Probleme processus

Résolu

lokicor -

Bonjour,
bonjour voila depuis queleques jours j'ais unprocessus ie explorer exe j'ais beau le tuer il revient sans arret et se dedouble dans les processus merci d'avance je peut poster un log Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 07:42:02, on 25/01/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir Desktop\sched.exe
C:\Program Files\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\IObit\Advanced SystemCare 3\Sup_SmartRAM.exe
C:\Documents and Settings\Utilisateur\Local Settings\Application Data\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Utilisateur\Local Settings\Application Data\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Utilisateur\Local Settings\Application Data\Google\Chrome\Application\chrome.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Utilisateur\Local Settings\Application Data\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Utilisateur\Bureau\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.orange.fr/portail
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SmartRAM] "C:\Program Files\IObit\Advanced SystemCare 3\Sup_SmartRAM.exe" /m
O4 - HKCU\..\Run: [heart meta] C:\DOCUME~1\UTILIS~1\APPLIC~1\LOADDR~1\BoltHelp64.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O18 - Protocol: fluxhttp - {8E2D00A0-82C6-4821-90BC-07F290841BB6} - C:\Program Files\Fichiers communs\fluxDVD\Lib\XEB\xebnavigation.ax
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Crypkey License - CrypKey (Canada) Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe

--
End of file - 3466 bytes

Configuration: Windows XP
Safari 532.0

Afficher la suite

38 réponses

Résumé de la discussion

Après l'analyse initiale, la problématique principale est une infection sous Windows XP avec un iexplore.exe qui se réinstalle malgré la suppression et des doublons dans les processus, indiquant une activité malveillante persistante. Des outils de sécurité et d'analyse tels que HijackThis et Malwarebytes ont été utilisés pour identifier les éléments suspects et les rapports générés ont guidé le nettoyage et la suppression des composants indésirables. Des actions concrètes ont été préconisées, notamment retirer des éléments de démarrage problématiques, vérifier les chemins et dossiers suspects et sauvegarder les rapports pour traçabilité future, notamment. Le rapport Malwarebytes signale un fichier infecté distinct E:\programmes\fre\BrMain_300.exe identifié comme Spyware.OnlineGames, ce qui oriente vers une désinfection ciblée et la mise à jour des définitions avant le prochain scan.

Réponse 1 / 38
lokicor Auteur
c tout bon merci encore je te recommende a dieu rires

0

Réagir
Réponse 2 / 38
moment de grace Contributeur sécurité
pourquoi pas sinon

Télécharge :ATF Cleaner par Atribune
http://www.atribune.org/ccount/click.php?id=1

Double-clique (clic droit "en tant qu'administrateur" pour Vista) ATF-Cleaner.exe afin de lancer le programme.
Sous l'onglet Main, choisis : Select All
Clique sur le bouton Empty Selected
Si tu utilises le navigateur Firefox :
Clique Firefox au haut et choisis : Select All
Clique le bouton Empty Selected a
NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invité.
Si tu utilises le navigateur Opera :
Clique Opera au haut et choisis : Select All
Clique le bouton Empty Selected
NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invité.
Clique Exit, du menu prinicipal, afin de fermer le programme.
Pour obtenir du Support technique, double-clique l'adresse électronique située au bas de chacun des menus.

__________________________________________________

▶ Tu peux garder ATF pour d'eventuels netttoyages un peu plus poussés

...................

utilitaire pour défragmenter ,
pour ce faire Defraggler est proposé
https://www.clubic.com/telecharger-fiche44314-defraggler.html

0

Réagir
Réponse 3 / 38
lokicor Auteur
merci beaucoup pour tout ps j'utilise google chrome et systeme advanced care est ce bon ou pas

0

Réagir
Réponse 4 / 38
moment de grace Contributeur sécurité
bien

si tout est ok pour toi

tu peux mettre le topic en resolu
https://www.commentcamarche.net/infos/25917-marquer-un-fil-de-discussion-comme-etant-resolu/

Bonne continuation et surtout , prudence et bon surf :)

0

Réagir
Vous n’avez pas trouvé la réponse que vous recherchez ?

La communauté CCM répond en moyenne en moins de 2h.

