[Résolu] win32: Trojan-gen. {Other} / Trojan.PwdStealer / Exploit.html

[fayla]

Re re merci Régis,

 

tu es vraiment très gentil de prendre ça à coeur.

j'ai pris bonne note, à demain alors !

[fayla]

Bonjour Régis et bonjour à tous !

 

Démarche personnelle effectuée avant la demande de Régis.

 

Scans online

- Kaspersky

- TrendMicro spyware-scan

http://www.trendmicro.com/spyware-scan/free_spyware_scan.asp

 

Résultats

- Kaspersky : sain

 

- Rapport Trendmicro results : détection

 

Summary of Privacy Threats:

16 item(s) classified as Adware

1 item(s) classified as Keylogger

---------------------------------

Adware_FlashGet

 

Path Interface\{E0E899AA-F487-11D5-8D29-0050BA6940E3}

 

Path TypeLib\{E0E8999E-F487-11D5-8D29-0050BA6940E3}

 

Path SOFTWARE\Classes\Interface\{E0E899AA-F487-11D5-8D29-0050BA6940E3}

 

Path SOFTWARE\Classes\TypeLib\{E0E8999E-F487-11D5-8D29-0050BA6940E3}

 

Path Interface\{A5366672-E8CA-11D3-9CD9-0090271D075B}

 

Path TypeLib\{79DE8D41-161C-11D3-8B9B-DF77640BA112}

 

Path SOFTWARE\Classes\Interface\{A5366672-E8CA-11D3-9CD9-0090271D075B}

 

Path SOFTWARE\Classes\TypeLib\{79DE8D41-161C-11D3-8B9B-DF77640BA112}

 

Path CLSID\{FB5DA722-162B-11D3-8B9B-AA70B4B0B524}

 

Path SOFTWARE\Classes\CLSID\{FB5DA722-162B-11D3-8B9B-AA70B4B0B524}

 

Path S-1-5-21-1229272821-1993962763-839522115-500\Software\Stilesoft\NetCaptor\CurrentVersion\Browser Helper Objects\{A5366673-E8CA-11D3-9CD9-0090271D075B}

 

Path FlashGet.Document

 

Path SOFTWARE\Classes\FlashGet.Document

 

Path .jcd

 

Path SOFTWARE\Classes\.jcd

 

-----------------------------------

Threat Keylogger :Spyware_KEYL_Astlog

 

Detected In Windows Registry

Path S-1-5-21-1229272821-1993962763-839522115-500\Software\NirSoft

------------------------------------

 

Threat Adware : Adware_BHOT_IEHelper

 

Windows Registry

Path SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{A2B7A0F0-B697-4A71-8D91-43443F57D7BB}

-----------------------------------

 

Suppression par TrendMicro et deuxième scan

 

Summary of Privacy Threats:

1 item(s) classified as Adware

 

Adware_BHOT_IEHelper > non supprimé

Product Name n/a

Company URL n/a

Privacy URL n/a

---------------------

 

Vérification RegSeeker + Jv16

absence flashget

 

NB: Flashget a été supprimé il y a plusieurs mois.

 

Installation et contrôle par Spyware Doctor: pas de détection. (censé supprimer Ezula et baigoo)

 

------------------------

 

Procédure Régis

 

- Suppression rv40.dll

 

---------------------------------------------------------

ewido anti-spyware - Scan Report

---------------------------------------------------------

+ Created at: 13:34:27 17/08/2006

+ Scan result:

Nothing found.

