[virus] Your computer is infected
Apres avoir suivie a la lettre la manoeuvre expliqué sur le forum pour enlever ce virus, il est tjrs la voila le dernier rapport smitfraudFix si quelqu'un pouvait m'aider je le remercie d'avance.
SmitFraudFix v2.31
Rapport fait à 19:03:02,75, 15/04/2006
Executé à partir de C:\Documents and Settings\The Rock\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600]
»»»»»»»»»»»»»»»»»»»»»»»» C:\
C:\country.exe PRESENT !
C:\kl1.exe PRESENT !
C:\secure32.html PRESENT !
C:\tool1.exe PRESENT !
C:\tool2.exe PRESENT !
C:\tool3.exe PRESENT !
C:\tool4.exe PRESENT !
C:\tool5.exe PRESENT !
C:\toolbar.exe PRESENT !
C:\uniq PRESENT !
C:\winstall.exe PRESENT !
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32
C:\WINDOWS\system32\bin29a.log PRESENT !
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\The Rock\Application Data
»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\The Rock\Favoris
»»»»»»»»»»»»»»»»»»»»»»»» Bureau
»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files
C:\Program Files\paytime.exe PRESENT !
C:\Program Files\secure32.html PRESENT !
»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues
»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Pré-chargeur Browseui"
[HKEY_CLASSES_ROOT\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"
[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Démon de cache des catégories de composant"
[HKEY_CLASSES_ROOT\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"
[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"
»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll
»»»»»»»»»»»»»»»»»»»»»»»» Fin
SmitFraudFix v2.31
Rapport fait à 19:03:02,75, 15/04/2006
Executé à partir de C:\Documents and Settings\The Rock\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600]
»»»»»»»»»»»»»»»»»»»»»»»» C:\
C:\country.exe PRESENT !
C:\kl1.exe PRESENT !
C:\secure32.html PRESENT !
C:\tool1.exe PRESENT !
C:\tool2.exe PRESENT !
C:\tool3.exe PRESENT !
C:\tool4.exe PRESENT !
C:\tool5.exe PRESENT !
C:\toolbar.exe PRESENT !
C:\uniq PRESENT !
C:\winstall.exe PRESENT !
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32
C:\WINDOWS\system32\bin29a.log PRESENT !
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\The Rock\Application Data
»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\The Rock\Favoris
»»»»»»»»»»»»»»»»»»»»»»»» Bureau
»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files
C:\Program Files\paytime.exe PRESENT !
C:\Program Files\secure32.html PRESENT !
»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues
»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Pré-chargeur Browseui"
[HKEY_CLASSES_ROOT\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"
[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Démon de cache des catégories de composant"
[HKEY_CLASSES_ROOT\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"
[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"
»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll
»»»»»»»»»»»»»»»»»»»»»»»» Fin
32 réponses
Résumé de la discussion
Une infection SmitFraudFix persiste sur Windows XP malgré une procédure décrite sur le forum, avec des fichiers et répertoires infectés répertoriés dans le rapport et des symptômes de logiciel rançonné. Plusieurs intervenants recommandent SmitFraudFix en mode sans échec, suppression des fichiers infectés, nettoyage du registre, puis redémarrage et second passage avec HijackThis, Ewido et pare-feu. Les rapports de SmitFraudFix et les journaux HijackThis listent des éléments suspects, tels que country.exe, uniq et winstall.exe, des entrées dans les clés de registre et des programmes démarrés en tâche. Pour éviter les récidives, il est préconisé d'installer puis de mettre à jour des outils antivirus et anti-spyware, d'exécuter des scans en mode sans échec et de partager les rapports pour validation.
-
ContributeurSalut Rocky,
je suis super content pour toi :-)
Bon week end de Paques et au plaisir.
A+
PS : si tu as besoin, tu sais où me trouver.
-
Salut incognito02,
Et bien je ne suis plus floodé par 150 pubs sur internet et l'icone you are infected a disparu.
