Problème de réparation avec Spybot

Bonsoir

Je ne sais pas exactement ou tu en es. Je serai donc peut-être à côté de la plaque, mais pour supprimer istbar, tu peux trouver un outil ici :
http://securityresponse.symantec.com/avcenter/FxIstbar.exe
Ca marche pas toujours, mais tu peux toujours essayer.
Sinon, pour supprimer une clé récalcitarnte (si tu sais bien ce que tu fais) tu la sélectionnes, tu ouvres "éditer" "autorisations" et tu autorises le "contrôle total".
Si ça ne marche pas, ou si tu n'es pas sûre de la procédure, le mieux, c'est de poster un log hijackthis ici.

@+

Bonjour

voici mon log Hijack:

Logfile of HijackThis v1.99.1
Scan saved at 12:11:09, on 06/09/2005
Platform: Windows 2000 SP3 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP3 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\PROGRA~1\Compaq\COMPAQ~1\hibserv.exe
C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
C:\WINNT\system32\MSTask.exe
C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe
C:\WINNT\system32\ZoneLabs\vsmon.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\Explorer.EXE
C:\Program Files\Fichiers communs\Symantec Shared\SymTray.exe
C:\WINNT\System32\hotkey.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe
C:\Program Files\Winamp3\winampa.exe
C:\Program Files\Utilitaires\ZoneAlarm\zlclient.exe
C:\program files\utilitaires\palm\WCESCOMM.EXE
C:\PROGRA~1\UTILIT~1\WinZip\winzip32.exe
C:\DOCUME~1\Delphine\LOCALS~1\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://adsl.free.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.fr.msn.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Utilitaires\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\UTILIT~1\Spybot\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [Hotkey] hotkey.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\Utilitaires\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [REGSHAVE] C:\Program Files\Utilitaires\REGSHAVE\Regshave.exe /autorun
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [SymTray - Norton SystemWorks] C:\Program Files\Fichiers communs\Symantec Shared\Symtray.exe SetReg
O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp3\winampa.exe"
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Program Files\Fichiers communs\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Utilitaires\ZoneAlarm\zlclient.exe
O4 - HKLM\..\RunOnce: [SymTray - Norton SystemWorks] C:\Program Files\Fichiers communs\Symantec Shared\Symtrdr.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\program files\utilitaires\palm\WCESCOMM.EXE"
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - c:\program files\utilitaires\palm\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - c:\program files\utilitaires\palm\INetRepl.dll
O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - c:\program files\utilitaires\palm\INetRepl.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.fr.msn.com
O14 - IERESET.INF: MS_START_PAGE_URL=http://www.fr.msn.com
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Hibernation - Unknown owner - C:\PROGRA~1\Compaq\COMPAQ~1\hibserv.exe
O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINNT\system32\ZoneLabs\vsmon.exe

Concernant la suppression de cette clé, vu que Spybot essaie de la supprimer, je pense qu'il faut que je la supprime, non ?

Merci

Delphine

re

tu dois mettre hijackthis dans son propre dossier et non pas dans un dossier temp, sinon tu risque de perdre les sauvegardes après fix. C:\hijack\hijackthis.exe
Pas de pb avec ccApp.exe, c'est un exécutable de norton, normalement situé.
Par contre, j'ai un doute sur WCESCOMM.EXE vérifies ce dossier là :
http://virusscan.jotti.org Tu connais le programme palm ?
Je ne vois pas de signe d'infection d'istbar. Tu peux toujours tenter d'effacer cette clé.
Quelle est ta version de spybot ?

@+

Bonjour
Il se peut que ce trojan soit dans ta restauration système :
Passe cet AV en ligne il va t'indiquer où se trouve ton trojan ,s'il le situe dans ta restauration système désactive ta restau et vérifie en faisant un nouveau AV en ligne; si tout est clean remet ta restauration
http://www.pandasoftware.com/products/activescan/com/activescan_principal.htm
Bonne journée.

Re

Pas de restauration system avec windows 2000

@+

Bonjour !

En ce qui concerne le palm, c'est le pocket PC de mon copain et le fichier WCESCOMM.EXE est clean d'après virusscan.

