virtumond Résolu

Question

bonjour a tous , bien voila j'ai passe SPYBOT est j'ai remarque qu'il est tombe sur VIRTUMOND donc j'aurai aime savoir s'y ses sa qui me ramene les publicites intempetibles et s'y c'est le qua comment je doit m'y prendre pour le SUPPRIMER.

                                                                       MERCI A TOUS , DE VOULOIR M'AIDE

Darkkiller · Answer

Bonjour,

Télécharge HijackThis ici:
https://www.01net.com/telecharger/windows/Securite/anti-spyware/fiches/29061.html

Dézippe le dans un dossier prévu à cet effet.
Par exemple C:\hijackthis < Enregistre le bien dans c : !
Démo : (Merci a Balltrap34 pour cette réalisation)
http://perso.orange.fr/rginformatique/section%20virus/Hijenr.gif

Lance le puis:
clique sur "do a system scan and save logfile" (cf démo)
faire un copier coller du log entier sur le forum

Démo : (Merci a Balltrap34 pour cette réalisation)

http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm 
==================================================================

Ensuite renomme Hijackthis en Scanner.exe et poste moi un rapport ;)
==================================================================

Télécharge VundoFix.exe (par Atribune) sur ton Bureau. 
http://www.atribune.org/ccount/click.php?id=4 
Double-clique VundoFix.exe afin de le lancer. 
Coche Run VundoFix as a task. 
Un message t'avertira que l'outil va se fermer et s'ouvrir à nouveau : clique Ok 
Clique sur le bouton Scan for Vundo. 
Lorsque le scan est complété, clique sur le bouton Remove Vundo. 
Une invite te demandera si tu veux supprimer les fichiers, clique YES 
Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers. 
Tu verras une invite qui t'annonce que ton PC va s'éteindre ("shutdown") ; clique OK 
Démarre ton PC à nouveau. Puis poste le rapport vundofix il est situé a la racine du disque (vundofix.txt)

Darkkiller · Answer

Re,

Prends connaissance du contenu le lien suivant: 

http://www.f-secure.com/products/license-terms/eult_fra.pdf 

Tu as donc pris connaissance et accepté les conditions d'utilisations du programme blacklight qui est inclus dans le dossier compressé navilog1.zip que tu vas télécharger. 

Fais un clic droit sur ce lien :
http://perso.orange.fr/il.mafioso/Navifix/Navilog1.zip
Enregistrer la cible (du lien) sous... et enregistre-le sur ton bureau.
Fais un clic droit sur navilog1.zip et choisis "tout extraire"
Ensuite double clique sur navilog1.exe pour lancer l'installation.
Une fois l'installation terminée, le fix s'exécutera automatiquement.
(Si ce n'est pas le cas, double-clique sur le raccourci Navilog1 présent sur le bureau).

Laisse-toi guider. Au menu principal, choisis 1 et valides.
(ne fais pas le choix 2,3 ou 4 sans notre avis/accord)

Patiente jusqu'au message :
*** Analyse Termine le ..... ***
Appuie sur une touche comme demandé, le blocnote va s'ouvrir.
Copie-colle l'intégralité dans une réponse. Referme le blocnote.
Le rapport est en outre sauvegardé à la racine du disque (fixnavi.txt)
==================================================================

Rends toi sur ce site :
http://www.virustotal.com/xhtml/virustotal_en.html

Clique sur parcourir et cherche ce fichier :

C:\WINDOWS\system32\winsys32.dll

Clique sur send.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse.

Darkkiller · Answer

Re,

Le rapport n'indique rien du tout, ce n'est pas une infection vundo, mais une infection navisearch ;)

Darkkiller · Answer

Re,

Ben dis donc, il y a toute la famille navi search :).

Redémarre en mode sans échec tuto : http://forum.telecharger.01net.com/forum/high-tech/SECURITE/Securite/redemarrer-mode-echec-sujet_1526_1.htm
Double clique sur le raccourci Navilog1 présent sur le bureau et laisse-toi guider. 
Au menu principal, choisis 2 et valide. 

Le fix va t'informer qu'il va alors redémarrer ton PC 
Ferme toutes les fenêtres ouvertes et enregistre tes documents personnels ouverts
Appuie sur une touche comme demandé.
(si ton Pc ne redémarre pas automatiquement, fais le toi même)
Au redémarrage de ton PC, choisis ta session habituelle.

Patiente jusqu'au message : 
*** Nettoyage Termine le ..... *** 
Le blocnote va s'ouvrir. 
Sauvegarde le rapport de manière à le retrouver 
Referme le blocnote. Ton bureau va réapparaitre 

PS:Si ton bureau ne réapparait pas, fais CTRL+ALT+SUPP pour ouvrir le gestionnaire de tâches. 
Puis rends-toi à l'onglet "processus". Clique en haut à gauche sur fichiers et choisis "exécuter" 
Tape explorer et valide. Celà te fera apparaitre ton bureau.

BRUNO XP · Answer

Svenska | Português | Italiano |  |  | Magyar | Deutsch | &#268;esky | Polski | Español  
  Virustotal is a service that analyzes suspicious files and facilitates the quick detection of viruses, worms, trojans, and all kinds of malware detected by antivirus engines. More information... 
File winsys32.dll received on 08.03.2007 18:51:27 (CET)
Current status: Loading ... queued waiting scanning finished NOT FOUND STOPPED 


Result: 3/31 (9.68%)
Loading server information... 
Your file is queued in position: 3.
Estimated start time is between 52 and 75 seconds.
Do not close the window untill scan is complete. 
The scanner that was processing your file is stopped at this moment, we are going to wait a few seconds to try to recover your result.
If you are waiting for more than five minutes you have to resend your file. 
Your file is being scanned by VirusTotal in this moment,
results will be shown as they're generated. 
 Compact Print results  
Your file has expired or do not exists. 
Service is stopped in this moments, your file is waiting to be scanned (position: ) for an undefined time.

