[trojan spyware] spyfalcon

balthazar -  
salut, j'ai attrapé un trojan ou un spyware nommé "spyfalcon". ce logiciel s'installe automatiquement sur mon PC a chaque démarrage. j'ai essayé tous les anti-spyware (ad-aware, spybot...) mais ça ne marche pas !! quelqu'un peut m'aider ?

26 réponses

Résumé de la discussion

L’infection SpyFalcon est décrite comme un trojan spyware qui se réinstalle au démarrage et échappe aux outils standard comme Ad-Aware ou Spybot et nécessite des mesures plus poussées. Plusieurs réponses recommandent d’utiliser SmitFraudFix et HijackThis pour nettoyer les entrées malveillantes, supprimer les liens SpyFalcon et réparer les clés de registre, puis redémarrer en mode sans échec. Des conseils pratiques évoquent de désactiver la restauration système, vérifier les fichiers cachés et supprimer les programmes associés, puis multiplier les scans avec Ad-Aware, Spybot, a-squared et ewido. Pour information, une mise à jour de SmitFraudFix (version 2.22) est suggérée pour corriger des détections persistantes, accompagnée d’un retour sur les résultats après réexécution des outils.

Bobot (l’IA à votre service)
  1. green day Modérateur
    Salut Kris :-)

    Merci ! ;-)

    de plus, je pense que tu as repondu à ma question concernant spyfalcon

    gracié mil

    @+
    1. Kristopher Contributeur
      Hello Sarra :)

      Oui, il suffit d'être un peu malin ^^

      Biz à Toi.
  2. Kristopher Contributeur
    Hello

    green day - Tu progresses très vite !

    -> Félicitations :)

    J'aurai quelques remarques à faire :

    balthazar     -

    1/ En plus des lignes que green day t'as demandé de fixer, coche et fixe également celles-ci :

    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\windows\system32\blank.htm

    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\windows\system32\blank.htm

    2/ Désinstalle si possible SpyFalcon via le Panneau de configuration, en passant par Ajout/Suppression de programmes.

    See you.
    1. green day Modérateur
      Salut à vous !

      si S!Ri passe par là : la ligne avec spyfalcon apparait encore malgré un rapport SmitFraudFix qui semble ok ?! ...

      Balthazar :

      1) Affiche les dossiers système et fichiers cachés :
      Ouvrir le poste de travail
      - Outils --> Options des dossiers
      - Affichage --> zone Paramètres avancés
      - Cocher : Afficher le contenu des dossiers système
      - Cocher : Afficher les fichiers et dossiers cachés
      - Décocher : Masquer les extensions des fichiers dont le type est connu
      - Décocher : Masquer les fichiers protégés du système d'exploitation (recommandé)
      répondre Oui au message
      Clique sur "Appliquer à tous les dossiers"
      Clique sur OK

      2) Désactiver la Restauration du système

      # Cliquez sur le bouton Démarrer.
      # Cliquez avec le bouton droit de la souris sur Poste de travail puis cliquez sur Propriétés.
      # Dans l'onglet Restauration du système, sélectionnez l'option Désactiver la Restauration du système ou Désactiver la Restauration du système sur tous les lecteurs

      3) Redémarre en mode sans échec
      Redémarre le pc, laisse passer l'écran du bios, puis tapote sur la touche F8 avant qu'apparaisse l'écran de chargement de windows.
      Choisis le mode sans échec dans les options et valide avec entrée.
      ( si F8 ne fonctionne pas essaie avec F5)

      4) Relance hijackthis :

      ligne à fixer : relance hijackthis et coche les cases en face de ces lignes:

      O4 - HKLM\..\Run: [SpyFalcon] C:\Program Files\SpyFalcon\SpyFalcon.exe /h

      O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\D\WINNT\web\related.htm
      O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\D\WINNT\web\related.htm

