trojan

karine73 · le 10 mai 2005

Bonjour !!!

J'ai attrapé un virus nommé troj_vundo.h. Mon antivirus le detecte mais ne le nettoie pas et ne le met pas en quarantaine. Il se trouve dans :

c:\windows\registration\mcdos.dll

Malgrés avoir activé les fichiers cachés et tout et tout mcdos.dll est introuvable sauf par hijackthis.

Est-ce qu'une âme charitable pourrait me conseiller ? je ne suis pas une super pro de l'informatique et ce virus me rend folle depuis une semaine je ne sais pas comment faire pour m'en débarasser! :-(

Voici ce que Hijackthis me dit et ça ne me parle pas trop sauf que en le lisant la ligne 02 et 20 il me semble que ça correspond à mon problème mais je ne sais pas comment faire et j'ai peur de faire une grosse bêtise !

Je vous remercie par avance de votre précieuse aide. :-P

Logfile of HijackThis v1.99.1

Scan saved at 23:36:11, on 10/05/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\drivers\CDAC11BA.EXE

C:\WINDOWS\System32\CTsvcCDA.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Trend Micro\Internet Security\Tmntsrv.exe

C:\Program Files\Trend Micro\Internet Security\tmproxy.exe

C:\WINDOWS\System32\MsPMSPSv.exe

C:\Program Files\Trend Micro\Internet Security\PccPfw.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\Java\jre1.5.0_02\bin\jusched.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\Dell\Media Experience\PCMService.exe

C:\Program Files\MSN Apps\Updater\01.02.3000.1001\fr\msnappau.exe

C:\Program Files\CyberLink\PowerDVD\DVDLauncher.exe

C:\WINDOWS\system32\dla\tfswctrl.exe

C:\Program Files\Creative\SBAudigy2\Surround Mixer\CTSysVol.exe

C:\WINDOWS\system32\CTHELPER.EXE

C:\Program Files\Creative\SBAudigy2\DVDAudio\CTDVDDet.EXE

C:\Program Files\Trend Micro\Internet Security\pccguide.exe

C:\Program Files\Trend Micro\Internet Security\PCClient.exe

C:\Program Files\Trend Micro\Internet Security\TMOAgent.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\Program Files\Metacafe\MetacafeAgent.exe

C:\Program Files\Reality Fusion\Reality Fusion GameCam SE\Program\RFTRay.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\WinZip\WZQKPICK.EXE

C:\PROGRA~1\INCRED~1\bin\IMApp.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\PROGRA~1\WINZIP\winzip32.exe

C:\Documents and Settings\Master\Local Settings\Temp\HijackThis.exe

C:\Program Files\Trend Micro\Internet Security\TSC.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/countries/fr/fra/gen/default.htm

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.fr/0SEFRFR/SAOS02

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tiscali.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/countries/fr/fra/gen/default.htm

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.euro.dell.com/countries/fr/fra/gen/default.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - C:\Program Files\MyWebSearch\SrchAstt\1.bin\MWSSRCAS.DLL (file missing)

O1 - Hosts: imizer.com

O1 - Hosts: ptimizer.com

O1 - Hosts: roptimizer.com

O1 - Hosts: feroptimizer.com

O1 - Hosts: enu.com

O1 - Hosts: dso.offeroptimizer.com

O1 - Hosts: 127.0

O2 - BHO: (no name) - {3778C48B-E424-0555-811F-6DF817E0D58F} - C:\DOCUME~1\RMY~1\APPLIC~1\ABOUTS~1\each pile.exe

O2 - BHO: MSEvents Object - {44240BB5-BD7D-4D49-A1AA-8AB0F3D3CB44} - C:\WINDOWS\Registration\mcdos.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll

O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll

O4 - HKLM\..\Run: [updReg] C:\WINDOWS\UpdReg.EXE

O4 - HKLM\..\Run: [updateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_02\bin\jusched.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [PCMService] "C:\Program Files\Dell\Media Experience\PCMService.exe"

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [msnappau] "C:\Program Files\MSN Apps\Updater\01.02.3000.1001\fr\msnappau.exe"

O4 - HKLM\..\Run: [DVDLauncher] "C:\Program Files\CyberLink\PowerDVD\DVDLauncher.exe"

O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe

O4 - HKLM\..\Run: [CTSysVol] C:\Program Files\Creative\SBAudigy2\Surround Mixer\CTSysVol.exe

O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE

O4 - HKLM\..\Run: [CTDVDDet] C:\Program Files\Creative\SBAudigy2\DVDAudio\CTDVDDet.EXE

O4 - HKLM\..\Run: [AsioReg] REGSVR32.EXE /S CTASIO.DLL

O4 - HKLM\..\Run: [pccguide.exe] "C:\Program Files\Trend Micro\Internet Security\pccguide.exe"

O4 - HKLM\..\Run: [PCClient.exe] "C:\Program Files\Trend Micro\Internet Security\PCClient.exe"

