[spyware?] Bureau remplacé par une pub (2)

Question

Bonjour à tous !J'ai déjà envoyé le message suivant en "réponse" à un précédent message et je me permets de l'envoyer à présent comme un message à part entière pour plus de visibilité.Je rencontre depuis hier exactement le même problème que "aidez-moi" ("bureau remplacé par une publicité", 06/08/2005) : je suis bloqué devant une publicité inquiétante ("Warning ! Yoour computer may be infected...") qui bloque mon bureau. C'est sans doute un spyware et il a complètement investi Internet Explorer et Outlook (messages d'erreur à répétition, déconnexions très fréquentes, lenteur... sans compter que toute action en ligne me conduit à un site spécialisé dans la lutte anti-spyware et que mes paramètres internet -identifiant, n° de téléphone pour la connexion, etc- sont à chaque fois modifié). Les problèmes semblent se multiplier et empirer au fil de ces dernières heures. J'ai essayé de restaurer le système: l'ordinateur n'a pas pu accomplir la restauration; j'ai réinstallé windows XP, sans succès; j'ai lancé "Microsoft anti-spyware" puis "Ad-aware" qui ont trouvé et détruit des fichiers infectés, mais rien n'a changé. Et puis je suis tombé sur ce forum et après de multiples déconnexions intempestives (dues au spyware ou autres cochonneries), j'ai quand même pu lire et imiter la procédure conseillée par Régis.Pourrais-je moi aussi vous demander de l'aide? J'ai téléchargé Ad-Aware et Hijackthis. Voilà ce que j'obtiens après "do a system scan" dans Hijackthis: Logfile of HijackThis v1.99.1Scan saved at 16:51:40, on 23/08/2005Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\System32\Ati2evxx.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeC:\WINDOWS\System32\CTsvcCDA.exeC:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXEC:\Program Files\Norton AntiVirus
avapsvc.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\MsPMSPSv.exeC:\WINDOWS\System32\CAPRPCSK.EXEC:\WINDOWS\system32\Ati2evxx.exeC:\WINDOWS\Explorer.EXEC:\Program Files\Messenger\msmsgs.exeC:\WINDOWS\System32\shnlog.exeC:\WINDOWS\System32\msole32.exeC:\WINDOWS\BCMSMMSG.exeC:\Program Files\Creative\SBAudigy2\Surround Mixer\CTSysVol.exeC:\Program Files\Creative\SBAudigy2\DVDAudio\CTDVDDet.EXEC:\WINDOWS\System32\CTHELPER.EXEC:\WINDOWS\system32\dla	fswctrl.exeC:\Program Files\Dell\Media Experience\PCMService.exeC:\WINDOWS\System32\DSentry.exeC:\Program Files\Fichiers communs\Symantec Shared\ccApp.exeC:\WINDOWS\System32\intmon.exeC:\WINDOWS\System32\ctfmon.exeC:\Program Files\Real\RealPlayer\RealPlay.exeC:\Program Files\QuickTime\qttask.exeC:\Program Files\HP\HP Software Update\HPWuSchd.exeC:\Program Files\Microsoft AntiSpyware\gcasServ.exeC:\Program Files\Microsoft AntiSpyware\gcasDtServ.exeC:\Program Files\HP\Digital Imaging\bin\hpqtra08.exeC:\WINDOWS\SYSTEM32\SPOOL\DRIVERS\W32X86\3\CAPPSWK.EXEC:\WINDOWS\System32\spool\drivers\w32x86\3\CAPPSWK.EXEC:\Program Files\Internet Explorer\IEXPLORE.EXEC:\Documents and Settings\Oli\Local Settings\Temp\Répertoire temporaire 1 pour hijackthis_199.zip\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blankR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.bestwebslinks.com/search.php?qq=%1R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.bestwebslinks.com/bar.htmlR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.bestwebslinks.com/search.php?qq=%1R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.club-internet.frR1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.bestwebslinks.com/search.php?qq=%1R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.bestwebslinks.com/search.php?qq=%1R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.bestwebslinks.com/search.php?qq=%1R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.bestwebslinks.com/search.php?qq=%1R1 - HKLM\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.bestwebslinks.com/search.php?qq=%1R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.bestwebslinks.com/R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.club-internet.fr:8080R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0;localhost;club-internet.fr;*.club-internet.fr;grolier.fr;*.grolier.frR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensR3 - Default URLSearchHook is missingO2 - BHO: HP Class - {FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA} - C:\WINDOWS\System32\hpA24A.tmpO3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exeO4 - HKLM\..\Run: [BCMSMMSG] BCMSMMSG.exeO4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeO4 - HKLM\..\Run: [CTSysVol] C:\Program Files\Creative\SBAudigy2\Surround Mixer\CTSysVol.exeO4 - HKLM\..\Run: [CTDVDDet] C:\Program Files\Creative\SBAudigy2\DVDAudio\CTDVDDet.EXEO4 - HKLM\..\Run: [CTHelper] CTHELPER.EXEO4 - HKLM\..\Run: [AsioReg] REGSVR32.EXE /S CTASIO.DLLO4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXEO4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla	fswctrl.exeO4 - HKLM\..\Run: [StorageGuard] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /rO4 - HKLM\..\Run: [PCMService] "C:\Program Files\Dell\Media Experience\PCMService.exe"O4 - HKLM\..\Run: [DVDSentry] C:\WINDOWS\System32\DSentry.exeO4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe"O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\System32\IME\PINTLGNT\ImScInst.exe /SYNCO4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNCO4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMENameO4 - HKLM\..\Run: [eCarteBleue-LP-P1] "C:\Program Files\e-Carte Bleue\LA POSTE\CVD ADESIO\ECB.exe"  /dontopenmycardsO4 - HKLM\..\Run: [RealTray] C:\Program Files\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYERO4 - HKLM\..\Run: [ICQ Net] C:\WINDOWS\winlogon.exe -stealthO4 - HKLM\..\Run: [CAPON] C:\WINDOWS\System32\Spool\Drivers\w32x86\3\CAPONN.EXEO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\HP\HP Software Update\HPWuSchd.exe"O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Program Files\Fichiers communs\Symantec Shared\Security Center\UsrPrmpt.exeO4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exeO4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /backgroundO4 - HKCU\..\Run: [SB Audigy 2 Startup Menu]  /L:FRNO4 - HKCU\..\Run: [tapisys] C:\WINDOWS\System32	ss.exeO4 - Global Startup: Fenêtre d'état Canon LBP-810.LNK = C:\WINDOWS\SYSTEM32\SPOOL\DRIVERS\W32X86\3\CAPPSWK.EXEO4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exeO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLLO9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dllO16 - DPF: {11111111-1111-1111-1111-111111111732} - file://c:\progra~1\pl.exeO16 - DPF: {11111111-1111-1111-1111-111111113457} - file://c:\ied_s7.cabO16 - DPF: {11111111-1111-1111-1111-511111113457} - file://c:\x.cabO16 - DPF: {11111111-1111-1111-1111-511111113458} - file://c:\x.cabO16 - DPF: {24311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cabO16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\ex.cabO16 - DPF: {33331111-1111-1111-1111-611111193458} - file://c:\ex.cabO16 - DPF: {33331111-1111-1111-1111-622221193458} - file://c:\ex.cabO16 - DPF: {64311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cabO17 - HKLM\System\CCS\Services\Tcpip\..\{7D97681A-A8F1-4313-A2B1-6CBBACDD29ED}: NameServer = 194.117.200.10 194.117.200.15O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} - C:\WINDOWS\System32\vbsys2 (file missing)O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exeO23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeO23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exeO23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exeO23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus
avapsvc.exeO23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - C:\Program Files\Intel\NCS\Sync\NetSvc.exeO23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exeO23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exeJ'espère vraiment trouver de l'aide. Merci !!! Oli

