your computer is infected Fermé

Question

Je sais que c'est apparement un problème d'actualité néanmoins lorsqu'on applique à la lettre les indications des uns cela ne marche pas nécessairement pour les autres... En d'autres termes mon cas est identique tout en étant différent.J'ai également un point d'exclamation dans la barre des taches...le site vers lequel il bifurque est "www.worldantispy.com"J'ai essaye le mode sans échec et le rapport hijacks est (option do a system scan  and savez log file):Logfile of HijackThis v1.99.1Scan saved at 15:48:18, on 18/08/2005Platform: Windows 2000 SP4 (WinNT 5.00.2195)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINNT\System32\smss.exeC:\WINNT\system32\winlogon.exeC:\WINNT\system32\services.exeC:\WINNT\system32\lsass.exeC:\WINNT\system32\svchost.exeC:\WINNT\system32\spoolsv.exeC:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exeC:\WINNT\System32\svchost.exeC:\Program Files\Network Associates\Common Framework\FrameworkService.exeC:\Program Files\Network Associates\VirusScan\Mcshield.exeC:\Program Files\Network Associates\VirusScan\VsTskMgr.exeC:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXEC:\WINNT\System32\mgabg.exeC:\WINNT\system32egsvc.exeC:\WINNT\system32\MSTask.exeC:\WINNT\system32\stisvc.exeC:\WINNT\System32\WBEM\WinMgmt.exeC:\WINNT\System32\mspmspsv.exeC:\WINNT\system32\svchost.exeC:\WINNT\Explorer.EXEC:\WINNT\system32\RunDll32.exeC:\WINNT\System32\PDesk\PDesk.exeC:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exeC:\Program Files\Network Associates\Common Framework\UpdaterUI.exeC:\Program Files\Network Associates\VirusScan\SHSTAT.EXEC:\Program Files\Microsoft AntiSpyware\gcasServ.exeC:\Program Files\Logitech\MouseWare\system\em_exec.exeC:\WINNT\system32\qttask.exeC:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exeC:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exeC:\Program Files\SuperCopier\SuperCopier.exeC:\Program Files\Google\Google Desktop Search\GoogleDesktop.exeC:\WINNT\system32\ctfmon.exeC:\Program Files\WinZip\WZQKPICK.EXEC:\Palm\HOTSYNC.EXEC:\Program Files\Google\Google Desktop Search\GoogleDesktopIndex.exeC:\Program Files\Google\Google Desktop Search\GoogleDesktopDisplay.exeC:\Program Files\Google\Google Desktop Search\GoogleDesktopCrawl.exeC:\Program Files\Microsoft AntiSpyware\gcasDtServ.exeC:\Program Files\Internet Explorer\iexplore.exeC:\WINNT\system32\cmd.exeC:\Program Files\MSN Messenger\msnmsgr.exeC:\PROGRA~1\WINZIP\winzip32.exeC:\Documents and Settings\fabian\Local Settings\Temp\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://top-find4u.com/sp.htmR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://top-find4u.com/sp.htmR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://SERVER/intranet/sbsclienthelp/default.aspR1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http://ARCHSRV1:80R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dllO2 - BHO: Solid Converter PDF - {259F616C-A300-44F5-B04A-ED001A26C85C} - C:\Program Files\SolidDocuments\SolidConverterPDF\SCPDF\ExploreExtPDF.dllO2 - BHO: LostGoggles plug-in (web site preview snapshots - www.lostgoggles.com) - {6291957C-8CE9-4c90-BEFF-12D9E68CFF30} - C:\Program Files\LostGoggles\LGoggles.dllO2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dllO2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dllO2 - BHO: SafeIE Utility - {B5D4581D-ED6A-4905-A267-25BAF7BE79C1} - C:\WINNT\system32\safeie.dllO2 - BHO: Acronis Popup Blocker - {E24AD748-155E-4254-B674-4EDF86E7E1DF} - blank (file missing)O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocxO3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dllO3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dllO3 - Toolbar: Solid Converter PDF - {259F616C-A300-44F5-B04A-ED001A26C85C} - C:\Program Files\SolidDocuments\SolidConverterPDF\SCPDF\ExploreExtPDF.dllO4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logonO4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWndO4 - HKLM\..\Run: [Matrox Powerdesk] C:\WINNT\System32\PDesk\PDesk.exe /AutolaunchO4 - HKLM\..\Run: [HP Network Registry Agent] C:\WINNT\System32\hpnra.exeO4 - HKLM\..\Run: [JobHisInit] C:\Program Files\RMClient\JobHisInit.exeO4 - HKLM\..\Run: [MplSetUp] C:\Program Files\RMClient\MplSetUp.exeO4 - HKLM\..\Run: [zzzHPSETUP] D:\Setup.exeO4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exeO4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKeyO4 - HKLM\..\Run: [ShStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONEO4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.ExeO4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"O4 - HKLM\..\Run: [QuickTime Task] "C:\WINNT\system32\qttask.exe" -atboottimeO4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"O4 - HKLM\..\Run: [RegistryMechanic] C:\Program Files\Registry Mechanic\RegMech.exe /QSO4 - HKCU\..\Run: [SuperCopier.exe] C:\Program Files\SuperCopier\SuperCopier.exeO4 - HKCU\..\Run: [Google Desktop Search] "C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startupO4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exeO4 - Startup: HotSync Manager.lnk = C:\Palm\HOTSYNC.EXEO4 - Global Startup: Adobe Acrobat Speed Launcher.lnk = C:\Program Files\Adobe\Acrobat 7.0\Acrobat\acrobat_sl.exeO4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exeO4 - Global Startup: MyVitalAgent.lnk = C:\Program Files\INS\VitalAgent\Program\VtlAgent.exeO4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXEO4 - Global Startup: Ypsos Update.lnk = C:\Program Files\Ypsos\Bin\Ypsos Update.exeO8 - Extra context menu item: &Download all by WellGet - C:\Program Files\WellGet
