Posez votre question Signaler

Cheval de troie Tr/Dropper.Gen [Résolu]

Jey-Jin - Dernière réponse le 12 juil. 2009 à 14:23
Bonjour,
Voila je vais vous expliquer mon probléme.
J'ai comme Antivirus Avira Antivir Prenium. Je me suis acheter un nouveau ordinateur et j'ai mis cette antivirus qui ma l'air pas mal.
Le probléme c'est que depuis ce matin Antivir detecte un cheval de troie dans le dossier Temp c'est le virus Tr/Dropper.gen et a chaque fois que je le supprime ou le met en quarantaine, il revient toujours, je ne sais plus comment faire. je vous mets une image de l'alerte de Antivir qui c'est passé au moment ou j'ecrivais ce sujet ^^.
http://img14.imageshack.us/i/sanstitrelhf.jpg/
J'ai deja vu plein de dossier qui parle de ce virus mais a chaque fois c'est confus pour moi ^^. Je ne sais pas quoi faire.
http://img43.imageshack.us/i/27075302.jpg/
Voici encore une alerte de Antivir et vous remarquez que le fichier n'as jamais le meme nom mais le virus qui l'infecte est toujours le meme aidez moi svp.
Lire la suite 
Réponse
+0
moins plus
Coucou.

Peux-tu faire ceci stp ?
> Télécharge random's system information tool (RSIT) : http://images.malwareremoval.com/random/RSIT.exe
- Enregistre le programme sur ton bureau.
- Double clique sur RSIT.exe
- A l'écran "Disclaimer" choisis "1 months" dans le menu déroulant puis clique sur <continue>.
- Si HiJackThis n'est pas détecté sur ton PC, RSIT le téléchargera ; accepte alors la licence.
- Une fois le scanne terminé tu obtiendras un rapport log.txt. Poste le sur le forum.
NB : Il se peut que tu obtiennes un second rapport nommé info.txt. Dans ce cas poste le aussi mais dans un second message.


A+
Ajouter un commentaire
Annonces
 
moins plus
Réponse
+0
moins plus
Voila le rapport

Logfile of random's system information tool 1.06 (written by random/random)
Run by Camille at 2009-07-10 17:21:13
Microsoft® Windows Vista™ Édition Familiale Basique Service Pack 1
System drive C: has 197 GB (84%) free of 233 GB
Total RAM: 2813 MB (41% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:21:15, on 10/07/2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BkupTray.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\SUPERAntiSpyware\SUPERANTISPYWARE.EXE
C:\Program Files\Synaptics\SynTP\SynTPHelper.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Users\Camille\Desktop\RSIT.exe
C:\Program Files\trend micro\Camille.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://homepage.emachines.com/rdr.aspx?b=ACEW&l=040c&s=2&o=vb32&d=0309&m=emg620
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://homepage.emachines.com/rdr.aspx?b=ACEW&l=040c&s=2&o=vb32&d=0309&m=emg620
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://homepage.emachines.com/rdr.aspx?b=ACEW&l=040c&s=2&o=vb32&d=0309&m=emg620
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WarReg_PopUp] C:\Program Files\eMachines\WR_PopUp\WarReg_PopUp.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKCU\..\Run: [Camille] C:\Users\Camille\Camille.exe /i
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O13 - Gopher Prefix:
O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Avira AntiVir MailGuard (AntiVirMailService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avmailc.exe
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Avira AntiVir WebGuard (AntiVirWebService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\AVWEBGRD.EXE
O23 - Service: NTI Backup Now 5 Agent Service (BUNAgentSvc) - NewTech Infosystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe
O23 - Service: Empowering Technology Service (ETService) - Unknown owner - C:\Program Files\EMACHINES\eMachines Recovery Management\Service\ETService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: NTI Backup Now 5 Backup Service (NTIBackupSvc) - NewTech InfoSystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe
O23 - Service: NTI Backup Now 5 Scheduler Service (NTISchedulerSvc) - Unknown owner - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
Ajouter un commentaire
Annonces
 
moins plus
Réponse
+0
moins plus
Humm.

