Plus de droit après infection.
Bonjours à tous,
Je remercie d'avance les personne qui pourront me faire avancé dans la résolution de mon problémé.
Après un infection CWS.Msconfig avec le processus svdhost.exe, que je semble avoir traité mais qui m'a amener pas mal de problème.
Tout d'abord j'ai du réécrire des clés de registre pour Windows Installer et de plus j'ai des problème avec mon compte, j'ai 1 seul compte quand je suis en mode normal, c'est un compte administrateur mais ce dernier depuis l'infection me signale sur diverse chose que je fais (installe ou désinstalle)que je n'ai pas les droit administrateur par exemples je ne peux désintaller Babylon6 car je n'ai pas accès a certaine clé du registre et avec O&O Defrag il pose problème je les désinstaller car il voulait pas lancer le services qu'il a besoin et au moment de réinstaller, problème je n'ai sois disant pas les droit administrateur.
Je soupsonne fortement l'infection de m'avoir dé-régler mes droit car avant d'être infecter tout marchait correctement je n'avait pas eu de souci pour installer les logiciel pré cités.
Si quelqu'un à une solution pour remettre mes droit administrateur comme ils doivent être car pour le moment en regardant les sujet parlant de ce problème aucun ma permis de régler le mien.
Par avance merci
amicalement.
--
Il n'y a pas de questions connes, y a que des cons qui n'en posent pas!!!!
Je remercie d'avance les personne qui pourront me faire avancé dans la résolution de mon problémé.
Après un infection CWS.Msconfig avec le processus svdhost.exe, que je semble avoir traité mais qui m'a amener pas mal de problème.
Tout d'abord j'ai du réécrire des clés de registre pour Windows Installer et de plus j'ai des problème avec mon compte, j'ai 1 seul compte quand je suis en mode normal, c'est un compte administrateur mais ce dernier depuis l'infection me signale sur diverse chose que je fais (installe ou désinstalle)que je n'ai pas les droit administrateur par exemples je ne peux désintaller Babylon6 car je n'ai pas accès a certaine clé du registre et avec O&O Defrag il pose problème je les désinstaller car il voulait pas lancer le services qu'il a besoin et au moment de réinstaller, problème je n'ai sois disant pas les droit administrateur.
Je soupsonne fortement l'infection de m'avoir dé-régler mes droit car avant d'être infecter tout marchait correctement je n'avait pas eu de souci pour installer les logiciel pré cités.
Si quelqu'un à une solution pour remettre mes droit administrateur comme ils doivent être car pour le moment en regardant les sujet parlant de ce problème aucun ma permis de régler le mien.
Par avance merci
amicalement.
--
Il n'y a pas de questions connes, y a que des cons qui n'en posent pas!!!!
Configuration: Windows XP Firefox 2.0.0.6
13 réponses
-
Bonjour chtilolo, avais-tu fais une sauvegarde de ta base de registre... Avec spybot par exemple, ou par un autre procédé ?
-
Contributeur sécuritéBonjour
Si tu as un problème d'accès refusé sur un dossier ou un fichier, tu peux utiliser cette astuce : windows acces refuse a un fichier ou a un dossier repertoire -
oui j'avais une sauvegarde de mon registre
amicalement
-
ok mets cette sauvegarde de ta base en lieux sur, usb ou cd..
Ensuite tu vas me faire un rapport hijack
le tuto :http://www.tutopat.com/viewtopic.php?t=265
le logiciel là :https://www.01net.com/telecharger/windows/Securite/anti-spyware/fiches/29061.html
Colle le rapport dans ta prochaine réponse merci... -
Alors justement mon problème c'est que mon rapport est clean et j'ai fai 5 scan différent et kedal mais le problème c'est que l'infection que j'ai enlever comme je le disait ma fait ces dégat et quand j'ai tarité l'infection malheureusement rien ne c'etait remis.
J'ai mis deux jours pour remettre Windows Installer et maintenant il faut que je rétablisse se problème avec mes droit que je devrait avoir car ce que j'ai oublier de dire :
c'est que pour enlever Babylon6 il me dit que je n'ai pas les autorisation pour executer convenablement babylon et que je n'ai pas accès a HKEY_CLASS_ROOT alors que je peu sans problème utiliser regedit et par exemple ajouté des clés.
quoique attend pour l'histoire du rapport.......
amicalement -
Alors justement mon problème c'est que mon rapport est clean et j'ai fai 5 scan différent et kedal mais le problème c'est que l'infection que j'ai enlever comme je le disait ma fait ces dégat et quand j'ai tarité l'infection malheureusement rien ne c'etait remis.