Pour IstBar, j'ai passé l'antivirus pandasoftware qui donne :

"
Incident Status Location
Adware:adware/mediatickets No disinfected C:\WINNT\DOWNLOADED PROGRAM FILES\MediaGatewayX.dll
Spyware:spyware/istbar No disinfected Windows Registry
Adware:Adware/WUpd No disinfected C:\WINNT\Downloaded Program Files\MediaGatewayX.dll
Adware:Adware/MediaTickets No disinfected C:\WINNT\system32\mslmjxff.exe
Adware:Adware/MediaTickets No disinfected C:\WINNT\system32\nlbomct.exe
Spyware:Spyware/ISTBar No disinfected C:\WINNT\system32\s.exe[1.exe]
Adware:Adware/MediaTickets No disinfected C:\WINNT\system32\wsazisl.exe
"

Vu qu'il trouve IstBar, j'ai utilisé l'outil de Symantec conseillé, maisfinalement il me dit qu'il n'y a pas de trace d'IstBar sur mon ordi.
Vous pensez que je peux laisser tomber ou il y a qqch de vraiment bien caché ?

pour les autres spyware et adware, comment ce fait-il que Spybot et Ad-Aware ne les aient pas trouvés ?

Merci !

Re

Télécharge PocketKillBox ici:
http://www.bleepingcomputer.com/files/spyware/KillBox.zip
Ensuite, dézippes sur ton bureau.
Lance le, coche la case "Delete on reboot" et dans le champs " Full Path of file to delete " colle une à une ces lignes (répond oui puis non aux questions posées):

C:\WINNT\Downloaded Program Files\MediaGatewayX.dll
C:\WINNT\system32\mslmjxff.exe
C:\WINNT\system32\nlbomct.exe
C:\WINNT\system32\s.exe[1.exe]
C:\WINNT\system32\wsazisl.exe

supprime aussi manuellement si ce dossier est présent:
C:\Program Files\Media Gateway

Télecharge JV16 POwertools ici :
http://telechargement.zebulon.fr/201-jv16-powertools.html
Une fois installé, Vas dans "préferences" /"langues et choisis "Français".
Ensuite "outil registre"/"outils"/"nettoyeur de registre", dans "options", coches :"montrer les entrées ignorées" et "je veux vérifier manuellement toutes les entrées"
puis, "continuer", tu coches toutes les cases et tu lances "démarrage".
Une fois terminé, tu vas voir des lignes avec un point rouge et des lignes avec un point vert. Celles avec un point vert peuvent être supprimées sans risque.
Tu cliques sur "sélectionner"/"sélection spéciale" et tu choisis les "éléments qui peuvent être supprimés sans risque", puis, "supprimer"

Redémarre ton ordi et rescanne avec pandasoftware, que dit-il ?

@+

salut

apres avoir fait ce que rumba te dis

télécharge ceci Registry Search Tool
http://www.billsway.com/vbspage/
decompresse le et tape ou colle
Istbar
et copie colle le resultat dans le bloc note et donne le nous

a+

bonjour !

Voila j'ai fait tout ce que vous m'avez dit:

résultats de pandasoftware :

Incident Status Location

Spyware:spyware/istbar No disinfected Windows Registry
Spyware:Spyware/ISTBar No disinfected C:\WINNT\system32\s.exe[1.exe]
et résultats de Registry Search Tool :

REGEDIT4
; RegSrch.vbs © Bill James

; Registry search results for string "Istbar" 11/09/2005 20:59:30

; NOTE: This file will be deleted when you close WordPad.
; You must manually save this file to a new location if you want to refer to it again later.
; (If you save the file with a .reg extension, you can use it to restore any Registry changes you make to these values.)

