svchosts.exe ! aider moi!

Question

Mon ordinateur est infecté par: svchosts.exe c'est ce que mon rapport SmitFraudFix indique et mon rapport hijackthis.

Voici mon rapport HiJackThis:

Logfile of HijackThis v1.99.1
Scan saved at 19:27:16, on 2007-03-29
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\brsvc01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\brss01a.exe
C:\WINDOWS\System32\SCardSvr.exe
C:\WINDOWS\system32\cisvc.exe
C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
C:\Program Files\Fichiers communs\Command Software\dvpapi.exe
C:\Program Files\lotus
otes
tmulti.exe
C:\WINDOWS\system32\locator.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\BRMFRSMG.EXE
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\hkcmd.exe
C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe
C:\WINDOWS\system32\wfxsnt40.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Logitech\Video\LogiTray.exe
C:\Program Files\Zero Knowledge\Freedom\Freedom.exe
C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
C:\Program Files\ACT\SideACT.exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\Program Files\Logitech\Video\FxSvr2.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\{886C3288-0958-1036-0919-030512200002}\Update.exe
C:\WINDOWS\system32\cidaemon.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\cmd.exe
C:\Documents and Settings\Propriétaire\Bureau\Fichiers inutilisés\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www2.canoe.com/index.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - Default URLSearchHook is missing
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Pop-Up Blocker BHO - {3C060EA2-E6A9-4E49-A530-D4657B8C449A} - C:\Program Files\Zero Knowledge\Freedom\pkR.dll
O2 - BHO: Form Filler BHO - {56071E0D-C61B-11D3-B41C-00E02927A304} - C:\Program Files\Zero Knowledge\Freedom\FreeBHOR.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FlashFXP\IEFlash.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe"
O4 - HKLM\..\Run: [WinFaxAppPortStarter] wfxsnt40.exe
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe 
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [Freedom] C:\Program Files\Zero Knowledge\Freedom\Freedom.exe
O4 - HKLM\..\Run: [System] C:\WINDOWS\system32\kernels32.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: SideACT!.lnk = C:\Program Files\ACT\SideACT.exe
O4 - Global Startup: VPN Client.lnk = ?
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {1754A1BA-A1DF-4F10-B199-AA55AA1A120F} (InstallerBehaviorFactory Class) - https://www.msn.com/fr-fr/
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://simonfrom18.spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.inoculer.com/antivirus/Msie/bitdefender.cab
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - http://drivers1.free.fr/hardwaredetection.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {97BB6657-DC7F-4489-9067-51FAB9D8857E} (CWebLaunchCtl Object) - http://69.156.197.66/supportbridge/1/static/weblaunch/weblaunch2.cab
O16 - DPF: {984425BF-82C1-11D6-8152-00B0D026F003} (LaunchNotesDBProject.classLaunchNotesDB) - http://mfcentral/mfcentral/common/misc/LaunchNotesDB.CAB
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab47946.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: NameServer = 85.255.116.35,85.255.112.65
O17 - HKLM\System\CCS\Services\Tcpip\..\{5BFE7376-BCD9-451A-AD73-ABA49667935F}: Domain = manulife.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{5BFE7376-BCD9-451A-AD73-ABA49667935F}: NameServer = 85.255.116.35,85.255.112.65
O17 - HKLM\System\CCS\Services\Tcpip\..\{E0646265-ED8F-4007-A19C-7B6604AE7604}: NameServer = 85.255.116.35,85.255.112.65
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = americas.manulife.net,manulife.com
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.35 85.255.112.65
O17 - HKLM\System\CS1\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: NameServer = 85.255.116.35,85.255.112.65
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: SearchList = americas.manulife.net,manulife.com
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.35 85.255.112.65
O17 - HKLM\System\CS2\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: NameServer = 85.255.116.35,85.255.112.65
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = americas.manulife.net,manulife.com
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.35 85.255.112.65
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: A3dxq - C:\WINDOWS\system32\a3dxq.dll (file missing)
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: PCANotify - C:\WINDOWS\SYSTEM32\PCANotify.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Symantec pcAnywhere Host Service (awhost32) - Symantec Corporation - C:\Program Files\Symantec\pcAnywhere\awhost32.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe
O23 - Service: Client IP-IPX - Unknown owner - C:\WINDOWS\system32\svchosts.exe" -e te-110-12-0000271 (file missing)
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: DvpApi (dvpapi) - Command Software Systems, Inc. - C:\Program Files\Fichiers communs\Command Software\dvpapi.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Multi-user Cleanup Service - Unknown owner - C:\Program Files\lotus
otes
tmulti.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcappcapd.exe" -d -f "%ProgramFiles%\WinPcappcapd.ini (file missing)
O23 - Service: Windows Management Service - Unknown owner - C:\WINDOWS\system32\.exe (file missing)




Voici mon rapport SmitFrauxFix:


SmitFraudFix v2.144

Rapport fait à 19:27:43,60, 2007-03-29
Executé à partir de C:\Documents and Settings\Propri‚taire\Bureau\Fichiers inutilis‚s\smitfraudfix\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

C:\WINDOWS\system32\svchosts.exe PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Propri‚taire


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Propri‚taire\Application Data

C:\Documents and Settings\Propri‚taire\Application Data\Install.dat PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\PROPRI~1\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 

C:\Program Files\SpyMarshal\ PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
 

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"="csybo.exe"


»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32-huy32


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin





Bye ! merci beacoup!

Ps: J'ai passer un petit coup de Ccleaner qui m'a été très efficace.

@+

Lyonnais92 · Answer

Bonjour,

1) Tu stoppes le tea-timer de Spybot le temps du traitement (il perturbe certains outils).

2) Ta version de Smitfraud fix est obsolète. Supprime la et télécharge la nouvelle version :
http://siri.urz.free.fr/Fix/SmitfraudFix.php
Fais le tourner et poste le nouveau rapport.

3) Imprime ces instructions car il va y avoir un redémarrage de l'ordinateur. 

