Virus/Trojan ?

Metalyn · le 19 octobre 2005

merci, je ferai tout sa demain et posterai mon scan.

en ce qui concerne les pare feux, javai kerio, que je naimai pa tro, jai voulu lenlever, mai je nai pa reussi. jai installé zone alarm (pensan tou dabbord que la desinstallation de kerio avai marché) mé zone alarm aparament ne marche pa super, enfin il fai tou ralentir a mort. je vai essayer de desisntaler les 2 et de re instaler ke zone alarme une foile nettoyage fait

ipl_001 · le 19 octobre 2005

Bien vu !

Ah oui ! Curieux ! A moins qu'en Allemagne comme aux USA, il existe des Paris, des Montpellier, etc. finalement toutes les villes !

---édition : Okay ! à demain Metalyn

Metalyn · le 20 octobre 2005

voila c fait.

Pour le trojan, symantec ne me trouve rien.

J'ai pas pu supprimer les dll (jkklm.dll,awtqq.dll), un message d'erreur me dit qu'elles sont en cour d'utilisation.

Et j'ai tjs pa pu desinstaller kerio.

En ce qui concerne les dysfonctionnement, tjs les meme, fort ralentissement du systeme et d'internet.

Logfile of HijackThis v1.99.1

Scan saved at 13:13:54, on 20/10/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Acer\eManager\anbmServ.exe

C:\WINDOWS\system32\igfxtray.exe

C:\WINDOWS\system32\hkcmd.exe

C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe

C:\WINDOWS\system32\rundll32.exe

C:\acer\epm\epm-dm.exe

C:\Program Files\Launch Manager\QtZgAcer.EXE

C:\Program Files\AVPersonal\AVGNT.EXE

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXE

C:\Program Files\AVPersonal\AVWUPSRV.EXE

C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\system32\ZONELABS\vsmon.exe

C:\Program Files\acer\eRecovery\Monitor.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Opera\Opera.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\system32\msiexec.exe

C:\WINDOWS\system32\MsiExec.exe

C:\Program Files\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.neuf.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://createpdf.adobe.com/?Language=ENU

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: MSEvents Object - {FC148228-87E1-4D00-AC06-58DCAA52A4D1} - C:\WINDOWS\system32\awtqq.dll

O4 - HKLM\..\Run: [LaunchApp] Alaunch

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [synTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [bluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [iMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32

O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC

O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC

O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName

O4 - HKLM\..\Run: [EPM-DM] c:\acer\epm\epm-dm.exe

O4 - HKLM\..\Run: [ePowerManagement] C:\Acer\ePM\ePM.exe boot

O4 - HKLM\..\Run: [LManager] C:\Program Files\Launch Manager\QtZgAcer.EXE

O4 - HKLM\..\Run: [eRecoveryService] C:\Windows\System32\Check.exe

O4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /min

O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_05\bin\npjpi150_05.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_05\bin\npjpi150_05.dll

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: awtqq - C:\WINDOWS\system32\awtqq.dll

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Notebook Manager Service (anbmService) - OSA Technologies Inc. - C:\Acer\eManager\anbmServ.exe

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe

Thanos · le 20 octobre 2005

salut Metalyn

Ton pc est infecté par"Vundo":On va procéder en deux étapes=>

Imprime ces instructions pour les utiliser en mode sans échec(sans prise en charge du réseau):

Préparation :

Télécharge VundoFix.exe sur le bureau:

http://www.atribune.org/downloads/VundoFix.exe

* Cela va créer un dossier VundoFix sur le bureau.

* Après l'extraction des fichiers redémarre en mode sans échec en tapotant F8 au démarrage

Désinfection

* En mode sans échec ouvre le dossier VundoFix et doubleclick sur KillVundo.bat

* Tu seras averti d'une listes de forums susceptibles de t'aider ressemblant à ça:

VundoFix V2.1 by Atri
By pressing enter you agree that you are using this at your own risk

Please seek assistance at one of the following forums:

http://www.atribune.org/forums

http://www.247fixes.com/forums

http://www.geekstogo.com/forum

http://forums.net-integration.net

- A ce moment appuie sur Entrée.