xall.htmO8 - Extra context menu item: &Traduire à partir de l'anglais - res://c:\program files\google\GoogleToolbar1.dll/cmwordtrans.htmlO8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.htmlO8 - Extra context menu item: Convert link target to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.htmlO8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.htmlO8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.htmlO8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.htmlO8 - Extra context menu item: Convert selection to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.htmlO8 - Extra context menu item: Convert to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.htmlO8 - Extra context menu item: Convert to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.htmlO8 - Extra context menu item: Download All by FlashGet - C:\Program Files\FlashGet\jc_all.htmO8 - Extra context menu item: Download by &WellGet - C:\Program Files\WellGet
xcatch.htmO8 - Extra context menu item: Download using FlashGet - C:\Program Files\FlashGet\jc_link.htmO8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MI699F~1\OFFICE11\EXCEL.EXE/3000O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar1.dll/cmbacklinks.htmlO8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar1.dll/cmsimilar.htmlO8 - Extra context menu item: Recherche &Google - res://c:\program files\google\GoogleToolbar1.dll/cmsearch.htmlO8 - Extra context menu item: Télécharger en utilisant Download &Express - C:\Program Files\Download Express\Add_Url.htmO8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar1.dll/cmcache.htmlO9 - Extra button: Micro Application Anti-Popup - {2E071ADC-ADF8-4b4b-8ACB-EDC49E6D45A2} - blank (file missing)O9 - Extra 'Tools' menuitem: Anti-Popup - {2E071ADC-ADF8-4b4b-8ACB-EDC49E6D45A2} - blank (file missing)O9 - Extra button: WellGet - {35980F6E-A258-4E50-953D-813BB8556899} - C:\Program Files\WellGet\WellGet.exeO9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MI699F~1\OFFICE11\REFIEBAR.DLLO9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\WINNT\System32\shdocvw.dllO9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\WINNT\System32\shdocvw.dllO9 - Extra button: (no name) - SolidConverterPDF - (no file) (HKCU)O14 - IERESET.INF: START_PAGE_URL=http://SERVER/intranet/sbsclienthelp/default.aspO16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=36467&clcid=0x409O16 - DPF: {4F5E4276-C120-11D6-A1FD-00508B9D48EA} (dldisplay Class) - http://www.gamehouse.com/ghdlctl.cabO16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cabO17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = Archi2000.localO17 - HKLM\System\CCS\Services\Tcpip\..\{17B50689-2001-4C57-BAD0-72FB7AFC023E}: NameServer = 192.168.0.11O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = Archi2000.localO17 - HKLM\System\CS1\Services\Tcpip\..\{17B50689-2001-4C57-BAD0-72FB7AFC023E}: NameServer = 192.168.0.11O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = Archi2000.localO17 - HKLM\System\CS2\Services\Tcpip\..\{17B50689-2001-4C57-BAD0-72FB7AFC023E}: NameServer = 192.168.0.11O23 - Service: Autodesk Licensing Service - Unknown owner - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exeO23 - Service: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exeO23 - Service: McAfee Framework Service (McAfeeFramework) - Network Associates, Inc. - C:\Program Files\Network Associates\Common Framework\FrameworkService.exeO23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\Mcshield.exeO23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\VsTskMgr.exeO23 - Service: MGABGEXE - Matrox Graphics Inc. - C:\WINNT\System32\mgabg.exeLe rapport de SmitFraudFix v1.7 est (option 1)Rapport fait à 15:49:34,95 le jeu. 18/08/2005Executé à partir de C:\downloadOS: Microsoft Windows 2000 [Version 5.00.2195]»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINNT»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINNT\system»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINNT\Web»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINNT\system32»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINNT\system32\LogFiles»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Documents and Settings\fabian\Application Data»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Program Files»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapportPas de nettoyage à effectuer donc.....J'ai toujours ce point d'exclamationHELP HELP HELP ô vous les géants de l'informatiquePS: j'aoublie de dire que spybot a déjà tout nettoyer, adaware, microsoft anti-spyware et MCafee (full scan) mis à jour ce jour. registery scan également....

