StartPage.ee dans syst volume information

ci après le log Highjackthis passé sur ce meme PC, sans que j'aie pu nettoyer les deux fichiers atteints pas StartPage.ee
Logfile of HijackThis v1.99.0
Scan saved at 18:05:03, on 20/01/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Documents and Settings\Pierre Corporation\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.fr
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [LTWinModem1] ltmsg.exe 9
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Program Files\AIM\aim.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1101556675150
O23 - Service: avast! iAVS4 Control Service - Unknown - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - Unknown - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: avast! Antivirus - Unknown - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique - Unknown - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: Journal des événements - Unknown - C:\WINDOWS\system32\services.exe
O23 - Service: Service COM de gravage de CD IMAPI - Unknown - C:\WINDOWS\System32\imapi.exe
O23 - Service: Partage de Bureau à distance NetMeeting - Unknown - C:\WINDOWS\System32\mnmsrvc.exe
O23 - Service: Plug-and-Play - Unknown - C:\WINDOWS\system32\services.exe
O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance - Unknown - C:\WINDOWS\system32\sessmgr.exe
O23 - Service: Carte à puce - Unknown - C:\WINDOWS\System32\SCardSvr.exe
O23 - Service: Journaux et alertes de performance - Unknown - C:\WINDOWS\system32\smlogsvc.exe
O23 - Service: TrueVector Internet Monitor - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
O23 - Service: Cliché instantané de volume - Unknown - C:\WINDOWS\System32\vssvc.exe
O23 - Service: Carte de performance WMI - Unknown - C:\WINDOWS\System32\wbem\wmiapsrv.exe

merci bcp

salut tsippora

Le dossier c:\windows\systeme volume information sert a stocker les points de restauration systeme.
Un compte avec des droits administrateur et obligatoire pour acceder à ce dossier.
- Normalement le fait de desactiver la restau systeme et de redemarrer, supprime tout tes points de restauration et donc tes 2 fichiers infectés.
- si tu veux conserver tes points de restau et seulement virer les fichiers infectés essaye ca:
Pour XP familial:
Demarre en mode sans echec, tu dois voir le nom des utilisateurs habituels + un compte nommé administrateur ou propriétaire

- Ouvre la session avec ce compte

- Puis tu vas dans option des dossiers et coche afficher dossiers masqués et tu decoche masquer les fichiers systeme.valide ok

- tu devrais maintenant avoir accès au dossier c:\windows\systeme volume information
(ne pas oublier une fois fini de décocher: afficher dossiers masqués et de recocher: masquer les fichiers systeme)
n'oublie pas de réactiver la restau systeme si tu as choisis la 1ere solution
Apparement ton log hijack est clean

a+

merci Moe,
en effet j'étais pas en mode Admin. J'y vais de ce pas.

re
si tu as un compte avec des droits administrateur, le simple fait afficher les fichiers cachés et systeme doit te permettre d'avoir accès au dossier sans probleme.

a+

Hello moe,

ben j'y suis pas arrivée !...
en fait j'ai redémarré en mode sans echec et sélectionné le compte Administrateur. J'ai utilisé la fonction Rechercher du menu Démarrer qui n'a rien trouvé.

Qd j'ai ouvert les différents dossiers jusqu'au dossier System Volume Information, ce dernier ne s'ouvre pas mais en laissant le curseur sur le dossier, un message dit que le dossier est vide.

Pour le vérifier, j'ai relancé MWav qui les a réaffiché.

Les options d'affichage des fichiers et dossiers cachés et fichiers système ont été vérifiées.

Je coince...

re

tu dis :
"Qd j'ai ouvert les différents dossiers jusqu'au dossier System Volume Information, ce dernier ne s'ouvre pas mais en laissant le curseur sur le dossier, un message dit que le dossier est vide.

