virus? sablier bloqué et icône inactif

Question

Bonjour,Mon portable IBM est complétement bloqué. Configuration avec W2000 et démarrage sous administrateur ou pas. Le portable sert également au bureau à une connexxion réseau. Le sablier est bloqué. On ne peut cliquer sur aucun icône. On a accés à rien même pas au menu démarrer. La seule chose accessible est ctrl+alt+supp qui donne le CPU explorer à 99%.Si on tue ce processus, un autre apparait "proc inactif au démarrage" et on ne peut pas le tuer.Idem en mode sans échec ou avec la dernière config connue. Je ne peux pas formater car j'ai des donnés importantes. Je peux démarrer la fenêtre MSdos en passant par ctl+alt+supp. L'explorateur n'est pas accessible non plusJe peux accéder en démarrant sous Linux avec Bit Defender.Je suis  connecté avec un autre ordinateur.Que puis-faire? Rapport starlist et Hijack ci-joint.Rapport Starlist : StartupList report, 06/08/2005, 22:06:27StartupList version: 1.52Started from : E:\Outils pr combattre smitfraud\StartupList.EXEDetected: Windows 2000 SP2 (WinNT 5.00.2195)Detected: Internet Explorer v6.00 SP1 (6.00.2800.1106)* Using default options==================================================Running processes:C:\WINNT\System32\smss.exeC:\WINNT\system32\winlogon.exeC:\WINNT\system32\services.exeC:\WINNT\system32\lsass.exeC:\WINNT\system32\svchost.exeC:\WINNT\System32\WBEM\WinMgmt.exeC:\WINNT\System32	askmgr.exeE:\Outils pr combattre smitfraud\StartupList.exe--------------------------------------------------Listing of startup folders:Shell folders Common Startup:[C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage]DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe--------------------------------------------------Checking Windows NT UserInit:[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]UserInit = C:\WINNT\system32\userinit.exe,--------------------------------------------------Autorun entries from Registry:HKLM\Software\Microsoft\Windows\CurrentVersion\RunTrackPointSrv = tp4serv.exeAGRSMMSG = AGRSMMSG.exeSynchronization Manager = mobsync.exe /logonATIModeChange = Ati2mdxx.exePRPCMonitor = PRPCUI.exeTPHOTKEY = C:\PROGRA~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exeTP4EX = tp4ex.exeTPTRAY = C:\PROGRA~1\ThinkPad\UTILIT~1\TP98TRAY.EXEBMMGAG = RunDll32 C:\PROGRA~1\ThinkPad\UTILIT~1\pwrmonit.dll,StartPwrMonitorQCTRAY = C:\PROGRA~1\ThinkPad\CONNEC~1\Qctray.exeUC_SMB = StorageGuard = "C:\Program Files\VERITAS Software\StorageGuard\sgtray.exe" /rdla = C:\WINNT\system32\dla	fswctrl.exeConfigSafe = C:\CFGSAFE\NTFSCLUP.EXECSScheduleCheck = C:\CFGSAFE\SCHWIZEX.EXE -CHECKNeroCheck = C:\WINNT\System32\NeroCheck.exeInCD = C:\Program Files\Ahead\InCD\InCD.exeadiras = adiras.exeAVGCtrl = "C:\Program Files\AVPersonal\AVGNT.EXE" /minKAVPersonal50 = "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kav.exe" /minimizePestPatrol Control Center = C:\Program Files\PestPatrol\PPControl.exe--------------------------------------------------Shell & screensaver key from C:\WINNT\SYSTEM.INI:Shell=*INI section not found*SCRNSAVE.EXE=*INI section not found*drivers=*INI section not found*Shell & screensaver key from Registry:Shell=explorer.exeSCRNSAVE.EXE=*Registry value not found*drivers=*Registry value not found*Policies Shell key:HKCU\..\Policies: Shell=*Registry value not found*HKLM\..\Policies: Shell=*Registry value not found*--------------------------------------------------Enumerating Task Scheduler jobs:BMMTask.jobImage planifiée.job--------------------------------------------------Enumerating Download Program Files:[{33564D57-0000-0010-8000-00AA00389B71}]CODEBASE = http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB[Shockwave Flash Object]InProcServer32 = C:\WINNT\System32\macromed\flash\Flash.ocxCODEBASE = http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab--------------------------------------------------Enumerating ShellServiceObjectDelayLoad items:Network.ConnectionTray: C:\WINNT\system32\NETSHELL.dllWebCheck: C:\WINNT\System32\webcheck.dllSysTray: stobject.dll--------------------------------------------------End of report, 4 130 bytesReport generated in 0,160 secondsCommand line options:   /verbose  - to add additional info on each section   /complete - to include empty sections and unsuspicious data   /full     - to include several rarely-important sections   /force9x  - to include Win9x-only startups even if running on WinNT   /forcent  - to include WinNT-only startups even if running on Win9x   /forceall - to include all Win9x and WinNT startups, regardless of platform   /history  - to list version history onlyEt le rapport  Hijack en mode utisateur et sans échec :Logfile of HijackThis v1.99.1Scan saved at 23:30:52, on 06/08/2005Platform: Windows 2000 SP2 (WinNT 5.00.2195)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINNT\System32\smss.exeC:\WINNT\system32\winlogon.exeC:\WINNT\system32\services.exeC:\WINNT\system32\lsass.exeC:\WINNT\system32\svchost.exeC:\Hervé\HijackThis.exeO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocxO4 - HKLM\..\Run: [MSConfig] E:\Outils pr combattre smitfraud\2kmsconfig.exe /autoO4 - HKLM\..\RunOnce: [delus] C:\DOCUME~1	d\LOCALS~1\Temp\delus.exeO20 - Winlogon Notify: nwprovau - C:\WINNT\SYSTEM32
wprovau.dllMerci d'avance pour vos conseils et pour votre aide.

