Bonjour, Voila mon petit probleme j'ai utilise bon nombre de logiciel de securite en tous genre , Avast, Avg, Spybot, Ad-aware, AVG anti spyware. Apres cela mon pc a l'air clean mais dans mon gestionnaire j'ai plein de processus appeler IEXPLORER.EXE qui me mange de memoire et l'UC j'ai beau les refermer sa revient sans cesse. Le parefeu sunbelt me bloque deux prog MPEGMANE.EXE et un autre du style URTUKE.EXE qui apres recherche son introuvable. Je ne sais plus quoi faire. SVP un petit conseil me serais tres utile. Je transmet un log hijackthis si saa peu etre utile merci d'avance Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 23:39:49, on 07/02/2008 Platform: Windows XP (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 (6.00.2600.0000) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\System32\nvsvc32.exe C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe C:\Program Files\Internet Explorer\IEXPLORE.EXE C:\Program Files\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.orange.fr/portail R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll O2 - BHO: (no name) - {7D9362F8-77D8-4b29-97B5-621D550890C0} - (no file) O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKCU\..\Run: [platform 32] C:\DOCUME~1\admin\APPLIC~1\GLUEDE~1\mpegamen.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab O16 - DPF: {7FC1B346-83E6-4774-8D20-1A6B09B0E737} (Windows Live Photo Upload Control) - http://cid-cec3165cd19bae0e.spaces.live.com/PhotoUpload/MsnPUpld.cab O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - http://messenger.zone.msn.com/binary/ZIntro.cab56649.cab O16 - DPF: {BA162249-F2C5-4851-8ADC-FC58CB424243} (Image Uploader Control) - http://copainsdavant.linternaute.com/... O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game08.zylom.com/activex/zylomgamesplayer.cab O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

Salut G!rly Rien que çà... !? mdr Pour ce soir se sera 6 sur les 9 (SnapShotB n'existe plus) si tu veux bien, ça marche pour toi ? Les 3 autres étants plus complexe à expliquer et là je dois t'avouer que ce soir je n'ai plus assez de temps et suis trop crevé pour pouvoir entrer dans les détails et te les décrire précisément donc je préfère m'abstenir. Je suppose que tu sais que l'emploi de certaines commandes dans une utilisation inadaptée peut engendrer de gros gros dégats et peuvent aussi être modifiées par l'auteur à tout moment... Donc prudence toujours et bonne lecture :-) @++ FileLook:: Permet à Combofix d'afficher dans le rapport les propriétés avancées d'un fichier d'extension exe, dll ou OCX En cas de doute sur un fichier repéré dans le rapport, ça donne la possibilité d'avoir un aperçu de la légitimité d'un fichier et de pouvoir plus facilement déterminer s'il est utile de le faire analyser par exemple. Contenu de CFscript.txt : Filelook:: C:\SimCity 4.exe <- indiquer le chemin complet du fichier Résultat dans le rapport ComboFix : (((((((((((((((((((((((((((((((((((((((((((( Look ))))))))))))))))))))))))))))))))))))))))))))))))))))))))) . ---- C:\SimCity 4.exe ---- Company: Maxis File Description: SimCity 4 File Version: 1.1.610.0 Product Name: Copyright: Copyright ¸ 2002 Maxis. All Rights Reserved Original file name: SimCity 4.exe DirLook:: Cette commande permet d'afficher dans le rapport le listing du contenu d'un dossier. C'est à dire les fichiers qu'il contient ainsi que le contenu de tous ses sous-dossiers. Contenu de CFscript.txt : DirLook:: C:\SDFix <- indiquer le chemin complet du dossier Résultat dans le rapport ComboFix : (((((((((((((((((((((((((((((((((((((((((((( Look ))))))))))))))))))))))))))))))))))))))))))))))))))))))))) . ---- Directory of C:\SDFix ---- 2007-10-25 17:32 12334648 --a------ C:\SDFix\sav32sfx.exe 2007-10-23 02:32 94208 --a------ C:\SDFix\apps\Replace\XP.exe 2007-10-23 02:32 94208 --a------ C:\SDFix\apps\Replace\W2K.exe 2007-10-23 02:32 932 --a------ C:\SDFix\apps\FixWebCheck.reg 2007-10-23 02:32 90112 --a------ C:\SDFix\apps\RegDACL.exe 2007-10-23 02:32 8192 --a------ C:\SDFix\apps\RestartIt!.exe 2007-10-23 02:32 814 --a------ C:\SDFix\apps\HPFix.reg 2007-10-23 02:32 7599 --a------ C:\SDFix\apps\legacybk.txt 2007-10-23 02:32 7599 --a------ C:\SDFix\apps\legacy.txt 2007-10-23 02:32 6656 --a------ C:\SDFix\apps\MD5File.exe 2007-10-23 02:32 61440 --a------ C:\SDFix\apps\psservice.exe 2007-10-23 02:32 61440 --a------ C:\SDFix\apps\download.exe 2007-10-23 02:32 59200 --a------ C:\SDFix\apps\FIXLM.reg 2007-10-23 02:32 591 --a------ C:\SDFix\apps\FixRedir.reg 2007-10-23 02:32 5768 --a------ C:\SDFix\apps\Restore_SharedAccess.reg 2007-10-23 02:32 49152 --a------ C:\SDFix\apps\SF.exe 2007-10-23 02:32 49152 --a------ C:\SDFix\apps\LS.exe 2007-10-23 02:32 41472 --a------ C:\SDFix\apps\WINMSG.EXE 2007-10-23 02:32 4120 --a------ C:\SDFix\apps\fix.reg 2007-10-23 02:32 40960 --a------ C:\SDFix\apps\swsc.exe 2007-10-23 02:32 4090 --a------ C:\SDFix\apps\ERUNT.LOC 2007-10-23 02:32 38400 --a------ C:\SDFix\apps\moveex.exe 2007-10-23 02:32 376 --a------ C:\SDFix\apps\FixXPsp2.reg 2007-10-23 02:32 374 --a------ C:\SDFix\apps\MyGcpvFix.reg ... ADS:: Cette commande permet de supprimer un flux ADS greffé sur un fichier porteur. Un peu de lecture avant, pour se familiariser avec la bête :-) : http://assiste.com.free.fr/p/abc/a/ads_alternate_data_stream.html http://www.heysoft.de/nt/ntfs-ads.htm Exemple: Le fichier C:\Porteur.exe contient un flux nommé "qetchua" (Souvent mentionnés de cette façon dans la plupart des rapport AV -> C:\Porteur.exe:qetchua ) Contenu de CFscript.txt : ADS:: C:\Porteur.exe <- Seul le chemin et le nom du fichier porteur doivent être mentionnés mais pas le nom du flux. Résultat dans le rapport ComboFix : Running from: C:\Documents and Settings\bOo\Bureau\ComboFix.exe Command switches used :: C:\Documents and Settings\bOo\Bureau\cfscript.txt * Created a new restore point . [i] ADS - Porteur.exe: deleted 21 bytes in 1 streams./i <- L'ADS a bien été détecté et supprimé par ComboFix NetSvc:: Cette commande permet de supprimer un service infectieux de la liste du groupe NetSvc, chargé par Svchost.exe: Clé concerné: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost] "NetSvc" http://support.microsoft.com/kb/314056/fr Exemple concret d'utilisation par Noahdfear ici : https://forum.adaware.com/index.php?/topic/14404-got-an-adware-yesterday/#entry62817 Et d'un exemple récent ou il aurait pu être utilisé: http://www.commentcamarche.net/forum/affich 4773527 virus#2 Contenu de CFscript.txt : NetSvc:: ruupbrdg <- Seul le nom du service est accepté killall:: Cette commande permet de tuer absolument tous les processus actifs, ceux des AV y compris. Exceptés les processus vitaux à Windows et utiles à Combofix : C:\Windows\explorer.exe C:\Windows\system32\smss.exe C:\Windows\system32\csrss.exe C:\Windows\system32\winlogon.exe C:\Windows\system32\services.exe C:\Windows\system32\lsass.exe C:\Windows\system32\svchost.exe C:\Windows\system32\dmadmin.exe C:\Windows\system32\kmd.exe C:\Combofix\catchme.cfexe + pour Vista C:\Windows\system32\wininit.exe C:\Windows\system32\lsm.exe C:\Windows\system32\dwm.exe Commande à placer en début de script, tel quel. Contenu de CFscript.txt : Killall:: File:: C:\virus_inconnu_en cours_d'utilisation.exe Cette commande entrainera un reboot systématique du pc à la fin du scan de Combofix. Suspect:: Cette commande permet de pouvoir collecter un fichier suspect/inconnu repéré dans le rapport en vue de le soumettre à l'équipe de Bleeping Computer pour analyse. Contenu de CFscript.txt : Suspect:: C:\bizaroïde.exe Le fichier en question ne sera pas supprimé ni renommé, mais une copie zippé en sera faite et enregistrée sur le bureau, sous le nom : [4]-Submit_aaaa-mm-jj@hh-mm.zip Un formulaire d'upload (CF-Submit.html) sera alors proposé par le biais du navigateur et d'une page html, pour transmettre le fichier : http://cjoint.com/data/ckxAULFjVY.htm Le fichier CF-Submit.html présent sur le bureau, peut ensuite être supprimé. La commande Collect:: très similaire à celle-ci, permet aussi de collecter un fichier à la différence que celui-ci sera supprimé de son emplacement (backupé ensuite dans le dossier C:\Qoobox\Quarantine) après que ComboFix en ait fait une copie zippé sur le bureau.

IEXPLORER virus ?????

Réponse 41 / 53

drago0607 Messages postés 150 Statut Membre 27

voila c'est fais on a fini ????

Réponse 42 / 53

moe

Je crois bien que oui :-) A moins qu'entre temps un nouveau problème soit apparu ?

