SPYWARE ?????

Question

Bonjour,
Je suis, à chaque connexion, redirigé vers un site de pub ou autre... genre SPYWARE-SECURE qui m'informe que mon ordi ne garantit plus la protection de mes données.........Je suppose que je dois avoir récupéré un spyware ou autre petite bête mais ni mon anti virus ni ad Aware, ni Spybot, ne parviennent à m'en débarasser.
Merci pour une aide éventuelle.

linconnue · Answer

bonjour ,je te réponds sans te répondre en fait parce que ej suis dnas le meme cas que toi moi aussi j'ai ce truc de spyware qui revient a chaque fois et je sais pas comment faire,si j'ai une solution je te ferais signe bye

Cousin_Avi · Answer

Bonjour,
# Télécharge Hijackthis (de Merjin)
http://www.merijn.org/files/hijackthis.zip 
# Dézippe-le dans un dossier ou sur ton Bureau.
# Lance l'application (Hijackthis.exe) puis choisit l'option "Do a system scan and save a logfile" 
Le Bloc-Notes s'ouvre, poste son contenu :
è	Edition / Sélectionner tout
è	Edition / Copier 
è	Coller dans ta réponse

linconnue > Crée ton propre post et fait la même chose

Cousin_Avi · Answer

Bonjour,
# Fais un clic droit sur ce lien (Merci Il_Mafioso)
http://perso.orange.fr/il.mafioso/Navifix/Navilog1.exe 
Enregistrer la cible (du lien) sous... et enregistre-le sur ton bureau.
# Ensuite double clique sur navilog1.exe pour lancer l'installation.
Une fois l'installation terminée, le fix s'exécutera automatiquement.
(Si ce n'est pas le cas, double-clique sur le raccourci Navilog1 présent sur le bureau).
# Laisse-toi guider. Au menu principal, choisis 1 et valides.(ne fais pas le choix 2,3 ou 4 sans notre avis/accord)
# Patiente jusqu'au message « *** Analyse Termine le ..... *** »
Appuie sur une touche comme demandé, le blocnote va s'ouvrir.
# Copie-colle l'intégralité dans une réponse. 
Referme le blocnote. Le rapport est  sauvegardé à la racine du disque (fixnavi.txt)

Cousin_Avi · Answer

=/

# Télécharge Blacklight (F-Secure)
https://www.f-secure.com/en , clique sur " I ACCEPT " en bas de la page :
# Clique sur le premier " Download " afin de télécharger le programme. 
# Sauvegarde le sur ton Bureau 
# Double-clique fsbl.exe et accepte la licence.
# Clique Scan puis Next
# A la fin du scan, NE TOUCHE A RIEN !
Tu verras un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres). Nous devons analyser ce rapport.
# Ferme donc BlackLight.
# Poste le rapport sur le forum.

linconnue · Answer

j'ai sauvegardé dans mes documents quand je clique dessus ça me met exécuter et quand je clique dessus il apparait un grand rectangle noir

linconnue · Answer

voici le rapport
06/11/07 19:46:15 [Info]: BlackLight Engine 1.0.61 initialized
06/11/07 19:46:15 [Info]: OS: 5.1 build 2600 (Service Pack 2)
06/11/07 19:46:15 [Note]: 7019 4
06/11/07 19:46:15 [Note]: 7005 0
06/11/07 19:46:30 [Note]: 7006 0
06/11/07 19:46:30 [Note]: 7011 1400
06/11/07 19:46:30 [Note]: 7026 0
06/11/07 19:46:30 [Note]: 7026 0
06/11/07 19:46:30 [Note]: 7024 3
06/11/07 19:46:30 [Info]: Hidden process: C:\windows\system32\kkmfybihcd.exe
06/11/07 19:46:35 [Note]: FSRAW library version 1.7.1021
06/11/07 19:54:03 [Info]: Hidden file: c:\WINDOWS\system32\kkmfybihcd.dat
06/11/07 19:54:03 [Note]: 10002 1
06/11/07 19:54:03 [Info]: Hidden file: C:\windows\system32\kkmfybihcd.exe
06/11/07 19:54:04 [Note]: 10002 1
06/11/07 19:54:04 [Info]: Hidden file: c:\WINDOWS\system32\kkmfybihcd_nav.dat
06/11/07 19:54:04 [Note]: 10002 1
06/11/07 19:54:04 [Info]: Hidden file: c:\WINDOWS\system32\kkmfybihcd_navps.dat
06/11/07 19:54:04 [Note]: 10002 1
06/11/07 19:56:08 [Note]: 2000 1012
06/11/07 19:56:32 [Note]: 7007 0

linconnue · Answer

excuse moi je suis désolée,tu as raison je me suis trompée,je pensais l'avoir envoyé sur le forum,milles excuses,si tu dors pas encore je te souhaite une bonne nuit

