Virus: win32 small-gen2 [trj]

tofflosyl

19 Janvier 2007 14:49:01

Et oui, vous allez vous dire encore un et je ne vous donnes pas tord.
Bon après de multiples recherche sur le net, j'ai constaté que ce virus était assez ennuyeux a supprimer, donc je demande l'aide de gens connaisseurs et bienveillants pour m'aider, j'ai déjà fait un premier rapport hi jack que voici:

Citation :

Logfile of HijackThis v1.99.1
Scan saved at 16:28:48, on 18/01/2007
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\PROGRA~1\Wanadoo\CnxMon.exe
C:\PROGRA~1\MESSAG~1\StartMessager.exe
C:\PROGRA~1\Wanadoo\TaskbarIcon.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Google\GoogleToolbarNotifier\1.2.908.5008\GoogleToolbarNotifier.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\Program Files\Wanadoo\EspaceWanadoo.exe
C:\Program Files\Wanadoo\ComComp.exe
C:\Program Files\Wanadoo\Watch.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\tof\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll
O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\Wanadoo\CnxMon.exe
O4 - HKLM\..\Run: [MessagerStarter Wanadoo] C:\PROGRA~1\MESSAG~1\StartMessager.exe Messager Wanadoo
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe
O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\TaskbarIcon.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.908.5008\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: MS_update_0610_KB72306.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)
O16 - DPF: {6A060448-60F9-11D5-A6CD-0002B31F7455} (ExentInf Class) -
O17 - HKLM\System\CCS\Services\Tcpip\..\{B3FF535B-B7BF-490A-BA7E-0346AEB2F9C2}: NameServer = 80.10.246.130 80.10.246.3
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Merci d'avance de votre aide

Autres pages sur : virus win32 small gen2 trj

| Etre averti des réponses
| Alerter

Répondre à tofflosyl

bob_

19 Janvier 2007 15:05:18

Bonjour,

Ton infection est plutot corriace

- Télécharge Dr.Web CureIt sur ton Bureau:

ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe

Double clique drweb-cureit.exe et accepte le lancement du "Express Scan"
Ce scan rapide permet l'analyse des processus chargés en mémoire; s'il trouve des processus infectés, clique le bouton "Yes" à l'invite.
Lorsque le scan rapide est terminé, Clique sur Options >> Change settings;
Choisis l'onglet "Scan", et décoche "Heuristic analysis".
De retour à la fenêtre principale : active (coche) les lecteurs qui doivent être scannés;
Choisis tous les lecteurs. Un point rouge t'indiquera les lecteurs sélectionnés.
Clique la flèche verte sur la droite, et le scan débutera.
Clique Yes to all à l'invite de "cure/move" le fichier détecté.
Lorsque le scan sera complété, regarde si tu peux cliquer sur cet icône, adjacent aux fichiers détectés :
Si oui, alors clique dessus et ensuite clique sur l'icône "Next", au dessous, et choisis Move incurable
Du menu principal de l'outil, au haut à gauche, clique sur le menu File et choisis Save report list
Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv
Ferme Dr.Web Cureit
Redémarre ton ordi (*très important*), car certains fichiers peuvent être déplacés/réparés au redémarrage.
Suite au redémarrage, poste (Copie/Colle) le contenu du rapport de l'outil Dr.Web dans ta prochaine réponse.

Un tuto en images complet est disponible ici (merci à Malekal_morte):
http://www.malekal.com/tutorial_DrWebCureIt.php

| Alerter

Répondre à bob_

tofflosyl

19 Janvier 2007 15:24:07

Ok je vais faire ça, déjà l'ordi vient de se bloquer une fois pendant que je lisais ton post et j'ai du faire un redémarrage sauvage! (débranché puis rebranché prise de courant!) la je télécharge le programme que tu m'as passé en lien et c'est on ne peut plus lent...

Et finalement installation impossible puisqu'il semble manquer des données, j'ai fais une rcherche via le net pour drweb, je le retélécharge en ce moment.

| Alerter

Répondre à tofflosyl

tofflosyl

19 Janvier 2007 19:55:58

Voici le rapport:

Citation :

A0000324.exe\data048;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7\A0000324.exe;Adware.SaveNow;;
A0000324.exe\data049;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7\A0000324.exe;Adware.NewDotNet;;
data050\whAgent.exe;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7\A0000324.exe\data050;Adware.WebHancer;;
data050\whInstaller.exe;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7\A0000324.exe\data050;Adware.WebHancer;;
data050\whSurvey.exe;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7\A0000324.exe\data050;Adware.WebHancer;;
data050\webhdll.dll;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7\A0000324.exe\data050;Adware.WebHancer;;
data050\whiehlpr.dll;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7\A0000324.exe\data050;Adware.WebHancer;;
data050;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7\A0000324.exe;L'archive contient des éléments infectés;;
A0000324.exe\data051;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7\A0000324.exe;Adware.Relevant;;
A0000324.exe;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7;L'archive contient des éléments infectés;;
A0000325.exe\data048;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7\A0000325.exe;Adware.SaveNow;;
A0000325.exe\data049;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7\A0000325.exe;Adware.NewDotNet;;
data050\whAgent.exe;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7\A0000325.exe\data050;Adware.WebHancer;;
data050\whInstaller.exe;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7\A0000325.exe\data050;Adware.WebHancer;;
data050\whSurvey.exe;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7\A0000325.exe\data050;Adware.WebHancer;;
data050\webhdll.dll;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7\A0000325.exe\data050;Adware.WebHancer;;
data050\whiehlpr.dll;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7\A0000325.exe\data050;Adware.WebHancer;;
data050;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7\A0000325.exe;L'archive contient des éléments infectés;;
A0000325.exe\data051;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7\A0000325.exe;Adware.Relevant;;
A0000325.exe;C:\System Volume Information\_restore{B40CCE44-7071-401D-B21F-A8B23425686E}\RP7;L'archive contient des éléments infectés;;