[Virus] Rotkit

Question

Bonjour, 



J'ai plusieurs problemes sur mon ordinateur portable qui tourne sous Xp Pro SP 2.
Le premier concerne le malware ck maxifiles. J'ai installé fixwareout et il me dit de poster le rapport que voici.
 
Fixwareout Last edited 2/11/2007
Post this report in the forums please 
...
»»»»»Prerun check

»»»»» System restarted
 
»»»»» Postrun check 
HKLM\SOFTWARE\~\Winlogon\ "System"="" 
....
....
»»»»» Misc files. 
....
»»»»» Checking for older varients.
....

Search five digit cs, dm, kd, jb, other, files.
The following files NEED TO BE SUBMITTED to one of the following URL'S for further inspection. 



Click browse, find the file then click submit.
http://www.virustotal.com/flash/index_en.html
Or https://virusscan.jotti.org/

»»»»» Other



»»»»» Current runs 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ATIPTA"="C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe"
"SoundMAXPnP"="C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe"
"SoundMAX"="C:\Program Files\Analog Devices\SoundMAX\Smax4.exe /tray"
"THotkey"="C:\Program Files\Toshiba\Toshiba Applet\thotkey.exe"
"SynTPLpr"="C:\Program Files\Synaptics\SynTP\SynTPLpr.exe"
"SynTPEnh"="C:\Program Files\Synaptics\SynTP\SynTPEnh.exe"
"AGRSMMSG"="AGRSMMSG.exe"
"TPSMain"="TPSMain.exe"
"PadTouch"="C:\Program Files\TOSHIBA\Touch and Launch\PadExe.exe"
"SmoothView"="C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe"
"TFncKy"="TFncKy.exe"
"TMEPROP"="C:\Program Files\Toshiba\Toshiba Applet\TMEPROP.exe -S"
"DockMsgFrom"="C:\Program Files\Toshiba\Toshiba Applet\DockMsgFrom.exe"
"dla"="C:\WINDOWS\system32\dla\tfswctrl.exe"
"DataLayer"="C:\PROGRA~1\FICHIE~1\PCSuite\DATALA~1\DATALA~1.EXE"
"PCSuiteTrayApplication"="C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE"
"MsgCenterExe"="\"C:\Program Files\Fichiers communs\Real\Update_OB\RealOneMessageCenter.exe\"  -osboot"
"TerraTec Remote Control"="\"C:\Program Files\Fichiers communs\TerraTec\Remote\TTTVRC.exe\""
"RemoteControl"="\"C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe\""
"sysvx.exe"="C:\WINDOWS\system32\sysvx.exe"
"AVKTray"="\"C:\Program Files\G DATA AntiVirusKit\AVKTray\AVKTray.exe\""
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe"
"TOSCDSPD"="C:\Program Files\TOSHIBA\TOSCDSPD\toscdspd.exe"
"Sonic RecordNow!"=""
"IEFilter"="C:\Documents and Settings\EUDES\Local Settings\Application Data\Microsoft\Internet Explorer\Filters\IExpl32d.exe"
....
Hosts file was reset, If you use a custom hosts file please replace it
»»»»» End report »»»»»
Pour l'instant quand je fais une recherche à partir de google je ne suis plus envoyé vers un site commercial. Suis-je clean pour autant.

Voici le deuxieme/ parfois je suis redirigé vers hostwebfinder apres une recherche sur yahoo et avoir  cliqué sur le site désiré.

Enfin le troisieme:J'ai AntivirusKit 2007 et il m'a detecté comme rootkit:
Rootkit.Win32.Agent.cp et Rootkit.Win32.Agent.fd. Je n'arrive pas à m'en débarrasser.

Merci d'avance pour vos réponses et solutions

philae83 · Answer

bonsoir,

fait ceci :

* Télécharge  HijackThis  et poste le rapport stp

http://pchelpbordeaux.free.fr/logiciels.html
Tutorial
http://pchelpbordeaux.free.fr/tuto.html
Démo en image
http://pageperso.aol.fr/balltrap34/demohijack.htm

philae83 · Answer

re

non ce n'est pas clean encore.
avant d'attaquer avec HJT, j'aimerais que tu fasses ceci :
* Télécharge CCleaner.

https://www.pcastuces.com/logitheque/ccleaner.htm

Installe le dans un répertoire dédié.

