[sKe69] infections multiples Résolu/Fermé

Question

Bonjour,
en faite quand j'allume mon ordi il apparer deux partition xp famillial et xp pro deja en supprimer une 
et ensuite faire en sorte que mon pc ne rame plus autant




Logfile of Trend Micro HijackThis v2.0.2 
Scan saved at 10:45:46, on 6/11/2009 
Platform: Windows XP SP1 (WinNT 5.01.2600) 
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) 
Boot mode: Normal 

Running processes: 
C:\WINDOWS\System32\smss.exe 
C:\WINDOWS\system32\winlogon.exe 
C:\WINDOWS\system32\services.exe 
C:\WINDOWS\system32\lsass.exe 
C:\WINDOWS\system32\svchost.exe 
C:\WINDOWS\System32\svchost.exe 
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe 
C:\Program Files\Alwil Software\Avast4\ashServ.exe 
C:\WINDOWS\Explorer.EXE 
C:\Program Files\NETGEAR\WG111v3\WG111v3.exe 
C:\Program Files\NETGEAR\WG111v3\WG111v3.exe 
C:\Documents and Settings\goumise\Application Data\Microsoft\Notification de cadeaux MSN\lsnfier.exe 
c:\Program Files\Numericable\Mon Assistant Internet\bin\mad.exe 
C:\WINDOWS\system32\spoolsv.exe 
c:\Program Files\Numericable\Mon Assistant Internet\bin\mpbtn.exe 
C:\PROGRA~1\Motive\ASSTCO~1\MOTIVE~1.EXE 
C:\WINDOWS\System32\svchost.exe 
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe 
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe 
C:\Program Files\Internet Explorer\iexplore.exe 
C:\Program Files\Internet Explorer\iexplore.exe 
C:\HiJackThis.exe 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.bing.com/?cc=fr&toHttps=1&redig=D4322FEE7CF74A348CB9CE970F098EF5 
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens 
F3 - REG:win.ini: load=C:\WINDOWS\System32\vtutr.exe 
O2 - BHO: (no name) - {7A5565EF-A594-46E4-AF56-FE71AEAFD7D5} - C:\WINDOWS\System32\xxywwwx.dll (file missing) 
O2 - BHO: (no name) - {A95B2816-1D7E-4561-A202-68C0DE02353A} - C:\WINDOWS\System32\pmhkntju.dll (file missing) 
O2 - BHO: (no name) - {BE8FC085-5183-41C2-88BB-4ECC2E15EF80} - C:\WINDOWS\System32\vtutr.dll 
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx 
O3 - Toolbar: Barre d'outils MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Toolbar\01.01.2607.0\fr\msntb.dll 
O4 - HKLM\..\Run: [Motive SmartBridge] C:\PROGRA~1\NUMERI~1\MONASS~1\SMARTB~1\MotiveSB.exe 
O4 - HKLM\..\Run: [Local Security Authority Service] C:\WINDOWS\System32\lssas.exe 
O4 - HKLM\..\Run: [Client Server Runtime Process] C:\WINDOWS\system32\csrs.exe 
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe 
O4 - HKLM\..\Run: [Windows Explorer] C:\WINDOWS\System32\explorer.exe 
O4 - HKLM\..\Run: [Application Layer Gateway Service] C:\WINDOWS\System32\algs.exe 
O4 - HKLM\..\Run: [Spooler SubSystem App] C:\WINDOWS\System32\spooIsv.exe 
O4 - HKLM\..\Run: [PromoReg] C:\WINDOWS\System32\ohsm .exe 
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k 
O4 - HKLM\..\Run: [LXCGCATS] rundll32 C:\WINDOWS\system32\spool\DRIVERS\W32X86\3\LXCGtime.dll,_RunDLLEntry@16 
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe 
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background 
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" 
O4 - HKCU\..\Run: [AdVantage] "C:\Program Files\AdVantage\AdVantage.exe" 
O4 - HKCU\..\Run: [goumise] C:\Documents and Settings\goumise\goumise.exe /i 
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background 
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL') 
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU') 
O4 - Startup: Notification de cadeaux MSN.lnk = C:\Documents and Settings\goumise\Application Data\Microsoft\Notification de cadeaux MSN\lsnfier.exe 
O4 - Global Startup: Assistant Smart Wizard NETGEAR pour WG311v3.lnk = C:\Program Files\NETGEAR\WG111v3\WG111v3.exe 
O4 - Global Startup: Mon Assistant Internet.lnk = C:\Program Files\Numericable\Mon Assistant Internet\bin\matcli.exe 
O4 - Global Startup: NETGEAR WG111v3 Smart Wizard.lnk = C:\Program Files\NETGEAR\WG111v3\WG111v3.exe 
O8 - Extra context menu item: Download Web Info - C:\Program Files\Dataroute\Download.htm 
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm 
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm 
O20 - Winlogon Notify: pmhkntju - pmhkntju.dll (file missing) 
O20 - Winlogon Notify: xxywwwx - xxywwwx.dll (file missing) 
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe 
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe 
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe 
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe 
O23 - Service: lxcg_device - Unknown owner - C:\WINDOWS\System32\lxcgcoms.exe 

End of file - 5091 bytes 
en sachant que mon ordi quand je l'allume j'ai deux partition xp pro et xp famillial 
merci d'avance

sKe69 · Answer

salut,

cette hijackthis correspond à quelle partion ? 


