Ad-aware ou add-malware ?
j'installe Ad-aware, j'avais recu des fichiers du net, de sources pas forcément sures, je voulais un deuxieme avis autre que AVG...
Resultat, il me trouve une vingtaine de trucs pas importants.
jusque là ok.
Juste aprés, alors que rien ne telechargeait, que j'étais juste en train de jouer à Counter, Paf !! AVG se reveille ! il m'avais jamais detecté un virus sans que je scanne durant 4 mois, et là il en trouve un... ok bon je Heal.
idem 5 minutes aprés...
Maintenant, de temps en temps, sur firefox j'ai une fenetre 'voulez vous scanner votre base de registre (gratuit)', si je dis non, ça me met sur la page, et si je ferme la page ça me redemande...etc...
exemple : (apparu qd je tappais le message) : http://www.winantiviruspro.com/pages/newcontent/?aid=ffnm_ik_wavffna_kw&affid=ffnm_67667_60C897FE1ED511DCB7A1003048895BFC_94d1964a%205A6D8DB6900946118F38A455BB117D5E&lid=virus+com%3E
bref c'est assez relou, je sais pas comment zapper ce truc, j'ai jamais eu de trucs de ce genre, d'habitude le pc est propre.
C'est qd meme etonnant que ça tombe pile au moment ou j'installe ad aware quoi, logiciel dont je n'avais pas entendu que du bien, mais je me suis dit que qd meme ça allait pas trop souler. Ben si.
si vous connaissez la solution, merci de la partager avec moi :)
--
Sauvez un PC, mangez votre CD de Win#.
Pouvoiiiir ! Aucune limite à mon Pouvoiiiir !
Resultat, il me trouve une vingtaine de trucs pas importants.
jusque là ok.
Juste aprés, alors que rien ne telechargeait, que j'étais juste en train de jouer à Counter, Paf !! AVG se reveille ! il m'avais jamais detecté un virus sans que je scanne durant 4 mois, et là il en trouve un... ok bon je Heal.
idem 5 minutes aprés...
Maintenant, de temps en temps, sur firefox j'ai une fenetre 'voulez vous scanner votre base de registre (gratuit)', si je dis non, ça me met sur la page, et si je ferme la page ça me redemande...etc...
exemple : (apparu qd je tappais le message) : http://www.winantiviruspro.com/pages/newcontent/?aid=ffnm_ik_wavffna_kw&affid=ffnm_67667_60C897FE1ED511DCB7A1003048895BFC_94d1964a%205A6D8DB6900946118F38A455BB117D5E&lid=virus+com%3E
bref c'est assez relou, je sais pas comment zapper ce truc, j'ai jamais eu de trucs de ce genre, d'habitude le pc est propre.
C'est qd meme etonnant que ça tombe pile au moment ou j'installe ad aware quoi, logiciel dont je n'avais pas entendu que du bien, mais je me suis dit que qd meme ça allait pas trop souler. Ben si.
si vous connaissez la solution, merci de la partager avec moi :)
--
Sauvez un PC, mangez votre CD de Win#.
Pouvoiiiir ! Aucune limite à mon Pouvoiiiir !
Configuration: Windows XP Firefox 2.0.0.4
11 réponses
-
ModérateurSalut ll0ll ! :-)
Je ne pense pas que ce soit Ad-Aware le responsable de tes soucis.
Peux-tu faire ceci, pour vérifier ?
* Télécharge HijackThis à cette adresse : http://www.hijackthis.de/downloads/hijackthis_199.zip
* Enregistre-le dans Mes Documents
* Dézippe-le (clic droit / Extraire tout).
** Voici une petite démo qui pourra t'aider (merci Balltrap34) : http://pageperso.aol.fr/balltrap34/Hijenr.gif
* Double-clique sur HijackThis.exe
* Clique sur "Do a system scan and save logfile" (cf. démo)
* Le bloc-notes va s'ouvrir, fais un copier-coller du rapport entier dans ta prochaine réponse.
