virus : infecté par spyware et chaval de troi

Question

bonjour a tous, 
alors voila j'ai ete infecté par un spyware hier soir apres avoir oublier de reactiver mon parfeu windows ( ce qui n'est pas tres malin je sais :) ).
Bref ce virus redemarre mon pc automatiqyement, je ne peut donc travailler qu'en mode sans echec.
En mode sans echec j'ai pu telecharger avast et scanner mon pc et supprimer tous les fichiers infecté.
J'ai ensuite telecharger CCleaner qui nettoie et reparre les fichiers endommager. On pourrait croire quoi maintenant tout va bien mais non !!!!! mon pc redemarre encors tout seul !! je ne sis plus quoi faire !!! merci de votre aide ...  

PS : apres le scan j'ai egalement decouvert 6 autre virus et 3 chaval de troi et je travail sous xp .

Regis59 · Answer

Salut

En mode normal, tu as un décompte?

a+

maloulolo · Answer

salut , 
non il n'y a pas de deconte mais c'est tout le temps apres un meme temps qu'il redemarre, c'est a dire 45 seconde a peut pret
je ne peut donc rien faire car pendant ces 45 secande il rame trop , je ne peur rien faire 
a++

Regis59 · Answer

Salut

Dans le mode sans echec, as tu fait une restauration systeme?

A+

maloulolo · Answer

salut
non je n'en ai pas fais , je la fais tout de suite 
a+

Regis59 · Answer

Salut

Des nouvelles a m'apporter?

A+

maloulolo · Answer

re re re salut , 
pas grabd chose niveau nouvelle, la restauration systeme de fonctione pas . l'ordi plante des que je la lance ....
je ne sais vraiment plus quoi faire, si il n'y a pas d'autre moyen je vais formater 

a+++ et merci

Regis59 · Answer

Re,

Tu as le CD de windows?
Essai cette commande: Chkdsk 
Voir: http://www.infoprat.net/astuces/windows2k_xp/commandes/chkdsk.php

A+

maloulolo · Answer

re,
j'ai taper la commande chkdsk/f pour verifier les fichier mais sa n'a pas marché 
j'ai donc entré la commande chkdsk/c pour verifier le disque c, il me dis que des erreurs ont ete trouvé et que chkdsk ne peut continué en lecture seul .   que dois je faire maintenant ?? 
a+

Regis59 · Answer

Ok

Depuis un autre pc et lance le en mode sans echec,

télécharge HijackThis ici: 
http://telechargement.zebulon.fr/138-hijackthis-1991.html 

Dézippe le dans un dossier prévu à cet effet. 
Par exemple C:\hijackthis < Enregistre le bien dans c : ! 
Démo : (Merci a Balltrap34 pour cette réalisation)   
http://pageperso.aol.fr/balltrap34/Hijenr.gif 

Lance le puis: 
clique sur "do a system scan and save logfile" (cf démo) 
faire un copier coller du log entier sur le forum

Démo : (Merci a Balltrap34 pour cette réalisation)   
http://pageperso.aol.fr/balltrap34/demohijack.htm
	
Bon courage

A+

maloulolo · Answer

ok mais je dois faire sa du pc infecté ou bien tout a partir d'un autre pc ??

Regis59 · Answer

Re,

Tu le telecharge d un pc sain.
Une fois telecharger tu le met sur une disquette, clé usb, ou cd et tu le met dans ton pc infecté.
Tu le lance sur le pc qui ne marche qu en sans echec.

A+

maloulolo · Answer

re,
voila le log :

Logfile of HijackThis v1.99.1
Scan saved at 19:23:48, on 05/01/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\TEMP\win30.tmp.exe
C:\WINDOWS\TEMP\idd99.tmp.exe
C:\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = 
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
R3 - Default URLSearchHook is missing
O3 - Toolbar: Bar888 - {C1B4DEC2-2623-438e-9CA2-C9043AB28508} - C:\PROGRA~1\FICHIE~1\{30785~1\Bar888.dll
O3 - Toolbar: &VSAdd-in - {74DD705D-6834-439C-A735-A6DBE2677452} - C:\Program Files\VSAdd-in\VSAdd-in.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_08\bin\jusched.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [amen bait list comp] C:\Documents and Settings\All Users\Application Data\plus media amen bait\Keep heck.exe
O4 - HKLM\..\Run: [{9078529D-01C2-1036-0531-991106980021}] "C:\Program Files\Fichiers communs\{9078529D-01C2-1036-0531-991106980021}\Update.exe" mc-110-12-0000272
O4 - HKLM\..\Run: [CTDrive] rundll32.exe C:\WINDOWS\system32\drvtos.dll,startup
O4 - HKLM\..\Run: [wdokbye.dll] C:\WINDOWS\system32undll32.exe "C:\Documents and Settings\Kids\Local Settings\Application Data\wdokbye.dll",bpzgoi
O4 - HKLM\..\Run: [AutoSys] C:\WINDOWS\system32\autosys.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [{9078529D-01C3-1036-0531-991106980021}] "C:\Program Files\Fichiers communs\{9078529D-01C3-1036-0531-991106980021}\Update.exe" mc-110-12-0000272
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [DllRunning] rundll32.exe "C:\WINDOWS\system32\hnogfpjw.dll",setvm
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin
pjpi150_08.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin
pjpi150_08.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
O23 - Service: COM+ Messages - Unknown owner - C:\WINDOWS\system32\svchosts.exe" -e mc-110-12-0000272 (file missing)
O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