jean38 · Answer

salut,

telecharge smitfraudfix ici:
http://siri.urz.free.fr/Fix/SmitfraudFix.zip
dezippe le et lance le.
choisis l'option 1 (rechercher)
fais un copier/coller du résultat ici

refait un log hijack et post le aussi.

A+

Oli70 · Answer

Bonjour Jean,Un grand merci pour ta réponse et pour l'aide que tu m'apportes. Voici les rapports de Smitfraud et de Hijackthis (qui sont du chinois pour moi) :SmitFraudFix v1.8Rapport fait à 11:11:55,51 le 24/08/2005Executé à partir de C:\Documents and Settings\Oli\Bureau\SmitfraudFix\SmitfraudFixOS: Microsoft Windows XP [version 5.1.2600]»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWSC:\WINDOWS\uninstIU.exe PRESENT !»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\Web»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system32C:\WINDOWS\system32\hhk.dll PRESENT !C:\WINDOWS\system32\hp????.tmp PRESENT !C:\WINDOWS\system32\intmon.exe PRESENT !C:\WINDOWS\system32\msole32.exe PRESENT !C:\WINDOWS\system32\ole32vbs.exe PRESENT !C:\WINDOWS\system32\oleext.dll PRESENT !C:\WINDOWS\system32\shnlog.exe  PRESENT !C:\WINDOWS\system32\wppp.html PRESENT !»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system32\LogFiles»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Documents and Settings\Oli\Application Data»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Program FilesC:\Program Files\Virtual Maid\ PRESENT !»»»»»»»»»»»»»»»»»»»»»»»» Recherche présence de la clé HKLM\SOFTWARE\SHUDDERLTDHKLM\SOFTWARE\SHUDDERLTD non trouvé.»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapportLogfile of HijackThis v1.99.1Scan saved at 11:12:47, on 24/08/2005Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\System32\Ati2evxx.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeC:\WINDOWS\System32\CTsvcCDA.exeC:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXEC:\Program Files\Norton AntiVirus
avapsvc.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\MsPMSPSv.exeC:\WINDOWS\System32\CAPRPCSK.EXEC:\WINDOWS\system32\Ati2evxx.exeC:\WINDOWS\Explorer.EXEC:\Program Files\Messenger\msmsgs.exeC:\WINDOWS\System32\shnlog.exeC:\WINDOWS\System32\msole32.exeC:\WINDOWS\System32\ctfmon.exeC:\WINDOWS\BCMSMMSG.exeC:\Program Files\Creative\SBAudigy2\Surround Mixer\CTSysVol.exeC:\Program Files\Creative\SBAudigy2\DVDAudio\CTDVDDet.EXEC:\WINDOWS\System32\CTHELPER.EXEC:\WINDOWS\system32\dla	fswctrl.exeC:\WINDOWS\System32\intmon.exeC:\Program Files\Dell\Media Experience\PCMService.exeC:\WINDOWS\System32\DSentry.exeC:\Program Files\Fichiers communs\Symantec Shared\ccApp.exeC:\Program Files\Real\RealPlayer\RealPlay.exeC:\Program Files\QuickTime\qttask.exeC:\Program Files\HP\HP Software Update\HPWuSchd.exeC:\Program Files\Microsoft AntiSpyware\gcasServ.exeC:\Program Files\Microsoft AntiSpyware\gcasDtServ.exeC:\Program Files\HP\Digital Imaging\bin\hpqtra08.exeC:\WINDOWS\SYSTEM32\SPOOL\DRIVERS\W32X86\3\CAPPSWK.EXEC:\WINDOWS\System32\spool\drivers\w32x86\3\CAPPSWK.EXEC:\Program Files\Internet Explorer\IEXPLORE.EXEC:\Documents and Settings\Oli\Local Settings\Temp\Répertoire temporaire 3 pour hijackthis_199.zip\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blankR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.bestwebslinks.com/search.php?qq=%1R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.bestwebslinks.com/bar.htmlR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.bestwebslinks.com/search.php?qq=%1R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.club-internet.frR1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.bestwebslinks.com/search.php?qq=%1R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.bestwebslinks.com/search.php?qq=%1R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.bestwebslinks.com/search.php?qq=%1R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.bestwebslinks.com/search.php?qq=%1R1 - HKLM\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.bestwebslinks.com/search.php?qq=%1R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.bestwebslinks.com/R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.club-internet.fr:8080R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0;localhost;club-internet.fr;*.club-internet.fr;grolier.fr;*.grolier.frR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensR3 - Default URLSearchHook is missingO2 - BHO: HP Class - {FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA} - C:\WINDOWS\System32\hpD32E.tmpO3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exeO4 - HKLM\..