Voici une autre démo en cas de problèmes (merci Balltrap34) :
http://pageperso.aol.fr/balltrap34/demohijack.htm
N'hésite pas si tu as un souci dans la manip' ! :-)
** Nils ** -
ContributeurBonjour et merci de t'interesser au sujet.
Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 12:20:28, on 20/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal
Running processes:
F:\WINDOWS\System32\smss.exe
F:\WINDOWS\system32\winlogon.exe
F:\WINDOWS\system32\services.exe
F:\WINDOWS\system32\lsass.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\System32\svchost.exe
F:\WINDOWS\system32\spoolsv.exe
F:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
F:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
F:\PROGRA~1\Grisoft\AVG7\avgemc.exe
F:\Program Files\Executive Software\Diskeeper\DkService.exe
F:\WINDOWS\system32\nvsvc32.exe
F:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
F:\Program Files\MSN Messenger\usnsvc.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\Explorer.EXE
F:\PROGRA~1\Grisoft\AVG7\avgcc.exe
D:\Steam\Steam.exe
C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\system.exe
F:\Program Files\MSN Messenger\msnmsgr.exe
F:\WINDOWS\system32\rundll32.exe
F:\Program Files\Mozilla Firefox\firefox.exe
E:\Mes documents\Mes téléchargements\HiJackThis_v2.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {33255EEE-BBDA-45F1-A2FF-8FC09961FC54} - F:\WINDOWS\system32\awvvw.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - F:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: (no name) - {D5E0F6CF-ACB3-4339-A8E9-BB7003AF916b} - F:\WINDOWS\system32\jbmortbk.dll (file missing)
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [DiskeeperSystray] "F:\Program Files\Executive Software\Diskeeper\DkIcon.exe"
O4 - HKLM\..\Run: [AVG7_CC] F:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [h3yb0y] C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\LSASS.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\service.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\conf.dll
O4 - HKLM\..\Run: [h3yb0y1] C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\LSASS.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\system.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\serv-u.ini
O4 - HKLM\..\Run: [GPLv3] rundll32.exe "F:\WINDOWS\system32\bufqlnjk.dll",realset
O4 - HKCU\..\Run: [Steam] D:\Steam\Steam.exe -silent
O4 - HKCU\..\Run: [msnmsgr] "F:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [eMuleAutoStart] C:\emule\emule.exe -AutoStart
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] F:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://F:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - F:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://soulblast3r.spaces.live.com//PhotoUpload/MsnPUpld.cab
O20 - Winlogon Notify: awvvw - F:\WINDOWS\system32\awvvw.dll
O20 - Winlogon Notify: ljjkljk - F:\WINDOWS\SYSTEM32\ljjkljk.dll
O22 - SharedTaskScheduler: Pré-chargeur Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - F:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Démon de cache des catégories de composant - {8C7461EF-2B13-11d2-BE35-3078302C2030} - F:\WINDOWS\system32\browseui.dll
O23 - Service: Adobe LM Service - Adobe Systems - F:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - F:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - F:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - F:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O23 - Service: Diskeeper - Executive Software International, Inc. - F:\Program Files\Executive Software\Diskeeper\DkService.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - Unknown owner - F:\WINDOWS\System32\dmadmin.exe
O23 - Service: Journal des événements (Eventlog) - Unknown owner - F:\WINDOWS\system32\services.exe
O23 - Service: Service COM de gravage de CD IMAPI (ImapiService) - Unknown owner - F:\WINDOWS\system32\imapi.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - F:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Partage de Bureau à distance NetMeeting (mnmsrvc) - Unknown owner - F:\WINDOWS\system32\mnmsrvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - F:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Plug-and-Play (PlugPlay) - Unknown owner - F:\WINDOWS\system32\services.exe
O23 - Service: DiRT Drivers Auto Removal (pr2ah4nb) (pr2ah4nb) - CODEMASTERS - F:\WINDOWS\system32\pr2ah4nb.exe
O23 - Service: DiRT Drivers Auto Removal (pr2ah4nc) (pr2ah4nc) - CODEMASTERS - F:\WINDOWS\system32\pr2ah4nc.exe
O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance (RDSessMgr) - Unknown owner - F:\WINDOWS\system32\sessmgr.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - F:\Program Files\WinPcap\rpcapd.exe
O23 - Service: Carte à puce (SCardSvr) - Unknown owner - F:\WINDOWS\System32\SCardSvr.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - F:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: Journaux et alertes de performance (SysmonLog) - Unknown owner - F:\WINDOWS\system32\smlogsvc.exe
O23 - Service: Cliché instantané de volume (VSS) - Unknown owner - F:\WINDOWS\System32\vssvc.exe
O23 - Service: Carte de performance WMI (WmiApSrv) - Unknown owner - F:\WINDOWS\system32\wbem\wmiapsrv.exe
-
ModérateurRe. :-)
Peux-tu utiliser l'ancienne version d'HijackThis (à savoir, la 1.991) ?
