infecté par amaéna, fenêtres intempestives Fermé

Question

Bonjour,

je subis dans mon navigateur depuis hier l'appratition de fenêtres publicitaires intempestives.
J'ai téléchargé ewidoo, ad aware j'avais déjà spybot et j'ai fait un scan en ligne avec bitdefender après avoir désactivé avast.

Ils ont trouvé des choses mais les ont supprimé.

En plus, quelque fois quand une fenêtre apparait la barre des tâches devient marron alors qu'elle est bleue à l'origine.

Explorer saute parfois et je dois le relancer avec le gestionnaire de tâches.

Je ne sais pas si ça a un rapport mais ma soeur avait récemment téléchargé sweetIM , messenger plus!3  pour msn et yahoo toolbar.
J'ai supprimé ces trois programmes.

J'ai aussi supprimé manuellement un dossier instant access car je ne savais pas ce que c'était.

J'aibien lu ce qui était déjà indiqué pour supprimer amaéna mais je ne sais pas me sevir ni où télécharger hijackthis

Voilà si quelqu'un pouvait m'aider ça serait cool!!!

Fab.

Utilisateur anonyme · Answer

Salut,

Télécharges Blacklight et sauvegarde le sur ton bureau.
https://www.f-secure.com/en
Double cliques sur  " blbeta.exe " et acceptes la licence; clic sur "Scan" puis "Next"

Un rapport, va se créer sur ton bureau "fslb-....."
Copies et colles le contenu de ce rapport ici.

Ne touche à rien d'autre!


et


Télécharge lopxp:
http://pageperso.aol.fr/balltrap34/lopxp.zip

dézippe-le sur ton bureau puis double-clic sur le fichier "lopxp.bat"
quand il à terminé, un rapport s'ouvre : fais un copier-coller puis mets le ici

fab · Answer

salut voilà le premier rapport :

11/21/06 05:21:23 [Info]: BlackLight Engine 1.0.47 initialized
11/21/06 05:21:23 [Info]: OS: 5.1 build 2600 (Service Pack 2)
11/21/06 05:21:24 [Note]: 7019 4
11/21/06 05:21:24 [Note]: 7005 0
11/21/06 05:21:33 [Note]: 7006 0
11/21/06 05:21:33 [Note]: 7011 3036
11/21/06 05:21:33 [Note]: 7026 0
11/21/06 05:21:33 [Note]: 7026 0
11/21/06 05:21:33 [Note]: 7024 3
11/21/06 05:21:33 [Info]: Hidden process: C:\windows\system32
nvfefemmt.exe
11/21/06 05:21:33 [Note]: FSRAW library version 1.7.1020
11/21/06 05:27:49 [Info]: Hidden file: c:\WINDOWS\system32
nvfefemmt.dat
11/21/06 05:27:49 [Note]: 10002 1
11/21/06 05:27:50 [Info]: Hidden file: C:\windows\system32
nvfefemmt.exe
11/21/06 05:27:50 [Note]: 10002 1
11/21/06 05:27:51 [Info]: Hidden file: c:\WINDOWS\system32
nvfefemmt_nav.dat
11/21/06 05:27:51 [Note]: 10002 1
11/21/06 05:27:51 [Info]: Hidden file: c:\WINDOWS\system32
nvfefemmt_navps.dat
11/21/06 05:27:51 [Note]: 10002 1
11/21/06 05:30:21 [Note]: 7007 0

merci pour ta réponse rapide !!!
je commence le second...

fab · Answer

et voici la suite :

Rapport fait à 5:44:52,70 le 21/11/2006

Le volume dans le lecteur C s'appelle DONNEES
Le num‚ro de s‚rie du volume est D8E8-7B99