\Run: [BCMSMMSG] BCMSMMSG.exeO4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeO4 - HKLM\..\Run: [CTSysVol] C:\Program Files\Creative\SBAudigy2\Surround Mixer\CTSysVol.exeO4 - HKLM\..\Run: [CTDVDDet] C:\Program Files\Creative\SBAudigy2\DVDAudio\CTDVDDet.EXEO4 - HKLM\..\Run: [CTHelper] CTHELPER.EXEO4 - HKLM\..\Run: [AsioReg] REGSVR32.EXE /S CTASIO.DLLO4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXEO4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla	fswctrl.exeO4 - HKLM\..\Run: [StorageGuard] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /rO4 - HKLM\..\Run: [PCMService] "C:\Program Files\Dell\Media Experience\PCMService.exe"O4 - HKLM\..\Run: [DVDSentry] C:\WINDOWS\System32\DSentry.exeO4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe"O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\System32\IME\PINTLGNT\ImScInst.exe /SYNCO4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNCO4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMENameO4 - HKLM\..\Run: [eCarteBleue-LP-P1] "C:\Program Files\e-Carte Bleue\LA POSTE\CVD ADESIO\ECB.exe"  /dontopenmycardsO4 - HKLM\..\Run: [RealTray] C:\Program Files\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYERO4 - HKLM\..\Run: [ICQ Net] C:\WINDOWS\winlogon.exe -stealthO4 - HKLM\..\Run: [CAPON] C:\WINDOWS\System32\Spool\Drivers\w32x86\3\CAPONN.EXEO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\HP\HP Software Update\HPWuSchd.exe"O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Program Files\Fichiers communs\Symantec Shared\Security Center\UsrPrmpt.exeO4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exeO4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /backgroundO4 - HKCU\..\Run: [SB Audigy 2 Startup Menu]  /L:FRNO4 - HKCU\..\Run: [tapisys] C:\WINDOWS\System32	ss.exeO4 - Global Startup: Fenêtre d'état Canon LBP-810.LNK = C:\WINDOWS\SYSTEM32\SPOOL\DRIVERS\W32X86\3\CAPPSWK.EXEO4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exeO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLLO9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dllO16 - DPF: {11111111-1111-1111-1111-111111111732} - file://c:\progra~1\pl.exeO16 - DPF: {11111111-1111-1111-1111-111111113457} - file://c:\ied_s7.cabO16 - DPF: {11111111-1111-1111-1111-511111113457} - file://c:\x.cabO16 - DPF: {11111111-1111-1111-1111-511111113458} - file://c:\x.cabO16 - DPF: {24311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cabO16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\ex.cabO16 - DPF: {33331111-1111-1111-1111-611111193458} - file://c:\ex.cabO16 - DPF: {33331111-1111-1111-1111-622221193458} - file://c:\ex.cabO16 - DPF: {64311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cabO17 - HKLM\System\CCS\Services\Tcpip\..\{7D97681A-A8F1-4313-A2B1-6CBBACDD29ED}: NameServer = 194.117.200.10 194.117.200.15O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} - C:\WINDOWS\System32\vbsys2 (file missing)O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exeO23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeO23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exeO23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exeO23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus
avapsvc.exeO23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - C:\Program Files\Intel\NCS\Sync\NetSvc.exeO23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exeO23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exeEncore merci et à +.Oli70 (qui voit renaître l'espoir)