Décoche pendant l'installation

--- les deux cases "Ajouter l'option ... "

--- Contrôler les mises à jour

--- Ajouter la Barre d'Outils Yahoo! CCleaner

* Lance Ccleaner pour un nettoyage complet.

------

* télécharge AVG Anti-Spyware (ewido)

https://www.avg.com/en-ww/free-antivirus-download

* tu l'installes

* lance AVG Anti-Spyware et clique sur le bouton Mise à jour. Patiente

puis

Lance AVG Anti-Spyware

Clique sur le bouton Analyse (de la barre d'outils)

puis fait dans l'ordre stp. Tu sauvegardes le rapport APRES avoir mis les actions.

Puis sur l'onglet Paramètres,
sous : "Comment réagir "clique sur Actions recommandées. Sélectionne Quarantaine.

Reviens à l'onglet Analyse. Clique sur Analyse complète du système.

A la fin du scan, choisis l'option 3

"Appliquer toutes les actions " en bas.

Clique sur "Enregistrer le rapport".

Ceci génère un rapport en fichier texte qui se trouve dans le dossier Reports du dossier d'AVG Anti-Spyware.

Poste le.

philae83 · Answer

bonsoir,

tu connais :
C:\Documents and Settings\EUDES\Local Settings\Application Data\Microsoft\Internet Explorer\Filters\IExpl32d.exe 

* Télécharge SDFix sur ton bureau
http://downloads.andymanchesta.com/RemovalTools/SDFix.exe
 

* Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau.

* Redémarre ton ordinateur en mode sans échec

* Ouvre le dossier SDFix qui vient d'être créé sur le Bureau et double clique sur RunThis.bat pour lancer le script.

* Appuie sur Y pour commencer le processus de nettoyage.

Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis  te demandera d'appuyer sur une touche pour redémarrer.

* Appuie sur une touche pour redémarrer le PC.

Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter  et supprimer des fichiers.

Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.

* Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.

Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.

Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum, ainsi qu'un nouveau rapport hijackthis stp

eric49 · Answer

Bonsoir

J'ai fais ce que tu m'as dit à une exception pres, j'ai fini d'installer SDfix lorsque j'étais en mode sans échec.

Voici le rapport de SDFix


SDFix: Version 1.76

Run by EUDES - 02/04/2007 - 17:22:50,78

Microsoft Windows XP [version 5.1.2600]

Running From: C:\Documents and Settings\EUDES\Bureau\SDFix

Safe Mode:
Checking Services: 

Name:
EXAMPLE
Runtime

ImagePath:
\??\C:\WINDOWS\system32\main.sys 
\??\C:\WINDOWS\System32\driversuntime.sys 

EXAMPLE Deleted
Runtime Deleted


Restoring Windows Registry Entries
Restoring Default Hosts File


Rebooting...

Normal Mode:
Checking Files:

Below files will be copied to Backups folder then removed:

C:\as.txt - Deleted
C:\WINDOWS\system32\ipv6mons.dll - Deleted



ADS Check:

C:\WINDOWS\system32
No streams found.


                                 Final Check:

Remaining Services:
------------------



Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\MSN Messenger\msnmsgr.exe"="C:\Program Files\MSN Messenger\msnmsgr.exe:*:Enabled:MSN Messenger 6.2"
"C:\Program Files\Messenger\msmsgs.exe"="C:\Program Files\Messenger\msmsgs.exe:*:Enabled:Windows Messenger"
"C:\Program Files\Visicom Media\FTP Expert 3\ftpxpert3.exe"="C:\Program Files\Visicom Media\FTP Expert 3\ftpxpert3.exe:*:Enabled:AceFTP v3"
"C:\Program Files\Internet Explorer\IEXPLORE.EXE"="C:\Program Files\Internet Explorer\IEXPLORE.EXE:*:Disabled:Internet Explorer"
"C:\WINDOWS\system32\keieaaaa.exe"="C:\WINDOWS\system32\keieaaaa.exe:*:Enabled:enable"
"C:\WINDOWS\system32\sysvx.exe"="C:\WINDOWS\system32\sysvx.exe:*:Enabled:enable"