* Télécharge FixWareout d'un de ces deux sites sur le bureau: 
http://downloads.subratam.org/Fixwareout.exe 
http://swandog46.geekstogo.com/Fixwareout.exe 

* Lance le fix: clique sur Next, puis Install, puis assure toi que "Run fixit" est activé puis clique sur Finish. 
Le fix va commencer, suis les messages à l'écran. Il te sera demandé de redémarrer ton ordinateur, fais le. Ton système mettra un peu plus de temps au démarrage, c'est normal. 

*Poste (Copie/colle) le contenu du rapport qui va s'afficher à l'écran (report.txt)   dans ta prochaine réponse. 

4) Démarre en mode sans échec : 
Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter. 
Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée. 
Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal ! 
(Si F8 ne marche pas utilise la touche F5). 
---------------------------------------------------------------------------- 
Relance le programme Smitfraud, 
Cette fois choisit l’option 2, répond oui a tous ; 
Sauvegarde le rapport, Redémarre en mode normal, copie/colle le rapport sauvegardé sur le forum

5) Remets un nouveau log Hijackthis.

@+

olivier_123 · Answer

Voici mon rapport SmitFraudFix:

SmitFraudFix v2.161

Rapport fait à 15:19:01,90, 2007-03-30
Executé à partir de C:\Documents and Settings\Propri‚taire\Bureau\Fichiers inutilis‚s\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\brsvc01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\brss01a.exe
C:\WINDOWS\System32\SCardSvr.exe
C:\WINDOWS\system32\cisvc.exe
C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
C:\Program Files\lotus
otes
tmulti.exe
C:\WINDOWS\system32\locator.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\BRMFRSMG.EXE
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\hkcmd.exe
C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe
C:\WINDOWS\system32\wfxsnt40.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Logitech\Video\LogiTray.exe
C:\Program Files\Zero Knowledge\Freedom\Freedom.exe
C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
C:\Program Files\ACT\SideACT.exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\Program Files\Logitech\Video\FxSvr2.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\{886C3288-0958-1036-0919-030512200002}\Update.exe
C:\WINDOWS\system32\cidaemon.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Fichiers communs\Command Software\dvpapi.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

C:\WINDOWS\system32\svchosts.exe PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Propri‚taire


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Propri‚taire\Application Data

C:\Documents and Settings\Propri‚taire\Application Data\Install.dat PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\PROPRI~1\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 

C:\Program Files\SpyMarshal\ PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
 

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"="csybo.exe"


»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32-huy32



»»»»»»»»»»»»»»»»»»»»»»»» DNS

Votre ordinateur est certainement victime d'un détournement de DNS: 85.255.x.x détecté !

Description: Broadcom 440x 10/100 Integrated Controller #3 - Miniport d'ordonnancement de paquets
DNS Server Search Order: 85.255.116.35
DNS Server Search Order: 85.255.112.65

Votre ordinateur est certainement victime d'un détournement de DNS: 85.255.x.x détecté !

Description: Broadcom 440x 10/100 Integrated Controller #3 - Miniport d'ordonnancement de paquets
DNS Server Search Order: 85.255.116.35
DNS Server Search Order: 85.255.112.65

HKLM\SYSTEM\CCS\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CCS\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: NameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CCS\Services\Tcpip\..\{53D61ADB-5FEF-482F-9FEF-581EA422BB88}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CCS\Services\Tcpip\..\{5BFE7376-BCD9-451A-AD73-ABA49667935F}: DhcpNameServer=192.168.0.1
HKLM\SYSTEM\CCS\Services\Tcpip\..\{5BFE7376-BCD9-451A-AD73-ABA49667935F}: NameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CCS\Services\Tcpip\..\{CD20D23E-59D7-43F8-BA70-43E3AEE4389D}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CCS\Services\Tcpip\..\{E0646265-ED8F-4007-A19C-7B6604AE7604}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CCS\Services\Tcpip\..\{E0646265-ED8F-4007-A19C-7B6604AE7604}: NameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS1\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS1\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: NameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS1\Services\Tcpip\..\{53D61ADB-5FEF-482F-9FEF-581EA422BB88}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS1\Services\Tcpip\..\{5BFE7376-BCD9-451A-AD73-ABA49667935F}: DhcpNameServer=192.168.0.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{5BFE7376-BCD9-451A-AD73-ABA49667935F}: NameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS1\Services\Tcpip\..\{CD20D23E-59D7-43F8-BA70-43E3AEE4389D}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS1\Services\Tcpip\..\{E0646265-ED8F-4007-A19C-7B6604AE7604}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS1\Services\Tcpip\..\{E0646265-ED8F-4007-A19C-7B6604AE7604}: NameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS2\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS2\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: NameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS2\Services\Tcpip\..\{53D61ADB-5FEF-482F-9FEF-581EA422BB88}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS2\Services\Tcpip\..\{5BFE7376-BCD9-451A-AD73-ABA49667935F}: DhcpNameServer=192.168.0.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{5BFE7376-BCD9-451A-AD73-ABA49667935F}: NameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS2\Services\Tcpip\..\{CD20D23E-59D7-43F8-BA70-43E3AEE4389D}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS2\Services\Tcpip\..\{E0646265-ED8F-4007-A19C-7B6604AE7604}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS2\Services\Tcpip\..\{E0646265-ED8F-4007-A19C-7B6604AE7604}: NameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.0.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: NameServer=85.255.116.35 85.255.112.65
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.0.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: NameServer=85.255.116.35 85.255.112.65
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.0.1
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: NameServer=85.255.116.35 85.255.112.65

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin






Je vais effectuer les prochaines manipules. @+

olivier_123 · Answer

Voici le rapport FixWareOut:

 
Fixwareout Last edited 2/11/2007
Post this report in the forums please 
...
»»»»»Prerun check
HKLM\SOFTWARE\~\Winlogon\ "System"="csybo.exe"
Service: "Windows Management Service" = C:\WINDOWS\System32\dmkgk.exe 

»»»»» System restarted
 
»»»»» Postrun check 
HKLM\SOFTWARE\~\Winlogon\ "system"="" 
....
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls "0mdm"  Deleted 
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls "1mdm"  Deleted 
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls "2mdm"  Deleted 
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\_r "}339D8264ECBD-92B9-DEF4-0FA1-FCDB6DA7{"  Deleted 
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\_r "}FFCFD5D595DC-82CA-BFB4-9838-20A9037D{"  Deleted 
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\_r "kgkmd"  Deleted 
....
»»»»» Misc files. 
C:\Documents and Settings\Propri‚taire\Application Data\Install.dat Deleted
C:\Program Files\SpyMarshal  Deleted
C:\WINDOWS\System32\kernel32.exe Deleted
....
»»»»» Checking for older varients.
....