jean38 · Answer

RE,

alors maintenant tu vas demarrer en mode sans echec,
tu tapottes sur la touche F8 (si F_ ne foctione pas tu essaieras avec F5)au lancement de Windows et tu choisis sans echec (pas d’inquiétude pour l’aspect de l’ecran).

tu relance smitfraud et tu choisis l'option 2 et tu acceptes tout ce qu'il te dis. Tu redemarres et refait un log hijack après.

A+

bibi · Answer

Salut!
moi aussi j'ai eu ce problème avec mon pc de travail.
j'ai aussi scanné avec un soft anti spy il a aussi trouvé des fichiers infecté, il les à ensuite supprimé mais rien à faire la pub est encore la.
J'ai regarder la liste des processus lançé et il y a une dll nommée "sp.dll" qui est chargée j'ai aussi trouvé l'endroit ou elle est save mais impossible de la delete car elle est chargée. J'ai supprimé le raccourcis qui la lance au démarrage du pc mais dans la base de registre il y a une ligne de code qui le récréé.
Ensuite j'ai apporter le pc chez un assembleur qui a scanner le disque supprimé les merdes mais le pb c'est que le bureau est tjrs idem "warently...;"
j'ai pensé à cela après si on supprime le raccourcis et le clef dans la base de registre on devrait en être débarassé non?
Du coup l'assembleur va formater le disque (c'est pas plus mal comme ça ça ferra un peu de ménage )
salut au fait j'ai chopé cette merde en téléchrgent une vidéo et toi?

jean38 · Answer

oui mais le formatage n'est pas necessaire on peux faire sans.mais la methode et radicale... lol, on peux aussi racheter un autre ordi.lol

bibi · Answer

oui tout a fait, mais un peu cher les blagues de Psguard..
j'ai fais un tour sur les autre messages et je vois que nous sommes 3 ou 4 à cet fais avoir avec ça
enfin y a pas mort d'homme.. koi ke si je tenais le pti con qui lance ce genre de merde sur le net...
je dis pas des jokes sympa encore ça irai mais là c'est pas cool.

jean38 · Answer

çà t'as raison, sauf que c'est beaucoup plus que 3 ou 4 on fait presque que çà en ce moment.y en a que çà amuse d'emmerd*** les autres, que veux tu .enfin bien à toi.jean

jean38 · Answer

de rien mais attend,j'epluche ton log, le nettoyage n'est pas fini.courage

jean38 · Answer

PS tu peux me confirmer ta page de demarrage sur IEclubinternet.fr ???

