Suis Nouveau !!

Question

Bonsoir,Nouveau sur Forum.. J'Ai posté un SOS samedi pour Trojan AF ! Comment ça sa passe ? Help Please !

aranjuez31 · Answer

bjr
ds l ordre
1/ - telech
ewido (dowload)
http://www.ewido.net/fr/download/
copie/COLLE rapport entier

2/ - scan online sous IE
http://www.bitdefender.fr/bd/site/search.php#
copie/COLLE rapport entier

3/ -
telech
http://telechargement.zebulon.fr/160-patch-francais-pour-hijackthis-1991.html
exécute suivant tutos
http://pageperso.aol.fr/balltrap34/Hijenr.gif
http://pageperso.aol.fr/balltrap34/demohijack.htm

aranjuez31 · Answer

re
pas super
j'avais ddé
1 - rapport d ewido
2 - rapport de bitdefeder
à quoi bon se casser le cul à numéroter l ordre des choses ??
et en plus tu m envoies deux fois le rapport de 3
comme ça on va faire du boulot inutile en plus
c est pas vrai ça de ne pas être foutu de lire correctement
dois-je m exprimer en anglais, en espagnol, en allemand, en arabe ce serait plus facile pour moi
bref
======================

ouvre hijack
fixe ces lignes
R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://searchmiracle.com/sp.php
+
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=56626&homepage=about:blank ~
+
O15 - Trusted Zone: *.scoobidoo.com (HKLM)
O15 - Trusted IP range: 206.161.125.149 (HKLM)
+
O16 - DPF: {00000000-0000-0000-0000-000020030000} - http://www.advnt01.com/dialer/fra_pao.exe
O16 - DPF: {00000000-0000-0000-0000-000020040000} - http://207.234.185.217/ABoxInst_int10.exe
O16 - DPF: {24311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab
O16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\ex.cab
O16 - DPF: {33331111-1111-1111-1111-611111193458} - file://c:\ex.cab
O16 - DPF: {45E83043-1F6F-4D22-A5E7-0138EA171B49} (FileSharingCtrl Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/FileSharing/fr/filesharingctrl.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/08aee00a6156bd36db17/netzip/RdxIE601_fr.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1141489141562
O16 - DPF: {A8F2B9BD-A6A0-486A-9744-18920D898429} (ScorchPlugin Class) - http://www.sibelius.com/download/software/win/ActiveXPlugin.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O16 - DPF: {FE0BD779-44EE-4A4B-AA2E-743C63F2E5E6} (IWinAmpActiveX Class) - http://pdl.stream.aol.com/downloads/aol/unagi/ampx_en_dl.cab
~~~~~~~~~~~~~~~~~~~~~~~~~~~
installe un vrai pare-feu si tu n as que la merde de windows
http://www.clubic.com/telecharger-fiche11071-kerio-personal-firewall.html
tutorial
http://www.pcentraide.com/index.php?showtopic=110
=========
j espere povoir continuer à bosser qd j aurai reçu ce ddé à savoir

" ds l ordre"

1/ - telech
ewido (dowload)
http://www.ewido.net/fr/download/
copie/COLLE rapport entier

2/ - scan online sous IE
http://www.bitdefender.fr/bd/site/search.php#
copie/COLLE rapport entier

~~~~~~~~~~~~
"Accroche ta charrue à une étoile et ton sillon sera droit" (proverbe berbére)

Nanotek · Answer

Je pense avoir bien fait mon travail cette fois !!

Voilà les rapports :

1. EWIDO (Log ce jour)
---------------------------------------------------------
ewido anti-malware - Rapport de scan
---------------------------------------------------------

+ Créé le: 15:47:47, 03/07/2006
+ Somme de contrôle: A6FD352C

+ Résultats du scan:

C:\Documents and Settings\Melchior\Cookies\melchior@247realmedia[2].txt -> TrackingCookie.247realmedia : Nettoyer et sauvegarder
C:\Documents and Settings\Melchior\Cookies\melchior@advertising[1].txt -> TrackingCookie.Advertising : Nettoyer et sauvegarder
C:\Documents and Settings\Melchior\Cookies\melchior@atdmt[2].txt -> TrackingCookie.Atdmt : Nettoyer et sauvegarder
C:\Documents and Settings\Melchior\Cookies\melchior@bluestreak[2].txt -> TrackingCookie.Bluestreak : Nettoyer et sauvegarder
C:\Documents and Settings\Melchior\Cookies\melchior@doubleclick[1].txt -> TrackingCookie.Doubleclick : Nettoyer et sauvegarder
C:\Documents and Settings\Melchior\Cookies\melchior@tradedoubler[1].txt -> TrackingCookie.Tradedoubler : Nettoyer et sauvegarder
C:\Documents and Settings\Melchior\Cookies\melchior@weborama[1].txt -> TrackingCookie.Weborama : Nettoyer et sauvegarder
C:\Documents and Settings\Melchior\Cookies\melchior@www.smartadserver[1].txt -> TrackingCookie.Smartadserver : Nettoyer et sauvegarder