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\MSN Messenger\msnmsgr.exe"="C:\Program Files\MSN Messenger\msnmsgr.exe:*:Enabled:MSN Messenger 6.2"


Remaining Files:
---------------

Backups Folder: - C:\DOCUME~1\EUDES\Bureau\SDFix\backups\backups.zip

Checking For Files with Hidden Attributes :


                                 Finished


 et ensuite le rapport de Hijackthis:

Logfile of HijackThis v1.99.1
Scan saved at 17:30:06, on 02/04/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\G DATA AntiVirusKit\AVK\AVKService.exe
C:\Program Files\G DATA AntiVirusKit\AVK\AVKWCtl.exe
C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe
C:\WINDOWS\system32\DVDRAMSV.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\Program Files\TOSHIBA\TOSHIBA Applet\TAPPSRV.exe
C:\Program Files\TOSHIBA\TOSHIBA Applet	me3srv.exe
C:\Program Files\Fichiers communs\G DATA\AVKProxy\AVKProxy.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
C:\Program Files\Toshiba\Toshiba Applet	hotkey.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\TPSMain.exe
C:\Program Files\TOSHIBA\Touch and Launch\PadExe.exe
C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
C:\Program Files\TOSHIBA\Commandes TOSHIBA\TFncKy.exe
C:\Program Files\Toshiba\Toshiba Applet\TMEPROP.exe
C:\Program Files\Toshiba\Toshiba Applet\DockMsgFrom.exe
C:\WINDOWS\system32\dla	fswctrl.exe
C:\PROGRA~1\FICHIE~1\PCSuite\DATALA~1\DATALA~1.EXE
C:\WINDOWS\system32\TPSBattM.exe
C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
C:\Program Files\Fichiers communs\TerraTec\Remote\TTTVRC.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\G DATA AntiVirusKit\AVKTray\AVKTray.exe
C:\PROGRA~1\FICHIE~1\PCSuite\Services\SERVIC~1.EXE
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\TOSHIBA\TOSCDSPD	oscdspd.exe
C:\WINDOWS\system32\RAMASST.exe
C:\Documents and Settings\Eric\WinZip\WZQKPICK.EXE
C:\Program Files\Hijackthis Version Française\hijackthis vf.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla	fswshx.dll
O2 - BHO: Image Helper - {64D712D1-84D9-281C-CE7D-32439D631863} - C:\WINDOWS\system\bpmtcs32.dll (file missing)
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] C:\Program Files\Analog Devices\SoundMAX\Smax4.exe /tray
O4 - HKLM\..\Run: [THotkey] C:\Program Files\Toshiba\Toshiba Applet	hotkey.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [TPSMain] TPSMain.exe
O4 - HKLM\..\Run: [PadTouch] C:\Program Files\TOSHIBA\Touch and Launch\PadExe.exe
O4 - HKLM\..\Run: [SmoothView] C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe
O4 - HKLM\..\Run: [TMEPROP] C:\Program Files\Toshiba\Toshiba Applet\TMEPROP.exe -S
O4 - HKLM\..\Run: [DockMsgFrom] C:\Program Files\Toshiba\Toshiba Applet\DockMsgFrom.exe
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla	fswctrl.exe
O4 - HKLM\..\Run: [DataLayer] C:\PROGRA~1\FICHIE~1\PCSuite\DATALA~1\DATALA~1.EXE
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
O4 - HKLM\..\Run: [MsgCenterExe] "C:\Program Files\Fichiers communs\Real\Update_OB\RealOneMessageCenter.exe"  -osboot
O4 - HKLM\..\Run: [TerraTec Remote Control] "C:\Program Files\Fichiers communs\TerraTec\Remote\TTTVRC.exe"
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [AVKTray] "C:\Program Files\G DATA AntiVirusKit\AVKTray\AVKTray.exe"
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [TOSCDSPD] C:\Program Files\TOSHIBA\TOSCDSPD	oscdspd.exe
O4 - HKCU\..\Run: [IEFilter] C:\Documents and Settings\EUDES\Local Settings\Application Data\Microsoft\Internet Explorer\Filters\IExpl32d.exe
O4 - Startup: Lancement rapide de Microsoft Office OneNote 2003.lnk = C:\Program Files\Microsoft Office\OFFICE11\ONENOTEM.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: RAMASST.lnk = C:\WINDOWS\system32\RAMASST.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Documents and Settings\Eric\WinZip\WZQKPICK.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin
pjpi150.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin
pjpi150.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: AVKProxy - G DATA Software AG - C:\Program Files\Fichiers communs\G DATA\AVKProxy\AVKProxy.exe
O23 - Service: AVK Service (AVKService) - G DATA Software AG - C:\Program Files\G DATA AntiVirusKit\AVK\AVKService.exe
O23 - Service: Gardien d'AVK (AVKWCtl) - Unknown owner - C:\Program Files\G DATA AntiVirusKit\AVK\AVKWCtl.exe
O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe
O23 - Service: DVD-RAM_Service - Matsushita Electric Industrial Co., Ltd. - C:\WINDOWS\system32\DVDRAMSV.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: TOSHIBA Application Service (TAPPSRV) - TOSHIBA Corp. - C:\Program Files\TOSHIBA\TOSHIBA Applet\TAPPSRV.exe
O23 - Service: TME3SRV - IEC - C:\Program Files\TOSHIBA\TOSHIBA Applet	me3srv.exe