Je te remercie ainsi que Boulepatte et baltrap, tu as vu juste pour wssec qui etait la cle de mes ennuis et faisait revenir les fichiers infectés. -
ContributeurBonsoir Rocky,
Ton log me parait clean, où en sont tes soucis ?
A+
-
Salut incognito02
Voila dans l'ordre le 1 rapport smithfraud
SmitFraudFix v2.31
Rapport fait à 12:27:00,01, 16/04/2006
Executé à partir de C:\Documents and Settings\The Rock\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600]
»»»»»»»»»»»»»»»»»»»»»»»» C:\
C:\uniq PRESENT !
C:\winstall.exe PRESENT !
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32
C:\WINDOWS\system32\bin29a.log PRESENT !
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\The Rock\Application Data
»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\The Rock\Favoris
»»»»»»»»»»»»»»»»»»»»»»»» Bureau
»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files
»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues
»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Pré-chargeur Browseui"
[HKEY_CLASSES_ROOT\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"
[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Démon de cache des catégories de composant"
[HKEY_CLASSES_ROOT\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"
[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"
»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll
»»»»»»»»»»»»»»»»»»»»»»»» Fin
Le 2 en mode sans echec
SmitFraudFix v2.31
Rapport fait à 12:29:38,56, 16/04/2006
Executé à partir de C:\Documents and Settings\The Rock\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600]
»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus
»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés
C:\uniq supprimé
C:\winstall.exe supprimé
C:\WINDOWS\system32\bin29a.log supprimé
»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires
»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre
Nettoyage terminé.
»»»»»»»»»»»»»»»»»»»»»»»» Fin
Et le HJT
Logfile of HijackThis v1.99.1
Scan saved at 12:34:31, on 16/04/2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\ewido anti-malware\ewidoctrl.exe
C:\Program Files\ewido anti-malware\ewidoguard.exe
C:\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\apps\ABoard\ABoard.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\PROGRA~1\PESTPA~1\PPControl.exe
C:\apps\ABoard\AOSD.exe
C:\PROGRA~1\PESTPA~1\PPMemCheck.exe
C:\PROGRA~1\PESTPA~1\CookiePatrol.exe
C:\WINDOWS\system32\slserv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Documents and Settings\The Rock\Bureau\HijackThis.exe
C:\Program Files\Alwil Software\Avast4\setup\avast.setup
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://softex.meganet.lt/index.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Packard Bell
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ACTIVBOARD] c:\apps\ABoard\ABoard.exe
O4 - HKLM\..\Run: [PestPatrol Control Center] C:\PROGRA~1\PESTPA~1\PPControl.exe
O4 - HKLM\..\Run: [PPMemCheck] C:\PROGRA~1\PESTPA~1\PPMemCheck.exe
O4 - HKLM\..\Run: [CookiePatrol] C:\PROGRA~1\PESTPA~1\CookiePatrol.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O8 - Extra context menu item: Télécharger avec &BitSpirit - C:\Program Files\BitSpirit\bsurl.htm
O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\fr.htm
O17 - HKLM\System\CCS\Services\Tcpip\..\{0A65E537-C805-46E5-BE8D-2E3049A60413}: NameServer = 213.36.80.1 213.36.80.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{0A65E537-C805-46E5-BE8D-2E3049A60413}: NameServer = 213.36.80.1 213.36.80.1
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido anti-malware\ewidoguard.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe -
ContributeurBonjour Rocky,
nous allons verifier si tout est ok...
Peux tu faire ceci :
1 - Exécute Smitfraudfix.cmd choisit l’option 1, il va générer un rapport
Copie/colle le sur le poste stp.
2 - Démarre en mode sans échec :
Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter
Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée.
Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal !
(Si F8 ne marche pas utilise la touche F5).
----------------------------------------------------------------------------
Relance le programme Smitfraud,
Cette fois choisit l’option 2, répond oui a tous ;
Sauvegarde le rapport, Redémarre en mode normal, copie/colle le rapport sauvegardé sur le forum
3 - Relance hijackthis et colle un nouveau log ici.
Bon Courage.
