multiple infection"g!rly"

Question

Bonjour,je m'en remet a vous car je suis perdu,je me retrouve avec plusieurs infection dont zlob,kiswin etc..et j'ai perdu mes droits d'admininstrateur(impossible de supprimer ces infections!!j'ai déja posté un message avec un rapport HijackThis et "melquior ma conseillé de contacté g!rly,voila si cette personne peut m'aider,ou une autre se serai trés sympa.Merci d'avance.


je vous poste un rapport:


Logfile of HijackThis v1.99.1
Scan saved at 19:29:27, on 29/02/2008
Platform: Unknown Windows (WinNT 6.00.1904)
MSIE: Internet Explorer v7.00 (7.00.6000.16609)

Running processes:
C:\Program Files\Common Files\LogiShrd\LVCOMSER\LVComSer.exe
C:\Windows\system32\Dwm.exe
C:\Windows\system32	askeng.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\Power Manager\PM.exe
C:\Program Files\Hotkey Management\FuncKey.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Program Files\Spyware Terminator\Spywareterminatorshield.Exe
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Windows\WindowsMobile\wmdSync.exe
C:\Program Files\Common Files\LogiShrd\LComMgr\Communications_Helper.exe
C:\Program Files\Logitech\QuickCam\Quickcam.exe
C:\Program Files\SiteAdvisor\6253\SiteAdv.exe
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\ehome\ehtray.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtMng.exe
C:\Program Files\eBayer 4\ebayer.exe
C:\ProgramData\U3\U3Launcher\LaunchU3.exe
C:\Program Files\Logitech\SetPoint\SetPoint.exe
C:\Windows\System32undll32.exe
C:\Windows\ehome\ehmsas.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosA2dp.exe
C:\Program Files\Common Files\Logishrd\KHAL2\KHALMNPR.EXE
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtHid.exe
C:\Windows\System32\mobsync.exe
C:\Program Files\Common Files\Logishrd\LQCVFX\COCIManager.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtHsp.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosAVRC.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\Windows\system32\conime.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack	osOBEX.exe
C:\Program Files\Internet Explorer\ieuser.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Windows\system32\Macromed\Flash\FlashUtil9e.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\Windows\Explorer.EXE
C:\Users\Greg\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.free.fr/freebox/index.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Windows Internet Explorer optimisé pour MSN
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O1 - Hosts: ::1 localhost
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {089FD14D-132B-48FC-8861-0048AE113215} - C:\Program Files\SiteAdvisor\6253\SiteAdv.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: McAfee SiteAdvisor - {0BF43445-2F28-4351-9252-17FE6E806AA0} - C:\Program Files\SiteAdvisor\6253\SiteAdv.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [PowerManager] C:\Program Files\Power Manager\PM.exe
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32
vsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [FuncKey] "C:\Program Files\Hotkey Management\FuncKey.exe"
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [SpywareTerminator] "C:\Program Files\Spyware Terminator\SpywareTerminatorShield.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Windows Mobile-based device management] %windir%\WindowsMobile\wmdSync.exe
O4 - HKLM\..\Run: [LogitechCommunicationsManager] "C:\Program Files\Common Files\LogiShrd\LComMgr\Communications_Helper.exe"
O4 - HKLM\..\Run: [LogitechQuickCamRibbon] "C:\Program Files\Logitech\QuickCam\Quickcam.exe" /hide
O4 - HKLM\..\Run: [SiteAdvisor] C:\Program Files\SiteAdvisor\6253\SiteAdv.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [Camfrog] "C:\Program Files\Camfrog\Camfrog Video Chat\CamfrogNet.exe" 0 C:\Program Files\Camfrog\Camfrog Video Chat\Camfrog Video Chat.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - Global Startup: Bluetooth Manager.lnk = ?
O4 - Global Startup: eBayer 4.lnk = C:\Program Files\eBayer 4\ebayer.exe
O4 - Global Startup: LaunchU3.exe.lnk = ?
O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Add to Windows &Live Favorites - https://onedrive.live.com/?id=favorites
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32
laapi.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32
apinsp.dll
O11 - Options group: [INTERNATIONAL] International*
O13 - Gopher Prefix: 
O16 - DPF: {512FC5A1-7DE1-43F1-BC0C-371622FCB409} (TotalScan Installer Class) - https://www.pandasecurity.com/en/homeusers/online-antivirus/?ref=activescan
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL
O18 - Protocol: siteadvisor - {3A5DC592-7723-4EAA-9EE6-AF4222BCF879} - C:\Program Files\SiteAdvisor\6253\SiteAdv.dll
O18 - Protocol: wlmailhtml - {03C514A3-1EFB-4856-9F99-10D7BE1653C0} - C:\Program Files\Windows Live\Mail\mailcomm.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - c:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)
O23 - Service: @%SystemRoot%\ehome\ehstart.dll,-101 (ehstart) - Unknown owner - %windir%\system32\svchost.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Program Files\Common Files\Logitech\Bluetooth\LBTServ.exe
O23 - Service: LVCOMSer - Logitech Inc. - C:\Program Files\Common Files\LogiShrd\LVCOMSER\LVComSer.exe
O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - C:\Program Files\Common Files\LogiShrd\LVMVFM\LVPrcSrv.exe
O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Program Files\Common Files\LogiShrd\SrvLnch\SrvLnch.exe
O23 - Service: lxce_device - Lexmark International, Inc. - C:\Windows\system32\lxcecoms.exe
O23 - Service: Planificateur LiveUpdate automatique - Unknown owner - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\qwave.dll,-1 (QWAVE) - Unknown owner - %windir%\system32\svchost.exe (file missing)
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcappcapd.exe" -d -f "%ProgramFiles%\WinPcappcapd.ini (file missing)
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
O23 - Service: @%SystemRoot%\system32\seclogon.dll,-7001 (seclogon) - Unknown owner - %windir%\system32\svchost.exe (file missing)
O23 - Service: SiteAdvisor Service - Unknown owner - C:\Program Files\SiteAdvisor\6253\SAService.exe
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Program Files\Spyware Terminator\sp_rsser.exe
O23 - Service: TOSHIBA Bluetooth Service - TOSHIBA CORPORATION - C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe
O23 - Service: @%ProgramFiles%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - %ProgramFiles%\Windows Media Player\wmpnetwk.exe (file missing)
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

