Infection PSGuard

Question

Bonjour,Je viens d'être infesté par PSGuard. J'ai lancé HiJack (dont je poste ici la log). j'ai récupérer SmitFraudFix. Par contre, avec quoi lance t'on SmitFraudFix.cmd ?Merci pour votre aide.Logfile of HijackThis v1.99.1Scan saved at 21:36:07, on 21/09/2005Platform: Windows 98 SE (Win9x 4.10.2222A)MSIE: Internet Explorer v5.51 SP2 (5.51.4807.2300)Running processes:C:\WINDOWS\SYSTEM\KERNEL32.DLLC:\WINDOWS\SYSTEM\MSGSRV32.EXEC:\WINDOWS\SYSTEM\MPREXE.EXEC:\WINDOWS\SYSTEM\mmtask.tskC:\WINDOWS\SYSTEM\MSTASK.EXEC:\WINDOWS\EXPLORER.EXEC:\WINDOWS\SYSTEM\RNAAPP.EXEC:\WINDOWS\SYSTEM\TAPISRV.EXEC:\WINDOWS\SYSTEM\SYSTRAY.EXEC:\WINDOWS\SYSTEM\STIMON.EXEC:\PROGRAM FILES\REAL\REALPLAYER\REALPLAY.EXEC:\WINDOWS\RUNDLL32.EXEC:\PROGRAM FILES\LOGITECH\MOUSEWARE\SYSTEM\EM_EXEC.EXEC:\PROGRAM FILES\MUSICMATCH\MUSICMATCH JUKEBOX\MM_TRAY.EXEC:\WINDOWS\SYSTEM\CARPSERV.EXEC:\PROGRAM FILES\WINAMP\WINAMPA.EXEC:\WINDOWS\SYSTEM\KQMFATV.EXEC:\WINDOWS\SYSTEM\INTELL32.EXEC:\WINDOWS\OLEHELP.EXEC:\WINDOWS\SVCHOST.EXEC:\WINDOWS\SYSDLLC.EXEC:\PROGRAM FILES\MAILSKINNER\MAILSKINNER.EXEC:\PROGRAM FILES\CLUB-INTERNET\LANCEUR\LANCEUR.EXEC:\PROGRAM FILES\FINEPIXVIEWER\QUICKDCF.EXEC:\WINDOWS\SYSTEM\WMIEXE.EXEC:\WINDOWS\SYSTEM\DDHELP.EXEC:\HIJACK\HIJACKTHIS\HIJACKTHIS.EXER1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://my-find.com/sp.htmR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://my-find.com/sp.htmR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://my-find.com/index.htmR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://my-find.com/index.htmR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.fr.netscape.com/fr/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://home.fr.netscape.com/fr/home/winsearch.htmlR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://home.fr.netscape.com/fr/home/winsearch200.htmlR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://home.fr.netscape.com/fr/home/winsearch.htmlR0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.fr.netscape.com/fr/R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://my-find.com/sp.htmR1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://my-find.com/index.htmR1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http://my-find.com/sp.htmR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Internet Explorer avec Club-InternetR1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = HTTP=proxy.club-internet.fr:8080R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 6.0\READER\ACTIVEX\ACROIEHELPER.DLLO2 - BHO: (no name) - {DE614603-6320-4046-A7A7-6A69CEC26F14} - C:\WINDOWS\MSLAGENT\4B_1,0,0,8_MSLAGENT.DLLO3 - Toolbar: @msdxmLC.dll,-1@1036,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCXO4 - HKLM\..\Run: [SystemTray] SysTray.ExeO4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrSchemeO4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXEO4 - HKLM\..\Run: [RealTray] C:\Program Files\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYERO4 - HKLM\..\Run: [Instant Access] rundll32.exe C:\WINDOWS\SYSTEM\EGCOMLIB_1035.dll,InstantAccess /LO4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\LOGITECH\MOUSEW~1\SYSTEM\EM_EXEC.EXEO4 - HKLM\..\Run: [MMTray] C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exeO4 - HKLM\..\Run: [CARPService] carpserv.exeO4 - HKLM\..\Run: [REGSHAVE] C:\Program Files\REGSHAVE\REGSHAVE.EXE /AUTORUNO4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exeO4 - HKLM\..\Run: [kqmfatv] c:\windows\system\kqmfatv.exeO4 - HKLM\..\Run: [intell32.exe] C:\WINDOWS\SYSTEM\intell32.exeO4 - HKLM\..\Run: [PSGuard] C:\Program Files\PSGuard\PSGuard.exeO4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrSchemeO4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exeO4 - HKCU\..\Run: [olehelp] C:\WINDOWS\olehelp.exeO4 - HKCU\..\Run: [svchost] C:\WINDOWS\SVCHOST.EXEO4 - HKCU\..\Run: [DLL Manager] C:\WINDOWS\SYSDLLC.EXEO4 - HKCU\..\Run: [Instant Access] rundll32.exe EGCOMLIB_1035.dll,InstantAccessO4 - HKCU\..\Run: [MailSkinner] c:\program files\mailskinner\mailskinner.exeO4 - Startup: Club Internet.lnk = C:\Program Files\Club-Internet\Lanceur\lanceur.exeO4 - Startup: Exif Launcher.lnk = C:\Program Files\FinePixViewer\QuickDCF.exeO4 - Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exeO9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\webelated.htmO9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\webelated.htmO12 - Plugin for .mp3: C:\PROGRA~1\INTERN~1\PLUGINS
pqtplugin4.dllO16 - DPF: {BFC9677B-8006-4336-9D49-2C797AEFCB9E} - http://akamai.downloadv3.com/binaries/EGDAccess/EGDACCESS_1058.cabO16 - DPF: {1CD49DC9-FD88-41FA-B892-47E037267D45} - http://akamai.downloadv3.com/binaries/EGDAccess/EGDACCESS_1059.cabO16 - DPF: {1604DF98-D1A5-44FE-844A-98D6FD0518D0} - http://akamai.downloadv3.com/binaries/EGDAccess/EGDACCESS_1060.cabO16 - DPF: {07C9CFC7-DE33-4A0C-9FFB-CDFBA843B157} - http://akamai.downloadv3.com/binaries/EGDAccess/EGDACCESS_1063.cab

