winexz32.dll infection Résolu

Question

BONJOUR.JE vous remercie de bien vouloir m’aider.j’ai été infecté par  winexz32.dll et je recois sans cesse des messages de mon antivirus qui ne sert a rien me disant TROJAN et messages: TR/PCK.KLONE.G91 ou autres numéros... .j’ai regardé le forum et j’ai telechargé SMITFRAUDFIX et j’aimerais que vous m’aidez pour la suite je vous en serait tres reconnaissant Merci++
j'ai un P4 256MO
40 G DD
sous win xp sp2

Lyonnais92 · Answer

Bonsoir,

1)Télécharge HijackThis ici: 
https://www.01net.com/telecharger/windows/Securite/anti-spyware/fiches/29061.html 

Dézippe le dans un dossier prévu à cet effet. 
Par exemple C:\hijackthis < Enregistre le bien dans c : ! 
Démo : (Merci a Balltrap34 pour cette réalisation)   
http://pageperso.aol.fr/balltrap34/Hijenr.gif 

Renomme le (clic droit, renommer). Si tu vois HijackThis, tu le renommes en Vundoscan. Si tu vois HijackThis.exe, tu le renommes en Vundoscan.exe.
Lance le puis: 
clique sur "do a system scan and save logfile" (cf démo) 
faire un copier coller du log entier sur le forum

Démo : (Merci a Balltrap34 pour cette réalisation)   
http://pageperso.aol.fr/balltrap34/demohijack.htm

2) Télécharge VundoFix.exe (par Atribune) sur ton Bureau. 
http://www.atribune.org/ccount/click.php?id=4 

Double-clique VundoFix.exe afin de le lancer. 
Coche Run VundoFix as a task. 
Un message t'avertira que l'outil va se fermer et s'ouvrir à nouveau : clique Ok 
Clique sur le bouton Scan for Vundo. 
Lorsque le scan est complété, clique sur le bouton Remove Vundo. 
Une invite te demandera si tu veux supprimer les fichiers, clique YES 
Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers. 
Tu verras une invite qui t'annonce que ton PC va s'éteindre ("shutdown") ; clique OK 
Démarre ton PC à nouveau. 
Copie/colle le contenu du rapport situé dans C:\vundofix.txt

3) Relance Vundoscan (ex HijackThis) et post le nouveau log.

4) Sais tu où ton antivirus te décèle winexz32.dll  ?

Si oui, ouvre ce lien,
http://www.virustotal.com/xhtml/virustotal_en.html
clique sur parcourir et cherche le fichier winexz32.dl. Clique sur send. Un rapport va se générer devant toi, liogne à ligne. Attends la fin du rapport. Copie/colle le rapport dans ta réponse (tu peux passer par le bloc-note pour cela).

4 rapports :
HijacjkThis,
VundoFix
HijackThis,
virustotal.

@+

nasim · Answer

Logfile of HijackThis v1.99.1
Scan saved at 17:07:46, on 28/11/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
D:\AVG Anti-Spyware 7.5\guard.exe
C:\WINDOWS\System32\Ctfdll32.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
D:\a-squared Anti-Malware\a2guard.exe
C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
C:\PROGRA~1\MICROS~2\OFFICE11\WINWORD.EXE
C:\DOCUME~1\ADMINI~1.INT\LOCALS~1\Temp\Répertoire temporaire 1 pour hijackthis.zip\HijackThis.exe
C:\Documents and Settings\Administrateur.INTERNET\Mes documents\NouvHIHTACK\Vundoscan.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.menara.ma/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.google.fr/?gws_rd=ssl
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Menara
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - C:\PROGRA~1\eoRezo\EoAdv\EOREZO~1.DLL (file missing)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.5000.1021\fr\msntb.dll
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.5000.1021\fr\msntb.dll
O4 - HKLM\..\Run: [ctfdll32] C:\WINDOWS\System32\Ctfdll32.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [a-squared] "D:\a-squared Anti-Malware\a2guard.exe"
O4 - HKCU\..\Run: [Yahoo! Pager] "C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe" -quiet
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesfr.dll
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesfr.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O14 - IERESET.INF: START_PAGE_URL=https://www.google.fr/?gws_rd=ssl
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {1754A1BA-A1DF-4F10-B199-AA55AA1A120F} (InstallerBehaviorFactory Class) - https://www.msn.com/fr-fr/
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{129037B7-4F3E-4CC1-95F1-808171683AED}: NameServer = 212.217.1.4 212.217.0.15
O17 - HKLM\System\CS1\Services\Tcpip\..\{129037B7-4F3E-4CC1-95F1-808171683AED}: NameServer = 212.217.1.4 212.217.0.15
O20 - Winlogon Notify: winexz32 - C:\WINDOWS\SYSTEM32\winexz32.dll
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - D:\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe

Lyonnais92 · Answer

Re,

Après VundoFix, VUndoScan (ex HijackThis) et virus total,

j'aurai besoin que tu fa s es de nouveau appel à virus total pour ce fichier : C:\WINDOWS\System32\Ctfdll32.exe 

@+
PS le premier fichier à scanner par Virus total est ici : 

C:\WINDOWS\SYSTEM32\winexz32.dll

Lyonnais92 · Answer

Re,

par priorité, reposte un log HijackThis (Vundoscan).

Seconde priorité, faire scanner par virustotal le fichier  
C:\WINDOWS\SYSTEM32\winexz32.dll

troisième priorité, relancer vundofix et poster le rapport dans ta réponse.

Pour les pb de connexion, je pense que ça venait du site, j'ai été jeté aussi.

@+

Lyonnais92 · Answer

Bonsoir nasim,

Ce n'est pas parce que il n'y a plus de messages que le pc est sain.

Si tu veux que l'on t'aide, il faut que tu répondes à toutes les questions que l'on pose.

Si tu ne sais pas faire, tu le dis,  on te guidera.
Si ça ne se passe pas comme prévu, tu le dis et on regarde.

je redonne les questions pour lesquelles je n'ai pas eu de réponse :


1) Ouvre ce lien, 
http://www.virustotal.com/xhtml/virustotal_en.html 
clique sur parcourir et cherche le fichier C:\WINDOWS\SYSTEM32\winexz32.dll comme tu le ferais avec l'explorateur windows. Mets le dans la fenêtre. Clique sur send. Un rapport va se générer devant toi, ligne à ligne. Attends la fin du rapport. Copie/colle le rapport dans ta réponse (tu peux passer par le bloc-note pour cela).

2) Même chose avec ce fichier :
 C:\WINDOWS\System32\Ctfdll32.exe

3)  reposte un log HijackThis (Vundoscan).

4) nouvelle question : qui est ton fournisseur Internet
@+

nasim71 · Answer

BONJOUR et pardonnez moi si je n'ai pas su répondre comme il se doit vous m'en excusez .voila je n'arrive pas à trouver ce winexz32.dll ni dans system32. ni dans system , tous les moyens de recherche ont été utilissés c'est à reendre fou mais c'est comme ça , par contre le fichier ctfdll32.exe a été retrouvé voila ci dessous le rapport tel que vous avez demandé, suivi du rapport de vundufix et mon serveur est IAM . Menara adsl maroc
type serveur PPP
adresse IP serveur 196.217.232.1

