virus ???

Question

Salut à tous,

J'ai un portable qui refuse de mettre à jour Norton AV (à jour niveau abonnement). Il me dit que les mises à jour sont arrêtées au 10/9/04 alors que je sais que c'est faux !
La connexion internet est complètement perturbée je ne peux accéder à aucun site. Dans la barre d'adresse de IExplorer j'ai res:// ... et des fichiers dont je ne me souviens pas du nom..
Le modem est silencieux bien que les paramètres pointenet sur son maximum !
De plus j'ai beau paramétrer la page d'accueil elle ne tient pas il suffit de fermer IE pour que about:blank s'affiche.

le portable est un toshiba satellite doté de XP familial à jour jusq'au pak 2 que j'ai tenté de charger (pack2) mais je ne peux pas accéder au update .

Une idée ?

Merci d'avance

aaaa · Answer

Peut etre le virus Windowsup.exe qui traine quelque part et bloque ta connexion internet ???

Richard1 · Answer

Bonjour Monthifr,Je vais me coucher: Il est 04:30 am. A demainRichard1 (Montréal, Canada)

Richard1 · Answer

Bonjour Monthifr,Je m'adresse à toi au sujet de ton portable, pas pour ton autre ordi naturellement.Mon ordi est en Anglais mais je vais essayer de t'expliquer.Refais ta connection internet.Outils   ----  Options Internet   ----  Setup   ---- continue...Dans Options Internet, réécris le lien pour l'ouverture de page internet que tu désires.Reboot et.... donne-moi de tes nouvelles.SVP mentionne mon nom au début de ton message car je reçois beaucoup de messages et je ne répond qu'à ceux qui me sont adressés personnellement. Merci.Bien amicalementRichard1

Shakadelavierge · Answer

Passe ton PC au peigne fin avec des antispywares et des antivirus...Spybot:http://www.safer-networking.org/index.php?page=downloadAd-aware:http://www.lavasoft.de/support/download/The cleaner:http://www.moosoft.com/products/cleaner/download/_____Shaka_____ Avada Kedavra

Richard1 · Answer

Bonjour Shakadelavierge,Eh bien non!Je travaille avec internet depuis le tout début de sa création et...dès le commencement j'avais un bon Anti-Virus et un bon pare-feu: Ce qui fait que je n'ai jamais eu de problème avec mon ordinateur.Mais, laisse-moi te dire que je suis heureux de te "rencontrer".Je te souhaite une belle journée, jeune homme.Bien amicalementRichard1 (Montréal, Canada)

monthifr · Answer

Salut Richard1 et Shakadelavierge,Pardon de ne pas m'être manifesté plus tôt, mais avec les renseignements que vous m'avez donnés, ajoutés à ceux que j'ai pu avoir sur le forum sécurité (qui était en réparation au moment où j'ai fait mon mail). Vous vous doutez bien que j'avais beaucoup à faire sur le portable, entre installer, désinstaller, rechercher, supprimer, rebooter, tenter une connexion, entre temps télécharger sur un autre PC, copier sur la clé usb ,etc....J'ai téléchargé Vexira Rescue Disk et réussi à faire un scan grâce aux disquettes générées. Il a repéré 86 alertes et a effacé 86 fichiers . A partir de là j'ai pu noter les noms de fichiers et réussi à en effacer certains . ..J'en suis à une nette amélioration, j'ai réussi enfin à télécharger les dernières signatures anti-virus mais pas par le moteur update de norton mais directement en allant sur le site.  J'ai lancé le scan, il tourne encore... Voilà voilà le résultat est deux virus : download.troyan et Bloodhound.exploit.6. Je les ai mis en quarantaine, je vais voir si ca va mieux.J'ai encore un petit souci, avec Internet explorer. J'ai passé Spybot - Search & Destroy, adaware, CWSchredder, regcleaner...Donc tout tenté contre les spy et les malwares. Je continue cependant à avoir des pop-up.Mais bon je ne désespère pas je finirai par les avoir  !Merci encore pour votre contribution et longue vie à CCM !!A+

Richard1 · Answer

Bonjour Monthifr,Tu as donc la connection Internet maintenant.Voici ma solution pour éliminer tout ce qui te nuit: Pop-up, fichiers cookies, fichiers espions, etc..Steganos Internet Trace DestructorIl est sans danger et super efficace.Download sur ton bureau. Tu auras 2 raccourcis.Clic sur celui qui dit: Supprimer d'un clic.Reboot et....donne-moi des nouvelles (toujours en mentionnant mon nom pour que je sache que tu t'adresse à moi). Mercihttp://downloads-zdnet.com.com/3000-2144-10198314.htmlTu auras la dernière version 7.0.5 et c est gratuit pour 7 jours.Bien amicalementRichard1 (Montréal, Canada)

Richard1 · Answer

Salut Monthifr,Ma suggestion de Steganos....(voir Post #15) règlera le problème.Suis ma recommandation à la lettre.Bonne journéeRichard1(Montréal,Canada)P.S. Donne-moi de tes nouvelles ensuite.

Richard1 · Answer

Bonjour Monthifr,N'oublie pas de me donner le résultat après le download de SITD.Bien amicalementRichard1

monthifr · Answer

Richard1,Je suis maintenant sur le portable incriminé, j'ai réussi à aller sur google et sur CCM.Par contre je constate qu'il y a une barre d'outils Elitebar qui vient d'apparaître alors que je ne l'avais constatée avant. Je tente de l'enlever par le biais des settings uninstall, mais il ne veut pas.J'ai encore les quelques mêmes popups qui reviennent. Il faut absolument que je me débarasse de cette toolbar je vais chercher voir si je la trouve.AmitiésA+

monthifr · Answer

Richard1,Dernier compte-tendu avant d'aller me coucher.J'ai suivi les instructions de symantec sur le lien que tu m'as donné.J'ai renontré deux différences : les CLSID n'existent pas j'ai en revanche trouvé un fichier winoko32.exe, le Elitum et le LQ.Pour le coup du fichier hosts il n'y a pas d'adresses autres que celle mentionée 127.0.0.1 Localhost.Je vais refaire un nettoyage rebooter et je verrais bien.A+

Richard1 · Answer

Bonjour Monthifr,Pour les CLSID va plutôt voir dansHKEY_CLASSES_ROOTRegarde si les 2 fichiers sont là dans CLSID . (Tu as certainement compris que c'est classé par ordre de numéros et ensuite alphabétique).Je pense que Symantec a fait une erreur de répertoire.Donc, cherche ces 2 fichiers où je te dis: Si tu vois EXACTEMENT les mêmes numéros c'est que j'ai raison.Je suis toujours avec toi: On va y arriver!Bien amicalementRichard1 (Montréal, Canada)Merci pour ta longue réponse que j'attendais.

