trojandownloader Win32/Renos.JM

Question

Bonjour,

J'ai windows defender qui me dit que j'ai ce trojan. Quand j'essaie de le supprimer la fenetre disparait mais le message réapparait quelques instants plus tard...

Pouvez vous m'aider? 

Merci d'avance

kduc · Answer

Salut,

Je ne suis pas persuadé que le problème soit réglé !

-----
Clique droit sur ce lien pour installer ComboFix (par sUBs) :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

Choisis "Enregistrer sous" (dans IE c'est "Enregistrer la cible/le lien sous..")
et sauvegarde-le (Enregistrer dans) sur le Bureau.

Important : dans "Nom du fichier" enregistre (renomme) "combofix" en combo-fix.exe

Prends connaissance de ce tutoriel : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Ferme toutes les fenêtres et applications. 
Déconnecte-toi du net et désactive tes protections résidentes :
https://forum.pcastuces.com/default.asp

A ce stade, désactive l' UAC (important) : http://forum.telecharger.01net.com/forum/high-tech/PRODUITS/Questions-techniques/desactiver-controle-utilisateurs-sujet_198996_1.htm

Sur le bureau, double clique combo-fix.exe.
Tape sur la touche Y (Yes) pour démarrer le scan.
ComboFix redémarrera ton PC.
Lorsque le scan sera complété, un rapport apparaîtra. 
Copie/colle ce rapport dans ta prochaine réponse et nouveau rapport hijackthis.

PS : Le rapport se trouve également ici : C:\Combofix.txt

Ne pas cliquer dans la fenêtre de Combofix durant l’analyse car, cela pourrait provoquer 
le gel du programme !

kduc · Answer

Salut,

OK.

Maintenant, pour terminer ...

Fais ce scan en ligne : http://www.bitdefender.fr/scan_fr/scan8/ie.html

Clique sur J' accepte > Démarrer l' analyse, etc ...

Une fois le scan achevé, sauvegarde le rapport et poste-le.

Tuto : https://forum.pcastuces.com/default.asp

---
PS : désactive tes protections résidentes, notamment celle d' AVG, le temps du scan ...

https://forum.pcastuces.com/default.asp

---
Bonne journée.

loqua · Answer

désolé, j'ai fait une fausse manip! j'ai alors voulu supprimé le dossier bioscan8 et recommencer mais mtn le programme ne veut plus s'installer....

Que dois-je faire?

loqua · Answer

Finalement j'ai réussi à le réinstaller, mais j'ai un probleme.

Comme le prévoit aussi le tuto: 

Si ce message s'affiche : "Echec de la mise à jour des signatures", il suffit de supprimer ce fichier (en gras) -> C:\Windows\BDOSCAN8 et recommencer.

j'ai effectivement ce message, mais lorsque je supprime le fichier indiqué, et que je relance le scan, ca ne marche pas... il y a une sorte de message d'erreur qui apparait avec rien écrit dessus. 

Si je ne supprime pas le fichier, je peux lancer le scan mais celui-ci echoue...

Que dois-je faire?

kduc · Answer

Salut,

Tu l' a lancé à partir de la session Administrateur et avec l' UAC désactivé (+ antivirus désactivé) ?

Au besoin, ...

Lance un scan Nod32 https://www.eset.com/ 
(il faut utiliser Internet Explorer) …

Coche toutes les cases à chaque fois, et lorsque c'est terminé, colle le rapport : 
-> C:\Program Files\EsetOnlineScanner\log.txt <- le rapport

loqua · Answer

Voici le rapport: 


ESETSmartInstaller@High as CAB hook log:
OnlineScanner.ocx - registred OK
# version=6
# iexplore.exe=7.00.6000.16386 (vista_rtm.061101-2205)
# OnlineScanner.ocx=1.0.0.6048
# api_version=3.0.2
# EOSSerial=954179beadd3ef42a557fcfeedc004cc
# end=finished
# remove_checked=true
# archives_checked=false
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2009-08-17 11:11:56
# local_time=2009-08-18 01:11:56 (+0100, Paris, Madrid (heure d'été))
# country="France"
# lang=1036
# osver=6.0.6001 NT Service Pack 1
# compatibility_mode=1026 61 83 100 21250125433582
# compatibility_mode=5889 61 66 100 496685037127655
# scanned=187354
# found=2
# cleaned=2
# scan_time=2891
D:\autorun.inf	INF/Autorun virus (supprimé - mis en quarantaine)	00000000000000000000000000000000	C
D:\MS32DLL.dll.vbs	VBS/Butsur.B ver (nettoyé par suppression - mis en quarantaine)	00000000000000000000000000000000	C