You can wait for web response (automatic reload) or type your email in the form below and click "request" so the system sends you a notification when the scan is finished. 
 Email:  
  

Antivirus Version Last Update Result 
AhnLab-V3 2007.8.3.0 2007.08.03 - 
AntiVir 7.4.0.57 2007.08.03 - 
Authentium 4.93.8 2007.08.02 - 
Avast 4.7.1029.0 2007.08.02 - 
AVG 7.5.0.476 2007.08.02 - 
BitDefender 7.2 2007.08.03 - 
CAT-QuickHeal 9.00 2007.08.03 - 
ClamAV 0.91 2007.08.03 - 
DrWeb 4.33 2007.08.03 - 
eSafe 7.0.15.0 2007.07.31 - 
eTrust-Vet 31.1.5029 2007.08.03 - 
Ewido 4.0 2007.08.03 - 
FileAdvisor 1 2007.08.03 - 
Fortinet 2.91.0.0 2007.08.03 - 
F-Prot 4.3.2.48 2007.08.02 - 
F-Secure 6.70.13030.0 2007.08.03 - 
Ikarus T3.1.1.8 2007.08.03 - 
Kaspersky 4.0.2.24 2007.08.03 - 
McAfee 5090 2007.08.03 - 
Microsoft 1.2704 2007.08.03 - 
NOD32v2 2436 2007.08.03 a variant of Win32/TrojanProxy.Agent.NCB 
Norman 5.80.02 2007.08.03 - 
Panda 9.0.0.4 2007.08.03 - 
Rising 19.34.40.00 2007.08.03 - 
Sophos 4.19.0 2007.08.01 - 
Sunbelt 2.2.907.0 2007.08.03 VIPRE.Suspicious 
Symantec 10 2007.08.03 Trojan.Packed.9 
TheHacker 6.1.7.161 2007.08.03 - 
VBA32 3.12.2.2 2007.08.01 - 
VirusBuster 4.3.26:9 2007.08.03 - 
Webwasher-Gateway 6.0.1 2007.08.03 - 
Additional information 
File size: 22016 bytes 
MD5: 88337e47c23a269c80815c66825240e5 
SHA1: 545c44cf8a44d9ead367ffd781877cd2875820eb 
Sunbelt info: VIPRE.Suspicious is a generic detection for potential threats that are deemed suspicious through heuristics. 


 ATENTION: VirusTotal is a free service offered by Hispasec Sistemas. There are no guarantees about the availability and continuity of this service. Although the detection rate afforded by the use of multiple antivirus engines is far superior to that offered by just one product, these results DO NOT guarantee the harmlessness of a file. Currently, there is not any solution that offers a 100% effectiveness rate for detecting viruses and malware. 


VirusTotal © Hispasec Sistemas -  Blog - Contact: info@virustotal.com

Darkkiller · Answer

Re,

Encore une vérification ;)

Rends-toi sur ce site :

https://virusscan.jotti.org/

Puis clique sur parcourir et cherches ce fichier :

C:\WINDOWS\system32\winsys32.dll 

Puis clique sur "Submit" ;)
Et poste moi le rapport ;)

Darkkiller · Answer

Re,

Ouvre Hijackthis et clique sur "Do a system scan only" et coche cette ligne :

O20 - Winlogon Notify: winsys32 - C:\WINDOWS\system32\winsys32.dll 

Puis quand tu as coché cette ligne, cliques sur "Fix Checked".
==================================================================

Télécharge AVG Anti-Spyware: 


https://www.avg.com/en-ww/free-antivirus-download 


Tu l'installes. 
Lance AVG Anti-Spyware et clique sur le bouton Mise à jour. Patiente 

Lance AVG Anti-Spyware 
Clique sur le bouton Analyse (de la barre d'outils) 
Puis sur l'onglets Comment réagir, clique sur Actions recommandées. Sélectionne Quarantaine. 
Reviens à l'onglet Analyse. Clique sur Analyse complète du système. 
A la fin du scan, choisis l'option " Appliquer toutes les actions " en bas. 
PENSE BIEN A TOUT SUPPRIMER !!
Clique sur "Enregistrer le rapport". Ceci génère un rapport en fichier texte qui se trouve dans le dossier Reports du dossier d'AVG Anti-Spyware. 

poste le rapport AVG! 

==================================================================

Donc télécharge clean : http://www.malekal.com/download/clean.zip 

Installe-le sur le bureau et dezippe-le. 
Un dossier clean va être créer double-clique dessus 
Puis double clique sur clean.cmd et choisit l'option 1.Patiente un peu. 
Poste ce rapport dans ton prochain post

BRUNO XP · Answer

---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	21:12:28 03/08/2007

 + Résultat de l'analyse:	



HKLM\SOFTWARE\Classes\CLSID\{D5EFDB0E-4F51-414F-B740-54A5C87A8957} -> Adware.Generic : Nettoyé et sauvegardé (mise en quarantaine).
HKLM\SOFTWARE\Classes\Interface\{DFD2740F-66FE-4C66-ABE7-53A599B78D1D} -> Adware.Generic : Nettoyé et sauvegardé (mise en quarantaine).
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D5EFDB0E-4F51-414F-B740-54A5C87A8957} -> Adware.Generic : Nettoyé et sauvegardé (mise en quarantaine).
HKU\S-1-5-21-343818398-484763869-1801674531-500\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D5EFDB0E-4F51-414F-B740-54A5C87A8957} -> Adware.Generic : Nettoyé et sauvegardé (mise en quarantaine).
D:\eMule\BitDownload\BitDownload.exe -> Backdoor.Agent.dn : Nettoyé et sauvegardé (mise en quarantaine).
C:\Documents and Settings\Administrateur\Cookies\administrateur@msnportal.112.2o7[1].txt -> TrackingCookie.2o7 : Nettoyé.
C:\Documents and Settings\Administrateur\Cookies\administrateur@ssl-hints.netflame[2].txt -> TrackingCookie.Netflame : Nettoyé.
C:\Documents and Settings\Administrateur\Cookies\administrateur@smartadserver[2].txt -> TrackingCookie.Smartadserver : Nettoyé.
[1860] VM_00460000 -> Trojan.Agent.ash : Nettoyé et sauvegardé (mise en quarantaine).


Fin du rapport

BRUNO XP · Answer

je t'envoi le rapport AVG mais pour la suite de tombe sur kaspersky dont ses mon antivirus.

BRUNO XP · Answer

dit moi , je vais etre oblige d'arrete se soir car demain je boss , je peut te rapelle demain , j'attend ta reponse.


                                                                   MERCI POUR TOUT LES DEMARCHE SA MA PERMIE D'APPRENDRE DES CHOSE QUE JE NE CONNAISSE PAS.

Darkkiller · Answer

Re,

Supprime eMule.

