[résolu] zapchast,LE trojan

bruce lee · le 7 mai 2006

re,

Faire une sauvegarde de quoi?
et pusi je vois pas donglet fichier ou de quoi que ca soit

quand tu as executer la commande regedit tout en haut tu cliques sur fichier puis exporter

+Ptite vérification; quand tu dit de supprimer
6FC0D94-A53B-1CB2-9DCA-16DDE7FE1347

je suprime le fichier ou de nom :

{6FC0D94-A53B-1CB2-9DCA-16DDE7FE1347}

?

tu supprimes ca:

{6FC0D94-A53B-1CB2-9DCA-16DDE7FE1347}

Sonata · le 7 mai 2006

ok , c juste que sa sappele pas apreil chez moi ( registre, exporter le registre)

SO je l'ai fait, spybot a dit chamgemetn dasn registre ,g mis allow change

j'ai quiter ma session et je suis revenue , puis je suis rallez voir dans le registre,

le fichier 46FC0D94-A53B-1CB2-9DCA-16DDE7FE1347 est revenue

j'ai relancer un Log Hitjackthis en mode normal et sous Internet

Logfile of HijackThis v1.99.1

Scan saved at 19:41:58, on 07/05/2006

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\spoolsv.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINNT\System32\svchost.exe

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\WINNT\System32\nvsvc32.exe

C:\WINNT\system32\regsvc.exe

C:\WINNT\system32\MSTask.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\WINNT\system32\svchost.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Sygate\SPF\smc.exe

C:\WINNT\Explorer.EXE

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\Creative\MediaSource\Detector\CTDetect.exe

C:\Program Files\E-Color\True Internet Color\TICIcon.exe

C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.fr.msn.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {46FC0D94-A53B-1CB2-9DCA-16DDE7FE1347} - (no file)

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O3 - Toolbar: @msdxmLC.dll,-1@1036,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx

O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe

O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE

O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\Winampa.exe"

O4 - HKLM\..\Run: [smcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKLM\..\Run: [E-Color Registration] C:\Program Files\E-Color\Registration\SonnReg.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [Creative Detector] C:\Program Files\Creative\MediaSource\Detector\CTDetect.exe /R

O4 - HKCU\..\Run: [Registry Cleaner] "C:\Program Files\Registry Cleaner Trial\RegClean.exe"

O4 - HKCU\..\Run: [sOProc_SoRefRegSoAlertWxLiteNnAj] rundll32 shell32.dll,ShellExec_RunDLL C:\PROGRA~1\SOFTWA~1\soproc.exe -pack SoRefRegSoAlertWxLiteNnAj

O4 - HKCU\..\Run: [internat.exe] internat.exe

O4 - HKCU\..\Run: [build Else] C:\DOCUME~1\ADMINI~1\APPLIC~1\WARNSE~1\file the manager.exe

O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe

O4 - Global Startup: True Internet Color Icon.lnk = C:\Program Files\E-Color\True Internet Color\TICIcon.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) -

O16 - DPF: {205FF73B-CA67-11D5-99DD-444553540013} -

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: Creative Service for CDROM Access - Unknown owner - C:\WINNT\system32\CTsvcCDA.EXE (file missing)

O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Unknown owner - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe (file missing)

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\System32\nvsvc32.exe

O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

De mon coté je vois enfin les lignes

HKCU -soproc

et

HKCU -file the manager

( en raccourcie )

voili voilo

Modifié le 7 mai 2006 par Sonata

Sonata · le 7 mai 2006

Bon beh je sors surement ce soir alors,

je serai là demain

par contre je ne sais pas si tu est dispo demain toi ( c ferié )

tu donne dejà beaucoup de temps a des jeunots comme moi , et c tres genereux

Si tu peut poste une procedure pendant la soirée, je fairait sa demain en tout cas

:-P

@+ et merci

bruce lee · le 7 mai 2006

re,

Bon beh je sors surement ce soir alors,

bonne soirée

la voila la procedure:

on va tout reprendre a zero.

1/ demarrer/panneau de configuration/ ajouts/suppressions de programmes et desinstalle soit:

antivir ou avast

2/ lance spybot, tout en haut tu cliques sur mode tu choisis mode avancé tu auras

un avertissement tu cliques sur oui maintenant tu as en bas a gauche de ton ecran trois

nouvelles "barres" tu cliques gauche sur outils puis dans le menu deroulant tu cliques sur

Résident et tu décoches la case devant:

Résident "teaTimer"(protection des réglages systeme fondamentaux)actif.

