Bifrose.LA [INFECTION]

[Gerfaut]

Bonjour, je suis infecté par un trojan du nom de Bifrose.LA, détecté par Spybot...

 

Je pensais qu'en faisant "Corriger les problèmes", tous rentrerait dans l'ordre... Mais non, ce de trojan est détecté à chaque analyse...

 

Comment faire pour m'en débarrasser ?

Merci d'avance

[bibi26]

Bonjour et bienvenue sur Zebulon,

 

Télécharge HijackThis de Merijn sur ton bureau.

Ouvre-le et clique sur Do a system scan and save a logfile, poste le rapport dans ta prochaine réponse.

[Gerfaut]

Voici Hijackthis

Logfile of HijackThis v1.99.1

Scan saved at 18:44:09, on 7/03/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.5730.0011)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Softwin\BitDefender10\bdmcon.exe

C:\Program Files\Softwin\BitDefender10\bdagent.exe

C:\Program Files\DAEMON Tools\daemon.exe

C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe

C:\Program Files\Analog Devices\SoundMAX\Smax4.exe

C:\Program Files\Belgacom\bin\sprtcmd.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\WINDOWS\system32\drivers\CDAC11BA.EXE

C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\system32\oodag.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe

C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\ccc.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Program Files\MSN Messenger\usnsvc.exe

C:\Program Files\eMule\emule.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe

C:\Program Files\Softwin\BitDefender10\vsserv.exe

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\Softwin\BitDefender10\bdlite.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\PROGRA~1\WINZIP\winzip32.exe

C:\Documents and Settings\christophe\Bureau\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.skynet.be/search/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.01net.com/telecharger/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.01net.com/telecharger/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O1 - Hosts: 65.111.166.194 L2authd.lineage2.com

O1 - Hosts: 65.111.166.194 L2testauthd.lineage2.com

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: BHO pour Compagnon Web Encarta - {955BE0B8-BC85-4CAF-856E-8E0D8B610560} - C:\Program Files\Fichiers communs\Microsoft Shared\Encarta Web Companion\2007\ENCWCBAR.DLL

O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

O3 - Toolbar: Compagnon Web Encarta - {147D6308-0614-4112-89B1-31402F9B82C4} - C:\Program Files\Fichiers communs\Microsoft Shared\Encarta Web Companion\2007\ENCWCBAR.DLL

O4 - HKLM\..\Run: [bDMCon] "C:\Program Files\Softwin\BitDefender10\bdmcon.exe" /reg

O4 - HKLM\..\Run: [bDAgent] "C:\Program Files\Softwin\BitDefender10\bdagent.exe"

O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [soundMAXPnP] C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe

O4 - HKLM\..\Run: [soundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray

O4 - HKLM\..\Run: [belgacom] "C:\Program Files\Belgacom\bin\sprtcmd.exe" /P Belgacom

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKCU\..\Run: [startCCC] C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - Global Startup: EPSON Status Monitor 3 Environment Check(2).lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE

O9 - Extra button: (no name) - SolidConverterPDF - (no file) (HKCU)

O11 - Options group: [iNTERNATIONAL] International*

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - http://www.creative.com/su/ocx/15026/CTSUEng.cab

O16 - DPF: {0E5F0222-96B9-11D3-8997-00104BD12D94} (PCPitstop Utility) - http://www.pcpitstop.com/pcpitstop/PCPitStop.CAB

O16 - DPF: {215B8138-A3CF-44C5-803F-8226143CFC0A} (Trend Micro ActiveX Scan Agent 6.6) - http://housecall65.trendmicro.com/housecal...win32/acti(...)

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedC...bin/AvSniff.cab

O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_2.3.3.102.cab

O16 - DPF: {4EFA317A-8569-4788-B175-5BAF9731A549} (Microsoft Virtual Server VMRC Advanced Control) - http://www.windowsvistatestdrive.com/Activ...iveXClient1.cab

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} - http://www.bitdefender.fr/scan8/oscan8.cab

O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) - http://cdn.scan.onecare.live.com/resource/...lscbase9602.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...nt/wuweb_s(...)

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedC...n/bin/cabsa.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111...com/housec(...)

O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - http://www.touslesdrivers.com/fichiers/har...tection.ca(...)

O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.5.0) - http://javadl-esd.sun.com/update/1.5.0/jin...ows-i586-jc.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {CD995117-98E5-4169-9920-6C12D4C0B548} (HGPlugin9USA Class) - http://gamedownload.ijjimax.com/gamedownlo...GPlugin9USA.cab

O16 - DPF: {E8F628B5-259A-4734-97EE-BA914D7BE941} (Driver Agent ActiveX Control) - http://driveragent.com/files/driveragent.cab

O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://www.creative.com/su/ocx/15028/CTPID.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)

O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)

O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe

O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexingService.exe

O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Program Files\Softwin\BitDefender10\vsserv.exe" /service (file missing)

O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

[bibi26]

Mis à part deux lignes inutiles, le rapport est propre. Nous fixerons ces lignes plus tard

 

Tu sembles avoir AVG Anti-Spyware sur ton ordinateur.

 

Ouvre AVG Anti-Spyware.

