Trojan B

[ghugh]

Bonsoir,

 

Norton me signale un trojan.vundo b, mais est dans l'impossibilité de l'éradiquer.

 

Ce Trojan se cache dans le répertoire "fonts" de windows sous le nom CRDOC.DLL.

 

Impossible de supprimer manuellement ce fichier, le système semblant y accéder.

 

Je suis allé voir sur la base de registre, j'ai trouvé une clé identifiant ce dll. J'ai bêtement essayé de supprimer la clé : 0 résultat, ma modification n'est pas prise en compte...

 

Bref, si quelqu'un a une manip simple qui m'éviterait de réinstaller windows, je suis preneur et vous en remercie d'avance.

[queruak]

Bonjour ghugh, bonjour à tous,

 

Bienvenue sur Zebulon-Sécurité !

 

Je retrouve mes liens et je te réponds !

[megataupe]

Bonjour ghugh et bienvenue sur Zébulon. Tu peux utiliser l'utilitaire de désinfection Fix Vundo

 

http://www.secuser.com/telechargement/desinfection.htm

 

et poste ensuite un rapport Hijackthis:

 

 

HijackThis v1.99.1:

 

http://www.merijn.org/files/hijackthis.zip

 

Important: Installer Hijackthis correctement

L’installer sous C:\Hijackthis par exemple (pas dans un fichier temp)

 

Scan/save log (rapport)/copier&coller le contenu du rapport ici

 

Tutorial pour l’installation et l'utilisation:

 

http://sitethemacs.free.fr/aide_enregistre...e_hijackthi.htm

 

 

edit: si tu as d'autres liens queruak, il faut que ghugh attende pour lancer le nettoyage.

Modifié le 8 mai 2005 par megataupe

[Invité Stonangel]

Bonsoir, et bienvenue dur Zébulon Sécurité. Télécharge ces deux outils:

 

http://securityresponse.symantec.com/avcenter/FxVundoB.exe

http://securityresponse.symantec.com/avcenter/FixVundo.exe

 

Démarre en mode sans échec et passe les 2 fois.

 

Edit: Bonsoir megataupe

Modifié le 8 mai 2005 par Stonangel

[queruak]

Rebonsoir à tous,

 

Non c'est bon,j'ai cru qu'il y avait un troisieme outil de désinfection,je continue à chercher.

J'aimerais cependant insister sur certains précautions à prendre:

-Se déconnecter,

-Désactiver la restauration du systeme(Millenium et XP),

-Redémarrer en mode sans echec

-Désactiver l'antivirus,

-Passer les outils en mode sans echec,

-Redémarrer en mode sans echec et repasser les outils une seconde fois,

Modifié le 8 mai 2005 par queruak

[neos]

salut

ah ce vundo fait parle de lui en ce moment

j'te propose de

desactiver la restauration du systeme et redemarre en mode sans echec.

lance hijack et tu as ces deux lignes, coche et fixe:

 

O2 - BHO: MSEvents Object - {44240BB5-BD7D-4D49-A1AA-8AB0F3D3CB44} - c:\windows\fonts\CRDOC.DLL.

O20 - Winlogon Notify: mssrv - C:\WINDOWS\Fonts\CRDOC.DLL.

 

avant la manip telecharge killbox

il faut le mettre ds ton repertoire c'est a dire documents and settings/ton nom d'utilisateur

 

lance killbox

- Double-clic sur KillBox.exe

- dans l'option tools clic sur "delete temp file"

- Selectionne "Delete on Reboot"

- Copie et colle la ligne en gras ci-dessous dans "Full Path of File to Delete"

C:\WINDOWS\Fonts\CRDOC.DLL.

- selectionne "Unregister dll Before deleting"

- clic sur la croix rouge

- une fenetre va apparaitre pour confirmation clic sur YES

- une seconde fenetre te demande si tu veux redemarrer clic sur YES

 

Apres avoir redemarré reposte un log hijackthis

 

mais j'pense que les utilitaires auront fait le boulot

Modifié le 8 mai 2005 par neos

[ghugh]

Désolé de ne pas avoir répondu plus tôt.