Fais ceci stp :
> Rends toi sur le site Virus Total : http://www.virustotal.com/fr/ et fais analyser le fichier suivant : (Clique sur <parcourir> puis copie/colle la ligne dans le cadre "Nom du Fichier", ensuite valide par <Ouvrir>. Clique alors sur <Envoyer un fichier>)
C:\Users\Camille\Camille.exe
et poste le résultat par copier/coller (ou le lien http, c'est plus rapide et préférable).
- Si Virus total te dit que le fichier a déjà été analysé alors demande une nouvelle analyse.
Ajouter un commentaire
Réponse
+0
moins plus
Re-Bonjours je viens de recevoir une mise a jour de Antivir et maintenant tous se passe bien je ne recois plus l'alerte, c'est bizarre ^^. Merci en tous cas pour votre aide.
Ajouter un commentaire
Réponse
+0
moins plus
Heu...

Je veux bien mais Camille.exe c'est quoi ? http://www.google.fr/search?hl=fr&q=Camille.exe&btnG=Rechercher&meta=
Surement une crasse.
Merci de quand même faire le Virus Total ; c'est plus prudent.
Ajouter un commentaire
Réponse
+1
moins plus
CAMILLE.exe c'est moi c'est mon nom que j'ai mis sur l'ordi ca doit etre pour ca jpense pas que ca soit grave (enfin j'espere lol)
Ajouter un commentaire
Réponse
+1
moins plus
Ok, mais pourquoi un .exe ?
PS : Le virus total prend 2 min. à être fait. :-)
Ajouter un commentaire
Réponse
+0
moins plus
je sais pas je vais regarder avec ton truc alors
Ajouter un commentaire
Réponse
+0
moins plus
vla ce qui est marquer sur Virus Total




Antivirus Version Dernière mise à jour Résultat



a-squared 4.5.0.18 2009.07.10 Trojan-Dropper.Kobcka!IK
AhnLab-V3 5.0.0.2 2009.07.10 Win-Trojan/Xema.variant
AntiVir 7.9.0.204 2009.07.10 -
Antiy-AVL 2.0.3.1 2009.07.10 -
Authentium 5.1.2.4 2009.07.09 W32/Kobcka.B.gen!Eldorado
Avast 4.8.1335.0 2009.07.09 Win32:Cutwail-V
AVG 8.5.0.387 2009.07.10 Win32/Agent.AW
BitDefender 7.2 2009.07.10 -
CAT-QuickHeal 10.00 2009.07.10 -
ClamAV 0.94.1 2009.07.10 -
Comodo 1606 2009.07.10 UnclassifiedMalware
DrWeb 5.0.0.12182 2009.07.10 Trojan.DownLoad.40159
eSafe 7.0.17.0 2009.07.09 Win32.Cutwail.B
eTrust-Vet 31.6.6607 2009.07.10 -
F-Prot 4.4.4.56 2009.07.09 W32/Kobcka.B.gen!Eldorado
F-Secure 8.0.14470.0 2009.07.10 Trojan-Downloader:W32/Cutwail.gen!A
Fortinet 3.117.0.0 2009.07.03 -
GData 19 2009.07.10 Win32:Cutwail-V
Ikarus T3.1.1.64.0 2009.07.10 Trojan-Dropper.Kobcka
Jiangmin 11.0.706 2009.07.09 -
K7AntiVirus 7.10.789 2009.07.10 -
Kaspersky 7.0.0.125 2009.07.10 -
McAfee 5671 2009.07.09 Cutwail.gen.b
McAfee+Artemis 5671 2009.07.09 Cutwail.gen.b
McAfee-GW-Edition 6.8.5 2009.07.10 Heuristic.LooksLike.Win32.Cutwail.A
Microsoft 1.4803 2009.07.10 TrojanDownloader:Win32/Cutwail.AP
NOD32 4232 2009.07.10 a variant of Win32/Wigon.KT
Norman 6.01.09 2009.07.09 -
nProtect 2009.1.8.0 2009.07.10 -
Panda 10.0.0.14 2009.07.09 Trj/CI.A
PCTools 4.4.2.0 2009.07.10 -
Prevx 3.0 2009.07.10 High Risk Cloaked Malware
Rising 21.37.44.00 2009.07.10 -
Sophos 4.43.0 2009.07.10 Mal/Pushdo-F
Sunbelt 3.2.1858.2 2009.07.10 -
Symantec 1.4.4.12 2009.07.10 -
TheHacker 6.3.4.3.363 2009.07.08 -
TrendMicro 8.950.0.1094 2009.07.10 -
VBA32 3.12.10.8 2009.07.10 -
ViRobot 2009.7.10.1829 2009.07.10 -
VirusBuster 4.6.5.0 2009.07.09 -




File size: 22121 bytes
MD5...: 7398d5bd7ff31c3f33878c44b7a2d4df
SHA1..: 2c2811d3a6943228334df47afd1ee968f83f4c4a
SHA256: c52ab7edf6ca3dbfa22642dcdda21606764cec50341e1f9e5642e6dbf6b20f63
ssdeep: 384:Z+wy6o+MKqdmqnyMGgW16aBbDcgW8po2Jhi97bkEoRKk74N72gmuwklXmRYc
um:Z+wmRNd9yMTC5/HW88QEo5EZ2VuO6Hm
PEiD..: -
TrID..: File type identification
Win32 Executable Generic (38.3%)
Win32 Dynamic Link Library (generic) (34.1%)
Win16/32 Executable Delphi generic (9.3%)
Generic Win/DOS Executable (9.0%)
DOS Executable Generic (9.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x10d8
timedatestamp.....: 0x4a4c9828 (Thu Jul 02 11:21:12 2009)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x902 0x906 6.42 8d8661db149233d713d85a82ca77d116
.rdata 0x2000 0x362 0x364 4.88 01ba01f2a0b9619a8df22cfa8c6217e7
.data 0x3000 0xd4 0x94 3.61 3d4a4d869ce04751f4e9179ef127a5e6
.rsrc 0x4000 0x4268 0x4269 7.98 84386f09a6527c7d4b3736d696772753

( 2 imports )
> KERNEL32.dll: GetModuleHandleA, GetSystemInfo, GetVersionExA, LocalAlloc, Sleep, ExitProcess
> USER32.dll: BeginPaint, BlockInput, CharLowerA, CharUpperA, CreateDialogParamA, CreateWindowExA, CreateWindowStationA, DefWindowProcA, DispatchMessageA, EndDialog, EndPaint, FindWindowA, FlashWindow, GetAsyncKeyState, GetClassInfoExA, GetTopWindow, GetUserObjectInformationA, MessageBoxA, RegisterWindowMessageA, SetDlgItemInt, SetFocus, SetWindowTextA, ShowWindow, TranslateMessage, UpdateWindow

( 0 exports )
PDFiD.: -
RDS...: NSRL Reference Data Set
-
Prevx info: <a href='http://info.prevx.com/aboutprogramtext.asp?PX5=9C91EA96697C043B56C2006C4F60760022EA8E2E' target='_blank'>http://info.prevx.com/...
Ajouter un commentaire
Réponse
+0
moins plus
Bon bah tu vois : c'est un gros dropper de cheval de Troie.
Bon, avant de le supprimer fais ceci stp (comme ça on fera d'une pierre deux coups ;-) ) :

> Fais un scan en ligne avec Kaspersky : http://webscanner.kaspersky.fr/
N.B. : Le scan ne marche que sous Internet Explorer.
Sous Vista : Execute Internet Explorer en tant qu'administrateur, pour cela fais un clic droit sur le raccourci d'Internet Explorer et choisis "Exécuter en tant qu'administrateur".
- Commence par connecter tout ton matériel de stockage à ton PC (clés USB, DD amovible...). Allume les si nécessaire.
- Sous Démonstration en ligne, on t'explique la marche à suivre, et pour lancer le scan il faut sélectionner < Exécuter l'analyse en ligne >.
- On va te demander de télécharger un contrôle active x, accepte .
- Dans le menu < Choisissez la cible de l'analyse >, sélectionne < Poste de travail >. Le scan va commencer.
- Poste le rapport qui sera généré (voir cette image) (clique sur <enregistrer le rapport> puis sauvegarde-le sur ton bureau en choisissant "fichier texte (*.txt)" pour l'extension).
S'il y a un problème, assure toi que les contrôles active x sont bien configurés dans les options internet comme décrit sur ce lien : http://www.inoculer.com/activex.php3
Rappel : le scan est à faire sous Internet Explorer
Tuto ici si problème : http://www.vista-xp.fr/forum/topic109.html
NOTE : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée", va dans Ajout/Suppression de programmes puis désinstalle Kaspersky On-Line Scanner, reconnecte toi sur le site de Kaspersky pour retenter le scan en ligne.
Pour le rapport Kaspersky il faut que tu choisisses "Afficher le rapport" puis que tu l'enregistres sur ton bureau sous forme de fichier texte (type de fichier "tous les fichiers").


A+
Ajouter un commentaire
Réponse
+0
moins plus
Bonjour,

Ton ordinateur envoie des spams à toutes tes contacts...
Utilisateur anonyme - 10 juil. 2009 à 22:19
Ha oui ?
Tien donc ! Et comment tu sais ça toi ? Tu es dans ses contacts ? Tu as peut-être une boule de cristal ?

Bon,
Jey-Jin,
où en es-tu que nous puissions passer à la phase de nettoyage ?
Répondre
Ajouter un commentaire
Réponse
+0
moins plus
Bé c'est bon j'ai plus de probléme la ^^
Utilisateur anonyme - 10 juil. 2009 à 23:01
Heu ?
Que veux-tu dire ?
Que tu n'as plus d'alerte ?

Bon, écoute.
Le but d'un bon piratage est de prendre possession d'une bécane sans qu'elle devienne instable. Donc avoir une machine qui tourne bien et aucune alerte. Ce qui n'est vraiment pas signe de ne pas être infecté.
Les machines installes sont celles qui s'en sont pris plein la tronche le plus souvent.

Tes rapport montrent des infections. Alors fais moi confiance pour que nous assurions le coup.

Tu sais que certaines personnes viennent pleurnicher sur CCM parce que leurs mots de passe ont été volé ? Parce que leur compte bancaire a été vidé, parce qu'ils n'ont plus accès à leur boite mail ? Etc... ?

Poste un nouveau RSIT pour voir si vraiment tu n'es plus infecté.

Merci.
Répondre
Ajouter un commentaire
Réponse
+0
moins plus
Bonjour,

Pour cutwail, voir : http://www.malekal.com/Cutwail_Srizbi.php
Ajouter un commentaire
Réponse
+0
moins plus
Désolé DllD, juste pour une dernière chose
Est-ce que Jey-Jin, tu pourrais uploader le fichier là : C:\Users\Camille\Camille.exe
ici stp? merci
Utilisateur anonyme - 11 juil. 2009 à 13:44
Salut nihat42,

Il n'y pas pas de souci pour ma part. Le seul problème c'est que Jey-Jin croit qu'il n'est plus infecté parce qu'il n'a plus d'alerte. J'ai peur qu'il ne revienne pas tout de suite. Il reviendra quand son PC buggera ou qu'il se sera fait voler des infos perso. Ce qui va surement se produire car un trojan permet d'en introduire d'autres dans une machine.

En fait le fichier C:\Users\Camille\Camille.exe n'est pas le trojan Win32.Cutwail.B mais un dropper qui abouti à son installation. http://assiste.com.free.fr/p/abc/a/dropper.html
Quand ce dropper s'exécutera de nouveau il aura de nouveau une alerte d'Antivir (Antivir ne reconnait pas le dropper d'après le rapport virus total plus haut).

PS : autant pour moi pour le #12 je n'avais pas vérifier les fonctions de ce trojan. Oui des mails en spam.

Bye.
Répondre
Ajouter un commentaire
Réponse
+0
moins plus
Logfile of random's system information tool 1.06 (written by random/random)
Run by Camille at 2009-07-11 14:41:07
Microsoft® Windows Vista™ Édition Familiale Basique Service Pack 1
System drive C: has 192 GB (82%) free of 233 GB
Total RAM: 2813 MB (66% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:41:25, on 11/07/2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Windows\RtHDVCpl.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\SUPERAntiSpyware\SUPERANTISPYWARE.EXE
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Synaptics\SynTP\SynTPHelper.exe
C:\Users\Camille\Desktop\Rappelz_FR_NavisLamia.exe
C:\Users\Camille\AppData\Local\Temp\is-TVVSN.tmp\Rappelz_FR_NavisLamia.tmp
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Users\Camille\Desktop\Rappelz_FR_NavisLamia.exe
C:\Users\Camille\AppData\Local\Temp\is-RGBF3.tmp\Rappelz_FR_NavisLamia.tmp
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Users\Camille\Desktop\RSIT.exe
C:\Program Files\trend micro\Camille.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://homepage.emachines.com/rdr.aspx?b=ACEW&l=040c&s=2&o=vb32&d=0309&m=emg620
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://homepage.emachines.com/rdr.aspx?b=ACEW&l=040c&s=2&o=vb32&d=0309&m=emg620
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://homepage.emachines.com/rdr.aspx?b=ACEW&l=040c&s=2&o=vb32&d=0309&m=emg620
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WarReg_PopUp] C:\Program Files\eMachines\WR_PopUp\WarReg_PopUp.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKCU\..\Run: [Camille] C:\Users\Camille\Camille.exe /i
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O13 - Gopher Prefix:
O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Avira AntiVir MailGuard (AntiVirMailService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avmailc.exe
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Avira AntiVir WebGuard (AntiVirWebService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\AVWEBGRD.EXE
O23 - Service: NTI Backup Now 5 Agent Service (BUNAgentSvc) - NewTech Infosystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe
O23 - Service: Empowering Technology Service (ETService) - Unknown owner - C:\Program Files\EMACHINES\eMachines Recovery Management\Service\ETService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\Windows\system32\GameMon.des.exe (file missing)
O23 - Service: NTI Backup Now 5 Backup Service (NTIBackupSvc) - NewTech InfoSystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe
O23 - Service: NTI Backup Now 5 Scheduler Service (NTISchedulerSvc) - Unknown owner - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
Ajouter un commentaire
Réponse
+0
moins plus
je viens de faire l'analyse Kaspersky online est il a analysez l'ordinateur et il n'y a aucun probleme aucun virus, rien du tous, je ne vous est donc pas fait parvenir l'image car il n'y a rien dessus :/
Ajouter un commentaire
Réponse
+1
moins plus
Hello Jey-Jin,
c'est bien d'être revenu :-)
Bon Kasper ne trouve rien d'autre. Normal qu'il ne voit pas le dropper d'après le rapport Virus Total :
Kaspersky 7.0.0.125 2009.07.10 -



Bon,
peux-tu faire ceci ?
http://www.commentcamarche.net/forum/affich 13297316 cheval de troie tr dropper gen?#16 (Ca prend 30 sec max. ;-) )



Puis,
après,
on passe au nettoyage :
> Lance Hijackthis : (lien de téléchargement si besoin est).
- Puis sélectionne <Do a system scan only>
- Coche les cases des lignes suivantes :
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://homepage.emachines.com/rdr.aspx?b=ACEW&l=040c&s=2&o=vb32&d=0309&m=emg620     
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://homepage.emachines.com/rdr.aspx?b=ACEW&l=040c&s=2&o=vb32&d=0309&m=emg620     
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://homepage.emachines.com/rdr.aspx?b=ACEW&l=040c&s=2&o=vb32&d=0309&m=emg620     

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file) 

O4 - HKCU\..\Run: [Camille] C:\Users\Camille\Camille.exe /i     

O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\Windows\system32\GameMon.des.exe (file missing)     
Ensuite,
- Ferme toutes les autres fenêtres et applications (même internet).
- Clic sur <Fixe checked>



Ensuite,
> Télécharge OTMoveIT_3 (de Old_Timer) : http://oldtimer.geekstogo.com/OTM.exe sur ton bureau...
- Double-clique sur OTMoveIt3.exe pour le lancer.
- Copie le texte qui se trouve ci-dessous et colle-le dans le cadre de gauche de OTMoveIt nommé < Paste Instructions for items to be moved > ( Image ).
:processes
explorer.exe
:files
C:\Users\Camille\Camille.exe
C:\Windows\system32\drivers\netsik.sys 
C:\Windows\system32\GameMon.des
:Services
netsik
npggsvc
:commands
[purity]
[emptytemp]
[start explorer]
[reboot]
- Clique sur < MoveIt! > pour lancer la suppression.
N.B :Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer. Accepte en cliquant sur YES.
Un rapport est créé dans %SYSTEMDRIVE%\_OTMoveIt\MovedFiles\date du jour (souvent C:\_OTMoveIt\MovedFiles\), copie-colle-le dans ta réponse suivante.




