Aidez moi svp .... antivirus gold !!!

salut marco
j'ai pas tout compris à propos de ton "antivirus gold" mais j'ai kan meme jeté un coup d'oeil sur ton log hijack et j'ai vu kil y avait 6 problèmes qu'il faudrait effacer à tout prix. par contre je ne sais pas si ca a un rapport avec ton "gold".
Enfin essaye de les supprimer via Hijack This, mais effectue un point de restauration système avant
voila
a+

Voici les prog en kestion ki me semble douteux :

O4 - HKLM\..\Run: [Microsoft Windows Update] svmhost.exe
O4 - HKLM\..\Run: [Windows Security Module] wvsvc.exe
O4 - HKLM\..\Run: [MS SyS Restore] sysrestore.exe
O4 - HKLM\..\RunServices: [Microsoft Windows Update] svmhost.exe
O4 - HKLM\..\RunServices: [Windows Security Module] wvsvc.exe
O4 - HKLM\..\RunServices: [MS SyS Restore] sysrestore.exe

Bon courage !

Bonsoir Yo,

Je ne suis pas d'accord sur le fait de faire d'abord un point de restauration système.
Au contraire il faut désactiver cette m*** à XP et paramétrer HijackThis pour faire des sauvegardes.
Pour cela il doit être installé dans un dossier qui lui est réservé, C:\HJT\ pour faire simple.

Pour le reste ton analyse n'est pas mauvaise, mais incomplète.

Mon analyse suit.

salut desoler de passe un peu avant
fait ceci
http://siri.urz.free.fr/Fix/SmitfraudFix.zip
tu le decompresse tu double clik dessus et tu choisi l option 1
cela vas generer un rapport donne nous le

relance le et choisi cette fois l option 2 et repond oui a tous
redemarre et donne le nouveau rapport

completer a la fin par l analyse de vazkor pour l hijack

Voilà qu'il me marche sur le pieds, vais pas être content!

Il faut fixer les lignes suivantes, après avoir désactivé la restauration système!

O4 - HKLM\..\Run: [Microsoft Windows Update] svmhost.exe
O4 - HKLM\..\RunServices: [Microsoft Windows Update] svmhost.exe (2x)
> svmhost.exe X, Microsoft Windows Update, svmhost.exe, "Added by the FORBOT-CH WORM!"
http://startup.iamnotageek.com/srch-svmhost.exe.html
http://www.sophos.com/virusinfo/analyses/w32forbotch.html

O4 - HKLM\..\RunServices: [MSChoEx] suge.exe
> MSChoExE X suge.exe Added by a variant of the RBOT WORM!

O4 - HKLM\..\RunServices: [nvkload] nvkload.exe ??? Inconnu de la Pacman
Google > C:\WINNT\system32\nvkload.exe->(PEShield)->(ASPack 2.12) - Exploit:Win32/RpcDcom.gen! -> Infected
http://www.commentcamarche.net/forum/affich-900977-Supprimer-le-virus-trojan-dropper LOL

O4 - HKLM\..\Run: [Windows Security Module] wvsvc.exe
O4 - HKLM\..\RunServices: [Windows Security Module] wvsvc.exe (2x)
> wvsvc.exe
Windows Video Acquisition (WVA) X wvsvc.exe Added by the AGOBOT.YM WORM!
wvsvc X wvsvc.exe Added by the AGOBOT.YM WORM!
http://sysinfo.org/startuplist.php?filter=wvsvc.exe
ou W32/RBOT-NF
http://www.sophos.com/virusinfo/analyses/w32rbotnf.html
ou encore W32/Sdbot.worm:
McAfee Inc.
wvsvc.exe. -- Update August 11, 2004 -- There are now over 4000 variants of this
threat, many of which were proactively detected, and this number continues ...
vil.mcafeesecurity.com/vil/content/v_100454.htm

O4 - HKLM\..\Run: [HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run] windowsupdate.exe
O4 - HKLM\..\RunServices: [HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run] windowsupdate.exe (nx)
O23 - Service: HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run (MSPatch) - Unknown owner - C:\WINDOWS\system32\windowsupdate.exe" -netsvcs (file missing)
> windowsupdate.exe Inconnu de la Pacman!

O4 - HKLM\..\Run: [Windows Update Manager] updmgr.exe
O4 - HKLM\..\RunServices: [Windows Update Manager] updmgr.exe (2x)
> updmgr.exe Ajouté par plusieurs troyens
Note - wupdmgr.exe is the real Windows Update
http://sysinfo.org/startuplist.php?filter=updmgr.exe

O4 - HKLM\..\Run: [FoWilco] fowilco.exe
O4 - HKLM\..\RunServices: [FoWilco] fowilco.exe (2x)
fowilco.exe [FoWilco] et fowilco.exe semblent aléatoires. Inconnus de la Pacman => poubelle, si tu ne connais pas!
Tu peux localiser par curiosité ce fichier et voir ses propriétés (Clic droit > Propriétés > Version)

O4 - HKLM\..\Run: [MS SyS Restore] sysrestore.exe
O4 - HKLM\..\RunServices: [MS SyS Restore] sysrestore.exe (nx)
[MS SyS Restore] sysrestore.exe Même foutage de gueule! Inconnu de la Pacman => Poubelle illico.
> X, MS SyS Restore, sysrestore.exe, "Added by the RBOT.XM WORM!"
http://startup.iamnotageek.com/srch-sysrestore.exe.html

Et ces programmes apparaissent dans plusieurs clés de la BDR. Là, mes poils se hérissent et je hurle!
(Mon avatar sur Assiste est un loup hurlant!)

Finalement renommer ces 6 fichiers, en changeant l'extension en exe_, juste par précaution:
fowilco.exe
suge.exe
svmhost.exe
sysrestore.exe
updmgr.exe
windowsupdate.exe
wvsvc.exe

Yo, tu as un 50 % de réussite pour moi. Mais p'têt bin que Balltrap va trouver des choses que j'a pas vues!

lol ne m en veut pas
le fix vas en suppr donc ont vas attendre les rapport de l option 1 et 2
et ont regarderas sont nouvelle hijack
(tu as remarquer que j est mis a completer par l analyse de wazkor)

Bonsoir,

A chacun sa méthode! Moi je me fie d'abord à mon flair et à ma très bonne connaissance des fichiers de Windoze que je pratique depuis juin 1994 (W31, 95, 2K, Me en anglais et en français).
Je ne te ferai pas l'injure de te rappeler depuis quand je suis tombé dans le chaudron informatique, avant la naissance des PC.

Je reniffle les chemins et noms des fichiers et si ça me paraît louche je consulte Sysinfo (la Pacman en anglais) et puis je vais sur Google voir si l'on en parle.

J'aime bien justifier mes réponses en mettant les références trouvées.

Amitiés,

PS: Sur Assiste, c'est toujours le calme plat. Je viens juste de poster un message pour calmer un troll pas méchant. Je reviens tout de suite vous donner un coup de "patte".

Mon avatar, c'est le loup stylisé en noir et blanc de Loup.org http://www.loup.org/spip/

le fix il suffit de cliker dessus lol rien a voir avec un periph

pour mon ami vz je vient de faire un tour sur assiste ou j est sorti un gard de smitfraud et il a le soucis destyle xp et pas le cd
alors j est uplod le fichier et je lui est dit de le telecharger

Bonjour,

Puisque le problème n'est pas résolu, je te conseille la méthode longue.
Vider tous tes dossiers temporaires Temp et Temporary Internet Files, les caches de tes navigateurs et ce pour tous les utilisateurs.
Désactiver la restauration système et redémarrer en mode sans échec, refaire un log hijackthis.

Te tracasse pas pour Balltrap, je lui ai déjà crèpé le chignon il y a un an mais nous sommes restés copains. LOL

"Je ne suis pas d'accord avec ce que vous dites, mais je défendrai jusqu'à la mort votre droit à le dire" (Voltaire)

PS: Le ball-trap c'est bien mais rien de tel qu'un fusil-mitrailleur 9 mm ou un bon Colt 44 Magnum pour perforer des cibles de papier à défaut d'autres choses...

no soucis
c est vrai ont c etais chauffer un peu
c est oublier

Merci pour vos conseils...... et votre aide
good Night,bonne nuit, buena noche,
Marco

fait ceci

quand tu le telecharge le fix ensuite clik droit et decompresser
tu te retrouve avec un fichier cmd double clik dessus
une fenetre souvre tape 1 et entree
attend le bloc note vas s ouvrir
avec un rapport tu l enregistre
ensuite tu reclik sur cmd et cette fois tape 2 et entree et idem pour le rapport
il vas te demender de modifier la base de registre dit oui

salut

est ce que tu as le meme message si tu essaye de passer le fix en sans echecs ?
reposte un hijack pour voir

a+

lol fait se que ta mis moe

Salut

tu as essayé le fix en sans echec ?

