infecté par win32 adware-gen Résolu/Fermé

Question

bonjour,

avast m'a trouvé les virus suivants :
win32 adware-gen
win 32 BHO-BG
win 32 trojan-gen
win32 trojan dropper

j'ai beau lancé des scancs au démarrage, et les supprimer avec avast, ils reviennent toujours....
si quelqu'un pouvait m'aider dans les démarches à affectuer...
ci dessous, rapport de Hijackthis :
Logfile of HijackThis v1.99.1
Scan saved at 13:34:34, on 04/03/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\WINDOWS\system32\VirtualExpander\VirtualExpander.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Spyware Doctor\sdhelp.exe
C:\Program Files\Spyware Doctor\swdoctor.exe
C:\DOCUME~1\ADMINI~1.TIT\LOCALS~1\Temp\Rar$EX05.252\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [avast!] "C:\Program Files\Alwil Software\Avast4\ashDisp.exe"
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [Spyware Doctor] "C:\Program Files\Spyware Doctor\swdoctor.exe" /Q
O4 - Startup: VirtualExpander.lnk = C:\WINDOWS\system32\VirtualExpander\VirtualExpander.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\Spyware Doctor	ools\iesdpb.dll
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O17 - HKLM\System\CCS\Services\Tcpip\..\{4793D16F-2561-4ABE-AF3D-18531AE135D2}: NameServer = 208.67.222.222,208.67.222.220
O17 - HKLM\System\CS1\Services\Tcpip\..\{4793D16F-2561-4ABE-AF3D-18531AE135D2}: NameServer = 208.67.222.222,208.67.222.220
O17 - HKLM\System\CS2\Services\Tcpip\..\{4793D16F-2561-4ABE-AF3D-18531AE135D2}: NameServer = 208.67.222.222,208.67.222.220
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Network Provisioning DDE - Unknown owner - C:\WINDOWS\system32\lsass.com (file missing)
O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - C:\Program Files\Spyware Doctor\sdhelp.exe

merci beaucoup, j'attends avec impatience !!!

Utilisateur anonyme · Answer

Salut à toi ton logiciel Hijackthis est mal installé :
https://leblogdeclaude.blogspot.com/2006/10/informatique-section-hijackthis.html

philae83 · Answer

Bonjour,

'ai beau lancé des scancs au démarrage, et les supprimer avec avast, ils reviennent toujours.... 

où te les trouvent ils stp ?

Utilisateur anonyme · Answer

Bon....
Je disais ceci:
----------------------------------------------------
Salut à toi ton logiciel Hijackthis est mal installé :
https://leblogdeclaude.blogspot.com/2006/10/informatique-section-hijackthis.html
-- ---------------------------------------------------
auquel tu me réponds:
'ai beau lancé des scancs au démarrage, et les supprimer avec avast, ils reviennent toujours.... 
----------------------------------------------
Je te redis.....
Nous n'en sommes pas là.....Désinstall/réinstall hijackthis.
Il se trouve :
C:\DOCUME~1\ADMINI~1.TIT\LOCALS~1\Temp\Rar$EX05.252\HijackThis.exe 
Ce n'est pas bon....
vas donc ici:
https://leblogdeclaude.blogspot.com/2006/10/informatique-section-hijackthis.html
Et STP, fais ce qui est demandé....

Utilisateur anonyme · Answer

Salut   philae83 ....
----------------------------
prends le relais stp.
je dois m'absenter.
merci

philae83 · Answer

pas de soucis faut il encore qu'il revienne

Utilisateur anonyme · Answer

LOL....

sandrine77350 · Answer

je reviens........
j'ai réinstallé hijackthis et voilà le nouveau résultat :