Celle que tu viens d'utiliser est la v2.0.0 (BETA)
Essaie avec ce lien de téléchargement : http://pageperso.aol.fr/Balltrap34/HijackThis.exe
A+
** Nils ** -
ContributeurLogfile of HijackThis v1.99.1
Scan saved at 12:27:24, on 20/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
F:\WINDOWS\System32\smss.exe
F:\WINDOWS\system32\winlogon.exe
F:\WINDOWS\system32\services.exe
F:\WINDOWS\system32\lsass.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\System32\svchost.exe
F:\WINDOWS\system32\spoolsv.exe
F:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
F:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
F:\PROGRA~1\Grisoft\AVG7\avgemc.exe
F:\Program Files\Executive Software\Diskeeper\DkService.exe
F:\WINDOWS\system32\nvsvc32.exe
F:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
F:\Program Files\MSN Messenger\usnsvc.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\Explorer.EXE
F:\PROGRA~1\Grisoft\AVG7\avgcc.exe
D:\Steam\Steam.exe
C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\system.exe
F:\Program Files\MSN Messenger\msnmsgr.exe
F:\WINDOWS\system32\rundll32.exe
F:\Program Files\Mozilla Firefox\firefox.exe
E:\Mes documents\Mes téléchargements\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [DiskeeperSystray] "F:\Program Files\Executive Software\Diskeeper\DkIcon.exe"
O4 - HKLM\..\Run: [AVG7_CC] F:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [h3yb0y] C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\LSASS.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\service.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\conf.dll
O4 - HKLM\..\Run: [h3yb0y1] C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\LSASS.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\system.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\serv-u.ini
O4 - HKLM\..\Run: [MSConfig] F:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [Steam] D:\Steam\Steam.exe -silent
O4 - HKCU\..\Run: [msnmsgr] "F:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [eMuleAutoStart] C:\emule\emule.exe -AutoStart
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://F:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - F:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://soulblast3r.spaces.live.com//PhotoUpload/MsnPUpld.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - F:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - F:\Program Files\Fichiers communs\Microsoft Shared\Help\hxds.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - F:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - F:\PROGRA~1\FICHIE~1\MICROS~1\OFFICE12\MSOXMLMF.DLL
O23 - Service: Adobe LM Service - Adobe Systems - F:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - F:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - F:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - F:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O23 - Service: Diskeeper - Executive Software International, Inc. - F:\Program Files\Executive Software\Diskeeper\DkService.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - F:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - F:\WINDOWS\system32\nvsvc32.exe
O23 - Service: DiRT Drivers Auto Removal (pr2ah4nb) (pr2ah4nb) - CODEMASTERS - F:\WINDOWS\system32\pr2ah4nb.exe
O23 - Service: DiRT Drivers Auto Removal (pr2ah4nc) (pr2ah4nc) - CODEMASTERS - F:\WINDOWS\system32\pr2ah4nc.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - F:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
-
ModérateurTélécharge VundoFix.exe (par Atribune) sur ton Bureau.
http://www.atribune.org/ccount/click.php?id=4
* Double-clique sur VundoFix.exe afin de le lancer.
* Lorsque l'outil se lance à nouveau, clique sur le bouton Scan for Vundo
* Lorsque le scan est complété, clique sur le bouton Remove Vundo
* Une invite te demandera si tu veux supprimer les fichiers, clique sur YES
* Après avoir cliqué sur YES, le Bureau disparaîtra un moment lors de la suppression des fichiers.
