trojan-spy.html.smitfraud

Question

Bonjour,
depuis 02 jours j'ai un messages au démarrage de mon pc (win 2000 pro) qui m'informe que je suis infecté par un virus qui se nommerais "trojan-spy.html.smitfraud". Je n'arrive pas à avoir accès au net à partir de ce pc et je ne peux pas non plus modifier mon papier peint.
J'ai éffectué un scan de mon pc avec mon antivirus et ca n'a rien donné. J'ai donc installé a-carré et éffectué un autre scan il a trouvé des malwares que j'ai supprimé mais mon problème persiste.

A l'aide je ne sais plus quoi faire

balltrap34 · Answer

salutessai davoir acces au net en mode sans echec avec prise en charge reseauensuite telecharge cecihttp://siri.urz.free.fr/Fix/SmitfraudFix.ziptu le decompresse tu double clik dessus et tu choisi l option 1cela vas generer un rapport donne nous lerelance le et choisi cette fois l option 2 et repond oui a tousredemarre et donne le nouveau rapport

Utilisateur anonyme · Answer

salut,balltrap te demande le rapport avec l option 1et le rapport avec l option 2bye

balltrap34 · Answer

salut regis heu quentinpour kityet fait un hijackfait ceci HijackThis                         (ici)              http://www.florensac-chasse-trap.com/   section virussection virus telecharge le et met le dans son propre dossier ex/c :hjclik sur do a systeme scan et save a logfileet copier coller le rapportdemohttp://pageperso.aol.fr/balltrap34/demohijack.htm

balltrap34 · Answer

fait ceci clik sur demarrer/executer et tape cecinetsh winsock reset catalog

kity · Answer

En mode netsh, la commande winsock n'existe pas, je te reprecise que j'ai windows 2000 pro comme os

balltrap34 · Answer

lol oui c est pour xp sp2telecharge ceci  http://translate.google.com/translate?hl=fr&sl=en&u=http://www.cexx.org/lspfix.htm&prev=/search%3Fq%3Dlspfix%26num%3D100%26hl%3Dfr%26lr%3D%26ie%3DUTF-8http://www.cexx.org/LSPFix.exeTu le lances. Tu coches "I know what I'm doing" Tu fais passer dans "remove" tout ce qui a trait à fltmgr.dll Et surtout rien d'autre! Tu cliques "finish".

balltrap34 · Answer

salut imprime ceci pour ne rien oublier et tous fairetous faire dans l ordre imperativement-------------------------tous da bord telecharge ces programmes si tu ne les a pas et met les a jour mais ne les utilise pas encore et verifie que tu as les bonnes version c est imperatifad-aware (1)version 1.06 (ici)               http://www.florensac-chasse-trap.com/   section virusvoir demo http://pageperso.aol.fr/balltrap34/adwseflash.zip

balltrap34 · Answer

saluthttp://siri.urz.free.fr/Fix/SmitfraudFix.ziptu le decompresse tu double clik dessus et tu choisi l option 1cela vas generer un rapport donne nous lerelance le et choisi cette fois l option 2 et repond oui a tousredemarre et donne le nouveau rapportcompleter a la fin par hijack

kity · Answer

Sltmerci pour le coup de main j'ai finalement reussi à résoudre le problème en faisant ce que vous m'avez demandé et windows update.Encore une fois merci bcp

balltrap34 · Answer

je doute que tous soit clean met nous les rapports

balltrap34 · Answer

fait le fix sur toute les machine option 1 et 2et un hijack aussi pour chaque ne melange pas les rapport des machineet donne moi les rapports donc 3 par machine