sebsauvage · Answer

C'est un spyware.tu as un antispyware ?Spybot ?   Et AdAware ?Tu as un antivirus ?Tu as un firewall ?Tu as fait les mises à jour WindowsUpdate ?tu as essayé de scanner avec les antivirus en ligne ?Bref, il y a plusieurs choses à faire avant de se lancer dans un hijackthis.http://sebsauvage.net/safehex.html

archfab · Answer

j'ai rajouter qu'avant le HIJACK J'ai fait touné: spybot adawaremicrosoft anti-spywareMCafee (full scan 3h) mis à jour ce jour. registery scan également....et que dalle

sebsauvage · Answer

C'est ça que tu vois ?http://www.dasv.dk/Billeder/world.bmp

archfab · Answer

exactement ce sacré point d'exclamation!!!!!!As-tu une solution???

sebsauvage · Answer

Je ne connais pas ce spyware, mais il semble assez rare.Je n'ai pas trop le temps de passer en détail ton log hijackthis,mais à vue de nez, les trucs qui me semblent louches:R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://top-find4u.com/sp.htmR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://top-find4u.com/sp.htm O2 - BHO: LostGoggles plug-in (web site preview snapshots - www.lostgoggles.com) - {6291957C-8CE9-4c90-BEFF-12D9E68CFF30} - C:\Program Files\LostGoggles\LGoggles.dll O2 - BHO: SafeIE Utility - {B5D4581D-ED6A-4905-A267-25BAF7BE79C1} - C:\WINNT\system32\safeie.dll O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file) O4 - HKLM\..\Run: [zzzHPSETUP] D:\Setup.exe O16 - DPF: {4F5E4276-C120-11D6-A1FD-00508B9D48EA} (dldisplay Class) - http://www.gamehouse.com/ghdlctl.cab Il y en a tellement incrustés dans IE et l'explorateur que c'est difficile de faire le tri... :-.autre question:Spybot, AdAware est autres sont à jour ?Essai également en prenant un antivirus en ligne:(en particulier le TrendMicro avec la détection spyware).Essai aussi avec un Kasperksy en ligne:http://webscanner.kaspersky.fr/

archfab · Answer

Pour finir et après de longues heures j'ai fini par avoir des problèmes de drag & drop, de copier, de coller....si bien qu'un seul formatage complet fut la seule solution....Merci à tous ceux qui ont essayé de m'aider...PS le problème semble être très récent et de plus en plus courant...méfier vous jusqu'à la prochaine parade....a+

Utilisateur anonyme · Answer

J'ai également ce problème, il s'agit d'un nouveau logiciel antySpy qui a une politique des plus agressive.Il s'installe à la faveur d'une visite sur le net et vous pourit la vie en créant à chaque démarrage des spywares et des trojans (win 018.exe.......win9999.exe)Il vous propose ensuite un lien vers son site pour vous en débarrasser moyennant finance cela va sans dire.Je ne suis pas assez calé en informatique pour trouvé où il se cache.Si quelqu'un le sait ......Merci d'avance

Utilisateur anonyme · Answer

Erratum les spy se nomment "sys .exe"et non pas win.exe.d'aytre part je viens de trouver la trace W A S dans" HKEY Loc Mach\software\worldAntiSpy"

S!Ri · Answer

Salut archfab,Ton problème semble lié à une infection du fichier wininet.dll-> http://castlecops.com/p611489-Red_quot_quot_Icon_quot_Your_computer_is_infected.html#611489Cette personne avait le même problème que toi et l'a résolu en cherchant dans son système un fichier wininet.dll de même version (click droit sur le fichier, propriété, version).Elle a renommé la dll utilisée par le système enC:\Winnt\system32\wininet.dll en wininet.oldEnfin elle a remplacé C:\Winnt\system32\wininet.dll  par le fichier trouvé.Avant de faire cette manip, peux tu m'envoyer le fichier :C:\Winnt\system32\wininet.dll à cette adresse: submitvirus@aim.comafin que je vérifie si ce programme est bien lancé à partir de cette dll a+

archfab · Answer

Je te remercie S!Ri .. si j'avais reçu ce message plus tôt peut-être que j'aurais pu appliquer la solution mais j'ai tout formaté.Merci encore j'espère que cela pourra servir à qq'un d'autre.a+

S!Ri · Answer

re'dommage.a+

Utilisateur anonyme · Answer

Le problème semble plus profond car j'ai également isolé"wininet.dll"et je l'ai même effacé. en mois d'un quart d'heure il est réapparu et la pollution par de faux virus a repris de plus belle.Jai été obligé comme me le sugère "archfab" de rapeller un ghost.Le problème vient du fait que je n'arrivait pas à localiser l'origine du petit rond rouge à côté de l'horloge.  Ce qui me fait le plus râler c'est que c'est un marchand d'anty spy qui n'hésite pas  à vous infecter pour vous vendre son remède.Ps Le problème disparait si l'on reste déconnecté ce qui prouverait que c'est le fabricant qui envoi les faux virus.

Daclaril · Answer

sltcomment je m'en suis débarasser :effectivement c'est bien la dll wininet qu'il faut remplacer mais avant j'ai tous désinstaller les entrées de la base de registremode emploi : 1-demarer puis executer....regeditedition...rechercher...dans le cadre rechercher taper  worldantispy et supprimer toutes les cles, entrée etc....c'est long mais good2-faire une recherche sur le c:/ pour trouver tous les "wininet" et seulement remplacer wininet dans systeme32j'en ai trouvé un wininet a cete adressehttp://www.dll-files.com/dllindex/dll-files.shtml?wininet

S!Ri · Answer

SalutMerci pour ta contribution Daclaril.Une recherche de worldantispy avec regsearch:http://www.billsway.com/vbspage/vbsfiles/RegSrch.zippour avoir la liste des clés a effacer.Remplacer wininet.dll par un fichier de même version trouvé sur le disque dur (j'insiste sur "même version" pour eviter des problèmes d'incompatibilité).Si un fichier de remplacement n'est pas trouvé sur le disque dur, faire une mise à jour:WinXP SP1/ SP2: http://www.microsoft.com/technet/security/Bulletin/MS05-038.mspxou WinXP Sans SP:http://www.microsoft.com/technet/security/bulletin/ms04-038.mspxTo install the Internet Explorer 6 version of this update,you must be running Internet Explorer 6 (version 6.00.2600.0000)on a 32-bit version of Windows XPa+PS: merci d'envoyer le fichier wininet.dll infecté à cette adresse pour analyse: submitvirus@aim.com et de poster ici le rapport regsearch

Your computer is infected

14 réponses

Discussions similaires