[Virus] internet bizarre

Question

Bonjour,depuis ce matin, ma connexion internet se comporte bizarrement :> pour certains sites (ex : google.fr) pas de problème ça marche comme d'hab> pour d'autres, impossible de me connecter (ex : foolstep.com)Mon antivirus refuse de s'updater (voilà pourquoi je pense à un virus) et ne trouve rien quand je scanne.Je suis chez neuf telecom (neufbox) sous XP SP1, j'utilise firefox, et mon antivirus est antivir guard.J'ai lancé un hijack, voici le log :Logfile of HijackThis v1.99.1Scan saved at 22:29:29, on 21/02/2006Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\SYSTEM32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\System32\Ati2evxx.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\SYSTEM32\Ati2evxx.exeC:\WINDOWS\Explorer.EXEC:\Program Files\Messenger Plus! 3\MsgPlus.exeC:\Program Files\Java\jre1.5.0\bin\jusched.exeC:\WINDOWS\System32	askswitch.exeC:\Program Files\AntiVir PersonalEdition Classic\avgnt.exeC:	hemeGold55\CursorXP\CursorXP.exeC:\WINDOWS\System32\ctfmon.exeC:\Program Files\AntiVir PersonalEdition Classic\sched.exeC:\Program Files\AntiVir PersonalEdition Classic\avguard.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\Fast.exeC:\Program Files\Mozilla Firefox\firefox.exeC:\Documents and Settings\Laurent\Bureau\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.neuf.frR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dllO2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FlashGet\jccatch.dllO3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWndO4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe"O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0\bin\jusched.exeO4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\System32	askswitch.exeO4 - HKLM\..\Run: [FastUser] C:\WINDOWS\System32\fast.exeO4 - HKLM\..\Run: [UIUCU] C:\DOCUME~1\Laurent\LOCALS~1\Temp\UIUCU.EXE -CLEAN_UP -SO4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -kO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [UpgConfVer] "C:\Program Files\Panda Software\Panda Platinum Internet Security\UpgConf.exe" /v:8.05.02O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /minO4 - HKCU\..\Run: [CursorXP] C:	hemeGold55\CursorXP\CursorXP.exe -sO4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe" /WinStartO4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exeO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions presentO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel presentO8 - Extra context menu item: Download All by FlashGet - C:\Program Files\FlashGet\jc_all.htmO8 - Extra context menu item: Download using FlashGet - C:\Program Files\FlashGet\jc_link.htmO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin
pjpi150.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin
pjpi150.dllO9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exeO9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exeO16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_1_0_0_44.cabO16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by24fd.bay24.hotmail.msn.com/resources/MsnPUpld.cabO16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1098621189546O17 - HKLM\System\CCS\Services\Tcpip\..\{B3745A68-EB80-4B32-BD1E-5DB681F8618D}: NameServer = 212.27.32.176,212.27.32.177O17 - HKLM\System\CCS\Services\Tcpip\..\{F86DF22F-3E8F-4093-9DFC-CD06CB1645B0}: NameServer = 80.118.196.42 80.118.192.112O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exeO23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exeO23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exeO23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

quick157 · Answer

Salut,

Je laisse l'analyse Hijackthis aux pros.

En attendant, tu peux éventuellement faire une analyse en ligne à cette adresse :

http://webscanner.kaspersky.fr/

D'autre part, tes mises à jour via windows update ne sont pas effectuées.

Bien à toi

Laurent bobo · Answer

Merci,
Mince, j'aurais du faire les updates régulierement, car là le site est bloqué, je ne peux y accéder.
d'ailleurs le SP2 est il indispensable ?

Je vais tenter un scan a l'adresse que tu me donne.

balltrap34 · Answer

salut je vois deja deux nti virus lancer pas bon desactive en un

ben13010 · Answer

salut

y'a un truc bizarre

tu dis que ton fai c'est neuftel

cette dns c'est free

O17 - HKLM\System\CCS\Services\Tcpip\..\{B3745A68-EB80-4B32-BD1E-5DB681F8618D}: NameServer = 212.27.32.176,212.27.32.177

et celle ci , c'est neuf

O17 - HKLM\System\CCS\Services\Tcpip\..\{F86DF22F-3E8F-4093-9DFC-CD06CB1645B0}: NameServer = 80.118.196.42 80.118.192.112

je te conseille de desinstaller flashget (vreolé ) et de le remplacer par free download manager

http://www.clubic.com/telecharger-fiche12841-free-download-manager.html

Laurent bobo · Answer

pour les trucs en double, panda c'est mon ancien antivirus,  et free, c'est mon ancien FAI, tous les deux désinstalés.comment je les vire ? à partire de hijack ?

quick157 · Answer

Salut,

Fait un nettoyage du registre avec Regcleaner que tu trouveras ici :

http://www.01net.com/windows/Utilitaire/nettoyeurs_et_installeurs/fiches/4894.html

Une fois installé, tu vas dans outils / nettoyage du registre / tout faire. Tu supprimes tout ce qu'il trouve (une sauvegarde automatique est effectué au cas où).

Bien à toi

Laurent bobo · Answer

Fini le Scan de kaspersky , ça donne ça :D :
Pas de logiciel malveillant détecté. Les sections analysées sont SAINES.

OK j'envoie regcleaner nettoyer ma base de registre
(j'ai pas pu le telecharger sur ton lien, je l'ai trouvé aileurs, j'ai la version 4.3.780

quick157 · Answer

Après le nettoyage, relance ton pc.D'autre part, comme le faisait remarquer Balltrap, tu as 2 antivirus sur ton pc, faut en désinstaller un, y'a risque de conflit.

quick157 · Answer

Supprime le répertoire "Panda Software" manuellement et relance regcleaner puis ton pc.

balltrap34 · Answer

salut :

****************************************************************
► imprime ceci pour ne rien oublier et tous faire
tous faire dans l ordre imperativement
****************************************************************
► tous da bord telecharge ces programmes si tu ne les a pas et met les a jour mais ne les utilise pas encore et verifie que tu as les bonnes version c est imperatif

♪ ad-aware (1)version 1.06

(ici) http://www.florensac-chasse-trap.com/ section virus/logiciel de securite
voir demo
http://pageperso.aol.fr/balltrap34/adwseflash.zip
***
♪ spybot (2)version 1.4

(ici) http://www.florensac-chasse-trap.com/ section virus/logiciel de securite
tuto animée d instalation d hijackthis http://pageperso.aol.fr/balltrap34/Hijenr.gif

voir demo d utilisation
http://pageperso.aol.fr/Balltrap34/demo%20spybot.htm
***
et aussi ceci
♪ CleanUp40.exe(3)

voir demo
http://pageperso.aol.fr/balltrap34/democleanup.htm
***
♪ a2(4)

http://www.emsisoft.net/fr/
penser a le metre a jour avant de scanner le pc
***

****************************************************************

► assure toi de ceci

Affiche tous les fichiers et dossiers :
cliquer sur démarrer/panneau de configuration/option des dossiers/affichage
Cocher afficher les dossiers cacher

Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"

Décocher masquer les extensions dont le type est connu
Puis fais «Ok» pour valider les changements.

Et appliquer
****************************************************************
► vide tes fichiers temps et tempory internet file sur tous les utilisateur

utilise ceci pour le faire
♪http://pageperso.aol.fr/Balltrap34/CleanUp40.exe

****************************************************************
► relance hijack coche ces lignes et ensuite clik sur fix

O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O4 - HKLM\..\Run: [UIUCU] C:\DOCUME~1\Laurent\LOCALS~1\Temp\UIUCU.EXE -CLEAN_UP -S
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [UpgConfVer] "C:\Program Files\Panda Software\Panda Platinum Internet Security\UpgConf.exe" /v:8.05.02
O17 - HKLM\System\CCS\Services\Tcpip\..\{B3745A68-EB80-4B32-BD1E-5DB681F8618D}: NameServer = 212.27.32.176,212.27.32.177

****************************************************************
►
****************************************************************
► redemarre en mode sans echec

mode sans echec pour cela tu tapote la touche f8
des le debut de l allumage du pc sans t arreter
une fenetre vas souvrir tute deplace avec les fleches du clavier sur demarreren mode sans echec
une fois sur le bureau il ni auras pas toutes les couleurs et autres c est normal.si f8 ne marche pas utilise la touche f5
****************************************************************
► recherche et suppr ceci
C:\DOCUME~1\Laurent\LOCALS~1\Temp\UIUCU.EXE -CLEAN_UP
C:\Program Files\Panda Software<==le dossier

****************************************************************
►
****************************************************************
►passe adaware et vire tous se qu il trouve
****************************************************************
►passe spy boot et vire tous se qu il trouvent
****************************************************************
►passe a2
****************************************************************
tu vide ta poubelle et tu redemarre en mode normal et refait un hijack

et precise ou en sont tes soucis

--

Laurent bobo · Answer

Génial, je fait tout ça ce soir, et je vous dirais ou ça en est.merci beaucoup de voter aide messieurs.

balltrap34 · Answer

okia++

Laurent bobo · Answer

Bon, ça va etre chaud du slip :j'ai pu teklecharger les tools du boulot, mais je ne peux pas les updater de chez moi, ça bloque.là je galère our créer un compte a²

Laurent bobo · Answer

Alors, - vider les fichiers temp grâce a clean up, c'est bon (1.1Go de libéré)- virer les lignes indiquées c'est fait- en mode sans echec je n'ai pas trouvé le UIUCU.exe, il n'y a qu'un jusched.log dans le dossier temp, le dossier panda je l'ai effacé hier- le plus emerdant, ad aware et spybot, impossible de faire la mise à jour, ils n'ont donc rien trouvé.a² impossible de créer un compte et donc de finir l'install.Voici qd même mon log, (qui est plus court que le dernier)en espérant avoir déjà un peu avancéet merci de votre aideLogfile of HijackThis v1.99.1Scan saved at 21:04:28, on 23/02/2006Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\SYSTEM32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\System32\Ati2evxx.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\SYSTEM32\Ati2evxx.exeC:\WINDOWS\Explorer.EXEC:\Program Files\Messenger Plus! 3\MsgPlus.exeC:\Program Files\Java\jre1.5.0\bin\jusched.exeC:\WINDOWS\System32	askswitch.exeC:\Program Files\AntiVir PersonalEdition Classic\avgnt.exeC:	hemeGold55\CursorXP\CursorXP.exeC:\WINDOWS\System32\ctfmon.exeC:\Program Files\MSN Messenger\msnmsgr.exeC:\Program Files\AntiVir PersonalEdition Classic\sched.exeC:\Program Files\AntiVir PersonalEdition Classic\avguard.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\Fast.exeC:\WINDOWS\System32\wuauclt.exeC:\PROGRA~1\Lavasoft\AD-AWA~2\Ad-Aware.exeC:\Program Files\Mozilla Firefox\firefox.exeC:\Documents and Settings\Laurent\Bureau\Saloperie de virus\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.neuf.fr/R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWndO4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe"O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0\bin\jusched.exeO4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\System32	askswitch.exeO4 - HKLM\..\Run: [FastUser] C:\WINDOWS\System32\fast.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /minO4 - HKCU\..\Run: [CursorXP] C:	hemeGold55\CursorXP\CursorXP.exe -sO4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe" /WinStartO4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exeO4 - HKCU\..\Run: [a-squared] "C:\Program Files\a-squared\a2guard.exe"O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /backgroundO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions presentO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel presentO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin
pjpi150.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin
pjpi150.dllO16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://webscanner.kaspersky.fr/kavwebscan_unicode.cabO16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_1_0_0_44.cabO16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by24fd.bay24.hotmail.msn.com/resources/MsnPUpld.cabO16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1098621189546O17 - HKLM\System\CCS\Services\Tcpip\..\{F86DF22F-3E8F-4093-9DFC-CD06CB1645B0}: NameServer = 80.118.192.100 80.118.196.36O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exeO23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exeO23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exeO23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

balltrap34 · Answer

ou en sont tes soucis

Laurent bobo · Answer

Toujours le même problème, pas d'évolution :- certaines pages web sont très lentes ou refusent de s'ouvrir- les updates marchent pas- d'autre pages (comme google) marchent très bien

balltrap34 · Answer

dur fait ceciAvec le bloc-notes, ouvre le fichier : C: \WINDOWS\system32\drivers\etc\hosts et copie colle le ici

Laurent bobo · Answer

Ca va etre chaud chaud, depuis 22h30 hier, j'ai plus acces à ce forum, il est passé dans les sites qui refusent de s'ouvrir :(

Là je suis du boulot, mais ce soir je pourrais pas poster quoi que ce soit.

quick157 · Answer

Salut Laurent,Le problème d'accès au site CCM hier soir était général, ce n'est donc pas un problème suplémentaire chez toi. Tu devrais donc avoir accès ce soir.Bien à toi

Laurent bobo · Answer

Salutations !
En effet ça marche, j'ai eu une belle frayeur hier soir :)

voici le contenu du fichier demandé :

# Copyright (c) 1993-1999 Microsoft Corp.
#
# Ceci est un exemple de fichier HOSTS utilisé par Microsoft TCP/IP
# pour Windows.
#
# Ce fichier contient les correspondances des adresses IP aux noms d'hôtes.
# Chaque entrée doit être sur une ligne propre. L'adresse IP doit être placée
# dans la première colonne, suivie par le nom d'hôte correspondant. L'adresse
# IP et le nom d'hôte doivent être séparés par au moins un espace.
#
# De plus, des commentaires (tels que celui-ci) peuvent être insérés sur des
# lignes propres ou après le nom d'ordinateur. Ils sont indiqué par le
# symbole '#'.
#
# Par exemple :
#
# 102.54.94.97 rhino.acme.com # serveur source
# 38.25.63.10 x.acme.com # hôte client x

127.0.0.1 localhost

[Virus] internet bizarre

25 réponses

Votre réponse

Discussions similaires

Newsletters