Utilisateur anonyme · Answer

Bonjour

Tu peux supprimer SmitFraudFix, il ne fonctionne qu'avec XP ou 2000.

1 Télécharge
CCleaner.
http://www.filehippo.com/download_ccleaner.html
Installe le dans un répertoire dédié.

SmitRem.zip
http://noahdfear.geekstogo.com/click%20counter/click.php?id=1
Dézippes le sur le Bureau

CWShredder
http://cwshredder.net/bin/CWShredder.exe
Mettre CWShredder dans un répertoire dédié

2 Redémarre en mode sans échec. Attention, tu n'as pas accès à internet dans ce mode, note bien ce que tu as à faire.
Démarre l'ordinateur.
Une fois le chargement du BIOS terminé, il y a un écran noir. Appuye sur la touche F8 ou F5 jusqu'à l'affichage du menu des options avancées de Windows.
En utilisant les touches du curseur, sélectionne le mode sans échec approprié et appuye sur Entrée.

3 Désinstalle ces applications (si tu les trouves) dans Ajout-Suppression de programmes :

mailskinner
PSGuard
InstantAccess

4 Relance un scan HijackThis et coche les lignes ci-dessous :

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://my-find.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://my-find.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://my-find.com/index.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://my-find.com/index.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://my-find.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://my-find.com/index.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http://my-find.com/sp.htm
O2 - BHO: (no name) - {DE614603-6320-4046-A7A7-6A69CEC26F14} - C:\WINDOWS\MSLAGENT\4B_1,0,0,8_MSLAGENT.DLL
O4 - HKLM\..\Run: [Instant Access] rundll32.exe C:\WINDOWS\SYSTEM\EGCOMLIB_1035.dll,InstantAccess /L
O4 - HKLM\..\Run: [kqmfatv] c:\windows\system\kqmfatv.exe
O4 - HKLM\..\Run: [intell32.exe] C:\WINDOWS\SYSTEM\intell32.exe
O4 - HKLM\..\Run: [PSGuard] C:\Program Files\PSGuard\PSGuard.exe
O4 - HKCU\..\Run: [olehelp] C:\WINDOWS\olehelp.exe
O4 - HKCU\..\Run: [svchost] C:\WINDOWS\SVCHOST.EXE
O4 - HKCU\..\Run: [DLL Manager] C:\WINDOWS\SYSDLLC.EXE
O4 - HKCU\..\Run: [Instant Access] rundll32.exe EGCOMLIB_1035.dll,InstantAccess
O4 - HKCU\..\Run: [MailSkinner] c:\program files\mailskinner\mailskinner.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {BFC9677B-8006-4336-9D49-2C797AEFCB9E} - http://akamai.downloadv3.com/binaries/EGDAccess/EGDACCESS_1058.cab
O16 - DPF: {1CD49DC9-FD88-41FA-B892-47E037267D45} - http://akamai.downloadv3.com/binaries/EGDAccess/EGDACCESS_1059.cab
O16 - DPF: {1604DF98-D1A5-44FE-844A-98D6FD0518D0} - http://akamai.downloadv3.com/binaries/EGDAccess/EGDACCESS_1060.cab
O16 - DPF: {07C9CFC7-DE33-4A0C-9FFB-CDFBA843B157} - http://akamai.downloadv3.com/binaries/EGDAccess/EGDACCESS_1063.cab