Merci d'avance pour le temps que tu passe à analyser ces deux rapports.

Un petit probleme s'est rajoute: Ma page d'accueil était yahoo mais depuis 2-3 jours c'est google qui s'affiche. Et impossible de remettre yahoo en page d'accueil. J'ai essayé à partir du site de yahoo, à partir des options internet. Cela reste sur yahoo tant que je n'ai pas éteint l'ordinateur.

Encore merci

philae83 · Answer

bonsoir,

ok, on va faire un scan antivirus en ligne pour le moment, poste le rapport ensuite ici stp

https://www.pandasecurity.com/?ref=www.pandasoftware.com/activescan/fr/activescan_principal.htm

* tuto en image
https://forum.pcastuces.com/default.asp#haut

à la lettre T

eric49 · Answer

Bonsoir,

Je n'arrive pas à télécharger panda, apparement mon antivirus AntivirusKit bloque le téléchargement. Il trouve un fichier Win32 ou qqchose de ce genre. Dois je désactiver mon antivirus

Merci

philae83 · Answer

normal, j'aurai dû te le rajouter, désactive ton antivirus le temps du scan en ligne

philae83 · Answer

si il est désactivé, il ne doit pas  y avoir de problèmes, sinon ignore le et recommence

eric49 · Answer

Bonjour, 

J'ai enfin réussi à désactiver mon antivirus. J'ai fais un scan avec ActiveScan dont voici le rapport
Incident                                                                        Statut                        Analyse                                                                                                                                                                                                                                                         