Search five digit cs, dm, kd, jb, other, files.
The following files NEED TO BE SUBMITTED to one of the following URL'S for further inspection. 



Click browse, find the file then click submit.
http://www.virustotal.com/flash/index_en.html
Or https://virusscan.jotti.org/

»»»»» Other
C:\WINDOWS\Temp\csybo.ren 52803 2007-03-24 
C:\WINDOWS\Temp\dmkgk.ren 57923 2004-08-05 



»»»»» Current runs 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"IgfxTray"="C:\WINDOWS\system32\igfxtray.exe"
"HotKeysCmds"="C:\WINDOWS\system32\hkcmd.exe"
"SunJavaUpdateSched"="\"C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe\""
"WinFaxAppPortStarter"="wfxsnt40.exe"
"Advanced Tools Check"="C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE"
"QuickTime Task"="\"C:\Program Files\QuickTime\qttask.exe\" -atboottime"
"LVCOMSX"="C:\WINDOWS\system32\LVCOMSX.EXE"
"LogitechVideoRepair"="C:\Program Files\Logitech\Video\ISStart.exe "
"LogitechVideoTray"="C:\Program Files\Logitech\Video\LogiTray.exe"
"Freedom"="C:\Program Files\Zero Knowledge\Freedom\Freedom.exe"
"System"="C:\WINDOWS\system32\kernels32.exe"
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SpybotSD TeaTimer"="C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe"
"swg"="C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe"
....
Hosts file was reset, If you use a custom hosts file please replace it
»»»»» End report »»»»»




Je continue les manipules Lyonnais ! :P
Sa fait longtemp qu'on sait parler.

Bon @+

Darkkiller · Answer

Bonsoir,

Plusieurs infections détéctées,

Télécharge FixWareout d'un de ces deux sites sur le bureau:
http://downloads.subratam.org/Fixwareout.exe
http://swandog46.geekstogo.com/Fixwareout.exe

Lance le fix: clique sur Next, puis Install, puis assure toi que "Run fixit" est activé puis clique sur Finish.
Le fix va commencer, suis les messages à l'écran. Il te sera demandé de redémarrer ton ordinateur, fais le. Ton système mettra un peu plus de temps au démarrage, c'est normal.

Puis poste le log

Ensuite ouvre Hijackthis et clique sur "do a system scan only"
Et coche ces lignes :

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.35 85.255.112.65

O17 - HKLM\System\CS2\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: NameServer = 85.255.116.35,85.255.112.65

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.35 85.255.112.65

O17 - HKLM\System\CS1\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: NameServer = 85.255.116.35,85.255.112.65

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.35 85.255.112.65

O17 - HKLM\System\CCS\Services\Tcpip\..\{E0646265-ED8F-4007-A19C-7B6604AE7604}: NameServer = 85.255.116.35,85.255.112.65

O17 - HKLM\System\CCS\Services\Tcpip\..\{5BFE7376-BCD9-451A-AD73-ABA49667935F}: NameServer = 85.255.116.35,85.255.112.65

O17 - HKLM\System\CCS\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: NameServer = 85.255.116.35,85.255.112.65

Puis clique sur "Fix Checked"
----------------------------------------------------------------------------

Redémarre en mode sans échec tuto : http://forum.telecharger.01net.com/forum/high-tech/SECURITE/Securite/redemarrer-mode-echec-sujet_1526_1.htm

Puis double-clique sur SmitFraudFix.exe et choisit l'option 2.
Un rapport sera généré.
Redémarre normalement.
Et poste le log Fix wareout, Smitfraudfix, Ainsi qu'un nouveau log Hijackthis

Darkkiller · Answer

Re,

Vraiment désolé lyonnais je n'avais pas vu ton post :D

Encore désolé

Lyonnais92 · Answer

Bonsoir,

les 2 outils, fixwareout et smitfraudfix en mode sans échec vont bien améliorer les choses.
@+

olivier_123 · Answer

Voici mon nouveau rapport SmitFraud:

SmitFraudFix v2.161

Rapport fait à 15:32:43,14, 2007-03-30
Executé à partir de C:\Documents and Settings\Propri‚taire\Bureau\Fichiers inutilis‚s\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» hosts

127.0.0.1  localhost 

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

C:\WINDOWS\system32\svchosts.exe supprimé

»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CCS\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CCS\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: NameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CCS\Services\Tcpip\..\{53D61ADB-5FEF-482F-9FEF-581EA422BB88}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CCS\Services\Tcpip\..\{5BFE7376-BCD9-451A-AD73-ABA49667935F}: DhcpNameServer=192.168.0.1
HKLM\SYSTEM\CCS\Services\Tcpip\..\{5BFE7376-BCD9-451A-AD73-ABA49667935F}: NameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CCS\Services\Tcpip\..\{CD20D23E-59D7-43F8-BA70-43E3AEE4389D}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CCS\Services\Tcpip\..\{E0646265-ED8F-4007-A19C-7B6604AE7604}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CCS\Services\Tcpip\..\{E0646265-ED8F-4007-A19C-7B6604AE7604}: NameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS1\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS1\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: NameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS1\Services\Tcpip\..\{53D61ADB-5FEF-482F-9FEF-581EA422BB88}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS1\Services\Tcpip\..\{5BFE7376-BCD9-451A-AD73-ABA49667935F}: DhcpNameServer=192.168.0.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{5BFE7376-BCD9-451A-AD73-ABA49667935F}: NameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS1\Services\Tcpip\..\{CD20D23E-59D7-43F8-BA70-43E3AEE4389D}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS1\Services\Tcpip\..\{E0646265-ED8F-4007-A19C-7B6604AE7604}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS1\Services\Tcpip\..\{E0646265-ED8F-4007-A19C-7B6604AE7604}: NameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS2\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS2\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: NameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS2\Services\Tcpip\..\{53D61ADB-5FEF-482F-9FEF-581EA422BB88}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS2\Services\Tcpip\..\{5BFE7376-BCD9-451A-AD73-ABA49667935F}: DhcpNameServer=192.168.0.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{5BFE7376-BCD9-451A-AD73-ABA49667935F}: NameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS2\Services\Tcpip\..\{CD20D23E-59D7-43F8-BA70-43E3AEE4389D}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS2\Services\Tcpip\..\{E0646265-ED8F-4007-A19C-7B6604AE7604}: DhcpNameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CS2\Services\Tcpip\..\{E0646265-ED8F-4007-A19C-7B6604AE7604}: NameServer=85.255.116.35,85.255.112.65
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.0.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: NameServer=85.255.116.35 85.255.112.65
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.0.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: NameServer=85.255.116.35 85.255.112.65
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.0.1
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: NameServer=85.255.116.35 85.255.112.65


