virus.win32.nsag.a ?????

Question

kk'un connais t'il ce virus, mon antivirus me la detecter ce matin pas moyen de desinfecter et j'ai fait des recherche sur google pour trouver un outil de desinfection il y a rien du tout!!!

il c loger sur le dosier wininet.dll....

Si qq un a des info sur ce virus merci de m'en faire part

jean38 · Answer

A/ si tu ne les as pas, telecharge: Spybot S&D 1.4 et Ad-Aware SE 1.06 http://www.lavasoftusa.com/software/adaware/ http://www.safer-networking.org/fr/index.htmlpuis surhttp://www.florensac-chasse-trap.compointe ton curseur sur « section virus » sans cliquerclick sur le menu qui apparaît et chargeCleanUp312.exe ne les utilise pas tout de suite idem si tu ne l’as pas A2 free sur http://www.emsisoft.net/fr/software/download/met à jour spybot, ad aware et a2 free sur internet (tu trouves l’option dans les menus) mais ne lance pas les scan.1) clic droit sur poste de travail propriété restauration systeme coche desactivé puis appliquer 2) demarrer panneau de configuration outil option des dossiers affichage, coche afficher dossier cachés decoche : masquer extension des fichiers dont le type est connu masquer les fichiers protégés du systeme d'exploitation. 3) demarre en mode sans echec. Soit tu tapotte sur la touche F8 alancement de Windows et tu choisi sans echec (pas d’inquiétude pour l’aspect de l’ecran)execute cleanup312.exe tu relances tes scan ad aware puis spy boot puis a2 freeet vire tout ce qu'ils trouvent (c'est un peu long mais tu devrais t'en sortir). vide ta poubelle et redemarre en mode normal, c'est à dire avant de redemarrer, tu refais les manip de départ mais en recochant ... pour retrouver la config de départ.  redemarre telecharge hijackthis: http://www.merijn.org/files/hijackthis.zip Dezippe le dans un dossier prévu a cet effet. Par exemple C:\hijackthis lance le puis: clic sur "do a system scan and save logfile" et pas autre chose fais un copier coller du log entier ici.  A+Jean

melo · Answer

eeeee j'ai cliquer sur ce liens suis tomber sur un liens de chasse et de peche.... vi c vrai je veux chasser ce virus mais je sais pas si une carabine pourra maider :-phttp://www.florensac-chasse-trap.com le liens que tu voulais me donner s'etais???merci

melo · Answer

oups dsl j'avais pas bien regarder le sitej'ai rien dit

melo · Answer

Logfile of HijackThis v1.99.1Scan saved at 14:05:06, on 13/05/2005Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Messenger Plus! 3\MsgPlus.exeC:\WINDOWS\System32\RUNDLL32.EXEC:\Program Files\iTunes\iTunesHelper.exeC:\Program Files\QuickTime\qttask.exeC:\WINDOWS\System32\ctfmon.exeC:\Program Files\ISS\BlackICE\blackice.exeC:\Program Files\AntiViral Toolkit Pro\avpm.exeC:\Program Files\MSN Messenger\msnmsgr.exeC:\Program Files\Yahoo!\Messenger\ymsgr_tray.exeC:\Program Files\ISS\BlackICE\blackd.exeC:\WINDOWS\System32\mnmsrvc.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32undll32.exeC:\WINDOWS\system32\pctspk.exeC:\Program Files\ISS\BlackICEapapp.exeC:\WINDOWS\System32\svchost.exeC:\Program Files\iPod\bin\iPodService.exeC:\Documents and Settings\melotoinou\Bureau\hijackthis\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://red.clientapps.yahoo.com/customize/ie/defaults/sb/ymsgr6/*http://www.yahoo.com/ext/search/search.htmlR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://red.clientapps.yahoo.com/customize/ie/defaults/sp/ymsgr6/*http://www.yahoo.comR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.frR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://red.clientapps.yahoo.com/customize/ie/defaults/su/ymsgr6/*http://www.yahoo.comR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://red.clientapps.yahoo.com/customize/ie/defaults/sb/ymsgr6/*http://www.yahoo.com/ext/search/search.htmlR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://red.clientapps.yahoo.com/customize/ie/defaults/sp/ymsgr6/*http://www.yahoo.com

melo · Answer

au fait a2 n'a pas trouver le virus mais mon kapersky le trouve et ne peu pas le desinfecter, mm en mode sans echec ( ce que j'avais essayer avant de venir sur le forum)  il me fais des alerte virus sans arret et met " Problème d'I/O error. Echec en désinfection. "Merci de ton aide

jean38 · Answer

ton log n'est pas complet, il y a un ascenseur sur le coté, recolle tout.d'autre part, fait un scan en ligne chezhttp://www.ravantivirus.com/scan/click hereaccepte active Xet scancolle le rapport

