Trojan .FakeMS

[Ask to Old Man]

Bonjour,

Voila que la "Shoesbox" de Tore se mets à avoir des illusions... ...Trojan machin ci dessus
Trouvé après l'annonce d'un Rootkit par Avast (pas retrouvé d'ailleurs... ... Faux positif ??? )

Ai fait un MBAM:

Code: Tout sélectionner

Malwarebytes' Anti-Malware 1.51.0.1200
www.malwarebytes.org

Version de la base de données: 6761

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.19048

03/06/2011 16:42:35
mbam-log-2011-06-03 (16-42-35).txt

Type d'examen: Examen complet (C:\|D:\|E:\|)
Elément(s) analysé(s): 566793
Temps écoulé: 2 heure(s), 6 minute(s), 12 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
e:\Jeux\EBUEULAx.DLL (Trojan.FakeMS) -> Quarantined and deleted successfully.

Pour sa sécurité actuelle j'ai aussi pratiqué un OTL dont voici les logs associès:

OTL.txt ==> http://rhvzuh.pjointe.com/

A noter, le Drive G: est ma "Grosse clé USB" (DD de 60Go)

Extra.txt ==> http://voembw.dl4free.com/

Merci d'y jeter un oeil .

[bernard53]

Bonsoir

pour moi pas de soucis, je pense que Avast c'est un peux affoler suite a ceci surement du a une mise à jour
Seules ces lignes semblent suspectes.

[2010/03/16 00:19:11 | 000,040,960 | R--- | M] (InstallShield Software Corp.) -- C:\Users\juju\AppData\Roaming\Microsoft\Installer\{9559F7CA-5E34-4237-A2D9-D856464AD727}\ARPPRODUCTICON.exe
[2010/03/16 00:19:11 | 000,040,960 | R--- | M] (InstallShield Software Corp.) -- C:\Users\juju\AppData\Roaming\Microsoft\Installer\{9559F7CA-5E34-4237-A2D9-D856464AD727}\NewShortcut1_9559F7CA5E344237A2D9D856464AD727.exe =
[2010/03/16 00:19:11 | 000,008,854 | R--- | M] () -- C:\Users\juju\AppData\Roaming\Microsoft\Installer\{9559F7CA-5E34-4237-A2D9-D856464AD727}\Uninstall_Project64__9559F7CA5E344237A2D9D856464AD727.exe

"ARPPRODUCTICON.exe" pour ceci "arpproducticon.exe est un process lié à InstallShield de InstallShield Software Corp"

"NewShortcut1_9559F7CA5E344237A2D9D856464AD727.exe" pour ceci "newshortcut1.exe est un _IsIcoRes.exe appartenance à InstallShield Developer de InstallShield Software Corp"

et pas de soucis avec "Uninstall_Project64"

un brin d’affolement et c'est tout

PS: si a tout hasard une nouvelle alerte se produit on passera USBfix pour voir.

[Ask to Old Man]

Bonsoir, & merci Bernard de t'être penché sur cet aspect de la chose.

PS: si a tout hasard une nouvelle alerte se produit on passera USBfix pour voir.

Quand je dis qu'il ne faut pas vieillir... ...C'est le premier truc que j'ai fait. Surtout que je tiens
à l'intégrité de ma "Grosse_clé_USB"

Pour la suspicion d'Avast , rien d'impossible, il était resté en version 5. Je lui ai fait la mise à jour
qui s'impose vers la version 6, & après un scan complet, il n'a plus renâclé.

Je vais lui redonner la main & voir si rien ne se produit sous 48 heures (de jeu bien sur mon fils est accroc léger.

Merci & peut -être à suivre.

[bernard53]

ok à suivre au besoin

Bonne journée