Aller au contenu

  • Pas encore inscrit ?

    Pourquoi ne pas vous inscrire ? C'est simple, rapide et gratuit.
    Pour en savoir plus, lisez Les avantages de l'inscription... et la Charte de Zébulon.
    De plus, les messages que vous postez en tant qu'invité restent invisibles tant qu'un modérateur ne les a pas validés. Inscrivez-vous, ce sera un gain de temps pour tout le monde, vous, les helpeurs et les modérateurs ! :wink:

Infection par PHISH/Paypalfraud.1

JLM33

Par JLM33
dans Analyses et éradication malwares

 Partager

Messages recommandés

JLM33 Junior Member

JLM33

Posté(e)
Posté(e)

Bonjour,

 

Avira me signale une infection par PHISH/Paypalfraud.1, que je n'arrive pas à éradiquer.

Ci-dessous les rapports d'Avira et HJT.

Que puis-je faire ?

Merci beaucoup pour votre aide.

 

 

Avira AntiVir Personal

Report file date: mardi 13 mai 2008 09:39

 

Scanning for 1262804 virus strains and unwanted programs.

 

Licensed to: Avira AntiVir PersonalEdition Classic

Serial number: 0000149996-ADJIE-0001

Platform: Windows XP

Windows version: (Service Pack 3) [5.1.2600]

Boot mode: Normally booted

Username: SYSTEM

Computer name: PROGRÉCIF

 

Version information:

BUILD.DAT : 8.1.00.295 16479 Bytes 09/04/2008 16:24:00

AVSCAN.EXE : 8.1.2.12 311553 Bytes 17/04/2008 12:24:37

AVSCAN.DLL : 8.1.1.0 53505 Bytes 17/04/2008 12:24:37

LUKE.DLL : 8.1.2.9 151809 Bytes 17/04/2008 12:24:37

LUKERES.DLL : 8.1.2.1 12033 Bytes 17/04/2008 12:24:37

ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18/07/2007 14:27:15

ANTIVIR1.VDF : 7.0.3.2 5447168 Bytes 07/03/2008 10:36:45

ANTIVIR2.VDF : 7.0.4.0 1554432 Bytes 05/05/2008 05:30:08

ANTIVIR3.VDF : 7.0.4.28 148992 Bytes 13/05/2008 07:34:25

Engineversion : 8.1.0.42

AEVDF.DLL : 8.1.0.5 102772 Bytes 17/04/2008 12:24:38

AESCRIPT.DLL : 8.1.0.31 262522 Bytes 09/05/2008 19:37:57

AESCN.DLL : 8.1.0.16 119156 Bytes 08/05/2008 10:17:07

AERDL.DLL : 8.1.0.20 418165 Bytes 25/04/2008 22:16:52

AEPACK.DLL : 8.1.1.4 364918 Bytes 29/04/2008 22:16:36

AEOFFICE.DLL : 8.1.0.18 192890 Bytes 18/04/2008 12:19:25

AEHEUR.DLL : 8.1.0.26 1237366 Bytes 09/05/2008 19:37:53

AEHELP.DLL : 8.1.0.14 115063 Bytes 18/04/2008 12:19:20

AEGEN.DLL : 8.1.0.20 299380 Bytes 08/05/2008 10:17:06

AEEMU.DLL : 8.1.0.6 430451 Bytes 08/05/2008 10:17:04

AECORE.DLL : 8.1.0.28 168310 Bytes 08/05/2008 10:17:00

AVWINLL.DLL : 1.0.0.7 14593 Bytes 17/04/2008 12:24:37

AVPREF.DLL : 8.0.0.1 25857 Bytes 17/04/2008 12:24:37

AVREP.DLL : 7.0.0.1 155688 Bytes 16/04/2007 13:16:24

AVREG.DLL : 8.0.0.0 30977 Bytes 17/04/2008 12:24:37

AVARKT.DLL : 1.0.0.23 307457 Bytes 17/04/2008 12:24:36

AVEVTLOG.DLL : 8.0.0.11 114945 Bytes 17/04/2008 12:24:36

SQLITE3.DLL : 3.3.17.1 339968 Bytes 17/04/2008 12:24:37

SMTPLIB.DLL : 1.2.0.19 28929 Bytes 17/04/2008 12:24:37

NETNT.DLL : 8.0.0.1 7937 Bytes 17/04/2008 12:24:37

RCIMAGE.DLL : 8.0.0.35 2371841 Bytes 17/04/2008 12:24:14

RCTEXT.DLL : 8.0.32.0 86273 Bytes 17/04/2008 12:24:15

 

Configuration settings for the scan:

Jobname..........................: Complete system scan

Configuration file...............: c:\program files\avira\antivir personaledition classic\sysscan.avp

