Popuper.exe Fermé

Question

Bonjour.J'ai un réel problème sur mon PC portable. Quand j'ouvre wanadoo tout fonctionne bien par contre dès que j'ouvre une rubrique dans Wanadoo, une page "YOUR HOME PAGE" s'affiche , je ne peux pas lire mon courrier ni rien ouvrir comme rubrique de Wanadoo.Ce qui est étonnant c'est que ça me le fait que sur Wanadoo.Je pense avoir DES virus, il y en a un qui s'appelle PUPUPER.EXE que j'ai vu dans mon Logfile que je vous mets en copie. Si quelequ'un de très sympa et compétant pouvait me sortir de cet embarras je lui en serais très reconnaissant.Voici mon Logfile:Logfile of HijackThis v1.99.1Scan saved at 11:27:32, on 23/05/2005Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\System32\ibmpmsvc.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\PROGRA~1\NavNT\DefWatch.exeC:\WINDOWS\System32\NALNTSRV.EXEC:\PROGRA~1\AT&TGL~1\NetCfgSv.EXEC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\wm.exeC:\WINDOWS\popuper.exeC:\WINDOWS\System32\msole32.exeC:\WINDOWS\System32\intmonp.exeC:\WINDOWS\System32\shnlog.exeC:\WINDOWS\System32\dpmw32.exeC:\WINDOWS\System32\NWTRAY.EXEC:\PROGRA~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exeC:\PROGRA~1\ThinkPad\UTILIT~1\TP98TRAY.EXEC:\WINDOWS\System32\ltmsg.exeC:\PROGRA~1\NavNT\vptray.exeC:\WINDOWS\System32\intmon.exeC:\Program Files\iTunes\iTunesHelper.exeC:\Program Files\QuickTime\qttask.exeC:\Program Files\CyberLink\PowerDVD\PDVDServ.exeC:\WINDOWS\System32\ctfmon.exeC:\Program Files\Microsoft ActiveSync\WCESCOMM.EXEC:\Program Files\iPod\bin\iPodService.exeC:\Program Files\Sagem - Utilitaire réseau pour Clé USB Wi-Fi 802.11g\WLANUTL.exeC:\Program Files\Sony Handheld\HOTSYNC.EXEC:\WINDOWS\explorer.exeC:\Program Files\ThinkPad\PkgMgr\HOTKEY\TPONSCR.exeC:\Lotus\Notes\NLNOTES.EXEC:\Lotus\Notes
wrdaemn.EXEC:\Lotus\Notes
update.EXEC:\Lotus\Notes
hldaemn.EXEC:\Program Files\Sony Handheld\palm.exeC:\Program Files\MSN Messenger\msnmsgr.exeD:\documents and Settings\ebp4437\My Documents\HijackThis.exeF2 - REG:system.ini: UserInit=C:\WINDOWS\System32\Userinit.exeO2 - BHO: VMHomepage Class - {FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA} - C:\WINDOWS\System32\hpC4C2.tmpO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO4 - HKLM\..\Run: [NDPS] C:\WINDOWS\System32\dpmw32.exeO4 - HKLM\..\Run: [NWTRAY] NWTRAY.EXEO4 - HKLM\..\Run: [TPHOTKEY] C:\PROGRA~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exeO4 - HKLM\..\Run: [vptray] C:\PROGRA~1\NavNT\vptray.exeO4 - HKLM\..\Run: [ControlPanel] C:\WINDOWS\System32	wink64.exe internat.dll,LoadKeyboardProfileO4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -kO4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exeO4 - HKCU\..\Run: [BestPopUpKiller] C:\Program Files\BestPopUpKiller\BestPopupKiller.exe /startupO4 - HKCU\..\Run: [ITD65_ITD] "C:\Program Files\Steganos Trace Destructor 6.5\itd.exe" /bootingO4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"O4 - Startup: HotSync Manager.LNK = C:\Program Files\Sony Handheld\HOTSYNC.EXEO15 - Trusted Zone: http://www.wanadoo.frO16 - DPF: {1E2A7BD0-DAB9-11D0-B93A-00C04FC99F9E} - http://activex.microsoft.com/objects/ocget.dllO16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/09811597cbe968175605/netzip/RdxIE601.cabO16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cabO16 - DPF: {8EB3FF4E-86A1-4717-884D-7BA2D38272CB} (F-Secure Online Scanner) - http://www.securitoo.com/fra/pages/navol/fscax.cabO16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cabO16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cabO16 - DPF: {B8A23E08-0B26-4348-AA96-33395A51DDD9} - http://activex.microsoft.com/objects/ocget.dllO23 - Service: DefWatch - Symantec Corporation - C:\PROGRA~1\NavNT\DefWatch.exeO23 - Service: IBM PM Service (IBMPMSVC) - Unknown owner - C:\WINDOWS\System32\ibmpmsvc.exeO23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exeO23 - Service: Novell Application Launcher (NALNTSERVICE) - Novell, Inc. - C:\WINDOWS\System32\NALNTSRV.EXEO23 - Service: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\PROGRA~1\NavNTtvscan.exeO23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exeO23 - Service: Novell Workstation Manager (WM) - Novell, Inc. - C:\WINDOWS\System32\wm.exeMerci encore.Franck( le vrp)

Utilisateur anonyme · Answer

salut vrp

en effet il y a du ménage à faire.

Telecharge: Pocket Killbox ici
http://www.downloads.subratam.org/KillBox.exe
et ceci
http://www.bleepingcomputer.com/files/reg/smitfraud.reg

mais ne les utilisent pas pour le moment

Déconnecte toi d'internet:

 Vide le cache d'Internet Explorer et supprime les cookies:

* Panneau de configuration >> Options internet >> Onglet "Général"
- Clic sur [supprimer les cookies]
- Clic sur [Supprimer les fichiers] et coche la case "Supprimer tout le contenu hors connexion"
Valide avec ok

Pour ne pas se retrouver avec des points de restauration systeme infectés il vaut mieux la désactiver:

Désactive la restauration systéme.
Clic droit sur poste de travail > propriétés > onglet restauration système
puis cocher "désactiver la restauration système".
clic sur ok pour valider
(accepte le redemarrage).

Redémarre en mode sans échec
Laisse passer l'écran du bios, puis tapote sur la touche F8.
Choisis le mode sans échec dans les options et valide avec entrée.

Rend visible les fichiers cachés et systeme
panneau de configuration > options des dossiers > onglet affichage
Cocher " afficher les fichiers et dossiers cachés "
Décocher " masquer les extentions des fichiers dont le type est connu
Décocher " masquer les fichiers protégés du système"
clic sur ok pour valider

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

 Lance hijackthis et clic sur "do a system scan only"
cocher la case au début des lignes suivantes:

O2 - BHO: VMHomepage Class - {FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA} - C:\WINDOWS\System32\hpC4C2.tmp
O4 - HKLM\..\Run: [ControlPanel] C:\WINDOWS\System32\twink64.exe internat.dll,LoadKeyboardProfile
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

valider avec [fix checked]

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

 Rechercher et supprimer:
Dans le cas ou tu utiliserais la fonction Rechercher:
Assure toi que dans:
Tous les fichiers et tous les dossiers >> Options avancées
• Rechercher dans les dossiers systemes <- DOIT ETRE COCHE !
• Rechercher dans les fichiers et les dossiers cachés <- DOIT ETRE COCHE !
• Rechercher dans les sous-dossiers <- DOIT ETRE COCHE !

Supprime, si présent:

C:\WINDOWS\System32\twink64.exe
C:\Program Files\Search Maid
C:\Program Files\Virtual Maid
C:\Windows\System32\Log Files
C:\Program Files\Security IGuard

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

Ensuite, tres important:

:: Supprimer les fichiers temporaires ::

* C:\Documents and Settings\ton compte\Local Settings\Temp
* C:\Documents and Settings\tous les autres comptes\Local Settings\Temp
* C:\Temp
* C:\Windows\Temp
vider tout le contenu des dossiers en gras.

:: Le contenu du dossier prefetch ::

* C:\WINDOWS\Prefetch <= sauf le fichier layout.ini

* Ne pas oublier de vider la corbeille !

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

Double clic sur smitfraud.reg et accepte de fusionner

Puis, on va supprimer les fichiers infectés à l'aide de killbox
voir en image ici:
http://cjoint.com/?fwtnoBqAL2

1- Double-clic sur KillBox.exe
2- Selectionne "Delete on Reboot"
3- Copie une par une chaques ligne de la liste en gras et colle dans "Full Path of File to Delete"
4- clic sur la croix rouge
5- une fenetre va apparaitre pour confirmation clic sur YES
6- une seconde fenetre te demande si tu veux redemarrer clic sur NO

Recommence à l'étape 2 pour chaques lignes en gras.
Une fois la derniere selectionnées, à l'étape 6 clic sur YES

liste

C:\wp.exe
C:\wp.bmp
C:\bsw.exe
C:\Windows\sites.ini
C:\Windows\popuper.exe
C:\Windows\System32\hhk.dll
C:\Windows\System32\wldr.dll
C:\Windows\System32\helper.exe
C:\Windows\System32\intmon.exe
C:\Windows\System32\shnlog.exe
C:\Windows\System32\intmonp.exe
C:\Windows\System32\msmsgs.exe
C:\Windows\system32\msole32.exe
C:\Windows\System32\ole32vbs.exe

ne tiens pas compte de possibles message d'erreur de killbox, et si ton pc ne redemarre pas automatiquement apres avoir selectionné le dernier fichier de la liste et apres avoir validé yes pour le redemarrage, redemarre le manuellement.

une fois en mode normal, fais un scan AV ici:
http://www.ravantivirus.com/scan/
Clic sur "To continue without subscribing click here"
Accepte le control active x
Lorsque "Ready" est affiché dans "status", clic sur "Scan my PC".
A la fin de l'analyse, copier/coller le rapport ici + un nouveau rapport hijackthis

a+