commence par faire ceci :


Télécharge ToolBar S&D ( de Eric_71/Team IDN ) sur ton bureau  :
https://77b4795d-a-62cb3a1a-s-sites.googlegroups.com/site/eric71mespages/ToolBarSD.exe?attachauth=ANoY7cqJWPphpudyTqv7TRo5RQ3nm_Sx8JluVMO59X5E9cyE3j3LqKlmStIqiDqJdIgMJLi7MXn2nKVajQfoWuVvZZ2wIx_vkqO4k4P0K9jh-ra9jaKPXdZcoaVF2UqJZNH8ubL_42uIwh6f35xJ2GJMuzddVj2Qth1DgZ839lxEIFGkgWz3TdfvNMy-YtxfA3gqBUrj4U4LFeAPiWr3ClmjIP0t_Xs5PQ%3D%3D&attredirects=2

( Tuto : https://sites.google.com/site/toolbarsd/aideenimages )

!! Déconnecte toi et ferme toutes tes applications en cours le temps de la manipe !! 

* Double-clique sur ToolBar SD.exe pour lancer l'outil et laisse toi guider ...  
--> Tapes directement sur 2 ( option " suppression " ) puis tape sur [Entrée]. 

Le nettoyage commence .

! ne touche à rien lors de la suppression ! 

Un rapport sera généré à la fin du processus : poste son contenu dans ta prochaine réponse
accompagné d'un nouveau rapport hijackthis pour analyse ... 

( le rapport est en outre sauvegardé ici -> C:\TB.txt )

sKe69 · Answer

bien ...


fais ceci maintenant :

Télécharge Random's System Information Tool (RSIT) de random/random et enregistre l'exécutable  sur ton Bureau.

-> http://images.malwareremoval.com/random/RSIT.exe

! Ferme bien toutes tes applications en cours !

Double-clique sur " RSIT.exe " pour le lancer .

-> Une première fenêtre s'ouvre avec en titre : " Disclaimer of warranty " . 

* Devant l'option "List files/folders created ..." , tu choisis : 2 months 

* clique ensuite sur " Continue " pour lancer l'analyse ...


( Note : Si la dernière version de HijackThis n'est pas détectée sur ton PC, RSIT le téléchargera et te demandera d'accepter la licence.)


-> laisse faire le scan et ne touche pas au PC ...


Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront (probablement avec le bloc-note). 

Poste le contenu de " log.txt " (c'est celui qui apparait à l'écran), ainsi que de " info.txt " (que tu verras dans la barre des tâches), pour analyse et attends la suite ...

Important : poste un rapport, puis l'autre dans la réponse suivante ... si tu essaies de poster les deux en même temps,
cela risque d'être trop long pour le forum ... 
Et si "log.txt" seul, ne passe pas non plus , fais le en 2 fois ... merci ...

( Note : les rapports seront en outre sauvegardés dans ce dossier -> C:\rsit )

custodio · Answer

voici le deuxieme
info.txt logfile of random's system information tool 1.06 2009-06-11 12:46:37

======Uninstall list======

-->C:\PROGRA~1\Yahoo!\Common\UNYT_W~1.EXE
-->rundll32.exe setupapi.dll,InstallHinfSection DefaultUninstall 132 C:\WINDOWS\INF\PCHealth.inf
Adobe Flash Player ActiveX-->C:\WINDOWS\System32\Macromed\Flash\uninstall_activeX.exe
AdVantage (Powering DAEMON Tools)-->"C:\Program Files\AdVantage\AdVUninst.exe" /r DAEM /d "AdVantage (Powering DAEMON Tools)" /m "AdVantage is safe advertising software that supports DAEMON Tools.
AdVantage is certified by TRUSTe as a Trusted Download.

Are you sure you want to uninstall AdVantage support for DAEMON Tools?"
avast! Antivirus-->rundll32 C:\PROGRA~1\ALWILS~1\Avast4\Setup\setiface.dll,RunSetup
Barre d'outils MSN-->C:\Program Files\MSN Toolbar\01.01.2607.0\fr\mtbs.exe c
CCleaner (remove only)-->"C:\Program Files\CCleaner\uninst.exe"
Dataroute-->MsiExec.exe /I{46A02F46-A38A-4C51-9E21-6C2EE01ADE79}
HijackThis 2.0.2-->"C:\HijackThis.exe" /uninstall
Lexmark 2300 Series-->C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\lxcgUNST.EXE -NOLICENSE
Mon Assistant Internet-->C:\PROGRA~1\NUMERI~1\MONASS~1\Uninstall.exe  NC
MSN Messenger 7.0-->MsiExec.exe /I{ABEB838C-A1A7-4C5D-B7E1-8B4314600820}
NETGEAR WG111v3 wireless USB 2.0 adapter-->C:\Program Files\InstallShield Installation Information\{5396FBD8-8BD7-47F9-92AE-F62F13D5A11D}\setup.exe -runfromtemp -l0x040c
Yahoo! Toolbar-->C:\PROGRA~1\Yahoo!\Common\UNYT_W~1.EXE

======Hosts File======

127.0.0.1	localhost
127.0.0.1	www.symantec.com
127.0.0.1	securityresponse.symantec.com
127.0.0.1	downloads1.kaspersky-labs.com
127.0.0.1	downloads2.kaspersky-labs.com
127.0.0.1	downloads3.kaspersky-labs.com
127.0.0.1	downloads4.kaspersky-labs.com
127.0.0.1	downloads5.kaspersky-labs.com
127.0.0.1	www.kaspersky-labs.com
127.0.0.1	symantec.com

======System event log======

Computer Name: MAISON-SRFNJJAY
Event Code: 6006
Message: Le service d'Enregistrement d'événement a été arrêté.

