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\BIN\REGIST~1.EXE
                    O4 - HKLM\..\Run: [Gene USB Monitor] c:\windows\SYSTEM\USBMonit.exe
                    O4 - HKLM\..\Run: [LoadQM] loadqm.exe
                    O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\SYSTEM\QTTASK.EXE" -atboottime
                    O4 - HKLM\..\Run: [Disc Detector] C:\Program Files\Creative\ShareDLL\CtNotify.exe
                    O4 - HKLM\..\Run: [Détecteur de disque] C:\Program Files\Creative\ShareDLL\CtNotify.exe
                    O4 - HKLM\..\Run: [IEME.EXE] C:\WINDOWS\IEME.EXE
                    O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
                    O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
                    O4 - HKLM\..\RunServices: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\BIN\REGIST~1.EXE
                    O4 - HKLM\..\RunServices: [ATIPOLL] ati2evxx.exe
                    O4 - HKLM\..\RunServices: [NETEK32.EXE] C:\WINDOWS\SYSTEM\NETEK32.EXE
                    O4 - HKCU\..\Run: [MoneyAgent] "c:\Program Files\Microsoft Money\System\mnyexpr.exe"
                    O4 - Startup: Rappels du Calendrier Microsoft Works.lnk = C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\wkcalrem.exe
                    O4 - Startup: PowerReg SchedulerV2.exe
                    O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
                    1. balltrap34 Contributeur sécurité
                      tu le lance et tu clik sur update
                      il faut etre connecter
                      ensuite tu le passe deux foix mais avant il faut cocher les lignes dans hijack et fix
                      1. dave
                        Qu'est ce que cela veut dire mettre à jour. En fait je l'enregistre dans mon fichier program file et le le lance, est ce que c'est tout ce qu'il y faut faire ou est omis quelque chose ?

                        merci
                        2. dave
                          J'ai bien relancé hijack, mais lorsque je charge about buster sur le stite Majorgeek, mais lorsque je veux l'ouvrir, il me présente un cadre en haut à gauche et et demande chsoisir avec quel programme je dois le lancer.

                          Sur le site majorgeeks, peux tu me dire précisemment ce que je dois charger car peux être que je ne charge pas le bon, à priori il y a plusieurs versions avec un drapeau US et une version avec un drapeau Austalien.

                          Merci encore
                          1. balltrap34 Contributeur sécurité
                            relance hijack
                            coche ceci
                            R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                            R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                            R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
                            R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                            R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                            R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                            R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                            R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256

                            clik sur fix
                            ------------
                            il faut a tous prix lancer about buster le mettre a jour et le passer deux fois
                            1. dave
                              Merci pour tes précieux conseils Balltrap.

                              Je te joins le nouveau rapport Hijackthis, penses tu que mon ordi est maintenant à peu près propre ?

                              Logfile of HijackThis v1.99.1
                              Scan saved at 15:41:54, on 06/03/05
                              Platform: Windows 98 SE (Win9x 4.10.2222A)
                              MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

                              Running processes:
                              C:\WINDOWS\SYSTEM\KERNEL32.DLL
                              C:\WINDOWS\SYSTEM\MSGSRV32.EXE
                              C:\WINDOWS\SYSTEM\MPREXE.EXE
                              C:\WINDOWS\SYSTEM\MSTASK.EXE
                              C:\WINDOWS\SYSTEM\ATI2EVXX.EXE
                              C:\WINDOWS\SYSTEM\NETEK32.EXE
                              C:\WINDOWS\SYSTEM\mmtask.tsk
                              C:\WINDOWS\EXPLORER.EXE
                              C:\WINDOWS\SYSTEM\SYSTRAY.EXE
                              C:\PROGRAM FILES\ADAPTEC\DIRECTCD\DIRECTCD.EXE
                              C:\PROGRAM FILES\MICROSOFT HARDWARE\MOUSE\POINT32.EXE
                              C:\PROGRAM FILES\NORTON ANTIVIRUS\NAVAPW32.EXE
                              C:\WINDOWS\SYSTEM\STIMON.EXE
                              C:\PROGRAM FILES\TEXTBRIDGE PRO 8.0\BIN\INSTANTACCESS.EXE
                              C:\WINDOWS\SYSTEM\USBMONIT.EXE
                              C:\WINDOWS\LOADQM.EXE
                              C:\WINDOWS\SYSTEM\QTTASK.EXE
                              C:\PROGRAM FILES\CREATIVE\SHAREDLL\CTNOTIFY.EXE
                              C:\WINDOWS\IEME.EXE
                              C:\PROGRAM FILES\FICHIERS COMMUNS\MICROSOFT SHARED\WORKS SHARED\WKCALREM.EXE
                              C:\PROGRAM FILES\CREATIVE\SHAREDLL\MEDIADET.EXE
                              C:\WINDOWS\SYSTEM\WMIEXE.EXE
                              C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE
                              C:\PROGRAM FILES\MICROSOFT OFFICE\OFFICE\WINWORD.EXE
                              C:\WINDOWS\SYSTEM\SPOOL32.EXE
                              C:\PROGRAM FILES\MICROSOFT WORKS\MSWORKS.EXE
                              C:\PROGRAM FILES\HIJACKTHIS.EXE