Regis59 · Answer

Re,

TOUT est infecté !!!!!! Et pourtant, on est en mode sans echec, j imagine meme pas en mode normal...

Bon, je vais te donner des choses a faire mais faudra que tu telecharges d un autre pc, et que tu l execute sur ton pc infecté en sans echec.

OK?

Télécharge ceci: (merci a S!RI pour ce programme).
http://siri.urz.free.fr/Fix/SmitfraudFix.exe
Exécute le, Double click sur Smitfraudfix.cmd choisit l’option 1, il va générer un rapport
Copie/colle le sur le poste stp.

maloulolo · Answer

ok je suis tes conseils et merci de m'aider. penses-tu que le probleme sera resolu dans la soirée ?

voila le rapport :

SmitFraudFix v2.132

Rapport fait à 20:27:19,92, 05/01/2007
Executé à partir de C:\Documents and Settings\Administrateur\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

C:\WINDOWS\system32\autosys.exe PRESENT !
C:\WINDOWS\system32\svchosts.exe PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Administrateur


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Administrateur\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\ADMINI~1\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 

C:\Program Files\SpySheriff\ PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"
 

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32

pe386 détecté, utilisez un scanner de Rootkit

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

Regis59 · Answer

Re,

Je viens de m'apercevior d'une infection de plus:
 pe386 détecté, utilisez un scanner de Rootkit 

Dans la soirée? Non désolé, peut etre si nous restons en ligne.

Démarre en mode sans échec : 
Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter 
Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée. 
Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal ! 
(Si F8 ne marche pas utilise la touche F5).  
----------------------------------------------------------------------------
Relance le programme Smitfraud,
Cette fois choisit l’option 2, répond oui a tous ;
Sauvegarde le rapport, Redémarre en mode normal, copie/colle le rapport sauvegardé sur le forum

maloulolo · Answer

re, 
moi je pense etre conecté jusqu'a 2h max
rapport de netoyage : 

SmitFraudFix v2.132

Rapport fait à 20:48:19,14, 05/01/2007
Executé à partir de C:\Documents and Settings\Administrateur\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

C:\WINDOWS\system32\autosys.exe supprimé
C:\WINDOWS\system32\svchosts.exe supprimé
C:\Program Files\SpySheriff\ supprimé

»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre
 
Nettoyage terminé. 
 
»»»»»»»»»»»»»»»»»»»»»»»» Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

Regis59 · Answer

Re,

Ok des que je déco, je te le dirais.

Télécharge VundoFix.exe (par Atribune) sur ton Bureau. 
http://www.atribune.org/ccount/click.php?id=4 

Double-clique VundoFix.exe afin de le lancer. 
Coche Run VundoFix as a task. 
Un message t'avertira que l'outil va se fermer et s'ouvrir à nouveau : clique Ok 
Clique sur le bouton Scan for Vundo. 
Lorsque le scan est complété, clique sur le bouton Remove Vundo. 
Une invite te demandera si tu veux supprimer les fichiers, clique YES 
Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers. 
Tu verras une invite qui t'annonce que ton PC va s'éteindre ("shutdown") ; clique OK 
Démarre ton PC à nouveau. 
Copie/colle le contenu du rapport situé dans C:\vundofix.txt ainsi qu'un nouveau rapport HijackThis! dans ta prochaine réponse

maloulolo · Answer

ok 
le scan est en cour 
je vais le log avec hijackthis avec l'option 1 ou 2 ?

maloulolo · Answer

re, desolé pour le message precedent,j'ai confondu les deux logiciel .
j'ai realiser les actions mais quand je met remove vundo un message etrange est apparut mais voila le rapport : 

C:\WINDOWS\system32\winvhj32.dll
C:\WINDOWS\system32\efcde.dll


et le log hijackthis : 

