Comment supprimé les trojans aaa,bbb,ccc ...

Question

Bonjour et merci d'avance a tous ceux qui répondrons a cette question.
Depuis quelques temps des fichiers telle que aaa.exe bbb.exe ccc.exe ect.. apparècent régulièrement dans le répertoire WINNT/system32 (j'ai win2000 pro), j'ai essayer pratiquement tous les antivirus (AVG,Avast,Kaspersky ....) et ils me disent tous la méme chose,se sont des trojans puis je les suppriment et petit a petit ils reviennent 1 par 1 ,aaa,bbb,ccc,ddd,eee,fff,ggg,hhh,iii,jjj,kkk,lll,mmm,nnn,ooo,ppp,qqq,rrr,sss,ttt,uuu,vvv,
www,xxx,yyy,zzz.
J'aimerais savoir comment les supprimé définitivement de mon pc.

F[@]B · Answer

Logfile of HijackThis v1.99.1Scan saved at 17:49:42, on 19/06/2005Platform: Windows 2000  (WinNT 5.00.2195)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINNT\System32\smss.exeC:\WINNT\system32\winlogon.exeC:\WINNT\system32\services.exeC:\WINNT\system32\lsass.exeC:\WINNT\System32\Ati2evxx.exeC:\WINNT\system32\spoolsv.exeC:\Program Files\Alwil Software\Avast4\aswUpdSv.exeC:\Program Files\Alwil Software\Avast4\ashServ.exeC:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exeC:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exeC:\WINNT\System32\svchost.exeC:\WINNT\system32\hidserv.exeC:\WINNT\system32
nn.exeC:\WINNT\system32egsvc.exeC:\WINNT\system32\MSTask.exeC:\Program Files\Analog Devices\SoundMAX\SMAgent.exeC:\WINNT\System32\WBEM\WinMgmt.exeC:\WINNT\system32\Ati2evxx.exeC:\WINNT\Explorer.exeC:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeC:\Program Files\Logitech\iTouch\iTouch.exeC:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXEC:\Program Files\Friendly Technologies\BroadbandAccess\fts.exeC:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exeC:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exeC:\WINNT\loadqm.exeC:\Program Files\Alwil Software\Avast4\ashWebSv.exeC:\Program Files\Alwil Software\Avast4\ashMaiSv.exeC:\Program Files\Mozilla Firefox\firefox.exeC:\WINNT\system32\drwtsn32.exeC:\Documents and Settings\XXXXXX\Bureau\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.neuf.frR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO3 - Toolbar: @msdxmLC.dll,-1@1036,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocxO4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logonO4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeO4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exeO4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXEO4 - HKLM\..\Run: [%FP%Friendly fts.exe] "C:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe"O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUPO4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exeO4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exeO4 - HKLM\..\Run: [LoadQM] loadqm.exeO4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exeO9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\webelated.htmO9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\webelated.htmO17 - HKLM\System\CCS\Services\Tcpip\..\{D7FCDE8B-01F5-4007-8463-5D7FA7AA3EFD}: NameServer = 80.118.196.36 80.118.192.100O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exeO23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\System32\Ati2evxx.exeO23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exeO23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exeO23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exeO23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exeO23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exeO23 - Service: Network DDE Client (NetDDEclnt) - Unknown owner - C:\WINNT\system32
nn.exeO23 - Service: Remote Procedure Call (RPC) Client (RpcClient) - Unknown owner - C:\WINNT\System32pcclient.exe (file missing)O23 - Service: Smart Card Client (SCardClnt) - Unknown owner - C:\WINNT\System32\SCardClnt.exe (file missing)O23 - Service: Sound Sservice Driver  (Sound Service) - Unknown owner - C:\WINNT\System32\cfmon.exe (file missing)O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

bernie61 · Answer

salut
installes un antitrojan
a2free là
http://www.emsisoft.com/en/
ou celui-là
http://www.ewido.net/en/?section=features (payant après 30j)
ou scanTrojan en ligne : http://www.windowsecurity.com/trojanscan/
ou TDS-3 là http://tds.diamondcs.com.au/ (payant )
ou TrojanHunter 4.1
http://www.misec.net/trojanhunter/ (payant après 30j)
ou The Cleaner (payant après 30j)
http://www.moosoft.com/products/cleaner/download/
a+

