perdue dans hijack

Question

bonjour,comme beaucoup je suppose je me suis retrouvée infectée hier et kaspersky dès qu'il a reconnu trojan downloader win 32. conHook.c a planté le pc et écran bleu me disant erreur syst irrécupérable windows logon process.de là j'ai pigé que le problème venait de kaspersky et je l'ai viré, j'ai pu réutiliser l'ordi et le scanner avec spybot + a2 squared + secuser en ligne, bref j'ai viré qq trucs mais pas de trojan à l'horizon....aujourd'hui a2 squared m'a indiqué comme a beaucoup de gens dans ce forum que dès que j'ouvre IE il se peut qu'il soit infecté par LANbypass backdoor ou 1 spyware, après avoir lu que hijackthis était bien, je l'ai lancé mais bon, même si je comprend bien l'anglais je dois avouer que je patauge...pouvez vous m'indiquer la marche a suivre avec le rapport ci dessous ??Merci....MERCI BEAUCOUPLogfile of HijackThis v1.99.1Scan saved at 18:50:44, on 26/04/2005Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\csrss.exeC:\WINDOWS\SYSTEM32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\System32\dllhost.exeC:\WINDOWS\system32\CTsvcCDA.EXEC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32\locator.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\ZoneLabs\vsmon.exeC:\WINDOWS\System32\dragdiag.exeC:\Program Files\Zone Labs\ZoneAlarm\zlclient.exeC:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXEC:\Program Files\Java\j2re1.4.2_05\bin\jusched.exeC:\Program Files\QuickTime\qttask.exeC:\WINDOWS\StartupMonitor.exeC:\Program Files\Messenger\msmsgs.exeC:\Program Files\Pensez-Y\Pensez-Y.exeC:\Program Files\Wallpaper\Wallpaper.exeC:\Program Files\a2\a2guard.exeC:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\wkcalrem.exeC:\Program Files\Aide mémoire\TrayIcon.exeC:\Program Files\Aide mémoire\Aide mémoire.exeC:\Program Files\Aide mémoire\Aide mémoire.exeC:\Program Files\Aide mémoire\Aide mémoire.exeC:\Program Files\Aide mémoire\Aide mémoire.exeC:\Program Files\Aide mémoire\Aide mémoire.exeC:\Program Files\Aide mémoire\Aide mémoire.exeC:\WINDOWS\System32\alg.exeC:\PROGRA~1\INCRED~2\bin\IBMain.exeC:\Program Files\Internet Explorer\iexplore.exeC:\Documents and Settings\dafy\Bureau\utilitaires\antivirus\prog setup\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\ziqrk.dll/sp.html#10213R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\dubjn.dll/sp.html#10213R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://dubjn.dll/index.html#10213R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\dubjn.dll/sp.html#10213R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\ziqrk.dll/sp.html#10213R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\dubjn.dll/sp.html#10213R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://dubjn.dll/index.html#10213R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\ziqrk.dll/sp.html#10213R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = NUMERICABLER0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensR3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - C:\Program Files\MyWebSearch\SrchAstt\3.bin\MWSSRCAS.DLLO2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} - C:\Program Files\MyWebSearch\SrchAstt\3.bin\MWSSRCAS.DLLO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocxO2 - BHO: mwsBar BHO - {07B18EA1-A523-4961-B6BB-170DE4475CCA} - C:\Program Files\MyWebSearch\bar\3.bin\MWSBAR.DLLO2 - BHO: IBBHO - {12BA043E-293E-4CE4-A8C7-8460934FE801} - C:\Program Files\IncrediBar\bin\IBBHO.dllO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO2 - BHO: (no name) - {66F8ED8E-370C-CAC3-F909-8CCA512499F9} - C:\WINDOWS\system32\addca32.dll (file missing)O2 - BHO: (no name) - {8E13DDE1-E013-47ec-9C4C-27C2F78BDD26} - C:\WINDOWS\system32eq.dllO2 - BHO: (no name) - {B605E88E-F0FC-E873-1745-098BFCABAB91} - C:\WINDOWS\system32
tqw.dll (file missing)O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dllO2 - BHO: ADP UrlCatcher Class - {F4E04583-354E-4076-BE7D-ED6A80FD66DA} - C:\WINDOWS\system32\msbe.dll (file missing)O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dllO3 - Toolbar: IncrediBar - {D8073790-84C7-4602-BF77-C6ACBF1612E4} - C:\Program Files\IncrediBar\bin\IBTBar.dllO4 - HKLM\..\Run: [WorksFUD] C:\Program Files\logiciels\WORKS\wkfud.exeO4 - HKLM\..\Run: [OfficeGuard RegChecker] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\ogrc.exe"O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Microsoft Works\WkDetect.exeO4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Program Files\logiciels\WORKS\WksSb.exe /AllUsersO4 - HKLM\..\Run: [dragdiag] C:\WINDOWS\System32\dragdiag.exe /iconO4 - HKLM\..\Run: [BootSkin Startup Jobs] "C:\Program Files\Stardock\WinCustomize\BootSkin\BootSkin.exe" /StartupJobsO4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe irprops.cpl,,BluetoothAuthenticationAgentO4 - HKLM\..\Run: [AVPCC] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\avpcc.exe" /waitO4 - HKLM\..\Run: [apidr32.exe] C:\WINDOWS\system32\apidr32.exeO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInitO4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"O4 - HKLM\..\Run: [EPSON Stylus Photo RX420 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE /P31 "EPSON Stylus Photo RX420 Series" /O6 "USB002" /M "Stylus Photo RX420"O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_05\bin\jusched.exeO4 - HKLM\..\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\3.bin\mwsoemon.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [Run StartupMonitor] StartupMonitor.exeO4 - HKLM\..\Run: [IncrediMail] C:\PROGRA~1\INCRED~1\bin\IncMail.exe /cO4 - HKLM\..\Run: [BullsEye Network] C:\Program Files\BullsEye Network\bin\bargains.exeO4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /backgroundO4 - HKCU\..\Run: [Pensez-Y] C:\Program Files\Pensez-Y\Pensez-Y.exeO4 - HKCU\..\Run: [RiskII.exe] C:\DOCUME~1\dafy\Bureau\eric\RISKII~1.EXE /rO4 - HKCU\..\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\3.bin\mwsoemon.exeO4 - HKCU\..\Run: [Wallpaper] "C:\Program Files\Wallpaper\Wallpaper.exe" StarterO4 - HKCU\..\Run: [a-squared] "C:\Program Files\a2\a2guard.exe"O4 - Startup: Aide mémoire.lnk = ?O4 - Startup: MyWebSearch Email Plugin.lnk = C:\Program Files\MyWebSearch\bar\3.bin\MWSOEMON.EXEO4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\logiciels\MICROSOFT OFFICE\PUBLISHER\Office10\OSA.EXEO4 - Global Startup: MyWebSearch Email Plugin.lnk = C:\Program Files\MyWebSearch\bar\3.bin\MWSOEMON.EXEO4 - Global Startup: Rappels du Calendrier Microsoft Works.lnk = ?O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\binesources\WebMenuImg.htmO8 - Extra context menu item: &Envoyer une E-carte-web avec cette image - file://C:\WINDOWS\web\ecarte.htmO8 - Extra context menu item: &Search - http://bar.mywebsearch.com/menusearch.html?p=ZNO8 - Extra context menu item: Download with Go!Zilla - file://C:\Program Files\Go!Zilla\download-with-gozilla.htmlO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\LOGICI~1\MICROS~1\Office10\EXCEL.EXE/3000O9 - Extra button: IncrediBar - {023FA804-DCE1-4817-94ED-6BA4200F9AF2} - C:\Program Files\IncrediBar\bin\IBTBar.dllO9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dllO9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dllO9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dllO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO16 - DPF: {10000000-1000-0000-1000-000000000000} - file://C:\Program Files\Internet Explorer	hcvnfff.exeO16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex/EPSControl_v1-0-3-0.cabO16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents/setup/downloader/imloader.cabO20 - Winlogon Notify: req - C:\WINDOWS\system32eq.dllO20 - Winlogon Notify: WB - C:\PROGRA~1\Stardock\OBJECT~1\WINDOW~1\fastload.dll (file missing)O23 - Service: AVP Control Centre Service (AVPCC) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\avpcc.exe" /Service (file missing)O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXEO23 - Service: KAV Monitor Service (KAVMonitorService) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\avpm.exe" /Service (file missing)O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exeO23 - Service: Remote Procedure Call (RPC) Helper (O?’ŽrtñåÈ²$Ó) - Unknown owner - C:\WINDOWS\apprf.exe (file missing)O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exeO23 - Service: Workstation NetLogon Service (½O.#ž‚„õØÂ´â) - Unknown owner - C:\WINDOWS\system32
etmg.exe"  /s (file missing)je sais ça fait un peu long !!!! et je prends peur !!!

dafy · Answer

RE,
c'est encore moi...
si j'ai bien tout compris pour les autres il faudrait que je vire:
- tous les R1 HKCU
- tous les O2
- tous les O3 , O8 , O9 , O16 et O17 c'est bien ça ????
puis je avoir confirmation ?

merci de tout coeur

jean38 · Answer

Non,

tu ne vires pas des N° mais des prog verolés que les experts discernent dans les lignes du log.

si tu vas un peu plus dans les info de hikjackthis, tu verras que chaque numero a une correspondance technique (ex les O23 sont les services associés et crées par les prog), on ne fixe pas au hazard.

Dans le log présenté il me semble que pas mal de choses sont à vérifiées. Maispour çà place aux experts balltrap ou moe ou... les autres.

Jean

dafy · Answer

merci jean,
de toute façon comme je n'y connais rien (tu as pu aisémment le remarquer) j'attendais juste une réponse donc OK je ne vire rien du tout pour l'instant, j'attends l'expertise des pros avec plaisir....
d'autant plus que mon pc vient de replanter car je n'ai pas arreté à temps kasperski et ce vilain trojan win 32 con hook .c a repointé le bout de son nez...

mais merci tout de même de m'avoir répndu, c'est sympa ;)

jean38 · Answer

avant d'analyser ton log,

est ce que tu as fait un scan en ligne de ton disue afin de bien identifier le nombre et le type de virus?

tu peux le faire,

Redemarre normalement, et ensuite fais un scan AV ici:
http://www.ravantivirus.com/scan/
Clic sur "To continue without subscribing click here"
Lorsque "Ready" est affiché dans "status", clic sur "Scan my PC".
A la fin de l'analyse, copier/coller le rapport ici

balltrap34 · Answer

salutcommence par ceci regarde si tu trouve dans ajout suppression de prog ceci et desinstalMyWebSearchceci est ce que tu connait\apidr32.exe O4 - HKCU\..\Run: [Pensez-Y] C:\Program Files\Pensez-Y\Pensez-Y.exe imprime ceci pour ne rien oublier et tous fairetous faire dans l ordre imperativement-------------------------tous da bord telecharge ces programmes si tu ne les a pas et met les a jour mais ne les utilise pas encoreadaware (1)spyboot (2)       (ici)               http://www.florensac-chasse-trap.com/   section viruset aussi ceciCleanUp312.exe (3)et en dernier ceciAbout:Buster.  (4)Tu le télécharges sur :   http://www.majorgeeks.com/download4289.htmlclik "Check for updates". telecharge les mises a jour referme leont l utiliseras plus tard----------------demarre en mode sans echecmode sans echec pour cela tu tapote la touche f8 des le debut de l allumage du pc sans t arreter une fenetre vas souvrir tute deplace avec les fleches du clavier sur demarreren mode sans echec une fois sur le bureau il ni auras pas toutes les couleurs et autres c est normal.si f8 ne marche pas utilise la touche f5------------------------- desactive ta restauration systeme pour ça tu fais clic droit sur poste de travail propriété tu clique sur onglet restauration système tu coche la case désactiver la restauration et applique ------------ assure toi de ceci Affiche tous les fichiers et dossiers : cliquer sur démarrer/panneau de configuration/option des dossiers/affichage Cocher afficher les dossiers cacher Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)" Décocher masquer les extensions dont le type est connu Puis fais «Ok» pour valider les changements. Et appliquer ----------------------vide tes fichiers temps et tempory internet file sur tous les utilisateur utilise ceci pour le faire http://pageperso.aol.fr/Balltrap34/CleanUp312.exe   --------------------relance hijack coche ces lignes et  ensuite clik sur fixR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\ziqrk.dll/sp.html#10213 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\dubjn.dll/sp.html#10213 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://dubjn.dll/index.html#10213 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\dubjn.dll/sp.html#10213 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\ziqrk.dll/sp.html#10213 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\dubjn.dll/sp.html#10213 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://dubjn.dll/index.html#10213 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\ziqrk.dll/sp.html#10213 R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - C:\Program Files\MyWebSearch\SrchAstt\3.bin\MWSSRCAS.DLL O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} - C:\Program Files\MyWebSearch\SrchAstt\3.bin\MWSSRCAS.DLL O2 - BHO: mwsBar BHO - {07B18EA1-A523-4961-B6BB-170DE4475CCA} - C:\Program Files\MyWebSearch\bar\3.bin\MWSBAR.DLL O2 - BHO: (no name) - {66F8ED8E-370C-CAC3-F909-8CCA512499F9} - C:\WINDOWS\system32\addca32.dll (file missing) O2 - BHO: (no name) - {8E13DDE1-E013-47ec-9C4C-27C2F78BDD26} - C:\WINDOWS\system32eq.dll O2 - BHO: (no name) - {B605E88E-F0FC-E873-1745-098BFCABAB91} - C:\WINDOWS\system32
tqw.dll (file missing) O2 - BHO: ADP UrlCatcher Class - {F4E04583-354E-4076-BE7D-ED6A80FD66DA} - C:\WINDOWS\system32\msbe.dll (file missing) O4 - HKLM\..\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\3.bin\mwsoemon.exe O4 - HKLM\..\Run: [BullsEye Network] C:\Program Files\BullsEye Network\bin\bargains.exe O4 - HKCU\..\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\3.bin\mwsoemon.exe O4 - Startup: MyWebSearch Email Plugin.lnk = C:\Program Files\MyWebSearch\bar\3.bin\MWSOEMON.EXE O4 - Global Startup: MyWebSearch Email Plugin.lnk = C:\Program Files\MyWebSearch\bar\3.bin\MWSOEMON.EXE O4 - Global Startup: Rappels du Calendrier Microsoft Works.lnk = ? O8 - Extra context menu item: &Search - http://bar.mywebsearch.com/menusearch.html?p=ZN O16 - DPF: {10000000-1000-0000-1000-000000000000} - file://C:\Program Files\Internet Explorer	hcvnfff.exe O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex/EPSControl_v1-0-3-0.cab O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents/setup/downloader/imloader.cab O20 - Winlogon Notify: req - C:\WINDOWS\system32eq.dll O20 - Winlogon Notify: WB - C:\PROGRA~1\Stardock\OBJECT~1\WINDOW~1\fastload.dll (file missing) O23 - Service: Remote Procedure Call (RPC) Helper (O?’ŽrtñåÈ²$Ó) - Unknown owner - C:\WINDOWS\apprf.exe (file missing) O23 - Service: Workstation NetLogon Service (½O.#ž‚„õØÂ´â) - Unknown owner - C:\WINDOWS\system32
etmg.exe" /s (file missing) ----------------------recherche et suppr ceciattention seulement les fichiers C:\WINDOWS\system32
etmg.exeC:\WINDOWS\apprf.exeC:\PROGRA~1\Stardock\OBJECT~1\WINDOW~1\fastload.dll C:\WINDOWS\system32eq.dll C:\Program Files\MyWebSearch\bar\3.bin\MWSOEMON.EXE  C:\Program Files\BullsEye Network\bin\bargains.exeC:\PROGRA~1\MYWEBS~1\bar\3.bin\mwsoemon.exe ---------------vas dans panneau de config/outil d administration/servicescherche Remote Procedure Call click droit dessuspropriete tu met sur desactive puis tu click sur arreteet enfin applique et tu redemarrefait de meme avec ceciWorkstation NetLogon Service--------------passe deux fois de suite about buster--------------passe  adaware et vire tous se qu il trouve    ---------- passe spy boot et vire tous se qu il trouvent-------------tu vide ta poubelle et tu redemarre en mode normal et refait un hijack et precise ou en sont tes soucis--

jean38 · Answer

Salut balltrap,juste une petite question, je vois une nouvelle variante avec about bluster, quel est son action??merci d'avanceAmitiésJean

balltrap34 · Answer

quesque tu appelle une nouvelle variante avec about buster

jean38 · Answer

je voulais dire que jusque là si j'ai bien écouté avec mes yeux, je ne voyais pas conseiller ce programme mais spyb, a2 et ad aware.

juste avis

ps je te contacte sur 2 post laisse tomber un des 2 c'est la même quest.

Jean

dafy · Answer

merci encore Jean
et un énorme MERCI pour toi balltrap ;)))))
je termine les bons conseils de jean à savoir le scan en ligne par Rav (ce serait dommage de le stopper puisque ça fait une heure qu'il bosse)
j'imprime et je suis tes instructions
pour infos j'avais déjà fait spybot et ad aware mais no soucy, je vais tout suivre à la lettre et je reviendrais mettre tous les rapports...

franchement, je vous remercie sincèrement, c'est vraiment chouette de tomber sur des gens comme vous pour dépanner des paumés comme moi...alors bravo et au risque de me répéter...merci !!
A+

balltrap34 · Answer

cela sert avirer des dll qui regenere ceci en grosR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\ziqrk.dll/sp.html#10213

dafy · Answer

voilà voilà ....je viens de suivre la procédure que tu m'as gentillement envoyé et... je crois que je suis pas sortie de l'auberge !!!!!alors commencons par le début:-j'ai bien réussi à virer my web search-une fois en mode sans echec j'ai eu 2 profils : administrateur et moi, j'ai pris moi-les 2 cases à décocher dans l'option des fichiers l'étaient déjà-cleanup n'a pas pu tout virer et j'ai réessayé 4 X-pour hijack certaines files n'y étaient plus (tant mieux) mais je n'ai absolument pas pû déloger :*O2-BHO (no name)...../c windows/system32/req.dll*O20-Winlogon notify:req-Cwindows/system32/req.dll*O23-service remote procédure (O?-Z.....)*023-service workstation netlogon service (1/2O#Z....)après avoir fixé "unexpected error occured #52 (nom ou n° fichier incorrect)in sub gethlongpath (?.exe)-sur la recherche et la supression des fichiers, je n'en ai trouvé aucun (!!!)-le pire arrive: pour RPC et workstation netlogon service, le nom dans propriété était du genre Z?#... et il m'a été complètement impossible de suivre ta procédure, je peux désactiver (c'était en manuel) mais en aucun cas cliquer sur arrêt...et quand j'essaye de "redémarer" erreur 1084 ce service ne peut pas être redémarré en sans echec...idem pour le compte administrateur et lorsque je bascule en mode normal = impossible de démarrer : fichier introuvable.-ok pour buster :    No ADS found on systemRemoved 4 Random Key EntriesDeleted 2 Service Keys Successfully!Removed! : C:\WINDOWS\system32
thst32.dll-ok pour adaware avec zero files-ok pour spybot qui a viré 193 problèmesmaintenant je te joins mon dernier hijack :Logfile of HijackThis v1.99.1Scan saved at 00:24:01, on 27/04/2005Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\csrss.exeC:\WINDOWS\SYSTEM32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\System32\dllhost.exeC:\WINDOWS\system32\CTsvcCDA.EXEC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32\locator.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\ZoneLabs\vsmon.exeC:\WINDOWS\System32\wbem\wmiprvse.exeC:\WINDOWS\System32\alg.exeC:\WINDOWS\System32\dragdiag.exeC:\WINDOWS\system32undll32.exeC:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXEC:\Program Files\Java\j2re1.4.2_05\bin\jusched.exeC:\Program Files\QuickTime\qttask.exeC:\WINDOWS\StartupMonitor.exeC:\Program Files\Zone Labs\ZoneAlarm\zlclient.exeC:\Program Files\Messenger\msmsgs.exeC:\Program Files\Pensez-Y\Pensez-Y.exeC:\Program Files\Wallpaper\Wallpaper.exeC:\Program Files\a2\a2guard.exeC:\Program Files\Aide mémoire\TrayIcon.exeC:\PROGRA~1\INCRED~1\bin\IMApp.exeC:\Program Files\Aide mémoire\Aide mémoire.exeC:\Program Files\Aide mémoire\Aide mémoire.exeC:\Program Files\Aide mémoire\Aide mémoire.exeC:\Program Files\Aide mémoire\Aide mémoire.exeC:\Program Files\Aide mémoire\Aide mémoire.exeC:\Program Files\Aide mémoire\Aide mémoire.exeC:\Documents and Settings\dafy\Bureau\utilitaires\antivirus\prog setup\HijackThis.exeC:\WINDOWS\system32\wuauclt.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = NUMERICABLER0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocxO2 - BHO: IBBHO - {12BA043E-293E-4CE4-A8C7-8460934FE801} - C:\Program Files\IncrediBar\bin\IBBHO.dllO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO2 - BHO: (no name) - {8E13DDE1-E013-47ec-9C4C-27C2F78BDD26} - C:\WINDOWS\system32eq.dllO2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dllO3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dllO3 - Toolbar: IncrediBar - {D8073790-84C7-4602-BF77-C6ACBF1612E4} - C:\Program Files\IncrediBar\bin\IBTBar.dllO4 - HKLM\..\Run: [WorksFUD] C:\Program Files\logiciels\WORKS\wkfud.exeO4 - HKLM\..\Run: [OfficeGuard RegChecker] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\ogrc.exe"O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Microsoft Works\WkDetect.exeO4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Program Files\logiciels\WORKS\WksSb.exe /AllUsersO4 - HKLM\..\Run: [dragdiag] C:\WINDOWS\System32\dragdiag.exe /iconO4 - HKLM\..\Run: [BootSkin Startup Jobs] "C:\Program Files\Stardock\WinCustomize\BootSkin\BootSkin.exe" /StartupJobsO4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe irprops.cpl,,BluetoothAuthenticationAgentO4 - HKLM\..\Run: [AVPCC] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\avpcc.exe" /waitO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInitO4 - HKLM\..\Run: [EPSON Stylus Photo RX420 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE /P31 "EPSON Stylus Photo RX420 Series" /O6 "USB002" /M "Stylus Photo RX420"O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_05\bin\jusched.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [Run StartupMonitor] StartupMonitor.exeO4 - HKLM\..\Run: [IncrediMail] C:\PROGRA~1\INCRED~1\bin\IncMail.exe /cO4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /backgroundO4 - HKCU\..\Run: [Pensez-Y] C:\Program Files\Pensez-Y\Pensez-Y.exeO4 - HKCU\..\Run: [RiskII.exe] C:\DOCUME~1\dafy\Bureau\eric\RISKII~1.EXE /rO4 - HKCU\..\Run: [Wallpaper] "C:\Program Files\Wallpaper\Wallpaper.exe" StarterO4 - HKCU\..\Run: [a-squared] "C:\Program Files\a2\a2guard.exe"O4 - Startup: Aide mémoire.lnk = ?O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\logiciels\MICROSOFT OFFICE\PUBLISHER\Office10\OSA.EXEO8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\binesources\WebMenuImg.htmO8 - Extra context menu item: &Envoyer une E-carte-web avec cette image - file://C:\WINDOWS\web\ecarte.htmO8 - Extra context menu item: Download with Go!Zilla - file://C:\Program Files\Go!Zilla\download-with-gozilla.htmlO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\LOGICI~1\MICROS~1\Office10\EXCEL.EXE/3000O9 - Extra button: IncrediBar - {023FA804-DCE1-4817-94ED-6BA4200F9AF2} - C:\Program Files\IncrediBar\bin\IBTBar.dllO9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dllO9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dllO9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dllO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cabO20 - Winlogon Notify: req - C:\WINDOWS\system32eq.dllO23 - Service: AVP Control Centre Service (AVPCC) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\avpcc.exe" /Service (file missing)O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXEO23 - Service: KAV Monitor Service (KAVMonitorService) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\avpm.exe" /Service (file missing)O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exeO23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exesuis-je sortie d'affaire, doc ??mon intuition féminine me dit que non malheureusement....bon, en tout cas merci pour cette aide précieuse, je dirais bien à charge de revanche mais mon niveau en informatique devrait en faire rire plus d'un !!!alors, simplement et humblement merci.

dafy · Answer

juste par politesse, je serais absente de chez moi jusqu'à vendredi pour améliorer ma santé (et ensuite je serais tout ouiie pour celle de mon pc)merci merci

dafy · Answer

me revoilà !
bonsoir,
j'ai été obligée de désinstaller kaspersky car il continue de planter l'ordi dès qu'il découvre le trojan con hook...
avant de partir, j'ai fait un scan (après avoir suivi tous les consils) et voici les résultats :

Scan started at 27/04/2005 11:49:22

Scanning memory...
Scanning boot sectors...
Scanning files...
C:\Documents and Settings\dafy\Bureau\sony-ericsson\sonneries\5\Sony Ericsson T610 Phonetools - Firmwares with Flasher, 596 Tools, 33 Applications, 202 Screensavers, 1709 Sounds, 428 Themes, 336 Wallpaper.rar->Sony Ericsson Phonetools\Flashing\Flashing Too... - Worm:Win32/Loxar -> Infected
C:\Documents and Settings\dafy\Bureau\sony-ericsson\sonneries\5\Sony Ericsson Phonetools\Flashing\Flashing Tools\div_usb_crack1.rar->1st.exe->(UPXW) - Worm:Win32/Loxar -> Infected

Scanned
============================
Objects: 152901
Directories: 14035
Archives: 31457
Size(Kb): -2045886
Infected files: 2

Found
============================
Viruses found: 1
Suspicious files: 0
Disinfected files: 0
Mail files: 2267

on va y-arriver tout de même !!!!!
a bientôt

Perdue dans hijack

13 réponses

Discussions similaires

Newsletters