Déconnecte toi d'internet:
Ferme tout les programmes en cours
Vide le cache d'Internet Explorer et supprime les cookies:

* Panneau de configuration >> Options internet >> Onglet "Général"
- Clic sur [supprimer les cookies]
- Clic sur [Supprimer les fichiers] et coche la case "Supprimer tout le contenu hors connexion"
Valide avec ok

Redémarre en mode sans échec
Laisse passer l'écran du bios, puis tapote sur la touche F8 avant qu'apparaisse l'écran de chargement de windows.
Choisis le mode sans échec dans les options et valide avec entrée.

Rend visible les fichiers cachés et systeme
panneau de configuration > options des dossiers > onglet affichage
Cocher la case devant " afficher les fichiers et dossiers cachés "
Décocher la case devant " masquer les extentions des fichiers dont le type est connu
Décocher la case devant " masquer les fichiers protégés du système"
clic sur ok pour valider

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

Dans le menu Demarrer>Executer >tape: Services.msc
recherche le service avec cette orthographe exacte:
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run (MSPatch)
Double clic dessus et clic sur [arreter] puis dans :
type de demarrage --> sélectionne désactivé.

Lance hijackthis et clic sur "do a system scan only"
cocher la case au début des lignes suivantes:

O4 - HKLM\..\Run: [Windows Update Manager] updmgr.exe
O4 - HKLM\..\RunServices: [HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run] windowsupdate.exe
O4 - HKLM\..\RunServices: [Windows Update Manager] updmgr.exe
O23 - Service: HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run (MSPatch) - Unknown owner - C:\WINDOWS\system32\windowsupdate.exe" -netsvcs (file missing)

valider avec [fix checked]

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

Recherche et supprime:

Dans le cas ou tu utiliserais la fonction Rechercher:
Assure toi que dans:
Tous les fichiers et tous les dossiers >> Options avancées
• Rechercher dans les dossiers systemes <- DOIT ETRE COCHE !
• Rechercher dans les fichiers et les dossiers cachés <- DOIT ETRE COCHE !
• Rechercher dans les sous-dossiers <- DOIT ETRE COCHE !

Essaye de supprimer les fichiers en suivant le chemin des fichiers infectés avec l'explorateur, plutot que d'utiliser la fonction "Rechercher"

S'ils sont présents, supprime:

C:\WINDOWS\system32\msole32.exe
C:\WINDOWS\system32\updmgr.exe
C:\WINDOWS\system32\windowsupdate.exe
-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

ensuite:
demarrer > executer tape:
sc delete MSPatch
-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

tres important:

:: Supprimer les fichiers temporaires ::

Manuellement:

* C:\Documents and Settings\ton compte\Local Settings\Temp
* C:\Documents and Settings\tous les autres comptes\Local Settings\Temp
* C:\Windows\Temp
vider tout le contenu de ces dossiers.

:: Le contenu du dossier prefetch ::

* C:\WINDOWS\Prefetch <= sauf le fichier layout.ini

Ou avec Cleanup:
http://pageperso.aol.fr/balltrap34/CleanUp40.exe

* Ne pas oublier de vider la corbeille !

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

Redemarre normalement, et ensuite fais un scan AV ici:
http://www.pandasoftware.com/activescan/fr/activescan_principal.htm

poste le rapport du scan + un nouvel hijack

Ne pas oublier après les manips de recacher les fichiers systeme dans les options des dossiers.

a+

Merci pour tes conseils Moe31, desole de repondre si tard..........

voila le rapport de panda ;

Incident Statut Analyse

Adware:Adware/Popuper No Désinfecté C:\WINDOWS\system32\msole32.exe
Adware:adware/popuper No Désinfecté C:\WINDOWS\SYSTEM32\hhk.dll
Adware:adware/sbsoft No Désinfecté C:\WINDOWS\DOWNLOADED PROGRAM FILES\webdlg32.dll
Adware:adware/virmaid No Désinfecté C:\WINDOWS\popuper.exe
Adware:adware/savenow No Désinfecté HKEY_LOCAL_MACHINE\SOFTWARE\CLASSES\MAGNET
Adware:adware/psguard No Désinfecté HKEY_CLASSES_ROOT\CLSID\{357A87ED-3E5D-437D-B334-DEB7EB4982A3}
Virus:Exploit/ByteVerify Désinfecté C:\Documents and Settings\Marco\.jpi_cache\jar\1.0\ar3.jar-76821bb8-704b0bda.zip[Gummy.class]
Virus:Exploit/ByteVerify Désinfecté C:\Documents and Settings\Marco\.jpi_cache\jar\1.0\archive.jar-11838c99-46af0bf9.zip[Dummy.class]
Virus:Exploit/ByteVerify Désinfecté C:\Documents and Settings\Marco\.jpi_cache\jar\1.0\archive.jar-22faf1e4-327b5fd8.zip[Dummy.class]
Virus:Exploit/ByteVerify Désinfecté C:\Documents and Settings\Marco\.jpi_cache\jar\1.0\archive.jar-4843d4a3-3a6de921.zip[Dummy.class]
Virus:Exploit/ByteVerify Désinfecté C:\Documents and Settings\Marco\.jpi_cache\jar\1.0\archive.jar-578d4c23-17feb8c1.zip[Dummy.class]
Virus:Exploit/ByteVerify Désinfecté C:\Documents and Settings\Marco\.jpi_cache\jar\1.0\archive.jar-5a34ad92-2e767074.zip[Dummy.class]
Virus:Exploit/ByteVerify Désinfecté C:\Documents and Settings\Marco\.jpi_cache\jar\1.0\archive.jar-60dc9534-2e3ff6f2.zip[Dummy.class]
Virus:Exploit/ByteVerify Désinfecté C:\Documents and Settings\Marco\.jpi_cache\jar\1.0\archive1213.jar-6a7fd754-4e7621f0.zip[Dummy.class]
Adware:Adware/SBSoft No Désinfecté C:\WINDOWS\Downloaded Program Files\webdlg32.dll
Adware:Adware/SBSoft No Désinfecté C:\WINDOWS\Downloaded Program Files\webdlg32.inf
Virus:Trj/Zapchast.D Désinfecté C:\WINDOWS\system32\c.bat
Virus:Trj/Multidropper.JB Désinfecté C:\WINDOWS\system32\drivers\etc\drivers32.exe
Adware:Adware/Popuper No Désinfecté C:\WINDOWS\system32\hhk.dll
Virus:Trj/Downloader.DKO Désinfecté C:\WINDOWS\system32\LogFiles\OD7081500.so
Adware:Adware/Popuper No Désinfecté C:\WINDOWS\system32\msole32.exe
Virus:W32/Sdbot.ftp Désinfecté C:\WINDOWS\system32\oo
Virus:JS/Psyme.gen Désinfecté C:\WINDOWS\tstlb.hta
Plus un dernier hijack;

Logfile of HijackThis v1.99.1
Scan saved at 17:57:11, on 25/07/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\system32\msole32.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Program Files\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\Program Files\Microsoft Office\Office\OSA.EXE
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\Program Files\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.free.fr/
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run] windowsupdate.exe
O4 - HKLM\..\Run: [Virtual PDF Printer] C:\Program Files\Virtual PDF Printer\VirtualPDFPrinter.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - Startup: Démarrage d'Office.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: hp psc 1000 series.lnk = ?
O4 - Global Startup: hpoddt01.exe.lnk = ?
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.1\bin\npjpi141.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.1\bin\npjpi141.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)
O14 - IERESET.INF: START_PAGE_URL=http://home.free.fr/
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: Norton AntiVirus Auto Protect Service (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Program Files\Norton AntiVirus\AdvTools\NPROTECT.EXE
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

salut marco

au fait, est ce que ton fond d'ecran à été modifié ?
est ce que en faisant: panneau de config > affichage tu as acces aux onglets bureau, apparence et themes ?

telecharge smitfraudfix ici (derniere version):
http://siri.urz.free.fr/Fix/SmitfraudFix.zip
dezippe le (clic droit dessus et clic sur extraire tout) et lance le.
choisis l'option 1 (rechercher)
valide
fais un copier/coller du résultat ici

bizarre, quel est le message qui apparait quand tu essaye de le lancer ?

re'
essaye ceci:

click droit sur le fichier,
Propriétés
Click sur le bouton [débloquer]

a+

As tu essayé en mode sans echec ?

ton système semble avoir été parametré avec une startégie de groupe afin de limiter les fichiers executables à risque.

oui, ou essaye ceci peut etre:

clic droit sur poste de travail > propriétés
- onglet avancé
dans la rubrique "Performances" clic sur le bouton "parametres"
- onglet Prévention de l'exécution des données
- coche Activer la prévention d'exécution des données pour tous les programmes et services, sauf ceux que je sélectionne.
clic sur ajouter
selectionne smitfraudfix.cmd
valide
et reessaye