Fais la manip avec clean ;)

BRUNO XP · Answer

je suis la repond moi quand tu sera la

      MERCI

Darkkiller · Answer

Re,

C'est bien ce lien :

http://www.malekal.com/download/clean.zip 

Je l'ai testé il marche impéccablement bien ;)

BRUNO XP · Answer

04/08/2007 a 15:47:09,28 
 
*** Recherche des fichiers dans C: 
 
*** Recherche des fichiers dans C:\WINDOWS\ 
 
*** Recherche des fichiers dans C:\WINDOWS\system32 
C:\WINDOWS\system32\mcrh.tmp FOUND 
"C:\WINDOWS\Downloaded Program Files\CONFLICT.1" FOUND 
"C:\WINDOWS\Downloaded Program Files\CONFLICT.2" FOUND 
"C:\Documents and Settings\Administrateur\Application Data\ezpinst.exe" FOUND 
 
*** Recherche des fichiers dans C:\Program Files 
"C:\Program Files\DivX\Google\Firefox\ffinstaller.exe" FOUND 
"C:\Program Files\Multi_Media\" FOUND 
*** Fin du rapport !

BRUNO XP · Answer

en faite c'est mon antivirus qui bloquer , j'ai oublier de te dire que j'ai refait un passe avec AVG il tourve TROJAN.AGENT.ASH  et  BACKDOOR.AGENT.DN

BRUNO XP · Answer

Clean Navipromo version 2.0.5 commencé le 03/08/2007 à 19:31:50,84

Fix lancé depuis C:\Program Files
avilog1
Mise a jour le 01.07.2007 a 12h00 by IL-MAFIOSO

Mode suppression automatique avec prise en charge résultats Blacklight


 
*** fsbl1.txt non trouvé ***
(Assurez-vous que Blacklight n'avait rien trouvé lors de la recherche)
 

*** Suppression dossiers dans C:\WINDOWS ***


*** Suppression dossiers dans C:\Program Files ***


*** Suppression dossiers dans C:\Documents and Settings\All Users\Application Data ***


*** Suppression dossiers dans C:\Documents and Settings\Administrateur\Application Data ***

...\Application Data\MessengerSkinner ...suppression... 
...\Application Data\MessengerSkinner supprimé ! 



*** Suppression fichiers ***

C:\WINDOWS\pack.epk supprimé !
C:\WINDOWS\system32
vs2.inf supprimé !
C:\WINDOWS\prefetch\MESSENGERSKINNER.EXE-2B7225C4.pf supprimé !    

*** Suppression fichiers temporaires ***

Nettoyage contenu C:\WINDOWS\Temp effectué !
Nettoyage contenu C:\Documents and Settings\Administrateur\Local Settings\Temp effectué !

 
*** Sauvegarde du registre vers dossier Backupnavi*** 
 
 
sauvegarde du registre réalise avec succes !


*** Nettoyage registre ***


Nettoyage registre Ok

*** Traitement Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche fichiers connus:


2)Recherche et Suppression Heuristique :

* 
C:\WINDOWS\System32\algxcht.dat trouvé !
Copie C:\WINDOWS\system32\algxcht.dat réalise avec succes !
C:\WINDOWS\system32\algxcht.dat supprimé !

C:\WINDOWS\System32\eaddoso.dat trouvé !
Copie C:\WINDOWS\system32\eaddoso.dat réalise avec succes !
C:\WINDOWS\system32\eaddoso.dat supprimé !

C:\WINDOWS\System32\fwnslqtm.dat trouvé !
Copie C:\WINDOWS\system32\fwnslqtm.dat réalise avec succes !
C:\WINDOWS\system32\fwnslqtm.dat supprimé !

C:\WINDOWS\System32\kdahhnprv.dat trouvé !
Copie C:\WINDOWS\system32\kdahhnprv.dat réalise avec succes !
C:\WINDOWS\system32\kdahhnprv.dat supprimé !

C:\WINDOWS\System32\kjgmwsh.dat trouvé !
Copie C:\WINDOWS\system32\kjgmwsh.dat réalise avec succes !
C:\WINDOWS\system32\kjgmwsh.dat supprimé !

C:\WINDOWS\System32\llzzsl.dat trouvé !
Copie C:\WINDOWS\system32\llzzsl.dat réalise avec succes !
C:\WINDOWS\system32\llzzsl.dat supprimé !

C:\WINDOWS\System32
vcehlh.dat trouvé !
Copie C:\WINDOWS\system32
vcehlh.dat réalise avec succes !
C:\WINDOWS\system32
vcehlh.dat supprimé !

C:\WINDOWS\System32\ohjsgm.dat trouvé !
Copie C:\WINDOWS\system32\ohjsgm.dat réalise avec succes !
C:\WINDOWS\system32\ohjsgm.dat supprimé !

C:\WINDOWS\System32\oqrstvwxfb.dat trouvé !
Copie C:\WINDOWS\system32\oqrstvwxfb.dat réalise avec succes !
C:\WINDOWS\system32\oqrstvwxfb.dat supprimé !

C:\WINDOWS\System32\pagnvrg.dat trouvé !
Copie C:\WINDOWS\system32\pagnvrg.dat réalise avec succes !
C:\WINDOWS\system32\pagnvrg.dat supprimé !

C:\WINDOWS\System32\psetbgobg.dat trouvé !
Copie C:\WINDOWS\system32\psetbgobg.dat réalise avec succes !
C:\WINDOWS\system32\psetbgobg.dat supprimé !

C:\WINDOWS\System32\qhyxjx.dat trouvé !
Copie C:\WINDOWS\system32\qhyxjx.dat réalise avec succes !
C:\WINDOWS\system32\qhyxjx.dat supprimé !

C:\WINDOWS\System32\swxzghwiy.dat trouvé !
Copie C:\WINDOWS\system32\swxzghwiy.dat réalise avec succes !
C:\WINDOWS\system32\swxzghwiy.dat supprimé !

C:\WINDOWS\System32	zsjjb.dat trouvé !
Copie C:\WINDOWS\system32	zsjjb.dat réalise avec succes !
C:\WINDOWS\system32	zsjjb.dat supprimé !

C:\WINDOWS\System32\wekdcwjpix.dat trouvé !
Copie C:\WINDOWS\system32\wekdcwjpix.dat réalise avec succes !
C:\WINDOWS\system32\wekdcwjpix.dat supprimé !

C:\WINDOWS\System32\wykilv.dat trouvé !
Copie C:\WINDOWS\system32\wykilv.dat réalise avec succes !
C:\WINDOWS\system32\wykilv.dat supprimé !

C:\WINDOWS\System32\xtiiimejjx.dat trouvé !
Copie C:\WINDOWS\system32\xtiiimejjx.dat réalise avec succes !
C:\WINDOWS\system32\xtiiimejjx.dat supprimé !

C:\WINDOWS\System32\yguotrz.dat trouvé !
Copie C:\WINDOWS\system32\yguotrz.dat réalise avec succes !
C:\WINDOWS\system32\yguotrz.dat supprimé !

