Infection Adware DriveCleaner

Question

Bonjour,

En faisant un nettoyage de routine avec ewido, celui ci m'a indiqué que adware drivecleaner avait infecté ma machine. Il m'a mis un certain nombre de fichiers en quarantaine. 
J'aurais souhaité votre avis svp, et, si possible une procédure pour nettoyer les fichiers.

Voici un hijackthis de mon pc


Logfile of HijackThis v1.99.1
Scan saved at 13:11:32, on 30/05/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16441)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\CyberLink\PowerCinema\Kernel\TV\CLCapSvc.exe
C:\Program Files\CyberLink\PowerCinema\Kernel\CLML_NTService\CLMLServer.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\ALCWZRD.EXE
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\Program Files\CyberLink\PowerCinema\PCMService.exe
C:\Program Files\Microsoft IntelliPoint\ipoint.exe
C:\Program Files\Java\jre1.5.0_07\bin\jusched.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Program Files\Windows Media Player\WMPNSCFG.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Program Files\CyberLink\PowerCinema\Kernel\TV\CLSched.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Scan\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://fr.yahoo.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/customize/fuji/defaults/su/*https://fr.yahoo.com/?p=us
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://fr.yahoo.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_07\bin\ssv.dll
O4 - HKLM\..\Run: [Raccourci vers la page des propriétés de High Definition Audio] HDAShCut.exe
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [ATIPTA] "C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [PCMService] "C:\Program Files\CyberLink\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [IntelliPoint] "C:\Program Files\Microsoft IntelliPoint\ipoint.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_07\bin\jusched.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe"  -osboot
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [updateMgr] C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_9
O4 - HKCU\..\Run: [StartCCC] C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_07\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Program Files\CyberLink\PowerCinema\Kernel\TV\CLCapSvc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Program Files\CyberLink\PowerCinema\Kernel\TV\CLSched.exe
O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Program Files\CyberLink\PowerCinema\Kernel\CLML_NTService\CLMLServer.exe
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe


Je vous remercie
Ambrer

jlpjlp · Answer

essaye rogue remover pour enlever drivecleaner 2006

http://www.libellules.ch/dotclear/index.php?2006/11/29/1518-rogue-remover

Ambrer · Answer

Bonjour,

Remerciements pour la rapidité de la réponse. 

Je viens de télécharger Rogue-remover et de scanner mon pc avec. Le résultat est négatif, le logiciel n'a rien trouvé. Cela veut-il dire que ewido m'a débarassé de ce malware ?

Par ailleurs, ewido a mis en quarantaine des fichiers infectés. Que dois-je en faire ? 

Merci de votre aide
Ambrer

jlpjlp · Answer

tu peux supprimer les fichiers en quarantaine

fait un scan en ligne avec bit defender et colle le rapport pour voir

https://www.bitdefender.com/toolbox/

Ambrer · Answer

Bonjour,

Je viens de m'apercevoir que ma corbeille de bureau a disparu. Comment puis-je la faire réapparaitre ? Est-ce lié à adware ?

Je scan avec bit defender.

Remerciements pour votre aide 

Ambrer

jlpjlp · Answer

tu peux essayer  xsetup pour remettre la poubelle
https://www.infobidouille.com/xsetup/


sinon il faut modifier le registre  (cherche sur google) : je te dirai si j'ai le temps de chercher

a plus

Ambrer · Answer

Bonjour,

Voici le rapport de bit defender :

BitDefender Online Scanner - Real Time Virus Report
	

Generated at: Wed, May 30, 2007 - 14:53:21

 Scan Info
	
Scanned Files
	414203

Infected Files
	
0
	 
Virus Detected
	

No virus found.
	

Par contre, la restauration de la corbeille s'avère compliquée pour moi. J'ai cherché sur Google, mais j'avoue ne rien y comprendre.

J'ai également téléchargé le logiciel xsetup que j'ai de la difficulté à manipuler ayant peur de commettre des erreurs.

Quoi qu'il en soit, je vous remercie grandement pour votre aide.

Ambrer

Ambrer · Answer

Bonjour,

Après avoir (je pense) effectué toutes opérations pour Adware, j'ai l'ancé ewido et voici son rapport :

---------------------------------------------------------
ewido anti-spyware - Scan Report
---------------------------------------------------------

 + Created at:	15:32:38 30/05/2007

 + Scan result:	



HKLM\SOFTWARE\Classes\CLSID\{645FF040-5081-101B-9F08-00AA002F954E} -> Adware.DriveCleaner : No action taken.
HKU\S-1-5-21-631524769-1376018467-4077368008-1007\Software\Microsoft\Windows\CurrentVersion\Explorer\CLSID\{645FF040-5081-101B-9F08-00AA002F954E} -> Adware.DriveCleaner : No action taken.
C:\Documents and Settings\Dave\Cookies\dave@adtech[2].txt -> TrackingCookie.Adtech : No action taken.
C:\Documents and Settings\Dave\Cookies\dave@ssl-hints.netflame[2].txt -> TrackingCookie.Netflame : No action taken.
C:\Documents and Settings\Dave\Cookies\dave@weborama[1].txt -> TrackingCookie.Weborama : No action taken.


::Report end


Il semble que ewido ne soit pas totalement éliminé. 

Par ailleurs, après avoir vérifié que tous les dossiers étaient affichés, lle répertoire recycled n'apparait pas.

Comment puis-je me débarasser de Adware ? et accéssoirement restituer une corbeille ?


Je vous remercie de votre aide.