balltrap34 · Answer

salutje vois que tu parle de smitfraudsi tu peut telecharge cecihttp://siri.urz.free.fr/Fix/SmitfraudFix.ziptu le decompresse tu double clik dessus et tu choisi l option 1cela vas generer un rapport donne nous leredemarre en sans echecrelance le et choisi cette fois l option 2 et repond oui a tousredemarre et donne le nouveau rapportredemarreet completer a la fin par hijack

balltrap34 · Answer

hijack fait le en mode normal sinon c est pas bon

balltrap34 · Answer

pas grave je regarde ton log et je revient

balltrap34 · Answer

je vois rien sur ton loga part que tu as du ma affee du avg et du kasperydesactive les de facon a ne garder qu un anti virus et pare feuensuite fait ceci pour voirTélécharge ceci SilentRunners. http://www.silentrunners.org/Silent%20Runners.vbsLance-le Copie/colle-le rapport ici

balltrap34 · Answer

ou trouve t il se trojan son emplacementoui pour la restauration et fait la suite stp

Utilisateur anonyme · Answer

salutje crois que balltrap n'est pas la aujourd'hui (cause deplacement boulot)ton silentrunners est okest ce que les deux fichiers detectés sont toujours là ?c:documents and settings\default user\local settings	emporary internet files\contents.IE5\YH6W3CWH\cxtpls_loader[1]exe et c:documents and settings	d\local settings	emporary internet files\contents.IE5\01YFSPIF\cxtpls_loader[1]exea+

Utilisateur anonyme · Answer

Salutc'est pas parce qu'il y à marqué infection warning que c'est forcement mauvaisnwprovau.dllhttp://castlecops.com/o20list-16.htmlfichier signé microsoftConfigSafe Install Guardfichier signé par imagine LAN, Incpar contre j'avais pas vu ceci à la 1ere lectureHKCU\Software\Microsoft\Internet Explorer\Explorer Bars\ {8CBA1B49-8144-4721-A7B1-64C578C9EED7}\ = "SideFind" [from CLSID] -> {CLSID}\InProcServer32\(Default) = "C:\Program Files\SideFind\sidefind.dll" [file not found] C:\Program Files\SideFind <- a supprimerhttp://www3.ca.com/securityadvisor/pest/pest.aspx?id=453088285a+

Utilisateur anonyme · Answer

pour voir s'il reste des traces de smitfraud, telecharge smitfraudfix ici:http://siri.urz.free.fr/Fix/SmitfraudFix.zipdezippe le et lance le.choisis l'option 1 (rechercher)fais un copier/coller du résultat icia+

hervéLille · Answer

Je précise que j'ai généré le rapport en mode sans échec et après avoir tuer le processus explorer exe.Le voici :SmitFraudFix v1.5Rapport fait à 22:23:37,21 le mer. 10/08/2005Executé à partir de C:\Herv‚\SmitfraudFixOS: Microsoft Windows 2000 [Version 5.00.2195]»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINNT»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINNT\system»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINNT\Web»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINNT\system32C:\WINNT\system32\oleext.dll PRESENT !C:\WINNT\system32\wppp.html PRESENT !»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINNT\system32\LogFiles»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Documents and Settings\Administrateur.FDESPRES\Application Data»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Program FilesC:\WINNT\system32\wininet.dll infecté !»»»»»»»»»»»»»»»»»»»»»»»» Recherche wininet.dll de remplacement Le volume dans le lecteur C s'appelle IBM_PRELOAD Le num‚ro de s‚rie du volume est 2B2D-15D1 R‚pertoire de C:\WINNT\system3230/08/2002  18:24              590ÿ336 wininet.dll               1 fichier(s)          590ÿ336 octets R‚pertoire de C:\WINNT\system32\dllcache30/08/2002  18:24              590ÿ336 wininet.dll               1 fichier(s)          590ÿ336 octets R‚pertoire de C:\WINNT\$NtUninstallSP2SRP1$07/05/2001  17:00              472ÿ848 wininet.dll               1 fichier(s)          472ÿ848 octets»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapportMerci pour son analyse,

