trojan-spy.win32.agent.jf

[strongh]

Bonsoir

 

Suite à l'installation d'une application de gestion au niveau de mon entreprise, j'ai constaté après le test de virus par

 

kaspersky qu'un fichier est contaminé par "trojan-spy.win32.agent.jf", le fichier atteint est keyhook.dll.

 

Je voudrais poser les questions:

 

Ce trojan est il dangereux? qu'est ce qu'il permet de faire comme actions?

 

Comment le supprimer sans effacer le fichier, parce que si j'efface le fichier, une partie de l'application relative aux touches de fonctions n'apparait pas?

 

Merci de me régler ce problème

[bruce lee]

Bonjour,

 

1/affiche tout les fichiers:

 

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Cocher la case : Afficher les fichiers et dossiers cachés

Décocher la case : Masquer les extensions des fichiers dont le type est connu

Décocher la case : Masquer les fichiers protégés du système d'exploitation

cliquer sur "Appliquer"

cliquer sur le bouton "Appliquer à tous les dossiers" / OK

 

 

2/rend toi ensuite sur ce site http://virusscan.jotti.org/ et fait analyser keyhook.dll puis post le resultat.

 

@+

[strongh]

Bonsoir

 

Merci bruce lee de cette réponse que je la vois comme solution à mon problème, j'ai fais ce que tu m'as dit

 

après l'analyse en ligne, voilà le rapport:

 

 

 

 

File: KeyHook.dll Status:

 

INFECTED/MALWARE

 

MD5: 04c3a6996c97125e453a6d67e9337767 Packers detected:

 

Bit9 reports: High threat detected

 

 

• Scan taken on 20 Aug 2007 13:41:44 (GMT)

 

A-Squared : Found Trojan-Spy.Win32.Agent.jf

 

AntiVir: Found TR/Spy.Agent.JF

 

ArcaVir: Found Trojan.Spy.Agent.Jf

 

Avast:Found Win32: Agent-VH

 

AVG Antivirus: Found PSW.Agent.AKZ

 

BitDefender: Found Trojan.Spy.Agent.JF

 

ClamAV: Found nothing

 

CPsecure: Found nothing

 

Dr.Web: Found Tool.KeyHook

 

F-Prot Antivirus: Found W32/Trojan.AXGX

 

F-Secure Anti-Virus: Found Trojan-Spy.Win32.Agent.jf

 

Fortinet: Found KeyHook

 

Kaspersky Anti-Virus: Found nothing

 

NOD32: Found Win32/Spy.Agent.JF

 

Norman Virus Control: Found W32/Agent.TGF

 

Panda Antivirus: Found Application/Fingerprints

 

Rising Antivirus: Found Trojan.Spy.KeySpy.a

 

Sophos Antivirus: Found nothing

 

VirusBuster: Found TrojanSpy.Agent.CKF

 

VBA32: Found Trojan-Spy.Win32.Agent.jf

 

 

 

 

Merci de me régler ce problème rapidement

 

je suis imaptient

[bruce lee]

Re,

 

- Télécharge Hijackthis V 2.02 http://www.trendsecure.com/portal/en-US/th.../HJTInstall.exe enregistre ce fichier sur le bureau.

 

- Fais un double clic sur HJTInstall.exe afin de lancer l'installation

 

- Clique sur Install ensuite sur I Accept

 

- Clique sur Do a scan system and save log file

 

- Le Bloc-notes s'ouvrira fais un copier coller de tout son contenu ici dans ta prochaine réponse.

 

En cas de problèmes suit ce tuto: http://cybersecurite.xooit.com/t138-Hijack...-2-0-2.htm#1185

[strongh]

Bonsoir et merci pour votre réponse

 

J'ai téléchargé Hijackthis, je l'ai installé et j'ai fais le scan, voilà le rapport:

 

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 15:24:39, on 21/08/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Network Associates\Common Framework\FrameworkService.exe

C:\Program Files\Network Associates\VirusScan\Mcshield.exe

C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe

C:\WINDOWS\system32\MGE\RunSC.exe

C:\WINDOWS\system32\MGE\PCtl.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\PDF Complete\pdfsvc.exe