monthifr · Answer

Salut Richard1,On approche, on approche ... ;o)Le fichier winoko32.exe n'existe pas dans le registre. Par contre en Sys 29 il ya le registre C:\windows\system32\winuzf32.exe .J'ai lu quelque part que ce fichier comme le winoko32.exe était un fichier bidon.Hier soir j'ai effacé le Sys29=%SYSTEM%\winufz32.exe .Il est revenu au démarrage ce matin.Je ne retrouve pas non plus le HKEY_LOCALMACHINE\SOFTWARE\Elitum .Je retrouve le registre HKEY_CURRENT_USER\SOFTWARE\LQ que jai pu effacer et que j'avais déjà effacée hier...Je me demande, à toi de me le confirmer: Si comme le nom du fichier a changé, sa clé devrait aussi avoir changé ? Ils doivent avoir des fichiers communs comme le LQ et le Elitm.J'ai effectué la recherche des clés dans le registre, les deux clés données par symantec pour le winoko32.exe n'existent pas (j'ai fait une recherche en manuel et une autre en auto la première en cochant tous les critères de sélection la deuxième seulement les clés) rien tout simplement rien. Me trompe-je dans la recherche ? Ca m'étonnerait quand même (edition, rechercher.. sur poste de travail puis sur tous les principaux répertoires HKEY_...) . Voilà donc où j'en suis. Hier j'ai tout effacé comme indiqué sauf ls deux clés qui sont restées introuvables.A propos de DTIS, j'ai coché pas mal de choses dans la liste des choses à effacer(tout Widows, tout Explorateur Windows, tout Ie 5 et6 sauf Mots de passe saisis,windows media player 6 à 9 sauf liste des derniers médias joués, Get right5, barre d'outils google, Off2000/XP/2003 fichiers joints temp,real player10 tout sauf Liste des derniers médias joués) . Peut-etre manque-t-il quelque chose à cocher ?Quand je lance spybot search and destroy, il me chope bien elite bar etc... mais ils reviennent . Je lance Adaware, pareil il me les choppe me fait rebooter et démarre au reboot, hier soir j'ai lancé spybot et adaware qui m'ont demandé le reboot, bonjur la dose !ET là ça revient !!! Tenace cette m... !Je pense avoir tout dit, on l'aura la sale bête !merci pour ta patience et tenacité !amitiésA+

Richard1 · Answer

re: Monthifr,OUF! Tu es VRAIMENT une personne méticuleuse et bien ordonnée.Concernant les deux tannants que tu ne retrouves pas, cherche plutôt CLSD dans local_machine.Si ce sont les mêmes numéros de fichiers, c'est que Symantec a fait une erreur en mentionnant l'autre répertoire car il n'existe pas.Je suis surpris que Steganos n'aie pas découvert le "moteur" qui fait revenir certains fichiers. (N'oublie pas: Essaie CLSD de l'autre répertoire pour trouver ces 2 fichiers. C'est peut-être ça le bobo.)Je suis aussi surpris que ad-aware n'est pas "vu" ce moteur qui ramène certains parasites.Si ma suggestion pour les 2 fichiers ne règle pas le petit problème, il faudra chercher sur internet pour un REMOVAL TOOL.Tu as de la patience, toi aussi!Bien amicalementRichard1 (Montréal, Canada)

Richard1 · Answer

re: Monthifr,Bonjour,J'y pense. Voici un autre produit. Essaie-le.http://www.downloadshareware.com/detail/513Il ne t'enlèvera pas les petits tannants mais....il te montrera leurs noms et le chemin.Je te le suggère car il est évident que tu es à l'aise pour te promener dans le régistre et trouver les fichiers manuellement.Ciao!Richard1 (Montréal, Canada)

monthifr · Answer

Salut Richard1,J'ai lancé l'outils et trouvé plein de clés à suppimer dans la base.Une petite question, si la clé correspond à une saleté, mais le répertoire ou le chemin pas comme indiqué je dois l'effacer ou non ?Je ne l'ai pas fait dans le doute.Merci pour ton conseilA+

monthifr · Answer

Re Richard1,J'ai relu les messages que tu m'a envoyés .Je réponds à ma propre question à savoir, il faut supprimer la clé si elle porte le N° indiqué par l'anti spyware.Le dernier produit que tu m'as conseillé a trouvé 100 clés, cookies et fichiers pourris dans la base de registre .J'ai réussi à en effacer une bonne  soixantaine sans problèmes, ilfaut surtout de la patience. Des fois j'ai eu des surprises en ne trouvant pas certaines clés mais j'ai réalisé à la révision que j'avais déjà effacé le répertoire, il était donc logique que les sous répertoires n'existent plus.Cependant j'ai encore quelques clés et saletés qui sont dures à trouver, j'ai des executables qui refusent de partir. Je vais donc m'y remettre et effacer certaines clés que j'avais trouvées mais hésité à supprimer puisque le chemin ne correspondait pas à celui indiqué .Je te tiens au courant A+

monthifr · Answer

Re re Richard1,Surprise !Quand j'efface une valeur dans la clé genre HKEY_LOCAL_MACHINE\SOFTWARE\Microsft\Windows\CurrentVersion\Uninstall\HSA, valeur DisplayName ou UninstallString,  en allant sur un autre répertoire et en revenant il se regénère.En clair je peux effacer le fichiers du registre mais ils reviennent  aussitôt.Je jure j'ai pas bu !!!Au bout de trois fois c'est confirmé !De plus le fichier c:\Windows\Downloaded Programs Files est transformé en fichier html qui s'ouvre et offre une page windows explorer classique vide. Or quand tu vois les proriétés du répertoire il fait presque 2 Mo ( de vide ????) et c'est comme par hasard dans ec répertoire que se trouvent des fichiers dll et inf à supprimer !Voilà les newsJ'arrête pour aujourd'hui .A+

Richard1 · Answer

re: MonthfirBonjour,Ce fichier en question fait 2 mg.!!! Il y donc quelque chose dans ce répertoire.C'est caché, c'est sûr. Caché, selon moi, par le petit tannant qui donne des problèmes.Vas-y avec le bon vieux DOS.Il faut donc connaître les noms exacts des fichiers pour les trouver.Suggestion: place toi sur ce répertoire (en DOS) et fais cette commande: Attrib *.*Si tu ne trouves pas, fais cette commande:dir /ah /pou bien  dir /as /pou encoredir /ar /pBonne chanceRichard1

Richard1 · Answer

re: Monthifr,J'ai oublié de mentionner qu'il serait bon d'aller dans Outils pour cliquer sur Supprimer les cookies et aussi les fichiers Internet (en connection et aussi Hors connection).Il y a dans ton ordi, un programme (un tannant) qui se regénère sans cesse. Il faut le trouver et...on va le trouver. Moi ou toi ou d'autres intervenants.Tous sont les bienvenus pour trouver la solution à ton problème.Ne te décourage pas: On va y arriver.Bien amicalementRichard1

monthifr · Answer

Salut Richard1,Une petite question:Quand j'ai HKEY_USERS\S-1-5-20\Software\microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3Que signifie la dernière partie ? 1004!=W=3 C'est une commande ?Je commence à regarder dans le dos, je réussis à les voir. Je lance un spybot pour avoir les noms.Je procèderai  à la suppression via dos.A+

Richard1 · Answer

re: Monthifr,Bonjour,Je ne l'ai pas dans mon ordi. Je ne peux te renseigner.Mais, s'il est dans les choses à enlever: fais-le.Avec de la patience, tu les trouveras tous dans Explorer ou Regedit ou DOS.Quand tu auras fini... va scanner ton ordi chez Pest Patrol.(Scan direct): http://www.my-etrust.com/products/pestscan/Il te donnera d'autres liens à retirer.Vas-y ligne par ligne.De la patience, de la patience et de la grande patience.Bien amicalementRichard1

monthifr · Answer

Salut Richard,C'est terrible la puissance de cette saleté, rien à faire, et j'ai l'impression que ça empire, c'est bien la barre elite qui à priori cause problème, peut-être y a -t-il quelque chose encore derrière...Là je vais télécharger des programmes que je copierai sur une clé, puis sur le portable. J'essaye d'aller sur le spyware removal d'elitebar, j'ai du mal à m'y connecter je vais essayer quand même.A+

