Win32:Trojan-gen {Other}

bruce lee · le 24 juin 2007

Bonjour antoine37,

1. Télécharge combofix.exe (par sUBs) ici :

http://www.techsupportforum.com/sectools/sUBs/ComboFix.exe

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

sur ton Bureau.

2. Double clique combofix.exe et suis les invites.

3. Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.

antoine37 · le 24 juin 2007

Bonjour, je vais faire ce que tu me demandes, mais je te joins le rapport Kapersky que je viens d'obtenir après l'analyse. A priori il a trouvé pas mal de choses mais je ne sais pas comment faire pour commencer une désinfection.

Merci de votre aide

A bientôt.

Rapport Kapersky:

KASPERSKY ON-LINE SCANNER REPORT

Sunday, June 24, 2007 11:46:18 AM

Système d'exploitation : Microsoft Windows XP Home Edition, Service Pack 2 (Build 2600)

Kaspersky On-line Scanner version : 5.0.83.0

Dernière mise à jour de la base antivirus Kaspersky : 24/06/2007

Enregistrements dans la base antivirus Kaspersky : 330151

Paramètres d'analyse

Analyser avec la base antivirus suivante standard

Analyser les archives vrai

Analyser les bases de messagerie vrai

Cible de l'analyse Poste de travail

C:\

D:\

E:\

G:\

H:\

I:\

J:\

K:\

L:\

Statistiques de l'analyse

Total d'objets analysés 90766

Nombre de virus trouvés 4

Nombre d'objets infectés 30 / 0

Nombre d'objets suspects 0

Durée de l'analyse 00:44:14

Nom de l'objet infecté Nom du virus Dernière action

C:\WINDOWS\system32\config\system.LOG L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\software.LOG L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\default.LOG L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SAM.LOG L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SECURITY.LOG L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SysEvent.Evt L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\AppEvent.Evt L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SecEvent.Evt L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\Antivirus.Evt L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\Internet.evt L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\OSession.evt L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\ODiag.evt L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\DEFAULT L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SECURITY L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SOFTWARE L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SYSTEM L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SAM L'objet est verrouillé ignoré

C:\WINDOWS\system32\drivers\sptd.sys L'objet est verrouillé ignoré

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP L'objet est verrouillé ignoré

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP L'objet est verrouillé ignoré

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER L'objet est verrouillé ignoré

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP L'objet est verrouillé ignoré

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP L'objet est verrouillé ignoré

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA L'objet est verrouillé ignoré

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR L'objet est verrouillé ignoré

C:\WINDOWS\system32\CatRoot2\edb.log L'objet est verrouillé ignoré

C:\WINDOWS\system32\CatRoot2\tmp.edb L'objet est verrouillé ignoré

C:\WINDOWS\system32\windfire.exe Infecté : Trojan-Spy.Win32.Agent.qj ignoré

C:\WINDOWS\system32\inter32.dll Infecté : Trojan-Spy.Win32.Agent.qj ignoré

C:\WINDOWS\system32\h323log.txt L'objet est verrouillé ignoré

C:\WINDOWS\system32\c_10810.nls Infecté : Trojan-Spy.Win32.Agent.qj ignoré

C:\WINDOWS\system32\c_20462.nls Infecté : Trojan-Spy.Win32.Agent.qj ignoré

C:\WINDOWS\system32\999 Infecté : Trojan-Spy.Win32.Agent.qj ignoré

C:\WINDOWS\system32\c_19460.nls Infecté : Backdoor.Win32.Agobot.h ignoré

C:\WINDOWS\system32\shell64.dll Infecté : Trojan-Spy.Win32.Agent.qj ignoré

C:\WINDOWS\temp\Perflib_Perfdata_620.dat L'objet est verrouillé ignoré

C:\WINDOWS\Debug\PASSWD.LOG L'objet est verrouillé ignoré

C:\WINDOWS\SoftwareDistribution\EventCache\{1363D63C-A04A-4011-A0EE-F464E3BDCDA0}.bin L'objet est verrouillé ignoré