R‚pertoire de C:\Documents and Settings\Administrateur\Application Data

17/11/2006 14:19 <REP> vlc
15/11/2006 18:53 <REP> IDM
15/11/2006 18:53 <REP> DMCache
26/06/2006 21:33 <REP> U3
26/06/2006 19:00 <REP> MatchWare
27/03/2006 22:37 <REP> Ahead
08/02/2006 00:49 <REP> Apple Computer
11/01/2006 23:25 <REP> teamspeak2
13/12/2005 18:39 <REP> Sun
01/12/2005 03:24 <REP> Visicom Media
17/11/2005 12:56 <REP> Leadertech
24/09/2005 13:15 <REP> Lavasoft
23/08/2005 18:34 <REP> Google
16/08/2005 19:59 <REP> Hewlett-Packard
14/08/2005 12:17 <REP> MSN6
04/08/2005 17:03 <REP> Dossier de t‚l‚chargement Share-to-Web
03/08/2005 20:54 <REP> Dossier de t‚l‚chargement Share-to-Web
03/08/2005 20:27 <REP> Real
03/08/2005 01:28 <REP> AdobeUM
03/08/2005 01:28 <REP> Adobe
02/08/2005 20:38 <REP> Macromedia
02/08/2005 19:59 <REP> AOL
02/08/2005 19:58 <REP> You've Got Pictures Screensaver
31/07/2005 08:28 <REP> Symantec
31/07/2005 07:41 <REP> InterVideo
31/07/2005 07:19 <REP> Roxio
31/07/2005 07:13 <REP> ACD Systems
31/07/2005 06:41 <REP> Help
30/07/2005 21:29 <REP> Identities
30/07/2005 21:29 62 desktop.ini
30/07/2005 21:29 <REP> Microsoft
30/07/2005 21:29 <REP> ..
30/07/2005 21:29 <REP> .
1 fichier(s) 62 octets
32 R‚p(s) 65725915136 octets libres
Le volume dans le lecteur C s'appelle DONNEES
Le num‚ro de s‚rie du volume est D8E8-7B99

R‚pertoire de C:\Documents and Settings\All Users\Application Data

20/11/2006 18:59 <REP> Yahoo! Companion
09/10/2006 18:40 <REP> Windows Live Toolbar
15/08/2006 23:27 <REP> Messenger Plus!
14/08/2006 12:17 <REP> Spybot - Search & Destroy
22/07/2006 19:57 <REP> Windows Genuine Advantage
01/07/2006 18:17 <REP> Disney Interactive
22/03/2006 02:22 <REP> pixelStorm
08/02/2006 00:58 1384 QTSBandwidthCache
08/02/2006 00:45 <REP> Apple Computer
10/01/2006 03:40 <REP> POPWWPROFILES
08/11/2005 01:39 <REP> Adobe
17/10/2005 19:37 <REP> Macromedia
11/10/2005 12:14 3474 hpzinstall.log
26/09/2005 21:12 <REP> Macrovision
14/08/2005 12:17 <REP> MSN6
02/08/2005 19:58 <REP> Viewpoint
02/08/2005 19:58 <REP> QuickTime
02/08/2005 19:57 <REP> AOL
31/07/2005 08:28 <REP> Symantec
31/07/2005 07:12 <REP> ACD Systems
30/07/2005 22:17 62 desktop.ini
30/07/2005 22:17 <REP> Microsoft
30/07/2005 22:17 <REP> ..
30/07/2005 22:17 <REP> .
3 fichier(s) 4920 octets
21 R‚p(s) 65725915136 octets libres
Le volume dans le lecteur C s'appelle DONNEES
Le num‚ro de s‚rie du volume est D8E8-7B99

R‚pertoire de C:\Documents and Settings\Default User\Application Data

30/07/2005 22:17 62 desktop.ini
30/07/2005 22:17 <REP> ..
30/07/2005 22:17 <REP> Microsoft
30/07/2005 22:17 <REP> .
1 fichier(s) 62 octets
3 R‚p(s) 65725915136 octets libres
Le volume dans le lecteur C s'appelle DONNEES
Le num‚ro de s‚rie du volume est D8E8-7B99

R‚pertoire de C:\Documents and Settings\Fabien

******************************************
Recherche des taches planifiées dans C:\WINDOWS\tasks

Le volume dans le lecteur C s'appelle DONNEES
Le num‚ro de s‚rie du volume est D8E8-7B99