* Tu verras une invite qui t'annonce que ton PC va s'éteindre ("shutdown"). Clique sur OK.
* Démarre ton PC à nouveau.
* Copie/colle le contenu du rapport situé dans C:\vundofix.txt ainsi qu'un nouveau rapport HijackThis! dans ta prochaine réponse.
Il est possible que VundoFix soit confronté à un fichier qu'il ne peut supprimer. Si tel est le cas, l'outil se lancera au prochain redémarrage; il faut simplement suivre les instructions ci-haut, à partir de "clique sur le bouton Scan for Vundo".
A+
** Nils ** -
Contributeurre, et encore merci de vous interesser à mon sujet.
voici le rapport hijack et le vundofix
Logfile of HijackThis v1.99.1
Scan saved at 13:52:35, on 20/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
F:\WINDOWS\System32\smss.exe
F:\WINDOWS\system32\winlogon.exe
F:\WINDOWS\system32\services.exe
F:\WINDOWS\system32\lsass.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\System32\svchost.exe
F:\WINDOWS\system32\spoolsv.exe
F:\WINDOWS\Explorer.EXE
F:\PROGRA~1\Grisoft\AVG7\avgcc.exe
D:\Steam\Steam.exe
C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\system.exe
F:\Program Files\MSN Messenger\msnmsgr.exe
C:\emule\emule.exe
F:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
F:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
F:\PROGRA~1\Grisoft\AVG7\avgemc.exe
F:\Program Files\Executive Software\Diskeeper\DkService.exe
F:\WINDOWS\system32\nvsvc32.exe
F:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
F:\Program Files\Mozilla Firefox\firefox.exe
E:\Mes documents\Mes téléchargements\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {2366364E-B2B3-4971-8B47-26687D8C36BD} - F:\WINDOWS\system32\awvvw.dll (file missing)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - F:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: (no name) - {D5E0F6CF-ACB3-4339-A8E9-BB7003AF916b} - F:\WINDOWS\system32\jbmortbk.dll (file missing)
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [DiskeeperSystray] "F:\Program Files\Executive Software\Diskeeper\DkIcon.exe"
O4 - HKLM\..\Run: [AVG7_CC] F:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [h3yb0y] C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\LSASS.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\service.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\conf.dll
O4 - HKLM\..\Run: [h3yb0y1] C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\LSASS.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\system.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\serv-u.ini
O4 - HKCU\..\Run: [Steam] D:\Steam\Steam.exe -silent
O4 - HKCU\..\Run: [msnmsgr] "F:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [eMuleAutoStart] C:\emule\emule.exe -AutoStart
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://F:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - F:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://soulblast3r.spaces.live.com//PhotoUpload/MsnPUpld.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - F:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - F:\Program Files\Fichiers communs\Microsoft Shared\Help\hxds.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - F:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - F:\PROGRA~1\FICHIE~1\MICROS~1\OFFICE12\MSOXMLMF.DLL
O23 - Service: Adobe LM Service - Adobe Systems - F:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - F:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - F:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - F:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O23 - Service: Diskeeper - Executive Software International, Inc. - F:\Program Files\Executive Software\Diskeeper\DkService.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - F:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - F:\WINDOWS\system32\nvsvc32.exe
O23 - Service: DiRT Drivers Auto Removal (pr2ah4nb) (pr2ah4nb) - CODEMASTERS - F:\WINDOWS\system32\pr2ah4nb.exe
O23 - Service: DiRT Drivers Auto Removal (pr2ah4nc) (pr2ah4nc) - CODEMASTERS - F:\WINDOWS\system32\pr2ah4nc.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - F:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
FIN DU HIJACK
Rapport VUNDO :
VundoFix V6.5.1
Checking Java version...
Scan started at 13:32:06 20/06/2007
Listing files found while scanning....
