winlogon virusé sous Windows 98

Question

Bonjour à tous (à toutes...)

Je n'ai pas (encore) l'habitude des forums mais là j'en voie clairement l'utilité, allez-vous pouvoir m'aider ?

Ca fait déjà quelques mois qu'un message d'erreur concernant "winlogon.exe" apparaissait dès l'ouverture de Windows 98.
Alors je suis allé chercher un antivirus (antivir 6) sur le net : Il a détecté immédiatement le Netsky.C sur winlogon.
Que faire ? l'antivirus ne me propose pas de le réparer mais de le supprimer !!! carrément ! mais est-ce que ça ne va pas compromettre le fonctionnement après ?

Merci à vous,
Fred.

Configuration: Windows 98 SE

Utilisateur anonyme · Answer

saluttu peux faire ceci auparavant?Demarrer<poste de travail< c < programmes files<av personal<logfiles<ouvre NTGRDRT et copie/colle tout ce qu il ya  a l interieur a+

Utilisateur anonyme · Answer

Bon pas grave ...

, télécharge HijackThis ici:
http://www.hijackthis.de/downloads/hijackthis_199.zip

Dézippe le dans un dossier prévu à cet effet.
Par exemple C:\hijackthis < Enregistre le bien dans c : !
Lance le puis:
clique sur "do a system scan and save logfile" (cf démo)
faire un copier coller du log entier sur le forum

Démo : (merci à balltrap34 pour cette réalisation)
http://pageperso.aol.fr/balltrap34/demohijack.htm

Bon courage

A+

Utilisateur anonyme · Answer

Bonjour,

Méthode à suivre dans l'ordre...
----------------------------------------------------------------------------
¤Télécharge ces logiciels mais que tu n‘utilises pas tout de suite:

1/

Spybot S&D 1.4 <<nouvelle version.
http://www.safer-networking.org/fr/index.html

Démo d’utilisation (merci à Balltrap34 pour cette réalisation).
http://pageperso.aol.fr/Balltrap34/demo%20spybot.htm

2/

Ad-Aware SE 1.06 <<nouvelle version.
http://www.lavasoftusa.com/software/adaware/
-Une aide:
http://www.tutopat.com/viewtopic.php?t=1191
- installe le patch français, tu pourras le trouver ici:
http://download.lavasoft.de.edgesuite.net/public/pllangs.exe
et une petite vidéo d'utilisation ici:(merci à Moe31 pour cette réalisation).
http://pageperso.aol.fr/balltrap34/adawrevid.asf
----------------------------------------------------------------------------
¤Affiche tous les fichiers et dossiers :
Clique sur démarrer/panneau de configuration/outil/option des dossiers/affichage

Coche « afficher les fichiers et dossiers cachés »

Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"

Décoche « masquer les extensions dont le type est connu »
Puis fais «Ok» pour valider les changements.

Et appliquer !
----------------------------------------------------------------------------
¤Vide tes fichiers temps et tempory internet file:

:: Supprimer les fichiers temporaires ::
vider tout le contenu de ces dossiers.

* C:\Documents and Settings\ton compte\Local Settings\Temp
* C:\Documents and Settings\tous les autres comptes\Local Settings\Temp
* C:\Windows\Temp

:: Le contenu du dossier prefetch ::

* C:\WINDOWS\Prefetch <= sauf le fichier layout.ini

* Ne pas oublier de vider la corbeille !
----------------------------------------------------------------------------
¤Relance HijackThis, coche les cases devant ces lignes et ensuite clique sur fix checked :

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.club-internet.fr/IEBrand/IE_searchpanel.phtml << sauf si c est toi qu il la mis en page d ouverture d IE

O4 - HKLM\..\Run: [NsUpdate] C:\WINDOWS\NsUpdate.exe UPDATE

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

----------------------------------------------------------------------------
¤Recherche et supprime ceci:
attention seulement les fichiers (si présents).

C:\WINDOWS\NsUpdate.exe UPDATE

----------------------------------------------------------------------------
¤ Passe Ad-Aware et supprime tout ce qu’il trouve + supprime les quarantaines…
----------------------------------------------------------------------------
¤ Passe Spybot et corrige tout ce qu’il trouve + vaccine + supprime les quarantaines…
----------------------------------------------------------------------------
¤ Vide ta Corbeille.
----------------------------------------------------------------------------
¤ Redémarre en mode normal, relance Hijackthis et copie/colle un nouveau rapport sur le forum.

De plus,rend toi sur ce site, clik parcourir:
ici
http://www.virustotal.com/xhtml/virustotal_en.html
recherche ceci
C:\WINDOWS\SYSTEM\Syshome.exe
C:\PROGRAM FILES\DIALER TISCALI\bootparam.exe
clik send, donne les 2 rapports stp

Précise tes soucis s’il en reste....

Tiens-moi au courant

A+

Utilisateur anonyme · Answer

Salut fred,Non ca ne tient que sur ce forum: retiens le bien CCM (Comment Ca Marche !)A bientot ^^

Fred · Answer

Fred au rapport !

* Je crois avoir convenablement téléchargé les Spybot et Ad-aware
* Concernant la suite de la procédure, je n'ai pas tout trouvé (Nota bene : je suis sur Windows 98)
- je n'ai pas la ligne "masquer les fichiers protégés du système d'exploitation (recommandé)"
en revanche, dans le menu "fichiers cachés", j'ai coché "afficher tous les fichiers"
- je n'ai pas de dossier appelé "documents & settings"
- pas de dossier "prefetch"
- Et dans le dossier TEMP, il y a 80 Mo ! ! ! tu confirmes que je dois tout enlever ?

@ très vite,

Utilisateur anonyme · Answer

Salut
on va faire mieux;
utilise ce programme, telecharge le , installe le et execute le comme sur la video
Clean Up 40:
http://pageperso.aol.fr/balltrap34/CleanUp40.exe
-aide en image:(merci à Balltrap34).
http://pageperso.aol.fr/balltrap34/democleanup.htm

Fred · Answer

Fred au rapport (encore !)

le cleanup et son bruit de chasse d'eau m'a bien fait marrer ! 118 Mo partis aux chio..... !
Bref,

je recherche donc les NsUpdate.exe (Ns, c'est pour Netsky je suppose ?)
on me balance 184 réponses mais 2 seulement avec exactement NSUpDate :

1. Nsupdate.exe dans WINDOWS, 90 Ko, application et il y a une icone zarbi : une langue rouge passe sur des lèvres rouges !!!
2. NsUpdate.LGC dans WINDOWS/APPLOG, 47 Ko, fichier LGC

c'est donc bien ces deux là que je supprime ou juste le zarbi ?

merci,

Fred.

Utilisateur anonyme · Answer

Il est la
C:\WINDOWS\NsUpdate.exe UPDATE

Tu fais donc, demarer<poste de travail < c < windows, et la tu va le voir le fameux NsUpdate.exe

Il correspond a cette infection:
http://www.sophos.com/virusinfo/analyses/diallaetb.html

Fred · Answer

Régis !

J'ignore si tu ai toujours en ligne mais sache que je ne suis pas bien loin !

Seulement Ad-aware a été fort long (30 minutes au moins) et a débusqué quelque chose comme 7 000 fichiers "identifiés". Le problème, c'est que je n'ai pas su les supprimer, je les ai mis en quarantaine. Là encore, beaucoup de temps à attendre... et finalement le disque dur qui n'en finit pas de tourner.

Je pourrais recommencer, en essayant de me servir de Ad-aware plus efficacement...?

Sahce que, malheureusement, Antivir repère dès le démarrage toujours le même virus au même endroit :
C:\WINDOWS\WINLOGON.EXE contains signature of the worm WORM/NetSky.C

mais il ne propose pas de le réparer.

si tu n'as pas de nouvelles idées, je relance Ad-aware

merci bien !

Utilisateur anonyme · Answer

De plus,rend toi sur ce site, clik parcourir:
ici
http://www.virustotal.com/xhtml/virustotal_en.html
recherche ceci
C:\WINDOWS\SYSTEM\Syshome.exe
C:\PROGRAM FILES\DIALER TISCALI\bootparam.exe
clik send, donne les 2 rapports stp

+ remet un hijack this entier
+demarer<poste de travail< c< programmes files < av personal<logfiles <NTGRDRT <copie/colle tout ce qu il y a a l interieur

a+

Fred · Answer

This is a report processed by VirusTotal on 10/01/2005 at 17:47:42 (CET) after scanning the file "SYSHOME.EXE" file.Antivirus Version Update Result AntiVir 6.32.0.6 09.30.2005 no virus found Avast 4.6.695.0 09.30.2005 no virus found AVG 718 09.29.2005 no virus found Avira 6.32.0.6 09.30.2005 no virus found BitDefender 7.2 10.01.2005 no virus found CAT-QuickHeal 8.00 09.30.2005 no virus found ClamAV devel-20050917 09.30.2005 no virus found DrWeb 4.32b 10.01.2005 no virus found eTrust-Iris 7.1.194.0 10.01.2005 no virus found eTrust-Vet 11.9.1.0 09.30.2005 no virus found Fortinet 2.48.0.0 10.01.2005 no virus found F-Prot 3.16c 09.30.2005 no virus found This is a report processed by VirusTotal on 10/01/2005 at 17:52:13 (CET) after scanning the file "bootparam.exe" file.Antivirus Version Update Result !!! pareil !!!! no virus foundHIJAK :Logfile of HijackThis v1.99.1Scan saved at 17:54:18, on 01/10/05Platform: Windows 98 SE (Win9x 4.10.2222A)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\SYSTEM\KERNEL32.DLLC:\WINDOWS\SYSTEM\MSGSRV32.EXEC:\WINDOWS\SYSTEM\SPOOL32.EXEC:\WINDOWS\SYSTEM\MPREXE.EXEC:\WINDOWS\SYSTEM\MSTASK.EXEC:\WINDOWS\SYSTEM\MDM.EXEC:\PROGRAM FILES\FICHIERS COMMUNS\EPSON\EBAPI\SAGENT2.EXEC:\WINDOWS\SYSTEM\mmtask.tskC:\WINDOWS\SYSTEM\RPCSS.EXEC:\WINDOWS\EXPLORER.EXEC:\WINDOWS\TASKMON.EXEC:\WINDOWS\SYSTEM\SYSTRAY.EXEC:\MOUSE\SYSTEM\EM_EXEC.EXEC:\PROGRAM FILES\NETROPA\MULTIMEDIA KEYBOARD\MMKEYBD.EXEC:\PROGRAM FILES\NETROPA\ONSCREEN DISPLAY\OSD.EXEC:\WINDOWS\SYSTEM\QTTASK.EXEC:\WINDOWS\SYSTEM\STIMON.EXEC:\WINDOWS\SYSTEM\USBMONIT.EXEC:\PROGRAM FILES\BROADJUMP\CLIENT FOUNDATION\CFD.EXEC:\INTEL\PSNCU INTEL\CPUNUMBER.EXEC:\PROGRAM FILES\NETROPA\MULTIMEDIA KEYBOARD\MMUSBKB2.EXEC:\WINDOWS\SYSTEM\WMIEXE.EXEC:\PROGRAM FILES\NETROPA\MULTIMEDIA KEYBOARD\TRAYMON.EXEC:\WINDOWS\SYSTEM\DDHELP.EXEC:\PROGRAM FILES\OUTLOOK EXPRESS\MSIMN.EXEC:\WINDOWS\SYSTEM\PSTORES.EXEC:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXEC:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXEC:\LOGICIELS TéLéCHARGéS\HIJACKTHIS\HIJACKTHIS.EXER0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.frR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Internet Explorer avec Club-InternetR1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=proxy.club-internet.fr:8080R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = ;127.0.0.1;localhost;club-internet.fr;*.club-internet.fr;grolier.fr;*.grolier.fr;<local>R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCXO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\logiciels téléchargés\SPYBOT\Spybot - Search & Destroy\SDHelper.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCXO4 - HKLM\..\Run: [ScanRegistry] c:\windows\scanregw.exe /autorunO4 - HKLM\..\Run: [TaskMonitor] c:\windows	askmon.exeO4 - HKLM\..\Run: [SystemTray] SysTray.ExeO4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrSchemeO4 - HKLM\..\Run: [EM_EXEC] c:\mouse\system\em_exec.exeO4 - HKLM\..\Run: [Multimedia Keyboard] C:\Program Files\Netropa\Multimedia Keyboard\MMKeybd.exe /launchpadO4 - HKLM\..\Run: [Onscreen Display] C:\Program Files\Netropa\Onscreen Display\OSD.exeO4 - HKLM\..\Run: [TiscaliParam] C:\PROGRAM FILES\DIALER TISCALI\bootparam.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\SYSTEM\QTTASK.EXE" -atboottimeO4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXEO4 - HKLM\..\Run: [ICQ Net] C:\WINDOWS\winlogon.exe -stealthO4 - HKLM\..\Run: [Gene USB Monitor] c:\windows\SYSTEM\USBMonit.exeO4 - HKLM\..\Run: [BJCFD] C:\Program Files\BroadJump\Client Foundation\CFD.exeO4 - HKLM\..\Run: [AVGCtrl] "C:\PROGRA~1\AVPERS~1\AVGCTRL.EXE" /minO4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrSchemeO4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exeO4 - HKLM\..\RunServices: [Planetispage] C:\WINDOWS\SYSTEM\Syshome.exeO4 - HKLM\..\RunServices: [Machine Debug Manager] C:\WINDOWS\SYSTEM\MDM.EXEO4 - HKLM\..\RunServices: [SAgent2ExePath] C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exeO4 - HKCU\..\Run: [MoneyAgent] "C:\Program Files\Microsoft Money\System\Money Express.exe"O4 - HKCU\..\Run: [IntelProcNumUtility] "C:\Intel\PSNCU Intel\CPUNumber.exe" /nosplashO4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXEO4 - Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WINDOWS\SYSTEM\E_SRCV02.EXEO9 - Extra button: RealGuide - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\SYSTEM\Shdocvw.dllO12 - Plugin for .mts: C:\Program Files\MetaCreations\MetaStream
pmetastream.dllO12 - Plugin for .swf: C:\Program Files\Netscape\Communicator\Program\PLUGINS\NPSWF32.DLLEnfin, je n'ai pas de fichier du nom de NTGRDRT dans le dossier Logfiles...Régis, je n'ai pas compris si tu voulais que je relance Ad-aware ou pas ?Merci pour ta persévarance...

Utilisateur anonyme · Answer

Tu passeras ad aware apres :Lance ce scan en ligne: http://www.bitdefender.com/scan/licence.phpCopie/colle le rapporta+

Utilisateur anonyme · Answer

salut fred,confirme moi demain si tout est ok !!??a+

Utilisateur anonyme · Answer

salut fredy a pas de quoi !!Bon surfa+

Winlogon virusé sous Windows 98

14 réponses

Newsletters