Richard1 · Answer

re: Monthifr,Bonjour,Question: As-tu Elite bar dans panneau de configuration?Si oui et que tu ne peux supprimer le fichier, va chercher ceci:Suppress Plus :   http://www.perrysoft.org/index.php?id=12Autre chose:Trouve ces fichiers et supprime-les:Dans Explorer:C:\WINDOWS\SYSTEM\WINSFF32.EXE C:\WINDOWS\SYSTEM\WINEMH32.EXE Dans le Régistre:HKLM\..\Run: C:\WINDOWS\SYSTEM\WINEMH32.EXE HKLM\..\Run: C:\WINDOWS\SYSTEM\WINSFF32.EXEOn va finir par l'avoir.Bien amicalementRichard1

Richard1 · Answer

re: Monthifr,Voici le lien qui enlève gratuitement MiracleSearch, EliteBar, etc..http://www.giantcompany.com/(0iqr1h45cn4iaj45pyatku45)/download.aspx?prodID=70&skip=trueBien amicalementRichard1

Richard1 · Answer

re: Monthifr,Bonjour,Je précise:Voir message Post #41.Va chez GiantSpyAntispyware.Clic sur PRODUCTS (en haut dans le menu)Clic sur le 3ième: GiantAntiSpyware - free download.Bien amicalementRichard1

Utilisateur anonyme · Answer

coucou tout le monde :-) salut richard :-) alors   monthifr  : essay la soluce de richard si ca marche pas telecharge hijackthis http://telechargement.zebulon.fr/138-HijackThis-1.98.2.html ensuite fait scan/save log et colle le resultat ici je te reponderai  demain soir bonne nuit !! @++++

Richard1 · Answer

re: MonthifrBonjour Jess15,Heureux d'avoir de l'aide car ce n'est pas facile ici et ça s'éternise.Ta proposition est intéressante bien que je ne la suggère pas souvent parce que ce programme est tellement fort qu'il nous enlève même des choses utiles.Mais, tu proposes d'examiner le scan, alors là c'est différent.Je vais suivre tes suggestions et apprendre.Bien amicalementRichard1

Richard1 · Answer

re: Monthifr,Salut Jess15,Le problème avec Hijackthis c'est qu'il faut faire attention avec ce qu'on élimine.Bien content de ton arrivée ici, Jess15.Bien cordialement :-)Richard1

monthifr · Answer

Re Richard1 et Jess15,voici collé le résultat de highjackthis, déjà de mon oeil de néophyte je vois déjà pas mal de saletés !Logfile of HijackThis v1.98.2Scan saved at 18:09:29, on 19/10/2004Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Norton AntiVirus
avapsvc.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\atlys.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\00THotkey.exeC:\WINDOWS\System32\TPWRTRAY.EXEC:\Program Files\Toshiba\Commandes TOSHIBA\TFncKy.exeC:\Program Files\TOSHIBA\Wireless Hotkey\TosHKCW.exeC:\WINDOWS\System32\TFNF5.exeC:\Program Files\Apoint2K\Apoint.exeC:\Program Files\TOSHIBA\TouchED\TouchED.ExeC:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exeC:\Program Files\Fichiers communs\Logitech\QCDriver3\LVCOMS.EXEC:\Program Files\Logitech\ImageStudio\LogiTray.exeC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\WINDOWS\System32\ezSP_Px.exeC:\Program Files\QuickTime\qttask.exeC:\Program Files\Apoint2K\Apntex.exeC:\PROGRA~1\NORTON~1
avapw32.exeC:\WINDOWS\System32\golum\services.exeC:\Program Files\GIANT Company Software\GIANT AntiSpyware\gcasServ.exeC:\Documents and Settings\PORTABLE\Application Data\sean.exeC:\Program Files\GIANT Company Software\GIANT AntiSpyware\gcasDtServ.exeC:\WINDOWS\System32\wuauclt.exeC:\WINDOWS\iply32.exeC:\Documents and Settings\PORTABLE\Mes documents\logiciel\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://searchmiracle.com/sp.phpR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS
qmom.dll/sp.html#29126R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS
qmom.dll/sp.html#29126R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.frR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blankR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS
qmom.dll/sp.html#29126R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS
qmom.dll/sp.html#29126R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS
qmom.dll/sp.html#29126R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.frR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhostR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensR3 - Default URLSearchHook is missingO2 - BHO: (no name) - {58A38705-CB9F-7B61-F5FA-A70899B04378} - C:\WINDOWS
twa.dllO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initializeO4 - HKLM\..\Run: [nwiz] nwiz.exe /installquietO4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exeO4 - HKLM\..\Run: [000StTHK] 000StTHK.exeO4 - HKLM\..\Run: [Tpwrtray] TPWRTRAY.EXEO4 - HKLM\..\Run: [TFncKy] C:\Program Files\Toshiba\Commandes TOSHIBA\TFncKy.exe /Type 20O4 - HKLM\..\Run: [TosHKCW.exe] "C:\Program Files\TOSHIBA\Wireless Hotkey\TosHKCW.exe"O4 - HKLM\..\Run: [TFNF5] TFNF5.exeO4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exeO4 - HKLM\..\Run: [TouchED] C:\Program Files\TOSHIBA\TouchED\TouchED.ExeO4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exeO4 - HKLM\..\Run: [LVCOMS] C:\Program Files\Fichiers communs\Logitech\QCDriver3\LVCOMS.EXEO4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\ImageStudio\ISStart.exeO4 - HKLM\..\Run: [LogitechImageStudioTray] C:\Program Files\Logitech\ImageStudio\LogiTray.exeO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe" -osbootO4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exeO4 - HKLM\..\Run: [Watch] C:\PROGRA~1\minitel\Watch.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1
avapw32.exeO4 - HKLM\..\Run: [Golum] C:\WINDOWS\System32\golum\services.exeO4 - HKLM\..\Run: [dbaeoanfwlxz] Fichier "c:\windows\system32\pttmmva.exe" n'existe pas.O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\GIANT Company Software\GIANT AntiSpyware\gcasServ.exe"O4 - HKLM\..\Run: [Sys29] C:\windows\system32\winuzf32.exeO4 - HKLM\..\RunOnce: [GIANTAntiSpywareCleaner] C:\Program Files\GIANT Company Software\GIANT AntiSpyware\gcASCleaner.exeO4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exeO4 - HKCU\..\Run: [MoneyAgent] C:\Program Files\Microsoft Money\System\Money Express.exeO4 - HKCU\..\Run: [Rmtt] C:\Documents and Settings\PORTABLE\Application Data\sean.exeO4 - HKCU\..\Run: [ITD7] "C:\Program Files\Steganos Internet Trace Destructor 7\ITD7.exe" -bootO8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.htmlO8 - Extra context menu item: Ouvrir avec GetRight - C:\Program Files\GetRight\GRbrowse.htmO8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.htmlO8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.htmlO8 - Extra context menu item: Télecharger avec GetRight - C:\Program Files\GetRight\GRdownload.htmO8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.htmlO9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dllO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO15 - Trusted Zone: *.05p.comO15 - Trusted Zone: *.scoobidoo.comO16 - DPF: v3cab - http://searchmiracle.com/cab/v2cab.cabO16 - DPF: {08F3F478-E2C6-05AD-ED3F-206836630FFF} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {0F02D82E-7033-4AEB-4C15-12A83A85EB30} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {10591444-2FFD-76A4-510F-26176BACA9F2} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {267A983D-EFFC-0FCA-7F08-0E143CDBDEE8} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {2C412D8B-7A76-7B18-C133-07104786CFCD} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {32F14A3C-7C84-0BE0-7973-296032847B32} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {3E164173-F406-6760-4771-094D6FBDCAF2} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {41547E8D-37A7-7E91-8425-18260568C830} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {4970DDD3-3015-2972-980A-2B033E3396E4} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {502AF334-D6D8-0E72-3895-1A364A4A48B0} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {57B8AF36-7AC4-525C-45C8-4906198D7805} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {5EE114A3-1DCD-4B8F-ABE5-66E860C036F4} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {5F9EBB9C-C4D9-16F0-7499-599B29F79934} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {60B6B6F9-8B58-4560-5CB9-76F7684163CB} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {693BF001-AD4B-04E4-3784-244201312633} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {6E207713-988D-1501-6276-552960FBA6C6} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {6FFC8514-1ED4-3226-C6C2-397107BB5305} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {75F8EB63-C04A-0DA9-CE4C-7A0A5F5BF927} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {767640F0-762F-18CA-1DA9-43680AEFB650} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {79BCF031-EDA1-7741-A109-735C528EC9ED} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {7D0B8F4D-92E5-7888-8B23-58AD6E30BA5D} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {7D81799E-A27C-503C-8927-32135655975F} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {92ABACFE-EF6E-42C7-A824-D50A914B5B70} (MastaCash Loader Class) - http://dx.mastacash.com/loader.cabO16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents/setup/downloader/imloader.cabBon courage pour la lecture !Moi aussi je vais lire avant d'agir !A+

