spam pub (faxantivirus)Fermé

Question

Bonjour.
Voila depuis quelque temps je suis infecter par une ***** . En gros je resois plein de pub pour de faut anti-virus et j'ai des info-bulle et message window come quoi je suis infecter.

Voila si quelq'un peut m'aider merci d'avance.

nardino · Answer

Bonjour.

Trois scans à effectuer:

Conseil : Toujours télécharger avant utilisation pour profiter des dernières mises à jour.

SMITFRAUDFIX
Télécharge: http://siri.urz.free.fr/Fix/SmitfraudFix.exe de S!Ri Balltrap et Moe
Toujours charger avant l'utilisation pour profiter des dernières mises à jour.
Lance-le en cliquant sur Smitfraud.exe

Dans la fenêtre bleue, choisis l'option 1] et Entrée
Fais un copier coller du rapport qui s'ouvre dans ta prochaine réponse.
Ce rapport sera enregistré comme suit : C:\rapport.txt
Renomme-le rapport1.txt, très important.

VUNDOFIX
Télécharge :
VundoFix de Atribune: http://www.atribune.org/ccount/click.php?id=4

Double clic sur Vundofix.exe.
Coche la case Run VundoFix as a task
Répond OK au popup qui s'ouvre.
Il va se refermer et réouvrir au bout d'une minute environ.
Quand il est rouvert, clique sur Scan for Vundo
Quand le scan est terminé, clique sur Remove Vundo
Réponds Yes à la demande de suppression des fichiers.
Il te sera demandé de redémarrer ton ordinateur, accepte bien sûr.
Copie/colle le rapport (c:\vundofix.txt) dans ta réponse

NAVIFIX
Télécharge Navifix de Il-Mafioso sur ton bureau:
http://perso.orange.fr/il.mafioso/Navifix/Navilog1.exe

Installe-le en cliquant sur le fichier Navilog1.exe

Double-clique sur le raccourci créé sur le bureau.
Au menu principal suivant, choisis 1 et valide par Entrée.
[b]Ne fais pas le choix 2,3 ou 4 sans mon avis.[/b]
Patiente jusqu'au message : *** Analyse Termine le ..... ***
Appuie sur une touche comme demandé, le blocnote va s'ouvrir.
Sauvegarde le blocnote qui s'ouvre sur le bureau sous cleanavi.txt

bob902 · Answer

Tout d'abord merci d t'interesser a mon probleme.


SmitFraudFix v2.240

Rapport fait à 13:59:20,85, 17/10/2007
Executé à partir de C:\Documents and Settings\Administrateur\Bureau\Nouveau dossier (2)\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\WINDOWS\System32\FTRTSVC.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\PnkBstrB.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\UAService7.exe
C:\WINDOWS\system32\WgaTray.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb10.exe
C:\Program Files\HP\hpcoretech\hpcmpmgr.exe
C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe
C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe
C:\Program Files\MessengerPlus! 3\MsgPlus.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\PROGRA~1\MSNMES~1\msnmsgr.exe
C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\wkcalrem.exe
C:\Program Files\SAGEM Wi-Fi USB 802.11g\WLANUTL.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\PROGRA~1\FREEDO~1\fdm.exe
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Administrateur


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Administrateur\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\ADMINI~1\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
 

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Rustock



»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Carte Fast Ethernet compatible VIA - Miniport d'ordonnancement de paquets
DNS Server Search Order: 192.168.1.1
DNS Server Search Order: 0.0.0.0

HKLM\SYSTEM\CCS\Services\Tcpip\..\{702D5CA7-4810-4FEB-9122-863FC2313A91}: DhcpNameServer=192.168.1.1 0.0.0.0
HKLM\SYSTEM\CCS\Services\Tcpip\..\{77E42989-8AC7-418F-A017-EF8ABDF23C91}: DhcpNameServer=192.168.1.1 0.0.0.0
HKLM\SYSTEM\CCS\Services\Tcpip\..\{C4B7F62D-FB7E-4F82-9F89-C169A511D76F}: DhcpNameServer=192.168.1.1 0.0.0.0
HKLM\SYSTEM\CCS\Services\Tcpip\..\{DC80A12E-03C1-4E65-AFD8-3047F84768C2}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{702D5CA7-4810-4FEB-9122-863FC2313A91}: DhcpNameServer=192.168.1.1 0.0.0.0
HKLM\SYSTEM\CS1\Services\Tcpip\..\{77E42989-8AC7-418F-A017-EF8ABDF23C91}: DhcpNameServer=192.168.1.1 0.0.0.0
HKLM\SYSTEM\CS1\Services\Tcpip\..\{C4B7F62D-FB7E-4F82-9F89-C169A511D76F}: DhcpNameServer=192.168.1.1 0.0.0.0
HKLM\SYSTEM\CS1\Services\Tcpip\..\{DC80A12E-03C1-4E65-AFD8-3047F84768C2}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{702D5CA7-4810-4FEB-9122-863FC2313A91}: DhcpNameServer=192.168.1.1 0.0.0.0
HKLM\SYSTEM\CS2\Services\Tcpip\..\{77E42989-8AC7-418F-A017-EF8ABDF23C91}: DhcpNameServer=192.168.1.1 0.0.0.0
HKLM\SYSTEM\CS2\Services\Tcpip\..\{C4B7F62D-FB7E-4F82-9F89-C169A511D76F}: DhcpNameServer=192.168.1.1 0.0.0.0
HKLM\SYSTEM\CS2\Services\Tcpip\..\{DC80A12E-03C1-4E65-AFD8-3047F84768C2}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 0.0.0.0
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 0.0.0.0
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 0.0.0.0


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin










Pour vundofix sa a bien trouver les fichiers j'ai redemarer l'ordinateur mais je n'est pas u de rapport (par contre je ressoi plus de message depuis que je y est fait).














Search Navipromo version 3.2.1 commencé le 17/10/2007 à 14:04:31,39

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Poster ce rapport sur le forum pour le faire analyser !!!
!!! Ne pas lancer la partie désinfection sans l'avis d'un spécialiste !!!

Fix lancé depuis C:\Program Files
avilog1
Mise a jour le 09.10.2007 a 18h00 by IL-MAFIOSO


Microsoft Windows XP [version 5.1.2600]
Internet Explorer : 7.0.5730.11 


*** Recherche Programmes installes ***




*** Recherche dossiers dans C:\WINDOWS ***



*** Recherche dossiers dans C:\Program Files ***



*** Recherche dossiers dans C:\Documents and Settings\All Users\Application Data ***




*** Recherche dossiers dans C:\Documents and Settings\Administrateur\Application Data ***


*** Recherche dossiers dans C:\DOCUME~1\ALLUSE~1\MENUDM~1\PROGRA~1 ***


*** Recherche avec Catchme-rootkit/stealth malware detector by gmer ***
pour + d'infos : http://www.gmer.net

Aucun fichier trouvé dans :

- C:\WINDOWS\system32
- C:\DOCUME~1\ADMINI~1\LOCALS~1\APPLIC~1



*** Recherche avec GenericNaviSearch ***
!!! Tous Ces résultats peuvent révéler des fichiers légitimes !!!
!!! A verifier impérativement avant toute suppression manuelle !!!

* Scan C:\WINDOWS\system32 *

* Scan C:\DOCUME~1\ADMINI~1\LOCALS~1\APPLIC~1 *



*** Recherche fichiers *** 




*** Recherche cles registre ***


*** Module de Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche fichiers connus:
C:\WINDOWS\system32\qrutv.ini2 trouvé ! infection Vundo possible non traité par cet outil !
C:\WINDOWS\system32\bcbeg.bak1 trouvé ! infection Vundo possible non traité par cet outil !
C:\WINDOWS\system32\mnnmp.bak1 trouvé ! infection Vundo possible non traité par cet outil !
C:\WINDOWS\system32\oqstv.bak1 trouvé ! infection Vundo possible non traité par cet outil !
C:\WINDOWS\system32\qrutv.bak1 trouvé ! infection Vundo possible non traité par cet outil !
C:\WINDOWS\system32\bcbeg.bak2 trouvé ! infection Vundo possible non traité par cet outil !
C:\WINDOWS\system32\oqstv.bak2 trouvé ! infection Vundo possible non traité par cet outil !
C:\WINDOWS\system32\qrutv.bak2 trouvé ! infection Vundo possible non traité par cet outil !
C:\WINDOWS\system32\vycdd.bak2 trouvé ! infection Vundo possible non traité par cet outil !

2)Recherche Heuristique :

C:\WINDOWS\system32\aufhighr.exe trouvé !
C:\WINDOWS\system32\dgjuaplq.exe trouvé !
C:\WINDOWS\system32\ehilyhyl.exe trouvé !
C:\WINDOWS\system32\eqqocrwp.exe trouvé !
C:\WINDOWS\system32\evusbwtw.exe trouvé !
C:\WINDOWS\system32\gbotbmxc.exe trouvé !
C:\WINDOWS\system32\ibresvig.exe trouvé !
C:\WINDOWS\system32\jscqsgkr.exe trouvé !
C:\WINDOWS\system32\kfvykjdv.exe trouvé !
C:\WINDOWS\system32\mvbondqs.exe trouvé !
C:\WINDOWS\system32\mwbpodxw.exe trouvé !
C:\WINDOWS\system32\piixpjmv.exe trouvé !
C:\WINDOWS\system32\qbvyserm.exe trouvé !
C:\WINDOWS\system32lcetyda.exe trouvé !
C:\WINDOWS\system32\vdgrsbbr.exe trouvé !
C:\WINDOWS\system32\yytiwovc.exe trouvé !


3)Recherche Certificats :

Certificat Egroup absent !


*** Analyse Terminé le 17/10/2007 à 14:05:08,28 ***





Voila.

nardino · Answer

Bonsoir.

Il faut relancer Vundofix en respectant la procédure et le rapport se trouve ici :
C:\vundofix.txt

Télécharge OTMoveIt : http://download.bleepingcomputer.com/oldtimer/OTMoveIt.exe Sur ton bureau. Important.
Redémarre en mode sans échec


Tu le lances, il ne nécessite pas d'installation.

Tu inscris ou tu colles le chemin du fichier/dossier à supprimer dans la fenêtre de gauche (Paste List of Files/Folders to be moved) et tu cliques sur MoveIt!.
(La case Unregister Dll's and OCX's doit être cochée.)

C:\WINDOWS\system32\qrutv.ini2 
C:\WINDOWS\system32\bcbeg.bak1 
C:\WINDOWS\system32\mnnmp.bak1 
C:\WINDOWS\system32\oqstv.bak1 
C:\WINDOWS\system32\qrutv.bak1 
C:\WINDOWS\system32\bcbeg.bak2
C:\WINDOWS\system32\oqstv.bak2 
C:\WINDOWS\system32\qrutv.bak2 
C:\WINDOWS\system32\vycdd.bak2
C:\WINDOWS\system32\aufhighr.exe 
C:\WINDOWS\system32\dgjuaplq.exe 
C:\WINDOWS\system32\ehilyhyl.exe 
C:\WINDOWS\system32\eqqocrwp.exe 
C:\WINDOWS\system32\evusbwtw.exe 
C:\WINDOWS\system32\gbotbmxc.exe 
C:\WINDOWS\system32\ibresvig.exe 
C:\WINDOWS\system32\jscqsgkr.exe 
C:\WINDOWS\system32\kfvykjdv.exe 
C:\WINDOWS\system32\mvbondqs.exe 
C:\WINDOWS\system32\mwbpodxw.exe 
C:\WINDOWS\system32\piixpjmv.exe 
C:\WINDOWS\system32\qbvyserm.exe
C:\WINDOWS\system32\rlcetyda.exe 
C:\WINDOWS\system32\vdgrsbbr.exe 
C:\WINDOWS\system32\yytiwovc.exe

Le(s) fichier's) passe(nt) alors dans la fenêtre de droite.
Et tu obtiendras à la racine du système un dossier C:\_OTMoveIt
Dans ce dernier il y aura un sous-dossier Moved Files dans lequel il y aura une sauvegarde du/des fichier(s) supprimé(s) et un fichier
 de ce type 10172007_******.log (mm/jj/aaaa_hh/mm/ss = date et horaire de la suppression) que tu posteras par copier-coller pour contrôle.

Redémarre et poste les rapports :

C:\vundofix.txt
C:\OtMoveIt\Moved Files\10172007_******.log

Merci @+

Spam pub (faxantivirus)

3 réponses

Discussions similaires

Newsletters