[HKEY_LOCAL_MACHINE\SOFTWARE\ISTbar]

[HKEY_LOCAL_MACHINE\SOFTWARE\ISTbar\Historyfiles]

[HKEY_LOCAL_MACHINE\SOFTWARE\ISTbar\Historyfiles]
"C:\\Program Files\\ISTbar\\xml_istbar.xml"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\ISTbar\Historyfiles]
"C:\\Program Files\\ISTbar\\imagemap_normal.bmp"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\ISTbar\Historyfiles]
"C:\\Program Files\\ISTbar\\imagemap_over.bmp"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\ISTbar\Historyfiles]
"C:\\Program Files\\ISTbar\\version.txt"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\ISTbar\Historystring]

[HKEY_USERS\S-1-5-21-448539723-507921405-839522115-1002\Software\Microsoft\Windows\CurrentVersion\Applets\Regedit]
"LastKey"="Poste de travail\\HKEY_LOCAL_MACHINE\\SOFTWARE\\ISTbar"

elle est coriace...

Re

Installe chaos shredder :
http://www.safechaos.com/cs.htm
démarre en mode sans echec,
Lances-le,
recherche C:\WINNT\system32\s.exe[1.exe]
Si tu le trouves, glisse-le dans le panneau de droite et efface-le
Redémarre et rescanne avec panda
Et dis-nous

à+

Bon,

J'ai pas mal de pb surajoutés. Je n'ai pas encore pu me débarrasser de IstBar.

La suemaine derniere, j'ai installé la dernière version de Zone Alarm 6.0 et depuis, je n'arrive plus à téléchardger les m-à-j de Spybot, ni LiveUp Date et internet n'arrive plus à se connecter. (j'écris du boulot).

Je pense qu'il y a un gros pb mais je vois pas comment m'en sortir. D'autant que j'ai un PC portable récupéré du boulot de mon père et donc sans CD de réinstallation...

HELP

salut laurent delphine
ce qui m inquiete c est ta connection internet
desinstalle TOTALEMENT zone alarme et dis nous si tu recupere ta connection !

Pour istbar, il ne vas plus rester bien lontemps sur ton pc lol (il est cerné lol)

a+

Bonjour !

En désinstallant ZA, je ne rique pas de choper des virus en me connectant ?
J'attends ta réponse avant de le faire.

Merci

Salut,

ZA c'est juste un firewall il n'empêche pas aux virus de passé donc tu peux le desintaller comme te la dit regis59; et pour quoi pas d'essayer de le reinstaller par la suite ;)

Re

Fais ce que te dis Regis.
1) Si tu accèdes à internet après avoir désinstallé ZA, c'est que ZA est "coupable", ou mal configuré.
Dans ce cas, sort d'internet, et, si tu as appris à configurer ZA depuis, réinstalles-le et autorises IE à accéder à internet, Spybot etc.
Si tu ne t'en sens pas capable, télécharge Kerio ici, vite fait:
http://www.kerio.com/kpf_home.html
Déconnectes-toi d'internet, installes Kerio, redémarres, lances internet et autorise les programmes précités ainsi que tous ceux qui doivent légitimement aller sur internet.
2) dis-nous si tu n'as toujours pas de connection internet après avoir désinstallé ZA, ...

@+

Bien,
Je suis allée chez mon père qui a lui aussi une freebox, et la connexion se fait sans problème (J'en ai profité pour essayer de télécharger chaos shredder mais je n'arrive pas à l'installer). De retour chez moi ca ne marche toujours pas. J'ai désinstallé Zane Alarm sans succès (je l'ai donc réinstallé). Ca doit être un pb de freebox, non ?

Merci

je vois que Regis est là... qu'en penses-tu ?

salut,
quel est ton soucis en fait?
tu n as plus de connection? tu veux installer ta box?

Toute maniere si avant ZA te bloquait et meme que ZA desinstallé tu n as pas de connection (un message?), cela doit venir de la, as tu essayer de reinstaller?

en fait, je n'arrive pas à me connecter à Internet du tout (j'ecris de chez un copain) mais je ne sait plus le message d'erreur... désolée
J'ai réinstallé ZA mais ca n'a rien changé.
J'ai déjà réinitialisé la freebox 1x mais mon copain me dit qu'il faut débrancher et rebrancher 4x.
Cependant, tout fonctionne quand je suis connectée à la freebox chez mon père.

merci

salut

si c'est un probleme d'install de la freebox, jete un oeil ici, on sait jamais..
http://www.bob-de-neve.com/Install_FreeboxV4_WinxpSp2.html

a+