Logfile of HijackThis v1.99.1
Scan saved at 21:34:15, on 05/01/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
R3 - Default URLSearchHook is missing
O3 - Toolbar: Bar888 - {C1B4DEC2-2623-438e-9CA2-C9043AB28508} - C:\PROGRA~1\FICHIE~1\{30785~1\Bar888.dll
O3 - Toolbar: &VSAdd-in - {74DD705D-6834-439C-A735-A6DBE2677452} - C:\Program Files\VSAdd-in\VSAdd-in.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_08\bin\jusched.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [amen bait list comp] C:\Documents and Settings\All Users\Application Data\plus media amen bait\Keep heck.exe
O4 - HKLM\..\Run: [{9078529D-01C2-1036-0531-991106980021}] "C:\Program Files\Fichiers communs\{9078529D-01C2-1036-0531-991106980021}\Update.exe" mc-110-12-0000272
O4 - HKLM\..\Run: [wdokbye.dll] C:\WINDOWS\system32undll32.exe "C:\Documents and Settings\Kids\Local Settings\Application Data\wdokbye.dll",bpzgoi
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [{9078529D-01C3-1036-0531-991106980021}] "C:\Program Files\Fichiers communs\{9078529D-01C3-1036-0531-991106980021}\Update.exe" mc-110-12-0000272
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [DllRunning] rundll32.exe "C:\WINDOWS\system32\hnogfpjw.dll",setvm
O4 - HKLM\..\RunOnce: [VundoFix] "C:\Documents and Settings\Administrateur\Bureau\vundofix.exe"
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin
pjpi150_08.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin
pjpi150_08.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
O23 - Service: COM+ Messages - Unknown owner - C:\WINDOWS\system32\svchosts.exe" -e mc-110-12-0000272 (file missing)
O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

maloulolo · Answer

j'ai refais le scan : le message d'erreur est que je ne peut pas supprimer les fichier une foi le scn fini 
...

Regis59 · Answer

Re,

Normalement c est en mode normal...

On va faire autrement, renomme hijackthis.exe en ccm.exe puis redonne un rapport stp

A+

maloulolo · Answer

voila le rapport : 

Logfile of HijackThis v1.99.1
Scan saved at 22:02:20, on 05/01/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\hijackthis\ccm.exe.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {41F328E2-5E46-F5B8-0160-020188931F32} - C:\WINDOWS\system32\imtqodk.dll
O2 - BHO: (no name) - {46A4E9D9-B30E-452A-8157-DBBEC8573B03} - C:\Program Files\VSAdd-in\VSAdd-in.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_08\bin\ssv.dll
O2 - BHO: (no name) - {7DA39570-5FD2-4f18-94B4-20730CB3F727} - C:\WINDOWS\system32wcsieom.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Bar888 - {C1B4DEC2-2623-438e-9CA2-C9043AB28508} - C:\PROGRA~1\FICHIE~1\{30785~1\Bar888.dll
O2 - BHO: (no name) - {FD3A771A-B6C2-4AEF-9C82-4F94197B7BE0} - C:\WINDOWS\system32\efcde.dll
O3 - Toolbar: Bar888 - {C1B4DEC2-2623-438e-9CA2-C9043AB28508} - C:\PROGRA~1\FICHIE~1\{30785~1\Bar888.dll
O3 - Toolbar: &VSAdd-in - {74DD705D-6834-439C-A735-A6DBE2677452} - C:\Program Files\VSAdd-in\VSAdd-in.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_08\bin\jusched.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [amen bait list comp] C:\Documents and Settings\All Users\Application Data\plus media amen bait\Keep heck.exe
O4 - HKLM\..\Run: [{9078529D-01C2-1036-0531-991106980021}] "C:\Program Files\Fichiers communs\{9078529D-01C2-1036-0531-991106980021}\Update.exe" mc-110-12-0000272
O4 - HKLM\..\Run: [wdokbye.dll] C:\WINDOWS\system32undll32.exe "C:\Documents and Settings\Kids\Local Settings\Application Data\wdokbye.dll",bpzgoi
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [{9078529D-01C3-1036-0531-991106980021}] "C:\Program Files\Fichiers communs\{9078529D-01C3-1036-0531-991106980021}\Update.exe" mc-110-12-0000272
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [DllRunning] rundll32.exe "C:\WINDOWS\system32\hnogfpjw.dll",setvm
O4 - HKLM\..\RunOnce: [VundoFix] "C:\Documents and Settings\Administrateur\Bureau\vundofix.exe"
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin
pjpi150_08.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_08\bin
pjpi150_08.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: efcde - C:\WINDOWS\system32\efcde.dll
O20 - Winlogon Notify: msldr32 - msldr32.dll (file missing)
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
O23 - Service: COM+ Messages - Unknown owner - C:\WINDOWS\system32\svchosts.exe" -e mc-110-12-0000272 (file missing)
O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

Regis59 · Answer

Ok, les infections apparaissent.

Le mode normal tjr HS?

Télécharge lopxp ici: 

http://pageperso.aol.fr/balltrap34/lopxp.zip (Merci Moe31 et Balltrap34)

2) dezippe le (clic droit dessus > extraire tout) 
et lance lopxp.bat 
le bloc note va s'ouvrir, copie et colle le contenu ici

A+

maloulolo · Answer

Rapport fait à 22:21:26,07 le 05/01/2007 Le volume dans le lecteur C n'a pas de nom. Le num‚ro de s‚rie du volume est 9078-529D R‚pertoire de C:\Documents and Settings\Administrateur\Application Data 04/01/2007 20:09 Macromedia 04/01/2007 20:06 Mozilla 04/01/2007 19:17 62 desktop.ini 04/01/2007 19:17 Microsoft 04/01/2007 19:17 .. 04/01/2007 19:17 . 1 fichier(s) 62 octets 5 R‚p(s) 3039784960 octets libres Le volume dans le lecteur C n'a pas de nom. Le num‚ro de s‚rie du volume est 9078-529D R‚pertoire de C:\Documents and Settings\All Users\Application Data 08/11/2006 19:03 plus media amen bait 30/10/2006 12:25 QuickTime 12/08/2006 09:26 Windows Genuine Advantage 31/07/2006 09:37 Adobe 24/07/2006 17:06 BOONTY 20/07/2006 21:35 AOL 20/07/2006 21:32 AOL Downloads 12/07/2006 12:48 62 desktop.ini 12/07/2006 12:47 Microsoft 12/07/2006 12:47 . 12/07/2006 12:47 .. 1 fichier(s) 62 octets 10 R‚p(s) 3039780864 octets libres Le volume dans le lecteur C n'a pas de nom. Le num‚ro de s‚rie du volume est 9078-529D R‚pertoire de C:\Documents and Settings\Default User\Application Data 12/07/2006 12:48 62 desktop.ini 12/07/2006 12:47 .. 12/07/2006 12:47 Microsoft 12/07/2006 12:47 . 1 fichier(s) 62 octets 3 R‚p(s) 3039780864 octets libres Le volume dans le lecteur C n'a pas de nom. Le num‚ro de s‚rie du volume est 9078-529D R‚pertoire de C:\Documents and Settings\Kids\Application Data 04/01/2007 18:59 1443179 Install.dat 08/11/2006 19:02 proc1jugs 30/10/2006 12:26 iShell 29/08/2006 16:56 Opera 27/08/2006 17:46 17448 GDIPFONTCACHEV1.DAT 26/08/2006 13:42 Help 25/08/2006 22:14 PlayFirst 20/08/2006 13:21 Skype 02/08/2006 16:46 Sun 01/08/2006 16:26 Leadertech 31/07/2006 09:42 AdobeAUM 31/07/2006 09:42 AdobeUM 31/07/2006 09:32 Adobe 21/07/2006 12:10 vlc 20/07/2006 21:37 acccore 14/07/2006 10:45 Mozilla 12/07/2006 21:12 Macromedia 12/07/2006 11:36 Identities 12/07/2006 11:35 62 desktop.ini 12/07/2006 11:35 Microsoft 12/07/2006 11:35 . 12/07/2006 11:35 .. 3 fichier(s) 1460689 octets 19 R‚p(s) 3039780864 octets libres Le volume dans le lecteur C n'a pas de nom. Le num‚ro de s‚rie du volume est 9078-529D R‚pertoire de C:\Documents and Settings\Parents\Application Data 05/10/2006 10:19 Skype 18/09/2006 11:25 Sun 03/08/2006 20:51 Adobe 31/07/2006 16:31 Macromedia 31/07/2006 16:28 Mozilla 31/07/2006 16:22 Identities 31/07/2006 16:22 62 desktop.ini 31/07/2006 16:22 .. 31/07/2006 16:22 . 31/07/2006 16:22 Microsoft 1 fichier(s) 62 octets 9 R‚p(s) 3039780864 octets libres ****************************************** Recherche des taches planifiées dans C:\WINDOWS asks Le volume dans le lecteur C n'a pas de nom. Le num‚ro de s‚rie du volume est 9078-529D R‚pertoire de C:\WINDOWS\Tasks 04/01/2007 18:35 260 AF5B9DDA90881156.job 12/07/2006 11:28 6 SA.DAT 12/07/2006 11:12 65 desktop.ini 12/07/2006 11:12 .. 12/07/2006 11:12 . 3 fichier(s) 331 octets 2 R‚p(s) 3ÿ039ÿ776ÿ768 octets libres ****************************************** Recherche dans Program files Le dossier C:\Program Files\C2Media n'existe pas *************** Fin du rapport ****************