A+
-
Slt baltrap,
Oui je l'ai passé en mode sans echec mais la ca a l'air de s'arranger et les fichiers infecté ne reviennent plus depuis que j'ai desactive wssec. -
Contributeur sécuritésalut
a tu passer le fix en mode sans echec? -
Oui pour wssec je l'ai desactive dans le gestionnaire de services, j'ai essaye de l'enlever avec hijackthis mais il revient tjrs, j'ai aussi effacé le fichier dans system32.
Merci pour l'aide et a demain. -
Contributeurre,
ok, redemarre en mode sans echec et supprime le ainsi que les fichiers
C:\country.exe
C:\Program Files\paytime.exe
C:\toolbar.exe
C:\tool1.exe
je me demande si ce wssec ne regenère pas les autres fichiers ....
Bon, je vais au dodo, je suis crevé.
A demain
-
File: wssec.exe
Status:
INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)
MD5 1f0201ad81a717616c5950e7169f016a
Packers detected:
PE_PATCH
Scanner results
AntiVir
Found Worm/Sdbot.177152.4
ArcaVir
Found nothing
Avast
Found nothing
AVG Antivirus
Found nothing
BitDefender
Found Backdoor.Sdbot.AVI
ClamAV
Found nothing
Dr.Web
Found Win32.HLLW.MyBot
F-Prot Antivirus
Found nothing
Fortinet
Found nothing
Kaspersky Anti-Virus
Found nothing
NOD32
Found a variant of IRC/SdBot
Norman Virus Control
Found nothing
UNA
Found nothing
VirusBuster
Found Worm.RBot.ELR
VBA32
Found Win32.HLLW.MyBot -
ContributeurRocky,
retourne sur :
https://virusscan.jotti.org/
et test ce fichier stp :
C:\WINDOWS\system32\wssec.exe
Bon courage.
A+ -
Il se situe un peu partout pour exemple maintenant il est:
C:\country.exe
C:\Program Files\paytime.exe
C:\toolbar.exe
C:\tool1.exe
Je critique pas avast mais comme il est gratuit il doit pas etre aussi performant que les autres payants. J'ai aussi la version entiere de pestpatrol. -
Contributeurre,
Avast ne te dit pas où se situe le virus ?
A+
-
Merci d'avoir passé la soiree a m'aidé, je vais reesaye d'installe zone alarm, le avast qu'on m'a conseillé d'installe me dis toutes les secondes non stop virus detecté Win32 Trojano-P [trj],Win32:Trojan-gen. {Other} et le message your computer is infected n'est pas partit :s.
-
Contributeurre,
Relance HijackThis, coche les cases devant ces lignes et ensuite clique sur fix checked :
F2 - REG:system.ini: Shell=explorer.exe "C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm00027.exe"
je te conseille, si tu le permets, d'installer un firewall, ça t'évitera de nombreux soucis.
Zonealarm est gratuit et efficace
A+
-
Y a 2 fichiers ibm dont l'acces mettait refuse pour effacer et y en a un autre que j'ai effacé le numero 27.exe dont windows me reproche l'abscence a chaque demarrage mais c'est pas grave.