::Fin du rapport

2. Bitdefender (Log du jour)

BitDefender Online Scanner

Rapport d'analyse généré à: Tue, Mar 07, 2006 - 17:14:04

Voie d'analyse: A:\;C:\;D:\;E:\;F:\;

Statistiques

Temps
01:22:28

Fichiers
205709

Directoires
3579

Secteurs de boot
2

Archives
14894

Paquets programmes
8036

Résultats

Virus identifiés
3

Fichiers infectés
4

Fichiers suspects
0

Avertissements
0

Désinfectés
0

Fichiers effacés
3

Info sur les moteurs

Définition virus
297914

Version des moteurs
AVCORE v1.0 (build 2292) (i386) (Mar 3 2005 11:57:29)

Analyse des plugins
13

Archive des plugins
39

Unpack des plugins
4

E-mail plugins
6

Système plugins
1

Paramètres d'analyse

Première action
Désinfecté

Seconde Action
Supprimé

Heuristique
Oui

Acceptez les avertissements
Oui

Extensions analysées
*;

Excludez les extensions

Analyse d'emails
Oui

Analyse des Archives
Oui

Analyser paquets programmes
Oui

Analyse des fichiers
Oui

Analyse de boot
Oui

Fichier analysé
Statut

C:\System Volume Information\_restore{966DA8A5-344A-4EB1-A75B-80762B3DB09D}\RP576\A0329582.exe
Infecté par: BehavesLike:Trojan.FirewallBypass

C:\System Volume Information\_restore{966DA8A5-344A-4EB1-A75B-80762B3DB09D}\RP576\A0329582.exe
Echec de la désinfection

C:\System Volume Information\_restore{966DA8A5-344A-4EB1-A75B-80762B3DB09D}\RP576\A0329582.exe
Supprimé

C:\System Volume Information\_restore{966DA8A5-344A-4EB1-A75B-80762B3DB09D}\RP576\A0329583.exe
Infecté par: Dropped:Backdoor.Wizdoor.AG

C:\System Volume Information\_restore{966DA8A5-344A-4EB1-A75B-80762B3DB09D}\RP576\A0329583.exe
Echec de la désinfection

C:\System Volume Information\_restore{966DA8A5-344A-4EB1-A75B-80762B3DB09D}\RP576\A0329583.exe
Supprimé

C:\System Volume Information\_restore{966DA8A5-344A-4EB1-A75B-80762B3DB09D}\RP576\A0329584.exe
Infecté par: Trojan.Lowzones.AN

C:\System Volume Information\_restore{966DA8A5-344A-4EB1-A75B-80762B3DB09D}\RP576\A0329584.exe
Echec de la désinfection

C:\System Volume Information\_restore{966DA8A5-344A-4EB1-A75B-80762B3DB09D}\RP576\A0329584.exe
Supprimé

C:\WINDOWS\WINFRW.EXE
Infecté par: Dropped:Backdoor.Wizdoor.AG

C:\WINDOWS\WINFRW.EXE
Echec de la désinfection

C:\WINDOWS\WINFRW.EXE
Echec de la suppression

Merci de ton aide,

aranjuez31 · Answer

hello
oui les devoirs sont faits, super

hélas ya un blem qui demeure, je vois

va à la racine de
C:\WINDOWS\WINFRW.EXE
cherche et supprime
WINFRW.EXE
si tu ne trouves pas, fais "rechercher" et supprime
la manip serait plus sur à faire en sans échec
est-ce compris ?

remets moi un rapport tout neuf d'hijack stp

aranjuez31 · Answer

re
une seule chose à vérifier
la légitimité de la 020

fais ceci

Installer L2mfix là (nettoie ligne O20 de Hijackthis)
http://www.atribune.org/downloads/l2mfix.exe
http://www.downloads.subratam.org/l2mfix.exe
http://users.skynet.be/BernieClub/tools.html

1. extraire le fichier sur le bureau

2. désactiver l'antivirus (car process est détecté faussement comme virus malware par certains antivirus)

3. lancer l2mfix.bat et sélectionner l'option #1 et faire Enter pour faire apparaître le log (cela prend qqs minutes)

