Probleme trojan

j utilise macromedia c est bien

oui, pas facile.
je voudrais faire le mien, mais j'arrive pas à choisir le style général et le contenu lol, alors les css j'ai le temps !
j'essaye de tout faire avec photoshop(menu, boutons etc..), mais ca demande beaucoup trop de temps...

a+

j y pense parce que je ne suis vraiment pas en plein dans le forum je survole
je suis toujours en train de faire des feuilles de style pour mon site afin de nettoyer le code pour la validation du site
mais je galere quand ont debute la dedans

lol,
Maintenant que tu le dis, c'est vrai j'aurais du essayer l2mfix, mais j'y ai pas pensé sur le coup.

par contre tu nas pas tenter l2mfix
c etait une vx2 qui le recrere peut etre?

ouais, meme kaspersky est passé au travers !

quand je dit que defender est bon lol

salut dark

c'est la premiere fois que je vois un truc pareil, et bien content que ca finisse comme ca.
Car après avoir fais pas mal de recherches, j'ai pas vu beaucoups de posts sur le sujet resolus (peut etre 2 ou 3).
Bitdef a été decisif !

Pour le professionnalisme, lol c'est gentil mais l'info c'est pas du tout mon métier.
tous ceux qui aident sur le forum sont bénévoles, et pour la plupart l'info est une passion et pas leur profession.

En tout cas je suis sur que ton post resservira à d'autres qui ont le meme probleme.

a++

merci

votre professionalisme... 

ont est pas des proffessionnel mais des amateurs

salut moe, salut balltrap

merci encore pour votre aide,

effectivement les fichiers étaient bien là, mais invisible... c'est incroyable.

d'ailleurs pour la petite histoire, qd j'ai installé killbox sur mon bureau, l'icone n'apparaissait pas, alors qu'elle était bien présente car qd j'ai fais une reinstall avec enregistrement sur bureau, windows me demandait si je voulais ecraser le fichier.... j'ai du le renommer en kb.exe et non killbox.exe......

Aprés le bitdef, l'icone killbox.exe apparassait bien sur le bureau. Je crois que le trojan planquait certains fichiers.... la peur au ventre ?

bref, tout est bien maintenant et je vous remercis pour votre patience et votre professionalisme...

a+ et encore bravo !

salut dark vador, balltrap

Enfin !!! on en est venu à bout lol
bitdef à été royal sur le coup.

Pour la ligne de navlogon.dll, laisse là, elle n'est pas mauvaise.

Pour ces fichier que je t'avais fais rechercer:
C:\Windows\system32\loadctr.exe
C:\Windows\system32\rdsndin.exe
je vois d'après le rapport de bitdef qu'il étaient bien là !!

En tout cas belle bataille ;-)
Content que tu t'en soit debarrassé !

a+

salut
ne touche pas a cette lignes!!!!!!!!!!!!!!!!!

re,

je crois que c'est bon .....

voici le resultat du scan de bitfender :

BitDefender Online Scanner

Scan report generated at: Fri, Jul 01, 2005 - 00:19:51

Scan path: A:\;C:\;D:\;G:\;H:\;

Statistics

Time
00:27:26

Files
86224

Folders
3280

Boot Sectors
3

Archives
1163

Packed Files
7899

Results

Identified Viruses
5

Infected Files
5

Suspect Files
0

Warnings
0

Disinfected
0

Deleted Files
5

Engines Info

Virus Definitions
187353

Engine build
AVCORE v1.0 (build 2292) (i386) (Mar 3 2005 11:57:29)

Scan plugins
13

Archive plugins
39

Unpack plugins
4

E-mail plugins
6

System plugins
1

Scan Settings

First Action
Disinfect

Second Action
Delete

Heuristics
Yes

Enable Warnings
Yes

Scanned Extensions
exe;com;dll;ocx;scr;bin;dat;386;vxd;sys;wdm;cla;class;ovl;ole;hlp;doc;dot;xls;ppt;wbk;wiz;pot;ppa;xla;xlt;vbs;vbe;mdb;rtf;htm;hta;html;xml;xtp;php;asp;js;shs;chm;lnk;pif;prc;url;smm;pfd;msi;ini;csc;cmd;bas;

