des p'tits soucis

Question

Bien le bonjour

mon antivirus OfficeScan a repéré deux virus infectant des fichiers dll dans le dossier system32 de windows:

il s'agit de TROJ_FAVADD.AA
et de
TROJ_QHOST.AK

De plus, il arrive que l'ordi ne se lance pas toujours comme il faut: parfois, ma barre des tâches est inaccessible et devient toute bleue!

Dernier point, lorsque je vais dans Mes Documents, il m'est impossible de modifier la barre d'outils; "SEARCH TOOLBAR", "REMOVE TOOLBAR" "RELATED PAGE" sont également apparus à mon insu et je n'arrive pas à les supprimer

Est-ce dû à des virus ou non?

Merci d'avance pour votre aide!

incognito02 · Answer

Bonsoir Stéphane62, (Pas de Calais ?)

Dans un premier temps, fait déja tout cela :

telecharge et execute ces antispywares ( pense a les mettre a jour avant de les lancer)
(1) ad-aware version 1.06

(ici) http://www.florensac-chasse-trap.com/ section virus/logiciel de securite
voir demo
http://pageperso.aol.fr/balltrap34/adwseflash.zip

***

(2) spybot version 1.4

(ici) http://www.florensac-chasse-trap.com/ section virus/logiciel de securite

voir demo d utilisation
http://pageperso.aol.fr/Balltrap34/demo%20spybot.htm
***

et aussi ceci
(3) CleanUp40.exe
http://www.florensac-chasse-trap.com/ section virus/logiciel de securite

voir demo
http://pageperso.aol.fr/balltrap34/democleanup.htm

***

(4) a2

http://www.emsisoft.net/fr/
penser a le metre a jour avant de scanner le pc
***
ps : un grand merci a balltrap pour les lien :)

(5) Edwido
http://download.ewido.net/ewido-setup.exe
Pendant l'installation, sur la page "Additional Options", décoche les deux options "Install background guard" et "Install scan via context menu Ewido Security Suite. Clique sur mise à jour.

Clique sur scanner puis sur scan complet du système.

(6)SmitfraudFix

http://siri.urz.free.fr/Fix/SmitfraudFix.zip
Exécute le, Double click sur Smitfraudfix.cmd choisit l’option 1, il va générer un rapport
Copie/colle le sur le poste stp.

(7) télécharge HijackThis ici:
http://www.hijackthis.de/downloads/hijackthis_199.zip

Dézippe le dans un dossier prévu à cet effet.
Par exemple C:\hijackthis < Enregistre le bien dans c : !
Démo : (Merci a Balltrap34 pour cette réalisation)
http://pageperso.aol.fr/balltrap34/Hijenr.gif

et colle le log ici stp.

Bon courage

A+

incognito02 · Answer

Bonjour,

Aller dans Ajout/suppression de programme et desintaller UnSpyPC

Relance HijackThis, coche les cases devant ces lignes et ensuite clique sur fix checked :

O2 - BHO: SearchToolbar - {08BEC6AA-49FC-4379-3587-4B21E286C19E} - C:\WINDOWS\System32\drlrr.dll

O2 - BHO: Related Page - {9A9C9B69-F908-4AAB-8D0C-10EA8997F37E} - C:\WINDOWS\System32\WinNB57.dll

O3 - Toolbar: SearchToolbar - {08BEC6AA-49FC-4379-3587-4B21E286C19E} - C:\WINDOWS\System32\drlrr.dll

O3 - Toolbar: Related Page - {9A9C9B68-F908-4AAB-8D0C-10EA8997F37E} - C:\WINDOWS\System32\WinNB57.dll

O4 - HKLM\..\Run: [CnxDslTaskBar] "C:\Program Files\ZTE Corporation\ZXDSL852\CnxDslTb.exe" "ZTE Corporation\ZXDSL852"

O16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\ex.cab

O16 - DPF: {33331111-1111-1111-1111-611111193458} - file://c:\ex.cab

O16 - DPF: {33331111-1111-1111-1111-622221193458} - file://c:\ex.cab

O16 - DPF: {43331111-1111-1111-1111-611111195622} - file://c:\ex.cab

O16 - DPF: {64311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{5F2940B3-8AB1-4696-AEEF-95F3BEA67D25}: NameServer = 85.255.113.123,85.255.112.76