4. Copie le log et COLLE ici

nanotek · Answer

Message d'erreur sous DOS : après 1 puis enter : le fichier système ne convient pas à l'exécution des applications MS-DOS ou windows...  J'ai fixé la ligne 020 manuellementDernier LOG :Logfile of HijackThis v1.99.1Scan saved at 21:51:38, on 03/07/2006Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\Program Files\Windows Defender\MsMpEng.exeC:\WINDOWS\System32\svchost.exeC:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exeC:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exeC:\WINDOWS\System32\drivers\CDAC11BA.EXEC:\Program Files\ewido anti-malware\ewidoctrl.exeC:\Program Files\ewido anti-malware\ewidoguard.exeC:\Program Files\Sunbelt Software\Personal Firewall 4\kpf4ss.exeC:\WINDOWS\system32
vsvc32.exeC:\Program Files\Spyware Doctor\sdhelp.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\UAService7.exeC:\Program Files\Sunbelt Software\Personal Firewall 4\kpf4gui.exeC:\WINDOWS\Explorer.EXEC:\Program Files\Sunbelt Software\Personal Firewall 4\kpf4gui.exeC:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exeC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\Program Files\Windows Defender\MSASCui.exeC:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exeC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Internet Explorer\iexplore.exeC:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXER1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wanadoo.fr/go/page_recherche/R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\PROGRA~1\SPYWAR~1	ools\iesdsg.dllO2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\PROGRA~1\SPYWAR~1	ools\iesdpb.dllO4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exeO4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUPO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osbootO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [Windows Defender] "C:\Program Files\Windows Defender\MSASCui.exe" -hideO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033O4 - HKLM\..\RunServices: [Server Backbone] server05.exeO4 - HKLM\..\RunServices: [Win Drivers SSL] TASKMAN4.exeO4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe"O4 - HKCU\..\Run: [Spyware Doctor] "C:\Program Files\Spyware Doctor\swdoctor.exe" /QO4 - HKCU\..\RunServices: [Win Drivers SSL] TASKMAN4.exeO9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.1_07\bin
pjpi141_07.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.1_07\bin
pjpi141_07.dllO9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1	ools\iesdpb.dllO9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cabO23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exeO23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exeO23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exeO23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\System32\drivers\CDAC11BA.EXEO23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exeO23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido anti-malware\ewidoguard.exeO23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exeO23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exeO23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall 4\kpf4ss.exeO23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exeO23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - C:\Program Files\Spyware Doctor\sdhelp.exeO23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Sony DADC Austria AG. - C:\WINDOWS\system32\UAService7.exeO23 - Service: Service de lancement de WlanCfg (Wlancfg) - Inventel - C:\Program Files\Inventel\Gateway\wlancfg.exeMerci

aranjuez31 · Answer

reok tu as bien faitsauf gros oubli de ma part tu es clean

Nanotek · Answer

Cool ! Merci bien aranjuez31...  J'ai beaucoup appris ! à bientôt

aranjuez31 · Answer

hasta luego amigo

nanotek · Answer

Hello Aranjuez,
Sur une autre machine, Bitdefender m'annonce quelques Trojan, (Win... et AG.. .) j'ai téléchargé ewido, hijackthis,
Peux-tu m'aider à fixer tout ça? Procédure à suivre ? Log à envoyer?

Merci de ton aide,

aranjuez31 · Answer

hello nano

en vrac
du boulot
avant log hijackthis
1 - avoir 1 seul antivirus & 1 seul pare-feu (à jour)
2 - éviter les sites warez , p.t.p, msn, etc....
3 - être à jour de WindowsUpdate
4 - dégragmenter réguliérement (évite lenteur)
5 - n'avoir que p-f et av au démarrage ( évite lenteur)
6 - nettoyer réguliérement avec
Ad-Aware (gratuit) :
http://telecharger.01net.com/windows/Internet/internet_utlitaire/fiches/11643.html
Le patch en Français pour Ad-Aware (gratuit) :
http://telecharger.01net.com/windows/Internet/internet_utlitaire/fiches/25543.html

Spybot (gratuit) :
http://telecharger.01net.com/windows/Internet/internet_utlitaire/fiches/26157.html

a-squared
http://www.emsisoft.net/fr/software/download/

ewido (dowload)
http://www.ewido.net/fr/download/

spycatcher express free
http://www.tenebril.com/downloads/

regcleaner ( nettoyeur de registre)
http://www.01net.com/windows/Utilitaire/nettoyeurs_et_installeurs/fiches/4894.html

- et cleanup40 (nettoyeur de cookies+temps+tempos+prefetch+historique+etc..)
http://pageperso.aol.fr/balltrap34/democleanup.htm
¤Télécharger CleanUp40 (qui élimine les fichiers temporaires) sur ce lien : http://pageperso.aol.fr/Balltrap34/CleanUp40.exe

7 - scanner online de tps à autre pour contrôle
http://assiste.free.fr/p/antivirus_gratuits_en_ligne/antivirus_en_ligne.php
8 - se souvenir que se croire bien protégé est une utopie
9 - lire et relire les bibles
http://assiste.free.fr/index.html
http://sebsauvage.net/safehex.html

Suis Nouveau !!

11 réponses

Discussions similaires

Newsletters