3/ quitte spybot

4/avec hijackthis tu coches et tu fixes ces trois lignes la:

O2 - BHO: (no name) - {46FC0D94-A53B-1CB2-9DCA-16DDE7FE1347} - (no file)

O4 - HKCU\..\Run: [sOProc_SoRefRegSoAlertWxLiteNnAj] rundll32 shell32.dll,ShellExec_RunDLL C:\PROGRA~1\SOFTWA~1\soproc.exe -pack SoRefRegSoAlertWxLiteNnAj

O4 - HKCU\..\Run: [build Else] C:\DOCUME~1\ADMINI~1\APPLIC~1\WARNSE~1\file the manager.exe

5/ affiche tout les fichiers et tout les dossiers:

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Cocher la case : Afficher les fichiers et dossiers cachés

Décocher la case : Masquer les extensions des fichiers dont le type est connu

Décocher la case : Masquer les fichiers protégés du système d'exploitation

cliquer sur "Appliquer"

cliquer sur le bouton "Appliquer à tous les dossiers" / OK

6/supprime ce qui est en gras (si present):

C:\program files\ softwareOnline<== tout le dossier

C:\Documents and Settings\ADMINI~1\application data\ WARNSE<== tout le dossier qui

commence par WARNSE

7/demarrer/executer/ regedit

8/ rend toi ici:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects

9/ ouvre Browser Helper Objects en faisant un clic gauche et supprime ceci et surtout

rien d'autre!!(si present):

{46FC0D94-A53B-1CB2-9DCA-16DDE7FE1347}

10/ quitte le registre

11/ redemarre le PC

12/ dis moi, si tu as reussi a supprimer la sous clé dans l'etape 9/

13/ repost un nouveau log hijackthis.

du boulot en perspective je te souhaite bon courage

@+

Sonata · le 8 mai 2006

Alors les precisions:

I Avast! est dejà desinstallé ( du moins Windows le croit)

je sais quil reste des processus Avast masi apperremment aucun conflit survient avec antivir

De plus je ne veux pas trop Desinstaller Avast! manuellement au vu de laisser porte ouverte a sa quarantaine

II

C:\program files\ softwareOnline<== tout le dossier

C:\Documents and Settings\ADMINI~1\application data\ WARNSE<== tout le dossier qui

ces deux fichier je les ai dejà supprimer la premiere fois et il ne sont jamais revenues

III

{46FC0D94-A53B-1CB2-9DCA-16DDE7FE1347}

je n'ai pas revue ce fichier

Alors j'ai rebooter comme demander

-Dejà j'ai vu que mon Firewall( sygate ) mais deux plombe a se mettre en route?( de quoi ca vient je sais po)

J'ai relancer le TeaTimer et il me dit qu'il remarque changement sur registre de Soporc et {46FC0D94-A53B-1CB2-9DCA-16DDE7FE1347}

J'ai mis Deny change

BOn apperemment fallai pas car {46FC0D94-A53B-1CB2-9DCA-16DDE7FE1347} est revenue et sur hitjackthis, les deux lignes HKCU-soproc , HKCU - file the manager

Et 04-BHO -{46FC0D94-A53B-1CB2-9DCA-16DDE7FE1347} sont revenues elles aussis

DONC je vasi refaire la procedure entiere et je dirai Allow change

Je posterai le log Hitjackthis apres ca

je re ds 5 minute

bruce lee · le 8 mai 2006

bonjour,

ok bon courage pour tout refaire

Perso je te conseil de la désactiver la tea timer de spybot et de ne pas la remettre...

Modifié le 8 mai 2006 par bruce lee

Sonata · le 8 mai 2006

ARG je vien donc de refaire ca

En reactivant le teatimer aussi

mmm j'ai mis allow change cette fois

BOn en effet c pareil , le fichier est revenue

VOici le Log Hitjackthis et je refait le tout sans remmettre TeaTimer

Aussi ,c pas vraiment mon parefeu qui met toris plombe, c mes windows qui met trois plombe a reconnaitre les connexions

je re dans 5 minute

Oups j'allai oubleir le log moi :

Logfile of HijackThis v1.99.1

Scan saved at 10:39:48, on 08/05/2006