[winfixer/search bar] pire qu'un morpion Résolu

Question

Bonjour, winfixer et search bar ont encore frappé un néophite de l'informatique !J'ai essayé de suivre les différents conseils postés sur le forum en vain. Quelqu'un peut il examiner mon scan de hijack pour m'aider SVP ? Une dernière info avant la description de ma config, j'ai été obligé de réparer Windows avec le CD Windows édition familiale SP2.Ma config :XP familial SP2AMD 64 AthlonAVG antivirus (qui ne détecte que de temps en temps un cheval de troie)AD Aware (il a détecté pleins de fichiers que j'ai mis en quarantaine, j'espère !)Spybot (aucun mouchard détecté - c'est déjà ça de gagné !)Logfile of HijackThis v1.99.1Scan saved at 22:43:30, on 01/09/2005Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\PROGRA~1\Grisoft\AVG7\avgamsvr.exeC:\PROGRA~1\Grisoft\AVG7\avgupsvc.exeC:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exeC:\WINDOWS\system32
vsvc32.exeC:\Program Files\Analog Devices\SoundMAX\SMAgent.exeC:\WINDOWS\Explorer.EXEC:\Program Files\Apoint2K\Apoint.exeC:\WINDOWS\AGRSMMSG.exeC:\Program Files\Java\j2re1.4.2_03\bin\jusched.exeC:\Program Files\HP\hpcoretech\hpcmpmgr.exeC:\Program Files\QuickTime\qttask.exeC:\Program Files\HPQ\Quick Launch Buttons\EabServr.exeC:\Program Files\Analog Devices\SoundMAX\SMTray.exeC:\PROGRA~1\Grisoft\AVG7\avgcc.exeC:\PROGRA~1\Grisoft\AVG7\avgemc.exeC:\WINDOWS\system32\ICO.EXEC:\Program Files\HP\HP Software Update\HPWuSchd2.exeC:\Program Files\iTunes\iTunesHelper.exeC:\Program Files\MessengerPlus! 3\MsgPlus.exeC:\Program Files\Apoint2K\Apntex.exeC:\Program Files\iPod\bin\iPodService.exeC:\WINDOWS\system32\ctfmon.exeC:\WINDOWS\system32\RunDLL32.exeC:\WINDOWS\system32undll32.exeC:\Program Files\MSN Messenger\msnmsgr.exeC:\Program Files\HP\hpcoretech\comp\hptskmgr.exeC:\Program Files\Internet Explorer\iexplore.exec:\progra~1\intern~1\iexplore.exeC:\Program Files\Apoint2K\EzCapt.exeC:\Program Files\Internet Explorer\IEXPLORE.EXEC:\Program Files\WinAce\WinAce.exeC:\DOCUME~1\HP\LOCALS~1\Temp\~AceTemp\hijackthis[1]\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.aohpeoypykmrufvyigeebun.com/6PAsRX5SKhYmYDIkxC2Ye4Elg87RZxiOyLZyk6r3p4Y4rrSkLIjK3iAaqsxTeYuy.htmlR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dllO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dllO2 - BHO: (no name) - {7C210C85-ACEF-7D18-17BA-08EB19097E15} - C:\DOCUME~1\HP\APPLIC~1\AXISTO~1\MealThunk.exeO4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exeO4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exeO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exeO4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"O4 - HKLM\..\Run: [DXDllRegExe] dxdllreg.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [eabconfg.cpl] C:\Program Files\HPQ\Quick Launch Buttons\EabServr.exe /StartO4 - HKLM\..\Run: [Cpqset] C:\Program Files\HPQ\Default Settings\cpqset.exeO4 - HKLM\..\Run: [smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exeO4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUPO4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVG7\avgemc.exeO4 - HKLM\..\Run: [Mouse Suite 98 Daemon] ICO.EXEO4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exeO4 - HKLM\..\Run: [SpybotSnD] "C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe" /autocloseO4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32O4 - HKLM\..\Run: [IMEKRMIG6.1] C:\WINDOWS\ime\imkr6_1\IMEKRMIG.EXEO4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNCO4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNCO4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMENameO4 - HKLM\..\Run: [test skip file store] C:\Documents and Settings\All Users\Application Data\Fouraxistestskip\Stupidtype.exeO4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exeO4 - HKCU\..\Run: [BackupNotify] C:\Program Files\HP\Digital Imaging\bin\backupnotify.exeO4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHookO4 - HKCU\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInitO4 - HKCU\..\Run: [ez42RXj5V] ipnnel32.exeO4 - HKCU\..\Run: [meet joy] C:\DOCUME~1\HP\APPLIC~1\CLOSEV~1\popdownloadpoke.exeO4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe" /WinStartO4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /backgroundO4 - Global Startup: Adobe Gamma Loader.lnk = ?O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin
pjpi142_03.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin
pjpi142_03.dllO9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLLO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cabO16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://www.ville-saint-sebastien.com/wfplayer/tdserver.cabO16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cabO16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cabO16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cabO16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by15fd.bay15.hotmail.msn.com/resources/MsnPUpld.cabO16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1125466864953O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cabO16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cabO16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cabO16 - DPF: {E6187999-9FEC-46A1-A20F-F4CA977D5643} (ZoneChess Object) - http://messenger.zone.msn.com/binary/Chess.cab31267.cabO23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exeO23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exeO23 - Service: HP WMI Interface (hpqwmi) - Hewlett-Packard Development Company, L.P. - C:\Program Files\HPQ\SHARED\HPQWMI.exeO23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exeO23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exeO23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exeFaut il d'autres informations ?François - Nantes

