[IE] virus ou spyware Résolu

Question

Bonjour, désolé d'étre le milliéme boulet à demander ça, j'ai lu une bonne partie des conseils donnés dans le forum mais je reste avec mon probléme sur les bras.Pb: - page accueil changée en About:blank et inamovible malgré reglage dans Spybot- Des Popup incessants soit en relation précise avec les pages web visitées soit du X- Des favoris débiles qui se remettent à chaque fois.- Serveur mail bloqué (mais ça c'est ptêt mon FAI :-(   )- Ralentissements énormes- Plantages ... J'ai utilisé Norton, Ad-aware, Spybot, CWShredder ... tous à jour mais rien à faire !Bref super lourd ! si qqun pouvait me donner un ou deux conseils personnalisés, ça serait super-sympa !J'ai fait un scan avec hijack this, le voila: Logfile of HijackThis v1.99.1Scan saved at 10:30:41, on 02/08/2005Platform: Windows 2000 SP2 (WinNT 5.00.2195)MSIE: Internet Explorer v6.00 (6.00.2600.0000)Running processes:C:\WINNT\System32\smss.exeC:\WINNT\system32\winlogon.exeC:\WINNT\system32\services.exeC:\WINNT\system32\lsass.exeC:\WINNT\system32\svchost.exeC:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exeC:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeC:\WINNT\system32\spoolsv.exeC:\WINNT\System32\svchost.exeC:\Program Files\Norton AntiVirus
avapsvc.exeC:\WINNT\system32egsvc.exeC:\Program Files\Norton AntiVirus\SAVScan.exeC:\WINNT\system32\MSTask.exeC:\WINNT\system32\UStorSrv.exeC:\WINNT\System32\WBEM\WinMgmt.exeC:\WINNT\System32\mspmspsv.exeC:\WINNT\Explorer.EXEC:\WINNT\SOUNDMAN.EXEC:\Program Files\Microsoft Hardware\Keyboard	ype32.exeC:\WINNT\System32\spool\drivers\w32x86\3\hpztsb04.exeC:\Program Files\Fichiers communs\Symantec Shared\ccApp.exeC:\Program Files\Multimedia Card Reader\shwicon2k.exeC:\Program Files\Winamp\winampa.exeC:\Program Files2 studios\HideOE\HideOE.exeC:\Program Files\QuickTime\qttask.exeC:\Program Files\outlook express\msimn.exeC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\WINNT\system32\appro32.exeC:\WINNT\system32\ctfmon.exeC:\Program Files\VoissaNoPubs\VoissaNoPubs.exeC:\WINNT\appvz32.exeC:\Program Files\WinZip\WZQKPICK.EXEC:\Palm\HOTSYNC.EXEC:\Program Files\KeirNet\K9\K9.exeC:\Program Files\Real\RealPlayer\RealPlay.exeC:\Program Files\Spybot - Search & Destroy\SpybotSD.exeC:\Program Files\Internet Explorer\iexplore.exeC:\Documents and Settings\Christina.GUINET\Mes documents\I T\Spyware\hijackthis\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINNT\system32\xfrtf.dll/sp.html#12047R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\system32\xfrtf.dll/sp.html#12047R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blankR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINNT\system32\xfrtf.dll/sp.html#12047R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINNT\system32\xfrtf.dll/sp.html#12047R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\system32\xfrtf.dll/sp.html#12047R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINNT\system32\xfrtf.dll/sp.html#12047R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINNT\system32\xfrtf.dll/sp.html#12047R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = "C:\Program Files\Outlook Express\msimn.exe"R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet ExplorerR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensR3 - Default URLSearchHook is missingO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dllO2 - BHO: Class - {31824F81-AD56-A6D8-155C-4A6763C20370} - C:\WINNT\system32\iesh32.dllO2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dllO2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocxO3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dllO3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dllO4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logonO4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXEO4 - HKLM\..\Run: [IntelliType] "C:\Program Files\Microsoft Hardware\Keyboard	ype32.exe"O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINNT\System32\spool\drivers\w32x86\3\hpztsb04.exeO4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /ConsumerO4 - HKLM\..\Run: [SSC_UserPrompt] C:\Program Files\Fichiers communs\Symantec Shared\Security Center\UsrPrmpt.exeO4 - HKLM\..\Run: [Sunkist2k] C:\Program Files\Multimedia Card Reader\shwicon2k.exeO4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exeO4 - HKLM\..\Run: [HideOE] "C:\Program Files2 studios\HideOE\HideOE.exe"O4 - HKLM\..\Run: [TweakDUN] C:\Program Files\TweakDUN	weakdun.exe splashO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osbootO4 - HKLM\..\Run: [appro32.exe] C:\WINNT\system32\appro32.exeO4 - HKLM\..\Run: [SpybotSnD] "C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe" /autocheckO4 - HKCU\..\Run: [Voissa No Pubs] C:\Program Files\VoissaNoPubs\VoissaNoPubs.exe -hideO4 - Startup: HotSync Manager.lnk = C:\Palm\HOTSYNC.EXEO4 - Startup: Launch K9.lnk = C:\Program Files\KeirNet\K9\K9.exeO4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exeO4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXEO4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXEO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dllO9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dllO9 - Extra button: Ajouter un Pop-Up - {DE39E849-A37D-4126-8AE1-1551364ADA96} - C:\Program Files\VoissaNoPubs\VoissaNoPubs.exe O9 - Extra 'Tools' menuitem: Tools Menu Item - {DE39E849-A37D-4126-8AE1-1551364ADA96} - C:\Program Files\VoissaNoPubs\VoissaNoPubs.exe O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/152a3f2552cbbe31a819/netzip/RdxIE601_fr.cabO16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = CLIENT-RESEARCH.COMO17 - HKLM\System\CCS\Services\Tcpip\..\{1169DE55-F161-41AD-921C-27CEDA4FE3E2}: NameServer = 192.168.1.250O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = CLIENT-RESEARCH.COMO17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = CLIENT-RESEARCH.COMO23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeO23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exeO23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exeO23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exeO23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus
avapsvc.exeO23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton AntiVirus\SAVScan.exeO23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exeO23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exeO23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exeO23 - Service: UStorage Server Service - OTi - C:\WINNT\system32\UStorSrv.exeO23 - Service: VigService - Unknown owner - C:\Program Files\VIGUARD\SERVICE.EXE (file missing)O23 - Service: VigServiceHelper - Unknown owner - C:\Program Files\VIGUARD\HLPRSVC.EXE (file missing)Voila, voila ... si qqun peut me répondre ...

sebsauvage · Answer

un antispyware ne suffit pas

Tu as fait les mises à jour WindowsUpdate ?
Tu as un firewall ?
Ton antivirus est à jour ?

Essai avec d'autres antivirus.

Ah... et puis laisse tomber IE.
Prend Firefox.

Conseils complémentaires:
http://sebsauvage.net/safehex.html

scoubidou944 · Answer

www.nolme.com/freeware/index.htm

Dessus tu trouves les scan en ligne de Panda & autres pour commencer.
Ensuite, dans la section antispyware, tu peux installer SystCleaner.NET et voir ce qu'il connait mal ou pas du tout mais à premiere vue je dirais que la DLL :
C:\WINNT\system32\xfrtf.dll
est suspecte.

archidruide · Answer

Oui, j'ai Firefox chez moi, mais la c'est au boulot, c'est pour ça que je suis mal !Sinon je suis à jour sur tout.

sebsauvage · Answer

Dans ce cas, essai un scan en ligne:http://sebsauvage.net/logiciels/fprot.html#online

archidruide · Answer

J'ai lancé un scan en ligne avec Panda, ça fait bientôt une heure qu'il mouline, déja 4 virus trouvés et  éradiqués ( !! bravo Norton !! pourtant je mets à jour toutes les semaines !! ) et un spyware trouvé mais non réparé

petit-pere · Answer

symantec n'a jamais été très rapide pour répondre à l'émergence de nouveaux virus, ni très prolifique pour ce qui est des updates de la base de signatures des virus qu'ils envoient.

pour preuve --> http://www.f-secure.com/news/response/f-secure_speed_of_response.pdf

archidruide · Answer

Panda me donne ça:

Adware:adware/cws.homesearchasisstant No disinfected Windows Registry

Adware:Adware/Startpage.VQ No disinfected C:\WINNT\system32\xfrtf.dll

Je peux virer xfrtf avec system cleaner ?
Comment je fais pour le registre ?

archidruide · Answer

Bon, avec hijack this j'ait fait un fix des lignes R0 et R3, ça a l'air de résoudre certains des blémes ... je vais tout rescanner ...Euuuuh, c'est pas une connerie que j'ai fait ... hein, non ?

archidruide · Answer

p#!#^"## !A chaque fois Spybot me trouve "Trek Blue Error Nuker" il dit qu'il le corrige mais il revient à chaque fois !!!

petit-pere · Answer

il faudrait lancer spybot en mode sans échec car le process tourne sûrement quand tu lances spybot et comme il voit qu'il est viré, il se recopie au même endroit ....

archidruide · Answer

Non c'est pareil, je viens d'essayer en mode sans echec spybot + hijack this et il revient encore !

archidruide · Answer

Quelqu'un aurait une idée ?

Utilisateur anonyme · Answer

salutreposte un hijack pour voira+

archidruide · Answer

Hello m'sieur Moe !Voila: Logfile of HijackThis v1.99.1Scan saved at 17:45:00, on 03/08/2005Platform: Windows 2000 SP2 (WinNT 5.00.2195)MSIE: Internet Explorer v6.00 (6.00.2600.0000)Running processes:C:\WINNT\System32\smss.exeC:\WINNT\system32\winlogon.exeC:\WINNT\system32\services.exeC:\WINNT\system32\lsass.exeC:\WINNT\system32\svchost.exeC:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exeC:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeC:\WINNT\system32\spoolsv.exeC:\WINNT\System32\svchost.exeC:\Program Files\Norton AntiVirus
avapsvc.exeC:\WINNT\system32egsvc.exeC:\Program Files\Norton AntiVirus\SAVScan.exeC:\WINNT\system32\MSTask.exeC:\WINNT\system32\UStorSrv.exeC:\WINNT\System32\WBEM\WinMgmt.exeC:\WINNT\System32\mspmspsv.exeC:\WINNT\Explorer.EXEC:\WINNT\SOUNDMAN.EXEC:\Program Files\Microsoft Hardware\Keyboard	ype32.exeC:\WINNT\System32\spool\drivers\w32x86\3\hpztsb04.exeC:\Program Files\Fichiers communs\Symantec Shared\ccApp.exeC:\Program Files\Multimedia Card Reader\shwicon2k.exeC:\Program Files\Winamp\winampa.exeC:\Program Files2 studios\HideOE\HideOE.exeC:\Program Files\outlook express\msimn.exeC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\WINNT\system32\appro32.exeC:\Program Files\VoissaNoPubs\VoissaNoPubs.exeC:\WINNT\winrt32.exeC:\WINNT\system32\ctfmon.exeC:\Program Files\WinZip\WZQKPICK.EXEC:\Palm\HOTSYNC.EXEC:\Program Files\KeirNet\K9\K9.exeC:\Program Files\Winamp\Winamp.exeC:\Program Files\Microsoft Office\Office10\EXCEL.EXEC:\Documents and Settings\Christina.GUINET\Mes documents\I T\Spyware\hijackthis\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINNT\system32\hzbsa.dll/sp.html#12047R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\system32\hzbsa.dll/sp.html#12047R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blankR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINNT\system32\hzbsa.dll/sp.html#12047R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINNT\system32\hzbsa.dll/sp.html#12047R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\system32\hzbsa.dll/sp.html#12047R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINNT\system32\hzbsa.dll/sp.html#12047R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINNT\system32\hzbsa.dll/sp.html#12047R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.wanadoo.frR1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.wanadoo.frR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.wanadoo.frR0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.wanadoo.frR1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = "C:\Program Files\Outlook Express\msimn.exe"R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet ExplorerR3 - Default URLSearchHook is missingO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dllO2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dllO2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dllO2 - BHO: Class - {E699D6C6-6EF2-6FA1-EE93-B54F84AA37FE} - C:\WINNT\system32\d3zo32.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocxO3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dllO3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dllO4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logonO4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXEO4 - HKLM\..\Run: [IntelliType] "C:\Program Files\Microsoft Hardware\Keyboard	ype32.exe"O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINNT\System32\spool\drivers\w32x86\3\hpztsb04.exeO4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /ConsumerO4 - HKLM\..\Run: [SSC_UserPrompt] C:\Program Files\Fichiers communs\Symantec Shared\Security Center\UsrPrmpt.exeO4 - HKLM\..\Run: [Sunkist2k] C:\Program Files\Multimedia Card Reader\shwicon2k.exeO4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exeO4 - HKLM\..\Run: [HideOE] "C:\Program Files2 studios\HideOE\HideOE.exe"O4 - HKLM\..\Run: [TweakDUN] C:\Program Files\TweakDUN	weakdun.exe splashO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osbootO4 - HKLM\..\Run: [appro32.exe] C:\WINNT\system32\appro32.exeO4 - HKLM\..\Run: [SpybotSnD] "C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe" /autocheckO4 - HKCU\..\Run: [Voissa No Pubs] C:\Program Files\VoissaNoPubs\VoissaNoPubs.exe -hideO4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exeO4 - Startup: HotSync Manager.lnk = C:\Palm\HOTSYNC.EXEO4 - Startup: Launch K9.lnk = C:\Program Files\KeirNet\K9\K9.exeO4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exeO4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXEO4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXEO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel presentO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dllO9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dllO9 - Extra button: Ajouter un Pop-Up - {DE39E849-A37D-4126-8AE1-1551364ADA96} - C:\Program Files\VoissaNoPubs\VoissaNoPubs.exe O9 - Extra 'Tools' menuitem: Tools Menu Item - {DE39E849-A37D-4126-8AE1-1551364ADA96} - C:\Program Files\VoissaNoPubs\VoissaNoPubs.exe O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/152a3f2552cbbe31a819/netzip/RdxIE601_fr.cabO16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cabO17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = CLIENT-RESEARCH.COMO17 - HKLM\System\CCS\Services\Tcpip\..\{1169DE55-F161-41AD-921C-27CEDA4FE3E2}: NameServer = 192.168.1.250O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = CLIENT-RESEARCH.COMO17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = CLIENT-RESEARCH.COMO23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeO23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exeO23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exeO23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exeO23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus
avapsvc.exeO23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton AntiVirus\SAVScan.exeO23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exeO23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exeO23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exeO23 - Service: UStorage Server Service - OTi - C:\WINNT\system32\UStorSrv.exeO23 - Service: VigService - Unknown owner - C:\Program Files\VIGUARD\SERVICE.EXE (file missing)O23 - Service: VigServiceHelper - Unknown owner - C:\Program Files\VIGUARD\HLPRSVC.EXE (file missing)Je dois partir, je regarde ta réponse demain.

archidruide · Answer

Argh ! tout est revenu: about:blank, les favoris ... tout !
J'ai même une nouveauté: quand je suis dirigé sur une page 404 c'est systématiquemnt un page qui ressemble furieusement à la page about:blank

Spybot me signale une infection par :
-CoolWWWSearch.Aff.Winshow
-Trek Blue Error Nuker
-Startpage-EH

Snif ! J'avais tout enlevé hier et vacciné (en mode sans échec)

Help !

sebsauvage · Answer

Argh ! tout est revenu:Même causes, même effets.1) cesser d'utiliser IE. Prendre Firefox.2) suivre ces 4 conseils: http://sebsauvage.net/safehex.html

Utilisateur anonyme · Answer

salut

Télécharge ces logiciels et met les à jours(important):

aboutbuster:
http://www.malwarebytes.biz/index.php?page=downloads
Pour le mettre à jours:
clic sur "update"
puis clic sur "check for update"
Si une nouvelle version est disponible clic sur "downloaded update"

CWShredder:
http://cwshredder.net/bin/CWShredder.exe

Ne les utilise pas pour le moment.

_________________________________

Déconnecte toi d'internet.

Vide le cache d'Internet Explorer et supprime les cookies:

* Panneau de configuration >> Options internet >> Onglet "Général"
- Clic sur [supprimer les cookies]
- Clic sur [Supprimer les fichiers] en cochant la case "Supprimer tout le contenu hors connexion"

__________________________________

Redémarre en mode sans échec
Laisse passer l'écran du bios, puis tapote sur la touche F8.
Choisis le mode sans échec dans les options et valide avec entrée.

Rend visible les fichiers cachés et systeme
panneau de configuration > options des dossiers > onglet affichage
Cocher " afficher les fichiers et dossiers cachés "
Décocher " masquer les extentions des fichiers dont le type est connu
Décocher " masquer les fichiers protégés du système"
Valide

___________________________________

Il se peut, après avoir redémarrer en mode sans echec, que le nom du fichier des lignes R0, R1 ait changé de nom, dans ce cas note son nouveau nom pour pouvoir le supprimer apres avoir fait les fix avec hijack.

Lance hijackthis et Fixe:
cocher les cases au début des lignes suivantes

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINNT\system32\hzbsa.dll/sp.html#12047
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\system32\hzbsa.dll/sp.html#12047
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINNT\system32\hzbsa.dll/sp.html#12047
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINNT\system32\hzbsa.dll/sp.html#12047
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\system32\hzbsa.dll/sp.html#12047
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINNT\system32\hzbsa.dll/sp.html#12047
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINNT\system32\hzbsa.dll/sp.html#12047
R3 - Default URLSearchHook is missing
O2 - BHO: Class - {E699D6C6-6EF2-6FA1-EE93-B54F84AA37FE} - C:\WINNT\system32\d3zo32.dll
O4 - HKLM\..\Run: [appro32.exe] C:\WINNT\system32\appro32.exe

valider avec [fix checked]

Rechercher et supprimer si présent:

C:\WINNT\winrt32.exe
C:\WINNT\system32\hzbsa.dll <- ou celui trouvé dans hijack s'il s'est renommé
C:\WINNT\system32\d3zo32.dll
C:\WINNT\system32\appro32.exe

ensuite:
passe aboutbuster autant de fois qu'il faut jusqu'a ce qu'il ne trouve plus rien.
passe cwshredder
passe spybot

redemarre le pc et reposte un hijack

Et suis le conseil de sebsauvage, ca t'évitera ce genre de problèmes

a+

archidruide · Answer

Waouh !OK je tente ça, merci Seb et Moe(Super ton site, Seb) Sauf le chat bouledogue  ;-)

archidruide · Answer

Pas marché !En plus je n'arrive plus à ouvrir outlook express !Logfile of HijackThis v1.99.1Scan saved at 17:41:03, on 04/08/2005Platform: Windows 2000 SP4 (WinNT 5.00.2195)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINNT\System32\smss.exeC:\WINNT\system32\winlogon.exeC:\WINNT\system32\services.exeC:\WINNT\system32\lsass.exeC:\WINNT\system32\svchost.exeC:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exeC:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeC:\WINNT\system32\spoolsv.exeC:\WINNT\System32\svchost.exeC:\Program Files\Norton AntiVirus
avapsvc.exeC:\WINNT\system32egsvc.exeC:\Program Files\Norton AntiVirus\SAVScan.exeC:\WINNT\system32\MSTask.exeC:\WINNT\system32\UStorSrv.exeC:\WINNT\System32\WBEM\WinMgmt.exeC:\WINNT\System32\mspmspsv.exeC:\WINNT\system32\svchost.exeC:\WINNT\System32\svchost.exeC:\WINNT\Explorer.EXEC:\WINNT\SOUNDMAN.EXEC:\Program Files\Microsoft Hardware\Keyboard	ype32.exeC:\WINNT\System32\spool\drivers\w32x86\3\hpztsb04.exeC:\Program Files\Fichiers communs\Symantec Shared\ccApp.exeC:\Program Files\Multimedia Card Reader\shwicon2k.exeC:\Program Files\Winamp\winampa.exeC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\WINNT\system32
etui32.exeC:\Program Files\outlook express\msimn.exeC:\Program Files\VoissaNoPubs\VoissaNoPubs.exeC:\WINNT\system32\ctfmon.exeC:\WINNT\system32\crqj.exeC:\Program Files\WinZip\WZQKPICK.EXEC:\Palm\HOTSYNC.EXEC:\Program Files\KeirNet\K9\K9.exeC:\Program Files\Internet Explorer\iexplore.exeC:\Documents and Settings\Christina.GUINET\Mes documents\I T\Spyware\hijackthis\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINNT\system32\pnvah.dll/sp.html#37049R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\system32\pnvah.dll/sp.html#37049R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blankR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINNT\system32\pnvah.dll/sp.html#37049R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINNT\system32\pnvah.dll/sp.html#37049R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\system32\pnvah.dll/sp.html#37049R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINNT\system32\pnvah.dll/sp.html#37049R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINNT\system32\pnvah.dll/sp.html#37049R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.wanadoo.frR0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.wanadoo.frR1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = "C:\Program Files\Outlook Express\msimn.exe"R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet ExplorerR3 - Default URLSearchHook is missingO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dllO2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dllO2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dllO2 - BHO: Class - {EADFD198-299D-710F-69F2-B9CF4B4CAC51} - C:\WINNT\system32\sdkjy.dllO3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dllO3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocxO4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logonO4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXEO4 - HKLM\..\Run: [IntelliType] "C:\Program Files\Microsoft Hardware\Keyboard	ype32.exe"O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINNT\System32\spool\drivers\w32x86\3\hpztsb04.exeO4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /ConsumerO4 - HKLM\..\Run: [SSC_UserPrompt] C:\Program Files\Fichiers communs\Symantec Shared\Security Center\UsrPrmpt.exeO4 - HKLM\..\Run: [Sunkist2k] C:\Program Files\Multimedia Card Reader\shwicon2k.exeO4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exeO4 - HKLM\..\Run: [HideOE] "C:\Program Files2 studios\HideOE\HideOE.exe"O4 - HKLM\..\Run: [TweakDUN] C:\Program Files\TweakDUN	weakdun.exe splashO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osbootO4 - HKLM\..\Run: [SpybotSnD] "C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe" /autocheckO4 - HKLM\..\Run: [netui32.exe] C:\WINNT\system32
etui32.exeO4 - HKCU\..\Run: [Voissa No Pubs] C:\Program Files\VoissaNoPubs\VoissaNoPubs.exe -hideO4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exeO4 - Startup: HotSync Manager.lnk = C:\Palm\HOTSYNC.EXEO4 - Startup: Launch K9.lnk = C:\Program Files\KeirNet\K9\K9.exeO4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exeO4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXEO4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXEO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel presentO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dllO9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dllO9 - Extra button: Ajouter un Pop-Up - {DE39E849-A37D-4126-8AE1-1551364ADA96} - C:\Program Files\VoissaNoPubs\VoissaNoPubs.exe O9 - Extra 'Tools' menuitem: Tools Menu Item - {DE39E849-A37D-4126-8AE1-1551364ADA96} - C:\Program Files\VoissaNoPubs\VoissaNoPubs.exe O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/152a3f2552cbbe31a819/netzip/RdxIE601_fr.cabO16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1123155489968O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cabO17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = CLIENT-RESEARCH.COMO17 - HKLM\System\CCS\Services\Tcpip\..\{1169DE55-F161-41AD-921C-27CEDA4FE3E2}: NameServer = 192.168.1.250O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = CLIENT-RESEARCH.COMO17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = CLIENT-RESEARCH.COMO23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeO23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exeO23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exeO23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exeO23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus
avapsvc.exeO23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton AntiVirus\SAVScan.exeO23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exeO23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exeO23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exeO23 - Service: UStorage Server Service - OTi - C:\WINNT\system32\UStorSrv.exeO23 - Service: VigService - Unknown owner - C:\Program Files\VIGUARD\SERVICE.EXE (file missing)O23 - Service: VigServiceHelper - Unknown owner - C:\Program Files\VIGUARD\HLPRSVC.EXE (file missing)

Utilisateur anonyme · Answer

salutca arrive...si tu n'a pas redemarré ton pc depuis que tu as posté ton hijack essaye ceci:Déconnecte toi d'internet. Redémarre en mode sans échec Laisse passer l'écran du bios, puis tapote sur la touche F8. Choisis le mode sans échec dans les options et valide avec entrée. Rend visible les fichiers cachés et systeme panneau de configuration > options des dossiers > onglet affichage Cocher " afficher les fichiers et dossiers cachés "Décocher " masquer les extentions des fichiers dont le type est connu Décocher " masquer les fichiers protégés du système"Valide___________________________________Dans le menu Demarrer>Executer >tape: Services.mscrecherche le/les services avec cette orthographe exacte:Network Security Service Workstation NetLogon Service Remote Procedure Call (RPC) HelperDouble clic dessus et clic sur [arreter] puis dans :type de demarrage --> sélectionne désactivé.Ouvre le gestionnaire des taches (ctrl+alt+suppr) et arrete ce processus s'il est actif:crqj.exe Il se peut, après avoir redémarrer en mode sans echec, que le nom du fichier des lignes R0, R1 ait changé de nom, dans ce cas note son nouveau nom pour pouvoir le supprimer apres avoir fait les fix avec hijack. Lance hijackthis et Fixe:cocher les cases au début des lignes suivantesR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINNT\system32\pnvah.dll/sp.html#37049 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\system32\pnvah.dll/sp.html#37049 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINNT\system32\pnvah.dll/sp.html#37049 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINNT\system32\pnvah.dll/sp.html#37049 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINNT\system32\pnvah.dll/sp.html#37049 R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINNT\system32\pnvah.dll/sp.html#37049 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINNT\system32\pnvah.dll/sp.html#37049 R3 - Default URLSearchHook is missing O2 - BHO: Class - {EADFD198-299D-710F-69F2-B9CF4B4CAC51} - C:\WINNT\system32\sdkjy.dll O4 - HKLM\..\Run: [netui32.exe] C:\WINNT\system32
etui32.exe valider avec [fix checked]___________________________________ Rechercher et supprimer si présent:evite de passer par la fonction "rechercher" C:\WINNT\system32\pnvah.dllC:\WINNT\system32\sdkjy.dll C:\WINNT\system32
etui32.exe C:\WINNT\system32\crqj.exe ensuite: passe aboutbuster autant de fois qu'il faut jusqu'a ce qu'il ne trouve plus rien. passe cwshredder passe spybot redemarre le pc et reposte un hijack a+

[IE] virus ou spyware

21 réponses

Discussions similaires

Newsletters