Problème Winlogon et Trojan

WILL 74 · le 16 février 2007

Bonjour à tous et toutes,

Voila en quelleque ligne mes logiciel et PB :

J'ai F-secure comme antivirus (fourni par mon FAI) il m'affiche trés régulierement (toutes les 2 minutes) un message :

fichier contaminé : C:\windows\system32\winlogon.exe

objet: trojan.win32.patched.g

action: rejeter

ainsi qu'un message me demandant quoi faire pour :

trojan.win32.patched.g

avec comme possibilité :

Nettoyer (-> il me dit qu'il ne peut pas!)

supprime

ne rien faire

J'ai télécharger Avast! pour voir mais toujour même probleme. Idem avec Adawre.

J'ai vu sur des post similaire que l'on conseillet de mettre Hijackthis et de lancer un scan puis de le mettre donc le voici :

Logfile of HijackThis v1.99.1

Scan saved at 10:04:21, on 16/02/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\spoolsv.exe

E:\avast\aswUpdSv.exe

E:\avast\ashServ.exe

E:\PACKSE~1\backweb\361343\Program\SERVIC~1.EXE

E:\pack securite\Anti-Virus\fsgk32st.exe

E:\pack securite\Anti-Virus\FSGK32.EXE

E:\pack securite\backweb\361343\program\fsbwsys.exe

E:\pack securite\Common\FSMA32.EXE

C:\WINDOWS\System32\GEARSec.exe

E:\pack securite\Common\FSMB32.EXE

E:\pack securite\Anti-Virus\fssm32.exe

E:\Program Files\Pinnacle\MediaServer\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlservr.exe

E:\pack securite\Common\FCH32.EXE

E:\pack securite\Common\FAMEH32.EXE

E:\Ghost\Agent\VProSvc.exe

E:\pack securite\Anti-Virus\fsrw.exe

E:\pack securite\FSPC\fspc.exe

E:\pack securite\FWES\Program\fsdfwd.exe

E:\avast\ashMaiSv.exe

E:\avast\ashWebSv.exe

E:\pack securite\Anti-Virus\fsav32.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\Program Files\Logitech\iTouch\iTouch.exe

E:\pack securite\Common\FSM32.EXE

C:\Program Files\Logitech\MouseWare\system\em_exec.exe

E:\PACKSE~1\ANTI-S~1\fsaw.exe

C:\Program Files\MSI\Live Update 3\LMonitor.exe

C:\Program Files\Pinnacle\Shared Files\Programs\MediaCenterService\PMC.Service.Main.exe

C:\Program Files\Pinnacle\Shared Files\Programs\Remote\Remoterm.exe

E:\pack securite\FSGUI\fsguidll.exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAAE.EXE

E:\avast\ashDisp.exe

C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe

E:\pack securite\backweb\361343\Program\fspex.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\WINDOWS\System32\svchost.exe

G:\logitiel\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O3 - Toolbar: (no name) - {84938242-5C5B-4A55-B6B9-A1507543B418} - (no file)

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime

O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe

O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe

O4 - HKLM\..\Run: [F-Secure Manager] "E:\pack securite\Common\FSM32.EXE" /splash

O4 - HKLM\..\Run: [F-Secure TNB] "E:\pack securite\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW

O4 - HKLM\..\Run: [F-Secure Startup Wizard] "E:\pack securite\FSGUI\FSSW.EXE" /reboot

O4 - HKLM\..\Run: [LiveMonitor] C:\Program Files\MSI\Live Update 3\LMonitor.exe

O4 - HKLM\..\Run: [PMCS] "C:\Program Files\Pinnacle\Shared Files\Programs\MediaCenterService\PMC.Service.Main.exe" -host -clearDebug

O4 - HKLM\..\Run: [Pinnacle WebUpdater] "C:\Program Files\Pinnacle\Shared Files\Programs\WebUpdater\WebUpdater.exe" -s -f=UpdateVersion.xml -url=http://cdn.pinnaclesys.com/SupportFiles

O4 - HKLM\..\Run: [PMCRemote] C:\Program Files\Pinnacle\Shared Files\Programs\Remote\Remoterm.exe

O4 - HKLM\..\Run: [EPSON Stylus D68 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAAE.EXE /P23 "EPSON Stylus D68 Series" /O6 "USB001" /M "Stylus D68"

O4 - HKLM\..\Run: [avast!] E:\avast\ashDisp.exe

O4 - HKLM\..\Run: [userFaultCheck] %systemroot%\system32\dumprep 0 -u

O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe

O4 - Global Startup: Pack Securite.lnk = E:\pack securite\backweb\361343\Program\fspex.exe

O8 - Extra context menu item: &Bloquer cette fenêtre publicitaire - E:\pack securite\Anti-Spyware\blockpopups.htm

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://E:\MICROS~1\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Filtre Web - {200DB664-75B5-47c0-8B45-A44ACCF73C00} - E:\pack securite\FSPC\fspcmsie.dll

O9 - Extra button: (no name) - {200DB664-75B5-47c0-8B45-A44ACCF73F01} - E:\pack securite\FSPC\fspcmsie.dll

O9 - Extra 'Tools' menuitem: Filtre Web - {200DB664-75B5-47c0-8B45-A44ACCF73F01} - E:\pack securite\FSPC\fspcmsie.dll

O9 - Extra button: Protection Internet Explorer - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - E:\pack securite\Anti-Spyware\ieshield.dll

