[LOGICIEL] Fichier inconnu reconnu par avast

Effendil · le 3 mai 2007

Salut à tous.

Depuis ce soir Avast me dit être infecté par un virus/trojan nommé : faxqic.dll

J'ai fait une recherche sur google et nada.

Quelqu'un aurait-il une idée ?

J'ai tenté de le mettre en quarantaine ainsi que de le supprimer, le renommer/déplacer ... rien n'y fait!

Merci d'avance pour votre avis.

Effen.

PS: depuis hier je n'ai réinstallé que BF2 + SF ... :-D

noisette · le 4 mai 2007

Bonjour

désactivez votre restauration système puis planifiez un scan au démarrage avec Avast (clic droit sur la fenètre principale, planifier ...).

Tenez au courant aprés cela dans un premier temps.

:francais:

Effendil · le 4 mai 2007

Bonsoir noisette,

J'ai effectué un scan au démarrage, tout s'est bien passé jusqu'à ce qu'Avast trouve un fichier nommé jusched.exe.

J'ai eut un menu proposant de le supprimer, déplacer ect... mais bloqué, pas moyen de taper sur le clavier !

J'ai réessayé et idem.

Comprends pas...

Une idée ?

Merci.

Effen.

snooky · le 4 mai 2007

Salut ,

jushed est la mise à jour auto de Java ...

Poste un rapport Hijackthis .

Passe BlacklLight et poste également le rapport:

http://www.f-secure.com/blacklight/

Effendil · le 5 mai 2007

Salut snooky,

Oui effectivement c'est bien ça, mais le problème est qu'Avast bloque à ce niveau, donc pas moyen de continuer le scan au demarrage.

Voici mon hijack.

Logfile of HijackThis v1.99.1

Scan saved at 05:19:00, on 05/05/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

E:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

E:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\RUNDLL32.EXE

E:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\System32\dllhost.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe

C:\Program Files\Logitech\SetPoint\SetPoint.exe

C:\WINDOWS\system32\UAService7.exe

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe

E:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

E:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Fichiers communs\Logitech\khalshared\KHALMNPR.EXE

C:\Program Files\MSN Messenger\usnsvc.exe

C:\Program Files\Paltalk Messenger\paltalk.exe

C:\Program Files\ASUS\AASP\1.00.17\aaCenter.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Documents and Settings\Coco\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll

O2 - BHO: (no name) - {eb7c1439-518f-4b8e-b324-586a76d6cadc} - C:\WINDOWS\system32\faxqic.dll (file missing)

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [skyTel] SkyTel.EXE

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [avast!] E:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - Global Startup: Logitech SetPoint.lnk = ?

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll

O9 - Extra button: PalTalk - {4EAFEF58-EEFA-4116-983D-03B49BCBFFFE} - C:\Program Files\Paltalk Messenger\Paltalk.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\nvappfilter.dll

O16 - DPF: {B64F4A7C-97C9-11DA-8BDE-F66BAD1E3F3A} - http://fr.errorsafe.com/pages/scanner_fr/E...easeInstall.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL

O20 - Winlogon Notify: faxqic - faxqic.dll (file missing)

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - E:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - E:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - E:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - E:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: ForceWare Intelligent Application Manager (IAM) - Unknown owner - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe

O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Unknown owner - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe" -k runservice (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe

O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe

O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Sony DADC Austria AG. - C:\WINDOWS\system32\UAService7.exe

En rouge le fameux fichier qu'Avast déclare comme étant un vivi ou un trotro.

Merci d'avance.

Effen.

EDIT:

Le log blacklight est le suivant (en espérant que ce soit bien cela que tu m'as demandé ... ne connaissant pas le soft ...)

05/05/07 05:22:12 [info]: BlackLight Engine 1.0.61 initialized

05/05/07 05:22:12 [info]: OS: 5.1 build 2600 (Service Pack 2)

05/05/07 05:22:12 [Note]: 7019 4

05/05/07 05:22:12 [Note]: 7005 0

05/05/07 05:22:16 [Note]: 7006 0

05/05/07 05:22:16 [Note]: 7011 1492

05/05/07 05:22:16 [Note]: 7026 0

05/05/07 05:22:18 [Note]: FSRAW library version 1.7.1021

05/05/07 05:23:30 [Note]: 2000 1012

05/05/07 05:25:15 [Note]: 7007 0

++

PS: oublié de signaler que lorsque je tente de fixer les lignes rouges, via hijack, Avast se réveille et les fichiers réapparaissent.

Merci ++

snooky · le 5 mai 2007

Ouvre Regedit et rends toi à cette clé :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows

Dans le panneau de droite , à AppInit_DLLs , quelle est ta valeur ?

Si c'est faxqic , supprime cette valeur .

Coche et fixe ensuite les 2 lignes en rouge , si présentes .

