virus infecté par spy sheriff Résolu/Fermé

Question

bonjour, je vois que je ne suis pas le seul infecte par spy sheriff. Serrait il possible que vous m'aidiez a resoudre mon probleme s'il vous plait? je vous envoi mon scan hijackthis en esperant trouver la faille. Merci.Logfile of HijackThis v1.99.1Scan saved at 16:21:55, on 11/01/2006Platform: Windows XP  (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 (6.00.2600.0000)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\explorer.exeC:\Program Files\Alwil Software\Avast4\aswUpdSv.exeC:\Program Files\Real\RealPlayer\RealPlay.exeC:\WINDOWS\System32\paytime.exeC:\windows\banmanpro.exeC:\Program Files\Alwil Software\Avast4\ashServ.exeC:\Program Files\OFFICE One6.0\OFFICE One Notes v6\OFFICEOneNotesv6.exeC:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exeC:\WINDOWS\System32\ctfmon.exeC:\Program Files\Messenger\msmsgs.exeC:\WINDOWS\System32\paytime.exeC:\Program Files\SpySheriff\SpySheriff.exeC:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exeC:\Program Files\OFFICE One6.0\program\soffice.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\system32\slserv.exeC:\WINDOWS\System32\svchost.exeC:\Program Files\Inventel\Gateway\wlancfg.exeC:\Program Files\Alwil Software\Avast4\ashWebSv.exeC:\Program Files\Alwil Software\Avast4\ashMaiSv.exeC:\Program Files\Internet Explorer\IEXPLORE.EXEC:\WINDOWS\System32\wuauclt.exeC:\Documents and Settings\serval\Bureau\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.htmlR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://searchbar.findthewebsiteyouneed.comR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://searchbar.findthewebsiteyouneed.comR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.comR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.htmlR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.htmlR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.comR0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.htmlR0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://searchbar.findthewebsiteyouneed.comR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.htmlR0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.htmlR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensF2 - REG:system.ini: Shell=explorer.exe                                                                                                    "C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm00001.exe"O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dllO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dllO2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dllO3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dllO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initializeO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exeO4 - HKLM\..\Run: [QuickTime Task] "E:\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [RealTray] C:\Program Files\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYERO4 - HKLM\..\Run: [enewsletterpro] C:\windows\enewsletterpro.exeO4 - HKLM\..\Run: [banmanpro] C:\windows\banmanpro.exeO4 - HKLM\..\Run: [drsmartloadb] c:\drsmartloadb.exeO4 - HKLM\..\Run: [Sin Espias] C:\Program Files\SinEspias\No-Spy.exe /autorunO4 - HKLM\..\Run: [stnospy] C:\Program Files\SinEspias
o-spy.exe /autorunO4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exeO4 - HKLM\..\Run: [oov6multiuser.exe] C:\Program Files\OFFICE One6.0\program\oov6multiuser.exeO4 - HKLM\..\Run: [OFFICEOneNotesv6.exe] C:\Program Files\OFFICE One6.0\OFFICE One Notes v6\OFFICEOneNotesv6.exeO4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exeO4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /backgroundO4 - HKCU\..\Run: [AOLMIcon] C:\AOLMICONK2.EXEO4 - HKCU\..\Run: [Shell] "C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm00001.exe"O4 - HKCU\..\Run: [PayTime] C:\WINDOWS\System32\paytime.exeO4 - HKCU\..\Run: [SpySheriff] C:\Program Files\SpySheriff\SpySheriff.exeO4 - Startup: Club-Internet.lnk = C:\Program Files\Club-Internet\Lanceur\lanceur.exeO4 - Startup: OFFICE One 6.0.lnk = C:\Program Files\OFFICE One6.0\program\quickstart.exeO4 - Startup: RegFreeze.lnk = C:\Program Files\RegFreezeegfreeze.exeO4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exeO4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exeO4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exeO8 - Extra context menu item: &Traduire à partir de l'anglais - res://c:\program files\google\GoogleToolbar2.dll/cmwordtrans.htmlO8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.htmlO8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.htmlO8 - Extra context menu item: Recherche &Google - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.htmlO8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.htmlO9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\webelated.htmO9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\webelated.htmO9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dllO23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exeO23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exeO23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exeO23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exeO23 - Service: SmartLinkService (SLService) -   - C:\WINDOWS\SYSTEM32\slserv.exeO23 - Service: Service de lancement de WlanCfg (Wlancfg) - Inventel - C:\Program Files\Inventel\Gateway\wlancfg.exe

devil1327 · Answer

ftp://ftp.grisoft.cz/pub/softw/70/filedir/inst/avg71f_371a669.exe

Utilisateur anonyme · Answer

Salut nicolas

Désinstalle RegFreeze et SinEspias via ajout/suppression de programmes.
Ensuite telecharge smitfraudfix ici:
http://siri.urz.free.fr/Fix/SmitfraudFix.zip
dezippe le (clic droit dessus>extraire tout) double clic smitfraudfix.cmd
choisis l'option 1 (rechercher)
fais un copier/coller du résultat ici avec un nouveau rapport hijackthis
http://siri.urz.free.fr/Fix/SmitfraudFix.php

a+

Utilisateur anonyme · Answer

re

double clic sur le fichier smitfraudfix.
Une fenetre va s'ouvrir et te proposer plusieurs choix, tape 1 et valide avec la touche Entrée.
Ensuite le bloc note va s'ouvrir, copie et colle le contenu ici.

a+

Utilisateur anonyme · Answer

ok, maintenant remet un rapport hijackthis et je te met la manip à suivre.a+

Utilisateur anonyme · Answer

SalutImprime, ou enregistre la manip dans un fichier txt (bloc notes, par exemple) pour etre sur ne rien oublier et de tout faire dans l'ordre.Avant de commencer quoi que ce soit, il est important que tu fasses ceci:Déconnecte toi d'internet et ferme tout les programmes en cours.Redémarre en mode sans échec Redemarre le pc, laisse passer l'écran du bios, puis tapote sur la touche F8 avant qu'apparaisse l'écran de chargement de windows.  Choisis le mode sans échec dans les options et valide avec entrée.Rend visible les fichiers cachés et systeme panneau de configuration > options des dossiers > onglet affichage Cocher la case devant " afficher les fichiers et dossiers cachés "Décocher la case devant " masquer les extentions des fichiers dont le type est connu" Décocher la case devant " masquer les fichiers protégés du système"clic sur [Appliquer] puis sur [ok] pour valider/!\ Ne pas oublier une fois le nettoyage terminé de faire l'inverse pour recacher les fichiers._-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_ Lance hijackthis et clic sur [Do a system scan only]cocher la case au début des lignes suivantes:R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://searchbar.findthewebsiteyouneed.com R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://searchbar.findthewebsiteyouneed.com R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://searchbar.findthewebsiteyouneed.com R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html F2 - REG:system.ini: Shell=explorer.exe "C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm00001.exe" O4 - HKLM\..\Run: [enewsletterpro] C:\windows\enewsletterpro.exe O4 - HKLM\..\Run: [banmanpro] C:\windows\banmanpro.exe O4 - HKLM\..\Run: [Sin Espias] C:\Program Files\SinEspias\No-Spy.exe /autorun O4 - HKLM\..\Run: [stnospy] C:\Program Files\SinEspias
o-spy.exe /autorun O4 - HKCU\..\Run: [Shell] "C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm00001.exeO9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\webelated.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\webelated.htm valider en cliquant sur le bouton [Fix checked]-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_ Recherche et supprime ces fichiers ou dossiers:Supprimer les fichiers en suivant le chemin des fichiers infectés si possible, plutot que d'utiliser la fonction "Rechercher", pour éviter un maximum le risque d'erreurs. S'ils sont présents, supprime ces fichiers ou dossiers:C:\windows\enewsletterpro.exe C:\windows\banmanpro.exe C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm00000.exe C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm00001.dll C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm00001.exe C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm00002.dll C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders	mp.tmp-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_Ensuite, tres important::: Supprimer les fichiers temporaires, susceptibles de contenir des virus ou spywares :: Vider tout le contenu des dossiers Temp :ils se trouvent ici:* C:\Documents and Settings	on compte\Local Settings\Temp* C:\Documents and Settings	ous les autres comptes\Local Settings\Temp* C:\Windows\Temp Vider le contenu du dossier Prefetch :il se trouve ici:* C:\WINDOWS\Prefetch <= supprimer tout ce qui se trouve à l'intérieur, sauf le fichier layout.ini Vider le cache de tous tes navigateurs et supprimer les cookies:Pour Internet Explorer:* Panneau de configuration >> Options internet >> Onglet "Général"- Clic sur [supprimer les cookies]- Clic sur [Supprimer les fichiers] et coche la case "Supprimer tout le contenu hors connexion"Valide avec ok* Ne pas oublier de vider la corbeille !-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_Ensuite, relance smitfraudfix et choisis l'option 2, et accepte le nettoyage du registre quand il te le sera demandé.-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_Redemarre normalement ton pc, et ensuite  poste un nouveau rapport hijackthis -_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_Si ton antivirus, passe en mode sans echec, profites en pour faire un scan complet dans ce mode.Si tu as des antispywares comme spybot, adaware.. passe les aussi, n'oublie pas de faire leur mises à jour avant de commencer les manipsa++

Utilisateur anonyme · Answer

Apparement ca a l'air ok, juste un doute sur ce fichier:
C:\AOLMICONK2.EXE
Fait le annalyser ici:
http://www.virustotal.com/xhtml/virustotal_en.html
Une fois sur le site, clic sur parcourir et selectionne C:\AOLMICONK2.EXE puis valide et clic sur send.
Attend un peu et un rapport sera généré, copie et colle le ici.

Utilisateur anonyme · Answer

Apparement il est sain, tu peux scanner ton pc si tu veux, histoire de verifier que tout est ok:

Quelques av en lignes ici:

http://webscanner.kaspersky.fr/
http://www.bitdefender.fr
http://housecall.trendmicro.com
http://www.pandasoftware.com/activescan/fr/activescan_principal.htm
http://support.f-secure.com/enu/home/ols.shtml
http://fr.mcafee.com/root/mfs/default.asp

Fais ton choix...

a+

Virus infecté par spy sheriff

7 réponses

Discussions similaires