NavHelper Résolu

Question

Bonjour, bonjour, 

Mes parents ont eu un message d'alerte de Norton, pour leurs signaler un problème sur leur PC. Faisant cas de rien (des fois ca marche!), il on continué de surfé sans problème. Mais au rédémarrage l'ordi est lent. La page d'acceuil met de longue minutes a s'afficher pour rien, puisque que tout est lent ou bloqué.

La fenetre de l'anti virus affiche

nom de l'objet :
C:\RECYCLER\S-1-5-2...\NHelper.dll

nom du virus :
Security Risk.NavHelper

Action éfectué :
L'acces au fichier à été refusé
Configuration: Windows XP / Internet Explorer 8.0

gen-hackman · Answer

salut

&#9654 Télécharge ici : USBFIX sur ton bureau 

branche tous tes periphériques sans les ouvrir

/!\ Désactive provisoirement et seulement le temps de l'utilisation d'USBFIX, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur l'icône Usbfix située sur ton Bureau.
Sur la page, clique sur le bouton :

&#9654 choisi l option Suppression

&#9654 UsbFix scannera ton pc , laisse travailler l outil.

&#9654 Ensuite post le rapport UsbFix.txt qui apparaitra avec le bureau .

&#9654 Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

coyote_vert · Answer

J'ai essayer plusieur fois. Le résultat est toujours le même. 
La page d'acceuil se charge sans vraiment finir. Un message d'erreur de scirpte s'affiche, que je repond oui ou non, le résultat est le même. 
Impossible d'ouvrir une page web. Une fentre d'erreur s'affiche qui indique qu'il va fermé internet.

Comment faire ???

gen-hackman · Answer

prends-le d'un autre pc ou essaie en redemarrant ton pc en mode sans echec avec prise en charge reseau

coyote_vert · Answer

gen-hackman · Answer

re,

Télécharge ici :OTL

&#9654 enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.

&#9654 Coche les 2 cases Lop et Purity

&#9654 Coche la case devant tous les utilisateurs

&#9654 règle age du fichier sur "60 jours"

&#9654 dans les 6 onglets de la moitié gauche , mets tout sur "tous"

ne modifie pas ceci : 

"fichiers créés" et "fichiers Modifiés" 

&#9654Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

juste au niveau du bouton , en fin de chargement du fichier , Un lien de cette forme apparaitra :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

&#9654 Copie ce lien dans ta réponse.

&#9654&#9654 Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.

coyote_vert · Answer

Voila, voila ...


OTL.txt :
http://www.cijoint.fr/cjlink.php?file=cj201102/cijPnsUVkf.txt

Extra.txt
http://www.cijoint.fr/cjlink.php?file=cj201102/cijLin2hJ2.txt

gen-hackman · Answer

salut

DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!! (car l'outil est detecté a tort comme infection contenant un module qui sert à arrêter des processus , et un autre servant à prendre des droits dans le registre pour effectuer des suppressions)

&#9654 Télécharge ici :List_Kill'em

 et enregistre le sur ton bureau 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur le raccourci sur ton bureau pour lancer l'installation

Laisse coché :

&#9830 Executer List_Kill'em

une fois terminée , clic sur "terminer" 

choisis l'option Search

&#9654 laisse travailler l'outil

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal ,c'est une recherche supplementaire de fichiers cachés , le programme n'est pas bloqué.

Attention : sous 64 bits il se peut que l'outil bloque anormalement longtemps arrivé à 95% à l'affichage "2nd Check", relance-le avec le raccourci sur le bureau sans l'arreter , puis clique sur le tout petit "X" en bas de la fenetre , ca le debloquera pour finir son scan

&#9654 Poste les rapports qui apparaitront sur ton bureau

&#9654&#9654&#9654 NE LES POSTE PAS SUR LE FORUM 

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/ 

&#9654 Clique sur Parcourir et selectionne , un par un , les fichiers concernés apparus sur ton bureau 

&#9654 Clique sur Ouvrir. 

&#9654 Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.fr/cjlink.php?file=265368/cijSKAP5fU.txt 

est ajouté dans la page. 

&#9654 Copie ce lien dans ta réponse. 

&#9654 Fais de même avec more.txt qui se trouve sur ton bureau

coyote_vert · Answer

Salut

Pour etre sur de bien avoir tout désactivé antivirus et pare feu. J'ai désactivé le centre de sécurité. 
Comme indiqué ici : https://www.commentcamarche.net/faq/6916-desactiver-le-centre-de-securite-de-windows-xp

Voila les deux dossiers :

List'em
>> http://www.cijoint.fr/cjlink.php?file=cj201102/cijg8bVyeN.txt 

More
>> http://www.cijoint.fr/cjlink.php?file=cj201102/cijaLtNJy7.txt

gen-hackman · Answer

Pour etre sur de bien avoir tout désactivé antivirus et pare feu. J'ai désactivé le centre de sécurité. 

rien à voir , tu as juste empeché windows de t'avertir si ton antivirus ou parefeu etait desactivé....

et pour preuve , norton est encore actif :

AV : Norton Internet Security 2006 2006 [ Enabled | Updated ]

=================================

recommence , l'outil n'a pas pu fouiller le registre

coyote_vert · Answer

Je comprend plus rien. Grrrr

Quand je met ma souris sur la p'tit icone Norton, vers l'horloge. La petit fênetre indique "Norton Internet Security - Désactivé"

J'ai désactivé le pare feu. 
Panneau de conf > Pare feu Windows > Désactivé


Quand j'ouvre le centre de sécutité le pare feu est désactivé, mais il m'indique que l'antivirus est activé.


Y'a un truc que je dois pas faire comme il faut.

Et si je supprime les programme, Norton et Symantec, je serais plus enbeter par ce fichus antivirus ?

gen-hackman · Answer

non refais le scan en mode sans echec avec prise en charge reseau

ils ne sont pas actifs dans ce mode

coyote_vert · Answer

Voici les deux dossiers : 

List'em 
>> http://www.cijoint.fr/cjlink.php?file=cj201102/cijd9iSf9M.txt

More 
>> http://www.cijoint.fr/cjlink.php?file=cj201102/cij4S54D1Q.txt

gen-hackman · Answer

ATTENTION !! ce script est réservé uniquement à cette machine , ne pas reproduire !!!!!

&#9654 Relance List&Kill'em,avec le raccourci sur ton bureau.

mais cette fois-ci :

&#9654 choisis l'option Tools puis Script

une fenêtre noire va s'ouvrir brievement , et List_Kill'em va se fermer

un nouveau document texte s'ouvre , copie/colle ce en gras si dessous :



FILE:C:\Program Files\kuxsfnub
REM:"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "SunJavaUpdateSched"
REM:"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "QuickTime Task"
REM:"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "iTunesHelper"
PORT:1900:UDP
PORT:2869:TCP


&#9654 enregistre le document texte avec l'onglet fichier (enregistrer) de ce dernier , puis ferme-le

laisse travailler l'outil

&#9654 poste le resultat
 
&#9654 Ferme List_Kill'em

Note : le rapport est sur ton bureau : Script_(4 chiffres).txt

=============================================

&#9654 Relance List_Kill'em,avec le raccourci sur ton bureau.

mais cette fois-ci :

&#9654 choisis l'Option Clean

&#9654&#9654&#9654 Ne clique qu'une seule fois sur le bouton !!

laisse travailler l'outil.

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

&#9654 colle le contenu dans ta reponse 

&#9654 envoie le zip Upload_ta-session_List_Kill'em.zip via cijoint.fr

coyote_vert · Answer

Voila pour le script : 

¤¤¤¤¤¤¤¤¤¤ Script of List_Kill'em by gen-hackman ¤¤¤¤¤¤¤¤¤¤

User : utilisateur (Administrateurs) 
Update on 07/02/2011 by g3n-h@ckm@n ::::: 13.00
Start at: 10:41:05 | 09/02/2011

Genuine Intel(R) CPU           T2050  @ 1.60GHz
Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Disabled
AV : Norton Internet Security 2006 2006 [ Enabled | Updated ]
FW : Norton Internet Security 2006[ (!) Disabled ]2006

C:\ -> Disque fixe local | 66,21 Go (35,95 Go free) | NTFS
D:\ -> Disque fixe local | 7,29 Go (554,64 Mo free) [HP_RECOVERY] | FAT32
E:\ -> Disque CD-ROM
F:\ -> Disque amovible | 1,89 Go (420,34 Mo free) | FAT
 

¤¤¤¤¤¤¤¤¤¤ Processes :
 

¤¤¤¤¤¤¤¤¤¤ Added Keys :
 

¤¤¤¤¤¤¤¤¤¤ Removed Keys :
 
Deleted : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "SunJavaUpdateSched"    
Deleted : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "QuickTime Task"    
Deleted : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "iTunesHelper"    

¤¤¤¤¤¤¤¤¤¤ Ports closed :
 
closed  : 1900:UDP    
closed  : 2869:TCP   

¤¤¤¤¤¤¤¤¤¤ File|Folder deleted :
 
Deleted !! : C:\Program Files\kuxsfnub   

¤¤¤¤¤¤¤¤¤¤ Drivers deleted :
 
 
 

¤¤¤¤¤¤¤¤¤¤ Object Restored :
 

¤¤¤¤¤¤¤¤¤¤ Folder List :
 

¤¤¤¤¤¤¤¤¤¤ Read File :
 

¤¤¤¤¤¤¤¤¤¤ Sign control :
 

¤¤¤¤¤¤¤¤¤¤ Key Look :
 

End at 10:42:52

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤ 


Par contre quand je fais Clean l'outil se bloqe a 10 % et m'indique fichier spcécifié introuvable

Es ce que j'aurais du le faire en mode sans echec ?

gen-hackman · Answer

s'il bloque , oui

coyote_vert · Answer

Le doc Kill'em :

¤¤¤¤¤¤¤¤¤¤ Kill'em by g3n-h@ckm@n 2.1.3.5 ¤¤¤¤¤¤¤¤¤¤ 
 
User : Administrateur () 
Update on 07/02/2011 by g3n-h@ckm@n ::::: 13.00
Start at: 21:46:23 | 09/02/2011

Genuine Intel(R) CPU           T2050  @ 1.60GHz
Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Enabled
AV : Norton Internet Security 2006 2006 [ Enabled | Updated ]
FW : Norton Internet Security 2006[ (!) Disabled ]2006

C:\ -> Disque fixe local | 66,21 Go (36,88 Go free) | NTFS
D:\ -> Disque fixe local | 7,29 Go (554,64 Mo free) [HP_RECOVERY] | FAT32
E:\ -> Disque CD-ROM
 
Boot: Safeboot  
Killed : PID 800 'iexplore.exe'
Killed : PID 800 'iexplore.exe'
Killed : PID 808 'iexplore.exe'
Killed : PID 780 'explorer.exe'
Killed : PID 780 'explorer.exe'
 

¤¤¤¤¤¤¤¤¤¤ Files/folders : 

Quarantined & Deleted !! : C:\Documents and Settings\utilisateur\Application Data\xssend2\svcnost.exe   
Quarantined & Deleted !! : C:\Documents and Settings\All Users\Application Data\hpzinstall.log  
Quarantined & Deleted !! : C:\WINDOWS\002633_.tmp   
 
¤¤¤¤¤¤¤¤¤¤ Hosts ¤¤¤¤¤¤¤¤¤¤

127.0.0.1       localhost   

¤¤¤¤¤¤¤¤¤¤ Registry ¤¤¤¤¤¤¤¤¤¤


¤¤¤¤¤¤¤¤¤¤ Internet Explorer ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page	=         	http://go.microsoft.com/fwlink/?LinkId=69157
Local Page	=         	C:\WINDOWS\system32\blank.htm
Default_Search_URL	=         	http://go.microsoft.com/fwlink/?LinkId=54896
Default_Page_URL	=         	http://go.microsoft.com/fwlink/?LinkId=69157
Search Page	=         	http://go.microsoft.com/fwlink/?LinkId=54896

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page	=         	https://www.google.com/?gws_rd=ssl
Local Page	=         	C:\WINDOWS\system32\blank.htm
Search Page	=         	http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

¤¤¤¤¤¤¤¤¤¤ Security Center ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center] 
FirstRunDisabled	=      	1 (0x1) 
AntiVirusDisableNotify	=      	0 (0x0) 
FirewallDisableNotify	=      	0 (0x0) 
UpdatesDisableNotify	=      	0 (0x0) 
AntiVirusOverride	=      	0 (0x0) 
FirewallOverride	=      	0 (0x0) 
InternetSettingsDisableNotify	=      	0 (0x0) 
AutoUpdateDisableNotify	=      	0 (0x0) 
UacDisableNotify	=      	0 (0x0) 
AntispywareOverride	=      	0 (0x0) 
 
¤¤¤¤¤¤¤¤¤¤ Services ¤¤¤¤¤¤¤¤¤¤

 Ndisuio -> Start = 3   
 EapHost -> Start = 2   
 Ip6Fw -> Start = 2   
 SharedAccess -> Start = 2   
 wuauserv -> Start = 2   
 wscsvc -> Start = 2   
 
 ¤¤¤¤¤¤¤¤¤¤ Winlogon
 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 
 AutoRestartShell	=      	1 (0x1) 
 Shell	=         	explorer.exe 
 Userinit	=         	C:\WINDOWS\System32\userinit.exe, 
 System	=         	 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
Disk Cleaned
Prefetch cleaned 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

FEATURE_BROWSER_EMULATION | svchost : 
====================================
 

Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 5.1.2600 Disk: HTS54108 rev.MB4O -> Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0 

device: opened successfully
user: MBR read successfully

Disk trace:
called modules: ntoskrnl.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll iaStor.sys 
C:\WINDOWS\system32\drivers\iaStor.sys Intel Corporation Intel Matrix Storage Manager driver
1 nt!IofCallDriver[0x804E13B9] -> \Device\Harddisk0\DR0[0x86F6F788]
3 CLASSPNP[0xF7684FD7] -> nt!IofCallDriver[0x804E13B9] -> \Device\0000007f[0x86F75B70]
5 ACPI[0xF75DA620] -> nt!IofCallDriver[0x804E13B9] -> \Device\Ide\IAAStorageDevice-0[0x86F70030]
kernel: MBR read successfully
user & kernel MBR OK 


End of Scan : 21:49:22

 
 
 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
 
Et voila pour le zip :
http://www.cijoint.fr/cjlink.php?file=cj201102/cij2NgdoOT.zip

gen-hackman · Answer

fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.


&#9654 Télécharge ici :

Malwarebytes  

&#9654 Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

(NB : Si tu as un message d'erreur t'indiquant qu'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : COMCTL32.OCX

&#9654 Potasses le Tuto pour te familiariser avec le prg :


( cela dit, il est très simple d'utilisation ).

relance malwarebytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

&#9654 Lance Malwarebyte's .

Fais un examen dit "Complet" .

&#9654 Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
&#9654 à la fin tu cliques sur "résultat" .
&#9654 Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

&#9654 Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !


&#9654 Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

coyote_vert · Answer

J'ai fait une bétise ...

Comme j'ai pas d'acces a internet j'ai téléchargé le logicel via un autre ordi et sans mise a jour. J'ai donc suivit tes instructions, tout comme il faut. Il fallais redémarrer l'ordi se que j'ai fait, juste apres avoir enregistré le rapport.

J'ai ouvert Malwarebyte, il ma proposé une mise a jour j'ai cliqué sur OK. La mise a jour efféctué y'a plus rien dans le logs.

Sinon le rapport que j'ai "sauvé" le voila.

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 5363

Windows 5.1.2600 Service Pack 3 (Safe Mode)
Internet Explorer 8.0.6001.18702

10/02/2011 10:41:34
mbam-log-2011-02-10 (10-41-34).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 257614
Temps écoulé: 57 minute(s), 25 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 10

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\StartMenuLogoff (PUM.Hijack.StartMenu) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\documents and settings\utilisateur\local settings\Temp\1B7.tmp (Trojan.Hiloti) -> Quarantined and deleted successfully.
c:\documents and settings\utilisateur\local settings\Temp\541.tmp (Trojan.Hiloti) -> Quarantined and deleted successfully.
c:\documents and settings\utilisateur\local settings\Temp\543.tmp (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\program files	emp\11tmp.exe (Trojan.Hiloti) -> Quarantined and deleted successfully.
c:\system volume information\_restore{b0d22be2-a227-4068-a48a-e6b79217b4ba}\RP458\A0050840.exe (Trojan.Hiloti) -> Quarantined and deleted successfully.
c:\system volume information\_restore{b0d22be2-a227-4068-a48a-e6b79217b4ba}\RP459\A0055812.exe (Trojan.Hiloti) -> Quarantined and deleted successfully.
c:\system volume information\_restore{b0d22be2-a227-4068-a48a-e6b79217b4ba}\RP459\A0056781.dll (Trojan.Hiloti) -> Quarantined and deleted successfully.
c:\WINDOWS\dbdmge1n.dll (Trojan.Hiloti) -> Quarantined and deleted successfully.
c:\documents and settings\utilisateur\menu démarrer\pages annuaire.lnk (Adware.GibMedia) -> Quarantined and deleted successfully.
c:\documents and settings\utilisateur\local settings\Temp\0.6028657439388222.exe (Trojan.Dropper) -> Quarantined and deleted successfully.


Es ce que ce soir, je refais la même chose avec la mise a jour ???


Signé : Le boulet

gen-hackman · Answer

salut regarde dans l'onglet rapport/logs de malwarebytes , l'avant dernier en date

coyote_vert · Answer

Logs est vide, y'a rien. Même pas le rapport que je t'ai envoyer.

NavHelper

35 réponses

Newsletters