»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"system"=""


»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre
 
Nettoyage terminé. 
 
»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin




Et mon rapport HiJackThis:

Logfile of HijackThis v1.99.1
Scan saved at 15:41:40, on 2007-03-30
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\brsvc01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\brss01a.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\cisvc.exe
C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
C:\Program Files\Fichiers communs\Command Software\dvpapi.exe
C:\Program Files\lotus
otes
tmulti.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\hkcmd.exe
C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe
C:\WINDOWS\system32\wfxsnt40.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Logitech\Video\LogiTray.exe
C:\Program Files\Fichiers communs\{886C3288-0958-1036-0919-030512200002}\Update.exe
C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
C:\Program Files\ACT\SideACT.exe
C:\Program Files\Logitech\Video\FxSvr2.exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\WINDOWS\system32\BRMFRSMG.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\DOCUME~1\PROPRI~1\LOCALS~1\Temp\b122.exe
C:\Program Files\Ipwindows\ipwins.exe
C:\Documents and Settings\Propriétaire\Bureau\Fichiers inutilisés\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - Default URLSearchHook is missing
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Pop-Up Blocker BHO - {3C060EA2-E6A9-4E49-A530-D4657B8C449A} - C:\Program Files\Zero Knowledge\Freedom\pkR.dll
O2 - BHO: Form Filler BHO - {56071E0D-C61B-11D3-B41C-00E02927A304} - C:\Program Files\Zero Knowledge\Freedom\FreeBHOR.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FlashFXP\IEFlash.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe"
O4 - HKLM\..\Run: [WinFaxAppPortStarter] wfxsnt40.exe
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe 
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [Freedom] C:\Program Files\Zero Knowledge\Freedom\Freedom.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [IpWins] C:\Program Files\Ipwindows\ipwins.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: SideACT!.lnk = C:\Program Files\ACT\SideACT.exe
O4 - Global Startup: VPN Client.lnk = ?
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {1754A1BA-A1DF-4F10-B199-AA55AA1A120F} (InstallerBehaviorFactory Class) - https://www.msn.com/fr-fr/
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://simonfrom18.spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.inoculer.com/antivirus/Msie/bitdefender.cab
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - http://drivers1.free.fr/hardwaredetection.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {97BB6657-DC7F-4489-9067-51FAB9D8857E} (CWebLaunchCtl Object) - http://69.156.197.66/supportbridge/1/static/weblaunch/weblaunch2.cab
O16 - DPF: {984425BF-82C1-11D6-8152-00B0D026F003} (LaunchNotesDBProject.classLaunchNotesDB) - http://mfcentral/mfcentral/common/misc/LaunchNotesDB.CAB
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab47946.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: NameServer = 85.255.116.35,85.255.112.65
O17 - HKLM\System\CCS\Services\Tcpip\..\{5BFE7376-BCD9-451A-AD73-ABA49667935F}: Domain = manulife.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{5BFE7376-BCD9-451A-AD73-ABA49667935F}: NameServer = 85.255.116.35,85.255.112.65
O17 - HKLM\System\CCS\Services\Tcpip\..\{E0646265-ED8F-4007-A19C-7B6604AE7604}: NameServer = 85.255.116.35,85.255.112.65
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = americas.manulife.net,manulife.com
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.35 85.255.112.65
O17 - HKLM\System\CS1\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: NameServer = 85.255.116.35,85.255.112.65
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: SearchList = americas.manulife.net,manulife.com
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.35 85.255.112.65
O17 - HKLM\System\CS2\Services\Tcpip\..\{059B27B8-722F-4553-8E43-66B73EE574C9}: NameServer = 85.255.116.35,85.255.112.65
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = americas.manulife.net,manulife.com
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.35 85.255.112.65
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: A3dxq - C:\WINDOWS\system32\a3dxq.dll (file missing)
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: PCANotify - C:\WINDOWS\SYSTEM32\PCANotify.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Symantec pcAnywhere Host Service (awhost32) - Symantec Corporation - C:\Program Files\Symantec\pcAnywhere\awhost32.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe
O23 - Service: Client IP-IPX - Unknown owner - C:\WINDOWS\system32\svchosts.exe" -e te-110-12-0000271 (file missing)
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: DvpApi (dvpapi) - Command Software Systems, Inc. - C:\Program Files\Fichiers communs\Command Software\dvpapi.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Multi-user Cleanup Service - Unknown owner - C:\Program Files\lotus
otes
tmulti.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcappcapd.exe" -d -f "%ProgramFiles%\WinPcappcapd.ini (file missing)



@+ Bonne chance

Lyonnais92 · Answer

Bonsoir,

je n'avais pas flashé. 

En plus, je ne m'attendais pas à te retrouver du côté des victimes lol.

Il est tôt chez toi.

Tu fixes les lignes 017 que Darkilleur te demandait de fixer au post 4.

Je vais regarder ton log pendant ce temps.