Record Number: 1868
Source Name: EventLog
Time Written: 20090422100739.000000+120
Event Type: Informations
User: 

Computer Name: MAISON-SRFNJJAY
Event Code: 8033
Message: L'explorateur a forcé une élection sur le réseau \Device\NetBT_Tcpip_{D25359F7-986E-431A-91DB-F7FE4DB79DF3} car un maître explorateur a été arrêté.

Record Number: 1867
Source Name: BROWSER
Time Written: 20090422093437.000000+120
Event Type: Informations
User: 

Computer Name: MAISON-SRFNJJAY
Event Code: 4201
Message: Le système a détecté que la carte réseau \DEVICE\TCPIP_{D25359F7-986E-431A-91DB-F7FE4DB79DF3} était connectée au réseau,
et a lancé une opération normale sur la carte réseau.

Record Number: 1866
Source Name: Tcpip
Time Written: 20090422093434.000000+120
Event Type: Informations
User: 

Computer Name: MAISON-SRFNJJAY
Event Code: 7036
Message: Le service Gestionnaire de connexions d'accès distant est entré dans l'état : en cours d'exécution.

Record Number: 1865
Source Name: Service Control Manager
Time Written: 20090422093412.000000+120
Event Type: Informations
User: 

Computer Name: MAISON-SRFNJJAY
Event Code: 7035
Message: Un contrôle Démarrer a correctement été envoyé au service Gestionnaire de connexions d'accès distant.

Record Number: 1864
Source Name: Service Control Manager
Time Written: 20090422093412.000000+120
Event Type: Informations
User: MAISON-SRFNJJAY\goumise

=====Application event log=====

Computer Name: MAISON-SRFNJJAY
Event Code: 1002
Message: L'environnement s'est arrêté de façon inattendue et Explorer.exe a redémarré.

Record Number: 108
Source Name: Winlogon
Time Written: 20090326083857.000000+060
Event Type: Informations
User: 

Computer Name: MAISON-SRFNJJAY
Event Code: 4097
Message: L'application, C:\WINDOWS\Explorer.EXE, a généré une erreur d'application
L'erreur s'est produite le 03/26/2009 à 08:38:51.696
L'exception générée était c0000005 à l'adresse 01D4AFB0 (<nosymbols>)

Record Number: 107
Source Name: DrWatson
Time Written: 20090326083852.000000+060
Event Type: Informations
User: 

Computer Name: MAISON-SRFNJJAY
Event Code: 2002
Message: Le service EAPOL a été arrêté correctement.

Record Number: 106
Source Name: EAPOL
Time Written: 20090326083825.000000+060
Event Type: Informations
User: 

Computer Name: MAISON-SRFNJJAY
Event Code: 2003
Message: Le service EAPOL est en cours d'exécution

Record Number: 105
Source Name: EAPOL
Time Written: 20090326083825.000000+060
Event Type: Informations
User: 

Computer Name: MAISON-SRFNJJAY
Event Code: 1000
Message: Application défaillante explorer.exe, version 6.0.2800.1106, module défaillant unknown, version 0.0.0.0, adresse de défaillance 0x01d4afb0.

Record Number: 104
Source Name: Application Error
Time Written: 20090326083741.000000+060
Event Type: erreur
User: 

======Environment variables======

"ComSpec"=%SystemRoot%\system32\cmd.exe
"Path"=%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem
"windir"=%SystemRoot%
"OS"=Windows_NT
"PROCESSOR_ARCHITECTURE"=x86
"PROCESSOR_LEVEL"=6
"PROCESSOR_IDENTIFIER"=x86 Family 6 Model 8 Stepping 1, AuthenticAMD
"PROCESSOR_REVISION"=0801
"NUMBER_OF_PROCESSORS"=1
"PATHEXT"=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH
"TEMP"=%SystemRoot%\TEMP
"TMP"=%SystemRoot%\TEMP

-----------------EOF-----------------

custodio · Answer

voici le deuxieme
info.txt logfile of random's system information tool 1.06 2009-06-11 12:46:37

======Uninstall list======

-->C:\PROGRA~1\Yahoo!\Common\UNYT_W~1.EXE
-->rundll32.exe setupapi.dll,InstallHinfSection DefaultUninstall 132 C:\WINDOWS\INF\PCHealth.inf
Adobe Flash Player ActiveX-->C:\WINDOWS\System32\Macromed\Flash\uninstall_activeX.exe
AdVantage (Powering DAEMON Tools)-->"C:\Program Files\AdVantage\AdVUninst.exe" /r DAEM /d "AdVantage (Powering DAEMON Tools)" /m "AdVantage is safe advertising software that supports DAEMON Tools.
AdVantage is certified by TRUSTe as a Trusted Download.

Are you sure you want to uninstall AdVantage support for DAEMON Tools?"
avast! Antivirus-->rundll32 C:\PROGRA~1\ALWILS~1\Avast4\Setup\setiface.dll,RunSetup
Barre d'outils MSN-->C:\Program Files\MSN Toolbar\01.01.2607.0\fr\mtbs.exe c
CCleaner (remove only)-->"C:\Program Files\CCleaner\uninst.exe"
Dataroute-->MsiExec.exe /I{46A02F46-A38A-4C51-9E21-6C2EE01ADE79}
HijackThis 2.0.2-->"C:\HijackThis.exe" /uninstall
Lexmark 2300 Series-->C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\lxcgUNST.EXE -NOLICENSE
Mon Assistant Internet-->C:\PROGRA~1\NUMERI~1\MONASS~1\Uninstall.exe  NC
MSN Messenger 7.0-->MsiExec.exe /I{ABEB838C-A1A7-4C5D-B7E1-8B4314600820}
NETGEAR WG111v3 wireless USB 2.0 adapter-->C:\Program Files\InstallShield Installation Information\{5396FBD8-8BD7-47F9-92AE-F62F13D5A11D}\setup.exe -runfromtemp -l0x040c
Yahoo! Toolbar-->C:\PROGRA~1\Yahoo!\Common\UNYT_W~1.EXE

======Hosts File======

127.0.0.1	localhost
127.0.0.1	www.symantec.com
127.0.0.1	securityresponse.symantec.com
127.0.0.1	downloads1.kaspersky-labs.com
127.0.0.1	downloads2.kaspersky-labs.com
127.0.0.1	downloads3.kaspersky-labs.com
127.0.0.1	downloads4.kaspersky-labs.com
127.0.0.1	downloads5.kaspersky-labs.com
127.0.0.1	www.kaspersky-labs.com
127.0.0.1	symantec.com

======System event log======

Computer Name: MAISON-SRFNJJAY
Event Code: 6006
Message: Le service d'Enregistrement d'événement a été arrêté.

Record Number: 1868
Source Name: EventLog
Time Written: 20090422100739.000000+120
Event Type: Informations
User: 

Computer Name: MAISON-SRFNJJAY
Event Code: 8033
Message: L'explorateur a forcé une élection sur le réseau \Device\NetBT_Tcpip_{D25359F7-986E-431A-91DB-F7FE4DB79DF3} car un maître explorateur a été arrêté.

Record Number: 1867
Source Name: BROWSER
Time Written: 20090422093437.000000+120
Event Type: Informations
User: 

Computer Name: MAISON-SRFNJJAY
Event Code: 4201
Message: Le système a détecté que la carte réseau \DEVICE\TCPIP_{D25359F7-986E-431A-91DB-F7FE4DB79DF3} était connectée au réseau,
et a lancé une opération normale sur la carte réseau.

Record Number: 1866
Source Name: Tcpip
Time Written: 20090422093434.000000+120
Event Type: Informations
User: 

Computer Name: MAISON-SRFNJJAY
Event Code: 7036
Message: Le service Gestionnaire de connexions d'accès distant est entré dans l'état : en cours d'exécution.

Record Number: 1865
Source Name: Service Control Manager
Time Written: 20090422093412.000000+120
Event Type: Informations
User: 

Computer Name: MAISON-SRFNJJAY
Event Code: 7035
Message: Un contrôle Démarrer a correctement été envoyé au service Gestionnaire de connexions d'accès distant.

Record Number: 1864
Source Name: Service Control Manager
Time Written: 20090422093412.000000+120
Event Type: Informations
User: MAISON-SRFNJJAY\goumise

=====Application event log=====

Computer Name: MAISON-SRFNJJAY
Event Code: 1002
Message: L'environnement s'est arrêté de façon inattendue et Explorer.exe a redémarré.

Record Number: 108
Source Name: Winlogon
Time Written: 20090326083857.000000+060
Event Type: Informations
User: 

Computer Name: MAISON-SRFNJJAY
Event Code: 4097
Message: L'application, C:\WINDOWS\Explorer.EXE, a généré une erreur d'application
L'erreur s'est produite le 03/26/2009 à 08:38:51.696
L'exception générée était c0000005 à l'adresse 01D4AFB0 (<nosymbols>)

Record Number: 107
Source Name: DrWatson
Time Written: 20090326083852.000000+060
Event Type: Informations
User: 

Computer Name: MAISON-SRFNJJAY
Event Code: 2002
Message: Le service EAPOL a été arrêté correctement.

Record Number: 106
Source Name: EAPOL
Time Written: 20090326083825.000000+060
Event Type: Informations
User: 

Computer Name: MAISON-SRFNJJAY
Event Code: 2003
Message: Le service EAPOL est en cours d'exécution

Record Number: 105
Source Name: EAPOL
Time Written: 20090326083825.000000+060
Event Type: Informations
User: 

Computer Name: MAISON-SRFNJJAY
Event Code: 1000
Message: Application défaillante explorer.exe, version 6.0.2800.1106, module défaillant unknown, version 0.0.0.0, adresse de défaillance 0x01d4afb0.

Record Number: 104
Source Name: Application Error
Time Written: 20090326083741.000000+060
Event Type: erreur
User: 

======Environment variables======

"ComSpec"=%SystemRoot%\system32\cmd.exe
"Path"=%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem
"windir"=%SystemRoot%
"OS"=Windows_NT
"PROCESSOR_ARCHITECTURE"=x86
"PROCESSOR_LEVEL"=6
"PROCESSOR_IDENTIFIER"=x86 Family 6 Model 8 Stepping 1, AuthenticAMD
"PROCESSOR_REVISION"=0801
"NUMBER_OF_PROCESSORS"=1
"PATHEXT"=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH
"TEMP"=%SystemRoot%\TEMP
"TMP"=%SystemRoot%\TEMP

-----------------EOF-----------------

sKe69 · Answer

bien ...


fais ceci stp :


-Télécharge SDFix sur ton bureau :
ici http://downloads.andymanchesta.com/RemovalTools/SDFix.exe.
ou ici http://download.bleepingcomputer.com/andymanchesta/SDFix.exe
ou ici http://sdfix.net/SDFix.exe
 
--> Double-clique sur SDFix.exe et choisis "Install" .

( tuto ici : https://www.malekal.com/slenfbot-still-an-other-irc-bot/ )

Puis une fois l'installe faite ,

Impératif : Démarrer en mode sans echec .

 /!\ Ne jamais démarrer en mode sans échec via MSCONFIG /!\ 

Comment aller en Mode sans échec :
1) Redémarre ton ordi .
2) Tapote la touche F8 immédiatement, (F5 sur certains PC) juste après le "Bip" .
3) Tu tapotes jusqu' à l'apparition de l'écran avec les options de démarrage . 
4) Choisis la première option : Sans Échec , et valide en tapant sur [Entrée] .
5) Choisis ton compte habituel ( et pas Administrateur ). 
attention : pas de connexion possible en mode sans échec , donc copie ou imprime bien la manipe pour éviter les erreurs ...

 
Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double-clique sur RunThis.bat pour lancer l'outil . 
-->Tapes Y pour lancer le script ... 
Le Fix supprime les services du virus et nettoie le registre, de ce fait un redémarrage est nécessaire , donc :
presses une touche pour redémarrer quand il te le sera demandé . 

Le PC va mettre du temps avant de démarrer ( c'est normale ), après le chargement du Bureau presses une touche lorsque "Finished" s'affiche .

Le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier 
C:\SDFix sous le nom "Report.txt".

Poste ce dernier dans ta prochaine réponse accompagné d'un nouveau rapport RSIT ( log.txt ) pour analyse ...

sKe69 · Answer

tu n'est pas admin du PC ?...

dis moi , tu as fait SDFix avant ou pas ?

sKe69 · Answer

essaye ceci :

1- Insérer le CD d’installation de Windows XP.
2- Démarrer le système en mode "Console de récupération" en tapotant sur "R" (ou F10) au démarrage .
2- Entrer la commande > fixboot C: 
3- Redemarrer le système.


dis moi si tu accèdes au bureau ...

sKe69 · Answer

bon ...

j'ai besoin d'une info avant de te donner une autre procédure :

Quelle est la lettre qui correspond à ton lecteur CD Rom ( ou tu à mis le CD Windwos ) ?

sKe69 · Answer

re,

 fais ceci maintenant :


01- Insérer le CD d’installation de Windows XP.
02- Démarrer le système en mode "Console de récupération" en appuyant sur "R" (ou F10)
03- Entrer la commande > D: (lettre du lecteur de CD)
04- Aller dans le dossier i386 en tapant la commande cd i386 
05- maintenant il faut copier le fichier ntldr sur "C" en tapant la commande > copy ntldr C:
06- puis copier le fichier ntdetect.com sur "C" en tapant la commande > copy ntdetect.com C:
07- enfin Taper la commande Exit pour sortir .


dis moi si tu peux redémarrer normalement ....

custodio · Answer

j'ai reeyssayer sans succes peut tu me dire pourquoi

sKe69 · Answer

je ne vois pas trop ... soit cela provient des infection , soit cela provient de SDFix ...

mais il y a peut être autre chose :

débranche le PC électriquement > ouvre la tour > fait un bon coup de poussière et vérifie toutes les connectiques ( surtout celles qui vont de la carte mère aux disques dures ) .

redémarre le PC et dis moi ...

sKe69 · Answer

salut,

Oki ... pour ce qui est des partitions , on verra par la suite ... Pour le moment tu vas faire ceci pour être sur que rien n'a résisté au foramatge :



1- Télécharge et installe le logiciel HijackThis : 

ici http://www.commentcamarche.net/telecharger/telecharger 159 hijackthis
ou ici http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe
ou ici https://www.clubic.com/telecharger-fiche17891-hijackthis.html

-->Clique sur le setup pour lancer l'installe : laisse toi guider et ne modifie pas les paramètres d'installation . 
A la fin de l'installe , le prg se lance automatiquement : ferme le en cliquant sur la croix rouge . 
Au final, tu dois avoir un raccourci sur ton bureau et aussi un cheminement comme : 
"C:\ program files\Trend Micro\HijackThis\HijackThis.exe " .

( ne lance pas ce prg pour l'instant et fais la suite ... )



2- Télécharge Random's System Information Tool (RSIT) de random/random et enregistre l'exécutable  sur ton Bureau.

-> http://images.malwareremoval.com/random/RSIT.exe

! Déconnecte toi et ferme toutes tes applications en cours !

Double-clique sur " RSIT.exe " pour le lancer .

-> Une première fenêtre s'ouvre avec en titre : " Disclaimer of warranty " . 