C:\WINDOWS\SoftwareDistribution\ReportingEvents.log L'objet est verrouillé ignoré

C:\WINDOWS\Sti_Trace.log L'objet est verrouillé ignoré

C:\WINDOWS\wiaservc.log L'objet est verrouillé ignoré

C:\WINDOWS\wiadebug.log L'objet est verrouillé ignoré

C:\WINDOWS\WindowsUpdate.log L'objet est verrouillé ignoré

C:\WINDOWS\SchedLgU.Txt L'objet est verrouillé ignoré

C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré

C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré

C:\Documents and Settings\NetworkService\ntuser.dat.LOG L'objet est verrouillé ignoré

C:\Documents and Settings\NetworkService\ntuser.dat L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\Local Settings\Temp\Cookies\index.dat L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\Local Settings\Temp\Fichiers Internet temporaires\Content.IE5\index.dat L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\Local Settings\Temp\History\History.IE5\index.dat L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\ntuser.dat.LOG L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\ntuser.dat L'objet est verrouillé ignoré

C:\Documents and Settings\Antoine Roy\ntuser.dat.LOG L'objet est verrouillé ignoré

C:\Documents and Settings\Antoine Roy\Local Settings\Temp\~DFAFBD.tmp L'objet est verrouillé ignoré

C:\Documents and Settings\Antoine Roy\Local Settings\Temp\Perflib_Perfdata_6fc.dat L'objet est verrouillé ignoré

C:\Documents and Settings\Antoine Roy\Local Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré

C:\Documents and Settings\Antoine Roy\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré

C:\Documents and Settings\Antoine Roy\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré

C:\Documents and Settings\Antoine Roy\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré

C:\Documents and Settings\Antoine Roy\Menu Démarrer\Programmes\Démarrage\officexp.exe Infecté : Trojan-Spy.Win32.Agent.qj ignoré

C:\Documents and Settings\Antoine Roy\ntuser.dat L'objet est verrouillé ignoré

C:\Documents and Settings\Antoine Roy\Cookies\index.dat L'objet est verrouillé ignoré

C:\Program Files\Alwil Software\Avast4\DATA\log\nshield.log L'objet est verrouillé ignoré

C:\Program Files\Alwil Software\Avast4\DATA\Avast4.db L'objet est verrouillé ignoré

C:\Program Files\Alwil Software\Avast4\DATA\aswResp.dat L'objet est verrouillé ignoré

C:\Program Files\PeerGuardian2\history.db L'objet est verrouillé ignoré

C:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP233\A0118223.exe Infecté : Trojan-Spy.Win32.Agent.qj ignoré

C:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP233\A0118224.dll Infecté : Trojan-Spy.Win32.Agent.qj ignoré

C:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP235\A0118245.exe Infecté : Trojan-Spy.Win32.Agent.qj ignoré

C:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP235\A0118282.dll Infecté : Trojan-Spy.Win32.Agent.qj ignoré

C:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP237\A0118376.exe Infecté : Trojan-Spy.Win32.Agent.qj ignoré

C:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP237\A0118377.dll Infecté : Trojan-Spy.Win32.Agent.qj ignoré

C:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP237\change.log L'objet est verrouillé ignoré

C:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP237\A0118450.exe Infecté : Trojan-Spy.Win32.Agent.qj ignoré

C:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP237\A0118451.dll Infecté : Trojan-Spy.Win32.Agent.qj ignoré

D:\System Volume Information\MountPointManagerRemoteDatabase L'objet est verrouillé ignoré

D:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP237\change.log L'objet est verrouillé ignoré

L:\Recycled\deskinf.pif Infecté : Backdoor.Win32.Agobot.h ignoré

L:\Recycled\~WR00001.doc Infecté : Trojan-Spy.Win32.Agent.qj ignoré

L:\System Volume Information\MountPointManagerRemoteDatabase L'objet est verrouillé ignoré

L:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP237\change.log L'objet est verrouillé ignoré

M:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP198\A0101115.pif Infecté : Backdoor.Win32.Agobot.h ignoré

M:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP198\A0101181.pif Infecté : Backdoor.Win32.Agobot.h ignoré

M:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP201\A0101832.pif Infecté : Backdoor.Win32.Agobot.h ignoré

M:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP205\A0102436.pif Infecté : Backdoor.Win32.Agobot.h ignoré

M:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP206\A0102544.pif Infecté : Backdoor.Win32.Agobot.h ignoré

M:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP207\A0103066.pif Infecté : Backdoor.Win32.Agobot.h ignoré

M:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP210\A0103344.pif Infecté : Backdoor.Win32.Agobot.h ignoré

M:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP211\A0103566.pif Infecté : Backdoor.Win32.Agobot.h ignoré

M:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP215\A0104891.pif Infecté : Backdoor.Win32.Agobot.h ignoré

M:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP227\A0117333.pif Infecté : Backdoor.Win32.Agobot.h ignoré

M:\System Volume Information\_restore{18120FB7-1173-47C3-9BCD-321152D5F4E4}\RP237\change.log L'objet est verrouillé ignoré

M:\Recycled\deskinf.pif Infecté : Backdoor.Win32.Agobot.h ignoré

M:\Recycled\~WR00001.doc Infecté : Trojan-Spy.Win32.Agent.qj ignoré

Analyse terminée.

antoine37 · le 24 juin 2007

Voici le rapport ComboFix.

mboFix 07-06-18.2 - C:\Documents and Settings\Antoine Roy\Bureau\ComboFix.exe

"Antoine Roy" - 2007-06-24 12:41:28 - Service Pack 2

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

C:\DOCUME~1\ANTOIN~1\Bureau\internet.lnk

((((((((((((((((((((((((( Files Created from 2007-05-24 to 2007-06-24 )))))))))))))))))))))))))))))))

2007-06-24 12:41 49,152 --a------ C:\WINDOWS\nircmd.exe

2007-06-24 10:35 <REP> d-------- C:\WINDOWS\system32\Kaspersky Lab

2007-06-24 10:29 <REP> d--h----- C:\WINDOWS\PIF

2007-06-24 09:52 9,728 --------- C:\WINDOWS\system32\shell64.dll

2007-06-24 09:46 <REP> d-------- C:\WINDOWS\system32\ActiveScan

2007-06-23 21:04 <REP> d-------- C:\Program Files\a-squared Free

2007-06-23 20:59 626,688 --a------ C:\WINDOWS\system32\msvcr80.dll

2007-06-23 20:27 <REP> d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\Lavasoft