Utilisateur anonyme · Answer

salutreposte un hijack pour voira+

Utilisateur anonyme · Answer

salut fabDéconnecte toi d'internet: Vide le cache d'Internet Explorer et supprime les cookies:* Panneau de configuration >> Options internet >> Onglet "Général"- Clic sur [supprimer les cookies]- Clic sur [Supprimer les fichiers] et coche la case "Supprimer tout le contenu hors connexion"Valide avec ok Redémarre en mode sans échec Laisse passer l'écran du bios, puis tapote sur la touche F8 avant qu'apparaisse l'écran de chargement de windows.  Choisis le mode sans échec dans les options et valide avec entrée. Rend visible les fichiers cachés et systeme panneau de configuration > options des dossiers > onglet affichage Cocher " afficher les fichiers et dossiers cachés "Décocher " masquer les extentions des fichiers dont le type est connu Décocher " masquer les fichiers protégés du système"clic sur ok pour valider-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_Dans le menu Demarrer>Executer >tape: Services.mscrecherche le service avec cette orthographe exacte:Network DDE ClientRemote Procedure Call (RPC) Client Smart Card ClientSound Sservice DriverDouble clic dessus et clic sur [arreter] puis dans :type de demarrage --> sélectionne désactivé.-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_recherche et supprime si présent:C:\WINNT\System32
etddeclnt.exe C:\WINNT\System32pcclient.exe C:\WINNT\System32\SCardClnt.exeC:\WINNT\System32\cfmon.exe+ tous les fichiers aaa.exe, bbb.exe etc...Supprime tous les fichiers temporaires avec ce prog: http://pageperso.aol.fr/Balltrap34/CleanUp312.exela demo ici:http://pageperso.aol.fr/balltrap34/democleanup.htmEnsuite lance hijackthisclic sur "open the misc tool section"clic sur "delete an NT service"tape: RpcClient ou si tu as un message d'erreur Remote Procedure Call (RPC) Client et validefais pareil avec:SCardClnt ou Smart Card Client Sound Service ou Sound Sservice Driver redemarre le pc, reposte un hijack et dis nous ou en sont tes soucis.a+

Utilisateur anonyme · Answer

il est toujours là (netddeclnt.exe )il faut, en mode sans echecsarreter le service qu'il à crée:Dans le menu Demarrer>Executer >tape: Services.msc recherche le service avec cette orthographe exacte: Network DDE Client Double clic dessus et clic sur [arreter] puis dans : type de demarrage --> sélectionne désactivépuis supprimer le fichier C:\WINNT\System32
etddeclnt.exeet supprimer le service:lance hijackthis clic sur "open the misc tool section" clic sur "delete an NT service" tape: NetDDEclnt et validenettoyage des fichiers temporaires avec cleanupou alors tu vide le contenu de:c:\winnt	empet dans demarrer > executer tape  %temp%et tu supprime tout ce qui apparait.redemarre le pc et va faire plusieurs scans av en ligne (je sais, c'est long mais bon...).http://housecall.trendmicro.comhttp://www.bitdefender.com/scan/licence.phphttp://www.pandasoftware.com/activescan/fr/activescan_principal.htmhttp://www.ravantivirus.comsi tu peux, fais les tous et n'oublie pas de noter le nom et le chemin des fichiers qui seront trouvés.a+

Utilisateur anonyme · Answer

salutfais analyser un de ces fichiers ici:http://virusscan.jotti.org/et poste le rapporta+

Utilisateur anonyme · Answer

salutreposte un hijack pour voir.apparement codbot ae est lié au fichier rpcclient.exe.a+

