Sujet Précédent Sujet Suivant

PC antispyware + Security System

Résolu/Fermé
microsting Messages postés 16 Date d'inscription samedi 5 avril 2008 Statut Membre Dernière intervention 6 avril 2008 - 5 avril 2008 à 16:29
microsting Messages postés 16 Date d'inscription samedi 5 avril 2008 Statut Membre Dernière intervention 6 avril 2008 - 6 avril 2008 à 16:34
Bonjour,

Suit un malheureux clic, je me retrouve infecté par 2 pseudos antispywares.
J'ai déjà eu certaines de ces saletés mais ces deux-ci je n'arrive pas à les virer...

Voici le rapport Navilog:

Search Navipromo version 3.5.2 commencé le sam. 05/04/2008 à 16:21:23,04

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Postez ce rapport sur le forum pour le faire analyser !!!
!!! Ne lancez pas la partie désinfection sans l'avis d'un spécialiste !!!

Outil exécuté depuis C:\Program Files\navilog1
Session actuelle : "Francis"

Mise à jour le 29.03.2008 à 22h00 par IL-MAFIOSO


Microsoft Windows XP [version 5.1.2600]
Internet Explorer : 6.0.2900.2180
Système de fichiers : NTFS

Executé en mode normal

*** Recherche Programmes installés ***




*** Recherche dossiers dans C:\WINDOWS ***



*** Recherche dossiers dans C:\Program Files ***



*** Recherche dossiers dans C:\DOCUME~1\ALLUSE~1\APPLIC~1 ***




*** Recherche dossiers dans "C:\Documents and Settings\Francis\applic~1" ***



*** Recherche dossiers dans "C:\Documents and Settings\Francis\locals~1\applic~1" ***



*** Recherche dossiers dans "C:\Documents and Settings\Francis\menudm~1\progra~1" ***


*** Recherche dossiers dans C:\DOCUME~1\ALLUSE~1\MENUDM~1\PROGRA~1 ***


*** Recherche avec Catchme-rootkit/stealth malware detector par gmer ***
pour + d'infos : http://www.gmer.net

Aucun Fichier trouvé



*** Recherche avec GenericNaviSearch ***
!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!
!!! A vérifier impérativement avant toute suppression manuelle !!!

* Recherche dans C:\WINDOWS\system32 *

* Recherche dans "C:\Documents and Settings\Francis\locals~1\applic~1" *

* Recherche dans "C:\DOCUME~1\ADMINI~1\locals~1\applic~1" *

* Recherche dans "C:\DOCUME~1\INVIT~1\locals~1\applic~1" *



*** Recherche fichiers ***




*** Recherche clés spécifiques dans le Registre ***


*** Module de Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche nouveaux fichiers Instant Access :


2)Recherche Heuristique :

* Dans C:\WINDOWS\system32 :


* Dans "C:\Documents and Settings\Francis\locals~1\applic~1" :


* Dans "C:\DOCUME~1\ADMINI~1\locals~1\applic~1" :


* Dans "C:\DOCUME~1\INVIT~1\locals~1\applic~1" :


3)Recherche Certificats :

Certificat Egroup absent !
Certificat Electronic-Group absent !
Certificat OOO-Favorit absent !
Certificat Sunny-Day-Design-Ltd absent !

4)Recherche fichiers connus :



*** Analyse terminée le sam. 05/04/2008 à 16:27:50,56 ***
A voir également:

13 réponses

Réponse 1 / 13
Tera
5 avril 2008 à 16:31
Peux-tu faire un rapport Hijackthis et le poster ici STP :-)
0
microsting Messages postés 16 Date d'inscription samedi 5 avril 2008 Statut Membre Dernière intervention 6 avril 2008
5 avril 2008 à 16:33
Voila