boulepate · Answer

Salut,

Tu peux deja ajouter ceci à ta collection un anti trojan nommé a² free il est gratuit:
A² free: (anti trojan)
a² free

et supprimer cette entrèe apres pour le reste je ne sais pas :
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.aohpeoypykmrufvyigeebun.com/6PAsRX5SKhYmYDIkxC2Ye4Elg87RZxiOyLZyk6r3p4Y4rrSkLIjK3iAaqsxTeYuy.html

jean38 · Answer

salut

peux tu tester cette adresse
C:\Documents and Settings\All Users\Application Data\Fouraxistestskip\Stupidtype.exe

sur le site

http://virusscan.jotti.org

copie et colle <le rapport, le reste après.

Jean

jean38 · Answer

je ne sais si tu es encore la si oui, 1)
telecharge lopxp ici:
http://get.yourfile.net/oe73160.zip
dezippe le (clic droit dessus > extraire tout)
et lance lopxp.bat
le bloc note va s'ouvrir, copie et colle le contenu ici

ainsi qu'un nouveau rapport Hijack.

A+

Jean

jean38 · Answer

re, pardon pour le retard mais obligation familialles obligent.

3) c'est parti

Imprime, ou enregistre la manip dans le bloc note pour etre sur ne rien oublier et de tout faire dans l'ordre

Déconnecte toi d'internet:

Ferme tout les programmes en cours

Vide le cache de tous tes navigateurs et supprime les cookies:

Pour Internet Explorer:
* Panneau de configuration >> Options internet >> Onglet "Général"
- Clic sur [supprimer les cookies]
- Clic sur [Supprimer les fichiers] et coche la case "Supprimer tout le contenu hors connexion"
Valide avec ok

Redémarre en mode sans échec
Redemarre le pc, laisse passer l'écran du bios, puis tapote sur la touche F8 avant qu'apparaisse l'écran de chargement de windows.
Choisis le mode sans échec dans les options et valide avec entrée.

Rend visible les fichiers cachés et systeme
panneau de configuration > options des dossiers > onglet affichage
Cocher la case devant " afficher les fichiers et dossiers cachés "
Décocher la case devant " masquer les extentions des fichiers dont le type est connu"
Décocher la case devant " masquer les fichiers protégés du système"
clic sur [Appliquer] puis sur [ok] pour valider

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

Lance hijackthis et clic sur [do a system scan only]
cocher la case au début des lignes suivantes:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.dnkfslfanicfdkee.net/6PAsRX5SKhYmYDIkxC2Ye4Elg87RZxiOyLZyk6r3p4b_vonUQqCT3SAaqsxTeYuy.asp

O4 - HKLM\..\Run: [test skip file store] C:\Documents and Settings\All Users\Application Data\Fouraxistestskip\Stupidtype.exe