Outil indésirable:Application/Processor                                         No Désinfecté                 C:\Documents and Settings\Eric\SDFix.exe[SDFix\apps\Process.exe]                                                                                                                                                                                                
Outil indésirable:Application/NirCmd.A                                          No Désinfecté                 C:\Documents and Settings\EUDES\Bureau\fixwareout\FindT
ircmd.exe                                                                                                                                                                                              
Outil indésirable:Application/Processor                                         No Désinfecté                 C:\Documents and Settings\EUDES\Bureau\SDFix\apps\Process.exe                                                                                                                                                                                                   
Virus:Trj/Abwiz.CA                                                              Désinfecté                    C:\Documents and Settings\EUDES\Bureau\SDFix\backups\backups.zip[backups/ipv6mons.dll]                                                                                                                                                                          
Spyware:Cookie/RealMedia                                                        No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@247realmedia[1].txt                                                                                                                                                                                               
Spyware:Cookie/YieldManager                                                     No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@ad.yieldmanager[2].txt                                                                                                                                                                                            
Spyware:Cookie/Atlas DMT                                                        No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@atdmt[2].txt                                                                                                                                                                                                      
Spyware:Cookie/Bluestreak                                                       No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@bluestreak[2].txt                                                                                                                                                                                                 
Spyware:Cookie/Serving-sys                                                      No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@bs.serving-sys[2].txt                                                                                                                                                                                             
Spyware:Cookie/Doubleclick                                                      No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@doubleclick[1].txt                                                                                                                                                                                                
Spyware:Cookie/FastClick                                                        No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@fastclick[2].txt                                                                                                                                                                                                  
Spyware:Cookie/fe.lea.lycos                                                     No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@fe.lea.lycos[1].txt                                                                                                                                                                                               
Spyware:Cookie/Serving-sys                                                      No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@serving-sys[2].txt                                                                                                                                                                                                
Spyware:Cookie/Xiti                                                             No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@xiti[1].txt                                                                                                                                                                                                       
Outil indésirable:Application/Processor                                         No Désinfecté                 C:\SDFix\apps\Process.exe                                                                                                                                                                                                                                       
Hacktool:Rootkit/SrchSpy.X                                                      No Désinfecté                 C:\WINDOWS\system32\drivers\hflt_ipf.sys                                                                                                                                                                                                                        
Virus:Trj/Abwiz.CA                                                              Désinfecté                    C:\WINDOWS\system32	ptqjlkn.exe                                                                                                                                                                                                                                
Virus:Trj/Abwiz.CA                                                              Désinfecté                    C:\WINDOWS\system32\vukexkwy.exe

philae83 · Answer

bonsoir,

on va passer vundo 

* Télécharge VundoFix.exe (par Atribune) sur ton Bureau

http://www.atribune.org/ccount/click.php?id=4

 * Double-clique VundoFix.exe afin de le lancer

* Clique sur le bouton Scan for Vundo

* Lorsque le scan est complété, clique sur le bouton Remove Vundo

* Une invite te demandera si tu veux supprimer les fichiers, clique YES

* Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers

* Tu verras une invite qui t'annonce que ton PC va redémarrer; clique OK

* Copie/colle le contenu du rapport situé dans C:\vundofix.txt ainsi qu'un nouveau rapport HijackThis dans ta prochaine réponse

 
Note: Il est possible que VundoFix soit confronté à un fichier qu'il ne peut supprimer. Si tel est le cas, l'outil se lancera au prochain redémarrage; il faut simplement suivre les instructions ci-haut, à partir de "clique sur le bouton Scan for Vundo".

eric49 · Answer

Bonjour, 

J'ai fait ce que tu m'as demandé. Voici le rapport de Vundofix


VundoFix V6.3.19

Checking Java version...

Scan started at 14:21:27 05/04/2007

Listing files found while scanning....

No infected files were found.


Beginning removal...

VundoFix V6.3.19

Checking Java version...

Scan started at 14:26:52 05/04/2007

Listing files found while scanning....

No infected files were found.


Beginning removal...