** 
*** 
**** 
C:\WINDOWS\System32\algxcht_navps.dat trouvé !
Copie C:\WINDOWS\system32\algxcht_navps.dat réalise avec succes !
C:\WINDOWS\system32\algxcht_navps.dat supprimé !

C:\WINDOWS\System32\eaddoso_navps.dat trouvé !
Copie C:\WINDOWS\system32\eaddoso_navps.dat réalise avec succes !
C:\WINDOWS\system32\eaddoso_navps.dat supprimé !

C:\WINDOWS\System32\fwnslqtm_navps.dat trouvé !
Copie C:\WINDOWS\system32\fwnslqtm_navps.dat réalise avec succes !
C:\WINDOWS\system32\fwnslqtm_navps.dat supprimé !

C:\WINDOWS\System32\kdahhnprv_navps.dat trouvé !
Copie C:\WINDOWS\system32\kdahhnprv_navps.dat réalise avec succes !
C:\WINDOWS\system32\kdahhnprv_navps.dat supprimé !

C:\WINDOWS\System32\kjgmwsh_navps.dat trouvé !
Copie C:\WINDOWS\system32\kjgmwsh_navps.dat réalise avec succes !
C:\WINDOWS\system32\kjgmwsh_navps.dat supprimé !

C:\WINDOWS\System32\llzzsl_navps.dat trouvé !
Copie C:\WINDOWS\system32\llzzsl_navps.dat réalise avec succes !
C:\WINDOWS\system32\llzzsl_navps.dat supprimé !

C:\WINDOWS\System32
vcehlh_navps.dat trouvé !
Copie C:\WINDOWS\system32
vcehlh_navps.dat réalise avec succes !
C:\WINDOWS\system32
vcehlh_navps.dat supprimé !

C:\WINDOWS\System32\ohjsgm_navps.dat trouvé !
Copie C:\WINDOWS\system32\ohjsgm_navps.dat réalise avec succes !
C:\WINDOWS\system32\ohjsgm_navps.dat supprimé !

C:\WINDOWS\System32\oqrstvwxfb_navps.dat trouvé !
Copie C:\WINDOWS\system32\oqrstvwxfb_navps.dat réalise avec succes !
C:\WINDOWS\system32\oqrstvwxfb_navps.dat supprimé !

C:\WINDOWS\System32\pagnvrg_navps.dat trouvé !
Copie C:\WINDOWS\system32\pagnvrg_navps.dat réalise avec succes !
C:\WINDOWS\system32\pagnvrg_navps.dat supprimé !

C:\WINDOWS\System32\qhyxjx_navps.dat trouvé !
Copie C:\WINDOWS\system32\qhyxjx_navps.dat réalise avec succes !
C:\WINDOWS\system32\qhyxjx_navps.dat supprimé !

C:\WINDOWS\System32\swxzghwiy_navps.dat trouvé !
Copie C:\WINDOWS\system32\swxzghwiy_navps.dat réalise avec succes !
C:\WINDOWS\system32\swxzghwiy_navps.dat supprimé !

C:\WINDOWS\System32	zsjjb_navps.dat trouvé !
Copie C:\WINDOWS\system32	zsjjb_navps.dat réalise avec succes !
C:\WINDOWS\system32	zsjjb_navps.dat supprimé !

C:\WINDOWS\System32\wekdcwjpix_navps.dat trouvé !
Copie C:\WINDOWS\system32\wekdcwjpix_navps.dat réalise avec succes !
C:\WINDOWS\system32\wekdcwjpix_navps.dat supprimé !

C:\WINDOWS\System32\wykilv_navps.dat trouvé !
Copie C:\WINDOWS\system32\wykilv_navps.dat réalise avec succes !
C:\WINDOWS\system32\wykilv_navps.dat supprimé !

C:\WINDOWS\System32\xtiiimejjx_navps.dat trouvé !
Copie C:\WINDOWS\system32\xtiiimejjx_navps.dat réalise avec succes !
C:\WINDOWS\system32\xtiiimejjx_navps.dat supprimé !

C:\WINDOWS\System32\yguotrz_navps.dat trouvé !
Copie C:\WINDOWS\system32\yguotrz_navps.dat réalise avec succes !
C:\WINDOWS\system32\yguotrz_navps.dat supprimé !

***** 
C:\WINDOWS\System32\algxcht_nav.dat trouvé !
Copie C:\WINDOWS\system32\algxcht_nav.dat réalise avec succes !
C:\WINDOWS\system32\algxcht_nav.dat supprimé !

C:\WINDOWS\System32\eaddoso_nav.dat trouvé !
Copie C:\WINDOWS\system32\eaddoso_nav.dat réalise avec succes !
C:\WINDOWS\system32\eaddoso_nav.dat supprimé !

C:\WINDOWS\System32\fwnslqtm_nav.dat trouvé !
Copie C:\WINDOWS\system32\fwnslqtm_nav.dat réalise avec succes !
C:\WINDOWS\system32\fwnslqtm_nav.dat supprimé !

C:\WINDOWS\System32\kdahhnprv_nav.dat trouvé !
Copie C:\WINDOWS\system32\kdahhnprv_nav.dat réalise avec succes !
C:\WINDOWS\system32\kdahhnprv_nav.dat supprimé !

C:\WINDOWS\System32\kjgmwsh_nav.dat trouvé !
Copie C:\WINDOWS\system32\kjgmwsh_nav.dat réalise avec succes !
C:\WINDOWS\system32\kjgmwsh_nav.dat supprimé !

C:\WINDOWS\System32\llzzsl_nav.dat trouvé !
Copie C:\WINDOWS\system32\llzzsl_nav.dat réalise avec succes !
C:\WINDOWS\system32\llzzsl_nav.dat supprimé !

C:\WINDOWS\System32
vcehlh_nav.dat trouvé !
Copie C:\WINDOWS\system32
vcehlh_nav.dat réalise avec succes !
C:\WINDOWS\system32
vcehlh_nav.dat supprimé !

C:\WINDOWS\System32\ohjsgm_nav.dat trouvé !
Copie C:\WINDOWS\system32\ohjsgm_nav.dat réalise avec succes !
C:\WINDOWS\system32\ohjsgm_nav.dat supprimé !

C:\WINDOWS\System32\oqrstvwxfb_nav.dat trouvé !
Copie C:\WINDOWS\system32\oqrstvwxfb_nav.dat réalise avec succes !
C:\WINDOWS\system32\oqrstvwxfb_nav.dat supprimé !

C:\WINDOWS\System32\pagnvrg_nav.dat trouvé !
Copie C:\WINDOWS\system32\pagnvrg_nav.dat réalise avec succes !
C:\WINDOWS\system32\pagnvrg_nav.dat supprimé !