F:\windows\system32\awvvw.dll
F:\windows\system32\bufqlnjk.dll
F:\windows\system32\dbdwptdk.ini
F:\windows\system32\ddayy.dll
F:\WINDOWS\system32\helarrtx.dll
F:\windows\system32\htnjmuvn.dll
F:\windows\system32\kdtpwdbd.dll
F:\windows\system32\kjnlqfub.ini
F:\windows\system32\ljjkljk.dll
F:\windows\system32\nvumjnth.ini
F:\windows\system32\qpbagrwx.ini
F:\windows\system32\vtsts.dll
F:\windows\system32\wvuronl.dll
F:\windows\system32\wvvwa.bak1
F:\windows\system32\wvvwa.bak2
F:\WINDOWS\system32\wvvwa.ini
F:\WINDOWS\system32\xtrraleh.ini
F:\windows\system32\xwrgabpq.dll
Beginning removal...
Attempting to delete F:\windows\system32\awvvw.dll
F:\windows\system32\awvvw.dll Has been deleted!
Attempting to delete F:\windows\system32\bufqlnjk.dll
F:\windows\system32\bufqlnjk.dll Has been deleted!
Attempting to delete F:\windows\system32\dbdwptdk.ini
F:\windows\system32\dbdwptdk.ini Has been deleted!
Attempting to delete F:\windows\system32\ddayy.dll
F:\windows\system32\ddayy.dll Could not be deleted.
Attempting to delete F:\WINDOWS\system32\helarrtx.dll
F:\WINDOWS\system32\helarrtx.dll Could not be deleted.
Attempting to delete F:\windows\system32\htnjmuvn.dll
F:\windows\system32\htnjmuvn.dll Has been deleted!
Attempting to delete F:\windows\system32\kdtpwdbd.dll
F:\windows\system32\kdtpwdbd.dll Has been deleted!
Attempting to delete F:\windows\system32\kjnlqfub.ini
F:\windows\system32\kjnlqfub.ini Has been deleted!
Attempting to delete F:\windows\system32\ljjkljk.dll
F:\windows\system32\ljjkljk.dll Has been deleted!
Attempting to delete F:\windows\system32\nvumjnth.ini
F:\windows\system32\nvumjnth.ini Has been deleted!
Attempting to delete F:\windows\system32\qpbagrwx.ini
F:\windows\system32\qpbagrwx.ini Has been deleted!
Attempting to delete F:\windows\system32\vtsts.dll
F:\windows\system32\vtsts.dll Has been deleted!
Attempting to delete F:\windows\system32\wvuronl.dll
F:\windows\system32\wvuronl.dll Has been deleted!
Attempting to delete F:\windows\system32\wvvwa.bak1
F:\windows\system32\wvvwa.bak1 Has been deleted!
Attempting to delete F:\windows\system32\wvvwa.bak2
F:\windows\system32\wvvwa.bak2 Has been deleted!
Attempting to delete F:\WINDOWS\system32\wvvwa.ini
F:\WINDOWS\system32\wvvwa.ini Has been deleted!
Attempting to delete F:\WINDOWS\system32\xtrraleh.ini
F:\WINDOWS\system32\xtrraleh.ini Has been deleted!
Attempting to delete F:\windows\system32\xwrgabpq.dll
F:\windows\system32\xwrgabpq.dll Has been deleted!
Performing Repairs to the registry.
Done!
Beginning removal...
Attempting to delete F:\WINDOWS\system32\helarrtx.dll
F:\WINDOWS\system32\helarrtx.dll Has been deleted!
Performing Repairs to the registry.
Done!
-
ModérateurHum... Certains fichiers me paraissent bizarres.
Peux-tu faire une analyse en ligne de ces fichiers ?
* Dirige-toi sur ce site ==> https://virusscan.jotti.org/
* Tu vas devoir scanner un à un ces fichiers, et me faire parvenir les rapports.
* Clique en haut à droite sur "Parcourir", navigue dans les dossiers et sélectionne le fichier ci-dessous
* Clique sur "Submit" toujours en haut à droite
* Le scan va se lancer, ça va prendre un petit instant
* En bas, tu as le résultat du scan, copie/colle le résultat complet du scan ici.