En tout cas, tu as une primeur : une évolution de Smitfraudfix. Dans ton cas l'apport est limité, avec les 017, l'infection se voit comme le nez au milieu de la figure.

@+

Lyonnais92 · Answer

Re,

STOP

il se passe quoi avec ton anti-virus et ton parefeu ?

Avast gratuit (tu le trouves dans les téléchargements ici). Il faut que tu t'inscrives 

kerio ici : http://kerio.probb.fr/Systemesd-exploitation-c1/Logiciels-et-tutoriels-gratuits-tries-par-categorie-f6/Tutoriel-pour-Kerio-4-version-gratuite-t201.htm tuto de configuration et téléchargement.

URGENT. Pas de net tant que c'est pas fait.

Hijackthis pour vérifier.
@+

Lyonnais92 · Answer

RE,

la suite :

1) Tu vois si tu peux désinstaller Ipwins via le panneau de configuration, ajout/suppression de programmes.

2) Tu relances Hijackthis, tu choisis do a scan only.

Tu coches la case devant :
O4 - HKCU\..\Run: [IpWins] C:\Program Files\Ipwindows\ipwins.exe
O20 - Winlogon Notify: A3dxq - C:\WINDOWS\system32\a3dxq.dll (file missing)
O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll
O23 - Service: Client IP-IPX - Unknown owner - C:\WINDOWS\system32\svchosts.exe" -e te-110-12-0000271 (file missing)

Fermes toutes les autres fenêtres actives et clique sur fix checked.
Ferme hijackthis.

3) Télécharge OTMoveIt http://download.bleepingcomputer.com/oldtimer/OTMoveIt.exe (de Old_Timer) sur ton Bureau.
double-clique sur OTMoveIt.exe pour le lancer.
copie la liste qui se trouve en italique ci-dessous,
et colle-la dans le cadre de gauche de OTMoveIt :Paste List of Files/Folders to be moved.

C:\Program Files\Ipwindows\ipwins.exe
C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll



clique sur MoveIt! pour lancer la suppression.
le résultat apparaitra dans le cadre "Results".
clique sur Exit pour fermer.
poste le rapport situé dans C:\_OTMoveIt\MovedFiles.

il te sera peut-être demander de redémarrer le pc pour achever la suppression.si c'est le cas accepte par Yes. 


4) Remets un log Hijackthis.

@+

olivier_123 · Answer

File/Folder C:\Program Files\Ipwindows\ipwins.exe not found.
LoadLibrary failed for C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll
C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll NOT unregistered.
File move failed. C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll scheduled to be moved on reboot.
 
Created on 03-30-2007 17:00:45




Je redémarre, pour finir de déplacer le fichiers et je t'envoie mon nouveau rapport hijackthis.

Ps: c'est lordi de ma mère et elle a un anti-virus + un parfeu pas besoin d'en télécharger un.

@+

olivier_123 · Answer

rapport hijackthis comme prévu:

Logfile of HijackThis v1.99.1
Scan saved at 17:07:22, on 2007-03-30
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\brsvc01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\brss01a.exe
C:\WINDOWS\system32\cisvc.exe
C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
C:\Program Files\Fichiers communs\Command Software\dvpapi.exe
C:\Program Files\lotus
otes
tmulti.exe
C:\WINDOWS\system32svp.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\BRMFRSMG.EXE
C:\WINDOWS\system32\hkcmd.exe
C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe
C:\WINDOWS\system32\wfxsnt40.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Logitech\Video\LogiTray.exe
C:\Program Files\webHancer\Programs\whagent.exe
C:\Program Files\Fichiers communs\{886C3288-0958-1036-0919-030512200002}\Update.exe
C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
C:\Program Files\ACT\SideACT.exe
C:\Program Files\Logitech\Video\FxSvr2.exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Propriétaire\Bureau\Fichiers inutilisés\HijackThis.exe
C:\DOCUME~1\PROPRI~1\LOCALS~1\Temp\b122.exe
C:\Program Files\Ipwindows\ipwins.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - Default URLSearchHook is missing
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Pop-Up Blocker BHO - {3C060EA2-E6A9-4E49-A530-D4657B8C449A} - C:\Program Files\Zero Knowledge\Freedom\pkR.dll
O2 - BHO: Form Filler BHO - {56071E0D-C61B-11D3-B41C-00E02927A304} - C:\Program Files\Zero Knowledge\Freedom\FreeBHOR.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: WhIeHelperObj Class - {c900b400-cdfe-11d3-976a-00e02913a9e0} - C:\Program Files\webHancer\programs\whiehlpr.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FlashFXP\IEFlash.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe"
O4 - HKLM\..\Run: [WinFaxAppPortStarter] wfxsnt40.exe
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe 
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [Freedom] C:\Program Files\Zero Knowledge\Freedom\Freedom.exe
O4 - HKLM\..\Run: [webHancer Agent] C:\Program Files\webHancer\Programs\whagent.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: SideACT!.lnk = C:\Program Files\ACT\SideACT.exe
O4 - Global Startup: VPN Client.lnk = ?
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Hijacked Internet access by WebHancer
O10 - Hijacked Internet access by WebHancer
O10 - Hijacked Internet access by WebHancer
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {1754A1BA-A1DF-4F10-B199-AA55AA1A120F} (InstallerBehaviorFactory Class) - https://www.msn.com/fr-fr/
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://simonfrom18.spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.inoculer.com/antivirus/Msie/bitdefender.cab
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - http://drivers1.free.fr/hardwaredetection.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {97BB6657-DC7F-4489-9067-51FAB9D8857E} (CWebLaunchCtl Object) - http://69.156.197.66/supportbridge/1/static/weblaunch/weblaunch2.cab
O16 - DPF: {984425BF-82C1-11D6-8152-00B0D026F003} (LaunchNotesDBProject.classLaunchNotesDB) - http://mfcentral/mfcentral/common/misc/LaunchNotesDB.CAB
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab47946.cab
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = americas.manulife.net,manulife.com
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: SearchList = americas.manulife.net,manulife.com
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = americas.manulife.net,manulife.com
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: PCANotify - C:\WINDOWS\SYSTEM32\PCANotify.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll (file missing)
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Symantec pcAnywhere Host Service (awhost32) - Symantec Corporation - C:\Program Files\Symantec\pcAnywhere\awhost32.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: DvpApi (dvpapi) - Command Software Systems, Inc. - C:\Program Files\Fichiers communs\Command Software\dvpapi.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Multi-user Cleanup Service - Unknown owner - C:\Program Files\lotus
otes
tmulti.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcappcapd.exe" -d -f "%ProgramFiles%\WinPcappcapd.ini (file missing)





Je sais qu'il est tard chez vous. Mais essaie de me répondre ce soir si tu a la chance.

@+ et merci beacoup.

Lyonnais92 · Answer

Re,

le problème, c'est qu'on ne les voit pas fans le log Hijackthis.

Vérifie qu'ils sont actifs.

Démarre une mise à jour de l'antivirus et scanne le pc (après avoir envoyé le log Hijackthis).

@+

olivier_123 · Answer

Mon antivirus est l'antivirus de Videotron c'est pour ca.

Mais qu'est-ce que je fait maitenant?

pour mes virus

@+

Lyonnais92 · Answer

Re,

le tea timer est toujours actif. Je t'avais demandé de le désactiver (post 1, première ligne).

Mets à jour ton antivirus et scanne le PC. Post le log ensuite.

Je suis pratiquement sur que ton antivirus est désactivé.

Tu as choppé Webhancer entre les posts 7et 11.


Tu désinstalles Webhancer (panneau de configuration, Ajout/suppression de programmes)

Tu télécharges AVG anti-spyware (gratuit même après la période d'essai) ici :

http://www.grisoft.com/doc/downloads-results/lng/fr/tpl/tpl01?prd=triasw

Tu enregistres le fichier dans un dossier.

A la fin du téléchargement, tu ouvres le dossier et tu doubles click sur avgas-setup-7.5.0.47.exe Tu suis les instructions.

Si on te demande de redémarrer ton ordinateur, tu le fais.

Pour lancer AVG anti spyware tu doubles click sur l'icone qui s'est créé sur le bureau.

La première fois que tu l'utilises, tu configures le logiciel.
Sur la page "état", tu choisis inactif pour le bouclier résident.

Sur la page "mise à jour", tu coches les cases sur les mises à jour automatiques et tu fais une mise à jour manuelle (commencer la mise à jour). Tu redémarres l'ordinateur si nécessaire.
Sur la page "analyse", tu choisis d'abord l'onglet "paramètres". Tu coches "générer un rapport après chaque analyse" et "uniquement en cas de menaces". Tu choisis aussi l'option "quarantaine" pour "comment réagir", 'définir l'action par défaut ...'
Tu choisis l'onglet analyser, nouvelle analyse, analyse complète du système.
Aa fin de l'analyse, tu cliques sur "action", "appliquer toutes les actions" puis "enregistrer le rapport" puis "enregistrer le rapport sous". Tu suis les instructions dans la fenêtre qui s'ouvre. 
Ensuite, tu ouvres le rapport avec le bloc-notes pour le copier/coller avec ta réponse.

Tu relances  Hijackthis, tu choisis do a scan only.

Tu coches la case devant :
O2 - BHO: WhIeHelperObj Class - {c900b400-cdfe-11d3-976a-00e02913a9e0} - C:\Program Files\webHancer\programs\whiehlpr.dll
O4 - HKLM\..\Run: [webHancer Agent] C:\Program Files\webHancer\Programs\whagent.exe
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/
O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll (file missing)

ferme toutes les autres fenêtres actives et clique sur fix checked.
Ferme Hijackthis;


Relance Hijackthis. Choisis open the misc tool section, delete a file on reboot.

Recherche :
C:\Program Files\webHancer\Programs\whagent.exe et clique sur ouvrir. Quand l'ordi demande si tu veux rebooter l'ordi, refuse.

Recommence avec les fichiers suivants :
C:\DOCUME~1\PROPRI~1\LOCALS~1\Temp\b122.exe
C:\Program Files\Ipwindows\ipwins.exe
C:\Program Files\webHancer\programs\whiehlpr.dll
Pour de dernier, tu acceptes le reboot de l'ordi.


Tu redémarres en mode normal et tu remets un log Hijackthis.
@+

olivier_123 · Answer

J'effectue les méthodes que tu m'a indiquer.

mais en pensant ma mère n'a pas SpyBot donc...

et deuxièment l'anti-virus est actif.

@+

olivier_123 · Answer

Ha.... Mon Avg Anti-Spyware a boguer lorsqu'il enlever les spywares, donc j'ai pas pu enregistrer le rapport.

Je vais enovyer mon rapport Hiajckthis bientot.

olivier_123 · Answer

Rapport Hijackthis:

Logfile of HijackThis v1.99.1
Scan saved at 21:53:13, on 2007-03-30
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\brsvc01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\brss01a.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\WINDOWS\system32\cisvc.exe
C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
C:\Program Files\Fichiers communs\Command Software\dvpapi.exe
C:\Program Files\lotus
otes
tmulti.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\BRMFRSMG.EXE
C:\WINDOWS\system32\cidaemon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\hkcmd.exe
C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe
C:\WINDOWS\system32\wfxsnt40.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Logitech\Video\LogiTray.exe
C:\Program Files\Zero Knowledge\Freedom\Freedom.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\Fichiers communs\{886C3288-0958-1036-0919-030512200002}\Update.exe
C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
C:\Program Files\ACT\SideACT.exe
C:\Program Files\Logitech\Video\FxSvr2.exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Propriétaire\Bureau\Fichiers inutilisés\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - Default URLSearchHook is missing
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Pop-Up Blocker BHO - {3C060EA2-E6A9-4E49-A530-D4657B8C449A} - C:\Program Files\Zero Knowledge\Freedom\pkR.dll
O2 - BHO: Form Filler BHO - {56071E0D-C61B-11D3-B41C-00E02927A304} - C:\Program Files\Zero Knowledge\Freedom\FreeBHOR.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FlashFXP\IEFlash.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe"
O4 - HKLM\..\Run: [WinFaxAppPortStarter] wfxsnt40.exe
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe 
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [Freedom] C:\Program Files\Zero Knowledge\Freedom\Freedom.exe
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [IpWins] C:\Program Files\Ipwindows\ipwins.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: SideACT!.lnk = C:\Program Files\ACT\SideACT.exe
O4 - Global Startup: VPN Client.lnk = ?
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {1754A1BA-A1DF-4F10-B199-AA55AA1A120F} (InstallerBehaviorFactory Class) - https://www.msn.com/fr-fr/
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://simonfrom18.spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.inoculer.com/antivirus/Msie/bitdefender.cab
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - http://drivers1.free.fr/hardwaredetection.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {97BB6657-DC7F-4489-9067-51FAB9D8857E} (CWebLaunchCtl Object) - http://69.156.197.66/supportbridge/1/static/weblaunch/weblaunch2.cab
O16 - DPF: {984425BF-82C1-11D6-8152-00B0D026F003} (LaunchNotesDBProject.classLaunchNotesDB) - http://mfcentral/mfcentral/common/misc/LaunchNotesDB.CAB
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab47946.cab
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = americas.manulife.net,manulife.com
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: SearchList = americas.manulife.net,manulife.com
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = americas.manulife.net,manulife.com
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: PCANotify - C:\WINDOWS\SYSTEM32\PCANotify.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Symantec pcAnywhere Host Service (awhost32) - Symantec Corporation - C:\Program Files\Symantec\pcAnywhere\awhost32.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: DvpApi (dvpapi) - Command Software Systems, Inc. - C:\Program Files\Fichiers communs\Command Software\dvpapi.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Multi-user Cleanup Service - Unknown owner - C:\Program Files\lotus
otes
tmulti.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcappcapd.exe" -d -f "%ProgramFiles%\WinPcappcapd.ini (file missing)

Lyonnais92 · Answer

Bonjour,

c'était déjà toi et l'ordi de ta mère ici :
analyser mon scan panda ?

Tu peux m'éclaircir cette histoire de Spybot, car je vois le tea-timer dans les anciens log Hijackthis (post 12 par exaemple);

Relance AVG anti spy et poste le rapport.

C'est quoi l'exe de l'antivirus ? Pourquoi on ne le voit pas dans le log Hijackthis (il faut le lancer manuellement) ?
@+

olivier_123 · Answer

J'ai supprimer le Tea-timer a partire de hijackthis.

Mon antivirus sappelle Freedom.

Je vais refaire lanalyse Avg-antispyware.

@+

olivier_123 · Answer

Le rapport Avg:


AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	11:32:23 2007-03-31

 + Résultat de l'analyse:	



HKU\.DEFAULT\Software\New.net -> Adware.NewDotNet : Nettoyé et sauvegardé (mise en quarantaine).
HKU\S-1-5-18\Software\New.net -> Adware.NewDotNet : Nettoyé et sauvegardé (mise en quarantaine).
C:\WINDOWS\system32\vexga5me3.exe -> Adware.Softomate : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP432\A0086013.exe -> Adware.SpyMarshal : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP432\A0086014.dll -> Adware.SpyMarshal : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP432\A0086015.dll -> Adware.SpyMarshal : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP432\A0086016.dll -> Adware.SpyMarshal : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP432\A0086017.dll -> Adware.SpyMarshal : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP432\A0086133.exe -> Adware.SpyMarshal : Nettoyé et sauvegardé (mise en quarantaine).
C:\Program Files\webHancer -> Adware.Webhancer : Nettoyé et sauvegardé (mise en quarantaine).
C:\Program Files\webHancer\Programs -> Adware.Webhancer : Nettoyé et sauvegardé (mise en quarantaine).
C:\Program Files\webHancer\Programs\whAgent.ini -> Adware.Webhancer : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP432\A0086180.exe -> Adware.WebHancer : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP432\A0086181.dll -> Adware.WebHancer : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP432\A0086182.dll -> Adware.WebHancer : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP432\A0086183.exe -> Adware.WebHancer : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP433\A0086188.dll -> Adware.WebHancer : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP433\A0086189.dll -> Adware.WebHancer : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP433\A0086197.exe -> Adware.WebHancer : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP433\A0086198.exe -> Adware.WebHancer : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP433\snapshot\MFEX-2.DAT -> Adware.WebHancer : Nettoyé et sauvegardé (mise en quarantaine).
HKLM\SOFTWARE\webhancer -> Adware.WebHancer : Nettoyé et sauvegardé (mise en quarantaine).
HKLM\SOFTWARE\webhancer\CC -> Adware.WebHancer : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP432\A0086154.exe -> Downloader.Agent.bca : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP433\A0086193.exe -> Downloader.Tibs.hh : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP406\A0079585.dll -> Not-A-Virus.PSWTool.Win32.Cain.284 : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP433\A0086192.dll -> Proxy.Xorpix.ar : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP433\A0086195.exe -> Trojan.DNSChanger.hd : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{997A55B1-83FD-43DE-90E9-6F5E586A2EDF}\RP433\A0086194.exe -> Worm.Nuwar : Nettoyé et sauvegardé (mise en quarantaine).


Fin du rapport

olivier_123 · Answer

Rapport HiJackThis:

Logfile of HijackThis v1.99.1
Scan saved at 11:33:53, on 2007-03-31
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\brsvc01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\brss01a.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\WINDOWS\system32\cisvc.exe
C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
C:\Program Files\lotus
otes
tmulti.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\BRMFRSMG.EXE
C:\WINDOWS\system32\cidaemon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\hkcmd.exe
C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe
C:\WINDOWS\system32\wfxsnt40.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Logitech\Video\LogiTray.exe
C:\Program Files\Zero Knowledge\Freedom\Freedom.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\Fichiers communs\{886C3288-0958-1036-0919-030512200002}\Update.exe
C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
C:\Program Files\ACT\SideACT.exe
C:\Program Files\Logitech\Video\FxSvr2.exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\Command Software\dvpapi.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Propriétaire\Bureau\Fichiers inutilisés\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - Default URLSearchHook is missing
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Pop-Up Blocker BHO - {3C060EA2-E6A9-4E49-A530-D4657B8C449A} - C:\Program Files\Zero Knowledge\Freedom\pkR.dll
O2 - BHO: Form Filler BHO - {56071E0D-C61B-11D3-B41C-00E02927A304} - C:\Program Files\Zero Knowledge\Freedom\FreeBHOR.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FlashFXP\IEFlash.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [WinFaxAppPortStarter] wfxsnt40.exe
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [Freedom] C:\Program Files\Zero Knowledge\Freedom\Freedom.exe
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: VPN Client.lnk = ?
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {1754A1BA-A1DF-4F10-B199-AA55AA1A120F} (InstallerBehaviorFactory Class) - https://www.msn.com/fr-fr/
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://simonfrom18.spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.inoculer.com/antivirus/Msie/bitdefender.cab
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - http://drivers1.free.fr/hardwaredetection.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {97BB6657-DC7F-4489-9067-51FAB9D8857E} (CWebLaunchCtl Object) - http://69.156.197.66/supportbridge/1/static/weblaunch/weblaunch2.cab
O16 - DPF: {984425BF-82C1-11D6-8152-00B0D026F003} (LaunchNotesDBProject.classLaunchNotesDB) - http://mfcentral/mfcentral/common/misc/LaunchNotesDB.CAB
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab47946.cab
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = americas.manulife.net,manulife.com
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: SearchList = americas.manulife.net,manulife.com
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = americas.manulife.net,manulife.com
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: PCANotify - C:\WINDOWS\SYSTEM32\PCANotify.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: DvpApi (dvpapi) - Command Software Systems, Inc. - C:\Program Files\Fichiers communs\Command Software\dvpapi.exe




Bon @+ Analyse bien ;)

Lyonnais92 · Answer

Bonjour,

Rends toi sur ce site :
http://www.virustotal.com/xhtml/virustotal_en.html

Clique sur parcourir et cherche ce fichier : C:\Program Files\Fichiers communs\{886C3288-0958-1036-0919-030512200002}\Update.exe
Clique sur send.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse. 

profites en pour nettoyer la restauration système.

Suis ce tuto : http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/fr_docid/20020830101856924


Dans un premier temps tu désactives, puis tu recommences et tu réactives.

@+

olivier_123 · Answer

AhnLab-V3 2007.3.31.0 03.31.2007  no virus found 
AntiVir 7.3.1.47 03.31.2007 ADSPY/Softomate.AM.1 
Authentium 4.93.8 03.31.2007  no virus found 
Avast 4.7.936.0 03.31.2007  no virus found 
AVG 7.5.0.447 03.30.2007 Downloader.Generic4.CEM 
BitDefender 7.2 03.31.2007 Adware.Softomate.BA 
CAT-QuickHeal 9.00 03.31.2007  no virus found 
ClamAV devel-20070312 03.31.2007  no virus found 
DrWeb 4.33 03.31.2007 Trojan.DownLoader.19850 
eSafe 7.0.15.0 03.31.2007 Win32.Adclicker 
eTrust-Vet 30.6.3527 03.31.2007  no virus found 
Ewido 4.0 03.31.2007  no virus found 
FileAdvisor 1 03.31.2007  no virus found 
Fortinet 2.85.0.0 03.31.2007  no virus found 
F-Prot 4.3.1.45 03.30.2007  no virus found 
F-Secure 6.70.13030.0 03.31.2007  no virus found 
Ikarus T3.1.1.3 03.31.2007  no virus found 
Kaspersky 4.0.2.24 03.31.2007 not-a-virus:AdWare.Win32.Softomate.am 
McAfee 4997 03.31.2007 Generic Downloader.k 
Microsoft 1.2306 03.31.2007  no virus found 
NOD32v2 2159 03.31.2007  no virus found 
Norman 5.80.02 03.31.2007 W32/DLoader.CNCH 
Panda 9.0.0.4 03.31.2007 Malware Generic 
Prevx1 V2 03.31.2007 Trojan.Updatex 
Sophos 4.16.0 03.30.2007  no virus found 
Sunbelt 2.2.907.0 03.31.2007  no virus found 
Symantec 10 03.31.2007 Trojan.Adclicker 
TheHacker 6.1.6.083 03.30.2007 Adware/Softomate.am 
UNA 1.83 03.16.2007  no virus found 
VBA32 3.11.3 03.30.2007  no virus found 
VirusBuster 4.3.7:9 03.31.2007  no virus found 
Webwasher-Gateway 6.0.1 03.31.2007 Ad-Spyware.Softomate.AM.1

Lyonnais92 · Answer

Bonsoir,

Tu télécharges Spybot search & destroy ici :spybot
Tuto ici : http://perso.orange.fr/rginformatique/section%20virus/demo%20spybot.htm  (merci balltrap34)

Tu le configures, tu le mets à jour, tu l'exécutes et tu détruis tout ce qu'il trouve.

Tu vaccinnes tout 

Tu remets un log Hijackthis.

Sais tu ce qu'est ceci :

americas.manulife.net

et ceci :
manulife.com 

@+


 --
Ca s'écrit 10 + 10 = 100 et ça s'énonce deux plus deux égal quatre.

olivier_123 · Answer

Oui, c'est pour la compagnie a ma mere.

Je vais faire un SpyBot bientot

@+

Lyonnais92 · Answer

Bonjour,

après le passage de Spybot, tu vaccines.

Tu vides toutes les quarantaines (AVG, antivirus, ...).

Tu désactives puis réactives la restauration système (qui est infectée).

Si tu ne sais pas faire, tu as un tuto ici :
http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/fr_docid/20020830101856924

Après ça, tu relances AVG antispy (et tu postes le log), tu mets à jour ton antivirus et tu scannes l'ordi.

Comme le log Hijackthis est propre, si AVG et l'antivirus sont propres, le problème semble résolu, sauf si l'ordi a encore un comportement bizarre.

@+

Svchosts.exe ! aider moi!

27 réponses

Votre réponse

Discussions similaires

Newsletters