Trojan Horse TR/LowZones

[greg23]

Bonjour à tous,

 

A la lecture de ce forum est sur les conseils d'un de vos membres...j'ai suivi la procédure de nettoyage de mon pc avec antiv, eregcleaner, .. en mode sans echec.

et Apres tout cela j'ai quand même un résidu de maudit trojan.

 

Novice en analyse de rapport Hijackthis, je vous adresse ci joint celui que j'ai édité aprés le premier nettoyage.

 

merci de me dire comment agir en conséquence,

 

greg23

[greg23]

oups.. voici le rapport

 

Logfile of HijackThis v1.99.1

Scan saved at 18:20:38, on 19/09/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Documents and Settings\Alexandre Reynaud\Mes documents\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /min

O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: EPSON Status Monitor 3 Environment Check(2).lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O17 - HKLM\System\CCS\Services\Tcpip\..\{9B627845-E5BC-43D1-9D17-045795DBD314}: NameServer = 192.168.0.51

O23 - Service: AdobeVersionCue - Adobe Sytems - C:\Program Files\Adobe\Version Cue\service\VersionCue.exe

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: RTE : Partage TAPI (RTETAPIService) - RTE Software - c:\fotowin\RTETPISv.exe

O23 - Service: SystemManager - Unknown owner - C:\WINDOWS\sysmanager.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe

[BipBip07]

 

ton rapport est propre. Par contre tu as plus de 5ans de retards de mises a jour sécuritaire !

 

Faire les mises a jour critiques de windows et internet explorer !

Je te mets ici les liens nécessaires:

 

le SP2 (si tu a une connexion 56Ko tu peux commander gratuitement le CD chez Microsoft)

- Pack SP2

 

- Telechargement et mise a jour Internet Explorer

 

 

[idee] [approuve] Mettre a jour régulièrement windows et internet explorer

 

 

Et si tu n’as pas installé la console virtuelle Java fait le aussi :

Site officiel a visiter et télécharger la console sur Free Donwload

ou

Téléchargement direct de la console Java

 

Ensuite,

Faire un scan en ligne chez Ravantivirus(mettre un fausse adresse email ou une adresse hotmail):

http://www.ravantivirus.com/scan/

jusqu'à ce que "ready to scan" apparaisse

cela doit se présenter comme ceci http://img272.echo.cx/img272/7830/rav0gh.jpg

Tu cliques ensuite sur "scan my pc" (étape 3 de l'image)

A la fin du scan, qui peut prendre un certain temps, tu copies et colles le rapport ici

 

Ou celui la

PANDA si tu n'y arrive pas : tutorial

[greg23]

Bonjour bipbip,

 

merci pour ta réponse...

Mais je m'étonne que la machine soit propre car j'ai toujours un spyware qui me lance winfixer, un faux site symantec...et antivir detecte un truc comme C:\GFHBH.EXE...

 

c'est étrange tout cela...

 

greg23

[megataupe]

Bonjour Greg23. Peux tu faire un scan d'Ewido et envoyer le rapport :

 

Télécharger la version d'essai d'Ewido ici :

 

http://www.ewido.net/fr/

 

et l'installer (important: pendant l'installation, sur la page "Additional Options" décocher les deux options "Install background guard" et "Install scan via context menu").

 

Démarrer ewido. Cliquer sur mise à jour, attendre la fin de cette mise à jour puis, fermer le programme.

Lorsque vous étes passé en mode sans échec, relancer Ewido et cliquer sur scanner puis sur scan complet du système.

 

Si des fichiers infectés sont trouvés, garder l'option par défaut Supprimer (avec la ligne "Créer des copies de sauvegarde cryptées dans la quarantaine" cochée).

 

A la fin du scan, Sauver le rapport (Fichier/Enregistrer sous...) et l'envoyer avec le dernier rapport HijackThis

568922[/snapback]

[greg23]

merci pour les infos megataupe...je vais checker tout cela...

 

greg23

[greg23]

Hello,

 

Aprés avoir suivi les conseils de vous tous, je n'ai pour l'instant plus de fenetres IE dans tous les sens.