J'ai mis deux jours pour remettre Windows Installer et maintenant il faut que je rétablisse se problème avec mes droit que je devrait avoir car ce que j'ai oublier de dire :
c'est que pour enlever Babylon6 il me dit que je n'ai pas les autorisation pour executer convenablement babylon et que je n'ai pas accès a HKEY_CLASS_ROOT alors que je peu sans problème utiliser regedit et par exemple ajouté des clés.
quoique attend pour l'histoire du rapport.......
amicalement -
Non en faite c'est bon il y a une ligne que je peux supprimer dit moi par contre pour CTFMON.EXE ton avis j'ai vérifier et il est bon car j'ai office.Et un avis sur la ligne 021 je cherche de mon coté .
je l'ai fai en mode normale car je suis sur un autre truc en même temp merci a toi.
Logfile of HijackThis v1.99.1
Scan saved at 21:46:17, on 02/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16512)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\a-squared Free\a2service.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\Eset\nod32krn.exe
C:\Program Files\OO Software\CleverCache\ooccag.exe
C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe
C:\Program Files\Webroot\Washer\WasherSvc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe
C:\Program Files\Privacyware\Dynamic Security Agent\DSA.exe
C:\Program Files\PowerISO\PWRISOVM.EXE
C:\Program Files\SyncroSoft\Pos\H2O\cledx.exe
C:\Program Files\OO Software\CleverCache\ooccctrl.exe
C:\Program Files\Eset\nod32kui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\regprot\regprot.exe
C:\Program Files\SuperCopier2\SuperCopier2.exe
C:\Program Files\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe
C:\Program Files\Vidalia Bundle\Privoxy\privoxy.exe
U:\Optimisation & Diagnostic\Tray It\TrayIt!.exe
C:\WINDOWS\system32\oodtray.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\System32\vssvc.exe
C:\WINDOWS\system32\locator.exe
C:\WINDOWS\system32\oodag.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\totalcmd\TOTALCMD.EXE
C:\Program Files\The KMPlayer FR\KMPlayer.exe
C:\HijackThis-fr\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)
O2 - BHO: e-Carte Bleue Browser Helper Object - {2E03C0FD-4C48-43A7-9A54-00240C70FF16} - C:\WINDOWS\system32\BhoECart.dll
O2 - BHO: SpywareGuard Download Protection - {4A368E80-174F-4872-96B5-0B27DDD11DB2} - C:\Program Files\SpywareGuard\dlprotect.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {724d43a9-0d85-11d4-9908-00400523e39a} - C:\Program Files\Siber Systems\AI RoboForm\roboform.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - C:\Program Files\Siber Systems\AI RoboForm\roboform.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [DSA] "C:\Program Files\Privacyware\Dynamic Security Agent\DSA.exe"
O4 - HKLM\..\Run: [PWRISOVM.EXE] "C:\Program Files\PowerISO\PWRISOVM.EXE"
O4 - HKLM\..\Run: [H2O] "C:\Program Files\SyncroSoft\Pos\H2O\cledx.exe"
O4 - HKLM\..\Run: [ooccctrl.exe] "C:\Program Files\OO Software\CleverCache\ooccctrl.exe" /tasktray
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [OSSelectorReinstall] C:\Program Files\Fichiers communs\Acronis\Partition Suite\oss_reinstall.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Fichiers communs\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [RegProt] c:\regprot\regprot.exe /start
O4 - HKLM\..\RunOnce: [MRUBlaster] C:\Program Files\MRU-Blaster\indexcleaner.exe -COOKIES
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] "C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"
O4 - HKCU\..\Run: [SuperCopier2.exe] C:\Program Files\SuperCopier2\SuperCopier2.exe
O4 - HKCU\..\Run: [RoboForm] "C:\Program Files\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe"
O4 - Startup: ERUNT AutoBackup.lnk = C:\Program Files\ERUNT\AUTOBACK.EXE
O4 - Startup: MRU-Blaster Silent Clean.lnk = C:\Program Files\MRU-Blaster\mrublaster.exe
O4 - Startup: TrayIt!.lnk = U:\Optimisation & Diagnostic\Tray It\TrayIt!.exe
O4 - Global Startup: Barre d'état système d'ATI CATALYST.lnk = C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe
O4 - Global Startup: Privoxy.lnk = C:\Program Files\Vidalia Bundle\Privoxy\privoxy.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: Barre RoboForm - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Enregistrer le formulaire - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O8 - Extra context menu item: Personnaliser le menu - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html
O8 - Extra context menu item: Remplir le formulaire - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Remplir - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra 'Tools' menuitem: Remplir le formulaire - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: Enregistrer - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra 'Tools' menuitem: Enregistrer le formulaire - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra button: Barre RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra 'Tools' menuitem: Barre RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://C:\Program Files\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Program Files\a-squared Free\a2service.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexingService.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: O&O CleverCache Agent (OOCleverCacheAgent) - O&O Software GmbH - C:\Program Files\OO Software\CleverCache\ooccag.exe
O23 - Service: Privacyware network service (PFNet) - PWI, Inc. - C:\Program Files\Privacyware\Dynamic Security Agent\pfsvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
O23 - Service: Moteur Webroot Spy Sweeper (WebrootSpySweeperService) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe
O23 - Service: Window Washer Engine (wwEngineSvc) - Webroot Software, Inc. - C:\Program Files\Webroot\Washer\WasherSvc.exe
-
Pour CTFMON.exe c'est bon c'est bien celui de Office. ligne 021 OK également .
A part nofile dans BHO le reste est clean, j'attend ton avis. -
ok
relance hijack
Scan seulement
coches ces 2 lignes
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
Ensuite Fixer objet
Tu as 2 anti-espion AVG et spyweeper, désactives en UN..
Ensuite utiises Ccleaner
le tuto et lien au cas ou :http://www.facile-pc.com/tutorial-ccleaner-t28.html
Nettoie, et corriges des erreurs...
Désactivez la restauration système :
Clic droit sur Poste de Travail/Propriétés ou double clic sur Système dans Panneau de configuration Onglet Restauration du système/cocher la case 'Désactiver la restauration du système ...' / OK
nb : purger la restauration du sytème efface, les virus et malwares planqués dans les fichiers de restauration, c'est pour cela qu'il est primordial de la désactivez !!!
refait un rapport hijack merci
Une fois de retour en mode normal, réactive la restauration système en faisant la manipulation inverse à celle expliquée plus haut, créez un point de restauration afin que, si un nouveau problème apparaisse, tu puisses revenir au moment où ta bécanne fonctionnait.
colle le rapport sur ta réponse, et prècise moi si y'a un changement... -
Bonjours espion3004,
Merci de ton analyse par contre je suis gêné de te dire ça car je fait aussi des analyse de log et je sais que ça prend du temps pour vérifier les élément, mais, pour le BHO je l'ai supprimer après le post du log , en même temps que je vérifiait les lignes que je te parlais dans les log suivant, de plus pour O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1, cette ligne apparaît avec XP antispy (je pense que tu connaît cette apps)et je jongle avec quand j'ai besoin de touché au registre.
Pour les deux anti-spy en faite j'utilise que AVG en ce moment car Spy Sweeper n'ai pas actif il me sert pour les scan en mode sans echec mais je compte inverser les role quand j'aurai réinstaller Spy Sweeper car j'ai voulu l'enlever du démarrage mais il arrive plus a se remettre bien quand je le demande donc une fois mon problème de droit/privilèges régler je vais le réinstallr proprement et garder AVG pour les scans.
Mais tu sais j'ai également a²free(le 1er 023) qui me sert aussi pour les scan.Sa me permet en cas de problème d'avoir comme qui dirai plusieurs avis et de plus maintenant ce sont les Spyware(j'englobe un peu tout sous ce mot) qui sont les plus courant donc voila. -
ok, je comprends..
Mais sache que même si spyweeper te sert de scan il crée un conflit avec avg, tu le sais
c'est comme deux antivirus temps réel !
il n'est pas actif pour toi, mais par compte dans ton uc, il l'est et il marche (certains processus) !
Egallemnt j'utilise xp antispy, et quand je fais mes jack, je n'ai pas HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1,
Je ne sais quoi te dire ..??
-
bonjours , je met du temp pour répondre mes je suis sur un autre forum pour trouvé ds soluce.
Pour le regedit , si cette entrée etait néfaste je ne pourrai pas utilisé Regedit mais j'arrive à l'utilisé si je décoche dans XP AntiSpy.En fait la merde que j'ai eu ma bloquer certain droit mais défois sa me bloque bien.Par contre peut tu me dire ce que tu pense de ça :
Tu sais les clé que Sophos dit de supprimé pour le trojan qui est sous ce svdhost et bien maintenant je peu plus faire mes Màj mais est ce que je peu remettre ces clés sans crainte ? -
J'arrive pas a me servir de inserer un lien tu peut m'expliquer comment tu fais car j'ai pas réussis merci
amicalement