Cousin_Avi · Answer

# Télécharge Clean.zip (de Malekal),
http://www.malekal.com/download/clean.zip 
# Décompresse-le sur ton bureau (Clique-Droit/Extraire tout), tu dois obtenir un dossier Clean.
# Ouvre le dossier clean, double-clique sur clean.cmd.
Choisis l'option 1 puis patiente. 
# Poste ensuite le contenu du rapport.

# Télécharge VundoFix.exe (par Atribune)
http://www.atribune.org/ccount/click.php?id=4 sur ton bureau.
# Double-clique VundoFix.exe afin de le lancer
# Clique sur le bouton Scan for Vundo
# Lorsque le scan est complété, clique sur le bouton Remove Vundo
# Une invite te demandera si tu veux supprimer les fichiers, clique YES
# Après avoir cliqué Yes, le bureau disparaîtra un moment lors de la suppression des fichiers
# Tu verras une invite qui t'annonce que ton PC va redémarrer; clique OK
# Copie/colle le contenu du rapport situé dans C:\vundofix.txt .

Cousin_Avi · Answer

Redémarre en mode sans échec et effectue l'option 2 avec Clean

linconnue · Answer

je fais comment pour redémarrer en mode sans echec a l'aide je sais plus en j'en suis la

Cousin_Avi · Answer

Tapote F8 au démarrage

Cousin_Avi · Answer

Bon AZUR09 désolé de l'absence :
utilise ce lien pour démarrer en mode sans échec : http://service1.symantec.com/support/inter/tsgeninfointl.nsf/fr_docid/20020905112131924

Cousin_Avi · Answer

Ok as-Tu toujours des problèmes ?

linconnue · Answer

moi c'est l'inconnue je pense que tu t'es trompé de personne,mais oui j'ai tjr des problemes parce que je reçois des messages de toi,de azur09 et je mélange tout je suis complétement perdue la

Cousin_Avi · Answer

# Double clique sur le raccourci Navilog1 présent sur le bureau et laisse-toi guider.
Au menu principal, choisis 2 et valide.
Le fix va t'informer qu'il va alors redémarrer ton PC
# Ferme toutes les fenêtres ouvertes et enregistre tes documents personnels ouverts et appuie sur une touche comme demandé. (Si ton PC ne redémarre pas automatiquement, fais le toi même).
Au redémarrage de ton PC, choisis ta session habituelle.
# Patiente jusqu'au message « *** Nettoyage Termine le ..... *** » 
Le bloc note va s'ouvrir.
# Sauvegarde le rapport de manière à le retrouver
# Referme le bloc note. Ton bureau va réapparaître

Si ton bureau ne réapparaît pas, fais CTRL+ALT+SUPP pour ouvrir le gestionnaire de tâches .Puis rends-toi à l'onglet "processus". Clique en haut à gauche sur fichiers et choisis "exécuter"Tape explorer et valide. Celà te fera apparaître ton bureau

Vas dans Démarrer/panneau de configuration/options internet- onglet "Contenu" puis onglet "Certificats" et si tu trouves ceci, en particulier dans "éditeurs approuvés", mais regarde ailleurs :
-	Electronic-groupe
-	GroupMontorgueil
-	VIP
-	"Sunny Day Design Ltd"

Tu les suppriment !
# Redémarres normalement et poste le rapport cleannavi.txt.

Désinstallation Navilog1 Via ajout/suppression des programmes --> Navilog1
# Ensuite supprime également ce dossier : C:\Program Files
avilog1


Avant de continuer dis moi si tu as encore tes pubs.

AZUR09 · Answer

DE AZUR09
J'ai particulièrement apprécié la compétence, la disponibilité et la patience de Cousin Avi pour la résolution de mes soucis.
Merci à lui et à CCM

AZUR09

Cousin_Avi · Answer

=) 
Merci beaucoup

Cousin_Avi · Answer

Recommence la manip avec Navilog.