                              R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                              R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                              R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
                              R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                              R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                              R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                              R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                              R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system\ygeue.dll/sp.html#93256
                              O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
                              O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
                              O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
                              O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
                              O4 - HKLM\..\Run: [Adaptec DirectCD] C:\PROGRA~1\ADAPTEC\DIRECTCD\DIRECTCD.EXE
                              O4 - HKLM\..\Run: [POINTER] point32.exe
                              O4 - HKLM\..\Run: [Norton Auto-Protect] C:\PROGRA~1\NORTON~1\NAVAPW32.EXE /LOADQUIET
                              O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
                              O4 - HKLM\..\Run: [InstantAccess] C:\PROGRA~1\TEXTBR~1.0\BIN\INSTAN~1.EXE /h
                              O4 - HKLM\..\Run: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\BIN\REGIST~1.EXE
                              O4 - HKLM\..\Run: [Gene USB Monitor] c:\windows\SYSTEM\USBMonit.exe
                              O4 - HKLM\..\Run: [LoadQM] loadqm.exe
                              O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\SYSTEM\QTTASK.EXE" -atboottime
                              O4 - HKLM\..\Run: [Disc Detector] C:\Program Files\Creative\ShareDLL\CtNotify.exe
                              O4 - HKLM\..\Run: [Détecteur de disque] C:\Program Files\Creative\ShareDLL\CtNotify.exe
                              O4 - HKLM\..\Run: [IEME.EXE] C:\WINDOWS\IEME.EXE
                              O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
                              O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
                              O4 - HKLM\..\RunServices: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\BIN\REGIST~1.EXE
                              O4 - HKLM\..\RunServices: [ATIPOLL] ati2evxx.exe
                              O4 - HKLM\..\RunServices: [NETEK32.EXE] C:\WINDOWS\SYSTEM\NETEK32.EXE
                              O4 - HKCU\..\Run: [MoneyAgent] "c:\Program Files\Microsoft Money\System\mnyexpr.exe"
                              O4 - Startup: Rappels du Calendrier Microsoft Works.lnk = C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\wkcalrem.exe
                              O4 - Startup: PowerReg SchedulerV2.exe
                              O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
                              1. balltrap34 Contributeur sécurité
                                relance hijack
                                coche et fix
                                R3 - Default URLSearchHook is missing
                                O2 - BHO: Class - {214827F0-3D1E-01DE-2873-544D6D4CEBAA} - C:\WINDOWS\WINCO32.DLL
                                • 1
                                • 2

                                Discussions similaires

                                Nouveau tag ajouté | Nouvelle option activé sans permission?
                                BountyFullChest

                                1 réponse
                                Huawei P8 Lite "nouveau tag ajouté"
                                ArianeKathleen

                                25 réponses
                                Nouveau tag ajouté - Utilité
                                Eerfers

                                1 réponse
                                Google Chrome "  Échec de l'analyse antivirus "
                                jmpower

                                18 réponses
                                " Échec de l'analyse antivirus " la solution.
                                bazfile

                                0 réponse