g!rly · Answer

Bonsoir greg jamess.

Ton rapport hijack this ne montre pas d´infection apparente...

Qui est ce qui t´as detecté les trojans et ou?

Peux tu me dire a quoi sert ce programme : C:\Program Files\eBayer4 ?

Puis passes cet anti spyware en mode sans echec et post le rapport ici stp

Mode sans echec : 

Comment redémarrer en mode sans echec? 

   Tu redemarre le pc et tapote la touche F8 des le début de l allumage sans t´arrêter.
   Une fenêtre sur fond noir va s’ouvrir, tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée.
   Une fois sur le bureau si il n y a pas toutes les couleurs et autres c´est normal!
   Ps : si F8 ne marche pas utilise la touche F5.

-> Tuto : 

http://forum.telecharger.01net.com/forum/high-tech/SECURITE/Securite/redemarrer-mode-echec-sujet_1526_1.htm

Ps : mets avg a jour avant de passer en mode sans echec... 

A.V.G :

-> Télécharger AVG Anti-Spyware (ewido)

   http://www.commentcamarche.net/telecharger/telecharger 218 avg anti spyware

-> L´installer.

-> lancer AVG Anti-Spyware et clicker sur le bouton Mise à jour. Patienter...
   
   p.s : si les mises a jours ne se font pas, elles sont telechargable ici :

   http://downloads.ewido.net/avgas-signatures-full-current.exe

-> Sur la page "analyse":

   choisir d´abord l'onglet "paramètres".
   
   sous « Comment réagir » clicker sur « Actions recommandées » et dans le menu déroulant, choisir « Supprimer ».

-> Lancer le scan, (c´est long...).

-> A la fin du scan copier Et coller le rapport ici. 

-> Une aide en image au cas ou :

   Tutoriel d´installation et de parametrages :

   http://www.kachouri.com/tuto/tuto-161-avg-anti-spyware-75-pour-votre-securite.html   

@+

g!rly · Answer

Re,

Télécharge Zeb-Restore http://telechargement.zebulon.fr/zeb-restore.html enregistre ce fichier sur le bureau.