 

Voici donc les 2 rapports EWIDO & HIJACKthis comme prévu :

 

 

ogfile of HijackThis v1.99.1

Scan saved at 17:11:09, on 20/09/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Documents and Settings\Alexandre Reynaud\Mes documents\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /min

O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: EPSON Status Monitor 3 Environment Check(2).lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O16 - DPF: {42F2C9BA-614F-47C0-B3E3-ECFD34EED658} (Installer Class) - http://216.127.33.119/ist/softwares/v4.0/ysb_regular.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{9B627845-E5BC-43D1-9D17-045795DBD314}: NameServer = 192.168.0.51

O23 - Service: AdobeVersionCue - Adobe Sytems - C:\Program Files\Adobe\Version Cue\service\VersionCue.exe

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido\security suite\ewidoctrl.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: RTE : Partage TAPI (RTETAPIService) - RTE Software - c:\fotowin\RTETPISv.exe

O23 - Service: SystemManager - Unknown owner - C:\WINDOWS\sysmanager.exe (file missing)

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe

 

--------------------------------------------------

RAPPORT EWIDO

---------------------------------------------------

 

---------------------------------------------------------

ewido security suite - Rapport de scan

---------------------------------------------------------

 

+ Créé le: 17:07:02, 20/09/2005

+ Somme de contrôle: 40F816FA

 

+ Résultats du scan:

 

HKLM\SOFTWARE\Classes\CLSID\{86227D9C-0EFE-4f8a-AA55-30386A3F5686} -> Spyware.YourSiteBar : Nettoyer sans sauvegarder

HKLM\SOFTWARE\Classes\Interface\{0985C112-2562-46F2-8DA6-92648BA4630F} -> Spyware.ISTBar : Nettoyer sans sauvegarder

HKLM\SOFTWARE\Classes\TypeLib\{67907B3C-A6EF-4A01-99AD-3FCD5F526429} -> Spyware.ISTBar : Nettoyer sans sauvegarder

HKLM\SOFTWARE\Classes\YSBactivex.Installer -> Spyware.YourSiteBar : Nettoyer sans sauvegarder

HKLM\SOFTWARE\Classes\YSBactivex.Installer\CLSID -> Spyware.YourSiteBar : Nettoyer sans sauvegarder

HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\{c95fe080-8f5d-11d2-a20b-00aa003c157a} -> Spyware.Alexa : Nettoyer sans sauvegarder

HKLM\SOFTWARE\PowerScan -> Spyware.PowerScan : Nettoyer sans sauvegarder

HKLM\SOFTWARE\YourSiteBar -> Spyware.ISTBar : Erreur durant le nettoyage

HKLM\SOFTWARE\YourSiteBar\Historycompare_item -> Spyware.ISTBar : Erreur durant le nettoyage

HKLM\SOFTWARE\YourSiteBar\Historyfiles -> Spyware.ISTBar : Erreur durant le nettoyage

HKU\.DEFAULT\Software\IST -> Spyware.ISTBar : Nettoyer sans sauvegarder

HKU\.DEFAULT\Software\PowerScan -> Spyware.PowerScan : Nettoyer sans sauvegarder

HKU\S-1-5-18\Software\IST -> Spyware.ISTBar : Nettoyer sans sauvegarder

HKU\S-1-5-18\Software\PowerScan -> Spyware.PowerScan : Nettoyer sans sauvegarder

C:\WINDOWS\system32\orans.sys -> Trojan.Rootkit.Agent.ae : Nettoyer sans sauvegarder

C:\WINDOWS\system32\remon.sys -> Trojan.Rootkit.Agent.ab : Nettoyer sans sauvegarder

C:\WINDOWS\Temp\iinstall.exe -> TrojanDownloader.IstBar.lq : Nettoyer sans sauvegarder

C:\WINDOWS\sysmanager.exe -> Backdoor.SdBot.aad : Nettoyer sans sauvegarder

C:\WINDOWS\settings.exe -> Backdoor.SdBot.aad : Nettoyer sans sauvegarder

C:\Documents and Settings\All Users\Documents\Sarbacane Goto Emailing Fr\Bonus\All My Keys and Serials!!, tons of em, 5-5-01,windows,adobe,norton,symantec,xp,adaptec,pass this on please.zip/Password Cracker.zip/UHANFO.EXE -> Trojan.DOS.ControlDuSockets.a : Nettoyer sans sauvegarder

