Sujet Précédent Sujet Suivant

Cheval de troie Tr/Dropper.Gen

Résolu/Fermé
Jey-Jin - 10 juil. 2009 à 16:23
 Utilisateur anonyme - 12 juil. 2009 à 14:23
Bonjour,
Voila je vais vous expliquer mon probléme.
J'ai comme Antivirus Avira Antivir Prenium. Je me suis acheter un nouveau ordinateur et j'ai mis cette antivirus qui ma l'air pas mal.
Le probléme c'est que depuis ce matin Antivir detecte un cheval de troie dans le dossier Temp c'est le virus Tr/Dropper.gen et a chaque fois que je le supprime ou le met en quarantaine, il revient toujours, je ne sais plus comment faire. je vous mets une image de l'alerte de Antivir qui c'est passé au moment ou j'ecrivais ce sujet ^^.


https://imageshack.com/


J'ai deja vu plein de dossier qui parle de ce virus mais a chaque fois c'est confus pour moi ^^. Je ne sais pas quoi faire.

https://imageshack.com/


Voici encore une alerte de Antivir et vous remarquez que le fichier n'as jamais le meme nom mais le virus qui l'infecte est toujours le meme aidez moi svp.
A voir également:

19 réponses

Réponse 1 / 19
Jey-Jin
10 juil. 2009 à 18:28
CAMILLE.exe c'est moi c'est mon nom que j'ai mis sur l'ordi ca doit etre pour ca jpense pas que ca soit grave (enfin j'espere lol)
1
Réponse 2 / 19
Utilisateur anonyme
10 juil. 2009 à 18:31
Ok, mais pourquoi un .exe ?
PS : Le virus total prend 2 min. à être fait. :-)
1
Réponse 3 / 19
Utilisateur anonyme
11 juil. 2009 à 17:07
Hello Jey-Jin,
c'est bien d'être revenu :-)
Bon Kasper ne trouve rien d'autre. Normal qu'il ne voit pas le dropper d'après le rapport Virus Total :
Kaspersky 7.0.0.125 2009.07.10 -



Bon,
peux-tu faire ceci ?
http://www.commentcamarche.net/forum/affich 13297316 cheval de troie tr dropper gen?#16 (Ca prend 30 sec max. ;-) )



Puis,
après,
on passe au nettoyage :
> Lance Hijackthis : (lien de téléchargement si besoin est).
- Puis sélectionne <Do a system scan only>
- Coche les cases des lignes suivantes : 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://homepage.emachines.com/rdr.aspx?b=ACEW&l=040c&s=2&o=vb32&d=0309&m=emg620     
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://homepage.emachines.com/rdr.aspx?b=ACEW&l=040c&s=2&o=vb32&d=0309&m=emg620     
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://homepage.emachines.com/rdr.aspx?b=ACEW&l=040c&s=2&o=vb32&d=0309&m=emg620     

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file) 

O4 - HKCU\..\Run: [Camille] C:\Users\Camille\Camille.exe /i     

O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\Windows\system32\GameMon.des.exe (file missing)
Ensuite,
- Ferme toutes les autres fenêtres et applications (même internet).
- Clic sur <Fixe checked>



Ensuite,
> Télécharge OTMoveIT_3 (de Old_Timer) : http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/ sur ton bureau...
- Double-clique sur OTMoveIt3.exe pour le lancer.
- Copie le texte qui se trouve ci-dessous et colle-le dans le cadre de gauche de OTMoveIt nommé < Paste Instructions for items to be moved > ( Image ). 
:processes
explorer.exe
:files
C:\Users\Camille\Camille.exe
C:\Windows\system32\drivers\netsik.sys 
C:\Windows\system32\GameMon.des
:Services
netsik
npggsvc
:commands
[purity]
[emptytemp]
[start explorer]
[reboot]
- Clique sur < MoveIt! > pour lancer la suppression.
N.B :Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer. Accepte en cliquant sur YES.
Un rapport est créé dans %SYSTEMDRIVE%\_OTMoveIt\MovedFiles\date du jour (souvent C:\_OTMoveIt\MovedFiles\), copie-colle-le dans ta réponse suivante.