# Télécharge Blacklight (F-Secure)
https://www.f-secure.com/en , clique sur " I ACCEPT " en bas de la page :
# Clique sur le premier " Download " afin de télécharger le programme. 
# Sauvegarde le sur ton Bureau 
# Double-clique fsbl.exe et accepte la licence.
# Clique Scan puis Next
# A la fin du scan, NE TOUCHE A RIEN !
Tu verras un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres). Nous devons analyser ce rapport.
# Ferme donc BlackLight.
# Poste le rapport sur le forum.

Et reposte un rapport HijackThis

Cousin_Avi · Answer

# Télécharge VundoFix.exe (par Atribune)
http://www.atribune.org/ccount/click.php?id=4 sur ton bureau.
# Double-clique VundoFix.exe afin de le lancer
# Clique sur le bouton Scan for Vundo
# Lorsque le scan est complété, clique sur le bouton Remove Vundo
# Une invite te demandera si tu veux supprimer les fichiers, clique YES
# Après avoir cliqué Yes, le bureau disparaîtra un moment lors de la suppression des fichiers
# Tu verras une invite qui t'annonce que ton PC va redémarrer; clique OK
# Copie/colle le contenu du rapport situé dans C:\vundofix.txt .

Note: Il est possible que VundoFix soit confronté à un fichier qu'il ne peut supprimer. Si tel est le cas, l'outil se lancera au prochain redémarrage; il faut simplement suivre les instructions ci-haut, à partir de « clique sur le bouton Scan for Vundo » 

Télécharge FindAWF.exe http://noahdfear.geekstogo.com/FindAWF.exe (par Noahdfear) sur ton Bureau. 
 
# Double-clique FindAWF.exe 
Un fichier texte sera produit et s'affichera à l'écran (awf.txt) 

#Copie/colle le contenu du fichier dans ta prochaine réponse.

Cousin_Avi · Answer

# Télécharge SDFix (par Andy Manchesta)
http://downloads.andymanchesta.com/RemovalTools/SDFix.exe
Enregistre le sur ton Bureau
# Double clique sur SDFix.exe 
Choisis Install pour l'extraire sur ton Bureau 
# Redémarre en mode sans échec (tapotte sur F8 jusqu'a l'apparition du menu / monte avec les fleches sur mode sans echec / choisis ta session )
Double clic sur le dossier SDFix puis double clique sur RunThis.bat 
Appuie sur Y pour le lancer, laisse le s'éxécuter. Il te sera demandé d'appuyer sur une touche pour redemarrer, fais le (Il est possible que le redémarrage soit plus long que d'habitude)
# Une fois ton Bureau chargé ,il affichera Finished appuie sur une touche pour finir l'exécution et charger les icônes de ton Bureau, un rapport est généré, Copie / colle le dans ta réponse tu trouveras aussi ce rapport dans le dossier SDFix ( Report.txt ) 

# Télécharges eScan Antivirus Toolkit (par Malekal) https://www.malekal.com/tutorial-escan-antivirus-toolkit/
# Ouvres le dossier C:\Kaspersky et double-cliquez sur kavupd.exe pour le mettre à jour
# Démarres Windows en mode sans échec 
Guide pour redémarrer en mode sans échec https://www.malekal.com/demarrer-windows-mode-sans-echec/
# Ouvres le fichier mwavscan.com
# Coches les options comme indiquées sur cette page https://www.malekal.com/fichiers/eScan/eScan3.png
# Cliques Scan Clean pour démarrer le scan et laissez le scan se faire jusqu'au bout.

Lyonnais92 · Answer

Bonjour

Tu relances Blacklight. Avant, consulte le tuto de Malekal_morte ici : 
< https://www.malekal.com/tutorial-f-secure-blacklight/ > 
 

A la fin dun scan (step 1), tu cliques sur Next. 

La liste des processus va s'afficher. 

Ligne après ligne, tu cliques dessus pour la mettre en surbrillance et tu cliques sur None. Une liste va s'afficher. Tu choisis rename. 

A la fin, devant toutes tes lignes, tu dois voir rename. 

Tu fais Next puis Close. 

Tu reboot le pc. 