2007-06-23 16:53 80,060 --------- C:\WINDOWS\system32\windfire.exe

2007-06-23 16:53 32,256 --------- C:\WINDOWS\system32\inter32.dll

2007-06-23 16:14 77,254 --a------ C:\WINDOWS\system32\perfc040.dat

2007-06-23 16:14 472,796 --a------ C:\WINDOWS\system32\perfh040.dat

2007-06-22 18:53 9,961,472 --a------ C:\DOCUME~1\ANTOIN~1\ntuser.dat

2007-06-18 22:06 1,156 --a------ C:\WINDOWS\mozver.dat

2007-06-18 21:48 0 --a------ C:\WINDOWS\nsreg.dat

2007-06-18 21:28 5,632 --a------ C:\WINDOWS\system32\Machnm64.sys

2007-06-18 21:28 2,304 --a------ C:\WINDOWS\system32\Machnm32.sys

2007-06-18 21:28 15,840 --a------ C:\WINDOWS\system32\Machnm1.exe

2007-06-18 20:27 <REP> d-------- C:\Program Files\iTunes

2007-06-18 20:27 <REP> d-------- C:\Program Files\iPod

2007-05-26 18:05 53,248 --a------ C:\WINDOWS\system32\zlib.dll

2007-05-26 18:05 <REP> d-------- C:\Program Files\scrabbleproB1.0.6

(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

2007-05-16 15:13:54 683,520 ----a-w C:\WINDOWS\system32\inetcomm.dll

2007-05-13 10:17:52 -------- d-----w C:\Program Files\PeerGuardian2

2007-05-08 19:33:36 -------- d-----w C:\Program Files\Microsoft CAPICOM 2.1.0.2

2007-05-08 19:32:24 -------- d-----w C:\Program Files\Microsoft Visual Studio 8

2007-04-30 15:46:10 745,600 ----a-w C:\WINDOWS\system32\aswBoot.exe

2007-04-30 15:41:56 85,952 ----a-w C:\WINDOWS\system32\drivers\aswmon.sys

2007-04-30 15:41:42 94,552 ----a-w C:\WINDOWS\system32\drivers\aswmon2.sys

2007-04-30 15:39:42 23,416 ----a-w C:\WINDOWS\system32\drivers\aswRdr.sys

2007-04-30 15:38:52 43,176 ----a-w C:\WINDOWS\system32\drivers\aswTdi.sys

2007-04-30 15:37:24 26,888 ----a-w C:\WINDOWS\system32\drivers\aavmker4.sys

2007-04-30 15:35:28 95,872 ----a-w C:\WINDOWS\system32\AVASTSS.scr

2007-04-25 14:22:36 144,896 ----a-w C:\WINDOWS\system32\schannel.dll

2007-04-20 09:24:34 74,752 ----a-w C:\WINDOWS\ST6UNST.EXE

2007-04-20 09:24:34 253,952 ------w C:\WINDOWS\Setup1.exe

2007-04-18 16:14:18 2,854,400 ----a-w C:\WINDOWS\system32\msi.dll

2007-04-16 20:47:36 33,624 ----a-w C:\WINDOWS\system32\wups.dll

2007-04-16 20:45:54 1,710,936 ----a-w C:\WINDOWS\system32\wuaueng.dll

2007-04-16 20:45:48 549,720 ----a-w C:\WINDOWS\system32\wuapi.dll

2007-04-16 20:45:42 325,976 ----a-w C:\WINDOWS\system32\wucltui.dll

2007-04-16 20:45:36 203,096 ----a-w C:\WINDOWS\system32\wuweb.dll

2007-04-16 20:45:28 92,504 ----a-w C:\WINDOWS\system32\cdm.dll

2007-04-16 20:45:20 53,080 ----a-w C:\WINDOWS\system32\wuauclt.exe

2007-04-16 20:45:20 43,352 ----a-w C:\WINDOWS\system32\wups2.dll

2007-04-16 20:44:20 271,224 ----a-w C:\WINDOWS\system32\mucltui.dll

2007-04-16 20:44:18 208,248 ----a-w C:\WINDOWS\system32\muweb.dll

Leymon · le 25 juin 2007

J'ai eu exactement le même problème à propos de avast qui déclare un virus dans shell64.dll à chaque démarrage.

L'étape AVG (même sans être en mode sans échec) a suffit pour régler ça.

Merci Bruce Lee pour tes conseils et l'ensemble de ta filmographie. C'est toi le meilleur.

bruce lee · le 25 juin 2007

Bonjour leymon, antoine37,

Télécharge OTMoveIt de OldTimer.
Sauvegarde le sur ton Bureau.
Double-Clique sur OTMoveIt.exe pour le lancer.
Copie le chemin des fichiers suivants en selectionnant TOUT et en appuyant sur CTRL+C (ou, après avoir sélectionner, clique-droit et choisis Copier) :

C:\WINDOWS\system32\inter32.dll
C:\WINDOWS\system32\windfire.exe

C:\WINDOWS\system32\c_10810.nls

C:\WINDOWS\system32\c_20462.nls

C:\WINDOWS\system32\999

C:\WINDOWS\system32\c_19460.nls

C:\WINDOWS\system32\shell64.dll

:\Documents and Settings\Antoine Roy\Menu Démarrer\Programmes\Démarrage\officexp.exe