C:\Documents and Settings\All Users\Documents\Sarbacane Goto Emailing Fr\Bonus\All My Keys and Serials!!, tons of em, 5-5-01,windows,adobe,norton,symantec,xp,adaptec,pass this on please.zip/duplicates/Password Cracker.zip/UHANFO.EXE -> Trojan.DOS.ControlDuSockets.a : Nettoyer sans sauvegarder

C:\Documents and Settings\All Users\Documents\Sarbacane Goto Emailing Fr.zip/Bonus/All My Keys and Serials!!, tons of em, 5-5-01,windows,adobe,norton,symantec,xp,adaptec,pass this on please.zip/Password Cracker.zip/UHANFO.EXE -> Trojan.DOS.ControlDuSockets.a : Nettoyer sans sauvegarder

C:\Documents and Settings\All Users\Documents\Sarbacane Goto Emailing Fr.zip/Bonus/All My Keys and Serials!!, tons of em, 5-5-01,windows,adobe,norton,symantec,xp,adaptec,pass this on please.zip/duplicates/Password Cracker.zip/UHANFO.EXE -> Trojan.DOS.ControlDuSockets.a : Nettoyer sans sauvegarder

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\8HYZ0XIB\powerscan[1].exe -> Spyware.PowerScan : Nettoyer sans sauvegarder

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\8HYZ0XIB\istdownload[1].exe -> TrojanDownloader.IstBar.lq : Nettoyer sans sauvegarder

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\8XYZCDE3\g[1].exe -> Backdoor.SdBot.aad : Nettoyer sans sauvegarder

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\8XYZCDE3\ibar[1].js -> TrojanDownloader.IstBar.ad : Nettoyer sans sauvegarder

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\8XYZCDE3\ysb[1].dll -> Spyware.YourSiteBar : Nettoyer sans sauvegarder

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\816ZC923\SAcc.prod.v1110.07sep2005.exe[1] -> Spyware.SurfAccuracy : Nettoyer sans sauvegarder

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\816ZC923\stubinstaller5041[1].ex_ -> TrojanDownloader.Small.asf : Nettoyer sans sauvegarder

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\816ZC923\sahagent[1].exe -> Adware.SAHA : Nettoyer sans sauvegarder

C:\Documents and Settings\LocalService\Cookies\system@paypopup[2].txt -> Spyware.Cookie.Paypopup : Nettoyer sans sauvegarder

C:\Documents and Settings\LocalService\Cookies\[email protected][1].txt -> Spyware.Cookie.Yieldmanager : Nettoyer sans sauvegarder

C:\Documents and Settings\LocalService\Cookies\[email protected][1].txt -> Spyware.Cookie.Shopathomeselect : Nettoyer sans sauvegarder

C:\Program Files\ISTsvc -> Spyware.ISTBar : Nettoyer sans sauvegarder

C:\Program Files\YourSiteBar\ysb.dll -> Spyware.YourSiteBar : Nettoyer sans sauvegarder

C:\Program Files\SurfAccuracy\SAcc.exe -> Spyware.SurfAccuracy : Nettoyer sans sauvegarder

C:\Program Files\Power Scan\powerscan.exe -> Spyware.PowerScan : Nettoyer sans sauvegarder

C:\System Volume Information\_restore{5EA58F6B-0E5F-4C2F-8A45-184B33F50464}\RP332\A0024652.sys -> Trojan.Rootkit.Agent.ae : Nettoyer sans sauvegarder

C:\System Volume Information\_restore{5EA58F6B-0E5F-4C2F-8A45-184B33F50464}\RP338\A0025799.sys -> Trojan.Rootkit.Agent.ab : Nettoyer sans sauvegarder

C:\System Volume Information\_restore{5EA58F6B-0E5F-4C2F-8A45-184B33F50464}\RP331\A0024626.sys -> Trojan.Rootkit.Agent.ae : Nettoyer sans sauvegarder

C:\System Volume Information\_restore{5EA58F6B-0E5F-4C2F-8A45-184B33F50464}\RP331\A0024637.sys -> Trojan.Rootkit.Agent.ae : Nettoyer sans sauvegarder