C:\WINDOWS\System32\psetbgobg_nav.dat trouvé !
Copie C:\WINDOWS\system32\psetbgobg_nav.dat réalise avec succes !
C:\WINDOWS\system32\psetbgobg_nav.dat supprimé !

C:\WINDOWS\System32\qhyxjx_nav.dat trouvé !
Copie C:\WINDOWS\system32\qhyxjx_nav.dat réalise avec succes !
C:\WINDOWS\system32\qhyxjx_nav.dat supprimé !

C:\WINDOWS\System32\swxzghwiy_nav.dat trouvé !
Copie C:\WINDOWS\system32\swxzghwiy_nav.dat réalise avec succes !
C:\WINDOWS\system32\swxzghwiy_nav.dat supprimé !

C:\WINDOWS\System32	zsjjb_nav.dat trouvé !
Copie C:\WINDOWS\system32	zsjjb_nav.dat réalise avec succes !
C:\WINDOWS\system32	zsjjb_nav.dat supprimé !

C:\WINDOWS\System32\wekdcwjpix_nav.dat trouvé !
Copie C:\WINDOWS\system32\wekdcwjpix_nav.dat réalise avec succes !
C:\WINDOWS\system32\wekdcwjpix_nav.dat supprimé !

C:\WINDOWS\System32\wykilv_nav.dat trouvé !
Copie C:\WINDOWS\system32\wykilv_nav.dat réalise avec succes !
C:\WINDOWS\system32\wykilv_nav.dat supprimé !

C:\WINDOWS\System32\xtiiimejjx_nav.dat trouvé !
Copie C:\WINDOWS\system32\xtiiimejjx_nav.dat réalise avec succes !
C:\WINDOWS\system32\xtiiimejjx_nav.dat supprimé !

C:\WINDOWS\System32\yguotrz_nav.dat trouvé !
Copie C:\WINDOWS\system32\yguotrz_nav.dat réalise avec succes !
C:\WINDOWS\system32\yguotrz_nav.dat supprimé !

****** 
******* 
******** 

3)Contrôle présence clés Rootkit dans le registre :

Aucune autre clés présente dans le registre !

4)Certificats :

Certificat Egroup supprimé !

*** Nettoyage termine le 03/08/2007 à 19:39:46,93 ***

Darkkiller · Answer

Re,

JE pourrais voir le rapport AVG A-S ?
==================================================================

Concernant clean :

Redémarre en mode sans échec tuto : 
http://forum.telecharger.01net.com/forum/high-tech/SECURITE/Securite/redemarrer-mode-echec-sujet_1526_1.htm
Execute clean.cmd et choisis l'option 2.
Redémarre normalement et poste le log.

BRUNO XP · Answer

Script execute en mode sans echec 
Rapport clean par Malekal_morte - http://www.malekal.com 
Script execute en mode sans echec 05/08/2007 a 11:49:39,23 

Microsoft Windows XP [version 5.1.2600]
 
*** Suppression des fichiers dans C: 
 
*** Suppression des fichiers dans C:\WINDOWS\ 
 
*** Suppression des fichiers dans C:\WINDOWS\system32 
tentative de suppression de C:\WINDOWS\system32\mcrh.tmp 
tentative de suppression de "C:\WINDOWS\Downloaded Program Files\CONFLICT.1" 
tentative de suppression de "C:\WINDOWS\Downloaded Program Files\CONFLICT.2" 
tentative de suppression de "C:\Documents and Settings\Administrateur\Application Data\ezpinst.exe" 
tentative de suppression de "C:\Documents and Settings\Administrateur\Application Data\MessengerSkinner\" 
 
*** Suppression des fichiers dans C:\Program Files 
tentative de suppression de "C:\Program Files\DivX\Google\Firefox\ffinstaller.exe" 
tentative de suppression de "C:\Program Files\Multi_Media\" 
tentative de suppression de "C:\Program Files\MessengerSkinner\" 
 
*** Suppression des clefs du registre effectuee.. 
*** Fin du rapport !

Darkkiller · Answer

Re,
Parfait pour clean !

Maintenant je pourrais voir le rapport d'AVG Anti-Spyware ?

BRUNO XP · Answer

---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	14:50:12 05/08/2007

 + Résultat de l'analyse:	



D:\System Volume Information\_restore{A4DA4B2E-134A-4FB5-8EFE-C120DA223861}\RP483\A0220283.exe -> Backdoor.Agent.dn : Aucune action entreprise.
C:\Documents and Settings\Administrateur\Cookies\administrateur@smartadserver[2].txt -> TrackingCookie.Smartadserver : Aucune action entreprise.
C:\Documents and Settings\Administrateur\Cookies\administrateur@weborama[2].txt -> TrackingCookie.Weborama : Aucune action entreprise.
[1784] VM_00460000 -> Trojan.Agent.ash : Aucune action entreprise.


Fin du rapport

BRUNO XP · Answer

tu est la , je t'envoi le rapport AVG.

Darkkiller · Answer

Re,

Oui je suis là ! ;)

Tu as fais une mauvaise manipulation avec AVG Anti-Spyware, il faut supprimer, pas laisser "Aucune action entreprise", Refait un scan et PENSES BIEN A TOUT SUPPRIMER !
==================================================================

Un virus se loge dans la restauration du système, donc :


¤Désactive ta restauration système (uniquement si tu es sous XP): 
Clic droit sur poste de travail puis, 
propriété, tu cliques sur onglet restauration système 
tu coches la case « désactiver la restauration » et applique. 


Redémarre ton ordinateur
Puis, 

¤Réactive ta restauration système (uniquement si tu es sous XP): 
Clic droit sur poste de travail puis, 
propriété, tu cliques sur onglet restauration système 
tu décoches la case « désactiver la restauration » et applique.

BRUNO XP · Answer

---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	16:20:38 05/08/2007

 + Résultat de l'analyse:	



[1784] VM_00460000 -> Trojan.Agent.ash : Nettoyé.


Fin du rapport

BRUNO XP · Answer

je t'envoi le nouveau rapport  VOILA

BRUNO XP · Answer

dit moi j'ai refait une annalyse avec AVG apres mais trouve toujour TROJAN.AGENT.ASH , meme en le suppriment se n'ai pas normal.

Darkkiller · Answer

Re,

Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau.
http://downloads.andymanchesta.com/RemovalTools/SDFix.exe 
Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau. Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :
• Redémarre ton ordinateur
• Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
• A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
• Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
• Choisis ton compte.
Déroule la liste des instructions ci-dessous :
• Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.bat pour lancer le script.
• Appuie sur Y pour commencer le processus de nettoyage.
• Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
• Appuie sur 
Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.
• Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum, avec un nouveau log Hijackthis !

