Swizzor

BiSk · le 1 octobre 2005

bonjour j'ai voulu répondre a un sujet mais même en étaint inscrit j'avais toujours une erreur de popée. .. alors désolé j'Avais bêtement pas attendu d'activer le compte !

ceci étant dit : j'ai moi aussi le trojant swizzor et j'Ai fais plusieurs recherche.

Tout d'Abord .. les fichiers temporaires créés par ce trojan sont l'oeuvre d'un fichier nommé pop64thunk.exe présent ds c:\windows\prefetch\

ce même ficher si'il est suprimé, se recré aux heures fixes, soit 12h00 19h00 21h00 00h00 et 3h00 mais seulement une soit chaque our chaque journée, ( donc penser a changer la date du pc en même temps que l'horloge, )

ensuite ... ce fichier ( pop64thunk ) est appelé par la sous routine de service svchost.exe qui est issue des services.exe de windows lui même.

.. ds la librairie msdn les seuls fichiers non reconnus ( dll ou autres ds la svchost.exe en question sont : ( sortkey.nls et sorttbls.nls ) qui se retrouvent ds c:\windows\system32\.

J'ai vérifier sur un pc qui n'est pas infecté de swizzor et curieusement ces fichiers y sont inexistant !!! mais le problème est que je suis dans l'impossibilité du supprimer ces fichier ( sortkey.nls et sorttbls.nls )

car ils sont utilisé pas le service.exe et aussi pas csrss.exe et quand j'Ai essayer d'interrompres ces service pour pouvoir effacer les dits fichier .. j'ai planté mon pc... il a redémarer sans demander son reste !

... alors .. si vous pouviez avoir la gentillesse de me répondre pour m'indiquer quoi que ce soit ...

PS... j'Ai utilisé procesXP et des debug realtime avec des screenshot pour démasques les fichiers utilisé ... et tout semble etre relier par la base de registre sous : microsoft\search assistant\acmu\ et ds ces sous répertoires se trouvents des key values portant la valeur : pop64thunk et pop64thunk.exe! ....

BiSk

ipl_001 · le 1 octobre 2005

Bonsoir BiSk, bonsoir à tous,

Messages : 1

Je te souhaite la bienvenue sur Zeb'Sécurité ! Merci de venir sur notre forum !

S'il te plaît, applique la procédure "Pré-Nettoyage d'un PC infecté" -> http://forum.zebulon.fr/index.php?showtopic=69176

Lorsque tu auras posté le rapport HijackThis qui en résulte, nous l'analyserons et te dirons que faire !

Ton post est difficile à comprendre !

BiSk · le 6 octobre 2005

voici le rapport hijack ...

Logfile of HijackThis v1.99.1

Scan saved at 17:15:46, on 2005-10-06

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\NOTEPAD.EXE

C:\WINDOWS\system32\notepad.exe

C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.com/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.com/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKLM\..\RunOnce: [delus] C:\DOCUME~1\Gabriel\LOCALS~1\Temp\delus.exe

O4 - HKCU\..\Run: [sP2 Connection Patcher] "C:\Program Files\SP2 Connection Patcher\SP2ConnPatcher.exe" -n=200

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - Global Startup: Accélérateur de démarrage AutoCAD.lnk = C:\Program Files\Fichiers communs\Autodesk Shared\acstart16.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=36467&clcid=0x409

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by104fd.bay104.hotmail.msn.com/resources/MsnPUpld.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5co...b?1113779462736

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab

O16 - DPF: {E6187999-9FEC-46A1-A20F-F4CA977D5643} (ZoneChess Object) - http://messenger.zone.msn.com/binary/Chess.cab31267.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

BiSk · le 6 octobre 2005

en fait ds mon premier post .. c'Est le résultat d'Une recherche .. j'ai voulu savoir ce qui créait le fichier a des heures données .. pour l'éviter de continuer a se reproduire ...

mais ... j'ai eu du mal ... et un mal de bloc !

merci de votre aide

Thanos · le 6 octobre 2005

salut BiSk,ipl

Ton rapport n'est pas complet BiSk, il manque les lignes 023!

Reposte le log en entier s'il te plait .

J'aimerai aussi que tu télécharges Ewido:

Télécharger la version d'essai d'Ewido ici :

http://www.ewido.net/fr/

et l'installer (important: pendant l'installation, sur la page "Additional Options"

décocher les deux options "Install background guard" et "Install scan via context

menu").Démarrer ewido. Cliquer sur mise à jour, attendre la fin de cette mise à jour

puis, fermer le programme.Lorsque vous étes passé en mode sans échec, relancer

Ewido et cliquer sur scanner puis sur scan complet du système.

Si Ewido trouve quelque chose que tu SAIS légitime (par exemple, des éléments de

AVG Antivirus, AOL, pcAnywhere et le jeu "Risk" ont été repérés), sélectionne

"Aucun" comme action. NE COCHE PAS "Effectuer cette action avec toutes les

infections".

Si tu n'es pas sûr de la donnée, sélectionne "aucune" pour le moment. Nous verrons

cela dans le log que tu vas poster plus tard et nous te ferons savoir si Ewido doit être

relancé.A la fin du scan, Sauver le rapport (Fichier/Enregistrer sous...) et l'envoyer

avec le dernier rapport HijackThis

Ne fixe rien pour le moment,poste le rapport.Hijackthis ne montre rien de méchant,

on y verra peut être plus clair avec Ewido!

BiSk · le 9 octobre 2005

Voila! ... j'ai fait un scan avec ewido .. il a trouver beaucoup de fichier .txt genre gabriel@qqchose.txt .. en fait il en a trouver 83 mais a part ces fichiers la rien d'autre!

j'Ai beau lire le rapport hijackthis .. je n'y voie rien dutout ... je sais pas comment tu fais pour y comprendre qqchose ... mais merci beaucoup pour ton aide !