Utilisateur anonyme · Answer

coucou richard :-) salut monthifre :-)alors ferme internet explorer coche ces lignes ensuite clike sur "fix checked"   R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://searchmiracle.com/sp.php  R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS
qmom.dll/sp.html#29126 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS
qmom.dll/sp.html#29126 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS
qmom.dll/sp.html#29126 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS
qmom.dll/sp.html#29126R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS
qmom.dll/sp.html#29126 R3 - Default URLSearchHook is missing  O2 - BHO: (no name) - {58A38705-CB9F-7B61-F5FA-A70899B04378} - C:\WINDOWS
twa.dll pour les O4 fait d'abord : ctrl/alt/supprime et termine la tache de ces fichier ( pttmmva.exe,winuzf32.exe ,sean.exe )ensuite fix ces lignesO4 - HKLM\..\Run: [dbaeoanfwlxz] Fichier "c:\windows\system32\pttmmva.exeO4 - HKLM\..\Run: [Sys29] C:\windows\system32\winuzf32.exe O4 - HKCU\..\Run: [Rmtt] C:\Documents and Settings\PORTABLE\Application Data\sean.exe O15 - Trusted Zone: *.05p.com O15 - Trusted Zone: *.scoobidoo.com  O16 - DPF: v3cab - http://searchmiracle.com/cab/v2cab.cab  tu fix les site que tu connais pas :O16 - DPF: {08F3F478-E2C6-05AD-ED3F-206836630FFF} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {0F02D82E-7033-4AEB-4C15-12A83A85EB30} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {10591444-2FFD-76A4-510F-26176BACA9F2} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {267A983D-EFFC-0FCA-7F08-0E143CDBDEE8} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {2C412D8B-7A76-7B18-C133-07104786CFCD} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {32F14A3C-7C84-0BE0-7973-296032847B32} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {3E164173-F406-6760-4771-094D6FBDCAF2} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {41547E8D-37A7-7E91-8425-18260568C830} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {4970DDD3-3015-2972-980A-2B033E3396E4} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {502AF334-D6D8-0E72-3895-1A364A4A48B0} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {57B8AF36-7AC4-525C-45C8-4906198D7805} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {5EE114A3-1DCD-4B8F-ABE5-66E860C036F4} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {5F9EBB9C-C4D9-16F0-7499-599B29F79934} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {60B6B6F9-8B58-4560-5CB9-76F7684163CB} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {693BF001-AD4B-04E4-3784-244201312633} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {6E207713-988D-1501-6276-552960FBA6C6} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {6FFC8514-1ED4-3226-C6C2-397107BB5305} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {75F8EB63-C04A-0DA9-CE4C-7A0A5F5BF927} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {767640F0-762F-18CA-1DA9-43680AEFB650} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {79BCF031-EDA1-7741-A109-735C528EC9ED} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {7D0B8F4D-92E5-7888-8B23-58AD6E30BA5D} - http://69.50.188.54/1/gdnBJ208.exe O16 - DPF: {7D81799E-A27C-503C-8927-32135655975F} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {92ABACFE-EF6E-42C7-A824-D50A914B5B70} (MastaCash Loader Class) - http://dx.mastacash.com/loader.cab O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents/setup/downloader/imloader.cab    ensuite supprime les fichier  en gras : c:\windows\system32\pttmmva.exeC:\windows\system32\winuzf32.exe C:\Documents and Settings\PORTABLE\Application Data\sean.exe telecharge c'est antispy : (spy bot) http://spybot.dalnet.com.fr/spybotsd13.exe(adware SE) http://telecharger.01net.com/windows/Internet/internet_utlitaire/fiches/25543.html(CWshredder) http://www.soft32.com/download_19014.htmlpour ce dernier faut absolument fermer tout les programe y compris internet explorer et donc hors connexion ensuite faire fix next next telecharge cette antitrojan (a2free)http://www.emsisoft.net/fr/pense a les mettre a jour avant de  les lance ensuite suprime les fichier temporaire :demarrer/paneau de configuration/option internet/suprimer fichier temporaaire apres une petite fentre s'ouvre tu coche "suprimer tout le contenu hors connexion"  suprime aussi les cookies et efface l'historique redemare..... si le probleme persiste refait un hijack et colle le resultat ici ;-)@++++

monthifr · Answer

Re Richard1 et Jess15,voici collé le résultat de highjackthis, déjà de mon oeil de néophyte je vois déjà pas mal de saletés !Logfile of HijackThis v1.98.2Scan saved at 18:09:29, on 19/10/2004Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Norton AntiVirus
avapsvc.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\atlys.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\00THotkey.exeC:\WINDOWS\System32\TPWRTRAY.EXEC:\Program Files\Toshiba\Commandes TOSHIBA\TFncKy.exeC:\Program Files\TOSHIBA\Wireless Hotkey\TosHKCW.exeC:\WINDOWS\System32\TFNF5.exeC:\Program Files\Apoint2K\Apoint.exeC:\Program Files\TOSHIBA\TouchED\TouchED.ExeC:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exeC:\Program Files\Fichiers communs\Logitech\QCDriver3\LVCOMS.EXEC:\Program Files\Logitech\ImageStudio\LogiTray.exeC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\WINDOWS\System32\ezSP_Px.exeC:\Program Files\QuickTime\qttask.exeC:\Program Files\Apoint2K\Apntex.exeC:\PROGRA~1\NORTON~1
avapw32.exeC:\WINDOWS\System32\golum\services.exeC:\Program Files\GIANT Company Software\GIANT AntiSpyware\gcasServ.exeC:\Documents and Settings\PORTABLE\Application Data\sean.exeC:\Program Files\GIANT Company Software\GIANT AntiSpyware\gcasDtServ.exeC:\WINDOWS\System32\wuauclt.exeC:\WINDOWS\iply32.exeC:\Documents and Settings\PORTABLE\Mes documents\logiciel\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://searchmiracle.com/sp.phpR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS
qmom.dll/sp.html#29126R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS
qmom.dll/sp.html#29126R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.frR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blankR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS
qmom.dll/sp.html#29126R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS
qmom.dll/sp.html#29126R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS
qmom.dll/sp.html#29126R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.frR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhostR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensR3 - Default URLSearchHook is missingO2 - BHO: (no name) - {58A38705-CB9F-7B61-F5FA-A70899B04378} - C:\WINDOWS
twa.dllO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initializeO4 - HKLM\..\Run: [nwiz] nwiz.exe /installquietO4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exeO4 - HKLM\..\Run: [000StTHK] 000StTHK.exeO4 - HKLM\..\Run: [Tpwrtray] TPWRTRAY.EXEO4 - HKLM\..\Run: [TFncKy] C:\Program Files\Toshiba\Commandes TOSHIBA\TFncKy.exe /Type 20O4 - HKLM\..\Run: [TosHKCW.exe] "C:\Program Files\TOSHIBA\Wireless Hotkey\TosHKCW.exe"O4 - HKLM\..\Run: [TFNF5] TFNF5.exeO4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exeO4 - HKLM\..\Run: [TouchED] C:\Program Files\TOSHIBA\TouchED\TouchED.ExeO4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exeO4 - HKLM\..\Run: [LVCOMS] C:\Program Files\Fichiers communs\Logitech\QCDriver3\LVCOMS.EXEO4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\ImageStudio\ISStart.exeO4 - HKLM\..\Run: [LogitechImageStudioTray] C:\Program Files\Logitech\ImageStudio\LogiTray.exeO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe" -osbootO4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exeO4 - HKLM\..\Run: [Watch] C:\PROGRA~1\minitel\Watch.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1
avapw32.exeO4 - HKLM\..\Run: [Golum] C:\WINDOWS\System32\golum\services.exeO4 - HKLM\..\Run: [dbaeoanfwlxz] Fichier "c:\windows\system32\pttmmva.exe" n'existe pas.O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\GIANT Company Software\GIANT AntiSpyware\gcasServ.exe"O4 - HKLM\..\Run: [Sys29] C:\windows\system32\winuzf32.exeO4 - HKLM\..\RunOnce: [GIANTAntiSpywareCleaner] C:\Program Files\GIANT Company Software\GIANT AntiSpyware\gcASCleaner.exeO4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exeO4 - HKCU\..\Run: [MoneyAgent] C:\Program Files\Microsoft Money\System\Money Express.exeO4 - HKCU\..\Run: [Rmtt] C:\Documents and Settings\PORTABLE\Application Data\sean.exeO4 - HKCU\..\Run: [ITD7] "C:\Program Files\Steganos Internet Trace Destructor 7\ITD7.exe" -bootO8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.htmlO8 - Extra context menu item: Ouvrir avec GetRight - C:\Program Files\GetRight\GRbrowse.htmO8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.htmlO8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.htmlO8 - Extra context menu item: Télecharger avec GetRight - C:\Program Files\GetRight\GRdownload.htmO8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.htmlO9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dllO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO15 - Trusted Zone: *.05p.comO15 - Trusted Zone: *.scoobidoo.comO16 - DPF: v3cab - http://searchmiracle.com/cab/v2cab.cabO16 - DPF: {08F3F478-E2C6-05AD-ED3F-206836630FFF} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {0F02D82E-7033-4AEB-4C15-12A83A85EB30} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {10591444-2FFD-76A4-510F-26176BACA9F2} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {267A983D-EFFC-0FCA-7F08-0E143CDBDEE8} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {2C412D8B-7A76-7B18-C133-07104786CFCD} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {32F14A3C-7C84-0BE0-7973-296032847B32} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {3E164173-F406-6760-4771-094D6FBDCAF2} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {41547E8D-37A7-7E91-8425-18260568C830} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {4970DDD3-3015-2972-980A-2B033E3396E4} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {502AF334-D6D8-0E72-3895-1A364A4A48B0} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {57B8AF36-7AC4-525C-45C8-4906198D7805} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {5EE114A3-1DCD-4B8F-ABE5-66E860C036F4} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {5F9EBB9C-C4D9-16F0-7499-599B29F79934} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {60B6B6F9-8B58-4560-5CB9-76F7684163CB} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {693BF001-AD4B-04E4-3784-244201312633} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {6E207713-988D-1501-6276-552960FBA6C6} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {6FFC8514-1ED4-3226-C6C2-397107BB5305} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {75F8EB63-C04A-0DA9-CE4C-7A0A5F5BF927} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {767640F0-762F-18CA-1DA9-43680AEFB650} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {79BCF031-EDA1-7741-A109-735C528EC9ED} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {7D0B8F4D-92E5-7888-8B23-58AD6E30BA5D} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {7D81799E-A27C-503C-8927-32135655975F} - http://69.50.188.54/1/gdnBJ208.exeO16 - DPF: {92ABACFE-EF6E-42C7-A824-D50A914B5B70} (MastaCash Loader Class) - http://dx.mastacash.com/loader.cabO16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents/setup/downloader/imloader.cabBon courage pour la lecture !Moi aussi je vais lire avant d'agir !A+

monthifr · Answer

Bonjour Jess15 et richard1,

Merci de ne pas tenir compte du dernier message, j'ai fait une fausse manip et l'ai renvoyé.

Merci Jess15 pour ta réponse, je m'y attèle dès que je peux et vous tiens au courant à toi et à richard1.

Merci encore :o)

A+

monthifr · Answer

Re, Jess15 et Richard1,

Ca va déjà beaucoup mieux, je suis sur le portable malade depuis une bonne vingtaine de minutes et ça tient !

Je ne crie pas encore victoire, il y a encore quelques popups qui passent malgré la barre google et giant antispyware qui est actif.

J'ai donc suivi à la lettre ce que m'a indiqué Jess12 . J'ai presque tout pu effacer, quelques fichiers restent dûrs à trouver. Mais à l'instant même ça tient.

Je vais repasser un coup de Highjackthis et vous communiquerai le résultat pour avoir confirmation.

Ouf quelle histoire !! Pour l'anecdote la version de DTIS est périmée, celà fait plus de 7 jours que je suis dessus et vous avec !

Grand merci à vous
Amicalement

Utilisateur anonyme · Answer

salut monthifr j'attend ton nouveau log avec impatience je l'analyserai demain soir ;-) @+++++bonne nuit

eb · Answer

boujour,

je n'arrive pas à me débarrasser de la bar EliteBar qui a infecter mon IE il y a trois jours.
j'ai essayé par mal d'anti virus anti-spy etc
rien !
l'intallation de cette bar c'est affectué sous Dos et s'affiche sur mon IE à l'installation de mon windows XP

comment faire?

merci d'avance
eb

monthifr · Answer

Bonjour,Voilà l'état de mon registre avant connexion et aprés nettoyageje balancerai celui après ma connexion actuelle pour la comparaison.  Logfile of HijackThis v1.98.2Scan saved at 09:46:29, on 22/10/2004Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\Explorer.EXEC:\Program Files\Norton AntiVirus
avapsvc.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\atlys.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\00THotkey.exeC:\WINDOWS\System32\TPWRTRAY.EXEC:\Program Files\Toshiba\Commandes TOSHIBA\TFncKy.exeC:\Program Files\TOSHIBA\Wireless Hotkey\TosHKCW.exeC:\WINDOWS\System32\TFNF5.exeC:\Program Files\Apoint2K\Apoint.exeC:\Program Files\TOSHIBA\TouchED\TouchED.ExeC:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exeC:\Program Files\Fichiers communs\Logitech\QCDriver3\LVCOMS.EXEC:\Program Files\Logitech\ImageStudio\LogiTray.exeC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\WINDOWS\System32\ezSP_Px.exeC:\Program Files\QuickTime\qttask.exeC:\PROGRA~1\NORTON~1
avapw32.exeC:\WINDOWS\System32\golum\services.exeC:\Program Files\GIANT Company Software\GIANT AntiSpyware\gcasServ.exeC:\WINDOWS\system32\wincw.exeC:\Program Files\Apoint2K\Apntex.exeC:\Program Files\Steganos Internet Trace Destructor 7\ITD7.exeC:\Program Files\GIANT Company Software\GIANT AntiSpyware\gcasDtServ.exeC:\Documents and Settings\PORTABLE\Mes documents\logiciel\HijackThis.exeC:\WINDOWS\System32\wuauclt.exeC:\WINDOWS\System32\wuauclt.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.frR0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhostR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensR3 - Default URLSearchHook is missingO2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dllO3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dllO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initializeO4 - HKLM\..\Run: [nwiz] nwiz.exe /installquietO4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exeO4 - HKLM\..\Run: [000StTHK] 000StTHK.exeO4 - HKLM\..\Run: [Tpwrtray] TPWRTRAY.EXEO4 - HKLM\..\Run: [TFncKy] C:\Program Files\Toshiba\Commandes TOSHIBA\TFncKy.exe /Type 20O4 - HKLM\..\Run: [TosHKCW.exe] "C:\Program Files\TOSHIBA\Wireless Hotkey\TosHKCW.exe"O4 - HKLM\..\Run: [TFNF5] TFNF5.exeO4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exeO4 - HKLM\..\Run: [TouchED] C:\Program Files\TOSHIBA\TouchED\TouchED.ExeO4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exeO4 - HKLM\..\Run: [LVCOMS] C:\Program Files\Fichiers communs\Logitech\QCDriver3\LVCOMS.EXEO4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\ImageStudio\ISStart.exeO4 - HKLM\..\Run: [LogitechImageStudioTray] C:\Program Files\Logitech\ImageStudio\LogiTray.exeO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe" -osbootO4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exeO4 - HKLM\..\Run: [Watch] C:\PROGRA~1\minitel\Watch.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1
avapw32.exeO4 - HKLM\..\Run: [Golum] C:\WINDOWS\System32\golum\services.exeO4 - HKLM\..\Run: [gcasServ] "C:\Program Files\GIANT Company Software\GIANT AntiSpyware\gcasServ.exe"O4 - HKLM\..\Run: [wincw.exe] C:\WINDOWS\system32\wincw.exeO4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exeO4 - HKCU\..\Run: [MoneyAgent] C:\Program Files\Microsoft Money\System\Money Express.exeO4 - HKCU\..\Run: [ITD7] "C:\Program Files\Steganos Internet Trace Destructor 7\ITD7.exe" -bootO8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.htmlO8 - Extra context menu item: Ouvrir avec GetRight - C:\Program Files\GetRight\GRbrowse.htmO8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.htmlO8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.htmlO8 - Extra context menu item: Télecharger avec GetRight - C:\Program Files\GetRight\GRdownload.htmO8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.htmlO9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dllO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEJe ne peux trop m'étaler, Ie m'

monthifr · Answer

Re Richard1 Jess15 et Eb, Il a fallu que je change de portable pour pouvoir envoyer ce message, ie fermait. La connexion s'est coupée ...Voilà la suite, donc la base analysée par highjackthis aprés 15mn de connexion sur internet.Logfile of HijackThis v1.98.2Scan saved at 10:14:40, on 22/10/2004Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\Explorer.EXEC:\Program Files\Norton AntiVirus
avapsvc.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\atlys.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\00THotkey.exeC:\WINDOWS\System32\TPWRTRAY.EXEC:\Program Files\Toshiba\Commandes TOSHIBA\TFncKy.exeC:\Program Files\TOSHIBA\Wireless Hotkey\TosHKCW.exeC:\WINDOWS\System32\TFNF5.exeC:\Program Files\Apoint2K\Apoint.exeC:\Program Files\TOSHIBA\TouchED\TouchED.ExeC:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exeC:\Program Files\Fichiers communs\Logitech\QCDriver3\LVCOMS.EXEC:\Program Files\Logitech\ImageStudio\LogiTray.exeC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\WINDOWS\System32\ezSP_Px.exeC:\Program Files\QuickTime\qttask.exeC:\PROGRA~1\NORTON~1
avapw32.exeC:\WINDOWS\System32\golum\services.exeC:\Program Files\GIANT Company Software\GIANT AntiSpyware\gcasServ.exeC:\WINDOWS\system32\wincw.exeC:\Program Files\Apoint2K\Apntex.exeC:\Program Files\Steganos Internet Trace Destructor 7\ITD7.exeC:\Program Files\GIANT Company Software\GIANT AntiSpyware\gcasDtServ.exeC:\WINDOWS\System32\wuauclt.exeC:\Documents and Settings\PORTABLE\over.exeC:\Documents and Settings\PORTABLE\ade.exeC:\Documents and Settings\PORTABLE\sexyr.exeC:\WINDOWS\SYSTEM\121711.exeC:\Documents and Settings\PORTABLE\Mes documents\logiciel\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\gysvh.dll/sp.html#29126R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\gysvh.dll/sp.html#29126R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blankR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\ebwku.dll/sp.html#29126R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\gysvh.dll/sp.html#29126R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\gysvh.dll/sp.html#29126R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.frR0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensR3 - Default URLSearchHook is missingO2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dllO2 - BHO: (no name) - {B535F21A-2570-FA50-05E7-D3D99E2F8254} - C:\WINDOWS\msho32.dllO3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dllO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initializeO4 - HKLM\..\Run: [nwiz] nwiz.exe /installquietO4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exeO4 - HKLM\..\Run: [000StTHK] 000StTHK.exeO4 - HKLM\..\Run: [Tpwrtray] TPWRTRAY.EXEO4 - HKLM\..\Run: [TFncKy] C:\Program Files\Toshiba\Commandes TOSHIBA\TFncKy.exe /Type 20O4 - HKLM\..\Run: [TosHKCW.exe] "C:\Program Files\TOSHIBA\Wireless Hotkey\TosHKCW.exe"O4 - HKLM\..\Run: [TFNF5] TFNF5.exeO4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exeO4 - HKLM\..\Run: [TouchED] C:\Program Files\TOSHIBA\TouchED\TouchED.ExeO4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exeO4 - HKLM\..\Run: [LVCOMS] C:\Program Files\Fichiers communs\Logitech\QCDriver3\LVCOMS.EXEO4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\ImageStudio\ISStart.exeO4 - HKLM\..\Run: [LogitechImageStudioTray] C:\Program Files\Logitech\ImageStudio\LogiTray.exeO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe" -osbootO4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exeO4 - HKLM\..\Run: [Watch] C:\PROGRA~1\minitel\Watch.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1
avapw32.exeO4 - HKLM\..\Run: [Golum] C:\WINDOWS\System32\golum\services.exeO4 - HKLM\..\Run: [gcasServ] "C:\Program Files\GIANT Company Software\GIANT AntiSpyware\gcasServ.exe"O4 - HKLM\..\Run: [wincw.exe] C:\WINDOWS\system32\wincw.exeO4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exeO4 - HKCU\..\Run: [MoneyAgent] C:\Program Files\Microsoft Money\System\Money Express.exeO4 - HKCU\..\Run: [ITD7] "C:\Program Files\Steganos Internet Trace Destructor 7\ITD7.exe" -bootO8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.htmlO8 - Extra context menu item: Ouvrir avec GetRight - C:\Program Files\GetRight\GRbrowse.htmO8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.htmlO8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.htmlO8 - Extra context menu item: Télecharger avec GetRight - C:\Program Files\GetRight\GRdownload.htmO8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.htmlO9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dllO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://public.windupdates.com/get_file.php?bt=ie&p=e35dab0b60db4a5037bd1113a93c2a95d05c3c2048fda163a84c15f07fac5cee9bdd84398043d5d5378d16d0bdbfa7eab3e3ec:b4dcaab7f2dabb84f93d90b6f3b1da5eO17 - HKLM\System\CCS\Services\Tcpip\..\{04B5949F-0482-4D12-A077-6FAE8E49414C}: NameServer = 81.91.225.1 81.91.225.18O17 - HKLM\System\CS1\Services\Tcpip\..\{04B5949F-0482-4D12-A077-6FAE8E49414C}: NameServer = 81.91.225.1 81.91.225.18On remarque bien que plein de saletés sont revenues !Une idée ?Pour l'info j'ai encore un raccourci vers Teens XXX pics qui vient de s'afficher sur le bureau !!!Je recommence les mêmes manip tous les jours à savoir lancer hijghjackthis puis spybot puis ad aware je vais dans le registre je supprime les mauvais. Il doit certainement y avoir quelque chose que je n'enlève pas.Ceci dit je n'ai plus le pb d'elitebar. Pour Eb, va voir dans la liste des  sites plus haut dans la discussion, je pense que tu pourrais déjà avancer dans tes opérations de désinfection.Amitiés à tous

balltrap34 · Answer

salut

Avant voir services
http://d21c.com/Tom41/get_active_services_179_161.zip

Le poser sur le bureau.
Le lancer.
Copier/coller le fichier texte qui apparaît.

Pour supprimer htm et about blanck
http://www.trojaner-info.de/cgi-bin/download.cgi?file=sphjfix
http://pageperso.aol.fr/Balltrap34/SpHjfix.exe

ensuite passer

CWShredder
http://pageperso.aol.fr/Balltrap34/CWShredder.exe

il faut l'ouvrir (absolument) toutes fenêtres fermées et hors connexion et faire fix- next - next

et adaware
http://www.ordi-netfr.org/tutorialadaware.html

la chasse et le balltrap ma vrai passion
voir site perso dans profil

monthifr · Answer

Salut Balltrap34,Voilà la copieThese are the Current Active Services: REMOTE PROCEDURE CALL (RPC) HELPER: O?’ŽrtñåÈ²$Ó"C:\WINDOWS\atlys.exe"  /s SERVICE DE LA PASSERELLE DE LA COUCHE APPLICATION: ALGC:\WINDOWS\System32\alg.exe AUDIO WINDOWS: AudioSrvC:\WINDOWS\System32\svchost.exe -k netsvcs SERVICE DE TRANSFERT INTELLIGENT EN ARRIÈRE-PLAN: BITSC:\WINDOWS\System32\svchost.exe -k netsvcs EXPLORATEUR D'ORDINATEUR: BrowserC:\WINDOWS\System32\svchost.exe -k netsvcs SERVICES DE CRYPTOGRAPHIE: CryptSvcC:\WINDOWS\system32\svchost.exe -k netsvcs CLIENT DHCP: DhcpC:\WINDOWS\System32\svchost.exe -k netsvcs SERVICE DE RAPPORT D'ERREURS: ERSvcC:\WINDOWS\System32\svchost.exe -k netsvcs SYSTÈME D'ÉVÉNEMENTS DE COM+: EventSystemC:\WINDOWS\System32\svchost.exe -k netsvcs COMPATIBILITÉ AVEC LE CHANGEMENT RAPIDE D'UTILISATEUR: FastUserSwitchingCompatibilityC:\WINDOWS\System32\svchost.exe -k netsvcs AIDE ET SUPPORT: helpsvcC:\WINDOWS\System32\svchost.exe -k netsvcs MONITEUR INFRAROUGE: IrmonC:\WINDOWS\System32\svchost.exe -k netsvcs SERVEUR: lanmanserverC:\WINDOWS\System32\svchost.exe -k netsvcs STATION DE TRAVAIL: lanmanworkstationC:\WINDOWS\System32\svchost.exe -k netsvcs CONNEXIONS RÉSEAU: NetmanC:\WINDOWS\System32\svchost.exe -k netsvcs NLA (NETWORK LOCATION AWARENESS): NlaC:\WINDOWS\System32\svchost.exe -k netsvcs GESTIONNAIRE DE CONNEXIONS D'ACCÈS DISTANT: RasManC:\WINDOWS\System32\svchost.exe -k netsvcs PLANIFICATEUR DE TÂCHES: ScheduleC:\WINDOWS\System32\svchost.exe -k netsvcs CONNEXION SECONDAIRE: seclogonC:\WINDOWS\System32\svchost.exe -k netsvcs NOTIFICATION D'ÉVÉNEMENT SYSTÈME: SENSC:\WINDOWS\system32\svchost.exe -k netsvcs PARE-FEU DE CONNEXION INTERNET (ICF) / PARTAGE DE CONNEXION INTERNET (ICS): SharedAccessC:\WINDOWS\System32\svchost.exe -k netsvcs DÉTECTION MATÉRIEL NOYAU: ShellHWDetectionC:\WINDOWS\System32\svchost.exe -k netsvcs TÉLÉPHONIE: TapiSrvC:\WINDOWS\System32\svchost.exe -k netsvcs SERVICES TERMINAL SERVER: TermServiceC:\WINDOWS\System32\svchost.exe -k netsvcs THÈMES: ThemesC:\WINDOWS\System32\svchost.exe -k netsvcs CLIENT DE SUIVI DE LIEN DISTRIBUÉ: TrkWksC:\WINDOWS\system32\svchost.exe -k netsvcs GESTIONNAIRE DE TÉLÉCHARGEMENT: uploadmgrC:\WINDOWS\System32\svchost.exe -k netsvcs HORLOGE WINDOWS: W32TimeC:\WINDOWS\System32\svchost.exe -k netsvcs INFRASTRUCTURE DE GESTION WINDOWS: winmgmtC:\WINDOWS\system32\svchost.exe -k netsvcs MISES À JOUR AUTOMATIQUES: wuauservC:\WINDOWS\system32\svchost.exe -k netsvcs CONFIGURATION AUTOMATIQUE SANS FIL: WZCSVCC:\WINDOWS\System32\svchost.exe -k netsvcs CLIENT DNS: DnscacheC:\WINDOWS\System32\svchost.exe -k NetworkService JOURNAL DES ÉVÉNEMENTS: EventlogC:\WINDOWS\system32\services.exe PLUG-AND-PLAY: PlugPlayC:\WINDOWS\system32\services.exe ASSISTANCE TCP/IP NETBIOS: LmHostsC:\WINDOWS\System32\svchost.exe -k LocalService SERVICE DE DÉCOUVERTES SSDP: SSDPSRVC:\WINDOWS\System32\svchost.exe -k LocalService WEBCLIENT: WebClientC:\WINDOWS\System32\svchost.exe -k LocalService SERVICE NORTON ANTIVIRUS AUTO-PROTECT: navapsvcC:\Program Files\Norton AntiVirus
avapsvc.exe NVIDIA DRIVER HELPER SERVICE: NVSvcC:\WINDOWS\System32
vsvc32.exe SERVICES IPSEC: PolicyAgentC:\WINDOWS\System32\lsass.exe EMPLACEMENT PROTÉGÉ: ProtectedStorageC:\WINDOWS\system32\lsass.exe GESTIONNAIRE DE COMPTES DE SÉCURITÉ: SamSsC:\WINDOWS\system32\lsass.exe APPEL DE PROCÉDURE DISTANTE (RPC): RpcSsC:\WINDOWS\system32\svchost -k rpcss SPOULEUR D'IMPRESSION: SpoolerC:\WINDOWS\system32\spoolsv.exe ACQUISITION D'IMAGE WINDOWS (WIA): stisvcC:\WINDOWS\System32\svchost.exe -k imgsvcJe vais procéder aux deux autrs analysesMerci !A+

monthifr · Answer

Re Balltrap34,J'ai passé les deux aplications SPHJFIX .Il annonce not infected au passage des deux .A+

balltrap34 · Answer

re
vas dans panneaux de configuration/outil systeme/services
met se service sur desactiver et sur arretter
REMOTE PROCEDURE CALL (RPC) HELPER:
ensuite recherche et supprimme ceci

"C:\WINDOWS\atlys.exe" /s

la chasse et le balltrap ma vrai passion
voir site perso dans profil

monthifr · Answer

Merci pour ta réponse baltrap34.Je teste et te tiens au courantA+

balltrap34 · Answer

okia++la chasse et le balltrap ma vrai passionvoir site perso dans profil

monthifr · Answer

Salut Balltrap34,

J'ai arrêté le service et supprimé atlys.exe.
En fouillant j'ai trouvé un Elite.exe alors que j'ai réussi tant bien que mal à supprimer elitebar.
Mais (parce qu'il y a toujours un "mais") .
Je charge toujours autant d'erreurs que d'octets. La navigation est toujours impossible.
Je vais essayer de rebalancer la liste des services et surtout tenter d'identifier les fichiers pourris qui trainent encore.

A+ pour les news

balltrap34 · Answer

salutfait un hijackthis    (ici)               http://pageperso.aol.fr/balltrap34/page%20virus.htmla chasse et le balltrap ma vrai passionvoir site perso dans profil

monthifr · Answer

Salut Balltrap34,Voilà le dernier résultat du scan de highjackthisLogfile of HijackThis v1.98.2Scan saved at 18:55:00, on 23/10/2004Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Norton AntiVirus
avapsvc.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\atlhb32.exeC:\WINDOWS\System32\00THotkey.exeC:\WINDOWS\System32\TPWRTRAY.EXEC:\Program Files\Toshiba\Commandes TOSHIBA\TFncKy.exeC:\Program Files\TOSHIBA\Wireless Hotkey\TosHKCW.exeC:\WINDOWS\System32\TFNF5.exeC:\Program Files\Apoint2K\Apoint.exeC:\Program Files\TOSHIBA\TouchED\TouchED.ExeC:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exeC:\Program Files\Fichiers communs\Logitech\QCDriver3\LVCOMS.EXEC:\Program Files\Logitech\ImageStudio\LogiTray.exeC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\WINDOWS\System32\ezSP_Px.exeC:\Program Files\QuickTime\qttask.exeC:\PROGRA~1\NORTON~1
avapw32.exeC:\Program Files\Apoint2K\Apntex.exeC:\WINDOWS\System32\golum\services.exeC:\Program Files\GIANT Company Software\GIANT AntiSpyware\gcasServ.exeC:\WINDOWS\system32\winll32.exeC:\Program Files\Steganos Internet Trace Destructor 7\ITD7.exeC:\Program Files\GIANT Company Software\GIANT AntiSpyware\gcasDtServ.exeC:\WINDOWS\System32\wuauclt.exeC:\WINDOWS\System32\wuauclt.exeC:\Documents and Settings\PORTABLE\Mes documents\logiciel\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\gysvh.dll/sp.html#29126R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.frR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blankR0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.frR0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhostR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensR3 - Default URLSearchHook is missingO2 - BHO: (no name) - {9C89C0FE-CDCE-1551-6D7B-E711EE4F8ED8} - C:\WINDOWS\system32\winll32.dllO2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dllO3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dllO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initializeO4 - HKLM\..\Run: [nwiz] nwiz.exe /installquietO4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exeO4 - HKLM\..\Run: [000StTHK] 000StTHK.exeO4 - HKLM\..\Run: [Tpwrtray] TPWRTRAY.EXEO4 - HKLM\..\Run: [TFncKy] C:\Program Files\Toshiba\Commandes TOSHIBA\TFncKy.exe /Type 20O4 - HKLM\..\Run: [TosHKCW.exe] "C:\Program Files\TOSHIBA\Wireless Hotkey\TosHKCW.exe"O4 - HKLM\..\Run: [TFNF5] TFNF5.exeO4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exeO4 - HKLM\..\Run: [TouchED] C:\Program Files\TOSHIBA\TouchED\TouchED.ExeO4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exeO4 - HKLM\..\Run: [LVCOMS] C:\Program Files\Fichiers communs\Logitech\QCDriver3\LVCOMS.EXEO4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\ImageStudio\ISStart.exeO4 - HKLM\..\Run: [LogitechImageStudioTray] C:\Program Files\Logitech\ImageStudio\LogiTray.exeO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe" -osbootO4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exeO4 - HKLM\..\Run: [Watch] C:\PROGRA~1\minitel\Watch.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1
avapw32.exeO4 - HKLM\..\Run: [Golum] C:\WINDOWS\System32\golum\services.exeO4 - HKLM\..\Run: [gcasServ] "C:\Program Files\GIANT Company Software\GIANT AntiSpyware\gcasServ.exe"O4 - HKLM\..\Run: [winll32.exe] C:\WINDOWS\system32\winll32.exeO4 - HKLM\..\RunOnce: [atlhb32.exe] C:\WINDOWS\atlhb32.exeO4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exeO4 - HKCU\..\Run: [MoneyAgent] C:\Program Files\Microsoft Money\System\Money Express.exeO4 - HKCU\..\Run: [ITD7] "C:\Program Files\Steganos Internet Trace Destructor 7\ITD7.exe" -bootO8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.htmlO8 - Extra context menu item: Ouvrir avec GetRight - C:\Program Files\GetRight\GRbrowse.htmO8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.htmlO8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.htmlO8 - Extra context menu item: Télecharger avec GetRight - C:\Program Files\GetRight\GRdownload.htmO8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.htmlO9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dllO9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEO9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXEEt merci pour tes conseils !!! :o)A+

balltrap34 · Answer

Salut
Tu nas pas mis la totaliter du rapport

Telecharge ces 2 log et tu les utiliseras apres
Spyboot
Adaware
(ici) http://pageperso.aol.fr/balltrap34/page%20virus.htm

relance hj coche et fix ces lignes

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\gysvh.dll/sp.html#29126
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {9C89C0FE-CDCE-1551-6D7B-E711EE4F8ED8} - C:\WINDOWS\system32\winll32.dll
O4 - HKLM\..\Run: [Golum] C:\WINDOWS\System32\golum\services.exe
O4 - HKLM\..\Run: [winll32.exe] C:\WINDOWS\system32\winll32.exe
O4 - HKLM\..\RunOnce: [atlhb32.exe] C:\WINDOWS\atlhb32.exe

Redemarre en mode sans echec
Recherche et suppr
C:\WINDOWS\system32\winll32.dll
C:\WINDOWS\System32\golum\services.exe
C:\WINDOWS\atlhb32.exe

Utilise maintenant les 2 log et vire tous se qu il trouvent

la chasse et le balltrap ma vrai passion
voir site perso dans profil

monthifr · Answer

Salut balltrap34,
J'ai appliqué ce que tu m'as dit et là je suis branché et je n'ai eu que 2 erreurs.

Je n'ai pas encore eu les popups je vais naviguer un peu encore pour m'assurer que ça tient.

Merci à tous ceux qui ont eu la patience et la gentillesse de me guider dans ce long périple semé d'embûches !

Amitiés

balltrap34 · Answer

okiquelle erreurla chasse et le balltrap ma vrai passionvoir site perso dans profil

Virus ???

50 réponses

Discussions similaires

Newsletters