Utilisateur anonyme · Answer

ok, on va essayer autre chose.Telecharge: Pocket Killbox icihttp://www.downloads.subratam.org/KillBox.exeun petite aide en image pour l'utiliser ici:http://get.yourfile.net/ix48472.jpgImprime, ou fais un copier coller et enregistre dans le bloc note pour ne rien oublier.Déconnecte toi d'internet: Vide le cache d'Internet Explorer et supprime les cookies:* Panneau de configuration >> Options internet >> Onglet "Général"- Clic sur [supprimer les cookies]- Clic sur [Supprimer les fichiers] et coche la case "Supprimer tout le contenu hors connexion"Valide avec ok Redémarre en mode sans échec Laisse passer l'écran du bios, puis tapote sur la touche F8 avant qu'apparaisse l'écran de chargement de windows.  Choisis le mode sans échec dans les options et valide avec entrée. Rend visible les fichiers cachés et systeme panneau de configuration > options des dossiers > onglet affichage Cocher " afficher les fichiers et dossiers cachés "Décocher " masquer les extentions des fichiers dont le type est connu Décocher " masquer les fichiers protégés du système"clic sur ok pour valider-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_Dans le menu Demarrer>Executer >tape: Services.msc recherche les services avec cette orthographe exacte: (peut etre que certains ni seront pas, mais vaut mieux vérifier).Network DDE Client Remote Procedure Call (RPC) Client Smart Card Client Sound Sservice Driver Double clic dessus et clic sur [arreter] puis dans : type de demarrage --> sélectionne désactivé.  Lance hijackthis et clic sur "do a system scan only"cocher la case au début des lignes suivantes:O4 - HKLM\..\Run: [Windows Network Firewall] C:\WINNT\System32\firewall.exe O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\webelated.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\webelated.htm O23 - Service: Network DDE Client (NetDDEclnt) - Unknown owner - C:\WINNT\system32\ppp.exe valider avec [fix checked]-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_Ensuite, tres important::: Supprimer les fichiers temporaires ::demarrer > executer et tape  %temp%  (ca va ouvrir directement le dossier qui contient les fichiers temporaires)supprime tout. (pas le dossier, mais ce qu'il contient)* C:\Windows\Tempvider tout le contenu du dossier en gras.* Ne pas oublier de vider la corbeille !-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_1- Double-clic sur KillBox.exe2- ouvre le bloc note et copie la liste des fichiers à supprimer, en gras ci-dessous3- Selectionne "Delete on Reboot"4- Copie le chemin du 1er fichier de la liste en gras et colle dans "Full Path of File to Delete"5- clic sur la croix rouge6- une fenetre va apparaitre pour confirmation clic sur YES7- une seconde fenetre te demande si tu veux redemarrer clic sur NORecommence à l'étape 3 pour chaques fichiers de la liste en gras.Une fois le dernier fichier selectionnées, a l'étape 7 clic sur YESListe:C:\WINNT\System32
etddeclnt.exe C:\WINNT\System32pcclient.exe C:\WINNT\System32\SCardClnt.exe C:\WINNT\System32\cfmon.exeC:\WINNT\System32\firewall.exeC:\WINNT\System32\aaa.exeC:\WINNT\System32\bbb.exeC:\WINNT\System32\ccc.exeetc... jusqu'a C:\WINNT\System32\zzz.exetous les fichier ne seront peut etre pas présent, si tu recois un message de killbox du style:PendingFileRenameOperations Registry... etc dans ce cas, passe au fichier suivant dans la listele pc devrait redemarrer tout seul.une fois revenu en mode normal, reposte un hijack.a+

Utilisateur anonyme · Answer

dur dur :-(

lance hijackthis, clic sur "open the misc tools section"
là tu va voir un bouton "generate startuplist log" et juste à coté 2 cases.
coche les et ensuite appuie sur "generate startuplist log"
ca va generer un log plus long et plus detaillé.
poste le resultat

a+

Utilisateur anonyme · Answer

salut fab

pas facile, car il n'y a pas grand chose dans ton hijack.
a part ceci XoftSpy.job.
xoftspy est un faux utilitaire de securité, désinstalle le.
va dans C:\WINDOWS\Task et supprime XoftSpy.job.

ensuite telecharge:

