Sujet Précédent Sujet Suivant

Virus arrivé sur mon pcnet

lologoud Messages postés 37 Statut Membre -  
 Utilisateur anonyme -
Bonjour,


un virus est apparu sur mon pcnet par le biais d'un forum de kayak
j'ai d'abord eu des alertes comodo et avast
avast a reconnu un cheval de troie mais n'a npas réussi à le supprimer
je suis obligé maintenant de démarrer en mode sans echec avec un clavier externe car le clavier du pcnet est planté
je vous transmet mon rapport hijackis pour voir si quelqu'un peut m'aider
merci d'avance
laurent

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:20:08, on 20/04/2012
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Safe mode with network support

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\rundll32.exe
C:\Documents and Settings\Administrateur\Local Settings\Temporary Internet Files\Content.IE5\SAG3W1BQ\hijackthis_telechargement_01net[1].exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\01net\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://eeepc.asus.com/global
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\crrss.exe
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: avast! WebRep - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - C:\Program Files\AVAST Software\Avast\aswWebRepIE.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: avast! WebRep - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - C:\Program Files\AVAST Software\Avast\aswWebRepIE.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [AsusTray] C:\Program Files\EeePC\ACPI\AsTray.exe
O4 - HKLM\..\Run: [AsusACPIServer] C:\Program Files\EeePC\ACPI\AsAcpiSvr.exe
O4 - HKLM\..\Run: [AsusEPCMonitor] C:\Program Files\EeePC\ACPI\AsEPCMon.exe
O4 - HKLM\..\Run: [ETDWare] C:\Program Files\Elantech\ETDCtrl.exe
O4 - HKLM\..\Run: [ETDWareDetect] C:\Program Files\Elantech\ETDDect.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [avast] "C:\Program Files\AVAST Software\Avast\avastUI.exe" /nogui
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [crrss] C:\WINDOWS\system32\crrss.exe
O4 - HKLM\..\Run: [scAhtCRONyPyTy.exe] C:\Documents and Settings\All Users\Application Data\scAhtCRONyPyTy.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Envoyer au périphérique &Bluetooth... - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
O8 - Extra context menu item: Envoyer à Bluetooth - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: Adobe Flash Player Update Service (AdobeFlashPlayerUpdateSvc) - Adobe Systems Incorporated - C:\WINDOWS\system32\Macromed\Flash\FlashPlayerUpdateService.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: avast! Antivirus - AVAST Software - C:\Program Files\AVAST Software\Avast\AvastSvc.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Program Files\WIDCOMM\Bluetooth Software\bin\btwdins.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: IviRegMgr - InterVideo - C:\Program Files\Fichiers communs\InterVideo\RegMgr\iviRegMgr.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
A voir également:

40 réponses

  • 1
  • 2
Réponse 1 / 40
Utilisateur anonyme
 
salut

telecharge et enregistre Pre_Scan sur ton bureau :

http://forums-fec.be/gen-hackman/Pre_Scan.exe
https://toolslib.net

Avertissement :Il y aura une extinction du bureau pendant le scan --> pas de panique.

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan_la_date_et_l'heure.txt" sur le bureau.

si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Kill"

si l'outil est bloqué par l'infection utilise cette version avec extension .pif :

http://forums-fec.be/gen-hackman/Pre_Scan.pif

ou cette version renommée winlogon.exe :

http://forums-fec.be/gen-hackman/winlogon.exe

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan

NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

Heberge le rapport sur http://pjjoint.malekal.com puis donne le lien obtenu en echange sur le forum où tu te fais aider
1
Réponse 2 / 40
lologoud
 
ok,
mon pcnet reste sur un écran noir avec mode sans échec inscrit dans chaque coin.....
entretemps mon pc fixe a lui aussi eu une alerte......
je transmet le lien pour le prescan de mon pc fixe

http://pjjoint.malekal.com/files.php?id=20120420_b10u14g7g12j12

merci
0
Réponse 3 / 40
Utilisateur anonyme
 
non si on fait les deux pc en meme temps on va pas s en sortir..un après l'autre sinon......
0
Réponse 4 / 40
lologoud
 
le scan se lance mais à la fin le bureau ne réapparait pas et il n'y a pas de fichier enregistré si je redémarre
l'écran reste noir avec mode sans échec inscrit dans chaque coin
j'ai essayé les différentes extensions
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 40
Utilisateur anonyme
 
le rapport est dans c:\alors
0
Réponse 6 / 40
lologoud Messages postés 37 Statut Membre
 
https://pjjoint.malekal.com/files.php?id=20120421_14s13l914b12
0
lologoud
 
voici le lien pour le pre-scan de mon pcnet
0
Réponse 7 / 40
Utilisateur anonyme
 
ok supprime toutes les versions

retelecharge la version winlogon et lance-le en mode sans echec
0
Réponse 8 / 40
lologoud Messages postés 37 Statut Membre
 
https://pjjoint.malekal.com/files.php?id=20120421_c7x8x5r9g6
0
Réponse 9 / 40
Utilisateur anonyme
 
pourquoi tu n'as pas laissé pre_scan redemarrer en mode normal ?
0
Réponse 10 / 40
lologoud Messages postés 37 Statut Membre
 
voila le pre scan en mode normal

https://pjjoint.malekal.com/files.php?id=20120421_m14f13s9u11x15
0
Réponse 11 / 40
Utilisateur anonyme
 
ok

tu executes directement d'internet alors que je te demande d'enregistrer sur le bureau...si tu ne lis pas correctement les consignes on va pas s'en sortir.....

=================

mozilla à mettre à jour
desinstalle adobe reader 8

======================

Selectionne tout le texte en gras ci-dessous sans les lignes de dessus-dessous, puis (clic droit/copier ou ctrl+c) :
___________________________________________________
Kill::

processes::
dxsetup.exe

Registry::
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Alcmtr"=-
"QuickTime Task"=-
"iTunesHelper"=-
[HKU\S-1-5-21-384379550-3984249919-4175468352-500\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"Pre_scan_2ndPass"=-
[HKU\S-1-5-21-384379550-3984249919-4175468352-500\Software\Microsoft\Internet Explorer\Toolbar]
"Locked"=-
[-HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0003-ABCDEFFEDCBA}]

txt::
C:\WINDOWS\RUN.REG

Folder::
C:\WINDOWS\Temp\WLXPL_DX
C:\Documents and Settings\All Users\Application Data\F4D55F020010825800000BACD151FC84

Info::
C:\WINDOWS\I386\SYSTEM32\SMSS.EXE

MBR::

clean::

Reboot::
___________________________________________________

Relance Pre_scan puis choisis l'option "Script"

une page va s'ouvrir

logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler.

sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge.

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail
0
Réponse 12 / 40
lologoud
 
ok je m'applique
windows a planté au redémarrage
mon bureau n'apparait pas à l'écran, je suis obligé d'aller le chercher dans le menu
voici le pré-script
http://pjjoint.malekal.com/files.php?id=20120421_g5q8x15r9m12
0
Réponse 13 / 40
Utilisateur anonyme
 
Fais analyser le(s) fichier(s) suivants sur Virustotal :

Virus Total

clique sur "Parcourir" et trouve puis selectionne ce(s) fichier(s) :

C:\Windows\explorer.exe

* Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
* Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
* Lorsque l'analyse est terminée colle le lien de(s)( la) page(s) dans ta prochaine réponse.
0
Réponse 14 / 40
lologoud
 
je n'ai que le dossier pre-scan dans mon c:\

j'ai le message suivant qui s'affiche à chaque ouverture de cession:

"C:\Documents and Settings\olivier\winlogon.exe"n'est pas une application Win32 valide
0
Réponse 15 / 40
Utilisateur anonyme
 
??

