virus persistant

Question

Bonjour,
mon pc est infecté par le virus win32: Ranky-FZ [trj], à chaque démarrage.
Je détruis les fichiers infectés avec avast 4.7 mais un nouveau fichier est infecté au démarage suivant. 
 Si j'ai bien compris, il fallait télécharger HijackThis et vous envoyer une copie du scan afin de savoir les fichiers à fixer. 

Merci pour votre éventuelle aide.

Logfile of HijackThis v1.99.1
Scan saved at 11:40:39, on 28/02/2007
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\QuickTime\qttask.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\windows\iexplore\iexplore.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
C:\WINDOWS\msnmessangern.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\dllcache\qxchost.exe
C:\Program Files\CyberLink\Shared files\RichVideo.exe
C:\WINDOWS\System32\dllcache\seagatecom.exe
C:\WINDOWS\crsss.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\System32\svchost.exe
C:\Documents and Settings\Propriétaire\Local Settings\Temp\Répertoire temporaire 1 pour hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?redirfallthru=http%3a%2f%2fwww.msn.fr%2fhelp%2fHelp4%2f%3f
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll
O4 - HKLM\..\RunServices: [Win32] eim.exe
O4 - HKLM\..\RunServices: [Windows Service Agent] nzxasg.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Ouvrir dans un nouvel onglet d'arrière-plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/229?1cb6f3d293fb452a8296fa97834acc47
O8 - Extra context menu item: Ouvrir dans un nouvel onglet de premier plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/230?1cb6f3d293fb452a8296fa97834acc47
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm (file missing)
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm (file missing)
O14 - IERESET.INF: START_PAGE_URL=about:blank
O16 - DPF: {30528230-99F7-4BB4-88D8-FA1D4F56A2AB} (YInstStarter Class) - http://us.dl1.yimg.com/download.yahoo.com/dl/yinst/yinst_current.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/280baf8e6ae6831ac915/netzip/RdxIE601_fr.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/...
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - http://charon777.free.fr/plugins/hardwaredetection.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: antivirusdll - Unknown owner - C:\WINDOWS\msnmessangern.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Microsoft Agent - Unknown owner - C:\WINDOWS\System32\dllcache\qxchost.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared files\RichVideo.exe
O23 - Service: Seagate Communication - Unknown owner - C:\WINDOWS\System32\dllcache\seagatecom.exe
O23 - Service: Windows Service Monitor (winsvcmon) - Unknown owner - C:\WINDOWS\System32\winsvcmon.exe
O23 - Service: ¾2:¡/
wù:GŸ·siÖ (€?
) - Unknown owner - C:\WINDOWS\crsss.exe

philae83 · Answer

Bonjour,

pas d'antivirus au démarrage ????

tu es infecté effectivement, on commence par ceci :

* télécharge AVG Anti-Spyware (ewido)

https://www.avg.com/en-ww/free-antivirus-download

* tu l'installes

* lance AVG Anti-Spyware et clique sur le bouton Mise à jour. Patiente

puis

Lance AVG Anti-Spyware

Clique sur le bouton Analyse (de la barre d'outils)

Puis sur l'onglet Paramètres,
sous : "Comment réagir "clique sur Actions recommandées. Sélectionne Quarantaine.

Reviens à l'onglet Analyse. Clique sur Analyse complète du système.

A la fin du scan, choisis l'option 3

"Appliquer toutes les actions " en bas.

Clique sur "Enregistrer le rapport".

Ceci génère un rapport en fichier texte qui se trouve dans le dossier Reports du dossier d'AVG Anti-Spyware.

Poste le.

philae83 · Answer

Bonjour,


merci pour ton intervention.
J'ai bien télécharger AGV mais comme je suis abonné à avast, je suppose qu'il ya conflit entre les deux puisque malgré une longue attente après avoir cliqué mise à jour": rien ne se passe.

avast n'est pas en fonction visiblement sur ton pc, en ts les cas il n'est pas actif.
AVG n'est pas un antivirus, mais un antispyware, donc pas de risque d'incompatibilité non +
pour les mises à jour tu peux les prendre ici

http://downloads.ewido.net/avgas-signatures-full-current.exe


en revanche j'avais téléchargé Hijackthis et obtenu un rapport que j'ai copié dans le forum. (cf message précédent)

Si c'est le même rapport que tu attends , il ne resterait qu'à m'indiquer les fichiers qu'il faut fixer.
merci de m'éclairer sur la situation

Je l'ai vu ton rapport hijackthis, tu es infecté, je le vois aussi, néanmoins je veux que tu passes AVG anti spy stp, et que tu répondes à ma question concernant AVAST qui n'est pas actif. Sais tu pourquoi. Merci

youyou2612 · Answer

Bonsoir
toujours à propos du virus RANKY-FZ

AVAST
tu me dis qu'il ne semble pas actif. Pourtant je me suis bien inscrit sur le site d'avast pour une année.
au démarrage, il  ya comme un panneau d'interdiction de stationner sur l'icone d'avast mais ensuite elle commence à tourner. Avast me lance un message indiquant la présence du virus juste avant l'ouverture de la fenêtre de msn messenger. Puis j'ai une fenêtre me proposant 3 options rename/remove ou delete ou send to chest. 
Lorsque je lance Avast je peux visualiser les fichiers infectés...

