mieux vaut prevenir que guerir

Question

salut à tous,

jexpose mon probleme 
jai lancer lautre jour ccleaner pour un nettoyage de routine 
jai tilte sur des programme u peu bizarre 
apres avoir changer mon ant virus en fait je suis passe de kaspersky a avast
s'il kelkun s'il vous plai pourait m'éclaire sur la situation de mon pc 
voici mon lofile hijack
Logfile of HijackThis v1.99.1
Scan saved at 23:18:52, on 21/01/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\brsvc01a.exe
C:\WINDOWS\system32\brss01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\ScanSoft\PaperPort\pptd40nt.exe
C:\Program Files\Brother\ControlCenter2\brctrcen.exe
C:\WINDOWS\VM_STI.EXE
C:\Program Files\Athan\Athan.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Fichiers communs\Ulead Systems\AutoDetector\monitor.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Google\GoogleToolbarNotifier\1.0.720.3640\GoogleToolbarNotifier.exe
C:\Program Files\MessengerSkinner\MessengerSkinner.exe
C:\Program Files\Brother\Brmfcmon\BrMfcWnd.exe
C:\Program Files\Philips\SPC 200NC PC Camera\TrayMin200.exe
C:\Program Files\802.11 Wireless LAN\802.11g Wireless Cardbus & PCI Adapter HW.51 V1.00\WlanCU.exe
C:\WINDOWS\system32undll32.exe
C:\Program Files\OpenOffice.org 2.0\program\soffice.exe
C:\Program Files\Brother\Brmfcmon\BrMfcmon.exe
C:\Program Files\OpenOffice.org 2.0\program\soffice.BIN
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\MioNet\MioNetManager.exe
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\MioNet\jvm\bin\MioNet.exe
C:\WINDOWS\system32	cpsvcs.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe
C:\WINDOWS\system32\mqsvc.exe
C:\WINDOWS\system32\mqtgsvc.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Shareaza\Shareaza.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\CCleaner\ccleaner.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Administrateur\Bureau\HijackThis.exe
C:\WINDOWS\system32\wuauclt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://runonce.msn.com/?v=msgrv75
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Internet Explorer par NUMERICABLE
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - C:\Program Files\MyWebSearch\SrchAstt\2.bin\MWSSRCAS.DLL
O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} - C:\Program Files\MyWebSearch\SrchAstt\2.bin\MWSSRCAS.DLL
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: mwsBar BHO - {07B18EA1-A523-4961-B6BB-170DE4475CCA} - C:\Program Files\MyWebSearch\bar\2.bin\MWSBAR.DLL
O2 - BHO: (no name) - {64F56FC1-1272-44CD-BA6E-39723696E350} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FlashFXP\IEFlash.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Program Files\Fichiers communs\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [PaperPort PTD] C:\Program Files\ScanSoft\PaperPort\pptd40nt.exe
O4 - HKLM\..\Run: [IndexSearch] C:\Program Files\ScanSoft\PaperPort\IndexSearch.exe
O4 - HKLM\..\Run: [SetDefPrt] C:\Program Files\Brother\Brmfl05a\BrStDvPt.exe
O4 - HKLM\..\Run: [ControlCenter2.0] C:\Program Files\Brother\ControlCenter2\brctrcen.exe /autorun
O4 - HKLM\..\Run: [MsmqIntCert] regsvr32 /s mqrt.dll
O4 - HKLM\..\Run: [Workflow] D:\Workflow.exe
O4 - HKLM\..\Run: [BigDogPath] C:\WINDOWS\VM_STI.EXE Philips SPC 200NC PC Camera
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Athan] C:\Program Files\Athan\Athan.exe
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Ulead AutoDetector v2] C:\Program Files\Fichiers communs\Ulead Systems\AutoDetector\monitor.exe
O4 - HKLM\..\Run: [gwiz] C:\WINDOWS\system32
tsystem.exe
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.0.720.3640\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [messengerskinner] C:\Program Files\MessengerSkinner\MessengerSkinner.exe
O4 - Startup: OpenOffice.org 2.0.lnk = C:\Program Files\OpenOffice.org 2.0\program\quickstart.exe
O4 - Global Startup: Contrôleur d’état.lnk = C:\Program Files\Brother\Brmfcmon\BrMfcWnd.exe
O4 - Global Startup: TrayMin300.exe.lnk = ?
O4 - Global Startup: Wireless Configuration Utility HW.51.lnk = C:\Program Files\802.11 Wireless LAN\802.11g Wireless Cardbus & PCI Adapter HW.51 V1.00\WlanCU.exe
O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredits/menusearch.jhtml?p=ZNfox000
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: MioNet Service (MioNet) - Unknown owner - C:\Program Files\MioNet\MioNetManager.exe" -s "C:\Program Files\MioNet\wrapper.conf (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe

lance_yien · Answer

bonjour pysso,

1°) clic ici: http://pccool.aliceblogs.fr/blog/_WebPages/Utilitaires.html

et installes "kerio" car visiblement tu n'as pas de pare-feu actif.

