Trojan.Win32.Agent.cs

guilldel · le 22 mai 2005

Bonjour,

Je suis infecté par "Trojan.Win32.Agent.cs" (a-squared me donne : " Nom du fichier : C:\WINDOWS\repair\winlog.dll Diagnostic : Trojan.Win32.Agent.cs ").

J'aurais voulu savoir avant tout quels étaient les risques induits par un cheval de Troie. Par exemple est-il risqué de procéder à un paiement en ligne en étant infecté par un cheval de Troie ?

Par ailleurs je n'arrive absolument pas à m'en débarrasser. J'ai lu les échanges précédents sur la même question, j'ai tout essayé (antivirus, tous les spywares possibles, copylock, rédémarrage en ligne de commande mode sans échec, désactivation de la restauration système ...) mais le fichier en question (winlog.dll) est impliqué dans un processus de démarrage qui semble impossible à toucher.

Je me demande s'il ne serait pas possible de désactiver le processus en question (qui semble être winlogon) au démarrage mais je ne sais pas comment m'y prendre.

Je désespère !

Quelqu'un aurait-il une solution ?

Pour info voici le rapport Hijack :

Logfile of HijackThis v1.99.1

Scan saved at 11:43:37, on 22/05/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Apoint2K\Apoint.exe

C:\WINDOWS\AGRSMMSG.exe

C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\HPQ\Quick Launch Buttons\EabServr.exe

C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe

C:\WINDOWS\System32\hphmon05.exe

C:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe

C:\Program Files\Apoint2K\Apntex.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\bin\ZLH.EXE

C:\WINDOWS\System32\LVCOMSX.EXE

C:\Program Files\Logitech\Video\LogiTray.exe

C:\Program Files\Logitech\Video\FxSvr2.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\System32\gearsec.exe

C:\Program Files\Sony\MD Simple Burner\NetMDSB.exe

C:\Program Files\bin\ZANDA.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Nvc\BIN\NIP.EXE

C:\Program Files\iPod\bin\iPodService.exe

C:\PROGRAM FILES\Nvc\BIN\NVCSCHED.EXE

C:\Program Files\bin\NJEEVES.EXE

C:\PROGRAM FILES\Nvc\BIN\nipsvc.exe

C:\PROGRAM FILES\Nvc\BIN\nvcoas.exe

C:\Program Files\Nvc\bin\cclaw.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\repair\HijackThis.exe

C:\Program Files\Logitech\Video\AlbumDB2.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://ie.redirect.hp.com/svs/rdr?TYPE=3&t...sario&pf=laptop

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://edit.europe.yahoo.com/config/mail?.intl=fr

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ie.redirect.hp.com/svs/rdr?TYPE=3&t...sario&pf=laptop

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://ie.redirect.hp.com/svs/rdr?TYPE=3&t...sario&pf=laptop

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll

O2 - BHO: MSEvents Object - {B8B55274-0F9A-41E5-9067-A3539BD9E860} - C:\WINDOWS\repair\winlog.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe

O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [eabconfg.cpl] C:\Program Files\HPQ\Quick Launch Buttons\EabServr.exe /Start

O4 - HKLM\..\Run: [updateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r

O4 - HKLM\..\Run: [HPHUPD05] c:\Program Files\Hewlett-Packard\{45B6180B-DCAB-4093-8EE8-6164457517F0}\hphupd05.exe

O4 - HKLM\..\Run: [HP Software Update] "c:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe"

O4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\System32\hphmon05.exe

O4 - HKLM\..\Run: [Cpqset] C:\Program Files\HPQ\Default Settings\cpqset.exe

O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe

O4 - HKLM\..\Run: [%FP%Friendly fts.exe] "C:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [Norman ZANDA] C:\Program Files\bin\ZLH.EXE /LOAD /SPLASH

O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\System32\LVCOMSX.EXE

O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe

O4 - HKLM\..\Run: [strmsnmsgr] msnmsgrs.exe

O4 - HKLM\..\RunServices: [strmsnmsgr] msnmsgrs.exe

O4 - HKCU\..\Run: [LogitechSoftwareUpdate] "C:\Program Files\Logitech\Video\ManifestEngine.exe" boot

O4 - HKCU\..\Run: [strmsnmsgr] msnmsgrs.exe

O4 - HKCU\..\Run: [LDM] \Program\BackWeb-8876480.exe

O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: Backward Links - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Cached Snapshot of Page - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html

O8 - Extra context menu item: Similar Pages - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Translate into English - res://c:\program files\google\GoogleToolbar2.dll/cmtrans.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O14 - IERESET.INF: START_PAGE_URL=http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_FR&c=Q304&bd=presario&pf=laptop

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/1848bc26598298...RdxIE601_fr.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/...489/mcfscan.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/Solit...wn.cab31267.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{C9643621-9A80-4110-BF32-E2FB6C34D157}: NameServer = 80.118.196.36 80.118.192.100

O20 - Winlogon Notify: winlog - C:\WINDOWS\repair\winlog.dll

O23 - Service: Service de sécurité matérielle (GEARSecurity) - GEAR Software - C:\WINDOWS\System32\gearsec.exe

O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: MD Simple Burner Service (NetMDSB) - Sony Corporation - C:\Program Files\Sony\MD Simple Burner\NetMDSB.exe

O23 - Service: Norman API-hooking helper (NipSvc) - Unknown owner - C:\PROGRAM FILES\Nvc\BIN\nipsvc.exe