Logfile of HijackThis v1.99.1
Scan saved at 17:43:52, on 04/03/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\WINDOWS\system32\VirtualExpander\VirtualExpander.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Hijackthis Version Française\hijackthis vf.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {0F01FF26-18F5-4613-BFD6-14DE2FBA24C3} - (no file)
O2 - BHO: (no name) - {247654C3-E67A-4CDF-BF3D-97D7600832FD} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O2 - BHO: (no name) - {7C631449-0E37-4F83-9B13-AB6CA50262CD} - C:\WINDOWS\system32
nlll.dll
O2 - BHO: (no name) - {D38439EC-4A7F-42b4-90C2-D810D7778FDD} - C:\WINDOWS\system32\mybneoqr.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [avast!] "C:\Program Files\Alwil Software\Avast4\ashDisp.exe"
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - Startup: VirtualExpander.lnk = C:\WINDOWS\system32\VirtualExpander\VirtualExpander.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{4793D16F-2561-4ABE-AF3D-18531AE135D2}: NameServer = 208.67.222.222,208.67.222.220
O17 - HKLM\System\CS1\Services\Tcpip\..\{4793D16F-2561-4ABE-AF3D-18531AE135D2}: NameServer = 208.67.222.222,208.67.222.220
O17 - HKLM\System\CS2\Services\Tcpip\..\{4793D16F-2561-4ABE-AF3D-18531AE135D2}: NameServer = 208.67.222.222,208.67.222.220
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: iifdcaw - iifdcaw.dll (file missing)
O20 - Winlogon Notify: nnlll - C:\WINDOWS\system32
nlll.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Network Provisioning DDE - Unknown owner - C:\WINDOWS\system32\lsass.com (file missing)


merci
je vous écoute pour la suite...

philae83 · Answer

ok

mais avant de continuer, répond à ma question stp

où te les trouvent ils stp ?

sandrine77350 · Answer

hello,
j'ai pas noté où ils étaient........

mauvais élève, je suis, désolée
qua faire maintenant ?

philae83 · Answer

lol !

fait un scan avec AVG (scan complet) et poste le rapport stp

philae83 · Answer

je serais là après diner @ + tard

sandrine77350 · Answer

voilà, AVG a fini son analyse,
voici le rapport :
---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	20:33:22 04/03/2007

 + Résultat de l'analyse:	



[1744] VM_10000000 -> Adware.NaviPromo : Ignoré.
C:\Documents and Settings\Administrateur.TITANIUM\Cookies\administrateur@cpvfeed[2].txt -> TrackingCookie.Cpvfeed : Ignoré.
:mozilla.76:C:\Documents and Settings\Administrateur.TITANIUM\Application Data\Mozilla\Firefox\Profiles\pcwjxyas.default\cookies.txt -> TrackingCookie.Googleadservices : Ignoré.
:mozilla.51:C:\Documents and Settings\Administrateur.TITANIUM\Application Data\Mozilla\Firefox\Profiles\pcwjxyas.default\cookies.txt -> TrackingCookie.Reliablestats : Ignoré.
:mozilla.52:C:\Documents and Settings\Administrateur.TITANIUM\Application Data\Mozilla\Firefox\Profiles\pcwjxyas.default\cookies.txt -> TrackingCookie.Reliablestats : Ignoré.
:mozilla.53:C:\Documents and Settings\Administrateur.TITANIUM\Application Data\Mozilla\Firefox\Profiles\pcwjxyas.default\cookies.txt -> TrackingCookie.Reliablestats : Ignoré.
:mozilla.54:C:\Documents and Settings\Administrateur.TITANIUM\Application Data\Mozilla\Firefox\Profiles\pcwjxyas.default\cookies.txt -> TrackingCookie.Reliablestats : Ignoré.
:mozilla.55:C:\Documents and Settings\Administrateur.TITANIUM\Application Data\Mozilla\Firefox\Profiles\pcwjxyas.default\cookies.txt -> TrackingCookie.Reliablestats : Ignoré.
:mozilla.14:C:\Documents and Settings\Administrateur.TITANIUM\Application Data\Mozilla\Firefox\Profiles\pcwjxyas.default\cookies.txt -> TrackingCookie.Weborama : Ignoré.
:mozilla.15:C:\Documents and Settings\Administrateur.TITANIUM\Application Data\Mozilla\Firefox\Profiles\pcwjxyas.default\cookies.txt -> TrackingCookie.Weborama : Ignoré.