O4 - HKLM\..\Run: [TM Outbreak Agent] "C:\Program Files\Trend Micro\Internet Security\TMOAgent.exe" /run

O4 - HKLM\..\Run: [Dupe Idol Lies Pop] C:\Documents and Settings\All Users\Application Data\thunktypedupeidol\nurbblah.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [incrediMail] C:\Program Files\IncrediMail\bin\IncMail.exe /c

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - Startup: DESKTOP(2).INI

O4 - Global Startup: AOL 9.0 Icône AOL.lnk = C:\Program Files\AOL 9.0\aoltray.exe

O4 - Global Startup: DESKTOP(2).INI

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O4 - Global Startup: Metacafe.lnk = C:\Program Files\Metacafe\MetacafeAgent.exe

O4 - Global Startup: Reality Fusion GameCam SE.lnk = ?

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE

O8 - Extra context menu item: &Search - http://bar.mywebsearch.com/menusearch.html...01YYFR_ZZzebXXX

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll

O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Program Files\Fichiers communs\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O10 - Broken Internet access because of LSP provider 'xfire_lsp_9028.dll' missing

O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwe...up1.0.0.8-2.cab

O16 - DPF: {8F48147B-78D9-40F9-ACC0-BDDE59B246F4} (AccountHelper Class) - http://register.tiscali.fr/configurateur/AccountHelper.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game16.zylom.tiscali.fr/activex/zylomgamesplayer.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{8344A2C6-3F28-431B-BCB8-067C857CE3D9}: NameServer = 213.36.80.1 213.36.80.1

O20 - Winlogon Notify: mcdos - C:\WINDOWS\Registration\mcdos.dll

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exe

O23 - Service: Intel NCS NetService (NetSvc) - Intel® Corporation - C:\Program Files\Intel\NCS\Sync\NetSvc.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Trend Micro Personal Firewall (PccPfw) - Trend Micro Incorporated. - C:\Program Files\Trend Micro\Internet Security\PccPfw.exe

O23 - Service: Trend NT Realtime Service (Tmntsrv) - Trend Micro Incorporated. - C:\Program Files\Trend Micro\Internet Security\Tmntsrv.exe

O23 - Service: Trend Micro Proxy Service (tmproxy) - Trend Micro Incorporated. - C:\Program Files\Trend Micro\Internet Security\tmproxy.exe

Lord Vamp · le 10 mai 2005

Bonjour !!!

J'ai attrapé un virus nommé troj_vundo.h. Mon antivirus le detecte mais ne le nettoie pas et ne le met pas en quarantaine. Il se trouve dans :

---édité par ipl_001 : Lord Vamp, il est inutile de reproduire l'ensemble du post précédent sauf à gêner la lecture !---

Salut,

je connais pas ce virus mais va jeter un oeil dans la rubrique tuto de zeb puis sert du tuto concernant la base de registre.

Sinon attend l'avis d'un expert

@+

Crazy Keyser · le 11 mai 2005

Salut,

Essaye de faire un scan avec Pestpatrol et regarde ce que sa donne.

@+

neos · le 11 mai 2005

salut

on en parle ICI

en fait l'idéal c'est de démarrer avec le cd d'xp pour acceder a la console de recuperation ,une fois ds la console

tu tapes :

del c:\windows\registration\mcdos.dll

espace a respecter entre del et c:\windows\registration\mcdos.dll

tu confirmes par oui

et tu tapes exit pour quitter la console

ensuite tu redemarres en mode sans echec

tu lances hijack et tu fixes

O20 - Winlogon Notify: mcdos - C:\WINDOWS\Registration\mcdos.dll

O2 - BHO: MSEvents Object - {44240BB5-BD7D-4D49-A1AA-8AB0F3D3CB44} - C:\WINDOWS\Registration\mcdos.dll

c'est apparement la seul façon efficace de l'éradiquer

si jamais la console n'est pas installé sur ton pc

tu peux telecharger la video explicative ICI

Attention c'est marqué en petit juste au dessus de NBS

Modifié le 11 mai 2005 par neos

karine73 · le 11 mai 2005

merci beaucoup je vais essayer ça dés ce soir !!

Et bravo pour ce site et ce forum je l'ai conseillé à plein d'amis.

le 11 mai 2005

Bonjour karine73, bonjour à tous après tes manipulations poste un nouveau rapport Hijackthis, il y a d'autres infections.

karine73 · le 11 mai 2005

Bonjour karine73, bonjour à tous après tes manipulations poste un nouveau rapport Hijackthis, il y a d'autres infections.

501119[/snapback]

COUCOU tout le monde !!!

Alors deux nouvelles une bonne et une mauvaise

La bonne le virus trojan_vundo.h : disparu

mauvaise nouvelle je suis effectivement infecté par autre chose, une espece de barre d'outil toute bleue s'est incrustée ne veut pas partir et de ma page d'accueil internet (tiscali) je ne peux pas surfer. Alors voici mon nouveau Hijackthis comme tu me le demandes et merci d'avance stonangel !!