Passe ensuite SmitfraudFix , option 1 et poste son rapport.

Effendil · le 5 mai 2007

Salut snooky,

je n'ai pas cette clé ...

http://img360.imageshack us/img360/3636/reggw1.jpg

++

snooky · le 5 mai 2007

Faut cliquer sur Microsoft ... puis sur Windows NT ... puis .... :chinois:

Effendil · le 6 mai 2007

Ok j'étais à l'ouest ...

Je n'ai aucune valeur à cette clé.

Je passe tout de même le soft que tu me conseilles.

Effendil · le 6 mai 2007

Voici le rapport:

SmitFraudFix v2.176

Rapport fait à 14:37:48,32, 06/05/2007

Executé à partir de C:\Documents and Settings\Coco\Mes documents\Mes fichiers re‡us\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Le type du système de fichiers est NTFS

Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

E:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

E:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\WINDOWS\System32\dllhost.exe

E:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe

C:\Program Files\Logitech\SetPoint\SetPoint.exe

C:\WINDOWS\system32\UAService7.exe

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe

E:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

E:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Fichiers communs\Logitech\khalshared\KHALMNPR.EXE

C:\WINDOWS\system32\mmc.exe

C:\WINDOWS\system32\DfrgNtfs.exe

C:\Program Files\Paltalk Messenger\paltalk.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts

»»»»»»»»»»»»»»»»»»»»»»»» C:\

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Coco

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Coco\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\Coco\Favoris

»»»»»»»»»»»»»»»»»»»»»»»» Bureau

»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components]

"Source"="About:Home"

"SubscribedURL"="About:Home"

"FriendlyName"="Ma page d'accueil"

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]

"AppInit_DLLs"=""

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"System"=""

»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32-huy32

»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: NVIDIA nForce Networking Controller #2 - Miniport d'ordonnancement de paquets

DNS Server Search Order: 195.162.196.3

DNS Server Search Order: 195.162.196.5

HKLM\SYSTEM\CCS\Services\Tcpip\..\{B9D321E6-514E-45D6-83C8-1DDEB321707D}: DhcpNameServer=195.162.196.3 195.162.196.5

HKLM\SYSTEM\CS1\Services\Tcpip\..\{B9D321E6-514E-45D6-83C8-1DDEB321707D}: DhcpNameServer=195.162.196.3 195.162.196.5

HKLM\SYSTEM\CS3\Services\Tcpip\..\{B9D321E6-514E-45D6-83C8-1DDEB321707D}: DhcpNameServer=195.162.196.3 195.162.196.5

HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=195.162.196.3 195.162.196.5

HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=195.162.196.3 195.162.196.5

HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=195.162.196.3 195.162.196.5

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

Merci à toi

++

Effendil · le 9 mai 2007

UP :sucre:

snooky · le 9 mai 2007

Avec SmitfraudFix , choisis maintenant l'option 2 et poste son rapport.

Poste également un nouveau rapport Hijackthis .

Effendil · le 9 mai 2007

Bonjour Snooky,

Voici les rapports demandés:

SmitFraudFix v2.176

Rapport fait à 13:29:51,29, 09/05/2007

Executé à partir de F:\Secure\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Le type du système de fichiers est NTFS

Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus

»»»»»»»»»»»»»»»»»»»»»»»» hosts

127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: NVIDIA nForce Networking Controller #2 - Miniport d'ordonnancement de paquets

DNS Server Search Order: 195.162.196.3

DNS Server Search Order: 195.162.196.5

HKLM\SYSTEM\CCS\Services\Tcpip\..\{B9D321E6-514E-45D6-83C8-1DDEB321707D}: DhcpNameServer=195.162.196.3 195.162.196.5

HKLM\SYSTEM\CS1\Services\Tcpip\..\{B9D321E6-514E-45D6-83C8-1DDEB321707D}: DhcpNameServer=195.162.196.3 195.162.196.5

HKLM\SYSTEM\CS3\Services\Tcpip\..\{B9D321E6-514E-45D6-83C8-1DDEB321707D}: DhcpNameServer=195.162.196.3 195.162.196.5

HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=195.162.196.3 195.162.196.5

HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=195.162.196.3 195.162.196.5

HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=195.162.196.3 195.162.196.5

»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"System"=""

»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

Nettoyage terminé.

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

-------------------------------------------------------------------------------------------------------------

Logfile of HijackThis v1.99.1

Scan saved at 13:32:42, on 09/05/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

E:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

E:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\RUNDLL32.EXE

E:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\System32\dllhost.exe

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe

C:\Program Files\Logitech\SetPoint\SetPoint.exe

C:\WINDOWS\system32\UAService7.exe

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe

E:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

E:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Fichiers communs\Logitech\khalshared\KHALMNPR.EXE

C:\Program Files\Paltalk Messenger\paltalk.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\explorer.exe