[résolu] zapchast,LE trojan

Sonata · le 7 mai 2006

mmmmmm

Jexecute lopremover en mode sans-echec oki,

mais les chiffres y sont cacher ou?

Ya un ecran noir ( rectangle vide quoi) a la place des chiffre a inscrire :-P

kèke je fais moi?

bruce lee · le 7 mai 2006

re,

quand tu lances lop remover, tu as le rectangle et dedans il y a des chiffres, tu dois recopier c'est chiffre a coté du bouton uninstall.

Sonata · le 7 mai 2006

nan mais nan qd meme

ya pas de chiffre dans ce rectangle,

l'est tout noir le rectangle , a peut pas voir les chiffres

cest peut etre parcque c en 16bit le mode sans echec ou?

parcque en tous cas, peut pas aller dasn l'afficahge a cause dun fichier rundll32 qui manque

=>sais pas quoi faire

En effet ,je vient de le telecahrger avec un autre ordi,

Et le rectanlge avec les ciffhre dedans, est animé!!

Alors c'est peut etre pour ca qu'en mode sans echec,,, bah ya pas d'animation d'où pas de chiffre

Al'aiiiide

Modifié le 7 mai 2006 par Sonata

Sonata · le 7 mai 2006

Bon alros voilà, j'ai rencontrer deux probleme

1 : le lop remover, je l'ai fait en mode normal , car en mode ss echec je ne pouvasi aps voir les chiffres

2 : apres avoir redemarrer mon systeme ( action n°11) le fix marche bien, je suis les invites,

je fait ce ki est demander ( en n°12), c-a-d lancer hitjackthis ,fixer les 3 "017" , je kite hitjacktis

MAIS

je n'ai pas eu de rappel de la procedure de fixwareout

Clique sur Fix Checked. Ferme HijackThis et clique sur OK pour continuer la procédure.

Donc apres ce je sais ^pas..

je post donc les 3Rapport :

I EWIDO :

---------------------------------------------------------

ewido anti-malware - Rapport de scan

---------------------------------------------------------

+ Créé le: 13:58:22, 07/05/2006

+ Somme de contrôle: 31797206

+ Résultats du scan:

:mozilla.11:C:\Documents and Settings\administrateur\Application Data\Mozilla\Firefox\Profiles\63hwz3ib.default\cookies.txt -> TrackingCookie.Adtech : Nettoyer et sauvegarder

:mozilla.12:C:\Documents and Settings\administrateur\Application Data\Mozilla\Firefox\Profiles\63hwz3ib.default\cookies.txt -> TrackingCookie.Adtech : Nettoyer et sauvegarder

::Fin du rapport

II Fixwareout

Fixwareout ver 1.003

Last edited 04/26/2006

Post this report in the forums please

Reg Entries that were deleted

...

PLEASE NOTE, There WILL be LEGIT FILES LISTED. IF YOU ARE UNSURE OF WHAT IT IS LEAVE THEM ALONE.

Example ipsec6.exe is lagitamate

»»»»» Search by size and names...

»»»»» Misc files

»»»»» Checking for older varients covered by the Rem3 tool

»»»»»

Search five digit cs, dm and jb files

This WILL/CAN also list Legit Files, Submit them at Virustotal

III Hitjackthis

Logfile of HijackThis v1.99.1

Scan saved at 14:25:41, on 07/05/2006

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\Program Files\Sygate\SPF\smc.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\spoolsv.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINNT\System32\svchost.exe

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\WINNT\System32\nvsvc32.exe

C:\WINNT\system32\regsvc.exe

C:\WINNT\system32\MSTask.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\Explorer.EXE

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\WINNT\system32\NOTEPAD.EXE

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\Creative\MediaSource\Detector\CTDetect.exe

C:\Program Files\E-Color\True Internet Color\TICIcon.exe

C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {46FC0D94-A53B-1CB2-9DCA-16DDE7FE1347} - (no file)

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O3 - Toolbar: @msdxmLC.dll,-1@1036,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx

O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe

O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE

O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\Winampa.exe"

O4 - HKLM\..\Run: [smcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKLM\..\Run: [E-Color Registration] C:\Program Files\E-Color\Registration\SonnReg.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [Creative Detector] C:\Program Files\Creative\MediaSource\Detector\CTDetect.exe /R