      O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure/connexion/archives/ie4n4/teleir_cert.cab
      O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
      O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=48835
      O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_1_0_0_44.cab
      O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://software-dl.real.com/2462f1faa95f54cb8615/netzip/RdxIE601_fr.cab
      O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
      O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
      O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://zone.msn.com/binFramework/v10/ZIntro.cab34246.cab
      O16 - DPF: {BD393C14-72AD-4790-A095-76522973D6B8} (CBreakshotControl Class) - http://messenger.zone.msn.com/binary/Bankshot.cab31267.cab
      O16 - DPF: {E5D419D6-A846-4514-9FAD-97E826C84822} - http://fdl.msn.com/zone/datafiles/heartbeat.cab
      O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab

      6) Recherche et supprime les fichiers suivants : ( si present )

      wuauclt.exe
      SpyFalcon.exe

      7) reposte un rapport

      8) precise s'il te reste des problèmes

      bon courage, @+
      1. balthazar
        Logfile of HijackThis v1.99.1
        Scan saved at 02:16:34, on 09/03/2006
        Platform: Windows 2000 SP4 (WinNT 5.00.2195)
        MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

        Running processes:
        C:\D\WINNT\System32\smss.exe
        C:\D\WINNT\system32\winlogon.exe
        C:\D\WINNT\system32\services.exe
        C:\D\WINNT\system32\lsass.exe
        C:\D\WINNT\system32\Ati2evxx.exe
        C:\D\WINNT\system32\svchost.exe
        C:\D\WINNT\system32\spoolsv.exe
        C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
        C:\D\WINNT\System32\svchost.exe
        C:\D\WINNT\system32\regsvc.exe
        C:\D\WINNT\system32\MSTask.exe
        C:\D\WINNT\system32\stisvc.exe
        C:\D\WINNT\System32\WBEM\WinMgmt.exe
        C:\D\WINNT\System32\MsPMSPSv.exe
        C:\D\WINNT\system32\svchost.exe
        C:\D\WINNT\system32\Ati2evxx.exe
        C:\D\WINNT\Explorer.EXE
        C:\D\WINNT\SOUNDMAN.EXE
        C:\Program Files\Pinnacle\Shared Files\Programs\USBTip\USBTip.exe
        C:\Program Files\PenDrive\shwicon.exe
        D:\Program Files\QuickTime\qttask.exe
        D:\Program Files\Anti-Blaxx\Anti-Blaxx.exe
        C:\Program Files\D-Tools\daemon.exe
        D:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
        C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
        C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
        C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
        C:\Program Files\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe
        C:\Program Files\VIA\RAID\raid_tool.exe
        D:\Program Files\WinZip\WZQKPICK.EXE
        C:\PROGRA~1\Wanadoo\Toaster.exe
        C:\PROGRA~1\Wanadoo\Inactivity.exe
        C:\PROGRA~1\Wanadoo\PollingModule.exe
        C:\D\WINNT\System32\ALERTM~1\ALERTM~1.EXE
        C:\D\WINNT\system32\wuauclt.exe
        C:\Program Files\Internet Explorer\IEXPLORE.EXE
        D:\Program Files\Real\RealPlayer\realplay.exe
        D:\Program Files\Steve\HijackThis.exe

        R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
        R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\windows\system32\blank.htm
        R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\windows\system32\blank.htm
        R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
        R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
        O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\D\WINNT\system32\msdxm.ocx
        O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
        O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\D\WINNT\system32\PSDrvCheck.exe
        O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
        O4 - HKLM\..\Run: [USBToolTip] "C:\Program Files\Pinnacle\Shared Files\\Programs\USBTip\USBTip.exe"
        O4 - HKLM\..\Run: [ShowIcon_The Company_Pen Drive Series Driver v1.17r022] "C:\Program Files\PenDrive\shwicon.exe" -t"The Company\Pen Drive Series Driver v1.17r022"
        O4 - HKLM\..\Run: [NeroFilterCheck] C:\D\WINNT\system32\NeroCheck.exe
        O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
        O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
        O4 - HKLM\..\Run: [QuickTime Task] "D:\Program Files\QuickTime\qttask.exe" -atboottime
        O4 - HKLM\..\Run: [Anti-Blaxx Manager] D:\Program Files\Anti-Blaxx\Anti-Blaxx.exe
        O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033
        O4 - HKLM\..\Run: [SunJavaUpdateSched] D:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
        O4 - HKLM\..\Run: [YeppStudioAgent] C:\Program Files\Samsung\Samsung Media Studio\SamsungMediaStudioAgent.exe
        O4 - HKLM\..\Run: [ATIPTA] "C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe"
        O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
        O4 - HKLM\..\Run: [SpyFalcon] C:\Program Files\SpyFalcon\SpyFalcon.exe /h
        O4 - HKCU\..\Run: [WOOKIT] C:\PROGRA~1\Wanadoo\Shell.exe appLaunchClientZone.shl|DEFAULT=cnx|PARAM=
        O4 - HKCU\..\Run: [WINSOS VERIFY] "C:\Program Files\WINSOS\WINSOS.EXE" MINI
        O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
        O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
        O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = D:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
        O4 - Global Startup: Microsoft Office.lnk = D:\Program Files\Microsoft Office\Office\OSA9.EXE
        O4 - Global Startup: Pinnacle Scheduler.lnk = C:\Program Files\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe
        O4 - Global Startup: VIA RAID TOOL.lnk = C:\Program Files\VIA\RAID\raid_tool.exe
        O4 - Global Startup: WinZip Quick Pick.lnk = D:\Program Files\WinZip\WZQKPICK.EXE
        O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.5.0_06\bin\ssv.dll (file missing)
        O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.5.0_06\bin\ssv.dll (file missing)
        O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\D\WINNT\web\related.htm
        O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\D\WINNT\web\related.htm
        O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)
        O12 - Plugin for .pdf: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll
        O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure/connexion/archives/ie4n4/teleir_cert.cab
        O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
        O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=48835
        O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_1_0_0_44.cab
        O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://software-dl.real.com/2462f1faa95f54cb8615/netzip/RdxIE601_fr.cab
        O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
        O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
        O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://zone.msn.com/binFramework/v10/ZIntro.cab34246.cab
        O16 - DPF: {BD393C14-72AD-4790-A095-76522973D6B8} (CBreakshotControl Class) - http://messenger.zone.msn.com/binary/Bankshot.cab31267.cab
        O16 - DPF: {E5D419D6-A846-4514-9FAD-97E826C84822} - http://fdl.msn.com/zone/datafiles/heartbeat.cab
        O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab
        O20 - Winlogon Notify: WRNotifier - C:\D\WINNT\SYSTEM32\WRLogonNTF.dll
        O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\D\WINNT\system32\Ati2evxx.exe
        O23 - Service: ATI Smart - Unknown owner - C:\D\WINNT\system32\ati2sgag.exe
        O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
        O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
        O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\D\WINNT\System32\dmadmin.exe
        O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\D\WINNT\System32\FTRTSVC.exe

        --------------------------------------------------------------------------

        SmitFraudFix v2.22

        Rapport fait à 2:17:21,75 le jeu. 09/03/2006
        Executé à partir de D:\smit\SmitfraudFix
        OS: Microsoft Windows 2000 [Version 5.00.2195]

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\D\WINNT

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\D\WINNT\system

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\D\WINNT\Web

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\D\WINNT\system32

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche ...\Application Data

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche Menu Démarrer

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche Bureau

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Program Files

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche présence de clés corrompues

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche éléments du bureau

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche Sharedtaskscheduler

        SrchSTS.exe by S!Ri
        Search SharedTaskScheduler's .dll

        [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
        "{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Pré-chargeur Browseui"

        [HKEY_CLASSES_ROOT\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]
        @="%SystemRoot%\system32\browseui.dll"

        [HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]
        @="%SystemRoot%\system32\browseui.dll"

        [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
        "{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Démon de cache des catégories de composant"

        [HKEY_CLASSES_ROOT\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]
        @="%SystemRoot%\system32\browseui.dll"

        [HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]
        @="%SystemRoot%\system32\browseui.dll"

        [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
        "{DA223E41-3F7F-4B2B-8CC8-22C6A1197EEB}"="z"

        »»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

        »»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport
        2. S!Ri Contributeur sécurité
          Salut

          Tu peux reposter un rapport HijackThis ainsi qu'un rapport SmitfraudFix ( 1 dans le menu) pour verifier que les fichiers sont bien parti.

          a+
          3. S!Ri Contributeur sécurité
            Salut,

            non, je ne l'ai pas retrouvée sur d'autres infections DesktopHijack.
            Elle ne fait qu'ouvrir des pages publicitaires.
            Mais je la garde sous le coude si je la retrouve sur d'autres log/infections.

            a+
            2. S!Ri Contributeur sécurité
              Salut

              Merci pour le fichier.
              Fait ceci:
              Ouvre le bloc note (notepad)
              Copie colle le code suivant dans notepad.
              Sauvegarde sous clean.reg sur ton bureau
              Au moment de sauvegarder, selectionne: type : tous les fichiers
              Quitte notepad,
              Double Click sur clean.reg
              A la question fusionner avec le registre, accepte.

              Enfin supprime le fichier
              C:\D\WINNT\admparsel.dll 

              Windows Registry Editor Version 5.00

[-HKEY_CLASSES_ROOT\CLSID\{0B5F7FDF-0717-45BF-B49D-695F3168C7FE}]

[-HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{0B5F7FDF-0717-45BF-B49D-695F3168C7FE}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{0B5F7FDF-0717-45BF-B49D-695F3168C7FE}"=-


              a+
              1. balltrap34 Contributeur sécurité
                ne suppr pas seulement la dll
                sr a mis a jour le fix retelecharge le et passe les deux option et donne nous les rapports stp
                1. balthazar
                  c'est fait :)
                  MD5: E12D2E174FFFD0ABFB5CD1418BA04BF4
                  est-ce que ce fichier peut etre porteur de mon virus ? j'ai lu que beaucoup de gens ont réglé leur probleme en supprimant dxmpp.dll mais ayant windows 2000 je n'ai pas ce fichier donc je suppose que c'est C:\D\WINNT\admparsel.dll ?
                  2. green day Modérateur
                    Bonjour S!RI !

                    de même que Kris : très heureuse de croiser l'auteur d'un prog au combien precieux !!!

                    je vais de ce pas le poster sur le forum de Regis !

                    merci pour l'annonce

                    bien à vous !

                    @+
                    1. Séb08 Contributeur
                      Slt tous,

                      Trop tard Green...

                      Merci S!Ri !!

                      ;-)
                    2. Kristopher Contributeur
                      @Séb08Hello les amis green et Séb,

                      L'important c'est d'avoir posté, peu importe la vitesse de réaction :D

                      Excellente fin d'après midi à vous également.

                      Laissons à présent balthazar se prononcer...
                  3. S!Ri Contributeur sécurité
                    Salut Kristopher

                    Il avait un moment que l'infection n'avait pas évoluée.
                    Et cette dll: dxmpp.dll était trop connue pour que l'auteur de l'infection la garde plus longtemps...

                    Bonne chasse au virus !
                    a+
                    1. S!Ri Contributeur sécurité
                      Salut

                      SmitfraudFix a été mis a jour.
                      Utiliser la nouvelle version 2.22 à la même adresse:
                      http://siri.urz.free.fr/Fix/SmitfraudFix.zip

                      a+
                      1. Kristopher Contributeur
                        Bonjour S!Ri,

                        Cela fait plaisir de croiser le concepteur de SmitfraudFix en personne :)

                        Les infections évoluent... parallèlement à votre logiciel qui est mis à jour en contrepartie afin de pallier à cela.

                        Excellente fin d'après-midi à vous ;)
                    2. balltrap34 Contributeur sécurité
                      salut
                      juste pour info c est tu sur quelle site tu as choper ceci stp

                      et le smitfraudfix met le sur c et recommence l option2 en sans echec
                      1. green day Modérateur
                        Salut !

                        lignes à fixer : relance hijackthis et coche les cases en face de ces lignes:

                        O4 - HKLM\..\Run: [SpyFalcon] C:\Program Files\SpyFalcon\SpyFalcon.exe /h

                        O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure/connexion/archives/ie4n4/teleir_cert.cab
                        O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
                        O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=48835
                        O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_1_0_0_44.cab
                        O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://software-dl.real.com/2462f1faa95f54cb8615/netzip/RdxIE601_fr.cab
                        O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
                        O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
                        O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://zone.msn.com/binFramework/v10/ZIntro.cab34246.cab
                        O16 - DPF: {BD393C14-72AD-4790-A095-76522973D6B8} (CBreakshotControl Class) - http://messenger.zone.msn.com/binary/Bankshot.cab31267.cab
                        O16 - DPF: {E5D419D6-A846-4514-9FAD-97E826C84822} - http://fdl.msn.com/zone/datafiles/heartbeat.cab
                        O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab

                        ensuite refait la manip du poste 5 et dis nous où en sont tes soucis

                        bon courage @+
                        1. balthazar
                          Logfile of HijackThis v1.99.1
                          Scan saved at 01:45:38, on 04/03/2006
                          Platform: Windows 2000 SP4 (WinNT 5.00.2195)
                          MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

                          Running processes:
                          C:\D\WINNT\System32\smss.exe
                          C:\D\WINNT\system32\winlogon.exe
                          C:\D\WINNT\system32\services.exe
                          C:\D\WINNT\system32\lsass.exe
                          C:\D\WINNT\system32\Ati2evxx.exe
                          C:\D\WINNT\system32\svchost.exe
                          C:\D\WINNT\system32\spoolsv.exe
                          C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
                          C:\D\WINNT\System32\svchost.exe
                          C:\D\WINNT\system32\regsvc.exe
                          C:\D\WINNT\system32\MSTask.exe
                          C:\D\WINNT\system32\stisvc.exe
                          C:\D\WINNT\System32\WBEM\WinMgmt.exe
                          C:\D\WINNT\System32\MsPMSPSv.exe
                          C:\D\WINNT\system32\svchost.exe
                          C:\D\WINNT\system32\Ati2evxx.exe
                          C:\D\WINNT\SOUNDMAN.EXE
                          C:\Program Files\Pinnacle\Shared Files\Programs\USBTip\USBTip.exe
                          C:\Program Files\PenDrive\shwicon.exe
                          D:\Program Files\QuickTime\qttask.exe
                          D:\Program Files\Anti-Blaxx\Anti-Blaxx.exe
                          C:\Program Files\D-Tools\daemon.exe
                          D:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
                          C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
                          C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
                          C:\Program Files\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe
                          C:\Program Files\VIA\RAID\raid_tool.exe
                          D:\Program Files\WinZip\WZQKPICK.EXE
                          C:\PROGRA~1\Wanadoo\Toaster.exe
                          C:\PROGRA~1\Wanadoo\Inactivity.exe
                          C:\PROGRA~1\Wanadoo\PollingModule.exe
                          C:\D\WINNT\System32\ALERTM~1\ALERTM~1.EXE
                          C:\D\WINNT\system32\wuauclt.exe
                          C:\Program Files\SpyFalcon\SpyFalcon.exe
                          C:\D\WINNT\explorer.exe
                          C:\Program Files\Internet Explorer\IEXPLORE.EXE
                          D:\Program Files\Steve\HijackThis.exe

                          R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
                          R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\windows\system32\blank.htm
                          R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\windows\system32\blank.htm
                          R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
                          R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
                          O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
                          O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\D\WINNT\system32\PSDrvCheck.exe
                          O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
                          O4 - HKLM\..\Run: [USBToolTip] "C:\Program Files\Pinnacle\Shared Files\\Programs\USBTip\USBTip.exe"
                          O4 - HKLM\..\Run: [ShowIcon_The Company_Pen Drive Series Driver v1.17r022] "C:\Program Files\PenDrive\shwicon.exe" -t"The Company\Pen Drive Series Driver v1.17r022"
                          O4 - HKLM\..\Run: [NeroFilterCheck] C:\D\WINNT\system32\NeroCheck.exe
                          O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
                          O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
                          O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe
                          O4 - HKLM\..\Run: [QuickTime Task] "D:\Program Files\QuickTime\qttask.exe" -atboottime
                          O4 - HKLM\..\Run: [Anti-Blaxx Manager] D:\Program Files\Anti-Blaxx\Anti-Blaxx.exe
                          O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033
                          O4 - HKLM\..\Run: [SunJavaUpdateSched] D:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
                          O4 - HKLM\..\Run: [YeppStudioAgent] C:\Program Files\Samsung\Samsung Media Studio\SamsungMediaStudioAgent.exe
                          O4 - HKLM\..\Run: [ATIPTA] "C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe"
                          O4 - HKLM\..\Run: [SpyFalcon] C:\Program Files\SpyFalcon\SpyFalcon.exe /h
                          O4 - HKCU\..\Run: [WOOKIT] C:\PROGRA~1\Wanadoo\Shell.exe appLaunchClientZone.shl|DEFAULT=cnx|PARAM=
                          O4 - HKCU\..\Run: [WINSOS VERIFY] "C:\Program Files\WINSOS\WINSOS.EXE" MINI
                          O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
                          O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
                          O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = D:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
                          O4 - Global Startup: Microsoft Office.lnk = D:\Program Files\Microsoft Office\Office\OSA9.EXE
                          O4 - Global Startup: Pinnacle Scheduler.lnk = C:\Program Files\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe
                          O4 - Global Startup: VIA RAID TOOL.lnk = C:\Program Files\VIA\RAID\raid_tool.exe
                          O4 - Global Startup: WinZip Quick Pick.lnk = D:\Program Files\WinZip\WZQKPICK.EXE
                          O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.5.0_06\bin\ssv.dll (file missing)
                          O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.5.0_06\bin\ssv.dll (file missing)
                          O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)
                          O12 - Plugin for .pdf: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll
                          O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure/connexion/archives/ie4n4/teleir_cert.cab
                          O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
                          O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=48835
                          O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_1_0_0_44.cab
                          O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://software-dl.real.com/2462f1faa95f54cb8615/netzip/RdxIE601_fr.cab
                          O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
                          O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
                          O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://zone.msn.com/binFramework/v10/ZIntro.cab34246.cab
                          O16 - DPF: {BD393C14-72AD-4790-A095-76522973D6B8} (CBreakshotControl Class) - http://messenger.zone.msn.com/binary/Bankshot.cab31267.cab
                          O16 - DPF: {E5D419D6-A846-4514-9FAD-97E826C84822} - http://fdl.msn.com/zone/datafiles/heartbeat.cab
                          O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab
                          O20 - Winlogon Notify: WRNotifier - C:\D\WINNT\SYSTEM32\WRLogonNTF.dll
                          O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\D\WINNT\system32\Ati2evxx.exe
                          O23 - Service: ATI Smart - Unknown owner - C:\D\WINNT\system32\ati2sgag.exe
                          O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
                          O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
                          O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\D\WINNT\System32\dmadmin.exe
                          O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\D\WINNT\System32\FTRTSVC.exe
                          • 1
                          • 2

                          Discussions similaires

                          Aide pour un virus
                          cerise92700

                          41 réponses
                          Trojan impossible à supprimer!
                          Gridouu

                          12 réponses
                          Comment supprimer le virus Trojan
                          vitsou

                          18 réponses