O17 - HKLM\System\CCS\Services\Tcpip\..\{5F813E91-5335-4792-96D0-78CB585B8FC6}: NameServer = 85.255.113.123,85.255.112.76

O17 - HKLM\System\CCS\Services\Tcpip\..\{7C41F2A5-AE4C-4F1D-8A2D-B421FF5CA6EA}: NameServer = 85.255.113.123,85.255.112.76

O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34546} - C:\WINDOWS\System32\vbsys2.dll (file missing)

O23 - Service: F-Secure Windows Security Center Legacy Detection Service (Fswsclds) - Unknown owner - C:\Program Files\Securitoo\av_fw\fswsclds.exe (file missing)

-------------------------------------------------------------------------------

Démarre en mode sans échec :
Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter
Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée.
Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal !
(Si F8 ne marche pas utilise la touche F5).

-----------------------------------------------------------------------------
Affiche tous les fichiers et dossiers :
Clique sur démarrer/panneau de configuration/outil/option des dossiers/affichage

Coche « afficher les fichiers et dossiers cachés »

Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"

Décoche « masquer les extensions dont le type est connu »
Puis fais «Ok» pour valider les changements.

Et appliquer !

-----------------------------------------------------------------------------

Recherche et supprime ceci:
attention seulement les fichiers (si présents).
C:\WINDOWS\System32\drlrr.dll
C:\WINDOWS\System32\WinNB57.dll
c:\ex.cab
c:\eied_s7.cab
:\WINDOWS\System32\vbsys2.dll

et le dossier en Gras :
C:\Program Files\ZTE Corporation\ZXDSL852\CnxDslTb.exe" "ZTE Corporation\ZXDSL852

vide la corbeille.

Relance en mode normal.

Relance un hijackthis et colle le rapport ici

Bon courage.

A+

stéphane62 · Answer

bonsoirj'ai suivi la procédure comme convenu:juste une chose: je n'ai pas trouvé UnSpyPC dans mes programmes, même en effectuant une recherche manuelle.voici le rapport de hijackthis:Logfile of HijackThis v1.99.1Scan saved at 19:36:21, on 27/12/2005Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\csrss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\System32\alg.exeC:\WINDOWS\System32\Ati2evxx.exeC:\Documents and Settings\o\Mes documents\ledec\ewido anti-malware\ewidoctrl.exeC:\WINDOWS\System32\FTRTSVC.exeC:\Program Files\Trend Micro\OfficeScan Client
trtscan.exeC:\WINDOWS\System32\svchost.exeC:\Program Files\Trend Micro\OfficeScan Client	mlisten.exeC:\WINDOWS\System32\wdfmgr.exeC:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exeC:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exeC:\WINDOWS\soundman.exeC:\PROGRA~1\HEWLET~1\HPSHAR~1\hpgs2wnf.exeC:\WINDOWS\System32\atiptaxx.exeC:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exeC:\Program Files\Trend Micro\OfficeScan Client\RAUAgent.exeC:\WINDOWS\System32\ctfmon.exeC:	hemeGold55\CursorXP\CursorXP.exeC:\PROGRA~1\Wanadoo\TaskBarIcon.exeC:\PROGRA~1\Wanadoo\EspaceWanadoo.exeC:\PROGRA~1\Wanadoo\ComComp.exeC:\Program Files\Trend Micro\OfficeScan Client\Pop3Trap.exeC:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\wkcalrem.exeC:\PROGRA~1\Wanadoo\Toaster.exeC:\PROGRA~1\Wanadoo\Inactivity.exeC:\PROGRA~1\Wanadoo\PollingModule.exeC:\WINDOWS\System32\ALERTM~1\ALERTM~1.EXEC:\Program Files\Trend Micro\OfficeScan Client\ofcdog.exeC:\PROGRA~1\Wanadoo\Watch.exeC:\Program Files\Trend Micro\OfficeScan Client\pccntupd.exeC:\PROGRA~1\Wanadoo\WOOBrowser\WOOBrowser.exeC:\Documents and Settings\o\Mes documents\ledec\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.frR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = WanadooR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensR3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLLO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dllO2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - C:\Program Files\Microsoft Money\System\mnyviewer.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [WorksFUD] C:\Program Files\Microsoft Works\wkfud.exeO4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Program Files\Microsoft Works\WksSb.exe /AllUsersO4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exeO4 - HKLM\..\Run: [MoneyStartUp10.0] "C:\Program Files\Microsoft Money\System\Activation.exe"O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exeO4 - HKLM\..\Run: [SoundMan] soundman.exeO4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exeO4 - HKLM\..\Run: [AtiPTA] atiptaxx.exeO4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -kO4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exeO4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\GestMaj.exe TaskBarIcon.exeO4 - HKLM\..\Run: [Moniteur OfficeScanNT] "C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindowO4 - HKLM\..\Run: [RemoteAgent] C:\Program Files\Trend Micro\OfficeScan Client\RAUAgent.exeO4 - HKLM\..\Run: [dmnym.exe] C:\WINDOWS\System32\dmnym.exeO4 - HKLM\..\RunServicesOnce: [washindex] C:\Program Files\Washer\washidx.exe "Default User"O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exeO4 - HKCU\..\Run: [CursorXP] C:	hemeGold55\CursorXP\CursorXP.exe -sO4 - HKCU\..\Run: [MoneyAgent] "C:\Program Files\Microsoft Money\System\Money Express.exe"O4 - HKCU\..\Run: [WOOKIT] C:\PROGRA~1\Wanadoo\GestMaj.exe EspaceWanadoo.exeO4 - HKCU\..\Run: [UnSpyPC] "C:\Program Files\UnSpyPC\UnSpyPC.exe"O4 - HKCU\..\Run: [a-squared] "C:\Documents and Settings\o\Mes documents\ledec\a-squared\a2guard.exe"O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXEO4 - Global Startup: Rappels du Calendrier Microsoft Works.lnk = ?O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)O12 - Plugin for .pdf: C:\Program Files\Internet Explorer\PLUGINS
ppdf32.dllO14 - IERESET.INF: START_PAGE_URL=http://www.google.frO15 - Trusted Zone: http://click.getmirar.com (HKLM)O15 - Trusted Zone: http://click.mirarsearch.com (HKLM)O15 - Trusted Zone: http://redirect.mirarsearch.com (HKLM)O15 - Trusted Zone: http://awbeta.net-nucleus.com (HKLM)O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cabO16 - DPF: {6E5A37BF-FD42-463A-877C-4EB7002E68AE} (Housecall ActiveX 6.5) - http://eu-housecall.trendmicro-europe.com/housecall/applet/html/native/x86/win32/activex/hcImpl.cabO16 - DPF: {8A0DCBDB-6E20-489C-9041-C1E8A0352E75} (Mirar_Dummy_ATS1 Class) - http://awbeta.net-nucleus.com/FIX/WinATS.cabO17 - HKLM\System\CCS\Services\Tcpip\..\{476DD320-74F0-4B4E-96BE-66E1BC73E217}: NameServer = 80.10.246.1 80.10.246.132O17 - HKLM\System\CS1\Services\Tcpip\..\{476DD320-74F0-4B4E-96BE-66E1BC73E217}: NameServer = 80.10.246.1 80.10.246.132O17 - HKLM\System\CS2\Services\Tcpip\..\{476DD320-74F0-4B4E-96BE-66E1BC73E217}: NameServer = 80.10.246.1 80.10.246.132O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exeO23 - Service: ewido security suite control - ewido networks - C:\Documents and Settings\o\Mes documents\ledec\ewido anti-malware\ewidoctrl.exeO23 - Service: F-Secure Windows Security Center Legacy Detection Service (Fswsclds) - Unknown owner - C:\Program Files\Securitoo\av_fw\fswsclds.exe (file missing)O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exeO23 - Service: Scan en temps réel OfficeScanNT (ntrtscan) - Unknown owner - C:\Program Files\Trend Micro\OfficeScan Client
trtscan.exeO23 - Service: OfficeScanNT Listener (tmlisten) - Unknown owner - C:\Program Files\Trend Micro\OfficeScan Client	mlisten.exea+

incognito02 · Answer

Bonsoir,

Rend toi sur ce site :
http://www.virustotal.com/xhtml/virustotal_en.html
Clik sur parcourir
Recherche ceci :
C:\WINDOWS\System32\dmnym.exe
Clik send et colle le rapport stp

Bon courage.

A+

stéphane62 · Answer

re

je me suis rendu sur le site comme convenu:

- lorsque je recherche le fichier à partir du site, en cliquant sur parcourir, je ne le vois guère.

- puis, lorsque je tape le nom du fichier, il m'indique qu'il est déjà en cours d'exécution

- enfin, lorsque je fais une recherche manuelle, elle n'aboutit pas

bizarre, non? ce fichier est-il présent ou pas?
j'espère que vous pourrez m'éclairer sur ce point (un peu obscur pour moi)

a+

incognito02 · Answer

Bonjour Stephane,

Relance HijackThis, coche les cases devant ces lignes et ensuite clique sur fix checked :

O4 - HKLM\..\Run: [dmnym.exe] C:\WINDOWS\System32\dmnym.exe

Recherche et supprime ceci:
attention seulement les fichiers (si présents).
C:\WINDOWS\System32\dmnym.exe

reposte un log hijackthis stp.

Precise tes soucis, si il en reste.

A+

incognito02 · Answer

Bonjour JP de Clermonttu as raison ! je ne dois pas être bien reveillé ce matin ! lolA+

stéphane62 · Answer

bonsoir et meilleurs voeux pour 2006!en relançant hijack this, nulle trace du fichierO4 - HKLM\..\Run: [dmnym.exe] C:\WINDOWS\System32\dmnym.exetant mieux???la preuve avec le rapport de hijackthis:Logfile of HijackThis v1.99.1Scan saved at 21:38:23, on 1/01/2006Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\csrss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\System32\alg.exeC:\WINDOWS\System32\Ati2evxx.exeC:\Documents and Settings\o\Mes documents\ledec\ewido anti-malware\ewidoctrl.exeC:\WINDOWS\System32\FTRTSVC.exeC:\Program Files\Trend Micro\OfficeScan Client
trtscan.exeC:\WINDOWS\System32\svchost.exeC:\Program Files\Trend Micro\OfficeScan Client	mlisten.exeC:\WINDOWS\System32\wdfmgr.exeC:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exeC:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exeC:\WINDOWS\soundman.exeC:\WINDOWS\System32\atiptaxx.exeC:\PROGRA~1\HEWLET~1\HPSHAR~1\hpgs2wnf.exeC:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exeC:\Program Files\Trend Micro\OfficeScan Client\RAUAgent.exeC:\WINDOWS\System32\ctfmon.exeC:	hemeGold55\CursorXP\CursorXP.exeC:\PROGRA~1\Wanadoo\TaskBarIcon.exeC:\Program Files\Trend Micro\OfficeScan Client\Pop3Trap.exeC:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\wkcalrem.exeC:\Program Files\Trend Micro\OfficeScan Client\ofcdog.exeC:\Program Files\Trend Micro\OfficeScan Client\pccntupd.exeC:\Program Files\Wanadoo\EspaceWanadoo.exeC:\Program Files\Wanadoo\ComComp.exeC:\PROGRA~1\Wanadoo\Toaster.exeC:\PROGRA~1\Wanadoo\Inactivity.exeC:\PROGRA~1\Wanadoo\PollingModule.exeC:\WINDOWS\System32\ALERTM~1\ALERTM~1.EXEC:\Program Files\Wanadoo\Watch.exeC:\PROGRA~1\Wanadoo\WOOBrowser\WOOBrowser.exeC:\Documents and Settings\o\Mes documents\ledec\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.frR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = WanadooR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensR3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLLO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dllO2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - C:\Program Files\Microsoft Money\System\mnyviewer.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [WorksFUD] C:\Program Files\Microsoft Works\wkfud.exeO4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Program Files\Microsoft Works\WksSb.exe /AllUsersO4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exeO4 - HKLM\..