trojan Prorat-D

[le vieux]

bjr.

apres la decouverte de ce processus :wservice.exe et une rercherche il semble que ce soit un trojan: Prorat-D

 

si qq1 peut le confirmer et me dire comment retirer ca de mon pc.

 

merci d'avance.

 

xp +sp2 (+maj)

spybot

ad-aware se

a2free

cwsshredder

pare feu norton

anti virus norton(pas a jour)

 

rien que ca....

 

je met le log hijackthis si sa peut aider.

 

Logfile of HijackThis v1.98.2

Scan saved at 12:46:38, on 20/12/2004

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Apps\ActivBoard\nhksrv.exe

C:\Program Files\Norton AntiVirus\navapsvc.exe

C:\Program Files\Norton Internet Security\NISUM.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Norton Internet Security\SymProxySvc.exe

C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

C:\WINDOWS\System32\Drivers\WTSRV.EXE

C:\Program Files\Norton Internet Security\NISSERV.EXE

C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\system32\WService.EXE

C:\Program Files\Norton Internet Security\IAMAPP.EXE

C:\PROGRA~1\Wanadoo\CnxMon.exe

C:\PROGRA~1\Wanadoo\TaskbarIcon.exe

C:\PROGRA~1\NORTON~1\navapw32.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\Program Files\Norton Internet Security\ATRACK.EXE

C:\Documents and Settings\cedric\Mes documents\divers\prgm\hijackthis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\DOCUME~1\cedric\MESDOC~1\divers\prgm\spybot\SPYBOT~1\SDHelper.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [WService] WService.EXE

O4 - HKLM\..\Run: [iamapp] C:\Program Files\Norton Internet Security\IAMAPP.EXE

O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\Wanadoo\CnxMon.exe

O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\TaskbarIcon.exe

O4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1\navapw32.exe

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O9 - Extra button: Packard Bell - {1D49B7D4-524D-4ac9-BC34-B4822CAE4BB1} - C:\Apps\IECustom\script.htm

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

O9 - Extra button: MoneySide - {E023F504-0C5A-4750-A1E7-A9046DEA8A21} - C:\Program Files\Microsoft Money\System\mnyviewer.dll (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: Yahoo! Hearts - http://download.games.yahoo.com/games/clients/y/ht1_x.cab

O16 - DPF: Yahoo! Pool 2 -

O16 - DPF: Yahoo! Towers 2.0 -

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

[megataupe]

Bonjour. A priori et après analyse de ton log (ta version d'Hijackthis n'est pas à jour), il faudrait supprimer cette entrée :

 

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

 

Mode d'emploi d'Hijackthis

 

Charger la dernière version ici : http://hijackthis.de/fr

et la décompresser dans son propre dossier (important pour le log qui sera généré)

 

1- en mode sans échec (au démarrage du PC, appuyer sur la touche F5 ou F8), effacer tous les fichiers temporaires, le dossier Temp de Windows et le cache du navigateur ; désactiver la restauration système (clic droit sur « poste de travail » >propriétés>restauration système : cocher « désactiver la restauration du système » puis clic sur « appliquer » )

 

2- vérifier que Hijackthis est configuré pour faire des sauvegardes (la case "Make backups before fixing items" dans "config" doit être cochée).

 

3- après avoir collé ton log pour analyse dans la fenêtre du site cité plus haut, tu fixes toutes les lignes marquées en rouge puis, tu regardes attentivement ce qui est en orange : si tu connais et utilises, tu gardes ; si (y compris après une petite recherche sur Google) tu ne vois pas du tout ce que c'est ou si tu découvres qu’il s’agit d’une nuisance, tu fixes ; si tu hésites, ne fais rien ; les lignes se terminant par "no file" peuvent aussi être fixées.

 

4- toujours en mode sans échec, repasser un coup des utilitaires de sécurité : antivirus, anti-troyens, CWShredder, A2, Ad-aware, Spybot, etc..

 

5- redémarrer en mode normal.

 

6- refaire un log Hijackthis après tout cela.

 

7- ne pas oublier de réactiver la restauration système une fois toutes les opérations terminées.

 

Pour le Trojan Prorat, voir ce qu'en dit Pest Patrol :

 

http://www.pestpatrol.com/pest_info/fr/b/backdoor_prorat.asp

Modifié le 20 décembre 2004 par megataupe

[le vieux]

merci a toi

 

g suivit les instructions et tout me semble ok.

 

 

 

 

 

 

edit.je met le nouveau log au cas ou.

 

Logfile of HijackThis v1.99.0

Scan saved at 18:14:52, on 20/12/2004

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Apps\ActivBoard\nhksrv.exe

C:\Program Files\Norton AntiVirus\navapsvc.exe

C:\Program Files\Norton Internet Security\NISUM.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Norton Internet Security\SymProxySvc.exe

C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\Drivers\WTSRV.EXE

C:\Program Files\Norton Internet Security\NISSERV.EXE

C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Program Files\Norton Internet Security\IAMAPP.EXE

C:\PROGRA~1\Wanadoo\CnxMon.exe

C:\PROGRA~1\Wanadoo\TaskbarIcon.exe

C:\PROGRA~1\NORTON~1\navapw32.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\Program Files\Norton Internet Security\ATRACK.EXE

C:\Documents and Settings\cedric\Mes documents\divers\prgm\hijackthis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\DOCUME~1\cedric\MESDOC~1\divers\prgm\spybot\SPYBOT~1\SDHelper.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [iamapp] C:\Program Files\Norton Internet Security\IAMAPP.EXE