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:33:12, on 5/04/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\aswUpdSv.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashServ.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\CTsvcCDA.EXE
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\WINDOWS\system32\svchost.exe
C:\Documents and Settings\All Users\Application Data\wjulopmj\ipklivij.exe
C:\WINDOWS\ehome\ehtray.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\sm56hlpr.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\DOCUME~1\Francis\MESDOC~1\PROGRA~1\Avast\ashDisp.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Daemon Tool\DAEMON Tools\daemon.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Creative\Detector\CTDetect.exe
C:\WINDOWS\system32\ktohatep.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashMaiSv.exe
C:\Program Files\Siemens\SANTIS WLAN\WlanMonitor.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashWebSv.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\WINDOWS\system32\dllhost.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Mozilla\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Ad Aware\aawservice.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: GNX Bingo - {F742E03D-8892-42AE-8049-CB5A51BE5B14} - C:\WINDOWS\svpekgonqba.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [Raccourci vers la page des propriétés de High Definition Audio] HDAShCut.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [avast!] C:\DOCUME~1\Francis\MESDOC~1\PROGRA~1\Avast\ashDisp.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Documents and Settings\Francis\Mes documents\Programmes\Quick Time\qttask.exe" -atboottime
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Documents and Settings\Francis\Mes documents\Programmes\Daemon Tool\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Creative Detector] C:\Documents and Settings\Francis\Mes documents\Programmes\Creative\Detector\CTDetect.exe /R
O4 - HKCU\..\Run: [mnkccnnr] C:\WINDOWS\system32\ktohatep.exe
O4 - HKLM\..\Policies\Explorer\Run: [IHy6sPqLIs] C:\Documents and Settings\All Users\Application Data\wjulopmj\ipklivij.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: SANTIS USB and PC Card Utility.lnk = C:\Program Files\Siemens\SANTIS WLAN\WlanMonitor.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Documents and Settings\Francis\Mes documents\Programmes\Ad Aware\aawservice.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashWebSv.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE
0
Réponse 2 / 13
Tera
5 avril 2008 à 16:38
Télécharge SmitfraudFix ici : http://siri.urz.free.fr/Fix/SmitfraudFix.exe puis lance le script en recherche uniquement pour l'instant dans un répertoire sur le bureau, un rapport s'ouvrira que tu enregistras et que tu posteras ici :-)
0
microsting Messages postés 16 Date d'inscription samedi 5 avril 2008 Statut Membre Dernière intervention 6 avril 2008
5 avril 2008 à 16:42
Voici le scan:

SmitFraudFix v2.309

Rapport fait à 16:41:27,87, sam. 05/04/2008
Executé à partir de C:\Documents and Settings\Francis\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\aswUpdSv.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashServ.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\CTsvcCDA.EXE
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\WINDOWS\system32\svchost.exe
C:\Documents and Settings\All Users\Application Data\wjulopmj\ipklivij.exe
C:\WINDOWS\ehome\ehtray.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\sm56hlpr.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\DOCUME~1\Francis\MESDOC~1\PROGRA~1\Avast\ashDisp.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Daemon Tool\DAEMON Tools\daemon.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Creative\Detector\CTDetect.exe
C:\WINDOWS\system32\ktohatep.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashMaiSv.exe
C:\Program Files\Siemens\SANTIS WLAN\WlanMonitor.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashWebSv.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\WINDOWS\system32\dllhost.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Mozilla\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Ad Aware\aawservice.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Francis


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Francis\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\Francis\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"


»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri
+--------------------------------------------------+
[!] Suspicious: svpekgonqba.dll
BHO: GNX Bingo - {F742E03D-8892-42AE-8049-CB5A51BE5B14}
TypeLib: {CB1A2124-59CA-4C03-A632-9CAEF57A6C25}
Interface: {F0CF5598-33F4-4191-92BE-AA43520E52CC}
Interface: {F95FE966-7487-4850-8BFF-F48A80ACD934}


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Rustock



»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Intel(R) PRO/Wireless 3945ABG Network Connection - Miniport d'ordonnancement de paquets
DNS Server Search Order: 192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{B343DF9F-3F02-46E1-B536-F5D5D78F2306}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{B343DF9F-3F02-46E1-B536-F5D5D78F2306}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS3\Services\Tcpip\..\{B343DF9F-3F02-46E1-B536-F5D5D78F2306}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin
0
Réponse 3 / 13
Tera
5 avril 2008 à 16:46
Bon, la BHO infectieuse se retrouve ici donc relance ton Pc en mode sans échec (F8 au démarrage) et relance smitfraudfix en mode nettoyage, un rapport s'affichera que tu enregistreras. Redémarre ensuite normalement et poste le nouveau rapport SmitfraudFix. Nous verrons après celà pour les lignes à fixer :-)

Bon courage et tiens-moi au courant :-)
0
microsting Messages postés 16 Date d'inscription samedi 5 avril 2008 Statut Membre Dernière intervention 6 avril 2008
5 avril 2008 à 16:48
OK je redemarre et je te dis quoi, merci bien.
0
Tera > microsting Messages postés 16 Date d'inscription samedi 5 avril 2008 Statut Membre Dernière intervention 6 avril 2008
5 avril 2008 à 16:51
Poste ici le nouveau rapport SmitfraudFix du mode sans échec :-)
0
microsting Messages postés 16 Date d'inscription samedi 5 avril 2008 Statut Membre Dernière intervention 6 avril 2008 > Tera
5 avril 2008 à 16:58
Et voila:

SmitFraudFix v2.309

Rapport fait à 16:52:48,00, sam. 05/04/2008
Executé à partir de C:\Documents and Settings\Francis\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» hosts


127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri
C:\WINDOWS\svpekgonqba.dll deleted.


»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

S!Ri's WS2Fix: LSP not Found.


»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés


»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Intel(R) PRO/Wireless 3945ABG Network Connection - Miniport d'ordonnancement de paquets
DNS Server Search Order: 192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{B343DF9F-3F02-46E1-B536-F5D5D78F2306}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{B343DF9F-3F02-46E1-B536-F5D5D78F2306}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS3\Services\Tcpip\..\{B343DF9F-3F02-46E1-B536-F5D5D78F2306}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1


»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

Nettoyage du registre non souhaité.

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin
0
Réponse 4 / 13
Tera
5 avril 2008 à 17:12
As-tu Ccleaner, si tu ne l'as pas télécharge-le ici et prends la version portable cela évite d'installer la Toolbar par mégarde : https://www.ccleaner.com/ccleaner/download

Décompresse les fichiers de l'archive dans un répertoire sur le bureau par exemple

Tiens-moi au courant:-)
0
microsting Messages postés 16 Date d'inscription samedi 5 avril 2008 Statut Membre Dernière intervention 6 avril 2008
5 avril 2008 à 17:18
Heu je dois faire quoi avec ce programme? Je fais juste un scan puis un nettoyage?
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 13
tera
5 avril 2008 à 17:20
Relance HijackThis, clique sur do a "system scan only" puis coches les lignes suivantes et cliques sur Fixchecked :

O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Documents and Settings\Francis\Mes documents\Programmes\Quick Time\qttask.exe" -atboottime
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

Ceci allègera déja le démarrage :-) . Relance le Pc, vois ce que ca donne et reposte-moi un rapport Hijackthis

Tiens-moi au courant
0
microsting Messages postés 16 Date d'inscription samedi 5 avril 2008 Statut Membre Dernière intervention 6 avril 2008
5 avril 2008 à 17:29
Voila le rapport:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:28:56, on 5/04/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Ad Aware\aawservice.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\aswUpdSv.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashServ.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Documents and Settings\All Users\Application Data\wjulopmj\ipklivij.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\sm56hlpr.exe
C:\DOCUME~1\Francis\MESDOC~1\PROGRA~1\Avast\ashDisp.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Daemon Tool\DAEMON Tools\daemon.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\ktohatep.exe
C:\Program Files\Siemens\SANTIS WLAN\WlanMonitor.exe
C:\WINDOWS\system32\CTsvcCDA.EXE
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\WINDOWS\system32\svchost.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashMaiSv.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashWebSv.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O4 - HKLM\..\Run: [Raccourci vers la page des propriétés de High Definition Audio] HDAShCut.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [avast!] C:\DOCUME~1\Francis\MESDOC~1\PROGRA~1\Avast\ashDisp.exe
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Documents and Settings\Francis\Mes documents\Programmes\Daemon Tool\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Creative Detector] C:\Documents and Settings\Francis\Mes documents\Programmes\Creative\Detector\CTDetect.exe /R
O4 - HKCU\..\Run: [mnkccnnr] C:\WINDOWS\system32\ktohatep.exe
O4 - HKLM\..\Policies\Explorer\Run: [IHy6sPqLIs] C:\Documents and Settings\All Users\Application Data\wjulopmj\ipklivij.exe
O4 - Global Startup: SANTIS USB and PC Card Utility.lnk = C:\Program Files\Siemens\SANTIS WLAN\WlanMonitor.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Documents and Settings\Francis\Mes documents\Programmes\Ad Aware\aawservice.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashWebSv.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE
0
Réponse 6 / 13
Tera
5 avril 2008 à 17:46
Télécharges Clean.zip de Malekal : http://www.malekal.com/download/clean.zip

Décompresse l'archive dans un répertoire du bureau et lance le fichier scan.bat et fais une recherche uniquement puis enregistre et poste le rapport ici :-)

Tiens-moi au courant :-)
0
microsting Messages postés 16 Date d'inscription samedi 5 avril 2008 Statut Membre Dernière intervention 6 avril 2008
5 avril 2008 à 17:56
Ok, jte dis quoi dès que c'est fait car le le bat réagit plus trop...
(Il me demande d'appuyer sur une touche pour continuer, ce que je fait, mais rien ne continue.)

En passant une fenêtre s'est ouverte avec quelque chose du genre "trojan downloader machin: vous êtes infecté".

Je supporte pas ces salopris :p
0
Réponse 7 / 13
tera
5 avril 2008 à 18:02
Quand tu passes les Fix Clean.zip ou autres, il faut les passer en désactivant tes protections résidentes (Anti-virus et anti-pywares) mais ce n'est pas grave :-)

Va sur le site VirusTotal et scanne les fichiers suivants :
C:\WINDOWS\system32\ktohatep.exe
C:\Documents and Settings\All Users\Application Data\wjulopmj\ipklivij.exe

poste ici le rapport du site VirusTotal concernant ces 2 fichiers :-)

Tiens-moi au courant:-)
0
microsting Messages postés 16 Date d'inscription samedi 5 avril 2008 Statut Membre Dernière intervention 6 avril 2008
5 avril 2008 à 18:07
Ah je pense que ktohatep.exe n'est pas apprécié de tous :p

Fichier ktohatep.exe reçu le 2008.04.05 18:04:59 (CET)
Situation actuelle: en cours de chargement ... mis en file d'attente en attente en cours d'analyse terminé NON TROUVE ARRETE
Résultat: 9/32 (28.13%)
en train de charger les informations du serveur...
Votre fichier est dans la file d'attente, en position: 3.
L'heure estimée de démarrage est entre 45 et 65 secondes.
Ne fermez pas la fenêtre avant la fin de l'analyse.
L'analyseur qui traitait votre fichier est actuellement stoppé, nous allons attendre quelques secondes pour tenter de récupérer vos résultats.
Si vous attendez depuis plus de cinq minutes, vous devez renvoyer votre fichier.
Votre fichier est, en ce moment, en cours d'analyse par VirusTotal,
les résultats seront affichés au fur et à mesure de leur génération.
Formaté Formaté
Impression des résultats Impression des résultats
Votre fichier a expiré ou n'existe pas.
Le service est en ce moment, stoppé, votre fichier attend d'être analysé (position : ) depuis une durée indéfinie.