de plus, avast m' a re signalé les virus, et cette fois, j'ai noté les emplacements........
C\DOCUM-1\ADMINI-1TIT\LOCAL-1\TEMP\
- vehsuykd.dl
- pfwgagay.exe
- bctpgehc.dll
- brlvdbap.dll

voilà, j'espère que j'ai bien noté.....
merci pour la suitel

philae83 · Answer

re on continue * Télécharge VundoFix.exe (par Atribune) sur ton Bureau http://www.atribune.org/ccount/click.php?id=4 * Double-clique VundoFix.exe afin de le lancer * Clique sur le bouton Scan for Vundo * Lorsque le scan est complété, clique sur le bouton Remove Vundo * Une invite te demandera si tu veux supprimer les fichiers, clique YES * Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers * Tu verras une invite qui t'annonce que ton PC va redémarrer; clique OK * Copie/colle le contenu du rapport situé dans C:\vundofix.txt ainsi qu'un nouveau rapport HijackThis dans ta prochaine réponse Note: Il est possible que VundoFix soit confronté à un fichier qu'il ne peut supprimer. Si tel est le cas, l'outil se lancera au prochain redémarrage; il faut simplement suivre les instructions ci-haut, à partir de "clique sur le bouton Scan for Vundo". tu feras ceci également * Télécharge Blacklight https://europe.f-secure.com/exclude/blacklight/index.shtml (de F-Secure) (le premier de la page) Enregistre le sur ton Bureau. Double-clique blbeta.exe Clique sur "I ACCEPT" . clique Scan puis Next<*gras> Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres). Copie et colle le contenu de ce rapport dans ta prochaine réponse. NE PAS choisir l'option "Rename" de suite : nous devons analyser le rapport, car des fichiers légitimes peuvent être présents, tel wbemtest.exe

sandrine77350 · Answer

je me mets au travail.........

merci !

sandrine77350 · Answer

alors voilà...

vundo :

VundoFix V6.3.12

Checking Java version...

Java version is 1.4.2.5
Old versions of java are exploitable and should be removed.

Java version is 1.5.0.10

Java version is 1.5.0.11

Scan started at 21:07:02 04/03/2007

Listing files found while scanning....

C:\WINDOWS\system32\lllnn.bak1
C:\WINDOWS\system32\lllnn.bak2
C:\WINDOWS\system32\lllnn.ini
C:\WINDOWS\system32\mybneoqr.dll
C:\WINDOWS\system32
nlll.dll

Beginning removal...

 Attempting to delete C:\WINDOWS\system32\lllnn.bak1
C:\WINDOWS\system32\lllnn.bak1 Has been deleted!

 Attempting to delete C:\WINDOWS\system32\lllnn.bak2
C:\WINDOWS\system32\lllnn.bak2 Has been deleted!

 Attempting to delete C:\WINDOWS\system32\lllnn.ini
C:\WINDOWS\system32\lllnn.ini Has been deleted!

 Attempting to delete C:\WINDOWS\system32\mybneoqr.dll
C:\WINDOWS\system32\mybneoqr.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32
nlll.dll
C:\WINDOWS\system32
nlll.dll Has been deleted!

Performing Repairs to the registry.
Done!


hijackthis :
Logfile of HijackThis v1.99.1
Scan saved at 21:29:30, on 04/03/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\WINDOWS\system32\VirtualExpander\VirtualExpander.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Hijackthis Version Française\hijackthis vf.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {0F01FF26-18F5-4613-BFD6-14DE2FBA24C3} - (no file)
O2 - BHO: (no name) - {247654C3-E67A-4CDF-BF3D-97D7600832FD} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O2 - BHO: (no name) - {7C631449-0E37-4F83-9B13-AB6CA50262CD} - C:\WINDOWS\system32
nlll.dll (file missing)
O2 - BHO: (no name) - {D38439EC-4A7F-42b4-90C2-D810D7778FDD} - C:\WINDOWS\system32\mybneoqr.dll (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [avast!] "C:\Program Files\Alwil Software\Avast4\ashDisp.exe"
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - Startup: VirtualExpander.lnk = C:\WINDOWS\system32\VirtualExpander\VirtualExpander.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{4793D16F-2561-4ABE-AF3D-18531AE135D2}: NameServer = 208.67.222.222,208.67.222.220
O17 - HKLM\System\CS1\Services\Tcpip\..\{4793D16F-2561-4ABE-AF3D-18531AE135D2}: NameServer = 208.67.222.222,208.67.222.220
O17 - HKLM\System\CS2\Services\Tcpip\..\{4793D16F-2561-4ABE-AF3D-18531AE135D2}: NameServer = 208.67.222.222,208.67.222.220
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: iifdcaw - iifdcaw.dll (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Network Provisioning DDE - Unknown owner - C:\WINDOWS\system32\lsass.com (file missing)