maloulolo · Answer

mode normal tjrs HS

janana · Answer

fourgue le wallah meme moi sa fesai sa

maloulolo · Answer

dsl regis je deco , j'en ai asser pour ce soir

on verra peut etre demain et merci pour tes conseil

Regis59 · Answer

Bonjour, 

Imprime, ou enregistre la manip dans un fichier dans le bloc notes pour être sur ne rien oublier et de tout faire dans l'ordre. 

1/Telecharge ceci: Clean Up 40:
http://pageperso.aol.fr/balltrap34/CleanUp40.exe 
-aide en image:(merci à Balltrap34).
 http://pageperso.aol.fr/balltrap34/democleanup.htm

2/Téléchargez ce fix parejvindh sur votre bureau : http://www.uploads.ejvindh.net/rustbfix.exe

3/ Télécharge et installe AVG Anti-Spyware :
https://www.malekal.com/avg-antivirus-free-antivirus-gratuit-pour-proteger-son-pc-des-virus/

Déconnecte toi d'Internet et ferme tout les programmes en cours. 

 Redémarre en mode sans échec 
Redémarre le pc, laisse passer l'écran du bios, puis tapote sur la touche F8 avant qu'apparaisse l'écran de chargement de windows. 
Choisis le mode sans échec dans les options et valide avec entrée. 
(Si F8 ne marche pas, essai F5)

 Rend visible les fichiers cachés et système 
panneau de configuration > options des dossiers > onglet affichage 
Cocher la case devant " afficher les fichiers et dossiers cachés " 
Décocher la case devant " masquer les extensions des fichiers dont le type est connu" 
Décocher la case devant " masquer les fichiers protégés du système" 
clic sur [Appliquer] puis sur [ok] pour valider 

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_ 

 Lance hijackthis et clic sur [do a system scan only] 
cocher la case au début des lignes suivantes: 

O4 - HKLM\..\Run: [amen bait list comp] C:\Documents and Settings\All Users\Application Data\plus media amen bait\Keep heck.exe 

valider en cliquant sur le bouton [fix checked] 

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_ 

 Recherche et supprime ces dossiers: 

Supprimer les fichiers en suivant le chemin des fichiers infectés si possible, plutot que d'utiliser la fonction "Rechercher" 

S'ils sont présents, supprime: 
C:\Documents and Settings\All Users\Application Data\plus media amen bait

C:\Documents and Settings\Kids\Application Data\proc1jugs 

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_ 

Ensuite fais Démarrer > exécuter et tape cmd 
puis valide avec ok 

dans la fenêtre qui va s'ouvrir, copie et colle ceci:

del /a C:\WINDOWS	asks\AF5B9DDA90881156.job 

et valide en appuyant sur entrée 

-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_ 

Ensuite, très important: 

:: Supprimer les fichiers temporaires :: 

Exécute cleanup40.
 
-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_ 

Redémarre normalement et reposte un Hijackthis sur le poste…

*****************************

1- Ouvre HijackThis -> Open the misc tools sections -> open Uninstall manager -> clique sur "Save list" -> enregistre le fichier -> fais-en un copier/coller ici.

2- Scan avec avg AS et copie colle le rapport.

3- Double-cliquez rustbfix.exe afin de lancer l'outil.
Si une infection Rustock.b est détectée, une invite t'indiquera qu'il est nécessaire de redémarrer l'ordi. Ce redémarrage pourrait être plus long que d'habitude, et il est possible que deux redémarrages soient requis. Tout cela se fera automatiquement.
Suite au(x) redémarrage(s), deux rapports s'ouvriront : (%root%\avenger.txt & %root%ustbfix\pelog.txt).
Téléchargez et installez AVG AntiSpyware : anti-malware recommandé
Démarrez Windows en mode sans échec : Guide pour redémarrer en mode sans échec
Ouvrez le fichier mwavscan.com
Cochez les options comme indiquées sur cette page
Cliquez Scan Clean pour démarrer le scan et laissez le scan se faire jusqu'au bout. 

A demain. ;)

Virus : infecté par spyware et chaval de troi

28 réponses

Discussions similaires

Newsletters