Les fichiers en question (en gras) sont :
- C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\system.exe
- C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\LSASS.exe
- C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\service.exe
- C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\conf.dll
- C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\LSASS.exe
- C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\serv-u.ini
- F:\WINDOWS\system32\pr2ah4nb.exe
- F:\WINDOWS\system32\pr2ah4nc.exe
A+
** Nils **-
ContributeurJe m'y suis interessé (merci de me rappeler à l'ordre)
Plusieurs des fichiers que tu m'as dit de scanner étaient bel et bien infectés, enfin la plupart.
je n'ai plus de spam intenpestif, j'ai scanné avec spybot, ad aware et AVG, visiblement j'avais quelques vilainetés.
sur un scan AVG, il affiche toujours :
File | result/infection
Kernel32.DLL | Change
user32.DLL | Change
shell32.DLL | Change
ntoskml.EXE | Change
(tous dans F:/windows/system32)
what do i have to do, doc ?
merci encore -
ModérateurBonjour ! :-)
Peux-tu copier/coller un nouveau log HijackThis (version 2.0 cette fois) ?
http://www.hijackthis.de/downloads/hijackthis_199.zip
sur un scan AVG, il affiche toujours [...] | Change
La réponse ici : Forum Grisoft
(http://www.infos-du-net.com/forum/266019-11-shell-ntoskrnl-change)
A+
** Nils **
-
-
Contributeurok trés bien.
Ca c'est réglé alors.
Bon il me reste un souci je crois : un popup apparait maintenant à chaque ouverture de session...
mon log hijack
Logfile of HijackThis v1.99.1
Scan saved at 01:41:07, on 27/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
F:\WINDOWS\System32\smss.exe
F:\WINDOWS\system32\winlogon.exe
F:\WINDOWS\system32\services.exe
F:\WINDOWS\system32\lsass.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\System32\svchost.exe
F:\WINDOWS\system32\spoolsv.exe
F:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
F:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
F:\PROGRA~1\Grisoft\AVG7\avgemc.exe
F:\Program Files\Executive Software\Diskeeper\DkService.exe
F:\WINDOWS\system32\nvsvc32.exe
F:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
F:\WINDOWS\System32\PAStiSvc.exe
F:\WINDOWS\system32\svchost.exe
F:\Program Files\MSN Messenger\usnsvc.exe
F:\WINDOWS\Explorer.EXE
F:\PROGRA~1\Grisoft\AVG7\avgcc.exe
F:\Program Files\MSN Messenger\msnmsgr.exe
C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\system.exe
F:\Program Files\Winamp\winamp.exe
D:\Steam\Steam.exe
F:\Program Files\VideoLAN\VLC\vlc.exe
F:\Program Files\Mozilla Firefox\firefox.exe
F:\Program Files\WinRAR\WinRAR.exe
F:\DOCUME~1\e\LOCALS~1\Temp\Rar$EX00.766\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {2366364E-B2B3-4971-8B47-26687D8C36BD} - F:\WINDOWS\system32\awvvw.dll (file missing)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - F:\PROGRA~1\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - F:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: (no name) - {D5E0F6CF-ACB3-4339-A8E9-BB7003AF916b} - F:\WINDOWS\system32\jbmortbk.dll (file missing)
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [AVG7_CC] F:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [h3yb0y] C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\LSASS.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\service.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\conf.dll
O4 - HKLM\..\Run: [h3yb0y1] C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\LSASS.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\system.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\serv-u.ini
O4 - HKCU\..\Run: [msnmsgr] "F:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Startup: Raccourci vers winamp.lnk = F:\Program Files\Winamp\winamp.m3u
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://F:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - F:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://soulblast3r.spaces.live.com//PhotoUpload/MsnPUpld.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - F:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - F:\Program Files\Fichiers communs\Microsoft Shared\Help\hxds.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - F:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - F:\PROGRA~1\FICHIE~1\MICROS~1\OFFICE12\MSOXMLMF.DLL
O20 - Winlogon Notify: WgaLogon - F:\WINDOWS\
O23 - Service: Adobe LM Service - Adobe Systems - F:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - F:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - F:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - F:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O23 - Service: Diskeeper - Executive Software International, Inc. - F:\Program Files\Executive Software\Diskeeper\DkService.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - F:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - F:\WINDOWS\system32\nvsvc32.exe
O23 - Service: DiRT Drivers Auto Removal (pr2ah4nb) (pr2ah4nb) - CODEMASTERS - F:\WINDOWS\system32\pr2ah4nb.exe
O23 - Service: DiRT Drivers Auto Removal (pr2ah4nc) (pr2ah4nc) - CODEMASTERS - F:\WINDOWS\system32\pr2ah4nc.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - F:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: STI Simulator - Unknown owner - F:\WINDOWS\System32\PAStiSvc.exe
-
ModérateurBonjour ! :-)
Imprime/enregistre la méthode dans le bloc-notes pour être sûr de ne rien oublier et de tout faire dans l'ordre.
