win32:horst-c

turtle · le 8 avril 2006

Salut,

depuis plusieurs jours à chaque demarrage de session Win XP un fichier EXE se crée dans le répertoire Document and settings\User\local setting\temp.

ce fichier change de nom a chaque fois ( juste les 2 premiers caracteres)

exemple :

63exmodulbg.exe

45exmodulbg.exe

Et avast me dit a chaque fois que ce fichier contient Un cheval de Troie appelé Win32:horst-C

Et chaque fois je le supprime ou le met en Quarantaine, mais il revient toujours.

J'ai éssayé Avast, norton antivirus, bitdefender, ad-aware,spybot et il ne trouve rien. (sauf quand le fichier est la)

Que puis-je faire ????

D'avance merci

kevin76 · le 8 avril 2006

Bonjour turtle,

Messages : 10

Je te souhaite la bienvenue sur Zeb'Sécurité ! Merci de venir sur notre forum !

Applique la procédure de pré-nettoyage de Megataupe http://forum.zebulon.fr/index.php?showtopic=83986

Prends soin de bien l'appliquer, notament la configuration d'antivir, ceci est une étape trés importante !

Puis poste sur le forum dans le message que tu as déjà ouvert, clique sur "répondre" entre "flash" et "nouveau" le log Hijackthis demandé dans la procédure.

@+

PS: Griller par Regis56, je te laisse continuer alors

Modifié le 8 avril 2006 par kevin76

turtle · le 8 avril 2006

Logfile of HijackThis v1.99.1

Scan saved at 16:32:05, on 08/04/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\Program Files\Norton SystemWorks\Norton Utilities\NPROTECT.EXE

C:\WINDOWS\system32\nvsvc32.exe

C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Logitech\iTouch\iTouch.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Microsoft ActiveSync\wcescomm.exe

C:\PROGRA~1\MICROS~4\rapimgr.exe

C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.free.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe

O4 - HKLM\..\Run: [EPSON Stylus Photo RX500] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0K2.EXE /P24 "EPSON Stylus Photo RX500" /O6 "USB001" /M "Stylus Photo RX500"

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\\PSDrvCheck.exe

O4 - HKLM\..\Run: [.nvsvc] C:\WINDOWS\system\smss.exe /w

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\wcescomm.exe"

O4 - HKCU\..\Run: [spyBrowser] "C:\Program Files\SpyBro\SpyBro.exe" /autostart

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~4\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~4\INetRepl.dll

O9 - Extra 'Tools' menuitem: Créer un favori mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~4\INetRepl.dll

O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll

O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O16 - DPF: {79E0C1C0-316D-11D5-A72A-006097BFA1AC} (EPSON Web Printer-SelfTest Control Class) - http://esupport.epson-europe.com/selftest/...rg/ESTPTest.cab

O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - http://drivers1.free.fr/hardwaredetection.cab

O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: GhostStartService - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~2\GHOSTS~2.EXE

O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton Utilities\NPROTECT.EXE

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe

O23 - Service: Windows Log - Unknown owner - C:\WINDOWS\system32\nvsvcd.exe

kevin76 · le 8 avril 2006

re turtle

J'analyse ton rapport, réponse dans 20~30 min

@+

turtle · le 8 avril 2006

ok merci.

antivir a rien trouvé en mode sans échec et en mode normal non plus.

Et je viens de constater que le fichier se créer des que je me connect a internet.

A+

kevin76 · le 8 avril 2006

re, turtle

Pour commencer, je ne vois aucun Firewall installé. Tu doit absolument en installer un en voici quelques uns : http://telechargement.zebulon.fr/category-24.html

Voici la marche à suivre, tu devras appliquer la procédure dans l'ordre. S'il y a quelque chose que tu ne comprends pas ou si tu bloques quelque part n'hésite pas à m'en faire part.

Lors du redémarrage en mode sans échec tu n'auras pas accès à Internet, donc copie ces instructions dans un fichier texte et enregistre le afin de le retrouver facilement.

#1 Téléchargement des logiciels

*Télécharger CCleaner http://www.ccleaner.com/ccdownload.asp et l'installer (attention à l'installation pense à décocher l'installation de Yahoo toolbar discrètement proposée en plus de CCleaner)

*Télécharger la version d'évaluation d'Ewido:

http://www.ewido.net/fr/

L'installer et le mettre à jour.

Important: Pendant l'installation, sur la page "Additional Options" décocher les deux options "Install background guard" et "Install scan via context menu".

Démarrer Ewido avec l'icône qui se trouve sur ton Bureau. Cliquer sur mise à jour, attendre la fin de cette mise à jour puis, fermer le programme.

#2 Préparation du système

*Redémarrer le PC, impérativement en mode sans échec,

Au redémarrage de l'ordinateur, une fois le chargement du BIOS terminé,
Il y a un écran noir qui apparaît rapidement, appuyer sur la touche [F8] ou [F5] jusqu’à l'affichage du menu des options avancées de Windows. Sélectionner "Mode sans échec"et appuyer sur [Entrée].