O23 - Service: Norman NJeeves - Unknown owner - C:\Program Files\bin\NJEEVES.EXE

O23 - Service: Norman ZANDA - Unknown owner - C:\Program Files\bin\ZANDA.EXE

O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\PROGRAM FILES\Nvc\BIN\nvcoas.exe

O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman Data Defense Systems - C:\PROGRAM FILES\Nvc\BIN\NVCSCHED.EXE

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: PACSPTISVR - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\PACSPTISVR.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SPTISRV.exe

Merci d'avance à tous !

chercheur · le 22 mai 2005

Bonjour,

Bienvenu sur Zebulon

* Télécharge et installe CleanUp !

http://cleanup.stevengould.org/

* Clique sur Démarrer puis Exécuter et tapes "regsvr32 /u winlog.dll" (sans les apostrophes) et clique sur OK

* Ouvre le Bloc-note et copie-colle les lignes entre ----- ci-dessous (y compris la ligne vide à la fin) :

-----

REGEDIT4

[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\winlog.dll]

----- (4 lignes dont 2 vierges)

- enregistre ce fichier sur ton bureau (Nom du fichier : "FixBHO.reg" -sans inclure les guillemets- ; Type : Tous les fichiers)

- ferme toutes les fenêtres

- double-clique sur FixBHO.reg et clique sur Oui lorsqu'on te demande confirmation pour Fusionner

- lorsque tu reçois le message de bon déroulement, supprime le fichier fixbho.reg

* Redémarre en mode sans echec. Attention, tu n'as pas accès à internet dans ce mode, note bien ce que tu as à faire.

Démarre l'ordinateur.

Une fois le chargement du BIOS terminé, il y a un écran noir. Appuye sur la touche F8 ou F5 jusqu'à l'affichage du menu des options avancées de Windows.

En utilisant les touches du curseur, sélectionne le mode sans échec approprié et appuye sur Entrée.

* Relance un scan HijackThis et coche les lignes ci-dessous :

O2 - BHO: MSEvents Object - {B8B55274-0F9A-41E5-9067-A3539BD9E860} - C:\WINDOWS\repair\winlog.dll

O4 - HKLM\..\Run: [strmsnmsgr] msnmsgrs.exe

O4 - HKLM\..\RunServices: [strmsnmsgr] msnmsgrs.exe

O4 - HKCU\..\Run: [strmsnmsgr] msnmsgrs.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/1848bc26598298...RdxIE601_fr.cab

O20 - Winlogon Notify: winlog - C:\WINDOWS\repair\winlog.dll

Ferme toutes les fenêtres sauf HijackThis et "Fix Checked".

Toujours sur Hijackthis > Config >Misc tools > delete a file on reboot.

Entres ce chemin:

C:\WINDOWS\ServicePackFiles\winlog.dll

Redémarre l'ordinateur

* Supprimes les ffichiers encore présents.

C:\WINDOWS\repair\winlog.dll

msnmsgrs.exe --> Fais une recherche sur l'ordinateur, probablement dans C:\WINDOWS\System32

* Lance et exécute CleanUp !.

Dans Options, tu coches Standard CleanUp puis OK

Lance CleanUp !

* Reposte un rapport HijackThis de contrôle.

guilldel · le 22 mai 2005

Bonjour, merci beaucoup à toi de ton accueil et de ta réponse !

Malheureusement la procédure que tu m'as suggérée n'a pas fonctionné.

Je l'ai suivie scrupuleusement, excepté deux chemins d'accès qui ne répondaient pas :

- pour "Clique sur Démarrer puis Exécuter et tapes "regsvr32 /u winlog.dll" (sans les apostrophes) et clique sur OK" :

là j'ai tapé "regsvr32 /u c:\windows\repair\winlog.dll" (puisque winlog est localisé là).

- idem pour : "Toujours sur Hijackthis > Config >Misc tools > delete a file on reboot.

Entres ce chemin:

C:\WINDOWS\ServicePackFiles\winlog.dll" :

là j'ai tapé "c:\windows\repair\winlog.dll" car ServicePackFiles était introuvable.

Je te donne le dernier rapport Hijack, au cas où tu serais encore motivé !

Logfile of HijackThis v1.99.1

Scan saved at 16:00:01, on 22/05/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Apoint2K\Apoint.exe

C:\WINDOWS\AGRSMMSG.exe

C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\HPQ\Quick Launch Buttons\EabServr.exe

C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe

C:\Program Files\Apoint2K\Apntex.exe

C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe

C:\WINDOWS\System32\hphmon05.exe

C:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\bin\ZLH.EXE

C:\WINDOWS\System32\LVCOMSX.EXE

C:\Program Files\Logitech\Video\LogiTray.exe

C:\Program Files\Logitech\Video\FxSvr2.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\System32\gearsec.exe

C:\Program Files\Sony\MD Simple Burner\NetMDSB.exe

C:\Program Files\bin\ZANDA.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Nvc\BIN\NIP.EXE

C:\WINDOWS\System32\wuauclt.exe

C:\WINDOWS\System32\wbem\wmiprvse.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\bin\NJEEVES.EXE

C:\PROGRAM FILES\Nvc\BIN\nvcoas.exe

C:\PROGRAM FILES\Nvc\BIN\nipsvc.exe

C:\PROGRAM FILES\Nvc\BIN\NVCSCHED.EXE

C:\Program Files\Nvc\bin\cclaw.exe

C:\WINDOWS\System32\wuauclt.exe

\?\C:\WINDOWS\system32\WBEM\WMIADAP.EXE