Clique sur Mise à jour, décoche la case Télécharger et installer les mises à jour automatiquement et clique sur Commencer la mise à jour.

Clique sur Analyse et sur Analyse complète du système.

Une fois l'analyse terminée, clique sur Action recommandée et sur Quarantaine.

Clique sur Appliquer toutes les actions, sur Enregistrer le rapport et sur Enregistrer le rapport sous, sauvegarde le rapport. Poste-le dans ta prochaine réponse.

 

Note :

C:\Program Files\eMule\emule.exe

Utiliser des logiciels de P2P (LimeWire, Kazaa etc..) n'est vraiment pas recommandé pour plusieurs raisons :

1. Beaucoup de logiciels de P2P sont infectés (ainsi que les fichiers sur le réseau)
   
2. Les logiciels de P2P entraînent des pertes financières à certains créateurs. Si tu aimes un artiste, achète son CD, va voir un de ces concerts...
   
3. Le P2P ralentit la connexion Internet
   
4. Le P2P entraîne de nombreux trous de sécurité (tout le monde peut voir ton adresse IP)
   
5. Pour voir le reste des conséquences, lis cet article de tesgaz : http://forum.zebulon.fr/index.php?showtopic=85544
   

Crois-le ou non, le P2P n'a rien de bon

Modifié le 7 mars 2007 par bibi26

[Gerfaut]

Déjà merci pour les infos sur le P2P, je ne savais pas tout ça... -> Emule est déjà désinstallé !

 

Dès que le scan est fini, je le poste...

 

Merci pour ton aide !

[Gerfaut]

---------------------------------------------------------

AVG Anti-Spyware - Rapport d'analyse

---------------------------------------------------------

 

+ Créé à: 17:58:36 8/03/2007

 

+ Résultat de l'analyse:

 

 

 

:mozilla.26:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Adtech : Aucune action entreprise.

:mozilla.27:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Adtech : Aucune action entreprise.

:mozilla.67:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Bluestreak : Aucune action entreprise.

:mozilla.22:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Comclick : Aucune action entreprise.

:mozilla.23:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Comclick : Aucune action entreprise.

:mozilla.24:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Comclick : Aucune action entreprise.

C:\Documents and Settings\christophe\Cookies\christophe@questionmarket[2].txt -> TrackingCookie.Questionmarket : Aucune action entreprise.

:mozilla.89:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Serving-sys : Aucune action entreprise.

:mozilla.90:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Serving-sys : Aucune action entreprise.

:mozilla.91:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Serving-sys : Aucune action entreprise.

:mozilla.92:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Serving-sys : Aucune action entreprise.

:mozilla.93:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Serving-sys : Aucune action entreprise.

:mozilla.94:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Serving-sys : Aucune action entreprise.

C:\Documents and Settings\christophe\Cookies\christophe@bs.serving-sys[2].txt -> TrackingCookie.Serving-sys : Aucune action entreprise.

C:\Documents and Settings\christophe\Cookies\christophe@serving-sys[2].txt -> TrackingCookie.Serving-sys : Aucune action entreprise.

:mozilla.48:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Sitestat : Aucune action entreprise.

:mozilla.49:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Sitestat : Aucune action entreprise.

:mozilla.10:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Smartadserver : Aucune action entreprise.

:mozilla.11:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Smartadserver : Aucune action entreprise.

:mozilla.14:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Smartadserver : Aucune action entreprise.

C:\Documents and Settings\christophe\Cookies\christophe@www.smartadserver[2].txt -> TrackingCookie.Smartadserver : Aucune action entreprise.

:mozilla.39:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Tribalfusion : Aucune action entreprise.

:mozilla.12:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Weborama : Aucune action entreprise.

:mozilla.13:C:\Documents and Settings\christophe\Application Data\Mozilla\Firefox\Profiles\bq8mgwww.default\cookies.txt -> TrackingCookie.Weborama : Aucune action entreprise.

C:\Documents and Settings\christophe\Cookies\christophe@weborama[1].txt -> TrackingCookie.Weborama : Aucune action entreprise.

 

 

Fin du rapport

[bibi26]

Re bonjour,

 

Où est-ce que Spybot détecte Bifrost ?

[Gerfaut]

Bifrose.LA: Réglages utilisateur (Clé du registre, nothing done)

HKEY_USERS\S-1-5-21-1547161642-1303643608-839522115-1004\Software\Bifrost

[bibi26]

En fait, Bifrost semble ne plus être présent dans l'ordinateur, mais il reste encore quelques traces...

 

Ouvre le Bloc-notes et copie-colle :

 

REGEDIT4

 

[-HKEY_USERS\S-1-5-21-1547161642-1303643608-839522115-1004\Software\Bifrost]

Clique sur Fichier, Enregistrer sous...

-Nom du fichier : "Bifrost.reg" (avec les guillemets)

-Type : Tous les fichiers

Clique sur Enregistrer.

Double-clique sur le fichier Bifrost.reg. Accepte la fusion. Spybot détecte-t-il encore Bifrost ?

Modifié le 8 mars 2007 par bibi26

[Gerfaut]

Non il ne le détecte plus !