ZLOB.DNSChanger

Résolu
Bill -  
Bonjour,
J'ai aussi un problème avec ZLOB.DNSChanger : Spyboth n'est pas capable de m'en débarasser. Idem avec AVG. Spyware Doctor ne fait guère mieux.

Merci de m'aider!

Bill
Configuration: Windows XP
Internet Explorer 6.0

44 réponses

Résumé de la discussion

Une infection par ZLOB.DNSChanger provoque un détournement DNS et des difficultés de désinfection malgré des antivirus comme Spybot, AVG et Spyware Doctor. Plusieurs solutions proposées passent par des outils de nettoyage spécifiques, le passage en mode sans échec et l’analyse de rapports avec des utilitaires comme HijackThis et SmitfraudFix pour repérer et supprimer les éléments indésirables. Des indications de configuration réseau montrent des serveurs DNS non-autorisés et des clés système modifiées, nécessitant des nettoyages approfondis, la restauration du système et la suppression de services suspects. En outre, des infections peuvent modifier les paramètres TCP/IP et les entrées AppInit_DLLs, d'où la nécessité de vérifier les valeurs et d'aligner les serveurs DNS sur des adresses réputées.

Bobot (l’IA à votre service)
  1. jamaz2007
    Oui, au Canada! Or donc, j'imagine que je n'ai pas Bitfender. Je laisserai donc mes réglages tels quels ((Pare-feu non surveillé, option (J'ai un pare-feu que je gère moi-même...) cochée ).

    J'ai effectivement Zone Alarm en bas à droite. Parfois, c'est un «Z», d'autre fois, c'est deux colonnes de lumières (rouges et vertes). Quand je clique dessus, le cadenas est toujours ouvert. Je t'avoue que je ne comprends pas très bien encore le fonctionnement de toutes les fonctions. Qu'arrive-t-il si je barre le cadenas : la connection internet ne marche pas?

    En passant, combien de temps les infos de notre forum (et Dieu sait qu'il y en a eu des messages entre nous!lol) restent-ils sur le site? Y'a-t-il des renseignements qu'il faudrait enlever (rapport hijackthis ou Smitfraudfix) à cause des renseignements personnels?

    Vive Lyon, Vive la neige ...

    C'est sûr que je te paie une bière si tu viens dans mon coin de pays,

    Bill
    1. Lyonnais92 Contributeur sécurité
      Re,

      Bitdefender est un éditeur de logiciels de sécurité. les dernières versions payantes intègre un parefeu.

      Le parefeu Windows n'a pas de nom. On dit "le parefeu Windows".

      La tempête, c'est au Canada ?

      Ici, pas terrible. Mais la neige, rare, même en février.

      Pour ZA, tu dois le voir dans la barre des tâches en bas à droite.

      Tu peux avoir le cadenas (connection Internet verrouillée), ZA (pas de trafic) ou les 2 colonnes verte et rouge quand il y a du trafic.
      1. jamaz2007
        Si je résume, je peux 1) laisser la configuration telle quelle est présentement (Pare-feu non surveillé, option (J'ai un pare-feu que je gère moi-même...) cochée ;
        2) DÉCOCHEZ l'option «J'ai un pare-feu que je gère moi-même...» et choisir de DéSACTIVER à la place le pare-feu windows.

        Dans les deux cas : mon ordi est bien protégé! Si non, laissez-moi savoir la meilleure protection!

        En passant, Bitdefender est le nom du pare-feu windows?

        J'espère qu'il fait beau chez vous : ici, tempête... 35 cm de neige!!!

        Merci pour tout, you're the Best!

        b
        1. Lyonnais92 Contributeur sécurité
          Bonsoir,

          alors, tu peux rester comme ça.

          J'ai trouvé ceci :

          Microsoft.WindowsSecuritycenter.FirewallOverride.1élément

          Cela signifie plus précisément que vous avez décidez de soustraire le firewall de la surveillance du Security Center de Windows.

