Rapport Hijacki Résolu/Fermé

Question

Bonjour,
    j'ai un virus que je n'arrive pas à enlever. J'ai lancer un hijacki et voilà le rapport : Qu'en pensez-vous?
Merci d'avance.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:59:35, on 03/02/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\windows\System32\smss.exe
C:\windows\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\svchost.exe
C:\windows\System32\svchost.exe
C:\windows\system32\spoolsv.exe
C:\windows\system32\svchost.exe
C:\windows\Explorer.EXE
C:\windows\SOUNDMAN.EXE
C:\windows\system32\ctfmon.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\windows\system32\CNAB4RPK.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Bencheikh\Local Settings\Temporary Internet Files\Content.IE5\NZTVF5OW\HiJackThis[1].exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: PDFCreator Toolbar Helper - {C451C08A-EC37-45DF-AAAD-18B51AB5E837} - C:\Program Files\PDFCreator Toolbar\v3.0.0.0\PDFCreator_Toolbar.dll
O3 - Toolbar: PDFCreator Toolbar - {31CF9EBE-5755-4A1D-AC25-2834D952D9B4} - C:\Program Files\PDFCreator Toolbar\v3.0.0.0\PDFCreator_Toolbar.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Athan] H:\Athan\Athan.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "D:\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\windows\system32\ctfmon.exe
O4 - HKCU\..\Run: [SuperCopier2.exe] d:\SuperCopier2\SuperCopier2.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Rainlendar2] d:\Rainlendar2\Rainlendar2.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [avpa] C:\WINDOWS\system32\avpo.exe
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://D:\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - http://www.adobe.com/products/acrobat/nos/gp.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{CC4AC079-DFA2-46B8-9046-18B7570DDA32}: NameServer = 212.217.0.3 196.217.246.210
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exe

jorginho67 · Answer

Salut !
HijackThis est mal placé puisqu'il se situe dans le dossier Local Settings\Temporary Internet Files\ ce qui signifie une non-disponibilité des backups en cas de soucis.
Crée un dossier nommé HijackThis à la racine de C:\ dans le quel tu placeras HijackThis. 
réinstale le, si tu n'y arrive pas, refais la manip correctement en le téléchargent à nouveau !

Télécharge HIJACKTHIS en cliquant sur ce lien
 http://www.commentcamarche.net/telecharger/telecharger 159 hijackthis

Enregistre HJTInstall.exe sur ton bureau.
 Double-clique sur HJTInstall.exe pour lancer le programme

Par défaut, il s'installera là :
C:\Program Files\HijackThis\HijackThis.exe 

Accepte la license en cliquant sur le bouton "I Accept"
Choisis l'option "Do a system scan and save a log file"
 Clique sur "Save log" pour enregistrer le rapport qui s'ouvrira avec le bloc-note
Clique sur "Edition" ->> "Sélectionner tout", puis sur "Edition" -> Copier" pour copier tout le contenu du rapport

@ suivre.....

ghiz · Answer

Je l'ai réinstaller mais losque je clique dessus un message d'erreur s'affiche disant que "hijackiThis.exe n'est pas une application win32 valide".

jorginho67 · Answer

bon, on reprends a zéro !
On va supprimer HJT avec cet outil Tools cleaner , et ensuite tu reéssaieras comme indiqué plus haut ! !

Télécharge ToolsCleaner de A.Roshtein sur ton Bureau.
   
Double-clique sur ToolsCleaner2.bat et laisse le travailler. 
Clique sur Recherche et laisse le scan se terminer.
Clique, sur Suppression pour finaliser.
Tu pourras, si tu le souhaites, te servir des Options facultatives.
Clique sur quitter, pour que le rapport puisse se créer.

Ferme le rapport qui s'ouvre, et poste le dans ta prochaine réponse.
  Il se trouve a la racine du disque C:\TCleaner.txt

ghiz · Answer

Voilà le rapport :
-->- Recherche: 

C:\HijackThis.exe: trouvé !
C:\HJTInstall.exe: trouvé !
C:\Documents and Settings\All Users\Bureau\Navilog1.lnk: trouvé !
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis: trouvé !
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Navilog1: trouvé !
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis\HijackThis.lnk: trouvé !
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Navilog1\Navilog1.lnk: trouvé !
C:\Documents and Settings\Bencheikh\Bureau\HijackThis.lnk: trouvé !
C:\Documents and Settings\Bencheikh\Bureau\SmitFraudfix: trouvé !
C:\Documents and Settings\Bencheikh\Recent\HijackThis.lnk: trouvé !
C:\Nouveau\HijackThis.exe: trouvé !
C:\Nouveau dossier\HijackThis.exe: trouvé !
C:\Program Files\Navilog1: trouvé !
C:\Program Files\Navilog1\Navilog1.bat: trouvé !
C:\Program Files\Trend Micro\HijackThis: trouvé !
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe: trouvé !

---------------------------------
-->- Suppression: 

C:\HijackThis.exe: supprimé !
C:\HJTInstall.exe: supprimé !
C:\Documents and Settings\All Users\Bureau\Navilog1.lnk: supprimé !
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis\HijackThis.lnk: supprimé !
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Navilog1\Navilog1.lnk: supprimé !
C:\Documents and Settings\Bencheikh\Bureau\HijackThis.lnk: supprimé !
C:\Documents and Settings\Bencheikh\Recent\HijackThis.lnk: supprimé !
C:\Nouveau\HijackThis.exe: supprimé !
C:\Nouveau dossier\HijackThis.exe: supprimé !
C:\Program Files\Navilog1\Navilog1.bat: supprimé !
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe: supprimé !
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis: supprimé !
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Navilog1: supprimé !
C:\Documents and Settings\Bencheikh\Bureau\SmitFraudfix: supprimé !
C:\Program Files\Navilog1: Erreur de suppression !
C:\Program Files\Trend Micro\HijackThis: supprimé !

jorginho67 · Answer

Hou là, il y en avait des choses.... Navilog1, SmitFraudfix... tu t'en etais déjà servi ? j'ai un virus que je n'arrive pas à enlever qui te le dit ??? BON, on reprends ! suis bien les instructions stp. Télécharge 159 hijackthis HIJACKTHIS << en cliquant ici . Enregistre HJTInstall.exe sur ton bureau. Double-clique sur HJTInstall.exe pour lancer le programme Par défaut, il s'installera là : C:\Program Files\HijackThis\HijackThis.exe Accepte la license en cliquant sur le bouton "I Accept" Choisis l'option "Do a system scan and save a log file" Clique sur "Save log" pour enregistrer le rapport qui s'ouvrira avec le bloc-note Clique sur "Edition" ->> "Sélectionner tout", puis sur "Edition" -> Copier" pour copier tout le contenu du rapport @ suivre....

ghiz · Answer

Toujours le même message d'erreur "C:\Program Files\HijackThis\HijackThis.exe n'est pas une application Win32 valide"

jorginho67 · Answer

derme... je viens de tester chez moi, et çà marche ...
essaye ici http://www.commentcamarche.net/telecharger/telecharger 159 hijackthis et clic sur telechargement d' Hijackthis

ensuite Double clic sur l'cone, et install, Choisis l'option "Do a system scan and save a log file"
Clique sur "Save log" pour enregistrer le rapport qui s'ouvrira avec le bloc-note
Clique sur "Edition" ->> "Sélectionner tout", puis sur "Edition" -> Copier" pour copier tout le contenu du rapport

ghiz · Answer

C tjrs la même chose et c pas la seule application qui donne cet erreur, même chose losque je veux lancer mon anti virus, il affiche le même erreur,avec antivir, Avast tjrs la même chose.

ghiz · Answer

C pour ça que je avais lancé Hijacki directement à partir du sitepcq une fois copié ds l'ordinateur il ne marche pas.

jorginho67 · Answer

je crois avoir compris !
Salut ! peut etre le virus ELIBAGLA qui empeche les téléchargements, et arrete les applications de sécurité

 Rends toi sur ce site :
http://www.zonavirus.com/datos/descargas/95/elibagla.asp

tout en bas de cette page tu trouveras un outil à télécharger,clique sur "escargar Elibagla" 
(le numéro de version change au fur et à mesure des mises à jour)
installe ce fichier sur le bureau.
ensuite double-clic sur Elibagla.exe
> laisse la case "eliminar ficheros automaticamente" cochée
> clique sur"explorar"
> laisse-le travailler
> poste le rapport final qui se trouve  dans c:\infosat.txt

to be continued.....

ghiz · Answer

Je vous remercie pour votre aide, j'ai lancer en mode sans échec et il a suprimer pas mal de chose. voilà le rapport qu'il a fournit :


	  Tue Feb 05 00:27:19 2008
EliBagle v10.97  (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle.dldr Acceso Denegado.
Restaurada Clave: "SafeBoot\Minimal y Network"

	  Tue Feb 05 00:27:49 2008
EliBagle v10.97  (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Nº Total de Directorios:   2447
Nº Total de Ficheros:      26086
Nº de Ficheros Analizados: 6789
Nº de Ficheros Infectados: 1
Nº de Ficheros Limpiados:  0

	  Tue Feb 05 00:53:25 2008
EliBagle v10.97  (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Eliminado Bagle
C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Eliminado Bagle (rootkit)
C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Eliminado Bagle.dldr

	  Tue Feb 05 00:53:29 2008
EliBagle v10.97  (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
C:\Program Files\Navilog1\Backupnavi\HLDRRR.EXE --> Eliminado Bagle.dldr
C:\WINDOWS\system32\MDELK.EXE --> Eliminado Bagle
C:\WINDOWS\system32\drivers\down\14545546.EXE --> Eliminado Bagle
C:\WINDOWS\system32\drivers\down\14585593.EXE --> Eliminado Bagle
C:\WINDOWS\system32\drivers\down\14630937.EXE --> Eliminado Bagle
C:\WINDOWS\system32\drivers\down\14667953.EXE --> Eliminado Bagle
C:\WINDOWS\system32\drivers\down\29255781.EXE --> Eliminado Bagle

Nº Total de Directorios:   2454
Nº Total de Ficheros:      26220
Nº de Ficheros Analizados: 6822
Nº de Ficheros Infectados: 7
Nº de Ficheros Limpiados:  7

	  Tue Feb 05 01:04:05 2008
EliBagle v10.97  (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):

	  Tue Feb 05 01:04:06 2008
EliBagle v10.97  (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Nº Total de Directorios:   2454
Nº Total de Ficheros:      26215
Nº de Ficheros Analizados: 6815
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados:  0

ghiz · Answer

J'ai lancer le Hijacki et il a bien marcher cette fois voilà le rapport :  (Qu'est ce que vous en pensez?)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 01:13:57, on 05/02/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\windows\System32\smss.exe
C:\windows\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\svchost.exe
C:\windows\System32\svchost.exe
C:\windows\system32\spoolsv.exe
C:\windows\Explorer.EXE
C:\windows\system32\svchost.exe
C:\windows\system32\CNAB4RPK.EXE
C:\windows\system32\wuauclt.exe
C:\windows\SOUNDMAN.EXE
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\windows\system32\ctfmon.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\windows\system32	askmgr.exe
C:\windows\system32\wuauclt.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.co.ma/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: PDFCreator Toolbar Helper - {C451C08A-EC37-45DF-AAAD-18B51AB5E837} - C:\Program Files\PDFCreator Toolbar\v3.0.0.0\PDFCreator_Toolbar.dll
O3 - Toolbar: PDFCreator Toolbar - {31CF9EBE-5755-4A1D-AC25-2834D952D9B4} - C:\Program Files\PDFCreator Toolbar\v3.0.0.0\PDFCreator_Toolbar.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "D:\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\windows\system32\ctfmon.exe
O4 - HKCU\..\Run: [SuperCopier2.exe] d:\SuperCopier2\SuperCopier2.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Rainlendar2] d:\Rainlendar2\Rainlendar2.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [avpa] C:\WINDOWS\system32\avpo.exe
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://D:\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - http://www.adobe.com/products/acrobat/nos/gp.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{CC4AC079-DFA2-46B8-9046-18B7570DDA32}: NameServer = 212.217.0.3 196.217.246.210
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - D:\Sunbelt Software\Personal Firewall\kpf4ss.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exe

jorginho67 · Answer

C'est bien ce que je pensais, le virus bagle...
je regarde ça en détail, je te donnerais la suite demain, il se fait tard !

à+

ghiz · Answer

Ok, merci beaucoup!

jorginho67 · Answer

re: 
du coup, c'est plus rapide que prévu, mais bon, fais ça demain si tu préferes !
autre chose, ton FAI  est bien AFRINIC-NET- ??

Relance HijackThis, choisis "do a scan only" 
coche la case devant les lignes ci-dessous et clic en bas sur "fix checked".
O4 - HKCU\..\Run: [avpa] C:\WINDOWS\system32\avpo.exe
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe 
Fixer les lignes " http://pageperso.aol.fr/balltrap34/demohijack.htm
Générer un rapport" http://pageperso.aol.fr/balltrap34/demohijack.htm 

Ensuite :
Télécharge OTMoveIt (de Old_Timer) sur ton Bureau.
double-clique sur OTMoveIt.exe pour le lancer.
copie la liste qui se trouve en citation ci-dessous,
et colle-la dans le cadre de gauche de OTMoveIt : Paste List of Files/Folders to be moved.

C:\WINDOWS\system32\amvo.exe 
 C:\WINDOWS\system32\avpo.exe 
    
clique sur MoveIt! pour lancer la suppression.
le résultat apparaitra dans le cadre "Results".
clique sur Exit pour fermer.
poste le rapport situé dans C:\_OTMoveIt\MovedFiles.
il te sera peut-être demander de redémarrer le pc pour achever la suppression.
si c'est le cas accepte par Yes. 

refais moi un nouveau rapport HJT's après ces manips


to be continued.......

ghiz · Answer

Salut,
Je vous remercie beaucoup pour votre aide, je crois que c bon maintenant, mon Pc est redevenu comme avant.
voilà le rapport Hijacki :
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:42:27, on 06/02/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\windows\System32\smss.exe
C:\windows\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\svchost.exe
C:\windows\System32\svchost.exe
C:\windows\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\windows\Explorer.EXE
C:\windows\system32\CNAB4RPK.EXE
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\windows\SOUNDMAN.EXE
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\windows\system32\ctfmon.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\windows\system32\svchost.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\windows\system32\wuauclt.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avcenter.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avscan.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\windows\system32\wuauclt.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.co.ma/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: PDFCreator Toolbar Helper - {C451C08A-EC37-45DF-AAAD-18B51AB5E837} - C:\Program Files\PDFCreator Toolbar\v3.0.0.0\PDFCreator_Toolbar.dll
O3 - Toolbar: PDFCreator Toolbar - {31CF9EBE-5755-4A1D-AC25-2834D952D9B4} - C:\Program Files\PDFCreator Toolbar\v3.0.0.0\PDFCreator_Toolbar.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "D:\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\windows\system32\ctfmon.exe
O4 - HKCU\..\Run: [SuperCopier2.exe] d:\SuperCopier2\SuperCopier2.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Rainlendar2] d:\Rainlendar2\Rainlendar2.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://D:\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - http://www.adobe.com/products/acrobat/nos/gp.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{CC4AC079-DFA2-46B8-9046-18B7570DDA32}: NameServer = 212.217.0.3 196.217.246.210
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - D:\Sunbelt Software\Personal Firewall\kpf4ss.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exe

jorginho67 · Answer

poste le rapport situé dans C:\_OTMoveIt\MovedFiles. 

tu ne m'as pas répondu a cette question !  ton FAI est bien AFRINIC-NET- ??

si ce n'est pas le cas, il peut s'agir d'un détournement d'IP !

j'attends ta réponse pour finir le traitement.

@+

ghiz · Answer

Salut, 

C quoi AFRINIC-NET? comment je peux le savoire?

Pour le rapport OTMoveIT, il y a une chose que je ne comprends pas, lorsque je l'ai lancé, il a répondu :
File/Folder C:\WINDOWS\system32\amvo.exe not found.
File/Folder C:\WINDOWS\system32\avpo.exe not found.
Created on 02/05/2008 23:16:19

Mais après lorsque j'ai lancer Hijacki une nouvelle fois, les deux fichiers ont disparus. Donc j'ai supposé qu'ils étaient supprimés.

jorginho67 · Answer

Re
C quoi AFRINIC-NET? comment je peux le savoire?   je voulais savoir si c'etait ton FAI ( fournisseur Acces Internet )

vu ta réponse, je pense que non ! tu n'est pas dans un pays d'Afrique du Nord ? ( Tunisie... etc...etc )

ghiz · Answer

Désolée j'avais pas compris la question. 
   Si, je suis d'un pays d'afrique du Nord.

jorginho67 · Answer

Ok, je comprends mieux ! On touche a la fin ! Relance HijackThis, choisis "do a scan only" coche la case devant les lignes ci-dessous et clic en bas sur "fix checked". C:\windows\SOUNDMAN.EXE => Realtek Avance Logic Sound O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe => Ahead Nero Burning Rom Comment fixer les lignes <---- voir ici Générer un rapport <----- voir ici ---------------------------------------------------------------------------------------------------------------------- Je te conseille de copie/coler ce texte et de l'enregister sur ton bureau ! noirci le texte a l'aide de ta souris, puis clic droit > copier! fais un clic droit sur ton bureau et selectionnes > nouveau > doccument texte colles le texte dans le blocnotes ! laisse le sur le bureau . Important: tu n'auras pas accès à Internet à partir du moment ou te redémarrera en mode sans échec Il faut exécuter toutes les étapes, sans interruption, dans l'ordre exact indiqué ci-dessous. Si un élément te paraît obscur, demande des explications avant de commencer la désinfection 1)Télécharge si tu ne les as pas ... CCleaner ici . Choisi de préférence la version SLIM-No Toolbar. Installe-le en prenant soin de décocher les diverses options dont la barre Yahoo et la mise à jour. Lance CCleaner puis Clique sur "Options", "Avancé" et décoche la case "Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures". Pour les autres paramètres, laisse-le avec ses réglages par défaut. Ferme le programme pour l’instant. la version d'essai d 'AVG Anti-Spyware 7.5 TUTO d'installation à lire absolument Installe la puis...Lancer AVG Anti-Spyware. Clique sur le menu Mise à jour. Dans le paragraphe Mise à jour manuelle, cliquer sur le bouton Commencer la mise à jour. Attends la fin de cette mise à jour puis ferme le programme. Ne pas lancer d'analyse maintenant 2) Redémarre en mode sans échec Regarde ici si besoin avant ici : https://www.micro-astuce.com/depannage/demarrer-mode-sans-echec.php Au redémarrage de l'ordinateur, une fois le chargement du BIOS terminé, il y a un écran noir qui apparaît rapidement, appuie sur la touche [F8] (ou [F5] sur certains pc) jusqu'à l'affichage du menu des options avancées de Windows. Sélectionner "Mode sans échec" et appuie sur [Entrée] Il faudra choisir ta session habituelle, pas le compte "Administrateur" ou une autre. Ouvre le document texte sauvegardé sur le Bureau afin de suivre les instructions comme il faut. 3) Lance AVG Anti-Spyware 7.5 Réglages Clique sur le menu Analyse (de la barre d'outils). Clique sur l'onglet Paramètres. Dans Comment réagir? clique sur Actions recommandées et choisir Quarantaine Dans Comment faire l'analyse ? et dans Programmes potentiellement dangereux, vérifier que toutes les cases soient cochées. Dans Rapports cocher "générer un rapport après chaque analyse" Scan Dans l'onglet Analyse Clique sur Analyse complète du système. Important : Ne pas ouvrir de fenêtre, ne pas lancer de programme pendant l'exécution de AVG Anti-Spyware, car cela pourrait interférer avec le processus de recherche. Tres important : A la fin de l'analyse, clique sur " Appliquer toutes les actions" <<----- TRES IMPORTANT Ensuite. Cliquer sur "Enregistrer le rapport". Ceci génère un rapport en fichier texte qui se trouve dans le dossier Reports du dossier d'AVG Anti-Spyware.( C:\Programfiles\Grisoft\AVG Antispyware 7.5\Reports) Puis ferme AVG Anti-Spyware. 4) Suppression de fichiers inutiles avec CCleaner Lance CCleaner en double-cliquant sur son raccourci sur le bureau. Puis dans le menu Nettoyeur Clique sur Analyse (laisser travailler cela peut durer longtemps la 1ere fois) Clique sur le bouton Lancer le nettoyage. Clique une seconde fois sur le bouton Lancer le nettoyage puis ferme CCleaner. 5) Rapports Fais redémarrer le PC en mode normal puis poste en réponse : Le rapport d AVG antispyware 7.5 situé ici C:\Programfiles\Grisoft\AVG Antispyware 7.5\Reports je te donnerai quelques conseils de prévention pour surfer en sécurité . @ +

ghiz · Answer

Bonjour,
Désolée pour ce long retard, j'ai suivi ttes vos instructions, mais l'anti virus n'a pas rénéré de rapport, il a détecté et supprimé dans les environ de 63 menaces mais je n'ai pas trouvé le bouton enregistrer le rapport!

jorginho67 · Answer

Re, 

Tu me referas un rapport Hijackthis stp !

@+

Rapport Hijacki

23 réponses

Discussions similaires