melo · Answer

voila le log complet je fait mon l'antivirus en ligne et je te mets le nouveau logLogfile of HijackThis v1.99.1Scan saved at 14:05:06, on 13/05/2005Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Messenger Plus! 3\MsgPlus.exeC:\WINDOWS\System32\RUNDLL32.EXEC:\Program Files\iTunes\iTunesHelper.exeC:\Program Files\QuickTime\qttask.exeC:\WINDOWS\System32\ctfmon.exeC:\Program Files\ISS\BlackICE\blackice.exeC:\Program Files\AntiViral Toolkit Pro\avpm.exeC:\Program Files\MSN Messenger\msnmsgr.exeC:\Program Files\Yahoo!\Messenger\ymsgr_tray.exeC:\Program Files\ISS\BlackICE\blackd.exeC:\WINDOWS\System32\mnmsrvc.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32undll32.exeC:\WINDOWS\system32\pctspk.exeC:\Program Files\ISS\BlackICEapapp.exeC:\WINDOWS\System32\svchost.exeC:\Program Files\iPod\bin\iPodService.exeC:\Documents and Settings\melotoinou\Bureau\hijackthis\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://red.clientapps.yahoo.com/customize/ie/defaults/sb/ymsgr6/*http://www.yahoo.com/ext/search/search.htmlR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://red.clientapps.yahoo.com/customize/ie/defaults/sp/ymsgr6/*http://www.yahoo.comR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.frR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://red.clientapps.yahoo.com/customize/ie/defaults/su/ymsgr6/*http://www.yahoo.comR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://red.clientapps.yahoo.com/customize/ie/defaults/sb/ymsgr6/*http://www.yahoo.com/ext/search/search.htmlR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://red.clientapps.yahoo.com/customize/ie/defaults/sp/ymsgr6/*http://www.yahoo.comR1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/customize/ie/defaults/su/ymsgr6/*http://www.yahoo.comR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensF2 - REG:system.ini: Shell=Explorer.exe, msmsgs.exeO2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\PROGRA~1\YAHOO!\COMPAN~1\INSTALLS\cpn\ycomp5_5_7_0.dllO2 - BHO: (no name) - {04711AF9-1C6D-585C-A740-93DD53D9DB3A} - (no file)O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocxO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRA~1\YAHOO!\COMPAN~1\INSTALLS\cpn\ycomp5_5_7_0.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO3 - Toolbar: Virtual Maid - {77B2F8DE-CB3F-4b6b-839B-807DD1ADBA1C} - C:\PROGRA~1\VIRTUA~1\VIRTUA~1.DLL (file missing)O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe"O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInitO4 - HKLM\..\Run: [bend phone great ford] C:\Documents and Settings\All Users\Application Data\flapboldbendphone\mixsetup.exeO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -kO4 - HKLM\..\Run: [MSN Messenger] C:\WINDOWS\System32\msmsgs.exeO4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [AdwareAlert] C:\Program Files\AdwareAlert\AdwareAlert.Exe -bootO4 - HKLM\..\RunOnce: [!CleanupNetMeetingDispDriver] "C:\WINDOWS\System32undll32.exe" msconf.dll,CleanupNetMeetingDispDriver 0O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exeO4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe" /WinStartO4 - HKCU\..\Run: [meet hope] C:\DOCUME~1\MELOTO~1\APPLIC~1\AMOKPE~1\Surfokaybuild.exeO4 - HKCU\..\Run: [Yahoo! Pager] C:\Program Files\Yahoo!\Messenger\ypager.exe -quietO4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /backgroundO4 - Global Startup: BlackICE Utilitaire .lnk = ?O4 - Global Startup: AVP Monitor.lnk = C:\Program Files\AntiViral Toolkit Pro\avpm.exeO8 - Extra context menu item: &RSDN Search - res://C:\PROGRA~1\VIRTUA~1\VIRTUA~1.DLL/GoVM.dll.htmO8 - Extra context menu item: &Yahoo! Search - file:///C:\Program Files\Yahoo!\Common/ycsrch.htmO8 - Extra context menu item: Yahoo! &Dictionary - file:///C:\Program Files\Yahoo!\Common/ycdict.htmO8 - Extra context menu item: Yahoo! &Maps - file:///C:\Program Files\Yahoo!\Common/ycdict.htmO9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Program Files\Yahoo!\Messenger\yhexbmes0521.dll (file missing)O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Program Files\Yahoo!\Messenger\yhexbmes0521.dll (file missing)O14 - IERESET.INF: START_PAGE_URL=http://www.google.frO16 - DPF: Interface Chat Voila - http://chat9.x-echo.com/version5/Applet/vchatsign.cabO16 - DPF: {01347765-1965-426B-91A4-AA6BB342B9A3} (InstallerObj Class) - http://www.1-click.com/common/files/installer-hidden-test.cabO16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dllO16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by103fd.bay103.hotmail.msn.com/resources/MsnPUpld.cabO16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cabO16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cabO23 - Service: BlackICE - Internet Security Systems, Inc. - C:\Program Files\ISS\BlackICE\blackd.exeO23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exeO23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exeO23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exeO23 - Service: RapApp - Internet Security Systems, Inc. - C:\Program Files\ISS\BlackICEapapp.exeO23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exeO23 - Service: Microsoft Service Manager (winmdgr) - Unknown owner - C:\WINDOWS\winsvcmgr.exe (file missing)

jean38 · Answer

je ne vois pas les resultats de rav???jean

melo · Answer

le rav a absolument rien trouver, ce matin j'ai fait panda en ligne et l'antirvirus en ligne de secuser... ils n'ont rien trouver non plus...Merci de ton aide

melo · Answer

detail peut etre important lors de ma recherche en mode sans echec par kapersky il me disais qu'il devais redemarer pour terminer la desinfection, ce qui n'a pas ete pris en compte

melo · Answer

me suis vraiment mal exprimer dans mon post precedenten fesant une analyse en mode sans echec du dossier concerné ( wininet.dll dans le systeme 32) il a reussi a faire un desinction mais a priori incomplete car il a demander de redemarer le pc pour pouvoir rendre cette desinfection complete... ce qui n'a malheureusement pas ete pris en compte car il ma remis alerte virus des l'ouverture de kaperskyvala c plus clair

jean38 · Answer

bon y a bien des choses dont on va s'occupercependant avant de s'en occuper je voudrais que tu testes quelques fichiers inconnus,tout d'abord,recherche l'emplacement de Surfokaybuild.exe (passe pas rechercher pour le trouver sur ton disque)puis va sur le sitehttp://virusscan.jotti.orget teste le, tu parcours pour retrouver son emplacement puis tu submit.colle le rapport et poste

melo · Answer

rien dans la recherche, rien dans le chemin donner dans le log je me souviens avoir desisnfecter ce truc avec ad-aware

