Infection Haxdoor.Fam ; Client Abacab( RAT) ; Trojan.KillReg

[renardjaunard]

Hello à tous !!!

 

 

depuis quelques temps mon ordi déconnait pas mal , mais comme après rebootages j'arrivais à aller sur mon forum ( je suis modérateur d'un forum de supporters de Rugby ) et à tant bien que mal me servir de l'ordi , en faisant de temps à autres des recherches et des detections antispiwares et antivirus avec differents logiciels ( Ad-Aware SE Personal , Spybot , Ewido , Xp AntiSpy , XoftSpy , Spyware Blaster , et consorts , detectant quelques cookies normaux et les supprimants à chaque fois , mes problèmes apparaissaient toujours ...

 

éteindre l'ordinateur en 2 x , ralentissement de la bécane , Boots intempestifs quand perte de la connection Internet , pas de reconnaissance de mon Graveur DVD et des trucs zrbs comme ça ...

 

j'ai bien sûr lancé Hijackthis et suivi les conseils que vous donniez , antivirus on line mais même avec IE ça ne voulait pas lancer le scan ( j'utilise normalement Firefox 1.5.0.7)

 

pour le redemarrage en mode sans echec , je l'ai bien fait aussi , mais pb là aussi , mon ecran est décalé sur la droite et avec une resolution d'ecran bizarre qui ne permet pas d'acceder aux boutons et onglets ...

 

j'avais avast comme antivirus , mais je trouvai depuis qques temps que les MAJ ne survenaient que d efaçon bizarre , et j'ai lu que certains virus ou trojans exploitaient des filles de securité ...

 

j'ai donc installé depuis une dizaine de jours AntiVir comme vous le preconisez , et j'utilise aussi comme Firewall ZoneAlarm mais qui doit être corrompu aussi , avec toutes les dernieres choses que j'ai dû accepter ...

 

bref c la m...rde complete ...

 

 

ce matin j'ai telechargé Defenza Anti-Spyware que j'ai lancé et qui m'as trouvé les bebetes que j'ai nommé en titre de ce post ...

 

 

 

je me tourne donc vers vous , apres avoir longuement essayé de trouver la réponse en lisant les pbs des utilisateurs precedents , mais en pure perte ...

 

merci par avance de vous pencher sur mon cas ...

[renardjaunard]

le scan de Defenza vient de s'achever et il ya aussi en plus Pack Abacab de détecté comme infection !!!

 

 

voici le log HJT :

 

Logfile of HijackThis v1.99.1

Scan saved at 14:33:40, on 06/10/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\ewido anti-spyware 4.0\guard.exe

C:\Program Files\CDBurnerXP\NMSAccess.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\Program Files\Unlocker\UnlockerAssistant.exe

C:\Program Files\CA\eTrust Internet Security Suite\caissdt.exe

C:\Program Files\CA\eTrust Internet Security Suite\eTrust PestPatrol Anti-Spyware\PPActiveDetection.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Defenza\pcd-as.exe

C:\WINDOWS\system32\rundll32.exe

C:\Documents and Settings\Jean-Mi\Bureau\Sécurité\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.google.fr/keyword/%s

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.cybervulcans.net/forum/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.aldi.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.cybervulcans.net/forum/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.fr/ie

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = C:\Program Files\Yahoo!\Plus\search\searchbar_setup.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O1 - Hosts: 84.16.81.32 cybervulcans.net

O1 - Hosts: 84.16.81.3 www.cybervulcans.net

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_07\bin\ssv.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O3 - Toolbar: ImageShack Toolbar - {6932D140-ABC4-4073-A44C-D4A541665E35} - C:\WINDOWS\ImageShackToolbar\ImageShackToolbar.dll

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_07\bin\jusched.exe

O4 - HKLM\..\Run: [imageShackUtil] C:\Program Files\ImageShack\QuickShot\QuickShot.exe

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [unlockerAssistant] "C:\Program Files\Unlocker\UnlockerAssistant.exe"

O4 - HKLM\..\Run: [CaISSDT] "C:\Program Files\CA\eTrust Internet Security Suite\caissdt.exe"

O4 - HKLM\..\Run: [eTrustPPAP] "C:\Program Files\CA\eTrust Internet Security Suite\eTrust PestPatrol Anti-Spyware\PPActiveDetection.exe"

O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Post Image to Blog - res://C:\WINDOWS\ImageShackToolbar\ImageShackToolbar.dll/5003

O8 - Extra context menu item: Tag This Image - res://C:\WINDOWS\ImageShackToolbar\ImageShackToolbar.dll/5002

O8 - Extra context menu item: Upload All Images to ImageShack - res://C:\WINDOWS\ImageShackToolbar\ImageShackToolbar.dll/5000

O8 - Extra context menu item: Upload Image to ImageShack - res://C:\WINDOWS\ImageShackToolbar\ImageShackToolbar.dll/5001

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_07\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_07\bin\ssv.dll

O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Program Files\Yahoo!\Messenger\yhexbmes0521.dll

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Program Files\Yahoo!\Messenger\yhexbmes0521.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)

