Cheval de Troie actif

[manchette]

sALUT,

 

J'ai sur mon pc XP pro un cheval de Troie que Kaspersky ne parvient pas à éliminer.

J4ai passé adaware, avg antimalware et a-squared

où est passé ewido security suite ? on a récupéré avg antimalware à la place...

Quels outils autres conseillez vous svp ?

 

merci

Modifié le 25 novembre 2006 par manchette

[bruce lee]

bonjour manchette,

 

 

telecharge la version original de hijackthis http://www.merijn.org/files/hijackthis.zip

 

déconnecte toi du net et installe le et installe le sur ton bureau

 

fais un clique droit sur hijackthis.exe puis choisis renommer et appele le manchette .

 

lance le en cliquant sur Do a system scan and save a logfile a la fin du scan le bloc note va s'ouvrir tu fais un copier coller de tout son contenu.

 

Pense aussi a me dire ou ce virus est localisé (quel dossier, le nom du fichier infecté...etc)

[manchette]

ok, j'ai lu ton message, faut que je vois car c'est sur le 2d pc qui rame grave déjà en temps normal , alors là comme il est en mode sans échec... bref je te poste ca dés que possible -- je mettrai le lieu où est le cheval de troie si j'arrive à trouver l'info--

 

Salut,

comme promis voici plus d'infos :

Info données par Kasperski :

D:\Windows\system32\CsdDriver.sys (objet bloqué)

Le cheval de Troie : Trojan.Spy.Win32.Goldun.no

 

Réparation KO, Supression KO , message d'alerte de Kasperski toutes les 5 minutes +/-

 

le log HJT , non renommé (ca ne me lancait plus HJT une fois renommé, pourquoi le renommer ??)

 

Logfile of HijackThis v1.99.1

Scan saved at 12:12:20, on 04/11/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

D:\WINDOWS\System32\smss.exe

D:\WINDOWS\system32\winlogon.exe

D:\WINDOWS\system32\services.exe

D:\WINDOWS\system32\lsass.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\System32\svchost.exe

D:\WINDOWS\system32\spoolsv.exe

D:\WINDOWS\Explorer.EXE

D:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

D:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

D:\WINDOWS\system32\nvsvc32.exe

D:\WINDOWS\system32\ctfmon.exe

D:\WINDOWS\lclock.exe

D:\PROGRA~1\INCRED~1\bin\IMApp.exe

D:\Documents and Settings\orelai77\Bureau\Sécurité\hijackthis\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr/ie

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.winlsd.org

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.fr/ie

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.fr/keyword/%s

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.incredimail.com/page.asp?page=r...don=IncrediMail

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - D:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O4 - HKLM\..\Run: [DAEMON Tools] "D:\Program Files\DAEMON Tools\daemon.exe" -lang 1036

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "D:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - HKLM\..\Run: [a-squared] "D:\Program Files\a-squared Anti-Malware\a2guard.exe"

O4 - HKLM\..\Run: [KAVPersonal50] "D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kav.exe" /minimize

O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [LClock] lclock.exe

O4 - HKCU\..\Run: [incrediMail] D:\Program Files\IncrediMail\bin\IncMail.exe /c

O4 - Startup: Eurobarre.lnk = D:\Program Files\eurobarre\eb.exe

O4 - Startup: Kitbar4$.lnk = D:\Documents and Settings\orelai77\Bureau\Kitbar4$.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = D:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: &Add animation to IncrediMail Style Box - D:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://D:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - D:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - D:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - D:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - D:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

O23 - Service: Kaspersky Anti-Virus Service (kavsvc) - Kaspersky Lab - D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kavsvc.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\system32\nvsvc32.exe

 

 

Je précise que les barres :

Eurobarre

Kitbar

Moneycash

sont là exprés On veut les garder.

Modifié le 4 novembre 2006 par manchette

[bruce lee]

bonjour manchette,

 

-Télécharge la dernière version de Killbox ici=>

 

http://www.killbox.net/downloads/KillBox.exe

 

-Redémarre en mode sans échec http://www.sosordi.net/Faq/Faq.2.html

 

-Lance Pocketkillbox,choisis l'option Delete on reboot

 

Copie le chemin de fichier entier, en gras ci-bas, et colle le dans la boîte Full Path of File to Delete :

 

D:\Windows\system32\CsdDriver.sys

 

-Cliquer sur la croix blanche sur fond rouge:

 

« File will be Deleted on Next Reboot » répondre OUI

« File will be Removed on Reboot, Do you want to reboot now ? » répondre OUI

 

 

 

supprime ensuite ce dossier C:\ !KillBox et dis moi si tu as toujours des alertes.