R‚pertoire de C:\WINDOWS\Tasks

25/08/2006 12:52 366 Symantec NetDetect.job
14/08/2006 12:33 306 Spybot - Search & Destroy - Scheduled Task.job
30/07/2005 21:26 6 SA.DAT
30/07/2005 21:24 65 desktop.ini
30/07/2005 21:24 <REP> ..
30/07/2005 21:24 <REP> .
4 fichier(s) 743 octets
2 R‚p(s) 65ÿ725ÿ911ÿ040 octets libres

******************************************
Recherche dans Program files

Le dossier C:\Program Files\C2Media n'existe pas

*************** Fin du rapport ****************

^^Marie^^ · Answer

Salut

Pour avancer Boulepate que je salut bien bas... ;-))


Télécharge Brute Force Uninstaller (de Merijn) ici: 
http://www.merijn.org/files/bfu.zip 
Créé un nouveau dossier directement à la racine de ton disque dur ou l'endroit qui te convient, nomme ce dossier BFU. 
Décompresse le fichier téléchargé dans ce nouveau dossier (par exemple C:\BFU) 

Ensuite, télécharge EGDACCESS.bfu (de Metallica) : 

Fais un clik droit ici : http://metallica.geekstogo.com/EGDACCESS.bfu et choisis "Enregistrer la cible sous..." afin de télécharger EGDACCESS.bfu (de Metallica). Sauvegarde dans le dossier créé (C:\BFU). **Note : si tu utlises Internet Explorer ; lors de la sauvegarde, assure-toi que le champs "Type :" affiche "Tous les fichiers". Tu dois maintenant avoir deux fichiers dans le dossier C:\BFU : EGDACCESS.bfu et BFU.exe (très important). 

Si tu utilises Internet Explorer, assure-toi lors de la sauvegarde que le champs "Type :" affiche "Tous les fichiers". 
Tu dois maintenant avoir deux fichiers dans le dossier C:\BFU : EGDACCESS.bfu et BFU.exe (très important). 

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_- 

Lance "Brute Force Uninstaller" en double-cliquant BFU.exe (Dans le dossier C:\BFU) 
- Clique sur le petit dossier jaune, et clique sur : EGDACCESS.bfu 
- Coches la case Show log after script ends 
- Clique sur Execute pour que le fix fasse son boulot :-) 

Attends que le message Complete script execution apparaîsse et clique sur OK. 
Un rapport va s'afficher dans la fenetre du programme, copie et colle dans le bloc-notes, puis sauvegardes le, tu le posteras plus tard sur le forum. 
Clique Exit pour fermer le programme BFU. 

========================================== 


Ensuite, lance Blacklight en double cliquant sur blbeta.exe et accepte la licence. 
Clique sur Scan pour lancer l'analyse. 
Une fois fait, sélectionnes chaque fichiers trouvés et clic sur "RENAME" 
Puis valide. 
Réponds oui aux messages d'avertissements et te demandant si tu autorises le reboot du pc. 

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_- 

Après le reboot du pc, les fichiers : 

c:\WINDOWS\system32
nvfefemmt.dat
C:\windows\system32
nvfefemmt.exe
c:\WINDOWS\system32
nvfefemmt_nav.dat
c:\WINDOWS\system32
nvfefemmt_navps.dat

devraient être visible et pouvoir être supprimés sans aucuns soucis. 
Blacklight ne les supprimes pas, il les renomme simplement et il va falloir que tu les vires toi-même: 
Va dans C:\windows\system32\ et recherches et effaces: 

nnvfefemmt.dat.ren
nnvfefemmt.exe.ren
nnvfefemmt_nav.dat.ren
nnvfefemmt_navps.dat.ren



 
Une fois fait, reposte un rapport hijackthis et un nouveau rapport de blacklight.

^^Marie^^ · Answer

un nouveau rapport de blacklight. 

Merci

Regis59 · Answer

Salut Marie,

Juste pour info:

Si tu vois ceci dans un HijackThis:
O4 - HKLM\..\Run: [nnvfefemmt] c:\windows\system32
nvfefemmt.exe nnvfefemmt 

C'est a dire le meme nom que tu as supprimé venant de black light, repete 2 fois comme ci dessu. Cela signifie que l infection est supprimée. Il reste a fixer la ligne avec Hijack this + nettoyer les fichiers *temp.