O15 - Trusted Zone: http://housecall.antivirus.com

O15 - Trusted Zone: http://*.cy

O15 - Trusted Zone: http://www.cybervulcans.net

O15 - Trusted Zone: http://www.emsisoft.fr

O15 - Trusted Zone: http://stphoto.ifrance.com

O15 - Trusted Zone: http://toolbar.imageshack.us

O15 - Trusted Zone: http://webscanner.kaspersky.fr

O15 - Trusted Zone: http://www.poulpe.org

O15 - Trusted Zone: http://www.secuser.com

O15 - Trusted Zone: http://*.secuser.com

O15 - Trusted Zone: http://fr.trendmicro-europe.com

O15 - Trusted Zone: http://www.wistiti.fr

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://webscanner.kaspersky.fr/kavwebscan_unicode.cab

O16 - DPF: {56393399-041A-4650-94C7-13DFCB1F4665} (PSFormX Control) - http://www.my-etrust.com/Support/PestScanner/pestscan.cab

O16 - DPF: {6932D140-ABC4-4073-A44C-D4A541665E35} (ImageShack Toolbar) - http://toolbar.imageshack.us/toolbar/ImageShackToolbar.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe

O23 - Service: NMSAccess - Unknown owner - C:\Program Files\CDBurnerXP\NMSAccess.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

[renardjaunard]

personne pour m'aider ????

[renardjaunard]

je me permets de refaire un up ... ça parle à vraiment personne ?

[renardjaunard]

re Up ...

 

j'ai installé ZebProtect facielment en suivant bien le tuto , merci à l'auteur d'ailleurs

 

et je réitère ma question pour résoudre mon problème car ma version antivirus d'AV guard expire aujourd'hui ...

 

dois-je le desinstaller puis le reinstaller sur la becane en le telechargeant de nouveau ou prolonger à chaque fois que je redémarre ???

[renardjaunard]

encore un up ...

 

vraiment personne pour me conseiller svp ????

[renardjaunard]

[WawaSeb]

Bonsoir renardjaunard,

 

*** Bienvenue sur le forum sécurité de Zebulon ***

 

--- Suis scrupuleusement la procédure suivante, n'hésite pas à poser des questions si quelque chose te semble trop difficile, nous sommes là pour t'aider ! ---

 

Remarque importante : Il y a plusieurs antivirus installés sur ta machine. Il est impératif de n'en laisser qu'un seul !!! Cela peut en effet générer des conflits !

[ Un antivirus peut sans problème cohabiter avec un pare-feu et un antispyware ]

 

 

En ce qui concerne ImageShack, je te conseille de lire ceci : http://www.clubic.com/forum/pop-up-ou-spyw...re-t377586.html

 

 

 

1) Télécharge haxfix.exe sur ton bureau.

 

---> Ferme toutes tes applications et tes fenêtres d'Internet

---> Double-clique sur "haxfix.exe" pour débuter l'installation

---> Coche la case "Create a desktop icon".

---> Clique sur "Next" et suis les instructions qui apparaissent à l'écran

---> Quand l'installation est terminée, coche "Launch HaxFix" et clique sur "Finish"

 

Une fenêtre DOS va s'ouvrir avec le menu suivant :

 

1. Make logfile

2. Run auto fix

3. Run manual fix

E. Exit Haxfix

 

---> Choisis l'option "2" et valide avec ENTER

---> Poste ensuite le rapport c:\haxfix.txt

 

 

 

 

2) Relance HijackThis, ferme toutes les autres fenêtres et fixe les lignes suivantes (si encore présentes) :

 

 

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = C:\Program Files\Yahoo!\Plus\search\searchbar_setup.html

 

O1 - Hosts: 84.16.81.32 cybervulcans.net [ Si tu ne connais pas ce site : http://www.cybervulcans.net/spip/]

 

O1 - Hosts: 84.16.81.3 www.cybervulcans.net [ Si tu ne connais pas ce site : http://www.cybervulcans.net/spip/]

 

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)

 

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)

 

015 - Toutes les lignes "015" que tu n'as pas ajouté volontairement à tes "sites de confiance"

 

 

 

 

3) Ta console JAVA n'est pas à jour, ce qui laisse des failles de sécurité et permet aux malware's de revenir...

 

---> Télécharge ici la dernière version de JAVA : http://www.java.com/fr/download/manual.jsp

 

---> Après téléchargement, va dans le panneau de configuration --> Ajout/Suppression de programmes afin de désinstaller l'ancienne version, ceci pour récupérer de l'espace disque et éventuellement pour combler les failles présentes dans cette ancienne version.

 

---> Redémarre et installe la nouvelle version

 

---> Retourne alors sur le site de Java ci-dessus et clique sur le bouton "Vérifier l'installation" pour t'assurer que tout est en ordre.

 

En cas de problèmes chez Sun, tu peux aller télécharger la dernière version ici : http://www.filehippo.com/download_java_runtime/

 

 

 

 

4) Clique sur "Démarrer", "exécuter" et tape (sans les guillemets) "cleanmgr"

 

 

---> Valide en appuyant sur OK

---> Laisse Windows calculer, coche toutes les cases

---> Clique à nouveau sur OK

 

 

 

5) Reposte un log HijackThis ainsi que le rapport de "HaxFix"

 

Bon travail !