PFIND-New
http://www.bleepingcomputer.com/files/grinler/pfind-new.zip
et
rkfiles
http://skads.org/special/rkfiles.zip

redemarre en mode sans echecs et double clic sur pfind.bat et sauvegarde le rapport.
ensuite double clic sur rkfiles.bat et sauvegarde le rapport.

redemarre normalement et poste ici les 2 rapports.

en esperant que ca nous en apprendra un peu plus...

a+

Utilisateur anonyme · Answer

salut fabje peux pas trop rester ce midi, je repasse ce soir.poste les log des 2 progs + un hijacka+

Sir_taky · Answer

Moi qui croyait que j'étais le seul !!!
Quelle galère ! Cela fait 3 jours que je me bats également contre cette merde !
Ah les nuits blanches devant le PC...
Magré mes efforts, il est toujours là et Mcfee et Antivir et Zonealarm ne voient rien
Je venais chercher un peu d'aide car je ne m'en sors plus.
Je vais tester tes manips Moe31 et à ce titre je te remercie déjà de ton aide !
Je repars à l'attaque de mon uuu.exe
et je vous tiens au courant !

Neo-Nil@u · Answer

Salut Sir_taky !!!

Salut !!! Télécharge HijackThis :
http://www.hijackthis.de/downloads/hijackthis_199.zip
L'aide est ici :
http://www.zebulon.fr/articles/HijackThis.php

*** Dezippe-le dans un dossier prévu à cet effet
Par exemple = C:\hijackthis
*** Lance le puis clique sur "do a system scan and save logfile"
*** Fais un copier coller du log entier sur le forum

@+++

Sir_taky · Answer

Merci Neo-Nil@uJe fais cela ce soir ou demain, une fois rentré à la casa !

Sir_taky · Answer

Mes symptomes sont similaires à ceux de F@b à savoir :
(je suis sous W2000)
- apparition d'un uuu.exe dans les processus en cours (impossible à enlever en direct meme en mode sans echec)
- blocage du driver de ma carte son (winamp et windows media player ne se lancent pas du coup)
- apparition de fichiers dll sous system32, contenant divers trojans détectés par antivir, effacés par ce dernier et... ils reviennent
- il y également un repertoire Adcache que j'efface qui revient
heu... je crois que c'est tout !

Sir_taky · Answer

Et c'est parti pour le Log d'Hijack...
Pour complément, j'avais installé bitdefender (oui une version cracké j'ai honte) et sa saleté de fichier vsserv.exe me ralentissait mon PC.
Je l'ai donc désinstallé tant bien que mal mais il reste qq traces dont je n'arrive pas à me défaire (cf 2 dernieres lignes du log)

De plus, pour les symptomes voilà ce que me detecte AVR de temps en temps...
"C:\WINNT\SYSTEM32\POOJHGSF.EXE
Contains a signature of the (dangerous) backdoor program BDS/PoeBot.B Backdoor server programs"

mais place au log et encore merci pour vos aides éclairées !!

