kernels32.exe et spysheriff

Question

Bonjour,

je viens de choper les virus kernels32.exe et le spysheriff. je viens de passer mon dimanche après midi pour les désinstaller mais je n'y arrive pas. mille remerciements pour votre aide et pour me dire le mode d'emploi pour désactiver ces trucs

voici mes sources

Logfile of HijackThis v1.99.1
Scan saved at 19:39:26, on 03/07/2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS.2\System32\smss.exe
C:\WINDOWS.2\system32\winlogon.exe
C:\WINDOWS.2\system32\services.exe
C:\WINDOWS.2\system32\lsass.exe
C:\WINDOWS.2\system32\svchost.exe
C:\WINDOWS.2\System32\svchost.exe
C:\WINDOWS.2\Explorer.exe
C:\WINDOWS.2\system32\spoolsv.exe
C:\WINDOWS.2\System32\kernels32.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\WINDOWS.2\system32\dla\tfswctrl.exe
C:\Program Files\Softwin\BitDefender8\bdmcon.exe
C:\Program Files\Softwin\BitDefender8\bdoesrv.exe
C:\Program Files\Softwin\BitDefender8\bdnagent.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\WINDOWS.2\System32\ctfmon.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe
C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\WINDOWS.2\System32\DRIVERS\CDANTSRV.EXE
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS.2\System32\svchost.exe
C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe
C:\Program Files\Softwin\BitDefender8\vsserv.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\WINDOWS.2\System32\wuauclt.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\PROGRA~1\WinZip\winzip32.exe
C:\DOCUME~1\yves\LOCALS~1\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS.2\System32\kernels32.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS.2\system32\dla\tfswshx.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: NTIECatcher Class - {C56CB6B0-0D96-11D6-8C65-B2868B609932} - C:\Program Files\Xi\Net Transport\NTIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS.2\System32\msdxm.ocx
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [StorageGuard] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Microsoft Internet Explorer] C:\WINDOWS.2\System32\iexplore.exe
O4 - HKLM\..\Run: [Norton Antivirus 7.0a] C:\WINDOWS.2\System32\vubhi.exe
O4 - HKLM\..\Run: [Application Layer Gateway Service] C:\WINDOWS.2\System32\algs.exe
O4 - HKLM\..\Run: [Adobe Version Cue CS2] "C:\Program Files\Adobe\Adobe Version Cue CS2\ControlPanel\VersionCueCS2Tray.exe"
O4 - HKLM\..\Run: [Virus Removal Tool] C:\WINDOWS.2\System32\mjadrb.exe
O4 - HKLM\..\Run: [dla] C:\WINDOWS.2\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [WinUpgrader] C:\WINDOWS.2\System32\ezktahy.exe
O4 - HKLM\..\Run: [BDMCon] C:\Program Files\Softwin\BitDefender8\bdmcon.exe
O4 - HKLM\..\Run: [BDOESRV] C:\Program Files\Softwin\BitDefender8\bdoesrv.exe
O4 - HKLM\..\Run: [BDNewsAgent] C:\Program Files\Softwin\BitDefender8\bdnagent.exe
O4 - HKLM\..\Run: [ipun] C:\ipun.exe
O4 - HKLM\..\Run: [Media Access] C:\Program Files\Media Access\MediaAccK.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [System] C:\WINDOWS.2\System32\kernels32.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS.2\System32\ctfmon.exe
O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: hpoddt01.exe.lnk = ?
O4 - Global Startup: hp psc 1000 series.lnk = ?
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Assistant d'Acrobat.lnk = C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O8 - Extra context menu item: Download all by Net Transport - C:\PROGRA~1\XI\NETTRA~1\NTAddList.html
O8 - Extra context menu item: Download by Net Transport - C:\PROGRA~1\XI\NETTRA~1\NTAddLink.html
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS.2\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS.2\web\related.htm
O16 - DPF: {11010101-1001-1111-1000-110112345678} - ms-its:mhtml:file://C:oo.mht!http://vxiframe.biz//adverts//096//targ.chm::/win32.exe
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge-c5.cab
O16 - DPF: {42F2C9BA-614F-47C0-B3E3-ECFD34EED658} (Installer Class) - http://www.ysbweb.com/ist/softwares/v4.0/ysb_cracks.cab
O16 - DPF: {7C559105-9ECF-42B8-B3F7-832E75EDD959} (Installer Class) - http://www.xxxtoolbar.com/ist/softwares/v4.0/0006_cracks.cab
O16 - DPF: {86EEF11E-FF16-48CE-B1A2-474B663041A9} - http://11731.kit.carpediem.fr/FanCecile.exe
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {DB893839-10F0-4AF9-92FA-B23528F530AF} - http://deposito.hostance.net/dialer/1013642.exe
O16 - DPF: {FFFF0001-0001-101A-A3C9-08002B2F49FC} - http://download.energyfactor.com/dialer/it/activex_259_it.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Adobe Version Cue CS2 - Unknown owner - C:\Program Files\Adobe\Adobe Version Cue CS2\bin\VersionCueCS2.exe" -win32service (file missing)
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe
O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS.2\System32\DRIVERS\CDANTSRV.EXE
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Macromedia Licensing Service - Macromedia - C:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Mouse Hardware Sync (mousehs) - Unknown owner - C:\WINDOWS.2\System32\mousehs.exe (file missing)
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS.2\System32\HPZipm12.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - SOFTWIN S.R.L. - C:\Program Files\Softwin\BitDefender8\vsserv.exe
O23 - Service: BitDefender Communicator (XCOMM) - Softwin - C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe

merci de nouveau pour votre aide

Configuration: Windows XP

balltrap34 · Answer

salut
imprime ceci pour ne rien oublier et tous faire
tous faire dans l ordre imperativement
-------------------------
tous da bord telecharge ces programmes si tu ne les a pas et met les a jour mais ne les utilise pas encore
adaware (1)version 1.06
voir demo
http://pageperso.aol.fr/balltrap34/adwseflash.zip

spyboot (2)version 1.4
(ici) http://www.florensac-chasse-trap.com/ section virus

et aussi ceci
CleanUp40.exe(3)
voir demo
http://pageperso.aol.fr/balltrap34/democleanup.htm

a2(4)
http://www.emsisoft.net/fr/
penser a le metre a jour avant de scanner le pc

----------------
desactive ta restauration systeme
pour ça tu fais clic droit sur poste de travail
propriété tu clique sur onglet restauration système
tu coche la case désactiver la restauration et applique
------------

demarre en mode sans echec
mode sans echec pour cela tu tapote la touche f8
des le debut de l allumage du pc sans t arreter
une fenetre vas souvrir tute deplace avec les fleches du clavier sur demarreren mode sans echec
une fois sur le bureau il ni auras pas toutes les couleurs et autres c est normal.si f8 ne marche pas utilise la touche f5
-------------------------

assure toi de ceci
Affiche tous les fichiers et dossiers :
cliquer sur démarrer/panneau de configuration/option des dossiers/affichage
Cocher afficher les dossiers cacher

Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"

Décocher masquer les extensions dont le type est connu
Puis fais «Ok» pour valider les changements.

Et appliquer
----------------------
vide tes fichiers temps et tempory internet file sur tous les utilisateur
utilise ceci pour le faire
http://pageperso.aol.fr/Balltrap34/CleanUp40.exe

--------------------
relance hijack coche ces lignes et ensuite clik sur fix
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS.2\System32\kernels32.exe
O4 - HKLM\..\Run: [Microsoft Internet Explorer] C:\WINDOWS.2\System32\iexplore.exe
O4 - HKLM\..\Run: [Norton Antivirus 7.0a] C:\WINDOWS.2\System32\vubhi.exe
O4 - HKLM\..\Run: [Application Layer Gateway Service] C:\WINDOWS.2\System32\algs.exe
O4 - HKLM\..\Run: [Virus Removal Tool] C:\WINDOWS.2\System32\mjadrb.exe
O4 - HKLM\..\Run: [WinUpgrader] C:\WINDOWS.2\System32\ezktahy.exe
O4 - HKLM\..\Run: [ipun] C:\ipun.exe
O4 - HKLM\..\Run: [Media Access] C:\Program Files\Media Access\MediaAccK.exe
O4 - HKLM\..\Run: [System] C:\WINDOWS.2\System32\kernels32.exe
O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe
O4 - Global Startup: hpoddt01.exe.lnk = ?
O4 - Global Startup: hp psc 1000 series.lnk = ?
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS.2\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS.2\web\related.htm
O16 - DPF: {11010101-1001-1111-1000-110112345678} - ms-its:mhtml:file://C: oo.mht!http://vxiframe.biz//adverts//096//targ.chm::/win32.exe
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAccessVerisign/ie/bridge-c5.cab
O16 - DPF: {42F2C9BA-614F-47C0-B3E3-ECFD34EED658} (Installer Class) - http://www.ysbweb.com/ist/softwares/v4.0/ysb_cracks.cab
O16 - DPF: {7C559105-9ECF-42B8-B3F7-832E75EDD959} (Installer Class) - http://www.xxxtoolbar.com/ist/softwares/v4.0/0006_cracks.cab
O16 - DPF: {86EEF11E-FF16-48CE-B1A2-474B663041A9} - http://11731.kit.carpediem.fr/FanCecile.exe
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {DB893839-10F0-4AF9-92FA-B23528F530AF} - http://deposito.hostance.net/dialer/1013642.exe
O16 - DPF: {FFFF0001-0001-101A-A3C9-08002B2F49FC} - http://download.energyfactor.com/dialer/it/activex_259_it.exe

----------------------
recherche et suppr ceci
attention seulement les fichiers si tu trouve
C:\Program Files\SinEspias<==le dossier
C:\Program Files\Sunbelt Software\CounterSpy Clien<==le dossier
C:\Program Files\Webroot\Spy Sweeper<==le dossier
C:\spywarevanisher-free<==le dossier
C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe
C:\WINDOWS.2\System32\iexplore.exe
C:\WINDOWS.2\System32\vubhi.exe
C:\WINDOWS.2\System32\algs.exe
C:\WINDOWS.2\System32\mjadrb.exe
C:\WINDOWS.2\System32\ezktahy.exe
C:\ipun.exe
C:\Program Files\Media Access<==le dossier
C:\WINDOWS.2\System32\kernels32.exe
C:\winstall.exe

-----------------
clik sur Démarrer->exécuter->tape: services.msc

Double-clique: Webroot Spy Sweeper Engine (svcWRSSSDK)

Règle-le sur "Arrêté" et "Désactivé".

-------------------------

passe adaware et vire tous se qu il trouve
----------
passe spy boot et vire tous se qu il trouvent
-------------

tu vide ta poubelle et tu redemarre en mode normal et refait un hijack

et precise ou en sont tes soucis

--

sucben · Answer

merci, je vais tenter la manip', je te tiens au courant de l'évolution (peut être pas avant demain soir). ben

balltrap34 · Answer

okia++

Utilisateur anonyme · Answer

salut balltrap

je viens de finir un batch qui recherche (ne supprime pas) les principaux process de smitfraud, avgold, spysherrif etc.. et genere un log avec le resultat de la recherche.
Meme si la plupart des process sont visibles dans hijack, d'autres le sont moins.
Si tu veux tester, ca m'interresserais d'avoir ton avis.
http://get.yourfile.net/fy55608.zip

a+

Utilisateur anonyme · Answer

salut

c'est le meme que l'autre mais il ne supprime rien, il recherche simplement.
pour dolly, je savais pas...:,( domage, lascitude ?
j'espere qu'elle passera de temps en temps faire un petit coucou

a+

balltrap34 · Answer

je l est tester sur ma becane il marche super bien
tu devient un crack des batch
bonne nouvelle je l est pas
par contre met ton nom sur le debut c est toi qui la fait
et il faudrat l utiliser quand meme avec le reg pour les clefs du registre

Utilisateur anonyme · Answer

je me repete, mais il supprime rien il détecte c'est tout.
donc, reg + suppression à la main ou avec killbox obligatoire lol
faute de fix, ca sera un log de plus.
j'ai testé en créant des fichiers avec le meme nom et extention et apparement il détecte.

a+

balltrap34 · Answer

il te reste plus qu a mettre qu il les suppr comme sur la premiere version

Utilisateur anonyme · Answer

ben S!Ri y a jeté un oeil, on verra ce qu'il en dit, apparement je crois qu'il reflechit à un fix.
il me manque une commande pour killer explorer pendant les supprs et une pour desenregistrer les dll....
on verra bien si y a moyen.

a+

balltrap34 · Answer

je suis pas assez fort sur les batch pour t aider lolj est fait tester icihttp://www.commentcamarche.net/forum/affich-1647241-comportement-plus-que-suspect#14

Utilisateur anonyme · Answer

j'ai vu, apparement ca detecte !

je corrige un bug (log pas entier) et j'envois une autre version
je vais essayer de tenir à jour, mais vu la vitesse ou les variantes arrivent, ca va pas etre facile !

a+

balltrap34 · Answer

lol je  cest pas si tu te fatigue pour rien a par apprendresous peu je pense qu il ne s auras qu un mauvais souvenir les editeurs anti virus vont s en occuper

Utilisateur anonyme · Answer

je sais, mais en fait ca ma permis d'apprendre pas mal.2eme version ici:http://get.yourfile.net/wr55649.zipsans bug cette fois.a+

balltrap34 · Answer

oui il fonctionne

Utilisateur anonyme · Answer

okij'arrete là, trop chaud pour dormir, je vais prendre un peu le frais.a+

balltrap34 · Answer

tu as raison ont vas mourir lol

Kernels32.exe et spysheriff

16 réponses

Discussions similaires

Newsletters