BRUNO XP · Answer

SDFix: Version 1.95

Run by Administrateur on 05/08/2007 at 17:21

Microsoft Windows XP [version 5.1.2600]

Running From: C:\DOCUME~1\ADMINI~1\Bureau\SDFix

Safe Mode:
Checking Services: 

Name:
ntio256

ImagePath:
\??\C:\WINDOWS\system32
tio256.sys 

ntio256 - Deleted



Restoring Windows Registry Values
Restoring Windows Default Hosts File
Restoring Missing Security Center Service 
Restoring Missing SharedAccess Service 

Rebooting...


Normal Mode:
Checking Files: 

Trojan Files Found:

C:\install\install.exe  - Deleted

Could Not Remove C:\WINDOWS\system32\xpdt.sys


Removing Temp Files...

ADS Check:

C:\WINDOWS
No streams found. 

C:\WINDOWS\system32
No streams found. 

C:\WINDOWS\system32\svchost.exe
No streams found.
 
C:\WINDOWS\system32
toskrnl.exe
No streams found.
 


                                 Final Check:

Remaining Services:
------------------


[COLOR=RED][B]Rootkit xpdt Found, Use a Rootkit scanner ![/COLOR][/B]

Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe"="C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe:*:Enabled:Yahoo! Messenger"
"D:\eMule\emule.exe"="D:\eMule\emule.exe:*:Enabled:eMule"
"D:\eMule\BitDownload\BitDownload.exe"="D:\eMule\BitDownload\BitDownload.exe:*:Enabled:Torrent P2P application"
"C:\WINDOWS\system32\svchost.exe"="C:\WINDOWS\system32\svchost.exe:*:Enabled:Microsoft Update"
"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\81exinjs.a3.exe"="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\81exinjs.a3.exe:*:Enabled:Microsoft Update"
"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\54exinjs.a3.exe"="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\54exinjs.a3.exe:*:Enabled:Microsoft Update"
"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\8exinjs.a3.exe"="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\8exinjs.a3.exe:*:Enabled:Microsoft Update"
"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\16exinjs.a3.exe"="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\16exinjs.a3.exe:*:Enabled:Microsoft Update"
"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\66exinjs.a3.exe"="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\66exinjs.a3.exe:*:Enabled:Microsoft Update"
"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\2exinjs.a3.exe"="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\2exinjs.a3.exe:*:Enabled:Microsoft Update"
"C:\WINDOWS\system32\rtcshare.exe"="C:\WINDOWS\system32\rtcshare.exe:*:Enabled:Partage de l'application RTC"
"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\win10.tmp.exe"="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\win10.tmp.exe:*:Enabled:win10.tmp"
"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\57exinjs.a9.exe"="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\57exinjs.a9.exe:*:Enabled:Microsoft Update"
"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\53exinjs.a9.exe"="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\53exinjs.a9.exe:*:Enabled:Microsoft Update"
"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\75exinjs.a9.exe"="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\75exinjs.a9.exe:*:Enabled:Microsoft Update"
"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\23exinjs.a9.exe"="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\23exinjs.a9.exe:*:Enabled:Microsoft Update"
"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\12exinjs.a9.exe"="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\12exinjs.a9.exe:*:Enabled:Microsoft Update"
"C:\WINDOWS\system32\rundll32.exe"="C:\WINDOWS\system32\rundll32.exe:*:Disabled:Ex‚cuter une DLL en tant qu'application"
"C:\Program Files\Messenger\msmsgs.exe"="C:\Program Files\Messenger\msmsgs.exe:*:Enabled:Windows Messenger"
"C:\Program Files\xerox\nwwia\XrxFTPLt.exe"="C:\Program Files\xerox\nwwia\XrxFTPLt.exe:*:Disabled:Application MFC XrxFTPLt"
"C:\WINDOWS\system32\sysiywvk.exe"="C:\WINDOWS\system32\sysiywvk.exe:*:Disabled:Server"
"C:\WINDOWS\system32\regedhyu.exe"="C:\WINDOWS\system32\regedhyu.exe:*:Disabled:Server"
"C:\WINDOWS\system32\igfptgef.exe"="C:\WINDOWS\system32\igfptgef.exe:*:Disabled:Server"
"C:\WINDOWS\system32\conduook.exe"="C:\WINDOWS\system32\conduook.exe:*:Disabled:Server"
"C:\WINDOWS\system32\comnkofx.exe"="C:\WINDOWS\system32\comnkofx.exe:*:Disabled:Server"
"C:\WINDOWS\system32\clijutcf.exe"="C:\WINDOWS\system32\clijutcf.exe:*:Disabled:Server"
"C:\WINDOWS\system32\atlwvqog.exe"="C:\WINDOWS\system32\atlwvqog.exe:*:Disabled:Server"
"C:\Program Files\Windows Live\Messenger\msnmsgr.exe"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"
"C:\Program Files\Windows Live\Messenger\livecall.exe"="C:\Program Files\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"
"C:\WINDOWS\system32\sessmgr.exe"="C:\WINDOWS\system32\sessmgr.exe:*:Disabled:@xpsp2res.dll,-22019"
"C:\WINDOWS\pchealth\helpctr\binaries\HelpCtr.exe"="C:\WINDOWS\pchealth\helpctr\binaries\HelpCtr.exe:*:Disabled:Assistance … distance - Windows Messenger et voix"
"C:\WINDOWS\system32\dpvsetup.exe"="C:\WINDOWS\system32\dpvsetup.exe:*:Disabled:Microsoft DirectPlay Voice Test"
"C:\WINDOWS\system32\dpnsvr.exe"="C:\WINDOWS\system32\dpnsvr.exe:*:Disabled:Microsoft DirectPlay8 Server"
"C:\WINDOWS\system32\dxdiag.exe"="C:\WINDOWS\system32\dxdiag.exe:*:Disabled:Outil de diagnostic Microsoft DirectX"
"C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"="C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe:*:Enabled:Kaspersky Anti-Virus"
"C:\Program Files\eMule\emule.exe"="C:\Program Files\eMule\emule.exe:*:Enabled:eMule"
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\WINDOWS\system32\clikcdhc.exe"="C:\WINDOWS\system32\clikcdhc.exe:*:Enabled:Server"
"C:\WINDOWS\system32\xmldyexl.exe"="C:\WINDOWS\system32\xmldyexl.exe:*:Enabled:Server"
"C:\WINDOWS\system32\congkgee.exe"="C:\WINDOWS\system32\congkgee.exe:*:Enabled:Server"
"C:\WINDOWS\system32\regedhyu.exe"="C:\WINDOWS\system32\regedhyu.exe:*:Enabled:Server"
"C:\WINDOWS\system32\advjxbrx.exe"="C:\WINDOWS\system32\advjxbrx.exe:*:Enabled:Server"
"C:\WINDOWS\system32\rdlsnadj.exe"="C:\WINDOWS\system32\rdlsnadj.exe:*:Enabled:Server"
"C:\WINDOWS\system32\secfkmhw.exe"="C:\WINDOWS\system32\secfkmhw.exe:*:Enabled:Server"
"C:\WINDOWS\system32\netfytgc.exe"="C:\WINDOWS\system32\netfytgc.exe:*:Enabled:Server"
"C:\WINDOWS\system32\syssykdj.exe"="C:\WINDOWS\system32\syssykdj.exe:*:Enabled:Server"
"C:\WINDOWS\system32\libpmdtw.exe"="C:\WINDOWS\system32\libpmdtw.exe:*:Enabled:Server"
"C:\WINDOWS\system32\regphfmo.exe"="C:\WINDOWS\system32\regphfmo.exe:*:Enabled:Server"
"C:\WINDOWS\system32\conduook.exe"="C:\WINDOWS\system32\conduook.exe:*:Enabled:Server"
"C:\WINDOWS\system32\igfptgef.exe"="C:\WINDOWS\system32\igfptgef.exe:*:Enabled:Server"
"C:\WINDOWS\system32\comnkofx.exe"="C:\WINDOWS\system32\comnkofx.exe:*:Enabled:Server"
"C:\WINDOWS\system32\atlwvqog.exe"="C:\WINDOWS\system32\atlwvqog.exe:*:Enabled:Server"
"C:\WINDOWS\system32\clijutcf.exe"="C:\WINDOWS\system32\clijutcf.exe:*:Enabled:Server"
"C:\WINDOWS\system32\sysiywvk.exe"="C:\WINDOWS\system32\sysiywvk.exe:*:Enabled:Server"
"C:\Program Files\Windows Live\Messenger\msnmsgr.exe"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"
"C:\Program Files\Windows Live\Messenger\livecall.exe"="C:\Program Files\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"