Bon travail

fab · Answer

le voici le voilà le nouveau rapport de blacklight :

11/21/06 15:18:13 [Info]: BlackLight Engine 1.0.47 initialized
11/21/06 15:18:13 [Info]: OS: 5.1 build 2600 (Service Pack 2)
11/21/06 15:18:14 [Note]: 7019 4
11/21/06 15:18:14 [Note]: 7005 0
11/21/06 15:18:16 [Note]: 7006 0
11/21/06 15:18:16 [Note]: 7011 1404
11/21/06 15:18:16 [Note]: 7026 0
11/21/06 15:18:16 [Note]: 7026 0
11/21/06 15:18:28 [Note]: FSRAW library version 1.7.1020
11/21/06 15:27:05 [Note]: 2000 1012
11/21/06 15:27:14 [Note]: 7007 0

NB: j'ai l'impression que les fenêtres n'apparaissent plus mais ce n'est peut être qu'un répit!!!!!

Utilisateur anonyme · Answer

Salut,

fait ça pour vérifier car il me semble une chose bizarre dans un des rapports

Télécharge HijackThis: 
http://www.infos-du-net.com/telecharger/HijackThis.html

Installe le dans son propre dossier:
-clic droit sur le bureau, choisis "nouveau dossier" puis installe le dedans.
Lance le, clic sur "do a system scan and save logfile" 
Puis copie et colle le rapport ici stp

fab · Answer

salut voilà le rapport hijackthis :

Logfile of HijackThis v1.99.1
Scan saved at 17:16:27, on 21/11/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\cisvc.exe
C:\WINDOWS\System32\CTsvcCDA.exe
C:\Program Files\ewido anti-spyware 4.0\guard.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Wireless 802.11g Monitor\WLService.exe
C:\Program Files\Wireless 802.11g Monitor\WLanCfgG.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Logitech\Video\LogiTray.exe
C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Java\jre1.5.0_08\bin\jusched.exe
C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Logitech\Video\FxSvr2.exe
C:\WINDOWS\system32\cidaemon.exe
C:\WINDOWS\system32\cidaemon.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Download Manager\IDMan.exe
C:\Documents and Settings\Administrateur\Bureau\Nouveau dossier\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 201.17.170.205:6588
O2 - BHO: IDMIEHlprObj Class - {0055C089-8582-441B-A0BF-17B458C2A3A8} - C:\Program Files\Internet Download Manager\IDMIECC.dll
O2 - BHO: (no name) - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {4D1C4E81-A32A-416b-BCDB-33B3EF3617D3} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
O2 - BHO: (no name) - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - (no file)
O3 - Toolbar: (no name) - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - (no file)
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O3 - Toolbar: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe 
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [PtiuPbmd] Rundll32.exe ptipbm.dll,SetWriteBack
O4 - HKLM\..\Run: [SetCacheMode] Rundll32.exe ptipbmf.dll,SetWriteCacheMode
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_08\bin\jusched.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Recherche AOL Toolbar - res://C:\Program Files\AOL Toolbar	oolbar.dll/SEARCH.HTML
O8 - Extra context menu item: &Search - http://kt.bar.need2find.com/KT/menusearch.html?p=KT
O8 - Extra context menu item: Download All Links with IDM - C:\Program Files\Internet Download Manager\IEGetAll.htm
O8 - Extra context menu item: Download with IDM - C:\Program Files\Internet Download Manager\IEExt.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {9122D757-5A4F-4768-82C5-B4171D8556A7} (PhotoPickConvert Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/PhotoSwap/PhtPkMSN.cab
O16 - DPF: {B64F4A7C-97C9-11DA-8BDE-F66BAD1E3F3A} - 
O16 - DPF: {C5E28B9D-0A68-4B50-94E9-E8F6B4697514} (NsvPlayX Control) - http://www.nullsoft.com/nsv/embed/nsvplayx_vp3_mp3.cab
O16 - DPF: {CAFEEFAC-0015-0000-0006-ABCDEFFEDCBA} (Java Plug-in 1.5.0_06) - 
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O18 - Filter: text/html - (no CLSID) - (no file)
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exe
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: R54G Wireless Service - Unknown owner - C:\Program Files\Wireless 802.11g Monitor\WLService.exe
O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR2a\RpcDataSrv.exe
O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR2a\RpcSandraSrv.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