::Report end

 

Logfile of HijackThis v1.99.1

Scan saved at 13:46:22, on 17/08/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZONELABS\vsmon.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\Program Files\ewido anti-spyware 4.0\guard.exe

C:\Program Files\Spyware Doctor\sdhelp.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\Program Files\UPHClean\uphclean.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\system32\LVCOMSX.EXE

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Alwil Software\Avast4\ashDisp.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\Program Files\ewido anti-spyware 4.0\ewido.exe

C:\Program Files\Spyware Doctor\swdoctor.exe

C:\WINDOWS\explorer.exe

C:\Program Files\Hijackthis\fayla.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://us.rd.yahoo.com/customize/ycomp/def.../search/ie.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://us.rd.yahoo.com/customize/ycomp/def...//www.yahoo.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.yahoo.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.com

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://us.rd.yahoo.com/customize/ycomp/def...//www.yahoo.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\PROGRA~1\SPYWAR~1\tools\iesdsg.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_07\bin\ssv.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll

O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll

O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll

O3 - Toolbar: (no name) - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - (no file)

O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE

O4 - HKLM\..\Run: [avast!] "C:\Program Files\Alwil Software\Avast4\ashDisp.exe"

O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [{0228e555-4f9c-4e35-a3ec-b109a192b4c2}] C:\Program Files\Google\Gmail Notifier\gnotify.exe

O4 - HKLM\..\Run: [!ewido] "C:\Program Files\ewido anti-spyware 4.0\ewido.exe" /minimized

O4 - HKCU\..\Run: [spyware Doctor] "C:\Program Files\Spyware Doctor\swdoctor.exe" /Q

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O8 - Extra context menu item: Download all with Free Download Manager - file://C:\Program Files\Free Download Manager\dlall.htm

O8 - Extra context menu item: Download selected with Free Download Manager - file://C:\Program Files\Free Download Manager\dlselected.htm

O8 - Extra context menu item: Download web site with Free Download Manager - file://C:\Program Files\Free Download Manager\dlpage.htm

O8 - Extra context menu item: Download with Free Download Manager - file://C:\Program Files\Free Download Manager\dllink.htm

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_07\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_07\bin\ssv.dll

O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll

O15 - Trusted Zone: http://*.windowsupdate.microsoft.com

O15 - Trusted Zone: http://download.windowsupdate.com

O15 - Trusted Zone: http://*.windowsupdate.com

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://webscanner.kaspersky.fr/kavwebscan_unicode.cab

O16 - DPF: {56393399-041A-4650-94C7-13DFCB1F4665} (PSFormX Control) - http://www.pestpatrol.com/pestscan/pestscan.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5co...b?1108915842593

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111...all/xscan53.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe

O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech Inc. - c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe

O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - C:\Program Files\Spyware Doctor\sdhelp.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe

 

----------------------------

 

Précisions:

Je viens de supprimer Google Toolbar, à cause des demandes de connexion.

YahooToolbar a été supprimé, aussi.

 

Demande :

Peut-on en profiter pour assainir ou alléger ?

 

Je fais le scan Panda pour ultime contrôle

[fayla]

Scan Panda online

Résultat tout est sain.

 

C'est vrai que même en désactivant bouclier Avast web, il n'a pas apprécié les active de Panda détectés comme des virus-ver.

 

-------------------

Outil online intéressant pour diagnostiquer un fichier suspect :

- Online malware scan

Jotti's malware scan is a free online scan service, utilizing various anti-virus programs to diagnose single files.

http://virusscan.jotti.org/

--------------------

 

 

Le problème est résolu mais si l'on peut assainir HJT, s'il y a lieu, sinon, je reviens pour éditer "résolu".

D'avance merci

[regis56]

Bonsoir fayla !

 

Tu as bien travaillé dis moi !

 

Bravo ! je pense cette fois ci c'est bon !

 

Pour optimiser ton Pc c'est par ici

http://forum.zebulon.fr/index.php?showforum=52

 

Bonne soirée et bon surf !

 

A plus.

[fayla]

Un petit dernier message

 

Merci mille fois Régis

pour avoir pris le temps de me lire

pour ton aide, et surtout ta volonté d'aider

pour tes conseils...

 

Sur le podium médaille d'or zebulon, vous rivalisez tous en compétence et en gentillesse. Après Charles, voici Régis ! Vous m'épatez, alors bravo, bravo!

 

ciao !

[regis56]

Bonjour fayla !

 

Merci pour tes mots gentils !

 

Bon surf et à bientot sur zeb !