 

Fais ensuite un scan en ligne avec http://webscanner.kaspersky.fr/

 

Sous Démonstration en ligne , on t'explique la marche à suivre , et pour lancer le scan il faut sélectionner Exécuter l'analyse en ligne .Le scan ne marche que sous Internet Explorer.

On va te demander de télécharger un contôle active x, accepte .

Dans le menu Choisissez la cible de l'analyse , sélectionne Poste de travail .

Le scan va commencer.Poste le rapport qui sera généré stp.

 

Si il y a un problème, assure toi que les contrôles active x sont bien configurés dans les options internet comme

 

décrit sur ce lien=> http://www.inoculer.com/activex.php3

 

NOTE: le scan est a faire avec Internet Explorer

[manchette]

Salut,

quand je lance la killbox en mode sans échec et alors que j'attends logiquement que le pc reboote

--> j'ai un message : 'PendingFileRenameOperation Registry Data has been removed by external process !' puis le choix Ok.

 

Est ce normal ?

 

(j'imagine que Killbox n'a rien fait ? )

Modifié le 7 novembre 2006 par manchette

[bruce lee]

re,

 

verifie si le fichier en est encore present:

 

D:\Windows\system32\CsdDriver.sys

 

@+ et dis moi si il y est ou non.

[manchette]

Hello,

j'ai vérifié le fichier n'y est plus , bonne nouvelle

 

Aussi j'ai exécuté l'analyse en ligne de Kasperski : résultat : OK.

Par contre pas mal d'objets signalés verrouillés et passés.

Comment la poster ? ( j'ai un fichier en .html sur mon bureau)

[bruce lee]

bonjour,

 

Comment la poster ? ( j'ai un fichier en .html sur mon bureau)

 

ouvre le fichier html et fais un copier coller du contenu

 

@+

[manchette]

Salut,

désolé pour le retard

 

Malheureusement peu de temps aprés mon dernier message je me suis rendu compte que le problème était toujours là .

 

Même messages d'anomalie et même Cheval de Troie que j'ai décrit ci-dessus . Ca m'énerve !

(quand je recherche de visu ou avec la fonction rechercher le fichier CsdDriver.sys dans D:\Windows\system32 je ne le trouve pas, mais l'antivirus me le détecte comme cheval de Troie à cet emplacement... avec la même info : Trojan-Spy.Win32.Goldun.no, réparation KO et suppression idem )

 

 

Pour le rapport html de l'analyse en ligne Kaspersky voici un copier/coller :

 

Wednesday, November 08, 2006 2:44:29 PM

Système d'exploitation : Microsoft Windows XP Professional, Service Pack 2 (Build 2600)

Kaspersky On-line Scanner version : 5.0.83.0

Dernière mise à jour de la base antivirus Kaspersky : 8/11/2006

Enregistrements dans la base antivirus Kaspersky : 225724

Paramètres d'analyse

Analyser avec la base antivirus suivante standard

Analyser les archives vrai

Analyser les bases de messagerie vrai

Cible de l'analyse Poste de travail

C:\

D:\

E:\

F:\

H:\

Statistiques de l'analyse

Total d'objets analysés 26598

Nombre de virus trouvés 0

Nombre d'objets infectés 0 / 0

Nombre d'objets suspects 0

Durée de l'analyse 00:48:29

 

Nom de l'objet infecté Nom du virus Dernière action

C:\System Volume Information\MountPointManagerRemoteDatabase L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Backup\BackupMng.i0000 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Backup\BackupMng.i0001 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Backup\BackupMng.i0100 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Backup\BackupMng.i0101 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Backup\BackupMng.i0200 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Backup\BackupMng.i0201 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Backup\BackupMng.i0300 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Backup\BackupMng.i0301 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Backup\BackupMng.reph L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Backup\BackupMng.repi L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Backup\BackupMng.rept L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Quarantine\QMng.i0000 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Quarantine\QMng.i0001 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Quarantine\QMng.i0100 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Quarantine\QMng.i0101 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Quarantine\QMng.i0200 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Quarantine\QMng.i0201 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Quarantine\QMng.i0300 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Quarantine\QMng.i0301 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Quarantine\QMng.reph L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Quarantine\QMng.repi L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Quarantine\QMng.rept L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Reports\RptMng.i0000 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Reports\RptMng.i0001 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Reports\RptMng.i0100 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Reports\RptMng.i0101 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Reports\RptMng.i0200 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Reports\RptMng.i0201 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Reports\RptMng.reph L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Reports\RptMng.repi L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Reports\RptMng.rept L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Reports\{B1C5064E-0E60-4934-8AFD-10A3F458DA8E}.i0200 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Reports\{B1C5064E-0E60-4934-8AFD-10A3F458DA8E}.reph L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Reports\{B1C5064E-0E60-4934-8AFD-10A3F458DA8E}.repi L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\Reports\{B1C5064E-0E60-4934-8AFD-10A3F458DA8E}.rept L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\TIF\GlobalTIFMng.i0000 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\TIF\GlobalTIFMng.i0100 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\TIF\GlobalTIFMng.i0200 L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\TIF\GlobalTIFMng.reph L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\TIF\GlobalTIFMng.repi L'objet est verrouillé ignoré

D:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal Pro\5.0\TIF\GlobalTIFMng.rept L'objet est verrouillé ignoré

D:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré

D:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré

D:\Documents and Settings\LocalService\NTUSER.DAT L'objet est verrouillé ignoré

D:\Documents and Settings\LocalService\ntuser.dat.LOG L'objet est verrouillé ignoré

D:\Documents and Settings\NetworkService\Cookies\index.dat L'objet est verrouillé ignoré

D:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré

D:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré

D:\Documents and Settings\NetworkService\Local Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré

D:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré

D:\Documents and Settings\NetworkService\NTUSER.DAT L'objet est verrouillé ignoré

D:\Documents and Settings\NetworkService\ntuser.dat.LOG L'objet est verrouillé ignoré

D:\Documents and Settings\utilisateur\Cookies\index.dat L'objet est verrouillé ignoré

D:\Documents and Settings\utilisateur\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré

D:\Documents and Settings\utilisateur\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré

D:\Documents and Settings\utilisateur\Local Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré

D:\Documents and Settings\utilisateur\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré

D:\Documents and Settings\utilisateur\NTUSER.DAT L'objet est verrouillé ignoré

D:\Documents and Settings\utilisateur\ntuser.dat.LOG L'objet est verrouillé ignoré

D:\System Volume Information\MountPointManagerRemoteDatabase L'objet est verrouillé ignoré

D:\WINDOWS\Debug\PASSWD.LOG L'objet est verrouillé ignoré

D:\WINDOWS\system32\CatRoot2\edb.log L'objet est verrouillé ignoré

D:\WINDOWS\system32\CatRoot2\tmp.edb L'objet est verrouillé ignoré

D:\WINDOWS\system32\config\AppEvent.Evt L'objet est verrouillé ignoré

D:\WINDOWS\system32\config\default L'objet est verrouillé ignoré

D:\WINDOWS\system32\config\default.LOG L'objet est verrouillé ignoré

D:\WINDOWS\system32\config\SAM L'objet est verrouillé ignoré

D:\WINDOWS\system32\config\SAM.LOG L'objet est verrouillé ignoré

D:\WINDOWS\system32\config\SecEvent.Evt L'objet est verrouillé ignoré

D:\WINDOWS\system32\config\SECURITY L'objet est verrouillé ignoré

D:\WINDOWS\system32\config\SECURITY.LOG L'objet est verrouillé ignoré

D:\WINDOWS\system32\config\software L'objet est verrouillé ignoré

D:\WINDOWS\system32\config\software.LOG L'objet est verrouillé ignoré

D:\WINDOWS\system32\config\SysEvent.Evt L'objet est verrouillé ignoré

D:\WINDOWS\system32\config\system L'objet est verrouillé ignoré

D:\WINDOWS\system32\config\system.LOG L'objet est verrouillé ignoré

D:\WINDOWS\system32\drivers\dtscsi.sys L'objet est verrouillé ignoré

D:\WINDOWS\system32\drivers\sptd.sys L'objet est verrouillé ignoré

D:\WINDOWS\system32\drivers\sptd2685.sys L'objet est verrouillé ignoré

D:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR L'objet est verrouillé ignoré

D:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP L'objet est verrouillé ignoré

D:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER L'objet est verrouillé ignoré

D:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP L'objet est verrouillé ignoré

D:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP L'objet est verrouillé ignoré

D:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA L'objet est verrouillé ignoré

D:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP L'objet est verrouillé ignoré

Analyse terminée.

Modifié le 12 novembre 2006 par manchette

[bruce lee]

salut manchette,

 

 

1/telecharge silent runners http://www.silentrunners.org/Silent%20Runners.vbs

(fait clique droit sur le lien, puis enregistrer la cible sous)

 

2/déconnecte toi du net et ferme toutes les applications en cours.

 

3/lance silent runners laisse le travailler quand il aura finit de scanner tu en sauras averti par un message et un nouveau fichier texte sera crée ouvre ce fichier texte et colle la totalité du rapport.