Infecté par Win32:TratBHO?

pantokrator28 · le 1 mai 2008

Bonjour à tous.

Niveau sécurité, je dispose du pare-feu windows et d'avast (oui, c'est pas top). Hier soir, alerte d'avast : je suis infecté par Win32:TratBHO... Il ne peut rien y faire et me remet l'alarme dès que je l'enlève. Même si le système fonctionne bien, je vais jeter un coup d'oeil sur les forums pendant un certain moment. Et 2 heures après, je ferme la fenêtre d'alarme d'avast qui ne me la remet plus, bizarrement...

Ce qui m'amène à ces questions : comment se manifeste ce trojan sur le système? (Est-il dangereux?) Pourquoi avast ne le détecte-t-il plus?

Avant que, je l'imagine, vous me le demandiez, voici le rapport HiJackThis:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 05:43:31, on 01/05/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

I:\WINDOWS\System32\smss.exe

I:\WINDOWS\system32\winlogon.exe

I:\WINDOWS\system32\services.exe

I:\WINDOWS\system32\lsass.exe

I:\WINDOWS\system32\Ati2evxx.exe

I:\WINDOWS\system32\svchost.exe

I:\WINDOWS\System32\svchost.exe

I:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

I:\Program Files\Alwil Software\Avast4\ashServ.exe

I:\WINDOWS\system32\Ati2evxx.exe

I:\WINDOWS\system32\spoolsv.exe

I:\WINDOWS\Explorer.EXE

I:\Program Files\Bonjour\mDNSResponder.exe

I:\WINDOWS\system32\slserv.exe

I:\WINDOWS\system32\svchost.exe

I:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

I:\Program Files\Alwil Software\Avast4\ashWebSv.exe

I:\WINDOWS\SOUNDMAN.EXE

I:\WINDOWS\ALCWZRD.EXE

I:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

I:\Program Files\QuickTime\qttask.exe

I:\Program Files\DAEMON Tools Pro\DTProAgent.exe

I:\Program Files\eChanblard\emule.exe

I:\WINDOWS\system32\rundll32.exe

I:\Program Files\Mozilla Firefox\firefox.exe

I:\Documents and Settings\Admin\Bureau\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr/ie

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.daemon-search.com/startpage

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ustart.org

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.fr/ie

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.fr/keyword/%s

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - I:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {926BB4BA-CA68-4C07-B638-788B956AFAEB} - I:\WINDOWS\system32\xxyaBTnK.dll

O2 - BHO: (no name) - {F50B3F5E-856E-4757-9BB1-B35D46CA7719} - I:\WINDOWS\system32\yayvTmnk.dll

O4 - HKLM\..\Run: [Raccourci vers la page des propriétés de High Definition Audio] HDAShCut.exe

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [avast!] I:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [NBKeyScan] "I:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"

O4 - HKLM\..\Run: [QuickTime Task] "I:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "I:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKCU\..\Run: [indxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "I:\Program Files\Fichiers communs\Nero\Lib\NMIndexStoreSvr.exe" ASO-616B5711-6DAE-4795-A05F-39A1E5104020

O4 - HKCU\..\Run: [DAEMON Tools Pro Agent] "I:\Program Files\DAEMON Tools Pro\DTProAgent.exe"

O4 - HKUS\S-1-5-19\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-19\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-19\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User 'Default user')

O4 - Global Startup: Microsoft Office.lnk = I:\Program Files\Microsoft Office\Office10\OSA.EXE

O17 - HKLM\System\CCS\Services\Tcpip\..\{208464BD-B5CA-4ED2-9F52-0522D0718281}: NameServer = 192.168.1.1

O17 - HKLM\System\CS1\Services\Tcpip\..\{208464BD-B5CA-4ED2-9F52-0522D0718281}: NameServer = 192.168.1.1

O17 - HKLM\System\CS2\Services\Tcpip\..\{208464BD-B5CA-4ED2-9F52-0522D0718281}: NameServer = 192.168.1.1

O20 - Winlogon Notify: yayvTmnk - I:\WINDOWS\SYSTEM32\yayvTmnk.dll

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - I:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - I:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - I:\WINDOWS\system32\ati2sgag.exe

O23 - Service: avast! Antivirus - ALWIL Software - I:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - I:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - I:\Program Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - I:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - I:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - I:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - I:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: SmartLinkService (SLService) - Smart Link - I:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - I:\Program Files\Fichiers communs\Sony Shared\AVLib\SPTISRV.exe

--

End of file - 5768 bytes

pear · le 1 mai 2008

Bonjour,

Imprimez ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.

