Virus adware.binet et adware.ncase

re

rav n'a rien trouvé.

j'ai installé zone alarm, j'espère que je serai mieux protégée lorsqu'e-mule tourne.

à +

jopp

re

voila le résultat de rimouver

Taches effectués sur le PC :

Elément(s) supprimé(s) :
Fichier C:\WINDOWS\*.tmp supprimé (Fichiers Temporaire, peut cacher des virus)

Fichier(s) avec demande de suppression manuelle :
C:\WINDOWS\System32\Wins\

Correctif Microsoft KB824146 a été installé

je relance rav mais bridge.dll et belt.exe sont encore cochés dans ms config. j'ai redécoché.

à +

Jopp

salut jopp
retelecharge le rimouver il a les 2 dans ces donnees
pense a l appliquer en mode sans echec

alors action numero 1
telecharger ce fichier : a retelecharger chaque fois que vous vouler l utiliser
ftp://www.renonce.com/pub/renonce/RimouveXPFr.exe

Action numero 2 :o)
Demarrer en mode sans echec :
tapotter sur la touche F8 sans arret desque tu allume ton PC
et si ca ne marche pas utiliser la touche f5 a la place
Appliquer le fichier dans le mode sans echec
le PC redemarre a la fin si c'est pas le cas tu fais un reboot tu ne touche plus a F8 et le PC reviendra tout seul en mode normal sans les virus

Action numero 3
copier ici le contenu du fichier resulata.txt qui se trouve dans le dossier tmp que le fichier rimouveur.exe vas creer ...

action numero 4
un petit http://www.ravantivirus.com/scan/ si le Rimouveur ne trouve pas le virus :o)

Bonjour,

ça y est, c'est fait et je n'ai plus de virus trouvé par rav.

merci pour ton aide.

par contre, dans msconfig, onglet Démarrage, je dois décocher régulièrement bridge.dll et belt.exe qui se réactivent seuls. Y'a-t-il une manip pour les supprimer de msconfig lorsqu'ils ont été supprimés partout.

merci

bonne journée.

jopp

salut
pour les o2
tu relance hijacthis tu coche ces lignes et tu click sur fix
attebtion ne te trompe pas imprime les lignes pour etre sur de ne pas te tromper

re

toujours impossible d'appliquer RD /s, il me dit que le fichier est introuvable et j'ai pourtant tout respecté et retapé plusieurs fois...

en ce qui concerne les O2... à supprimer, je ne sais pas ou les trouver. Dans Regedit ???

merci

Jopp

salut
pour ca il ne faut pas mettre les guillemets et respecter les espaces
RD /s c:\windows\system32\config\systemprofile\local setting\ temporary internet files

supprime les lignes suivantes...
----------------------------------------------------------------------
O2 - BHO: (no name) - {000006B1-19B5-414A-849F-2A3C64AE6939} - (no file)
O2 - BHO: (no name) - {4E7BD74F-2B8D-469E-DFF7-EC6BF4D5FA7D} - C:\WINDOWS\gsim.dll
O2 - BHO: (no name) - {549B5CA7-4A86-11D7-A4DF-000874180BB3} - (no file)
O2 - BHO: (no name) - {71ED4FBA-4024-4bbe-91DC-9704C93F453E} - c:\progra~1\iesearchbar\iesearchbar.dll
O2 - BHO: (no name) - {83DE62E0-5805-11D8-9B25-00E04C60FAF2} - C:\WINDOWS\2_0_1browserhelper2.dll (file missing)
O2 - BHO: (no name) - {9C691A33-7DDA-4C2F-BE4C-C176083F35CF} - (no file)
O2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - (no file)
O3 - Toolbar: IE Search Bar - {71ED4FBA-4024-4bbe-91DC-9704C93F453E} - c:\progra~1\iesearchbar\iesearchbar.dll
------------------------------------------------------------------

télécharge spybot et nettoie ton pc avec...ici:
http://www.spybot-updates.com/files/spybotsd13rc3.exe

*** http://vil.nai.com/vil/stinger/ ***
*** http://www.ravantivirus.com/scan/ ***

salut,

merci pour l'analyse.

je n'arrive pas à effacer les fichiers temps sous dos, il me dit que le chemin d'accès est incorrect. j'ai essayé avec les espaces, sans les espaces... rien

(RD /s "c:\...)

peux-tu me la redonner ou la vérifier. merci

j'ai utilisé spykiller, qui m'a trouvé 35 entrées de spywares, dont beaucoup de 180 solutions (ncases), j'ai du les supprimer à la main, car le lien sur leur site est payant. mais ça ne fonctionne toujours pas.