C:\System Volume Information\_restore{5EA58F6B-0E5F-4C2F-8A45-184B33F50464}\RP335\A0024737.sys -> Trojan.Rootkit.Agent.ab : Nettoyer sans sauvegarder

C:\System Volume Information\_restore{5EA58F6B-0E5F-4C2F-8A45-184B33F50464}\RP335\A0025759.exe -> Adware.Saha : Nettoyer sans sauvegarder

C:\System Volume Information\_restore{5EA58F6B-0E5F-4C2F-8A45-184B33F50464}\RP335\A0025760.dll -> Adware.SAHA : Nettoyer sans sauvegarder

C:\System Volume Information\_restore{5EA58F6B-0E5F-4C2F-8A45-184B33F50464}\RP335\A0025761.exe -> Adware.SAHA : Nettoyer sans sauvegarder

C:\System Volume Information\_restore{5EA58F6B-0E5F-4C2F-8A45-184B33F50464}\RP335\A0025770.exe -> Adware.SAHA : Nettoyer sans sauvegarder

C:\System Volume Information\_restore{5EA58F6B-0E5F-4C2F-8A45-184B33F50464}\RP335\A0025774.sys -> Trojan.Rootkit.Agent.ab : Nettoyer sans sauvegarder

[Jack_Burton]

Bonjour greg23

 

Je ne vois pas d infection sur ton rapport.

Penses a désinstaller Ewido qui est gratuit que 14 jours.

 

Tu peux fixer ces lignes inutiles :

 

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

 

O16 - DPF: {42F2C9BA-614F-47C0-B3E3-ECFD34EED658} (Installer Class) - http://216.127.33.119/ist/softwares/v4.0/ysb_regular.cab

 

A présent, quelques conseils de sécurité :

 

-Windows Update parfaitement à jour (catégorie critique, Services Pack et Services Release )

- pare-feu bien paramétré- antivirus bien paramétré et mis à jour régulièrement(quotidiennement s'il le faut) avec un scan complet régulier(journalier s'il le faut).

- une attitude prudente vis à vis de la navigation (pas de sites douteux:cracks, warez, sexe...) et vis à vis de la messagerie (fichiers joints aux messages doivent être scanné avant d'être ouvert)

- une attitude vigilante (être l'affût des fonctionnements inhabituels de ton système)

- nettoyage hebdomadaire du système (suppression des fichiers inutiles, nettoyage de la base de registre, scandisk, defragmentation)

 

- scan hebdomadaire antispyware

 

Pour en savoir plus, consulte la page de ipl_001

http://gerard.melone.free.fr/IT/IT-AM0.html

 

Tu dois également installer les outils suivants:

 

-Un navigateur sécurisé comme Firefox

http://forum.zebulon.fr/index.php?showtopic=69628&st=0

 

-Un vrai pare-feu (pas le joujou offert avec XP)

 

-Kerio

-Zone Alarm

 

-SpywareBlaster:

 

http://www.javacoolsoftware.com/downloads.html

Son tuto:

http://www.ordi-netfr.org/tutorialspywareblaster.html

 

 

-Ad-awareSE

 

http://www.ordi-netfr.com/adawarese.html

http://www.lavasoft.de/support/download/#free

Son tuto

http://home.tiscali.be/schouppeguy/adawarese/adawase.htm

 

 

-SpyBot-Search & Destroy

 

http://spybot.safer-networking.de/fr/download/index.html

Son tuto

http://assiste.free.fr/p/frameset/07_spybo...rch_destroy.php

 

 

-ZebProtect

 

http://www.zebulon.fr/articles/zebprotect.php

http://telechargement.zebulon.fr/123.html

 

 

Auteur: queruak

 

------------------------------------------------------------------------------------------------------------------------

Je peux aussi te conseiller de changer de navigateur web si tu utilises encore cette bouse infame qu est internet Explorer. Je peux te conseiller Firefox que tu peux davantage sécurisé avec les les conseils de megataupe.

 

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

 

N oublie pas de mettre a jour ton systeme qui a des années de retard.

Modifié le 21 septembre 2005 par Jack_Burton

[greg23]

Hello,

 

merci pour tous ces précieux conseils... j'ai mis à jour, installer firefox...

tout est nickel....

 

 

bien à vous

 

greg23