Suppression de w32:horst-AF

[Jerius]

Suite au topic ayant introduit le sujet (http://forum.zebulon.fr/index.php?showtopic=103291), je poste ici différents rapports d'analyse effectués sur mon ordinateur.

 

Rapport Antivir :

AntiVir PersonalEdition Classic

Report file date: mercredi 6 septembre 2006 12:44

 

Scanning for 495068 virus strains and unwanted programs.

 

Licensed to: AntiVir PersonalEdition Classic

Serial number: **********-*****-****

Platform: Windows XP

Windows version: (Service Pack 2) [5.1.2600]

Username: *****

Computer name: *****

 

Version informations:

AVSCAN.EXE : 7.0.0.42 557096 06/09/2006 10:06:19

AVSCAN.DLL : 7.0.0.42 53288 06/09/2006 10:06:19

LUKE.DLL : 7.0.0.42 118824 06/09/2006 10:06:21

LUKERES.DLL : 7.0.0.42 25640 06/09/2006 10:06:21

ANTIVIR0.VDF : 6.35.0.1 7371264 06/09/2006 10:06:17

ANTIVIR1.VDF : 6.35.1.122 1270784 06/09/2006 10:06:17

ANTIVIR2.VDF : 6.35.1.175 144896 06/09/2006 10:06:17

ANTIVIR3.VDF : 6.35.1.190 29184 06/09/2006 10:06:17

AVEWIN32.DLL : 7.1.1.11 1827328 06/09/2006 10:06:18

AVPREF.DLL : 7.0.0.1 49192 06/09/2006 10:06:18

AVREP.DLL : 6.35.1.124 774184 06/09/2006 10:06:18

AVRPBASE.DLL : 7.0.0.0 2162728 06/09/2006 10:06:19

AVPACK32.DLL : 7.1.0.1 335912 06/09/2006 10:06:18

AVREG.DLL : 6.31.0.90 27688 06/09/2006 10:06:18

NETNT.DLL : 6.32.0.0 6696 06/09/2006 10:06:21

NETNW.DLL : 6.32.0.0 9768 06/09/2006 10:06:21

RCIMAGE.DLL : 7.0.0.71 1642536 06/09/2006 10:06:32

RCTEXT.DLL : 7.0.0.75 77864 06/09/2006 10:06:32

 

Configuration settings for the scan:

Jobname: '%s'.................: Local Drives

Configuration file............: C:\Program Files\AntiVir PersonalEdition Classic\alldrives.avp

Boot sectors..................: C,D,E,G

Scan memory...................: 1

Process scan..................: 1

Scan all files................: 1

Scan archives.................: 1

Recursion depth...............: 20

Smart extensions..............: 1

Skipped archive types.........: 1000,1001,1002,1003,1004,

Macro heuristic...............: 1

File heuristic................: 3

Primary action................: 1

Secondary action..............: 0

 

Start of the scan: mercredi 6 septembre 2006 12:44

 

 

The scan over running processes will be started

15 Processes was scanned

 

Start scanning boot sectors:

 

Boot sector 'C:\'

[NOTE] No virus was found!

Boot sector 'D:\'

[NOTE] No virus was found!

 

Starting to scan the registry.

C:\WINDOWS\system\smss.exe

[DETECTION] Contains suspicious code HEUR/Malware

[iNFO] The file was moved to '4571a6e9.qua'!

C:\WINDOWS\system\smss.exe

[DETECTION] Contains suspicious code HEUR/Malware

 

The registry was scanned ( 31 files ).

 

 

Starting the file scan:

 

C:\pagefile.sys

[WARNING] The file could not be opened!

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\IS2LMEOG\sp22[1].exe

[DETECTION] Contains suspicious code HEUR/Crypted

[iNFO] The file was moved to '4530a6fb.qua'!

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\O0M1DRLD\sp23[1].exe

[DETECTION] Contains suspicious code HEUR/Crypted

[iNFO] The file was moved to '4530a6ff.qua'!

C:\Documents and Settings\Mine\NTUSER.DAT

[WARNING] The file could not be opened!

C:\Documents and Settings\Mine\ntuser.dat.LOG

[WARNING] The file could not be opened!

C:\Documents and Settings\Mine\Application Data\Mozilla\Firefox\Profiles\pqpw7ltn.default\parent.lock

[WARNING] The file could not be opened!

C:\Documents and Settings\Mine\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat

[WARNING] The file could not be opened!

C:\Documents and Settings\Mine\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG

[WARNING] The file could not be opened!

C:\Documents and Settings\NetworkService\NTUSER.DAT

[WARNING] The file could not be opened!

