Probleme avec psguard

boulie -  
Bonjour,
voila, j'ai un petit probleme : je pense qu'il s'agit d'un virus : psguard s'est installe sur mon ordi (modification du fonds d'ecran et icones), et ce malgre l'utilisation d'un antivirus (avg).
J'ai regarde sur le net et trouve differentes manip a realiser, et je ne sais trop laquelle choisir (smitfraudfix , HijackThis) et comment m'y prendre.
Merci de m'aider.
mon ordi est sous XP

Boulie

58 réponses

Résumé de la discussion

Une infection par psGuard est discutée, se manifestant par un fond d'écran modifié et des icônes déplacées, avec démarrage automatique du logiciel malgré l'antivirus installé. La solution préconisée consiste à désactiver le service concerné, démarrer en mode sans échec et tenter de supprimer le fichier résistant, puis exécuter le fix option 2 et redémarrer. Ensuite, relancer le fix option 1 et partager le rapport généré pour vérifier les entrées restantes et éviter les réinfections. D'autres éléments suggèrent que certains composants restent actifs malgré les suppressions et nécessitent une vérification manuelle des clés de registre et des éléments de démarrage pour prévenir les réinfections.

Bobot (l’IA à votre service)
  1. Boulie
    Merci encore
    Vais me coucher, je suis epuisée : c vous qui avez réfléchi et c moi qui suis crevée, y a un pb non?

    Merci beaucoup,
    Boulie
    1. Utilisateur anonyme
      c'est gentil, merci

      tu peux Recocher la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"
      c'est plus prudent

      ensuite, pour les fichiers cachés c'est en fonction de si tu veux qu'ils restent visible ou pas

      pour les extentions de fichier je te conseille de laisser la case décochée, ca te permet de savoir quel types de fichiers tu ouvres.

      à + et n'hesite pas à venir sur le forum si tu as un soucis
      1. Boulie
        Dans l'euphorie du moment j'ai fait un smitfraud option 1 et j'ai l'impression que c bon aussi

        SmitFraudFix v1.81

        Rapport fait à 22:36:41,29 le 25/08/2005
        Executé à partir de C:\SmitfraudFix\SmitfraudFix
        OS: Microsoft Windows XP [version 5.1.2600]

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\Web

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system32

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system32\LogFiles

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Documents and Settings\Boulie\Application Data

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Program Files

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche présence de la clé HKLM\SOFTWARE\SHUDDERLTD

        HKLM\SOFTWARE\SHUDDERLTD non trouvé.

        »»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport

        je suis super contente, je sais pas quoi vous dire, vous avez ete geniaux, merci a vous REGIS59, S!RI, MOE.
        Je vous nomine pour les prochains prix nobels de la gentillesse et de l'aide a son prochain

        pfiou merci encore

        Ps : faut il que je reconfigure ce que j'ai modifié au début (Clique sur démarrer/panneau de configuration/outil/option des dossiers/affichage

        Coche « afficher les fichiers et dossiers cachés »

        Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"

        Décoche « masquer les extensions dont le type est connu »)

        Merci
        3. Boulie
          Bon j'ai l'impression que le pb est réglé (j'ose pas y croire!!)

          J'ai fait un hijack, est ce que le resultat est bon?

          Logfile of HijackThis v1.99.1
          Scan saved at 22:31:44, on 25/08/2005
          Platform: Windows XP SP1 (WinNT 5.01.2600)
          MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

          Running processes:
          C:\WINDOWS\System32\smss.exe
          C:\WINDOWS\system32\winlogon.exe
          C:\WINDOWS\system32\services.exe
          C:\WINDOWS\system32\lsass.exe
          C:\WINDOWS\system32\svchost.exe
          C:\WINDOWS\System32\svchost.exe
          C:\WINDOWS\Explorer.EXE
          C:\WINDOWS\system32\spoolsv.exe
          C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
          C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
          C:\WINDOWS\System32\nvsvc32.exe
          C:\WINDOWS\System32\svchost.exe
          C:\WINDOWS\system32\ZoneLabs\vsmon.exe
          C:\WINDOWS\SOUNDMAN.EXE
          C:\Program Files\OmniPagePro11.0\opware32.exe
          C:\Program Files\Keyboard\KMaestro.exe
          C:\Program Files\Adaptec\Easy CD Creator 5\DirectCD\DirectCD.exe
          C:\WINDOWS\System32\P2P Networking\P2P Networking.exe
          C:\Program Files\Real\RealPlayer\RealPlay.exe
          C:\Program Files\Fichiers communs\Logitech\QCDriver2\LVCOMS.EXE
          C:\Program Files\Logitech\ImageStudio\LogiTray.exe
          C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
          C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
          C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
          C:\Program Files\MSI\Live Update 3\LMonitor.exe
          C:\WINDOWS\System32\ctfmon.exe
          C:\Program Files\MSN Messenger\msnmsgr.exe
          C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
          C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
          C:\Program Files\Logitech\ImageStudio\LowLight.exe
          C:\WINDOWS\system32\ntvdm.exe
          C:\Program Files\Keyboard\WTS_KEY.EXE
          C:\Program Files\Hijack\HijackThis.exe

          R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
          R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.free.fr/
          R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
          O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
          O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
          O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
          O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll
          O2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - C:\Program Files\Microsoft Money\System\mnyviewer.dll
          O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
          O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)
          O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll
          O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
          O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
          O4 - HKLM\..\Run: [Omnipage] C:\Program Files\OmniPagePro11.0\opware32.exe
          O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
          O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
          O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
          O4 - HKLM\..\Run: [MoneyStartUp10.0] "C:\Program Files\Microsoft Money\System\Activation.exe"
          O4 - HKLM\..\Run: [KeyMaestro] C:\Program Files\Keyboard\KMaestro.exe
          O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Program Files\Adaptec\Easy CD Creator 5\DirectCD\DirectCD.exe"
          O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART
          O4 - HKLM\..\Run: [KAZAA] C:\Program Files\Kazaa\kazaa.exe /SYSTRAY
          O4 - HKLM\..\Run: [RealTray] C:\Program Files\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
          O4 - HKLM\..\Run: [LVCOMS] C:\Program Files\Fichiers communs\Logitech\QCDriver2\LVCOMS.EXE
          O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\ImageStudio\ISStart.exe
          O4 - HKLM\..\Run: [LogitechImageStudioTray] C:\Program Files\Logitech\ImageStudio\LogiTray.exe
          O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
          O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
          O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
          O4 - HKLM\..\Run: [LiveMonitor] C:\Program Files\MSI\Live Update 3\LMonitor.exe
          O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
          O4 - HKCU\..\Run: [LDM] \Program\BackWeb-8876480.exe
          O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
          O4 - Startup: Event Reminder.lnk = C:\Program Files\pmw\PMREMIND.EXE
          O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
          O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
          O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
          O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
          O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
          O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html
          O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
          O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html
          O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html
          O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html
          O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
          O9 - Extra button: MoneySide - {E023F504-0C5A-4750-A1E7-A9046DEA8A21} - C:\Program Files\Microsoft Money\System\mnyviewer.dll
          O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
          O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
          O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
          O14 - IERESET.INF: START_PAGE_URL=http://home.free.fr/
          O16 - DPF: symsupportutil - https://www-secure.symantec.com/techsupp/activedata/symsupportutil.CAB
          O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
          O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
          O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
          O23 - Service: IMAPI CD-Burning COM Service (ImapiService) - Roxio Inc. - C:\WINDOWS\System32\ImapiRox.exe
          O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
          O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

          merci beaucoup
          1. Utilisateur anonyme
            bon, on reprend tout à zéro

            redemarre en mode sans echec (obligatoire)
            repasse le fix option 2, accepte le nettoyage
            puis fait le remplacement du fichier wininet comme te l'as indiqué siri:

            Cherche ce fichier:
            c:\windows\system32\wininet.dll
            renomme le en wininet.old
            Ensuite copie le fichier C:\WINDOWS\system32\dllcache\wininet.dll
            dans le dossier C:\windows\system32\

            redemarre le pc normallement et supprime :
            C:\WINDOWS\system32\oleext.dll
            1. Boulie
              Voila le rapport :

              Logfile of HijackThis v1.99.1
              Scan saved at 22:03:31, on 25/08/2005
              Platform: Windows XP SP1 (WinNT 5.01.2600)
              MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

              Running processes:
              C:\WINDOWS\System32\smss.exe
              C:\WINDOWS\system32\winlogon.exe
              C:\WINDOWS\system32\services.exe
              C:\WINDOWS\system32\lsass.exe
              C:\WINDOWS\system32\svchost.exe
              C:\WINDOWS\System32\svchost.exe
              C:\WINDOWS\system32\spoolsv.exe
              C:\WINDOWS\Explorer.EXE
              C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
              C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
              C:\WINDOWS\System32\nvsvc32.exe
              C:\WINDOWS\System32\svchost.exe
              C:\WINDOWS\system32\ZoneLabs\vsmon.exe
              C:\WINDOWS\SOUNDMAN.EXE
              C:\Program Files\OmniPagePro11.0\opware32.exe
              C:\Program Files\Keyboard\KMaestro.exe
              C:\Program Files\Adaptec\Easy CD Creator 5\DirectCD\DirectCD.exe
              C:\WINDOWS\System32\P2P Networking\P2P Networking.exe
              C:\Program Files\Real\RealPlayer\RealPlay.exe
              C:\Program Files\Fichiers communs\Logitech\QCDriver2\LVCOMS.EXE
              C:\Program Files\Logitech\ImageStudio\LogiTray.exe
              C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
              C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
              C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
              C:\Program Files\MSI\Live Update 3\LMonitor.exe
              C:\WINDOWS\System32\intell32.exe
              C:\Program Files\PSGuard\PSGuard.exe
              C:\WINDOWS\System32\ctfmon.exe
              C:\Program Files\MSN Messenger\msnmsgr.exe
              C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
              C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
              C:\WINDOWS\system32\ntvdm.exe
              C:\Program Files\Logitech\ImageStudio\LowLight.exe
              C:\Program Files\Keyboard\WTS_KEY.EXE
              C:\Program Files\Internet Explorer\iexplore.exe
              C:\WINDOWS\System32\wuauclt.exe
              C:\Program Files\Microsoft Money\System\urlmap.exe
              C:\Program Files\Hijack\HijackThis.exe

              R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
              R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.free.fr/
              R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
              O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
              O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
              O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
              O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll
              O2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - C:\Program Files\Microsoft Money\System\mnyviewer.dll
              O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
              O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)
              O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll
              O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
              O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
              O4 - HKLM\..\Run: [Omnipage] C:\Program Files\OmniPagePro11.0\opware32.exe
              O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
              O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
              O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
              O4 - HKLM\..\Run: [MoneyStartUp10.0] "C:\Program Files\Microsoft Money\System\Activation.exe"
              O4 - HKLM\..\Run: [KeyMaestro] C:\Program Files\Keyboard\KMaestro.exe
              O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Program Files\Adaptec\Easy CD Creator 5\DirectCD\DirectCD.exe"
              O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART
              O4 - HKLM\..\Run: [KAZAA] C:\Program Files\Kazaa\kazaa.exe /SYSTRAY
              O4 - HKLM\..\Run: [RealTray] C:\Program Files\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
              O4 - HKLM\..\Run: [LVCOMS] C:\Program Files\Fichiers communs\Logitech\QCDriver2\LVCOMS.EXE
              O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\ImageStudio\ISStart.exe
              O4 - HKLM\..\Run: [LogitechImageStudioTray] C:\Program Files\Logitech\ImageStudio\LogiTray.exe
              O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
              O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
              O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
              O4 - HKLM\..\Run: [LiveMonitor] C:\Program Files\MSI\Live Update 3\LMonitor.exe
              O4 - HKLM\..\Run: [intell32.exe] C:\WINDOWS\System32\intell32.exe
              O4 - HKLM\..\Run: [PSGuard] C:\Program Files\PSGuard\PSGuard.exe
              O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
              O4 - HKCU\..\Run: [LDM] \Program\BackWeb-8876480.exe
              O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
              O4 - Startup: Event Reminder.lnk = C:\Program Files\pmw\PMREMIND.EXE
              O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
              O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
              O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
              O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
              O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
              O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html
              O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
              O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html
              O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html
              O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html
              O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
              O9 - Extra button: MoneySide - {E023F504-0C5A-4750-A1E7-A9046DEA8A21} - C:\Program Files\Microsoft Money\System\mnyviewer.dll
              O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
              O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
              O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
              O14 - IERESET.INF: START_PAGE_URL=http://home.free.fr/
              O16 - DPF: symsupportutil - https://www-secure.symantec.com/techsupp/activedata/symsupportutil.CAB
              O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
              O17 - HKLM\System\CCS\Services\Tcpip\..\{EA97702B-7915-49A7-8681-0BBE13813A9A}: NameServer = 212.27.54.252 212.27.32.176
              O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
              O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
              O23 - Service: IMAPI CD-Burning COM Service (ImapiService) - Roxio Inc. - C:\WINDOWS\System32\ImapiRox.exe
              O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
              O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

              Merci
              1. Boulie
                J'ai fait les premieres etapes mais je n'ai pas pu effacer le fichier C:\WINDOWS\system32\oleext.dll , on me refuse l'accès.
                Je fais le hijack tout de suite.
                1. Boulie
                  Merci S!RI , je tente le coup.
                  Pour moe : on ne m'a jamais proposé meme en mode echec de "corriger " le fichier.

                  Merci
                  1. Utilisateur anonyme
                    quand il te propose Corriger le fichier infecté ? (o/n)

                    est ce que tout à l'heure, en mode sans echec tu avais choisis oui ?
                    dans le cas contraire, retente le en mode sans echec
                    1. S!Ri Contributeur sécurité
                      bonsoir,

                      moe, le script est toujours bloqué.
                      Il faut passer par une réparation à la main...

                      Boulie, redemarre l'ordinateur en mode sans echec (tapotte f8 dès le demarrage).

                      Cherche ce fichier:
                      c:\windows\system32\wininet.dll
                      renomme le en wininet.old
                      Ensuite copie le fichier C:\WINDOWS\system32\dllcache\wininet.dll
                      dans le dossier C:\windows\system32\

                      Efface le fichier C:\WINDOWS\system32\oleext.dll

                      Redemarre l'ordinateur
                      poste un rapport HijackThis

                      a+
                      1. Utilisateur anonyme
                        salut s!ri

                        c'est la premiere fois que ca se produit, je me demande ce qui peut le bloquer ?

                        a+
                      2. S!Ri Contributeur sécurité
                        Hello,

                        C'était Norton ScriptBlocking qui bloquait l'éxecution du fix. (Le rapport n'allait pas plus loin que la recherche du numero de version de wininet.dll. C'est à ce moment qu'il utilise un code VBS au sein du batch).
                        Ce programme Norton bloque l'éxecution de certains Javascript et VisualBasicScript.

                        Ajouté a ca qu'on ne précisait pas tout le temps à Boulie de redemarrer en mode sans echec...

                        a+
                    2. Boulie
                      C bien ce que je pensais : après que j'ai selectionné l'option 2, on demande si je veux effacer le fichier je mets "o" mais après on me propose pas le reste, on me dis que l'accés est refusé et qu'il manque une cle ou une valeur de registre je crois.
                      Je me demande si un bon coup de pied ne resoudrait pas le pb, lol!
                      1. Utilisateur anonyme
                        quand tu passe l'option 2 et que tu accepte le nettoyage, juste apres, il te demande:
                        Corriger le fichier infecté ? (o/n)
                        et la tu dois choisir oui
                        (clic sur la touche o et appuie sur entrée pour valider), ensuite il faut impérativement redemarrer le pc pour qu'il puisse finir le remplacement du fichier infecté.

                        reessaye pour voir, lance le fix option 2 en mode normal et dis moi si ce choix est proposé
                        1. Boulie
                          J'ai accepté de nettoyer le fichier (par contre corriger ca ne me dit rien)
                          Je suis desolée je suis completement nulle, je fais de mon mieux mais ca n'a pas l'air de marcher , je suis vraiment desolee de vous ennuyer.
                          1. Utilisateur anonyme
                            quand tu as fais l'option 2, tu as accepté le nettoyage et accepté de Corriger le fichier infecté ?
                            1. Boulie
                              Voila, en mode sans echec j'ai supprimé les restes de norton.Puis fais le fix option 2 puis redemarré et fais le fix option 1 dont voila le rapport , mais le virus est toujours la...

                              SmitFraudFix v1.81

                              Rapport fait à 21:09:09,35 le 25/08/2005
                              Executé à partir de C:\SmitfraudFix\SmitfraudFix
                              OS: Microsoft Windows XP [version 5.1.2600]

                              »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\

                              »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS

                              »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system

                              »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\Web

                              »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system32

                              C:\WINDOWS\system32\oleext.dll PRESENT !

                              »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system32\LogFiles

                              »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Documents and Settings\Boulie\Application Data

                              »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Program Files

                              »»»»»»»»»»»»»»»»»»»»»»»» Recherche présence de la clé HKLM\SOFTWARE\SHUDDERLTD

                              HKLM\SOFTWARE\SHUDDERLTD non trouvé.

                              C:\WINDOWS\system32\wininet.dll infecté !

                              »»»»»»»»»»»»»»»»»»»»»»»» Recherche wininet.dll de remplacement

                              Le volume dans le lecteur C n'a pas de nom.
                              Le num‚ro de s‚rie du volume est C094-8B40

                              R‚pertoire de C:\WINDOWS\system32

                              21/01/2004 18:27 592ÿ896 wininet.dll
                              1 fichier(s) 592ÿ896 octets

                              R‚pertoire de C:\WINDOWS\system32\dllcache

                              21/01/2004 18:27 592ÿ896 WININET.DLL
                              1 fichier(s) 592ÿ896 octets

                              »»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport
                              1. Utilisateur anonyme
                                ok, si tu as desactivé le sevice le concernant, passe à l'étape suivante:
                                demarre en mode sans echec
                                reessaye de supprimer le fichier de norton qui résiste
                                repasse le fix option 2
                                redemarre et relance le fix option 1 cette fois et poste le rapport
                                1. Boulie
                                  Comme dit plus haut je ne peux pas effacer les restes de Norton : on me reponds que l'on ne peut effacer le fichier scrauth.dll. Et du coup rien n'est effacé.
                                  1. jean38 Contributeur
                                    SOS Moe,

                                    prise de tete avec laurent sais plus quoi faire, m batterie est à sec...lol ???
                                    1. Utilisateur anonyme
                                      supprime les restes de norton

                                      redemarre en mode sans echecs et repasse le fix option 2
                                      redemarre le pc
                                      relance le fix et choisis l'option 1 et poste le rapport

                                      a+
                                      • 1
                                      • 2
                                      • 3

                                      Discussions similaires

                                      Encore PSGuard et Cie
                                      Leeoneel

                                      5 réponses