Télécharger Malwarebytes' Anti-Malware (MBAM)

Enregistrez le sur le bureau .

Fermer toutes les fenêtres et programmes.

Double-cliquer sur l'icône Download_mbam-setup.exe sur le bureau pour démarrer l'installation.

Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet).

N'apportez aucune modification aux réglages par défaut et, en fin d'installation,

vérifiez que les options Update Malwarebytes' Anti-Malware et Launch Malwarebytes' Anti-Malware sont cochées.

MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse.

Comme il se met automatiquement à jour en fin d'installation, cliquer sur OK pour fermer la boîte de dialogue.

La fenêtre principale de MBAM s'affiche :

Dans l'onglet analyse, vérifier que "Exécuter une analyse approfondie" est coché et cliquer sur le bouton Rechercher pour démarrer l'analyse.

L' analyse prendra un certain temps, soyez patient !

Un message s'affichera, en indiquant la fin .

Cliquer sur OK pour continuer.

Si des malwares ont été détectés, leur liste s'affiche.

En cliquant sur Suppression (?) , MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

MBAM va ouvrir le bloc-notes et y copier le rapport d'analyse qui peut être retrouvé sous l'onglet Rapports/logs.

Fermer le bloc-note.

Fermer MBAM en cliquant sur Quitter.

Poster le rapport .

le 1 mai 2008

Bonsoir.

Tout d'abord merci de votre rapidité et de la clarté de votre réponse, Pear.

Donc voici le rapport MBAM :

Malwarebytes' Anti-Malware 1.11

Version de la base de données: 707

Type de recherche: Examen complet (I:\|)

Eléments examinés: 104095

Temps écoulé: 31 minute(s), 6 second(s)

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 2

Clé(s) du Registre infectée(s): 7

Valeur(s) du Registre infectée(s): 1

Elément(s) de données du Registre infecté(s): 2

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 6

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):

I:\WINDOWS\system32\xxyaBTnK.dll (Trojan.Vundo) -> Unloaded module successfully.

I:\WINDOWS\system32\yayvTmnk.dll (Trojan.Vundo) -> Unloaded module successfully.

Clé(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{926bb4ba-ca68-4c07-b638-788b956afaeb} (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\CLSID\{926bb4ba-ca68-4c07-b638-788b956afaeb} (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\CLSID\{f50b3f5e-856e-4757-9bb1-b35d46ca7719} (Trojan.Vundo) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{f50b3f5e-856e-4757-9bb1-b35d46ca7719} (Trojan.Vundo) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\yayvtmnk (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{f50b3f5e-856e-4757-9bb1-b35d46ca7719} (Trojan.Vundo) -> Delete on reboot.

Elément(s) de données du Registre infecté(s):

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Authentication Packages (Trojan.Vundo) -> Data: i:\windows\system32\xxyabtnk -> Delete on reboot.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Authentication Packages (Backdoor.Agent) -> Data: i:\windows\system32\xxyabtnk -> Delete on reboot.

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

Fichier(s) infecté(s):

I:\WINDOWS\system32\xxyaBTnK.dll (Trojan.Vundo) -> Delete on reboot.

I:\WINDOWS\system32\KnTBayxx.ini (Trojan.Vundo) -> Delete on reboot.

I:\WINDOWS\system32\KnTBayxx.ini2 (Trojan.Vundo) -> Quarantined and deleted successfully.

I:\WINDOWS\system32\yayvTmnk.dll (Trojan.Vundo) -> Delete on reboot.

I:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\MTILMVMZ\CAKTUBW5 (Trojan.Vundo) -> Quarantined and deleted successfully.

I:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\MTILMVMZ\kriv[1] (Trojan.Vundo) -> Quarantined and deleted successfully.

Alors? Verdict?...

pear · le 1 mai 2008

Bonsoir,

Redémarrez et postez un rapport hijackthis

pantokrator28 · le 2 mai 2008

Bonjour. Voici donc le rapport HiJackThis :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 13:07:55, on 02/05/2008