Trojan-PSW.Win32.OnLineGames.asan [Résolu] ;)

[leminou]

Bonjour,

 

J'ai téléchargé sur le site d'ASRock une mise à jour du BIOS de ma carte mère, un fichier BCD.RAR.

A-squared Free me trouve ceci : Trojan-PSW.Win32.OnLineGames.asan (fichier bchoice.exe)

 

J'ai fais examiner l'archive RAR par Antirir et Spyware terminator, ils ne trouvent rien.

 

Sur internet avec une recherche Google en Fr j'ai vu que ce fichier était "normal" et servait a créer des disquettes de boot donc c'est "normal" pour installer une MAJ du BIOS !

 

Pouvez-vous confirmer ? Merci.

Modifié le 29 juin 2008 par leminou

[Falkra]

Bonjour, ce ne sont pas que des petits jeux qui envoient de temps en temps une popup, ce trojan peut te voler quelques infos.

Pour le fichier, google ne suffit pas, et ne te dira en cas d'homonymes si tu as le gentil... ou le gros vilain qui tue le pc.

 

Poste un rapport hijackThis dans ta prochaine réponse stp.

 

Clique sur ce lien pour télécharger HijackThis 2.0.2 :

http://www.trendsecure.com/portal/en-US/_d.../HiJackThis.exe

Cette version est sans installateur ou Zip à décompresser, choisis de l'enregistrer sur le bureau.

 

Double-clique sur l'icône HijackThis :

 

HijackThis démarre, c'est le premier bouton qui nous intéresse "Do a system scan and save a logfile" (le fichier "log" est le rapport).

Clique dessus.

 

Copie-colle le contenu du rapport qui va s'afficher dans le Bloc-notes dans ta prochaine réponse.

[leminou]

Bonjour Falkra,

 

Merci de ta réponse, ci dessous le rapport...

 

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:10:50, on 29/06/2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\APP\Gravure\InCD\InCD\InCDsrv.exe
C:\WINDOWS\system32\spoolsv.exe
C:\APP\Sécurité\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\APP\Sécurité\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\bgsvcgen.exe
C:\APP\Sécurité\Comodo\Firewall\cmdagent.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Spyware Terminator\sp_rsser.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Acronis\Fomatik\TrueImageTryStartService.exe
C:\Program Files\UPHClean\uphclean.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\SPYWAR~1\SpywareTerminatorShield.exe
C:\APP\Gravure\InCD\InCD\InCD.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\APP\Gravure\VirtualDrive\VDTask.exe
C:\Program Files\Saitek\Software\Profiler.exe
C:\Program Files\Saitek\Software\SaiSmart.exe
C:\APP\Sécurité\Comodo\Firewall\CPF.exe
C:\WINDOWS\RTHDCPL.EXE
C:\APP\Sécurité\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\APP\Utilitaires\SuperCopier\SuperCopier.exe
C:\Program Files\Microsoft ActiveSync\wcescomm.exe
C:\PROGRA~1\MICROS~3\rapimgr.exe
C:\APP\Internet\Mozilla Firefox\firefox.exe
C:\Documents and Settings\dD\Bureau\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://recherche.neuf.fr/ie/default.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://recherche.neuf.fr/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.neuf.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://recherche.neuf.fr/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://recherche.neuf.fr/ie/default.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O4 - HKLM\..\Run: [SpywareTerminator] "C:\PROGRA~1\SPYWAR~1\SpywareTerminatorShield.exe"
O4 - HKLM\..\Run: [InCD] C:\APP\Gravure\InCD\InCD\InCD.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [VirtualDrive] "C:\APP\Gravure\VirtualDrive\VDTask.exe" /AutoRestore
O4 - HKLM\..\Run: [Profiler] C:\Program Files\Saitek\Software\Profiler.exe
O4 - HKLM\..\Run: [SaiSmart] C:\Program Files\Saitek\Software\SaiSmart.exe
O4 - HKLM\..\Run: [COMODO Firewall Pro] "C:\APP\Sécurité\Comodo\Firewall\CPF.exe" /background
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [avgnt] "C:\APP\Sécurité\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [REGSHAVE] C:\Program Files\REGSHAVE\REGSHAVE.EXE /AUTORUN
O4 - HKCU\..\Run: [SuperCopier.exe] C:\APP\Utilitaires\SuperCopier\SuperCopier.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\wcescomm.exe"
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1204312648890
O17 - HKLM\System\CCS\Services\Tcpip\..\{588540A7-5B63-480D-A695-A3BF3B181099}: NameServer = 192.168.30.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{703BBD00-B1FE-4752-B80C-3563430AFF0A}: NameServer = 192.168.30.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{919DFC9C-4D6A-4357-A7D3-6D58A43C7F95}: NameServer = 192.168.30.1
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\APP\Sécurité\a-squared Free\a2service.exe
O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Program Files\Fichiers communs\Acronis\Schedule2\schedul2.exe
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\APP\Sécurité\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\APP\Sécurité\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: B's Recorder GOLD Library General Service (bgsvcgen) - B.H.A Corporation - C:\WINDOWS\system32\bgsvcgen.exe
O23 - Service: Comodo Application Agent (CmdAgent) - COMODO - C:\APP\Sécurité\Comodo\Firewall\cmdagent.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\APP\Gravure\InCD\InCD\InCDsrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Program Files\Spyware Terminator\sp_rsser.exe
O23 - Service: Acronis Try And Decide Service (TryAndDecideService) - Unknown owner - C:\Program Files\Fichiers communs\Acronis\Fomatik\TrueImageTryStartService.exe
O23 - Service: Winpowermanager - Macrovision - C:\APP\Utilitaires\UpsPilot\manager.exe
O23 - Service: Winpowermonitor - Macrovision - C:\APP\Utilitaires\UpsPilot\monitor.exe
O23 - Service: WinpowerRMI - Macrovision - C:\APP\Utilitaires\UpsPilot\wpRMI.exe

--
End of file - 6426 bytes

PS. J'avais trouvé ceci : http://virscan.org/report/dbca335c40e0f446...15169ab946.html

[Falkra]

Il n'y a rien d"infectieux dans le rapport.

 

A-squared est connu pour ses FP, mais ce n'en était pas forcément un.

As-tu d'autres symptômes, ou est-ce que le fichier revient ?

 

Bchoice.exe peut être lié à BartPE ou autre utilitaires de création de CD bootables.

[leminou]

Bchoice.exe peut être lié à BartPE ou autre utilitaires de création de CD bootables.

Oui, c'est un fichier compressé qui contient de quoi créer une disquette boutable pour installer une mise à jour du BIOS d'une carte mère.

 

Mais par prudence, j'ai préféré demander confirmation

 

Merci de ton intervention.

[Falkra]

Ok, celui-là n'est pas infecté.

 

A-squared, tu pourrais facilement t'en passer, je te propose en remplacement MalwareBytes' Anti-malware.

Site officiel : http://www.malwarebytes.org/

Le module résident (qui tourne à l'arrière plan) est payant, mais cela reste gratuit, ce module ne s'active simplement pas, sauf paiement).

Bien plus efficace, et très peu de FP.

 

Par ailleurs, il faut mettre à jour ta version d'internet explorer, même si tu ne l'utilises pas, car son moteur peut être utilisé par d'autres logiciels et IE6 n'est plus suffisant côté sécurité.

IE7 s'installe librement, même sur les windows non authentiques, tout le monde devrait avoir au minimum IE7 donc :

http://www.microsoft.com/windows/products/...ie/default.mspx