Trojan - Page 2

oui, mais détaille bien la procédure (avec process xp).

a+

ok super moe, on fait une bonne equipe tu trouve pas?? lol
je vais reprendre ton model !! pas folle la guepe !! lol
Bon courage moe et a +++

coucou,

Imprime, ou enregistre dans le bloc note pour ne rien oublier

Désactive la restauration systeme
Clic droit sur poste de travail > propriétés > onglet restauration système
puis cocher "désactiver la restauration système".

et reboot le pc normalement (pas en sans echecs)

1/ telecharge process xp ici:
http://www.sysinternals.com/files/procexpnt.zip

Telecharge: Pocket Killbox ici
http://www.downloads.subratam.org/KillBox.exe

Désactive le temps de la manip, le Tea timer de spybot (si tu l as)
lance spybot >> outils >> résident
Décoche la case résident "tea timer"
referme spybot

2/ Déconnecte toi du net.
Ferme tous les programmes en cours (média player, internet explorer, ...etc)

Dézippe(clic droit > extraire) process xp et double clic sur processxp.exe

* Dans la fenetre principale de processxp double clic sur winlogon.exe
Dans la nouvelle fenetre qui s'ouvre clic sur threads
selectionne seulement les lignes qui contiennent srun.dll puis clic sur kill pour chacunes des lignes trouvées.
une fois fait, valider avec ok

* Dans la fenetre principale de processxp double clic sur explorer.exe
Dans la nouvelle fenetre qui s'ouvre clic sur threads
selectionner seulement les lignes qui contiennent srun.dll puis clic sur kill pour chacunes des lignes trouvées.
une fois fait, valider avec ok

3/puis lancer hijackthis:

clic sur "do a system scan only"

* Cocher la case au début de ces lignes:

O2 - BHO: MSEvents Object - {44240BB5-BD7D-4D49-A1AA-8AB0F3D3CB44} - C:\WINDOWS\srun.dll

O20 - Winlogon Notify: srun - C:\WINDOWS\srun.dll

* Valider avec fix checked

5/

Double clic sur killbox.exe (Pocket Killbox)

- coche: delete on reboot
- Dans "Full Path of File to Delete"
copie et colle:

C:\WINDOWS\srun.dll (ou recherche grace a l explorateur)

- clic sur la croix rouge
- une fenetre va apparaitre pour confirmation clic sur YES
- une seconde fenetre te demande si tu veux redemarrer clic sur YES

Laisse le pc redemarrer
recoche la case pour réactiver le tea timer de spybot
reactive en decochant la case de la restauration systeme
et après reposte un log hijackthis.

a+

coucou regis59 :)

Youppi, je crois que c'est tout bon...enfin je croise les doigts.
Voici mon log de hijackthis :

Logfile of HijackThis v1.99.1
Scan saved at 12:41:30, on 2005-05-13
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Java\j2re1.4.2_05\bin\jusched.exe
C:\Program Files\NetDrive\netdrive.exe
C:\WINDOWS\System32\LVCOMSX.EXE
C:\Program Files\Logitech\Video\LogiTray.exe
C:\Program Files\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\ctfmon.exe
D:\Ulead Photo Express 3.0 SE\CalCheck.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\Program Files\Zone Labs\ZoneAlarm\zonealarm.exe
C:\Program Files\Logitech\Video\FxSvr2.exe
C:\Program Files\AVPersonal\AVGUARD.EXE
C:\Program Files\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\Program Files\NetDrive\wdService.exe
C:\WINDOWS\System32\wuauclt.exe
C:\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.google.fr/keyword/%s
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr/ie
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.fr
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://webmasterofgoldanddiamonds.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.fr/ie_rsearch.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Caro
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKLM\..\Run: [WebDriveTray] C:\Program Files\NetDrive\netdrive.exe /trayicon
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\System32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [IncrediMail] C:\Program Files\IncrediMail\bin\IncMail.exe /c
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - Startup: ĵµð¹Ù À©µµ¿ì ½Ã°è.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Photo Express SE Calendar Checker.lnk = D:\Ulead Photo Express 3.0 SE\CalCheck.exe
O4 - Global Startup: ZoneAlarm.lnk = C:\Program Files\Zone Labs\ZoneAlarm\zonealarm.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Backward Links - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Ouvrir le cadre dans une nouvelle fenêtre - file://C:\WINDOWS\web\nvcadre.html
O8 - Extra context menu item: Similar Pages - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Translate into English - res://c:\program files\google\GoogleToolbar2.dll/cmtrans.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_05\bin\npjpi142_05.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_05\bin\npjpi142_05.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall-beta.trendmicro.com/housecall/xscan60.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://groups.msn.com/controls/PhotoUC/MsnPUpld.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {C3DFA998-A486-11D4-AA25-00C04F72DAEB} (MSN Photo Upload Tool) - http://sc.groups.msn.com/controls/PhotoUC/MsnPUpld.cab
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup/downloader_sp1/imloader.cab
O16 - DPF: {F5192746-22D6-41BD-9D2D-1E75D14FBD3C} - http://216.65.38.226/crack.CAB
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
O23 - Service: Macromedia Licensing Service - Macromedia - C:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZONELABS\vsmon.exe
O23 - Service: WebDrive Service (WebDriveService) - Unknown owner - C:\Program Files\NetDrive\wdService.exe