Remaining Files:
---------------
C:\WINDOWS\system32\xpdt.sys Found

Backups Folder: - C:\DOCUME~1\ADMINI~1\Bureau\SDFix\backups\backups.zip

Files with Hidden Attributes:

C:\WINDOWS\system32\clikcdhc.exe~
C:\WINDOWS\system32\congkgee.exe~
C:\WINDOWS\system32egedhyu.exe
C:\WINDOWS\system32\xmldyexl.exe~

                                 Finished

BRUNO XP · Answer

Logfile of HijackThis v1.99.1
Scan saved at 17:52:49, on 05/08/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Program Files\VIAudioi\SBADeck\ADeck.exe
C:\windows\system32\psetbgobg.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
D:\TuneUp  Utilities  2007\MemOptimizer.exe
C:\Program Files\Antipub\antipub.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Administrateur\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://fr.yahoo.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\yt.dll
O2 - BHO: ContextualAds Class - {3AAC4C68-AFC8-11DB-80EF-8AF955D89593} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O4 - HKLM\..\Run: [CmUsbSound] RunDll32 cmcnfgu.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"
O4 - HKLM\..\Run: [AudioDeck] C:\Program Files\VIAudioi\SBADeck\ADeck.exe 1 
O4 - HKLM\..\Run: [psetbgobg] c:\windows\system32\psetbgobg.exe psetbgobg
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [TuneUp MemOptimizer] "D:\TuneUp  Utilities  2007\MemOptimizer.exe" autostart
O4 - Startup: Anti-Pub.lnk = C:\Program Files\Antipub\antipub.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O9 - Extra button: Statistiques d’Anti-Virus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://marechalbruno.spaces.live.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {7FC1B346-83E6-4774-8D20-1A6B09B0E737} (Windows Live Photo Upload Control) - http://marechalbruno.spaces.live.com/PhotoUpload/MsnPUpld.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{9DBB06A5-A342-4FE1-9ED8-45F81B3F047B}: NameServer = 194.2.0.20,194.2.0.50
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\Windows Live\Messenger\msgrapp.8.5.1238.0601.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\Windows Live\Messenger\msgrapp.8.5.1238.0601.dll
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
O23 - Service: F-Secure BlackLight Sensor - Unknown owner - C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\F-Secure\BlackLight\fsblsrv.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Windows Live Setup Service (WLSetupSvc) - Unknown owner - C:\Program Files\Windows Live\installer\WLSetupSvc.exe

BRUNO XP · Answer

allo ya quelq'un , je t'ai envoyer les deux rapports , j'attend ta reponse. MERCI de ta patience.

BRUNO XP · Answer

quelq'un peut me donne un coup de main SVP.

Darkkiller · Answer

Re,

Redémarre en moed sans échec tuto : http://forum.telecharger.01net.com/forum/high-tech/SECURITE/Securite/redemarrer-mode-echec-sujet_1526_1.htm
Double clique sur le raccourci Navilog1 présent sur le bureau et laisse-toi guider. 
Au menu principal, choisis 4 et valide. 

Le fix va te demander de taper l'infection, tu tapes exactement sa :


psetbgobg


PS:Si ton bureau ne réapparait pas, fais CTRL+ALT+SUPP pour ouvrir le gestionnaire de tâches. 
Puis rends-toi à l'onglet "processus". Clique en haut à gauche sur fichiers et choisis "exécuter" 
Tape explorer et valide. Celà te fera apparaitre ton bureau.
==================================================================
Poste moi le rapport ainsi qu'un nouveau Hijackthis.
==================================================================


Dernier avertissement concernant tes messages disant, tu es là tout les 5mn, j'ai une vie comme toi, est-ce que je t'embête quand tu ne fais pas tout de suite mes manipulations ?

BRUNO XP · Answer

Clean Navipromo version 2.0.5 commencé le 05/08/2007 à 21:20:48,71

Fix lancé depuis C:\Program Files
avilog1
Mise a jour le 01.07.2007 a 12h00 by IL-MAFIOSO


Mode suppression par méthode manuelle

Nom du fichier saisi : psetbgobg

*** Recherche, Creation backups et suppression ***

C:\WINDOWS\system32\psetbgobg_navup.dat absent ! 
C:\WINDOWS\system32\psetbgobg_navtmp.dat absent ! 
C:\WINDOWS\system32\psetbgobg_m2s.xml absent ! 
C:\WINDOWS\prefetch\psetbgobg*.pf absent ! 