kity01 · Answer

Voici les logs de la première machine1 :SmitFraudFix v0.7Rapport fait à 15:32:47,79 le lun. 18/07/2005Executé à partir de F:\Trojan\SmitfraudFixOS: Microsoft Windows 2000 [Version 5.00.2195]»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINNT»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINNT\Web»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINNT\system32»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINNT\system32\LogFiles»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Program Files»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport2:SmitFraudFix v0.7Rapport fait à 15:33:15,03 le lun. 18/07/2005Executé à partir de F:\Trojan\SmitfraudFixOS: Microsoft Windows 2000 [Version 5.00.2195]»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés »»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre Nettoyage terminé. »»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport3: hijackLogfile of HijackThis v1.99.1Scan saved at 15:31:17, on 18/07/2005Platform: Windows 2000 SP4 (WinNT 5.00.2195)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINNT\System32\smss.exeC:\WINNT\system32\winlogon.exeC:\WINNT\system32\services.exeC:\WINNT\system32\lsass.exeC:\WINNT\system32\svchost.exeC:\WINNT\system32\spoolsv.exeC:\WINNT\System32\svchost.exeC:\WINNT\image.exeC:\Program Files\Trend Micro\OfficeScan Client
trtscan.exeC:\WINNT\system32\MSTask.exeC:\Program Files\Trend Micro\OfficeScan Client	mlisten.exeC:\WINNT\System32\WBEM\WinMgmt.exeC:\WINNT\system32\svchost.exeC:\Program Files\Trend Micro\OfficeScan Client\ofcdog.exeC:\WINNT\Explorer.EXEC:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exeC:\Program Files\Media Gateway\MediaGateway.exeC:\WINNT\system32\internat.exeD:\HijackThis.exeO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocxO4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logonO4 - HKLM\..\Run: [Moniteur OfficeScanNT] "C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindowO4 - HKLM\..\Run: [Media Gateway] C:\Program Files\Media Gateway\MediaGateway.exeO4 - HKCU\..\Run: [internat.exe] internat.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXEO9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dllO16 - DPF: {00134F72-5284-44F7-95A8-52A619F70751} (ObjWinNTCheck Class) - http://192.168.1.4/officescan/ClientInstall/WinNTChk.cabO16 - DPF: {08D75BB0-D2B5-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment SetupIniCtrl Class) - http://192.168.1.4/officescan/clientinstall/setupini.cabO16 - DPF: {08D75BC1-D2B5-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment SetupCtrl Class) - http://192.168.1.4/officescan/clientinstall/setup.cabO16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/Bridge-c139.cabO16 - DPF: {5EFE8CB1-D095-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment ObjRemoveCtrl Class) - http://192.168.1.4/officescan/clientinstall/RemoveCtrl.cabO23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exeO23 - Service: WIN32 (image) - Unknown owner - C:\WINNT\image.exeO23 - Service: Scan en temps réel OfficeScanNT (ntrtscan) - Unknown owner - C:\Program Files\Trend Micro\OfficeScan Client
trtscan.exeO23 - Service: OfficeScanNT Listener (tmlisten) - Unknown owner - C:\Program Files\Trend Micro\OfficeScan Client	mlisten.exe

balltrap34 · Answer

salut voila pour le 1desinstal dans ajout suppr de prog si tu trouve ceciMedia Gateway imprime ceci pour ne rien oublier et tous fairetous faire dans l ordre imperativement-------------------------tous da bord telecharge ces programmes si tu ne les a pas et met les a jour mais ne les utilise pas encore et verifie que tu as les bonnes version c est imperatifad-aware (1)version 1.06 (ici)               http://www.florensac-chasse-trap.com/   section virusvoir demo http://pageperso.aol.fr/balltrap34/adwseflash.zip

kity01 · Answer

Ok c fais, j'ai éffectivement trouver ke fichier rdriv.sys et j'ai fais la procédure comme tu me l'as dis. Que dois je faire maintenant?

balltrap34 · Answer

fait le analyser ici stprdriv.sys 19 editeur d anti virushttp://www.virustotal.com/xhtml/virustotal_en.html

kity01 · Answer

Voici le resultat sur virustotal.comAntivirus	Version	Update	ResultAntiVir	6.31.0.9	07.18.2005	no virus foundAVG	718	07.18.2005	no virus foundAvira	6.31.0.9	07.18.2005	no virus foundBitDefender	7.0	07.18.2005	Trojan.Rootkit.LCAT-QuickHeal	7.03	07.18.2005	no virus foundClamAV	devel-20050712	07.18.2005	no virus foundDrWeb	4.32b	07.18.2005	no virus foundeTrust-Iris	7.1.194.0	07.17.2005	no virus foundeTrust-Vet	11.9.1.0	07.18.2005	no virus foundFortinet	2.36.0.0	07.18.2005	no virus foundF-Prot	3.16c	07.18.2005	no virus foundIkarus	2.32	07.18.2005	no virus foundKaspersky	4.0.2.24	07.18.2005	Rootkit.Win32.Agent.pMcAfee	4537	07.18.2005	no virus foundNOD32v2	1.1171	07.18.2005	no virus foundNorman	5.70.10	07.14.2005	no virus foundPanda	8.02.00	07.18.2005	no virus foundSybari	7.5.1314	07.18.2005	Rootkit.Win32.Agent.pSymantec	8.0	07.17.2005	no virus foundTheHacker	5.8.2.072	07.18.2005	no virus foundVBA32	3.10.4	07.18.2005	no virus foundVirusTotal is a free service offered by Hispasec Sistemas. There are no guarantees about the availability and continuity of this service. Although the detection rate afforded by the use of multiple antivirus engines is far superior to that offered by just one product, these results DO NOT guarantee the harmlessness of a file. Currently, there is not any solution that offers a 100% effectiveness rate for detecting viruses and malware.> Go to: Home Contact En español ________________________________________www.virustotal.com :: @ Hispasec Sistemas 2004 :: e-mail info@virustotal.com