AGV antispyware
j'ai suivi tes instructions voici le rapport ( il yavait quand une remarque à côté de la fenêtre du rapport, sur une trace d'un virus dans un fichier msnmessenger...)
---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	19:59:31 01/03/2007

 + Résultat de l'analyse:	



C:\Program Files\Fichiers communs\DriveCleaner Free\udcpas.exe -> Adware.DriveCleaner : Nettoyé et sauvegardé (mise en quarantaine).
C:\Program Files\Fichiers communs\DriveCleaner Free\udcsdr.exe -> Adware.DriveCleaner : Nettoyé et sauvegardé (mise en quarantaine).
C:\Program Files\Video ActiveX Object -> Adware.Generic : Nettoyé et sauvegardé (mise en quarantaine).
HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\{c95fe080-8f5d-11d2-a20b-00aa003c157a} -> Adware.Generic : Nettoyé et sauvegardé (mise en quarantaine).
HKU\S-1-5-21-790525478-1580818891-854245398-1003\Software\Internet Security -> Adware.Generic : Nettoyé et sauvegardé (mise en quarantaine).
C:\Documents and Settings\Propriétaire\Local Settings\Temp\b122.exe -> Adware.Softomate : Nettoyé et sauvegardé (mise en quarantaine).
C:\Documents and Settings\Propriétaire\Local Settings\Temp\b130.exe -> Adware.Softomate : Nettoyé et sauvegardé (mise en quarantaine).
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\8UEAH30X\p[1].exe -> Backdoor.IRCBot.wt : Nettoyé et sauvegardé (mise en quarantaine).
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\GLU30L6F\fijx[1].exe -> Backdoor.IRCBot.zr : Nettoyé et sauvegardé (mise en quarantaine).
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\PH0OE5R7\84785_redworld[1].exe -> Backdoor.IRCBot.zr : Nettoyé et sauvegardé (mise en quarantaine).
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\RRUNWB35\84785_redworld[1].exe -> Backdoor.IRCBot.zr : Nettoyé et sauvegardé (mise en quarantaine).
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\ZB0WNQWZ\84785_redworld[2].exe -> Backdoor.IRCBot.zr : Nettoyé et sauvegardé (mise en quarantaine).
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\8UEAH30X\84785_nttpm[1].exe -> Backdoor.Mytobor.e : Nettoyé et sauvegardé (mise en quarantaine).
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\8UEAH30X\84785_nttpm[2].exe -> Backdoor.Mytobor.e : Nettoyé et sauvegardé (mise en quarantaine).
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\RRUNWB35\84785_nttpm[1].exe -> Backdoor.Mytobor.e : Nettoyé et sauvegardé (mise en quarantaine).
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\KH4NCX83\emix[1].exe -> Backdoor.Rbot : Nettoyé et sauvegardé (mise en quarantaine).
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\KH4NCX83\syme[1].exe -> Backdoor.Rbot : Nettoyé et sauvegardé (mise en quarantaine).
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\KXUVKLIJ\fix[1].exe -> Backdoor.Rbot : Nettoyé et sauvegardé (mise en quarantaine).
C:\WINDOWS\system32\nzxasg.exe -> Backdoor.Rbot : Nettoyé et sauvegardé (mise en quarantaine).
[1668] C:\WINDOWS\msnmessangern.exe -> Backdoor.SdBot : Nettoyé et sauvegardé (mise en quarantaine).
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\KH4NCX83\rap[1].exe -> Backdoor.SdBot.bfc : Nettoyé et sauvegardé (mise en quarantaine).
C:\Documents and Settings\Propriétaire\Application Data\drvcleaner.exe -> Downloader.Small : Nettoyé et sauvegardé (mise en quarantaine).
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\STIV4PQZ\ve0wh[1].jpg -> Proxy.Ranky : Nettoyé et sauvegardé (mise en quarantaine).
C:\Program Files\Alwil Software\Avast4\DATA\moved\[FSG].2.vir -> Proxy.Ranky : Nettoyé et sauvegardé (mise en quarantaine).
C:\Program Files\Alwil Software\Avast4\DATA\moved\[FSG].vir -> Proxy.Ranky : Nettoyé et sauvegardé (mise en quarantaine).
C:\WINDOWS\system32\1.tmp -> Proxy.Ranky : Nettoyé et sauvegardé (mise en quarantaine).
C:\WINDOWS\system32\2.tmp -> Proxy.Ranky : Nettoyé et sauvegardé (mise en quarantaine).
:mozilla.189:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.247realmedia : Nettoyé.
:mozilla.190:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.247realmedia : Nettoyé.
:mozilla.191:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.247realmedia : Nettoyé.
C:\Documents and Settings\Propriétaire\Cookies\propriétaire@247realmedia[1].txt -> TrackingCookie.247realmedia : Nettoyé.
:mozilla.134:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.2o7 : Nettoyé.
:mozilla.91:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.2o7 : Nettoyé.
:mozilla.92:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.2o7 : Nettoyé.
C:\Documents and Settings\Propriétaire\Cookies\propriétaire@msnportal.112.2o7[1].txt -> TrackingCookie.2o7 : Nettoyé.
:mozilla.138:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Adtech : Nettoyé.
:mozilla.139:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Adtech : Nettoyé.
