[ virus] infecter par le virus serwab

Salut

Télécharge ceci sur ton bureau :

Lien : hijackthis

Démo : http://pageperso.aol.fr/balltrap34/demohijack.htm

Choisir l'option "do a scan and a logfile", et faire un copier/coller du rapport ainsi générer sur le forum.

++

merci pour ton aide

Logfile of HijackThis v1.99.1
Scan saved at 20:40:11, on 24/01/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\MessengerPlus! 3\MsgPlus.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\LVComsX.exe
C:\Program Files\Windows Media Player\wmplayer.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Alwil Software\Avast4\ashSimpl.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\Documents and Settings\LAETITIA\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://www.acer.com/worldwide/selection.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Alice ADSL
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)
O2 - BHO: URLLink - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Program Files\NewDotNet\newdotnet7_48.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [saap] c:\program files\180searchassistant\180sa\saap.exe
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~1.DLL,ClientStartup -s
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: Alice ADSL - {707524B0-B0ED-4DEC-87EE-67C7F643678D} - https://portail.free.fr/ (file missing) (HKCU)
O11 - Options group: [INTERNATIONAL] International*
O14 - IERESET.INF: START_PAGE_URL=https://portail.free.fr/
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: WRNotifier - WRLogonNTF.dll (file missing)
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

re

cherche et supprime les fichiers en gras :

c:\program files\180searchassistant\180sa\saap.exe

C:\Program Files\NewDotNet\newdotnet7_48.dll

ainsi que les programmes du même nom ( cf panneau de configuration < ajout/supprimer un programme )

ensuite :

Télécharge Blacklight (de F-Secure) :

https://europe.f-secure.com/exclude/blacklight/index.shtml

et sauvegarde le sur ton Bureau.

Double-clique blbeta.exe et accepte la licence ;clique Scan puis Next

Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres).

Copie et colle le contenu de ce rapport dans ta prochaine réponse

++

La sagesse, c'est d'avoir des rêves suffisamment grands pour ne pas les
perdre de vue lorsqu'on les poursuit. (Oscar Wilde)

je ne trouve pas se fichier
c:\program files\180searchassistant\180sa\saap.exe

et quan je veu supprimer celui la
C:\Program Files\NewDotNet\newdotnet7_48.dll
sa mecrit impossible de supprimer se fichier car cette ressource et utiliser par une autre personne ou un autre programe

re

ok, essaye en mode sans echec :

windows xp demarrage en mode sans echec

++

voila je poste quan meme le rapport

01/24/07 21:16:31 [Info]: BlackLight Engine 1.0.55 initialized
01/24/07 21:16:31 [Info]: OS: 5.1 build 2600 (Service Pack 2)
01/24/07 21:16:31 [Note]: 7019 4
01/24/07 21:16:31 [Note]: 7005 0
01/24/07 21:16:48 [Note]: 7006 0
01/24/07 21:16:49 [Note]: 7011 1204
01/24/07 21:16:49 [Note]: 7026 0
01/24/07 21:16:49 [Note]: 7026 0
01/24/07 21:16:49 [Note]: 7024 3
01/24/07 21:16:49 [Info]: Hidden process: C:\windows\system32\mcbxdbsqhm.exe
01/24/07 21:17:02 [Note]: FSRAW library version 1.7.1021
01/24/07 21:17:15 [Info]: Hidden file: c:\WINDOWS\SYSTEM32\MCBXDB~1.EXE
01/24/07 21:17:16 [Info]: Hidden file: c:\WINDOWS\SYSTEM32\MCBXDB~1.DAT
01/24/07 21:17:16 [Info]: Hidden file: c:\WINDOWS\SYSTEM32\MCBXDB~2.DAT
01/24/07 21:17:16 [Info]: Hidden file: c:\WINDOWS\SYSTEM32\MCBXDB~3.DAT
01/24/07 21:17:17 [Note]: 2000 1012

ok je re essai en mode sans echec

me revoila
jai supprimer le C:\Program Files\NewDotNet\newdotnet7_48.dll
mais lautre je ne lai tjr pas trouver

voila je te reposte le nouveau rappor au cas ou lautre ne serai plus bon vu que jai supprimer le dossier que tu ma indiquer