Et le rapport de Hijackthis/

Logfile of HijackThis v1.99.1
Scan saved at 14:34:52, on 05/04/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\G DATA AntiVirusKit\AVK\AVKService.exe
C:\Program Files\G DATA AntiVirusKit\AVK\AVKWCtl.exe
C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe
C:\WINDOWS\system32\DVDRAMSV.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\Program Files\TOSHIBA\TOSHIBA Applet\TAPPSRV.exe
C:\Program Files\TOSHIBA\TOSHIBA Applet	me3srv.exe
C:\Program Files\Fichiers communs\G DATA\AVKProxy\AVKProxy.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
C:\Program Files\Toshiba\Toshiba Applet	hotkey.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\system32\TPSMain.exe
C:\Program Files\TOSHIBA\Touch and Launch\PadExe.exe
C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
C:\Program Files\TOSHIBA\Commandes TOSHIBA\TFncKy.exe
C:\Program Files\Toshiba\Toshiba Applet\TMEPROP.exe
C:\WINDOWS\system32\TPSBattM.exe
C:\Program Files\Toshiba\Toshiba Applet\DockMsgFrom.exe
C:\WINDOWS\system32\dla	fswctrl.exe
C:\PROGRA~1\FICHIE~1\PCSuite\DATALA~1\DATALA~1.EXE
C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
C:\PROGRA~1\FICHIE~1\PCSuite\Services\SERVIC~1.EXE
C:\Program Files\Fichiers communs\TerraTec\Remote\TTTVRC.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\G DATA AntiVirusKit\AVKTray\AVKTray.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\TOSHIBA\TOSCDSPD	oscdspd.exe
C:\WINDOWS\system32\RAMASST.exe
C:\Documents and Settings\Eric\WinZip\WZQKPICK.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Hijackthis Version Française\hijackthis vf.exe
C:\WINDOWS\system32\wuauclt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://fr.yahoo.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla	fswshx.dll
O2 - BHO: Image Helper - {64D712D1-84D9-281C-CE7D-32439D631863} - C:\WINDOWS\system\bpmtcs32.dll (file missing)
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] C:\Program Files\Analog Devices\SoundMAX\Smax4.exe /tray
O4 - HKLM\..\Run: [THotkey] C:\Program Files\Toshiba\Toshiba Applet	hotkey.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [TPSMain] TPSMain.exe
O4 - HKLM\..\Run: [PadTouch] C:\Program Files\TOSHIBA\Touch and Launch\PadExe.exe
O4 - HKLM\..\Run: [SmoothView] C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe
O4 - HKLM\..\Run: [TMEPROP] C:\Program Files\Toshiba\Toshiba Applet\TMEPROP.exe -S
O4 - HKLM\..\Run: [DockMsgFrom] C:\Program Files\Toshiba\Toshiba Applet\DockMsgFrom.exe
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla	fswctrl.exe
O4 - HKLM\..\Run: [DataLayer] C:\PROGRA~1\FICHIE~1\PCSuite\DATALA~1\DATALA~1.EXE
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
O4 - HKLM\..\Run: [MsgCenterExe] "C:\Program Files\Fichiers communs\Real\Update_OB\RealOneMessageCenter.exe"  -osboot
O4 - HKLM\..\Run: [TerraTec Remote Control] "C:\Program Files\Fichiers communs\TerraTec\Remote\TTTVRC.exe"
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [AVKTray] "C:\Program Files\G DATA AntiVirusKit\AVKTray\AVKTray.exe"
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [TOSCDSPD] C:\Program Files\TOSHIBA\TOSCDSPD	oscdspd.exe
O4 - HKCU\..\Run: [IEFilter] C:\Documents and Settings\EUDES\Local Settings\Application Data\Microsoft\Internet Explorer\Filters\IExpl32d.exe
O4 - Startup: Lancement rapide de Microsoft Office OneNote 2003.lnk = C:\Program Files\Microsoft Office\OFFICE11\ONENOTEM.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: RAMASST.lnk = C:\WINDOWS\system32\RAMASST.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Documents and Settings\Eric\WinZip\WZQKPICK.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin
pjpi150.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin
pjpi150.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: AVKProxy - G DATA Software AG - C:\Program Files\Fichiers communs\G DATA\AVKProxy\AVKProxy.exe
O23 - Service: AVK Service (AVKService) - G DATA Software AG - C:\Program Files\G DATA AntiVirusKit\AVK\AVKService.exe
O23 - Service: Gardien d'AVK (AVKWCtl) - Unknown owner - C:\Program Files\G DATA AntiVirusKit\AVK\AVKWCtl.exe
O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe
O23 - Service: DVD-RAM_Service - Matsushita Electric Industrial Co., Ltd. - C:\WINDOWS\system32\DVDRAMSV.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: TOSHIBA Application Service (TAPPSRV) - TOSHIBA Corp. - C:\Program Files\TOSHIBA\TOSHIBA Applet\TAPPSRV.exe
O23 - Service: TME3SRV - IEC - C:\Program Files\TOSHIBA\TOSHIBA Applet	me3srv.exe

Merci pour le temps passéà m'aider.
Cordialement

philae83 · Answer

bonjour,

* Télécharge Pocket KillBox sur ton bureau.
http://www.downloads.subratam.org/KillBox.exe

* Double-clique sur le fichier Killbox.exe, et coche la case "Delete on reboot".
* copie d'un trait les lignes de la citation suivante :


C:\WINDOWS\system32\drivers\hflt_ipf.sys
C:\WINDOWS\system32	ptqjlkn.exe
C:\WINDOWS\system32\vukexkwy.exe

Sur PocketKillBox --> menu "File" --> "Paste from Clipboard" (tu ne verras rien se passer).