Pour finir,
> Télécharge Zeb-Restore : https://www.tayo.fr/download/zebrestore
- Mets le dans un dossier, sur ton bureau par exemple.
- Lance Zebrestore et coche la/les case(s) suivante(s) : 
Réparation IE
Sites de confiance et sensibles
Préfixes et Protocoles Internet
Fichier Hosts
- Ne coche que la/les case(s) indiquée(s).
- Clique sur le bouton <Restaurer>.
- Quitte le programme.



Puis je t'envoie la fin ;-)

A toute'
1
Réponse 4 / 19
Utilisateur anonyme
10 juil. 2009 à 16:48
Coucou.

Peux-tu faire ceci stp ?
> Télécharge random's system information tool (RSIT) : http://images.malwareremoval.com/random/RSIT.exe
- Enregistre le programme sur ton bureau.
- Double clique sur RSIT.exe
- A l'écran "Disclaimer" choisis "1 months" dans le menu déroulant puis clique sur <continue>.
- Si HiJackThis n'est pas détecté sur ton PC, RSIT le téléchargera ; accepte alors la licence.
- Une fois le scanne terminé tu obtiendras un rapport log.txt. Poste le sur le forum.
NB : Il se peut que tu obtiennes un second rapport nommé info.txt. Dans ce cas poste le aussi mais dans un second message.


A+
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 19
Jey-Jin
10 juil. 2009 à 17:27
Voila le rapport

Logfile of random's system information tool 1.06 (written by random/random)
Run by Camille at 2009-07-10 17:21:13
Microsoft® Windows Vista™ Édition Familiale Basique Service Pack 1
System drive C: has 197 GB (84%) free of 233 GB
Total RAM: 2813 MB (41% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:21:15, on 10/07/2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BkupTray.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\SUPERAntiSpyware\SUPERANTISPYWARE.EXE
C:\Program Files\Synaptics\SynTP\SynTPHelper.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Users\Camille\Desktop\RSIT.exe
C:\Program Files\trend micro\Camille.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.acer-group.com/selection.html?b=ACEW&l=040c&s=2&o=vb32&d=0309&m=emg620
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.acer-group.com/selection.html?b=ACEW&l=040c&s=2&o=vb32&d=0309&m=emg620
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.acer-group.com/selection.html?b=ACEW&l=040c&s=2&o=vb32&d=0309&m=emg620
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WarReg_PopUp] C:\Program Files\eMachines\WR_PopUp\WarReg_PopUp.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKCU\..\Run: [Camille] C:\Users\Camille\Camille.exe /i
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O13 - Gopher Prefix:
O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Avira AntiVir MailGuard (AntiVirMailService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avmailc.exe
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Avira AntiVir WebGuard (AntiVirWebService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\AVWEBGRD.EXE
O23 - Service: NTI Backup Now 5 Agent Service (BUNAgentSvc) - NewTech Infosystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe
O23 - Service: Empowering Technology Service (ETService) - Unknown owner - C:\Program Files\EMACHINES\eMachines Recovery Management\Service\ETService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: NTI Backup Now 5 Backup Service (NTIBackupSvc) - NewTech InfoSystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe
O23 - Service: NTI Backup Now 5 Scheduler Service (NTISchedulerSvc) - Unknown owner - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
0
Réponse 6 / 19
Utilisateur anonyme
10 juil. 2009 à 17:47
Humm.

Fais ceci stp :
> Rends toi sur le site Virus Total : https://www.virustotal.com/gui/ et fais analyser le fichier suivant : (Clique sur <parcourir> puis copie/colle la ligne dans le cadre "Nom du Fichier", ensuite valide par <Ouvrir>. Clique alors sur <Envoyer un fichier>) 
C:\Users\Camille\Camille.exe
et poste le résultat par copier/coller (ou le lien http, c'est plus rapide et préférable).
- Si Virus total te dit que le fichier a déjà été analysé alors demande une nouvelle analyse.
0
Réponse 7 / 19
Jey-Jin
10 juil. 2009 à 18:10
Re-Bonjours je viens de recevoir une mise a jour de Antivir et maintenant tous se passe bien je ne recois plus l'alerte, c'est bizarre ^^. Merci en tous cas pour votre aide.
0
Réponse 8 / 19
Utilisateur anonyme
10 juil. 2009 à 18:24
Heu...