Il n'y a pas besoin d'ouvrir plusieurs dossiers pour y arriver, puisqu'il se trouve a la racine de ton disque dur.(dans C:\)

Refait une derniere fois étape par étape la manip suivante,y a pas de raison que ca ne marche pas.
Demarre en mode sans echec, tu dois voir le nom des utilisateurs habituels + un compte nommé administrateur

- Ouvre la session avec ce compte

- Puis tu vas dans option des dossiers et coche afficher dossiers masqués et tu decoche masquer les fichiers systeme.valide ok

-Va dans poste de travail et double clic sur l'icone de ton disque dur

- tu devrais maintenant avoir accès au dossier c:\systeme volume information (ne pas oublier une fois fini de décocher: afficher dossiers masqués et de recocher: masquer les fichiers systeme)

courrage...tiens moi au courrant

moe

hello Moe,

j'ia exactement fait ce que tu me préconises. Suis entrée en mode ss echec, ai sélectionné le compte Administrateur, ai rend visibles tous les fichiers et dossiers cachés ainsi que les fichiers système.

Mea culpa, le dossier est bien à la racine de C:\. Mais rien à faire, quand je double clique dessus, j'ai une fenêtre qui me dit 'Accès refusé'

je craque ...

Si sa ne marche toujours pas, jete un oeil ici:

http://support.microsoft.com/default.aspx?scid=kb;FR;309531
http://www.d2i.ch/pn/az/p.html#p025

a+

merci. Je reprendrais la question demain après une nuit de sommeil car là, je ne vois pas où je fais l'erreur.

au fait, est ce que ce troyen touche au registre aussi ?

merci et à demain

Du moment qu'il modifie ta page de demarrage ou t'ajoute m'importe quoi d'autre dans ton navigateur, ca implique une modification du registre.
Mais, ton troyen se trouve dans la restau systeme donc pas actif(ton log hijack est clean).
Maintenant si tu veux restaurer ton systeme et que tu reactive un point de restau infecté, il y a des chances que tu reactives ton troyen par la meme occasion.

Pour "l'accès refusé" de ton dossier visites ces liens, tu devrais y trouver la solution.
http://assiste.free.fr/p/frameset/comment_ca_marche.php
(sur le site regarde surtout Comment détruire sélectivement un point de restauration).
http://support.microsoft.com/default.aspx?scid=kb;FR;309531
http://www.d2i.ch/pn/az/p.html#p025

Voilà, sinon perso pour éviter une bonne partie des tracas avec les spywares et autres douceurs je surfe avec mozilla et ne me sert plus d' internet exporer que pour les updates chez microsoft.

bye

moe

merci moe pour cette réponse tardive.

je vais la relire tranquillement demain matin avec un bon café chaud.

j'ai un autre souci en ce moment : je n'arrive pas à accéder au web via mon routeur (netgear RP614). Je suis obligée de connecter mon cable directement à la freebox.

sur le forum de netgear, on me répond qu'il faut que je désinstalle le firewall (ce serait lui qui empécherait l'accès au routeur). Mais j'ai essayé et ca marche pas. J'accès même pas au routeur via http. Et en plus, je me suis attrapé un virus !!

du coup, nos trois PC ne peuvent pas surfer simultanément. Les dents grincent ...

salut tsippora

Désolé de ne pouvoir t'aider pour ton probleme de routeur, car je n'ai pas de routeur ni de pc en de reseaux.
Si ca peut etre utile, une internaute a résolu le meme prob que toi en "changeant de port de réseau local sur le routeur "
ici:
http://www.netgear-forum.com/forum/lofiversion/index.php/t18660.html

Sinon est ce que tu as pu virer tes 2 fichier de C:\systeme volume information ?

moe

Salut Moe,
auj. devait être un jour de chance !!
j'ai réussi à virer les fichiers en suivant la procédure trouvée sur assiste.free.fr

et pour mon routeur, j'ai galéré toute la journée mais s'y suis parvenue grace à la tenacité de deux contributeurs sur le forum de Hardware. en fait y'avait un conflit avec ZoneAlarm et avast et un reset à faire.

merci encore Moe, tout est en ordre maintenant.
Faut juste qu'on veille tous à ne pas attraper de nouveaux virus !!
ciao

salut

Content que tout soit ok pour toi.

a+ et bon surf