[Spyware sous IE] Résolu/Fermé

Question

Bonjour,Depuis quelques jours, j'ai un spyware qui s'est installé et qui provoque des popup de pub et pourrissent mes favoris quand je lance IE.AntiVir détecte à chaque exécution d'IE ceci :=======================================C:\WINDOWS\SYSTEM32\SDPFS.DLLIs the Trojan horse TR/StartPa.DU.DLL.1=======================================J'ai aussi un autre problème. Dans les services de winXP, je n'arrive pas à interrompre le services "d'Appel de procédure distante (RPC)" (il est "démarrer" mais les options arreter/suspendre/demarrer/etc... sont grisées).Voila le log que j'obtiens avec HijackThis :=======================================Logfile of HijackThis v1.99.1Scan saved at 14:35:29, on 01/12/2005Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\Explorer.EXEC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\Program Files\AVPersonal\AVGNT.EXEC:\Program Files\D-Tools\daemon.exeC:\Program Files\Java\jre1.5.0_04\bin\jusched.exeC:\WINDOWS\SOUNDMAN.EXEC:\WINDOWS\system32\RUNDLL32.EXEC:\Program Files\Zone Labs\ZoneAlarm\zlclient.exeC:\WINDOWS\crkr32.exeC:\WINDOWS\system32\ctfmon.exeC:\WINDOWS\apizv.exeC:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXEC:\Program Files\AVPersonal\AVWUPSRV.EXEC:\Program Files\Silicon Image\SiISATARaid\SATARaid.exeC:\WINDOWS\system32\inetsrv\inetinfo.exeC:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exeC:\WINDOWS\system32
utsrv4.exeC:\WINDOWS\system32
vsvc32.exeC:\WINDOWS\system32\ZoneLabs\vsmon.exeC:\WINDOWS\system32\wuauclt.exeC:\Program Files\Lavasoft\Ad-aware 6\Ad-watch.exeC:\PROGRA~1\MOZILL~1\FIREFOX.EXEC:\WINDOWS\system32\mmc.exeC:\Program Files\Spybot - Search & Destroy\SpybotSD.exeC:\Program Files\a-squared\a2start.exeC:\Program Files\a-squared\a2scan.exeC:\Documents and Settings\Fab\Bureau\Anti spyware\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\sdpfs.dll/sp.html#17702R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\sdpfs.dll/sp.html#17702R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blankR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\sdpfs.dll/sp.html#17702R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\sdpfs.dll/sp.html#17702R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\sdpfs.dll/sp.html#17702R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\sdpfs.dll/sp.html#17702R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensR3 - Default URLSearchHook is missingO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dllO2 - BHO: (no name) - {206E52E0-D52E-11D4-AD54-0000E86C26F6} - C:\PROGRA~1\FRESHD~1\fdcatch.dllO2 - BHO: Class - {295A966C-DF72-E2D5-C7E3-8B056A955CF0} - C:\WINDOWS\sysvc.dllO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osbootO4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /minO4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_04\bin\jusched.exeO4 - HKLM\..\Run: [NuTCSetupEnviron] C:\Program Files\Rational\Rational Test
utcroot\bin
coeenv.exeO4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXEO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInitO4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"O4 - HKLM\..\Run: [crkr32.exe] C:\WINDOWS\crkr32.exeO4 - HKLM\..\Run: [tcactive] C:\Program Files\The Cleaner	ca.exeO4 - HKLM\..\Run: [tcmonitor] C:\Program Files\The Cleaner	cm.exeO4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exeO4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exeO4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXEO4 - Global Startup: SATARaid.lnk = ?O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin
pjpi150_04.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin
pjpi150_04.dllO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO14 - IERESET.INF: START_PAGE_URL=http://www.google.frO18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Fichiers communs\Microsoft Shared\Help\hxds.dllO23 - Service: Remote Procedure Call (RPC) Helper ( 11Fßä#·ºÄÖ`I) - Unknown owner - C:\WINDOWS\apizv.exeO23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXEO23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXEO23 - Service: NuTCRACKERService - DataFocus, Inc. - C:\WINDOWS\system32
utsrv4.exeO23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exeO23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe=======================================Comme conseillé dans d'autres messages de ce forum, j'ai essayé de démarrer en mode sans echec afin d'effectuer les fix avec HijackThis et les scans avec a², adaware, spybot, cleaner et aboutbuster mais divers fichiers malveillants ne cessent de revenir (sdpfs.dll, crkr32.exe, msfu.exe...).De plus, d'après ZoneAlarm, des processus (crkr32...) essayent d'acceder à Internet de temps en temps.Enfin, même lorsque je suis en mode sans echec, je n'arrive pas à supprimer C:\WINDOWS\yxplm.log ou C:\WINDOWS\wycah.txt (même avec aboutbuster).Merci d'avance pour votre aide,Fabien

aranjuez31 · Answer

bjr as-tu ?spybotad-aware cleanup40regcleanera-squaredewidosi non ! boulot préalable à faire @+

Utilisateur anonyme · Answer

salutfais démarrrer->exécuter-> taper services.msc recherche s'il y a un service dénommé : "Network Security Service". Double clique "Network Security Service" Mets-le en "désactivé" et bien sûr "arrêté"->"Appliquer".ensuite fix ces lignes :R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\sdpfs.dll/sp.html#17702 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\sdpfs.dll/sp.html#17702 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\sdpfs.dll/sp.html#17702 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\sdpfs.dll/sp.html#17702 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\sdpfs.dll/sp.html#17702 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\sdpfs.dll/sp.html#17702 R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens R3 - Default URLSearchHook is missing O2 - BHO: Class - {295A966C-DF72-E2D5-C7E3-8B056A955CF0} - C:\WINDOWS\sysvc.dll O4 - HKLM\..\Run: [crkr32.exe] C:\WINDOWS\crkr32.exe  ( si tu connais pas ce fichier alors vaut mieu le supprimer)supprime les fichier en gras C:\WINDOWS\system32\sdpfs.dllO4 - HKLM\..\Run: [crkr32.exe] C:\WINDOWS\crkr32.exe ( supprime si tu connais pas le fichier)O2 - BHO: Class - {295A966C-DF72-E2D5-C7E3-8B056A955CF0} - C:\WINDOWS\sysvc.dll lance les antispyware ( adware/ spybot...ect) pense a les mettre a jour avant reparer internet explorer http://windowsxp.mvps.org/IEFIX.htm:: Supprimer les fichiers temporaires :: vider tout le contenu de ces dossiers. * C:\Documents and Settings	on compte\Local Settings\Temp * C:\Documents and Settings	ous les autres comptes\Local Settings\Temp * C:\Windows\Temp @++++++++++

Fabien · Answer

Bonjour,J'ai bien fait tous ce que vous m'avez conseillé, mais après le rédémarrage (ou après que j'ai relancé IE), tout est revenu, au détail prés que le sdpfs.dll a été remplacé par jauak.dll et crkr32.exe par netqu32 et iede32.exe.De plus, je n'avais pas le service "Network Security Service", donc j'ai pas pu le supprimer comme vous me l'aviez conseillé.Voila mon nouveau hijackthis.log :==========================================Logfile of HijackThis v1.99.1Scan saved at 10:57:28, on 02/12/2005Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\Explorer.EXEC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\Program Files\AVPersonal\AVGNT.EXEC:\Program Files\D-Tools\daemon.exeC:\Program Files\Java\jre1.5.0_04\bin\jusched.exeC:\WINDOWS\SOUNDMAN.EXEC:\WINDOWS\system32\RUNDLL32.EXEC:\Program Files\Zone Labs\ZoneAlarm\zlclient.exeC:\WINDOWS\system32
etqu32.exeC:\WINDOWS\system32\ctfmon.exeC:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXEC:\Program Files\AVPersonal\AVWUPSRV.EXEC:\WINDOWS\system32\inetsrv\inetinfo.exeC:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exeC:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exeC:\Program Files\Silicon Image\SiISATARaid\SATARaid.exeC:\WINDOWS\system32
utsrv4.exeC:\WINDOWS\system32
vsvc32.exeC:\WINDOWS\system32\ZoneLabs\vsmon.exeC:\WINDOWS\iede32.exeC:\Program Files\Outlook Express\msimn.exeC:\WINDOWS\system32\wuauclt.exeC:\WINDOWS\system32\wuauclt.exeC:\Program Files\Mozilla Firefox\firefox.exeC:\Documents and Settings\Fab\Bureau\Anti spyware\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\jauak.dll/sp.html#17702R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\jauak.dll/sp.html#17702R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blankR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\jauak.dll/sp.html#17702R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\jauak.dll/sp.html#17702R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\jauak.dll/sp.html#17702R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\jauak.dll/sp.html#17702R3 - Default URLSearchHook is missingO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dllO2 - BHO: (no name) - {206E52E0-D52E-11D4-AD54-0000E86C26F6} - C:\PROGRA~1\FRESHD~1\fdcatch.dllO2 - BHO: Class - {255C3BAE-1994-8D48-D6F5-CC4350B435DC} - C:\WINDOWS\appvh.dllO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osbootO4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /minO4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_04\bin\jusched.exeO4 - HKLM\..\Run: [NuTCSetupEnviron] C:\Program Files\Rational\Rational Test
utcroot\bin
coeenv.exeO4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXEO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInitO4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"O4 - HKLM\..\Run: [netqu32.exe] C:\WINDOWS\system32
etqu32.exeO4 - HKLM\..\RunOnce: [iede32.exe] C:\WINDOWS\iede32.exeO4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exeO4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exeO4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXEO4 - Global Startup: SATARaid.lnk = ?O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin
pjpi150_04.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin
pjpi150_04.dllO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO14 - IERESET.INF: START_PAGE_URL=http://www.google.frO18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Fichiers communs\Microsoft Shared\Help\hxds.dllO23 - Service: Workstation NetLogon Service ( 11Fßä#·ºÄÖ`I) - Unknown owner - C:\WINDOWS\apizv.exe"  /s (file missing)O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXEO23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXEO23 - Service: NuTCRACKERService - DataFocus, Inc. - C:\WINDOWS\system32
utsrv4.exeO23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exeO23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe==========================================

balltrap34 · Answer

salut utilise ceciTu le télécharges sur :   http://www.majorgeeks.com/download4289.htmlclik "Check for updates". telecharge les mises a jour et utilise lerepasse le autant de fois qu il trouve quelque choseensuite relance hijack coche les ligne et fixjespere que tu nas pas redemarrer sinon les noms changeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\jauak.dll/sp.html#17702 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\jauak.dll/sp.html#17702 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\jauak.dll/sp.html#17702 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\jauak.dll/sp.html#17702 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\jauak.dll/sp.html#17702 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\jauak.dll/sp.html#17702 R3 - Default URLSearchHook is missing O2 - BHO: Class - {255C3BAE-1994-8D48-D6F5-CC4350B435DC} - C:\WINDOWS\appvh.dll O4 - HKLM\..\Run: [netqu32.exe] C:\WINDOWS\system32
etqu32.exe O4 - HKLM\..\RunOnce: [iede32.exe] C:\WINDOWS\iede32.exe O23 - Service: Workstation NetLogon Service ( 11Fßä#·ºÄÖ`I) - Unknown owner - C:\WINDOWS\apizv.exe" /s (file missing) recherche et suppr ceciC:\WINDOWS\jauak.dll/sp.html#17702C:\WINDOWS\jauak.dllC:\WINDOWS\appvh.dll C:\WINDOWS\system32
etqu32.exeC:\WINDOWS\iede32.exe C:\WINDOWS\apizv.execlik sur Démarrer->exécuter->tape: services.mscDouble-clique: Workstation NetLogon Service ( 11Fßä#·ºÄÖ`I) Règle-le sur "Arrêté" et "Désactivé".

Fabien · Answer

Merci beaucoup à vous tous, je n'ai plus ce satané spyware :)++Fab

balltrap34 · Answer

remet un hijack que l ont verifie

[Spyware sous IE]

6 réponses

Discussions similaires