Virus Trojan horse backdoor.generic4.DAI

cophi -  
Bonjour,
Pratiquement à chaque démarrage AVG détecte le virus Trojan horse backdoor.generic4.DAI dans c:\windows\system32\lsass.dll . AVG arrive a traiter le fichier infecté mais manifestement la source est ailleurs. J'ai lancé Hijackthis mais comment reconnaitre ce qui est anormal. Si quelqu'un pouvait m'aider ce serait sympa.
Configuration: Windows XP
Internet Explorer 6.0

4 réponses

  1. bdotie
    bonjour
    j'ai eu exactement le meme pblme que toi. AVG anti-virus le trouvais mais n'arrivait pas à le supprimer et jamais ne n'ai réussi à l'afficher. c'est vraiment une saleté bien planquée.
    j'ai chargé l'anti-spyware AVG qui me l'a détruit aujourd'hui.
    je n'ai plus qu'a croiser les doigts pr que demain au démarrage il ne le retrouve pas.

    regarde mes discussions avec SALWA5 à ce sujet, cela pourra peut etre t'aider.
    bon courage
    0
    1. Regis59 Contributeur sécurité
      Qqs minutes normalement

      Et si tu le relances?

      a demain
      0
      1. Regis59 Contributeur sécurité
        Salut

        Si infectieux, oui.

        Télécharge Blacklight (de F-Secure) a l’une des 2 adresses :
        https://www.f-secure.com/en
        https://www.f-secure.com/en

        et sauvegarde le sur ton Bureau.

        Double-clique blbeta.exe et accepte la licence ; laisse [X]scan through Windows Explorer activé ; clique Scan puis Next

        Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres).

        Copie et colle le contenu de ce rapport dans ta prochaine réponse

        a+
        0
        1. cophi Auteur
          C'est louche!
          Le prog s'execute en combien de temps normalement ?
          Quand je lance blbeta, j'ai aussitot le log ci-dessous mais je ne vois aucun écran avec "scan through Windows Explorer "

          01/13/07 23:23:46 [Info]: BlackLight Engine 1.0.55 initialized
          01/13/07 23:23:46 [Info]: OS: 5.1 build 2600 (Service Pack 2)
          0
      2. Regis59 Contributeur sécurité
        Salut

        Poste le rapport

        A+
        0
        1. cophi Auteur
          Merci de t'interesser à mon cas.
          Voici le log.

          Pour info, ZDlan pilote un stick Wifi et skydsl est le provider d'ADSL par satellite (ligne trop longue -> pas d'ADSL)

          Une dernière chose, je ne trouve pas lsur mon disque dur le fichier lsass.com cité à l'avant dernière ligne du log. Est-ce normal ?
          ---------------------------

          Logfile of HijackThis v1.99.1
          Scan saved at 22:08:55, on 13/01/2007
          Platform: Windows XP SP2 (WinNT 5.01.2600)
          MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

          Running processes:
          C:\WINDOWS\System32\smss.exe
          C:\WINDOWS\system32\winlogon.exe
          C:\WINDOWS\system32\services.exe
          C:\WINDOWS\system32\lsass.exe
          C:\WINDOWS\System32\Ati2evxx.exe
          C:\WINDOWS\system32\svchost.exe
          C:\WINDOWS\System32\svchost.exe
          C:\WINDOWS\system32\spoolsv.exe
          C:\WINDOWS\system32\Ati2evxx.exe
          C:\WINDOWS\Explorer.EXE
          C:\WINDOWS\system32\atiptaxx.exe
          C:\PROGRA~1\MOUSEW~1\SYSTEM\EM_EXEC.EXE
          C:\Program Files\TELES\skyDSL\tskyclnt.exe
          C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE
          C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe
          C:\Program Files\Fichiers communs\Network Associates\TalkBack\TBMon.exe
          C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
          C:\Program Files\D-Tools\daemon.exe
          C:\Program Files\Java\jre1.5.0\bin\jusched.exe
          C:\Program Files\QuickTime\qttask.exe
          C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
          C:\Program Files\TELES\skyDSL PCI\DVBData.exe
          C:\Program Files\ZyDAS Technology Corporation\ZyDAS_802.11g_Utility\ZDWlan.exe
          C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
          C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
          C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
          C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
          C:\Program Files\Network Associates\VirusScan\Mcshield.exe
          C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
          C:\Program Files\Internet Explorer\IEXPLORE.EXE
          C:\Program Files\TELES\skyDSL\Proxy\craxy.exe
          C:\Program Files\TELES\skyDSL\tskymtpc.exe
          C:\Program Files\ZyDAS Technology Corporation\ZyDAS_802.11g_Utility\ZDBrgApp.EXE
          C:\WINDOWS\System32\svchost.exe
          C:\WINDOWS\system32\wuauclt.exe
          C:\DOCUME~1\Co&phi\LOCALS~1\Temp\Répertoire temporaire 2 pour hijackthis.zip\HijackThis.exe