AVG	386	11.29.2006	no virus found
BitDefender	7.2	11.29.2006	no virus found
CAT-QuickHeal	8.00	11.29.2006	no virus found
ClamAV	devel-20060426	11.29.2006	no virus found
DrWeb	4.33	11.29.2006	no virus found
eSafe	7.0.14.0	11.28.2006	no virus found
eTrust-InoculateIT	23.73.71	11.29.2006	no virus found
eTrust-Vet	30.3.3221	11.29.2006	no virus found
Ewido	4.0	11.29.2006	no virus found
Fortinet	2.82.0.0	11.29.2006	no virus found
F-Prot	3.16f	11.28.2006	no virus found
F-Prot4	4.2.1.29	11.28.2006	no virus found
Ikarus	0.2.65.0	11.29.2006	no virus found
Kaspersky	4.0.2.24	11.29.2006	no virus found
McAfee	4907	11.29.2006	no virus found
Microsoft	1.1804	11.28.2006	no virus found
NOD32v2	1889	11.29.2006	no virus found
Norman	5.80.02	11.29.2006	no virus found
Panda	9.0.0.4	11.29.2006	no virus found
Prevx1	V2	11.29.2006	no virus found
Sophos	4.11.0	11.16.2006	no virus found
TheHacker	6.0.3.126	11.29.2006	no virus found
UNA	1.83	11.28.2006	no virus found
VBA32	3.11.1	11.29.2006	no virus found
VirusBuster	4.3.15:9	11.29.2006	no virus found

Aditional Information
File size: 65536 bytes
MD5: 6830911a9795ad9a5f536db570c1619d
SHA1: bf00976003f7fb0f940dfffd4bad2c8ad08b4f87



VundoFix V6.2.13

Checking Java version...

Java version is 1.5.0.6

Scan started at 17:26:34 29/11/2006

Listing files found while scanning....

No infected files were found.

Lyonnais92 · Answer

Bonsoir,

relance Vundoscan (pas vundofix), l'ancien hijackthis et poste le log.
@+

nasim · Answer

Bonjour pardonnez moi le message de réponse passe difficilement ,je vous mets ci dessous le log demandé et pour tout ce que vous faites pour nous aider , encore MERCI

Logfile of HijackThis v1.99.1
Scan saved at 11:59:59, on 30/11/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\Ctfdll32.exe
C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\DOCUME~1\ADMINI~1.INT\LOCALS~1\Temp\Répertoire temporaire 3 pour hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.menara.ma/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.fr
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Menara
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
F2 - REG:system.ini: Shell=
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [ctfdll32] C:\WINDOWS\System32\Ctfdll32.exe
O4 - HKCU\..\Run: [Yahoo! Pager] "C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe" -quiet
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll (file missing)
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll (file missing)
O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesfr.dll
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesfr.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O14 - IERESET.INF: START_PAGE_URL=http://www.google.fr
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {1754A1BA-A1DF-4F10-B199-AA55AA1A120F} (InstallerBehaviorFactory Class) - https://www.msn.com/fr-fr/
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{129037B7-4F3E-4CC1-95F1-808171683AED}: NameServer = 212.217.1.4 212.217.0.15
O17 - HKLM\System\CS1\Services\Tcpip\..\{129037B7-4F3E-4CC1-95F1-808171683AED}: NameServer = 212.217.1.4 212.217.0.15
O20 - Winlogon Notify: winexz32 - winexz32.dll (file missing)
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe

Lyonnais92 · Answer

bonsoir,

Merci pour l'info sur ton FAI. Les lignes 017 sont légitimes.

HijackThis est mal placé. Détruis le et recommence en suivant le tuto du post 1. On ne peut plus avancer tant que tu ne le places pas correctement.

Pourquoi as tu détruit des programmes ?

J'ai encore besoin de vérifier un programme.

Ouvre ce lien, 
http://www.virustotal.com/xhtml/virustotal_en.html 
clique sur parcourir et cherche le fichier C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE comme tu le ferais avec l'explorateur windows. Mets le dans la fenêtre. Clique sur send. Un rapport va se générer devant toi, ligne à ligne. Attends la fin du rapport. Copie/colle le rapport dans ta réponse (tu peux passer par le bloc-note pour cela).

Ouvre ce lien. Lis le tuto et télécharges spybot. Mets le à jour, exécutes la suppression des spywares et vaccines.

Exécutes ensuite les points 1 et 2 ( AVG et bitdefender) de ce lien.
virus methode preliminaire de desinfection version fr

Enfin, refais passer HijackThis et poste le log;.