Logging..........................: low

Primary action...................: interactive

Secondary action.................: ignore

Scan master boot sector..........: on

Scan boot sector.................: on

Boot sectors.....................: C:, D:,

Scan memory......................: on

Process scan.....................: on

Scan registry....................: on

Search for rootkits..............: on

Scan all files...................: All files

Scan archives....................: on

Recursion depth..................: 20

Smart extensions.................: on

Deviating archive types..........: +BSD Mailbox, +Netscape/Mozilla Mailbox, +Eudora Mailbox, +Squid cache, +Pegasus Mailbox, +MS Outlook Mailbox,

Macro heuristic..................: on

File heuristic...................: medium

Deviating risk categories........: +APPL,+GAME,+JOKE,+PCK,+SPR,

 

Start of the scan: mardi 13 mai 2008 09:39

 

Starting search for hidden objects.

'45904' objects were checked, '0' hidden objects were found.

 

The scan of running processes will be started

Scan process 'avscan.exe' - '1' Module(s) have been scanned

Scan process 'avcenter.exe' - '1' Module(s) have been scanned

Scan process 'wmiprvse.exe' - '1' Module(s) have been scanned

Scan process 'alg.exe' - '1' Module(s) have been scanned

Scan process 'rapimgr.exe' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'wcescomm.exe' - '1' Module(s) have been scanned

Scan process 'dllhost.exe' - '1' Module(s) have been scanned

Scan process 'TeaTimer.exe' - '1' Module(s) have been scanned

Scan process 'cmdagent.exe' - '1' Module(s) have been scanned

Scan process 'cfp.exe' - '1' Module(s) have been scanned

Scan process 'guard.exe' - '1' Module(s) have been scanned

Scan process 'sched.exe' - '1' Module(s) have been scanned

Scan process 'avgnt.exe' - '1' Module(s) have been scanned

Scan process 'explorer.exe' - '1' Module(s) have been scanned

Scan process 'ati2evxx.exe' - '1' Module(s) have been scanned

Scan process 'avguard.exe' - '1' Module(s) have been scanned

Scan process 'LEXPPS.EXE' - '1' Module(s) have been scanned

Scan process 'spoolsv.exe' - '1' Module(s) have been scanned

Scan process 'LEXBCES.EXE' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'ati2evxx.exe' - '1' Module(s) have been scanned

Scan process 'lsass.exe' - '1' Module(s) have been scanned

Scan process 'services.exe' - '1' Module(s) have been scanned

Scan process 'winlogon.exe' - '1' Module(s) have been scanned

Scan process 'csrss.exe' - '1' Module(s) have been scanned

Scan process 'smss.exe' - '1' Module(s) have been scanned

31 processes with 31 modules were scanned

 

Starting master boot sector scan:

Master boot sector HD0

[iNFO] No virus was found!

 

Start scanning boot sectors:

Boot sector 'C:\'

[iNFO] No virus was found!

Boot sector 'D:\'

[iNFO] No virus was found!

 

Starting to scan the registry.

The registry was scanned ( '17' files ).

 

 

Starting the file scan:

 

Begin scan in 'C:\' <Prog' Récif>

C:\hiberfil.sys

[WARNING] The file could not be opened!

C:\pagefile.sys

[WARNING] The file could not be opened!

C:\Documents and Settings\HP_Propriétaire\Application Data\Thunderbird\Profiles\e46610lw.default\Mail\Local Folders\Inbox

[0] Archive type: Netscape/Mozilla Mailbox

--> Mailbox_[Message-ID: <dl9Bg9-1AI06K-82@cpanel.error> ][From: "support@membernotifier.com" <support@membernot][subject: Alert Regarding Your Paypal Account]3050.mim

[DETECTION] Contains detection pattern of the Phish-File/Email PHISH/Paypalfraud.1

[WARNING] This file is a mailbox. To avoid damaging your emails this file will not be repaired or deleted!

Begin scan in 'D:\' <HP_RECOVERY>

 

 

End of the scan: mardi 13 mai 2008 10:32

Used time: 52:59 min

 

The scan has been done completely.