O4 - HKCU\..\Run: [ez42RXj5V] ipnnel32.exe

O4 - HKCU\..\Run: [meet joy] C:\DOCUME~1\HP\APPLIC~1\CLOSEV~1\popdownloadpoke.exe

valider en cliquant sur [fix checked]
-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

Recherche et supprime ces dossiers:

C:\Program Files\C2Media
C:\Documents and Settings\HP\Application Data\CLOSE VIEW
C:\Documents and Settings\HP\Application Data\Axis tons
C:\Documents and Settings\All Users\Application Data\Fouraxistestskip

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

Ensuite, tres important:

:: Supprimer les fichiers temporaires ::

vider tout le contenu des dossiers Temp:

* C:\Documents and Settings\matthieu\Local Settings\Temp
* C:\Documents and Settings\tous les autres comptes\Local Settings\Temp
* C:\Windows\Temp

:: Le contenu du dossier prefetch ::

* C:\WINDOWS\Prefetch <= sauf le fichier layout.ini

Ou avec Cleanup:
http://pageperso.aol.fr/balltrap34/CleanUp40.exe

* Ne pas oublier de vider la corbeille !

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

ensuite, toujours en mode sans echec, fais:

demarrer > executer et tape cmd
dans la fenetre dos, copie et colle ceci:

del /a C:\WINDOWS\Tasks\AACB0631918CB9F9.job

et valide

redemarre normallement ton pc et reposte un hijack, plus un rapport de lopxp.bat

Ne pas oublier après les manips de recacher les fichiers systeme dans les options des dossiers.

a+

jean38 · Answer

et bien le log lop est correct,

pour hijack, il ne reste plus qu'à fixer ceci:
O2 - BHO: (no name) - {7C210C85-ACEF-7D18-17BA-08EB19097E15} - C:\DOCUME~1\HP\APPLIC~1\AXISTO~1\MealThunk.exe (file missing)

ou en sont tes pb??

jean

Utilisateur anonyme · Answer

salut jean ca va ?

juste une petite intrusion pour te dire que la dernière version de lopxp est ici:
http://get.yourfile.net/fj80298.zip
il affiche le contenu du dossier application data de tous les comptes présent sur le pc, l'autre se contentant des comptes allusers et de celui de la session en cours.
Apparement, ca a été payant sur certains posts, lop étant présent sur plusieurs comptes d'utilisateur.

a+++++++

jean38 · Answer

je te remercie Moe,
je mets à jour ceci immédiatement.
Merci pour mon pote lucky 69, avec les amis j'hésite à faire faire les manip, mais je suis content de votre participation et j'aurais fait faire ces manip.

merci de ton attention.

jean38 · Answer

dis moi moe pendant que je te tiens est ce que le fix smitfraud fonctionne avec windows 2000.merci de ta reponse.

Utilisateur anonyme · Answer

j'espère que pour lucky ca va marcher, je crois que le dossier qui apparait dans hijack, n'existe pas mais que ce sont les taches planifiées qui reinscrivent la ligne dans le registre.
je lui ai laissé un message à midi, on verra bien après les manips ce qu'il en ressort.

a+

jean38 · Answer

j'avais vu les cle .job mais comme elles portaient la date du jour, je me demandais si elles devaient etre datées du même jour que les fichiers infectieux.

Utilisateur anonyme · Answer

bien vu, mais c'est peut etre la date de la derniere modification du fichier plutot que celui de la création qui apparait.
ce qui me fais dire ca, c'est les dossiers avg7 et grisoft qui devraient logiquement avoir la meme date, puisque crées ensemble lors de l'install de l'av normallement, mais apparement les dates sont différentes.
c'est pour ca que je crois que c'est plutot la date de la derniere modif qui apparait, date ou les taches se sont réactivées.
faut que je vois si je peux, via lopxp forcer l'affichage de la date de création.

a+

jean38 · Answer

Ho bien heureux celui qui peut predire les performances de protection.

Cependant, pour ma part, j'ai opté pour les gratuits performant.

Des conseils,? va sur
http://sebsauvage.net/safehex.html

http://www.inoculer.com/gratuits.php3

A+

PS les chefs ce sont mes maitres (moe SR balltrap)

[winfixer/search bar] pire qu'un morpion

12 réponses

Discussions similaires

Newsletters