Je veux bien mais Camille.exe c'est quoi ? https://www.google.fr/search?hl=fr&q=Camille.exe&btnG=Rechercher&meta=&gws_rd=ssl
Surement une crasse.
Merci de quand même faire le Virus Total ; c'est plus prudent.
0
Réponse 9 / 19
Jey-Jin
10 juil. 2009 à 18:35
je sais pas je vais regarder avec ton truc alors
0
Réponse 10 / 19
Jey-Jin
10 juil. 2009 à 18:40
vla ce qui est marquer sur Virus Total




Antivirus Version Dernière mise à jour Résultat



a-squared 4.5.0.18 2009.07.10 Trojan-Dropper.Kobcka!IK
AhnLab-V3 5.0.0.2 2009.07.10 Win-Trojan/Xema.variant
AntiVir 7.9.0.204 2009.07.10 -
Antiy-AVL 2.0.3.1 2009.07.10 -
Authentium 5.1.2.4 2009.07.09 W32/Kobcka.B.gen!Eldorado
Avast 4.8.1335.0 2009.07.09 Win32:Cutwail-V
AVG 8.5.0.387 2009.07.10 Win32/Agent.AW
BitDefender 7.2 2009.07.10 -
CAT-QuickHeal 10.00 2009.07.10 -
ClamAV 0.94.1 2009.07.10 -
Comodo 1606 2009.07.10 UnclassifiedMalware
DrWeb 5.0.0.12182 2009.07.10 Trojan.DownLoad.40159
eSafe 7.0.17.0 2009.07.09 Win32.Cutwail.B
eTrust-Vet 31.6.6607 2009.07.10 -
F-Prot 4.4.4.56 2009.07.09 W32/Kobcka.B.gen!Eldorado
F-Secure 8.0.14470.0 2009.07.10 Trojan-Downloader:W32/Cutwail.gen!A
Fortinet 3.117.0.0 2009.07.03 -
GData 19 2009.07.10 Win32:Cutwail-V
Ikarus T3.1.1.64.0 2009.07.10 Trojan-Dropper.Kobcka
Jiangmin 11.0.706 2009.07.09 -
K7AntiVirus 7.10.789 2009.07.10 -
Kaspersky 7.0.0.125 2009.07.10 -
McAfee 5671 2009.07.09 Cutwail.gen.b
McAfee+Artemis 5671 2009.07.09 Cutwail.gen.b
McAfee-GW-Edition 6.8.5 2009.07.10 Heuristic.LooksLike.Win32.Cutwail.A
Microsoft 1.4803 2009.07.10 TrojanDownloader:Win32/Cutwail.AP
NOD32 4232 2009.07.10 a variant of Win32/Wigon.KT
Norman 6.01.09 2009.07.09 -
nProtect 2009.1.8.0 2009.07.10 -
Panda 10.0.0.14 2009.07.09 Trj/CI.A
PCTools 4.4.2.0 2009.07.10 -
Prevx 3.0 2009.07.10 High Risk Cloaked Malware
Rising 21.37.44.00 2009.07.10 -
Sophos 4.43.0 2009.07.10 Mal/Pushdo-F
Sunbelt 3.2.1858.2 2009.07.10 -
Symantec 1.4.4.12 2009.07.10 -
TheHacker 6.3.4.3.363 2009.07.08 -
TrendMicro 8.950.0.1094 2009.07.10 -
VBA32 3.12.10.8 2009.07.10 -
ViRobot 2009.7.10.1829 2009.07.10 -
VirusBuster 4.6.5.0 2009.07.09 -




File size: 22121 bytes
MD5...: 7398d5bd7ff31c3f33878c44b7a2d4df
SHA1..: 2c2811d3a6943228334df47afd1ee968f83f4c4a
SHA256: c52ab7edf6ca3dbfa22642dcdda21606764cec50341e1f9e5642e6dbf6b20f63
ssdeep: 384:Z+wy6o+MKqdmqnyMGgW16aBbDcgW8po2Jhi97bkEoRKk74N72gmuwklXmRYc
um:Z+wmRNd9yMTC5/HW88QEo5EZ2VuO6Hm
PEiD..: -
TrID..: File type identification
Win32 Executable Generic (38.3%)
Win32 Dynamic Link Library (generic) (34.1%)
Win16/32 Executable Delphi generic (9.3%)
Generic Win/DOS Executable (9.0%)
DOS Executable Generic (9.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x10d8
timedatestamp.....: 0x4a4c9828 (Thu Jul 02 11:21:12 2009)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x902 0x906 6.42 8d8661db149233d713d85a82ca77d116
.rdata 0x2000 0x362 0x364 4.88 01ba01f2a0b9619a8df22cfa8c6217e7
.data 0x3000 0xd4 0x94 3.61 3d4a4d869ce04751f4e9179ef127a5e6
.rsrc 0x4000 0x4268 0x4269 7.98 84386f09a6527c7d4b3736d696772753