jean38 · Answer

bon alors on va le soigner definitivement:fait ce qui suit dans l'ordre.1) clic droit sur poste de travail propriété restauration systeme coche desactivé puis appliquer 2) demarrer panneau de configuration outil option des dossiers affichage, coche afficher dossier cachés decoche : masquer extension des fichiers dont le type est connu masquer les fichiers protégés du systeme d'exploitation. 3) demarre en mode sans echec. Soit tu tapotte sur la touche F8 alancement de Windows et tu choisi sans echec (pas d’inquiétude pour l’aspect de l’ecran) 4) lance hijack ferme le log block note et coche les cases concernant les lignes suivantes de ton logF2 - REG:system.ini: Shell=Explorer.exe, msmsgs.exe O4 - HKLM\..\Run: [MSN Messenger] C:\WINDOWS\System32\msmsgs.exe O4 - HKCU\..\Run: [meet hope] C:\DOCUME~1\MELOTO~1\APPLIC~1\AMOKPE~1\Surfokaybuild.exe O8 - Extra context menu item: &RSDN Search - res://C:\PROGRA~1\VIRTUA~1\VIRTUA~1.DLL/GoVM.dll.htm O16 - DPF: {01347765-1965-426B-91A4-AA6BB342B9A3} (InstallerObj Class) - http://www.1-click.com/common/files/installer-hidden-test.cab O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab puis tu valides par fixe ...ensuite tu supprime (si toujours là)C:\WINDOWS\System32\msmsgs.exe attention celui qui se trouve dans system 32 pas ailleurs.execute cleanup312.exe redemarre et dit moi ou tu en es de tes pbjean

melo · Answer

bon j'ai tout fais comme tu m'a dis  et du coup j'en n'est profiter pour refaire un kapersky, qui ma refait la mm chose et j'ai tjr ce virus.... Merci bcp pour le menage que tu ma permis de faire, c deja ca de gagnéBon je continu mes recherche pour ce foutu virus de m... si qq un a des infos merci de me les faire partagervoila le dernier log:R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://red.clientapps.yahoo.com/customize/ie/defaults/sb/ymsgr6/*http://www.yahoo.com/ext/search/search.htmlR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://red.clientapps.yahoo.com/customize/ie/defaults/sp/ymsgr6/*http://www.yahoo.comR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.frR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://red.clientapps.yahoo.com/customize/ie/defaults/su/ymsgr6/*http://www.yahoo.comR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://red.clientapps.yahoo.com/customize/ie/defaults/sb/ymsgr6/*http://www.yahoo.com/ext/search/search.htmlR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://red.clientapps.yahoo.com/customize/ie/defaults/sp/ymsgr6/*http://www.yahoo.comR1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/customize/ie/defaults/su/ymsgr6/*http://www.yahoo.comR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\PROGRA~1\YAHOO!\COMPAN~1\INSTALLS\cpn\ycomp5_5_7_0.dllO2 - BHO: (no name) - {04711AF9-1C6D-585C-A740-93DD53D9DB3A} - (no file)O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocxO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRA~1\YAHOO!\COMPAN~1\INSTALLS\cpn\ycomp5_5_7_0.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO3 - Toolbar: Virtual Maid - {77B2F8DE-CB3F-4b6b-839B-807DD1ADBA1C} - C:\PROGRA~1\VIRTUA~1\VIRTUA~1.DLL (file missing)O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe"O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInitO4 - HKLM\..\Run: [bend phone great ford] C:\Documents and Settings\All Users\Application Data\flapboldbendphone\mixsetup.exeO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -kO4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"O4 - HKLM\..\Run: [AdwareAlert] C:\Program Files\AdwareAlert\AdwareAlert.Exe -bootO4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exeO4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe" /WinStartO4 - HKCU\..\Run: [Yahoo! Pager] C:\Program Files\Yahoo!\Messenger\ypager.exe -quietO4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /backgroundO4 - Global Startup: BlackICE Utilitaire .lnk = ?O4 - Global Startup: AVP Monitor.lnk = C:\Program Files\AntiViral Toolkit Pro\avpm.exeO8 - Extra context menu item: &Yahoo! Search - file:///C:\Program Files\Yahoo!\Common/ycsrch.htmO8 - Extra context menu item: Yahoo! &Dictionary - file:///C:\Program Files\Yahoo!\Common/ycdict.htmO8 - Extra context menu item: Yahoo! &Maps - file:///C:\Program Files\Yahoo!\Common/ycdict.htmO9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Program Files\Yahoo!\Messenger\yhexbmes0521.dll (file missing)O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Program Files\Yahoo!\Messenger\yhexbmes0521.dll (file missing)O14 - IERESET.INF: START_PAGE_URL=http://www.google.frO16 - DPF: Interface Chat Voila - http://chat9.x-echo.com/version5/Applet/vchatsign.cabO16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dllO16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by103fd.bay103.hotmail.msn.com/resources/MsnPUpld.cabO16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cabO16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cabO23 - Service: BlackICE - Internet Security Systems, Inc. - C:\Program Files\ISS\BlackICE\blackd.exeO23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exeO23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exeO23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exeO23 - Service: RapApp - Internet Security Systems, Inc. - C:\Program Files\ISS\BlackICEapapp.exeO23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exeO23 - Service: Microsoft Service Manager (winmdgr) - Unknown owner - C:\WINDOWS\winsvcmgr.exe (file missing)