@++ et bon surf :-)

Réponse 43 / 53

Utilisateur anonyme

bravo!

Réponse 44 / 53

drago0607 Messages postés 150 Statut Membre 27

non rien de plus n'est apparu. tous va pour le mieux

Je tiens a tous vous remercier pour votre gentillesse votre patience votre bonne humeur et aussi votre enorme savoir faire je pensai devoir tous formater mais grace a vous je revis. Merci encore et j'espere pouvoir un jour vous rendre l'appareil meme si cela me semble dur vu votre" niveau de competence. Bon surf que votre vie soit douce et belle @++

Réponse 45 / 53

moe

Salut Drago, quickyland

De rien sincèrement, et content pour toi que ce problème ait pu être résolu sans passer par le formatage que tu envisageais :-)

Bon surf que votre vie soit douce et belle
Merci, en tout cas pour toi avec un mariage en vue, c'est bien partis pour qu'elle soit douce et belle pour un long moment :-)

Bon surf à toi.

@++

Réponse 46 / 53

drago0607 Messages postés 150 Statut Membre 27

merci @++

Réponse 47 / 53

g!rly Messages postés 18462 Statut Contributeur 407

Bonsoir a vous deux,

Je suis bien contente que le probleme soit resolu ;-)

Par drago0607,

Bonne continuation et mes meilleurs voeux pour le marraige ;-)

Moe,

Pour en revenir a mes questions sur combofix :

Aurais tu la gentillesse de m´expliquer a quoi servent ces fonctions :

FileLook::
DirLook::
ADS::
Suspect::
System.Ini::
NetSvc::
SnapShot::
SnapShotB::
killall::
Rootkit::

Ca fait beaucoups, je reconnais; mais vu que les infos sur combofix sont tellement dure a se procurer, j´en fais appel a tes connaissances...

Merci ;-)

Bonne soirée`

@+

Réponse 48 / 53

drago0607 Messages postés 150 Statut Membre 27

merci G!rly

Réponse 49 / 53

g!rly Messages postés 18462 Statut Contributeur 407

Salut moe,

Quelle chance de t´avoir ;-)

Désolé pour le travail supplementaire/ heures supplementaires, que je t´ai faire ici.

Toutes les informations que tu as fournies ici sont vraiment super bien expliquées; ) ca va surement m´aider, enfin c´est meme sûr! et d´autres par la meme occasion...

Je me demande où est ce que tu va chercher tout ca?!? lol

L´Alternate Data Stream expliqué sur le site d´assiste.com est vraiment tres interressant !

Noahdfear est vraiment tres fort !

J´ai par la meme occasion decouvert son outil SmitRem.

Commande :

Genial:: Permet a g!rly de dire a moe qu´il est formidable !

Résultat dans le rapport ComboFix :

(((((((((((((((((((((((((((((((((((((((((((((( Genial ))))))))))))))))))))))))))))))))))))))))))))))))))))))

-------------------------------------------moe is great---------------------------------------------------

Merci beaucoups :D

Bonne soirée/nuit.

@+

Réponse 50 / 53

moe

Hello G!rly,

Hé bien, j'étais loin de me douter que ces quelques explications te feraient autant plaisir !
Bah tu me vois sincèrement ravi et content pour toi si j'ai pu contribuer à te permettre de mieux les comprendre, c'était tout sauf du travail supplementaire, t'inquiètes pas pour ça... Au contraire :-)
Lol, j'espère que tu t'es amusée en essayant de camoufler quelques fichiers avec les ADS, interessant et...Pratique comme cachette n'est-ce pas ? :-P
Je plaisante, pour ma part ça me fait plaisir de constater que cela t'as donné aussi en plus l'envie de creuser certains autres sujets en parallèle et j'espère que ces recherches te profiteront au mieux.

Merci:: à toi G!rly ;-)

@++

Réponse 51 / 53

g!rly Messages postés 18462 Statut Contributeur 407

Salut Moe,

Bah oui tu voie il m´en faut "peu"; non vraiment je le répete, c´etait tres complet ;-)

Oui l´AdS c´est marrant, mais pour effacer les fichiers crés; c´est un peu moins marrant quand meme lol

@ une prochaine :D

Merci`

Bonne soirée`

Réponse 52 / 53

titeuf974

voila,j'ai installer pilote et logiciel pour une webcam trust et j'arrive pas et les désinstaler de mon pc
jeu peu desinstaler Trust Wb-1200p Mini Webcam
et je peu pas desinstaler USB PC Camera (zs0211)

Réponse 53 / 53

g!rly Messages postés 18462 Statut Contributeur 407

Bonjour,

Il serait préférable que tu fasses ton message personnel, cela rendra les postes plus compréhensibles et la réponse à ton problème sera plus efficace
Procèdes comme ceci :
http://pageperso.aol.fr/balltrap34/demofairesontmessage.htm

A bientôt ''

IEXPLORER virus ????? - Page 3

Discussions similaires

Newsletters