Création de répertoire automatique : virus?

Question

Bonjour,

Depuis peu, à chaque redémarrage même si je l'efface, un répertoire au nom de KVTHvQ se crée dans celui de Documents and Settings à coté des noms d'utilisateurs. A l'intérieur de ce répertoire, on retrouve : mes documents, cookies, favoris, menu démarer, Bureau comme pour les autres utilisateurs!
Deplus, sous le répertoire à mon nom, je retrouve des fichiers du type : ntuser.dat_BAK_79221  et je ne sais pas si je dois les effacer.
protection PC : Avast, Zone Alarm, Ad Aware.
Merci de votre aide.

green day · Answer

Salut

Télécharge ceci :

Lien : hijackthis

Démo : http://pageperso.aol.fr/balltrap34/demohijack.htm

Choisir l'option "do a scan and a logfile", et faire un copier/coller du rapport ainsi générer sur le forum.

@+

Utilisateur anonyme · Answer

Merci pour ton aide.

Logfile of HijackThis v1.99.1
Scan saved at 18:28:42, on 28/09/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\PRISMSTA.EXE
C:\ATI-CPanel\atiptaxx.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\PROGRA~1\WINZIP\wzqkpick.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Documents and Settings\Christophe\Local Settings\Temp\wzf9e5\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [PRISMSTA.EXE] PRISMSTA.EXE START
O4 - HKLM\..\Run: [ATIPTA] C:\ATI-CPanel\atiptaxx.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin
pjpi150_04.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin
pjpi150_04.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
O23 - Service: WinUoe - Unknown owner - \?\C:\Program Files\Fichiers communs\System\com4.exe (file missing)

green day · Answer

re

rien d'apparent ...

 fais le 1/ et 2/ de ce lien stp :

virus methode preliminaire de desinfection version fr

@+

green day · Answer

oualalala ! 

 je suis confuse :)))


 @+

Utilisateur anonyme · Answer

Merci

J'ai donc scanné avec les étapes 1 et 2 précaunisés par Green day et effectivement d'autres Tracking et Trojans ont été trouvés.
Est ce que ces 2 anti spyware sont plus efficaces que Ad Aware et Spybot search&destroy ?

je n'ai pas compris la suite de vos messages : la ligne C:\PROGRA~1\WINZIP\winzip32.exe  est elle a supprimer ?

J'ai toujours 3 répertoires dans 'documents and settings' nommés :
HVTHvQ, All Users et Default user  et je ne sais pas à quoi ils servent et je n'arrive pas à les supprimer.

J'attends vos commentaires.

green day · Answer

Salut

 Est ce que ces 2 anti spyware sont plus efficaces que Ad Aware et Spybot search&destroy ?

 ils ne sont pas plus efficaces, mais ils se complétes !

 poste les rapports stp

 @+

green day · Answer

je sais , le scan en ligne est assez long ... mais j'aurais bien voulu voir ce qu'il ta trouvé ...

 refais celui d'ewido stp

++

Utilisateur anonyme · Answer

Voilà...

---------------------------------------------------------
ewido anti-spyware - Scan Report
---------------------------------------------------------

 + Created at:	19:32:23 29/09/2006

 + Scan result:	



HKU\S-1-5-21-1574921087-2218680996-385432088-1006\Software\Internet Security -> Adware.IntCodec : No action taken.
:mozilla.20:C:\Documents and Settings\Christophe\Application Data\Mozilla\Firefox\Profiles\1mtfrary.default\cookies.txt -> TrackingCookie.247realmedia : No action taken.
:mozilla.21:C:\Documents and Settings\Christophe\Application Data\Mozilla\Firefox\Profiles\1mtfrary.default\cookies.txt -> TrackingCookie.247realmedia : No action taken.
C:\Documents and Settings\Christophe\Cookies\christophe@247realmedia[1].txt -> TrackingCookie.247realmedia : No action taken.
C:\Documents and Settings\Christophe\Cookies\christophe@msnportal.112.2o7[1].txt -> TrackingCookie.2o7 : No action taken.
:mozilla.12:C:\Documents and Settings\Christophe\Application Data\Mozilla\Firefox\Profiles\1mtfrary.default\cookies.txt -> TrackingCookie.Atdmt : No action taken.
:mozilla.13:C:\Documents and Settings\Christophe\Application Data\Mozilla\Firefox\Profiles\1mtfrary.default\cookies.txt -> TrackingCookie.Bluestreak : No action taken.
:mozilla.7:C:\Documents and Settings\Christophe\Application Data\Mozilla\Firefox\Profiles\1mtfrary.default\cookies.txt -> TrackingCookie.Estat : No action taken.


::Report end

green day · Answer

re

No action taken.

 il va falloir refaire le scan :)
 et regler ewido sur "deleted" pour qu'il te vire les saltés trouvé !

 ensuite, télécharge ceci :

CleanUp40 (qui élimine les fichiers temporaires + cookies : gratuit )
http://pageperso.aol.fr/Balltrap34/CleanUp40.exe

tuto : (merci à Balltrap) http://pageperso.aol.fr/balltrap34/democleanup.htm 

fais ceci stp :

Télécharge Blacklight (de F-Secure) : 

https://www.f-secure.com/en 

et sauvegarde le sur ton Bureau. 

Double-clique blbeta.exe et accepte la licence ;clique Scan puis Next 

Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres). 

Copie et colle le contenu de ce rapport dans ta prochaine réponse 

@+

Utilisateur anonyme · Answer

Le pb est que je n'arrive pas à supprimer les repertoires dans 'documents and settigs' qui ne sont pas des utilisateurs ' : HVTHvQ, All Users et Default user.
En plus, je ne sais pas quoi faire de ces fichiers : ntuser.dat_BAK_79221, ntuser.dat_BAK_71711 etc... à supprimer ?

Logfile of HijackThis v1.99.1
Scan saved at 14:13:33, on 30/09/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\ewido anti-spyware 4.0\guard.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\PRISMSTA.EXE
C:\ATI-CPanel\atiptaxx.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\ewido anti-spyware 4.0\ewido.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Christophe\Mes documents\CHRISTOPHE\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [PRISMSTA.EXE] PRISMSTA.EXE START
O4 - HKLM\..\Run: [ATIPTA] C:\ATI-CPanel\atiptaxx.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [!ewido] "C:\Program Files\ewido anti-spyware 4.0\ewido.exe" /minimized
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin
pjpi150_04.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin
pjpi150_04.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
O23 - Service: WinUoe - Unknown owner - \?\C:\Program Files\Fichiers communs\System\com4.exe (file missing)

Séb08 · Answer

Le pb est que je n'arrive pas à supprimer les repertoires dans 'documents and settigs' qui ne sont pas des utilisateurs ' : HVTHvQ, All Users et Default user.
 

Pourquoi tu veux supprimer tout ça ??

En fait dans c:\Documentsandsettings tu dois avoir All, Default users, et le tiens (normalement)

En plus, je ne sais pas quoi faire de ces fichiers : ntuser.dat_BAK_79221, ntuser.dat_BAK_71711 etc... à supprimer ?

Ces fichiers sont placé dans les dossiers cités et normalement soont légitimes ...Pourquoi vouloir les supprimer ?

A+

Utilisateur anonyme · Answer

Ok pour tout ça mais 'HVTHvQ' n'a rien à faire là !
Je le supprime et il revient !

Séb08 · Answer

C'est un dossier ?
Qu'est ce qu'il y a à l'intérieur  ?

Je dois m'absenter .

A+

Utilisateur anonyme · Answer

La meme chose que les repertoires utilisateurs: cookies, favories....

Séb08 · Answer

personne ne l'aurait créé sans que tu le saches ?

Utilisateur anonyme · Answer

:-))   mais pourquoi on ne peut le supprimer ?

Utilisateur anonyme · Answer

Rien de plus que lorqu'on démarre une nouvelle session

Documents de proproétaire : mes vidéos, mes images ....
Favoris : des raccourcis classiques
Menu demarrer: des raccourcis de prog

Séb08 · Answer

ecoute si personne n'a créé ce dossier HVTHvQ vire le en mode sans echec.

Rappel du démarrage sans echec :

Redémarres le PC en mode sans échec : tu tapotes sur la touche F8 de ton clavier (ou F5 ) et tu choisis le mode sans échec) 

A+

Utilisateur anonyme · Answer

Tu sais quoi ...
Je crois que je vais devoir vivre avec !!!

Il est revenu après l'avoir supprimer en mode sans echec ! Grrrrr !!!

green day · Answer

bizzar, bizzar, je trouve rien sur ces noms de dossiers ...

Utilisateur anonyme · Answer

comme tu dis, chère ..... Bizarre !
Apparemment pas de virus, mais toujours ce fichu répertoire qui revient sans cesse...
Je suis tombé sur un os.

Séb08 · Answer

en quoi ce dossier te dérange t-il ?

Sinon utilise unlocker :

https://blog.sosordi.net/category/articles

a+

Utilisateur anonyme · Answer

Et il revient toujours !!!!!

Utilisateur anonyme · Answer

Bonjour,

Sachant que je suis en wifi (mais normalement sécurisé), ce répertoire utilisateur ne peut il être une connexion extérieure ?

Séb08 · Answer

non je ne pense pas ...

télécharges smitfraudfix :
 
En image : 
siri.urz.free.fr/Fix/SmitfraudFix.php

tu le décompresses tu doubles cliques sur smitfraudfix.cmd et tu choisi l option 1 
cela vas générer un rapport.
Si tu vois des lignes avec PRESENT! Continue la manip qui suit.

Redémarres le PC en mode sans échec : tu tapotes sur la touche F8 de ton clavier (ou F5 ) et tu choisis le mode sans échec) 

- Ouvre le dossier "SmitfraudFix" et double clic sur "Smitfraudfix.cmd", choisit l’option 2 et tu réponds oui à tout. 

Copie/colle le rapport sur le forum stp.

a+

Utilisateur anonyme · Answer

Salut,

Voila le rapport.
Faut il que je désinstalle ton programme maintenant ?


SmitFraudFix v2.105

Rapport fait à  9:12:43,35, 07/10/2006
Executé à partir de C:\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

C:\Program Files\WinMediaCodec\ supprimé

»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires


»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre
 
Nettoyage terminé. 
 
»»»»»»»»»»»»»»»»»»»»»»»» Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

le killer · Answer

salut,
j ai aussi hijackthis mais je ne connais vraiment son fonctionnement,est ce que c' est un antivirus ou anti qoi,... et comment on sait les logfile qu'il faut supprimer ou non.
merci de me repondre


le killer,

Création de répertoire automatique : virus? - Page 2

Newsletters