\Run: [MoneyStartUp10.0] "C:\Program Files\Microsoft Money\System\Activation.exe"O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exeO4 - HKLM\..\Run: [SoundMan] soundman.exeO4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exeO4 - HKLM\..\Run: [AtiPTA] atiptaxx.exeO4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -kO4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exeO4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\GestMaj.exe TaskBarIcon.exeO4 - HKLM\..\Run: [Moniteur OfficeScanNT] "C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindowO4 - HKLM\..\Run: [RemoteAgent] C:\Program Files\Trend Micro\OfficeScan Client\RAUAgent.exeO4 - HKLM\..\Run: [dmxlh.exe] C:\WINDOWS\System32\dmxlh.exeO4 - HKLM\..\RunServicesOnce: [washindex] C:\Program Files\Washer\washidx.exe "Default User"O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exeO4 - HKCU\..\Run: [CursorXP] C:	hemeGold55\CursorXP\CursorXP.exe -sO4 - HKCU\..\Run: [MoneyAgent] "C:\Program Files\Microsoft Money\System\Money Express.exe"O4 - HKCU\..\Run: [WOOKIT] C:\PROGRA~1\Wanadoo\GestMaj.exe EspaceWanadoo.exeO4 - HKCU\..\Run: [UnSpyPC] "C:\Program Files\UnSpyPC\UnSpyPC.exe"O4 - HKCU\..\Run: [a-squared] "C:\Documents and Settings\o\Mes documents\ledec\a-squared\a2guard.exe"O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXEO4 - Global Startup: Rappels du Calendrier Microsoft Works.lnk = ?O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)O12 - Plugin for .pdf: C:\Program Files\Internet Explorer\PLUGINS
ppdf32.dllO14 - IERESET.INF: START_PAGE_URL=http://www.google.frO16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cabO16 - DPF: {6E5A37BF-FD42-463A-877C-4EB7002E68AE} (Housecall ActiveX 6.5) - http://eu-housecall.trendmicro-europe.com/housecall/applet/html/native/x86/win32/activex/hcImpl.cabO16 - DPF: {8A0DCBDB-6E20-489C-9041-C1E8A0352E75} (Mirar_Dummy_ATS1 Class) - http://awbeta.net-nucleus.com/FIX/WinATS.cabO17 - HKLM\System\CCS\Services\Tcpip\..\{476DD320-74F0-4B4E-96BE-66E1BC73E217}: NameServer = 80.10.246.1 80.10.246.132O17 - HKLM\System\CS1\Services\Tcpip\..\{476DD320-74F0-4B4E-96BE-66E1BC73E217}: NameServer = 80.10.246.1 80.10.246.132O17 - HKLM\System\CS2\Services\Tcpip\..\{476DD320-74F0-4B4E-96BE-66E1BC73E217}: NameServer = 80.10.246.1 80.10.246.132O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exeO23 - Service: ewido security suite control - ewido networks - C:\Documents and Settings\o\Mes documents\ledec\ewido anti-malware\ewidoctrl.exeO23 - Service: F-Secure Windows Security Center Legacy Detection Service (Fswsclds) - Unknown owner - C:\Program Files\Securitoo\av_fw\fswsclds.exe (file missing)O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exeO23 - Service: Scan en temps réel OfficeScanNT (ntrtscan) - Unknown owner - C:\Program Files\Trend Micro\OfficeScan Client
trtscan.exeO23 - Service: OfficeScanNT Listener (tmlisten) - Unknown owner - C:\Program Files\Trend Micro\OfficeScan Client	mlisten.exepar contre, faut-il supprimerO4 - HKCU\..\Run: [UnSpyPC] "C:\Program Files\UnSpyPC\UnSpyPC.exe"?(fichier dont nous avions précédemment parlé)?dernière chose:un scan de mon antivirus Ofice Scana révélé la présence de TROJ_ADCLICK.AQ infectant C:\WINDOWS\System32\idemlog.EXEsinon, mon pc se fige de temps à autre et finit par s'éteindre tout seul; il met également beaucoup de temps pour s'éteindre lorsqu'il fonctionne correctement.voilà, c'est à peu près toutbonne soirée

incognito02 · Answer

Bonsoir,

Mes meilleurs Voeux.

Pour Unspypc la réponse est Oui et supprimer le dossier Unspypc

Pour Idemlog il y a une soluce mais il faut que je recherche, c'est plutot le "bébé" à Régis59 cette bestiole ! lol

A demain.

stéphane62 · Answer

ok tiens-moi au couranta+

incognito02 · Answer

Bonsoir Stéphane,Telecharge ceci :http://cjoint.com/?bdtQsX4JC0Décompresse le fichier et execute Hcsrch.batcolle le rapport ici stp.Bon courage.A+

stéphane62 · Answer

Bonjour

voilà chef, j'ai fait comme tu m'as dit
voici le rapport:

Rapport fait à 4:39:12,22 le jeu. 05/01/2006
Executé à partir de C:\Documents and Settings\o\Mes documents\ledec
OS: Microsoft Windows XP [version 5.1.2600]

*********************************************

Vérification HKLM\...\...\...\...\ruins

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ruins]
"xedocne"=hex:52,7e,00,00,22,5d,10,6c,03,0a,0f,4d,62,17,52,13,00,00,00
"repiwoh"=hex:6c,0e,00,00,41,46,46,78,69,6c,1b,57,04,39,34,13,00,00,00
"23plhps"=hex:14,10,00,00,12,19,d9,2d,31,fa,83,8f,ac,51,9c,13,00,00,00
"mgcppp"=hex:b7,10,00,00,b2,ba,82,b7,ab,99,20,d1,fa,c1,12,00,00,00
"tesvaf"=hex:5b,11,00,00,54,21,74,63,75,72,4c,0d,06,1d,12,00,00,00
"golmedi"=hex:fe,11,00,00,f2,ff,c6,c6,df,d0,a0,e1,b6,ab,86,13,00,00,00
"32refaselif"=hex:a1,12,00,00,92,97,a8,ab,a1,bf,c2,cb,c6,0e,31,22,f3,e4,03,17,\
00,00,00
"axkmd"=hex:c3,44,00,00,b2,ad,8b,96,91,4c,ed,f6,fd,11,00,00,00

*********************************************

Fichiers détectés :

C:\WINDOWS\balloon.wav Présent !
C:\WINDOWS\rdt.ini Présent !
C:\WINDOWS\Help\SPAlert.chm Présent !
C:\WINDOWS\System32\idesk.conf Présent !

*********************************************

Recherche des processus aleatoires
d'après les modèles : cs***.exe, dm***.exe, ya***.exe

C:\WINDOWS\System32

*********************************************

Recherche presence C:\WINDOWS\System32\idemlog.exe...

non trouvé...

a+

stéphane62 · Answer

bonjourvoici le rapport de hijackthis demandé:Logfile of HijackThis v1.99.1Scan saved at 17:43:33, on 10/01/2006Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\csrss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\System32\alg.exeC:\WINDOWS\System32\Ati2evxx.exeC:\Documents and Settings\o\Mes documents\ledec\ewido anti-malware\ewidoctrl.exeC:\WINDOWS\System32\FTRTSVC.exeC:\Program Files\Trend Micro\OfficeScan Client
trtscan.exeC:\WINDOWS\System32\svchost.exeC:\Program Files\Trend Micro\OfficeScan Client	mlisten.exeC:\WINDOWS\System32\wdfmgr.exeC:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exeC:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exeC:\WINDOWS\soundman.exeC:\PROGRA~1\HEWLET~1\HPSHAR~1\hpgs2wnf.exeC:\WINDOWS\System32\atiptaxx.exeC:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exeC:\Program Files\Trend Micro\OfficeScan Client\RAUAgent.exeC:\PROGRA~1\Wanadoo\TaskBarIcon.exeC:\WINDOWS\System32\ctfmon.exeC:	hemeGold55\CursorXP\CursorXP.exeC:\PROGRA~1\Wanadoo\EspaceWanadoo.exeC:\Program Files\Trend Micro\OfficeScan Client\Pop3Trap.exeC:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\wkcalrem.exeC:\PROGRA~1\Wanadoo\ComComp.exeC:\PROGRA~1\Wanadoo\Toaster.exeC:\PROGRA~1\Wanadoo\Inactivity.exeC:\PROGRA~1\Wanadoo\PollingModule.exeC:\Program Files\Trend Micro\OfficeScan Client\ofcdog.exeC:\WINDOWS\System32\ALERTM~1\ALERTM~1.EXEC:\Program Files\Trend Micro\OfficeScan Client\pccntupd.exeC:\PROGRA~1\Wanadoo\Watch.exeC:\PROGRA~1\Wanadoo\WOOBrowser\WOOBrowser.exeC:\Documents and Settings\o\Mes documents\ledec\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.frR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = WanadooR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensR3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLLO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dllO2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - C:\Program Files\Microsoft Money\System\mnyviewer.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [WorksFUD] C:\Program Files\Microsoft Works\wkfud.exeO4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Program Files\Microsoft Works\WksSb.exe /AllUsersO4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exeO4 - HKLM\..\Run: [MoneyStartUp10.0] "C:\Program Files\Microsoft Money\System\Activation.exe"O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exeO4 - HKLM\..\Run: [SoundMan] soundman.exeO4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exeO4 - HKLM\..\Run: [AtiPTA] atiptaxx.exeO4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -kO4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exeO4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\GestMaj.exe TaskBarIcon.exeO4 - HKLM\..\Run: [Moniteur OfficeScanNT] "C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindowO4 - HKLM\..\Run: [RemoteAgent] C:\Program Files\Trend Micro\OfficeScan Client\RAUAgent.exeO4 - HKLM\..\Run: [dmqdg.exe] C:\WINDOWS\System32\dmqdg.exeO4 - HKLM\..\RunServicesOnce: [washindex] C:\Program Files\Washer\washidx.exe "Default User"O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exeO4 - HKCU\..\Run: [CursorXP] C:	hemeGold55\CursorXP\CursorXP.exe -sO4 - HKCU\..\Run: [MoneyAgent] "C:\Program Files\Microsoft Money\System\Money Express.exe"O4 - HKCU\..\Run: [WOOKIT] C:\PROGRA~1\Wanadoo\GestMaj.exe EspaceWanadoo.exeO4 - HKCU\..\Run: [a-squared] "C:\Documents and Settings\o\Mes documents\ledec\a-squared\a2guard.exe"O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXEO4 - Global Startup: Rappels du Calendrier Microsoft Works.lnk = ?O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)O12 - Plugin for .pdf: C:\Program Files\Internet Explorer\PLUGINS
ppdf32.dllO14 - IERESET.INF: START_PAGE_URL=http://www.google.frO16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cabO16 - DPF: {6E5A37BF-FD42-463A-877C-4EB7002E68AE} (Housecall ActiveX 6.5) - http://eu-housecall.trendmicro-europe.com/housecall/applet/html/native/x86/win32/activex/hcImpl.cabO16 - DPF: {8A0DCBDB-6E20-489C-9041-C1E8A0352E75} (Mirar_Dummy_ATS1 Class) - http://awbeta.net-nucleus.com/FIX/WinATS.cabO17 - HKLM\System\CCS\Services\Tcpip\..\{476DD320-74F0-4B4E-96BE-66E1BC73E217}: NameServer = 80.10.246.130 80.10.246.3O17 - HKLM\System\CS1\Services\Tcpip\..\{476DD320-74F0-4B4E-96BE-66E1BC73E217}: NameServer = 80.10.246.1 80.10.246.132O17 - HKLM\System\CS2\Services\Tcpip\..\{476DD320-74F0-4B4E-96BE-66E1BC73E217}: NameServer = 80.10.246.130 80.10.246.3O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exeO23 - Service: ewido security suite control - ewido networks - C:\Documents and Settings\o\Mes documents\ledec\ewido anti-malware\ewidoctrl.exeO23 - Service: F-Secure Windows Security Center Legacy Detection Service (Fswsclds) - Unknown owner - C:\Program Files\Securitoo\av_fw\fswsclds.exe (file missing)O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exeO23 - Service: Scan en temps réel OfficeScanNT (ntrtscan) - Unknown owner - C:\Program Files\Trend Micro\OfficeScan Client
trtscan.exeO23 - Service: OfficeScanNT Listener (tmlisten) - Unknown owner - C:\Program Files\Trend Micro\OfficeScan Client	mlisten.exebon couragea+

incognito02 · Answer

Bonsoir StéphaneReste à supprimer ces fichiers :C:\WINDOWS\balloon.wavC:\WINDOWS\rdt.ini C:\WINDOWS\Help\SPAlert.chmC:\WINDOWS\System32\idesk.conf Précise nous où en sont tes soucis.A+

Des p'tits soucis

14 réponses

Newsletters