Vous pouvez attendre une réponse du Web (re-chargement automatique) ou taper votre e-mail dans le formulaire ci-dessous et cliquer "Demande" pour que le système vous envoie une notification quand l'analyse sera terminée.
Email:

Antivirus Version Dernière mise à jour Résultat
AhnLab-V3 2008.4.4.1 2008.04.04 -
AntiVir 7.6.0.81 2008.04.04 TR/Crypt.XPACK.Gen
Authentium 4.93.8 2008.04.05 -
Avast 4.7.1098.0 2008.04.04 -
AVG 7.5.0.516 2008.04.05 Downloader.Obfuskated
BitDefender 7.2 2008.04.05 -
CAT-QuickHeal 9.50 2008.04.05 -
ClamAV 0.92.1 2008.04.05 -
DrWeb 4.44.0.09170 2008.04.05 -
eSafe 7.0.15.0 2008.04.01 -
eTrust-Vet 31.3.5672 2008.04.04 -
Ewido 4.0 2008.04.05 -
F-Prot 4.4.2.54 2008.04.05 -
F-Secure 6.70.13260.0 2008.04.05 Trojan-Downloader.Win32.Agent.miz
FileAdvisor 1 2008.04.05 -
Fortinet 3.14.0.0 2008.04.05 -
Ikarus T3.1.1.20.0 2008.04.05 Trojan-Downloader.Win32.Agent.miz
Kaspersky 7.0.0.125 2008.04.05 Trojan-Downloader.Win32.Agent.miz
McAfee 5267 2008.04.04 -
Microsoft 1.3408 2008.04.05 Trojan:Win32/Busky.EC
NOD32v2 3004 2008.04.05 -
Norman 5.80.02 2008.04.04 -
Panda 9.0.0.4 2008.04.05 -
Prevx1 V2 2008.04.05 Downloader.Obfuskated
Rising 20.38.60.00 2008.04.03 -
Sophos 4.28.0 2008.04.05 Mal/Generic-A
Sunbelt 3.0.1032.0 2008.04.05 -
Symantec 10 2008.04.05 -
TheHacker 6.2.92.265 2008.04.04 -
VBA32 3.12.6.3 2008.03.25 -
VirusBuster 4.3.26:9 2008.04.04 -
Webwasher-Gateway 6.6.2 2008.04.04 Trojan.Crypt.XPACK.Gen
Information additionnelle
File size: 102400 bytes
MD5...: 5f8ff8c726ae8790f1ce04a7475d1705
SHA1..: 994eb2fa21afdb42beaaeaf55e92c5bf3f715167
SHA256: 3df05c1ea3ee02f916876e85f99f1874009be2a0a08e8f50628994b352393306
SHA512: aee337449f564450c42dc33601bb97dc873a2d8c2b5594e7dc695ff254d91780
93c6932faf1b323d424b7034d78b491bd20f609e9ec089fb9a302ffeb91961c4
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x403ddf
timedatestamp.....: 0x47f33d7c (Wed Apr 02 08:02:04 2008)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x15b28 0x16000 6.85 6bcbfa4e144b468b4753d99a1a3ec78d
.rdata 0x17000 0x70 0x1000 0.18 c2bffff0964ba6a684e7471d027de697
.data 0x18000 0x2f30 0x1000 0.00 620f0b67a91f7f74151bc5be745b7110

( 1 imports )
> KERNEL32.dll: GetProcAddress, LoadLibraryA

( 0 exports )
Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=FA56224F00CAE261903C0122DE6EBC00C2488753

ATENTION ATTENTION: VirusTotal iest un service gratuit offert par Hispasec Sistemas. Il n'y a aucune garantie quant à la disponibilité et la continuité de ce service. Bien que le taux de détection permis par l'utilisation de multiples moteurs antivirus soit bien supérieur à celui offert par seulement un produit, ces résultats NE garantissent PAS qu'un fichier est sans danger. Il n'y a actuellement aucune solution qui offre un taux d'efficacité de 100% pour la détection des virus et malwares.

je scan l'autre et je l'envoie.

PS: une nouvelle fenetre vient de s'ouvrir "System Integrity Scan Wizard" (encore un sale malware)
0
microsting Messages postés 16 Date d'inscription samedi 5 avril 2008 Statut Membre Dernière intervention 6 avril 2008
5 avril 2008 à 18:16
et voila pour l'autre executable:

AhnLab-V3 2008.4.4.1 2008.04.04 -
AntiVir 7.6.0.81 2008.04.04 TR/Crypt.XPACK.Gen
Authentium 4.93.8 2008.04.05 -
Avast 4.7.1098.0 2008.04.04 -
AVG 7.5.0.516 2008.04.05 -
BitDefender 7.2 2008.04.05 -
CAT-QuickHeal 9.50 2008.04.05 Win32.Trojan.Obfuscated.gx.3
ClamAV 0.92.1 2008.04.05 -
DrWeb 4.44.0.09170 2008.04.05 -
eSafe 7.0.15.0 2008.04.01 suspicious Trojan/Worm
eTrust-Vet 31.3.5672 2008.04.04 -
Ewido 4.0 2008.04.05 -
F-Prot 4.4.2.54 2008.04.05 -
F-Secure 6.70.13260.0 2008.04.05 -
FileAdvisor 1 2008.04.05 -
Fortinet 3.14.0.0 2008.04.05 -
Ikarus T3.1.1.20 2008.04.05 -
Kaspersky 7.0.0.125 2008.04.05 -
McAfee 5267 2008.04.04 -
Microsoft 1.3408 2008.04.05 Trojan:Win32/Busky.ED
NOD32v2 3004 2008.04.05 -
Norman 5.80.02 2008.04.04 -
Panda 9.0.0.4 2008.04.05 Suspicious file
Prevx1 V2 2008.04.05 Heuristic: Suspicious File With Outbound Communications
Rising 20.38.60.00 2008.04.03 -
Sophos 4.28.0 2008.04.05 -
Sunbelt 3.0.1032.0 2008.04.05 -
Symantec 10 2008.04.05 -
TheHacker 6.2.92.265 2008.04.04 -
VBA32 3.12.6.3 2008.03.25 -
VirusBuster 4.3.26:9 2008.04.04 -
Webwasher-Gateway 6.6.2 2008.04.04 Trojan.Crypt.XPACK.Gen
Information additionnelle
File size: 44032 bytes
MD5...: 68d8fdff3b0d3f733642b94f59711f62
SHA1..: 97d787bd190b288a1a2cf141425f213d03b981b9
SHA256: cb76b21b6f08c0b900b50854becc9d6a7d714b0f3db924c12737ea79bc41bac3
SHA512: 87c8ea3657a8ab8f8a9ee561f80a0fbf1cfbe0def820a7dba1be0f9dbc92a78a
f030a34a9737466d0aab04b1c970e3f2c031c711916a9bc0852c84ba3d4cd7e4
PEiD..: UPX 2.90 [LZMA] -> Markus Oberhumer, Laszlo Molnar & John Reiser
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x412690
timedatestamp.....: 0x47f33d7b (Wed Apr 02 08:02:03 2008)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
UPX0 0x1000 0x7000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
UPX1 0x8000 0xb000 0xa800 7.95 aec27a8fbc44283c44fd09adb474aeb6
UPX2 0x13000 0x1000 0x200 1.11 fc0291b95e91c9b53c4377e42b7e129d

( 1 imports )
> KERNEL32.DLL: LoadLibraryA, GetProcAddress, ExitProcess

( 0 exports )
packers: UPX
packers: UPX
packers: UPX
Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=0731284800946098AC1F004454BD270025E2466C
0
Réponse 8 / 13
tera
5 avril 2008 à 18:23
Il faut fixer maintenant dans Hijackthis (tu connais la manip maintenant) les lignes suivantes :

O4 - HKCU\..\Run: [mnkccnnr] C:\WINDOWS\system32\ktohatep.exe
O4 - HKLM\..\Policies\Explorer\Run: [IHy6sPqLIs] C:\Documents and Settings\All Users\Application Data\wjulopmj\ipklivij.exe

Ensuite télécharge OTMoveIt
http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe (de Old_Timer) sur ton Bureau. Ou sur https://www.luanagames.com/index.fr.html
double-clique sur OTMoveIt.exe pour le lancer.
copie la liste qui se trouve en citation ci-dessous,
et colle-la dans le cadre de gauche de OTMoveIt :Paste List of Files/Folders to be moved.

Citation :

C:\WINDOWS\system32\ktohatep.exe
C:\Documents and Settings\All Users\Application Data\wjulopmj\ipklivij.exe


clique sur MoveIt! pour lancer la suppression.
le résultat apparaitra dans le cadre "Results".
clique sur Exit pour fermer.
poste le rapport situé dans C:\_OTMoveIt\MovedFiles.

il te sera peut-être demander de redémarrer le pc pour achever la suppression.si c'est le cas accepte par Yes.

_______________________

recolle hijakthis et dis tes problemes
0
microsting Messages postés 16 Date d'inscription samedi 5 avril 2008 Statut Membre Dernière intervention 6 avril 2008
5 avril 2008 à 18:27
Voila le rapport de MoveIt:

C:\WINDOWS\system32\ktohatep.exe moved successfully.
C:\Documents and Settings\All Users\Application Data\wjulopmj\ipklivij.exe moved successfully.

OTMoveIt2 by OldTimer - Version 1.0.4.0 log created on 04052008_182548


Et de hijack:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:27:23, on 5/04/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Ad Aware\aawservice.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\aswUpdSv.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashServ.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\sm56hlpr.exe
C:\DOCUME~1\Francis\MESDOC~1\PROGRA~1\Avast\ashDisp.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Daemon Tool\DAEMON Tools\daemon.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Siemens\SANTIS WLAN\WlanMonitor.exe
C:\WINDOWS\system32\CTsvcCDA.EXE
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\dllhost.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Mozilla\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashMaiSv.exe
C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashWebSv.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O4 - HKLM\..\Run: [Raccourci vers la page des propriétés de High Definition Audio] HDAShCut.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [avast!] C:\DOCUME~1\Francis\MESDOC~1\PROGRA~1\Avast\ashDisp.exe
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Documents and Settings\Francis\Mes documents\Programmes\Daemon Tool\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Creative Detector] C:\Documents and Settings\Francis\Mes documents\Programmes\Creative\Detector\CTDetect.exe /R
O4 - Global Startup: SANTIS USB and PC Card Utility.lnk = C:\Program Files\Siemens\SANTIS WLAN\WlanMonitor.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Documents and Settings\Francis\Mes documents\Programmes\Ad Aware\aawservice.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Documents and Settings\Francis\Mes documents\Programmes\Avast\ashWebSv.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE
0
Réponse 9 / 13
Tera
5 avril 2008 à 18:32
As-tu encore des problèmes ? :-)
0
microsting Messages postés 16 Date d'inscription samedi 5 avril 2008 Statut Membre Dernière intervention 6 avril 2008
5 avril 2008 à 18:35
A première vue tout semble normal, je n'ai plus eu d'intervention de ces malware depuis la suppression avec MoveIt.

Merci de m'avoir consacré une partie de ton temps :)

Je pense que le problème est résolu (je reposterai dans le cas contraire :p )

Un tout grand merci.
0
Réponse 10 / 13
tera
5 avril 2008 à 18:34
J'aimerais que tu me fasses un rapport Clean de Malekal en mode recherche uniquement pour voir ce que ca donne :-)
Désactive tes protections avant :-)
0
Réponse 11 / 13
tera
5 avril 2008 à 18:38
Un conseil tu as Avast qui est très très loin d'être parfait, désinstalle-le et installe Antivir bien plus performant (voir tuto et téléchargement ici : https://www.malekal.com/avira-free-security-antivirus-gratuit/
0
microsting Messages postés 16 Date d'inscription samedi 5 avril 2008 Statut Membre Dernière intervention 6 avril 2008
6 avril 2008 à 14:06
Bonjour,

J'ai viré Avast et mis antivir, seul problème il refuse de mettre la base de données virale à jour pour raison de "licence périmée"...

Heu pour ce qui est du rapport de Clean, il plante toujours a l'envoi du fichier.
0
Réponse 12 / 13
Tera
6 avril 2008 à 15:18
Bizarre pour Antivir, je l'ai sur le mien et je l'ai installé il y a 2 jours à peine sur un autre poste et pas de problèmes. Normalement la licence va jusqu'à fin Mai 2008 et est automatiquement renouvellé. As-tu bien téléchargé Antivir sur leur site : https://www.avira.com/en/downloads et autorisé une exception dans ton pare-feu ?

Si tu n'as plus de problèmes de trojans, il faut maintenant finaliser la désinfection :

1) Dans le Menu Démarrer, faire un clic-droit sur le poste de travail puis propriétés dans l'onglet restauration du système coche la case désactiver la restauration du système puis sur appliquer. Refaire la même manip en décochant la case. (ceci pour vider tes restaurations systèmes qui sont encore infectées)

2) Lance Ccleaner, dans l'onglet Nettoyeur cliques sur analyse puis lorsque cette dernière est faite cliques sur lancer le nettoyage :-)
Puis dans l'onglet Registre, cliques sur chercher les erreurs puis sur réparer les erreurs sélectionnées (il te demandera si tu veux sauvegarder le registre fais-le dans un répertoire à part sur le bureau par exemple). Cette manip est à faire 2 ou 3 fois jusqu'à ce qu'il n'y ait plus rien dans "chercher les erreurs" :-) Ton système sera ainsi bien nettoyé :-)

Concernant les MAJ d'antivir je cherche car je n'ai jamais rencontré ce problème :-)
0
Réponse 13 / 13
Tera
6 avril 2008 à 15:29
Essaie ceci pour le problème de licence :

Une brève recherche sur le site de l'éditeur et je trouve une solution bien plus simple qui ne m'impose pas de désinstaller le programme, LA solution? et bien tout simplement télécharger une nouvelle licence de quelques Ko et de la copier dans le répertoire où est installer antivir (ex: C:\Program Files\AntiVir PersonalEdition Classic) le fichier à remplacer donc celui que l'on télécharge est: hbedv.key

Pour ce faire:

1- aller sur le site de l'éditeur:
https://www.avira.com/

2- Cliquer sur "Download Now"
de la version "Free of charge basis protection" (la première)

3- La page de téléchargement:
Free Download, faites défiler la page jusqu'à:
Avira AntiVir PersonalEdition Classic (download from Avira)

4- Repérer le mot "licence" suivis de (Current license file for Avira AntiVir PersonalEdition Classic)
cliquer sur License file (ce qui devrait lancer le téléchargement)

5- Après avoir téléchargé le fichier, copiez-le dans le répertoire d'installation d'Antivir

Ensuite même pas besoin de relancer l'application ou de redémarrer l'ordi

Voila!
0
microsting Messages postés 16 Date d'inscription samedi 5 avril 2008 Statut Membre Dernière intervention 6 avril 2008
6 avril 2008 à 16:34
J'avais téléchargé antivir depuis commentsamarche.net et c'est apparemment une version périmée car une fois l'exécutable téléchargé depuis le site d'Avira tout fonctionne a merveille...
(Je ne sais pas si il faut signaler ça à quelqu'un en particulier)

Sinon je n'ai apparemment plus de Trojan et la désinfection est a présent terminée!!!

Un grand merci à toi et bonne journée.
0

Discussions similaires

Boîte mail piratée ?
mike the llama -
mike the llama -

4 réponses