 

Merci à tous pour ces conseils, j'essaie ce soir.

 

A +

[ghugh]

Flûte de zut, rien ne fonctionne de toutes ces manips.

 

En plus, j'ai hérité d'une nouveauté : un dowload.trojan du doux nom de req.dll dans le répertoire system32

 

D'autres idées sur le sujet ?

[Invité Stonangel]

Bonsoir ghugh, bonsoir à tous, télécharge HijackThis et poste un rapport dans le forum

 

HijackThis v1.99.1:

 

http://www.merijn.org/files/hijackthis.zip

 

Important: Installer Hijackthis correctement

L’installer sous C:\Hijackthis par exemple (pas dans un fichier temp)

 

Scan/save log (rapport)/copier&coller le contenu du rapport ici

 

Tutorial pour l’installation et l'utilisation:

 

http://sitethemacs.free.fr/aide_enregistre...e_hijackthi.htm

[ghugh]

et hop, un bon gros rapport :

 

Logfile of HijackThis v1.99.1

Scan saved at 23:28:45, on 09/05/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\DRIVERS\CDANTSRV.EXE

C:\WINDOWS\system32\drivers\KodakCCS.exe

C:\Program Files\Norton SystemWorks\Norton AntiVirus\IWP\NPFMntor.exe

C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE

C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\ScanSoft\OmniPageSE\opware32.exe

C:\WINDOWS\system32\kmw_run.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\Program Files\MSI\Live Update 3\LMonitor.exe

C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

C:\WINDOWS\system32\KMW_SHOW.EXE

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe

D:\outils désinfection\hijackthis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.yahoo.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: MSEvents Object - {44240BB5-BD7D-4D49-A1AA-8AB0F3D3CB44} - C:\WINDOWS\Fonts\crdoc.dll

O2 - BHO: (no name) - {8E13DDE1-E013-47ec-9C4C-27C2F78BDD26} - C:\WINDOWS\system32\req.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll

O2 - BHO: (no name) - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - (no file)

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Omnipage] C:\Program Files\ScanSoft\OmniPageSE\opware32.exe

O4 - HKLM\..\Run: [kmw_run.exe] kmw_run.exe

O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [%FP%Friendly fts.exe] "C:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe"

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer

O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [LiveMonitor] C:\Program Files\MSI\Live Update 3\LMonitor.exe

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [Norton SystemWorks] "C:\Program Files\Norton SystemWorks\cfgwiz.exe" /GUID {05858CFD-5CC4-4ceb-AAAF-CF00BF39736A} /MODE CfgWiz

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll

O9 - Extra button: Organise-notes - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Program Files\Fichiers communs\Microsoft Shared\Encarta Researcher\EROPROJ.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5co...b?1041717666343

O16 - DPF: {70BA88C8-DAE8-4CE9-92BB-979C4A75F53B} (GSDACtl Class) - http://launch.gamespyarcade.com/software/launch/alaunch.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{5E225E52-487D-4441-83CD-0E69F6D60AF0}: NameServer = 80.118.196.42 80.118.192.112

O20 - Winlogon Notify: crdoc - C:\WINDOWS\Fonts\crdoc.dll

O20 - Winlogon Notify: req - C:\WINDOWS\system32\req.dll

O23 - Service: ADSLAutoconnect - Unknown owner - C:\Program Files\ADSL Autoconnect\ADSL Autoconnect.exe" -z (file missing)

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\system32\DRIVERS\CDANTSRV.EXE

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\WINDOWS\system32\drivers\KodakCCS.exe

O23 - Service: Norton AntiVirus Auto-Protect Service (navapsvc) - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe

O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton AntiVirus\IWP\NPFMntor.exe

O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE

O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe