Exploit + Bagle + autres / besoin d'aide !

Question

Bonjour,

Mon PC sous vista a chopé des bebetes (malgre norton) et je ne m'en sors pas.

Ca a d abord bloqué norton bien sur.
J'ai reussi a installer d'autres antivirus, j'ai fait plusieurs scan qui ont revele (et supprimé) dans l ordre :
hdlrrr.exe
exploit.w32.ms04-007
worm.bagle.cq-1
win32.theef-H

Mais depuis toujours impossible de lancer Norton.
Hijackthis idem : "n'est pas une appllication win32 valide"
Plus de connexion wi-fi, je reussis deja difficilement a me connecter par cable (il faut diagnostiquer et reparer la connexion plusieurs fois avant que la connexion se retablisse

Quand je suis connectée a internet, msn fonctionne, emule aussi, adaware reussit a recuperer des mises a jours mais pas avast et spybot, et internet explorer et firefox ne trouvent pas la connexion.

j'ai essayé RegCure pour nettoyer mais ca ne change rien.
J'ai essaye le cd de drivers, rien non plus.

Je suppose qu'il reste des virus ou autres mais je ne m'en sors pas.
Quelqu un peut il me venir en aide ? Meric :-)

Utilisateur anonyme · Answer

Salut !

Norton ... une vaste blague ;)

&#9644;&#9644;&#9644;&#9644;&#9644;&#9644;&#9644;&#9644;&#9644;&#9644;&#9644;&#9644;&#9644

&#8594; Télécharge sur ton bureau HJT.

&#8594; Double clique sur le fichier d'installation ' HJTInstall ' , et place Hijackthis dans le repertoire dédié , c'est a dire :" C:\Programme\Trend Micro\Hijackthis " 

&#8594; Télécharge ce fichier sur ton bureau.  Double clique dessus ( l'icône en forme d'engrenage ). La fenêtre principale d'Hijackthis va s'ouvrire , choisi ' Do a system scan and save a logfile ' 

&#8594; Poste moi le rapport ( qui apparait sur le bloc-note )

&#9644;&#9644;&#9644;&#9644;&#9644;&#9644;&#9644;&#9644;&#9644;&#9644;

bonne chance
A+

Utilisateur anonyme · Answer

Re tu as loupé la 2eme étape ..

&#8594; Télécharge ce fichier sur ton bureau.  Double clique dessus ( l'icône en forme d'engrenage ). La fenêtre principale d'Hijackthis va s'ouvrire , choisi ' Do a system scan and save a logfile ' 

&#8594; Poste moi le rapport ( qui apparait sur le bloc-note )


+++

Utilisateur anonyme · Answer

Re , rien =)

Va sur ce site :

http://www.zonavirus.com/datos/descargas/95/elibagla.asp

En bas de cette page tu trouveras un outil à télécharger, clique sur "Descargar Elibagla" (le numéro de version change au fur et à mesure des mises à jour)
installe ce fichier sur le bureau.
ensuite double-clic sur Elibagla.exe

Vérifie que la case "eliminar ficheros automaticamente" est cochée

Clique sur  "explorar"  puis laisse-le travailler.
                     
Puis poste moi le rapport situé dans C:\infosat.txt

A+

Utilisateur anonyme · Answer

Tu n'as pas le rapport ? 

Pourtant il doit être dans C:\   ... 

Tu es sur ?

Utilisateur anonyme · Answer

Non non. 

/!\ Outils très puissant , ne pas reproduire la manip ci-dessous sur son pc sans y avoir été autorisé par une personne comptétente /!\


Désactive ta restauration système
Clic sur « Démarrer »
Clic droit sur « Poste de travail », puis sur « Propriétés »,
Vas sur l’onglet « Restauration système »
Tu y coches la case « Désactiver la restauration »
Termine par [Appliquer] [OK] 


Télécharge ComboFix ici &#8594; http://download.bleepingcomputer.com/sUBs/ComboFix.exe  

Renomme le , tutorial ici  , une fois renommé 

enregistre le sur le bureau >>> /!\ IMPORTANT /!\

Regardes ici, si tu souhaites te familiariser avec son utilisation: https://www.google.fr/?gws_rd=ssl

 AVANT d'utiliser ComboFix :
&#8594; Déconnecte ton PC d'Internet et referme les fenêtres de tous les programmes en cours.   /!\
&#8594; Désactive provisoirement (et seulement le temps de l'utilisation de ComboFix), la protection en temps réel de ton Antivirus et de tes Antispywares et de TOUT tes logiciels de protection !!!, (activés, ils pourraient gêner fortement la procédure de recherche et de nettoyage de l'outil). /!\

Sur ton bureau double clic sur Combofix.exe.
Appuies sur la touche 1, pour que le programme commence à s'exécuter et suis les instructions à l'écran.

/!\ PENDANT TOUTE la durée (ça peut être assez long si le pc est très infecté) du scan de ComboFix, n'ouvres aucun programme, ne touche pas à ta souris et ne surfe pas sur le net /!\

Soit patient (même si tu penses que le PC est arrêté) ; les temps « d'arrêt apparent » sont parfois de plusieurs minutes (il y a ± 40 étapes d’analyse).

En cours de nettoyage il est possible, que tu reçoives un avertissement te disant que le pc va redémarrer, laisse le faire.

Après le redemarrage du pc, un rapport s'ouvrira dans le Bloc notes en fin d'analyse, copie et colle tout son contenu dans ton prochain message.

(Le fichier rapport Combofix.txt , est ensuite automatiquement sauvegardé dans C:\Combofix.txt)

Ensuite réactive ta restauration système
Clic droit sur « Poste de travail », puis sur « Propriétés »,
Vas sur l’onglet « Restauration système »
Tu décoches la case « Désactiver la restauration »
Termine par [Appliquer] [OK] 

+++

Utilisateur anonyme · Answer

Re ,

Ouvre le Bloc-Notes (Démarrer\Tous les programmes\Accessoires\Bloc notes.)

Copie ce texte ( en gras )d'une traite ( CTRL+C pour copier ) puis colle-le ( CTRL+V dans le bloc-note ) 


File::
c:\windows\system32\mdelk.exe
C:\WINDOWS\system32\anti_troj.exe
C:\WINDOWS\SYSTEM32\BAN_LIST.TXT
C:\WINDOWS\system32\german.exe
C:\WINDOWS\system32\wintems.exe
C:\WINDOWS\system32\drivers\hldrrr.exe
c:\WINDOWS\system32\drivers\hidr.exe
C:\WINDOWS\system32\drivers\SROSA.SYS
C:\Windows\system32\koos.exe
C:\Windows\system32\kprof
C:\Windows\system32\mdelk.exe
C:\Windows\system32\poof
C:\Windows\system32\x64 
C:\fsc.tmp 

Folder::
C:\WINDOWS\system32\drivers\down
C:\QooBox\Quarantine\Registry_backups
C:\Program Files\m

Driver::
drvsyskit
srosa
hldrrr
hidr

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"drvsyskit"=-
"german.exe"=-
"mule_st_key"=-
"C:\Documents and Settings\<user>\Application Data\m\flec006.exe"=-
[-HKEY_CURRENT_USER\Software\FirstRRRun]
[-HKEY_CURRENT_USER\SOFTWARE\DateTime4]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa]
"start"=dword:00000004
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa]
"start"=-
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\srosa]
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\srosa] 


Sauvegarde ce fichier sur ton bureau sous le nom de CFScript.txt.



Glisse maintenant le fichier CFScript.txt dans Combofix.exe comme ci-dessous :

http://serveur1.archive-host.com/membres/up/1366464061/CFScript.gif

Cela va relancer Combofix,

Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.

Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!

Ne touche à rien tant que le scan n'est pas terminé.

Après redémarrage, poste le contenu du rapport Combofix.txt accompagné d'un rapport Hijackthis.

S'il n'y a pas de rédémarrage, poste quand même les rapports.


++

Utilisateur anonyme · Answer

Re , 

Vire Elibagla.

Puis , 

Va sur ce site :

http://www.zonavirus.com/datos/descargas/95/elibagla.asp

En bas de cette page tu trouveras un outil à télécharger, clique sur "Descargar Elibagla" (le numéro de version change au fur et à mesure des mises à jour)
installe ce fichier sur le bureau.
ensuite double-clic sur Elibagla.exe

Vérifie que la case "eliminar ficheros automaticamente" est cochée

Clique sur  "explorar"  puis laisse-le travailler.
                     
Puis poste moi le rapport situé dans C:\infosat.txt

++

Utilisateur anonyme · Answer

Re , rassurant le rapport =) , reposte un rapport Hijackthis & dit moi ou en sont tes soucis
++

Utilisateur anonyme · Answer

Re ,

Tu as Virus Keeper en version d'évaluation , désinstalle-le.

*********

Il y a des restes de Norton :

Télécharge ce logiciel 

http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/fr_docid/20050414110429924

Puis lance-le pour virer ce qui reste de Norton.

*******

Délaisse Avast au profit d'Antivir , contrairement à ce que tout le monde pense , Avast n'est pas aussi bien que l'on pourrais le croire regarde le classement des AV
et constate par toi même  &#8594; Avast vs Antivir

Vire Avast &#8594; Désinstalle Avast  'proprement' ( merci espion3004)

Et télécharge Antivir ( PersonnalEdition Classic) &#8594; ici 

Tuto Installation + configuration Antivir &#8594; https://www.malekal.com/avira-free-security-antivirus-gratuit/

Tuto Installation :  &#8594; https://www.astucesinternet.com/modules/news/article.php?storyid=253

Pour le rendre encore plus discret....


****
Après tout cela reposte un dernier rapport Hijackthis.
+++

Utilisateur anonyme · Answer

Re ,


Touche ' Windows+R ' ( reviens à executer ) > ' services.msc ' ,

- Clic droit sur le service cité - Symantec Core LC 
- propriétés
- et dans "type de démarrage" et mets le sur « désactivé ».
- Ensuite si le "Status du service" est sur "Démarré" faire : « arrêté » 

Tutorial : https://www.zebulon.fr/dossiers/windows/31-services.html

***************************

 Télécharge Cleanup
Lance-le et choisi l'option ' cleanup! ' 

Tuto: http://pageperso.aol.fr/balltrap34/democleanup.htm ( merci à balltrap34 )

************************

Télécharge clean : http://www.malekal.com/download/clean.zip

Une fois téléchargé et dézippé ( clique droit , extraire tout) , lance clean.cmd ( ou clean ), Choisi l'option 1 et poste moi le rapport.(- Où est le rapport clean ? : « Ordinateur » / double clic sur disque « C / » double-clic sur « rapport_clean.txt » et « copier/coller le contenu » sur le forum. ) 

******************
++

Utilisateur anonyme · Answer

Re , 


Désactive l'UAC activé , il peut gener l'execution des programmes de désinfection.

Sa devrais aller mieux =)

Utilisateur anonyme · Answer

Pour clean , fait un clique droit > executer en tant qu'administrateur '

++

missnata · Answer

Alors il y a du nouveau :

windows me lance un update de 7 elements, dont qqch contre les logiciels malveillants, windows redemarre et illico le programme me dit qu'il a trouvé et eliminé un win32.bagle.
juste apres j'ai spybot qui me notifie system sartup entry en supprimé pour "c\windows\system32\MRT.exe"  /R
je refuse et spybot continue de m'envoyer le message de demande d'autorisation de la suppression. que dois je faire ?

pour clean quand je lexecute en normal, il me donne un meessage d erreur 75.
quand je l'execute en administrateur, il me donn ca : 
files missed, did you unzip the whole archive 
the script can not further be executed

alors que j'ai tout dezippé...

Utilisateur anonyme · Answer

Re , accepte pour spybot ...

Laisse tomber clean.

Va sur ce site , /!\ Internet Explorer obligatoire /!\ , Clique sur ' J'accepte '  , Installe les ActiveX si necessaire ,et vérifie si ils sont bien configurés Clique sur ' installer ' puis ' click here to scan '( ou : cliquez ici pour scanner ).
Et poste moi le rapport.

a+

Utilisateur anonyme · Answer

Re ,    

Il c'est passé quoi exactement ?

Utilisateur anonyme · Answer

Re ... ok 

On essaye avec Kaspersky :

Fait un scan en ligne avec 

Kaspersky

# Clique sur ' online scanner '
# Clique maintenant sur J'accepte.
# Valide l'installation d'un ou de plusieurs ActiveX si c'est nécessaire , et vérifie si ils sont bien configurés 
# Patiente pendant l'installation des Mises à jour.
# Choisis par la suite l'analyse du Poste de travail
# Sauvegarde puis colle le rapport généré en fin d'analyse
                 

/!\ Internet Explorer obligatoire /!\
Puis poste moi le rapport

++

Utilisateur anonyme · Answer

Re , 

Désinstalle Spybot via " programme et fonctionnalité "

***********

Télécharge sur ton bureau DSS (ex Comboscan) de Deckard:

(choisis enregistrer, puis Bureau comme emplacement)

Ferme toutes les applications en cours.

Double-clic sur comboscan.exe pour lancer l'outil.

Une fenêtre s'ouvre, invitant à fermer toutes les applications, clique sur OK.

A la fin de l'analyse, une fenêtre s'ouvre, clique sur OK.

Le rapport Comboscan.txt va s'afficher, copie le dans ta prochaine réponse.
Si un rapport complémentaire a été créé, poste le aussi dans ta réponse.

+++

missnata · Answer

ca, ca marche !

Le rapport 1 suivi du complement 2 :


1.
Deckard's System Scanner v20071014.68
Run by FS on 2008-03-12 15:18:51
Computer is in Normal Mode.
--------------------------------------------------------------------------------

-- Last 3 Restore Point(s) --
3: 2008-03-12 11:55:14 UTC - RP147 - Windows Update
2: 2008-03-11 23:34:04 UTC - RP146 - AntiVir PersonalEdition Classic - 12/03/2008 00:34
1: 2008-03-11 20:28:21 UTC - RP144 - ComboFix created restore point


Backed up registry hives.
Performed disk cleanup.



-- HijackThis (run as FS.exe) --------------------------------------------------

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:20:12, on 12/03/2008
Platform: Windows Vista  (WinNT 6.00.1904)
MSIE: Internet Explorer v8.00 (8.00.6001.17184)
Boot mode: Normal

Running processes:
C:\Windows\system32	askeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
C:\Windows\RtHDVCpl.exe
C:\Windows\System32undll32.exe
D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\Power Manager\PM.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Windows\ehome\ehtray.exe
C:\Program Files\Common Files\Nero\Lib\NMBgMonitor.exe
C:\Windows\System32undll32.exe
C:\Windows\ehome\ehmsas.exe
C:\Program Files\Common Files\Nero\Lib\NMIndexStoreSvr.exe
C:\Program Files\Apoint2K\ApMsgFwd.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\Program Files\PC Connectivity Solution\Transports\NclMSBTSrv.exe
C:\Windows\system32\conime.exe
C:\Users\FS\Desktop\dss.exe
C:\PROGRA~1\TRENDM~1\HIJACK~1\FS.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://support.microsoft.com/en-US/topic/internet-explorer-downloads-d49e1f0d-571c-9a7b-d97e-be248806ca70
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://format.packardbell.com/cgi-bin/redirect/?country=FR&range=AD&phase=6&key=SEARCH
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.free.fr/freebox/index.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1;*.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [NBKeyScan] "C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [TrojanScanner] C:\Program Files\Trojan Remover\Trjscan.exe
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32
vsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ZoneAlarm Client] "D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [PowerManager] C:\Program Files\Power Manager\PM.exe
O4 - HKLM\..\Run: [ErrorKiller] "C:\Program Files\ErrorKiller\ErrorKiller.exe" -boot
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Nero\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [PC Suite Tray] "C:\Program Files\Nokia\Nokia PC Suite 6\PCSuite.exe" -onlytray
O4 - HKUS\S-1-5-20\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE RÉSEAU')
O8 - Extra context menu item: Convertir les liens sélectionnés en fichier Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\Windows\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\Windows\bdoscandel.exe
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O13 - Gopher Prefix: 
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - http://javadl-esd.sun.com/update/1.6.0/jinstall-6u3-windows-i586-jc.cab
O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: IviRegMgr - InterVideo - c:\Program Files\Common Files\InterVideo\RegMgr\iviRegMgr.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Nero\Lib\NMIndexingService.exe
O23 - Service: Planificateur LiveUpdate automatique - Unknown owner - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe (file missing)
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: Fujitsu Siemens Computers Diagnostic Testhandler (TestHandler) - Fujitsu Siemens Computers - C:\firststeps\OnlineDiagnostic\TestManager\TestHandler.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Check Point Software Technologies LTD - C:\Windows\System32\ZoneLabs\vsmon.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

Utilisateur anonyme · Answer

Re , ok j'analyse ça et je reviens 

+++

Utilisateur anonyme · Answer

Re , pas d'infection apparemment ...

avant que je termine , tu as encore des soucis ?

++

Utilisateur anonyme · Answer

Résinstalle Antivir stp.
et dit moi ou ça en est.

Pour le Wi-fi c'est un problème obscur sous Vista ...   
Pour l'instant on fini la désinfection

++

Utilisateur anonyme · Answer

Re  ...  =/

Refais un scan Combofix stp. j'ai du loupé quelque chose ...

++

Utilisateur anonyme · Answer

Re ,



Va sur ce site -->  https://www.virustotal.com/gui/

Clique sur ' parcourir ' 

Cherche cse fichiers : ( en gras )



C:\Windows\PATCH.EXE 
C:\Windows\QTFont.qfn
C:\Windows\QTFont.for 







Clique sur ' send ' 

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

-> Poste le moi stp.

*************

Dit moi aussi tes soucis

++

Utilisateur anonyme · Answer

Re , ok 


Niveau Update d'Antivir ça en est ou ?

Utilisateur anonyme · Answer

Re , fait un scan avec Antivir et poste moi le rapport.

( scan system now )  puis a la fin du scan ' report ' 

Je vais me coucher ^^
Fait le demain si tu es fatiguée ;)

+++

Utilisateur anonyme · Answer

Re , okk 

Reposte un rapport HJT

+

Utilisateur anonyme · Answer

Re , 

Une derniere verfication ... ( étant donné qu'Antivir à trouvé/supprimé un ver )


Télécharge SDFix et sauvegarde le sur ton Bureau.

Redémarre en MSE

&#8594; Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.cmd ( ou Runthis.bat ) pour lancer le scrïpt.
&#8594; Appuie sur Y pour commencer le processus de nettoyage.
&#8594; Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
&#8594; Appuie sur une touche pour redémarrer le PC.
&#8594; Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
&#8594; Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
&#8594; Appuie sur une touche pour finir l'exécution du scrïpt et charger les icônes de ton Bureau.
&#8594; Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt. 
&#8594; Poste moi le rapport.

A+

Utilisateur anonyme · Answer

Il faut être en mode sans echec.( c'est dit dans la procédure )

A+

missnata · Answer

C'est pourtant ce que j'ai fait : en mode sans echec, j'ai ce menu. Est ce que tu veux que je te donnes le menu en detail ?

Autre incident : j'ai mis le pc en veille, quand je l'ai rallumé j'ai eu l'ecran bleu 'windows recovering from crash ...".

Utilisateur anonyme · Answer

Re  , pfff décidemment c'est la fête des problèmes en se moment , ça n'arrête pas ><

....
Sinon tu as encore des soucis ? 
J'imagine que le Wifi n'est pas revenu ...

A+

Utilisateur anonyme · Answer

Re ! 
Ok tu posteras le rapport.
A+

missnata · Answer

Le rapport antivir donne ca :

AntiVir PersonalEdition Classic
Report file date: vendredi 14 mars 2008 13:44

Scanning for 1147397 virus strains and unwanted programs.

Licensed to: Avira AntiVir PersonalEdition Classic
Serial number: 0000149996-ADJIE-0001
Platform: Windows Vista
Windows version: (plain) [6.0.6000]
Username: SYSTEM
Computer name: PORTABLE-FS

Version information:
BUILD.DAT : 270 15603 Bytes 19/09/2007 13:32:00
AVSCAN.EXE : 7.0.6.1 290856 Bytes 23/08/2007 13:16:29
AVSCAN.DLL : 7.0.6.0 49192 Bytes 16/08/2007 12:23:51
LUKE.DLL : 7.0.5.3 147496 Bytes 14/08/2007 15:32:47
LUKERES.DLL : 7.0.6.1 10280 Bytes 21/08/2007 12:35:20
ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18/07/2007 13:36:36
ANTIVIR1.VDF : 7.0.3.2 5447168 Bytes 07/03/2008 13:07:50
ANTIVIR2.VDF : 7.0.3.3 2048 Bytes 07/03/2008 13:07:50
ANTIVIR3.VDF : 7.0.3.29 154112 Bytes 14/03/2008 10:48:20
AVEWIN32.DLL : 7.6.0.73 3334656 Bytes 29/02/2008 14:36:26
AVWINLL.DLL : 1.0.0.7 14376 Bytes 26/02/2007 10:36:26
AVPREF.DLL : 7.0.2.2 25640 Bytes 18/07/2007 07:39:17
AVREP.DLL : 7.0.0.1 155688 Bytes 14/03/2008 10:48:26
AVPACK32.DLL : 7.6.0.3 360488 Bytes 15/01/2008 13:29:28
AVREG.DLL : 7.0.1.6 30760 Bytes 18/07/2007 07:17:06
AVARKT.DLL : 1.0.0.20 278568 Bytes 28/08/2007 12:26:33
AVEVTLOG.DLL : 7.0.0.20 86056 Bytes 18/07/2007 07:10:18
NETNT.DLL : 7.0.0.0 7720 Bytes 08/03/2007 11:09:42
RCIMAGE.DLL : 7.0.1.30 2342952 Bytes 07/08/2007 12:38:13
RCTEXT.DLL : 7.0.62.0 86056 Bytes 21/08/2007 12:50:37
SQLITE3.DLL : 3.3.17.1 339968 Bytes 23/07/2007 09:37:21

Configuration settings for the scan:
Jobname..........................: Complete system scan
Configuration file...............: c:\program files\avira\antivir personaledition classic\sysscan.avp
Logging..........................: low
Primary action...................: interactive
Secondary action.................: ignore
Scan master boot sector..........: off
Scan boot sector.................: on
Boot sectors.....................: D:,
Scan memory......................: on
Process scan.....................: on
Scan registry....................: on
Search for rootkits..............: off
Scan all files...................: Intelligent file selection
Scan archives....................: on
Recursion depth..................: 20
Smart extensions.................: on
Macro heuristic..................: on
File heuristic...................: medium

Start of the scan: vendredi 14 mars 2008 13:44

The scan of running processes will be started
Scan process 'avscan.exe' - '1' Module(s) have been scanned
Scan process 'SearchFilterHost.exe' - '1' Module(s) have been scanned
Scan process 'avguard.exe' - '1' Module(s) have been scanned
Scan process 'SearchProtocolHost.exe' - '1' Module(s) have been scanned
Scan process 'AcroRd32.exe' - '1' Module(s) have been scanned
Scan process 'avcenter.exe' - '1' Module(s) have been scanned
Scan process 'firefox.exe' - '1' Module(s) have been scanned
Scan process 'usnsvc.exe' - '1' Module(s) have been scanned
Scan process 'NclMSBTSrv.exe' - '1' Module(s) have been scanned
Scan process 'NclRSSrv.exe' - '1' Module(s) have been scanned
Scan process 'NclUSBSrv.exe' - '1' Module(s) have been scanned
Scan process 'ServiceLayer.exe' - '1' Module(s) have been scanned
Scan process 'NMIndexStoreSvr.exe' - '1' Module(s) have been scanned
Scan process 'NMIndexingService.exe' - '1' Module(s) have been scanned
Scan process 'ApntEx.exe' - '1' Module(s) have been scanned
Scan process 'ApMsgFwd.exe' - '1' Module(s) have been scanned
Scan process 'ehmsas.exe' - '1' Module(s) have been scanned
Scan process 'wmpnetwk.exe' - '1' Module(s) have been scanned
Scan process 'PCSuite.exe' - '1' Module(s) have been scanned
Scan process 'NMBgMonitor.exe' - '1' Module(s) have been scanned
Scan process 'ehtray.exe' - '1' Module(s) have been scanned
Scan process 'wmpnscfg.exe' - '1' Module(s) have been scanned
Scan process 'msnmsgr.exe' - '1' Module(s) have been scanned
Scan process 'avgnt.exe' - '1' Module(s) have been scanned
Scan process 'rundll32.exe' - '1' Module(s) have been scanned
Scan process 'PM.exe' - '1' Module(s) have been scanned
Scan process 'zlclient.exe' - '0' Module(s) have been scanned
Scan process 'rundll32.exe' - '1' Module(s) have been scanned
Scan process 'RtHDVCpl.exe' - '1' Module(s) have been scanned
Scan process 'jusched.exe' - '1' Module(s) have been scanned
Scan process 'Apoint.exe' - '1' Module(s) have been scanned
Scan process 'MSASCui.exe' - '1' Module(s) have been scanned
Scan process 'taskeng.exe' - '1' Module(s) have been scanned
Scan process 'XAudio.exe' - '1' Module(s) have been scanned
Scan process 'SearchIndexer.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'TestHandler.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'RichVideo.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'NBService.exe' - '1' Module(s) have been scanned
Scan process 'iviRegMgr.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'mDNSResponder.exe' - '1' Module(s) have been scanned
Scan process 'sched.exe' - '1' Module(s) have been scanned
Scan process 'explorer.exe' - '1' Module(s) have been scanned
Scan process 'taskeng.exe' - '1' Module(s) have been scanned
Scan process 'dwm.exe' - '1' Module(s) have been scanned
Scan process 'taskeng.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'spoolsv.exe' - '1' Module(s) have been scanned
Scan process 'aawservice.exe' - '1' Module(s) have been scanned
Scan process 'vsmon.exe' - '0' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'SLsvc.exe' - '1' Module(s) have been scanned
Scan process 'audiodg.exe' - '0' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'winlogon.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'lsm.exe' - '1' Module(s) have been scanned
Scan process 'lsass.exe' - '1' Module(s) have been scanned
Scan process 'services.exe' - '1' Module(s) have been scanned
Scan process 'csrss.exe' - '1' Module(s) have been scanned
Scan process 'wininit.exe' - '1' Module(s) have been scanned
Scan process 'csrss.exe' - '1' Module(s) have been scanned
Scan process 'smss.exe' - '1' Module(s) have been scanned
68 processes with 68 modules were scanned

Start scanning boot sectors:
Boot sector 'C:\'
[NOTE] No virus was found!
Boot sector 'D:\'
[NOTE] No virus was found!

Starting to scan the registry.
The registry was scanned ( '13' files ).

Starting the file scan:

Begin scan in 'C:\' <System>
C:\hiberfil.sys
[WARNING] The file could not be opened!
C:\pagefile.sys
[WARNING] The file could not be opened!
C:\Users\FS\usb2\Micro Application 101 Tours De Magie - Cd N°2.ace
[0] Archive type: ACE
--> 101 tours de magie.image clonecd\IMAGE.img
[WARNING] An exception has been identified!
[WARNING] An exception has been identified!
Begin scan in 'D:\' <DATA>

End of the scan: vendredi 14 mars 2008 15:37
Used time: 1:52:35 min

The scan has been done completely.

16661 Scanning directories
617556 Files were scanned
0 viruses and/or unwanted programs were found
0 Files were classified as suspicious:
0 files were deleted
0 files were repaired
0 files were moved to quarantine
0 files were renamed
2 Files cannot be scanned
617556 Files not concerned
13610 Archives were scanned
6 Warnings
0 Notes

Utilisateur anonyme · Answer

Re , pas grave :)

Encore des soucis ?

missnata · Answer

bonsoir,

restent juste les 2 memes pb : pas d'update pour antivir et pas de wifi.
Pour la wifi je vais peut etre poster dans un autre forum, qu en penses tu ? ca ne releve plus trop de la securite ou des virus si j'ai bien compris.

Merci beaucoup pour tout ce temps passé sur mon cas, c'est vraiment super sympa.

Utilisateur anonyme · Answer

Re , pourtant tu as dit pour l'update d'antivir :


je viens de telecharger un update antivir sur leur site et j'ai pu l'installer. je lance un nouveau scan pour voir...

Donc tu peut faire les MAJ via le site officiel ?

Par contre pour le WIFI , honnêtement je ne sais pas  c'est pas vraiment mon domaine en fait =/
Il vaut mieux en effet que tu créer un nouveau message dans un autre forum.

***************************************************************************

On va terminer :

Ferme toutes les applications en cours, puis télécharge ToolsCleaner2 sur ton Bureau.

# Double clique sur ToolsCleaner2.exe >
# Clique sur .Recherche
# puis sur Suppression quand la liste est trouvée.
# Poste le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur (C:\). 
# Note : ton bureau RISQUE de disparaître, c'est normal. S'il n'apparaît pas à la fin du scan, fais la manip suivante :

CTRL+ALT+SUPP pour ouvrir le Gestionnaire des tâches.
Puis rends toi à l'onglet "Processus". Clique en haut à gauche sur Fichiers et choisis "Exécuter"

Tape explorer.exe et valide. Cela fera re-apparaître le Bureau

Tuto : http://www.commentcamarche.net/faq/sujet 8341 toolscleaner suppression des fix de force brute ( merci espion3004 )

******************************************************

Maintenant que ton pc n'est plus infecté  creer un nouveau point de restauration 

https://www.astucesinternet.com/modules/smartfaq/faq.php?faqid=113

**************************************************

Pour sécuriser ...

Télécharge Spybot (-> Scan passif + Résident )
+
Télécharge SpywareGuard ( ce logiciel complete très bien Spybot)
+
Eventuellement Spyware blaster

-------------Infos-------------

Ce lien explique ce que sont les pirates , leurs méthodes ,  comment les contrer , et la prévention ( merci espion3004 )

*****************


Pourquoi sécuriser mon pc ?

Trojan ? =/

**************

Voila j'attends le rapport Toolcleaner.

A++

Lyonnais92 · Answer

Bonjour,

je m'immisce sur le wifi.

Peux tu aller sur cette clé : HKEY Local Machine > system > CurrentControlSet > Services > Ndisuio 

(clic droit démarrer, exécuter, taper regedit puis OK. Ensuite, naviguer  avec les + net les - jusqu'à la clé)

Dans la fenêtre de  droite, tu as une ligne avec start et une valeur (1, 2, 3 ou 4).

Donne la valeur.

Lyonnais92 · Answer

Bonjour,

change la valeur de 4 en 3.

rechercher toutes les clés du type 


HKEY Local Machine > system > ControlSet001 > Services > Ndisuio 

(tous les controlset que tu trouves).

la aussi,si la valeur de Start n'est pas à 3 , tu la mets à 3.

tu redémarres l'ordi.

Tu dis le résultat.

Lyonnais92 · Answer

Bonjour,

OK, on va faire comme ça :

Ouvre le Bloc Notes.
Copie le texte ci-dessous (entre les * mais sans les *) avec le texte qui se trouve dans l'espace ci-dessous (copie/colle) :

*****************************
REGEDIT4

[HKEY_Local_Machine\system\ControlSet001\Services\Ndisuio]
Start=dword:3

[HKEY_Local_Machine\system\ControlSet006\Services\Ndisuio]
Start=dword:3

[HKEY_Local_Machine\system\CurrentControlSet\Services\Ndisuio]
Start=dword:3

*****************************
Clique sur "Fichier", "Enregistrer sous".
Clique sur Bureau (dans la colonne de gauche)
Dans Nom du fichier tu écris fix.reg
Pour Type tu choisis "tous les fichiers" avec le menu déroulant.
Tu cliques sur Enregistrer.
Tu fermes le Bloc-notes

Sur ton bureau, tu double-clique sur l'icône de Fix.reg
Tu acceptes l'avertissement concernant la fusion
Le fix va travailler sans se manifester.
A la fin, tu vas voir un message disant que la fusion est terminée. Tu valides.

Redémarre l'ordi et réessaye la connexion.

Lyonnais92 · Answer

Re,

si tu vas voir les clés après redémarrage, la valeur est toujours à 3 ?

Lyonnais92 · Answer

Re,

alors petite modif.

tu refais passer le fix.reg.

Tu retournes voir les clés avant de redémarrer.

la valeur est à 3 ou à 4 ?

si c'est 4, tu ne redémarres pas.

Lyonnais92 · Answer

Bonjour,

à la limite, je préfère ça.

Ca doit vouloir dire que ma syntaxe n'est pas bonne, pas que quelque chose modifie le registre au redémarrage.

On voit ça ce soir. Je ne devrais pas avoir le temps avant.

Lyonnais92 · Answer

Bonsoir,

OK,

tu vas sur la clé.

Clic droit sur start.

modifier.

Tu vérifies que hexadécimal est coché et tu tapes 3 puis OK.

Tu fais ça aussi :

==>Bonjour,
Télécharge OAD http://sosvirus.changelog.fr/OAD.exe
- Enregistre le sur ton bureau

Double clique sur le OAD pour le lancer

- nom de fichier à rechercher tape ou fais un copier coller de : Ndisuio
- Type de recherche : sélectionne l'option 6 puis valide [entree]

OAD va maintenant rechercher le fichier. Laisse le travailler jusqu'à ce qu'il en ai terminé.
Le rapport de recherche s'affichera automatiquement à dès qu'il en aura terminé.

- Fais un copier / coller de ce rapport dans ton prochain post.

Note importante : Suivant la taille des disques dur cette recherche peut prendre plusieurs minutes. Sois patient(e).

L'idée est de vérifier qu'il n'y a pas d'autres clés.

Exploit + Bagle + autres / besoin d'aide !

42 réponses

Votre réponse

Discussions similaires

Newsletters