          Donc, vous n'avez qu'à DÉCOCHEZ l'option "j'utilise ma propre solution pare-feu... et choisir de DéSACTIVER à la place le pare-feu windows.

          Car si ce pare-feu est désactivé et que le pare-feu de bitdefender est activé,
          il ne devrait plus produire ce message:
          -Microsoft.WindowsSecuritycenter.FirewallOverride.1élément

          Dans ton cas, c'est ZA qui est activé et non le parefeu de BitDefender.

          Donc tu peux aussi choisir cette configuration.

          Pour Hijackthis, c'est indifférent.
          2. jamaz2007
            Il semble que mon dernier mail ne soit pas arrivé à toi. Je vais essayer de reprendre.

            1. J'ai supprimé Smitfraudfix. 2. J'espère aussi que j'ai un pare-feu! lol 3. Voici les indication lorsque j'accède à mon pare-feu à dans mon panneau de configuration : Pare-feu non surveillé... lorsque je clique sur «Recommandantions», il est coché que «J'ai une solution pare-feu que je gère moi-même...». J'imagine que tout est ok!

            En terminant, si je comprends bien, je ne dois pas m'inquiéter de voir le message «WindowsSecurityCenter.FirewallOverride» à la fin d'un balayage avec spybot. La dernière fois, je n'ai pas cliqué sur «régler le problème» parce que je pense que c'est à ce moment-là qu'il y a comme un conflit entre le pare-feu windows et zone alarm.

            merci mon cher Lyonnais, bill

            ps : dois-je garde Hijack This sur mon ordi ou peu importe?
            1. Lyonnais92 Contributeur sécurité
              Bonsoir,

              supprime SmitfraudFix.

              Bon surf.

              J'espère que tu as bien un parefeu.
              1. jamaz2007
                Merci pour ta précieuse aide. Pour la restauration système, je suis allé dans le menu demarrer, poste de travail (bouton de droite), propriété, etc. : tout semble correct (rien n'est coché : «Désactiver la restauration du sytème sur tous les lecteurs» n'est pas coché. Les paramètres de mon lecteur C et E sont : sous surveillance.

                PS : Juste en passant, c'est maintenant moins long avant que je puisse embarquer sur le net lorsque je démarre mon ordinateur. Avant, à cause de Zone Alarm, je devais attendre quelques minutes.

                Pour le reste, tout semble sous contrôle.
                1. Lyonnais92 Contributeur sécurité
                  Re,

                  bon, effectivement rien (mais je voulais vérifier que toute les adresses IP étaient légitimes, si ce n'avait pas été le cas, SmitfraudFix aurait tilté).

                  On en revient à ta restauration système.

                  Tu as vérifié qu'elle est activée ? (post 26)
                  1. jamaz2007
                    Salut mon vieux. Bon, j'ai trouvé un site pour smitfraudfix que j'ai exécuté (je ne l'ai pas enregistré). Je ne sais pas si la version est correcte. Anyway, voici le rapport :

                    SmitFraudFix v2.257

                    Rapport fait à 11:07:34,90, 2007-12-03
                    Executé à partir de C:\Documents and Settings....
                    OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
                    Le type du système de fichiers est NTFS
                    Fix executé en mode normal

                    »»»»»»»»»»»»»»»»»»»»»»»» Process

                    C:\WINDOWS\System32\smss.exe
                    C:\WINDOWS\system32\winlogon.exe
                    C:\WINDOWS\system32\services.exe
                    C:\WINDOWS\system32\lsass.exe
                    C:\WINDOWS\system32\svchost.exe
                    C:\WINDOWS\System32\svchost.exe
                    C:\WINDOWS\system32\ZoneLabs\vsmon.exe
                    C:\WINDOWS\Explorer.EXE
                    C:\WINDOWS\system32\spoolsv.exe
                    C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
                    C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
                    C:\WINDOWS\system32\bgsvcgen.exe
                    C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
                    C:\Program Files\Spyware Doctor\svcntaux.exe
                    C:\WINDOWS\system32\svchost.exe
                    C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
                    C:\Program Files\Analog Devices\Core\smax4pnp.exe
                    C:\Program Files\SanDisk\Sansa Updater\SansaDispatch.exe
                    C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
                    C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
                    C:\WINDOWS\system32\ctfmon.exe
                    C:\Program Files\Zone Labs\ZoneAlarm\MailFrontier\mantispm.exe
                    C:\Program Files\Internet Explorer\IEXPLORE.EXE
                    C:\Program Files\MSN Messenger\msnmsgr.exe
                    C:\Program Files\MSN Messenger\usnsvc.exe
                    C:\Program Files\Internet Explorer\IEXPLORE.EXE
                    C:\Program Files\Windows Media Player\wmplayer.exe
                    C:\WINDOWS\system32\cmd.exe

                    »»»»»»»»»»»»»»»»»»»»»»»» hosts

                    »»»»»»»»»»»»»»»»»»»»»»»» C:\

                    »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

                    »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

                    »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

                    »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

                    »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles

                    »»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Michel

                    »»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Michel\Application Data

                    »»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

                    »»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\Michel\Favoris

                    »»»»»»»»»»»»»»»»»»»»»»»» Bureau

                    »»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

                    »»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

                    »»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

                    »»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
                    !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

                    SrchSTS.exe by S!Ri
                    Search SharedTaskScheduler's .dll

                    »»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
                    !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

                    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
                    "AppInit_DLLs"=""

                    »»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
                    !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

                    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
                    "system"=""

                    »»»»»»»»»»»»»»»»»»»»»»»» Rustock

                    »»»»»»»»»»»»»»»»»»»»»»»» DNS

                    Description: WAN (PPP/SLIP) Interface
                    DNS Server Search Order: 216.254.141.13
                    DNS Server Search Order: 209.90.160.220

                    Description: Broadcom NetXtreme 57xx Gigabit Controller - Miniport d'ordonnancement de paquets
                    DNS Server Search Order: 208.67.220.220
                    DNS Server Search Order: 208.67.222.222

                    HKLM\SYSTEM\CCS\Services\Tcpip\..\{2592DAE9-7149-4107-801B-004AB3254035}: NameServer=216.254.141.13 209.90.160.220
                    HKLM\SYSTEM\CCS\Services\Tcpip\..\{391BDDFC-D61B-45A8-835D-35AC2B7C20AA}: DhcpNameServer=208.67.220.220,208.67.222.222
                    HKLM\SYSTEM\CCS\Services\Tcpip\..\{4307F31A-1864-4F55-A8B7-849FF6C8E257}: DhcpNameServer=208.67.220.220,208.67.222.222
                    HKLM\SYSTEM\CCS\Services\Tcpip\..\{4307F31A-1864-4F55-A8B7-849FF6C8E257}: NameServer=208.67.220.220,208.67.222.222
                    HKLM\SYSTEM\CCS\Services\Tcpip\..\{79D4A77C-24E5-44F8-A37D-77C52AA1BF75}: NameServer=208.67.220.220,208.67.222.222
                    HKLM\SYSTEM\CS1\Services\Tcpip\..\{2592DAE9-7149-4107-801B-004AB3254035}: NameServer=216.254.141.13 209.90.160.220
                    HKLM\SYSTEM\CS1\Services\Tcpip\..\{391BDDFC-D61B-45A8-835D-35AC2B7C20AA}: DhcpNameServer=208.67.220.220,208.67.222.222
                    HKLM\SYSTEM\CS1\Services\Tcpip\..\{4307F31A-1864-4F55-A8B7-849FF6C8E257}: DhcpNameServer=208.67.220.220,208.67.222.222
                    HKLM\SYSTEM\CS1\Services\Tcpip\..\{4307F31A-1864-4F55-A8B7-849FF6C8E257}: NameServer=208.67.220.220,208.67.222.222
                    HKLM\SYSTEM\CS1\Services\Tcpip\..\{79D4A77C-24E5-44F8-A37D-77C52AA1BF75}: NameServer=208.67.220.220,208.67.222.222
                    HKLM\SYSTEM\CS2\Services\Tcpip\..\{391BDDFC-D61B-45A8-835D-35AC2B7C20AA}: DhcpNameServer=208.67.220.220,208.67.222.222
                    HKLM\SYSTEM\CS2\Services\Tcpip\..\{4307F31A-1864-4F55-A8B7-849FF6C8E257}: DhcpNameServer=208.67.220.220,208.67.222.222
                    HKLM\SYSTEM\CS2\Services\Tcpip\..\{4307F31A-1864-4F55-A8B7-849FF6C8E257}: NameServer=208.67.220.220,208.67.222.222
                    HKLM\SYSTEM\CS2\Services\Tcpip\..\{79D4A77C-24E5-44F8-A37D-77C52AA1BF75}: NameServer=208.67.220.220,208.67.222.222
                    HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: NameServer=208.67.220.220,208.67.222.222
                    HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: NameServer=208.67.220.220,208.67.222.222
                    HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: NameServer=208.67.220.220,208.67.222.222