O9 - Extra 'Tools' menuitem: Protection Internet Explorer... - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - E:\pack securite\Anti-Spyware\ieshield.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - E:\MICROS~1\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O10 - Broken Internet access because of LSP provider 'winsflt.dll' missing

O17 - HKLM\System\CCS\Services\Tcpip\..\{A35C455C-18F6-4FC7-95E7-379C340CF9E3}: NameServer = 192.168.1.1

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O21 - SSODL: hirtellous - {fa19bd7e-50bc-4203-80ac-c4edc81ca9a3} - (no file)

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - E:\avast\aswUpdSv.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: avast! Antivirus - Unknown owner - E:\avast\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - E:\avast\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - E:\avast\ashWebSv.exe" /service (file missing)

O23 - Service: Pack Securite (BackWeb Plug-in - 361343) - BackWeb Technologies Inc. - E:\PACKSE~1\backweb\361343\Program\SERVIC~1.EXE

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

O23 - Service: FSGKHS (F-Secure Gatekeeper Handler Starter) - F-Secure Corp. - E:\pack securite\Anti-Virus\fsgk32st.exe

O23 - Service: fsbwsys - F-Secure Corp. - E:\pack securite\backweb\361343\program\fsbwsys.exe

O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - E:\pack securite\FWES\Program\fsdfwd.exe

O23 - Service: F-Secure HTTP Server (fshttps) - F-Secure Corporation - E:\pack securite\FSPC\fshttps\fshttps.exe

O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - E:\pack securite\Common\FSMA32.EXE

O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\System32\GEARSec.exe

O23 - Service: LanTool - N37dev - E:\logiciel reseau\LanTool\LanTool.exe

O23 - Service: Norton Ghost - Symantec Corporation - E:\Ghost\Agent\VProSvc.exe

O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe

O23 - Service: Pinnacle Systems Media Service (PinnacleSys.MediaServer) - Pinnacle Systems - c:\program files\pinnacle\shared files\programs\mediaserver\pmshost.exe

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe

Si quelqu'un peu m'aider merci d'avance car ces message récurant sont trés agasant surtout qu'il me font planté mon firewall..... Au passage existe til une méthode efficace pour ce protéger de ces saleté!!!

Merci Will

bruce lee · le 16 février 2007

Bonjour WILL 74 et bienvenue sur zebulon

1/Télécharger http://siri.urz.free.fr/Fix/SmitfraudFix.exe ou ici: http://siri.geekstogo.com/SmitfraudFix.exe (de S!Ri) sur ton bureau

2/Double cliquer sur smitfraudfix.exe

Sélectionner 1 dans le menu pour créer un rapport des fichiers responsables de l'infection.

sauvegarde ce rapport et poste le

Désinstalle avast via ajouts/suppression de programmes.

telecharge sur le bureau:

ftp://ftp.symantec.com/public/english_us_...emoval_Tool.exe

tu le lances, puis tu suis les instructions à l'écran.Il est censé virer toutes les versions du programme.

@+

WILL 74 · le 16 février 2007

Salut bruce lee

J'ai déja lance smitfraudfix mais j'ai toujours le soucis.

Je vais essaye ta solution avec emoval tools.

Je te tiens au courant...

A+

WILL 74 · le 16 février 2007

Re-

J'ai fait comme indiquer avec en plus en mode sans echec un coup de regcleaner plus une recherche avec avast avant de le désinstaller j'ai lancer norton remove tools et j'ai toujours mon souci de trjan et de winlogon....

D'autre suggestion peut être... moi j'ai beau me creusé je vois pas....

Au fait ce winlogon il sert à quoi???

MErci will

Logfile of HijackThis v1.99.1

Scan saved at 14:10:28, on 16/02/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

E:\PACKSE~1\backweb\361343\Program\SERVIC~1.EXE

E:\pack securite\Anti-Virus\fsgk32st.exe

E:\pack securite\Anti-Virus\FSGK32.EXE

E:\pack securite\backweb\361343\program\fsbwsys.exe

E:\pack securite\Common\FSMA32.EXE

C:\WINDOWS\System32\GEARSec.exe

E:\pack securite\Common\FSMB32.EXE

E:\pack securite\Anti-Virus\fssm32.exe

E:\Program Files\Pinnacle\MediaServer\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlservr.exe

E:\pack securite\Common\FCH32.EXE

E:\pack securite\Common\FAMEH32.EXE

E:\pack securite\Anti-Virus\fsrw.exe

E:\pack securite\FSPC\fspc.exe

E:\pack securite\FWES\Program\fsdfwd.exe

E:\pack securite\Anti-Virus\fsav32.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\Program Files\Logitech\iTouch\iTouch.exe

C:\Program Files\Logitech\MouseWare\system\em_exec.exe

E:\pack securite\Common\FSM32.EXE

E:\PACKSE~1\ANTI-S~1\fsaw.exe

C:\Program Files\MSI\Live Update 3\LMonitor.exe

C:\Program Files\Pinnacle\Shared Files\Programs\MediaCenterService\PMC.Service.Main.exe

C:\Program Files\Pinnacle\Shared Files\Programs\Remote\Remoterm.exe

E:\pack securite\FSGUI\fsguidll.exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAAE.EXE

C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe

C:\WINDOWS\System32\svchost.exe

E:\pack securite\backweb\361343\Program\fspex.exe

C:\Program Files\Pinnacle\Shared Files\Programs\PclePvr\VideoControl.exe

E:\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE