Sujet Précédent Sujet Suivant

[decouverte d' un virus] Winpadg.exe

Fermé
AVALON - 31 mai 2005 à 10:34
 avalon - 1 juin 2005 à 19:25
Salut

voila depuis quelques temps un programme essai de s'installer sur mon Pc WINPADG.EXE heureusement avec WINPATROL je l 'intercepte a chaque fois ce dernier s' instal comme un daemon (programme de demarage et service) je l' efface donc du repertoire PRETECH je netoie ma base de registe en faisant une recherche (winpadg) ce qui visiblement regle mon probleme et redonne toute sa vitesse a ma connection internet qui etait ralentie par WINPADG.EXE mais le probleme est que ce petit malin revient ponctuelement

si vous avez le meme probleme et surtout la solution repondez moi

merci d' avance
A voir également:

5 réponses

Réponse 1 / 5
Utilisateur anonyme
31 mai 2005 à 12:41
salut ^_^

regarde ici le log hijack avec ce même fichier
http://forums.tomcoyote.org/lofiversion/index.php/t38199.html

est-ce que tu désactives la restauration système quand tu fais la suppression? dans le log cité au-dessus, il y a d'autres programmes vérolés en cause qui régénèrent ce worm, c'est peut être aussi ton cas

log hijackthis
http://www.zebulon.fr/articles/HijackThis.php

- Le mettre dans 1 dossier : C:\HijackThis
- Le lancer -> Scan -> Save log
- Récupérer ce log/texte avec le bloc-notes
- Le copier/coller ici

@+

0
Réponse 2 / 5
AVALON
1 juin 2005 à 13:15
tout d 'abord merci de ta reponse

bon j 'ai utilise Hijackthis pour la premier fois ce prog est pratique car il permet de recuperer les services et les prog lancer au demaragedan notepad mais c'est tout Xp peut faire ca aussi c' est d 'ailleur comme cela que j' ai enlever WINPADG en le supprimant de ma liste de demarage et de service. (peut etre que d' autres utilisations m 'echappent) bref tu as raison d 'autre fichiers doivent etre en cause et relance la tentative d 'instalation de ce virus mais comment les trouvers je ne peut eliminer que les fichiers que je connais je mail mon log au cas ou quelques chose serait anormale
moi je l' ai trouve plutot propre

merci encore

Logfile of HijackThis v1.99.1
Scan saved at 13:10:10, on 01/06/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\GEARSec.exe
D:\Norton Ghost\Agent\PQV2iSvc.exe
C:\PROGRA~1\TRENDM~1\INTERN~1\PcCtlCom.exe
C:\PROGRA~1\TRENDM~1\INTERN~1\Tmntsrv.exe
C:\PROGRA~1\TRENDM~1\INTERN~1\tmproxy.exe
C:\PROGRA~1\TRENDM~1\INTERN~1\TmPfw.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\BILLPS~1\WINPAT~1\winpatrol.exe
C:\Program Files\Trend Micro\Internet Security 12\pccguide.exe
D:\Norton Ghost\Agent\GhostTray.exe
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\MessengerPlus! 3\MsgPlus.exe
C:\Program Files\Goto Software\Vade Retro\Vaderetro_oe.exe
C:\Program Files\eMule\emule.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Internet Explorer\iexplore.exe
E:\Softs\Antivirus\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [WinPatrol] C:\PROGRA~1\BILLPS~1\WINPAT~1\winpatrol.exe
O4 - HKLM\..\Run: [pccguide.exe] "C:\Program Files\Trend Micro\Internet Security 12\pccguide.exe"
O4 - HKLM\..\Run: [Norton Ghost 9.0] D:\Norton Ghost\Agent\GhostTray.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [EPSON Stylus C64 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0C2.EXE /P23 "EPSON Stylus C64 Series" /O6 "USB001" /M "Stylus C64"
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [PROMT Integrator] "C:\Program Files\PROMT5\INTEGRAL\PinStart.exe" /autorun
O4 - Startup: Vade Retro pour Outlook Express.lnk = C:\Program Files\Goto Software\Vade Retro\Vaderetro_oe.exe
O8 - Extra context menu item: &Traduire à partir de l'anglais - res://C:\Program Files\Google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Download with &Shareaza - res://C:\Program Files\Shareaza\Plugins\RazaWebHook.dll/3000
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Recherche &Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: Traduction - {7A2EFD41-E6B3-11D2-89E3-00E0292EE574} - C:\Program Files\PROMT5\PROMTIE4\promtie5.htm
O9 - Extra 'Tools' menuitem: Traduire - {7A2EFD41-E6B3-11D2-89E3-00E0292EE574} - C:\Program Files\PROMT5\PROMTIE4\promtie5.htm
O9 - Extra button: (no name) - {7A2EFD41-E6B3-11D2-89E3-00E0292EE575} - C:\Program Files\PROMT5\PROMTIE4\options.htm
O9 - Extra 'Tools' menuitem: Personnaliser les options de traduction - {7A2EFD41-E6B3-11D2-89E3-00E0292EE575} - C:\Program Files\PROMT5\PROMTIE4\options.htm
O9 - Extra button: Traduction - {7A2EFD41-E6B3-11D2-89E3-00E0292EE574} - C:\Program Files\PROMT5\PROMTIE4\promtie5.htm (HKCU)
O9 - Extra 'Tools' menuitem: Traduire - {7A2EFD41-E6B3-11D2-89E3-00E0292EE574} - C:\Program Files\PROMT5\PROMTIE4\promtie5.htm (HKCU)
O9 - Extra button: (no name) - {7A2EFD41-E6B3-11D2-89E3-00E0292EE575} - C:\Program Files\PROMT5\PROMTIE4\options.htm (HKCU)
O9 - Extra 'Tools' menuitem: Personnaliser les options de traduction - {7A2EFD41-E6B3-11D2-89E3-00E0292EE575} - C:\Program Files\PROMT5\PROMTIE4\options.htm (HKCU)
O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure/connexion/archives/ie4n4/teleir_cert.cab
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/6247971CanadaInc/ie/bridge-c2.cab
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://appldnld.m7z.net/qtinstall.info.apple.com/pthalo/fr/win/QuickTimeFullInstaller.exe
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{002DA31C-BDD3-4D5D-8989-9463E87A8BED}: NameServer = 80.118.192.110 80.118.196.40
O17 - HKLM\System\CS1\Services\Tcpip\..\{002DA31C-BDD3-4D5D-8989-9463E87A8BED}: NameServer = 80.118.192.110 80.118.196.40
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\System32\GEARSec.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: Norton Ghost - Symantec Corporation - D:\Norton Ghost\Agent\PQV2iSvc.exe
O23 - Service: Trend Micro Central Control Component (PcCtlCom) - Trend Micro Incorporated. - C:\PROGRA~1\TRENDM~1\INTERN~1\PcCtlCom.exe
O23 - Service: Trend Micro Real-time Service (Tmntsrv) - Trend Micro Incorporated. - C:\PROGRA~1\TRENDM~1\INTERN~1\Tmntsrv.exe
O23 - Service: Trend Micro Personal Firewall (TmPfw) - Trend Micro Inc. - C:\PROGRA~1\TRENDM~1\INTERN~1\TmPfw.exe
O23 - Service: Trend Micro Proxy Service (tmproxy) - Trend Micro Inc. - C:\PROGRA~1\TRENDM~1\INTERN~1\tmproxy.exe
0
Réponse 3 / 5
AVALON
1 juin 2005 à 14:14
LE prog WINPADG.EXE a l' air d 'avoir fini de m 'embeter j 'ai suivit ton conseil en desactivant les point de restaure et en plus j 'ai nettoye a la mano TOUS les repertoires temps de mon PC et cookies mais helas aussitot un autre a tente la meme chose COMPQEDE.EXE j' ai refet la meme manip plus nettoyage de ma base de registe redemmarage de mon PC un troizieme Luron est apparu WINAMKOP.EXE refait ,la meme manip et depuis 2 heure j 'ai l 'air tranquille.
0
Réponse 4 / 5
Utilisateur anonyme
1 juin 2005 à 14:21
Re bonjour :)

Le log est clean, si ce truc est rémanent c'est à toi de surveiller et de réviser tes habitudes de surf, c'est la seule solution! et certains logiciels (tu me suis?) ont leurs rançons à payer

- Firewall
- AV
- Antisypware(s) de préférence avec un résident (WinPatrol, entendu parler mais jamais testé)
- M$ Wind. Update :
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

+ Spybot S&D 1.3 (gratuit + son complément : *SpywareBlaster)
http://www.safer-networking.org/fr/index.html
Dans Spybot après le scan, active la case BHO "bloquer les pages nuisibles silencieusement" - ça te fera une protection de plus et une inscription supplémentaire ici O2 - BHO: que WinPatrol ne semble pas avoir

+ Ad-Aware SE (gratuit)
http://www.lavasoftusa.com/software/adaware/

- *Anti-activX <-- good! ^_^
http://www.ordi-netfr.org/tutorialspywareblaster.php

Et au sujet d' Hijackthis, attention! ne confond pas ce n'est pas un logiciel d'optimisation, ce n'est pas anodin de s' en servir pour supprimer un programme, ce n'est pas son utilité du tout
(Zeb : "Le programme liste les différents endroits où sont susceptibles de se cacher des hijackers et vous permet ainsi de supprimer les entrées suspectes"...)


bonne fin de journée et bon surf Avalon :-)



*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 5
avalon
1 juin 2005 à 19:25
merci encore en effet le prix a payez pour l' utilisation de certain programmes est bien lourd comment font les gens j 'ai quand meme de solides bases informatiques (MCSE NT4 et 2OOO "sans pretention") et malgres tous il m 'arrive de galerer la preuve !

Sinon WINPATROL (gratuit) tous simplement genial il ne regle pas le probleme mais previent en cas intrusion du system (changement page acceuil internet ,BHO, prog de demarage,services xp ... il ma permis d 'intercepter plus d'un probleme avant qu'il ne s'install et ne fasse de reel dégats (tourne comme un service mais tres leger )
c 'est un garde fou genial pour les utilisateurs intensif !!!d' internet avec un minimum de connaisances ( imagine HIJACKTHIS qui tourne en temps reel et nous previent de tous intrusion (petit hic previent aussi quand c'est moi qui accede a mes fichiers)

test le et dis moi (change volontairement ta page acceuil et tu va vite comprendre )

Au fait je n'ai plus de probleme

Amicalement AVALON

PS : je suis mauvais j'aurai du penser au point de restaurations
evidemment il reste des trace dans ces fichiers
0

Discussions similaires

Softonic,est-ce un virus ?
techmel1 -
techmel1 -

6 réponses
Est ce que le site tlauncher est dangereux ?
caribou -
bazfile -

1 réponse
4 virus en raison d’un porno ????
valou -
Bello040420 -

9 réponses
Désinstaller Softonic
Diguimette -
lilidurhone -

5 réponses
Message Apple virus !!
Souclik67 -
MPMP10 -

3 réponses