01/24/07 21:36:58 [Info]: BlackLight Engine 1.0.55 initialized
01/24/07 21:36:58 [Info]: OS: 5.1 build 2600 (Service Pack 2)
01/24/07 21:36:58 [Note]: 7019 4
01/24/07 21:36:58 [Note]: 7005 0
01/24/07 21:37:05 [Note]: 7006 0
01/24/07 21:37:05 [Note]: 7011 240
01/24/07 21:37:05 [Note]: 7026 0
01/24/07 21:37:05 [Note]: 7026 0
01/24/07 21:37:05 [Note]: 7024 3
01/24/07 21:37:05 [Info]: Hidden process: C:\windows\system32\mcbxdbsqhm.exe
01/24/07 21:37:17 [Note]: FSRAW library version 1.7.1021
01/24/07 21:37:27 [Info]: Hidden file: c:\WINDOWS\SYSTEM32\MCBXDB~1.EXE
01/24/07 21:37:27 [Info]: Hidden file: c:\WINDOWS\SYSTEM32\MCBXDB~1.DAT
01/24/07 21:37:27 [Info]: Hidden file: c:\WINDOWS\SYSTEM32\MCBXDB~2.DAT
01/24/07 21:37:27 [Info]: Hidden file: c:\WINDOWS\SYSTEM32\MCBXDB~3.DAT
01/24/07 21:37:28 [Note]: 2000 1012

ok

Je prepare la manip, je reviens ;-)

++

ok pas de problme
et merci pour ton aide c simpa de ta part

re

# Affiche les dossiers système et fichiers cachés :
Ouvrir le poste de travail :
- Outils --> Options des dossiers
- Affichage --> zone Paramètres avancés
- Cocher : Afficher le contenu des dossiers système
- Cocher : Afficher les fichiers et dossiers cachés
- Décocher : Masquer les extensions des fichiers dont le type est connu
- Décocher : Masquer les fichiers protégés du système d'exploitation (recommandé)
répondre Oui au message
Clique sur "Appliquer à tous les dossiers"
Clique sur OK

# passe à l'option 2 de blacklight :

voir demo : http://perso.orange.fr/entraide-hijackthis/Mailskinner/Blacklight.htm

après le redemmarage du PC :

Télécharge Killbox sur ton Bureau :

http://www.downloads.subratam.org/KillBox.exe

Double-clique killbox.exe.

Copie le texte gras ci-bas (sélectionne tout avec ta souris, clic-droit et "Copier") :

C:\windows\system32\mcbxdbsqhm.exe
c:\WINDOWS\SYSTEM32\MCBXDB~1.EXE
c:\WINDOWS\SYSTEM32\MCBXDB~1.DAT
c:\WINDOWS\SYSTEM32\MCBXDB~2.DAT
c:\WINDOWS\SYSTEM32\MCBXDB~3.DAT

* Sélectionnz "delete on reboot"
* Cliquez sur le menu "File" -> "Past from clip board"
* Cliquez sur All Files
* Cliquez sur la croix rouge et et blanche
* Répondez yes et laisse redémarrer ton pc.
*poste un nouveau blacklight

cf démo : http://mickael.barroux.free.fr/securite/killbox.html

ensuite, fais les manips de ce lien stp :

virus methode preliminaire de desinfection version fr

@+

jai fait comme tu ma dit mais mon pc ne redemarre pas

re

c'est après le passage de killbox ???

redemarrer toi même le PC

++

ha ok javait mal compris desoler

desoler lanalise a etait longue ---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

+ Créé à: 23:06:12 24/01/2007

+ Résultat de l'analyse:

C:\System Volume Information\_restore{EADA2B13-36AE-4518-A8C2-3D8B7D759571}\RP103\A0021315.exe -> Adware.NewDotNet : Ignoré.
C:\System Volume Information\_restore{EADA2B13-36AE-4518-A8C2-3D8B7D759571}\RP103\A0021387.dll -> Adware.NewDotNet : Ignoré.
C:\WINDOWS\NDNuninstall7_48.exe -> Adware.NewDotNet : Ignoré.
HKLM\SOFTWARE\Classes\Tldctl2.URLLink -> Adware.NewDotNet : Ignoré.
HKLM\SOFTWARE\Classes\Tldctl2.URLLink.1 -> Adware.NewDotNet : Ignoré.
HKLM\SOFTWARE\Classes\Tldctl2.URLLink\CLSID -> Adware.NewDotNet : Ignoré.
HKLM\SOFTWARE\Classes\Tldctl2.URLLink\CurVer -> Adware.NewDotNet : Ignoré.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4A2AACF3-ADF6-11D5-98A9-00E018981B9E} -> Adware.NewDotNet : Ignoré.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\New.net -> Adware.NewDotNet : Ignoré.
HKLM\SOFTWARE\New.net -> Adware.NewDotNet : Ignoré.
HKU\S-1-5-21-1729675921-3064308577-799553850-1006\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{4A2AACF3-ADF6-11D5-98A9-00E018981B9E} -> Adware.NewDotNet : Ignoré.
C:\Documents and Settings\CHOKRI\Cookies\chokri@aolfr.122.2o7[1].txt -> TrackingCookie.2o7 : Ignoré.
C:\Documents and Settings\CHOKRI\Cookies\chokri@microsofteup.112.2o7[1].txt -> TrackingCookie.2o7 : Ignoré.
C:\Documents and Settings\CHOKRI\Cookies\chokri@msnportal.112.2o7[1].txt -> TrackingCookie.2o7 : Ignoré.
C:\Documents and Settings\CHOKRI\Cookies\chokri@adtech[2].txt -> TrackingCookie.Adtech : Ignoré.
C:\Documents and Settings\CHOKRI\Cookies\chokri@advertising[1].txt -> TrackingCookie.Advertising : Ignoré.
C:\Documents and Settings\CHOKRI\Cookies\chokri@atdmt[2].txt -> TrackingCookie.Atdmt : Ignoré.
C:\Documents and Settings\CHOKRI\Cookies\chokri@bluestreak[2].txt -> TrackingCookie.Bluestreak : Ignoré.
C:\Documents and Settings\CHOKRI\Cookies\chokri@bluestreak[3].txt -> TrackingCookie.Bluestreak : Ignoré.
C:\Documents and Settings\CHOKRI\Cookies\chokri@doubleclick[1].txt -> TrackingCookie.Doubleclick : Ignoré.
C:\Documents and Settings\CHOKRI\Cookies\chokri@estat[1].txt -> TrackingCookie.Estat : Ignoré.
C:\Documents and Settings\CHOKRI\Cookies\chokri@ehg-telecomitalia.hitbox[1].txt -> TrackingCookie.Hitbox : Ignoré.
C:\Documents and Settings\CHOKRI\Cookies\chokri@hitbox[1].txt -> TrackingCookie.Hitbox : Ignoré.
C:\Documents and Settings\CHOKRI\Cookies\chokri@mediaplex[1].txt -> TrackingCookie.Mediaplex : Ignoré.
C:\Documents and Settings\CHOKRI\Cookies\chokri@stats1.reliablestats[1].txt -> TrackingCookie.Reliablestats : Ignoré.
C:\Documents and Settings\CHOKRI\Cookies\chokri@www.smartadserver[2].txt -> TrackingCookie.Smartadserver : Ignoré.
C:\Documents and Settings\CHOKRI\Cookies\chokri@tradedoubler[2].txt -> TrackingCookie.Tradedoubler : Ignoré.
C:\Documents and Settings\CHOKRI\Cookies\chokri@weborama[1].txt -> TrackingCookie.Weborama : Ignoré.
C:\Documents and Settings\CHOKRI\Cookies\chokri@ad.yieldmanager[1].txt -> TrackingCookie.Yieldmanager : Ignoré.
C:\Documents and Settings\CHOKRI\Cookies\chokri@ad.yieldmanager[2].txt -> TrackingCookie.Yieldmanager : Ignoré.

Fin du rapport

oui, un peu long

as tu supprimé tout ce qu'il ta trouvé ???

le scan en ligne est lui aussi très long, tu peux le faire pour demain

je vais pas tarder

++

oui jai supprimer tout se quil y avait
ok bhé quan le scan et terminer je le poste et tu le regardera demain

merci pour ton aide a demain bonne nuit

re

le scan en ligne peu être très long ( parfois quelques heures ! ) je ne t'oblige pas à le faire de suite, mais c'est toi qui vois ;-))

@+

ha ok mais c pas grave je suis insomniaque toute facon

bis a demain