Tu as toujours des messages intempestifs ?

Il y a un peu de travail, mais on avance.
@+

Lyonnais92 · Answer

Bonjour,

On avance. Le rapport d'AVG est (des tracing cookies, à éliminer régulièrement mais pas dangereux) et le fichier soumis à virustotal est clean. En plus l'ordi semble bien se comporter. On en est au nettoyage.

1) Hijackthis est toujours mal placé. Je vois :

C:\DOCUME~1\ADMINI~1.INT\LOCALS~1\Temp\Répertoire temporaire 4 pour hijackthis.zip\HijackThis.exe

Je veux voir :
C:\Répertoire temporaire 4 pour hijackthis.zip\HijackThis.exe

Il faut pour pouvoir "fixer" les lignes en toute sécurité.

2) J'avais écrit ça :Ouvre ce lien. Lis le tuto et télécharges spybot. Mets le à jour, exécutes la suppression des spywares et vaccines. . Mais je n'ai pas mis le lien !!! Désolé.

Le voilà :
spybot eliminer un logiciel espion spyware

Donc à faire.
En relisant le log, j'ai vu que tu avais spybot. Tu l'as exécuté recemment? si oui, pas la peine de refaire. Sinon, tu fais.

3) Je n'ai pas trouvé le rapport de bitdefender. Si tu le retrouves, tu le mets. Mais je pense qu'il n'y avait rien. Si il y avait qulque chose, il :
 faut le retrouver, ou bien tu le refais et tu postes le résultat.

4) Si tu sais faire, Arrête et désactive ce service
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe 
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe

Quand c'est fait, par l'explorateur windows, tu cherches ce fichier :(en gras) 

C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
et tu le détruis.
Si tu ne sais pas faire, tu le dis, je te donnerai le mode d'emploi.

@+

Lyonnais92 · Answer

Bonjour,

D'abord, heureusement que tu ne sais pas désactiver un service, il ne faut pas désactiver psguard. J'ai raté le copier/coller. Je te donne les instructions ce soir.
Mais,
1) HijackThis n'est toujours pas là où je veux le voir.

Tu regardes ce tuto et tu le suis exactement :
http://pageperso.aol.fr/balltrap34/Hijenr.gif

2) C'est le rapport de quoi ?
--- Report generated: 2006-12-01 13:19 --- 

Winsoftware.WinAntiVirusPro2006: Réglages (Valeur du registre, nothing done) 
HKEY_USERS\S-1-5-21-823518204-484061587-725345543-500\Software\Microsoft\Windows\ShellNoRoam\MUICache\*\WinAntiVirus Pro 2006*

On va y arriver.

@+--
Ca s'écrit 10 + 10 = 100 et ça s'énonce deux plus deux égal quatre.

Lyonnais92 · Answer

Bonsoir,

Pour désactiver,un tuto utile ici (pour voir les fenêtres qui vont s'ouvrir) :
https://www.pcastuces.com/pratique/windows/services/page2.htm

Donc démarrer, exécuter, services.msc puis entrée. Tu recherches 
 Service: Boonty Games  et tu fais click droit puis propriétés.

La, dans la fenêtre (tu l'as dans le tuto), tu positionnes type de démarrage sur désactivé puis dans statut du service, tu cliques sur arrêter. Tu fermes.

Tu cherches , par l'explorateur windows le fichier C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe et tu le supprimes;

Tu relances Hijackthis et tu  postes le log.

@+

Lyonnais92 · Answer

Re,

relance hijackThis.

Choisis do a scan only,

coche la case devant les lignes :

F2 - REG:system.ini: Shell= 
O20 - Winlogon Notify: winexz32 - winexz32.dll (file missing) 

Tu fermes toutes les fenêtres actives (en particulier internet explorer) .

Cliques sur fix checked. Fermes HijackThis.

Relance Hijackthis en mode normal et poste le log;

Comment va l'ordi ?