----------------------------------------
Logfile of HijackThis v1.99.1
Scan saved at 20:50:05, on 24/06/2005
Platform: Windows 2000 SP2 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\csrss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Program Files\AVPersonal\AVGUARD.EXE
C:\Program Files\AVPersonal\AVWUPSRV.EXE
C:\WINNT\System32\CTsvcCDA.EXE
C:\WINNT\system32\uuu.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
E:\Program Files\Photodex\ProShowGold\ScsiAccess.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\system32\ZONELABS\vsmon.exe
C:\WINNT\Explorer.EXE
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe
C:\WINNT\SOUNDMAN.EXE
C:\Program Files\D-Tools\daemon.exe
C:\PROGRA~1\mcafee.com\agent\McUpdate.exe
C:\PROGRA~1\mcafee.com\agent\McAgent.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\Creative\MediaSource\Detector\CTDetect.exe
c:\progra~1\mcafee.com\vso\mcvsescn.exe
C:\Program Files\SEC\MagicTune 2.5\GammaTray.exe
C:\Program Files\Antipub\antipub.exe
C:\Documents and Settings\Malphas\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\Malphas\LOCALS~1\Temp\se.dll/sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.fr/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: SearchToolbar - {08BEC6AA-49FC-4379-3587-4B21E286C19E} - C:\WINNT\System32\orjrx.dll (file missing)
O2 - BHO: (no name) - {4CEB256D-33FB-410A-8A5C-12F593967D0D} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FLASHGET\jccatch.dll
O2 - BHO: Internet Explorer Hot Fix - {F7C3EF6C-4C53-439C-8509-170FC9F716DD} - C:\WINNT\System32\gvgev.dll (file missing)
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\fgiebar.dll
O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033 -lock
O4 - HKLM\..\Run: [MCUpdateExe] C:\PROGRA~1\mcafee.com\agent\McUpdate.exe
O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\McAgent.exe
O4 - HKLM\..\Run: [VSOCheckTask] "c:\PROGRA~1\mcafee.com\vso\mcmnhdlr.exe" /checktask
O4 - HKLM\..\Run: [VirusScan Online] "c:\PROGRA~1\mcafee.com\vso\mcvsshld.exe"
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [Creative Detector] C:\Program Files\Creative\MediaSource\Detector\CTDetect.exe /R
O4 - Startup: Anti-Pub.lnk = C:\Program Files\Antipub\antipub.exe
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Color Calibration.lnk = C:\Program Files\SEC\MagicTune 2.5\GammaTray.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Télécharger avec FlashGet - C:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: Télécharger tout avec FlashGet - C:\Program Files\FlashGet\jc_all.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {297F2B65-017C-11D5-A128-00D0B7869AD6} (SpectorPhotoUploader Control) - http://www.extrafilm.fr/import/spu.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/shared/mcinsctl/fr/4,0,0,90/mcinsctl.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {92E7E45A-D8C8-480E-AF99-176E43997CAA} (Aurigma Image Uploader 3.0 Combo Control) - http://www.photoenligne.com/Components/Upload/ImageUploader3.cab
O16 - DPF: {E87F6C8E-16C0-11D3-BEF7-009027438003} (Persits Software XUpload) - http://www.girafoto.fr/XUpload.ocx
O16 - DPF: {FD18DD5E-B398-452A-B22A-B54636BA9F0D} (Aurigma Image Uploader 2.5) - http://www.easyfoto.fr/fonctions/ImageUploader2.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{92F96D8D-CE84-4673-9776-EE23487DD3DF}: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CCS\Services\Tcpip\..\{D27F9CF5-3C38-4D26-84F7-9297607277B6}: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CCS\Services\Tcpip\..\{F58CA0C4-26E2-4495-AAD0-CA459B26E6C8}: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CS1\Services\VxD\MSTCP: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CS2\Services\VxD\MSTCP: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CS3\Services\VxD\MSTCP: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 69.50.184.84,195.225.176.37
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\System32\Ati2evx (file missing)
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINNT\System32\CTsvcCDA.EXE
O23 - Service: Managing FAT and NTFS partitions (Defragmentation Manager) - Unknown owner - C:\WINNT\system32\uuu.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: McAfee.com McShield (McShield) - Unknown owner - c:\PROGRA~1\mcafee.com\vso\mcshield.exe
O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\PROGRA~1\McAfee.com\Agent\mcupdmgr.exe
O23 - Service: McAfee.com VirusScan Online Realtime Engine (MCVSRte) - McAfee, Inc - c:\PROGRA~1\mcafee.com\vso\mcvsrte.exe
O23 - Service: ScsiAccess - Unknown owner - E:\Program Files\Photodex\ProShowGold\ScsiAccess.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINNT\system32\ZONELABS\vsmon.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Program Files\Softwin\BitDefender8\vsserv.exe" /service (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

Neo-Nil@u · Answer

Tout d'abord, imprime ce message pour ne rien oublier

*** Déconnecte toi d'Internet

*** Vide ton cache Internet :

Panneau de configuration - Options Internet :
- Clique sur "Supprimer les cookies"
- Clique sur "Supprimer les fichiers" en cochant la case
Puis valide ...