Après reboot, tu cherches, par l'explorateur Windows les fichiers suivants : 
c:\WINDOWS\system32\spsrbgmv.dat.ren 
C:\windows\system32\spsrbgmv.exe.ren 
c:\WINDOWS\system32\spsrbgmv_nav.dat.ren 
c:\WINDOWS\system32\spsrbgmv_navps.dat.ren 
et 
c:\WINDOWS\PREFETCH\spsrbgmv.EXE-227E565F.pf.ren 

(BlackLight a permis de renommer les fichiers cachés et donc de les faire apparaître, ce qui permet de les détruire. 

Tu les supprimes (clic droit, supprimer). Si ils résistent, tu rebootes en mode sans échec et tu essayes de nouveau de les supprimer. Si ça ne veux toujours pas, il y des méthodes plus "brutales". 

Tu vides ta corbeille. 

Tu remets un log HijackThis.

Bonne suite.

Lyonnais92 · Answer

Re,

cherche les fichiers en *.ren sur ton ordi.

Si tu n'en trouves pas, refas tourner Blacklight (scan) et poste le rapport.

@+

Lyonnais92 · Answer

Re,

le dernier rapport montre que tu as du rater quelque chose dans la procédure.

Revoies le tuto de Malekal et essaye de suivre au plus prêt les instructions pour renommer pour voir ce qui s'est passé.

@+

AZUR09 · Answer

J'avais effectivement raté un truc.
J'ai pu détruire les 4 fichiers dans system 32 mais je n'ai pas trouvé le sous répertoire PREFETCH.

Ci joint le log Hijack This

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 19:03:03, on 13/06/2007
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
Boot mode: Normal