C:\WINDOWS\system32\MGE\BIL.EXE

C:\WINDOWS\system32\MGE\CILRS232.EXE

C:\WINDOWS\system32\MGE\CILUSB.EXE

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\wscntfy.exe

C:\Program Files\PDF Complete\pdfsty.exe

C:\WINDOWS\SMINST\Scheduler.exe

C:\WINDOWS\system32\Rundll32.exe

C:\Program Files\Hewlett-Packard\Toolbox\StatusClient\StatusClient.exe

C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe

C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE

C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe

C:\Program Files\Fichiers communs\Network Associates\TalkBack\TBMon.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe

C:\Program Files\Hewlett-Packard\Toolbox\jre\bin\javaw.exe

C:\BMGI\LAMA.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.hp.com

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://shell.windows.com/fileassoc/fileass...40c&Ext=cfg

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [PDF Complete] "C:\Program Files\PDF Complete\pdfsty.exe"

O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\Sminst\Recguard.exe

O4 - HKLM\..\Run: [Reminder] C:\WINDOWS\Creator\Remind_XP.exe

O4 - HKLM\..\Run: [scheduler] C:\WINDOWS\SMINST\Scheduler.exe

O4 - HKLM\..\Run: [P17Helper] Rundll32 P17.dll,P17Helper

O4 - HKLM\..\Run: [statusClient 2.6] C:\Program Files\Hewlett-Packard\Toolbox\StatusClient\StatusClient.exe /auto

O4 - HKLM\..\Run: [TomcatStartup 2.5] C:\Program Files\Hewlett-Packard\Toolbox\hpbpsttp.exe

O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe"

O4 - HKLM\..\Run: [shStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE

O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey

O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Program Files\Fichiers communs\Network Associates\TalkBack\TBMon.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [bgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe"

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O23 - Service: GET - BMGI - C:\BMGI\GET WIN\pcget.exe

O23 - Service: Service Framework McAfee (McAfeeFramework) - Network Associates, Inc. - C:\Program Files\Network Associates\Common Framework\FrameworkService.exe

O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\Mcshield.exe

O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe

O23 - Service: MGE Service module - Unknown owner - C:\WINDOWS\system32\MGE\RunSC.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: PC Angel (PCA) - SoftThinks - C:\WINDOWS\SMINST\PCAngel.exe

O23 - Service: PDF Document Manager (pdfcDispatcher) - PDF Complete Inc - C:\Program Files\PDF Complete\pdfsvc.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: Serveur de traitements DOM - BMGI - C:\BMGI\srvt.exe

O23 - Service: Onduleur (UPS) - Unknown owner - C:\WINDOWS\System32\ups2.exe (file missing)

 

--

End of file - 5592 bytes

[bruce lee]

re,

 

Si durant la procédure ci-dessous, il y a des étapes que tu n'as pas reussi a faire, merci de continuer la procédure jusqu'au bout et de les signaler dans ta prochaine reponse.

 

Je te conseille d'enregistrer la page web compléte sous Internet Explorer comme ceci :

 

* Clique sur Fichier/Enregistrer sous Dans Type, choisis : Archive web (fichier seul (*.mht) / Enregistre la sur le bureau,comme cela tu retrouvera la mise en forme ou imprime cette réponse. Une partie de la désinfection se déroulera en mode sans échec.

 

 

1/Télécharge puis installe http://www.ewido.net/en/download

Une fois AVG AS lancé, clique sur Mise à jour

Ferme le programme.

 

 

 

2/Démarre en mode sans échec http://cybersecurite.xooit.com/t88-Demarre...s-echec.htm#665

 

3/Supprime le fichier keyhook.dll.

 

 

4/ Relance AVG AS puis choisis l'onglet Analyse

Puis l'onglet Paramètres

Sous la question Comment réagir ?, clique sur Actions recommandées et choisis Quarantaine

Reclique sur l'onglet Analyse puis réalise une Analyse complète du système

 

Si un fichier infecté est détecté en fin d'analyse

Clique sur Appliquer toutes les actions

 

Clique sur Enregistrer le rapport puis sur Enregistrer le rapport sous

Enregistre ce fichier texte sur ton bureau

 

 

5/Redémarre en mode normal

 

6/Poste le rapport d'AVG Anti spyware 7.5.

 

Bon courage, et si tu as la moindre question n'hésite surtout pas

 

@+