virus et trojan très récalcitrant qui reviennent

Mumu31 · le 24 mai 2005

Bonjour,

je suis nouvelle sur ce forum et je salue tout le monde. en espérant pouvoir moi aussi apporter de l'aide à certains.

Pour le moment j'ai un gros soucis de virus et trojan dont kje ne parviens pas à me débarraser.

après scan en mode sans échec avec ad aware, spy bot,

voici le rapport de hijackthis

Logfile of HijackThis v1.99.1

Scan saved at 22:54:19, on 23/05/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\msnq3insller.exe

C:\Program Files\Softwin\BitDefender Professional Edition\bdmcon.exe

C:\Program Files\Softwin\BitDefender Professional Edition\bdswitch.exe

C:\PROGRA~1\MOZILLA.ORG\MOZILLA\MOZILLA.EXE

C:\WINDOWS\System32\msnq3insller.exe

C:\Program Files\D-Link\D-Link AirPlus G+ Wireless Adapter Utility\DWLGTI.EXE

C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe

C:\Program Files\Softwin\BitDefender Professional Edition\vsserv.exe

C:\Programme non installé\hijack this\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.fr/0SEFRFR/SAOS02

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - Default URLSearchHook is missing

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [MS Unix Binary] msnq3insller.exe

O4 - HKLM\..\Run: [sYSTRAY] C:\UNMT.EXE

O4 - HKLM\..\Run: [bDMCon] C:\Program Files\Softwin\BitDefender Professional Edition\\bdmcon.exe

O4 - HKLM\..\Run: [bDNewsAgent] C:\Program Files\Softwin\BitDefender Professional Edition\\bdnagent.exe

O4 - HKLM\..\Run: [bDSwitchAgent] C:\Program Files\Softwin\BitDefender Professional Edition\bdswitch.exe

O4 - HKLM\..\RunServices: [MS MSN Menssenger 7.0] MSMSN7.exe

O4 - HKLM\..\RunServices: [MS Unix Binary] msnq3insller.exe

O4 - HKCU\..\Run: [Mozilla Quick Launch] "C:\PROGRA~1\MOZILLA.ORG\MOZILLA\MOZILLA.EXE" -turbo

O4 - HKCU\..\Run: [MS Unix Binary] msnq3insller.exe

O4 - Global Startup: D-Link AirPlus G+ Wireless Adapter Utility.lnk = C:\Program Files\D-Link\D-Link AirPlus G+ Wireless Adapter Utility\DWLGTI.EXE

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O14 - IERESET.INF: START_PAGE_URL=http://www.google.fr/

O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAcc.../bridge-c11.cab

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedC...bin/AvSniff.cab

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedC...n/bin/cabsa.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe

O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Program Files\Softwin\BitDefender Professional Edition\vsserv.exe

O23 - Service: BitDefender Communicator (XCOMM) - Softwin - C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe

personnellement je cocherai les lignes 19,(à partir de R1) 20,21,22,23,25,31,38,39,40 avec quasi certitude mais pour les lignes: 24,26,27,32,34, j'ai un doute

quelques précision j'arrive donc en mode sans échec à supprimer les fichiers infectés mais dès que je reconnecte ma bécane au net je recharge immédiatement le fichier 4397patch.exe sur C:\ et en suivant d'autre cochonnerie s'installe un peu partout.

help voilà trois jours que j'y travaille

merci

invic · le 24 mai 2005

j'ai les mêmes problême avec des saloperies intempestive qui se charge toutes seules et ma souris qui devient dingue je plage depuis 15 jours la dessus bonne m.....

Pollux_63 · le 24 mai 2005

bonjour Mumu31, bonjour invic, bonjour à tous.

Mumu31, si il sagit d'un trojan tu devrais faire un scan en mode sans echec avec A² free disponible ici

ensuite depose un nouveau rapport hijack afin qu'un spécialiste te reponde.