C:\WINDOWS\System32\psetbgobg.exe trouvé !
Copie C:\WINDOWS\system32\psetbgobg.exe réalise avec succes !
C:\WINDOWS\system32\psetbgobg.exe supprimé !

C:\WINDOWS\System32\psetbgobg.dat trouvé !
Copie C:\WINDOWS\system32\psetbgobg.dat réalise avec succes !
C:\WINDOWS\system32\psetbgobg.dat supprimé !

C:\WINDOWS\System32\psetbgobg_nav.dat trouvé !
Copie C:\WINDOWS\system32\psetbgobg_nav.dat réalise avec succes !
C:\WINDOWS\system32\psetbgobg_nav.dat supprimé !

C:\WINDOWS\System32\psetbgobg_navps.dat trouvé !
Copie C:\WINDOWS\system32\psetbgobg_navps.dat réalise avec succes !
C:\WINDOWS\system32\psetbgobg_navps.dat supprimé !


*** Suppression dossiers dans C:\WINDOWS ***


*** Suppression dossiers dans C:\Program Files ***


*** Suppression dossiers dans C:\Documents and Settings\All Users\Application Data ***


*** Suppression dossiers dans C:\Documents and Settings\Administrateur\Application Data ***



*** Suppression fichiers ***

C:\WINDOWS\pack.epk supprimé !
C:\WINDOWS\system32
vs2.inf supprimé !

*** Suppression fichiers temporaires ***

Nettoyage contenu C:\WINDOWS\Temp effectué !
Nettoyage contenu C:\Documents and Settings\Administrateur\Local Settings\Temp effectué !

 
*** Sauvegarde du registre vers dossier Backupnavi*** 
 
 
sauvegarde du registre réalise avec succes !


*** Nettoyage registre ***


Nettoyage registre Ok

*** Traitement Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche fichiers connus:


2)Recherche et Suppression Heuristique :

* 
** 
*** 
**** 
***** 
****** 
******* 
******** 

3)Contrôle présence clés Rootkit dans le registre :

Aucune autre clés présente dans le registre !

4)Certificats :

Certificat Egroup supprimé !

*** Nettoyage termine le 05/08/2007 à 21:29:11,07 ***

BRUNO XP · Answer

Logfile of HijackThis v1.99.1
Scan saved at 21:41:01, on 05/08/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Program Files\VIAudioi\SBADeck\ADeck.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
D:\TuneUp  Utilities  2007\MemOptimizer.exe
C:\Program Files\Antipub\antipub.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Documents and Settings\Administrateur\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://fr.yahoo.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\yt.dll
O2 - BHO: ContextualAds Class - {3AAC4C68-AFC8-11DB-80EF-8AF955D89593} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O4 - HKLM\..\Run: [CmUsbSound] RunDll32 cmcnfgu.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"
O4 - HKLM\..\Run: [AudioDeck] C:\Program Files\VIAudioi\SBADeck\ADeck.exe 1 
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [TuneUp MemOptimizer] "D:\TuneUp  Utilities  2007\MemOptimizer.exe" autostart
O4 - Startup: Anti-Pub.lnk = C:\Program Files\Antipub\antipub.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O9 - Extra button: Statistiques d’Anti-Virus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://marechalbruno.spaces.live.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {7FC1B346-83E6-4774-8D20-1A6B09B0E737} (Windows Live Photo Upload Control) - http://marechalbruno.spaces.live.com/PhotoUpload/MsnPUpld.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{9DBB06A5-A342-4FE1-9ED8-45F81B3F047B}: NameServer = 194.2.0.20,194.2.0.50
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\Windows Live\Messenger\msgrapp.8.5.1238.0601.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\Windows Live\Messenger\msgrapp.8.5.1238.0601.dll
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
O23 - Service: F-Secure BlackLight Sensor - Unknown owner - C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\F-Secure\BlackLight\fsblsrv.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Windows Live Setup Service (WLSetupSvc) - Unknown owner - C:\Program Files\Windows Live\installer\WLSetupSvc.exe

Darkkiller · Answer

Re,

Ouvre Hijackthis et clique sur "Do a system scan only" et coche ces lignes :

O2 - BHO: ContextualAds Class - {3AAC4C68-AFC8-11DB-80EF-8AF955D89593} - (no file)

O16 - DPF: {7FC1B346-83E6-4774-8D20-1A6B09B0E737} (Windows Live Photo Upload Control) - http://marechalbruno.spaces.live.com/PhotoUpload/MsnPUpld.cab

Puis quand tu as coché ces lignes, clique sur "Fix Checked"
==================================================================

Fais une analyse complète du système avec AVG A-S, en prenant bien soin de tout supprimer, et de me poster le rapport !
==================================================================

Donc télécharge clean : http://www.malekal.com/download/clean.zip 

Installe-le sur le bureau et dezippe-le. 
Un dossier clean va être créer double-clique dessus 
Puis double clique sur clean.cmd et choisit l'option 1.Patiente un peu. 
Poste ce rapport dans ton prochain post

BRUNO XP · Answer

---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	10:39:38 06/08/2007

 + Résultat de l'analyse:	



	Rien à signaler.



Fin du rapport

BRUNO XP · Answer

06/08/2007 a 10:42:18,75 
 
*** Recherche des fichiers dans C: 
 
*** Recherche des fichiers dans C:\WINDOWS\ 
 
*** Recherche des fichiers dans C:\WINDOWS\system32 
 
*** Recherche des fichiers dans C:\Program Files 
*** Fin du rapport !

BRUNO XP · Answer

bonjour a toi , MERCI de m'aide a d'avoir de la Patience avec MOI

dit moi , tant que tu est la je voudrai savoir apres STP comment se fait t'il que quand je veut grave par NERO mon Graveur Me Dit "IMPOSSIBLE D'EFFECTUER LA FONCTION DE FIXATION"

   Est quant je decoche sur nero la fonction "juspeed" est en m'etant ma vitesse d'ecriture a 8x sa fonction  ? .

Darkkiller · Answer

Re,

Concernant la désinfection, j'ai fais mon boulot !
==================================================================

Maintenant moi et NERO on est pas trop amis.
Vas dans la partir logiciel du forum ;)

BRUNO XP · Answer

ok , MERCI de ton aide j'espere un jour sy ya probleme te revoir car tu un PRO.


                              MERCI    ENCORE   POUR    TOUT


une petit question tu reste dans quel region.

Darkkiller · Answer

Re,

Je suis dans le nord-est, mais où, je te dirais pas :)

Darkkiller · Answer

--
Le jour où les pirates arrêteront de produire des malwares la fin du monde sera proche ;)

Virtumond

41 réponses

Newsletters