* Devant l'option "List files/folders created ..." , tu choisis : 2 months 

* clique ensuite sur " Continue " pour lancer l'analyse ...


-> laisse faire le scan et ne touche pas au PC ...


Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront (probablement avec le bloc-note). 

Poste le contenu de " log.txt " (c'est celui qui apparait à l'écran), ainsi que de " info.txt " (que tu verras dans la barre des tâches), pour analyse et attends la suite ...

Important : poste un rapport, puis l'autre dans la réponse suivante ... 
Si tu essaies de poster les deux en même temps, cela risque d'être trop long pour le forum ... 
( Et si "log.txt" seul, ne passe pas non plus , fais le en 2 fois ... merci ... )

( Note : les rapports seront en outre sauvegardés dans ce dossier -> C:\rsit )

custodio · Answer

deuxieme rapport

info.txt logfile of random's system information tool 1.06 2009-06-12 21:57:05

======Uninstall list======

-->rundll32.exe setupapi.dll,InstallHinfSection DefaultUninstall 132 C:\WINDOWS\INF\PCHealth.inf
HijackThis 2.0.2-->"C:\Documents and Settings\gomes sandrine\Mes documents\HijackThis.exe" /uninstall
NETGEAR WG111v3 wireless USB 2.0 adapter-->C:\Program Files\InstallShield Installation Information\{5396FBD8-8BD7-47F9-92AE-F62F13D5A11D}\setup.exe -runfromtemp -l0x040c

======System event log======

Computer Name: CUSTODIO
Event Code: 6011
Message: Le nom NetBIOS et le nom de l'hôte DNS de cet ordinateur ont été modifiés de MACHINENAME vers CUSTODIO.

Record Number: 5
Source Name: EventLog
Time Written: 20090612113006.000000+120
Event Type: Informations
User: 

Computer Name: MACHINENAME
Event Code: 2
Message: Pendant la validation de \Device\Serial1 en tant que port série, une FIFO a été détectée. La FIFO sera utilisée.

Record Number: 4
Source Name: Serial
Time Written: 20090612121649.000000+120
Event Type: Informations
User: 

Computer Name: MACHINENAME
Event Code: 6005
Message: Le service d'Enregistrement d'événement a démarré.

Record Number: 3
Source Name: EventLog
Time Written: 20090612121627.000000+120
Event Type: Informations
User: 

Computer Name: MACHINENAME
Event Code: 6009
Message: Microsoft (R) Windows (R) 5.01. 2600 Service Pack 1 Uniprocessor Free.

Record Number: 2
Source Name: EventLog
Time Written: 20090612121627.000000+120
Event Type: Informations
User: 

Computer Name: MACHINENAME
Event Code: 2
Message: Pendant la validation de \Device\Serial0 en tant que port série, une FIFO a été détectée. La FIFO sera utilisée.

Record Number: 1
Source Name: Serial
Time Written: 20090612121649.000000+120
Event Type: Informations
User: 

=====Application event log=====

Computer Name: CUSTODIO
Event Code: 1000
Message: Les compteurs de performances pour le service ContentIndex (ContentIndex) ont été chargés.
Les données d'enregistrement contiennent les nouvelles valeurs d'index
assignées à ce service.

Record Number: 5
Source Name: LoadPerf
Time Written: 20090612113155.000000+120
Event Type: Informations
User: 

Computer Name: CUSTODIO
Event Code: 1000
Message: Les compteurs de performances pour le service TermService (Services Terminal Server) ont été chargés.
Les données d'enregistrement contiennent les nouvelles valeurs d'index
assignées à ce service.

Record Number: 4
Source Name: LoadPerf
Time Written: 20090612113152.000000+120
Event Type: Informations
User: 

Computer Name: CUSTODIO
Event Code: 1000
Message: Les compteurs de performances pour le service RemoteAccess (Routage et accès distant) ont été chargés.
Les données d'enregistrement contiennent les nouvelles valeurs d'index
assignées à ce service.

Record Number: 3
Source Name: LoadPerf
Time Written: 20090612113045.000000+120
Event Type: Informations
User: 

Computer Name: CUSTODIO
Event Code: 1000
Message: Les compteurs de performances pour le service PSched (PSched) ont été chargés.
Les données d'enregistrement contiennent les nouvelles valeurs d'index
assignées à ce service.

Record Number: 2
Source Name: LoadPerf
Time Written: 20090612113018.000000+120
Event Type: Informations
User: 

Computer Name: CUSTODIO
Event Code: 1000
Message: Les compteurs de performances pour le service RSVP (QoS RSVP) ont été chargés.
Les données d'enregistrement contiennent les nouvelles valeurs d'index
assignées à ce service.

Record Number: 1
Source Name: LoadPerf
Time Written: 20090612113017.000000+120
Event Type: Informations
User: 

======Environment variables======

"ComSpec"=%SystemRoot%\system32\cmd.exe
"Path"=%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem
"windir"=%SystemRoot%
"OS"=Windows_NT
"PROCESSOR_ARCHITECTURE"=x86
"PROCESSOR_LEVEL"=6
"PROCESSOR_IDENTIFIER"=x86 Family 6 Model 8 Stepping 1, AuthenticAMD
"PROCESSOR_REVISION"=0801
"NUMBER_OF_PROCESSORS"=1
"PATHEXT"=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH
"TEMP"=%SystemRoot%\TEMP
"TMP"=%SystemRoot%\TEMP

-----------------EOF-----------------
et le rapport hijatchis

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:56:05, on 12/06/2009
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\System32\wpabaln.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Assistant Smart Wizard NETGEAR pour WG311v3.lnk = C:\Program Files\NETGEAR\WG111v3\WG111v3.exe
O4 - Global Startup: NETGEAR WG111v3 Smart Wizard.lnk = C:\Program Files\NETGEAR\WG111v3\WG111v3.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

sKe69 · Answer

cela à l'aire propore ^^


Il faut abosolument que tu mette ton systéme à jour !

Fais une mise à jours de ton Système via panneau de config / "Windows Update" : 
-> fais toutes les mises à jours disponibles, surtout les dites "critiques" et "importantes" ( SP3 , IE8 , ect ... ).
-> tu les télécharges , puis une fois celles-ci téléchargées , lance les installations ( il te sera surement demandé de redémarrer le PC pour finir les installes ...).

Astuce ici :
http://www.commentcamarche.net/faq/sujet 273 windows update toutes versions

Note : 
ferme toutes applications en cours et ne fais rien d'autre avec le PC lors de la mise à jour du système .



-------------------------------

une fois ceci fait , poste un nouveau RSIT pour analyse ...

Ensuite on verra pour les défenses du PC ... ^^


PS :
regarde cette astuce pour tes partitions > http://www.commentcamarche.net/faq/sujet 17585 gerer les partitions sous windows

tu devrais y trouver ton compte ... ;)

sKe69 · Answer

re,

tu n'as rien mis à jour ! ... tu as toujors XP SP1 et IE6 ... A l'heure actuelle , on est sur XP SP3 et IE8 ...


donc fais les mises à jour et poste moi après un nouveau RSIT ... ^^"

sKe69 · Answer

hello ...


y a du mieux ! ... ^^

SP2 / IE6 ... mais maintenant il faut relancer les mises à jours pour passer au SP3 / IE 8 ... !


une fois fait re poste un RSIT et on vera pour les défenses du PC ( car Avast c'est pas ce qui ce fait de mieux !... )

sKe69 · Answer

re,

cle wifi netgear  > c'est de la vrai daube ! ... ^^ je te conseille d'investir dans une carte interne PCI ( du genre > https://www.hercules.com/fr/dj/ )


bref on y est ! ... le SP3 est installer ....


maintenant fais ceci stp :

Même si tu utilises un autre Navigateur , il faut tenir IE à jours ! ( sinon faille de sécurité ) .
->Télécharge le ici : https://support.microsoft.com/fr-fr/allproducts
ou ici : http://www.microsoft.com/downloads/details.aspx?familyid=9AE91EBE-3385-447C-8A30-081805B2F90B&displaylang=fr

 ! Ferme toutes applications en cours ( navigateurs compris ), désactive toutes tes défenses ( antivirus , pare feu , guarde anti-spyware ...), et en reste connecté !

> puis lance l'installe de IE8 et laisse toi guider ...( regarde bien le du tuto ci-dessous )

->Pourquoi mettre à jours IE et tuto ici :
https://forum.malekal.com/viewtopic.php?f=45&t=12405



une fois fait , reposte un RSIT stp ....

sKe69 · Answer

re,

et non ... tu n'as pas mis IE à jour ! ... si tu l'as téléchargé , il faut aussi l'installer ... ^^


poste moi le rsit une fois cette maj faite ....

sKe69 · Answer

nickel ....


1- fait la manipe de cette astuce pour stabiliser et améliorer IE8 :

> http://www.commentcamarche.net/faq/sujet 17570 lenteur internet explorer 8



2- quelques fichier louche à contrôler :


Rends toi sur ce site : 

https://www.virustotal.com/gui/ 

Copies ce qui suit et colles le dans l'espace pour la recherche ( ou clique sur "parcourir" et va jusqu'au fichier demandé )  : 
C:\Install_Messenger.exe 

Clique sur Send File ( = " Envoyer le fichier " ). 

Un rapport va s'élaborer ligne à ligne. 

Attends bien la fin ... Il doit comprendre la taille du fichier envoyé. 

Sauvegarde le rapport avec le bloc-note. 

Copie le dans ta prochaine réponse ... 

( Si VirusTotal indique que le fichier a déjà été analysé, clique sur le bouton Ré-analyse le fichier maintenant )


Fais de même pour :

C:\installation_ie8msn-xp.exe 
C:\msn_messenger_1_5581.exe 
C:\wlsetup-custom.exe 

Poste moi donc ces 4 rapports ( surtout le début avec le listing des AV , et en précisant bien au début de chacuns à quel fichier ils correspondent ) et attends la suite ...

sKe69 · Answer

Salut,

rien de mechant pour ces fichiers ( quelques FauxPositifs ) .

mais bon si tu ne te serts pas de ces set-up , supprimes les tous .



puis fait ceci :


Télécharges MalwareByte's : 
ici http://www.commentcamarche.net/telecharger/telecharger 34055379 malwarebytes anti malware
ou ici : http://www.malwarebytes.org/mbam.php
 
* Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour . 

(NB : S'il te manque "COMCTL32.OCX" lors de l'instale, alors télécharge le ici : https://www.malekal.com/tutorial-aboutbuster/ )

* Potasse le tuto pour te familiariser avec le prg : 
https://forum.pcastuces.com/sujet.asp?f=31&s=3
( cela dis, il est très simple d'utilisation ).