-Clic droit Zeb-Restore.zip ==> Extraire tout choisis comme lieu d'enregistrement le bureau.
-Ouvre le dossier ZR_1.0.0.37 ==> double clic sur Zeb-Restore.exe
- Coche la case devant : Policies
- Ne coche aucune autre case
-Clique sur Restaurer
-Redémarre ton PC

puis

regarde ceci :

https://www.malekal.com/utilisateurs-sessions-windows/

redemarre en mode sans echec et

essaie de creer un autre compte administarteur et supprime celui qui c´est crée

je ne suis pas sur que cela va marcher mais essaie..

greg.jamess · Answer

bonjour g!rly,
j'ai bien suivi tes conseils mais toujours impossible de supprimer cette session!!
Par contre j'ai su en ouvrir une autre avec soit disant des droits,mais dés que j'essaie de supprimer un fichier que me trouve spyware terminator,un msg d'erreur me signal qu'il ne peut pas car le compte manque de droits!!
Je ne sai plus quoi faire,utiliser son pc sans ses droits n'é vraiment pas simple,j'ai éssayé aussi la commande"user passwords2"sans résultat,voila j'arrete la
en tous cas merci

g!rly · Answer

salut greg,

peux tu aller dans le registre avec ton nouveau compte d´administrateur?

demarrer > executer > tape regedit et valid par ok

si tu y arrives navigue jusqu´a cette hierarchie :

HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon

dans le sous dossier UserList en developpant winlogon repère le faut l´administrateur il doit avoir une valeur 1 click droit dessus et modifier et donne lui la valeur 0

dit moi quoi

@+

greg.jamess · Answer

Bonsoir g!rly,
j'arrive à winlogon mais en le developpant il n'y a pas UserList.
J'ai 3 choix:
AutoLogonChecked
GPextentions
Notify

voila,a tu une idée du probléme?

g!rly · Answer

re, 

regardes dans le dossier AutoLogonChecked si tu ne voie pas trace de l´autre administateur...

@+

greg.jamess · Answer

Bonsoir,non je n'ai une ligne dans le dossier AutoLogonChecked  :
(par default)          reg_sz         (valeur non definie)

je sui vraiment perdu!!
je pense meme a reformater,mais c'est quand meme l'extreme!lol

@+

greg.jamess · Answer

je te rajoute se que spyware terminator me dis qund je veu supprimer "kiswin"


Logfile of Spyware Terminator v2.0.0.194 (db:1.0.133.898)
Scan Time: 03/03/2008 01:41:20  length: 475 s
Platform: Windows Vista (WINNT 6.0.6000)
User: Limited
Boot Mode: Normal
Scan type: Fast_Spyware_Scan
Scanned Objects: 31329 (Critical:1)
Filter: No System items, No Safe items, No Invalid items

Running Processes
LVComSer.exe [Logitech Inc.] : C:\Program Files\Common Files\LogiShrd\LVCOMSER\LVComSer.exe
RtHDVCpl.exe [Realtek Semiconductor] : C:\Windows\RtHDVCpl.exe
FuncKey.exe : C:\Program Files\Hotkey Management\FuncKey.exe
wmdSync.exe [Microsoft Corporation] : C:\Windows\WindowsMobile\wmdSync.exe
Communications_Helper.exe [Logitech Inc.] : C:\Program Files\Common Files\LogiShrd\LComMgr\Communications_Helper.exe
Quickcam.exe [Logitech Inc.] : C:\Program Files\Logitech\QuickCam\Quickcam.exe
SiteAdv.exe [McAfee, Inc.] : C:\Program Files\SiteAdvisor\6253\SiteAdv.exe
avgas.exe [GRISOFT s.r.o.] : C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
sidebar.exe [Microsoft Corporation] : C:\Program Files\Windows Sidebar\sidebar.exe
msnmsgr.exe [Microsoft Corporation] : C:\Program Files\Windows Live\Messenger\msnmsgr.exe
LaunchU3.exe : C:\ProgramData\U3\U3Launcher\LaunchU3.exe
sidebar.exe [Microsoft Corporation] : C:\Program Files\Windows Sidebar\sidebar.exe
Apntex.exe [Alps Electric Co., Ltd.] : C:\Program Files\Apoint2K\Apntex.exe
COCIManager.exe [Logitech Inc.] : C:\Program Files\Common Files\Logishrd\LQCVFX\COCIManager.exe
IEUser.exe [Microsoft Corporation] : C:\Program Files\Internet Explorer\IEUser.exe
WLLoginProxy.exe [Microsoft Corporation] : C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLLoginProxy.exe
iexplore.exe [Microsoft Corporation] : C:\Program Files\Internet Explorer\iexplore.exe
FlashUtil9e.exe [Adobe Systems, Inc.] : C:\Windows\system32\Macromed\Flash\FlashUtil9e.exe

Internet Settings
R - HKLM\Software\Microsoft\Internet Explorer\Main, Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R - HKLM\System\CurrentControlSet\Services\Tcpip\Parameters, Domain = 
R - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Telephony, DomainName = 

BHO
02 - BHO:  - {089FD14D-132B-48FC-8861-0048AE113215} -  [McAfee, Inc.] : C:\Program Files\SiteAdvisor\6253\SiteAdv.dll

Toolbars
03 - Toolbar: McAfee SiteAdvisor - {0BF43445-2F28-4351-9252-17FE6E806AA0} -  [McAfee, Inc.] : C:\Program Files\SiteAdvisor\6253\SiteAdv.dll

StartUps
04 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, Sidebar :  [Microsoft Corporation] : C:\Program Files\Windows Sidebar\sidebar.exe
04 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, Camfrog :  [Camshare LLC] : C:\Program Files\CAMFROG\CAMFROG VIDEO CHAT\CAMFROGNET.EXE
04 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, MsnMsgr :  [Microsoft Corporation] : C:\Program Files\Windows Live\Messenger\msnmsgr.exe
04 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, WMPNSCFG :  [Microsoft Corporation] : C:\Program Files\Windows Media Player\WMPNSCFG.exe
04 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, RtHDVCpl :  [Realtek Semiconductor] : C:\Windows\RtHDVCpl.exe
04 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, PowerManager :  : C:\Program Files\Power Manager\PM.exe
04 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, NvSvc :  [NVIDIA Corporation] : C:\Windows\system32\NVSVC.DLL
04 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, NeroFilterCheck :  [Nero AG] : C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
04 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, FuncKey :  : C:\Program Files\Hotkey Management\FuncKey.exe
04 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, Windows Mobile-based device management :  [Microsoft Corporation] : C:\Windows\WindowsMobile\wmdSync.exe
04 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, LogitechCommunicationsManager :  [Logitech Inc.] : C:\Program Files\Common Files\LogiShrd\LComMgr\Communications_Helper.exe
04 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, LogitechQuickCamRibbon :  [Logitech Inc.] : C:\Program Files\Logitech\QuickCam\Quickcam.exe
04 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, SiteAdvisor :  [McAfee, Inc.] : C:\Program Files\SiteAdvisor\6253\SiteAdv.exe
04 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, Adobe Reader Speed Launcher :  [Adobe Systems Incorporated] : C:\Program Files\ADOBE\READER 8.0\READER\READER_SL.EXE
04 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, !AVG Anti-Spyware :  [GRISOFT s.r.o.] : C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
04 - HKLM\System\CurrentControlSet\Control\Session Manager, BootExecute :  : LSDELETE.EXE
04 - Startup: %START_PROGRAMSALL%\Startup\Bluetooth Manager.lnk [TOSHIBA CORPORATION.] : C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtMng.exe
04 - Startup: %START_PROGRAMSALL%\Startup\eBayer 4.lnk [rP dev] : C:\Program Files\eBayer 4\ebayer.exe
04 - Startup: %START_PROGRAMSALL%\Startup\LaunchU3.exe.lnk : C:\Windows\Installer\{D8E363A7-88B7-446D-B2C0-E26CE4DC8E54}\_294823.exe
04 - Startup: %START_PROGRAMSALL%\Startup\Logitech SetPoint.lnk [Logitech, Inc.] : C:\Program Files\Logitech\SetPoint\SetPoint.exe