Voila le HJT
Logfile of HijackThis v1.99.1
Scan saved at 22:54:57, on 15/04/2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\ewido anti-malware\ewidoctrl.exe
C:\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\apps\ABoard\ABoard.exe
C:\PROGRA~1\PESTPA~1\PPControl.exe
C:\PROGRA~1\PESTPA~1\PPMemCheck.exe
C:\WINDOWS\system32\slserv.exe
C:\PROGRA~1\PESTPA~1\CookiePatrol.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\apps\ABoard\AOSD.exe
C:\WINDOWS\system32\wssec.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Documents and Settings\The Rock\Bureau\HijackThis.exe
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://softex.meganet.lt/index.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Packard Bell
F2 - REG:system.ini: Shell=explorer.exe "C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm00027.exe"
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ACTIVBOARD] c:\apps\ABoard\ABoard.exe
O4 - HKLM\..\Run: [PestPatrol Control Center] C:\PROGRA~1\PESTPA~1\PPControl.exe
O4 - HKLM\..\Run: [PPMemCheck] C:\PROGRA~1\PESTPA~1\PPMemCheck.exe
O4 - HKLM\..\Run: [CookiePatrol] C:\PROGRA~1\PESTPA~1\CookiePatrol.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O8 - Extra context menu item: Télécharger avec &BitSpirit - C:\Program Files\BitSpirit\bsurl.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\npjpi150_06.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\npjpi150_06.dll
O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\fr.htm
O17 - HKLM\System\CCS\Services\Tcpip\..\{0A65E537-C805-46E5-BE8D-2E3049A60413}: NameServer = 213.36.80.1 213.36.80.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{0A65E537-C805-46E5-BE8D-2E3049A60413}: NameServer = 213.36.80.1 213.36.80.1
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido anti-malware\ewidoguard.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
Le ewido facultativement
---------------------------------------------------------
ewido anti-malware - Rapport de scan
---------------------------------------------------------
+ Créé le: 22:50:49, 15/04/2006
+ Somme de contrôle: 79369589
+ Résultats du scan:
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\5PL2MQ7P\nlgwfcz[1].txt -> Hijacker.StartPage.adi : Nettoyer et sauvegarder
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\5PL2MQ7P\rfqtp[1].txt -> Hijacker.Small.kr : Nettoyer et sauvegarder
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\5PL2MQ7P\rfqtp[2].txt -> Hijacker.Small.kr : Nettoyer et sauvegarder
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\EMM0XY78\nlgwfcz[1].txt -> Hijacker.StartPage.adi : Nettoyer et sauvegarder
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\EMM0XY78\owatqjgqw[1].txt -> Not-A-Virus.Hoax.Win32.Renos.bw : Nettoyer et sauvegarder
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\EMM0XY78\sniohiscy[1].txt -> Proxy.Small.bo : Nettoyer et sauvegarder
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\I9WFKJS2\sniohiscy[1].txt -> Proxy.Small.bo : Nettoyer et sauvegarder
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\PEE7VVKS\owatqjgqw[1].txt -> Not-A-Virus.Hoax.Win32.Renos.bw : Nettoyer et sauvegarder
:mozilla.6:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Yieldmanager : Nettoyer et sauvegarder
:mozilla.7:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Yieldmanager : Nettoyer et sauvegarder
:mozilla.8:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Yieldmanager : Nettoyer et sauvegarder
:mozilla.9:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Yieldmanager : Nettoyer et sauvegarder
:mozilla.10:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Yieldmanager : Nettoyer et sauvegarder
:mozilla.17:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Fastclick : Nettoyer et sauvegarder
:mozilla.18:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Fastclick : Nettoyer et sauvegarder
:mozilla.19:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Fastclick : Nettoyer et sauvegarder
:mozilla.20:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Fastclick : Nettoyer et sauvegarder
:mozilla.25:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Bluestreak : Nettoyer et sauvegarder
:mozilla.29:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Smartadserver : Nettoyer et sauvegarder
:mozilla.30:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Smartadserver : Nettoyer et sauvegarder
:mozilla.31:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Weborama : Nettoyer et sauvegarder
:mozilla.32:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Weborama : Nettoyer et sauvegarder
:mozilla.34:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Smartadserver : Nettoyer et sauvegarder
:mozilla.35:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Atdmt : Nettoyer et sauvegarder
:mozilla.36:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Mediaplex : Nettoyer et sauvegarder
:mozilla.37:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.247realmedia : Nettoyer et sauvegarder
:mozilla.39:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.247realmedia : Nettoyer et sauvegarder