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINNT\system32\CTsvcCDA.EXE
C:\WINNT\system32\svchost.exe
C:\WINNT\system32
vsvc32.exe
C:\WINNT\system32egsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\ZoneLabs\vsmon.exe
C:\WINNT\Explorer.EXE
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\MsPMSPSv.exe
C:\WINNT\system32\svchost.exe
C:\Program Files\Picasa2\PicasaMediaDetector.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINNT\system32\CTHELPER.EXE
C:\SCNJET5S\hpsjpl32.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\WINNT\system32undll32.exe
C:\Program Files\Nikon\NkView6\NkvMon.exe
C:\Program Files\MSI\PC Alert 4\PCAlert4.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINNT\system32\wuauclt.exe
C:\Telechargements\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.tiscali.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - (no file)
O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [UpdReg] C:\WINNT\UpdReg.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Picasa Media Detector] C:\Program Files\Picasa2\PicasaMediaDetector.exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [Jet Detection] "C:\Program Files\Creative\SBLive\PROGRAM\ADGJDet.exe"
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [HPSJ5 Polling Driver] C:\SCNJET5S\hpsjpl32.exe
O4 - HKLM\..\Run: [spsrbgmv] c:\winnt\system32\spsrbgmv.exe spsrbgmv
O4 - HKUS\.DEFAULT\..\Run: [internat.exe] internat.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [^SetupICWDesktop] C:\Program Files\Internet Explorer\Connection Wizard\icwconn1.exe /desktop (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: NkvMon.exe.lnk = C:\Program Files\Nikon\NkView6\NkvMon.exe
O4 - Global Startup: PC Alert 4.lnk = C:\Program Files\MSI\PC Alert 4\PCAlert4.exe
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://software-dl.real.com/3012fd8a724a9f064005/netzip/RdxIE601_fr.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - http://config.zebulon.fr/plugins/hardwaredetection.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{1FC06ABC-98AA-415A-B132-402B1B781B9C}: NameServer = 213.36.80.1 213.36.80.1
O17 - HKLM\System\CS2\Services\Tcpip\..\{1FC06ABC-98AA-415A-B132-402B1B781B9C}: NameServer = 213.36.80.1 213.36.80.1
O22 - SharedTaskScheduler: Pré-chargeur Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINNT\system32\browseui.dll
O22 - SharedTaskScheduler: Démon de cache des catégories de composant - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINNT\system32\browseui.dll
O23 - Service: Avertissement (Alerter) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: Gestion d'applications (AppMgmt) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Explorateur d'ordinateur (Browser) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINNT\system32\CTsvcCDA.EXE
O23 - Service: Client DHCP (Dhcp) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - Unknown owner - C:\WINNT\System32\dmadmin.exe
O23 - Service: Gestionnaire de disque logique (dmserver) - Unknown owner - C:\WINNT\System32\services.exe
O23 - Service: Client DNS (Dnscache) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: Journal des événements (Eventlog) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: Service de télécopie (Fax) - Unknown owner - C:\WINNT\system32\faxsvc.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Serveur (lanmanserver) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: Station de travail (lanmanworkstation) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: Service d'application d'assistance TCP/IP NetBIOS (LmHosts) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: Affichage des messages (Messenger) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: Partage de Bureau à distance NetMeeting (mnmsrvc) - Unknown owner - C:\WINNT\system32\mnmsrvc.exe
O23 - Service: DDE réseau (NetDDE) - Unknown owner - C:\WINNT\system32
etdde.exe
O23 - Service: DSDM DDE réseau (NetDDEdsdm) - Unknown owner - C:\WINNT\system32
etdde.exe
O23 - Service: Ouverture de session réseau (Netlogon) - Unknown owner - C:\WINNT\system32\lsass.exe
O23 - Service: Fournisseur de la prise en charge de sécurité LM NT (NtLmSsp) - Unknown owner - C:\WINNT\system32\lsass.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINNT\system32
vsvc32.exe
O23 - Service: Plug-and-Play (PlugPlay) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: Agent de stratégie IPSEC (PolicyAgent) - Unknown owner - C:\WINNT\system32\lsass.exe
O23 - Service: Emplacement protégé (ProtectedStorage) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: Gestionnaire de comptes de sécurité (SamSs) - Unknown owner - C:\WINNT\system32\lsass.exe
O23 - Service: Prise en charge des cartes à puces (SCardDrv) - Unknown owner - C:\WINNT\System32\SCardSvr.exe
O23 - Service: Carte à puce (SCardSvr) - Unknown owner - C:\WINNT\System32\SCardSvr.exe
O23 - Service: Planificateur de tâches (Schedule) - Unknown owner - C:\WINNT\system32\MSTask.exe
O23 - Service: Service d'exécution par délégation (seclogon) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: Journaux et alertes de performance (SysmonLog) - Unknown owner - C:\WINNT\system32\smlogsvc.exe
O23 - Service: Telnet (TlntSvr) - Unknown owner - C:\WINNT\system32	lntsvr.exe
O23 - Service: Client de suivi de lien distribué (TrkWks) - Unknown owner - C:\WINNT\system32\services.exe
O23 - Service: Gestionnaire d'utilitaires (UtilMan) - Unknown owner - C:\WINNT\System32\UtilMan.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINNT\system32\ZoneLabs\vsmon.exe
O23 - Service: Horloge Windows (W32Time) - Unknown owner - C:\WINNT\System32\services.exe
O23 - Service: Infrastructure de gestion Windows (WinMgmt) - Unknown owner - C:\WINNT\System32\WBEM\WinMgmt.exe
O23 - Service: Extensions du pilote WMI (Wmi) - Unknown owner - C:\WINNT\system32\Services.exe

Lyonnais92 · Answer

Re,

on a pas tout eu.

1) Pas de redémararge, si possible.

2) J'aime bien savoir à qui j'ai à faire.
Rends toi sur ce site :
http://www.virustotal.com/xhtml/virustotal_en.html

Clique sur parcourir et cherche ce fichier : c:\winnt\system32\spsrbgmv.exe

Clique sur send.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse. 

3) Réouvre Hijackthis, choisis do a scan only.

Coche la case devant :
O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - (no file)
O4 - HKLM\..\Run: [spsrbgmv] c:\winnt\system32\spsrbgmv.exe spsrbgmv

ferme toutes les fenêtres actives et clique sur Fix checked.

4) Supprime via l'explorateur Windows c:\winnt\system32\spsrbgmv.exe

Recherche  spsrbgmv sur tes disques et supprime tout ce que tu trouves.


Remets un log Hijackthis.
@+

AZUR09 · Answer

Oui, je le vois dans le log HijachThis

Lyonnais92 · Answer

Re,

->Affiche tous les fichiers et dossiers : 
clique sur démarrer/panneau de configuration (en affichage classique)/option des dossiers/affichage 

[Coche] « afficher les dossiers et fichiers cachés » 

[Décoche] la case « Masquer les fichiers protégés du système d'exploitation (recommandé) » 

[Décoche] « masquer les extensions dont le type est connu » 

Puis fais [appliquer] pour valider les changements. 

