[résolu]Probleme de Trojan

Harold · le 25 mai 2005

Tout d'abord je suis heureux de poster mon premier message sur ce forum.

J' ai un probleme de trojan, à chaque fois que je lance internet explorer AVG , mon anti virus, remarque rapidement un trojan.

A la lecture de mon log je vois qu il y a des problemes (en R1 et 04 je pense principalement), mais je ne sais pas vraiment quoi cocher dans hijackthis (j ai peur que si je le fais tout seul je "casse" quelque chose).

J'ai utilise Sbybot S&D, CWShredder, Ad-Aware SE Personal, a² mais ca n a rien arrange.

Voici mon log :

Logfile of HijackThis v1.99.1

Scan saved at 10:03:00, on 25/05/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\Grisoft\AVG Free\avgamsvr.exe

C:\PROGRA~1\Grisoft\AVG Free\avgupsvc.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\RunDll32.exe

C:\PROGRA~1\Grisoft\AVG Free\avgcc.exe

C:\PROGRA~1\Grisoft\AVG Free\avgemc.exe

C:\WINDOWS\system32\qttask.exe

C:\Program Files\Winamp\winampa.exe

C:\Program Files\OpenOffice.org1.1.4\program\soffice.exe

C:\Program Files\Mozilla Firefox\firefox.exe

E:\Download\hijachthis\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\rbark.dll/sp.html#37049

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\rbark.dll/sp.html#37049

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\rbark.dll/sp.html#37049

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\rbark.dll/sp.html#37049

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\rbark.dll/sp.html#37049

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\rbark.dll/sp.html#37049

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.google.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - Default URLSearchHook is missing

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Class - {801F3199-8EAB-0036-12D6-35DEE31205DC} - C:\WINDOWS\system32\addnk32.dll

O2 - BHO: GDS module - {A084A565-B09B-4e4c-A497-7CC50AEAB2A7} - C:\WINDOWS\gds.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG Free\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVG Free\avgemc.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\system32\qttask.exe" -atboottime

O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe

O4 - HKLM\..\Run: [d3ht32.exe] C:\WINDOWS\d3ht32.exe

O4 - HKLM\..\Run: [sysss32.exe] C:\WINDOWS\system32\sysss32.exe

O4 - HKLM\..\RunOnce: [msqf.exe] C:\WINDOWS\msqf.exe

O4 - HKLM\..\RunOnce: [winlh32.exe] C:\WINDOWS\system32\winlh32.exe

O4 - HKLM\..\RunOnce: [addyu32.exe] C:\WINDOWS\system32\addyu32.exe

O4 - HKLM\..\RunOnce: [javahy32.exe] C:\WINDOWS\javahy32.exe

O4 - HKLM\..\RunOnce: [nteh.exe] C:\WINDOWS\system32\nteh.exe

O4 - HKLM\..\RunOnce: [iemc32.exe] C:\WINDOWS\iemc32.exe

O4 - HKLM\..\RunOnce: [d3hm.exe] C:\WINDOWS\d3hm.exe

O4 - Startup: OpenOffice.org 1.1.4.lnk = C:\Program Files\OpenOffice.org1.1.4\program\quickstart.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{18DC9E73-C487-489B-9588-EC54A9857B46}: NameServer = 212.27.32.176,212.27.32.177

O17 - HKLM\System\CS1\Services\Tcpip\..\{18DC9E73-C487-489B-9588-EC54A9857B46}: NameServer = 212.27.32.176,212.27.32.177

O17 - HKLM\System\CS2\Services\Tcpip\..\{18DC9E73-C487-489B-9588-EC54A9857B46}: NameServer = 212.27.32.176,212.27.32.177

O23 - Service: Remote Procedure Call (RPC) Helper ( 11Fßä#·ºÄÖ`I) - Unknown owner - C:\WINDOWS\system32\atlyb.exe" /s (file missing)

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG Free\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG Free\avgupsvc.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

Merci d'avance.

Modifié le 26 mai 2005 par Harold

queruak · le 25 mai 2005

Bonjour Harold, bonjour à tous,

Bienvenue sur Zebulon-Sécurité !

-1-Télécharge les outils suivants:

*CWShredder

http://www.bleepingcomputer.com/files/cwshredder.php

Installer CWShredder dans un répertoire dédié

*SpHjfix de Seeker

http://www.trojaner-info.de/cgi-bin/downlo...gi?file=sphjfix

*About:Buster

http://www.malwarebytes.biz/index.php?page=downloads

Le dézipper et mettre un raccourci sur le bureau.

-2-Ferme toutes les fenêtres

-lance CWShredder et clique sur "Fix".

-3-Redémarre.

-4-Lance SpHjfix

.. clique sur le bouton "start disinfection"

.. en cas d'infection , l'ordinateur est redémarré

.. SpSeHjfix reprend la main avant démarrage de Windows pour désinfection sans être gêné par les processus en cours.

. examiner, communiquer le fichier log généré

-5-Redémarre en mode sans echec.IMPERATIVEMENT EN MODE SANS ECHEC

Comment démarrer Windows XP en mode sans échec

-6-Double clic sur About:Buster.

Ok

Start

Ok

Un scan est exécuté (attendre quelques secondes).

Sauvegarde le log de ce scan dans un fichier .txt quelconque afin de le retrouver.

Refais un second scan, pour voir.

-7-Redémarre normalement et poste un nouveau Log Hijackthis pour verification.

Harold · le 25 mai 2005

merci pour cette reponse si rapide et precise .

Je m y mets tout de suite.

Harold · le 25 mai 2005

j ai eu un probleme. Quand j ai utilise About:Buster (mon pc estait en mode sans echec) il y a eu un message d erreur:

Run-time error'339':

Component 'MSCOMCTL.OXC' or one of its dependencies not correctly registered: a file is missing or invalid.

voici mon log apres les etapes 4 ( quand j ai lance SpHjfix et j appuis sur start desinfection il ne se passe rien, je ne sais pas si c est normal)

voici mon nouveau log:

Logfile of HijackThis v1.99.1

Scan saved at 10:59:26, on 25/05/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\Grisoft\AVG Free\avgamsvr.exe

C:\PROGRA~1\Grisoft\AVG Free\avgupsvc.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\RunDll32.exe

C:\PROGRA~1\Grisoft\AVG Free\avgcc.exe

C:\PROGRA~1\Grisoft\AVG Free\avgemc.exe

C:\WINDOWS\system32\qttask.exe

C:\Program Files\Winamp\winampa.exe

C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\Program Files\OpenOffice.org1.1.4\program\soffice.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\system32\wuauclt.exe

E:\Download\hijachthis\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\hpkit.dll/sp.html#37049

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\hpkit.dll/sp.html#37049

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\hpkit.dll/sp.html#37049

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\hpkit.dll/sp.html#37049

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\hpkit.dll/sp.html#37049

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\hpkit.dll/sp.html#37049