C:\Documents and Settings\NetworkService\ntuser.dat.LOG

[WARNING] The file could not be opened!

C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat

[WARNING] The file could not be opened!

C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG

[WARNING] The file could not be opened!

C:\WINDOWS\lsass.exe

[DETECTION] Contains suspicious code HEUR/Crypted

[iNFO] The file was moved to '455fab69.qua'!

C:\WINDOWS\system32\config\DEFAULT

[WARNING] The file could not be opened!

C:\WINDOWS\system32\config\default.LOG

[WARNING] The file could not be opened!

C:\WINDOWS\system32\config\SAM

[WARNING] The file could not be opened!

C:\WINDOWS\system32\config\SAM.LOG

[WARNING] The file could not be opened!

C:\WINDOWS\system32\config\SECURITY

[WARNING] The file could not be opened!

C:\WINDOWS\system32\config\SECURITY.LOG

[WARNING] The file could not be opened!

C:\WINDOWS\system32\config\SOFTWARE

[WARNING] The file could not be opened!

C:\WINDOWS\system32\config\software.LOG

[WARNING] The file could not be opened!

C:\WINDOWS\system32\config\SYSTEM

[WARNING] The file could not be opened!

C:\WINDOWS\system32\config\system.LOG

[WARNING] The file could not be opened!

C:\WINDOWS\system32\drivers\dtscsi.sys

[WARNING] The file could not be opened!

C:\WINDOWS\system32\drivers\sptd.sys

[WARNING] The file could not be opened!

C:\WINDOWS\system32\drivers\sptd4525.sys

[WARNING] The file could not be opened!

E:\Samedi 12-08 Guérande\IMG_4857.JPG

[WARNING] The file could not be read!

E:\Samedi 12-08 Guérande\Thumbs.db

[WARNING] The file could not be read!

The path G:\ could not be found!

Le périphérique n'est pas prêt.

 

 

 

End of the scan: mercredi 6 septembre 2006 13:27

Used time: 43:09 min

 

The scan has been done completely.

 

2735 Scanning directories

119855 Files were scanned

4 viruses and/or unwanted programs was found

0 files were deleted

0 files were repaired

4 files were moved to quarantine

0 files were renamed

6205 Archives were scanned

25 Warnings

2 Notes

 

Rapport HiJackThis :

 

Logfile of HijackThis v1.99.1

Scan saved at 13:51:49, on 06/09/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\S24EvMon.exe

C:\WINDOWS\system32\spoolsv.exe

c:\WINDOWS\ASUSKBService.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\ZCfgSvc.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Diskeeper Corporation\Diskeeper\DkService.exe

C:\Program Files\FileZilla Server\FileZilla Server.exe

C:\WINDOWS\system32\1XConfig.exe

C:\WINDOWS\system32\RegSrvc.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\RealVNC\VNC4\WinVNC4.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\WINDOWS\system32\wbem\wmiapsrv.exe

C:\WINDOWS\ATK0100\Hcontrol.exe

C:\WINDOWS\system32\igfxtray.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\ASUS\Power4 Gear\BatteryLife.exe

C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe

C:\Program Files\DAEMON Tools\daemon.exe

C:\Program Files\MessengerPlus! 3\MsgPlus.exe

C:\WINDOWS\system32\LVCOMSX.EXE

C:\Program Files\Logitech\Video\LogiTray.exe

C:\Program Files\FileZilla Server\FileZilla Server Interface.exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXE

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\ASUS\ASUS Live Update\ALU.exe

C:\WINDOWS\ATK0100\ATKOSD.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\DynDNS Updater\DynDNS.exe

C:\Program Files\Logitech\Video\FxSvr2.exe

C:\Program Files\HijackThis\jerius.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://runonce.msn.com/?v=msgrv75

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.asus.com

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.asus.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O4 - HKLM\..\Run: [Hcontrol] C:\WINDOWS\ATK0100\Hcontrol.exe

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [Power_Gear] C:\Program Files\ASUS\Power4 Gear\BatteryLife.exe 1

O4 - HKLM\..\Run: [synTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [PRONoMgr.exe] c:\Program Files\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe

O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"

O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE

O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe

O4 - HKLM\..\Run: [FileZilla Server Interface] "C:\Program Files\FileZilla Server\FileZilla Server Interface.exe"

O4 - HKLM\..\Run: [EPSON Stylus CX3600 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXE /P26 "EPSON Stylus CX3600 Series" /O6 "USB001" /M "Stylus CX3600"

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [ASUS Live Update] C:\Program Files\ASUS\ASUS Live Update\ALU.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [LogitechSoftwareUpdate] "C:\Program Files\Logitech\Video\ManifestEngine.exe" boot

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [DynDNS Updater] "C:\Program Files\DynDNS Updater\DynDNS.exe"

O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O14 - IERESET.INF: START_PAGE_URL=http://www.asus.com

O18 - Protocol: msnim - 0 - (no file)

O20 - AppInit_DLLs: MsgPlusLoader.dll

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O20 - Winlogon Notify: Sebring - c:\WINDOWS\system32\LgNotify.dll

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: ASUS Keyboard Service (ASUSKeyboardService) - ASUSTeK COMPUTER INC. - c:\WINDOWS\ASUSKBService.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: Diskeeper - Diskeeper Corporation - C:\Program Files\Diskeeper Corporation\Diskeeper\DkService.exe

O23 - Service: FileZilla Server FTP server (FileZilla Server) - Unknown owner - C:\Program Files\FileZilla Server\FileZilla Server.exe

O23 - Service: RegSrvc - Intel Corporation - C:\WINDOWS\system32\RegSrvc.exe

O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\WINDOWS\system32\S24EvMon.exe

O23 - Service: Windows Log - Unknown owner - C:\WINDOWS\system32\nvsvcd.exe

O23 - Service: VNC Server Version 4 (WinVNC4) - Unknown owner - C:\Program Files\RealVNC\VNC4\WinVNC4.exe" -service (file missing)

 

 

Rapport des programmes installés (Hijackthis uninstall Manager) :

 

µTorrent

7-Zip 4.39 beta

Adobe Acrobat 5.0

Asus ChkMail

ASUS Enhanced Display Driver

ASUS GameFace

ASUS Live Update

ASUS Probe V2.11

ATK0100 ACPI UTILITY

avast! Antivirus

CCleaner (remove only)

CDex extraction audio

Correctif Windows XP - KB873339

Correctif Windows XP - KB885250

Correctif Windows XP - KB885835

Correctif Windows XP - KB885836

Correctif Windows XP - KB885884

Correctif Windows XP - KB886185

Correctif Windows XP - KB887472

Correctif Windows XP - KB887742

Correctif Windows XP - KB888113

Correctif Windows XP - KB888302

Correctif Windows XP - KB890859

Correctif Windows XP - KB891781

Diskeeper Professional Premier Edition

DivX

DynDNS Updater 3.0

eMule

EPSON Logiciel imprimante

EPSON Scan

ffdshow

FileZilla (remove only)

FileZilla Server (remove only)

GrabIt 1.6.2 Beta (build 940)

HijackThis 1.99.1

Intel® Extreme Graphics 2 Driver

Intel® PROSet for Wireless

J2SE Runtime Environment 5.0 Update 6

Logiciel QuickCam de Logitech

Logitech Desktop Messenger

Messenger Plus! 3

Microsoft Office XP Professional avec FrontPage

Mise à jour de sécurité pour Lecteur Windows Media (KB911564)

Mise à jour de sécurité pour Lecteur Windows Media 9 (KB911565)

Mise à jour de sécurité pour Lecteur Windows Media 9 (KB917734)

Mise à jour de sécurité pour Step by Step Interactive Training (KB898458)

Mise à jour de sécurité pour Windows XP (KB890046)

Mise à jour de sécurité pour Windows XP (KB893756)

Mise à jour de sécurité pour Windows XP (KB896358)

Mise à jour de sécurité pour Windows XP (KB896422)

Mise à jour de sécurité pour Windows XP (KB896423)

Mise à jour de sécurité pour Windows XP (KB896424)

Mise à jour de sécurité pour Windows XP (KB896428)

Mise à jour de sécurité pour Windows XP (KB899587)

Mise à jour de sécurité pour Windows XP (KB899591)

Mise à jour de sécurité pour Windows XP (KB900725)

Mise à jour de sécurité pour Windows XP (KB901017)

Mise à jour de sécurité pour Windows XP (KB901214)

Mise à jour de sécurité pour Windows XP (KB902400)

Mise à jour de sécurité pour Windows XP (KB904706)

Mise à jour de sécurité pour Windows XP (KB905414)

Mise à jour de sécurité pour Windows XP (KB905749)

Mise à jour de sécurité pour Windows XP (KB908519)

Mise à jour de sécurité pour Windows XP (KB908531)

Mise à jour de sécurité pour Windows XP (KB911562)

Mise à jour de sécurité pour Windows XP (KB911567)

Mise à jour de sécurité pour Windows XP (KB911927)

Mise à jour de sécurité pour Windows XP (KB912812)

Mise à jour de sécurité pour Windows XP (KB912919)

Mise à jour de sécurité pour Windows XP (KB913446)

Mise à jour de sécurité pour Windows XP (KB913580)

Mise à jour de sécurité pour Windows XP (KB914388)

Mise à jour de sécurité pour Windows XP (KB914389)

Mise à jour de sécurité pour Windows XP (KB916281)

Mise à jour de sécurité pour Windows XP (KB917159)

Mise à jour de sécurité pour Windows XP (KB917344)

Mise à jour de sécurité pour Windows XP (KB917953)

Mise à jour de sécurité pour Windows XP (KB918439)

Mise à jour pour Windows XP (KB894391)

Mise à jour pour Windows XP (KB898461)

Mise à jour pour Windows XP (KB900485)

Mise à jour pour Windows XP (KB910437)

Mise à jour pour Windows XP (KB911280)

Mise à jour pour Windows XP (KB916595)

Mozilla Firefox (1.5.0.6)

Mpeg Layer3 Codec FHG-Radium v1.263

MSN

MSN Messenger 7.5

Notepad++

Patch Zolex pour WLM 8.0.0689

PDFCreator

PhotoFiltre

Power4 Gear V1.10

Programme de gestion Camera de Logitech®

QuickPar 0.9

QuickTime Alternative 1.75

SoftV92 Data Fax Modem with SmartCP

Sony Ericsson File Manager

Synaptics Pointing Device Driver

Utilitaires Sierra

VideoLAN VLC media player 0.8.4a

VNC Free Edition 4.1.2

Windows Installer 3.1 (KB893803)

WINFLASH V2.14

XviD 1.1 final uninstall

 

 

Voila... est-ce qu'un gentil "helper" voudrait bien m'aider à analyser ces rapports ?

Je le remercie d'avance !

 

PS: J'ai quand même l'impression de ne plus avoir de trace de ce virus... mais peut-etre est-ce une illusion !

[Mordred]

Bonjour ,

 

eMule => ton / tes problèmes viennent de la : http://forum.zebulon.fr/index.php?showtopic=85544

A lire avec attention

 

Applique la procédure de nettoyage : http://forum.zebulon.fr/index.php?showtopic=85543

 

Repost un rapport hijackthis

 

Bonne chance

[bruce lee]

bonjour a tous,

 

Mordred, Jerius a deja appliqué cette procedure

 

analyse en cours....

[bruce lee]

re,

 

Si durant la procedure ci bas, il y a des etapes que tu n'as pas reussi a faire, merci de

continuer la procedure jusqu'au bout et de les signaler dans ta prochaine reponse.

 

 

1/Télécharge la version d'évaluation d'Ewido:

http://www.ewido.net/en/download/

Installe la et mets à jour.

 

Démarre Ewido avec l'icône qui se trouve sur ton Bureau.

Clique sur Update Now,

attend la fin de cette mise à jour,

puis ferme le programme.

 

 

 

2/demarre en mode sans echec http://www.sosordi.net/Faq/Faq.2.html

 

 

3/fais:

demarer executer services.msc repere Windows Log

 

Double clic dessus :dans le champs Statut du service met le sur arrêté

dans le champs Type de démarrage met le sur désactivé puis

Appliquer puis ok .

 

 

4/pour supprimer les fichiers nefastes on va tous les afficher en faisant comme ceci:

 

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Cocher la case : Afficher les fichiers et dossiers cachés

Décocher la case : Masquer les extensions des fichiers dont le type est connu

Décocher la case : Masquer les fichiers protégés du système d'exploitation

cliquer sur "Appliquer"

cliquer sur le bouton "Appliquer à tous les dossiers" / OK

 

5/supprime ce qui est en gras:

 

C:\WINDOWS\system32\ nvsvcd.exe<== le fichier

C:\WINDOWS\ lsass.exe<== le fichier ATTENTION! ne supprime surtout pas celui qui est dans le system32

 

 

6/ Relance Ewido et clique sur Scanner

Puis sur l'onglets Settings, pour How to Act sélèctionne Quarantine.

 

Reviens a l'onglet Scan cliques Complete system Scan.

Le scan démarre.

 

A la fin cliquer sur Apply all actions

Puis sur Save report et pour finir Save report as enregistrer sur le Bureau.

 

 

 

7/redemarre en mode normal

 

8/poste le rapport d'ewido ainsi qu'un nouveau log hijackthis.

 

bon courage, et si tu as la moindre question n'hesite surtout pas

 

@+

[Jerius]

Re !

 

Merci pour vos reponse, dsl de ne repondre que maintenant, mais a cause la rentree, du changement d'immeuble je n'ai pas encore internet alors je vous tiens au courant des que je suis de nouveau connecte !

 

Merci encore...