 

9185 Scanning directories

586603 Files were scanned

1 viruses and/or unwanted programs were found

0 Files were classified as suspicious:

0 files were deleted

0 files were repaired

0 files were moved to quarantine

0 files were renamed

2 Files cannot be scanned

586602 Files not concerned

37122 Archives were scanned

3 Warnings

0 Notes

45904 Objects were scanned with rootkit scan

0 Hidden objects were found

 

 

 

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 14:15:40, on 13/05/2008

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\Program Files\COMODO\Firewall\cfp.exe

C:\Program Files\COMODO\Firewall\cmdagent.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\WINDOWS\system32\dllhost.exe

C:\Program Files\Microsoft ActiveSync\wcescomm.exe

C:\WINDOWS\system32\svchost.exe

C:\PROGRA~1\Microsoft ActiveSync\rapimgr.exe

C:\Program Files\Adobe\Acrobat 7.0\Reader\AcroRd32.exe

C:\Program Files\HijackThis\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://ie.redirect.hp.com/svs/rdr?TYPE=3&a...&pf=desktop

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://ie.redirect.hp.com/svs/rdr?TYPE=3&a...&pf=desktop

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://192.168.1.1/ServicesAcces.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min /nosplash

O4 - HKLM\..\Run: [COMODO Firewall Pro] "C:\Program Files\COMODO\Firewall\cfp.exe" -h

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\wcescomm.exe"

O4 - .DEFAULT User Startup: AutoTBar.exe (User 'Default user')

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Enregistreur Vidéo Internet : rechercher des streams vidéo - file://C:\Program%20Files\DATA%20BECKER\Enregistreur%20Vid%E9o%20Internet\scan.vbs

O8 - Extra context menu item: Ouvrir avec Enregistreur Vidéo Internet - file://C:\Program%20Files\DATA%20BECKER\Enregistreur%20Vid%E9o%20Internet\anchor.vbs

O8 - Extra context menu item: Télécharger avec FlashGet - C:\Program Files\FlashGet\jc_link.htm

O8 - Extra context menu item: Télécharger tout avec FlashGet - C:\Program Files\FlashGet\jc_all.htm

O9 - Extra button: (no name) - AutorunsDisabled - (no file)

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll

O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\Microsoft ActiveSync\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\Microsoft ActiveSync\INetRepl.dll

O9 - Extra 'Tools' menuitem: Créer un favori mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\Microsoft ActiveSync\INetRepl.dll

O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Program Files\Fichiers communs\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{03E10338-D64C-4205-A921-F86DC07FC2D5}: NameServer = 192.168.1.1

O18 - Filter: AutorunsDisabled - (no CLSID) - (no file)

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: COMODO Firewall Pro Helper Service (cmdAgent) - COMODO - C:\Program Files\COMODO\Firewall\cmdagent.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - c:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

 

--

End of file - 6440 bytes

oGu Godlike Member

oGu

Posté(e)
Posté(e)

Yo!

 

Rien de méchant dans le log HijackThis, et le fichier infectieux détecté par Antivir est un mail présent dans Thunderbird, visiblement envoyé par "support@membernotifier.com"

 

Antivir refuse de le supprimer pour ne pas effacer au passage tous tes mails. Donc, ouvre Thunderbird, efface ce fichier à la main, vide la corbeille puis compacte-là.

 

A suivre...

Loup blanc Godlike Member

Loup blanc

Posté(e)
Posté(e) (modifié)

Bonjour JLM33,

 

Le malware se trouve dans un Email dans ta boite de réception Thunderbird, il faut juste que tu supprimes ce mail puis que tu vides ta corbeille dans Thunderbird.

Pour le retrouver, le sujet du mail est : "Alert Regarding Your Paypal Account" (Phishing).

 

Mis à par ça, pour moi ton rapport Hijackthis est propre

 

Edit: désolé oGu, je n'avais pas vu ton message

Modifié par Desch
JLM33 Junior Member

JLM33

Posté(e)
  • Auteur
Posté(e)

Merci oGu et Desch.

Je n'ai pas le mail que vous citez dans ma boite Thunderbird.

Si je l'ai reçu, il a été mis automatiquement dans les indésirables qui sont systématiquement effacés lorsque je quitte Thunderbird.

Pourtant malgré ça Avira me le signale toujours. :P

Rejoindre la conversation

Vous pouvez publier maintenant et vous inscrire plus tard. Si vous avez un compte, connectez-vous maintenant pour publier avec votre compte.
Remarque : votre message nécessitera l’approbation d’un modérateur avant de pouvoir être visible.

Invité
Répondre à ce sujet…

×   Collé en tant que texte enrichi.   Coller en tant que texte brut à la place

  Seulement 75 émoticônes maximum sont autorisées.

×   Votre lien a été automatiquement intégré.   Afficher plutôt comme un lien

×   Votre contenu précédent a été rétabli.   Vider l’éditeur

×   Vous ne pouvez pas directement coller des images. Envoyez-les depuis votre ordinateur ou insérez-les depuis une URL.

×
 Partager
Aller sur la liste des sujets

  • En ligne récemment   0 membre est en ligne

    • Aucun utilisateur enregistré regarde cette page.
×
×
  • Créer...