2°) désinstalles "mywebsearch" et supprimes son dossier qui se trouve ici (en gras):
C:\Program Files\MyWebSearch

3°)clicici: http://pccool.aliceblogs.fr/blog/_WebPages/DsinfectionNettoyage.html
et fais la procédure complète.

4°) lances hijackthis > "do a system scan only", coches les cases devant les lignes suivantes si tu les retrouves, fermes toutes les autres fenêtres et applications y compris internet et clic sur "fixe checked":

R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - C:\Program Files\MyWebSearch\SrchAstt\2.bin\MWSSRCAS.DLL 
O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} - C:\Program Files\MyWebSearch\SrchAstt\2.bin\MWSSRCAS.DLL 
O2 - BHO: mwsBar BHO - {07B18EA1-A523-4961-B6BB-170DE4475CCA} - C:\Program Files\MyWebSearch\bar\2.bin\MWSBAR.DLL 
O2 - BHO: (no name) - {64F56FC1-1272-44CD-BA6E-39723696E350} - (no file) 
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FlashFXP\IEFlash.dll 
O4 - HKLM\..\Run: [gwiz] C:\WINDOWS\system32
tsystem.exe 
O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredits/menusearch.jhtml?p=ZNfox000 

supprimes ce fichier en gras):
C:\WINDOWS\system32
tsystem.exe

((si difficultés passes en mode sans échec))

Joselyne · Answer

Bonjour lance_yien , 
J'aurai quelque chose a te demander stp ; 
J'ai des pages intempestives qui s'ouvrent en autres du Style " SystèmDoctor " = Virus cette fenêtre ? comment mettre fin a ces fenêtres a tout bout de champs  ?.

J'ai sur mon Pc - Avast home - Kerio - AVG , mais ça n'empêche pas de les voirs s'ouvrirs ! .
 
D'avance je te remercie .

Excuse si je n'ai pas mis mon message a la bonne place ! , j'avais posté mon message autre part sur CCM Windows mais je n'ai pas 
eu de réponse .

Joselyne .

lance_yien · Answer

bonsoir Joselyne,

ravi de savoir que toi-même tu va bien et que tu reviennes nous voir.
pour le post, désolé de ne pas l'avoir vu passer

lance_yien · Answer

re,

ces prog portent des choses pas bien sympathiques (en gras):
C:\Program Files\MessengerSkinner\MessengerSkinner.exe 
C:\Program Files\Yahoo!\MESSENGER
C:\Program Files\IrfanView\Ebay

à désinstaller de préférence et supprimer leurs dossiers s'ils persistent

lance_yien · Answer

bonjour joselyne,

bien sûr que tu as bien fait (ne supprimes pas internet explorer: il te servira pour les mises à jour),
MAIS cela ne fait que contourner le pb sans  en enlever la cause:

je te le répète clic sur mon nom en haut de ce message et
1°) fais la procédure de "désinfection-nettoyage"
2°) choisis smitfraudfix dans  "utilitaires"  exécutes l'option "1" et postes le rapport généré

a+ ;)

Joselyne · Answer

Bonjour lance_yien , 
Excuse mais je ne trouve pas ton Nom au dessus du message que je reçois par mail , mais bien en dessous !

Bien à toi .
Joselyne .

Ci joint le rapport  smitfraudfix : 

SmitFraudFix v2.148

Rapport fait à  7:04:32,63, 11/03/2007
Executé à partir de C:\Documents and Settings\Mon Pc\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Mon Pc


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Mon Pc\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\MONPC~1\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"
 

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32-huy32


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

lance_yien · Answer

re, :):):) ton dernier message commence ainsi: < 9 > Joselyne (dimanche 11 mars 2007 à 07:11:38) ton nom est à coté du <9> dans ce message ici mon nom sera à côté du <10>....

powtre · Answer

bonjour je n est plus de pripheique audio jai windows xp media center

lance_yien · Answer

re,

exactement: (1°) Analyse:

Relancer Blacklight en cliquant sur "blbeta.exe", accepter la licence et clic sur "Scan", à la fin un rapport est généré (fslbxxxx). clic sur "close".
poster son contenu sur le forum)

il faut donc copier/ coller ici le rapport généré:
si tu as déjà fait le scan tu trouveras le rapport qui est fichier texte portant le nom "fslb****" dans le dossier BFU

a+ ;)

lance_yien · Answer

re,

je t'avais dit qu'il faut m'écouter :)
tu as des fantômes dans ta machin :)

lance_yien · Answer

re,

t'a pas lu le # "utilisation",
en voici une copie:
>>>Utilisation:
Démarrer "Brut Force Uninstaller" en cliquant sur "BFU.exe". Cliquer sur le petit dossier jaune, à droite de la boîte "Scriptline to execute", et clic sur : EGDACCESS.bfuDans la boîte "Scriptline to execute", il doit y avoir ceci: c:\bfu\EGDACCESS.bfu
Cliquer sur "Execute" et laisser faire.
Attendre que "Complete script execution" apparaisse cliquer sur OK. Recommencer une fois cette opération. Cliquer enfin sur "Exit" pour fermer le programme et poster son contenu ( si demandé)<<<

a+ ;)

lance_yien · Answer

re,

je t'avais prévenu que la préparation est tortueuse :)

1°) quand tu ouvres  le dossier BFU (qui doit se trouver dans c: là où il y a "windows", program files...) que vois-tu?
réponse: bfu.exe et egdaccess.bfu
si c'est pas le cas c'est que tu as fait une erreur dans le téléchargement. recommence pour celui qui manque

2°) si tu as les 2 fichiers clic sur "bfu.exe",
dans la fenêtre qui s'ouvre clic sur le petit dossier jaune e haut à droite puis (dans la nouvelle fenêtre double-clic sur "egdaccess.bfu" > la dernière fenêtre se fermeet tu te retrouves avec la 1ere,
là tu clic sur "execut" > qd c'est fini clic sur "exit"

a+ ;)

lance_yien · Answer

bonsoir joselyne,

tu as bien raison, et si nécessaire ne reprends que demain:

l'erreur vient de la construction du dossier dès le départ
tu devrais imprimer tout le paragraphe sur cet utilitaire pour pour pouvoir suivre le déroulement

allez!
bon courage ;)

lance_yien · Answer

bonjour joselyne,

à mon avis les rookit trouvés par blacklight doivent être, toujours là  
ce n'est pas grave pour brute force, on va procéder autrement:
clic ici : http://komun.chez-alice.fr/Utilitaires.html#blacklight
et exécutes l'option "2"
normalement il va te sortir les mm fichiers qu'au post <14>
à la fin de la procédure (assez facile) cherches et supprimes ces fichiers (en gras) qui ne seront visibles qu'après cette procédure et finiront tous par "ren":

C:\windows\system32\jixkgzfyqd.exe 
c:\WINDOWS\system32\jixkgzfyqd.dat 
c:\WINDOWS\system32\jixkgzfyqd_nav.dat 
c:\WINDOWS\system32\jixkgzfyqd_navps.dat

a+

lance_yien · Answer

re,

((BINGO - Gagné ! ))
BRAVO!

((OK , mais maintenant comment puis je faire pour ne plus que ça m'arrive)) 

le risque zéro n'existe pas!
tout ce qu'on peut faire c'est de garder les utilitaires à jour, entretien normal et régulier, ne pas télécharger n'importe quoi et n'importe comment,
et agir dès qu'il y a un doute

bonne chance ;)

lance_yien · Answer

re,

il faut surtout que tu l'adaptes à ta façon de naviguer,
protection mais sans handicap
il s'y pr^te bien

de rien c'est un plaisir et une passion pour moi
a+ ;)

lance_yien · Answer

bonjour joseyne,

crée un nouveau post dans la rubrique "gravure", notes-y tou ce que tu viens d'écrire et colles-y le rapport

a+ ;)

lance_yien · Answer

bonjour Joselyne ,

avec un peu de retard :)

j'ai jeté un coup d'oeil et ça l'air d'avancer vers la bonne solution,

c'es normal qu'on te dise qu'il y a possibilité d'infection (ils savaient pas ce que tu as fait avant,

il faut user de patience, d'ailleurs j'ai trouvé que tu as étée bien suivie

a+

Mieux vaut prevenir que guerir

18 réponses

Votre réponse

Discussions similaires

Newsletters