Tu peux vérifier dans le menu déroulant que tous les fichiers sont bien présents.
- coche la case "Unregister dll before deleting" (si tu en as la possibilité)
- clique sur le bouton "All files"
- clique ensuite sur la croix rouge

Au deux messages qui vont s'afficher, tu réponds par "YES"
L'ordinateur doit redémarrer, sinon, fais le toi-même, quoiqu'il arrive.

* refait un scan panda et poste le rapport stp

eric49 · Answer

Bonsoir, 

Apres pas mal d'ennuis et tentatives pour activescan, j'ai enfin mené un scan jusqu'au bout.

Je pense avoir respecté au maximum la procedure avec Killbox. J'ai essayé de faire ce que tu as dit meme s'il y avait quelques différences.

Voici le rapport de Panda Acticescan:



Incident                                                                        Statut                        Analyse                                                                                                                                                                                                                                                         

Hacktool:Rootkit/SrchSpy.X                                                      No Désinfecté                 C:\!KillBox\hflt_ipf.sys                                                                                                                                                                                                                                        
Outil indésirable:Application/Processor                                         No Désinfecté                 C:\Documents and Settings\Eric\SDFix.exe[SDFix\apps\Process.exe]                                                                                                                                                                                                
Outil indésirable:Application/NirCmd.A                                          No Désinfecté                 C:\Documents and Settings\EUDES\Bureau\fixwareout\FindT
ircmd.exe                                                                                                                                                                                              
Outil indésirable:Application/Processor                                         No Désinfecté                 C:\Documents and Settings\EUDES\Bureau\SDFix\apps\Process.exe                                                                                                                                                                                                   
Spyware:Cookie/RealMedia                                                        No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@247realmedia[1].txt                                                                                                                                                                                               
Spyware:Cookie/2o7                                                              No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@2o7[2].txt                                                                                                                                                                                                        
Spyware:Cookie/YieldManager                                                     No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@ad.yieldmanager[2].txt                                                                                                                                                                                            
Spyware:Cookie/Adrevolver                                                       No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@adrevolver[2].txt                                                                                                                                                                                                 
Spyware:Cookie/Adrevolver                                                       No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@adrevolver[3].txt                                                                                                                                                                                                 
Spyware:Cookie/Adtech                                                           No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@adtech[2].txt                                                                                                                                                                                                     
Spyware:Cookie/Advertising                                                      No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@advertising[2].txt                                                                                                                                                                                                
Spyware:Cookie/Atlas DMT                                                        No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@atdmt[2].txt                                                                                                                                                                                                      
Spyware:Cookie/Serving-sys                                                      No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@bs.serving-sys[2].txt                                                                                                                                                                                             
Spyware:Cookie/Casalemedia                                                      No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@casalemedia[1].txt                                                                                                                                                                                                
Spyware:Cookie/Doubleclick                                                      No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@doubleclick[1].txt                                                                                                                                                                                                
Spyware:Cookie/ErrorSafe                                                        No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@errorsafe[2].txt                                                                                                                                                                                                  
Spyware:Cookie/FastClick                                                        No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@fastclick[2].txt                                                                                                                                                                                                  
Spyware:Cookie/fe.lea.lycos                                                     No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@fe.lea.lycos[1].txt                                                                                                                                                                                               
Spyware:Cookie/Comclick                                                         No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@fl01.ct2.comclick[2].txt                                                                                                                                                                                          
Spyware:Cookie/Hitbox                                                           No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@hitbox[1].txt                                                                                                                                                                                                     
Spyware:Cookie/Mediaplex                                                        No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@mediaplex[1].txt                                                                                                                                                                                                  
Spyware:Cookie/Overture                                                         No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@overture[2].txt                                                                                                                                                                                                   
Spyware:Cookie/QuestionMarket                                                   No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@questionmarket[2].txt                                                                                                                                                                                             
Spyware:Cookie/Serving-sys                                                      No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@serving-sys[1].txt                                                                                                                                                                                                
Spyware:Cookie/Statcounter                                                      No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@statcounter[2].txt                                                                                                                                                                                                
Spyware:Cookie/Reliablestats                                                    No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@stats1.reliablestats[2].txt                                                                                                                                                                                       
Spyware:Cookie/WebtrendsLive                                                    No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@statse.webtrendslive[2].txt                                                                                                                                                                                       
Spyware:Cookie/Tradedoubler                                                     No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@tradedoubler[1].txt                                                                                                                                                                                               
Spyware:Cookie/Weborama                                                         No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@weborama[1].txt                                                                                                                                                                                                   
Spyware:Cookie/Winantivirus                                                     No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@winantivirus[2].txt                                                                                                                                                                                               
Spyware:Cookie/ErrorSafe                                                        No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@www.errorsafe[1].txt                                                                                                                                                                                              
Spyware:Cookie/Xiti                                                             No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@xiti[1].txt                                                                                                                                                                                                       
Spyware:Cookie/Zedo                                                             No Désinfecté                 C:\Documents and Settings\EUDES\Cookies\eudes@zedo[2].txt                                                                                                                                                                                                       
Outil indésirable:Application/Winantivirus2006                                  No Désinfecté                 C:\Documents and Settings\EUDES\Local Settings\Temporary Internet Files\Content.IE5\ZA4FRP8H\WinAntiVirusPro2006FreeInstall_fr[1].cab[UWA6PV_0001_N91M2107NetInstaller.exe]                                                                                     
Outil indésirable:Application/Processor                                         No Désinfecté                 C:\SDFix\apps\Process.exe