Pour finir,
> Télécharge Zeb-Restore : http://www.tayo.fr/download/zebrestore
- Mets le dans un dossier, sur ton bureau par exemple.
- Lance Zebrestore et coche la/les case(s) suivante(s) :
Réparation IE
Sites de confiance et sensibles
Préfixes et Protocoles Internet
Fichier Hosts
- Ne coche que la/les case(s) indiquée(s).
- Clique sur le bouton <Restaurer>.
- Quitte le programme.



Puis je t'envoie la fin ;-)

A toute'
Ajouter un commentaire
Réponse
+0
moins plus
J'ai fais ce que tu as dit et voila le rapport de OTMOVIT

All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
========== FILES ==========
C:\Users\Camille\Camille.exe moved successfully.
File/Folder C:\Windows\system32\drivers\netsik.sys not found.
C:\Windows\system32\GameMon.des moved successfully.
========== SERVICES/DRIVERS ==========
Service\Driver netsik not found.
Unable to delete service\driver keynetsik.
Service\Driver npggsvc not found.
Unable to delete service\driver keynpggsvc.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Camille
->Temp folder emptied: 84497107 bytes
File delete failed. C:\Users\Camille\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
->Temporary Internet Files folder emptied: 5717133 bytes
->Java cache emptied: 13553508 bytes
->FireFox cache emptied: 83024842 bytes

User: Default
->Temp folder emptied: 0 bytes
File delete failed. C:\Users\Default\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\VFCQOW2S\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\OZPFFU2W\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\NCH9KLHJ\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\I8J78LXZ\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
File delete failed. C:\Users\Default\AppData\Local\Microsoft\Windows\Temporary Internet Files\desktop.ini scheduled to be deleted on reboot.
->Temporary Internet Files folder emptied: 33170 bytes

User: Default User
->Temp folder emptied: 0 bytes
File delete failed. C:\Users\Default User\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\VFCQOW2S\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default User\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\OZPFFU2W\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default User\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\NCH9KLHJ\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default User\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\I8J78LXZ\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default User\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default User\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
File delete failed. C:\Users\Default User\AppData\Local\Microsoft\Windows\Temporary Internet Files\desktop.ini scheduled to be deleted on reboot.
->Temporary Internet Files folder emptied: 33170 bytes

User: Public

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
Windows Temp folder emptied: 0 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 178,20 mb


OTM by OldTimer - Version 3.0.0.4 log created on 07112009_191121





j'ai telecharger ton truc zeb restore et jai fais ce que ta fais et jai fais RESTAURER mais il ne sait rien passé, et vista ma dit que le logiciel a peut mal fonctionner et j'ai vu que dans le dossier que j'ai fais il y a un autre dossier qui c'est crée qui a pour nom Backup et dedans il y a fichier du nom Host
Ajouter un commentaire
Réponse
+0
moins plus
hello :-)
Ok, c'est parfait tout ça.
Peux-tu m'envoyer un nouveau RSIT pour confirmer qu'il ne reste plus rien ?
Puis je t'envoie la fin : des recommandations et la suppression des outils utilisés.
Ajouter un commentaire
Ce document intitulé «  Cheval de troie Tr/Dropper.Gen  » issu de CommentCaMarche (www.commentcamarche.net) est mis à disposition sous les termes de la licence Creative Commons. Vous pouvez copier, modifier des copies de cette page, dans les conditions fixées par la licence, tant que cette note apparaît clairement.

Vous n'êtes pas encore membre ?

inscrivez-vous, c'est gratuit et ça prend moins d'une minute !

Les membres obtiennent plus de réponses que les utilisateurs anonymes.

Le fait d'être membre vous permet d'avoir un suivi détaillé de vos demandes.

Le fait d'être membre vous permet d'avoir des options supplémentaires.