Libellules.ch - forum d'informatique • Cheval de Troje(résolu) : Désinfections et demandes d'analyse

par **kyralin** » 15 Juil 2007 18:48

Bonsoir à tous,

J'ai un problème avec un cheval de troje, il s'agit de : Win32:Winfixer-F(trj).

J'ai avast comme AV et WindowsXPhomeSP2, voilà 3 jours que cette j'ai une alerte d'avast, je le mets en quarantaine et il réapparaît à nouveau.
J'avais lu un message de Falkra ce conçernant, mais je ne le retrouve plus.
Quelqu'un peut-t'il m'expliquer en mots simples comment faire pour le supprimer? Dois-je faire une restauration du systéme?
J'ai lu que Antivir est plus efficace qu'Avast, mais impossible de me connecter, même en essayant plusieurs fois.
Merci d'avance!!!

par **Patosh** » 15 Juil 2007 18:59

bonsoir Kyralin,

un début de piste :

http://www.libellules.ch/dotclear/index ... r-errosafe

http://www.libellules.ch/phpBB2/enlever ... 14921.html

par **Falkra** » 15 Juil 2007 19:06

Bonsoir, voici une procédure pour Vundofix :

Télécharge VundoFix.exe (par Atribune) sur ton Bureau.

Double-clique VundoFix.exe afin de le lancer
Clique sur le bouton Scan for Vundo
Lorsque le scan est complété, clique sur le bouton Remove Vundo
Une invite te demandera si tu veux supprimer les fichiers, clique YES
Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers
Tu verras une invite qui t'annonce que ton PC va redémarrer; clique OK
Copie/colle le contenu du rapport situé dans C:\vundofix.txt ainsi qu'un rapport HijackThis! dans ta prochaine réponse

Note: Il est possible que VundoFix soit confronté à un fichier qu'il ne peut supprimer. Si tel est le cas, l'outil se lancera au prochain redémarrage; il faut simplement suivre les instructions ci-haut, à partir de "clique sur le bouton Scan for Vundo".

par **kyralin** » 15 Juil 2007 22:59

Rebonsoir,
Merci patoche et Falkra, j'ai suivi tes instructions pour Vundo et il n'a rien détecté... comment est-ce possible?? J'a fait la procédure deux fois, c'est à ne rien y comprendre.
Auu cas où le cheval reapparaitrait, je me manifeste.
Comment faire pour hijacks?
M;erci

par **Falkra** » 15 Juil 2007 23:01

La restauration système ne sera pas utile.

Tu as peut-être une variante non détectée ou autre chose, le log permettra d'y voir plus clair pour décider de ce qui suivra, et ne pouvant pas voir le log de VundoFix, je ne peux rien te dire d'autre pour le moment.

Donc poste nous un log HJT, voilà comment procéder :
http://www.libellules.ch/phpBB2/guide-anti-spywares-v2-0-rootkits-inside-t15626.html#120508

par **kyralin** » 15 Juil 2007 23:16

Logfile of HijackThis v1.99.1
Scan saved at 00:12:50, on 16.07.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16473)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\HPZipm12.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\Program Files\Fichiers communs\DriveCleaner Free\udcsdr.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\Program Files\HP\Digital Imaging\bin\hpqimzone.exe
C:\Program Files\MSN Messenger\usnsvc.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\IncrediMail\bin\IncMail.exe
C:\DOCUME~1\linne\LOCALS~1\Temp\Répertoire temporaire 1 pour hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.ch/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [REGSHAVE] C:\Program Files\REGSHAVE\REGSHAVE.EXE /AUTORUN
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SDR6V_Check] "C:\Program Files\Fichiers communs\DriveCleaner Free\udcsdr.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [IncrediMail] C:\Program Files\IncrediMail\bin\IncMail.exe /c
O4 - Global Startup: Démarrage rapide de HP Photosmart Premier.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda ... 7980489459
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://eu.download.games.yahoo.com/zylo ... loader.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

Falkra,
voilà le rapport hijacks, j'espère que je n'ai pas fait de bêtises.

par **Falkra** » 15 Juil 2007 23:23

Ok, tu as une infection avec driveCleaner (un rogue : logiciel faux et nuisible qui se fait passer pour un vrai et utile).

Ce processus est en cause :
C:\Program Files\Fichiers communs\DriveCleaner Free\udcsdr.exe

Et il démarre avec le système :

O4 - HKLM\..\Run: [SDR6V_Check] "C:\Program Files\Fichiers communs\DriveCleaner Free\udcsdr.exe"

PS : incredimail, entre nous... heu vraiment c'est un nid à saletés. A éviter, on pourra te le confirmer.

On ne vas pas s'occuper tout de suite de fixer des lignes dans HJT.

Télécharge fixnavilog de IL-MAFIOSO sol.gif
http://perso.orange.fr/il.mafioso/Navifix/Navilog1.exe

Installe le programme et lance le !
A l'invite de commande choisit l'option 1
Poste le rapport dans ton prochain post.

par **kyralin** » 15 Juil 2007 23:51

re-falkra,

voici le rapport, je te remercie de ta patience.

Search Navipromo version 2.0.5 commencé le 16.07.2007 à 0:34:39.53

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Poster ce rapport sur le forum pour le faire analyser !!!
!!! Ne pas lancer la partie désinfection sans l'avis d'un spécialiste !!!

Fix lancé depuis C:\Program Files\navilog1
Mise a jour le 01.07.2007 a 12h00 by IL-MAFIOSO

Executé en mode normal

*** Recherche Programmes installes ***

*** Recherche dossiers dans C:\WINDOWS ***

*** Recherche dossiers dans C:\Program Files ***

*** Recherche dossiers dans C:\Documents and Settings\All Users\Application Data ***

*** Recherche dossiers dans C:\Documents and Settings\linne\Application Data ***

*** Recherche avec BlackLight Engine/F-secure ***
BlackLight Engine est un produit de F-secure, pour + d'infos :
http://www.f-secure.com/blacklight/blacklight_help.html

F-SECURE BLACKLIGHT ROOTKIT ELIMINATOR
======================================

Copyright 2005-2006 F-Secure Corporation. All rights reserved.
This is a beta version. It will expire on 1st of October, 2007.
Version information: 2.2.1064.

[+] Started on 07/16/07 at 00:34:41.
[+] Initializing ...
[+] Starting scan, press Ctrl-C to abort.
[+] Scanning for hidden items ......................................................................................................
[+] Scan complete.
[+] Summary: 0 hidden item(s) found, 0 scheduled for renaming.
[+] Exited on 07/16/07 at 00:45:58 (return code = 0).

*** Recherche fichiers ***

*** Recherche cles registre ***

Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs]

Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage]

Recherche Clé Magic Control

*** Module de Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche fichiers connus:

2)Recherche Heuristique :
*
**
***
****
*****
******
*******
********

3)Recherche Certificats :

*** Analyse Terminé le 16.07.2007 à 0:46:14.56 ***

par **kyralin** » 15 Juil 2007 23:56

Je dois avoir fait une erreur, je recommence...désolée.

par **kyralin** » 16 Juil 2007 00:22

Fakra,
Vu ce que donnait l'option 1, j'ai tenté l'option 2 et voilà le résultat.
Merci de taClean Navipromo version 2.0.5 commencé le 16.07.2007 à 1:02:43.28

Fix lancé depuis C:\Program Files\navilog1
Mise a jour le 01.07.2007 a 12h00 by IL-MAFIOSO

Mode suppression automatique avec prise en charge résultats Blacklight

*** fsbl1.txt non trouvé ***
(Assurez-vous que Blacklight n'avait rien trouvé lors de la recherche)

*** Suppression dossiers dans C:\WINDOWS ***

*** Suppression dossiers dans C:\Program Files ***

*** Suppression dossiers dans C:\Documents and Settings\All Users\Application Data ***

*** Suppression dossiers dans C:\Documents and Settings\linne\Application Data ***

*** Suppression fichiers ***

*** Suppression fichiers temporaires ***

Nettoyage contenu C:\WINDOWS\Temp effectué !
Nettoyage contenu C:\Documents and Settings\linne\Local Settings\Temp effectué !

*** Sauvegarde du registre vers dossier Backupnavi***

sauvegarde du registre réalise avec succes !

*** Nettoyage registre ***

Nettoyage registre Ok

*** Traitement Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche fichiers connus:

2)Recherche et Suppression Heuristique :

*
**
***
****
*****
******
*******
********

3)Contrôle présence clés Rootkit dans le registre :

Aucune autre clés présente dans le registre !

4)Certificats :

*** Nettoyage termine le 16.07.2007 à 1:17:33.20 ***

patience. A+

par **Falkra** » 16 Juil 2007 08:36

Il ne le détecte pas, mais devrait pourtant.

Suite.