philae83 · Answer

bonsoir,

tu n'avais pas répondu à ma question 
tu connais :
C:\Documents and Settings\EUDES\Local Settings\Application Data\Microsoft\Internet Explorer\Filters\IExpl32d.exe

ensuite

* supprime
C:\!KillBox
C:\Documents and Settings\Eric\SDFix.exe
C:\Documents and Settings\EUDES\Bureau\fixwareout

C:\Documents and Settings\EUDES\Local Settings\Temporary Internet Files\Content.IE5\--------tout le contenu
C:\SDFix

as tu encore des problèmes ?

eric49 · Answer

Bonsoir,

Tu veux savoir si j'ai accès au fichier ou non, si je peux le trouver.Je suis passé par Poste de travail et j'ai tapé l'adresse mais le systeme me refuse l'acces. 
Je n'ai encore rien supprimé afin de savoir s'il y avait qqchose encore à faire avant de faire ce que tu m'as dit

Merci

philae83 · Answer

je veux savoir si ton pc tourne correctement,

ensuite fait ceci :


va sur VirusTotal
http://www.virustotal.com/en/indexf.html

* Colle dans la case à gauche de "parcourir" :
C:\Documents and Settings\EUDES\Local Settings\Application Data\Microsoft\Internet Explorer\Filters\IExpl32d.exe

* clique ensuite sur "send". Il faut patienter car tu es sur une file d'attente.
Le rapport ne sera complet que lorsque tu verras la mention "FINISHED"sur la droite.

Dépose le dans ta réponse.

eric49 · Answer

Je viens d'aller sur le site de VirusTotal, j'ai copier/coller l'adresse que tu m'a indiqué et il me met le message suivant
 0 bytes size received / Se ha recibido un archivo vacio

Merci de me dire  quoi cela correspond

philae83 · Answer

bonsoir,

tu recommences en allant chercher le fichier
clique sur parcourir et recherche

C:\Documents and Settings\EUDES\Local Settings\Application Data\Microsoft\Internet Explorer\Filters\IExpl32d.exe

eric49 · Answer

A la suite d'un probleme j'ai du formater mon disque dur. Je pense que cela clos le sujet

Merci quand meme pour toute cette précieuse aide

[Virus] Rotkit

19 réponses

Discussions similaires

Newsletters