*** Désactive la restauration système
Clic droit sur poste de travail - propriétés - onglet Restauration système
Coche "désactiver la restauration système" (accepte le redémarrage).

*** Redémarre en mode sans échec
Laisse passer l'écran du bios, puis tapote sur la touche F8.
Choisis le mode sans échec dans les options et valide avec entrée.

*** Rend visible les fichiers cachés et système :
Panneau de configuration - Options des dossiers - onglet Affichage
Coche " Afficher les fichiers et dossiers cachés "
Décoche " Masquer les extensions des fichiers dont le type est connu"
Décoche " Masquer les fichiers protégés du système" puis valide

*** Toujours en mode sans échec, lance hijackthis et fixe :
(Coche les cases au début des lignes suivantes)

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\Malphas\LOCALS~1\Temp\se.dll/sp.html
O2 - BHO: SearchToolbar - {08BEC6AA-49FC-4379-3587-4B21E286C19E} - C:\WINNT\System32\orjrx.dll (file missing)
O2 - BHO: (no name) - {4CEB256D-33FB-410A-8A5C-12F593967D0D} - (no file)
O23 - Service: Managing FAT and NTFS partitions (Defragmentation Manager) - Unknown owner - C:\WINNT\system32\uuu.exe

Puis valide avec Fix Checked

*** Recherche et supprime si présent :

[Dans le cas ou tu utiliserais la fonction Rechercher :
Tous les fichiers et tous les dossiers - Options avancées
• Rechercher dans les dossiers systèmes } DOIT ÊTRE COCHÉ
• Rechercher dans les fichiers et les dossiers cachés } DOIT ÊTRE COCHÉ
• Rechercher dans les sous-dossiers } DOIT ÊTRE COCHÉ

*** Supprime :

C:\Windows\System32\uuu.exe

*** Supprime les fichiers temporaires avec ce petit programme :
http://pageperso.aol.fr/Balltrap34/CleanUp312.exe

Ou manuellement : vide tout le contenu des dossiers en gras :
-- C:\Documents and Settings\ton compte\Local Settings\Temp
-- C:\Documents and Settings\tous les autres comptes\Local Settings\Temp
-- C:\Temp
-- C:\Windows\Temp
-- C:\WINDOWS\Prefetch : Sauf le fichier layout.ini

*** Vide ta corbeille !

Redémarre normalement ton PC. Ensuite, fais un scan AV ici :
http://www.ravantivirus.com/scan/
Clique sur "To continue without subscribing click here" et attends
Lorsque "Ready" est affiché dans "status", coche la case Autoclean et clique sur "Scan my PC"
A la fin de l'analyse, copie/colle le rapport ici + un nouveau rapport Hijackthis

@+++

Sir_taky · Answer

Salut

Désolé pour le retard dans la réponse. Bon alors, j'ai fait la manip indiquée mais impossible de virer mon uuu.exe.
Apres plusieurs essais, un eee.exe est apparu.
J'ai donc appliqué ta méthode au dessus en passant par la commande services.msc pour désactivé le eee.exe.
J'ai pu donc le supprimer
Néanmoins, la commande ou l'executable doit toujours être en activité car mon antivirus me previent de l'apparition de nouveaux fichiers dès que je me connecte au net.

Question le ATI2EVX.exe ne serait il pas à l'origine de ces pbs ?

