[résolu]Trojan bankfraud.B

juzeb · le 5 août 2005

bonjour à tous

voila à l'occasion de mon nettoyage mensuel, j'utilise votre procédure avec antivir et les autres...

antivir me signale deux détections de virus avec PHISH/Bankfraud.B dans mon inbox messagerie.

je n'ai constaté aucune anomalie mais je souhaite que vous me donniez votre avis sur mon rapport

avec mes remerciements

Logfile of HijackThis v1.99.1

Scan saved at 15:58:35, on 05/08/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

F:\Logiciels\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll

O2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - C:\Program Files\Microsoft Money\System\mnyviewer.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O4 - HKLM\..\Run: [Cobian Backup Interface 6] "C:\Program Files\Cobian Backup 6\cobui.exe" -service

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\RunOnce: [delus] C:\DOCUME~1\Jacques\LOCALS~1\Temp\delus.exe

O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NVMCTRAY.DLL,NvTaskbarInit

O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar1.dll/cmcache.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra button: MoneySide - {E023F504-0C5A-4750-A1E7-A9046DEA8A21} - C:\Program Files\Microsoft Money\System\mnyviewer.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {3AF4DACE-36ED-42EF-9DFC-ADC34DA30CFF} (PatchInstaller.Installer) - file://D:\content\include\XPPatchInstaller.CAB

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1118200899546

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: Cobian Backup 6 service (CobBackup6) - Luis Cobian - C:\Program Files\Cobian Backup 6\cbs.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

Modifié le 5 août 2005 par juzeb

ipl_001 · le 5 août 2005

Bonsoir juzeb, bonsoir à tous,

Bizarre ce malware qui porte un nom aussi explicite mais qui, certainement, ne concerne que la messagerie (je veux dire qu'il n'y aura sans doute pas de trace dans le rapport HijackThis... même si je vois autre chose)

Je démarre une analyse de ton rapport HijackThis... réponse d'ici 15-20 minutes !

megataupe · le 5 août 2005

Bonsoir Juzeb. D'après ce que je peux voir, ce Bankfraud (mail de Phishing) se propagerait par mail et Antivir l'a très certainement intercepté (à vérifier dans la quarantaine s'il y est encore). Ceci dit, je ne vois rien d'infectieux ou en rapport avec ce Bankfraud sur ton log.

edit : IPL :-P va peut être me démentir

Modifié le 5 août 2005 par megataupe

angelique · le 5 août 2005

vdes tes temp deja:

C:\documents ans settings\ton nom\local settings\temp

C:\documents ans settings\ton nom\local settings\temporary internet files

ça je sais pas,c'est pour ça que je te dis de vider tous tes temp en MSE::

O4 - HKLM\..\RunOnce: [delus] C:\DOCUME~1\Jacques\LOCALS~1\Temp\delus.exe

sinon je vois rien d'autre,pour ma part ,bien sur,stonangel,tesgaz,ipl,confirmeront!

megataupe · le 5 août 2005

Bonsoir Angélique. Ce 04 est liè à............Antivir :

The process delus belongs to the software delus by H+BEDV Datentechnik GmbH (www.free-av.com).

Description: delus.exe is located in a subfolder of "C:\Documents and Settings". The file size on Windows XP is 73848 bytes.

The program has a visible window. There is no file information. Program starts when Windows starts (see Registry key: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce). delus.exe is not a Windows core file.

ipl_001 · le 5 août 2005

Rebonsoir juzeb, rebonsoir à tous,

Télécharge et installe EasyCleaner de Toni Helenius ( http://personal.inet.fi/business/toniarts/ecleane.htm )

Relance un scan HijackThis, clique sur "Do a system scan and save a log file" et coche les lignes ci-dessous :

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

O4 - HKLM\..\RunOnce: [delus] C:\DOCUME~1\Jacques\LOCALS~1\Temp\delus.exe

O16 - DPF: {3AF4DACE-36ED-42EF-9DFC-ADC34DA30CFF} (PatchInstaller.Installer) - file://D:\content\include\XPPatchInstaller.CAB

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1118200899546

Ferme toutes les fenêtres sauf HijackThis et "Fix Checked".

- suppression des éléments inutiles par

Démarrer / Exécuter / tape CleanMgr et clique sur OK / OK pour accepter l'examen du disque C: / coche toutes les cases et clique sur OK / OK pour confirmer la suppression des fichiers inutiles

Lancement de l'Explorateur Windows : supprimer le contenu de C:\Temp et C:\Windows (ou WinNT)\Temp

et en particulier C:\DOCUME~1\Jacques\LOCALS~1\Temp

- suppression des fichiers inutiles par EasyCleaner-Inutile(s)

- vidage des zones de quarantaine éventuelles

- nettoyage de la base de registres par EasyCleaner-Registre

Qu'en est-il des dysfonctionnements ?

Ceci concerne le nettoyage dans une optique malware ; lorsque ton ordinateur sera bien propre, on pourra aller au delà en parlant optimisation de ton système !

juzeb · le 5 août 2005

merci

je pense effectivement qu'antivir la vu dans la boite des indésirables mais il n'était pas actif enfin je pense. c'est pourquoi je vous ai soumis ce rapport j'avais déja vidé les temps mais je le refais dans l'attente des autres commentaires.

faut il faire un rapport par session d'utilisateur j'ai trois utilisateurs sur cette ordi

bye

edit : je fais ce que vous m'avez demandé et je reviens, je n'avais aucun disfonctionnement c'es à l'occasion d'un entretien périodique

Modifié le 5 août 2005 par juzeb

ipl_001 · le 5 août 2005

Rebonsoir juzeb, rebonsoir à tous,

merci
je pense effectivement qu'antivir la vu dans la boite des indésirables mais il n'était pas actif enfin je pense. c'est pourquoi je vous ai soumis ce rapport j'avais déja vidé les temps mais je le refais dans l'attente des autres commentaires.

faut il faire un rapport par session d'utilisateur j'ai trois utilisateurs sur cette ordi

bye

edit : je fais ce que vous m'avez demandé et je reviens, je n'avais aucun disfonctionnement c'es à l'occasion d'un entretien périodique

547267[/snapback]

Tu as bien raison de le rappeler car, malgré les grognements périodiques de tesgaz, nous avons tendance à oublier d'examiner tous les comptes !

Oui, si tu le peux, effectue un rapport HijackThis de chacun de tes comptes Windows !

juzeb · le 5 août 2005

re:

j'ai fait ce que tu m'as demandé, je confirme que je n'avais aucun disfonctionnement mais j'avais des parents à la maison et ils sont tous partis et j'ai fait un nettoyage voici donc le rapport pour vérification après fixation

Logfile of HijackThis v1.99.1

Scan saved at 17:14:18, on 05/08/2005