( 2 imports )
> KERNEL32.dll: GetModuleHandleA, GetSystemInfo, GetVersionExA, LocalAlloc, Sleep, ExitProcess
> USER32.dll: BeginPaint, BlockInput, CharLowerA, CharUpperA, CreateDialogParamA, CreateWindowExA, CreateWindowStationA, DefWindowProcA, DispatchMessageA, EndDialog, EndPaint, FindWindowA, FlashWindow, GetAsyncKeyState, GetClassInfoExA, GetTopWindow, GetUserObjectInformationA, MessageBoxA, RegisterWindowMessageA, SetDlgItemInt, SetFocus, SetWindowTextA, ShowWindow, TranslateMessage, UpdateWindow

( 0 exports )
PDFiD.: -
RDS...: NSRL Reference Data Set
-
Prevx info: <a href='http://info.prevx.com/aboutprogramtext.asp?PX5=9C91EA96697C043B56C2006C4F60760022EA8E2E' target='_blank'>http://info.prevx.com/aboutprogramtext.asp?PX5=9C91EA96697C043B56C2006C4F60760022EA8E2E</a>
0
Réponse 11 / 19
Utilisateur anonyme
10 juil. 2009 à 18:45
Bon bah tu vois : c'est un gros dropper de cheval de Troie.
Bon, avant de le supprimer fais ceci stp (comme ça on fera d'une pierre deux coups ;-) ) :

> Fais un scan en ligne avec Kaspersky : https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
N.B. : Le scan ne marche que sous Internet Explorer.
Sous Vista : Execute Internet Explorer en tant qu'administrateur, pour cela fais un clic droit sur le raccourci d'Internet Explorer et choisis "Exécuter en tant qu'administrateur".
- Commence par connecter tout ton matériel de stockage à ton PC (clés USB, DD amovible...). Allume les si nécessaire.
- Sous Démonstration en ligne, on t'explique la marche à suivre, et pour lancer le scan il faut sélectionner < Exécuter l'analyse en ligne >.
- On va te demander de télécharger un contrôle active x, accepte .
- Dans le menu < Choisissez la cible de l'analyse >, sélectionne < Poste de travail >. Le scan va commencer.
- Poste le rapport qui sera généré (voir cette image) (clique sur <enregistrer le rapport> puis sauvegarde-le sur ton bureau en choisissant "fichier texte (*.txt)" pour l'extension).
S'il y a un problème, assure toi que les contrôles active x sont bien configurés dans les options internet comme décrit sur ce lien : http://www.inoculer.com/activex.php3
Rappel : le scan est à faire sous Internet Explorer
Tuto ici si problème : http://www.vista-xp.fr/forum/topic109.html
NOTE : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée", va dans Ajout/Suppression de programmes puis désinstalle Kaspersky On-Line Scanner, reconnecte toi sur le site de Kaspersky pour retenter le scan en ligne.
Pour le rapport Kaspersky il faut que tu choisisses "Afficher le rapport" puis que tu l'enregistres sur ton bureau sous forme de fichier texte (type de fichier "tous les fichiers").


A+
0
Réponse 12 / 19
nihat42 Messages postés 307 Date d'inscription vendredi 20 février 2009 Statut Membre Dernière intervention 28 décembre 2009 42
10 juil. 2009 à 21:43
Bonjour,

Ton ordinateur envoie des spams à toutes tes contacts...
0
Utilisateur anonyme
10 juil. 2009 à 22:19
Ha oui ?
Tien donc ! Et comment tu sais ça toi ? Tu es dans ses contacts ? Tu as peut-être une boule de cristal ?

Bon,
Jey-Jin,
où en es-tu que nous puissions passer à la phase de nettoyage ?
0
Réponse 13 / 19
Jey-Jin
10 juil. 2009 à 22:43
Bé c'est bon j'ai plus de probléme la ^^
0
Utilisateur anonyme
10 juil. 2009 à 23:01
Heu ?
Que veux-tu dire ?
Que tu n'as plus d'alerte ?