Posez votre question
Réponse 5 / 38
lokicor Auteur
rapport tools cleaner [ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

--> Recherche:

C:\lopR.txt: trouvé !
C:\UsbFix.txt: trouvé !
C:\Lop SD: trouvé !
C:\UsbFix: trouvé !
C:\Rsit: trouvé !
C:\Ad-remover: trouvé !
C:\Ad-Remover\BACKUP\Ad-R.exe: trouvé !
C:\Documents and Settings\Utilisateur\Bureau\LopSD.exe: trouvé !
C:\Documents and Settings\Utilisateur\Bureau\HijackThis.exe: trouvé !
C:\Documents and Settings\Utilisateur\Bureau\Ad-R.exe: trouvé !
C:\Documents and Settings\Utilisateur\Bureau\UsbFix.exe: trouvé !
C:\Documents and Settings\Utilisateur\Bureau\Rsit.exe: trouvé !
C:\Documents and Settings\Utilisateur\Mes documents\LopSD.exe: trouvé !
C:\Documents and Settings\Utilisateur\Mes documents\Ad-R.exe: trouvé !
C:\Documents and Settings\Utilisateur\Mes documents\UsbFix.exe: trouvé !
C:\Documents and Settings\Utilisateur\Mes documents\Rsit.exe: trouvé !
C:\Lop SD\catchme.exe: trouvé !
C:\Lop SD\catchme.log: trouvé !

---------------------------------
--> Suppression:

C:\Ad-Remover\BACKUP\Ad-R.exe: supprimé !
C:\Documents and Settings\Utilisateur\Bureau\LopSD.exe: supprimé !
C:\Documents and Settings\Utilisateur\Bureau\HijackThis.exe: supprimé !
C:\Documents and Settings\Utilisateur\Bureau\Ad-R.exe: supprimé !
C:\Documents and Settings\Utilisateur\Mes documents\LopSD.exe: supprimé !
C:\Documents and Settings\Utilisateur\Mes documents\Ad-R.exe: supprimé !
C:\Lop SD\catchme.exe: supprimé !
C:\lopR.txt: supprimé !
C:\UsbFix.txt: supprimé !
C:\Documents and Settings\Utilisateur\Bureau\UsbFix.exe: supprimé !
C:\Documents and Settings\Utilisateur\Bureau\Rsit.exe: supprimé !
C:\Documents and Settings\Utilisateur\Mes documents\UsbFix.exe: supprimé !
C:\Documents and Settings\Utilisateur\Mes documents\Rsit.exe: supprimé !
C:\Lop SD\catchme.log: supprimé !
C:\Lop SD: supprimé !
C:\UsbFix: supprimé !
C:\Rsit: supprimé !
C:\Ad-remover: supprimé !

0

Réagir
Réponse 6 / 38
lokicor Auteur
c fait internet exploreur a jours restauration purgée reste scan tools cleener

0

Réagir
Réponse 7 / 38
lokicor Auteur
pour internet exploreur je met la version 8, ps les trois fix checked fait

0

Réagir
Réponse 8 / 38
lokicor Auteur
oui je les ais supprimés je fait la suite comme indiqué ci dessus

0

Réagir
Réponse 9 / 38
moment de grace Contributeur sécurité
c'est bon

les autres sont des programmes qui ont déjà été supprimés

as tu supprimé ceci

C:\Documents and Settings\Utilisateur\Application Data\QUAD Utilities
C:\Program Files\Ascentive\Performance Center

1)
Cherches et cliques sur C:\Documents and Settings\Utilisateur\Bureau\Utilisateur.exe
Au menu principal, choisir do a scan only, puis cocher la case devant les lignes suivantes à corriger et cliquer en bas sur Fix Checked (s’il manque des lignes…pas grave)

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

……………………..

2)
Mettre à jour internet explorer
https://support.microsoft.com/fr-fr/allproducts
………….

3)
IMPORTANT

Purger la restauration systeme XP

http://www.bibou0007.com/windows-xp-f101/purger-la-restauration-du-systeme-sous-windows-xp-t151.htm

……………..

4)
Télécharge ToolsCleaner2sur ton Bureau.
https://www.commentcamarche.net/telecharger/securite/22061-toolscleaner/

* Double-clique (clic droit "en tant qu'administrateur" pour Vista) sur ToolsCleaner2.exe pour le lancer.
* Clique sur Recherche et laisse le scan agir.
* Clique sur Suppression pour finaliser.
* Tu peux, si tu le souhaites, te servir des Options Facultatives.
* Clique sur Quitter pour obtenir le rapport.
* Poste le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur (C:\).

Tu peux supprimer ToolCleaner ensuite

0

Réagir
Réponse 10 / 38
lokicor Auteur
okLogfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:37:30, on 25/01/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir Desktop\sched.exe
C:\Program Files\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Documents and Settings\Utilisateur\Bureau\RSIT.exe
C:\Documents and Settings\Utilisateur\Bureau\Utilisateur.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://go.microsoft.com/fwlink/?linkid=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Windows Internet Explorer
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SmartRAM] "C:\Program Files\IObit\Advanced SystemCare 3\Sup_SmartRAM.exe" /m
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O18 - Protocol: fluxhttp - {8E2D00A0-82C6-4821-90BC-07F290841BB6} - C:\Program Files\Fichiers communs\fluxDVD\Lib\XEB\xebnavigation.ax
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Crypkey License - CrypKey (Canada) Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe

0

Réagir
Réponse 11 / 38
moment de grace Contributeur sécurité
ok postes ce que tu as

je verrai pour le reste

0

Réagir
Réponse 12 / 38
lokicor Auteur
4 des fichiers que tu as listés sont pas trouvés

0

Réagir
Réponse 13 / 38
lokicor Auteur
oui nom de fichier incorect

0

Réagir
Réponse 14 / 38
moment de grace Contributeur sécurité
as tu affiché les dossiers cachés ?

0

Réagir
Réponse 15 / 38
lokicor Auteur
ok il y a 3 ligne introuvables

0

Réagir
Réponse 16 / 38
moment de grace Contributeur sécurité
oui c'est ca

0

Réagir
Réponse 17 / 38
lokicor Auteur
il y a 1 rapport par ligne je les copie dans le bloc note?

0

Réagir
Réponse 18 / 38
moment de grace Contributeur sécurité
ok

desinstalles et supprimes manuellement

C:\Documents and Settings\Utilisateur\Application Data\QUAD Utilities
C:\Program Files\Ascentive\Performance Center

................

beaucoup de vérif à faire

indiques pour chaque scan le nom du fichier correspondant stp

Rends toi sur ce site :

https://www.virustotal.com/gui/

Clique sur parcourir et cherche ce fichier :

C:\WINDOWS\system32\? (si ca correspond à quelque chose)
C:\WINDOWS\Ckrfresh.exe
C:\WINDOWS\Setup_ck.dll
C:\WINDOWS\Setup_ck.exeC:\WINDOWS\Ckconfig.exe
C:\Program Files\Tascam
C:\WINDOWS\Crypkey.ini
C:\DOCUME~1\UTILIS~1\APPLIC~1\Load drv title
C:\DOCUME~1\UTILIS~1\APPLIC~1\VCOM
C:\Program Files\WAVES

Clique sur Send File.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse.

Si tu ne trouves pas le fichier alors

Affiche tous les fichiers et dossiers :

Pour cela :
Clique sur démarrer/panneau de configuration/option des dossiers/affichage

Cocher afficher les dossiers cachés

Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"

Décocher masquer les extensions dont le type est connu

Puis fais «appliquer» pour valider les changements.

Et OK

0

Réagir
Réponse 19 / 38
lokicor Auteur
ok Logfile of random's system information tool 1.06 (written by random/random)
Run by Utilisateur at 2010-01-25 21:37:20
Microsoft Windows XP Professionnel Service Pack 3
System drive C: has 6 GB (28%) free of 20 GB
Total RAM: 447 MB (45% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:37:30, on 25/01/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir Desktop\sched.exe
C:\Program Files\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Documents and Settings\Utilisateur\Bureau\RSIT.exe
C:\Documents and Settings\Utilisateur\Bureau\Utilisateur.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://go.microsoft.com/fwlink/?linkid=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.msn.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Windows Internet Explorer
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SmartRAM] "C:\Program Files\IObit\Advanced SystemCare 3\Sup_SmartRAM.exe" /m
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O18 - Protocol: fluxhttp - {8E2D00A0-82C6-4821-90BC-07F290841BB6} - C:\Program Files\Fichiers communs\fluxDVD\Lib\XEB\xebnavigation.ax
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Crypkey License - CrypKey (Canada) Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe

0

Réagir
Réponse 20 / 38
moment de grace Contributeur sécurité
relances RSIT postes juste le rapport log stp

0

Réagir
- 1
- 2
Suivant

Probleme processus

38 réponses

Discussions similaires

Newsletters