Oli70 · Answer

J'ai rétabli ma page de démarrage de IE qui est www.club-internet.fr

J'ai utilisé mon ordinateur cet après-midi sans mauvaise surprise, sauf le problème à l'ouverture de Microsoft Office Outlook déjà mentionné et aussi (bizarre...) au démarrage de Windows un message qui me dit que mon programme de e-carte bleue est inutilisable. Je pense qu'il faudra que je réinstalle ces deux programmes.

Merci d'être si consciencieux et d'éplucher mon log. Je n'y connais rien, mais c'est vrai qu'il est peut-être anormal qu'il y ait encore dans le log la mention du site www.bestweblinks.com qui était précisément celui qui squattait ma page de démarrage.
Méfions-nous de l'eau qui dort...

Merci et à plus tard.
Oli70

jean38 · Answer

alors voici ta manip:

1) clic droit sur poste de travail
propriété
restauration systeme
coche desactivé puis appliquer

2) demarrer
panneau de configuration
outil
option des dossiers
affichage,
coche afficher dossier cachés
decoche : masquer extension des fichiers dont le type est connu
masquer les fichiers protégés du systeme d'exploitation.

3) demarre en mode sans echec.
Soit tu tapotte sur la touche F8 alancement de Windows et tu choisi sans echec (pas d’inquiétude pour l’aspect de l’ecran)

4) lance hijack, ferme le bloc note et coche les cases devant les lignes, à la fin valide à l’aide du bouton fix checked:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.bestwebslinks.com/search.php?qq=%1

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.bestwebslinks.com/bar.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.bestwebslinks.com/search.php?qq=%1

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.bestwebslinks.com/search.php?qq=%1

R1 - HKLM\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.bestwebslinks.com/search.php?qq=%1

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.bestwebslinks.com/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0;localhost;club-internet.fr;*.club-internet.fr;grolier.fr;*.grolier.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - Default URLSearchHook is missing

O4 - HKCU\..\Run: [tapisys] C:\WINDOWS\System32\tss.exe

O16 - DPF: {11111111-1111-1111-1111-111111111732} - file://c:\progra~1\pl.exe

O16 - DPF: {11111111-1111-1111-1111-111111113457} - file://c:\ied_s7.cab

O16 - DPF: {11111111-1111-1111-1111-511111113457} - file://c:\x.cab

O16 - DPF: {11111111-1111-1111-1111-511111113458} - file://c:\x.cab

O16 - DPF: {24311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab

O16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\ex.cab

O16 - DPF: {33331111-1111-1111-1111-611111193458} - file://c:\ex.cab

O16 - DPF: {33331111-1111-1111-1111-622221193458} - file://c:\ex.cab

O16 - DPF: {64311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab

O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} - C:\WINDOWS\System32\vbsys2 (file missing)

5) supprime les fichiers

C:\WINDOWS\System32\tss.exe
c:\progra~1\pl.exe
c:\ied_s7.cab
c:\x.cab
c:\eied_s7.cab
c:\ex.cab

vide ta poubelle redemarre et panse à refaire 1) et 2) pour retrouver ta configue de depart.
refait un log

A+

jean38 · Answer

RE

pour ton log, RAS pour moi. Pour tes pb windows, je ne suis pas un pro de win mais je tenterai une reparation de windows à partir du CD d'origine.

de tete je crois que c'est demarrage avec CD dans lecteur, choix formatage puis reparation ( enfin à verifier).

A+

jean38 · Answer

merci pour tes mots, à bientôt j'espère pas pour toi sauf un coucou, pour l'inondation, tu sais j'étais infecté, je suis venu j'ai jamais pu repartir, j'ai appris...

donc que des benevoles et un peu de coeur (j'espère pour nous).

A+

Jean

[spyware?] Bureau remplacé par une pub (2)

13 réponses

Votre réponse

Discussions similaires

Newsletters