Help win32: TratBHO [Trj]

la gousse -  
Bonjour,
comme beaucoup de monde, d'après ce que j'ai cru comprendre, avast a détecté sur mon PC un cheval de troie :
nom du fichier : C:\WINDOWS\system32\pmnlj.dll (y'en a eu d'autre avant que j'ai tenté de supprimer... sans succes je crois)
Nom du logiciel malveillant : Win32: TratBHO [Trj]
J'ai beau essayer de le supprimer ou le mettre en quarantaine ça ne fonctionne plus (avast me previent que le fichier n'est pas empaqueté)

Je ne m'y connais pas bien en informatique, mais vu ce que j'ai lu, ceci est utile à la compréhension de mon problème alors :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:09:32, on 05/01/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16574)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wltrysvc.exe
C:\WINDOWS\System32\bcmwltry.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\acs.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\WLTRAY.exe
C:\Program Files\Atheros\ACU.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Launch Manager\LaunchAp.exe
C:\Program Files\Launch Manager\PowerKey.exe
C:\Program Files\Launch Manager\HotkeyApp.exe
C:\Program Files\Launch Manager\OSDCtrl.exe
C:\Program Files\Launch Manager\Wbutton.exe
C:\acer\epm\epm-dm.exe
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\usnhost.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\OpenOffice.org 2.3\program\soffice.exe
C:\Program Files\OpenOffice.org 2.3\program\soffice.BIN
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Windows Live\Messenger\usnsvc.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Documents and Settings\Sophie\Bureau\kav7.0.0.125.fr.01NET.exe
C:\Documents and Settings\Sophie\Bureau\kav7.0.0.125.fr.01NET.exe
C:\hijackthis pour virus\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {743C451F-7380-43DD-9B06-019BEE395F75} - C:\WINDOWS\system32\jkkjjkj.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Broadcom Wireless Manager UI] C:\WINDOWS\system32\WLTRAY
O4 - HKLM\..\Run: [ACU] "C:\Program Files\Atheros\ACU.exe" -nogui
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [LaunchAp] "C:\Program Files\Launch Manager\LaunchAp.exe"
O4 - HKLM\..\Run: [PowerKey] "C:\Program Files\Launch Manager\PowerKey.exe"
O4 - HKLM\..\Run: [LManager] "C:\Program Files\Launch Manager\HotkeyApp.exe"
O4 - HKLM\..\Run: [CtrlVol] "C:\Program Files\Launch Manager\CtrlVol.exe"
O4 - HKLM\..\Run: [LMgrOSD] "C:\Program Files\Launch Manager\OSDCtrl.exe"
O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [EPM-DM] c:\acer\epm\epm-dm.exe
O4 - HKLM\..\Run: [ePowerManagement] C:\Acer\ePM\ePM.exe boot
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [User Sharing Wizard] usnshare.exe
O4 - HKLM\..\Run: [User Hosting Service] usnhost.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 2.3.lnk = C:\Program Files\OpenOffice.org 2.3\program\quickstart.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: jkkjjkj - C:\WINDOWS\SYSTEM32\jkkjjkj.dll
O23 - Service: Service de configuration Atheros (ACS) - Unknown owner - C:\WINDOWS\system32\acs.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Broadcom Wireless LAN Tray Service (wltrysvc) - Unknown owner - C:\WINDOWS\System32\wltrysvc.exe

--
End of file - 7226 bytes
Configuration: Windows XP
Firefox 2.0.0.11

24 réponses

Résumé de la discussion

Un utilisateur signale qu Avast détecte un cheval de Troie nommé Win32: TratBHO [Trj] et un fichier suspect C:\WINDOWS\system32\pmnlj.dll, avec des tentatives répétées de suppression qui échouent. Le fil réunit des éléments techniques issus de HijackThis et d'un log Trend Micro HijackThis, montrant des entrées BHO, des services et des applications démarrant au lancement, rendant la suppression complexe sans outils spécialisés. Certaines réponses évoquent l'emploi d'HijackThis et de ComboFix pour obtenir une aide personnalisée, ainsi que l'importance d'éviter les solutions trop générales et de transmettre des rapports détaillés pour une assistance efficace.

Bobot (l’IA à votre service)
  1. DeNisCoOl
    salut ico,

    c'est pas une histoire de règle absolue, inébranlable figé dans le rock pour montrer l'autorité des webmaster comme tu dis.
    elle traduit juste que les membres répètent le même message environ 5 à 10 fois par jour mais les gens semblent aveugle donc le message devient automatique et peut paraitre dur désolé.

    Le titre d'un post ne fait qu'indiquer une partie du problème, et ne veut pas dire que si le nom de l'infection est la même que la votre, le post vous sera utile, mais parfois oui c'est le cas.
    Dans d'autres cas les infections sont multiples donc il faut avoir une aide personnalisé, c'est dans le bien de la personne et non pas pour montrer la rudesse et l'autorité des helpeurs.

    Dans les forum de la communauté CCM en ce moment si tu regardes en haut dans les stats il y a 30 000 personnes connecté et 300 membres = 100personnes/ membre.
    Ce ne serait pas gérable sans un minimum d'organisation tu ne penses pas?
    Par membre j'entends les contributeurs, les helpeurs qui ont montrés leur réel compétence et efficacité.