Ambrer

jlpjlp · Answer

smit fraud fix

http://telechargement.zebulon.fr/smitfraudfix.html


2/ double clique sur smitfraudfix.cmd. puis selectionne 1 et appuyer sur entrée afin de créer le rapport des infection présentes. une fois le rapport effectué redemarre en mode sans echec (en appuyant sur F8 ou suppr, ou F5 au demarrage en général)

3/ puis refaire comme en 2/ mais selectionne l'option 2 et appuyer sur entrée pour commencer la desinfection. lorsque le programme demande si tu veut nettoyer le registre metsoui en tapant 0 et entrée



utilise aussi pour supprimer tes traces

CCLEANER: (lance un netoyage et repare les clés); ne pas installer la barre yahoo
https://www.01net.com/



ensuite:

scan avec des antiespions(en mode sans echec): pour demarrer en mode sans echec appuyer Sur F8  ou F5 ou suppr en general au demarrage de l'ordinateur

spybot :

https://www.01net.com/telecharger/windows/Securite/anti-spyware/fiches/26157.html

puis ewido que tu as

jlpjlp · Answer

au fait ewido c'est une version recente et a jour?

car maintenant il a été racheté par AVG 
si c'est ancien telecharge 
AVG antispyware: qui est gratuit un mois

https://www.01net.com/telecharger/

et scanne ton PC avec avg antispyware
mode d'utilisation :
Lance AVG Anti-Spyware
Clique sur le bouton « Analyse »
Puis « Comment réagir », clique sur Actions recommandées. Sélectionne Quarantaine.
Retour à l'onglet Analyse.
Clique sur Analyse complète du système.
A la fin du scan, choisis " Appliquer toutes les actions "
Clique sur "Enregistrer le rapport". Le fichier texte se trouve dans le dossier Reports du dossier d'AVG Anti-Spyware.
ne laisse pas le résident car à la fin de la période d'essai, tu ne pourras plus t'en servir

Redémarre en mode normal : Menu Démarrer / Arreter / Redémarre l'ordinateur

Ambrer · Answer

Ewido est une ancienne version. Je pense qu'elle date d'avant le rachat. Je télécharge la nouvelle version.

Par contre, lors de l'essai de suppression des fichiers, comme indiqué sur le précédent message, je n'ai pas eu la fenetre noire, mais une fenetre de commande, et je n'ai pas non plus trouvés les fichiers cités. 

Il est quand meme probable que j'aie mal cherché étant ignorant oh combien de l'univers informatique.

Merci de votre aide.

Ambrer

foxgir · Answer

bonjour 
si tu as des problemme de spyware je te conseil vivement ce programme  : spyware  terminator sur ce site http://foxspm.ifrance.com
  page programme


je compare les programmes entre eux pour determiner  lesquels sont les meilleur.

Celui ci a detroné ad aware haut la main .
c est de la balle.salut.

Ambrer · Answer

Merci Foxgir de ton aide.


Concernant AVG, il a scanné le pc et n'a rien trouvé.
Voici son rapport :

---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	18:16:24 30/05/2007

 + Résultat de l'analyse:	



	Rien à signaler.



Fin du rapport


Cependant, il faut préciser que depuis que ce malware est sur mon pc j'ai d'énormes difficultés à effectuer la mise a jour d'ewido (précédemment) et maintenant AVG. Y a t-il une relation de cause à effet ?

Existe t-il un autre moyen de vérification de la présence ou non de ce malware ?

Ambrer

jlpjlp · Answer

c'est vrai que spyware terminator n'est pas mal

mais spybot , ad aware et avg sont mieux sur les bouquins informatiques

Ambrer · Answer

Bonjour,

J'ai téléchargé spyware terminator et effectué une analyse qui n'a rien donné non plus. 

Cependant, je reste dubitatif, du fait que AVG a effectué l'analyse sans avoir pu recevoir de mise à jour, le message étant que le serveur n'est pas "ready to serve".

Enfin, au risque d'abuser, pouvez m'indiquer comment "récupérer" ma corbeille sur le bureau svp ?

Je vous remercie pour tout

Ambrer

jlpjlp · Answer

avant de modifier le registre il faut le sauvegarder : regarde la et imprime la partie sauvegarde et reinstaller registre

http://astuces.microcoms.net/windows/dossiers/sauvegarde-registre.html

puis regarde sur le lien suivant 



ma poubelle a disparu


d'apres eric:

Bonjour,

Voici enfin la solution.

Ouvrez un fichier notepad/bloc note rien d'autre

COPIER et COLLER le texte suivant

DEBUT>

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace\{645FF040-5081-101B-9F08-00AA002F954E}]
@="Recycle Bin"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{645FF040-5081-101B-9F08-00AA002F954E}]
@="Recycle Bin"
"InfoTip"=hex(2):40,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,\
6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,\
00,53,00,48,00,45,00,4c,00,4c,00,33,00,32,00,2e,00,64,00,6c,00,6c,00,2c,00,\
2d,00,32,00,32,00,39,00,31,00,35,00,00,00
"SortOrderIndex"=dword:00000060
"IntroText"=hex(2):40,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,\
6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,\
00,53,00,48,00,45,00,4c,00,4c,00,33,00,32,00,2e,00,64,00,6c,00,6c,00,2c,00,\
2d,00,33,00,31,00,37,00,34,00,38,00,00,00
"LocalizedString"=hex(2):40,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,\
6f,00,6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,\
00,5c,00,53,00,48,00,45,00,4c,00,4c,00,33,00,32,00,2e,00,64,00,6c,00,6c,00,\
2c,00,2d,00,38,00,39,00,36,00,34,00,00,00

<FIN
Sauvez le sous RECYCLE.REG

Lançez le tout devrai redevenir normal au prochain redémarrage.

BA

Infection Adware DriveCleaner

15 réponses

Votre réponse

Discussions similaires

Newsletters