          R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ww25.planetis.com/
          R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = ftp=127.0.0.1:8080;http=127.0.0.1:8080;https=127.0.0.1:8080;socks=127.0.0.1:8080
          R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
          O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
          O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
          O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
          O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\MOUSEW~1\SYSTEM\EM_EXEC.EXE
          O4 - HKLM\..\Run: [skyDSLClient] C:\Program Files\TELES\skyDSL\tskyclnt.exe -q
          O4 - HKLM\..\Run: [ShStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
          O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
          O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Program Files\Fichiers communs\Network Associates\TalkBack\TBMon.exe"
          O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
          O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033
          O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0\bin\jusched.exe
          O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
          O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
          O4 - Global Startup: DVB Data (skyDSL PCI).lnk = C:\Program Files\TELES\skyDSL PCI\DVBData.exe
          O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
          O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
          O4 - Global Startup: ZDWLan Utility.lnk = C:\Program Files\ZyDAS Technology Corporation\ZyDAS_802.11g_Utility\ZDWlan.exe
          O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll
          O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll
          O9 - Extra button: skyDSL++ - {F7522CA2-3DDA-11d3-8560-0060977792B1} - C:\Program Files\TELES\skyDSL\sky2sky.exe
          O9 - Extra button: skyDSL- - - {F7522CA8-3DDA-11d3-8560-0060977792B1} - C:\Program Files\TELES\skyDSL\sky2fon.exe
          O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
          O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
          O10 - Unknown file in Winsock LSP: c:\windows\system32\skysocks.dll
          O10 - Unknown file in Winsock LSP: c:\windows\system32\skysocks.dll
          O10 - Unknown file in Winsock LSP: c:\windows\system32\skysocks.dll
          O10 - Unknown file in Winsock LSP: c:\windows\system32\skysocks.dll
          O10 - Unknown file in Winsock LSP: c:\windows\system32\skysocks.dll
          O10 - Unknown file in Winsock LSP: c:\windows\system32\skysocks.dll
          O14 - IERESET.INF: START_PAGE_URL=http://ww25.planetis.com/
          O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
          O16 - DPF: {5F4D3335-3194-4167-85AE-E7325F2695EF} - http://scripts.dlv4.com/binaries/egaccess4/egaccess4_1068_em_XP.cab
          O16 - DPF: {5FD9726A-4977-449D-8352-25FDD8A510B5} - http://scripts.dlv4.com/binaries/egaccess4/egaccess4_1067_em_XP.cab
          O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
          O16 - DPF: {82FC4503-8459-4239-9B85-0617BEAA950A} - http://scripts.dlv4.com/binaries/egaccess4/egaccess4_1061_XP.cab
          O17 - HKLM\System\CCS\Services\Tcpip\..\{2D507272-CA08-4E36-BA46-0ACACA024094}: NameServer = 80.10.246.134 80.10.246.7
          O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
          O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
          O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
          O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
          O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
          O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
          O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
          O23 - Service: avGuard Service (avGuard) - Unknown owner - C:\Program Files\Ashampoo\Ashampoo AntiVirus\AshAVSrv.exe (file missing)
          O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
          O23 - Service: McAfee Framework Service (McAfeeFramework) - Unknown owner - C:\Program Files\Network Associates\Common Framework\FrameworkService.exe" /ServiceStart (file missing)
          O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\Mcshield.exe
          O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
          O23 - Service: Network Provisioning DDE - Unknown owner - C:\WINDOWS\system32\lsass.com
          O23 - Service: Proxy skyDSL (tntcraxy) - Unknown owner - C:\Program Files\TELES\skyDSL\Proxy\craxy.exe" service (file missing)
          0

      Discussions similaires

      Softonic,est-ce un virus ?
      techmel1

      6 réponses
      Chrome://newtab
      Nova

      14 réponses
      Désinstaller Softonic
      Diguimette

      5 réponses
      Supprimer New Tab
      tysaozon

      8 réponses
      Aide pour un virus
      cerise92700

      41 réponses