:mozilla.40:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.247realmedia : Nettoyer et sauvegarder
:mozilla.43:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Tradedoubler : Nettoyer et sauvegarder
:mozilla.44:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Tradedoubler : Nettoyer et sauvegarder
:mozilla.45:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Zedo : Nettoyer et sauvegarder
:mozilla.46:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Zedo : Nettoyer et sauvegarder
:mozilla.47:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Zedo : Nettoyer et sauvegarder
:mozilla.48:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Zedo : Nettoyer et sauvegarder
:mozilla.49:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Zedo : Nettoyer et sauvegarder
:mozilla.57:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Valueclick : Nettoyer et sauvegarder
:mozilla.60:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Adtech : Nettoyer et sauvegarder
:mozilla.61:C:\Documents and Settings\The Rock\Application Data\Mozilla\Firefox\Profiles\86klye5h.default\cookies.txt -> TrackingCookie.Adtech : Nettoyer et sauvegarder
C:\Program Files\Alwil Software\Avast4\DATA\moved\paytime.exe.vir -> Hijacker.StartPage.adi : Nettoyer et sauvegarder
C:\Program Files\paytime.exe -> Hijacker.StartPage.adi : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP4\A0001254.exe -> Proxy.Small.bo : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP4\A0001255.exe -> Adware.BHO : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP4\A0001256.exe -> Hijacker.StartPage.adi : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP4\A0001257.exe -> Proxy.Small.bo : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP4\A0001258.exe -> Hijacker.Small.kr : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP4\A0001259.exe -> Not-A-Virus.Hoax.Win32.Renos.bw : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP4\A0001268.exe -> Not-A-Virus.Hoax.Win32.Renos.bw : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP4\A0001269.exe -> Backdoor.Rbot.awg : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP5\A0002269.exe -> Proxy.Small.bo : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP5\A0002275.exe -> Not-A-Virus.Hoax.Win32.Renos.bw : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP5\A0002277.exe -> Proxy.Small.bo : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP5\A0002279.exe -> Hijacker.Small.kr : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP5\A0002325.exe -> Not-A-Virus.Hoax.Win32.Renos.bw : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP5\A0002368.exe -> Hijacker.StartPage.adi : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP5\A0002388.exe -> Not-A-Virus.Hoax.Win32.Renos.bw : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP5\A0002389.exe -> Not-A-Virus.Hoax.Win32.Renos.bw : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP5\A0002391.exe -> Hijacker.StartPage.adi : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP6\A0002410.exe -> Hijacker.StartPage.adi : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP6\A0002415.exe -> Proxy.Small.bo : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP6\A0002428.exe -> Not-A-Virus.Hoax.Win32.Renos.bw : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP6\A0002431.exe -> Proxy.Small.bo : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP6\A0002433.exe -> Hijacker.Small.kr : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP6\A0002444.exe -> Not-A-Virus.Hoax.Win32.Renos.bw : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP6\A0002446.exe -> Hijacker.StartPage.adi : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP6\A0002449.exe -> Proxy.Small.bo : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP6\A0002450.exe -> Proxy.Small.bo : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP6\A0002453.exe -> Hijacker.Small.kr : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP6\A0002467.exe -> Not-A-Virus.Hoax.Win32.Renos.bw : Nettoyer et sauvegarder
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP6\A0002473.exe -> Proxy.Small.bo : Nettoyer et sauvegarder
C:\tool2.exe -> Not-A-Virus.Hoax.Win32.Renos.bw : Nettoyer et sauvegarder
C:\tool3.exe -> Proxy.Small.bo : Nettoyer et sauvegarder
C:\tool5.exe -> Hijacker.Small.kr : Nettoyer et sauvegarder
C:\winstall.exe -> Not-A-Virus.Hoax.Win32.Renos.bw : Nettoyer et sauvegarder
::Fin du rapport
Et le smithfraud en mode sans echec
SmitFraudFix v2.31
Rapport fait à 22:51:48,89, 15/04/2006
Executé à partir de C:\Documents and Settings\The Rock\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600]
»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus
»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés
C:\country.exe supprimé
C:\kl1.exe supprimé
C:\ms1.exe supprimé
C:\secure32.html supprimé
C:\tool1.exe supprimé
C:\tool4.exe supprimé
C:\toolbar.exe supprimé
C:\uniq supprimé
C:\WINDOWS\system32\bin29a.log supprimé
C:\Program Files\secure32.html supprimé
»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires
»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre
Nettoyage terminé.
»»»»»»»»»»»»»»»»»»»»»»»» Fin -
ContributeurRe,
C'est bien ce que je pensais ....
Relance HijackThis, coche les cases devant ces lignes et ensuite clique sur fix checked :
F2 - REG:system.ini: Shell=explorer.exe "C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm00025.exe"
O2 - BHO: (no name) - {196B9CB5-4C83-46F7-9B06-9672ECD9D99B} - C:\WINDOWS\system32\winbrume.dll (file missing)
O4 - HKLM\..\Run: [eventwvr] C:\WINDOWS\System32\eventwvr.exe
O4 - HKLM\..\RunServices: [eventwvr] C:\WINDOWS\System32\eventwvr.exe
O4 - HKCU\..\Run: [eventwvr] C:\WINDOWS\System32\eventwvr.exe
Démarre en mode sans échec :
Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter
Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée.
Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal !
(Si F8 ne marche pas utilise la touche F5).
----------------------------------------------------------------------------
¤Recherche et supprime ceci:
attention seulement les fichiers (si présents) :
c:\kl1.exe
C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm00025.exe
C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm00017.exe
C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm00023.exe
(en faites tous les fichiers de ce dossier qui commencent par ibm00)
puis ce fichier (attention à l'orthographe) :
C:\WINDOWS\System32\eventwvr.exe
vide la corbeille,
passe ediwo et smitfraud option 2
redemarre en mode normal et reposte un hijackthis.
Bon courage.
A+
-
Voila le rapport incognito02
File: eventwvr.exe
Status:
INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)
MD5 e665eefeebefe3177ca1551e75efcbbb
Packers detected:
FSG
Scanner results
AntiVir
Found Trojan/Dldr.Proxy.Sm.BO
ArcaVir
Found nothing
Avast
Found nothing
AVG Antivirus
Found nothing
BitDefender
Found Trojan.Proxy.Small.BO
ClamAV
Found nothing
Dr.Web
Found Trojan.Proxy.809
F-Prot Antivirus
Found unknown virus (probable variant)
Fortinet
Found nothing
Kaspersky Anti-Virus
Found Trojan-Proxy.Win32.Small.bo
NOD32
Found nothing
Norman Virus Control
Found Sandbox: W32/Malware; [ General information ]
* File might be compressed.
* Decompressing FSG.
* File length: 12608 bytes.
[ Changes to filesystem ]
* Deletes file C:\WINDOWS\SYSTEM32\eventwvr.exe.
* Creates file C:\WINDOWS\SYSTEM32\eventwvr.exe.
[ Changes to registry ]
* Sets value "ATI_VER"="Cs7ˆ" in key "HKLM\Software\Microsoft".
[ Network services ]
* Opens URL: http://jupitersatellites.biz/logrc2/access.php.
[ Security issues ]
* Possible backdoor functionality [UNKNOWN] port 3599.
[ Process/window information ]
* Creates a mutex bin29a-1024.
* Will automatically restart after boot (I'll be back...).
UNA
Found nothing
VirusBuster
Found nothing
VBA32
Found Trojan-Proxy.Win32.Small.bo -
Contributeurre,
ok, c'est un peu normal, ces sites sont surchargés le soir.
essaye sur celui là :
https://virusscan.jotti.org/
Bon courage.
A+
-
J'arrive pas a acceder au site incognito02 firefox me dis :
Connexion réinitialisée
La connexion avec le serveur a été réinitialisée pendant le chargement de la page.
* Le site est peut-être temporairement indisponible ou surchargé. Réessayez plus
tard ;
* Si vous n'arrivez à naviguer sur aucun site, vérifiez la connexion
au réseau de votre ordinateur ;
* Si votre ordinateur ou votre réseau est protégé par un pare-feu ou un proxy,
assurez-vous que Firefox a l'autorisation d'accéder au Web.
- 1
- 2
Suivant