Bon, écoute.
Le but d'un bon piratage est de prendre possession d'une bécane sans qu'elle devienne instable. Donc avoir une machine qui tourne bien et aucune alerte. Ce qui n'est vraiment pas signe de ne pas être infecté.
Les machines installes sont celles qui s'en sont pris plein la tronche le plus souvent.

Tes rapport montrent des infections. Alors fais moi confiance pour que nous assurions le coup.

Tu sais que certaines personnes viennent pleurnicher sur CCM parce que leurs mots de passe ont été volé ? Parce que leur compte bancaire a été vidé, parce qu'ils n'ont plus accès à leur boite mail ? Etc... ?

Poste un nouveau RSIT pour voir si vraiment tu n'es plus infecté.

Merci.
0
Réponse 14 / 19
nihat42 Messages postés 307 Date d'inscription vendredi 20 février 2009 Statut Membre Dernière intervention 28 décembre 2009 42
11 juil. 2009 à 10:18
Bonjour,

Pour cutwail, voir : http://www.malekal.com/Cutwail_Srizbi.php
0
Réponse 15 / 19
nihat42 Messages postés 307 Date d'inscription vendredi 20 février 2009 Statut Membre Dernière intervention 28 décembre 2009 42
11 juil. 2009 à 13:01
Désolé DllD, juste pour une dernière chose
Est-ce que Jey-Jin, tu pourrais uploader le fichier là : C:\Users\Camille\Camille.exe
ici stp? merci
0
Utilisateur anonyme
11 juil. 2009 à 13:44
Salut nihat42,

Il n'y pas pas de souci pour ma part. Le seul problème c'est que Jey-Jin croit qu'il n'est plus infecté parce qu'il n'a plus d'alerte. J'ai peur qu'il ne revienne pas tout de suite. Il reviendra quand son PC buggera ou qu'il se sera fait voler des infos perso. Ce qui va surement se produire car un trojan permet d'en introduire d'autres dans une machine.

En fait le fichier C:\Users\Camille\Camille.exe n'est pas le trojan Win32.Cutwail.B mais un dropper qui abouti à son installation. http://assiste.com.free.fr/p/abc/a/dropper.html
Quand ce dropper s'exécutera de nouveau il aura de nouveau une alerte d'Antivir (Antivir ne reconnait pas le dropper d'après le rapport virus total plus haut).

PS : autant pour moi pour le #12 je n'avais pas vérifier les fonctions de ce trojan. Oui des mails en spam.

Bye.
0
Réponse 16 / 19
Jey-Jin
11 juil. 2009 à 14:46
Logfile of random's system information tool 1.06 (written by random/random)
Run by Camille at 2009-07-11 14:41:07
Microsoft® Windows Vista™ Édition Familiale Basique Service Pack 1
System drive C: has 192 GB (82%) free of 233 GB
Total RAM: 2813 MB (66% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:41:25, on 11/07/2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Windows\RtHDVCpl.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\SUPERAntiSpyware\SUPERANTISPYWARE.EXE
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Synaptics\SynTP\SynTPHelper.exe
C:\Users\Camille\Desktop\Rappelz_FR_NavisLamia.exe
C:\Users\Camille\AppData\Local\Temp\is-TVVSN.tmp\Rappelz_FR_NavisLamia.tmp
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Users\Camille\Desktop\Rappelz_FR_NavisLamia.exe
C:\Users\Camille\AppData\Local\Temp\is-RGBF3.tmp\Rappelz_FR_NavisLamia.tmp
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Users\Camille\Desktop\RSIT.exe
C:\Program Files\trend micro\Camille.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.acer-group.com/selection.html?b=ACEW&l=040c&s=2&o=vb32&d=0309&m=emg620
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.acer-group.com/selection.html?b=ACEW&l=040c&s=2&o=vb32&d=0309&m=emg620
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.acer-group.com/selection.html?b=ACEW&l=040c&s=2&o=vb32&d=0309&m=emg620
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WarReg_PopUp] C:\Program Files\eMachines\WR_PopUp\WarReg_PopUp.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKCU\..\Run: [Camille] C:\Users\Camille\Camille.exe /i
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O13 - Gopher Prefix:
O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Avira AntiVir MailGuard (AntiVirMailService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avmailc.exe
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Avira AntiVir WebGuard (AntiVirWebService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\AVWEBGRD.EXE
O23 - Service: NTI Backup Now 5 Agent Service (BUNAgentSvc) - NewTech Infosystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe
O23 - Service: Empowering Technology Service (ETService) - Unknown owner - C:\Program Files\EMACHINES\eMachines Recovery Management\Service\ETService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\Windows\system32\GameMon.des.exe (file missing)
O23 - Service: NTI Backup Now 5 Backup Service (NTIBackupSvc) - NewTech InfoSystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe
O23 - Service: NTI Backup Now 5 Scheduler Service (NTISchedulerSvc) - Unknown owner - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
0
Réponse 17 / 19
Jey-Jin
11 juil. 2009 à 15:55
je viens de faire l'analyse Kaspersky online est il a analysez l'ordinateur et il n'y a aucun probleme aucun virus, rien du tous, je ne vous est donc pas fait parvenir l'image car il n'y a rien dessus :/
0
Réponse 18 / 19
Jey-Jin
11 juil. 2009 à 19:24
J'ai fais ce que tu as dit et voila le rapport de OTMOVIT

