W32/malware supprimé et maintenant probleme!!

Question

Bonjour,j'ai attrapé ce virus avec Norman je l'ai mis en quarantaine et je l'ai supprimé et maintenant quand j'allume mon ordi, il m'ecrit que:Windows retrouve pas\windows\system32\ff.exe'
Et je ne peut plus telecharger avec Emule!!!
Si quelqu'un a eu le meme problème que moi ou alors qu'il sais comment le resoudre me sauverais la mise car c'est la galere!!!
Merci d'avance.

Afficher la suite

X Sphinx · Answer

Bonsoir.Tout d'abord ce n'est pas un virus mais un malware... classé donc plutôt donc des compétences de spybot:http://www.clubic.com/t/fiche2660.htmlInfos:http://www.spywareguide.com/product_show.php?id=480Je pense qu'il faudrait télécharger Easy cleaner et faire le ménage dans les modules de démarrage de Windows (après nettoyage avec spybot):http://www.clubic.com/t/fiche2934.htmlEmule utilisant certains des paramètres de Internet Explorer pour se connecter, si les paramètres de IE ont été modifiés comme j'en suis convaincu (c'est une des "fonctionnalités" de ce malware), il faut réparer le navigateur pour réparer emule.Donc: Spybot, puis:http://www.spywareguide.com/txt_onlinescan.htmlDéjà là... on y verra mieux.Bon courage.@+

chooki 06 · Answer

Merci c'est génial de m'avoir répondu!Je comprends mieux maintenant,c'est juste que je ne sais pas ce que c'est le spybot? Si tu peut m'expliqué puis j'essayerai!Je te tiens au courant,merci......chooki

chooki 06 · Answer

Je ne l'ai pas encore fait mais j'ai compris la manipe,merci.

X Sphinx · Answer

Bonsoir.Spybot est un antispyware, antitrojan, antimalware et anti adware...En gros il supprime les logiciels espions, de publicité, ou de prise de contrôle à distance que l'on peut trouver sur le net, en surfant, en téléchargeant des applications sans les tester ensuite, et ... en installant des programmes marqués par abus comme gratuits alors qu'ils sont pubwares ou adwares: on les paie avec un logiciel d'affichage de pub ou d'envoi d'informations sur nous sur le Web. Cela peut aller jusqu'à l'enregistrement des frappes au clavier! (mots de passe...)De plus ces programmes s'attaquent de plus en plus à Internet Explorer qui n'est PAS sécurisé: changement de la page de démarrage, "barres  d'outils", pub, etc.Spybot élimine tout ça, tout comme Adaware, x cleaner ou d'autres, mais globalement moins performants.@+

chooki 06 · Answer

bonjour Sphinx!!!Je t'ai envoyé un mess aujourd'hui,est ce que tu l'a recu?Merci

X Sphinx · Answer

Heu... non désolé...Un petit mail à la place?@+

chooki 06 · Answer

En fin de compte voila,j'ai fait tout le procesus que tu m'as dit et j'ai fait un sacré netoyage mais j'ai toujours le probleme,quand je rallume l'ordi ce mess:Windows retrouve pas Windows\system32\ff.exe'Et pour Emule au bout de 5mn ces mess d'erreur:L'exception point d'arretUn point d'arret a été atteint.(0x80000003) s'est produite dans l'application a l'emplacement 0x77f65554Deuxieme mess d'erreur:l'instruction a "0x00000000"emploie l'adresse memoire "0x00000000".La memoire ne peut pas etre "read"Si tu peu encore m'aider ce serai génial enfin si tu vois d'ou viens le probleme!!             Merci mille fois CHOOKI

X Sphinx · Answer

Salut!OK bon on a presque fini:Dans Easycleaner, tu vas dans Démarrage et tu regardes si tu l'as... Sinon si tu le voies pas et que tu as XP, tu fais Démarrer, Exécuter, et Msconfig, puis tu le cherches dans les divers onglets de modules de démarrage.Il faut le décocher.Au fait, as tu passé un coup de spywareblaster? si non, je te le recommande!Ensuite je te recommande de faire Démarrer, exécuter, et cmd.Tu tapes:cd windows\System32    et Entréepuis: regsvr32 /u BHO2.dll   et Entréeet: regsvr32 /u MSNIE.dll  et EntéePour le message emule, OK c'est un message d'erreur de Emule.Bon, je te recommande d'aller dans IE, et dans  Outils, tu fais rétablir les paramètres d'origine.Enfin, essaie de réinstaller emule si tu peux, car à mon avis ses paramètres de connexion ont été changés car ce sont les mêmes que ceux de IE, qui ont suffert sur ce coup là.Il y a aussi hijackthis que je te recommande si ça continuait encore à déconner (copie nous ici le résultat de l'analyse, merci).Bon courage.

chooki 06 · Answer

En fesant demarrer,executer et cmd + system32 etc...la reponse est:le module specifié est introuvable.C'est quoi hijackthis,et ou je peut le trouvé?C'est la galere!!!! Je vais voir si tu peut encore m'aidé,autrement je te remercie d'avance.

X Sphinx · Answer

Salut.Pour l'histoire du "module non trouvé" c'est en fait rassurant: là je t'ai fait désenregistrer à la main les mdules de ton spyware. Donc visiblement ils ne sont plus sur la machine! ;)Hijackthis, en attendant spybot 1.3, est assez pratique pour avoir une vue d'ensemble de la machine pour tout ce qui touche au navigateur, aux résidents, et aux modules de démarrage...On peut le trouver ici:http://www.zdnet.fr/telecharger/windows/fiche/0,39021313,39062380s,00.htmJe te recommande de le récupérer, de faire Sca, puis save log, et de mettre le contenu du fichier log ici.Mais que dit spybot quand tu le lance (heu tu n'as pas oublié de le mettre à jour!)? et adaware?As-tu des problèmes dans ton navigateur lorsque tu surfes?@+

chooki 06 · Answer

Bonjour X sphinx,Voila je t'envoie le contenu du fichier log.Et oui j'ai des problemes quand je surfe,pas dans les premieres minutes au bout d'un moment il ne tourne plus les pages.A plus tard http://www.zdnet.fr/telecharger/windows/fiche/0,39021313,39062380s,00.htmLogfile of HijackThis v1.97.7Scan saved at 19:18:15, on 08/03/2004Platform: Windows XP  (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\csrss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\Apps\ActivBoard
hksrv.exeC:\WINDOWS\system32\drivers\dcfssvc.exeC:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exeC:\Norman\NVC\BIN\Zanda.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\system32\slserv.exeC:\WINDOWS\System32\svchost.exeC:\Program Files\Virtual CD v4 SDK\system\vcssecs.exeC:\WINDOWS\Explorer.exeC:\PROGRA~1\MOUSEW~1\SYSTEM\EM_EXEC.EXEC:\Apps\ActivBoard\MMKeybd.exeC:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exeC:\Program Files\Virtual CD v4 SDK\system\vcsplay.exeC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\NORMAN\Nvc\BIN\ZLH.EXEC:\Program Files\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exeC:\Program Files\SAGEM\SAGEM F@st800\DSLMON.exeC:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exeC:\Program Files\KODAK\Kodak EasyShare software\bin\EasyShare.exeC:\Apps\ActivBoard\TrayMon.exeC:\Apps\ActivBoard\OSD.exeC:\PROGRA~1\INCRED~1\bin\IMApp.exeC:\NORMAN\Nvc\BIN
vcoas.exeC:\NORMAN\Nvc\BIN\NYMSE.EXEC:\NORMAN\Nvc\BIN\NVCSCHED.EXEC:\NORMAN\Nvc\BIN\NIP.EXEC:\NORMAN\Nvc\BIN\NJEEVES.EXEC:\NORMAN\Nvc\BIN
ipsvc.exeC:\NORMAN\Nvc\BIN\cclaw.exeC:\Program Files\Avant Browser\iexplore.exeC:\Program Files\eMule\Incoming\hjt\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.scourweb.net/nph-search.cgi?partner=wesb1&look=sbar1_srchbtnR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://freebox.free.fr/R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://search.scourweb.net/nph-search.cgi?partner=wesrch1&look=stmpl1&kw=R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.scourweb.net/nph-search.cgi?partner=wesb1&look=sbar1_srchbtnR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://freebox.free.fr/R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://search.scourweb.net/nph-search.cgi?partner=wesrch1&look=stmpl1&kw=R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensR3 - Default URLSearchHook is missingF0 - system.ini: Shell=Explorer.exe C:\WINDOWS\System32\FF.EXEF2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\System32\FF.EXEO2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\apps\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocxO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll (file missing)O2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - C:\Program Files\Microsoft Money\System\mnyviewer.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll (file missing)O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initializeO4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\MOUSEW~1\SYSTEM\EM_EXEC.EXEO4 - HKLM\..\Run: [ACTIVBOARD] C:\Apps\ActivBoard\MMKeybd.exeO4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exeO4 - HKLM\..\Run: [VCSPlayer] "C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe"O4 - HKLM\..\Run: [NECStartPage] C:\apps\HomePage\HomePgui.exeO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe" -osbootO4 - HKLM\..\Run: [Norman ZANDA] C:\NORMAN\Nvc\BIN\ZLH.EXE /LOAD /SPLASHO4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exeO4 - HKCU\..\Run: [MoneyAgent] "C:\Program Files\Microsoft Money\System\Money Express.exe"O4 - HKLM\..\RunOnce: [SpyBotSnD] "C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe" /autocheckO4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exeO4 - Global Startup: Contrôleur de calendrier Ulead.lnk = C:\Program Files\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exeO4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st800\DSLMON.exeO4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exeO4 - Global Startup: Logiciel Kodak EasyShare.lnk = C:\Program Files\KODAK\Kodak EasyShare software\bin\EasyShare.exeO8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\binesources\WebMenuImg.htmO8 - Extra context menu item: Ajouter à la liste noire du bloqueur de publicité - C:\Program Files\Avant Browser\AddToADBlackList.htmO8 - Extra context menu item: Bloquer toutes les images issues du même serveur - C:\Program Files\Avant Browser\AddAllToADBlackList.htmO8 - Extra context menu item: Mise en évidence - C:\Program Files\Avant Browser\Highlight.htmO8 - Extra context menu item: Ouvrir tous les liens de cette page... - C:\Program Files\Avant Browser\OpenAllLinks.htmO8 - Extra context menu item: Rechercher - C:\Program Files\Avant Browser\Search.htmO9 - Extra 'Tools' menuitem: Console Java (Sun) (HKLM)O9 - Extra button: Packard Bell (HKLM)O9 - Extra button: Related (HKLM)O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)O9 - Extra button: Real.com (HKLM)O9 - Extra button: MoneySide (HKLM)O9 - Extra button: Messenger (HKLM)O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)O14 - IERESET.INF: START_PAGE_URL=http://freebox.free.fr/O16 - DPF: {09C21411-B9A2-4DE6-8416-4E3B58577BE0} (France Telecom MDM ActiveX Control) - http://imin.cvf.fr/imin_data/ocx/MDM.cabO16 - DPF: {556DDE35-E955-11D0-A707-000000521957} - http://www.xblock.com/download/xclean_micro.exeO16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/09104bc5114be991d916/netzip/RdxIE601_fr.cabO16 - DPF: {5B27C20D-FFB6-4054-BA78-DE4A059BC75A} (Microsoft Office Template Downloader) - http://office.microsoft.com/france/TemplateGallery/msotd.cabO16 - DPF: {6F750200-1362-4815-A476-88533DE61D0C} (Ofoto Upload Manager Class) - http://www.ofoto.fr/downloads/BUM/BUM_WIN_IE_1/axofupld.cabO16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cabO16 - DPF: {EFB22865-F3BC-4309-ADFA-C8E078A7F762} (SysWebTelecomInt Class) - http://www.sponsoradulto.com/es/SysWebTelecom.cabO16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents/setup/downloader/imloader.cabO17 - HKLM\System\CCS\Services\Tcpip\..\{042DE7A9-E52C-4351-8C72-3C4BD0D786E7}: NameServer = 213.228.0.23 212.27.39.1O17 - HKLM\System\CS1\Services\Tcpip\..\{042DE7A9-E52C-4351-8C72-3C4BD0D786E7}: NameServer = 213.228.0.23 212.27.39.1merci!!!!!!!

X Sphinx · Answer

Salut!C:\Apps\ActivBoard
hksrv.exe   =  spywarehttp://www.winpatrol.com/stats.htmlC:\Apps\ActivBoard\MMKeybd.exe = spywarehttp://www.gank.com/spyware/HP/les clef suivantes sont à virer:R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.scourweb.net/nph-search.cgi?partner=wesb1&look=sbar1_srchbtnR1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://search.scourweb.net/nph-search.cgi?partner=wesrch1&look=stmpl1&kw=R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.scourweb.net/nph-search.cgi?partner=wesb1&look=sbar1_srchbtnR1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://search.scourweb.net/nph-search.cgi?partner=wesrch1&look=stmpl1&kw= ET... !!!!!!!!! oufff!!! regarde:F0 - system.ini: Shell=Explorer.exe C:\WINDOWS\System32\FF.EXEF2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\System32\FF.EXE A VIRER !!O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx  EVENTUELLEMENT.. A Virer aussi:O4 - HKLM\..\Run: [ACTIVBOARD] C:\Apps\ActivBoard\MMKeybd.exe O4 - HKLM\..\Run: [NECStartPage] C:\apps\HomePage\HomePgui.exeO4 - HKLM\..\Run: [HPDJ Taskbar Utility]O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe" -osboot O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents/setup/downloader/imloader.cab  CA JE SAIS PAS...@+Tu as essayé cela?http://www.spywareinfo.com/xscan.php

chooki 06 · Answer

Salut X sphinx!!Juste encore un petit truc,pour pas que je fasse de connerie,comment je fait pour les supprimés?Est ce que je vais dans Hijackthis,scan,save log et je les selectionnes puis Fix checked.Ou alors c'est pas du tout ca!En tout cas merci pour tout!!!!!!!CHOOKI

X Sphinx · Answer

Salut!Oui tu as tout à fait raison, c'est comme cela qu'il faut faire.Les lignes où j'ai mis "éventuellement" ou "je sais pas" sont à virer ensuite, après un premier essai, s'il y a encore des soucis.@+

X Sphinx · Answer

Salut!Oui tu as tout à fait raison, c'est comme cela qu'il faut faire.Les lignes où j'ai mis "éventuellement" ou "je sais pas" sont à virer ensuite, après un premier essai, s'il y a encore des soucis.@+

chooki 06 · Answer

Rebonjours!Voila super tout est OK! Plus de mess d'erreur en allumant l'ordi.Par contre eMule toujours le meme probleme!?!Enfin vraiment merci beaucoup,vous m'avez bien aider! C'est rare de nos jours...Chooki

X Sphinx · Answer

Salut.Content de voir que ça a marché...Sinon, pour la mule... je te conseille de la réinstaller.Par contre, as-tu des soucis avec ton navigateur?As-tu bien passé Spybot (une fois de plus, pour bien faire) et as-tu fait la Vaccination (en dessous du module de scan)?Et Spywareguard? tu l'as essayé?En fait, emule utilise certains paramètres de IE, donc si IE est mal configuré, emule couine...@+

chooki 06 · Answer

SalutPour la Mule je l'ai deja réinstaller et Spybot je l'ai bien passé et meme repassé! Et aussi la vaccination.Autrement c'est vrai,quand je surfe au bout d'un moment j'ai des problemes pour tourner les pages.Spywareguard non je crois pas que je l'ai fait! Ou puis je le trouvais?Pour IE j'ai mis les parametre par defaut,comme vous m'avez dit.Merci @+

X Sphinx · Answer

Bon...On va essayer un coup de AdAware, au cas où:http://telecharger.01net.com/windows/Internet/internet_utlitaire/fiches/11643.htmlSinon, poru spywareguad:http://perso.wanadoo.fr/websecurite/eliminer.htm(et même spywareblaster sur la même page il me semble)Enfin, je te recommande de réinstaller IE sp1:http://www.hotline-pc.org/INTERNET/demarrageIE.htmEt ensuite, tu désinstalles Emule, et (j'avais oublié) tu supprimes TOUS les fichiers présents dans son répertoire sur ton disque (heu... si ut as des téléchargement en cours, laisse le répertoire temp).Et ... réinstallation de l'âne! ;)@+

sylvie42 · Answer

bonsoir et merci pour toute ces infos, elles me sont utiles : j'ai norman et des soucis similaires avec malwareje suis tout à la lettre. Spybot a trouve des trucs, mais je fais quoi après?n plus, j'ai un messsage au bout de 5 mn de connection, qui me dit ke mon ordi va s'éteindre ds 60s. J'ai pas sasser, j'ai testé. je suis seulement parvenue a stopper cette action, grace à vos conseils.meric d'avance et a bientot.

white · Answer

http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=0729B255-1A4C-49D0-AE32-E4C874252A83telechargez ca et installez le plus de probleme avec 0x80000003ca marche nikel bisous

faba · Answer

bonsoir c est le forum emule ici? parce que moi j'aurai bien pris un eskimau avant le film..
heu c est juste pour dire une connerie...
svchost.exe c'est quoi au juste?cette merde est tout le temps en train de se connecter et ca me fait c...
voila merci

balltrap34 · Answer

salut faba
fait ca pour voir

alors action numero 1
telecharger ce fichier : a retelecharger chaque fois que vous vouler l utiliser

ftp://www.renonce.com/pub/renonce/Rimouveur.exe

Action numero 2 :o)
Demarrer en mode sans echec :
tapotter sur la touche F8 sans arret desque tu allume ton PC
et si ca ne marche pas utiliser la touche f5 a la place
Appliquer le fichier dans le mode sans echec
le PC redemarre a la fin si c'est pas le cas tu fais un reboot tu ne touche plus a F8 et le PC reviendra tout seul en mode normal sans les virus

Action numero 3
copier ici le contenu du fichier resulata.txt qui se trouve au redemarrage du pc

la chasse et le balltrap ma vrai passion

W32/malware supprimé et maintenant probleme!!

23 réponses

Votre réponse

Discussions similaires

Newsletters