Connexion Internet impossible

Question

Bonjour,

j'ai déjà effectué pas mal de nettoyage dans mon PC infecté par des virus depuis quelques temps, tout fonctionnait correctement, mais depuis 15 jours, je n'ai plus de connexion internet.
J'ai nettoyé le PC, ad aware, avast, spybot, tout ce qui a pu m'aidé jusqu'à présent pour résoudre mes problèmes et rien, aucun virus n'a été détecté.
Petite précision, le PC en question ne se connecte pas, mais un portable en réseau arrive sans problème à se connecter...Il n'y a donc apparemment pas de problème de prises ou autre. J'avais zone alarm sur le Pc, je l'ai désinstallé,car j'avais un problème d'entente avec avsast, et le problème est toujours là...
Que faire, merci de m'aider.

Rumbacampus · Answer

Salut

Tu ne donnes aucune information, il est donc impossible de t'aider.
Précise ton OS, ton matériel, ta configuration, ton navigateur, ton mode de connexion internet, le nouveau pare-feu utilisé...
Y-a-t'il des messages quand tu essaies de te connecter ? si oui, quels sont-ils ?
As-tu passé tes anti...en mode sans échec ?

@+

mag · Answer

Merci, merci, j'attends avec impatience...

En attendant j'ai fait une analyse du log sur hijackthis.de, et j'ai bien compris qu'il y avait des choses pas trés claires dont il faut que je me débarrasse...
Merci de ton aide, et @ +

Rumbacampus · Answer

Salut MAG

Voilà, je suis prêt…j’espère que tu as eu la patience d’attendre et que
tu n’as pas tout réinstallé…

Pour commencer, il n’est pas exclu que tes ennuis Avast/ZA soient venus de ce que ces deux logiciels peuvent contrôler les mails entrants (ZA Free ne contrôle que les mails entrants, Avast les entrants et les sortants) Il faut donc choisir le logiciel contrôleur et désactiver l’autre sur ce point (dans ce cas de figure, choisir Avast comme contrôleur)
Attention dans Avast, le bouclier “Outlook/exchange“ ne concerne que MS Outlook et MS Exchange. Pour les autres messageries (outlook express, incrédimail, pandora, etc.) c’est le bouclier “courrier electronique“.
Le bouclier correspondant ne doit être activé que si tu as le logiciel couvert, sinon, tu risque d’avoir des messages d’erreur d’Avast.
Au moment de l’installation d’Avast il faut décocher les protections résidentes non nécessaires. (Une fois Avast installé, on peut aussi modifier ça par le biais de “ajout/suppression de programmes“, il suffit de cliquer sur “désinstaller“ et de choisir l’option “modifier/supprimer“)
Il faut aussi, ensuite, que ZA soit paramètré pour autoriser les excécutifs d’Avast à aller sur internet et pour celui qui gère les Email à recevoir d’internet.

Le fait que tu n’ais plus de connexion internet peut résulter de plusieurs causes isolées ou cumulatives.

1) Si tu as désinstallé une suite Norton avec Ajout/suppression de programme, il peut rester des traces qui pertubent le bon fonctionnement d’Avast, qui peut gêner, voire bloquer la connexion. Je t’expliquerai comment désinstaller complètement Norton.
2) Cela peut résulter de vers/malwares pour lesquels des traces resteraient malgré les nettoyages effectués ou de logiciels “douteux“ installés sur ton ordi. On verra ça tout à l’heure au vu de ton log hijackthis.
3) Toutes les manips ont peut-être détérioré la pile TCP/IP ainsi que les clés winsock du registre. On verra aussi comment régler ce problème.

Commence par désinstaller Avast avec “Ajout/suppression de programme. Ensuite, sur ton autre ordinateur, télécharge :
-Les outils de désinstallation de norton :
http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/4f60eedf1156c8068525695b005ca288/1168d30686f6fdb080256fe3003757be?OpenDocument

-Zone Alarm 6.1FR sur Zebulon :
http://telechargement.zebulon.fr/58-zonealarm-61-fr.html

-Avast :
http://www.avast.com/eng/avast_4_home.html

-Jv16 Powertools:
http://telechargement.zebulon.fr/201-jv16-powertools.html

-Ccleaner :
http://www.ccleaner.com/

-Starter :
http://telechargement.zebulon.fr/185-starter.html

Pour le moment, installe seulement sur ton fixe, PowerTools, Ccleaner et Starter
Commences par lancer ccleaner va dans “options“/“avancé“ et décoches si besoin est toutes les cases. Ensuite “nettoyeur“ “windows“ tu coches toutes les cases sauf le chapitre “avancé“ en bas.
“applications“, tu coches tout.
Tu lances le nettoyage.
N’utilises pas pour l’instant les autres fonctionnalités de ce logiciel, tu verras ça plus tard, si ça t’intéresse.
En complément, tu peux aussi utiliser Cleanup voir ici :
http://www.stevengould.org/software/cleanup

On va maintenant commencer la réparation :

1) Concernant ton log hijackthis, pour pouvoir récupérer le cas échéant tes backup, tu dois mettre l’excécutif d’hijackthis dans un dossier pérenne (et pas temp, sinon, en cas de correction , tu risque de perdre les sauvegardes) Mets-le par exemple dans un dossier C:\Hijackthis…
Relance hijackthis “

2) Si tu avais une suite norton désinstallée, désinstalle Norton Ghost et autres outils Norton (tu les réinstallera ensuite si tu les utilise, au fait, pourquoi n’as-tu pas essayé de restaurer ton ordi avec Norton Ghost?) et lance les trois fichiers de désisntallation de Norton déjà téléchargés (suis les instructions du site cité plus haut)…

Ensuite, lance JV16 PowerTools. Dans “préférences“ choisis “language“/ “French“.
Puis OK, “Outils Registres“de nouveau “outils“ et “nettoyeur de registre“
Tu coches seulement “montrer les entrées ignorées“, “je veux vérifier manuellement les entrées“ et “mettre à jour….parfois“
Ensuite, “continuer“, là tu coches tout puis “démarrer“ une fois le scan fini, tu va dans “sélectionner“ et tu choisis “sélection spéciale“ “entrées qui peuvent être supprimées sans risque“ (elles sont en vert, ne pas toucher aux rouges)
Appliques.

Avant de poursuivre les manips on va maintenant choisir d’afficher tous les fichiers.
Cliques sur démarrer/panneau de configuration/option des dossiers/affichage
Coches "afficher les dossiers cachés"
Décoches la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"
Décoches "masquer les extensions dont le type est connu "
Puis fais «Ok» pour valider les changements.
(une fois la réparation terminée, il ne faudra pas oublier de remettre dans l’état initial, en tous cas pour les fichiers du système d’exploitation)

Arrêtes ton ordinateur. Redémarre en mode sans échec (touche F8 à tapoter au démarrage) puis
désinstalle “virtual bouncer“ avec“ajout/suppression de programmes“ du panneau de configuration
Tu trouveras des infos complémentaires sur ce programme ici :
http://www.symantec.fr/region/fr/techsupp/avcenter/venc/data/fr-adware.virtualbouncer.html

Désinstalle aussi “Spyspotter“ qui est un programme “douteux“ avec la fonction “ajout/suppression de programme de windows (va voir ici, Liste spyware warrior ) :
http://www.spywarewarrior.com/rogue_anti-spyware.htm

Apparemment, tu es victime aussi de “Purity Scan“ qui est censé trouver des spywares, mais qui te met les siens….(attention aux invites de scan de tous ordres, ne jamais succomber à cette tentation)
C’est long à désinstaller complètement car ce programme s’est incrusté partout et je ne fais pas confiance au programme officiel de désinstallation qu’on peut télécharger sur le site (je crains qu’il désinstalle le scanner mais pas les mouchards, ceci étant, je n’ai jamais testé…)
On va donc supprimer l’exécutif w?nword.exe qui est dans System32, il restera des traces, mais le malware ne sera plus opérationnel.
Toujours en mode sans échec, efface ce fichier.
Si tu veux nettoyer toutes les traces, va voir là toutes les possibilités :
http://sarc.com/avcenter/venc/data/adware.purityscan.html
(à faire éventuellement, mais c’est pas obligé, quand ton ordi fonctionnera correctement)

Ensuite, toujours en mode sans échec, efface manuellement les dossiers éventuellement encore visibles se rapportant à ces 3 programmes et lance JV16 PowerTools pour nettoyer le registre comme la première fois.

Puis relance ton ordinateur en mode normal.

On va ensuite désactiver la dll qrs.dll (ligne R3 qui n’est pas bonne)
Pour ce faire, va dans démarrer/“exécuter“ et tape (ou fais un copier/coller)
regsvr32 /u C:\WINDOWS\System32\w?nword.exe

Lignes 04
On va maintenant se préoccuper des programmes chargés au démarrage de windows.
Pour ce faire, le plus simple est dans un premier temps, d’utiliser “Starter“.
Ouvres starter, puis “configuration“/“options“/“langues“/“French“
Ensuite, “interface“/et décoches “show startup section tree“, appliques, puis cliques sur “démarrage“
Tu va voir tout ce qui est chargé au démarrage de windows.
Tu peux désactiver certains exécutifs qui peuvent être lancés, si besoin est, manuellement. Ca libère du CPU, même si ces éxécutifs ne sont pas dangereux.

Désactives :
BCMSMMSG.exe
Igfxtray.exe
hypmdm.exe
OSA.EXE
CROSOFT~1.NET (c’est quoi ce truc ? si tu ne connais pas et si tout fonctionne, dans quelques jours, en mode sans échec, effaces le répertoire dans “system32“ et supprime la ligne dans starter)

Effaces :
wxnkvb.exe (s’il est encore là)
spyspotter (s’il est encore là)
w?nword.exe (s’il est encore là)
VirtualBouncer.exe (S’il est encore là)
QuickTime\qttask.exe

Je te conseille aussi de régler Edonkey2000 pour qu’il ne se charge plus au démarrage.
Si tu ne sais pas comment faire, désactives la ligne correspondante dans starter.
(à mon avis, ça serait mieux de désinstaller complètement ce programme, il existe des programmes plus sûrs pour télécharger légalement...)
Fais de même pour tous les “messengers MSN & Co“

Concernant qttask.exe (qui ne sert strictement à rien) empêche-le de se charger dans le system Tray avec le programme quicktime. Si ça ne fonctionne pas, (il risque de se réinstaller à chaque fois que tu utiliseras quicktime) va dans le répertoire de quicktime et neutralise le fichier (il suffit de rajouter_au nom)

Concernant hypmdm.exe, regardes avec starter la localisation de ce fichier. S’il existe, teste-le ici :
http://virusscan.jotti.org
S’il est vérolé, effaces-le en mode sans échec et efface la ligne correspondante dans starter.
Sinon, désactives-le

Si tu as plusieurs lignes dans starter pour un programme, tu n’en laisse qu’une.
Si un programme utile ne fonctionne plus, il suffit de réactiver l’exécutif.

Tu peux aussi sans doute désactiver sans risque le chargement de certains autres programmes au démarrage de windows, ils seront accessibles manuellement en cas de besoin.
Evidemment, il faut éviter de toucher aux process windows, mais, en cas de doute, il suffit de cliquer/droit et d’interroger google…et faire ou s’abstenir.
Tu peux aussi obtenir des compléments d’information sur l’onglets “Processus“, Chemins des exécutifs, dll etc.
Avec aussi la possibilité (clic droit) d’accèder directement aux pages google correspondantes)
(une fois que ton ordinateur sera clean, avant de tripatouiller, crée un point de restauration, au cas où…)

Lignes 09
Visiblement, t’as un problème avec java. Aucune gravité, mais il faudrait, à mon avis tout réinstaller, quand tout marchera…Idem pour MSNMsngr.

Lignes 015
Si c’est toi qui as placé ces pages dans la zone de confiance, OK.
Sinon, va dans le panneau de configuration sur les options internet.
“sécurité“/“sites de confiance“/“sites“ et tu supprimes les pages.
Si ton programme a besoin de ça pour fonctionner, il te le dira, c’est à toi de voir…

Lignes 023
Elles sont normales, compte-tenu d’un bug d’hijackthis.

A ce stade, Redémarre ton ordinateur.
Ensuite, dans hijackthis, que tu auras relancé,
fixe les lignes (si elles existent encore) :

R3 - URLSearchHook: (no name) - {EF282E4E-B8F0-BA20-A5FD-E53B8B7574B5} - C:\WINDOWS\System32\qrs.dll

O2 - BHO: (no name) - {ED103D9F-3070-4580-AB1E-E5C179C1AE41} - (no file)

O2 - BHO: (no name) - {EF282E4E-B8F0-BA20-A5FD-E53B8B7574B5} - C:\WINDOWS\System32\qrs.dll

O4 - HKLM\..\Run: [SpySpotter] C:\PROGRA~1\SPYSPO~1\SpySpotter.exe –onreboot

O4 - HKCU\..\Run: [Cgidsxac] C:\WINDOWS\System32\w?nword.exe

O4 - HKCU\..\Run: [Brab] "C:\WINDOWS\CROSOF~1.NET\explorer.exe" -vt rbnd

O4 - Startup: Virtual Bouncer.lnk = C:\Program Files\VBouncer\VirtualBouncer.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)

O15 - Trusted Zone: *.musicmatch.com

O15 - Trusted Zone: *.musicmatch.com (HKLM)

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - *http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall /xscan53.cab

O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - *http://www.ravantivirus.com/scan/ravonline.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - *http://messenger.msn.com/download/msnmessengersetupdownloader.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{11BCB6C2-BC9D-40E7-8B19-FC46034CB5B2}: nameServer = 192.168.0.1

Relances ton ordinateur.

3) Restauration de la pile et de winsock

Pour réinstaller la pile TCP/IP utilise l’utilitaire netshell qui permet de restaurer l’état de la pile qui existait lors de l’installation du sytème d’exploitation. Cet utilitaire permet aussi de réparer winsock (dans SP2)
Pour ce faire, ouvre une fenêtre de commande DOS (dans exécuter, tapes cmd) puis :
netsh int ip reset
“touche entrée”
puis tapes
netsh winsock reset
“touche entrée”

Redémarre l’ordinateur en mode sans échec et installe ZA, suis les instructions, redémarre en mode normal, désactive ZA et réinstalle ton réseau/connexion internet pour cet ordinateur comme la première fois (wanadoo, Livebox ?).
Si le programme d’installation fourni par ton FAI te le demande, désinstalle les programmes de connexion du FAI (wanadoo?) de cet ordinateur.
Une fois fini, redémarre

Et dis-nous si tu as accès à internet.

Si oui, réinstalle Avast (n’oublies pas les partages de responsabilités entre Avast et ZA, cf plus haut)

Ensuite, une fois que tout marche, crée un point de restauration, puis va dans “exécuter“, tapes
cleanmgr
clique sur OK
puis “autres options“
et tu cliques sur “nettoyer“ dans “restauration“
ensuite OK et OUI
ça effacera toutes les restaurations antérieures pour ne conserver que la dernière…bonne, (en principe, lol)

Il faudra ensuite installer firefox, et réinstaller Sun Java, désinstaller MSN Messenger, le réinstaller proprement, désactiver Messenger, etc.

On verra ça plus tard…

Imprimes tout ça…appplique, bon courage et

@+

Rumbacampus · Answer

Re

oups, désolé, je me rends compte en relisant tout le post que j'ai analysé le log du portable (celui qui se connecte correctement à internet)
N'empêche que toutes mes observations concernant le log hijackthis restent valables. A toi de voir ce que tu fais.
Par contre laisse tomber la restauration de la pile et de winsock...
puisque ça marche !
je regarde le deuxième log...

@+

Rumbacampus · Answer

Re

En mode sans échec, relance spybot SD et effaces tout ce qu'il trouve.
Regarde si tu as un dossier newdot dans program Files. Si oui, effaces-le.
Redémarre en mode normal, lance hijackthis et fixe la ligne 010.
Ensuite, lance le programme winsockxpfix (que tu auras téléchargé sur ton portable ici) :
http://www.mspconline.com/component/option,com_remository/Itemid,74/func,fileinfo/id,11/
et lances-le.
Redémarre windows en mode sans échec, lance JV16 Power Tools et nettoies le registre.
Redémarre en mode normal et vérifie ta connexion internet.
Si ça échoue, restaure la pile et winsock comme je l'indiquais au message 5 (ensuite, il faudra peut-être réinstaller ta connexion).

Quand tu pourras te reconnecter sur internet, refais un log hijackthis et postes-le, on nettoiera plus avant...

@+

Rumbacampus · Answer

Re Bonne nuitet @+

mag · Answer

salut RUMBA!!!Un grand merci pour tes précieux conseils, j'ai nettoyé le portable, comme tu me l'avais indiqué.Juste un petit problème, je ne trouve pas le fichier w?nword.exe...Peux tu m'aider??Entre temps, j'ai retrouvé la connexion internet avec le PC, mais j'ai un souci avec winlogon.exe? qu'est ce que c'est ??? J'ai une page bleue, avec des erreurs, et je dois quitter le Pc avec le bouton marche/ arrêt.J'ai commencé un nettoyage du PC, mais je n'ai pas assez de temps aujourd'hui donc je finirais demain, je te tiens au courant, par contre pour le portable, je n'ai pas encore topu tout fini, mais j'ai fait un log hijack, peux tu me dire si ca va mieux???Merci de ton aide, à plusLogfile of HijackThis v1.99.1Scan saved at 14:23:33, on 03/22/2006Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\S24EvMon.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\system32\ZCfgSvc.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\System32\1XConfig.exeC:\WINDOWS\System32\hkcmd.exeC:\Program Files\Apoint\Apoint.exeC:\Program Files\Dell\QuickSet\quickset.exeC:\Program Files\Intel\NCS\PROSet\PRONoMgr.exeC:\Program Files\Alwil Software\Avast4\aswUpdSv.exeC:\Program Files\Alwil Software\Avast4\ashServ.exeC:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXEC:\Program Files\Microsoft SQL Server\MSSQL$MICROSOFTBCM\Binn\sqlservr.exeC:\WINDOWS\system32\dla	fswctrl.exeC:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exeC:\WINDOWS\System32\DSentry.exeC:\Program Files\Dell\Media Experience\PCMService.exeC:\Program Files\Winamp\winampa.exeC:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exeC:\Program Files\Apoint\Apntex.exeC:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exeC:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mmtask.exeC:\Program Files\MessengerPlus! 3\MsgPlus.exeC:\WINDOWS\System32\ctfmon.exeC:\Program Files\Messenger\msmsgs.exeC:\WINDOWS\System32\RegSrvc.exeC:\WINDOWS\System32\svchost.exeC:\Program Files\MSN Messenger\msnmsgr.exeC:\Program Files\Alwil Software\Avast4\ashMaiSv.exeC:\Program Files\Alwil Software\Avast4\ashWebSv.exeC:\WINDOWS\System32\wuauclt.exeC:\Program Files\WinRAR\WinRAR.exeC:\DOCUME~1\moi\LOCALS~1\Temp\Rar$EX00.689\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/countries/fr/fra/gen/default.htmR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/countries/fr/fra/gen/default.htmR0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.euro.dell.com/countries/fr/fra/gen/default.htmR0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = WanadooR1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhostR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dllO4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exeO4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint\Apoint.exeO4 - HKLM\..\Run: [Dell QuickSet] C:\Program Files\Dell\QuickSet\quickset.exeO4 - HKLM\..\Run: [PRONoMgr.exe] C:\Program Files\Intel\NCS\PROSet\PRONoMgr.exeO4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla	fswctrl.exeO4 - HKLM\..\Run: [StorageGuard] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /rO4 - HKLM\..\Run: [DVDSentry] C:\WINDOWS\System32\DSentry.exeO4 - HKLM\..\Run: [PCMService] "C:\Program Files\Dell\Media Experience\PCMService.exe"O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exeO4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exeO4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [MMTray] C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exeO4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exeO4 - HKLM\..\Run: [mmtask] C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mmtask.exeO4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exeO4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /backgroundO4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe" /WinStartO4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /backgroundO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXEO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLLO9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dllO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO12 - Plugin for .pdf: C:\Program Files\Internet Explorer\PLUGINS
ppdf32.dllO16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1142512286947O17 - HKLM\System\CCS\Services\Tcpip\..\{BD66E772-07D1-47C9-8DEB-2263B902A898}: NameServer = 80.10.246.2,80.10.246.129O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dllO20 - Winlogon Notify: Sebring - C:\WINDOWS\System32\LgNotify.dllO23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exeO23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exeO23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)O23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - C:\Program Files\Intel\NCS\Sync\NetSvc.exeO23 - Service: RegSrvc - Intel Corporation - C:\WINDOWS\System32\RegSrvc.exeO23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation  - C:\WINDOWS\System32\S24EvMon.exe

Rumbacampus · Answer

Salut

Le portable est clean. Tu ne trouve pas le fichier "w?nword.exe"...
C'est surement parcequ'il n'est plus (ou n'a jamais été) sur ton ordi ! donc, aucun soucis.
Si tu veux en être sûre, télécharges chaos shredder ici :
http://safesofthome.com/software.htm
Lances-le et ouvres avec ce logiciel le répertoire system32 dans Windows.
Si le fichier est encore là, il apparaîtra dans la liste déroulante. Dans ce cas, glisses-le dans la partie droite et supprime-le.
Pour le reste, tu as, à mon avis, des exécutifs chargés au démarrage de windows (listes 04) qui devraient pouvoir être lancés manuellement, mais c'est du "fignolage", si tu veux voir, utilises "Starter"
Winlogon.exe est, en principe, un processus qui gére l'ouverture et la fermeture de session.
Le bon Winlogon (je suis à peu près sûr que c'est le cas chez toi) est situé dans le répertoire "system32"
Nettoies le portable comme indiqué plus haut, ensuite, étant connectée sur internet, lance un log hijackthis et copies-le ici.
On verra à ce moment-là.

@+

Rumbacampus · Answer

Salut,

je repassais pour voir...
Dans le message précédent, je voulais parler du fixe, évidemment.
A force de traiter les deux ordi, on fini par tout mélanger...Lol!
C'est pas grave, tu traduis..

Je m'absente quelques jours,

@+

mag · Answer

Coucou,Je repasse vite pour poster mon log du fixe, si quelqu'un peut jeter un coup d'oeil, si rumba est parti en vacances, ou bien j'attendrais, à bientôtLogfile of HijackThis v1.99.1Scan saved at 12:42:38, on 27/03/2006Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Alwil Software\Avast4\aswUpdSv.exeC:\Program Files\Alwil Software\Avast4\ashServ.exeC:\WINDOWS\System32\GEARSec.exeC:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXEC:\Program Files\Symantec\Norton Ghost\Agent\PQV2iSvc.exeC:\WINDOWS\System32
vsvc32.exeC:\Program Files\Photodex\ProShowGold\ScsiAccess.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32undll32.exeC:\WINDOWS\system32\ZoneLabs\vsmon.exeC:\WINDOWS\Explorer.EXEC:\Program Files\Symantec\Norton Ghost\Agent\GhostTray.exeC:\WINDOWS\system32mctrl.exeC:\Program Files\Analog Devices\Core\smax4pnp.exeC:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exeC:\Program Files\Zone Labs\ZoneAlarm\zlclient.exeC:\WINDOWS\system32\ctfmon.exeC:\Program Files\TechSmith\SnagIt 7\SnagIt32.exeC:\Program Files\TechSmith\SnagIt 7\TSCHelp.exeC:\Program Files\Alwil Software\Avast4\ashMaiSv.exeC:\Program Files\Alwil Software\Avast4\ashWebSv.exeC:\Program Files\Internet Explorer\iexplore.exeC:\DOCUME~1\MOI\LOCALS~1\Temp\Temporary Internet Files\Content.IE5\OPQ3SHUJ\HijackThis[1].exeC:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXER0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.orange.fr/portailR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensR3 - URLSearchHook: (no name) - {E0847A1D-ED87-C155-A0DD-90CB24EE08E6} - C:\WINDOWS\system32\avp.dllO3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Program Files\TechSmith\SnagIt 7\SnagItIEAddin.dllO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [Norton Ghost 9.0] C:\Program Files\Symantec\Norton Ghost\Agent\GhostTray.exeO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [RemoteControl] C:\WINDOWS\system32mctrl.exeO4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exeO4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exeO4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exeO4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exeO4 - HKCU\..\Run: [Ub4TrayApp] "C:\Program Files\Astase\UltraBackup\4.0\bin\ubtray.exe" /startO4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exeO4 - Global Startup: SnagIt 7.lnk = C:\Program Files\TechSmith\SnagIt 7\SnagIt32.exeO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLLO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exeO10 - Hijacked Internet access by New.NetO10 - Hijacked Internet access by New.NetO10 - Hijacked Internet access by New.NetO10 - Hijacked Internet access by New.NetO10 - Hijacked Internet access by New.NetO16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_sit...O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.htmlO16 - DPF: {90A29DA5-D020-4B18-8660-6689520C7CD7} (DmiReader Class) - http://support.euro.dell.com/global/apps/systemprofiler/PROFILER.CABO16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cabO17 - HKLM\System\CCS\Services\Tcpip\..\{347E1500-C537-4573-B94A-B382D72B1F8F}: NameServer = 80.10.246.2,80.10.246.129O17 - HKLM\System\CS1\Services\Tcpip\..\{347E1500-C537-4573-B94A-B382D72B1F8F}: NameServer = 80.10.246.2,80.10.246.129O20 - Winlogon Notify: Extensions - C:\WINDOWS\O20 - Winlogon Notify: StillImage - C:\WINDOWS\system32\h2j40c1qef.dllO23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exeO23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exeO23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exeO23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\System32\GEARSec.exeO23 - Service: Norton Ghost - Symantec Corporation - C:\Program Files\Symantec\Norton Ghost\Agent\PQV2iSvc.exeO23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exeO23 - Service: ScsiAccess - Unknown owner - C:\Program Files\Photodex\ProShowGold\ScsiAccess.exeO23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Rumbacampus · Answer

Salut MAG

Y-a pas trop de volontaire, apparement..lol !
Allez, on y va…

1) Process

Pas de remarque sauf :

1.1 C:\WINDOWS\System32\GEARSec.exe (iTunes et/ou Gear Software Security Service)
(source Tannière de PN) :
http://www.d2i.ch/pn/depannage/lenteurs_arrets_demarrages.html#arret_05

“Vu sur les forums de Gear Software. Le service Gear Software Security Service (processus gearsec.exe), qui permet entre autres la lecture et la gravure de CD-ROM avec iTunes, peut ralentir de près d'une minute l'arrêt du système et même le geler sur l'écran "Vous pouvez arrêter....".
Remède:
Arrêter le service Gear Software Security Service dans la console des Services ou dans le Gestionnaire de tâches (par Ctrl+Alt+Suppr resp. Ctrl+Maj+Echap) en sélectionnant l'entrée gearsec.exe puis en cliquant sur le bouton Terminer le processus.“

C’est à toi de voir…si tu as des problèmes d’arrêt.

1.2 C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

Le service Machine Debug Manager, Mdm.exe, est un programme installé avec Microsoft Script Editor pour prendre en charge le débogage des applications. Microsoft Script Editor est inclus dans Microsoft Office 2000.
Ce service se charge au démarrage de l’ordinateur. Si tu n'utilises pas ton ordinateur pour déboguer des applications, tu peux désactiver Machine Debug Manager en toute sécurité.

https://support.microsoft.com/en-us

1.3 C:\DOCUME~1\MOI\LOCALS~1\Temp\Temporary Internet Files\Content.IE5\OPQ3SHUJ\HijackThis[1].exe
Hijackthis doit être placé dans un dossier fixe, sinon, tu risques de perdre les sauvegardes.

2) R3

URLSearchHook: (no name) - {E0847A1D-ED87-C155-A0DD-90CB24EE08E6} - C:\WINDOWS\system32\avp.dll
Cette dll est utilisée par peu de programmes innocents : à ma connaissance, asset view, imtoo et xilisoft…
Et par un malicieux, introduit par Gamespyarcade..
C’est à toi de voir si ces programmes sont installés, à ta demande, sur ton ordinateur, regardes dans ajout/suppression de programmes et dans le répertoire “program Files“
De toute façon, elle n’a, à mon avis, rien à faire dans system32, donc, si ces programmes te sont inconnus, désenregistres la dll . Pour ce faire, va dans démarrer/“exécuter“ et tape (ou fais un copier/coller)
regsvr32 /u C:\WINDOWS\System32\avp.dll
Va ensuite dans sytem32 et renomme ta dll “_avp.dll“
Si problème par la suite, il suffira de renommer la dll et de la réenregistrer en tapant dans démarrer/“exécuter“ :
regsvr32 avp.dll
Tu peux aussi, pour gérer les dll, utiliser le script d’inscription rapide obtenu ici :
https://assiste.com/404_La_page_demandee_n_existe_pas.php
(Pour le télécharger, clic droit, “enregistrer la cible sous“)

3) Lignes 010

A mon avis, tu n’as plus de “New.Net“, les éventuels fichiers ayant étés supprimés lors des nettoyages précédents, mais on va vérifier.
Regardes dans ajout/suppression de programmes si tu vois des “NewNet...WebHancer et compagnie. Si oui, désinstalles-les.
Ensuite, télécharges LspFix:
https://www.snapfiles.com/get/lspfix.html

Coche "I know what I'm doing"
Fais passer de gauche à droite la/les dll éventuelles (par exemple lspak.dll, souvent en plusieurs exemplaires)
Maximise la fenêtre
Cliques sur "Finish".

4) Lignes 020 Winlogon Notify

O20 - Winlogon Notify: Extensions - C:\WINDOWS\
O20 - Winlogon Notify: StillImage - C:\WINDOWS\system32\h2j40c1qef.dll
Ca doit être un “reste“ d’une infection de type Look2Me…
Effaces le fichier
h2j40c1qef.dll
(après avoir rendu tous les fichiers visibles, CF post plus haut)
Si tu n’y arrive pas en mode normal, fais-le en mode sans échec.

5) Lignes 023

Hijackthis bugge sur ces lignes. Oublies donc les “files missing“…
Pour la ligne O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\System32\GEARSec.exe ,
regardes ce que j’ai écrit en 1.1
Si pas de problème lors des arrêts, laisse-le, sinon applique 1.1

6) Fixe les lignes suivantes dans hijackthis

- R3 - URLSearchHook: (no name) - {E0847A1D-ED87-C155-A0DD-90CB24EE08E6} - C:\WINDOWS\system32\avp.dll

-Toutes les 010

- Les 020

7) Arrêtes et rédémarre ton ordinateur

Si tout marche, cool…
Reposte un nouveau log Hijackthis.

8) Si tu n’as plus internet

lance le programme winsockxpfix :
http://www.mspconline.com/component/option,com_remository/Itemid,74/func,fileinfo...
Redémarre windows en mode sans échec, lance JV16 Power Tools et nettoies le registre.
Redémarre en mode normal et vérifie ta connexion internet.
Si ça échoue, restaure la pile et winsock comme je l'indiquais au message 5 (ensuite, il faudra peut-être réinstaller ta connexion)

OUF….tiens-moi au courant…

@+

Rumbacampus · Answer

Re

Attention, Lignes 010

Concernant lspfix, certaines dll à gauche sont légitimes.
Par exemple,
mswsock.dll
winrrr.dll
rsvps.dll
...
Il ne faut pas y toucher, et mettre à droite seulement les dll de type
lspak.dll
Newdot*.dll
...

Tu peux vérifier la légitimité des dll LSP ici :
http://castlecops.com/LSPs.html

@+

Rumbacampus · Answer

Bonjour MAGFautes de frappe, les bonnes dll lsp sont :winrnr.dll et rsvpsp.dll...mais il peut y en avoir d'autres, vérifie-les sur le lien de castlecops@+

Connexion Internet impossible

13 réponses

Discussions similaires

Newsletters