(en cas de problème pour sélectionner le mode sans échec, applique la procédure de Symantec "Comment démarrer l'ordinateur en mode sans échec" http://service1.symantec.com/support/inter...020905112131924

*S'assurer d'avoir accès à tous les fichiers.

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Activer le bouton-radio: Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer a tous les dossiers

#3 Arrêt et suppression des services néfastes

Démarrer > Exécuter et tapes Services.msc puis OK

Choisir le mode "Etendu" (onglets inférieurs)

Grâce à la barre de défilement (à droite) rechercher le service suivant:

Windows Log

Quand le service est trouvé, pointer dessus, double-cliquer (bouton gauche).

Dans la fenêtre suivante qui apparaît, sous l'onglet Général cliquer sur le bouton Arrêter,

Puis dérouler le "Type de Démarrage" pour le modifier en Désactivé

Cliquer sur Appliquer puis OK

Lancer Hijackthis, choisir Open the Misc.Tools section

La fenêtre "Configuration" va s'ouvrir

Cliquer sur Delete a NT service...

La fenêtre "Delete a Windows NT service" va s'ouvrir

Entrer dans la zone de dialogue :

Windows Log

Note : assure toi de ne mettre d'espace, ni avant, ni après !

Clique OK

Une autre fenêtre devrait s'ouvrir, donnant des informations sur le service et demandant si tu veux re-démarrer.

Cliquer NO

#4 Suppression des lignes Hijacthis néfastes*

Lancer Hijackthis et cliquer sur Do a system scan only puis cocher les lignes suivantes (beaucoup d'entres elles ne devraient plus être présentes) :

O4 - HKLM\..\Run: [.nvsvc] C:\WINDOWS\system\smss.exe /w
016 - DPF: {79E0C1C0-316D-11D5-A72A-006097BFA1AC} (EPSON Web Printer-SelfTest Control Class) - http://esupport.epson-europe.com/selftest/...rg/ESTPTest.cab
016 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - http://drivers1.free.fr/hardwaredetection.cab
O23 - Service: Windows Log - Unknown owner - C:\WINDOWS\system32\nvsvcd.exe

Puis fermer toutes les fenêtres sauf celle d'Hijackthis et "fix checked"

#5 Renommage les fichiers néfastes

Renomer les fichierssuivants (en gras); il se peut que certains ne soient plus présents ! :

C:\WINDOWS\system\smss.exe renommer en smss.exe.non /!\ Attention a ne pas confondre avec C:\WINDOWS\system32\smss.exe qui est légitime

C:\WINDOWS\system32\nvsvcd.exe renommer en nvsvcd.exe.non

#8 Finition du nettoyage

*Lancer Ewido et cliquer sur scanner puis sur scan complet du système.

Si des fichiers infectés sont trouvés, garder l'option par défaut Supprimer (avec la ligne "Créer des copies de sauvegarde cryptées dans la quarantaine" cochée), et coche "Effectuer cette action avec toutes les infections".

A la fin du scan, sauvegarder le rapport (Fichier/Enregistrer sous...) sur le Bureau.

#9 Vérification du système

Redémarrer en mode "normal"

As-tu toujours des dysfonctionnements ?

A titre de vérification :

Lancer Hijackthis puis Do a system scan and save log

Puis poster sur le forum dans le message que tu as déjà ouvert, cliquer sur "répondre" entre "flash" et "nouveau"

Le log de :

Ewido que tu as enregistré sur le bureau

Hijackthis présent dans le dossier où se trouve Hijackthis

Voila c'est fini pour l'instant, nous verrons pour mettre a jour ton système et le sécuriser dès que ton PC ne montrera plus de signe d'infection.

Bon courage et @+

Modifié le 8 avril 2006 par kevin76

kevin76 · le 8 avril 2006

turtle,

Tu peut suivre les indications de mon post précédent, j'ai eu la confirmation d'un conseillier sécurité.

Bon courage

@+

turtle · le 8 avril 2006

merci de votre aide.

Je vais suivre à la lettre la procedure.

Et je vous tiens au courant demain.

A+

turtle · le 9 avril 2006

Argh !!!

le probleme perciste.

le processus SMSS.exe est toujours la aussi ???

Et je n'ai pas de rapport de Ewido car le soft se ferme tout seul en plein scan (à environ 50%) et j'ai essayé 2 fois c'est pareil.

Logfile of HijackThis v1.99.1

Scan saved at 15:47:13, on 09/04/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\Program Files\Norton SystemWorks\Norton Utilities\NPROTECT.EXE

C:\WINDOWS\system32\nvsvc32.exe

C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Logitech\iTouch\iTouch.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Microsoft ActiveSync\wcescomm.exe

C:\PROGRA~1\MICROS~4\rapimgr.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe