[TiFred]

Salut,

J'ai Windows XP Pro
et depuis une semaine Norton détecte Trojan.Cachecachekit dans ce fichier !
Merci de m'aider

[gchris]

Télécharge rdrivRem.zip
Dézippe-le sur ton bureau.

Télécharge ceci.

Télécharge, met à jour http://www.ewido.net/en/
---

Redémarre en mode sans échec (en tapotant F8 au démarrage)

Double-clic sur rdrivRem.bat pour lancer le programme suis les instructions à l'écran. Quand il à finit, rdriv.txt est créé dans le dossier rdrivRem.

Lance CleanUp et répond oui quand il à finit.
Redémarre ton pc.

Lance ewido et colle le log généré.

Colle rdriv.txt.

[TiFred]

Salut,

d'abord le rdriv.txt :

~~~~~~~~~~~~~ Pre-run File Check ~~~~~~~~~~~~~

rdriv.sys PRESENT!
ItunesMusic.exe NOT PRESENT!
wkssvc.exe NOT PRESENT!


~~~~~~~~~~~~~ Post run File Check ~~~~~~~~~~~~~

rdriv.sys NOT PRESENT!
ItunesMusic.exe NOT PRESENT!
wkssvc.exe NOT PRESENT!

puis la log

---------------------------------------------------------
ewido security suite - Rapport de scan
---------------------------------------------------------

+ Créé le: 11:36:51, 15/10/2005
+ Somme de contrôle: 72F03649

+ Résultats du scan:

C:WINDOWSDownloaded Program Filesysbactivex.dll -> TrojanDownloader.IstBar : Nettoyer et sauvegarder


::Fin du rapport

Merci encore

[gchris]

Problème normalement réglé.

[TiFred]

Non malheureusement Norton détecte toujours le virus dans le rdriv.sys

[gchris]

Non malheureusement Norton détecte toujours le virus dans le rdriv.sys

-Télécharge HijackThis: (lien sur l'image).
-Crée un dossier nommé HijackThis et place le dedans.
-Exécute le et clique sur Do a scan and save log file.
-Copie et colle ici ton rapport ouvert avec le bloc note. Sans rien faire d'autre.

[TiFred]

La voilà :

Logfile of HijackThis v1.99.1
Scan saved at 14:40:35, on 15/10/2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSExplorer.EXE
C:WINDOWSsystem32spoolsv.exe
C:Program FilesFichiers communsSymantec SharedccEvtMgr.exe
C:WINDOWSSOUNDMAN.EXE
C:Program FilesWinFastWFTVFMWFWIZ.exe
C:WINDOWSSystem32WF2K.EXE
C:Program FilesQuickTimeqttask.exe
C:Program FilesFichiers communsSymantec SharedccApp.exe
C:WINDOWSSystem32mstunnel.exe
C:WINDOWSSystem32ctfmon.exe
C:Program FilesMessengermsmsgs.exe
C:Program FilesMSN MessengerMsnMsgr.Exe
C:Program Filesuncdaade.exe
C:WINDOWSSystem32??anregw.exe
E:Ulead SystemsUlead Photo Express 4.0 SECalCheck.exe
C:Program FilesSAGEMSAGEM F@st 800-908dslmon.exe
C:Program FilesE-ColorCommonIconMgr.exe
C:Program FilesKodakKODAK Software Updater7288971ProgrambackWeb-7288971.exe
C:Program FilesKodakKodak EasyShare softwarebinEasyShare.exe
C:Program FilesE-ColorColorifichgcctl95.exe
C:WINDOWSsystem32ntvdm.exe
C:Program FilesE-ColorE-Color IndicatorTICIcon.exe
C:Program Filesewidosecurity suiteewidoctrl.exe
C:Program Filesewidosecurity suiteewidoguard.exe
C:WINDOWSsystem32driversKodakCCS.exe
C:Program FilesFichiers communsMicrosoft SharedVS7Debugmdm.exe
C:Program FilesNorton AntiVirusnavapsvc.exe
C:WINDOWSSystem32nvsvc32.exe
C:WINDOWSSystem32ScsiAccess.EXE
C:WINDOWSSystem32svchost.exe
C:WINDOWSsystem32cmd.exe
C:Program FilesInternet Exploreriexplore.exe
H:Nos documentsTéléchargementHijackThisHijackThis.exe

R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Bar = http://www.free.fr/search/
R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://home.free.fr/
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://home.free.fr/
R1 - HKCUSoftwareMicrosoftWindowsCurrentVersionInternet Settings,ProxyOverride = localhost
R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:Program FilesAdobeAcrobat 5.0ReaderActiveXAcroIEHelper.ocx
O2 - BHO: (no name) - {84BB9522-0ACC-2E66-CBEF-57B76B4F32C0} - C:WINDOWSSystem32bgizircp.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:Program FilesMSN AppsST01.03.0000.1005en-xustmain.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:Program FilesMSN AppsMSN Toolbar01.02.4000.1001frmsntb.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:Program FilesNorton AntiVirusNavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:WINDOWSSystem32msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:Program FilesNorton AntiVirusNavShExt.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:Program FilesMSN AppsMSN Toolbar01.02.4000.1001frmsntb.dll
O4 - HKLM..Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM..Run: [NvCplDaemon] RUNDLL32.EXE C:WINDOWSSystem32NVCpl.dll,NvStartup
O4 - HKLM..Run: [nwiz] nwiz.exe /install
O4 - HKLM..Run: [WinFast Schedule] C:Program FilesWinFastWFTVFMWFWIZ.exe
O4 - HKLM..Run: [WinFoxV2] C:WINDOWSSystem32WF2K.EXE
O4 - HKLM..Run: [WinFast2KLoadDefault] rundll32.exe wf2kcpl.dll,DllLoadDefaultSettings
O4 - HKLM..Run: [adiras] adiras.exe
O4 - HKLM..Run: [PinnacleDriverCheck] C:WINDOWSSystem32PSDrvCheck.exe -CheckReg
O4 - HKLM..Run: [System Update] C:WINDOWSSystem32oqeapxm.exe
O4 - HKLM..Run: [QuickTime Task] "C:Program FilesQuickTimeqttask.exe" -atboottime
O4 - HKLM..Run: [ccApp] "C:Program FilesFichiers communsSymantec SharedccApp.exe"
O4 - HKLM..Run: [ccRegVfy] "C:Program FilesFichiers communsSymantec SharedccRegVfy.exe"
O4 - HKLM..Run: [Symantec NetDriver Monitor] C:PROGRA~1SYMNET~1SNDMon.exe /Consumer
O4 - HKLM..Run: [SSC_UserPrompt] C:Program FilesFichiers communsSymantec SharedSecurity CenterUsrPrmpt.exe
O4 - HKLM..Run: [HTTP Tunneling Server] mstunnel.exe
O4 - HKLM..Run: [IST Service] C:Program FilesISTsvcistsvc.exe
O4 - HKLM..Run: [MNI.UWFX5V_0001_LP] "H:Nos documentsTéléchargementWinFixer2005ScannerInstallFRA.exe"/BEFOREINSTALL
O4 - HKLM..Run: [WinFixer 2005] C:Program FilesWinFixer 2005wfx5.exe
O4 - HKLM..RunServices: [HTTP Tunneling Server] mstunnel.exe
O4 - HKCU..Run: [CTFMON.EXE] C:WINDOWSSystem32ctfmon.exe
O4 - HKCU..Run: [MSMSGS] "C:Program FilesMessengermsmsgs.exe" /background
O4 - HKCU..Run: [MsnMsgr] "C:Program FilesMSN MessengerMsnMsgr.Exe" /background
O4 - HKCU..Run: [HTTP Tunneling Server] mstunnel.exe
O4 - HKCU..Run: [Pltc] "C:Program Filesuncdaade.exe" -vt mt
O4 - HKCU..Run: [Kjgldd] C:WINDOWSSystem32??anregw.exe
O4 - HKCU..RunServices: [HTTP Tunneling Server] mstunnel.exe
O4 - Startup: Event Reminder.lnk = E:printmasterPMREMIND.EXE
O4 - Global Startup: Contrôleur de calendrier Ulead.lnk = E:Ulead SystemsUlead Photo Express 4.0 SECalCheck.exe
O4 - Global Startup: DSLMON.lnk = C:Program FilesSAGEMSAGEM F@st 800-908dslmon.exe
O4 - Global Startup: E-Color.lnk = C:Program FilesE-ColorCommonIconMgr.exe
O4 - Global Startup: Kodak software updater.lnk = C:Program FilesKodakKODAK Software Updater7288971ProgrambackWeb-7288971.exe
O4 - Global Startup: Logiciel Kodak EasyShare.lnk = C:Program FilesKodakKodak EasyShare softwarebinEasyShare.exe
O4 - Global Startup: Microsoft Office.lnk = C:Program FilesMicrosoft OfficeOffice10OSA.EXE
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:PROGRA~1MICROS~2Office10EXCEL.EXE/3000
O12 - Plugin for .spop: C:Program FilesInternet ExplorerPluginsNPDocBox.dll
O14 - IERESET.INF: START_PAGE_URL=http://home.free.fr/
O16 - DPF: {00000000-0000-0000-0000-000020030000} - http://www.advnt01.c...er/fra_pagl.exe
O16 - DPF: {00000000-0000-0000-0000-000020040000} - http://207.234.185.2...xInst_int12.exe
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.syma...bin/AvSniff.cab
O16 - DPF: {42F2C9BA-614F-47C0-B3E3-ECFD34EED658} (Installer Class) - http://www.ysbweb.co...ysb_regular.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn...pDownloader.cab
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.syma...n/bin/cabsa.cab
O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - http://www.symantec....ta/SymAData.cab
O16 - DPF: {E77C0D62-882A-456F-AD8F-7C6C9569B8C7} (ActiveDataObj Class) - http://www.symantec..../ActiveData.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:PROGRA~1MSNMES~1msgrapp.dll" (file missing)
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:Program FilesFichiers communsSymantec SharedccEvtMgr.exe
O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:Program FilesFichiers communsSymantec SharedccPwdSvc.exe
O23 - Service: ewido security suite control - ewido networks - C:Program Filesewidosecurity suiteewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:Program Filesewidosecurity suiteewidoguard.exe
O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:WINDOWSsystem32driversKodakCCS.exe
O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:Program FilesNorton AntiVirusnavapsvc.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:WINDOWSSystem32nvsvc32.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:PROGRA~1FICHIE~1SYMANT~1SCRIPT~1SBServ.exe
O23 - Service: ScsiAccess - Unknown owner - C:WINDOWSSystem32ScsiAccess.EXE
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:Program FilesFichiers communsSymantec SharedSNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:Program FilesFichiers communsSymantec SharedSecurity CenterSymWSC.exe
O23 - Service: Windows Updates - Unknown owner - C:WINDOWSwindowsupdates.exe

[gchris]

Télécharger cet uninstaller et le lancer : http://www.puritysca.../uninstall.html
---

Panneau de configuration -> ajout/suppression de programmes :

uncd -> Désinstaller si présent.
---

HijackThis -> Do a system scan only -> coche ces lignes :

O2 - BHO: (no name) - {84BB9522-0ACC-2E66-CBEF-57B76B4F32C0} - C:WINDOWSSystem32bgizircp.dll
O4 - HKLM..Run: [System Update] C:WINDOWSSystem32oqeapxm.exe
O4 - HKLM..Run: [HTTP Tunneling Server] mstunnel.exe
O4 - HKLM..Run: [IST Service] C:Program FilesISTsvcistsvc.exe
O4 - HKLM..Run: [MNI.UWFX5V_0001_LP] "H:Nos documentsTéléchargementWinFixer2005ScannerInstallFRA.exe"/BEFOREINSTALL
O4 - HKLM..Run: [WinFixer 2005] C:Program FilesWinFixer 2005wfx5.exe
O4 - HKLM..RunServices: [HTTP Tunneling Server] mstunnel.exe
O4 - HKCU..Run: [HTTP Tunneling Server] mstunnel.exe
O4 - HKCU..Run: [Pltc] "C:Program Filesuncdaade.exe" -vt mt
O4 - HKCU..Run: [Kjgldd] C:WINDOWSSystem32??anregw.exe
O4 - HKCU..RunServices: [HTTP Tunneling Server] mstunnel.exe
O16 - DPF: {00000000-0000-0000-0000-000020030000} - http://www.advnt01.c...er/fra_pagl.exe
O16 - DPF: {00000000-0000-0000-0000-000020040000} - http://207.234.185.2...xInst_int12.exe
O16 - DPF: {42F2C9BA-614F-47C0-B3E3-ECFD34EED658} (Installer Class) - http://www.ysbweb.co...ysb_regular.cab
O23 - Service: Windows Updates - Unknown owner - C:WINDOWSwindowsupdates.exe

Ferme les programmes en cours, connexion incluse et fais Fix Checked.
---

Crées un fichier texte (.txt) avec le bloc note et copie/colle ce texte : (attention respecte la ligne vide a la fin du fichier)
------------

Code

Windows Registry Editor Version 5.00



[HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun]

"rdriv.sys"=-

"WinAwk.exe"=-

"windupdate.exe"=-



[-HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesmsnupdate]



[-HKEY_LOCAL_MACHINESYSTEMControlSet001Servicesmsnupdate]



[-HKEY_LOCAL_MACHINESYSTEMControlSet002Servicesmsnupdate]



[-HKEY_LOCAL_MACHINESYSTEMControlSet003Servicesmsnupdate]



[-HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesrdriv]



[-HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceswscsvc]



[-HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesiTunesMusic]



[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa]

"restrictanonymous" =-



[HKEY_LOCAL_MACHINESOFTWAREMicrosoftOle]

"EnableDCOM" =-



[-HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLegacy_ITUNESMUSIC0000]



[-HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLegacy_RDRIV0000]



[-HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmangerparametersAutoShareSer
ver]



[-HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmangerparametersAutoShareWks]



[-HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanworkstationparametersAuto
ShareServer]



[-HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanworkstationparametersAuto
ShareWks]



[HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsWindowsUpdate]

"DoNotAllowXPSP2" =-

"AUOptions" =-

---
enregistre-le sur ton bureau et nomme-le
regspy.reg
et sur type, tu indiques : "tous fichiers"
---

double-clik sur le fichier reg que tu viens de créer et confirme la fusion à ton registre.
---

-Redémarre en mode sans échec, (en tapotant F8 au démarrage). Si tu ne comprend pas, >>regarde ici<<.

-Assures-toi que tu as accès aux fichiers cachés.
-Explorateur windows->outils->options des dossiers->affichage
"Afficher les fichiers cachés"->coché
"Masquer les extensions.."->décoché
"Masquer les fichiers protégers du système"->décoché

-Supprimes manuellement les fichiers suivants: (en gras)

C:WINDOWSSystem32mstunnel.exe <-fichier
C:Program Filesuncd <-dossier
C:WINDOWSSystem32??anregw.exe <-fichier
C:WINDOWSSystem32oqeapxm.exe <-fichier
C:Program FilesISTsvc <-dossier
C:WINDOWSwindowsupdates.exe <-fichier

Vide ta corbeille.
---

Redémarre ton pc.
Norton t'indique t-il encore rdriv.sys ?

[TiFred]

Il a trouvé mais cette fois a réussi à l'enlever
Donc "normalement" y a plus rien
Un grand merci en tout cas !

Sinon y a-t-il des choses à savoir pour limiter les chances de chopper des virus et des vers malgré les antivirus ?
Merci

[latitu]

bonjour à tous

voila j'ai le meme probleme que tifred et j'aurais voulu savoir si je peut faire les memes manipulations que lui ou alors devrais-je poster mon hijackthis aussi merci de votre réponse

[latitu]

j'espere que gchris se connecte souvent

[Nedelf]

Oui très regulierement, par contre je te conseils de poster tout de suite ton log de Hijack. Si ça ne lui sert pas tant pis mais si ça lui sert au moins il l'aura sous la main

[gchris]

Bonsoir latitu, le mieux serait que tu te crées un sujet car ce n'est peut être pas encore terminé avec TiFred.

[TiFred]

Salut,

Non ça a l'air d'aller
Je croise les doigts (plus rien pour l'instant)
Encore merci

[gchris]

nickel.

@+