Shell Extensions
Windows Photo Gallery Viewer Video Verbs - {E598560B-28D5-46aa-A14A-8A3BEA34B576} -  [Microsoft Corporation] : C:\Program Files\Windows Photo Gallery\PhotoViewer.dll
&Windows Media Player - {0a4286ea-e355-44fb-8086-af3df7645bd9} -  [Microsoft Corporation] : C:\Program Files\Windows Media Player\wmpband.dll
Windows Photo Gallery Viewer Image Verbs - {FFE2A43C-56B9-4bf5-9A79-CC6D4285608A} -  [Microsoft Corporation] : C:\Program Files\Windows Photo Gallery\PhotoViewer.dll
Windows gadget DropTarget - {6b9228da-9c15-419e-856c-19e768a13bdc} -  [Microsoft Corporation] : C:\Program Files\Windows Sidebar\sbdrop.dll
Mes dossiers de partage - {FC9FB64A-1EB2-4CCF-AF5E-1A497A9B5C2D} -  [Microsoft Corporation] : C:\Program Files\Windows Live\Messenger\fsshext.8.5.1302.1018.dll
Haali Column Provider - {0561EC90-CE54-4f0c-9C55-E226110A740C} -  : C:\Program Files\VistaCodecPack\filters\mmfinfo.dll
Haali Matroska Shell Property Page - {5574006C-28F5-4a65-A28C-74DE6BFBE0BB} -  : C:\Program Files\VistaCodecPack\filters\mmfinfo.dll
Haali Matroska Thumbnail Extractor - {327669A0-59A7-4be9-B99E-1C9F3A57611A} -  : C:\Program Files\VistaCodecPack\filters\mmfinfo.dll
KbLogiExt Class - {DC70C4A5-2044-4c59-B806-DEFB9AE0DF7C} -  [Logitech, Inc.] : C:\Program Files\Logitech\SetPoint\kbcplext.dll
LogiExt Class - {B9B9F083-2B04-452A-8691-83694AC1037B} -  [Logitech, Inc.] : C:\Program Files\Logitech\SetPoint\mcplext.dll
WinRAR - {B41DB860-8EE4-11D2-9906-E49FADC173CA} -  : C:\Program Files\WinRARarext.dll
Mes téléphones - {A5110426-177D-4e08-AB3F-785F10B4439C} -  [Sony Ericsson Mobile Communications AB] : C:\Program Files\Sony Ericsson\Mobile\File Manager\fmgrgui.dll
CLSID_WLMCMimeFilter - {0563DB41-F538-4B37-A92D-4659049B7766} -  [Microsoft Corporation] : C:\Program Files\Windows Live\Mail\mailcomm.dll
 - {06A2568A-CED6-4187-BB20-400B8C02BE5A} -  [Microsoft Corporation] : C:\Program Files\Windows Live\Photo Gallery\WLXPhotoAcquireWizard.exe
Windows Live Photo Gallery Import Autoplay Shim - {00F33137-EE26-412F-8D71-F84E4C2C6625} -  [Microsoft Corporation] : C:\Program Files\Windows Live\Photo Gallery\PhotoViewerShim.dll
Windows Live Photo Gallery Autoplay Drop Target - {2BE99FD4-A181-4996-BFA9-58C5FFD11F6C} -  [Microsoft Corporation] : C:\Program Files\WINDOWS LIVE\PHOTO GALLERY\WLXPHOTOVIEWER.DLL
Windows Live Photo Gallery Editor Drop Target - {00F30F64-AC33-42F5-8FD1-5DC2D3FDE06C} -  [Microsoft Corporation] : C:\Program Files\WINDOWS LIVE\PHOTO GALLERY\WLXPHOTOVIEWER.DLL
Windows Live Photo Gallery Viewer Drop Target - {00F374B7-B390-4884-B372-2FC349F2172B} -  [Microsoft Corporation] : C:\Program Files\WINDOWS LIVE\PHOTO GALLERY\WLXPHOTOVIEWER.DLL
Windows Live Photo Gallery Viewer Shim - {00F346CB-35A4-465B-8B8F-65A29DBAB1F6} -  [Microsoft Corporation] : C:\Program Files\Windows Live\Photo Gallery\PhotoViewerShim.dll
Windows Live Photo Gallery Editor Shim - {00F3712A-CA79-45B4-9E4D-D7891E7F8B9D} -  [Microsoft Corporation] : C:\Program Files\Windows Live\Photo Gallery\PhotoViewerShim.dll
Windows Live Photo Gallery Viewer Autoplay Shim - {00F30F90-3E96-453B-AFCD-D71989ECC2C7} -  [Microsoft Corporation] : C:\Program Files\Windows Live\Photo Gallery\PhotoViewerShim.dll

Protocol Handler
 - {828030A1-22C1-4009-854F-8E305202313F} -  [Microsoft Corporation] : C:\Program Files\Windows Live\Messenger\msgrapp.8.5.1302.1018.dll
 - {828030A1-22C1-4009-854F-8E305202313F} -  [Microsoft Corporation] : C:\Program Files\Windows Live\Messenger\msgrapp.8.5.1302.1018.dll
 - {3A5DC592-7723-4EAA-9EE6-AF4222BCF879} -  [McAfee, Inc.] : C:\Program Files\SiteAdvisor\6253\SiteAdv.dll
Windows Live Mail HTML Asynchronous Pluggable Protocol Handler - {03C514A3-1EFB-4856-9F99-10D7BE1653C0} -  [Microsoft Corporation] : C:\Program Files\Windows Live\Mail\mailcomm.dll

Services
23 - [Lavasoft] : C:\Program Files\LAVASOFT\AD-AWARE 2007\AAWSERVICE.EXE
23 - [Alps Electric Co., Ltd.] : C:\Windows\system32\DRIVERS\Apfiltr.sys
23 - [ALWIL Software] : C:\Windows\system32\DRIVERS\aswMonFlt.sys
23 - [GRISOFT, s.r.o.] : C:\Windows\system32\DRIVERS\AvgAsCln.sys
23 - [Conexant Systems, Inc.] : C:\Windows\system32\DRIVERS\HSX_DPV.sys
23 - [Conexant Systems, Inc.] : C:\Windows\system32\DRIVERS\HSXHWAZL.sys
23 - [Realtek Semiconductor Corp.] : C:\Windows\system32\drivers\RTKVHDA.sys
23 - [InterVideo, Inc.] : C:\Windows\system32\drivers\iviaspi.sys
23 - [Logitech Inc.] : C:\Program Files\Common Files\LogiShrd\LVCOMSER\LVComSer.exe
23 - [Logitech Inc.] : C:\Windows\system32\DRIVERS\LVPr2Mon.sys
23 - [Logitech Inc.] : C:\Program Files\Common Files\LOGISHRD\LVMVFM\LVPRCSRV.EXE
23 - [Conexant] : C:\Windows\system32\DRIVERS\mdmxsdk.sys
23 - [NVIDIA Corporation] : C:\Windows\system32\DRIVERS
vmfdx32.sys
23 - [NVIDIA Corporation] : C:\Windows\system32\DRIVERS
vlddmkm.sys
23 - [NVIDIA Corporation] : C:\Windows\system32\DRIVERS
vsmu.sys
23 - [NVIDIA Corporation] : C:\Windows\system32\DRIVERS
vstor.sys
23 - [NVIDIA Corporation] : C:\Windows\system32\DRIVERS
vstor32.sys
23 - [Safer Networking Ltd.] : C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
23 - [Silicon Integrated Systems Corp.] : C:\Windows\system32\DRIVERS\sis163u.sys
23 - [McAfee, Inc.] : C:\Program Files\SiteAdvisor\6253\SAService.exe
23 - [TOSHIBA CORPORATION] : C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe
23 - [TOSHIBA Corporation] : C:\Windows\system32\DRIVERS	osporte.sys
23 - [TOSHIBA CORPORATION] : C:\Windows\system32\DRIVERS	osrfbd.sys
23 - [TOSHIBA Corporation] : C:\Windows\system32\Drivers	osrfbnp.sys
23 - [TOSHIBA Corporation] : C:\Windows\system32\Drivers	osrfcom.sys
23 - [TOSHIBA Corporation.] : C:\Windows\system32\DRIVERS\Tosrfhid.sys
23 - [TOSHIBA Corporation.] : C:\Windows\system32\DRIVERS	osrfnds.sys
23 - [TOSHIBA CORPORATION] : C:\Windows\system32\DRIVERS	osrfusb.sys
23 - [Ulead Systems, Inc.] : C:\Program Files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe
23 - [Microsoft Corporation] : C:\Program Files\WINDOWS LIVE\MESSENGER\USNSVC.EXE
23 - [VIA Technologies Inc.,Ltd] : C:\Windows\system32\drivers\vsmraid.sys
23 - [Conexant Systems, Inc.] : C:\Windows\system32\DRIVERS\HSX_CNXT.sys
23 - [Microsoft Corporation] : C:\Program Files\WINDOWS MEDIA PLAYER\WMPNETWK.EXE
23 - [Conexant Systems, Inc.] : C:\Windows\system32\DRIVERS\xaudio.sys
23 - [Conexant Systems, Inc.] : C:\Windows\system32\DRIVERS\xaudio.exe

Thread Files
<Kiswin> : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\eBayer 4.lnk

  
    Suppression: 
  
  Préparation...
  Création d'un point de restauration
  Supprimer Kiswin 
  La suppression du fichier a échoué. (User Access Denied) : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\eBayer 4.lnk 
  La suppression du fichier a échoué.: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\eBayer 4.lnk 
  Fermeture du point de restauration système
  Analyse(s) terminée(s) 



j'éspére que ceci t'aidera.
@+

g!rly · Answer

Salut greg,

tu voies je t´avais demandé pour le fichier \ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\eBayer 4.lnk 

qui ne me semblais pas catholique du tout.

fais ceci >

a l´aide de hijack this coche et fix ceci :

O4 - Global Startup: eBayer 4.lnk = C:\Program Files\eBayer 4\ebayer.exe

Télécharge combofix.exe (par sUBs) sur ton Bureau.

-> http://download.bleepingcomputer.com/sUBs/ComboFix.exe

Copie le texte ci-dessous :

File::
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\eBayer 4.lnk

Folder::
C:\Program Files\eBayer 4

Registry::
[-%START_PROGRAMSALL%\Startup\eBayer 4.lnk]


Ouvre le Bloc-Notes puis colle le texte copié.
(Démarrer\Tous les programmes\Accessoires\Bloc notes.)
Sauvegarde ce fichier sous le nom de CFScript.txt.

Glisse maintenant le fichier CFScript.txt dans Combofix.exe comme ci-dessous :

http://serveur1.archive-host.com/membres/up/1366464061/CFScript.gif

Cela va relancer Combofix, 

Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.

Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!

Ne touche à rien tant que le scan n'est pas terminé.

Après redémarrage, poste le contenu du rapport Combofix.txt accompagné d'un rapport Hijackthis.

S'il n'y a pas de rédémarrage, poste quand même les rapports.

post les deux rapports stp

@+

greg.jamess · Answer

Bonsoir,je pense avoir fai une erreur
en comprenant que EBAYER était "certainement à la base du probléme,je l'ai désinstaller et avec succés.
Maintenent Spyware Terminator ne trouve plus rien.
Je suis etonné d'avoir supprimé un programme sans soucis,quand pense tu?

greg.jamess · Answer

Bonsoir,est tu encore la?

g!rly · Answer

Salut greg,

comment ca va de ton coté maintenant?

@+

greg.jamess · Answer

Salut,j'ai retrouvé de la rapidité,Spyware terminator ne trouve plus rien.

par contre j'ai été obligé de désactiver la protection en temps réel car il me bloque meme l'accé a IE,pourtant je n'ai jamais eu de probléme avec se programme.
Avec un compte standart peut on supprimer un programme?

g!rly · Answer

Bonsoir greg,

que te bloc spyware terminator? y a t-il un processus particulier?

oui avec un compte standard on peut ma foie supprimer un programme, que veux tu supprimer?

@+

greg.jamess · Answer

Bonsoir,il me bolque internet explorer(par le menu demarer ou par une touche dédiée,msn,WMP.
De ce fait,j'ai désactivé la protéction en temps réel.
Par contre je ne veu rien supprimer,mais en supprimant EBAYER,je me sui posé la question:est ce normal de pouvoir supprimer sans droits d'utilisateur.

g!rly · Answer

Re,

il y a surement une raison pour qu´il te bloque internet explorer ;-(

pour ebayer, c´est vrai qu´un mistere plane a mes yeux, mais peut etre le faite que tu as crée ce nouveau compte d´administrateur a joué ?!

qu´est devenu l´autre compte qui s´etait crée?

@+

greg.jamess · Answer

Alors pour ce compte qui est venu par magie il est toujours là,je ne peut pas le supprimer,par contre le compte invité(qui ne sert pas )j'ai la"ligne"supprimer se compte

g!rly · Answer

Re,

arrives tu as le supprimer le compte crée par magie (pas l´invité) en passant par la :

demarer/panneau de conf/outil d'administration/gestion de l'ordinateur/utilisateur et groupe locaux/

si il n´a pas de mot de passe ca devrait le faire...

dis moi quoi

@+

greg.jamess · Answer

ok j'essai de suite

g!rly · Answer

ok

greg.jamess · Answer

une fois double clic sur gestion de l'ordinateur je ne touve pas "utilisateur et groupe locaux"
je n'ai que "outils systeme" "stockage" services et applications"

g!rly · Answer

tu es sous vista, bete que je suis
Panneau de configuration - Compte d'utilisateurs

g!rly · Answer

greg,

je vais me coucher

bonne nuit

@+

greg.jamess · Answer

ok je te répondrai demain,je te souhaite une bonne nuit
@+

greg.jamess · Answer

Bonjour,il y a 5 comptes,

_Administrateur(celui créer tout seul):pas de possibilité de le supprimé

_Daniel:je peut le supprimé

_Invité:je peut le "desactivé"?

_Essai(celui que tu m'a demander de créer):je peut le supprimé

_Greg:je ne peut pas,je peut modifier mon compte mais  il me considere déja comme administrateur!

@+

g!rly · Answer

greg.

tu as essayé de le supprimer en mode sans echec ?

Comment redémarrer en mode sans echec? 

   Tu redemarre le pc et tapote la touche F8 des le début de l allumage sans t´arrêter.
   Une fenêtre sur fond noir va s’ouvrir, tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée.
   Une fois sur le bureau si il n y a pas toutes les couleurs et autres c´est normal!
   Ps : si F8 ne marche pas utilise la touche F5.

@+

greg.jamess · Answer

bonsoir g!rly,
non,j'avoue de pas y avoir penser,j'essai de suite

g!rly · Answer

ok

@+

greg.jamess · Answer

Non impossible,je peut supprimer les autres mais pas celui là

g!rly · Answer

Re,

essaies de faire ceci avec ton nouveau compte et apres essaie de supprimer l´autre...

http://www.laboratoire-microsoft.org/t/18202/

ps : pas facil les droits d´administartions sous vista ;-(

@+

greg.jamess · Answer

je bloque à 
dword,je doi lui donner le nom DWORD ou administrator?

g!rly · Answer

administrator

greg.jamess · Answer

excuse moi,j'ai réussi c'est la premiere fois que je fai cette manip.
Je redemarre,essai de le supprimer et de dis ce qu'il en es
merci de ta patience

g!rly · Answer

ok ;-)
esperons que ca change quelque chose...

greg.jamess · Answer

Toujours pas,je peut tous les supprimé,sauf se fameux compte!
Cela me prend beaucoup de temps et je me demande si un formatage ne serai pas la meilleur des solutions?Meme si je ne sui pas pour.
Quand pense tu?
A moins que tu es une idée du probléme?

g!rly · Answer

Re,
la a dire vrai je seche de plus on tourne en rond...
je commence meme a me demander si c´est pas un compte crée par windows lui meme ?
ne conaissant pas vraiment vista, je ne pensse pouvoir t´aider d´avantage ;-(
le formatage est une solution, certe, si tu sauvegarde tes données, c´est peut etre la meilleure solution?
désolée...
@+

greg.jamess · Answer

A tu connaissance d'une personne qui a deja eu ce probleme?
Car une session windows créer toute seule me semble vraiment étrange,quand pense tu?

g!rly · Answer

re,

non je ne connais personne qui est eu se genre de probleme...

quand je parle d´un compte crée par windows je parle de ASP.NET...

Tu peux toujours crée un nouveau topik sur le forum, en esperant trouver quelqu´un de plus experimenté que moi concernant ce genre de probleme...

je te conseil d´en poster un dans ce forum et un dans le forum windows...

voila.

Multiple infection"g!rly"

38 réponses

Discussions similaires

Newsletters