balltrap34 · Answer

vas ici et fait scanner le fichier il vas peut etre le virerScan bit defenderhttp://www.bitdefender.frclik sur scan on line a gauche et suis la procedure

kity01 · Answer

J'ai plutôt fais un scan sur le site re RAV en voici le log :Scan started at 18/07/2005 17:57:19 Scanning memory...Scanning boot sectors...Scanning files...C:\sign.exe->(UPXW)->(RARSfx)->ransy.reg - Trojan:WinREG/LowZones.O* -> InfectedC:\sign.exe->(RARSfx)->ransy.reg - Trojan:WinREG/LowZones.O* -> InfectedScanned============================	Objects: 14337	Directories: 752	Archives: 595	Size(Kb): 1892515	Infected files: 2Found============================	Viruses found: 1	Suspicious files: 0	Disinfected files: 0	Mail files: 36

balltrap34 · Answer

si je t est demander de le faire sur bit defender c est qu il desinfect pas ravet pendant que tu y est supp ce fichierC:\sign.exe

kity01 · Answer

Ok le scan sur bitDefender est en cours

balltrap34 · Answer

oki

kity01 · Answer

Apparament il a supprimer le fichier mais je ne redemarre le pc pr voir comment il se comporte.Au fait t'aurais pas messenger ou un truc comme ca je pense que se serait beaucoup plus simple. Si biensur ca ne te gene pas d'avoir un emmerdeur comme moi dans ta liste de contacts :) .Encore merci pour tout

balltrap34 · Answer

donne moi le rapport de bit defenderet desoler je donne pas d adresse t imagine si je la donnele nombre qui chercherais a me contacter lol

kity01 · Answer

Ok je te comprend.
A la fin de l'analyse bitdefender il y a une fenetre qui est apparue "envoyer le rapport" j'ai cliquer la dessus mais rien ne s'est passé. Alors je ne sais pas trop comment faire vu que c'était une analyse en ligne

balltrap34 · Answer

lol tu te rapalle quel fichier trouver et suppr

kity01 · Answer

Yep c le fichier rdriv.sys ds le repertoire system32

balltrap34 · Answer

si il la virer c est pas malpour finir se serait bien que tu scan tous le pc sur bit defender par securite

kity01 · Answer

Beh je croyais k'il l'avais viré mais ca continu alors je viens de lancer un scan avec Kaspersky Personal ke je viens de telecharger. J'attend dc le log pr te le transmettre

balltrap34 · Answer

tu avais deja un anti virus n en met pas d autres cela vas etre pire

balltrap34 · Answer

pourquoi tu nas pas fait le scan sur defender de ton pc comme je te l est demanderlol si tu fait n importe quoi moi je laisse tomber

kity01 · Answer

beh j'ai fais le scan seulement j'avais pas pu avoir le rapport.k'est ce k eje fais maintenant?

balltrap34 · Answer

le scan complet de ton pc pas juste le fichier et pour le rapportne clik pas sur envoyer se'lectionne le a la souris et met le ici

kity01 · Answer

ok c comprisdis si je fais le scan en mode sans echec avec prise ne charge réseau c mieux ou alors je pe le faire ne mode normal?

balltrap34 · Answer

jamais fait comme cela?

kity01 · Answer

Ok po grave j'ai lancé le scan en mode normal mais il n'a pas encore fini.Mais je te signale ke kaspersky l'a enlevé et je n'ai plus les manifestations du virus

balltrap34 · Answer

oki pour kasperymais ne laisse pas deux anti virus actif sur ton pc en meme temp sinon tu vas au devant d ennuieje ne parle pas des scan en lignes c est different

kity01 · Answer

Ok merci pour le conseil.
J'attend la fin du scan de bitdefender et je t'envois le log.
Mais est ce que je dois faire la même chose pour les autres pc ( j'en ai presqu'une dizaine qui st infectés)?
et comment je fais pour me premunir de ce genre d'attaques?

Merci.

balltrap34 · Answer

loldix cela vas pas etre faciletu est une entreprise lol

kity01 · Answer

LOLcomment je fais pr cette attaque en particulier?

balltrap34 · Answer

deja le mieux c est de mettre sur chaque pc les log que je t est fait telecharger(spybot/ad-aware/cleanUP/a2)
les utiliser les mettre a jour avant
et virer tous se qu il trouve
ensuite scan chaque pc sur bit defendenr

voila

kity01 · Answer

Ok merci pr ttJe crois que ce pc à été complètement néttoyé.Merci encore et bonne soiré.Je te tiens informé demain

balltrap34 · Answer

ouiokia++

Trojan-spy.html.smitfraud

42 réponses

Discussions similaires

Newsletters