:mozilla.33:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Advertising : Nettoyé.
:mozilla.34:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Advertising : Nettoyé.
:mozilla.35:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Advertising : Nettoyé.
:mozilla.80:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Atdmt : Nettoyé.
C:\Documents and Settings\LocalService\Cookies\system@atdmt[1].txt -> TrackingCookie.Atdmt : Nettoyé.
C:\Documents and Settings\Propriétaire\Cookies\propriétaire@atdmt[2].txt -> TrackingCookie.Atdmt : Nettoyé.
:mozilla.57:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Bluestreak : Nettoyé.
C:\Documents and Settings\Propriétaire\Cookies\propriétaire@bluestreak[2].txt -> TrackingCookie.Bluestreak : Nettoyé.
C:\Documents and Settings\Propriétaire\Cookies\propriétaire@fl01.ct2.comclick[1].txt -> TrackingCookie.Comclick : Nettoyé.
:mozilla.58:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Doubleclick : Nettoyé.
C:\Documents and Settings\Propriétaire\Cookies\propriétaire@doubleclick[1].txt -> TrackingCookie.Doubleclick : Nettoyé.
:mozilla.155:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Estat : Nettoyé.
C:\Documents and Settings\Propriétaire\Cookies\propriétaire@estat[1].txt -> TrackingCookie.Estat : Nettoyé.
:mozilla.176:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Fastclick : Nettoyé.
:mozilla.135:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Hitbox : Nettoyé.
:mozilla.145:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Hitbox : Nettoyé.
:mozilla.149:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Mediaplex : Nettoyé.
C:\Documents and Settings\Propriétaire\Cookies\propriétaire@mediaplex[1].txt -> TrackingCookie.Mediaplex : Nettoyé.
:mozilla.31:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Overture : Nettoyé.
:mozilla.32:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Overture : Nettoyé.
:mozilla.100:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Real : Nettoyé.
:mozilla.101:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Real : Nettoyé.
:mozilla.102:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Real : Nettoyé.
:mozilla.103:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Real : Nettoyé.
:mozilla.112:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Real : Nettoyé.
:mozilla.95:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Real : Nettoyé.
:mozilla.96:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Real : Nettoyé.
:mozilla.97:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Real : Nettoyé.
:mozilla.98:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Real : Nettoyé.
:mozilla.99:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Real : Nettoyé.
C:\Documents and Settings\Propriétaire\Cookies\propriétaire@real[1].txt -> TrackingCookie.Real : Nettoyé.
:mozilla.159:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Serving-sys : Nettoyé.
:mozilla.160:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Serving-sys : Nettoyé.
:mozilla.161:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Serving-sys : Nettoyé.
:mozilla.162:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Serving-sys : Nettoyé.
:mozilla.163:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Serving-sys : Nettoyé.
:mozilla.182:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Serving-sys : Nettoyé.
C:\Documents and Settings\Propriétaire\Cookies\propriétaire@bs.serving-sys[1].txt -> TrackingCookie.Serving-sys : Nettoyé.
C:\Documents and Settings\Propriétaire\Cookies\propriétaire@serving-sys[2].txt -> TrackingCookie.Serving-sys : Nettoyé.
:mozilla.150:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Smartadserver : Nettoyé.
:mozilla.151:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Smartadserver : Nettoyé.
:mozilla.152:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Smartadserver : Nettoyé.
:mozilla.153:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Smartadserver : Nettoyé.
C:\Documents and Settings\Propriétaire\Cookies\propriétaire@www.smartadserver[2].txt -> TrackingCookie.Smartadserver : Nettoyé.
C:\Documents and Settings\Propriétaire\Cookies\propriétaire@tradedoubler[1].txt -> TrackingCookie.Tradedoubler : Nettoyé.
:mozilla.105:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Weborama : Nettoyé.
:mozilla.106:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Weborama : Nettoyé.
:mozilla.107:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Weborama : Nettoyé.
:mozilla.108:C:\Documents and Settings\Propriétaire\Application Data\Mozilla\Firefox\Profiles\3teg9540.default\cookies.txt -> TrackingCookie.Weborama : Nettoyé.
C:\Documents and Settings\Propriétaire\Cookies\propriétaire@weborama[1].txt -> TrackingCookie.Weborama : Nettoyé.


