WoWMhid - WoWMTray Fermé

Question

Bonjour à tous, 

Incroyable, j'ai toujours trouvé la solution à mes problèmes sur le forum, un grand merci à tout le monde d'ailleurs, et aujourd'hui, voilà que j'ai un problème visiblement inconnu de la communauté "Comment ça marche.net"!

J'ai repéré 2 processus suspects :
WoWMHID.exe
WoWMTray.exe

Ils ont déjà frappé aux US car il y a un forum américain qui en parle.

Avec un minimum de logique, j'ai pu déduire que leur activité est simple : spammer des boîtes mail avec de faux messages d'alerte, supposés venir de Blizzard, invitant les joueurs de WoW à donner des infos sur leurs comptes. la suite, tout le monde la connaît.

J'ai donc 2 problèmes avec ces petits salopiauds :

1/ ils pourrissent ma boîte mail de messages d'erreur de destination (314 en 2 jours) dont les intitulés sont du genre "WoW account admin alert" et autre supercheries.

2/ Kaspersky Antivirus 2010 ne les a ni repéré, ni neutralisés... C'est vrai que je n'ai pas l'Internet Security mais ce module ne fait qu'ajouter un Firewall et quelques conftions supplémentaires donc je ne comprends pas.

Ma question est donc simple : Comment s'en débarrasser ?
- J'utilise CCleaner, avec parcimonie, pour mettre en ordre régulièrement les programmes au démarage, il ne voit rien donc je ne peux pas bloquer le process au démarrage
- je ne vois rien de plus en faisant un msconfig
Je viens de lancer un scan de SUPERAntiSpyware

Ci-après mon log de Hijackthis :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:16:24, on 16/06/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.17055)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\Program Files\cFosSpeed\spd.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\TeamViewer\Version5\TeamViewer_Service.exe
C:\Program Files\TeamViewer\Version5\TeamViewer.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\GIGABYTE\GEST\RUN.exe
C:\Program Files\GIGABYTE\GEST\gest.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\cFosSpeed\cFosSpeed.exe
C:\Program Files\SteelSeries\World of Warcraft MMO Gaming Mouse\WoWMHID.exe
C:\Program Files\SteelSeries\World of Warcraft MMO Gaming Mouse\WoWMTray.exe
C:\Program Files\Logitech\GamePanel Software\LCD Manager\LCDMon.exe
C:\Program Files\Logitech\GamePanel Software\G-series Software\LGDCore.exe
C:\Program Files\Logitech\GamePanel Software\LCD Manager\Applets\LCDClock.exe
C:\Program Files\Logitech\GamePanel Software\Applets\LCDCountdown.exe
C:\Program Files\Logitech\GamePanel Software\Applets\LCDMedia.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\SuperCopier2\SuperCopier2.exe
C:\Program Files\Microsoft ActiveSync\wcescomm.exe
C:\Program Files\3M\PSNLite\PsnLite.exe
C:\PROGRA~1\MI3AA1~1apimgr.exe
C:\PROGRA~1\3M\PSNLite\PSNGive.exe
C:\Program Files\Sony\Sony Picture Utility\PMBCore\SPUVolumeWatcher.exe
C:\Program Files\Giganology\Gigaget\Gigaget.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtblfs.exe
C:\Documents and Settings\Administrateur\Local Settings\Apps\2.0\KC0OQQLW.PDB\N5E5X2KR.J75\curs..tion_eee711038731a406_0004.0000_172b37d625a03ec8\CurseClient.exe
C:\PROGRA~1\MICROS~2\Office12\OUTLOOK.EXE
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: GigagetIEHelper - {111CAA23-6F4F-42AC-8555-B48C1D87BBAB} - C:\WINDOWS\system32\gigagetbho_v10.dll
O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\ievkbd.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: (no name) - {A057A204-BACC-4D26-C39E-35F1D2A32EC8} - (no file)
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: link filter bho - {E33CF602-D945-461A-83F0-819F76A199F8} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: (no name) - {A057A204-BACC-4D26-C39E-35F1D2A32EC8} - (no file)
O4 - HKLM\..\Run: [GEST] C:\Program Files\GIGABYTE\GEST\RUN.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [cFosSpeed] C:\Program Files\cFosSpeed\cFosSpeed.exe
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe"
O4 - HKLM\..\Run: [SteelSeries World of Warcraft MMO Gaming Mouse] C:\Program Files\SteelSeries\World of Warcraft MMO Gaming Mouse\WoWMHID.exe
O4 - HKLM\..\Run: [Launch LgDevAgt] "C:\Program Files\Logitech\GamePanel Software\LgDevAgt.exe"
O4 - HKLM\..\Run: [Launch LCDMon] "C:\Program Files\Logitech\GamePanel Software\LCD Manager\LCDMon.exe"
O4 - HKLM\..\Run: [Launch LGDCore] "C:\Program Files\Logitech\GamePanel Software\G-series Software\LGDCore.exe" /SHOWHIDE
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SuperCopier2.exe] C:\Program Files\SuperCopier2\SuperCopier2.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\wcescomm.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: CurseClientStartup.ccip
O4 - Startup: Outil de détection de support PMB.lnk = C:\Program Files\Sony\Sony Picture Utility\PMBCore\SPUVolumeWatcher.exe
O4 - Global Startup: Post-it® Software Notes Lite.lnk = C:\Program Files\3M\PSNLite\PsnLite.exe
O8 - Extra context menu item: &Download All by Gigaget - C:\Program Files\Giganology\Gigaget\getallurl.htm
O8 - Extra context menu item: &Download by Gigaget - C:\Program Files\Giganology\Gigaget\geturl.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: Clavier &virtuel - {4248FE82-7FCB-46AC-B270-339F08212110} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: Analyse des &liens - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd3.dll
O23 - Service: Kaspersky Anti-Virus (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe
O23 - Service: cFosSpeed System Service (cFosSpeedS) - cFos Software GmbH - C:\Program Files\cFosSpeed\spd.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: TeamViewer 5 (TeamViewer5) - TeamViewer GmbH - C:\Program Files\TeamViewer\Version5\TeamViewer_Service.exe

nico-81 · Answer

Je doute que cela vienne des ses processus !

Essaye déjà de scanner ton ordi avec ça :
https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/


Mets-le bien à jour, redémarre en mode sans échec, puis scanne TOUS les disques. Supprime les sélections qu'il trouve et redémarre. Poste le rapport.

Phoenellion · Answer

Bonjour,  

bien navré de tout ce temps passé... les aléas de la vie.  

fais comme indiqué et poste le rapport rapidement 

[Edit] Et effectivement, je me suis rendu compte que ces processus sont liés à l'utilisation du clavier G19 Logitech 

Mais il reste que mon pc est effroyablement empoté depuis quelques temps donc je vais faire les analyses quand même.

[Edit]
Voici le rapport après analyse :

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4408

Windows 5.1.2600 Service Pack 3
Internet Explorer 7.0.5730.13

09/08/2010 12:59:12
mbam-log-2010-08-09 (12-59-12).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 126884
Temps écoulé: 7 minute(s), 24 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 3
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\adtools, inc. (Adware.AdTools) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

Phoenellion · Answer

Et re !

J'ai refais un scan complet après le scan rapide et avoir redémarré, par acquis de conscience. Voilà donc ce que je trouve en faisant une analyse complète :

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4408

Windows 5.1.2600 Service Pack 3
Internet Explorer 7.0.5730.13

09/08/2010 19:54:39
mbam-log-2010-08-09 (19-54-39).txt

Type d'examen: Examen complet (C:\|E:\|F:\|G:\|)
Elément(s) analysé(s): 255765
Temps écoulé: 1 heure(s), 8 minute(s), 43 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 13

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Program Files\DAEMON Tools\SetupDTSB.exe (Adware.WhenU) -> Quarantined and deleted successfully.
C:\Program Files\TubeMaster\Updater.exe (Rogue.Agent) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{B85BFECC-D2EA-481D-9F70-EDECC5F9F26A}\RP450\A0096890.exe (Adware.ClickPotato) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{B85BFECC-D2EA-481D-9F70-EDECC5F9F26A}\RP450\A0096891.dll (Adware.ClickPotato) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{B85BFECC-D2EA-481D-9F70-EDECC5F9F26A}\RP450\A0096892.dll (Adware.ClickPotato) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{B85BFECC-D2EA-481D-9F70-EDECC5F9F26A}\RP450\A0096893.exe (Adware.ClickPotato) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{B85BFECC-D2EA-481D-9F70-EDECC5F9F26A}\RP450\A0096894.dll (Adware.ClickPotato) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{B85BFECC-D2EA-481D-9F70-EDECC5F9F26A}\RP450\A0096895.dll (Adware.ClickPotato) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{B85BFECC-D2EA-481D-9F70-EDECC5F9F26A}\RP450\A0097138.dll (Adware.ClickPotato) -> Quarantined and deleted successfully.
E:\DL-FlashGet\software\VLCSetup.exe (Adware.HotBar) -> Quarantined and deleted successfully.
F:\Jeux\Joint Operations\Escalation\Joint Operation Escalation Keygen.EXE (Trojan.Downloader) -> Quarantined and deleted successfully.
F:\Jeux\Lineage II\Fichier Instal\system\l2.exe (Malware.Packer.T) -> Quarantined and deleted successfully.
F:\Jeux\Lineage II\Fichier Instal\system
window.dll (Malware.Packer.T) -> Quarantined and deleted successfully.

cedric300 · Answer

Salut,

Est ce que tu serais pas en possession d'une souris Wow??
J'ai les mêmes processus que toi et quand je vais dans les propriétés de ces processus, je vois la même icône que l'icône dans la barre d'état de ma souris Wow.

Par acquis de conscience, j'ai également fais un scan complet avec le même logiciel et il ne me ressort aucune anomalie de ce type.