Sujet Précédent Sujet Suivant

Virus insaisissable !

JiP_95 Messages postés 35 Statut Membre -  
Regis59 Messages postés 21143 Date d'inscription   Statut Contributeur sécurité Dernière intervention   -
Bonjour,

J'ai un PC visiblement infecté... mais Avast et ADware ne m'ont pas permis de m'en débarasser. Un test en ligne sur Secuser a éléminé quelques fichiers mais il en reste... Il va falloir entrer dans les entrailles de la bête et j'ai peur de faire des bêtises.
QUELQU'UN PEUT-IL M'AIDER ?

Les symptômes :
le PC était lent depuis quelques temps, puis est apparu un virus que j'ai cru éliminer (antivirus, puis a la mano en retirant les fichiers né à l'heure de l'invasion) , mais il est encore là. Il charge le système, impossible de jouer car la mémoire est occupée (ou le processeur).
En fait iexplore.exe tente de se lancer périodiquement et si on utiliser le "vrai", le bandeau clignote...

Pour permettre un diagnostic, j'ai compris qu'il fallait un rapport Hijackthis
Le voici.
------------------------
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:03:36, on 27/01/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16574)
Boot mode: Normal

Running processes:
I:\WINDOWS\System32\smss.exe
I:\WINDOWS\system32\winlogon.exe
I:\WINDOWS\system32\services.exe
I:\WINDOWS\system32\lsass.exe
I:\WINDOWS\system32\Ati2evxx.exe
I:\WINDOWS\system32\svchost.exe
I:\WINDOWS\System32\svchost.exe
I:\WINDOWS\system32\Ati2evxx.exe
I:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
I:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
I:\Program Files\Alwil Software\Avast4\ashServ.exe
I:\WINDOWS\system32\spoolsv.exe
I:\WINDOWS\Explorer.EXE
I:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
I:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
I:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBIE.EXE
I:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe
I:\WINDOWS\system32\ctfmon.exe
I:\WINDOWS\ATKKBService.exe
I:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
I:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
I:\Program Files\CDBurnerXP Pro 3\Tools\NMSAccess.exe
I:\WINDOWS\system32\svchost.exe
I:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
I:\Program Files\Alwil Software\Avast4\ashWebSv.exe
I:\Program Files\Trend Micro\HijackThis\HijackThis.exe
I:\Program Files\Internet Explorer\IEXPLORE.EXE

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: Shell=
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - I:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - i:\program files\google\googletoolbar2.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - I:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - I:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - I:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - i:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [avast!] I:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "I:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [EPSON Stylus DX6000 Series] I:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBIE.EXE /FU "I:\WINDOWS\TEMP\E_S16B.tmp" /EF "HKLM"
O4 - HKLM\..\Run: [WinAVX] I:\WINDOWS\system32\WinAvXX.exe
O4 - HKLM\..\Run: [Adobe Photo Downloader] "I:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [SoundMax] "I:\Program Files\Analog Devices\SoundMAX\smax4.exe" /tray
O4 - HKLM\..\Run: [QuickTime Task] "I:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [ctfmon.exe] I:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "I:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [BitTorrent] "I:\Program Files\BitTorrent\bittorrent.exe" --force_start_minimized
O4 - HKCU\..\Run: [updateMgr] I:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_9
O4 - HKCU\..\Run: [WinAVX] I:\WINDOWS\system32\WinAvXX.exe
O4 - HKCU\..\Run: [swg] I:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] I:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] I:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] I:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] I:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Reader Speed Launch.lnk = I:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O7 - HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://I:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - I:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - I:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - I:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - I:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - I:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - I:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - I:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx1.mail.live.com/mail/w1/resources/MSNPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
O16 - DPF: {9122D757-5A4F-4768-82C5-B4171D8556A7} (PhotoPickConvert Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/PhotoSwap/PhtPkMSN.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{1F52E493-5F6F-4775-AA2B-23C74A066D83}: NameServer = 85.255.114.24,85.255.112.235
O17 - HKLM\System\CCS\Services\Tcpip\..\{F1549E2A-0829-4476-B1AF-9792FB68D3C3}: NameServer = 85.255.114.24,82.255.112.235
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.114.24 85.255.112.235
O17 - HKLM\System\CS1\Services\Tcpip\..\{1F52E493-5F6F-4775-AA2B-23C74A066D83}: NameServer = 85.255.114.24,85.255.112.235
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.114.24 85.255.112.235
O17 - HKLM\System\CS2\Services\Tcpip\..\{1F52E493-5F6F-4775-AA2B-23C74A066D83}: NameServer = 85.255.114.24,85.255.112.235
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.114.24 85.255.112.235
O20 - AppInit_DLLs: I:\WINDOWS\system32\systems.txt
O21 - SSODL: SrvUnknown - {2918a56a-9848-425e-b4d7-1c15a56c9505} - I:\WINDOWS\Installer\{2918a56a-9848-425e-b4d7-1c15a56c9505}\SrvUnknown.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - I:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - I:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - I:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - I:\WINDOWS\ATKKBService.exe
O23 - Service: avast! Antivirus - ALWIL Software - I:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - I:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - I:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Google Updater Service (gusvc) - Google - I:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - I:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - I:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
O23 - Service: NMSAccess - Unknown owner - I:\Program Files\CDBurnerXP Pro 3\Tools\NMSAccess.exe
A voir également:

48 réponses

Précédent
Réponse 41 / 48
JiP_95
 
Bonsoir,

Eh bien les nouvelles sont bonnes ! Ce qui reste ne mérite plus la dénomination de problème...

Il reste explorer.exe qui cherche à accéder à Internet deux fois à l'ouverture de session (veut accéder à 127.0.0.1 port 1035 et à 239.255.255.250 port 1900 mais là ça me dépasse largement). Pour l'instant, je lui bloque l'accès aevc ZA en attendant de savoir si je dois autoriser ou interdire définitivement

Il y a peut être un lien avec la clé O24 qui refuse de partir. Comment arrete-ton le service et lequel ?

L'incident est bientôt résolu. Restera le nettoyage.

Un grand merci encore. Quelle patience et quelle assiduité ! Une passion d'informaticien ?

A+
0
Réponse 42 / 48
Regis59 Messages postés 21143 Date d'inscription   Statut Contributeur sécurité Dernière intervention   1 322
 
Super, ca me fait plaisir :)

Pour informations sur tes questions: 

C'est un multicast local qui est est utilise par UPnP pour annoncer la presence de la machine sur le reseau.

Le texte de specs:

239.255.0.0/16 is defined to be the IPv4 Local Scope. The Local
Scope is the minimal enclosing scope, and hence is not further
divisible. Although the exact extent of a Local Scope is site
dependent, locally scoped regions must obey certain topological
constraints. In particular, a Local Scope must not span any other
scope boundary. Further, a Local Scope must be completely contained
within or equal to any larger scope. In the event that scope regions
overlap in area, the area of overlap must be in its own local scope.
This implies that any scope boundary is also a boundary for the Local
Scope. The more general topological requirements for administratively
scoped regions are discussed below.


Donc en gros c'est normal que ca sorte, mais c'est comme une adresse en 192.168.*, ca doit pas se faire router sur le net. Il se trouve que certains routeurs commerciaux ont un bug dans le sens ou ils ne respectent apparement pas les specs et routent les paquets de ce genre sur le net. En gros, c'est utilise par WinXP+ pour decouvrir d'autre “device”, ordinateurs ou pas, presents sur le reseau et c'est une requete specifique au reseau LOCAL, mais independant de l'ip de la machine (ce qui est malin parceque si le pc est directement dehors avec un masque en 255, on peut pas faire du bcast base sur l'ip). Pas de quoi s'inquieter quoi...


Enfin, l'adresse 127.0.0.1 est appelée adresse de rebouclage (en anglais loopback), car elle désigne la machine locale (en anglais localhost).


Alors, pour arreter le service:

¤Arrête ces services :

Clique sur Démarrer->exécuter->tape: services.msc

Double-clique: Service: Desktop Component 0

Règle-le sur "Arrêté" et "Désactivé".

Je ne suis pas informaticien du tout, comme tout membre ici. Des passionnés d'informatique ! Personnellement, je suis etudiant en commerce pour l'instant et j'envisage de travailler dans l'info... :)

A+
0
Réponse 43 / 48
JiP_95
 
Je n'ai pas de service Desktop Component 0 dans services.msc. Une autre solution ?

Pour les connexion d'explorer.exe, j'ai compris que je devais autoriser l'accès, mais j'ai pas vu la fin des phrases trop longues
(notamment le 192.168.*, ça doit???).

A+
0
Réponse 44 / 48
Regis59 Messages postés 21143 Date d'inscription   Statut Contributeur sécurité Dernière intervention   1 322
 
C'est le bureau, met un fond d ecran d une image du net pour voir si elle s affiche.

Tu peux utiliser en tout cas :)
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 45 / 48
JiP_95
 
Ben oui, j'ai maintenant une belle plage paradisiaque sous les yeux... selectionnée sur le Net, mais pas de desktop service 0.
Ca ne doit pas être bien génant... celle clé inutile.

Pour moi, ça marche bien désormais :) Je ne pense pas qu'il y ait encore beaucoup de choses à faire.

Bon, j'autorise explorer dans ZA et je supprime l'arsenal de désinfection ? ou je le garde sous le coude sur une clé USB ?
0
Réponse 46 / 48
Regis59 Messages postés 21143 Date d'inscription   Statut Contributeur sécurité Dernière intervention   1 322
 
lol Super !

Soit tu les supprimes manuellement avec les rapports générés ou je te file un programme qui le fera automatiquement, comme tu veux !?

A+
0
Réponse 47 / 48
JiP_95
 
Bonjour.

Merci beaucoup pour ton aide et ta persévérance.
J'ai commencé la désinstallation à la main : c'est pas sorcier. Quant aux logs, je les avais conservés dans un dossier.

Comme tout fonctionne, je vais passer l'incident à résolu. J'ai compris qu'il me reste à résumer l'opération. Je le ferai ce week-end.

Bon courage avec les autres demandeurs d'aide !

Cordialement
0
Réponse 48 / 48
Regis59 Messages postés 21143 Date d'inscription   Statut Contributeur sécurité Dernière intervention   1 322
 
Salut

Content que le soucis soit résolu !

Merci pour ta patience et ta perséverence!

Au plaisir de t'aider :)

A+
0

Discussions similaires

Softonic,est-ce un virus ?
techmel1 -
techmel1 -

6 réponses
Désinstaller Softonic
Diguimette -
lilidurhone -

5 réponses
virus Artemis!
mabiche37 -
Malekal_morte- -

14 réponses
Message Apple virus !!
Souclik67 -
MPMP10 -

3 réponses