Fin du rapport

Merci de continuer à me soutenir

philae83 · Answer

Bonsoir,

bizarre tout de même pour avast car dans tes lignes 04 il n'apparait pas, donc pour moi pas au démarrage, pas actif.
On éclaircira ca ensuite si tu veux. Pour le moment peux tu refaire un scan avec hijackthis qu'on termine de nettoyer stp

philae83 · Answer

Bonjour,

c'est certain que sans clé d'activation, tu ne l'avais pas. C'est ainsi qu'il faut procéder, c'est un antivirus gratuit, mais il faut demander la clé. 
cette fois il est actif au démarrage.

ton système d'exploitation n'est pas à jour. POURQUOI ?
-----

* Télécharge Pocket KillBox sur ton bureau.
http://www.downloads.subratam.org/KillBox.exe

puis

Démarrer "Exécuter…" puis Tape "services.msc" et valide par  OK
la fenêtre des Services s'ouvre => vérifier dans la partie inférieure que l'onglet "Etendu" est bien sélectionné, sinon faites le.

antivirusdll
et le chemin
C:\WINDOWS\msnmessangern.exe

- Dans la colonne "Nom", DOUBLE CLIQUE sur le service noté en GRAS ci dessus, pour faire apparaître "Propriétés".
- Vérifie dans "Chemin d'accès des fichiers exécutables" qu'il s'agit bien de l'emplacement souligné.
- Puis clique sur Arrêter
- Dans le menu déroulant "Type de démarrage", sélectionne "Désactivé".
- valide la modification par OK
- Ferme la fenêtre des Services.

recommence avec

Microsoft Agent 
et le chemin
C:\WINDOWS\System32\dllcache\qxchost.exe 

recommence avec :

Seagate Communication 
et le chemin
C:\WINDOWS\System32\dllcache\seagatecom.exe

recommence avec :
Windows Service Monitor (winsvcmon)
et le chemin
C:\WINDOWS\System32\winsvcmon.exe 

recommence avec :
¾2:¡/wù:GŸ·siÖ (€? 
et le chemin
C:\WINDOWS\crsss.exe

puis

lance hijackthis---open the misc tool section>Misc tools>delete an NT service.
Dans l'invite de commande, entre 
antivirusdll
Valide.

recommence avec ce nom
Microsoft Agent

recommence avec ce nom
Seagate Communication 

recommence avec ce nom
Windows Service Monitor 

recommence avec ce nom
¾2:¡/wù:GŸ·siÖ (€? 

puis

relance hijackthis "do a system scan only" et coche ces lignes :

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) 
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime 
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot 
O4 - HKLM\..\Run: [Repair Registry Pro] C:\Program Files\Repair Registry Pro\RepairRegistryPro.exe -s 
O4 - HKLM\..\Run: [Win32] eim.exe
O4 - HKLM\..\RunServices: [Win32] eim.exe 
O4 - HKCU\..\Run: [Win32] eim.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe 
O14 - IERESET.INF: START_PAGE_URL=about:blank
O16 - DPF: {30528230-99F7-4BB4-88D8-FA1D4F56A2AB} (YInstStarter Class) - http://us.dl1.yimg.com/download.yahoo.com/dl/yinst/yinst_current.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/280baf8e6ae6831ac915/netzip/RdxIE601_fr.cab 
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - http://charon777.free.fr/plugins/hardwaredetection.cab 

* ferme toutes les fenêtres ouvertes y compris Internet Explorer et clique sur "fix checked"

puis

* Double-clique sur le fichier Killbox.exe, et coche la case "Delete on reboot".
* copie d'un trait les lignes de la citation suivante :


C:\Program Files\Fichiers communs\DriveCleaner Free
C:\Program Files\Repair Registry Pro
c:\windows\eim.exe
C:\WINDOWS\msnmessangern.exe
C:\WINDOWS\System32\dllcache\qxchost.exe 
C:\WINDOWS\System32\dllcache\seagatecom.exe
C:\WINDOWS\crsss.exe 

Sur PocketKillBox --> menu "File" --> "Paste from Clipboard" (tu ne verras rien se passer).

Tu peux vérifier dans le menu déroulant que tous les fichiers sont bien présents.
- coche la case "Unregister dll before deleting" (si tu en as la possibilité)
- clique sur le bouton "All files"
- clique ensuite sur la croix rouge

Au deux messages qui vont s'afficher, tu réponds par "YES"
L'ordinateur doit redémarrer, sinon, fais le toi-même, quoiqu'il arrive.


* lance AVG pour un scan complet et poste le rapport ainsi qu'un nouveau rapport hijackthis stp

philae83 · Answer

re

oui il y a autre chose, je t'avais demandé 

ainsi qu'un nouveau rapport hijackthis stp 

poste le stp

philae83 · Answer

il en reste es tu sûr de ne pas avoir oublié une ligne

* relance hijackthis et coche et fixe ces lignes :

O4 - HKLM\..\Run: [Win32] eim.exe
O4 - HKLM\..\RunServices: [Win32] eim.exe 

puis

1- Double-clic sur KillBox.exe
2- Selectionne "Delete on Reboot"
3 - Dans "Full Path of File to Delete"
copie et colle: 

c:\windows\system32\eim.exe

5- clic sur le rond rouge
6- une fenetre va apparaitre pour confirmation clic sur OUI
7- une seconde fenetre te demande si tu veux redemarrer clic sur OUI

reposte un nouveau rapport hijackthis

philae83 · Answer

Bonjour,

ok pour le service, mais eim.exe est toujours là

relance hijackthis et coche puis fixe

O4 - HKCU\..\Run: [Win32] eim.exe 

1- Double-clic sur KillBox.exe
2- Selectionne "Delete on Reboot"
3 - Dans "Full Path of File to Delete"
copie et colle: 

c:\windows\system32\eim.exe

5- clic sur le rond rouge
6- une fenetre va apparaitre pour confirmation clic sur OUI
7- une seconde fenetre te demande si tu veux redemarrer clic sur OUI

reposte un nouveau rapport hijackthis et dit moi si tu n'as pas eu de soucis avec killbox

philae83 · Answer

Bonjour,

cette fois c'est parfait. As tu encore des soucis ou non ?
tu peux peut être faire un scan antivirus en ligne pour confirmation et poster le rapport ici ensuite.

* Fait un scan antivirus en ligne 
https://www.bitdefender.fr/
et copie colle le résultat ici
* En bas, à gauche de la fenêtre, clique sur BitDefender SCAN ONLINE
* Dans la nouvelle fenêtre, clique sur I agree
* La fenêtre change encore, clique sur Click here to scan
* Les signatures se chargent, etc.

philae83 · Answer

Bonjour

je te répondrais que ton système d'exploitation n'est pas à jour depuis des lustres, que tu n'as visiblement pas de parefeu, et que tu vas être en permanence infecté.
télécharge au moins un firewall stp
securite proteger un ordinateur contre les malwares d internet

ensuite ré essaye quand même un scan antivirus en ligne si ce n'est bitdefender essaye d'autres
https://www.pandasecurity.com/?ref=www.pandasoftware.com/activescan/fr/activescan_principal.htm
(en désactivant ton antivirus ils ne s'aiment pas)

ou

SYMANTEC
http://security.symantec.com/sscv6/default.asp?langid=ie&venid=sym

A effectuer avec IE
Clique sur Virus Detection --->" Start "
Clique sur " I accept ", puis " Next "
Clique sur " I consent ", puis " Next "
Un control active X, va se charger
Dans la nouvelle fenetre qui s'ouvre, valide en bas à gauche " Toujours faire confiance .... ", puis clique sur OK
Le scan débute donc par le dernier HDD 

poste le rapport

philae83 · Answer

Bonsoir,

mon système d'exploitation n'est pas mis à jour car j'ai bloqué les mises à jour automatiques. lorsque software distribution pack 2 s'installait, il y avait à chaque fois un blocage du système.
si tu peux me conseiller...

en fait non pas trop si tu as des soucis pour la màj du SP2 faudrait peut être demander sur le forum adéquat (windows)

 ( ayant fait un scan avec avast 4.7, j'avais mis deux fichiers infectés en quarantaine ). 


lesquels ? tu t'en souviens ?

C:\Documents and Settings\Propriétaire\Local Settings\Temp\UDC6_0001_D21M1601\installer.exe is infected with DriveCleaner
C:\!KillBox\eim.exe is infected with W32.Spybot.Worm 

supprime après avoir affiché les fichiers et dossiers cachés tout le contenu de
C:\Documents and Settings\Propriétaire\Local Settings\Temp 

supprime C:\!KillBox

philae83 · Answer

bonsoir,

as tu pu supprimer le contenu de
C:\Documents and Settings\Propriétaire\Local Settings\Temp 

vide la quarantaine de ton antivirus.

As tu encore des problèmes ?

philae83 · Answer

Bonjour,

parfait 
tu peux supprimer c:!killbox

pense à mettre ton sujet en RESOLU stp. Merci

bonne fin de journée

philae83 · Answer

bonjour,

certainement pas, tu vas te retrouver une nouvelle fois infecté. 
J'espère que tu n'as pas cliqué ?

youyou2612 · Answer

Bonjour,
Malheureusement  oui! en déplaçant malencontreusement la souris; pourtant la provenance de la page (kiev en ukraine ) m'avait mis la puce à l'oreille!
Après en cherchant sur le web je me suis rendu compte que c'était un malware: manque d'expérience!

J'ai désinstallé driverclean2006.

J'ai fait une analyse avec AGV antispyware et j'ai nettoyer et mis en quarantaine 2 malwares. j'ai tout effacé dans le dossier quarantaine.
J'ai fait un scan avec HijackThis et j'ai fixé un fichier contenant  le mot "drivecleaner";

J'ai recherché " driverclean" dans tous les fichiers y compris les fichiers cachés. j'ai effacé les fichiers que je pouvais effacer.

j'ai recopié  dans killbox le chemin d'accès d'un des  fichiers que je ne pouvais pas effacer; je l'ai détruit avec la mention delete on reboot.
Un scan avac avast ne détecte aucun virus.

au redémarrage, j'ai refusé l'accès à la zone sure de ZoneAlarm à un nouveau programme "winrnr" je crois.

Les fenêtres intempestives n'apparaissent plus sauf au démarrage de internet explorer, ou une page web " broadcast video" s'ouvre juste après ma page de démarrage: msn.fr.

A ce point, je ne sais plus trop quoi faire????
si tu es toujours disponible, excuse moi de te mettre encor à contribution. 
Merci

philae83 · Answer

Bonsoir, * Télécharge Blacklight https://europe.f-secure.com/exclude/blacklight/index.shtml (de F-Secure) (le premier de la page) Enregistre le sur ton Bureau. Double-clique blbeta.exe Clique sur "I ACCEPT" . clique Scan puis Next<*gras> Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres). Copie et colle le contenu de ce rapport dans ta prochaine réponse. NE PAS choisir l'option "Rename" de suite : nous devons analyser le rapport, car des fichiers légitimes peuvent être présents, tel wbemtest.exe et un nouveau rapport hijackthis

youyou2612 · Answer

Bonjour,
D'abord merci pour ta nouvelle intervention.
Voici le contenu du rapport tlbeta
03/11/07 07:35:27 [Info]: BlackLight Engine 1.0.55 initialized
03/11/07 07:35:27 [Info]: OS: 5.1 build 2600 (Service Pack 2)
03/11/07 07:35:35 [Note]: 7019 4
03/11/07 07:35:35 [Note]: 7005 0
03/11/07 07:36:25 [Note]: 7006 0
03/11/07 07:36:25 [Note]: 7011 1576
03/11/07 07:36:26 [Note]: 7026 0
03/11/07 07:36:26 [Note]: 7026 0
03/11/07 07:36:26 [Note]: 7024 3
03/11/07 07:36:26 [Info]: Hidden process: C:\WINDOWS\system32\koos.exe
03/11/07 07:39:12 [Note]: FSRAW library version 1.7.1021
03/11/07 07:52:39 [Note]: 4013 26722
03/11/07 07:52:39 [Note]: 4020 45 65536
03/11/07 07:52:39 [Note]: 4020 45 65536
03/11/07 07:52:39 [Note]: 4018 45 65536
03/11/07 07:52:39 [Note]: 4013 26724
03/11/07 07:52:39 [Note]: 4020 45 65536
03/11/07 07:52:39 [Note]: 4018 45 65536
03/11/07 07:53:07 [Info]: Hidden file: C:\WINDOWS\system32\koos.exe
03/11/07 07:53:08 [Note]: 7002 0
03/11/07 07:53:08 [Note]: 7003 1
03/11/07 07:53:08 [Note]: 10002 1
03/11/07 07:53:09 [Info]: Hidden file: c:\WINDOWS\system32\kprof
03/11/07 07:53:09 [Note]: 7002 0
03/11/07 07:53:09 [Note]: 7003 1
03/11/07 07:53:09 [Note]: 10002 1
03/11/07 07:53:30 [Info]: Hidden file: c:\WINDOWS\system32\poof
03/11/07 07:53:30 [Note]: 7002 0
03/11/07 07:53:30 [Note]: 7003 1
03/11/07 07:53:30 [Note]: 10002 1
03/11/07 08:06:40 [Note]: 7007 0

voici le rapport hijackthis
Logfile of HijackThis v1.99.1
Scan saved at 08:11:53, on 11/03/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\CyberLink\Shared files\RichVideo.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Mes téléchargements\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?redirfallthru=http%3a%2f%2fwww.msn.fr%2fhelp%2fHelp4%2f%3f
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [LanguageShortcut] "C:\Program Files\CyberLink\PowerDVD\Language\Language.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Ouvrir dans un nouvel onglet d'arrière-plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/229?1cb6f3d293fb452a8296fa97834acc47
O8 - Extra context menu item: Ouvrir dans un nouvel onglet de premier plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/230?1cb6f3d293fb452a8296fa97834acc47
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/...
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: instcat - instcat.dll (file missing)
O20 - Winlogon Notify: __c006DF90 - C:\WINDOWS\System32\__c006DF90.dat
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared files\RichVideo.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

philae83 · Answer

Bonsoir,

désolée, mais j'étais absente aujourd'hui, effectivement tu es à nouveau infecté, je te remets la manip à effectuer

ces manips sont à faire dans l'ordre stp, imprime car il te faudra les faire en mode sans échec

*  Télécharge  CCleaner

http://www.filehippo.com/download_ccleaner.html

("Download Latest Version", sur la droite).

Ce logiciel va permettre de supprimer tous les fichiers temporaires. Avant de cliquer sur le bouton "installer", décoche toutes les "options supplémentaires". Par la suite, laisse-le avec ses réglages par défaut. C'est tout.


* télécharge Brute Force Uninstaller

http://www.merijn.org/files/bfu.zip
 

* FAIS UN CLIC-DROIT sur le lien ci dessous

http://metallica.geekstogo.com/EGDACCESS.bfu

et choisis "Enregistrer sous" (dans IE c'est "Enregistrer le lien sous..")

afin de télécharger EGDACCESS.bfu, Type "Tous les fichiers".

Sauvegarde dans le dossier créé (c:\BFU)
 

* FAIS UN CLIC-DROIT sur le lien ci dessous

http://perso.numericable.fr/~altshift/Info/Fichiers/Winsoftware.bfu

et choisis "Enregistrer sous" (dans IE c'est "Enregistrer le lien sous..")

afin de télécharger Winsoftware.bfu, Type "Tous les fichiers".

Sauvegarde dans le dossier créé (c:\BFU)
 

* télécharge Navipromo.zip (par lazzzy)

http://perso.numericable.fr/~altshift/Info/Fichiers/Navipromo07H.zip
et décompresse-le sur ton bureau

* Copie la suite des instructions dans un fichier texte, sur ton bureau. et redémarre en mode sans échec comme indiqué ici

https://forum.pcastuces.com/default.asp#haut

à la lettre C

Il faudra choisir ta session habituelle, pas le compte "Administrateur" ou autre.


* lance le fichier Navipromo.bat qui se trouve dans le dossier Navipromo, sur ton bureau.
* Sélectionne l'option "Recherche et suppression automatique". Patiente.
S'il trouve quelque chose, tu verras défiler des lignes dans la fenêtre de commande et au bout de quelques instants, il faudra que tu appuies sur une touche pour que le nettoyage soit lancé. Lorsqu'il a terminé, ferme le rapport qui s'est ouvert

* Relance l'outil, Sélectionne l'option "Suppression Heuristique", et patiente quelques minutes.
Lorsqu'il a terminé, ferme le rapport qui s'est ouvert

* Démarre le "Brute Force Uninstaller" en double-cliquant sur BFU.exe. 
Clique sur le petit dossier jaune, à la droite de la boîte "Scriptline to execute", et double-clique sur : EGDACCESS.bfu 
- Dans la boîte "Scriptline to execute", tu devrais maintenant voir ceci : C:\BFU\EGDACCESS.bfu
Clique sur "Execute" et laisse-le faire son travail.
Attendre que "Complete script execution" apparaîsse et clique sur OK.
Clique exit pour fermer le programme BFU.
Recommence encore une fois. 

* Démarre encore le "Brute Force Uninstaller" en double-cliquant sur BFU.exe. 
* Clique sur le petit dossier jaune, à la droite de la boîte "Scriptline to execute", et double-clique sur : Winsoftware.bfu
- Dans la boîte "Scriptline to execute", tu devrais maintenant voir ceci : C:\BFU\Winsoftware.bfu
* Clique sur "Execute" et laisse-le faire son travail.
Attendre que "Complete script execution" apparaîsse et clique sur OK. 
* Clique exit pour fermer le programme BFU.
Recommence encore une fois


* Démarrer -> panneau de configuration -> options internet

Clique sur l'onglet "Contenu" puis onglet "Certificats" et si tu trouves ceci, en particulier dans "éditeurs approuvés" : 

electronic-group - egroup - Montorgueil - VIP - "Sunny Day Design Ltd" 

=> Supprime-les tous

* lance Ccleaner pour un nettoyage complet.

* redémarre normalement et poste le contenu du fichier Navipromo.txt qui se trouve dans Poste de travail > disque C:\

Précise les difficultés que tu as eu (ce que tu n'as pas pu faire...) ainsi que l'évolution de la situation.

philae83 · Answer

bonsoir,

tu choisis le compte où tu as l'habitude d'aller, si tu n'en as qu'un tu prends celui là. Oublie le compte invité.

philae83 · Answer

Bonsoir,

bizarre ton rapport, reposte le pour voir

C:\ navipromo.txt.

As tu bien fait toutes les manips ?

reposte aussi un rapport blacklight stp

DarkRodWarrior · Answer

Cessez vos conneries personnes ni comprend rien et on s'en fout !!!

Utilisez Avast! :

https://www.avast.com/fr-fr/free-antivirus-download

A Bientôt

philae83 · Answer

Bonsoir,

le rapport de winsoftware.bfu  je n'en ai pas besoin, par contre tu m'as reposté le même rapport que le précédent concernant navipromo.

Je t'avais demandé de refaire la manip et de poster les nouveaux rapports. As tu refait cette manip ? si oui regarde les rapports, ce sont les derniers dont j'ai besoin stp

philae83 · Answer

re
laisse tomber mon post du dessus.