J'attend le verdict...
a+

je veux vous remercier du fond du coeur ! C'est rare qu'on trouve des gens aussi sympas et dévoués de nos jours sur internet! C'est la première fois que je viens sur ce forum et je suis ravie de l'avoir trouvée.

Merci spécial à regis et moe, j'espère que vous me lirez...j'ai fait deux petites animations...c'est rien du tout mais c'est de bon coeur, je suis tellement contente que mon pc soit de nouveau fonctionnel !

http://solosolo.site.voila.fr/moe.gif (merci moe)

http://solosolo.site.voila.fr/regis.gif (merci regis)

A bientôt,
solo :))

salut !!

Merci du bon fond du coeur mais toutes ces manips viennent de moe !! lol je n ai fait qu appliquer sa methode !
Merci pour ce lien, c est super !!

Vous etes debarrassée de ce trojan, je n ai pas le matos sous la main mais je ppense vous pouvez fixer ceci aussi :
O4 - Startup: ĵµð¹Ù À©µµ¿ì ½Ã°è.lnk = ?
R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.google.fr/keyword/%s

PS: ceci:
http://webmasterofgoldanddiamonds.com/ c est votre site??

a+

salut solo

merci pour le gif, c'est vraiment sympa de ta part.
Pour la méthode, elle ne viens pas de moi, je n'ai fais que la reprendre.

à bientot, mais pas trop vite quand meme ;-)

a+

Vous etes debarrassée de ce trojan, je n ai pas le matos sous la main mais je ppense vous pouvez fixer ceci aussi : 
O4 - Startup: ĵµð¹Ù À©µµ¿ì ½Ã°è.lnk = ? 
R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.google.fr/keyword/%s 

PS: ceci: 
http://webmasterofgoldanddiamonds.com/ c est votre site?? 

merci regis, je vais voir ça ;)
pour la question en p.s. oui :)

Bye. Bye.
Encore merci :)

re moi,
desole de poser cette question:
as tu deja consulter des sites X?

en tout cas fix ces 2 la deja:
O4 - Startup: ĵµð¹Ù À©µµ¿ì ½Ã°è.lnk = ?
R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.google.fr/keyword/%s

puis recolle un log mais tu as deja consulter toi ou qqun d autre?

a+ (soit pas gene)

salut
a tous
j ai lu quelque part qu il faut passer le fix en mode sans echec et en veillent a desactiver norton et la restauration

oui, mais apparement ca marche pas a tout les coups, erreur de manips ou fix fait dans l'urgence, je sais pas.
C'est comme avec nail.exe, sur un post, croyant lui faire sa fete avec lm2fix qui pourtant donne de bon résultats et ben non, plus dur que prévu lol
http://www.commentcamarche.net/forum/affich-1504975-ipassist-biz-et-autres-pbs-SCAN-HIJACKING#55

a+

oui j ai vu le post ou tu la zapper avec find it bien jouer

oui, mais j'ai bien cru ne pas y arriver
Heureusement qu'il y a des gens qui font des log comme find it, car ca devient pour certain trojans de plus en plus complexe à virer juste avec hijack.

a+

oui j aimerais bien etre a leur niveaux lol
j ai un amis qui fait de la programation en pro mais il a jamais le temp dur dur

moi aussi j'aimerais bien, mais doit falloir du temp pour apprendre, meme pour un bat, ca demande quand meme de connaitre un minimum de chose sur les commandes employéés.

sur ce, j'arrete pour ce soir...

a+

oui il faut connaitre deja le dos pour commencer et c est que le debut lol re lol

Bonsoir à vous puis-je vous aider si vous le souhaitez concernant votre problème de ce virus trojan moi aussi je vis la meme chose depuis une semaine et la je fini justement un programe qui a bien fonctionné a+

coucou fushia (tres beau)
télécharge hijackthis ici:
http://www.hijackthis.de/downloads/hijackthis_199.zip
L'aide est ici:
http://www.zebulon.fr/articles/HijackThis.php

Dezippz le dans un dossier prévu a cet effet.
Par exemple C:\hijackthis
lancez le puis:
clic sur "do a system scan and save logfile"
faire un copier coller du log entier sur le forum.

a+

mince j ai lu trop vite lol
vous pouvez plus vous explicité svp lol
desole jme suis trompé je pensais voyus aviez pareille, desole