# Télécharge SmitFraudFix et dézipe-le sur le bureau.
http://siri.urz.free.fr/Fix/SmitfraudFix.zip

# Télécharge et installe http://downloads.grisoft.cz/softw/70/filedir/inst/avgas-setup-7.5.1.43.exe

*. Lance AVG Anti-Spyware et clique sur le bouton Mise à jour (barre d'outils - au haut). Sous Mise à jour manuelle clique Commencer la mise à jour.
*. Tu verras ceci juste au bas, lorsque la mise à jour sera complétée : "Mise à jour réussie"
*. Ferme AVG Anti-Spyware. Ne pas le lancer tout de suite pour scanner.

# Démarre Windows en mode sans échec.

# Execute SmitFraudFix : lance le fichier SmitfraudFix.cmd
# Choisis l'option 2 et appuie sur Entrée
# Réponde o (Oui) aux questions pour nettoyer si elles apparaissent ou appuie sur une touche quand propose pour nettoyer.

1. Toujours depuis le mode Sans Échec, lance AVG Anti-Spyware,
2. Choisis l'onglet Analyse puis sur Paramètre, clique sur Actions recommandées : La, choisis Quarantaine.
3. Clique sur le bouton Analyse (de la barre d'outils) et ensuite clique sur Analyse complète du sytème. Le scan prendra un certain temps, donc sois patient.
4. AVG Anti-Spyware affichera une liste des fichiers détectés, sur la gauche. En fin de scan, l'outil appliquera les "Actions" à appliquer automatiquement". Clique sur le bouton Appliquer toutes les actions. AVG Anti-Spyware affichera "Toutes les actions ont été effectuées" du côté droit.
5. Clique sur "Enregistrer le rapport", puis "Enregistrer sous". Ceci génère un rapport en fichier texte. Assure-toi de le sauvegarder dans un endroit sûr (sur ton Bureau, par exemple).

Redémarre l'ordinateur en mode normal et poste le rapport Smitfraudfix et AVG.

par **kyralin** » 16 Juil 2007 13:03

Falkra,

J'ai fait l'analyse avec AVG, enregistré le rapport sur le bureau et ne le retrouve plus!
J'ai fait simplement enregistrer sous bureau???
Help, je suis vraiment une pive!!
Merci
Line

par **Falkra** » 16 Juil 2007 13:05

Erf, tu as celui de smitfraudfix ?

par **kyralin** » 16 Juil 2007 13:39

Je n'ai pas réussi à le faire

par **kyralin** » 16 Juil 2007 13:45

J'ai essayé de recupérer le rapport d'AVG, mais il dit que tout est normal.
A mon avis j'ai dûn faire une énorme bêtise.
Line

par **Falkra** » 16 Juil 2007 13:51

Voici un tuto pour smitfraudfix :
http://www.zebulon.fr/dossiers/66-smitfraudfix.html

N'hésite pas ne cas de questions ou de doutes, en précisant où ça coince si tu as du mal, on te guidera. :-D

par **kyralin** » 16 Juil 2007 14:24

Falkra,
voici le rapport smitfraudfix, merci de ta patience
Line

SmitFraudFix v2.204

Rapport fait à 15:11:40.29, 16.07.2007
Executé à partir de C:\Documents and Settings\linne\Mes documents\SmitfraudFix\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus

»»»»»»»»»»»»»»»»»»»»»»»» hosts

127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CCS\Services\Tcpip\..\{08A657C8-E9A9-4099-9C5E-600D5980EF00}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{08A657C8-E9A9-4099-9C5E-600D5980EF00}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS3\Services\Tcpip\..\{08A657C8-E9A9-4099-9C5E-600D5980EF00}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""

»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

Nettoyage terminé.

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

par **Falkra** » 16 Juil 2007 14:28

Ok, ça c'est propre, mais il n'a rien trouvé.
Le dernier raport AVg est dispo dans l'onglet rapports, on doit pouvoir l'y récupérer.

par **kyralin** » 16 Juil 2007 14:33

J'ai essayé de le récupérer, mais il me dit qu'il n'y a pas de rapport disponible. Quand je demarre l'ordi, il y une fenêtre d'AVG qui me dit que tout est ok??
Il faut dire qu'une des nombreuses fois que j'ai redémarré, il m'a signalé une infection et j'ai clické sur nettoyer, est-ce que cela peut avoir résolu ce blème?

par **Falkra** » 16 Juil 2007 14:47

Le message qui dit que ça va est basé sur la date des définitions de malwares et le fait qu'un scan a été réalisé. Donc il ne relfète pas grand chose.

Il faudrait savoir quelle infection il t'a signalé (note si besoin).

Pour savoir si cela a fait ud bien, poste un log hjt.

Cheval de Troje(résolu)

Cheval de Troje(résolu)

Cheval de Troje

Cheval de troje

Cheval de Troje

Cheval de troje

Qui est en ligne