                    »»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

                    »»»»»»»»»»»»»»»»»»»»»»»» Fin
                    1. jamaz2007
                      Là, tu viens de me perdre. Que veux-tu dire exactement? Jusqu'à maintenant, je suis allé sur ton premier lien (http://siri.urz.free.fr/Fix/SmitfraudFix.php) : Niet! Ensuite, sur http://siri.urz.free.fr/ et j'ai cliqué sur les deux liens smitfraudfix : Niet!!!! Or donc, que dois-je entendre par site miroir?
                      2. jamaz2007
                        J'ai réussi, sans faire de changement des mes options internet, à aller sur le site «http://siri.urz.free.fr/». Ensuite, en cliquant sur le lien «smitfraudfix», je me suis encore retrouvé avec une page qui refuse de s'ouvrir. Par la suite, j'ai suivi tes instructions (outils, options internet, etc.) et on refuse cette adresse parce qu'elle n'a pas de «s» au début : http au lieu de htpps.

                        On va finir par l'avoir...

                        bill
                        1. Lyonnais92 Contributeur sécurité
                          Bonjour,

                          j'ai ZA aussi et je n'ai aps de rpoblème de téléchargement de SmitfrauFix.

                          Sous IE, outils, optiosn internet, sécurité, sistes de confiance, site.

                          Ajoute http://siri.urz.free.fr et recommence

                          Tu l'enlèveras à la fin de la désinfection.
                          1. jamaz2007
                            J'ai supprimé ma version de smitfraudfix. Quant à ton lien, il ne marche pas. Je pense que mon pare-feu n'accepte pas l'adresse : j'ai eu un message de bloquage quand j'ai essayé de l'ouvrir (mais je n'avais pas l'option d'accepter ou non).
                            1. Lyonnais92 Contributeur sécurité
                              Bonjour,

                              le lien fonctionne (mais le serveur peut être chargé à un nstant donné).

                              Suprime ta version (on en est à la 257 ) et recommence
                              1. jamaz2007
                                Ton lien ne fonctionne pas. Cependant, j'ai encore un dossier smithfraudfix. Tu me diras si je suis un bon élève : j'ai cliqué sur «SmitfraudFix, Script de commande windows NT», et j'ai obtenu le rapport suivant :

                                SmitFraudFix v2.240

                                Rapport fait à 20:33:16,93, 2007-12-02
                                Executé à partir de C:\Documents and Settings\Michel\Mes documents\… voir\SmitfraudFix
                                OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
                                Le type du système de fichiers est NTFS
                                Fix executé en mode normal