O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\Wanadoo\CnxMon.exe

O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\TaskbarIcon.exe

O4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1\navapw32.exe

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O9 - Extra button: Packard Bell - {1D49B7D4-524D-4ac9-BC34-B4822CAE4BB1} - C:\Apps\IECustom\script.htm

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

O9 - Extra button: MoneySide - {E023F504-0C5A-4750-A1E7-A9046DEA8A21} - C:\Program Files\Microsoft Money\System\mnyviewer.dll (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: Yahoo! Hearts - http://download.games.yahoo.com/games/clients/y/ht1_x.cab

O16 - DPF: Yahoo! Pool 2 -

O16 - DPF: Yahoo! Towers 2.0 -

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O23 - Service: Service d'administration du Gestionnaire de disque logique - Unknown - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Journal des événements - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Service Norton AntiVirus Auto-Protect - Symantec Corporation - C:\Program Files\Norton AntiVirus\navapsvc.exe

O23 - Service: Netropa NHK Server - Unknown - C:\Apps\ActivBoard\nhksrv.exe

O23 - Service: Norton Internet Security Service - Symantec Corporation - C:\Program Files\Norton Internet Security\NISSERV.EXE

O23 - Service: Norton Internet Security Accounts Manager - Symantec Corporation - C:\Program Files\Norton Internet Security\NISUM.EXE

O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Plug-and-Play - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance - Unknown - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: SmartLinkService - Unknown - slserv.exe (file missing)

O23 - Service: Symantec Network Drivers Service - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

O23 - Service: Norton Internet Security Proxy Service - Symantec Corporation - C:\Program Files\Norton Internet Security\SymProxySvc.exe

O23 - Service: SymWMI Service - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

O23 - Service: Virtual CD v4 Security service (SDK - Version) - H+H Software GmbH - C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

O23 - Service: Cliché instantané de volume - Unknown - C:\WINDOWS\System32\vssvc.exe

O23 - Service: WinTab Service - Tablet Driver - C:\WINDOWS\System32\Drivers\WTSRV.EXE

Modifié le 20 décembre 2004 par le vieux

[megataupe]

Effectivement, te voilà propre. Maintenant et puisque que tu utilises Norton, tu devrais te protéger un peu mieux des malwares en appliquant notamment les conseils que tu trouveras dans les articles de Zeb et notamment ici :

 

http://www.zebulon.fr/articles/zebprotect.php

 

[L@urendo]

Bonsoir, tu as bien supprimé ton troyen

O9 - Extra button: MoneySide - {E023F504-0C5A-4750-A1E7-A9046DEA8A21} - C:\Program Files\Microsoft Money\System\mnyviewer.dll (file missing)

O23 - Service: SmartLinkService - Unknown - slserv.exe (file missing)

En revanche ces deux entrées sont inutiles( le fichier manque ). Tu peux les fixer avec hijackthis.

a+

[le vieux]

encore merci a vous.

reponse un peu tardive a cause de mon taf.

 

pour zebprotect ce n'est pas trop dur a configurer?(sachant que je suis novice en informatique).

 

j'aimerais desinstaller norton-antivir (garder le parefeu) pour mettre un antivirus gratuit.

est ce possible (norton fournis a l'achat du pc).

 

si oui quel antivirus me conseillez vous.pas trop gourmant en ressources.sachant que je fait un peu de jeux et que mon pc a + de 2ans

 

ma config:

xp+sp2

atlhon 2100 + 512ddr

nvidia geforce 4mx

[megataupe]

Bonsoir The Old. Zeb protect est simple à mettre en place et si toutefois tu avais un problème, les branchés du forum viendront à ton secours. Pour Norton, j'ignore si l'on peut utiliser le firewall indépendamment de l'antivirus vu la lourdeur du colosse (le désinstaller proprement est plus que recommandé). En antivirus légers, je ne vois qu'Antivir et Avast à un degré moindre mais, tous deux gratuits et efficaces.

[le vieux]

Bonsoir The Old. Zeb protect est simple à mettre en place et si toutefois tu avais un problème, les branchés du forum viendront à ton secours. Pour Norton, j'ignore si l'on peut utiliser le firewall indépendamment de l'antivirus vu la lourdeur du colosse (le désinstaller proprement est plus que recommandé). En antivirus légers, je ne vois qu'Antivir et Avast à un degré moindre mais, tous deux gratuits et efficaces.

436352[/snapback]

 

 

sachant que norton n'est plus a jour depuis fin 2002

question simple comment faire pour l'enlever alors.

pour le parefeu norton il est dans le panneau de config et dans le menu demarrer il y a un "unistall" donc là ca devrait aller.

pour l'antivirus il est bien dans le menu demarrer mais pas de quoi desinstaller et il n'est pas dans le panneau de config.

en gros je veut virer le vieux (pas moi )norton,mettre avast et un nouveau firewall.

 

meme question que precedement pour le parefeu (pas trop mal et leger)

 

merci a vous de m'aider

le vieux: qui pose plein de questions

[megataupe]

Salut l'ancien. Pour désinstaller Norton, voir ici :

 

http://service1.symantec.com/SUPPORT/INTER...011010123420905

 

Compte tenu de ton niveau, je te conseille Zone Alarm comme parefeu ou Kério qui sont très suffisants si tu utilises Zebprotect. Tu peux ajouter Startupmonitor et Registryprot (soft gratuits très légers en consommation mémoire) pour surveiller ce qui se lance au démarrage et tout qui veut accéder au registre.