Retourne dans OTMoveit, fais un clique-droit dans la fenêtre "Paste List of Files/Folders to be moved" et choisis Coller.
Clique sur le bouton rouge Moveit!.
Ferme OTMoveIt.
Note : Si un fichier ou un dossier ne peut être déplacer immédiatement il te sera demander de redémarrer ta machine pour finir le processus. Si c'est le cas, choisis Yes.

Poste moi le rapport de OTMoveIT disponible ici : C:\_OTMoveIt\MovedFiles, en pièce jointe.

Vide le contenu de la corbeille du lecteur L et M.

antoine37 · le 25 juin 2007

Bonjour,

En fait moi aussi j'avais réussi avec AVG qui m'avait supprimé 2 virus et 25 trojans. Je croyais donc que je m'en été sorti, mais dès le lendemain hop c'est revenu. Et spécifiquement lorsque je connecte un périphérique et que je l'ouvre (clé USb, disque dur ext.). Car par exemple, hier je pensais ne plus avoir de problème, j'ai branché mon lecteur mp3 par une prise usb, je l'ai ouvert et là c'était reparti, avast me signalait un trojan avec shell64.

Je poste tout de même le rapport que tu me demande:

DllUnregisterServer procedure not found in C:\WINDOWS\system32\inter32.dll

C:\WINDOWS\system32\inter32.dll NOT unregistered.

C:\WINDOWS\system32\inter32.dll moved successfully.

C:\WINDOWS\system32\windfire.exe moved successfully.

C:\WINDOWS\system32\c_10810.nls moved successfully.

C:\WINDOWS\system32\c_20462.nls moved successfully.

C:\WINDOWS\system32\999 moved successfully.

C:\WINDOWS\system32\c_19460.nls moved successfully.

File/Folder C:\WINDOWS\system32\shell64.dll not found.

File/Folder :\Documents and Settings\Antoine Roy\Menu Démarrer\Programmes\Démarrage\officexp.exe not found.

Created on 06/25/2007 13:09:15

bruce lee · le 25 juin 2007

Re,

Lance OTmoveIT.
Clique sur CleanUp! (le programme va télécharger un fichier texte qui servira a nettoyer les programmes que l'on a téléchargé).
NOTE : Normalement, ton firewall (parefeu) devrait te demander si OTmoveIT peut accéder a internet, Autorise le.
Une liste apparait dans la partie gauche d'OTmoveIT.
Un message apparait pour confirmer le nettoyage. Confirme.

Suis scrupuleusement les instructions de ce lien (desactive et réactive la restauration de systeme)

http://service1.symantec.com/SUPPORT/INTER...020830101856924

refais ensuite un nouveau scan en ligne avec kaspersky puis poste le rapport

@+

antoine37 · le 26 juin 2007

Salut, voilà j'ai fais ce que tu m'as dit et je livre le rapport. Sinon pour info, j'avais remarqué que le virus se manifestait lorsque j'accédais à un disque dur externe ou à ma clé usb. Et ensuite je ne pouvais plus les ouvrir ave un double clic, c'était affiché : "Windows ne trouve pas '.\Recycled\deskinf.pif". Il fallait que je fasse clic droit et ouvrir et ça marchait. Voila le rapport:

Paramètres d'analyse

Analyser avec la base antivirus suivante standard

Analyser les archives vrai

Analyser les bases de messagerie vrai

Cible de l'analyse Poste de travail

C:\

D:\

E:\

G:\

H:\

I:\

J:\

K:\

L:\

M:\

Statistiques de l'analyse

Total d'objets analysés 91211

Nombre de virus trouvés 0

Nombre d'objets infectés 0 / 0

Nombre d'objets suspects 0

Durée de l'analyse 00:47:58