All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
========== FILES ==========
C:\Users\Camille\Camille.exe moved successfully.
File/Folder C:\Windows\system32\drivers\netsik.sys not found.
C:\Windows\system32\GameMon.des moved successfully.
========== SERVICES/DRIVERS ==========
Service\Driver netsik not found.
Unable to delete service\driver keynetsik.
Service\Driver npggsvc not found.
Unable to delete service\driver keynpggsvc.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Camille
->Temp folder emptied: 84497107 bytes
File delete failed. C:\Users\Camille\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
->Temporary Internet Files folder emptied: 5717133 bytes
->Java cache emptied: 13553508 bytes
->FireFox cache emptied: 83024842 bytes

User: Default
->Temp folder emptied: 0 bytes
File delete failed. C:\Users\Default\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\VFCQOW2S\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\OZPFFU2W\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\NCH9KLHJ\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\I8J78LXZ\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
File delete failed. C:\Users\Default\AppData\Local\Microsoft\Windows\Temporary Internet Files\desktop.ini scheduled to be deleted on reboot.
->Temporary Internet Files folder emptied: 33170 bytes

User: Default User
->Temp folder emptied: 0 bytes
File delete failed. C:\Users\Default User\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\VFCQOW2S\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default User\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\OZPFFU2W\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default User\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\NCH9KLHJ\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default User\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\I8J78LXZ\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default User\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\desktop.ini scheduled to be deleted on reboot.
File delete failed. C:\Users\Default User\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
File delete failed. C:\Users\Default User\AppData\Local\Microsoft\Windows\Temporary Internet Files\desktop.ini scheduled to be deleted on reboot.
->Temporary Internet Files folder emptied: 33170 bytes

User: Public

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
Windows Temp folder emptied: 0 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 178,20 mb


OTM by OldTimer - Version 3.0.0.4 log created on 07112009_191121





j'ai telecharger ton truc zeb restore et jai fais ce que ta fais et jai fais RESTAURER mais il ne sait rien passé, et vista ma dit que le logiciel a peut mal fonctionner et j'ai vu que dans le dossier que j'ai fais il y a un autre dossier qui c'est crée qui a pour nom Backup et dedans il y a fichier du nom Host
0
Réponse 19 / 19
Utilisateur anonyme
12 juil. 2009 à 14:23
hello :-)
Ok, c'est parfait tout ça.
Peux-tu m'envoyer un nouveau RSIT pour confirmer qu'il ne reste plus rien ?
Puis je t'envoie la fin : des recommandations et la suppression des outils utilisés.
0

Discussions similaires

L'antivirus ESET NOD32 bloque UPTOBOX ( HTML/ScrInject.B ).
Logan -
Snoopyx -

10 réponses
Présence ou non de cheval de troie ?
hunter55 -
Malekal_morte- -

14 réponses
Sa veux dire koi??Subject: FW: Tr :FW: TR: TR
france22 -
ghano0666545160 -

12 réponses
windows defender cheval de troie
dplonguet -
Faarid.31 -

3 réponses
casque sans fil Sennheiser TR 4200 ne fonctionne plus
jcb83400 -
DIY -

3 réponses