trojan+backdoor

[marvelgoug]

hello ^^

 

 

je voudrais vous soumettre pour analyse le rapport hijack que voici car j'ai eu un pb il y a quelques jours.

 

en effet, quand j'ai voulu démarrer mon pc normalement, j'ai eu un fond bleu avec une liste pas possible de fichiers endommagés et illisibles mais j'ai quand même réussi à démarrer mais version "j'ai un hamster asmatique en guise de mémoire pour fonctionner" donc pas terrile dès que je voulais faire quelque chose...

 

j'ai mis AVG qu'on m'a passé et il m'a trouvé un trojan et une backdoor

 

 

le rapport hijack:

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 21:47:37, on 27/06/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16674)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Eset\nod32kui.exe

C:\Program Files\Eset\nod32krn.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Teamspeak2_RC2\TeamSpeak.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\Program Files\HijackThis\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://ie.redirect.hp.com/svs/rdr?TYPE=3&a...n&pf=laptop

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://ie.redirect.hp.com/svs/rdr?TYPE=3&a...n&pf=laptop

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O3 - Toolbar: Vue HP - {B2847E28-5D7D-4DEB-8B67-05D28BCF79F5} - C:\Program Files\HP\Digital Imaging\bin\HPDTLK02.dll

O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [Application Layer Gateway Service] C:\WINDOWS\system32:Applic32.exe

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - .DEFAULT User Startup: AutoTBar.exe (User 'Default user')

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll

O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupd...b?1198081424796

O17 - HKLM\System\CCS\Services\Tcpip\..\{E42EE63F-7739-41FA-A048-DE7BEAAEFDBB}: NameServer = 212.27.53.252,212.27.54.252

O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: PLFlash DeviceIoControl Service - Prolific Technology Inc. - C:\WINDOWS\system32\IoctlSvc.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

 

--

End of file - 5129 bytes

 

je met aussi quand je fais mon démarrage sélectif avec msconfig au cas ou ça pourrait servir car il y avait des éléments qui apparaissaient en double quand j'affichais le gestionnaire des tâches (2 fois "services" et "system"):

 

http://img116.imageshack.us/my.php?image=configsysmx6.jpg

 

voici le rapport de AVG:

 

---------------------------------------------------------

AVG Anti-Spyware - Rapport d'analyse

---------------------------------------------------------

 

+ Créé à: 13:09:58 28/06/2008

 

+ Résultat de l'analyse:

 

 

 

C:\System Volume Information\_restore{46F0F6F4-86BD-412D-88AE-F429C6D646B6}\RP95\A0006582.exe/f00k.exe -> Backdoor.Rbot.gre : Aucune action entreprise.

C:\Program Files\HGI\HGI.006 -> Not-A-Virus.Monitor.Win32.Ardamax.e : Aucune action entreprise.

C:\Program Files\hardware\setup.exe -> Not-A-Virus.Monitor.Win32.SpyLantern.530 : Aucune action entreprise.

C:\Documents and Settings\marvel\Cookies\marvel@msnaccountservices.112.2o7[1].txt -> TrackingCookie.2o7 : Aucune action entreprise.

C:\Documents and Settings\marvel\Cookies\marvel@msnportal.112.2o7[1].txt -> TrackingCookie.2o7 : Aucune action entreprise.

C:\Documents and Settings\marvel\Cookies\marvel@advertising[2].txt -> TrackingCookie.Advertising : Aucune action entreprise.

C:\Documents and Settings\marvel\Cookies\marvel@atdmt[2].txt -> TrackingCookie.Atdmt : Aucune action entreprise.

C:\Documents and Settings\marvel\Cookies\marvel@bs.serving-sys[1].txt -> TrackingCookie.Serving-sys : Aucune action entreprise.

C:\Documents and Settings\marvel\Cookies\marvel@serving-sys[1].txt -> TrackingCookie.Serving-sys : Aucune action entreprise.

C:\Documents and Settings\marvel\Cookies\marvel@smartadserver[2].txt -> TrackingCookie.Smartadserver : Aucune action entreprise.

C:\Documents and Settings\marvel\Cookies\marvel@audi.solution.weborama[2].txt -> TrackingCookie.Weborama : Aucune action entreprise.

C:\Documents and Settings\marvel\Cookies\marvel@cetelem.solution.weborama[2].txt -> TrackingCookie.Weborama : Aucune action entreprise.

C:\Documents and Settings\marvel\Cookies\marvel@conforamalancementsite.solution.weborama[2].txt -> TrackingCookie.Weborama : Aucune action entreprise.

C:\Documents and Settings\marvel\Cookies\marvel@laredoute.solution.weborama[2].txt -> TrackingCookie.Weborama : Aucune action entreprise.

C:\Documents and Settings\marvel\Cookies\marvel@weborama[2].txt -> TrackingCookie.Weborama : Aucune action entreprise.

C:\Documents and Settings\marvel\Cookies\marvel@m.webtrends[2].txt -> TrackingCookie.Webtrends : Aucune action entreprise.

C:\Program Files\ESET\nod32fix.reg -> Trojan.Hack.Vg : Aucune action entreprise.

 

 

Fin du rapport

 

j'ai réussi à démarrer en mode sans échec mais en passant par msconfig et boot.ini --> /safeboot car avec la touche F8 au démarrage, je pouvais choisir le mode sans échec mais après un écran noir de quelques minutes, il redémarrait normalement.

 

j'ai lancé l'analyse AVG et les fichiers qui ont été mis en quarantaine, je les ai simplement supprimé mais il doit bien rester des traces beaucoup plus importantes...et j'aurai donc besoin de votre aide pour savoir comment bien nettoyer mon pc ^^

 

merci pour votre aide d'avance

 

 

++

[pear]

Bonjour,

 

C:\Program Files\ESET\nod32fix.reg

 

On ne trouve cela que dans une version crackée de Nod2.

C'est votre cas ?

 

Le backdoor est dans votre restauration Système.

 

Désinstallez la Restauration Système.

 

Poste de Travail->Propriétés->Restauration Système.

Cocher la case "Désactiver la Restauration sur tous les lecteurs".

Vous la décocherez ensuite.

Un nouveau point de restauration sera créé.

[marvelgoug]

hello

 

 

pour nod32 il est vrai qu'il s'agit d'une version cerisée

 

 

et pour la backdoor et trojan, il suffit juste de récréer un autre point de restauration pour que ça soit tout viré?

 

 

++

[pear]

il suffit juste de récréer un autre point de restauration pour que ça soit tout viré

 

Pas tout à fait,

 

Vous y ajouterez cette procédure:

Faites un scan en ligne avec EWIDO

 

Ewido va scanner et nettoyer votre machine des Adwares néfastes.

Dans la boite de dialogue qui vous demande si vous voulez téléchager et installer l'outil en ligne

Cliquer sur Yes

 

Si ce message s'affiche:

Sorry, your browser does not support ActiveX or it is not enabled.

C'est que vous n'êtes pas sous Internet Explorer .

Vous devez le lancer et accepter l'activeX.

[marvelgoug]

merci pour ton aide

 

 

j'ai installé le logiciel et fais l'analyse en ligne et il m'a juste trouvé un cookie tracker de niveau moyen et il l'a supprimé à la fin mais rien à propos du trojan, c'est normal?

 

 

sinon, je pourrai voir pour installer trojan remover non?

[pear]

sinon, je pourrai voir pour installer trojan remover non?

 

Pourquoi ? Vous le croyez plus efficace qu'Ewido?

 

Pourquoi pas , si vous le croyez ?

Modifié le 30 juin 2008 par pear