! Déconnecte toi et ferme toutes applications en cours ! 

* Lance Malwarebyte's .

Fais un examen dit "complet" ( sélectionne bien tous tes disks avant le scan ! ).

--> Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ). 
--> à la fin tu cliques sur "résultat" . 
--> Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !

Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date), 
accompagné d'un nouveau rapport RSIT pour analyse ...

sKe69 · Answer

salut,

c'est clean au nivaeu de MBAM ... ^^

tu le guarde bien sur le PC et scan régulièrement ton PC avec ( 1 a 2 fois par mois ... ) 




parcontre il te faut un anti-spyware résident pour épauler ton AV ... choisis l'un deux ( c'est du gratuit ) :



Télécharger Spyware Terminator :
http://www.commentcamarche.net/telecharger/telecharger 34055170 spyware terminator 
 
Mais en faisant attention ; lors de l'installation, tu dois décocher devant "installer la Crawler Bar". 
Ne pas accepter la 'Crawler Bar' !! 

Vérifie régulièrement la mise à jour. 
Active la protection en temps réel comme ceci : http://img220.imageshack.us/img220/1985/screenshot269jn3.png 
et comme ceci dans l'onglet "Avancé" http://img223.imageshack.us/img223/19/screenshot270fm3.png (HIPS activé). 

Note ==> Remarque la fonction 'LANGUE' ;) ==> elle est là : http://img146.imageshack.us/img146/8679/screenshot271db0.png 

Tuto Spyware Terminator :
https://www.malekal.com/tutorial-et-guide-spywareterminator/

Note : si tu n'as pas d'antivirus, Spyware Terminator contient un aussi. 
/!\ Si tu as déjà un antivirus, ne pas mettre en service "Clam Antivirus" (1 seul antivirus actif par PC) :
->http://img210.imageshack.us/img210/3191/screenshot272kq3.png )

OU ************************************************

SpywareBlaster + SpywareGuard: 


* SpywareBlaster :
http://www.brightfort.com/spywareblaster.html 

c´est un resident uniquement ( pas de scan possible ) . Il suffit de le mettre a jour de temps en temps car la version gratuite ne le fait pas toute seul , une fois installé et mis a jour tu mets toutes les protections sur "enable" 

tuto : https://www.malekal.com/tutorial-spywareblaster/ 


* SpywareGuard :
SpywareGuard offre une protection en temps réel contre les tentatives d'installation des spywares.
http://www.commentcamarche.net/telecharger/telecharger 34055277 spywareguard
Tuto : https://www.zebulon.fr/dossiers/securite/47-spywareguard.html

( controle les mises à jour / " live update " régulièrement )



une fois ceci fait , donne un petit topo sur l'état du PC et dis moi si tout est OK de ton côté ....

sKe69 · Answer

très bien ... ^^


fais ce qui suit dans l'ordre :


1- Avoir accès aux fichiers cachés :
 
Va dans Menu Démarrer->Poste de travail->Outils->Options des dossiers...->Affichage 
* "Afficher les fichiers et dossiers cachés" ---> coché 
* "Masquer les extensions des fichiers dont le type est connu" ---> décoché 
* "masquer les fichiers du système" ---> décoché
-> valide la modif ( "appliquer" puis "ok" ).
( tu remetteras les paramètres de départ une fois qu'on aura terminé , pas avant ... ) 



2- trouve ce fichier ( qui doit être légèrement giser )

C:\boot.ini 

Puis clique droit dessus et choisis "modifier" : 

le bloc-note s'ouvre > copie / colle tout le contenu qui s'y trouve dans ta prochaine réponse .

attention > ne touche plus à rien, ne ferme pas ce bloc-note pour le moment  et attends la suite ...

sKe69 · Answer

bien ...


retourne sur la fenètre du bloc-note que tu as laissé ouverte et supprime les 2 dernières lignes :


multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professionnel" /fastdetect /NoExecute=OptIn

et uniquement celles-ci !


Puis clique sur la croix rouge pour fermer > au message d'avertissement valide bien la modification . 



redémarre le PC et dis moi si c'est OK ... =)

sKe69 · Answer

re,

quand je supprime la phrase il ne veut pas l'enregistrer 


c'est une erreur de ma part !



ferme tout et on reprend dans l'ordre :



1- clique droit sur le fichier "boot.ini" :
*  va sur propriété 
* dans l'encadré présent ( "général" ) , tout en bas , tu déchoches la case devant "lecture seule"
* puis tu cliques sur "appliquer" et ensuite  sur "OK" .



2- clique de nouveau droit sur le fichier "boot.ini" :
* choisis "ouvrir"
* le bloc-note s'ouvre avec le contenu du fichier .
* là tu supprimes la dernière ligne  en faite ( et uniquement celle-ci ) :


multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professionnel" /fastdetect /NoExecute=OptIn 


Puis clique sur la croix rouge pour fermer > au message d'avertissement valide bien la modification ! 



redémarre le PC et dis moi si c'est OK cette fois ... ;p

custodio · Answer

bonjour mon ordi depuis deux jours rame mais quelque chose de bien quelqu'un pourrait me dire comment le nettoyer svp

[sKe69] infections multiples

25 réponses

Discussions similaires