sos, HEUR/CRYPTED à bord ! Résolu

Question

Bonjour,
depuis hier mes conexions internet sont trés aléatoires, les raccourcis du bureau sont innopérants, et mon pare feu windows hs. j'ais scanné avec avast, mais il bloque dés qu'il arrive sur "volume system 32". malwarebytes ne trouve rien (quand j'arrive à le mettre en route). Du coup j'ai téléchargé avira antivir qui a trouvé "heur/crypted". Je l'ai supprimé puis j'ai fait une restauration du systeme, mais le probleme persiste.Faut dire que je suis pas super calé en informatique.J'ai fait un scan highjack, je le poste ici si ça peut aider.Merci par avance de votre aide, j'en ai vraiment besoin!
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:26:18, on 14/11/2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe
C:\Program Files\Fichiers communs\Microsoft Shared\Media Manager\airsvcu.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Program Files\OpenOffice.org 3\program\soffice.exe
C:\Program Files\OpenOffice.org 3\program\soffice.bin
C:\Program Files\IncrediMail\bin\IMApp.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Orange\Launcher\Launcher.exe
C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\AlertModule\0\AlertModule.exe
C:\WINDOWS\system32\devldr32.exe
C:\Program Files\Orange\systray\systrayapp.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avcenter.exe
C:\Documents and Settings\GAEL\Mes documents\Mes vidéos\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?redirfallthru=http%3a%2f%2fwww.msn.fr%2fimg%2ffr%2ffr-fr%2fdivertissement%2fcelebrites%2fgalery%2fwentworth02.jpg%3f
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://ww17.ads.eorezo.com/cgi-bin/advert/getads.cgi?x_format=redirect&x_dp_id=9
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\Program Files\Orange\SearchURLHook\SearchPageURL.dll
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - (no file)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\3.1.807.1746\swg.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [IncrediMail] C:\Program Files\IncrediMail\bin\IncMail.exe /c
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 3.0.lnk = C:\Program Files\OpenOffice.org 3\program\quickstart.exe
O8 - Extra context menu item: Add to Windows &Live Favorites - https://onedrive.live.com/?id=favorites
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32
wprovau.dll
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {2D8ED06D-3C30-438B-96AE-4D110FDC1FB8} (ActiveScan 2.0 Installer Class) - http://acs.pandasoftware.com/activescan/cabs/as2stubie.cab
O16 - DPF: {3E82BB3F-ABE4-458D-9281-0187286A4E51} (VoxsyncCtrl Class) - https://login.orange.fr/captcha?return_url=https%3A%2F%2Fmescontacts.orange.fr
O16 - DPF: {B79A53C0-1DAC-4636-BACE-FD086A7A79BF} (AdSignerLCContrl Class) - https://static.impots.gouv.fr/tdir/static/adpform/AdSignerADP-1.1.cab
O16 - DPF: {BA162249-F2C5-4851-8ADC-FC58CB424243} (Image Uploader Control) - http://copainsdavant.linternaute.com/html_include_bibliotheque/objimageuploader/5.0.15.0/ImageUploader5.cab
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom SA - C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Service de lancement de WlanCfg (Wlancfg) - Inventel - C:\Program Files\Inventel\Gateway\wlancfg.exe

Regis59 · Answer

Salut

Commence par désinstaller Avast, après on s'attaquera à ton infection.

A+

Regis59 · Answer

Ok. Non laisse Antivir.
Tu as le rapport du scan?

A+

Regis59 · Answer

Ok

L'infection est inactive, c'est un point de restauration infecté.

Télécharge AD-Remover ( de Cyrildu17 / C_XX ) sur ton bureau :
http://sd-1.archive-host.com/membres/up/16506160323759868/AD-R.exe

/!\ Déconnectes toi et fermes toutes applications en cours/!\

* Double clique sur le programme d'installation , et installe le dans son emplacement par défaut. ( C:\Program files )
* Double clique sur l'icône Ad-remover située sur ton bureau.
* Au menu principal choisi l'option "A".
* Poste le rapport qui apparait à la fin .

( le rapport est sauvegardé aussi sous C:\Ad-report(date).log )

(CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

Note :

"Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

Regis59 · Answer

Ok Poste le rapport et je te répondrais demain matin ! 

A+
PS: T'inquiètes pas, ton PC ne court pas de dangers.

Regis59 · Answer

Salut,

Tu n'en demande pas beaucoup puisque le but de ce logiciel étant de le supprimer ;-)

Nettoyage AD-Remover :

/!\ Déconnectes toi et fermes toutes applications en cours !/!\

* Relance "Ad-remover" : au menu principal choisi l'option "B" .

--> le programme va travailler ...

* Poste le rapport qui apparait à la fin + un nouvel Hijackthis pour analyse ...

( le rapport est sauvegardé aussi sous C:\Ad-report(date).log )

(CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

/!\ Si le Bureau ne réapparait pas presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tapes explorer.exe et valides/!\


Reposte moi un HJT ensuite stp.

• Relance Hijackthis en double cliquant sur son raccourci sur le Bureau.
Choisis l'option "Do a system scan and save a log file"
Clique sur "Save log" pour enregistrer le rapport qui s'ouvrira avec le bloc-note
Clique sur "Edition" ->> "Sélectionner tout", puis sur "Edition" ->> Copier" pour copier tout le contenu du rapport ici

Regis59 · Answer

OK ;-)

Regis59 · Answer

Super, on continue?

Utilisez cette adresse pour télécharger la dernière version du fix (le fichier contient la version anglaise et française):
http://siri.urz.free.fr/Fix/SmitfraudFix.exe
.
    *  Double cliquer sur SmitfraudFix.exe
    * Sélectionner 1 et pressez Entrée dans le menu pour créer un rapport des fichiers responsables de l'infection. Le rapport se trouve à la racine du disque système C:\rapport.txt

       process.exe est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.
      http://www.beyondlogic.org/consulting/processutil/processutil.htm 

a+

Regis59 · Answer

Non.

Remet moi un HijackThis et dis moi ou en sont tes soucis?

A+

Regis59 · Answer

Non.

Remet moi un HijackThis et dis moi ou en sont tes soucis?

A+

Regis59 · Answer

Ok,

fixe ceci:
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

Procèdes à une défragmentation et dis moi si tout est ok...

A+

Regis59 · Answer

LOL
Pas mal l'histoire de l'échelle, on me l'avais jamais faite.
Tu relances HijackThis et tu choisis, do a scan, tu coches la case que je t'ai indiqué puis tu cliques sur Fix Checked.
Ferme HijackThis.

Demande si tu as besoin.

Regis59 · Answer

Re,

j'ai plus que 6% de place dispo sur C. Je crois que je vais devoir passer quelques trucs sur D... 

Oula c'est vraiment trop peu !! C'est pour cela que cela rame, fais en sorte qu'il te reste au moins 15Go au minimum !

Sinon tant que je te tiens, je pensais à l'avenir virer internet explorer et le remplacer par mozilla ou firefox qui parait- il sont plus sûrs. Qu'en penses-tu?

Il ne faut pas virer IE! Il est nécessaire pour tes mises à jours windows. Mais oui tu peux installer Mozilla qui est beaucoup plus sécurisant...et disposes de nombreux programmes additionnels permettant de surfer plus surrement.

 Si en plus tu connait un anti virus pas trop cher et performant...A moins peut être qu'AVG8 ou antivir fassent l'affaire? Je vais pas sur des sites pornos, je fais généralement gaffe à ce que j'ouvre, mais je télécharge un peu de zic et ma femme est fan de MSN...
Quoiqu'il en soit encore merci pour ton aide!!!!

Ah la oui, sans contestations, ANTIVIR oui.
Sur MSN, attention toutefois à ne pas accepter des fichiers durant la conversation sans qu'elle soit sure que cela provient bien de son contact. Si tu te fais un jour infecter, sache que tu devras utiliser MSNFIX.

Oui demain je ne travaille pas non plus donc on se croisera certainement :-)

A+

Regis59 · Answer

Ok...

Pour ton démarrage, tu peux laisser uniquement ton antivirus démarrer, ce qui fera qu'il sera beaucoup plus rapide.

Sinon, crée un point de restauration maintenant.

¤ Désactiver la restauration système (uniquement si tu es sous XP) :
Cliquer droit sur Poste de travail / Propriétés
Clique sur l'onglet Restauration système
Cocher la case « désactiver la restauration » et applique.

Puis,

¤ Réactiverla restauration système (uniquement si tu es sous XP) :
Cliquer droit sur Poste de travail / Propriétés
Clique sur onglet Restauration système
Décocher la case « désactiver la restauration » et applique. 

A+

Regis59 · Answer

Non, la version gratuite ;-)
J'ai également cet antivirus, couplé avec le pare feu Zone Alarm pour ma part.

Pour le démarrage.
Démarrer < Executer < tape msconfig
Onglet démarrage, décoche tout sauf ton antivirus
Valide, redémarre et au démarrage tu auras une fenêtre, coche la case "Ne plus afficher..." et Valide.

Regis59 · Answer

Hello

Bizarre ton soucis, en fait l'ordi gèle?
Quand cela t'arrives, tu peux faire CTLR+ALT+SUPPR?

A+

Regis59 · Answer

Oui tu peux avec Ccleaner en mode normal.

Poste les rapports de tes scans la prochaine fois.

A+

Regis59 · Answer

Salut

Ok refais un scan antivir et s'il détecte ce fichier "reboot", supprime le.

A+

Regis59 · Answer

Ok c"est smitfraudfix, rien de grave mais tu peux le supprimer.
Ou en sont tes soucis?

Regis59 · Answer

Ouep ça marche,

A++

Regis59 · Answer

OK
C'est un élément de Smitfraudfix, rien de grave cependant.
Bon apprentissage de comodo et Firefox ;-)

A+

Regis59 · Answer

Je pense qu'on se parle plus ici qu'au café lol
Bon apprentissage et si tu as besoin, n'hésites pas.

A++

Sos, HEUR/CRYPTED à bord ! - Page 2

Discussions similaires

Newsletters