Ferme toutes les fenêtres Windows, Internet explorer, Outlook,sauf le logiciel Hijackthis et clique sur « Fix checked »

5 Lancer CWShredder
Fermer toutes les fenêtres
Cliquer sur "Fix".

6 Assure toi d'avoir accés à tous les fichiers.
Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Activer la case : Afficher les fichiers et dossiers cachés
Désactiver la case : Masquer les extensions des fichiers dont le type est connu
Désactiver la case : Masquer les fichiers protégés du système d'exploitation
Puis Appliquer

7 Supprime les fichiers/dossiers incriminés (s'ils existent encore) :

C:\Program Files\PSGuard
c:\program files\mailskinner
c:\program files\InstantAccess
C:\WINDOWS\MSLAGENT
C:\WINDOWS\olehelp.exe
C:\WINDOWS\SVCHOST.EXE
C:\WINDOWS\SYSDLLC.EXE
C:\WINDOWS\SYSTEM\intell32.exe
c:\windows\system\kqmfatv.exe
C:\WINDOWS\SYSTEM\EGCOMLIB_1035.dll

8 Ouvre Smitrem
Double clique sur RunThis.bat
Lance le nettoyage. Ecran et icones vont apparaitre et réapparaitre.
Cela peut durer un certain temps.

9 Lance et exécute CCleaner

Recache les fichiers systeme afin de ne pas faire d'erreur à l'avenir en sélectionnant ne pas afficher les fichiers cachés ou les fichiers système.

10 Redémarre normalement

Poste un nouveau log HijackThis

Utilisateur anonyme · Answer

Bonjour * Télécharge SmitFraud_Cleanup http://siri.urz.free.fr/Fix/SmitFraud_Cleanup.regEnregistre ce fichier sur ton bureau Double-clique sur dessus  et clique sur Oui lorsqu'on te demande confirmation pour Fusionner. * Le rapport HijackThis est propre, mais tu es en retard dans les mises à jourhttp://update.microsoft.com * Fais une analyse antivirus en ligne sur Pandahttp://www.pandasoftware.com/activescan/fr/activescan_principal.htmColle son rapport ici.

Utilisateur anonyme · Answer

BonsoirTu as bien cliqué sur Scan my pc ?Sinon, fais le scan sur Kasperskyhttp://www.kaspersky.com/downloads/kws/kavwebscan.html

Utilisateur anonyme · Answer

BonjourTélécharge PocketKillBoxhttp://www.bleepingcomputer.com/files/spyware/KillBox.zipEnsuite, tu le dézippes sur ton bureau.Lance PocketKillBox, coche la case "Delete on reboot".Démo animée --> Item 1http://pageperso.aol.fr/balltrap34/killbox.htmColle tout le contenu du fichier suivant dans un fichier .texte que tu nommeras CODE.Ensuite tu fais Ctrl-A pour sélectionner tout le texte, Ctrl-C pour le copier dans le presse papier.c:\WINDOWS\SYSTEM\oleext.dll c:\WINDOWS\SYSTEM\dtc32.dll  c:\WINDOWS\SYSTEM\P2ECOM.dll  c:\WINDOWS\SYSTEM\mslagent.exe c:\WINDOWS\SYSTEM
etia32.dll Sur PocketKillBox-->File-->Paste from Clipboard, tu cliques ensuite sur la croix rougeAu deux messages qui vont s'afficher,tu réponds par "YES"Si tu as le message d'erreur suivant"Pending file Rename Operations Registry Data has been Removed by External Process"Redémarre l'ordinateur.As tu encore des dysfonctionnements ?

Infection PSGuard

4 réponses

Discussions similaires

Newsletters