blbeta:
03/04/07 21:30:44 [Info]: BlackLight Engine 1.0.55 initialized
03/04/07 21:30:44 [Info]: OS: 5.1 build 2600 (Service Pack 2)
03/04/07 21:30:45 [Note]: 7019 4
03/04/07 21:30:45 [Note]: 7005 0
03/04/07 21:30:56 [Note]: 7006 0
03/04/07 21:30:56 [Note]: 7011 1208
03/04/07 21:30:57 [Note]: 7026 0
03/04/07 21:30:58 [Note]: 7026 0
03/04/07 21:30:58 [Note]: 7024 3
03/04/07 21:30:58 [Info]: Hidden process: C:\windows\system32\opqrrstuvw.exe
03/04/07 21:31:28 [Note]: FSRAW library version 1.7.1021
03/04/07 21:33:17 [Info]: Hidden file: c:\WINDOWS\system32\opqrrstuvw.dat
03/04/07 21:33:17 [Note]: 10002 1
03/04/07 21:33:17 [Info]: Hidden file: C:\windows\system32\opqrrstuvw.exe
03/04/07 21:33:17 [Note]: 10002 1
03/04/07 21:33:18 [Info]: Hidden file: c:\WINDOWS\system32\opqrrstuvw_nav.dat
03/04/07 21:33:18 [Note]: 10002 1
03/04/07 21:33:18 [Info]: Hidden file: c:\WINDOWS\system32\opqrrstuvw_navps.dat
03/04/07 21:33:18 [Note]: 10002 1
03/04/07 21:35:46 [Note]: 7007 0


bon déchiffrage !!!!

merci

philae83 · Answer

parfait, tu as la totale

je regarde tes rapports, et je reviens te donner la marche à suivre

sandrine77350 · Answer

ok,

merci

philae83 · Answer

je ne connais pas ce logiciel, c'est quoi ?
VirtualExpander


Démarrer "Exécuter…" puis Tape "services.msc" et valide par  OK
la fenêtre des Services s'ouvre => vérifier dans la partie inférieure que l'onglet "Etendu" est bien sélectionné, sinon faites le.

 Network Provisioning DDE 
et le chemin
C:\WINDOWS\system32\lsass.com 

puis
lance hijackthis 
Ouvrir la section outils
Outils
Enlever un service NT
entre
Network Provisioning DDE 
valide

puis

ces manips sont à faire dans l'ordre stp, imprime car il te faudra les faire en mode sans échec

*  Télécharge  CCleaner

http://www.filehippo.com/download_ccleaner.html

("Download Latest Version", sur la droite).

Ce logiciel va permettre de supprimer tous les fichiers temporaires. Avant de cliquer sur le bouton "installer", décoche toutes les "options supplémentaires". Par la suite, laisse-le avec ses réglages par défaut. C'est tout.

aide en image pour la suite
ICI   
https://forum.pcastuces.com/default.asp

à la lettre N ) Installer Brute Force Uninstaller

* télécharge Brute Force Uninstaller

http://www.merijn.org/files/bfu.zip
 

* FAIS UN CLIC-DROIT sur le lien ci dessous

http://metallica.geekstogo.com/EGDACCESS.bfu

et choisis "Enregistrer sous" (dans IE c'est "Enregistrer le lien sous..")

afin de télécharger EGDACCESS.bfu, Type "Tous les fichiers".

Sauvegarde dans le dossier créé (c:\BFU)
 

* FAIS UN CLIC-DROIT sur le lien ci dessous

http://perso.numericable.fr/~altshift/Info/Fichiers/Winsoftware.bfu

et choisis "Enregistrer sous" (dans IE c'est "Enregistrer le lien sous..")

afin de télécharger Winsoftware.bfu, Type "Tous les fichiers".

Sauvegarde dans le dossier créé (c:\BFU)
 

* télécharge Navipromo.zip (par lazzzy)

http://perso.numericable.fr/~altshift/Info/Fichiers/Navipromo07H.zip
et décompresse-le sur ton bureau

* Copie la suite des instructions dans un fichier texte, sur ton bureau. et redémarre en mode sans échec comme indiqué ici

https://forum.pcastuces.com/default.asp#haut

à la lettre C

Il faudra choisir ta session habituelle, pas le compte "Administrateur" ou autre.


* lance le fichier Navipromo.bat qui se trouve dans le dossier Navipromo, sur ton bureau.
* Sélectionne l'option "Recherche et suppression automatique". Patiente.
S'il trouve quelque chose, tu verras défiler des lignes dans la fenêtre de commande et au bout de quelques instants, il faudra que tu appuies sur une touche pour que le nettoyage soit lancé. Lorsqu'il a terminé, ferme le rapport qui s'est ouvert

* Relance l'outil, Sélectionne l'option "Suppression Heuristique", et patiente quelques minutes.
Lorsqu'il a terminé, ferme le rapport qui s'est ouvert

* Démarre le "Brute Force Uninstaller" en double-cliquant sur BFU.exe. 
Clique sur le petit dossier jaune, à la droite de la boîte "Scriptline to execute", et double-clique sur : EGDACCESS.bfu 
- Dans la boîte "Scriptline to execute", tu devrais maintenant voir ceci : C:\BFU\EGDACCESS.bfu
Clique sur "Execute" et laisse-le faire son travail.
Attendre que "Complete script execution" apparaîsse et clique sur OK.
Clique exit pour fermer le programme BFU.
Recommence encore une fois. 

* Démarre encore le "Brute Force Uninstaller" en double-cliquant sur BFU.exe. 
* Clique sur le petit dossier jaune, à la droite de la boîte "Scriptline to execute", et double-clique sur : Winsoftware.bfu
- Dans la boîte "Scriptline to execute", tu devrais maintenant voir ceci : C:\BFU\Winsoftware.bfu
* Clique sur "Execute" et laisse-le faire son travail.
Attendre que "Complete script execution" apparaîsse et clique sur OK. 
* Clique exit pour fermer le programme BFU.
Recommence encore une fois


* Démarrer -> panneau de configuration -> options internet

Clique sur l'onglet "Contenu" puis onglet "Certificats" et si tu trouves ceci, en particulier dans "éditeurs approuvés" : 

electronic-group - egroup - Montorgueil - VIP - "Sunny Day Design Ltd" 

=> Supprime-les tous

* lance Ccleaner pour un nettoyage complet.

puis
* redémarre normalement
et

* relance hijackthis pour un "scan seulement" et coche ces lignes :

O2 - BHO: (no name) - {0F01FF26-18F5-4613-BFD6-14DE2FBA24C3} - (no file)
O2 - BHO: (no name) - {247654C3-E67A-4CDF-BF3D-97D7600832FD} - (no file) O2 - BHO: (no name) - {7C631449-0E37-4F83-9B13-AB6CA50262CD} - C:\WINDOWS\system32
nlll.dll (file missing)
O2 - BHO: (no name) - {D38439EC-4A7F-42b4-90C2-D810D7778FDD} - C:\WINDOWS\system32\mybneoqr.dll (file missing) 
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll 
O20 - Winlogon Notify: iifdcaw - iifdcaw.dll (file missing) 

* ferme toutes les applications ouvertes y compris Internet Explorer et clique sur "fixer objet" puis

* Assure toi d'avoir accès à tous les fichiers

-démarrer

-poste de travail ou autre dossier

-menu outils

-options de dossier

-onglet affichage

puis

- activer la case : Afficher les fichiers et dossiers cachés

- désactiver la case : Masquer les extensions des fichiers dont le type est connu

- désactiver  la case : Masquer les fichier protégés du système d'exploitation

Puis  - Appliquer

* et Supprime le(s) fichier(s) ci dessous si il(s) est (sont) présent(s) :

C:\WINDOWS\system32\lsass.com---fait bien attention à celui que tu supprimes

* Dans l'Explorateur Windows recache les fichiers système afin de ne pas faire d'erreur à l'avenir. Retourne à la fenêtre Paramètres de dossiers et sélectionne Ne pas afficher les fichiers cachés ou les fichiers système

* lance AVG antispyware pour un scan complet et poste le rapport
ainsi que celui de navipromo.txt qui se trouve dans Poste de travail > disque C:\ et un nouveau rapport hijackthis

Précise les difficultés que tu as eu (ce que tu n'as pas pu faire...) ainsi que l'évolution de la situation.

sandrine77350 · Answer

merci,

je continuerai demain car ça a l'air assez long, et je ne veux pas faire n'importe quoi....

merci pour tout et à demain sans doute

philae83 · Answer

ok à demain

Utilisateur anonyme · Answer

re, juste pour suivre.
;-)

sandrine77350 · Answer

bonjour,

bon, j'ai tout fait....
j'ai pas trouvé de Issas.com
à part ça , tout est vraiment bien expliquer et je n'ai pas eu de problème.
bon les rapports :
AVG :
---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	20:36:16 05/03/2007

 + Résultat de l'analyse:	



	Rien à signaler.



Fin du rapport

hijackthis :
Logfile of HijackThis v1.99.1
Scan saved at 20:38:18, on 05/03/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\VirtualExpander\VirtualExpander.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Hijackthis Version Française\hijackthis vf.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = 

https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = 

https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 

Liens
O2 - BHO: Adobe PDF Reader Link Helper - 

{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 

7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program 

Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - 

C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - 

C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [avast!] "C:\Program Files\Alwil 

Software\Avast4\ashDisp.exe"
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG 

Anti-Spyware 7.5\avgas.exe" /minimized
O4 - Startup: VirtualExpander.lnk = 

C:\WINDOWS\system32\VirtualExpander\VirtualExpander.exe
O17 - 

HKLM\System\CCS\Services\Tcpip\..\{4793D16F-2561-4ABE-AF3D-18531AE135D2}: 

NameServer = 208.67.222.222,208.67.222.220
O17 - 

HKLM\System\CS1\Services\Tcpip\..\{4793D16F-2561-4ABE-AF3D-18531AE135D2}: 

NameServer = 208.67.222.222,208.67.222.220
O17 - 

HKLM\System\CS2\Services\Tcpip\..\{4793D16F-2561-4ABE-AF3D-18531AE135D2}: 

NameServer = 208.67.222.222,208.67.222.220
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - 

"C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - 

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil 

Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil 

Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil 

Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - 

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

navipromo :
Rapport Navipromo.bat 0.71 effectué le 05/03/2007 à 18:46:30,76
L'opération se déroule en mode sans échec sous le compte "Administrateur.TITANIUM" 

** Recherche...

1/ opqrrstuvw trouvé, recherche de opqrrstuvw* 
C:\WINDOWS\system32\opqrrstuvw.dat
C:\WINDOWS\system32\opqrrstuvw.exe
C:\WINDOWS\system32\opqrrstuvw_nav.dat
C:\WINDOWS\system32\opqrrstuvw_navps.dat
C:\WINDOWS\prefetch\OPQRRSTUVW.EXE-2AA87751.pf

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
    opqrrstuvw	REG_SZ	c:\windows\system32\opqrrstuvw.exe opqrrstuvw

------------------
Fin du rapport de recherche
Adware Navipromo trouvé 1 fois avec cette méthode 

################################################

** Nettoyage...

1/ Déplacement de opqrrstuvw* vers C:\Navipromo\Backups...
C:\WINDOWS\System32\opqrrstuvw* déplacé avec succès !
C:\WINDOWS\prefetch\opqrrstuvw* déplacé avec succès

 ------------------
* Suppression clés et valeurs de registre 
1 entrées de registre netttoyées 
 

* Backups :

C:\Navipromo\Backups\ARPCache.reg
C:\Navipromo\Backups\HKCURun.reg
C:\Navipromo\Backups\HKLMRun.reg
C:\Navipromo\Backups\opqrrstuvw.dat
C:\Navipromo\Backups\opqrrstuvw.exe
C:\Navipromo\Backups\OPQRRSTUVW.EXE-2AA87751.pf
C:\Navipromo\Backups\opqrrstuvw_nav.dat
C:\Navipromo\Backups\opqrrstuvw_navps.dat
C:\Navipromo\Backups\pack.epk
C:\Navipromo\Backups\Uninstall.reg

Ajout d'extension .off aux backups

## Fin du rapport de Suppression
 
-------------

Rapport Navipromo.bat 0.72 effectué le 05/03/2007 à 18:47:46,69
L'opération se déroule en mode sans échec sous le compte "Administrateur.TITANIUM" 

## Suppression Heuristique 

* Backups :


Aucun résultat par la recherche heuristique  
 

## Fin du rapport Heuristique

je pense que ça va mieux....

et toi, qu'est ce que tu en dis????

merci

philae83 · Answer

bonsoir

pas mal apparemment

pour 
je ne connais pas ce logiciel, c'est quoi ?
VirtualExpander 
tu ne m'as pas répondu

ensuite tu dis 

j'ai pas trouvé de Issas.com 

ce n'est pas un I comme icare, mais un l minuscule comme lola 

regarde à nouveau

ton pc comment se comporte t il ?

philae83 · Answer

bonsoir

pour le logiciel : VirtualExpander
c'est un logiciel fourni avec une clé USB et qui ser à compresser les fichiers avant de les mettre sur la clé.

merci pour le renseignement.

ensuite pour lsass.com : toujours pas trouvé, mais c'est peut être normal...
c'est possible, si tu ne le trouves pas c'est qu'il n'existe plus.

sinon, je n'ai plus de pages internet qui s'ouvrent touts seules, et mon micro a l'air de beaucoup mieux tourner
d'après toi, c'est bon, tous les virus sont partis ?

je pense que tout doit être bon maintenant
tu peux supprimer

vundofix

C:\Navipromo,

C:\BFU, a

insi que les fichiers

C:\Navipromo.txt et Navipromo.bat, puis vide ta corbeille. 


et surtout, comment faire pour qu'ils ne reviennent pas ?
que(s) antivirus installé(s)?


c'est une bonne question. Il faut apprendre à bien se protéger et ne pas faire n'importe quoi sur la toile.
petits liens à lire très utile
securite proteger un ordinateur contre les malwares d internet

et ici
https://forum.pcastuces.com/default.asp


et surtout, je voulais te dire un gros MERCI,
pour m'avoir dépanner aussi vite et aussi bien.... 


de rien ce fut avec plaisir. 
Pense à mettre ton topic en RESOLU stp. Merci
et bonne continuation

ADVENTISSE · Answer

bonour j ai mi aussi plusieur probleme liee a plusieur "cheval de troyes" 
win32:sdbot-4142
win32:CRYPT-JH
IRCBOT-AGI
QUE PUIS JE FAIRE CAR APRES 2 FORMATAGE AINSSI QUE LES SUPRESSION DES PARTISION RIEN N Y FAIS J AI AVAST PRO QUI NE SECE DE TROUVER DES CHEVAL DE TROYES 
MON PC EST SI INFECTER QUE JE NE PEUT PLUS ALLEZ SUR LE NET SENS QU IL CE FIGE 
ET J OUBLIAI IL SOTP WINDOWS COMME AVEC LE VER BLASTER
ALORS QUE PUIS JE FAIRE POUR POUVOIR DEJA RECUPERE MA CONNECTION ET ENSUITE ELIMINER TOUT CES CHEVEAUX
MERCI D AVENCE

Utilisateur anonyme · Answer

LOL...."c'est signe de colère sur les forums. "
je rajouterai que ça équivaut à crier...!!

Utilisateur anonyme · Answer

Vi....
LOL....(^ ^)
         *

Infecté par win32 adware-gen

27 réponses

Discussions similaires