    En 1980 les infections n'existaient pas, sauf les bug.
    Il y avait peut être 1 millions d'internautes, actuellement il y en 1 milliard.
    En 2008 il existe 1 millions de type d'infection comprenant toute leur variante.
    Alors s'il te plait keep cool.
    Il y a des helpeurs extrêmement compétent et surtout bénévoles et leur temps est précieux.
    Il faut donc optimiser leur intervention et pas perdre de temps à savoir qui dans le post à envoyer le message 3 ok on a répondu dans le message 7 puis le message 8 a eu la réponse 9, c'est l'anarchie dans ces cas là.

    Bye bye
    1. malaf
      Salut Denis !

      Les gens ne semblent pas comprendre que c'est aussi dans leurs intérets qu'il y a des règles...

      Que c'est pour assurer une réponse rapide et adéquate à leurs problèmes...

      Dommage que certains ne saisissent pas toute la bonne volonté de chacun sur ccm

      Il y a tellement de bonnes personnes (bénévoles!) ici...

      bye! ;-)

  2. DeNisCoOl
    salut jeanbob,

    Bienvenue dans la communauté CCM.

    Suivre la procédure de demande de désinfection ci dessous:
    http://www.commentcamarche.net/faq/sujet 9142 procedure de demande d aide et desinfection nettoyage

    Pour écrire votre propre message et avoir une aide personnalisée:
    http://pagesperso-orange.fr/rginformatique/section%20virus/demofairesontmessage.htm

    Bye bye

    Denis
    1. jeanbob
      Bonjour,

      Je suis infecté par ce P..... de virus Win32:TratBHO [Trj]. Comment faire pour m'esn débarasser?

      Merci d'avance pour votre aide

      Jeanbob
      1. DeNisCoOl
        yannlekorigan,

        Regardes ce qui est écrit dans les 3-4 derniers messages.
        Tu pourras faire ton propre message pour une aide personnalisé.

        Bye bye
        2. yannlekorrigan
          salut
          j ai essayé de nettoyé l ordi de mes parents mais après avoir mis combofix et exécuter en mode sans échec
          quand il redémarre après l écran de windows lécran reste noir et quand je le redémarre il me mets dans le menu mode sans échec
          merci d avance
          1. ico
            putain super ici , on a probleme de virus , et toutce qui vous interesse , c'est vos putains de regle . voila ce que sont devenu les forum , voila ce qu'est devenu internet .

            quant je vois ca je comprend vraiment les createur de virus .... retour a l'internet de la fin des annees 80 .... dehors les webmasters nombriliste et onaniste .......

            vive l'internet libre ..... ha oui , et n'oubliez pas , creer votre post perso , gnagnagni gnagnagna......parait qu'on respect mieux les autres avec ca ....... ( mouhahahahhahaha pt2r)
            1. DeNisCoOl
              g presque.... toujours raison et quand j'ai tord je dois surement avoir raison ;-)
              2. reclamation
                bonjour à tous
                pouvez vous m'indiquer la démarche à suivre pour supprimer cette saloprie de virus :
                C\Windows\system32\pmnlj.dll
                Win32:TratBHO[Trj]
                VPS 080127-1, 27/01/2008

                Merçi d'avance et j'espère vous avoir donné toutes les infos
                1. DeNisCoOl
                  reclamation,

                  Lire les liens SVP

                  Pour écrire un message entièrement nouveau:
                  http://pagesperso-orange.fr/rginformatique/section%20virus/demofairesontmessage.htm

                  Vous n’êtes pas enregistré sur le site ou vous n'utilisez pas votre mot de passe pour vous identifier dans le forum.
                  Pour avoir de l’aide qualité et retrouver vos messages. C’est gratuit, pour cela cliquer sur Comment s’inscrire

                  Bye bye

                  Bye
              3. DeNisCoOl
                malaf,

                Merci mais je penses c'est une cause perdu, les gens ne savent peut être pas lire lol

                Bye bye
                1. malaf
                  Pauvre Deniscool....

                  "Écoutez" bien tout le monde il faut créer SON PROPRE post pour avoir de l'aide...

                  c'est aussi une façon de respecter les autres qui sont autant dans le besoin que vous ...

                  Lisez donc les discussions qui ont été échangées plus haut pour y avoir toutes les infos pour vous débrouiller avec facilité !

                  Merci de votre compréhention

                  bonne chance à la gousse et bonne patience à Denis...

                  bye ,

                  :)

                  1. DeNisCoOl
                    biboute 02,

                    Idem pour toi et les autres.
                    Pour éviter les confusions entre tous les messages et avoir une aide personnalisé, veuillez créer votre propre message.

                    Pour écrire un message entièrement nouveau:
                    http://pagesperso-orange.fr/rginformatique/section%20virus/demofairesontmessage.htm

                    Indiquer le maximum de détails les symptômes, les noms de l'infection ou dans un monde parfait encore mieux le nom du fichier infecté.

                    Vous n’êtes pas enregistré sur le site ou vous n'utilisez pas votre mot de passe pour vous identifier dans le forum.
                    Pour avoir de l’aide qualité et retrouver vos messages. C’est gratuit voici Comment s’inscrire

                    Et éviter le sms ce n'est pas très compréhensible, imagine toi si on te donne des conseils en sms je ne suis pas sure que tu apprécierais.

                    Bye bye
                    2. biloute 02
                      moi j ai un cheval de troie qui ne veux pas quite mon ordi et ces bien la merde et je ne peux pas temp dire plus coll un pot !!!!
                      1. dk62
                        bonjour,
                        mon ordi est infecté par Win32:TratBHO [Trj], j'ai téléchargé Hijackthis et comboFix. Où poster les rapports?

                        merci
                        1. DeNisCoOl
                          dk62,

                          Bienvenue sur CCM.

                          Même réponse que pour les autres.

                          Pour écrire votre propre message et avoir une aide personnalisée:
                          http://pagesperso-orange.fr/rginformatique/section%20virus/demofairesontmessage.htm

                          Identifiez vous avec mot de passe pour faciliter l'archivage de vos messages.
                          C'est gratuit et cela prend 5sec pour s'identifier.

                          Bye bye
                      2. DeNisCoOl
                        najoua27,

                        Pour éviter les confusions entre tous les messages et avoir une aide personnalisé, veuillez créer votre propre message.

                        Pour écrire un message entièrement nouveau:
                        http://pagesperso-orange.fr/rginformatique/section%20virus/demofairesontmessage.htm

                        Indiquer le maximum de détails les symptômes, les noms de l'infection ou dans un monde parfait encore mieux le nom du fichier infecté.

                        bye bye
                        2. najoua27
                          [01/17/2008, 16:16:13] - VirtumundoBeGone v1.5 ( C:\Documents and Settings\DELL\Local Settings\Temporary Internet Files\Content.IE5\QQQLHDCU\VirtumundoBeGone[1].exe )
                          [01/17/2008, 16:16:16] - Detected System Information:
                          [01/17/2008, 16:16:16] - Windows Version: 5.1.2600, Service Pack 2
                          [01/17/2008, 16:16:16] - Current Username: DELL (Admin)
                          [01/17/2008, 16:16:16] - Windows is in NORMAL mode.
                          [01/17/2008, 16:16:16] - Searching for Browser Helper Objects:
                          [01/17/2008, 16:16:16] - BHO 1: {02478D38-C3F9-4EFB-9B51-7695ECA05670} (Yahoo! Toolbar Helper)
                          [01/17/2008, 16:16:16] - BHO 2: {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} (Aide pour le lien d'Adobe PDF Reader)
                          [01/17/2008, 16:16:16] - BHO 3: {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} (SSVHelper Class)
                          [01/17/2008, 16:16:16] - BHO 4: {7E853D72-626A-48EC-A868-BA8D5E23E045} ()
                          [01/17/2008, 16:16:16] - WARNING: BHO has no default name. Checking for Winlogon reference.
                          [01/17/2008, 16:16:16] - No filename found. Continuing.
                          [01/17/2008, 16:16:16] - BHO 5: {9030D464-4C02-4ABF-8ECC-5164760863C6} (Programme d'aide de l'Assistant de connexion Windows Live)
                          [01/17/2008, 16:16:16] - BHO 6: {9394EDE7-C8B5-483E-8773-474BF36AF6E4} (ST)
                          [01/17/2008, 16:16:16] - BHO 7: {AA58ED58-01DD-4d91-8333-CF10577473F7} (Google Toolbar Helper)
                          [01/17/2008, 16:16:16] - BHO 8: {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} (Google Toolbar Notifier BHO)
                          [01/17/2008, 16:16:16] - BHO 9: {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} (MSNToolBandBHO)
                          [01/17/2008, 16:16:16] - Finished Searching Browser Helper Objects
                          [01/17/2008, 16:16:16] - Finishing up...
                          [01/17/2008, 16:16:16] - Nothing found! Exiting...
                          1. najoua27
                            coucou denicool g le mm viruse ke la gousse et je ss entrin de fer tt ske tu decri plu haut jte tie o couren ;o)
                            1. DeNisCoOl
                              dani65,

                              Bienvenue sur CCM.
                              Identifiez vous avec mot de passe pour faciliter l'archivage de vos messages.

                              Pour écrire votre propre message et avoir une aide personnalisée:
                              http://pagesperso-orange.fr/rginformatique/section%20virus/demofairesontmessage.htm

                              a+
                              • 1
                              • 2

                              Discussions similaires

                              Problème avec "PUADIManager:Win32/OfferCore
                              Knaki

                              3 réponses
                              PUADlManager:Win32/OfferCore
                              tenmalade

                              2 réponses
                              PUADlManager:Win32/OfferCore
                              bernardarrad

                              3 réponses
                              Pb Windows 7, .EXE n'est pas app win32 valide
                              Witeric

                              15 réponses
                              PUA:Win32/InstallCore detecté par windows sécurité
                              thetib

                              11 réponses