1) Télécharge ceci : CleanUp! (suppression des fichiers temporaires)
http://pageperso.aol.fr/Balltrap34/CleanUp40.exe
Aide (merci à Balltrap34) : http://pageperso.aol.fr/balltrap34/democleanup.htm
Ne le lance pas tout de suite. Tu t'en serviras à la fin.
Déconnecte toi d'Internet et ferme tout les programmes en cours.
2) Redémarre en mode sans échec
Redémarre le PC, laisse passer l'écran du BIOS, puis tapote sur la touche F8 avant qu'apparaisse l'écran de chargement de Windows.
Choisis le mode sans échec dans les options et valide avec entrée.
(Si F8 ne marche pas, essaie F5)
3) Rend visible les fichiers cachés et système
Panneau de configuration/Options des dossiers/Onglet Affichage
Coche la case "Afficher les fichiers et dossiers cachés"
Décoche la case "Masquer les extensions des fichiers dont le type est connu"
Décoche la case "Masquer les fichiers protégés du système"
Clique sur [Appliquer] puis sur [OK] pour valider
4) Lance HijackThis et clique sur [Do a system scan only]
Coche les cases au début des lignes suivantes :
O2 - BHO: (no name) - {2366364E-B2B3-4971-8B47-26687D8C36BD} - F:\WINDOWS\system32\awvvw.dll (file missing) O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O2 - BHO: (no name) - {D5E0F6CF-ACB3-4339-A8E9-BB7003AF916b} - F:\WINDOWS\system32\jbmortbk.dll (file missing) O4 - HKLM\..\Run: [h3yb0y] C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\LSASS.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\service.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\conf.dll O4 - HKLM\..\Run: [h3yb0y1] C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\LSASS.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\system.exe C:\WINDOWS\SYSTEM32\DRIVERS\Winfog\serv-u.ini O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - O20 - Winlogon Notify: WgaLogon - F:\WINDOWS\
Valide en cliquant sur le bouton [Fix checked].
5) Rechercher et supprimer les dossiers et les fichiers.
Supprime les fichiers en suivant le chemin des fichiers infectés si possible.
S'ils sont présents, supprime :
C:\WINDOWS\SYSTEM32\DRIVERS\Winfog (le dossier)
6) Exécute CleanUp40 (pour supprimer les fichiers temporaires)
7) Vide ta corbeille
8) Redémarre normalement et reposte un Hijackthis sur le poste …
** Nils ** -
ContributeurBon.
J'ai mis le temps, mais ça y est, j'y suis.
Merci beaucoup pour le coup de main, j'ai à peu prés compris ce que j'ai fait, donc la prochaine fois, je pourrais peut etre m'en sortir.
Merci, vraiment. -
ModérateurSalut ! :-)
Super ! Content pour toi !
Où en sont tes soucis ? ;-)
A+
** Nils **-
ContributeurHello
le souci dont tu parles est le popup au démarrage ?
il a disparu, il était lié au virus qui était dans winfog.
Mais les gens qui font des virus sont stupides (ça rassure) puisque le virus n'étais pas dans le dossier WINDOWS correspondant à mon systeme, il était sur un autre disque dur...
J'aurais carrément pu supprimer le dossier windows qu'il avait créé (ce que j'ai fait d'ailleurs)
Merci et @+ dans les pages -
-