loqua · Answer

j'avais pas vu l'onglet parametres avancés, j'ai dc refais un scan avec cette fois-ci toutes les cases cochées, voici le rapport: 


ESETSmartInstaller@High as CAB hook log:
OnlineScanner.ocx - registred OK
# version=6
# iexplore.exe=7.00.6000.16386 (vista_rtm.061101-2205)
# OnlineScanner.ocx=1.0.0.6048
# api_version=3.0.2
# EOSSerial=954179beadd3ef42a557fcfeedc004cc
# end=finished
# remove_checked=true
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=true
# antistealth_checked=true
# utc_time=2009-08-18 12:42:19
# local_time=2009-08-18 02:42:19 (+0100, Paris, Madrid (heure d'été))
# country="France"
# lang=1036
# osver=6.0.6001 NT Service Pack 1
# compatibility_mode=1026 61 83 100 21304351593582
# compatibility_mode=5889 61 66 100 496739263287655
# scanned=187671
# found=2
# cleaned=2
# scan_time=4570
C:\$RECYCLE.BIN\S-1-5-21-2978966380-1069383893-1505965959-1000\$R8WWEI1\Process.exe	Win32/PrcView application (nettoyé par suppression - mis en quarantaine)	00000000000000000000000000000000	C
C:\$RECYCLE.BIN\S-1-5-21-2978966380-1069383893-1505965959-1000\$R8WWEI1\restart.exe	Win32/Shutdown.NAA application (nettoyé par suppression - mis en quarantaine)	00000000000000000000000000000000	C


Je vais etre loin de mon ordi pour une semaine.

kduc · Answer

Salut,

"... Je vais etre loin de mon ordi pour une semaine. "

Qui semble être débarrassé de Win32/Renos.JM

loqua · Answer

Voila une bonne nouvelle! 

Merci pour votre aide!

Dydou · Answer

Voici mon rapport :

SmitFraudFix v2.424

Scan done at 10:49:24,66, 19/12/2009
Run from C:\Program Files\Mozilla Firefox\SmitfraudFix
OS: Microsoft Windows [version 6.0.6001] - Windows_NT
The filesystem type is NTFS
Fix run in normal mode

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\atiesrxx.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\atieclxx.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32	askeng.exe
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32	askeng.exe
C:\Windows\system32	askeng.exe
C:\Users\Dylan\AppData\Local\Temp\j.exe
C:\Windows\msb.exe
C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Windows\system32\PnkBstrA.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Windows\system32\WUDFHost.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Windows\servicing\TrustedInstaller.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\SFR\Kit\9props.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Windows\ehome\ehtray.exe
C:\Users\Dylan\AppData\Local\Temp\b.exe
C:\Program Files\McAfee Security Scan\1.0.150\SSScheduler.exe
C:\Program Files\Stardock\ObjectDock\ObjectDock.exe
C:\Windows\ehome\ehmsas.exe
C:\Windows\System32\mobsync.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
C:\Windows\system32\ctfmon.exe
C:\Windows\system32\wuauclt.exe
\?\C:\Windows\system32\wbem\WMIADAP.EXE
C:\Windows\system32\wbem\wmiprvse.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Windows\system32\SearchProtocolHost.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Program Files\Mozilla Firefox\SmitfraudFix\Policies.exe
C:\Windows\system32\cmd.exe
C:\Windows\system32\conime.exe
C:\Windows\system32\wbem\wmiprvse.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\Windows


»»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Users\Dylan


»»»»»»»»»»»»»»»»»»»»»»»» C:\Users\Dylan\AppData\Local\Temp


»»»»»»»»»»»»»»»»»»»»»»»» C:\Users\Dylan\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Start Menu


»»»»»»»»»»»»»»»»»»»»»»»» C:\Users\Dylan\FAVORI~1


»»»»»»»»»»»»»»»»»»»»»»»» Desktop


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 


»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys


»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components
 
 

»»»»»»»»»»»»»»»»»»»»»»»» o4Patch
!!!Attention, following keys are not inevitably infected!!!

o4Patch
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, following keys are not inevitably infected!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» Agent.OMZ.Fix
!!!Attention, following keys are not inevitably infected!!!