- Ensuite tu verras:

Type in the filepath as instructed by the forum staff
Then Press Enter, Then F6, Then Enter Again to continue with the fix.

--A ce moment entre exactement le chemin complet des fichiers suivants:

C:\WINDOWS\system32\awtqq.dll

Ensuite appuie sur Entrée, puisF6, puis valide à nouveau pour continuer avec le fix.

- Ensuite tu verras:

Please type in the second filepath as instructed by the forum staff
Then Press Enter, Then F6, Then Enter Again to continue with the fix.

-A ce moment entre exactement le chemin complet des fichiers suivants:

C:\WINDOWS\system32\qqtwa.*

-Valide puis appuie sur F6, puis entrée pour continuer le fix.

-Lance Hijackthis en gardant le fix ouvert.

-Dans HijackThis, coche les entrées suivantes et clique sur FIX CHECKED:

O2 - BHO: MSEvents Object - {FC148228-87E1-4D00-AC06-58DCAA52A4D1} - C:\WINDOWS\system32\awtqq.dll

O20 - Winlogon Notify: awtqq - C:\WINDOWS\system32\awtqq.dll

* Après avoir fixé ces items, ferme Hijackthis et appuie sur une touche pour que l'ordinateur redémarre.

* En appuyant sur une touche provoque "Blue Screen of Death" c'est normal, ne t'en fais pas!

* Après le redémarrage, suis les instructions ci-dessous=>

Assure toi que les fichier ont disparu!

Si les fichiers incriminés sont toujours présents:

C:\WINDOWS\system32\awtqq.dll

C:\WINDOWS\SYSTEM32\jkklm.dll

-télécharge killbox:

http://www.bleepingcomputer.com/files/spyware/KillBox.zip

Fermer toutes les applications en cours et lancer Killbox

Cocher le bouton"Delete on Reboot " et la case "Unregister .dll Before Deleting".

Coller la ligne ci-dessous

C:\WINDOWS\system32\awtqq.dll

Cliquer sur la croix blanche sur fond rouge:

« File will be Deleted on Next Reboot » répondre OUI

« File will be Removed on Reboot, Do you want to reboot now ? » répondre NON

tu entres le chemin du fichier=>

C:\WINDOWS\SYSTEM32\jkklm.dll

à la fin:

« will be Deleted on Next Reboot » Répondre OUI

« File will be Removed on Reboot, Do you want to reboot now ? » Répondre OUI

Le PC va redémarrer et supprimer le fichier de la liste.

-Fais un scan ligne ici:

http://www.pandasoftware.com/products/activescan.htm

Copie les résultats du scan avec un nouveau rapport HijackThis.

Modifié le 20 octobre 2005 par charles ingals

Metalyn · le 20 octobre 2005

jai fait tout ce que tu ma dit.

Je n'ai plus de probléme aparament, mais, antivir et le scan que jai fai a ton adresse me detetect un virus, le fichier jkklm.dll, dan le repertoire system32, mais pourtant le fichier n'y est pas (peu etre parceque je n'ai pas encore redemaré?)

jai refai un scan sinon, voici le log:

Logfile of HijackThis v1.99.1

Scan saved at 18:39:14, on 20/10/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\igfxtray.exe

C:\WINDOWS\system32\hkcmd.exe

C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe

C:\WINDOWS\system32\rundll32.exe

C:\acer\epm\epm-dm.exe

C:\Program Files\Launch Manager\QtZgAcer.EXE

C:\Program Files\AVPersonal\AVGNT.EXE

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\Acer\eManager\anbmServ.exe

C:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXE

C:\Program Files\AVPersonal\AVWUPSRV.EXE

C:\WINDOWS\system32\ZONELABS\vsmon.exe

C:\Program Files\acer\eRecovery\Monitor.exe

C:\Program Files\Opera\Opera.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.neuf.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://createpdf.adobe.com/?Language=ENU

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: MSEvents Object - {FC148228-87E1-4D00-AC06-58DCAA52A4D1} - C:\WINDOWS\system32\awtqq.dll (file missing)