Découvert : cheval de Troie Trojan.Win32.BHO. Résolu/Fermé

Question

Bonjour! 
un cheval de troie a été decouvert sur mon pc, par kaspersky internet security ,et qu' il n'arrive pas à reparer.
Voila ce que ça me dit dans objets non réparés je vais copier coller:

découvert : cheval de Troie Trojan.Win32.BHO.eeh	Le fichier: C:\WINDOWS\system32\idef.dll//PE_Patch.UPX//UPX

découvert : cheval de Troie Trojan.Win32.BHO.eeh	Le fichier: C:\WINDOWS\system32\codef.dll//PE_Patch.UPX//UPX

je suis sur windows xp  il y'a quelqun qui pourrait m'aider SVP ?

nico08 · Answer

il se supprimera au redemarrage du pc

DeNisCoOl · Answer

salut sundown,


- Il existe un outil dans Kaspersky IS 2009 pour exécuter des script particulier mais il faut aller sur leur forum pour te faire aider.
http://grandpublic.kaspersky.fr/forum/


Sinon
------------
Télécharger SmitfraudFix - S!Ri -> http://siri.urz.free.fr/Fix/SmitfraudFix.php
Dézipper la totalité de l'archive smitfraudfix.zip. 
Option 1 - Recherche :
Double cliquer sur smitfraudfix.cmd
Sélectionner 1 pour créer un rapport des fichiers responsables de l'infection.
Poster le rapport dans ton prochain message C:\rapport.txt. 


A+


Denis

DeNisCoOl · Answer

salut sundown,

Un coup d'épée dans l'eau, mais le rapport montre que tu es infecté par la barre MyWebSearch.
On va y aller différemment.


------------
1-Télécharger OTMoveIt2(de Old_Timer)  sur le Bureau. http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe

/!\ Manip crée spécialement pour cette infection, ne pas reproduire seul chez soi sans risquer d’endommager votre système... /!\

Double cliquer sur OTMoveIt2.exe pour le lancer. 
Copier la liste de fichier ou de dossier qui se trouve en gras ci-dessous, 
et coller-la dans le cadre de gauche de OTMoveIt : 
Paste List of Files/Folders to be moved. 

 
C:\PROGRA~1\MYWEBS~1\bar\1.bin\m3SrchMn.exe
C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe 
C:\PROGRA~1\MYWEBS~1\
C:\WINDOWS\system32\idef.dll
C:\WINDOWS\system32\codef.dll

 
Cliquer sur MoveIt!  pour lancer la suppression. 
Le résultat apparaîtra dans le cadre Results. 
Cliquer sur Exit pour fermer. 

Il sera peut-être demander de redémarrer le pc pour achever la suppression. 
Si c'est le cas accepter par Yes. 



Ensuite
------------
2- Suivre les instructions pour télécharger et exécuter MalwareBytes_AntiMalware:
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Après installation fermer vos programmes et votre navigateur:
* MBAM se met automatiquement à jour en fin d'installation

* Dans l'onglet analyse, vérifie que "Exécuter une analyse rapide" n'est pas coché et clique sur le bouton Rechercher pour démarrer l'analyse. 

* Si des malwares ont été détectés, leur liste s'affiche. 
En cliquant sur Suppression (?) , MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 

* MBAM va ouvrir le bloc-notes et y copier le rapport d'analyse. Ferme le bloc-note. (Le rapport peut être retrouvé sous l'onglet Rapports/logs)

*Le coller dans le prochain message

* Pour terminer le nettoyage tu auras peut être besoin de redémarrer.



Et puis
------------------------
3- Cliquer sur HiJackThis pour télécharger (la dernière version) sur votre bureau : 
- Le tutoriel ici (ancienne version) : https://leblogdeclaude.blogspot.com/2006/10/informatique-section-hijackthis.html

- Installer le sur un répertoire dédié (pas un dossier temporaire).
- Double-clic sur Hijackthis.exe.
- Cliquer sur Do a scan and save log file.
- Le rapport s'ouvre sur le Bloc-Note , tout sélectionner (Ctrl+A).
- Copier (Ctrl+C) et Coller (Ctrl+V) le rapport dans le prochain message.
Aide : N'hésite pas à consulter l'aide HiJackThis – 

Pour faciliter l’archivage des messages, vous pouvez vous identifier avec mot de passe, l’inscription est gratuite (en haut à droite).


A+


Denis

DeNisCoOl · Answer

sundown,


Il manque le rapport OTMoveIT, ne t'inquiètes pas tout ce passera bien.

Tu as un détournement DNS et tu es infecté par SweetIM et MyWebSearch n'est pas entièrement éradiqué malgré tout le travail de MBAM ouffff.


-------------
Relancer HiJackthis cliquer sur Do a scan only et cocher les lignes en gras:


R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.sweetim.com
R3 - URLSearchHook: SweetIM ToolbarURLSearchHook Class - {EEE6C35D-6118-11DC-9C72-001320C79847} - C:\Program Files\SweetIM\Toolbars\Internet Explorer\mgHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [MyWebSearch Plugin] rundll32 C:\PROGRA~1\MYWEBS~1\bar\1.bin\M3PLUGIN.DLL,UPF
O4 - HKLM\..\Run: [My Web Search Bar Search Scope Monitor] "C:\PROGRA~1\MYWEBS~1\bar\1.bin\m3SrchMn.exe" /m=0
O4 - HKLM\..\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe
O4 - HKLM\..\Run: [SweetIM] C:\Program Files\SweetIM\Messenger\SweetIM.exe


Comment fixer une ligne: (Merci a Balltrap34 pour cette réalisation vidéo) 
&#61672;	http://pageperso.aol.fr/balltrap34/demohijack.htm  
Fermer toutes tes applications et ton navigateur puis fix checked.


------------
Relancer Smitfraudfix et sélectionner :
Option 5 recherche et suppression détournements DNS
Suivre les instructions


-----------
> Démarre en mode sans échec : après le bip et avant le logo windows tapoter sur la touche F8 (ou F5): menu M.S.E..
Si problème voir Tuto ici
Puis relance la procédure Malwarebytes' Anti-Malware



A+

DeNisCoOl · Answer

salut,

désolée je devais poster le rapport aussi ? je ne savais pas
j'avais oublié de le préciser, oublie de ma part.


le rapport HJThis doit être fait en dernier, car c'est surtout un rapport sur ta machine, donc tant que tu n'as pas fini les autres procédures...

MBAM a t-il encore fait le ménage?

A+

sundown · Answer

salut

j'ai bien respecté les étapes Denis exctement comme indiqué ,depuis le debut , par ordre !!!!!

 sauf qu'on n'est pas encore sortit de l'auberge je crois !!!!!!!!!! le cheval est  bien coriasce !! en furie en plus ! lol ,il n'arete pas de galoper dans tout le systeme , imdomptable ou quoi ????????? 
exuses moi Denis ça fait un sacré boulot tout ça!!!!!!!!!! 
 voici le rapport en mode sans echec:


Malwarebytes' Anti-Malware 1.18
Version de la base de données: 886

23:55:15 24/06/2008
mbam-log-6-24-2008 (23-55-15).txt

Type de recherche: Examen complet (C:\|D:\|E:\|F:\|)
Eléments examinés: 114863
Temps écoulé: 1 hour(s), 10 minute(s), 47 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 20

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\System Volume Information\_restore{C3BB9AF6-70D1-4647-996B-14C6AEF57AA9}\RP80\A0070997.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C3BB9AF6-70D1-4647-996B-14C6AEF57AA9}\RP80\A0071000.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C3BB9AF6-70D1-4647-996B-14C6AEF57AA9}\RP80\A0071002.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C3BB9AF6-70D1-4647-996B-14C6AEF57AA9}\RP80\A0071004.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C3BB9AF6-70D1-4647-996B-14C6AEF57AA9}\RP80\A0071100.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C3BB9AF6-70D1-4647-996B-14C6AEF57AA9}\RP80\A0071101.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C3BB9AF6-70D1-4647-996B-14C6AEF57AA9}\RP80\A0072084.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C3BB9AF6-70D1-4647-996B-14C6AEF57AA9}\RP80\A0072091.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C3BB9AF6-70D1-4647-996B-14C6AEF57AA9}\RP81\A0072104.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C3BB9AF6-70D1-4647-996B-14C6AEF57AA9}\RP81\A0072109.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C3BB9AF6-70D1-4647-996B-14C6AEF57AA9}\RP81\A0073082.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C3BB9AF6-70D1-4647-996B-14C6AEF57AA9}\RP81\A0073098.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C3BB9AF6-70D1-4647-996B-14C6AEF57AA9}\RP81\A0073128.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C3BB9AF6-70D1-4647-996B-14C6AEF57AA9}\RP81\A0073129.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C3BB9AF6-70D1-4647-996B-14C6AEF57AA9}\RP81\A0073147.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C3BB9AF6-70D1-4647-996B-14C6AEF57AA9}\RP81\A0073148.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C3BB9AF6-70D1-4647-996B-14C6AEF57AA9}\RP82\A0074147.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{C3BB9AF6-70D1-4647-996B-14C6AEF57AA9}\RP82\A0074148.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\_OTMoveIt\MovedFiles\06242008_161926\WINDOWS\system32\codef.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\_OTMoveIt\MovedFiles\06242008_161926\WINDOWS\system32\idef.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.


Merci .

DeNisCoOl · Answer

salut sundown,


j'ai bien respecté les étapes Denis exctement comme indiqué ,depuis le debut , par ordre !!!!! 
l'ordre oui mais as tu exécuté ce qu'il fallait, le rapport n'était pas demandé, c'est toujours utile mais il faut le faire en fin de procédure quand les autres ont été exécuté.
as tu bien cocher et fixé les lignes comme je l'ai indiqué ou as tu généré le rapport avant de les fixer.
car il est impossible que la ligne ci dessous soit encore présente car ce n'est pas une infection :
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) 


Erreur de chargement de c:PROGRA-1MYWEBS-1bar .bin M3PLUGIN.DLL 
parce qu'il reste des clé qui essaye de lancer MyWebSearch au démarrage de windows,



Pour continuer
------------
Télécharger Combofix.exe (par sUBs) à partir d’un de ces liens :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe 
https://forospyware.com 
http://www.geekstogo.com/forum/files/file/197-combofix-by-subs/ 

Important, enregistre le sur le bureau.

Bien suivre le tutoriel officiel en français : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix


&#9658; Déconnecte toi d'Internet et referme les fenêtres de tous les programmes en cours. 

&#9658; Désactive provisoirement et seulement le temps de l'utilisation de ComboFix,  la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.

Double clique combofix.exe  et suivre les invites. 
Attention, n'utilise pas ta souris ni ton clavier (ni un autre système de pointage) pendant que le programme tourne. Cela pourrait faire figer l'ordinateur.

Lorsque le scan sera complété, un rapport apparaîtra.

Sélectionner tout le rapport (Ctrl+A), puis Copier (Ctrl+C)/ Coller (Ctrl+V) ce rapport dans la prochaine réponse
- Si le fichier ne s'ouvre pas, il se trouve ici ==> C:\ComboFix.txt)


&#9658; Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. 


A+

sundown · Answer

salut Denis

je n'ai pas encore executer ce que tu m'as dis dans ton dernier msg dis moi stp si c'est tjrs necessaire,appramment c'est réglé!!!!!!!! voilà j'ai relancé Kaspersky ce matin il me dit aucun code malicieux n'as été trouvé .je viens de relancer relancé Hijackthis voici le rapport:


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:33:10, on 25/06/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\VTTimer.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
C:\Program Files\DAP\DAP.EXE
C:\Program Files\SpeedBit Video Accelerator\VideoAccelerator.exe
C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe
C:\WINDOWS\system32\VTtrayp.exe
C:\Program Files\SweetIM\Messenger\SweetIM.exe
C:\Program Files\Atomic Alarm Clock\AtomicAlarmClock.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Program Files\Ares\Ares.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\TechSmith\SnagIt 8\SnagIt32.exe
C:\WINDOWS\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.exe
C:\WINDOWS\BricoPacks\Vista Inspirat 2\UberIcon\UberIcon Manager.exe
C:\WINDOWS\BricoPacks\Vista Inspirat 2\YzShadow\YzShadow.exe
C:\Program Files\TechSmith\SnagIt 8\TSCHelp.exe
C:\Program Files\TechSmith\SnagIt 8\SnagPriv.exe
C:\Program Files\IVT Corporation\BlueSoleil\BlueSoleil_.exe
C:\Program Files\Yahoo!\Messenger\ymsgr_tray.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\PROGRA~1\SPEEDB~1\VideoAcceleratorService.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\SPEEDB~1\VideoAcceleratorEngine.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Windows Live\Messenger\usnsvc.exe
C:\Program Files\Opera\Opera.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://us.rd.yahoo.com/customize/ie/defaults/sb/msgr8/*http://www.yahoo.com/ext/search/search.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://us.rd.yahoo.com/customize/ie/defaults/sp/msgr8/*https://fr.yahoo.com/?p=us
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://fr.yahoo.com/?p=us
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://us.rd.yahoo.com/customize/ie/defaults/su/msgr8/*https://fr.yahoo.com/?p=us
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://us.rd.yahoo.com/customize/ie/defaults/sb/msgr8/*http://www.yahoo.com/ext/search/search.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://us.rd.yahoo.com/customize/ie/defaults/sp/msgr8/*https://fr.yahoo.com/?p=us
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://home.sweetim.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://us.rd.yahoo.com/customize/ie/defaults/su/msgr8/*https://fr.yahoo.com/?p=us
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! ¤u¨ã¦C - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRA~1\Yahoo!\Companion\Installs\cpn\yt.dll
R3 - URLSearchHook: SweetIM ToolbarURLSearchHook Class - {EEE6C35D-6118-11DC-9C72-001320C79847} - C:\Program Files\SweetIM\Toolbars\Internet Explorer\mgHelper.dll
O2 - BHO: SnagIt Toolbar Loader - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Program Files\TechSmith\SnagIt 8\SnagItBHO.dll
O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\PROGRA~1\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Yahoo! IE Services Button - {5BAB4B5B-68BC-4B02-94D6-2FC0DE4A7897} - C:\Program Files\Yahoo!\Common\yiesrvc.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\3.0.1225.9868\swg.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.5000.1021\fr\msntb.dll
O2 - BHO: SWEETIE - {EEE6C35C-6118-11DC-9C72-001320C79847} - C:\Program Files\SweetIM\Toolbars\Internet Explorer\mgToolbarIE.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.5000.1021\fr\msntb.dll
O3 - Toolbar: Yahoo! ¤u¨ã¦C - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRA~1\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Program Files\TechSmith\SnagIt 8\SnagItIEAddin.dll
O3 - Toolbar: SweetIM Toolbar for Internet Explorer - {EEE6C35B-6118-11DC-9C72-001320C79847} - C:\Program Files\SweetIM\Toolbars\Internet Explorer\mgToolbarIE.dll
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe"
O4 - HKLM\..\Run: [MyWebSearch Plugin] rundll32 C:\PROGRA~1\MYWEBS~1\bar\1.bin\M3PLUGIN.DLL,UPF
O4 - HKLM\..\Run: [My Web Search Bar Search Scope Monitor] "C:\PROGRA~1\MYWEBS~1\bar\1.bin\m3SrchMn.exe" /m=0
O4 - HKLM\..\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe
O4 - HKLM\..\Run: [DownloadAccelerator] "C:\Program Files\DAP\DAP.EXE" /STARTUP
O4 - HKLM\..\Run: [SpeedBitVideoAccelerator] "C:\Program Files\SpeedBit Video Accelerator\VideoAccelerator.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe
O4 - HKLM\..\Run: [SweetIM] C:\Program Files\SweetIM\Messenger\SweetIM.exe
O4 - HKCU\..\Run: [SkinClock] C:\Program Files\Atomic Alarm Clock\AtomicAlarmClock.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [ares] "C:\Program Files\Ares\Ares.exe" -h
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Yahoo! Pager] ~"C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe" -quiet
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: hamachi.lnk = C:\Program Files\Hamachi\hamachi.exe
O4 - Startup: RocketDock.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.exe
O4 - Startup: TransBar.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat 2\TransBar\TransBar.exe
O4 - Startup: UberIcon.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat 2\UberIcon\UberIcon Manager.exe
O4 - Startup: Y'z Shadow.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat 2\YzShadow\YzShadow.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: BlueSoleil.lnk = C:\Program Files\IVT Corporation\BlueSoleil\BlueSoleil.exe
O4 - Global Startup: SnagIt 8.lnk = C:\Program Files\TechSmith\SnagIt 8\SnagIt32.exe
O8 - Extra context menu item: &Clean Traces - C:\Program Files\DAP\Privacy Package\dapcleanerie.htm
O8 - Extra context menu item: &Download with &DAP - C:\Program Files\DAP\dapextie.htm
O8 - Extra context menu item: Ajouter à Kaspersky Anti-Banner - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\ie_banner_deny.htm
O8 - Extra context menu item: Download &all with DAP - C:\Program Files\DAP\dapextie2.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Télécharger en utilisant Download &Express - D:\imed\Nouveau dossier (11)\Download Express\Add_Url.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Antivirus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\scieplugin.dll
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Yahoo! Services - {5BAB4B5B-68BC-4B02-94D6-2FC0DE4A7897} - C:\Program Files\Yahoo!\Common\yiesrvc.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (Installation Support) - C:\Program Files\Yahoo!\Common\Yinsthelper.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{6E98FA9F-1C0D-4174-909A-B00C10DB0F74}: NameServer = 41.221.20.4 213.140.2.21
O17 - HKLM\System\CCS\Services\Tcpip\..\{8064F717-F4C5-45F9-8F10-5191B3DF2370}: NameServer = 192.168.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{88E78981-28BD-4A3C-BC56-740E4F2CF821}: NameServer = 192.168.0.1
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: "C:\PROGRA~1\KASPER~1\KASPER~1.0\adialhk.dll",wbsys.dll,
O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Program Files\Ares\chatServer.exe
O23 - Service: Kaspersky Internet Security 6.0 (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com\maconfservice.exe
O23 - Service: My Web Search Service (MyWebSearchService) - Unknown owner - C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwssvc.exe (file missing)
O23 - Service: VideoAcceleratorService - Speedbit Ltd. - C:\PROGRA~1\SPEEDB~1\VideoAcceleratorService.exe

DeNisCoOl · Answer

Re,


- voilà j'ai relancé Kaspersky ce matin il me dit aucun code malicieux n'as été trouvé .
Le problème principale semble être résolu parfait c'est une très bonne nouvelle.

Mais votre rapport HJThis montre toujours les mêmes lignes, je m'interroges, les avez vous fixées?

- Ne pas exécuter Combofix.
Je vous reviens avec une procédure plus simple et moins intrusive pour votre machine.

A+

DeNisCoOl · Answer

sundown,


Désolé pour la longueur de la procédure il y a beaucoup de détails mais rapide à exécuté.
Il ne reste que les barres de pub qui sont remplis de tit cochonneries.


Suivre la procédure suivante.
--------------------- 
1-> Démarrer 
-> Exécuter...  (ou Rechercher sour Vista)
Taper Services.msc puis valider
Double cliquer sur [MyWebSearch Email Plugin]   <=== Attention il y a d’autre service valide (ne pas y  toucher)
Type de démarrage : "Désactiver" 
Cliquer en bas sur "Arrêter" 
Valider les changements. 

/ ! \Continuer la procédure même si vous ne trouvez rien/ ! \

----- 
2-> Ouvrir Hijackthis puis: 
-> Open the Misc Tools Section 
-> Delete an NT Service 
Taper [MyWebSearch Email Plugin] puis valide. 
----------

Recommencer également  avec
[MyWebSearch Plugin]
 [SweetIM] 



Puis
------------
Relancer HiJackthis cliquer sur Do a scan only et cocher les lignes en gras:


R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://home.sweetim.com
R3 - URLSearchHook: SweetIM ToolbarURLSearchHook Class - {EEE6C35D-6118-11DC-9C72-001320C79847} - C:\Program Files\SweetIM\Toolbars\Internet Explorer\mgHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: SWEETIE - {EEE6C35C-6118-11DC-9C72-001320C79847} - C:\Program Files\SweetIM\Toolbars\Internet Explorer\mgToolbarIE.dll
O3 - Toolbar: SweetIM Toolbar for Internet Explorer - {EEE6C35B-6118-11DC-9C72-001320C79847} - C:\Program Files\SweetIM\Toolbars\Internet Explorer\mgToolbarIE.dll
O4 - HKLM\..\Run: [MyWebSearch Plugin] rundll32 C:\PROGRA~1\MYWEBS~1\bar\1.bin\M3PLUGIN.DLL,UPF
O4 - HKLM\..\Run: [My Web Search Bar Search Scope Monitor] "C:\PROGRA~1\MYWEBS~1\bar\1.bin\m3SrchMn.exe" /m=0
O4 - HKLM\..\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SweetIM] C:\Program Files\SweetIM\Messenger\SweetIM.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe


Comment fixer une ligne: (Merci a Balltrap34 pour cette réalisation vidéo) 
&#61672;	http://pageperso.aol.fr/balltrap34/demohijack.htm  
Fermer toutes tes applications et ton navigateur puis fix checked.



Ensuite
-------------
Double cliquer sur OTMoveIt2.exe pour le lancer. 
Copier la liste de fichier ou de dossier qui se trouve en gras ci-dessous, 
et coller-la dans le cadre de gauche de OTMoveIt : 
Paste List of Files/Folders to be moved. 


C:\Program Files\SweetIM\
C:\PROGRA~1\MYWEBS~1\

 
Cliquer sur MoveIt!  pour lancer la suppression. 
Le résultat apparaîtra dans le cadre Results. 
Cliquer sur Exit pour fermer. 

Il sera peut-être demander de redémarrer le pc pour achever la suppression. 
Si c'est le cas accepter par Yes. 


--> Poster le rapport d'OTMoveIt situé dans C:\_OTMoveIt\MovedFiles (contenu du fichier C:\_OTMoveIt\MovedFiles\********_******.log - les *** sont des chiffres représentant la date et l'heure)




Et enfin
------------------------ 
- Cliquer CCleaner (en français) pour nettoyer les fichiers temporaires, cookies... ainsi que les clefs de la base de registre inutile. 

Bien consulter son tutorial ICI
Ensuite dans Options / Avancés, décocher : effacer uniquement les fichiers du répertoires temp de Windows de plus vieux que 48h. 

Bouton Nettoyer (s’assurer que dans l’onglet Windows la case Avancé est décoché), cliquer sur Analyse ensuite cliquer sur Lancer le nettoyage. 

Ensuite sur le bouton Registre (s’assurer que Intégrité du registre est coché) répéter 2 fois les étapes suivantes: 
Chercher les erreurs- Réparer les erreurs sélectionnées 
Ne pas oublier de sauvegarder au cas où il supprimerait une mauvaise clef (peu probable). 

Fichier de sauvegarde à effacer plus tard s’il n’y a pas de problème par la suite. 


- Un autre nettoyeur de registre Wise Registry Cleaner, télécharger et consulter son tutoriel ici : 
https://kerio.probb.fr/t1163-tuto-wise-registry-cleaner
Pour plus de simplicité appuyer sur le lien Clean with 1 click, il n’enlèvera que les réparations de clé sures et se refermera tout seul.



------------
Les adresses ci dessous vous disent elle quelque chose?
41.221.20.4
Address: Mauritius
org-name: Algerie Telecom FAWRI
et cette adresse également?

213.140.2.21
address: 20155 Milano MI
address: Italy


------------
- Envoyer un rapport HJThis uniquement à la fin de la procédure.



A+

afideg · Answer

Bonsoir à tous 

Impossible que Kaspersky Internet Security 6.0 ait laissé passer ces infections :

- découvert : cheval de Troie Trojan.Win32.BHO.eeh Le fichier: C:\WINDOWS\Temp\PR6B.tmp//UPX 
- découvert : cheval de Troie Trojan.Win32.BHO.eeh Le fichier: C:\WINDOWS\Temp\PR6C.tmp 
- découvert : cheval de Troie Trojan.Win32.BHO.eeh Le fichier: C:\_OTMoveIt\MovedFiles\06242008_161926\WINDOWS\system32\codef.dll//PE_Patch.UPX//UPX 
- découvert : cheval de Troie Trojan.Win32.BHO.eeh Le fichier: C:\_OTMoveIt\MovedFiles\06242008_161926\WINDOWS\system32\idef.dll//PE_Patch.UPX/ 

D'ailleurs déjà dans la corbeille de _OTMoveIt ou en Temp\ 
Ce PC manque de nettoyages réguliers.


sundown
As-tu renouvelé ta licence ?
Bizarre que tu sois resté à la version 6.0 !

As-tu des précisions sur PE_Patch.UPX//UPX  ?

Merci
Al.

sundown · Answer

bonjour Denis 

 je n'ai pas trouvé sur la liste de hijackthis  plusieurs des lignes que vous avez mis en gras seuleument 7 sur 12 voilà apparemment elle ont été supromée ou quelquechoses comme ça voilà le rapport:



C:\Program Files\SweetIM\Toolbars\Internet Explorer\resources moved successfully.
C:\Program Files\SweetIM\Toolbars\Internet Explorer\conf moved successfully.
C:\Program Files\SweetIM\Toolbars\Internet Explorer moved successfully.
C:\Program Files\SweetIM\Toolbars moved successfully.
C:\Program Files\SweetIM\Messenger\resources\images moved successfully.
C:\Program Files\SweetIM\Messenger\resources moved successfully.
C:\Program Files\SweetIM\Messenger moved successfully.
C:\Program Files\SweetIM moved successfully.
Folder C:\PROGRA~1\MYWEBS~1\ not found.
 
OTMoveIt2 by OldTimer - Version 1.0.4.2 log created on 06262008_095459

je vais continuer avec CCleaner
 
@+

sundown · Answer

resalut  

pour les adresse je reconnais celle de mon fournisseur adsl: org-name: Algerie Telecom FAWRI
aussi l'adresse IP de mon ordi :41.221.20.4
je n'ai aucune idée sur les autres adresses.

 voilà le rapport : 

Wise Registry Cleaner Run At 26/06/2008
=======================================================================
296 problem(s) found  275 is "Safe to delete items"  21 is "Not fully safe to delete items"
275 problem(s) been fixed  275 is "Safe to delete items"  0 is "Not fully safe to delete items"




voici celui de hijackthis que j'ai fait sans rien fixer j'ai cliquer sur :

Do a system scan and save a logfile




Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:38:35, on 26/06/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\VTTimer.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
C:\Program Files\DAP\DAP.EXE
C:\Program Files\SpeedBit Video Accelerator\VideoAccelerator.exe
C:\WINDOWS\system32\VTtrayp.exe
C:\Program Files\Atomic Alarm Clock\AtomicAlarmClock.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Program Files\Ares\Ares.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\TechSmith\SnagIt 8\SnagIt32.exe
C:\WINDOWS\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\BricoPacks\Vista Inspirat 2\UberIcon\UberIcon Manager.exe
C:\PROGRA~1\SPEEDB~1\VideoAcceleratorService.exe
C:\Program Files\TechSmith\SnagIt 8\TSCHelp.exe
C:\WINDOWS\BricoPacks\Vista Inspirat 2\YzShadow\YzShadow.exe
C:\Program Files\IVT Corporation\BlueSoleil\BlueSoleil_.exe
C:\Program Files\TechSmith\SnagIt 8\SnagPriv.exe
C:\Program Files\Fichiers communs\Real\Update_OB\RealOneMessageCenter.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\SPEEDB~1\VideoAcceleratorEngine.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Opera\Opera.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://us.rd.yahoo.com/customize/ie/defaults/sb/msgr8/*http://www.yahoo.com/ext/search/search.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://us.rd.yahoo.com/customize/ie/defaults/sp/msgr8/*https://fr.yahoo.com/?p=us
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://fr.yahoo.com/?p=us
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://us.rd.yahoo.com/customize/ie/defaults/su/msgr8/*https://fr.yahoo.com/?p=us
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://us.rd.yahoo.com/customize/ie/defaults/sb/msgr8/*http://www.yahoo.com/ext/search/search.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://us.rd.yahoo.com/customize/ie/defaults/sp/msgr8/*https://fr.yahoo.com/?p=us
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://us.rd.yahoo.com/customize/ie/defaults/su/msgr8/*https://fr.yahoo.com/?p=us
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: SnagIt Toolbar Loader - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Program Files\TechSmith\SnagIt 8\SnagItBHO.dll
O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\PROGRA~1\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Yahoo! IE Services Button - {5BAB4B5B-68BC-4B02-94D6-2FC0DE4A7897} - C:\Program Files\Yahoo!\Common\yiesrvc.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\3.0.1225.9868\swg.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.5000.1021\fr\msntb.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.5000.1021\fr\msntb.dll
O3 - Toolbar: Yahoo! ¤u¨ã¦C - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRA~1\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Program Files\TechSmith\SnagIt 8\SnagItIEAddin.dll
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe"
O4 - HKLM\..\Run: [DownloadAccelerator] "C:\Program Files\DAP\DAP.EXE" /STARTUP
O4 - HKLM\..\Run: [SpeedBitVideoAccelerator] "C:\Program Files\SpeedBit Video Accelerator\VideoAccelerator.exe"
O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe
O4 - HKCU\..\Run: [SkinClock] C:\Program Files\Atomic Alarm Clock\AtomicAlarmClock.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [ares] "C:\Program Files\Ares\Ares.exe" -h
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Yahoo! Pager] ~"C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe" -quiet
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: hamachi.lnk = C:\Program Files\Hamachi\hamachi.exe
O4 - Startup: RocketDock.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.exe
O4 - Startup: TransBar.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat 2\TransBar\TransBar.exe
O4 - Startup: UberIcon.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat 2\UberIcon\UberIcon Manager.exe
O4 - Startup: Y'z Shadow.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat 2\YzShadow\YzShadow.exe
O4 - Global Startup: BlueSoleil.lnk = C:\Program Files\IVT Corporation\BlueSoleil\BlueSoleil.exe
O4 - Global Startup: SnagIt 8.lnk = C:\Program Files\TechSmith\SnagIt 8\SnagIt32.exe
O8 - Extra context menu item: &Clean Traces - C:\Program Files\DAP\Privacy Package\dapcleanerie.htm
O8 - Extra context menu item: &Download with &DAP - C:\Program Files\DAP\dapextie.htm
O8 - Extra context menu item: Ajouter à Kaspersky Anti-Banner - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\ie_banner_deny.htm
O8 - Extra context menu item: Download &all with DAP - C:\Program Files\DAP\dapextie2.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Télécharger en utilisant Download &Express - D:\imed\Nouveau dossier (11)\Download Express\Add_Url.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Antivirus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\scieplugin.dll
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Yahoo! Services - {5BAB4B5B-68BC-4B02-94D6-2FC0DE4A7897} - C:\Program Files\Yahoo!\Common\yiesrvc.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (Installation Support) - C:\Program Files\Yahoo!\Common\Yinsthelper.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{6E98FA9F-1C0D-4174-909A-B00C10DB0F74}: NameServer = 41.221.20.4 213.140.2.21
O17 - HKLM\System\CCS\Services\Tcpip\..\{8064F717-F4C5-45F9-8F10-5191B3DF2370}: NameServer = 192.168.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{88E78981-28BD-4A3C-BC56-740E4F2CF821}: NameServer = 192.168.0.1
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: "C:\PROGRA~1\KASPER~1\KASPER~1.0\adialhk.dll",wbsys.dll,
O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Program Files\Ares\chatServer.exe
O23 - Service: Kaspersky Internet Security 6.0 (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com\maconfservice.exe
O23 - Service: VideoAcceleratorService - Speedbit Ltd. - C:\PROGRA~1\SPEEDB~1\VideoAcceleratorService.exe

DeNisCoOl · Answer

salut,


- Je préfères ton rapport maintenant.
Bizarre que tu sois resté à la version 6.0 ! 
la mise à jour vers la version 7 est gratuite tu pourras même surement passer à la version 8 2009, qui est disponible maintenant.


- je n'ai aucune idée sur les autres adresses. 
ton FAI doit être en accord avec fastweb italie:
IP address:                     213.140.2.21
Reverse DNS:                    dns2.fastweb.it.
Reverse DNS authenticity:       [Verified]


- As-tu des précisions sur PE_Patch.UPX//UPX  ? 
comme afideg le demandait, tu semblais ne plus avoir d'alerte maintenant?


------------------------
5- De nombreuses infections utilisent les ordinateurs infectés comme serveurs distant ou autre gentillesse du genre, usurpation d'identité. Pour contrer ce genre d'attaque il faut un parefeu (Celui de windows est inefficace).
Comme pare feu je conseillerais Sunbelt (ex Kerio), mais il y en a bien d'autre.


Dans les premiers jours, il y aura une période d’apprentissage (à chaque alerte d'un programme connu cocher la case : créer une règle pour cette communication et ne plus me demander)
Bien regarder  le tutoriel ICI
Et pour la version la plus récente ICI

Sinon je conseillerais Comodo 3.0 free : http://www.personalfirewall.comodo.com/download_firewall.html
Bien consulter le Tutoriel (merci Malekal)

------------------------
6- ToolsCleaner de A.Rothstein 
Pour supprimer toutes les traces des logiciels qui ont servi à traiter les infections spécifiques

Télécharge le http://pagesperso-orange.fr/AceRothstein/ToolsCleaner2.exe sur ton Bureau. 
* Double-clique sur ToolsCleaner2.bat et laisse le travailler 
* Clique sur Recherche et laisse le scan se terminer. 
* Clique sur Suppression pour finaliser. 
* Tu peux, si tu le souhaites, te servir des Options facultatives. 
* Clique sur Quitter, pour que le rapport puisse se créer.
* Le rapport (TCleaner.txt) se trouve à la racine de votre disque dur (C:\)


------------------------
7- Mises à jours en particulier Adobe, Flash, et autres programmes.
Updatechecker : https://filehippo.com/windows/tuning-utilities/
Quelques détails ici pour l’installation en particulier de Framework:
http://www.commentcamarche.net/faq/sujet 9908 update checker vos logiciels sont ils a jour#update checker la solution

Pour les mises à Jour Java en particulier ici une version online de Secunia en anglais, mais il y a juste 1 ou 2 boutons à cliquer :
https://www.flexera.com/products/operations/software-vulnerability-management.html
Une petite explication dans ce lien (merci malekal). 

Et bien entendu windows update:
http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=fr


A+

afideg · Answer

Salut à vous deux

KIS 2009 est une protection complète (et une des meilleures sur le marché)

Pas besoin de tout le reste; ...

... sauf peut-être un anti spyware comme  Spyware Terminator ici :
< http://www.commentcamarche.net/telecharger/telecharger 34055170 spyware terminator  >
Mais en faisant attention ;  lors de l'installation, tu dois décocher devant "installer la Crawler Bar".
Ne pas accepter la 'Crawler Bar' !!
Regarde-là https://forum.pcastuces.com/connexion.asp?type=Reponse&FORUM_ID=25&SUJET_ID=31580 
Lis la capture écran N° 4 
Vérifie régulièrement la mise à jour. 
Active la protection en temps réel comme ceci : http://img220.imageshack.us/img220/1985/screenshot269jn3.png 
et comme ceci dans l'onglet "Avancé" http://img223.imageshack.us/img223/19/screenshot270fm3.png (HIPS activé).

Je suppose que tu sais que Spyware Terminator contient une fonction "antivirus" "Clam Antivirus" 
(ATTENTION: 1 seul antivirus actif par PC) ==> elle est là : http://img210.imageshack.us/img210/3191/screenshot272kq3.png  ==> ne l'utilise pas !!

Note ==> Remarque la fonction 'LANGUE' ;) ==> elle est là : http://img146.imageshack.us/img146/8679/screenshot271db0.png 


Bonne chance
Al.

afideg · Answer

Salut DeNisCoOl,  ;)

Bonjour sundown, et bravo pour avoir choisi de garder ta confiance en Kis8.

Bonne chance
Al.

DeNisCoOl · Answer

salut sundown,

bon afideg j'arrive et plus rien à faire donc ;-)

Si Kaspersky ne trouve rien désactiver et réactiver la restauration système, voir ci dessous:
https://www.informatruc.com

Vous pourrez ensuite cocher le problème comme résolu en haut de votre premier message ou en bas.

Bon surf bye bye.


Denis

afideg · Answer

Salut Denis Co.. Si, il reste cette question : « As-tu des précisions sur PE_Patch.UPX//UPX ? » Peux-tu me guider; et m'apporter le plus de détails possibles SVP ? Merci Al.

afideg · Answer

Merci
Attendons un peu
Sans doute recevrons-nous quelque détail à propos de cet élément PE_Patch.UPX//UPX
Au moins savoir à quoi cela correspond.
Al.

DeNisCoOl · Answer

salut sundown,


cheval de Troie Trojan.Win32.BHO.eeh Le fichier: C:\WINDOWS\system32\idef.dll//PE_Patch.UPX//UPX 
Voici une petite explication sur une version proche Trojan.Win32.BHO.bd qui date de juin 2007.
C'est un trojan qui s'infiltre dans IExplorer, il est conçu pour afficher des publicités.
http://translate.google.fr/...


il s'agit de microsoft ofice, opera,adobe reader,adobe photoch,realplayer. 
J'imagine que Kaspersky indique les programmes à risque, il faut bien avoir les dernières mise à jours.

A+

afideg · Answer

Bonjour à vous deux,

Merci DenisCo.. pour ce lien relatif à Win32.BHO.bd et qui montre que Malwarebytes Anti-Malware  devait en venir à bout (en effet, ce dernier tue  [HKLM\Software\Microsoft\Juan] [HKLM \ Software \ Microsoft \ Juan] )


Par contre, et plus précisément sur UPX, je trouve ceci:
•- Ici  https://fr.wikipedia.org/wiki/UPX , je lis:
- Les programmes compressés avec UPX peuvent s’extraire dans un fichier temporaire
- Étant donné la modification du code effectuée par UPX, on ne peut pas identifier facilement les dépendances d’un programme compressé 
- Les programmes compressés par UPX sont tous facilement décompressés par les logiciels antivirus. Toutefois, certains virus sont compressés avec des versions modifiées d’UPX ce qui complique la tâche des logiciels de protection.
•- Ici https://framalibre.org  , je lis:
Cet excellent logiciel permet de compacter les .exe et .dll tout en les laissant exécutables. Le gain de place est souvent assez impressionnant. Il peut aussi être utilisé dans l’autre sens (décompression). 
L’exécutable obtenu est en réalité un package auto-extractible : le programme se décompresse en mémoire, puis se lance.


sundown, possèdes-tu ce logiciel de compression dans ton PC ?


Merci et bonne fin de semaine
Al.

afideg · Answer

(suite) BIS ==> sundown, possèdes-tu ce logiciel de compression UPX dans ton PC ? Merci et bonne fin de semaine Al.

afideg · Answer

Merci

Tu n'aurais pas pu le répondre plus tôt; dès ici  par exemple  http://www.commentcamarche.net/forum/affich 7024875 decouvert cheval de troie trojan win32 bho#20   (à la fin du texte)  ?

Plutôt que de répondre au post # 31 «  pour PE_Patch.UPX//UPX je n'ai aucune idée . 
j'aimerais bien comprendre aussi.  »    !?


Bonne continuation.
UPX serait-il un crack ?
Vas savoir.  --> c'est toi qui le sait.

Al.

afideg · Answer

D'accord, je veux bien prolonger ce topic. À commencer par ceci: Plutôt que de répondre au post # 31 « pour PE_Patch.UPX//UPX je n'ai aucune idée . j'aimerais bien comprendre aussi. » (!?) Ne t'est-il pas venu à l'esprit que tu possèdais le logiciel de compression UPX ? Dès ton premier message tu cites: [Un cheval de troie a été decouvert sur mon pc, par Kaspersky Internet Security ,et qu' il n'arrive pas à reparer. Voila ce que ça me dit dans objets non réparés je vais copier coller: - Trojan.Win32.BHO.eeh Le fichier: C:\WINDOWS\system32\idef.dll//PE_Patch.UPX//UPX - Trojan.Win32.BHO.eeh Le fichier: C:\WINDOWS\system32\codef.dll//PE_Patch.UPX//UPX] Il ne veut pas réparer ce qui fait partie d'un logiciel connu ! Il aurait fallu nous dire que tu avais ce logiciel UPX. Il fallait vérifier ces deux fichiers avec VirusTotal: - C:\WINDOWS\system32\idef.dll - C:\WINDOWS\system32\codef.dll Comme ceci: Tutoriel ici http://bibou0007.com/tutos-f45/tutorial-sur-virustotal-t190.htm Vas là :< https://www.virustotal.com/gui/ > •- sur la page qui s'affiche tu cliques sur [Parcourir] •- ensuite sur la nouvelle page qui s'affiche, tu suis le chemin du fichier idef.dll c'est-à-dire via "Poste de travail" > C:\WINDOWS\system32\ •- Tu ouvres le dossier "system32\", et quand tu y as trouvé le fichier idef.dll, tu cliques sur "Ouvrir" ( sur cette dernière page affichée) •- le fichier idef.dll se retrouve alors ainsi dans la fenêtre de VirusTotal, pour l'analyse •- là, tu cliques sur "send file" = « Envoyer » ( de la page de VirusTotal ) •- et tu attends le résultat (il faut parfois patienter) •- Dans l'encadré: "Situation actuelle: terminé" ==> cliquer sur "Formaté" •- Une nouvelle fenêtre de votre navigateur apparaîtra... •- Dans la nouvelle fenêtre, cliquer sur cette image : < http://img215.imageshack.us/img215/6039/virustotalpourcopierip3.jpg > •- Faire un clic-droit sur la page, choisir => "Sélectionner tout" > puis encore clic-droit => Copier... Enfin , clic-droit => Coller le(s) résultat(s) dans le WordPad ou Bloc-Notes ==> et le poster sur forum ici. NOTE: Tu fais la même chose avec codef.dll Al.

afideg · Answer

(suite)

Je n'ai pas dit de faire analyser ces fichiers qui étaient supprimés entretemps.


Avant d'utiliser VirusTotal, il vaut mieux afficher les fichiers cachés (http://www.d2i.ch/pn/az/t.html)

Voici la procédure pour l'avenir:
Assure-toi d'avoir accès aux dossiers/fichiers cachés : 
Soit en faisant : Ouvrir un dossier, n'importe lequel. Aller dans "Outils" >"Options des dossiers" > "Affichage" 
Soit en faisant « Démarrer »/ »PanneauConfiguration/OptionsDossiers /onglet « Affichage » 
et là : 
cocher la case devant les lignes: 
- afficher les fichiers et dossier cachés 
- afficher contenu dossier système 
décocher la case devant les lignes: 
- masquer les extensions des fichiers dont le type est connu 
- masquer les fichiers protégés du système d'exploitation 
Tu vas recevoir un message qui te dit que cela peut endommager le système, n'en tiens pas compte. 
Puis cliquer APPLIQUER à TOUS les Dossiers > [OK] 

Si tu n'es pas à l'aise dans la navigation des dossiers, je t'invite à suivre ce tutorial : < http://www.malekal.com/rechercher_fichiers.php   >



Ils étaient là-bas C:\_OTMoveIt\MovedFiles\06242008_161926\WINDOWS\system32
Et supprimés là  http://www.commentcamarche.net/forum/affich 7024875 decouvert cheval de troie trojan win32 bho#5   par la suite.


Bonne continuation
Al

DeNisCoOl · Answer

sundown,

c'est un peu ma faute j'aurais du te le proposer aussi VirusTotal.
si afideg à quelque chose à rajouter que je n'ai pas vu peut être.

A+

afideg · Answer

Re,

Cit. « je voilais juste savoir!!!!!!! ces deux fichiers suprimés ne sontt-ils pas indispensables pour le bon fonctionement du systeme ???????????  »

1°- Si tu veux être considérée, évite de taper des "trucs idiots" comme ceux-ci : "savoir!!!!!!!", "systeme ???????????".
Cela fait très vilain.

2°- Les infections ne rapportent qu'aux médecins et aux sociétés pharmaceutiques.

3°- Réféchis un tantinet. Si les fichiers "infectieux" et supprimés avaient été réellement INDISPENSABLES, crois-tu que ton PC fonctionnerait encore normalement ? Fonctionne-t-il toujours correctement ? ==> Je te laisse en tirer la conclusion.


En tout cas, j'ai beau relire, mais je ne vois pas que Malwarebytes' Anti-Malware  ait supprimé ces fichiers.

(NOTE: Alors qu'il a bien supprimer:
- C:\WINDOWS\system32\idef.dll (Trojan.FakeAlert) 
- C:\WINDOWS\system32\dadef.dll (Trojan.FakeAlert) 
ici  https://forum.pcastuces.com/spyware-f25s40918.htm  )

Note: Trojan.FakeAlert ==> https://www.bitdefender.fr/premium-services/virus-and-spyware-removal.html

Seul _OTMoveIt , et sur ordre, les a supprimé.
Observe donc le fonctionnement de ton PC.


Très amicalement.
Et je t'en prie, reviens sur ton topic si tu as encore des questions à poser.
L'avenir appartient à ceux qui cherchent et qui osent.

Al.

afideg · Answer

Holà !
Cool !
Je ne suis pas ici pour recevoir des leçons de bonne conduite.

Le truc idiot et inutile, c'est uniquement la suite de !!!!!!!!!!!!!!!!! et de ???????????????
Et non les mots qui vont avec.

Tu as mal lu mon message.
Sur certains forums, ton topic aurait été verrouillé à cause de ces !!!!!!!!!!!!!!!! et de ces ??????????????.
Pas besoin de crier, ou de nous prendre pour des illettrés.

Il faut savoir lire; même si tu as quitté l'école à 15 ans (je n'en suis pas responsable)

Mais tu es déjà pardonnée.
Déjà dimanche, tiens; j'aurai une pensée pour toi.
Courage
Sers-toi bien de Google avant de nous consulter.

Al.

Découvert : cheval de Troie Trojan.Win32.BHO.

28 réponses

Discussions similaires