* Assure toi d'avoir accès à tous les fichiers

-démarrer

-poste de travail ou autre dossier

-menu outils

-options de dossier

-onglet affichage

puis

- activer la case : Afficher les fichiers et dossiers cachés

- désactiver la case : Masquer les extensions des fichiers dont le type est connu

- désactiver  la case : Masquer les fichier protégés du système d'exploitation

Puis  - Appliquer

* et Supprime le(s) fichier(s) ci dessous si il(s) est (sont) présent(s) :

C:\WINDOWS\system32\koos.exe
 c:\WINDOWS\system32\poof
c:\WINDOWS\system32\kprof 

* refait un scan avec AVG poste le rapport ainsi qu'un nouveau rapport hijackthis stp

Il n'y a jamais de raccourci vers les endroits qui en valent la peine - Beverley Sills

philae83 · Answer

Bonjour,

il reste encore des choses à virer

** Télécharge Pocket KillBox sur ton bureau.
http://www.downloads.subratam.org/KillBox.exe

* relance hijackthis puis coche et fixe ces lignes :

O4 - HKLM\..\Run: [2chkdsk] rundll32.exe "C:\WINDOWS\system32\__c00425C9.dat",setvm 
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL 
O20 - Winlogon Notify: instcat - instcat.dll (file missing)
O20 - Winlogon Notify: __c006DF90 - C:\WINDOWS\System32\__c006DF90.dat (file missing) 

puis

* Double-clique sur le fichier Killbox.exe, et coche la case "Delete on reboot".
* copie d'un trait les lignes de la citation suivante :

C:\WINDOWS\system32\__c00425C9.dat
C:\WINDOWS\system32\koos.exe 
c:\WINDOWS\system32\kprof
c:\WINDOWS\system32\poof 

Sur PocketKillBox --> menu "File" --> "Paste from Clipboard" (tu ne verras rien se passer).

Tu peux vérifier dans le menu déroulant que tous les fichiers sont bien présents.
- coche la case "Unregister dll before deleting" (si tu en as la possibilité)
- clique sur le bouton "All files"
- clique ensuite sur la croix rouge

Au deux messages qui vont s'afficher, tu réponds par "YES"
L'ordinateur doit redémarrer, sinon, fais le toi-même, quoiqu'il arrive

* lance Ccleaner dès le redémarrage pour un nettoyage complet.

* reposte un nouveau rapport hijackthis stp

philae83 · Answer

>re

relance hijackthis coche et fixe cette ligne :

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) 

pour apprendre à te protéger voir ces liens :
securite proteger un ordinateur contre les malwares d internet
ET
https://forum.pcastuces.com/default.asp

NoiX · Answer

voila moi aussi jai le meme probleme, je narive pas a tué ce eim!
il a surment des sous fichier infecté, c lhorreur 
voila le rapport hijackthis plz help me ^^
Logfile of HijackThis v1.99.1
Scan saved at 12:32:32, on 19/03/2007
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\WINDOWS\System32
vsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\SEC\MagicTune3.5_Client\GammaTray.exe
C:\Program Files\SEC\Natural Color\NaturalColorLoad.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\oli\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O2 - BHO: (no name) - {2812E582-939A-43FD-BB58-6DA88C16AF63} - C:\WINDOWS\System32\pmnll.dll (file missing)
O2 - BHO: flashget urlcatch - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - C:\Program Files\FlashGet\jccatch.dll
O2 - BHO: (no name) - {D199B08D-ADCA-4326-9515-0C463B906889} - C:\WINDOWS\system32\ssqpmll.dll (file missing)
O2 - BHO: FlashGet GetFlash Class - {F156768E-81EF-470C-9057-481BA8380DBA} - C:\Program Files\FlashGet\getflash.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: FlashGet - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\Program Files\FlashGet\fgiebar.dll
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Color Calibration.lnk = ?
O4 - Global Startup: NaturalColorLoad.lnk = ?
O8 - Extra context menu item: &Tout télécharger avec FlashGet - C:\Program Files\FlashGet\jc_all.htm
O8 - Extra context menu item: &Télécharger avec FlashGet - C:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Statistiques d’Anti-Virus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O20 - Winlogon Notify: klogon - C:\WINDOWS\System32\klogon.dll
O20 - Winlogon Notify: pmnll - C:\WINDOWS\System32\pmnll.dll (file missing)
O20 - Winlogon Notify: ssqpmll - ssqpmll.dll (file missing)
O21 - SSODL: ecgfb - {39d23dba-a362-4803-b26c-5f2cb46e669b} - C:\WINDOWS\System32\kfhrvq.dll (file missing)
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Unknown owner - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe (file missing)
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Unknown owner - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe (file missing)
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exe

 fin de raport 
voila 
moi je pense que 
C:\WINDOWS\System32
vsvc32.exe
est la source mais jen sais rien du tout  help me ^^

philae83 · Answer

bonjour NoiX

tu dois te créer un nouveau sujet pour que l'on puisse t'aider correctement stp.

moi je pense que
C:\WINDOWS\System32
vsvc32.exe
est la source mais jen sais rien du tout help me ^^

non c'est légitime.

Virus persistant - Page 2

Discussions similaires

Newsletters