Et [Ok] 


et recommence le poste 48.
@+

Lyonnais92 · Answer

Re,
Relance HijackThis.

Choisis Do a scan only

Coche la case devant les lignes suivantes 

O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - (no file)
O4 - HKLM\..\Run: [spsrbgmv] c:\winnt\system32\spsrbgmv.exe spsrbgmv

Ferme toutes les fenêtres (hormis HijackThis), y compris ton navigateur.

Clique sur fix checked.

Ferme Hijackthis.

Redémarre l'ordi.

Relance Blacklight. Ne poste le rapport que s'il n'est pas propre.

Remets un log Hijackthis.
@+

Lyonnais92 · Answer

Re,

bon, il ne doit pas rester grand chose.

Je verrai ça demain.
@+

Lyonnais92 · Answer

Bonjour,

le log HijackThis est propre.

Tu fais ce qui est demandé par Cousin_Avi au post 41.

Tu postes les log.

Tu verras avec lui la fin des opérations.
@+

balan · Answer

bonjour.
voila mon raport hijackthis pouvez vous me l'analiser.
cordialement.
david


Logfile of HijackThis v1.99.1
Scan saved at 11:17:19, on 14/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16473)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\progra~1\softwin\bitdef~1\bdmcon.exe
C:\Program Files\Softwin\BitDefender9\bdoesrv.exe
C:\progra~1\softwin\bitdef~1\bdnagent.exe
C:\progra~1\softwin\bitdef~1\bdswitch.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe
C:\Program Files\Winamp\winampa.exe
C:\Program Files\Lexmark X5100 Series\lxbabmgr.exe
C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\Program Files\Lexmark X5100 Series\lxbabmon.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Fichiers communs\LogiShrd\LComMgr\Communications_Helper.exe
C:\Program Files\Labtec\WebCam10\WebCam10.exe
C:\windows\system32\drivers\uzcx.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\SuperCopier2\SuperCopier2.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\LogiShrd\LComMgr\LVComSX.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe
C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe
C:\Program Files\Softwin\BitDefender9\vsserv.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\Adobe\Acrobat 7.0\Reader\AcroRd32.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\SKILLA~1\LOCALS~1\Temp\Rar$EX07.860\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.Begin2Search.com/search.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.Begin2Search.com/search.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.Begin2Search.com/search.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.Begin2Search.com/search.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [BDMCon] c:\progra~1\softwin\bitdef~1\bdmcon.exe
O4 - HKLM\..\Run: [BDOESRV] "C:\Program Files\Softwin\BitDefender9\bdoesrv.exe"
O4 - HKLM\..\Run: [BDNewsAgent] "C:\progra~1\softwin\bitdef~1\bdnagent.exe"
O4 - HKLM\..\Run: [BDSwitchAgent] "C:\progra~1\softwin\bitdef~1\bdswitch.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Lexmark X5100 Series] "C:\Program Files\Lexmark X5100 Series\lxbabmgr.exe"
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [LogitechCommunicationsManager] "C:\Program Files\Fichiers communs\LogiShrd\LComMgr\Communications_Helper.exe"
O4 - HKLM\..\Run: [LogitechQuickCamRibbon] "C:\Program Files\Labtec\WebCam10\WebCam10.exe" /hide
O4 - HKLM\..\Run: [iut75] c:\windows\system32\drivers\uzcx.exe
O4 - HKLM\..\Run: [Windows Defender] "C:\Program Files\Windows Defender\MSASCui.exe" -hide
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SuperCopier2.exe] C:\Program Files\SuperCopier2\SuperCopier2.exe
O4 - HKCU\..\Run: [WashAndGo - Cleanup of old Backupfiles] C:\Program Files\WashAndGo\checker.exe /check
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\PROGRA~1\Skype\Phone\IEPlugin\SKYPEI~1.DLL
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {76A2A0AB-38B7-46DB-8E47-F10CDE4D7920} - http://sallevirtuelle.cotesdarmor.fr/ecwplugins/ncs.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AFSEGTGF Windows Service - Unknown owner - C:\WINDOWS\system32\dscph.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)
O23 - Service: LVSrvLauncher - Labtec Inc. - C:\Program Files\Fichiers communs\LogiShrd\SrvLnch\SrvLnch.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Program Files\Softwin\BitDefender9\vsserv.exe" /service (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

Lyonnais92 · Answer

Bonjour balan,
tusquattes le post de Azur09.