@+

nasim · Answer

Salut 
Je voudrais remercier l'équipe de CCM et particuliàrement Mr Lyonnais 92 qui a pris de son temps et m'a pris en charge depuis le premier jour et a suivi l'évolution de résolution du problème. Je dois dire que j'ai suivi strictement ses conseils du mieux que je peux car il faut dire les choses comme elles sont sans lui je ne saurais comment m'y prendre et il faut parfois me tirer par la main et les oreilles .Bref un grand merci et tous mes respects Mr Lyonnais92

Lyonnais92 · Answer

re,

C'est sympa;

Mais je voudrais le log HijackThis avant de concclure.

Et que tu dises comment va l'ordi.

@+

nasim · Answer

MR Lyonnais l'ordinateur est impeccable , je vous remercie +++ et ci dessous le dernier rapport HIJACKTHIS bravo


Logfile of HijackThis v1.99.1
Scan saved at 21:28:20, on 02/12/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\Ctfdll32.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Hijackthis\HijackThis.exe
C:\Program Files\Outlook Express\msimn.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.menara.ma/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.google.fr/?gws_rd=ssl
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Menara
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [ctfdll32] C:\WINDOWS\System32\Ctfdll32.exe
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [Yahoo! Pager] "C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe" -quiet
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll (file missing)
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll (file missing)
O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesfr.dll
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesfr.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O14 - IERESET.INF: START_PAGE_URL=https://www.google.fr/?gws_rd=ssl
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {1754A1BA-A1DF-4F10-B199-AA55AA1A120F} (InstallerBehaviorFactory Class) - https://www.msn.com/fr-fr/
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} - http://download.bitdefender.com/resources/scan8/oscan8.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{129037B7-4F3E-4CC1-95F1-808171683AED}: NameServer = 212.217.1.4 212.217.0.15
O17 - HKLM\System\CS1\Services\Tcpip\..\{129037B7-4F3E-4CC1-95F1-808171683AED}: NameServer = 212.217.1.4 212.217.0.15
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

Lyonnais92 · Answer

Re,

Une dernière chose, et j(aurai du le faire un peu plus tôt);

Ouvre ce lien,
http://www.malekal.com/kerio_firewall.php

télécharge kerio comme indiqué et installe le.

Si le parefeu windows est activé, désactive le.

Quand c'est fait, remets un nouveau log HijackThis.

Tu fais ça ce soir !!

@+

Lyonnais92 · Answer

Bonjour,

OK, Kério est installé et le log HijackThis est clean.

la dernière chose à faire : mettre à jour ta console java (tu en es à la 6 : jre1.5.0_06,on en est à la 9 voire 10).

Tu jetes VundoFix et spyterminator. Tu jeteras hijackthis.

Tu gardes antivir et kerio en permanence;

Tu gardes spybot & destroy et AVG antispyware. Tu les utilises régulièrement (1 fois par semaine) après les avoir mis à jour.

Il y a un autre utilitaire utile à avoir et à utiliser 1 fois par semaine après mise à jour, ccleaner.

Tu trouveras le lien de téléchargement et le tuto ici :
https://www.malekal.com/tutoriel-ccleaner/

On attends 2 à 3 jours pour vérifier que tout est OK.

Sauf problème, j'attends de tes nouvelles vers mardi-mercrdi avec un dernier log HijackThis.

Bonne journée.

Lyonnais92 · Answer

Bonsoir Nasim,

je crois que tout est OK.

Tu peux  fixer la ligne O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} - http://download.bitdefender.com/resources/scan8/oscan8.cab 
(lance Hijackthis, do a scan only, cocher la case devant la ligne, fermer les autres fenêtres, cliquer sur fix checked). Ce n'est pas méchant, mais c'est devenu inutile.

Si l'ordi va toujours bien après cette dernière manip, tu supprimmes tout ce qui relève d'HijackThis.

Tu coche aussi la case "résolu".

Bon surf.

Winexz32.dll infection

19 réponses

Votre réponse

Discussions similaires

Newsletters