Exclude Extensions

Scan Emails
Yes

Scan Archives
Yes

Scan Packed
Yes

Scan Files
Yes

Scan Boot
Yes

Scanned File
Status

C:\WINDOWS\system32\rdsndin.exe
Infected with: Trojan.Click.526

C:\WINDOWS\system32\rdsndin.exe
Disinfection failed

C:\WINDOWS\system32\rdsndin.exe
Deleted

C:\WINDOWS\system32\f3PSSavr.scr
Detected with: Application.Adware.Funweb.A

C:\WINDOWS\system32\f3PSSavr.scr
Disinfection failed

C:\WINDOWS\system32\f3PSSavr.scr
Deleted

C:\WINDOWS\system32\loadctr.exe
Infected with: Trojan.Dropper.Small.ZX

C:\WINDOWS\system32\loadctr.exe
Disinfection failed

C:\WINDOWS\system32\loadctr.exe
Deleted

C:\WINDOWS\system32\yzquq.dll
Detected with: Adware.Iectr.A

C:\WINDOWS\system32\yzquq.dll
Disinfection failed

C:\WINDOWS\system32\yzquq.dll
Deleted

C:\WINDOWS\Help\SPAlert.chm
Infected with: Trojan.Bloon.A

C:\WINDOWS\Help\SPAlert.chm
Disinfection failed

C:\WINDOWS\Help\SPAlert.chm
Deleted

je suis allé dans la base de registre et j'ai pu effacer le fameux et non moins celebre csguv.exe

aprés un silent runners, plus d'infection avec ce fichier, par contre il reste ca :

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
INFECTION WARNING! NavLogon\DLLName = "C:\WINDOWS\System32\NavLogon.dll" [null data]

faut-il que j'efface cette clé egalement ?

et que dois-je faire pour etre sur du coup ? (adaware, spybot....)

merci encore pour ton aide précieuse et ta patience : pro et sympa.

penses-tu qu'on pourrai faire un dossier sur cette belle mer....e ?

A demain pour tes réponses..... et merci encore.

non, toujours là, mais je cherche des infos entre temps, mais pas grand chose de neuf.

ouvre l'editeur du registre
demarrer > executer tape regedit

rend toi sur
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\clic sur Winlogon
dans la fenetre de droite double clic sur system
efface la valeur csguv.exe
valide

1- Double-clic sur KillBox.exe
2- ouvre le bloc notes et copie la liste en gras ci-dessous
3- Selectionne "Delete on Reboot"
4- reviens sur le bloc-notes et surligne toute la liste, puis clic droit dessus et clic sur copier
5- reviens sur killbox, et dans le menu du haut clic sur tool, puis sur paste from clipboard
5- clic sur le rond rouge
6- une fenetre va apparaitre pour confirmation clic sur OUI
7- une seconde fenetre te demande si tu veux redemarrer clic sur OUI

liste:
C:\WINDOWS\csguv.exe
C:\WINDOWS\system\csguv.exe
C:\WINDOWS\system32\svchosts.exe
C:\WINDOWS\system32\cisvvc.exe
C:\WINDOWS\system32\drv2cltr.dll
C:\WINDOWS\system32\csguv.exe

une fois redemarré, fais un scan ici:
http://www.bitdefender.com/scan/licence.php

ce coup ci, j'arrete pour ce soir
à demain pour la suite

merci à tous les deux bonne nuit et à demain.....

mon ami,

je pense que moe est au lit, il te repondra surement demain.

Là trop au top pour mes modestes neurones donc je ne peux prendre la suite mais je te souhaite une bonne nuit.;

bien amicalement

jean

voici le log silent

"Silent Runners.vbs", revision 39, http://www.silentrunners.org/
Operating System: Windows XP
Output limited to non-default values, except where indicated by "{++}"

Startup items buried in registry:
---------------------------------

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"CTFMON.EXE" = "C:\WINDOWS\System32\ctfmon.exe" [MS]
"MSMSGS" = ""C:\Program Files\Messenger\msmsgs.exe" /background" [MS]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"F-Secure Manager" = ""C:\Program Files\Securitoo\av_fw\Common\FSM32.EXE" /splash" ["F-Secure Corporation"]
"F-Secure TNB" = ""C:\Program Files\Securitoo\av_fw\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW" ["F-Secure Corporation"]
"FSASWREG" = ""C:\Program Files\Securitoo\av_fw\Anti-Spyware\fsaswreg.exe"" [null data]

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "Extension Affichage Panorama du Panneau de configuration"
-> {CLSID}\InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Extension icône HyperTerminal"
-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\System32\hticons.dll" ["Hilgraeve, Inc."]
"{BDA77241-42F6-11d0-85E2-00AA001FE28C}" = "LDVP Shell Extensions"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Fichiers communs\Symantec Shared\SSC\vpshell2.dll" ["Symantec Corporation"]
"{42042206-2D85-11D3-8CFF-005004838597}" = "Microsoft Office HTML Icon Handler"
-> {CLSID}\InProcServer32\(Default) = "D:\Programmes\Office XP\Office10\msohev.dll" [MS]
"{52B87208-9CCF-42C9-B88E-069281105805}" = "Trojan Remover Shell Extension"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\TROJAN~1\Trshlex.dll" [file not found]
"{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\
INFECTION WARNING! "System" = "csguv.exe" [null data]