Il serait préférable que tu fasses ton message personnel, cela rendra les postes plus compréhensibles et la réponse à ton problème sera plus efficace 
Procèdes comme ceci : 
 

http://perso.orange.fr/rginformatique/section%20virus/demofairesontmessage.htm 

Bonne suite.

Lyonnais92 · Answer

Re,

non, cela ne semble pas normal, mais je ne vois pas quel outil aurais pu détruire ce fichier.

Il faudrait que tu retrouves le rapport de escan.

Tu peux utiliser la fonction rechercher en cherchant dans les fichiers créés aujourd'hui.

Est ce que tu connais le nom du fichier qui contient les informations sur les contacts ?
@+

Lyonnais92 · Answer

Re,

je répondais au poste 62.
@+

Lyonnais92 · Answer

Bonsoir,

que reste t-il exactement comme souci ?
@+

FLO · Answer

salut j'ai le meme propbleme que vous : j'ai fais une analyse avec navilog et voila ce que ca donne:Search Navipromo version 2.0.5 commencé le 05/07/2007 à 18:53:38,07
 
!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Poster ce rapport sur le forum pour le faire analyser !!!
!!! Ne pas lancer la partie désinfection sans l'avis d'un spécialiste !!!

Fix lancé depuis C:\Program Files
avilog1
Mise a jour le 01.07.2007 a 12h00 by IL-MAFIOSO

Executé en mode normal

*** Recherche Programmes installes *** 

 


*** Recherche dossiers dans C:\WINDOWS ***




*** Recherche dossiers dans C:\Program Files ***


C:\Program Files\WebMediaPlayer trouvé !


*** Recherche dossiers dans C:\Documents and Settings\All Users\Application Data ***




*** Recherche dossiers dans C:\Documents and Settings\Flo\Application Data ***



*** Recherche avec BlackLight Engine/F-secure ***
BlackLight Engine est un produit de F-secure, pour + d'infos :
https://www.f-secure.com/en

Fichier(s) caché(s) dans C:\WINDOWS\system32 :

c:\WINDOWS\system32\fmppqc.dat 
C:\windows\system32\fmppqc.exe 
c:\WINDOWS\system32\fmppqc_nav.dat 
c:\WINDOWS\system32\fmppqc_navps.dat 

Processus caché(s) dans C:\WINDOWS\system32 :

C:\windows\system32\fmppqc.exe 


*** Recherche fichiers *** 


C:\WINDOWS\pack.epk trouvé !
C:\WINDOWS	mlpcert2007 trouvé !
C:\WINDOWS\system32
vs2.inf trouvé !


*** Recherche cles registre ***


Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs] 
 
 

Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage] 
 
 

Recherche Clé Magic Control 
 
HKEY_CURRENT_USER\Software\Lanconfig trouvé ! 
 
 
*** Module de Recherche complémentaire *** 
(Recherche fichiers spécifiques) 
 
1)Recherche fichiers connus:


2)Recherche Heuristique :
* 
C:\WINDOWS\system32\fmppqc.dat trouvé !
C:\WINDOWS\system32\mdcheddayp.dat trouvé !
** 
C:\WINDOWS\system32\fmppqc.dat trouvé !
C:\WINDOWS\system32\mdcheddayp.dat trouvé !
*** 
C:\WINDOWS\system32\mdcheddayp_nav.dat trouvé !
**** 
C:\WINDOWS\system32\fmppqc_navps.dat trouvé !
C:\WINDOWS\system32\mdcheddayp_navps.dat trouvé !
***** 
****** 
******* 
******** 

3)Recherche Certificats :

Certificat Egroup trouvé !


*** Analyse Terminé le 05/07/2007 à 19:05:12,32 *** 

Si quelqu'un peut m'aider c'est cool

Lyonnais92 · Answer

Bonsoir,

Il serait préférable que tu fasses ton message personnel, cela rendra les postes plus compréhensibles et la réponse à ton problème sera plus efficace 
Procèdes comme ceci : 
 

http://perso.orange.fr/rginformatique/section%20virus/demofairesontmessage.htm 

Bonne suite

SPYWARE ?????

37 réponses

Votre réponse

Newsletters