Télécharge Findykill :

http://general-changelog-team.fr/fr/downloads/viewdownload/15-outils-de-el-desaparecido/21-findykill

▶ Déconnecte toi et ferme toutes application en cours ( navigateur compris ) .

▶ Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...)

▶ Relance "FindyKill" (clic droit "en tant qu'administrateur" pour Vista): au menu principal choisis l'option " F " pour français et tape sur [entrée] .

▶ Au second menu choisis l'option 2 (suppression) et tape sur [entrée]

▶ Le pc va redémarrer automatiquement ...

▶ le programme va travailler , ne touche à rien ... , ton bureau ne sera pas accessible c est normal !

▶ Poste le rapport qui apparait à la fin ( le rapport est sauvegardé aussi sous C:\FindyKill.txt )

▶ Si le Bureau ne réapparait pas, presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tape explorer.exe et valide
0
Réponse 16 / 40
lologoud Messages postés 37 Statut Membre
 
############################## | FindyKill V5.056 |

# User : olivier () # NEW
# Update on 20/11/2011 by El Desaparecido
# Start at: 18:15:19 | 21/04/2012
# Website : https://www.sosvirus.net/
# Contact : contact@eldesaparecido.com

# Intel(R) Atom(TM) CPU N270 @ 1.60GHz
# Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
# Internet Explorer 8.0.6001.18702
# Windows Firewall Status : Enabled
# AV : avast! Antivirus 5.0.117441938 [ Enabled | Updated ]

# C:\ # Disque fixe local # 79,99 Go (67,29 Go free) # NTFS
# D:\ # Disque fixe local # 61,2 Go (28,17 Go free) # NTFS
# E:\ # Disque amovible # 3,92 Go (3,34 Go free) [SPLASH GEAR] # FAT32
# F:\ # Disque fixe local # 465,65 Go (81,62 Go free) [My Passport] # FAT32

################## | Eléments infectieux |

################## | Reference Bagle MD5 ... |

################## | MD5 ... |
0
Réponse 17 / 40
Utilisateur anonyme
 
je peux l'avoir entier ?
0
Réponse 18 / 40
lologoud Messages postés 37 Statut Membre
 
j'ai collé tout le rapport
0
Réponse 19 / 40
Utilisateur anonyme
 
repasse-le en mode sans echec il en manque un bout
0
Réponse 20 / 40
lologoud Messages postés 37 Statut Membre
 
j'ai l'impression qu'il n'y en a pas beaucoup plus que dans le précèdent rapport...

############################## | FindyKill V5.056 |

# User : olivier () # NEW
# Update on 20/11/2011 by El Desaparecido
# Start at: 23:10:39 | 21/04/2012
# Website : https://www.sosvirus.net/
# Contact : contact@eldesaparecido.com

# Intel(R) Atom(TM) CPU N270 @ 1.60GHz
# Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
# Internet Explorer 8.0.6001.18702
# Windows Firewall Status : Enabled
# AV : avast! Antivirus 5.0.117441938 [ Enabled | Updated ]

# C:\ # Disque fixe local # 79,99 Go (67,8 Go free) # NTFS
# D:\ # Disque fixe local # 61,2 Go (28,17 Go free) # NTFS
# F:\ # Disque fixe local # 465,65 Go (81,14 Go free) [My Passport] # FAT32

################## | Eléments infectieux |

################## | Reference Bagle MD5 ... |

################## | MD5 ... |
0

Discussions similaires

Softonic,est-ce un virus ?
techmel1 -
techmel1 -

6 réponses
Désinstaller Softonic
Diguimette -
lilidurhone -

5 réponses
virus Artemis!
mabiche37 -
Malekal_morte- -

14 réponses
Message Apple virus !!
Souclik67 -
MPMP10 -

3 réponses
a quoi sert softonic ?
durup1928 -
jacklyn -

25 réponses