O4 - HKCU\..\Run: [Registry Cleaner] "C:\Program Files\Registry Cleaner Trial\RegClean.exe"

O4 - HKCU\..\Run: [sOProc_SoRefRegSoAlertWxLiteNnAj] rundll32 shell32.dll,ShellExec_RunDLL C:\PROGRA~1\SOFTWA~1\soproc.exe -pack SoRefRegSoAlertWxLiteNnAj

O4 - HKCU\..\Run: [internat.exe] internat.exe

O4 - HKCU\..\Run: [build Else] C:\DOCUME~1\ADMINI~1\APPLIC~1\WARNSE~1\file the manager.exe

O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe

O4 - Global Startup: True Internet Color Icon.lnk = C:\Program Files\E-Color\True Internet Color\TICIcon.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) -

O16 - DPF: {205FF73B-CA67-11D5-99DD-444553540013} -

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: Creative Service for CDROM Access - Unknown owner - C:\WINNT\system32\CTsvcCDA.EXE (file missing)

O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Unknown owner - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe (file missing)

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\System32\nvsvc32.exe

O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

Bien voilà, jespère avoir pas faite de gaffe

bruce lee · le 7 mai 2006

re,

il reste encore pas quelques besitoles a enlever.

pour messenger plus tu le reinstalleras plus tard mais sans les sponsors

1/demarrer/panneau de configuration/ajouts et suppresions de programmes et verifie la presence de:

MessengerPlus! 3

SoftwareOnline

si ces programmes sont presents desinstallent les.

2/lance hijackthis en cliquant sur do a scan system only coche ces lignes:

O2 - BHO: (no name) - {46FC0D94-A53B-1CB2-9DCA-16DDE7FE1347} - (no file)

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"

O4 - HKCU\..\Run: [sOProc_SoRefRegSoAlertWxLiteNnAj] rundll32 shell32.dll,ShellExec_RunDLL C:\PROGRA~1\SOFTWA~1\soproc.exe -pack SoRefRegSoAlertWxLiteNnAj

O4 - HKCU\..\Run: [build Else] C:\DOCUME~1\ADMINI~1\APPLIC~1\WARNSE~1\file the manager.exe

O16 - DPF: {205FF73B-CA67-11D5-99DD-444553540013} -

Ferme toutes les fenêtres ouvertes sauf Hijackthis et clique sur fix checked

3/pour supprimer les fichiers nefastes on va tous les afficher en faisant comme ceci:

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Cocher la case : Afficher les fichiers et dossiers cachés

Décocher la case : Masquer les extensions des fichiers dont le type est connu

Décocher la case : Masquer les fichiers protégés du système d'exploitation

cliquer sur "Appliquer"

cliquer sur le bouton "Appliquer à tous les dossiers" / OK

4/supprime ce qui est en gras:

C:\Program Files\ MessengerPlus! 3

C:\Program Files\ SOFTWA~1<== tout le dossier qui commence par SOFTWA

C:\Documents and Settings\ADMINI~1\application data\ WARNSE<== tout le dossier qui

commence par WARNSE

5/poste un nouveau log hijackthis.

bon courage, et si tu as la moindre question n'hesite surtout pas

@+

Sonata · le 7 mai 2006

bon, bah jai beau regarder dans les progs... je ne vois pas de msn3 ni de software

Alros que je retrouve le fichier Messenger

Aussi

plz lis donc:

Quand je retroune en mode normal , spybot me signale des changement de valeur sur des registre MSN et IE et MICROSOFT

Cette fois j'ai mis "Deny change"

on vera bien

AUssi

je ne vois toujours pas ces lignes là :

O4 - HKCU\..\Run: [sOProc_SoRefRegSoAlertWxLiteNnAj] rundll32 shell32.dll,ShellExec_RunDLL C:\PROGRA~1\SOFTWA~1\soproc.exe -pack SoRefRegSoAlertWxLiteNnAj

O4 - HKCU\..\Run: [build Else] C:\DOCUME~1\ADMINI~1\APPLIC~1\WARNSE~1\file the manager.exe

Voici le rapport tout jolie :

Logfile of HijackThis v1.99.1

Scan saved at 18:12:09, on 07/05/2006