melo · Answer

il avais pas tout pris voila le reste:Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\system32\spoolsv.exeC:\Program Files\ISS\BlackICE\blackd.exeC:\WINDOWS\System32\mnmsrvc.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32undll32.exeC:\WINDOWS\system32\pctspk.exeC:\Program Files\ISS\BlackICEapapp.exeC:\WINDOWS\System32\svchost.exeC:\Program Files\Messenger Plus! 3\MsgPlus.exeC:\WINDOWS\System32\RUNDLL32.EXEC:\Program Files\iTunes\iTunesHelper.exeC:\WINDOWS\System32\ctfmon.exeC:\Program Files\iPod\bin\iPodService.exeC:\Program Files\ISS\BlackICE\blackice.exeC:\Program Files\AntiViral Toolkit Pro\avpm.exeC:\Program Files\Yahoo!\Messenger\ymsgr_tray.exeC:\Program Files\MSN Messenger\msnmsgr.exeC:\Program Files\Internet Explorer\iexplore.exeC:\Documents and Settings\melotoinou\Bureau\hijackthis\HijackThis.exe

melo · Answer

je viens d'aller sur http://virusscan.jotti.org/ pour y analyser la dll infecter ( wininet.dll dans le sys32)les resultats:File:  wininet.dll  Status:  INFECTED/MALWARE  MD5  d7fadaacf1b819b477756bb2802c0e53  Packers detected:  - Scanner results  AntiVir  Found nothing ArcaVir  Found nothing Avast  Found nothing AVG Antivirus  Found nothing BitDefender  Found nothing ClamAV  Found nothing Dr.Web  Found Trojan.DownLoader.2636  F-Prot Antivirus  Found nothing Fortinet  Found Nsag.A  Kaspersky Anti-Virus  Found Virus.Win32.Nsag.a  NOD32  Found Win32/Oleloa.A  Norman Virus Control  Found nothing VBA32  Found nothing

jean38 · Answer

j'avais oublié, mieux vaut virer messanger 3 plus plein de soucis,donc en sans echecfix dans hijackO4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe"O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe" /WinStart et C:\Program Files\Messenger Plus! 3<< le dossieret donc winnet.dll dans system 32 ce fut long mille excuses

melo · Answer

Bon j'ai trouver qq info sur mon pseudo virus qui apparemment est un trojan qui est fixer sur ma dll donc on ma dit " sois tu bloque ta dll a partir de ton firewall sois tu formatte!!!" je suis enormement avancer parce que je n'arrive pas a la bloquer sur mon fire wall!!!Je fais comme tu dis et je reviens te dire si c bon ou pasmerci enormement de m'aider

melo · Answer

ne sois pas dsl si ca mets aprfois du temps pour tes reponse franchement c deja genial que tu m'aide MILLE MERCIbon j'ai tout fait comme tu ma dit, mais j'ai tjr ma dll infecter ( sois wininet.dll et non pas winnet.dll)je continu encore un peu a chercher des solutions mais je commence serieusement a penser au formatage!! pfffff

Utilisateur anonyme · Answer

salut melolance un scan chez RAV : http://www.ravantivirus.com/scan/ Clique sur "To continue without subscribing click here" et attends quelques minutes. Lorsque "Ready" est affiché dans "status", coche la case "Autoclean" puis clique sur "Scan my PC" A la fin de l'analyse, copie/colle le rapport ici a+

melo · Answer

salut regisje refait mais j'ai fait tout a l'heure et ca n'a rien donner...je tente encore on ne sais jamaisa+

Utilisateur anonyme · Answer

ah dsl j avais pas vu !!qui te le detecte? ton antivirus?tu peux coller le rapport de ses alertes?a+

melo · Answer

c vraiment pas gravej'ai refait et il n'a rien trouver j'ai kaperskyen fait je ne trouve pas les rapport ( sois ej ne trouve pas ou il les range sois cleanup les a virer)enfin , sur l'alerte il y a d'ecrit nom du virus:  virus.win32.nsag.aobjet infecte:  C:\WINDOWS\system32\WININET.dllProblème d'I/O error. Echec en désinfection.merci de ton aide

jean38 · Answer

t'inquiete pas recherche en cours.jean

melo · Answer

merci c vraiment super sympa, moi aussi je cherche des infos de mon cotéa+

jean38 · Answer

j'essaie de chopper Moe, c'est une bete.mais là on dirait qu'il a pris l'air; peut etre on l'aura plus tard dans la soirée.a toutejean

Utilisateur anonyme · Answer

salut,cette dllDLL Name: Internet Extensions for Win32je sais pas on peut le virer et la retelecharger, moi je vois que ca,d autres avis?

Utilisateur anonyme · Answer

salutune bete lol faut pas pousser !les seuls renseignements que j'ai pu trouver sur le sujet, c'est le remplacement du fichier WININET.dll  corrompu par un fichier sain.tu peux quand meme essayer de désactiver la restauration systeme, puis de redemarrer en mode sans echecs et de lancer kaspersky pour qu'il essaye de reparer. (c'est peut etre la restau systeme qui gene ?).ensuite reposte un hijack, pour voir...a+

melo · Answer

je viens d'aller sur le site de kaspersky apparement c un virus qui a ete decouvert aujourd'hui et il n'y a pas encore de definition disponible dans leur encyclopedie...a mon avis il ne me reste qu'a patienter gentimentMerci beaucoup jeanJe vous tiens au courant si je trouve autre chose ( comme il est tout nouveau ca devrais aider pour les jour a venir )A+

melo · Answer

je n'avais pas vu le post de moec deja fait 3 fois il dit qu'il ne peut pas desinfecter et a la fin de l'analyse il me dit qu'il a desinfecter le fichier et qu'il doit redemarer le pc pour me remplacer la dll par un fichier sain, donc je fais ce qu'on me dit et quand je redemarre en mode normal rebelote le virus est tjr la...Merci moe A+

melo · Answer

au fait j'ai penser a suprimer la dll et la remplacer par une fichier sain mais l'acces m'est refusser et ca mm en mode sans echec ( dsl j'avais pas tout lu le message)a+

