Envahie de page internet chinoise

Bonjour Riggs

Telecharge HijackThis 1.99.1
https://www.pcastuces.com/logitheque/hijackthis.htm

Note : HijackThis doit etre impérativement installé dans un repertoire dédié et sur le C pourquoi :
(hijackthis crée un repertoire de sauvegarde quand vous fixez des lignes ,donc si HijackThis est installé dans un repertoire temporaire, ce dossier de sauvegarde peut etre effacer au redémarrage et vous serez dans l impossibilité de revenir sur ce que vous avez fixé si il y a eu erreur )

*** Impératif => Avant de lancer HijackThis vous devez :
* vous déconnecter d internet
* fermer TOUS les programmes qui sont ouverts

Aide en image a consulter auparavant : http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm

Voir G) https://forum.pcastuces.com/sujet.asp?f=25&s=3902

Fais un scan et envoie le log en reponse
@+

Voila le rapport de hijack :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:26:36, on 11/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe
C:\WINDOWS\System32\DkLog.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\system32\spoo1v.exe
C:\WINDOWS\system32\CAPRPCSK.EXE
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe
C:\WINDOWS\System32\dkcktkn.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Java\jre1.5.0_03\bin\jusched.exe
C:\Program Files\Rainbow Technologies\iKey 2000 Series Software\DkAutoReg.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Microsoft ActiveSync\wcescomm.exe
C:\Program Files\Java\jre1.5.0_03\bin\jucheck.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\RocketDock\RocketDock.exe
C:\PROGRA~1\MI3AA1~1\rapimgr.exe
C:\Program Files\RMClient\PMCTray.exe
C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Documents and Settings\angelique.CURTY\Bureau\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AdPopup - -{11F09AFD-75AD-4E51-AB43-E09E9351CE16} - (no file)
O2 - BHO: (no name) - -{259F616C-A300-44F5-B04A-ED001A26C85C} - (no file)
O2 - BHO: (no name) - -{385AB8C6-FB22-4D17-8834-064E2BA0A6F0} - (no file)
O2 - BHO: (no name) - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - (no file)
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {549B5CA7-4A86-11D7-A4DF-000874180BB3} - (no file)
O2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - (no file)
O3 - Toolbar: (no name) - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - (no file)
O4 - HKLM\..\Run: [CAPON] C:\WINDOWS\system32\Spool\Drivers\w32x86\3\CAPONN.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_03\bin\jusched.exe
O4 - HKLM\..\Run: [ViGUARD] "C:\Program Files\VIGUARD\SDLOAD32.EXE" /STARTUP
O4 - HKLM\..\Run: [DkAutoReg.exe] C:\Program Files\Rainbow Technologies\iKey 2000 Series Software\DkAutoReg.exe
O4 - HKLM\..\Run: [DkStartup] C:\Program Files\Rainbow Technologies\iKey 2000 Series Software\DkStartup.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\RunOnce: [27y6] %systemroot%\system32\Rundll32.exe %systemroot%\system32\27y6.dll,DllUnregisterServer
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\wcescomm.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [RocketDock] "C:\Program Files\RocketDock\RocketDock.exe"
O4 - HKCU\..\Run: [Update Service] C:\PROGRA~1\FICHIE~1\TEKNUM~1\update.exe /startup
O4 - Global Startup: SmartDeviceMonitor for Client.lnk = C:\Program Files\RMClient\PMClient.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra 'Tools' menuitem: Créer un favori mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: Bonjour - {7F9DB11C-E358-4ca6-A83D-ACC663939424} - C:\Program Files\Bonjour\ExplorerPlugin.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure/connexion/archives/ie4n4/teleir_cert.cab
O16 - DPF: {09C21411-B9A2-4DE6-8416-4E3B58577BE0} (France Telecom MDM ActiveX Control) - http://minitelweb.minitel.com/imin_data/ocx/MDM.cab
O16 - DPF: {3AF4DACE-36ED-42EF-9DFC-ADC34DA30CFF} (PatchInstaller.Installer) - file://D:\content\include\XPPatchInstaller.CAB
O16 - DPF: {8B1BC605-C593-4865-8F5B-05517F0CD0BB} (MSSecurityAdvisorCD Class) - file://D:\Content\include\msSecUcd.cab
O16 - DPF: {A06BE318-C096-11D4-964F-0010A4D06F69} (TeleTVA Control) - https://tva.dgi.minefi.gouv.fr/activeX/TeleTVA.tva
O16 - DPF: {C68F9105-04FD-4B48-B6CC-2A076F711C35} (HpodPCFileCtrl2 Class) - file://D:\MEMDISC\ALBUM_A\VIEW\PLUGIN\HPODPCFC.CAB
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = CURTY.local
O17 - HKLM\Software\..\Telephony: DomainName = CURTY.local
O17 - HKLM\System\CCS\Services\Tcpip\..\{D30EE617-69CB-4D41-8E24-E89C3AE8244C}: NameServer = 192.9.2.1,80.48.192.100
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = CURTY.local
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = CURTY.local
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Datakey's Log Service (DkLogger) - Datakey, Inc. - C:\WINDOWS\System32\DkLog.exe
O23 - Service: Datakey's Token Service (DkTknSrv) - Datakey, Inc. - C:\WINDOWS\System32\dkcktkn.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Windows Management Prints System (spoo1v) - Unknown owner - C:\WINDOWS\SYSTEM32\spoo1v.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe
O23 - Service: VIGUARD Service (VigService) - SOFTED - C:\Program Files\VIGUARD\SERVICE.EXE

Re

Je ne vois ni antivirus ni parefeu sur ton pc ????

Tu es victime de redirection internet en O17

O17 - HKLM\System\CCS\Services\Tcpip\..\{D30EE617-69CB-4D41-8E24-E89C3AE8244C}: NameServer = 192.9.2.1,80.48.192.100

http://www.dnsstuff.com/tools/whois.ch?ip=80.48.192.100
et http://www.dnsstuff.com/tools/whois.ch?ip=192.9.2.1

Je te conseille d'enregistrer la page en sélectionnant toutes les lignes puis de copier cette sélection dans un fichier texte sur ton PC pour pouvoir appliquer la procedure correctement.
Il faut exécuter toutes les étapes, sans interruption, dans l'ordre exact indiqué ci-dessous.


1) Télécharge le FixWareout
d'un de ces deux sites sur le bureau:

http://downloads.subratam.org/Fixwareout.exe
http://swandog46.geekstogo.com/Fixwareout.exe

Lance le fix: clique sur Next, puis Install, puis assure toi que "Run fixit" est activé puis clique sur Finish.
Le fix va commencer, suis les messages à l'écran.

Il te sera demandé de redémarrer ton ordinateur, fais le.
Ton système mettra un peu plus de temps au démarrage, c'est normal.

Quand ton système aura redémarré, suis les invites des messages.

2) Lance HijackThis.

Ferme toutes les autres fenetres, tous les autres programmes.

Clique sur Scan et coche les lignes suivantes, Clique sur Fix Checked puis clique sur OK
O17 - HKLM\System\CCS\Services\Tcpip\..\{D30EE617-69CB-4D41-8E24-E89C3AE8244C}: NameServer = 192.9.2.1,80.48.192.100

Ferme HijackThis

3) Rapports :

Redémarrer le PC, puis poste le contenu du fichier C:\fixwareout\report.txt avec un nouveau rapport HijackThis

----------
Si et seulement si il y a des difficultés de connexion après cette manip:
Démarrer---->Paramètres---->Panneau de configuration---->Connexions réseau
Faire un clic droit sur la connexion par défaut, nommée en général "Connexion au réseau local" ou "Accès à distance" (si tu utilises un modem téléphonique) et choisir Propriétés.
Faire un double clic sur l'élément Protocole Internet (TCP/IP) et choisir le bouton-radio

Obtenir les adresses des serveurs DNS automatiquement.
Clique deux fois sur OK, et redémarre l'ordinateur.

Bon courage.

@ +

Ok je vais faire ce que tu m'as conseiller..........je te poste les résultats d'ici une heure ou deux le temps d'aller manger........encore merci a tout a l'heure

Re
Je ne serais peu etre pas la, je bosse de nuit, je dois faire une mega siste ;)
Je verrais cela plutard en soirée, t inquiete.
Tu me diras s il y a des ameliorations ou pas
@+

le sioux, je viens d'avoir cette infection à nettoyer (pas finie encore d'ailleurs), elle est mega collante!! et elle désactive les anti...
RIGGS content de voir que tu as trouvé de l'aide
bonne continuation à vous deux

Salut papyber, voila mon topic...........

si tu as la solution peux tu me dire comment tu geres ce probleme stp

a++

déjà tu installes un antivirus valable, je te conseille antivir
https://www.avira.com/en/prime
un tuto pour le paramétrer
https://www.malekal.com/avira-free-security-antivirus-gratuit/#mozTocId288307
puis tu suis les consignes du sioux...

Hello papyber

Je ne connais pas cette infection...elle desactive les anti... en plus comme Bagle ;)

Il y a plusieurs bho negatifs Trojan.Cinmeng; Adware.CPush et mywebsearch (lui, c est ok toolbar bfu ;) )...
la redirection en O17
et ce service plus que bizarre
O23 - Service: Windows Management Prints System (spoo1v) - Unknown owner - C:\WINDOWS\SYSTEM32\spoo1v.exe

Je ne connais pas ces O17
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = CURTY.local
O17 - HKLM\Software\..\Telephony: DomainName = CURTY.local
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = CURTY.local
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = CURTY.local
Pense tu qu il faille les fixer aussi ?
@+

up pour suivre
bonne continuation

regarde le nom du demandeur c'est le même!perso je n'y toucherais pas...il va nous dire s'il connait le domaine ou pas

je ne suis pas certain que ce soit la même chose que celle que j'essaie de désinfecter, si mon demandeur revient!!!, ce ne sont pas les mêmes fichiers....
là cela me semble néanmoins moins méchant...
je commencerais par désinfecter ce que je vois puis un scan antivirus en ligne, un diaghelp aussi aide pas mal...long à déchiffrer, je te l'accorde !!!lol!!!!mdr!!!
puis pour réparer le mode sans échec il y a cela qui marche en toute fin
Réparation mode sans échec
Essaye ceci :
Fais un clic droit ici
malekal.com/download/SafeBoot.reg
et choisis " enregistrer la cible sous" afin de télécharger SafeBoot.reg sur ton bureau.
Double clique dessus et accepte la fusion avec le registre.
Tiens au courant

Re
Merci de ton avis papyber
Pour Safeboot, je connais,
DiagHelp aussi mais comme tu dis....galere,j aime pas sa" tartine" de rapport...:( lol

J en fini d abord avec sa redirection puis apres j attaque la suite.(en mse toolbarbfu, suppression service Windows Management Prints System (spoo1v) et destruction par C:\WINDOWS\SYSTEM32\spoo1v.exe OtmoveIt puis avg, ccleaner pour commencer)

@ +