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
INFECTION WARNING! NavLogon\DLLName = "C:\WINDOWS\System32\NavLogon.dll" [null data]

HKLM\Software\Classes\*\shellex\ContextMenuHandlers\
LDVPMenu\(Default) = "{BDA77241-42F6-11d0-85E2-00AA001FE28C}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Fichiers communs\Symantec Shared\SSC\vpshell2.dll" ["Symantec Corporation"]
Trojan Remover\(Default) = "{52B87208-9CCF-42C9-B88E-069281105805}"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\TROJAN~1\Trshlex.dll" [file not found]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\
LDVPMenu\(Default) = "{BDA77241-42F6-11d0-85E2-00AA001FE28C}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Fichiers communs\Symantec Shared\SSC\vpshell2.dll" ["Symantec Corporation"]
Trojan Remover\(Default) = "{52B87208-9CCF-42C9-B88E-069281105805}"
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\TROJAN~1\Trshlex.dll" [file not found]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

Active Desktop and Wallpaper:
-----------------------------

Active Desktop is disabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState

HKCU\Control Panel\Desktop\
"Wallpaper" = "C:\Documents and Settings\Guillaume\Local Settings\Application Data\Microsoft\Wallpaper1.bmp"

Startup items in "Guillaume" & "All Users" startup folders:
-----------------------------------------------------------

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage
"Sagem - Utilitaire réseau pour Clé USB Wi-Fi 802.11g" -> shortcut to: "C:\Program Files\SAGEM Wi-Fi USB 802.11g\WLANUTL.exe" [" "]

Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]
000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

Transport Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
%SystemRoot%\system32\mswsock.dll [MS], 01 - 03, 06 - 19
%SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05

Miscellaneous IE Hijack Points
------------------------------

C:\WINDOWS\INF\IERESET.INF (used to "Reset Web Settings")

Added lines (compared with English-language version):
[Strings]: SAFESITE_VALUE="http://home.microsoft.com/intl/fr/"

Missing lines (compared with English-language version):
[Strings]: 1 line

Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

EPSON Printer Status Agent2, EPSONStatusAgent2, "C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe" ["SEIKO EPSON CORPORATION"]
F-Secure Distributed Firewall Daemon, FSDFWD, ""C:\Program Files\Securitoo\av_fw\DFW\Program\fsdfwd.exe"" ["F-Secure Corporation"]
F-Secure Gatekeeper Handler Starter, F-Secure Gatekeeper Handler Starter, ""C:\Program Files\Securitoo\av_fw\Anti-Virus\fsgk32st.exe"" ["F-Secure Corp."]
F-Secure Management Agent, FSMA, ""C:\Program Files\Securitoo\av_fw\Common\FSMA32.EXE"" ["F-Secure Corporation"]
fsbwsys, fsbwsys, ""C:\Program Files\Securitoo\av_fw\backweb\1044199\program\fsbwsys.exe"" ["F-Secure Corp."]
Securitoo AntiVirus Firewall, BackWeb Client - 1044199, "C:\PROGRA~1\SECURI~1\av_fw\backweb\1044199\Program\SERVIC~1.EXE" [null data]

----------
+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
launch it from a command prompt or a shortcut with the -all parameter.
+ The search for DESKTOP.INI DLL launch points on all local fixed drives
took 40 seconds.
+ The search for all Registry CLSIDs containing dormant Explorer Bars
took 19 seconds.
---------- (total run time: 93 seconds)

resultat de virus scan sur svchosts:

Service load: 0% 100%

File: svchosts.exe
Status: INFECTED/MALWARE
MD5 d872d44a48c5ad59cc2bfb9a6251b910
Packers detected: PE_PATCH, MEW
Scanner results
AntiVir Found nothing
ArcaVir Found nothing
Avast Found nothing
AVG Antivirus Found nothing
BitDefender Found Dropped:Trojan.PWS.Ldpinch.AK
ClamAV Found nothing
Dr.Web Found nothing
F-Prot Antivirus Found nothing
Fortinet Found nothing
Kaspersky Anti-Virus Found nothing
NOD32 Found nothing
Norman Virus Control Found W32/Suspicious_M.gen
VBA32 Found nothing

j'ai lodctr.exe et rdsaddin.exe

celui avec un s à la fin non
fais la analyser ici:
http://virusscan.jotti.org/