Utilisateur anonyme · Answer

salutessaye de faire ceci en mode sans echecs et restauration systeme désactivé:1 sauvegarde WININET.dll va dans C:\WINDOWS\system32\ et clic droit sur WININET.dllenvoyer vers > dossier compressé.2 Rend visible les fichiers cachés et systeme panneau de configuration > options des dossiers > onglet affichage Cocher " afficher les fichiers et dossiers cachés "Décocher " masquer les fichiers protégés du système"clic sur ok pour valider3Va dans C:\WINDOWS\system32\dllcachetu devrais trouver une copie de wininet.dllfais clic droit dessus puis clic sur copier4reviens dans C:\WINDOWS\system32 clic droit>collertu devrais avoir un message te disant que le fichier existe déjà et si tu veux le remplacer, accepte.5redemarre le pc et dis moi si kaspersky le detecte toujoursa+

melo · Answer

re salutje viens de faire tout ce que tu m'a demander ( a savoir  ma restauration systeme est desactiver en permanance) qd je veux remplacer la dll j'ai un message : imposible de copier wininet.dll cette resource est utilisée par une autre personne ou un autre programmel'idee etais genial, je pensais vraiment que cette fois ci ca marcheraismerci moea+

melo · Answer

j'oubliais  ( decidement chez moi c une habitude)quand j'ai voulu faire :sauvegarde WININET.dll va dans C:\WINDOWS\system32\ et clic droit sur WININET.dll envoyer vers > dossier compressé. je n'avais pas ce choix dans envoyer vers, donc j'ai compresser avec winrar... je ne sais pas si c vraiment ce qu'il fallais faire

jean38 · Answer

juste une petite incursion, t'as essayé en sans echec??jean(avant de partir mais je crois qu'on se rapproche de la verité)

melo · Answer

vi tout ca j'ai fais en sans echecmerci bcp jean

Utilisateur anonyme · Answer

bon, pas faciletelecharge process xp ici:http://www.sysinternals.com/files/procexpnt.zipDézippe process xp et double clic sur processxp.execlic sur find puis sur find dlldans la fenetre qui s'ouvre, tape wininet et clic sur searchnote le nom de tous les processus qui apparaissent et poste le resultat ici + un log hijackthis.une petite aide en image ici:http://cjoint.com/data/gjv24cxray.htma+

melo · Answer

donc resultat processxp: SVCHOST.EXE( 2 fois ),  IEXPLORE.EXE, EXPLORER.EXE, iTunesHelper.exe, MSNMSGR.EXE, ALG.EXE, YPager.exeet le log hijack:Logfile of HijackThis v1.99.1Scan saved at 22:13:47, on 13/05/2005Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\System32\RUNDLL32.EXEC:\Program Files\iTunes\iTunesHelper.exeC:\WINDOWS\System32\ctfmon.exeC:\Program Files\MSN Messenger\msnmsgr.exeC:\Program Files\ISS\BlackICE\blackice.exeC:\Program Files\AntiViral Toolkit Pro\avpm.exeC:\Program Files\ISS\BlackICE\blackd.exeC:\WINDOWS\System32\mnmsrvc.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32undll32.exeC:\WINDOWS\system32\pctspk.exeC:\Program Files\ISS\BlackICEapapp.exeC:\WINDOWS\System32\svchost.exeC:\Program Files\Internet Explorer\iexplore.exeC:\Program Files\iPod\bin\iPodService.exeC:\Program Files\Yahoo!\Messenger\ypager.exeC:\Documents and Settings\melotoinou\Bureau\ProcessExplorerNt\procexp.exeC:\Documents and Settings\melotoinou\Bureau\hijackthis\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://red.clientapps.yahoo.com/customize/ie/defaults/sb/ymsgr6/*http://www.yahoo.com/ext/search/search.htmlR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://red.clientapps.yahoo.com/customize/ie/defaults/sp/ymsgr6/*http://www.yahoo.comR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.frR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://red.clientapps.yahoo.com/customize/ie/defaults/su/ymsgr6/*http://www.yahoo.comR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://red.clientapps.yahoo.com/customize/ie/defaults/sb/ymsgr6/*http://www.yahoo.com/ext/search/search.htmlR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://red.clientapps.yahoo.com/customize/ie/defaults/sp/ymsgr6/*http://www.yahoo.comR1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/customize/ie/defaults/su/ymsgr6/*http://www.yahoo.comR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\PROGRA~1\YAHOO!\COMPAN~1\INSTALLS\cpn\ycomp5_5_7_0.dllO2 - BHO: (no name) - {04711AF9-1C6D-585C-A740-93DD53D9DB3A} - (no file)O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocxO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRA~1\YAHOO!\COMPAN~1\INSTALLS\cpn\ycomp5_5_7_0.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO3 - Toolbar: Virtual Maid - {77B2F8DE-CB3F-4b6b-839B-807DD1ADBA1C} - C:\PROGRA~1\VIRTUA~1\VIRTUA~1.DLL (file missing)O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInitO4 - HKLM\..\Run: [bend phone great ford] C:\Documents and Settings\All Users\Application Data\flapboldbendphone\mixsetup.exeO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -kO4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"O4 - HKLM\..\Run: [AdwareAlert] C:\Program Files\AdwareAlert\AdwareAlert.Exe -bootO4 - HKLM\..\RunOnce: [!CleanupNetMeetingDispDriver] "C:\WINDOWS\System32undll32.exe" msconf.dll,CleanupNetMeetingDispDriver 0O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exeO4 - HKCU\..\Run: [Yahoo! Pager] C:\Program Files\Yahoo!\Messenger\ypager.exe -quietO4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /backgroundO4 - Global Startup: BlackICE Utilitaire .lnk = ?O4 - Global Startup: AVP Monitor.lnk = C:\Program Files\AntiViral Toolkit Pro\avpm.exeO8 - Extra context menu item: &Yahoo! Search - file:///C:\Program Files\Yahoo!\Common/ycsrch.htmO8 - Extra context menu item: Yahoo! &Dictionary - file:///C:\Program Files\Yahoo!\Common/ycdict.htmO8 - Extra context menu item: Yahoo! &Maps - file:///C:\Program Files\Yahoo!\Common/ycdict.htmO9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Program Files\Yahoo!\Messenger\yhexbmes0521.dll (file missing)O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Program Files\Yahoo!\Messenger\yhexbmes0521.dll (file missing)O14 - IERESET.INF: START_PAGE_URL=http://www.google.frO16 - DPF: Interface Chat Voila - http://chat9.x-echo.com/version5/Applet/vchatsign.cabO16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dllO16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by103fd.bay103.hotmail.msn.com/resources/MsnPUpld.cabO16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cabO16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cabO23 - Service: BlackICE - Internet Security Systems, Inc. - C:\Program Files\ISS\BlackICE\blackd.exeO23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exeO23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exeO23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exeO23 - Service: RapApp - Internet Security Systems, Inc. - C:\Program Files\ISS\BlackICEapapp.exeO23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exeO23 - Service: Microsoft Service Manager (winmdgr) - Unknown owner - C:\WINDOWS\winsvcmgr.exe (file missing)

Utilisateur anonyme · Answer

salutben, processxp n'a pas apporté grand choseen mode sans échec Lance hijackthis et clic sur "do a system scan only"cocher la case au début des lignes suivantes:O2 - BHO: (no name) - {04711AF9-1C6D-585C-A740-93DD53D9DB3A} - (no file) O3 - Toolbar: Virtual Maid - {77B2F8DE-CB3F-4b6b-839B-807DD1ADBA1C} - C:\PROGRA~1\VIRTUA~1\VIRTUA~1.DLL (file missing) O4 - HKLM\..\Run: [bend phone great ford] C:\Documents and Settings\All Users\Application Data\flapboldbendphone\mixsetup.exe O4 - HKLM\..\Run: [AdwareAlert] C:\Program Files\AdwareAlert\AdwareAlert.Exe -boot O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Program Files\Yahoo!\Messenger\yhexbmes0521.dll (file missing) O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\Program Files\Yahoo!\Messenger\yhexbmes0521.dll (file missing) O23 - Service: Microsoft Service Manager (winmdgr) - Unknown owner - C:\WINDOWS\winsvcmgr.exe (file missing)valider avec [fix checked]Supprime en suivant le chemin des fichiers infectés si présent:C:\Documents and Settings\All Users\Application Data\flapboldbendphoneC:\Program Files\AdwareAlertC:\Program Files\Virtual Maidredemarre normalement et reposte un logC'est quand meme bizarre que tu ne puisse pas remplacer wininet, est ce que tu peux reessayer en refaisant point par point comme au post 28, mais en désactivant ton AV avant de faire la manip ?je dois arreter pour ce soir, je repasse demain en fin d'apres midia+

melo · Answer

merci bcp moi aussi je deco je fais la manip et je vais au litmais franchement vous etes extra de m'aider comme caa+

melo · Answer

a priori mon AV n'est pas activer en mode sans echec ( je suis aussi aller voir dans le gestionnaire des tache il n'y est pas) j'essai en mode normal et j'arete pour ce soir, merci bcp a+voila le log suite au manip que j'ai fait:Logfile of HijackThis v1.99.1Scan saved at 23:17:28, on 13/05/2005Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\System32\RUNDLL32.EXEC:\Program Files\iTunes\iTunesHelper.exeC:\WINDOWS\System32\ctfmon.exeC:\Program Files\MSN Messenger\msnmsgr.exeC:\Program Files\ISS\BlackICE\blackice.exeC:\Program Files\AntiViral Toolkit Pro\avpm.exeC:\Program Files\Yahoo!\Messenger\ymsgr_tray.exeC:\Program Files\ISS\BlackICE\blackd.exeC:\WINDOWS\System32\mnmsrvc.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32undll32.exeC:\WINDOWS\system32\pctspk.exeC:\Program Files\ISS\BlackICEapapp.exeC:\WINDOWS\System32\svchost.exeC:\Program Files\Internet Explorer\iexplore.exeC:\Program Files\iPod\bin\iPodService.exeC:\Documents and Settings\melotoinou\Bureau\hijackthis\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://red.clientapps.yahoo.com/customize/ie/defaults/sb/ymsgr6/*http://www.yahoo.com/ext/search/search.htmlR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://red.clientapps.yahoo.com/customize/ie/defaults/sp/ymsgr6/*http://www.yahoo.comR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.frR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://red.clientapps.yahoo.com/customize/ie/defaults/su/ymsgr6/*http://www.yahoo.comR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://red.clientapps.yahoo.com/customize/ie/defaults/sb/ymsgr6/*http://www.yahoo.com/ext/search/search.htmlR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://red.clientapps.yahoo.com/customize/ie/defaults/sp/ymsgr6/*http://www.yahoo.comR1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/customize/ie/defaults/su/ymsgr6/*http://www.yahoo.comR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\PROGRA~1\YAHOO!\COMPAN~1\INSTALLS\cpn\ycomp5_5_7_0.dllO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocxO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRA~1\YAHOO!\COMPAN~1\INSTALLS\cpn\ycomp5_5_7_0.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInitO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -kO4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"O4 - HKLM\..\RunOnce: [!CleanupNetMeetingDispDriver] "C:\WINDOWS\System32undll32.exe" msconf.dll,CleanupNetMeetingDispDriver 0O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exeO4 - HKCU\..\Run: [Yahoo! Pager] C:\Program Files\Yahoo!\Messenger\ypager.exe -quietO4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /backgroundO4 - Global Startup: BlackICE Utilitaire .lnk = ?O4 - Global Startup: AVP Monitor.lnk = C:\Program Files\AntiViral Toolkit Pro\avpm.exeO8 - Extra context menu item: &Yahoo! Search - file:///C:\Program Files\Yahoo!\Common/ycsrch.htmO8 - Extra context menu item: Yahoo! &Dictionary - file:///C:\Program Files\Yahoo!\Common/ycdict.htmO8 - Extra context menu item: Yahoo! &Maps - file:///C:\Program Files\Yahoo!\Common/ycdict.htmO14 - IERESET.INF: START_PAGE_URL=http://www.google.frO16 - DPF: Interface Chat Voila - http://chat9.x-echo.com/version5/Applet/vchatsign.cabO16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dllO16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by103fd.bay103.hotmail.msn.com/resources/MsnPUpld.cabO16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cabO16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cabO23 - Service: BlackICE - Internet Security Systems, Inc. - C:\Program Files\ISS\BlackICE\blackd.exeO23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exeO23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exeO23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exeO23 - Service: RapApp - Internet Security Systems, Inc. - C:\Program Files\ISS\BlackICEapapp.exeO23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exeO23 - Service: Microsoft Service Manager (winmdgr) - Unknown owner - C:\WINDOWS\winsvcmgr.exe (file missing)

melo · Answer

salut

ce matin j'ai essayer de fermer tout les processus actif qui utilisais la dll( en mode sans echec ) le seul qui bloque c EXPLORER.EXE, qd je veut le fermer toute les fenetre se ferme ( ce qui est normal apparemment a moins que je me trompe!!) tous ca dans le but d'effacer la dll pourri pour la remplacer par une saine!!

Ensuite j'ai reesayer, apres une mise a jour de mon AV, de refaire un desinsfection( tjr en mode sans echec). Donc il desinfecte la dll et me dit qui doit rebooter pour terminer la desinfection, je le fais rebouter en mode sans echec rien, le virus est tjr la, je le fait rebooter en mode normal rien non plus...

merci de votre aide

A+

jean38 · Answer

Salut melo,

je viens de reprendre ton log et je trouve un truc etrange.

alors voilà fix dans hijack la ligne:

O23 - Service: Microsoft Service Manager (winmdgr) - Unknown owner - C:\WINDOWS\winsvcmgr.exe (file missing)

ensuite,

Dans le menu Demarrer>Executer >tape: Services.msc
recherche le service avec cette orthographe exacte:
Microsoft Service Manager
Double clic dessus (winsvcmgr.exe) et clic sur arreter puis dans type de demarrage selectionne désactivé

refait tes analyses

Jean

jean38 · Answer

t'es toujours là??

Utilisateur anonyme · Answer

salut melo, jean

on dirait les restes d'un ver...

tu peux carrement supprimer le service:
lance hijackthis > open the misc tools section > delete an NT service
dans la boite de dialogue, tape winmdgr et valide

vérifie et dis nous si ce fichier existe: haxdrv.sys

a+

melo · Answer

salut,oui oui je suis la je fesais les manip que tu m'avais demander ( j'ai fait en sans echec) et malheureusement tjr rien .....j'essai de faire la manip de moe et je reviensvoila le log:Logfile of HijackThis v1.99.1Scan saved at 12:42:03, on 14/05/2005Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\system32\spoolsv.exeC:\Program Files\ISS\BlackICE\blackd.exeC:\WINDOWS\System32\mnmsrvc.exeC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32undll32.exeC:\WINDOWS\system32\pctspk.exeC:\Program Files\ISS\BlackICEapapp.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\System32\RUNDLL32.EXEC:\Program Files\iTunes\iTunesHelper.exeC:\WINDOWS\System32\ctfmon.exeC:\Program Files\MSN Messenger\msnmsgr.exeC:\Program Files\iPod\bin\iPodService.exeC:\Program Files\ISS\BlackICE\blackice.exeC:\Program Files\AntiViral Toolkit Pro\avpm.exeC:\Program Files\Yahoo!\Messenger\ymsgr_tray.exeC:\Program Files\Internet Explorer\iexplore.exeC:\Documents and Settings\melotoinou\Bureau\hijackthis\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://red.clientapps.yahoo.com/customize/ie/defaults/sb/ymsgr6/*http://www.yahoo.com/ext/search/search.htmlR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://red.clientapps.yahoo.com/customize/ie/defaults/sp/ymsgr6/*http://www.yahoo.comR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.frR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://red.clientapps.yahoo.com/customize/ie/defaults/su/ymsgr6/*http://www.yahoo.comR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://red.clientapps.yahoo.com/customize/ie/defaults/sb/ymsgr6/*http://www.yahoo.com/ext/search/search.htmlR1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://red.clientapps.yahoo.com/customize/ie/defaults/sp/ymsgr6/*http://www.yahoo.comR1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/customize/ie/defaults/su/ymsgr6/*http://www.yahoo.comR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\PROGRA~1\YAHOO!\COMPAN~1\INSTALLS\cpn\ycomp5_5_7_0.dllO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocxO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRA~1\YAHOO!\COMPAN~1\INSTALLS\cpn\ycomp5_5_7_0.dllO3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartupO4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInitO4 - HKLM\..\Run: [nwiz] nwiz.exe /installO4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -kO4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exeO4 - HKCU\..\Run: [Yahoo! Pager] C:\Program Files\Yahoo!\Messenger\ypager.exe -quietO4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /backgroundO4 - Global Startup: BlackICE Utilitaire .lnk = ?O4 - Global Startup: AVP Monitor.lnk = C:\Program Files\AntiViral Toolkit Pro\avpm.exeO8 - Extra context menu item: &Yahoo! Search - file:///C:\Program Files\Yahoo!\Common/ycsrch.htmO8 - Extra context menu item: Yahoo! &Dictionary - file:///C:\Program Files\Yahoo!\Common/ycdict.htmO8 - Extra context menu item: Yahoo! &Maps - file:///C:\Program Files\Yahoo!\Common/ycdict.htmO14 - IERESET.INF: START_PAGE_URL=http://www.google.frO16 - DPF: Interface Chat Voila - http://chat9.x-echo.com/version5/Applet/vchatsign.cabO16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dllO16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by103fd.bay103.hotmail.msn.com/resources/MsnPUpld.cabO16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cabO16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cabO23 - Service: BlackICE - Internet Security Systems, Inc. - C:\Program Files\ISS\BlackICE\blackd.exeO23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exeO23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exeO23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exeO23 - Service: RapApp - Internet Security Systems, Inc. - C:\Program Files\ISS\BlackICEapapp.exeO23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exe

jean38 · Answer

salut Moe,

dis moi ce service
O23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exe

n'est pas en relation avec le prog que tu lui as fait supprimer plus haut??

amities
Jean

Utilisateur anonyme · Answer

salut jeande quel prog ? celui du post 47 ?sinon,  C:\WINDOWS\system32\pctspk.exe, je crois que c'est un outil de diagnostics pour modem.a+

melo · Answer

re salut jean et moe,

j'ai suprimer le service demander j'ai verifier si j'avais haxdrv.sys et non j'ai pas, voila...

toute vos idee sont genial et bien sur si vous en avez d'autre je suis preneuse, mais la je commence serieusement a me dire que formater serais peut etre la meilleur solutions...

franchement merci enormement de votre aide

a+

jean38 · Answer

non je pensais à celui làO4 - HKLM\..\Run: [bend phone great ford] C:\Documents and Settings\All Users\Application Data\flapboldbendphone\mixsetup.exe mai sfausse route

Utilisateur anonyme · Answer

je crois que c'est un reste de lop.com (messenger plus 3 installé avec sponsor).Pour melo: est ce que tu as ton cd d'xp ?

melo · Answer

voila ca va pas mieux lol il ma changer le nom du virus: &#7860;z||&#7860;{||Ã&#9474;||Ã}|Ã~||Ã&#913;Ã‹|r)‹|||{&#472;| alors la c le comble mdra+

melo · Answer

salutoui j'ai mon cd d'xp pro

Utilisateur anonyme · Answer

pour etre sur que ce ne soit pas un bug de ton av, fais analyser ici, wininet.dllhttp://www.kaspersky.com/fr/scanforvirusa+

melo · Answer

hier dans la journee j'ai envoyer ce post:

< 18 > - virus.win32.nsag.a ?????
Ajouté par melo (09/06/2005 à 16:29 GMT+2)
je viens d'aller sur http://virusscan.jotti.org/ pour y analyser la dll infecter ( wininet.dll dans le sys32)

les resultats:

File: wininet.dll
Status: INFECTED/MALWARE
MD5 d7fadaacf1b819b477756bb2802c0e53
Packers detected: -
Scanner results
AntiVir Found nothing
ArcaVir Found nothing
Avast Found nothing
AVG Antivirus Found nothing
BitDefender Found nothing
ClamAV Found nothing
Dr.Web Found Trojan.DownLoader.2636
F-Prot Antivirus Found nothing
Fortinet Found Nsag.A
Kaspersky Anti-Virus Found Virus.Win32.Nsag.a
NOD32 Found Win32/Oleloa.A
Norman Virus Control Found nothing
VBA32 Found nothing

je suis aller sur le site de dr;web et sur celui de kaspersky ce matin et les deux on donner les mm resultats

Utilisateur anonyme · Answer

ok
si tu as ton cd d'xp, essaye d'utiliser la commande qui permet de vérifier l'intégrité des fichiers windows:

désactive la restauration systeme

Insére le CD-ROM de Windows XP dans le lecteur tout en maintenant la touche Maj appuyée afin d'éviter son exécution automatique

Par Démarrer/Exécuter, saisir la commande sfc /scannow (faire un espace entre sfc et le /).

je repasse se soir

a+

melo · Answer

ok j'essai ca je te remercie

j'ai trouver ca sur le site de kaspersky... peut etre ca peut aider ( ce n'etais pas la hier)

Virus.Win32.Nsag.a
Aliases
Virus.Win32.Nsag.a (Kaspersky Lab) is also known as: Trojan.DownLoader.2636 (Doctor Web), W32/Nsag.A (H+BEDV), W32/OleADM.A (Panda), Win32/Oleloa.A (Eset) Detection added Jun 07 2005
Behavior Virus

Currently there is no description available for this program.

As many viruses and worms are modifications of earlier versions, it may help you to check the descriptions of similar programs. If such descriptions are available, they will be listed at the top of the page.

Our virus analysts work hard to ensure that descriptions of the commonest and most potentially dangerous software are available to users. The Virus Encyclopedia is updated on a regular basis.

je doit filer donc je repasse en fin d'aprem

merci

a+

melo · Answer

salut,

la verif que moe ma demander de faire me cause pb parce que la verif me dit que c pas le bon cd de windows ( du moins pour les fichier dans dllcache) en effet j'ai formater y a quelque temps et changer de windows ( xp familial a xp gold)....

donc je pense serieusement au formatage je m'y prepare ce soir.

Merci enormement de votre aide vous avez ete genial

je recommande votre forum !!!!

A+ Melo

Utilisateur anonyme · Answer

salut melodur, durAvant de formater:telecharge rkfileshttp://skads.org/special/rkfiles.zipdouble clic sur rkfiles.bat et poste le log.a+

sébastien · Answer

bonjour tout le monde , je suis egalement infecté par ce trojan, je pense que je lai eu en me baladant sur astalavista.
Estce que vous penser que ce soie possible de virer la dll, en connectant le disque dur en slave sur un autre ordinateur. Je pense que oui mais j'ose pas trop le faire car j'ai peur que du coup l'autre ordi soit infecté,ce qui m'embeterai bcp.

Virus.win32.nsag.a ?????

61 réponses

Discussions similaires

Newsletters