                                »»»»»»»»»»»»»»»»»»»»»»»» Process

                                C:\WINDOWS\System32\smss.exe
                                C:\WINDOWS\system32\winlogon.exe
                                C:\WINDOWS\system32\services.exe
                                C:\WINDOWS\system32\lsass.exe
                                C:\WINDOWS\system32\svchost.exe
                                C:\WINDOWS\System32\svchost.exe
                                C:\WINDOWS\system32\ZoneLabs\vsmon.exe
                                C:\WINDOWS\Explorer.EXE
                                C:\WINDOWS\system32\spoolsv.exe
                                C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
                                C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
                                C:\WINDOWS\system32\bgsvcgen.exe
                                C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
                                C:\Program Files\Spyware Doctor\svcntaux.exe
                                C:\WINDOWS\system32\svchost.exe
                                C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
                                C:\Program Files\Analog Devices\Core\smax4pnp.exe
                                C:\Program Files\SanDisk\Sansa Updater\SansaDispatch.exe
                                C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
                                C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
                                C:\WINDOWS\system32\ctfmon.exe
                                C:\Program Files\Zone Labs\ZoneAlarm\MailFrontier\mantispm.exe
                                C:\Program Files\Internet Explorer\IEXPLORE.EXE
                                C:\Program Files\MSN Messenger\msnmsgr.exe
                                C:\WINDOWS\system32\cmd.exe

                                »»»»»»»»»»»»»»»»»»»»»»»» hosts

                                »»»»»»»»»»»»»»»»»»»»»»»» C:\

                                »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

                                »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

                                »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

                                »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

                                »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles

                                »»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Michel

                                »»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Michel\Application Data

                                »»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

                                »»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\Michel\Favoris

                                »»»»»»»»»»»»»»»»»»»»»»»» Bureau

                                »»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

                                »»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

                                »»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

                                »»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
                                !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

                                SrchSTS.exe by S!Ri
                                Search SharedTaskScheduler's .dll

                                »»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
                                !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

                                [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
                                "AppInit_DLLs"=""

                                »»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
                                !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

                                [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
                                "system"=""

                                »»»»»»»»»»»»»»»»»»»»»»»» Rustock

                                »»»»»»»»»»»»»»»»»»»»»»»» DNS

                                Description: WAN (PPP/SLIP) Interface
                                DNS Server Search Order: 216.254.141.13
                                DNS Server Search Order: 209.90.160.220

                                Description: Broadcom NetXtreme 57xx Gigabit Controller - Miniport d'ordonnancement de paquets
                                DNS Server Search Order: 208.67.220.220
                                DNS Server Search Order: 208.67.222.222

                                HKLM\SYSTEM\CCS\Services\Tcpip\..\{2592DAE9-7149-4107-801B-004AB3254035}: NameServer=216.254.141.13 209.90.160.220
                                HKLM\SYSTEM\CCS\Services\Tcpip\..\{391BDDFC-D61B-45A8-835D-35AC2B7C20AA}: DhcpNameServer=208.67.220.220,208.67.222.222
                                HKLM\SYSTEM\CCS\Services\Tcpip\..\{4307F31A-1864-4F55-A8B7-849FF6C8E257}: DhcpNameServer=208.67.220.220,208.67.222.222
                                HKLM\SYSTEM\CCS\Services\Tcpip\..\{4307F31A-1864-4F55-A8B7-849FF6C8E257}: NameServer=208.67.220.220,208.67.222.222
                                HKLM\SYSTEM\CCS\Services\Tcpip\..\{79D4A77C-24E5-44F8-A37D-77C52AA1BF75}: NameServer=208.67.220.220,208.67.222.222
                                HKLM\SYSTEM\CS1\Services\Tcpip\..\{2592DAE9-7149-4107-801B-004AB3254035}: NameServer=216.254.141.13 209.90.160.220
                                HKLM\SYSTEM\CS1\Services\Tcpip\..\{391BDDFC-D61B-45A8-835D-35AC2B7C20AA}: DhcpNameServer=208.67.220.220,208.67.222.222
                                HKLM\SYSTEM\CS1\Services\Tcpip\..\{4307F31A-1864-4F55-A8B7-849FF6C8E257}: DhcpNameServer=208.67.220.220,208.67.222.222
                                HKLM\SYSTEM\CS1\Services\Tcpip\..\{4307F31A-1864-4F55-A8B7-849FF6C8E257}: NameServer=208.67.220.220,208.67.222.222
                                HKLM\SYSTEM\CS1\Services\Tcpip\..\{79D4A77C-24E5-44F8-A37D-77C52AA1BF75}: NameServer=208.67.220.220,208.67.222.222
                                HKLM\SYSTEM\CS2\Services\Tcpip\..\{391BDDFC-D61B-45A8-835D-35AC2B7C20AA}: DhcpNameServer=208.67.220.220,208.67.222.222
                                HKLM\SYSTEM\CS2\Services\Tcpip\..\{4307F31A-1864-4F55-A8B7-849FF6C8E257}: DhcpNameServer=208.67.220.220,208.67.222.222
                                HKLM\SYSTEM\CS2\Services\Tcpip\..\{4307F31A-1864-4F55-A8B7-849FF6C8E257}: NameServer=208.67.220.220,208.67.222.222
                                HKLM\SYSTEM\CS2\Services\Tcpip\..\{79D4A77C-24E5-44F8-A37D-77C52AA1BF75}: NameServer=208.67.220.220,208.67.222.222
                                HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: NameServer=208.67.220.220,208.67.222.222
                                HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: NameServer=208.67.220.220,208.67.222.222
                                HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: NameServer=208.67.220.220,208.67.222.222

                                »»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

                                »»»»»»»»»»»»»»»»»»»»»»»» Fin
                                1. Lyonnais92 Contributeur sécurité
                                  Re,

                                  une vérif, probablement rien;

                                  Ouvre ce lien (merci a S!RI pour ce programme). http://siri.urz.free.fr/Fix/SmitfraudFix.php
                                  et télécharge SmitfraudFix.exe.

                                  Regarde le tuto
                                  Exécute le en choisissant l’option 1, il va générer un rapport
                                  Copie/colle le sur le poste stp.
                                  1. jamaz2007
                                    Voici mon rapport mon cher ami,

                                    Logfile of Trend Micro HijackThis v2.0.2
                                    Scan saved at 12:58:47, on 2007-12-02
                                    Platform: Windows XP SP2 (WinNT 5.01.2600)
                                    MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
                                    Boot mode: Normal

                                    Running processes:
                                    C:\WINDOWS\System32\smss.exe
                                    C:\WINDOWS\system32\winlogon.exe
                                    C:\WINDOWS\system32\services.exe
                                    C:\WINDOWS\system32\lsass.exe
                                    C:\WINDOWS\system32\svchost.exe
                                    C:\WINDOWS\System32\svchost.exe
                                    C:\WINDOWS\system32\ZoneLabs\vsmon.exe
                                    C:\WINDOWS\Explorer.EXE
                                    C:\WINDOWS\system32\spoolsv.exe
                                    C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
                                    C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
                                    C:\WINDOWS\system32\bgsvcgen.exe
                                    C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
                                    C:\Program Files\Spyware Doctor\svcntaux.exe
                                    C:\WINDOWS\system32\svchost.exe
                                    C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
                                    C:\Program Files\Analog Devices\Core\smax4pnp.exe
                                    C:\Program Files\SanDisk\Sansa Updater\SansaDispatch.exe
                                    C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
                                    C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
                                    C:\WINDOWS\system32\ctfmon.exe
                                    C:\Program Files\Zone Labs\ZoneAlarm\MailFrontier\mantispm.exe
                                    C:\Program Files\MSN Messenger\msnmsgr.exe
                                    C:\Program Files\MSN Messenger\usnsvc.exe
                                    C:\Program Files\Internet Explorer\iexplore.exe
                                    C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexingService.exe
                                    C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

                                    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://ici.radio-canada.ca/
                                    R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
                                    O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
                                    O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
                                    O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
                                    O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
                                    O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
                                    O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe
                                    O4 - HKLM\..\Run: [SansaDispatch] C:\Program Files\SanDisk\Sansa Updater\SansaDispatch.exe
                                    O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Fichiers communs\Ahead\Lib\NeroCheck.exe
                                    O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
                                    O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
                                    O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
                                    O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
                                    O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
                                    O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
                                    O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
                                    O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
                                    O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
                                    O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
                                    O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
                                    O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
                                    O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
                                    O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
                                    O17 - HKLM\System\CCS\Services\Tcpip\..\{2592DAE9-7149-4107-801B-004AB3254035}: NameServer = 216.254.141.13 209.90.160.220
                                    O17 - HKLM\System\CCS\Services\Tcpip\..\{4307F31A-1864-4F55-A8B7-849FF6C8E257}: NameServer = 208.67.220.220,208.67.222.222
                                    O17 - HKLM\System\CCS\Services\Tcpip\..\{79D4A77C-24E5-44F8-A37D-77C52AA1BF75}: NameServer = 208.67.220.220,208.67.222.222
                                    O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 208.67.220.220,208.67.222.222
                                    O17 - HKLM\System\CS1\Services\Tcpip\..\{2592DAE9-7149-4107-801B-004AB3254035}: NameServer = 216.254.141.13 209.90.160.220
                                    O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 208.67.220.220,208.67.222.222
                                    O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 208.67.220.220,208.67.222.222
                                    O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
                                    O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
                                    O23 - Service: B's Recorder GOLD Library General Service (bgsvcgen) - B.H.A Corporation - C:\WINDOWS\system32\bgsvcgen.exe
                                    O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
                                    O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
                                    O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexingService.exe
                                    O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\svcntaux.exe
                                    O23 - Service: PC Tools Security Service (sdCoreService) - Unknown owner - C:\Program Files\Spyware Doctor\swdsvc.exe (file missing)
                                    O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
                                    1. Lyonnais92 Contributeur sécurité
                                      Re,

                                      ce n'est pas ZA qui t'empêche de faire une restauration.

                                      vérifie qu'elle est activée :

                                      la procédure Symantec
                                      Dans la barre des tâches de Windows, cliquez sur Démarrer.
                                      2 Cliquez avec le bouton droit de la souris sur Poste de travail puis cliquez sur Propriétés.
                                      3 Dans l'onglet Restauration du système, désélectionnez Désactiver la Restauration du système ou Désactiver la Restauration du système sur tous les lecteurs.
                                      Si vous ne voyez pas l'onglet Restauration du système, vous n’êtes pas connecté sous Windows comme Administrateur.
                                      4 Cliquez sur Appliquer.
                                      5 Lorsque le message de confirmation apparaît, cliquez sur Ou                                      i.

                                      Mets un log Hijackthis que l'on voit ce qui se passe.
                                      1. jamaz2007
                                        Content d'avoir de tes nouvelles... même si ça veut généralement dire que j'ai un quelconque problème. Bon, je viens de faire un scan avec spybot. Le message : WindowsSecurityCenter.FirewallOverride. J'ai cliqué sur corriger le problème. Je suis ensuite allé voir le pare-feu sur mon panneau de configuration. 1. Le pare-feu est ACTIVÉ ; 2. En cliquant sur «Recommandations», une fenêtre apparaît indiquant :
                                        «Vous avez un pare-feu que Windows peut contrôler. Désélectionnez la case à cocher ci-dessous si vous souhaitez que windows contrôle le statut de votre pare-feu.»

                                        Plus bas, il y a, coché, la remarque suivante :

                                        «J'ai une solution pare-feu que je gère moi-même. Remarque : Windows ne peut pas vérifier le statut de votre pare-feu et ne vous enverra pas d'alertes si votre pare-feu est désactivé.»

                                        Or donc, est-ce que tout semble correct? Ai-je bien fait les choses, bon élève que je suis! lol Se peut-il que le message de spybot (WindowsSecurityCenter.FirewallOverride) soit dû au fait que les deux pare-feu étaient en opération en même temps? Que de questions mon cher Maître Yoda!! En terminant, est-ce Zone Alarm qui m'empêche de faire une restauration?

                                        merci, Bill ou Obiwan

                                        7+9-8 =
                                        • 1
                                        • 2
                                        • 3