NB: mets bien à jour tes différents logiciels avant de scanner ton DD

megataupe · le 24 mai 2005

Bonjour à tous (salut IPL ). Celui là est un trojan :

UNMT.EXE

Recommence la procédure décrite ci-dessous et attend l'avis d'un des spécialistes du forum.

lance l'Explorateur Windows et supprime le contenu de

--- C:\Temp

--- C:\Windows\Temp

suppression des fichiers inutiles par :

-----Démarrer / Exécuter / tape CleanMgr et clique sur OK / OK pour accepter l'examen du disque C: / coche toutes les cases et clique sur OK / OK pour confirmer la suppression des fichiers inutiles

----- EasyCleaner-Inutile(s) de Toni Helenius sur http://personal.inet.fi/business/toniarts/ecleane.htm

nettoyage de la base de registres par EasyCleaner-Registre de Toni Helenius sur http://personal.inet.fi/business/toniarts/ecleane.htm

examen antivirus en ligne par HouseCall de Trend Micro sur http://www.secuser.com/antivirus/ ; [red](à faire avec Internet Explorer) note le nom du virus et le chemin+nom du fichier infecté ; sélectionne toutes les lignes affichées et clique sur Clean puis sur Delete pour toutes celles qui restent

examen antitrojan par A² sur http://www.emsisoft.net/fr/software/free/ ; il est nécessaire de s'enregistrer pour utiliser A² ; mets bien à jour ; supprime tout ce qu'il trouve

examen antispyware par

------ Ad-Aware SE 1.05 sur http://www.lavasoft.de/support/download/#free ; mets bien à jour ; supprime tout ce qu'il trouve

----- Spybot Search and Destroy 1.3 sur http://www.safer-networking.org/?page=download ; mets bien à jour ; supprime tout ce qu'il trouve.

Ensuite poste un nouveau rapport hijackthis avec la dernière version du logiciel :

- télécharger HijackThis de Merijn Belekom

http://www.merijn.org/files/hijackthis.zip

- l'installer dans un répertoire spécifique (peu importe où mais pas sur le bureau ni dans le répertoire Temp)

- lancer HJT et cliquer sur "Config", s'assurer que "Make backups before fixing items" est activé.

- cliquer sur 'Scan', l'affichage est instantané.

- à la fin du Scan, cliquer sur 'Save log', indiquer le répertoire dans lequel enregistrer le résultat et cliquer sur OK.

- une fenêtre Bloc-notes s'ouvre : Ctrl-A pour sélectionner tout le texte, Ctrl-C pour le copier dans le presse papier.

- mettre le texte dans un post ci-dessous (Ctrl-V) de manière à ce que nous te disions ce qu'il faut faire.

- fermer la fenêtre du Bloc-notes ; fermer la fenêtre HijackThis.

- attendre l'analyse et la réponse.

Source : tutorial d'ipl sur les préliminaires à effectuer avant l'utilisation d'Hijackthis

ipl_001 · le 24 mai 2005

Bonjour mumu31, invic, Pollux_63, bonjour à tous,

Je te souhaite la bienvenue sur Zeb'-Sécurité ! Merci de venir sur notre forum !

Eh bien ! Lorsque j'ai cliqué pour répondre, je ne voyais aucune réponse et en voici déjà 2 et megataupe qui consulte... ---édition : (LOL megataupe m'a aussi répéré ! :-( ) Bonjour megataupe

Okay ! Applique les instructions de Pollux_63...

Ajoute CleanUp de Steven Gould -> http://cleanup.stevengould.org/

Mumu31 · le 24 mai 2005

voilà toutes les manipulations conseillées ont été faites et je vous colle ci dessous le dernier rappor hijackthis, j'espère beaucoup avoir résolu mon problème

a²m'avait trouver une entrée suspect je l'ai effacée et hijackthis m'affichait trois lignes du même accabi supprimées aussi

que dites vous donc de mon dernier rapport:

Logfile of HijackThis v1.99.1

Scan saved at 16:23:06, on 24/05/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe