Trojan + log hijackthis.(résolu).

eikichi · le 1 mai 2005

Logfile of HijackThis v1.99.1

Scan saved at 15:13:35, on 01/05/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

C:\Program Files\CpuIdle\cpuidle.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\WINDOWS\BricoPacks\Longhorn Inspirat\YzToolBar\YzToolBar.exe

C:\Program Files\Grisoft\AVG Free\avgcc.exe

C:\Program Files\telechargement\HijackThis.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.fr/0SEFRFR/SAOS02

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.club-internet.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Internet Explorer avec Club-Internet

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: MSEvents Object - {44240BB5-BD7D-4D49-A1AA-8AB0F3D3CB44} - C:\WINDOWS\system\catun.dll

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.02.3000.1002\en-xu\stmain.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll

O4 - HKLM\..\Run: [CpuIdle] C:\Program Files\CpuIdle\cpuidle.exe

O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - Startup: Y'z Toolbar.lnk = C:\WINDOWS\BricoPacks\Longhorn Inspirat\YzToolBar\YzToolBar.exe

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\fr.htm

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

O20 - Winlogon Notify: catun - C:\WINDOWS\system\catun.dll

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Program Files\Executive Software\Diskeeper\DkService.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

O23 - Service: Virtual CD v4 Security service (SDK - Version) (VCSSecS) - H+H Software GmbH - C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

le 1 mai 2005

Reprenons (merci queruak )

-Télécharger les outils suivants:

*procexp

http://www.sysinternals.com/files/procexpnt.zip

Le dézipper dans un dossier dédié.

*KillBox

-http://www.downloads.subratam.org/KillBox.zip

-Démarre en mode sans echec.

-Lancer procexp

Sur la fenetre d'en haut

.1.Doublecliquer sur winlogon.exe -->Dans la fenetre qui s'ouvre -->Onglets ->Threads -->repérer les dll aléatoires( catun.dll)

et cliquer sur "Kill",faire la meme chose pour lles fichiers .ini, .bak qui portent le même nom ou un nom inversé.

cliquer sur OK

.2.Faire la meme chose avec explorer.exe.-->Dans la fenetre qui s'ouvre -->Onglets ->Threads -->repérer les dll aléatoires( catun.dll)

et cliquer sur "Kill",faire la meme chose pour lles fichiers .ini, .bak qui portent le même nom ou un nom inversé.

cliquer sur OK

-Lancer Hijackthis,scanner cocher les lignes incriminées.

-Ouvrir le Bloc-notes et copier-coller les lignes entre --- ci-dessous (y compris la ligne vide à la fin) :

--------------------

REGEDIT4

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B8B55274-0F9A-41E5-9067-A3539BD9E860}]

[-HKEY_CLASSES_ROOT\CLSID\{581F22DA-7202-4F21-AEF3-114787156016}]

[-HKEY_CLASSES_ROOT\MSEvents.MSEvents]

[-HKEY_CLASSES_ROOT\MSEvents.MSEvents.1]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MSEvents.MSEvents]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MSEvents.MSEvents.1]

--------------------

Enregistrer le fichier sur le bureau (Nom du fichier : "vundo.reg " -sans inclure les guillemets- ; Type : Tous les fichiers).

Fermer Internet explorer.

Double-cliquer sur vundo.reg et cliquer sur Oui lorsqu'on demande confirmation pour Fusionner.

Au message du bon déroulement, supprimer le fichier vundo.reg

-Utiliser KillBox pour supprimer les fichiers incriminés.

-Redémarrer normalement et poster un log pour verification

Modifié le 1 mai 2005 par Stonangel

eikichi · le 1 mai 2005

Quand tu dis fixer les lignes incriminées,tu parles de celles ci:

O2 - BHO: MSEvents Object - {44240BB5-BD7D-4D49-A1AA-8AB0F3D3CB44} - C:\WINDOWS\system\catun.dll

O20 - Winlogon Notify: catun - C:\WINDOWS\system\catun.dll?

Pas trop compris la manip vers la fin.

-Ouvrir le Bloc-notes et copier-coller les lignes entre --- ci-dessous (y compris la ligne vide à la fin) :

--------------------

REGEDIT4

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B8B55274-0F9A-41E5-9067-A3539BD9E860}]

[-HKEY_CLASSES_ROOT\CLSID\{581F22DA-7202-4F21-AEF3-114787156016}]

[-HKEY_CLASSES_ROOT\MSEvents.MSEvents]

[-HKEY_CLASSES_ROOT\MSEvents.MSEvents.1]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MSEvents.MSEvents]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MSEvents.MSEvents.1]

--------------------

Enregistrer le fichier sur le bureau (Nom du fichier : "vundo.reg " -sans inclure les guillemets- ; Type : Tous les fichiers).

Fermer Internet explorer.

Double-cliquer sur vundo.reg et cliquer sur Oui lorsqu'on demande confirmation pour Fusionner.

Au message du bon déroulement, supprimer le fichier vundo.reg

-Utiliser KillBox pour supprimer les fichiers incriminés.

Je m'excuses de te déranger encore.et le lien pour killbox est mort.

Modifié le 1 mai 2005 par woulzy

chercheur · le 1 mai 2005

Bonnjour,

Un autre lien pour Killbox

http://www.bleepingcomputer.com/files/spyware/KillBox.zip

eikichi · le 1 mai 2005

Bon manip effectué en safemode, voici mon nveau log de hijackthis:

Logfile of HijackThis v1.99.1

Scan saved at 18:38:37, on 01/05/2005