problème belgium_nm.exe

Question

bonjour à tous.

un petit prob pas nouveau apparemment mais trés récalcitrant chez moi
il y a un fichier belgium_nm.exe qui se rechare à chaque démarrage même si je l'ai effacé. Les différents trucs (a², hijack, spybot, adaware) n'y font rien. j'ai un raccourci dénommé "win movie plugin" qui réapparait à chaque fois sur le bureau, dans les favoris avec une fenêtre master69.biz écrite en italien.
En plus, la page internet de démarrage se met systématiquement sur www.sfondissimi.net même en mettant ce site dans la catégorie des sites sensibles.
Je vous parle pas des pop up dans tous les sens

j'avais norton 2003 mais finalement je l'ai viré parce qu'il me servait pas à grand chose.

A votre avis, je peux éviter de réinstaller XP.?
et comment.?

merci d'avance pour vos conseils, car je sèche dessus depuis 8 jours et je commence un peu à saturer

voici mon dernier log file de Hijack

Logfile of HijackThis v1.99.1
Scan saved at 23:30:57, on 6/05/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\apps\ABoard\ABoard.exe
C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe
C:\apps\ABoard\AOSD.exe
C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\ctfmon.exe
C:\APPS\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe
C:\Program Files\Nikon\NkView6\NkvMon.exe
C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe
C:\Documents and Settings\demo\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.sfondissimi.net/?1746
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = file://C:\APPS\IE\offline\befr.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Packard Bell
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {ED103D9F-3070-4580-AB1E-E5C179C1AE41} - (no file)
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ACTIVBOARD] c:\apps\ABoard\ABoard.exe
O4 - HKLM\..\Run: [VCSPlayer] "C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe"
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [checkrun] C:\windows\system32\elitekbn32.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Contrôleur de calendrier Ulead.lnk = C:\APPS\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: NkvMon.exe.lnk = C:\Program Files\Nikon\NkView6\NkvMon.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\befr.htm
O15 - Trusted Zone: www.master69.biz
O15 - Trusted Zone: www.sfondissimi.net
O15 - Trusted Zone: www.yeak.net
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: Virtual CD v4 Security service (SDK - Version) (VCSSecS) - H+H Software GmbH - C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

Afficher la suite

moe · Answer

salut nicocohs'il reapparait apres un redemarrage, alors redemarre ton pc et ensuite reposte un log hijakthisa+

balltrap34 · Answer

je comprend pas ta reponse moe sur se coup la

moe · Answer

je sais que ca peut paraitre bizarre, mais je pense qu'il a chopé click me version belge.
je m'explique:
apparement c'est un dialer qui prend le nom du pays ou il est chargé(en france c'est france.exe) et il est apparement lié au spy élite qu'on retrouve souvent avec.
le reboot c'est juste pour vérifier le nom de l'entree au demarrage

je sais, je fais compliqué mais je suis curieux de nature lol

regis59 · Answer

pas mal comme hypothese, fallait y songer !!

moe · Answer

salut Télécharge LQfix http://users.pandora.be/bluepatchy/LQfix.zip Dezippe le mais ne l'utilise pas encore -= 1 =- Pour ne pas se retrouver avec des points de restau systeme infectés il vaut mieux la désactiver avant. Clic droit sur poste de travail > propriétés > onglet restauration système puis cocher la case "désactiver la restauration système". valider (accepte le redemarrage). -= 2 =- Les manips doivent etres faites en mode sans echecs Redémarrer en mode sans échec Laisse passer l'écran du bios, puis tapote sur la touche F8. Choisis le mode sans échec dans les options et valide avec entrée. -= 3 =- Rendre visible les fichiers cachés et systeme panneau de configuration > options des dossiers > onglet affichage Cocher " afficher les fichiers et dossiers cachés " Décocher " masquer les extentions des fichiers dont le type est connu Décocher " masquer les fichiers protégés du système" Valide _-_-_-_-_-_-_-_-_-_- Lance hijackthis et Fixe: cocher la case au début des lignes suivantes: R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.sfondissimi.net/?1746 O2 - BHO: (no name) - {ED103D9F-3070-4580-AB1E-E5C179C1AE41} - (no file) O4 - HKLM\..\Run: [checkrun] C:\windows\system32\elitekbn32.exe O15 - Trusted Zone: www.master69.biz O15 - Trusted Zone: www.sfondissimi.net O15 - Trusted Zone: www.yeak.net valider avec [fix checked] Rechercher et supprimer si présent: Dans le cas ou tu utiliserais la fonction Rechercher: Assure toi que dans: Tous les fichiers et tous les dossiers >> Options avancées • Rechercher dans les dossiers systemes <- DOIT ETRE COCHE ! • Rechercher dans les fichiers et les dossiers cachés <- DOIT ETRE COCHE ! • Rechercher dans les sous-dossiers <- DOIT ETRE COCHE ! Supprime: C:\Windows\System32\belgium_nm.exe C:\Documents and Settings\\bureau\Click Me.lnk C:\Documents and Settings\\menu demarrer\Click Me.lnk • C:\Documents and Settings\\menu demarrer\Uninstall Click Me.lnk Ensuite, tres important: Supprimer les fichiers temporaires: * C:\Documents and Settings on compte\Local Settings\Temp * C:\Documents and Settings ous les autres comptes\Local Settings\Temp * C:\Temp * C:\Windows\Temp vider tout le contenu des dossiers en gras. Le contenu du dossier prefetch: * C:\WINDOWS\Prefetch <= sauf le fichier layout.ini * Ne pas oublier de vider la corbeille ! ------------------------- lance le prog que tu as telechargé en double cliquant sur lqfix.bat redemarre normalement et supprime tous les raccourcis indesirables et reposte un log hijack pour vérifier l'évolution Ne pas oublier après les manips de recocher" masquer les fichiers protégés du système" dans les options des dossiers a+

balltrap34 · Answer

oki moe mais tu est encore plus tordu que moi lol et c est pas peu dire

moe · Answer

bah, pour le dialer et le nom qui change selon le pays, l'info viens de symantec donc je me foule pas trop LOL

balltrap34 · Answer

fallait pas le direbon tan pisha ha ha

moe · Answer

salut nicocoh

Apparement plus aucunes trace de belgique.exe et d'élite (les 2 sont liés apparement)

Lqfix c'est un petit programme qui a été spécialement fait pour rechercher et detruire les fichiers créés par le spyware élite.

Tu peux réactiver la restauration systeme.
Clic droit sur poste de travail > propriétés > onglet restauration système
puis décocher la case "désactiver la restauration système".
valider

content pour toi ;-)

a+
a+

Problème belgium_nm.exe

9 réponses

Votre réponse

Newsletters