fentres publicitaire intempestive Résolu

Question

Bonjour,
Jai un problème de fentres qui s'ouvre quand je navigue sur internet des fenetres de pub viennent s'ouvrir en continu, jai télécharger Navilog1 mais apparament il y a un probléme de comptabilité car rien ne se passe jai windows 7 comment faire ?

gen-hackman · Answer

salut :

lance navilog en clic droit "executer en tant qu'administrateur" , option 1 , et poste le rapport

jason90 · Answer

merci jai essayé mais cela ne fonctionne pas une fenetre bleu tente de s'ouvrir et cela se coupe direct

gen-hackman · Answer

passe le en mode sans echec avec la meme manip que je t ai indiqué

jason90 · Answer

Meme en mode sans echec et avec executer en tant qu'administrateur je ne peux pas lancer navilog je précise jai windows 7

gen-hackman · Answer

bien :

Desactive ton antivirus le temps de la manip ainsi que ton parefeu si présent

&#9654 Télécharge List&Kill'em.scr et enregistre le sur ton bureau

&#9654 dezippe-le , (clic droit/ extraire.....)

Il ne necessite pas d'installation 

&#9654 double clic (clic droit "executer en tant qu'administrateur" pour Vista/7) pour lancer le scan

choisis la langue puis choisis l'option 1 = Mode Recherche

&#9654 laisse travailler l'outil

un rapport du nom de catchme apparait sur ton bureau , ignore-le , mais ne le supprime pas pour l instant

&#9654 Poste le contenu du rapport qui s'ouvre

(si le premier lien ne fonctionne pas : List_Kill'em.bat )

Utilisateur anonyme · Answer

Salut ,

AD-R s occupe de navipromo sinon .....

Bonne suite .

jason90 · Answer

Merci gen-hackman le deuxième lines fonctionne mais comme tout a l'heure jouvre l'application en administrateur avec pare feux et antivirus desactivé mais rien une fentre s'ouvre et se coupe directe je suis dégouté

gen-hackman · Answer

reessaie en mode sans echec

jason90 · Answer

jai réussi voila le rapport du fichier catchme

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-12-11 10:08:48
Windows 6.1.7600  WOW64 NTFS

detected NTDLL code modification:
ZwEnumerateKey 0 != 47, ZwQueryKey 0 != 19, ZwOpenKey 0 != 15, ZwClose 0 != 12, ZwEnumerateValueKey 0 != 16, ZwQueryValueKey

gen-hackman · Answer

non c'est le rapport qui s ouvre seul qu il me faut

jason90 · Answer

voila le rapport 


List'em by g3n-h@ckm@n 1.1.5.1 

Thx to Chiquitine29.....& CCM team 

User : LUC () # LUC-PC
Update on 11/12/2009 by g3n-h@ckm@n ::::: 20:30 
Start at: 06:17:12 | 13/12/2009
Contact : g3n-h@ckm@n sur CCM

AMD Athlon(tm) II X2 215 Processor 
Microsoft Windows 7 Édition Familiale Premium  (6.1.7600 64-bit) # 
Internet Explorer 8.0.7600.16385
Windows Firewall Status : Enabled

C:\ -> Disque fixe local | 141,45 Go (103,08 Go free) [Packard Bell] | NTFS
D:\ -> Disque fixe local | 141,54 Go (133,02 Go free) [DATA] | NTFS
E:\ -> Disque CD-ROM | 974,67 Mo (0 Mo free) [CM2010] | UDF
F:\ -> Disque amovible
G:\ -> Disque amovible
H:\ -> Disque amovible
I:\ -> Disque amovible

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes running 

C:\Users\LUC\Desktop\List_Killem.bat 1220
C:\Windows\SysWOW64\cmd.exe 1244
C:\Users\LUC\AppData\Local\Temp\83EE.tmp\pv.exe 1428

======================
Keys "Run" 
======================
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
swg	REG_SZ         	"C:\Program Files (x86)\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"
Steam	REG_SZ         	D:\jeux\Steam.exe -silent

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
Adobe Reader Speed Launcher	REG_SZ         	"C:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe" 
NortonOnlineBackupReminder	REG_SZ         	"C:\Program Files (x86)\Symantec\Norton Online Backup\Activation\NobuActivation.exe" UNATTENDED 
WinampAgent	REG_SZ         	D:\Winamp\winampa.exe 
LifeCam	REG_SZ         	"C:\Program Files (x86)\Microsoft LifeCam\LifeExp.exe" 
QuickTime Task	REG_SZ         	"C:\Program Files (x86)\QuickTime\QTTask.exe" -atboottime 
iTunesHelper	REG_SZ         	"D:\iTunesHelper.exe" 
 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]

=====================
Other Keys
=====================
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System] 
ConsentPromptBehaviorAdmin	REG_DWORD      	5 (0x5) 
ConsentPromptBehaviorUser	REG_DWORD      	3 (0x3) 
EnableInstallerDetection	REG_DWORD      	1 (0x1) 
EnableLUA	REG_DWORD      	1 (0x1) 
EnableSecureUIAPaths	REG_DWORD      	1 (0x1) 
EnableUIADesktopToggle	REG_DWORD      	0 (0x0) 
EnableVirtualization	REG_DWORD      	1 (0x1) 
PromptOnSecureDesktop	REG_DWORD      	1 (0x1) 
ValidateAdminCodeSignatures	REG_DWORD      	0 (0x0) 
dontdisplaylastusername	REG_DWORD      	0 (0x0) 
legalnoticecaption	REG_SZ         	 
legalnoticetext	REG_SZ         	 
scforceoption	REG_DWORD      	0 (0x0) 
shutdownwithoutlogon	REG_DWORD      	1 (0x1) 
undockwithoutlogon	REG_DWORD      	1 (0x1) 
FilterAdministratorToken	REG_DWORD      	0 (0x0) 

===============
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer] 

===============
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\explorer] 
NoActiveDesktop	REG_DWORD      	1 (0x1) 
NoActiveDesktopChanges	REG_DWORD      	1 (0x1) 
ForceActiveDesktopOn	REG_DWORD      	0 (0x0) 

=============== 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
AppInit_DLLS	REG_SZ         	

===============

===============
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]

===============
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]

=============== 
BHO :
======
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{18DF081C-E8AD-4283-A596-FA578C2EBDC3}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{1D74E9DD-8987-448b-B2CB-67FFF2B8A932}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{5C255C8A-E604-49b4-9D64-90988571CECB}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{602ADB0E-4AFF-4217-8AA1-95DAC4DFA408}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{6D53EC84-6AAE-4787-AEEE-F4628F01010C}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{6EBF7485-159F-4bff-A14F-B9E3AAC4465B}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{9030D464-4C02-4ABF-8ECC-5164760863C6}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{AA58ED58-01DD-4d91-8333-CF10577473F7}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{AF69DE43-7D58-4638-B6FA-CE66B5AD205D}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{E15A8DC0-8516-42A1-81EA-DC94EC1ACF10}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{EB4A577D-BCAD-4b1c-8AF2-9A74B8DD3431}]

================
Internet Explorer :
================
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page	REG_SZ         	http://homepage.packardbell.com/rdr.aspx?b=ACPW&l=040c&m=imedia_s3210&r=173611091106p03g5v145y47n49216

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page	REG_SZ         	http://homepage.packardbell.com/rdr.aspx?b=ACPW&l=040c&m=imedia_s3210&r=173611091106p03g5v145y47n49216

========
Services
========
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services] 

Ndisuio : 0x3 
EapHost : 0x3 
Wlansvc : 0x3 
SharedAccess : 0x3 
windefend : 0x3 
wuauserv : 0x2 
wscsvc : 0x2 

=========
 

E:\Autorun.inf :
----------------
[autorun]
icon=autorun.exe,0
open=autorun.exe


=======
Drive :
=======


==========
Programs
==========

Adobe
AGEIA Technologies
Apple Software Update
Automated Content Enhancer
Bonjour
CFWebAdvancedU
Common Files
desktop.ini
Eidos
Gameztar Toolbar
Google
InstallShield Installation Information
Internet Explorer
Inventel
Messenger Plus! Live
Microsoft
Microsoft LifeCam
Microsoft Office
Microsoft Office Suite Activation Assistant
Microsoft Silverlight
Microsoft SQL Server Compact Edition
Microsoft Sync Framework
Microsoft Visual Studio 8
Microsoft Works
Microsoft.NET
Mozilla Firefox
MSBuild
MSXML 4.0
Navilog1
Nero
Norton Internet Security
NortonInstaller
OEM
Packard Bell
Packard Bell GameZone
QuickTime
Realtek
Reference Assemblies
Symantec
Temp
Uninstall Information
Web Search Operator
Windows Defender
Windows Live
Windows Live SkyDrive
Windows Mail
Windows Media Player
Windows NT
Windows Photo Viewer
Windows Portable Devices
Windows Sidebar

¤¤¤¤¤¤¤¤¤¤ Files/folders :

C:\ProgramData\Partner  
C:\Program Files (x86)\Automated Content Enhancer  
C:\Program Files (x86)\Web Search Operator  
C:\Windows\System32\EXPLORER.exe  
C:\Windows\System32egedit.exe  
C:\Users\LUC\LOCAL Settings\Temp\CFWeb.exe  
C:\Users\LUC\LOCAL Settings\Temp\final_step.exe  
C:\Users\LUC\LOCAL Settings\Temp\wlsetup-cvr.exe  
C:\Users\LUC\LOCAL Settings\Temp	mp144B.tmp  
C:\Users\LUC\LOCAL Settings\Temp	mp1BCE.tmp  
C:\Users\LUC\LOCAL Settings\Temp	mp3478.tmp  
C:\Users\LUC\LOCAL Settings\Temp	mpA41A.tmp  
C:\Users\LUC\LOCAL Settings\Temp	mpB2DA.tmp  
 
¤¤¤¤¤¤¤¤¤¤ Keys : 

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer "NoActiveDesktopChanges"  
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{1D74E9DD-8987-448b-B2CB-67FFF2B8A932}"  
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{eb4a577d-bcad-4b1c-8af2-9a74b8dd3431}"  
HKCR\CLSID\{eb4a577d-bcad-4b1c-8af2-9a74b8dd3431}  
HKCR\explorerbar.funexplorer  
HKCR\explorerbar.funexplorer.1  
HKCR\explorerbar.funredirector  
HKCR\explorerbar.funredirector.1  
HKCR\Interface\{480098c6-f6ad-4c61-9b5c-2bae228a34d1}  
HKCR\interface\{877f3eab-4462-44df-8475-6064eafd7fbf}  
HKCR\Typelib\{883dfc00-8a21-411d-956c-73a4e4b7d16f}  
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{83ff80f4-8c74-4b80-b5ba-c8ddd434e5c4}  
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{eb4a577d-bcad-4b1c-8af2-9a74b8dd3431}  

=========
Rootkits
=========

driver loading error catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-12-13 06:18:33
Windows 6.1.7600  WOW64 NTFS

detected NTDLL code modification:
ZwEnumerateKey 0 != 47, ZwQueryKey 0 != 19, ZwOpenKey 0 != 15, ZwClose 0 != 12, ZwEnumerateValueKey 0 != 16, ZwQueryValueKey 0 != 20, ZwOpenFile 0 != 48, ZwQueryDirectoryFile 0 != 50, ZwQuerySystemInformation 0 != 51Initialization error


Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: error reading MBR 
 
 
 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

gen-hackman · Answer

salut :

&#9654 Relance List&Kill'em comme tu as fait pour l'option 1 (soit en clic droit pour vista),

mais cette fois-ci :

&#9654 choisis l'option 2 = Mode Destruction

laisse travailler l'outil.

en fin de scan un rapport s'ouvre 

&#9654 colle le contenu dans ta reponse 

ensuite :

Télécharge mbr.exe de Gmer ici :
http://www2.gmer.net/mbr/mbr.exe
et enregistre le fichier sur le Bureau.


Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident)
Double clique sur mbr.exe
Un rapport sera généré : mbr.log
En cas d'infection, ce message "MBR rootkit code detected" va apparaitre.

Si c'est le cas, continue comme ça :

Dans le menu Démarrer- Exécuter tape : "%userprofile%\Bureau\mbr" -f
Dans le mbr.log cette ligne apparaitra "original MBR restored successfully !"

Réactive tes protections
Poste ce rapport et supprimes-le ensuite.

Pour vérifier

Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident)
Relance mbr.exe

Réactive tes protections.

Le nouveau mbr.log devrait être celui-ci :

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully

user: MBR read successfully

kernel: MBR read successfully

user & kernel MBR OK


Sous Vista, ne pas oublier de lancer mbr.exe par clic droit et Exécuter en tant qu'administrateur.
Note : Si le fichier mbr.exe se trouve dans Téléchargement, cela fonctionne aussi et mbr.log s'y inscrira.

jason90 · Answer

voila le rapport de l'option 2 mode destruction 

Kill'em by g3n-h@ckm@n 1.1.5.1 
 
User : LUC () # LUC-PC
Update on 11/12/2009 by g3n-h@ckm@n ::::: 20:30 
Start at: 21:16:52 | 13/12/2009
Contact : g3n-h@ckm@n sur CCM

AMD Athlon(tm) II X2 215 Processor 
Microsoft Windows 7 Édition Familiale Premium  (6.1.7600 64-bit) # 
Internet Explorer 8.0.7600.16385
Windows Firewall Status : Enabled

C:\ -> Disque fixe local | 141,45 Go (102,86 Go free) [Packard Bell] | NTFS
D:\ -> Disque fixe local | 141,54 Go (133,02 Go free) [DATA] | NTFS
E:\ -> Disque CD-ROM | 974,67 Mo (0 Mo free) [CM2010] | UDF
F:\ -> Disque amovible
G:\ -> Disque amovible
H:\ -> Disque amovible
I:\ -> Disque amovible
 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes running
 
C:\Users\LUC\Desktop\List_Killem.bat 1228
C:\Windows\SysWOW64\cmd.exe 1252
C:\Users\LUC\AppData\Local\Temp\A208.tmp\pv.exe 1460
 
Detections : 
========== 
 

¤¤¤¤¤¤¤¤¤¤ Files/folders : 

"C:\ProgramData\Partner"  
"C:\Program Files (x86)\Automated Content Enhancer"  
"C:\Program Files (x86)\Web Search Operator"  
"C:\Windows\System32\EXPLORER.exe"  
"C:\Windows\system32egedit.exe"  
C:\Users\LUC\LOCAL Settings\Temp\CFWeb.exe  
C:\Users\LUC\LOCAL Settings\Temp\final_step.exe  
C:\Users\LUC\LOCAL Settings\Temp\wlsetup-cvr.exe  
C:\Users\LUC\LOCAL Settings\Temp	mp144B.tmp  
C:\Users\LUC\LOCAL Settings\Temp	mp1BCE.tmp  
C:\Users\LUC\LOCAL Settings\Temp	mp3478.tmp  
C:\Users\LUC\LOCAL Settings\Temp	mpA41A.tmp  
C:\Users\LUC\LOCAL Settings\Temp	mpB2DA.tmp  
 
 
¤¤¤¤¤¤¤¤¤¤ Files/folders deleted : 
  
Quarantine : 

Automated Content Enhancer.Kill'em
CFWeb.exe.Kill'em
final_step.exe.Kill'em
Partner.Kill'em
tmp144B.tmp.Kill'em
tmp1BCE.tmp.Kill'em
tmp3478.tmp.Kill'em
tmpA41A.tmp.Kill'em
tmpB2DA.tmp.Kill'em
Web Search Operator.Kill'em
wlsetup-cvr.exe.Kill'em

==============
host file OK !
==============

========
Registry
========
Deleted : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktopChanges  
Deleted : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{1D74E9DD-8987-448b-B2CB-67FFF2B8A932}  
Deleted : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{eb4a577d-bcad-4b1c-8af2-9a74b8dd3431}  
Deleted : HKCR\CLSID\{eb4a577d-bcad-4b1c-8af2-9a74b8dd3431}  
Deleted : HKCR\explorerbar.funexplorer  
Deleted : HKCR\explorerbar.funexplorer.1  
Deleted : HKCR\explorerbar.funredirector  
Deleted : HKCR\explorerbar.funredirector.1  
Deleted : HKCR\Interface\{480098c6-f6ad-4c61-9b5c-2bae228a34d1}  
Deleted : HKCR\interface\{877f3eab-4462-44df-8475-6064eafd7fbf}  
Deleted : HKCR\Typelib\{883dfc00-8a21-411d-956c-73a4e4b7d16f}  
Deleted : HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{83ff80f4-8c74-4b80-b5ba-c8ddd434e5c4}  
Deleted : HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{eb4a577d-bcad-4b1c-8af2-9a74b8dd3431}  

============
Disk Cleaned
============
 
================
Prefetch cleaned 
================
 
 
 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

gen-hackman · Answer

ok et pour mbr ?

Fentres publicitaire intempestive

14 réponses

Discussions similaires

Newsletters