Bref voici le hijack

----------------------------------------------------------------------
Logfile of HijackThis v1.99.1
Scan saved at 13:01:43, on 26/06/2005
Platform: Windows 2000 SP2 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\csrss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Program Files\AVPersonal\AVGUARD.EXE
C:\Program Files\AVPersonal\AVWUPSRV.EXE
C:\WINNT\System32\CTsvcCDA.EXE
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
E:\Program Files\Photodex\ProShowGold\ScsiAccess.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\system32\ZONELABS\vsmon.exe
C:\WINNT\Explorer.EXE
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\SOUNDMAN.EXE
C:\Program Files\D-Tools\daemon.exe
C:\PROGRA~1\mcafee.com\agent\mcupdate.exe
C:\PROGRA~1\mcafee.com\agent\McAgent.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\Creative\MediaSource\Detector\CTDetect.exe
C:\Program Files\SEC\MagicTune 2.5\GammaTray.exe
C:\Program Files\Antipub\antipub.exe
c:\progra~1\mcafee.com\vso\mcvsescn.exe
C:\Documents and Settings\Malphas\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.fr/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.fr/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FLASHGET\jccatch.dll
O2 - BHO: Internet Explorer Hot Fix - {F7C3EF6C-4C53-439C-8509-170FC9F716DD} - C:\WINNT\System32\gvgev.dll (file missing)
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\fgiebar.dll
O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033 -lock
O4 - HKLM\..\Run: [MCUpdateExe] C:\PROGRA~1\mcafee.com\agent\McUpdate.exe
O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\McAgent.exe
O4 - HKLM\..\Run: [VSOCheckTask] "c:\PROGRA~1\mcafee.com\vso\mcmnhdlr.exe" /checktask
O4 - HKLM\..\Run: [VirusScan Online] "c:\PROGRA~1\mcafee.com\vso\mcvsshld.exe"
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [Creative Detector] C:\Program Files\Creative\MediaSource\Detector\CTDetect.exe /R
O4 - Startup: Anti-Pub.lnk = C:\Program Files\Antipub\antipub.exe
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Color Calibration.lnk = C:\Program Files\SEC\MagicTune 2.5\GammaTray.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Télécharger avec FlashGet - C:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: Télécharger tout avec FlashGet - C:\Program Files\FlashGet\jc_all.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\System32\msjava.dll
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {297F2B65-017C-11D5-A128-00D0B7869AD6} (SpectorPhotoUploader Control) - http://www.extrafilm.fr/import/spu.cab
O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/shared/mcinsctl/fr/4,0,0,90/mcinsctl.cab
O16 - DPF: {92E7E45A-D8C8-480E-AF99-176E43997CAA} (Aurigma Image Uploader 3.0 Combo Control) - http://www.photoenligne.com/Components/Upload/ImageUploader3.cab
O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (ASquaredScanForm Element) - http://www.windowsecurity.com/trojanscan/axscan.cab
O16 - DPF: {E87F6C8E-16C0-11D3-BEF7-009027438003} (Persits Software XUpload) - http://www.girafoto.fr/XUpload.ocx
O16 - DPF: {FD18DD5E-B398-452A-B22A-B54636BA9F0D} (Aurigma Image Uploader 2.5) - http://www.easyfoto.fr/fonctions/ImageUploader2.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{92F96D8D-CE84-4673-9776-EE23487DD3DF}: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CCS\Services\Tcpip\..\{D27F9CF5-3C38-4D26-84F7-9297607277B6}: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CCS\Services\Tcpip\..\{F58CA0C4-26E2-4495-AAD0-CA459B26E6C8}: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CS1\Services\VxD\MSTCP: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CS2\Services\VxD\MSTCP: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CS3\Services\VxD\MSTCP: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 69.50.184.84,195.225.176.37
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\System32\Ati2evx (file missing)
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINNT\System32\CTsvcCDA.EXE
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: McAfee.com McShield (McShield) - Unknown owner - c:\PROGRA~1\mcafee.com\vso\mcshield.exe
O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\PROGRA~1\McAfee.com\Agent\mcupdmgr.exe
O23 - Service: McAfee.com VirusScan Online Realtime Engine (MCVSRte) - McAfee, Inc - c:\PROGRA~1\mcafee.com\vso\mcvsrte.exe
O23 - Service: ScsiAccess - Unknown owner - E:\Program Files\Photodex\ProShowGold\ScsiAccess.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINNT\system32\ZONELABS\vsmon.exe

Merci de ton aide

Sir_taky · Answer

Alors F@b ? As tu réussi à t'en débarasser ?

Comment supprimé les trojans aaa,bbb,ccc ...

19 réponses

Discussions similaires

Newsletters