Utilisateur anonyme · Answer

smitfraud est bien là, et en plus le fichier systeme wininet et infectérelance le et choisis l'option 2, accepte le nettoyageune fois fais sauvegarde le rapport, un reboot est necessaire pour finir la desinfectionune fois fait, poste le rapport

hervéLille · Answer

MIRACLE !!!!!!J'ai enfin accés au menu démarrer et plus de sablier.Le fichier wininet a été réparé grâce à une copie dans le backup.Voici le rapport :SmitFraudFix v1.5Rapport fait à 22:53:46,76 le mer. 10/08/2005Executé à partir de C:\Herv‚\SmitfraudFixOS: Microsoft Windows 2000 [Version 5.00.2195]»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectésProblème suppression C:\WINNT\system32\oleext.dllC:\WINNT\system32\wppp.html supprimé »»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre »»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre Nettoyage terminé.  »»»»»»»»»»»»»»»»»»»»»»»» Recheche wininet.dll  C:\WINNT\system32\wininet.dll infecté !Recherche d'une copie de secours (backup) de wininet.dll... Le volume dans le lecteur C s'appelle IBM_PRELOAD Le num‚ro de s‚rie du volume est 2B2D-15D1 R‚pertoire de C:\WINNT\system3230/08/2002  18:24              590ÿ336 wininet.dll               1 fichier(s)          590ÿ336 octets R‚pertoire de C:\WINNT\system32\dllcache30/08/2002  18:24              590ÿ336 wininet.dll               1 fichier(s)          590ÿ336 octets R‚pertoire de C:\WINNT\$NtUninstallSP2SRP1$07/05/2001  17:00              472ÿ848 wininet.dll               1 fichier(s)          472ÿ848 octetsFichier trouvé : C:\WINNT\system32\dllcache\wininet.dllVersion System : 6.0.2800.1106Version BackUp : 6.0.2800.1106Remplacement wininet.dll (reboot necessaire)»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapportJe te remercie énormément pour ce dépannage.Je suppose qu'il reste une série de vérifications à faire.Et enfin, si je peux avoir tes conseils pour blinder cette ordinateur pour ne plus avoir de problème. Merci d'avance,

Utilisateur anonyme · Answer

tu as bien fais de mentionné smitfraud, sinon impossible de faire le rapprochement.tu as plusieurs av d'installés ?je vois avg et kaspersky, mais aucun d'entre eux n'a l'air de tourner ?a+

hervéLille · Answer

Pour l'instant j'ai désinstallé tous les antivirus. C'était des versions d'essai pour tenter de résoudre le problème. Je vais installé Bit defender que j'avais acheté car il a été évalué le meilleur dans l'ordinateur individuel de  mai 2005. Comme antispyware, je compte acheter CounterSpy 1.0 noté 2ème dans le même n° de l'OI.Qu'en penses tu ? est-ce suffisant ?

Utilisateur anonyme · Answer

okbitdef est tres bien, bon choixarrete et desactive ces 2 services via msconfig, si tu n'as plus avgAVG7 Alert Manager Server AVG7 Update Service a+

balltrap34 · Answer

la je comprend pas il me semble que je t est fait passer le fix au debut et il na rien trouver?????????

S!Ri · Answer

SalutLe Fix du début est en version 1.2La version 1.3 met a jour le fichier wininet.dll infecté par oleext.dll.La version 1.6 de ce matin ajoute tool2.exe à la longue liste des fichiers responsable des DesktopHijack...a+

balltrap34 · Answer

oki c est difficile de suivre quand ont est absent d un pc la semaine lol

S!Ri · Answer

oui, je te l'accorde en plus ca évolue rapidement...

balltrap34 · Answer

lol

balltrap34 · Answer

je t en veut pas du toustu peut donner le lien sur les autres forum pas de soucispour se qui est de la restau sous 2000 elle n exixte pas je crois

balltrap34 · Answer

oki pour la restau sous xptu clik sur demarrer/tous les programmes/accessoire/outils systeme/restauration systemeet la tu suis la procedure pour crer un point de restauration

balltrap34 · Answer

de riena++

Virus? sablier bloqué et icône inactif - Page 2

Discussions similaires

Newsletters