INFECTION - POUVEZ VOUS M'AIDER SVP - MERCI

Résolu/Fermé
haicama Messages postés 42 Date d'inscription dimanche 13 novembre 2005 Statut Membre Dernière intervention 5 septembre 2013 - 12 févr. 2006 à 14:36
 chalenedu62 - 31 août 2007 à 13:36
Bonjour,
Depuis 15 jours, je pense être infecté par WINFIXER car j'ai une fenêtre qui s'ouvre souvent avec cette pub. Je suis presque sur de ne l'avoir jamais installé, mais puisque je ne suis pas seul à être sur ce pc, il se peut qu'une autre personne l'ai installé.
Ceci étant mon ordi est bizarre:
Il rame souvent
j'ai tout essayé, passer spybot, adware, ewido, a-quared, kaspersky, antivirus en ligne... en mode normal et en sans echec mais rien n'y fait
Ce que j'ai remarqué aussi c'est que depuis peu, lorsque je lance adware, le scan est intérrompu au bout de 30 secondes et l'ordinateur redémarre. Pour les autres utilitaires, le scan va jusqu'au bout et mon oridnateur est clean.
Spybot me retrouve souvent MAGIC CONTROL AGENT qui semble très résistant aussi
Au démarrage de windows, ewido qui est en protection en temps réél me signale "iiifd.dll", je nettoie mais il ne s'enlève pas.
en manuel, j'essaye dans le dossier :
c:/windows/system32
Autre chose, j'avais installé DAP '"Download Accelerator Plus" puis je l'avais supprimé mais lorsque je veux télécharger quelque chose avec firefoxMozilla il m'affiche le message suivant Download Accelerator could not be loaded, please press "back" button in the browser. J'ai essayé de le télécharger de nouveau et de l'installer mais j'ai toujours le même message.

Pour voir plus claire, je vous met un log:

Logfile of HijackThis v1.99.1
Scan saved at 14:34:34, on 12/02/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\ewido anti-malware\ewidoctrl.exe
C:\Program Files\ewido anti-malware\ewidoguard.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\devldr32.exe
C:\Program Files\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: ATLDistrib Object - {93C6313C-9DB4-4694-8BD0-E378C573A9AD} - C:\WINDOWS\System32\iiifd.dll
O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [KAVPersonal50] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {6E5A37BF-FD42-463A-877C-4EB7002E68AE} (Housecall ActiveX 6.5) - http://eu-housecall.trendmicro-europe.com/housecall/applet/html/native/x86/win32/activex/hcImpl.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111401/housecall.trendmicro.com/housecall/xscan53.cab
O20 - Winlogon Notify: iiifd - C:\WINDOWS\System32\iiifd.dll
O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido anti-malware\ewidoguard.exe
O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe
O23 - Service: Service Hosts (ServiceHost) - Unknown owner - C:\WINDOWS\shost.exe (file missing)
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Merci pour votre aide

9 réponses

ben13010 Messages postés 3356 Date d'inscription vendredi 24 septembre 2004 Statut Contributeur Dernière intervention 5 octobre 2012 387
12 févr. 2006 à 15:06
salut


pour celui la (023 ) faut desactiver le service
Démarrer -> Exécuter -> tape services.msc, et supprime le service Service: Service Hosts
tu double clique sur cette ligne

fais arreter puis desactiver
redemarre et reposte

O23 - Service: Service Hosts (ServiceHost) - Unknown owner - C:\WINDOWS\shost.exe (file missing)


ensuite tu suppriem si present

C:\WINDOWS\shost.exe (file missing)

verifie bien l'ortographe !

-----------------------------------------------------


télécharge : process xp ici:
http://www.sysinternals.com/files/procexpnt.zip
decompresse le



Déconnecte toi
Ferme tous les programmes

double clic sur processxp.exe

* Dans la fenêtre principale de processxp double clic sur winlogon.exe
Dans la nouvelle fenêtre qui s'ouvre clique sur threads
sélectionne seulement les lignes qui contiennent la dll iiifd.dll puis clique sur kill pour chacune des lignes trouvées.
une fois fait, valide avec ok

* Dans la fenêtre principale de processxp double clic sur explorer.exe
Dans la nouvelle fenêtre qui s'ouvre clique sur threads
sélectionner seulement les lignes qui contiennent la dll iiifd.dll puis clique sur kill pour chacune des lignes trouvées.
une fois fait, valide avec ok


ensuite tu ouvre la kill box

Télécharge: Pocket Killbox ici
http://www.downloads.subratam.org/KillBox.exe


Démo d utilisation (merci a Balltrap34 pour cette réalisation) :
http://pageperso.aol.fr/balltrap34/killbox.htm

tu colle les dll suspectes et tu les effaces
Comme ceci:

Double clic sur killbox.exe (Pocket Killbox)

- coche: delete on reboot
- Dans "Full Path of File to Delete"
copie et colle: C:\WINDOWS\System32\iiifd.dll


- clique sur la croix rouge
- une fenêtre va apparaître pour confirmation clique sur YES
- une seconde fenêtre te demande si tu veux redémarrer clique sur YES

Laisse le pc redémarrer.
Et après reposte un log HijackThis.
0
ben13010 Messages postés 3356 Date d'inscription vendredi 24 septembre 2004 Statut Contributeur Dernière intervention 5 octobre 2012 387
12 févr. 2006 à 15:11
j'arrive pas a comprendre comment tu fais pour etre infecté si souvent...

je vois que ton av c'est kaspersky mais est il actif ?

si tu as installe une demo valable 1 mois , ensuite , à l'issu de ce mois , tu n'est plus protégé ( plus de protection en temps reel )

mieux vaut avoir avast toujours actif que kaspersy desactivé


si kaspersky est actif , alors je comprend encore bien moins comment tu fais pour etre infecté aussi souvent ...
0
haicama Messages postés 42 Date d'inscription dimanche 13 novembre 2005 Statut Membre Dernière intervention 5 septembre 2013
12 févr. 2006 à 16:10
re bonjour,
merci de ta réponse
mais est-ce que je dois procéder à la manipulation en mode sans échec ou en mode normal
pour le kaspersky, il est actif normalement mais comment m'en assurer
en tt cas, il se lance en démarrage et il procéde aux mises à jour automatiquement.
je suis presque sur qu'il est actif en tt cas

merci de ton aide
0
ben13010 Messages postés 3356 Date d'inscription vendredi 24 septembre 2004 Statut Contributeur Dernière intervention 5 octobre 2012 387
12 févr. 2006 à 16:41
oui si il fais les mises ajour , il est actif


pour les manip fais les en mode sans echec de perference , sinon en mode normal ca devrai marcher aussi
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
haicama Messages postés 42 Date d'inscription dimanche 13 novembre 2005 Statut Membre Dernière intervention 5 septembre 2013
14 févr. 2006 à 23:01
Bonsoir,
1000 merci super ben, je pense que tout est clean
je suis désolé de ne pas avoir répondu rapidement car je n'étais plus chez moi ces jours ci
bref, j'ai effectué ce que tu m'a dis en mode normal, et ça tourne mieux. Le seul souçi demeure avec le téléchargement sur mozilla firefox et le message de DAP. As tu une solution?
En fait, j'avais installé DAP '"Download Accelerator Plus" puis je l'avais supprimé mais lorsque je veux télécharger quelque chose avec firefoxMozilla il m'affiche le message suivant Download Accelerator could not be loaded, please press "back" button in the browser. J'ai essayé de le télécharger de nouveau et de l'installer mais j'ai toujours le même message.

Bref voilà mon log:

Logfile of HijackThis v1.99.1
Scan saved at 22:55:01, on 14/02/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\devldr32.exe
C:\WINDOWS\System32\cisvc.exe
C:\Program Files\ewido anti-malware\ewidoctrl.exe
C:\Program Files\ewido anti-malware\ewidoguard.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\Freeplayer\vlc\vlc.exe
C:\WINDOWS\system32\cidaemon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [KAVPersonal50] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {6E5A37BF-FD42-463A-877C-4EB7002E68AE} (Housecall ActiveX 6.5) - http://eu-housecall.trendmicro-europe.com/housecall/applet/html/native/x86/win32/activex/hcImpl.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111401/housecall.trendmicro.com/housecall/xscan53.cab
O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido anti-malware\ewidoguard.exe
O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

merci l'ami et bonne soirée
0
ben13010 Messages postés 3356 Date d'inscription vendredi 24 septembre 2004 Statut Contributeur Dernière intervention 5 octobre 2012 387
14 févr. 2006 à 23:12
download accelerator plus contient des spy

remplace le par free download manger qui lui est dsain ( il fonctionne de la meme maniere )

http://www.clubic.com/telecharger-fiche12841-free-download-manager.html



il faudra installer une extention pour que free download accelarator soit integrée au menu contextuel de firefox

c'est une extention ( tres connu ) qui s'appelle flashgot

https://addons.mozilla.org/extensions/moreinfo.php?id=220&application=firefox


sinon ton log hiajck est propre pour moi

bye
0
jpdeclermont Messages postés 1790 Date d'inscription mercredi 7 décembre 2005 Statut Membre Dernière intervention 3 septembre 2006 382
14 févr. 2006 à 23:32
bonsoir tout le monde,

--> Haicama,

pour ton problème DAP, fais un nettoyage de la base de registre avec Ccleaner ou Regcleaner
Ccleaner ici :
http://www.ccleaner.com/ccdownload.asp

Tutorial ici:
http://www.vulgarisation-informatique.com/nettoyer-windows-ccleaner.php

Regcleaner ici :
http://www.01net.com/windows/Utilitaire/nettoyeurs_et_installeurs/fiches/4894.html

Tuto ici:
http://www.softastuces.com/tuto/maint/regcleaner/clean.php

Tu utlises quelle version de firefox ?
regarde dans Outils --> Extensions si tu as une extension DAP et désinstalle-la

Si tu as la version 1.5, regarde aussi dans :
Outils --> Options --> onglet Téléchargement --> clique sur Afficher et modifier les actions, regarde dans la liste si tu n'as pas des "enregistrer avec DAP" ou qque chose comme ça


-------------------------------
... WinErr 01B : Erreur illégale - Windows ne vous a pas autorisé à avoir cette erreur
0
haicama Messages postés 42 Date d'inscription dimanche 13 novembre 2005 Statut Membre Dernière intervention 5 septembre 2013
14 févr. 2006 à 23:56
salu les amis,

c'est bon tt est ok

problème résolu et bonne nuit

à bientôt et 1000 mercis
0
Salut !!! je voudrais avoir des conseils pour réaliser le coup Matador.



répondez moi svp !!! merci
0