Agent.OMZ.Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, following keys are not inevitably infected!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, following keys are not inevitably infected!!!

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""
"LoadAppInit_DLLs"=dword:00000000


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\Windows\system32\userinit.exe,"

»»»»»»»»»»»»»»»»»»»»»»»» RK

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]




»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Realtek PCIe FE Family Controller
DNS Server Search Order: 192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{2258D898-0C19-487D-B0B8-380B0FD3C2A7}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\..\{326F3714-B2D7-4B01-B2C8-F79D750BF100}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{2258D898-0C19-487D-B0B8-380B0FD3C2A7}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{326F3714-B2D7-4B01-B2C8-F79D750BF100}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{2258D898-0C19-487D-B0B8-380B0FD3C2A7}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{326F3714-B2D7-4B01-B2C8-F79D750BF100}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1


»»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection


»»»»»»»»»»»»»»»»»»»»»»»» End


Que dois-je faire ??? 

SVP

kduc · Answer

Salut,

Qui t' as demandé de poster un rapport SmitFraudFix ?

Ne vois-tu pas que tu es dans le sujet de loqua !

PS : ton rapport ne révèle rien (de néfaste).

Dydou · Answer

Ok, alors comment je peut supprimé ce virus ??!

kduc · Answer

Salut,

Ouvre un sujet.

Un helper te viendra en aide.

LBT76240 · Answer

Si c'est le même que j'ai eu, suit cette soluce
Pour suprimer le virus ouvre windows defender
Va ensuite dans l'historique, tu remarquera que avant chaque info du Trojan il y a un programme Marquer Inconnu
Va voir dessus Pour exemple moi j'ai ceci
"Description :
Ce programme présente un comportement potentiellement non désiré.

Conseil :
N’autorisez cet élément détecté que si vous faites confiance au programme ou à l’éditeur du logiciel.

Ressources :
file:
C:\Windows	asks\{66BA574B-1E11-49b8-909C-8CC9E0E8E015}.job

file:
C:\Users\Core2Duo\AppData\Local\Temp\c.exe

taskscheduler:
C:\Windows	asks\{66BA574B-1E11-49b8-909C-8CC9E0E8E015}.job

Catégorie :
Non encore classifié"
Il m'a suffi de suprimer les 3 Ficher (C:\Windows	asks\{66BA574B-1E11-49b8-909C-8CC9E0E8E015}.job
C:\Users\Core2Duo\AppData\Local\Temp\c.exe
C:\Windows	asks\{66BA574B-1E11-49b8-909C-8CC9E0E8E015}.job)
Et depuis pu le message du Trojan

niglo640 · Answer

bonjour
j'ai exactement le meme probleme mais impossible de supprimé de trojan
quelqu'un peux maider a faire la manip ?

kduc · Answer

Salut, 

"Ouvre un sujet. 

Un helper te viendra en aide."

Merci de ta compréhension.

niglo640 · Answer

ok c'était juste pour pas encore ouvrir un post la dessus.
c'est ce qu'on fait en principe pour eviter la surcharge.

niglo640 · Answer

personne ne repond sur mon poste
c'est assez urgent
j'aimerai de l'aide
merci par avance

jacques.gache · Answer

niglo640 bonjour, donne nous le lien de ton sujet et ira voir mais perso je le trouve pas !!!

kduc · Answer

...

https://forums.commentcamarche.net/forum/affich-15855875-trojandownloader-win32-renos-jm#3

Si tu veux t' en charger ... car pour moi, c' est cuit pour ce soir.

franck · Answer

windows live one care scan de securtier et il suprimera tout seul apres analyse bye a +et bon courage pour le scan comple

Trojandownloader Win32/Renos.JM

38 réponses

Discussions similaires

Newsletters