^^Marie^^ · Answer

Salut

Passe un coup de smitfraud


1°/ - Télécharge le logiciel SmitfraudFix ((crée par S!Ri &#61514;) 
http://siri.urz.free.fr/Fix/SmitfraudFix.zip et décompresse le. 


En image : 
http://siri.urz.free.fr/Fix/SmitfraudFix.php 

tu le décompresses tu doubles cliques sur smitfraudfix.cmd et tu choisi l option 1 
cela vas générer un rapport, tu colles le rapport ici 
Si tu vois des lignes avec PRESENT! Continue la manip qui suit. 

Redémarres le PC en mode sans échec : tu tapotes sur la touche F8 de ton clavier (ou F5 ) et tu choisis le mode sans échec) 

- Ouvre le dossier "SmitfraudFix" et double clic sur "Smitfraudfix.cmd", choisit l’option 2 et tu réponds oui à tout. 

Copie/colle le rapport sur le forum stp.

Refais un hitajackthis

A++

fab · Answer

salut marie 1ère étape,  le rapport smitfraudfix, est-ce que tout est normal  ????


SmitFraudFix v2.123

Rapport fait à 16:13:40,06, 22/11/2006
Executé à partir de C:\Documents and Settings\Administrateur\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Administrateur


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Administrateur\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\ADMINI~1\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"
 

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

le hijackthis arrive...

fab · Answer

et voilà hijack :

Logfile of HijackThis v1.99.1
Scan saved at 16:21:12, on 22/11/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\cisvc.exe
C:\WINDOWS\System32\CTsvcCDA.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Wireless 802.11g Monitor\WLService.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Program Files\Wireless 802.11g Monitor\WLanCfgG.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Logitech\Video\LogiTray.exe
C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Java\jre1.5.0_08\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Logitech\Video\FxSvr2.exe
C:\WINDOWS\system32\cidaemon.exe
C:\WINDOWS\system32\cidaemon.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Download Manager\IDMan.exe
C:\Documents and Settings\Administrateur\Bureau\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 201.17.170.205:6588
O2 - BHO: IDMIEHlprObj Class - {0055C089-8582-441B-A0BF-17B458C2A3A8} - C:\Program Files\Internet Download Manager\IDMIECC.dll
O2 - BHO: (no name) - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {4D1C4E81-A32A-416b-BCDB-33B3EF3617D3} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
O2 - BHO: (no name) - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - (no file)
O3 - Toolbar: (no name) - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - (no file)
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O3 - Toolbar: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe 
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [PtiuPbmd] Rundll32.exe ptipbm.dll,SetWriteBack
O4 - HKLM\..\Run: [SetCacheMode] Rundll32.exe ptipbmf.dll,SetWriteCacheMode
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_08\bin\jusched.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Recherche AOL Toolbar - res://C:\Program Files\AOL Toolbar	oolbar.dll/SEARCH.HTML
O8 - Extra context menu item: &Search - http://kt.bar.need2find.com/KT/menusearch.html?p=KT
O8 - Extra context menu item: Download All Links with IDM - C:\Program Files\Internet Download Manager\IEGetAll.htm
O8 - Extra context menu item: Download with IDM - C:\Program Files\Internet Download Manager\IEExt.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {9122D757-5A4F-4768-82C5-B4171D8556A7} (PhotoPickConvert Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/PhotoSwap/PhtPkMSN.cab
O16 - DPF: {B64F4A7C-97C9-11DA-8BDE-F66BAD1E3F3A} - 
O16 - DPF: {C5E28B9D-0A68-4B50-94E9-E8F6B4697514} (NsvPlayX Control) - http://www.nullsoft.com/nsv/embed/nsvplayx_vp3_mp3.cab
O16 - DPF: {CAFEEFAC-0015-0000-0006-ABCDEFFEDCBA} (Java Plug-in 1.5.0_06) - 
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O18 - Filter: text/html - (no CLSID) - (no file)
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exe
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: R54G Wireless Service - Unknown owner - C:\Program Files\Wireless 802.11g Monitor\WLService.exe
O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR2a\RpcDataSrv.exe
O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR2a\RpcSandraSrv.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

heu dis-moi je viens de penser à un truc j'ai deux disques durs et là  à chaque fois j'analyse le principal est-ce qu'il faudrait analyser l'autre (dsl pour le temps de réaction!!!)? 
Voili voilou et merci du temps que vous me consacrez!!!!

fab · Answer

re

c'était juste pour rpéciser que la connexion est redevenue rapide et que je n'ai plus de fenêtres publicitaires intempestives mais est-ce que les deux rapports sont bons ?

fab · Answer

salut,

ok pour hijackthis et pour ccleaner (je l'avais déjà fait mais je l'ai refait!!!)

Deux questions :

1- le fichier backups créé par hijackthis sur mon bureau doit être supprimé je pense.

2 - la dernière fois que j'ai lancé ccleaner, j'ai eu une erreur de la base de registre qui ne voulait pas se supprimer. Et après le dernier hijackthis que j'ai fait elle y était encore (après 4 essais de suppression), c'est :

Clé de programmes obsolètes, elle s'appelle C7PhEAHshNnD et est située dans hkeycurrentuser.

Dois-je la supprimer ou ça n'est pas important ? le nom est quand même bizarre...

Sinon ma connexion est rapide et je n'ai plus de pub.

Utilisateur anonyme · Answer

Salut Fab,

Oui, tu peux supprimer le dossier backups

Concernant la clef qui résiste, clique sur démarrer, exécuter, tape: regedit 
Dans le haut clique sur edition puis rechercher entre le nom de la clef puis lance la recherche et essai de la supprimer si elle résiste essai en mode sans echec ;-)

fab · Answer

ok boulepate merci beaucoup j'avais essayé la manip en mode normal mais pas en sans échec et ça a marché je l'ai supprimé.

Voilà je crois que les ennuis sont finis.

merci beaucoup.
@ pluche

fab · Answer

sinon j'ai un autre pb, c'est un rapport suite à une analyse du système avec sandra y a des fois où je comprend mais là vraiment pas si vous pouvez m'éclairer mais peut être que je dois ouvrir un autre post :

Alerte W2506 - Si le système ne supporte pas la correction d'erreur de la mémoire (comme ECC) et si une erreur est détectée, le système s'arrêtera. Un système supportant la correction tentera cette correction et continuera. Un serveur devrait toujours utiliser la correction d'erreur.
Solution: utilisez la mémoire ECC (1-bit de correction d'erreur). Assurez que le chipset supporte la mémoire ECC. Certains chipsets supportent l'ECC en accord avec une certaine vitesse du bus mémoire ou FSB. 

Alerte W2505 Si le système ne supporte pas la détection des erreurs de mémoire, toute dysfonction de la mémoire ne sera pas détectée entraînant une corruption des données ou des pannes. Tous les systèmes devraient supporter la détection d'erreurs. Cependant, la plupart des mémoires sont non paritées aujourd'hui. 
Solution: utilisez la mémoire paritée (1-bit de détection d'erreur) ou l'ECC (2-bit de détection d'erreur). Assurez vous que le chipset supporte ce type de mémoire. Certains chipsets supportent l'ECC en accord avec une certaine vitesse du bus mémoire ou FSB. 



Manuel d'Aide de SiSoftware Sandra

Utilisateur anonyme · Answer

Bah alors là ! bonne question

Tu devrais mettre ce rapport sur le forum matériel car je comprend pas ce qu'il veut dire :-/

fab · Answer

ok je vais tester merci pour tout

Infecté par amaéna, fenêtres intempestives

19 réponses

Discussions similaires