je désespère. heureusement qu'il fait beau aujourd'hui, sinon, je me ferai bien une petite déprime ;-)

à +

Jopp

re
tu as le virus gaobot
desactive ta restauration
pour ca tu fait click droit sur poste de travail
propriete.tu click sur onglet restauration systeme
tu coche la case desactiver la restauration et applique

Clique sur Démarrer / Programmes / Accessoires / Invité de commandes. Tape la commande suivante :

RD /s "c:\windows\system32\config\systemprofile\local setting\ temporary internet files"

Effacer fichiers temps

tu click sur demarrer/panneaux de configuration/option internet
une fenetre s ouvre tu click sur supprime les fichiers
une nouvelle petite fenetre s ouvre tu coche effacer tous le contenu hors connection et click ok

ensuite turedemarre en mode sans echec et tu passe le rimouver
attention retelecharge le avant il a ete mis a jour

alors action numero 1
telecharger ce fichier : a retelecharger chaque fois que vous vouler l utiliser
ftp://www.renonce.com/pub/renonce/RimouveXPFr.exe

Action numero 2 :o)
Demarrer en mode sans echec :
tapotter sur la touche F8 sans arret desque tu allume ton PC
et si ca ne marche pas utiliser la touche f5 a la place
Appliquer le fichier dans le mode sans echec
le PC redemarre a la fin si c'est pas le cas tu fais un reboot tu ne touche plus a F8 et le PC reviendra tout seul en mode normal sans les virus

Action numero 3
copier ici le contenu du fichier resulata.txt qui se trouve dans le dossier tmp que le fichier rimouveur.exe vas creer ...

action numero 4
un petit http://www.ravantivirus.com/scan/ si le Rimouveur ne trouve pas le virus :o)

voici le résultat de hijackthis

Logfile of HijackThis v1.97.7
Scan saved at 14:14:30, on 23/04/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe
C:\Program Files\chello\ChelloMessenger.exe
C:\Program Files\chello\ChelloDesktop.exe
C:\Program Files\Logitech\Video\LogiTray.exe
C:\WINDOWS\System32\LVCOMSX.EXE
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Program Files\Logitech\MouseWare\system\em_exec.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\FotoStation Easy\FotoStation Easy AutoLaunch.exe
C:\Program Files\Nikon\NkView5\NkvMon.exe
C:\Program Files\Logitech\Video\FxSvr2.exe
C:\Program Files\eMule\emule.exe
C:\Program Files\Windows Media Player\wmplayer.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Jocelyne\Mes documents\Logiciels\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://if.searchcentrix.com/sidecat.jsp?p=98567&appid=21&id=1033542132452322
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.blazefind.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.laposte.net/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.fra.chello.fr/ssi/welcome/welcome.php?url=home&src=ie
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://if.searchcentrix.com/sidecat.jsp?p=98567&appid=21&id=1033542132452322
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fourni par chello broadband n.v.
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.blazefind.com
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy04.chello.fr:8080
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {000006B1-19B5-414A-849F-2A3C64AE6939} - (no file)
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {4E7BD74F-2B8D-469E-DFF7-EC6BF4D5FA7D} - C:\WINDOWS\gsim.dll
O2 - BHO: (no name) - {549B5CA7-4A86-11D7-A4DF-000874180BB3} - (no file)
O2 - BHO: (no name) - {71ED4FBA-4024-4bbe-91DC-9704C93F453E} - c:\progra~1\iesearchbar\iesearchbar.dll
O2 - BHO: (no name) - {83DE62E0-5805-11D8-9B25-00E04C60FAF2} - C:\WINDOWS\2_0_1browserhelper2.dll (file missing)
O2 - BHO: (no name) - {9C691A33-7DDA-4C2F-BE4C-C176083F35CF} - (no file)
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: IE Search Bar - {71ED4FBA-4024-4bbe-91DC-9704C93F453E} - c:\progra~1\iesearchbar\iesearchbar.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ChelloBackground] C:\Program Files\chello\ChelloMessenger.exe
O4 - HKLM\..\Run: [ChelloDesktop] C:\Program Files\chello\ChelloDesktop.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\System32\LVCOMSX.EXE
O4 - HKLM\..\Run: [ebkrkb] C:\WINDOWS\ebkrkb.exe
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [LDM] \Program\BackWeb-8876480.exe
O4 - Global Startup: FotoStation Easy AutoLaunch.lnk = ?
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O4 - Global Startup: NkvMon.exe.lnk = C:\Program Files\Nikon\NkView5\NkvMon.exe
O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Backward &Links - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Si&milar Pages - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: Recherche (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O14 - IERESET.INF: START_PAGE_URL=http://home.fra.chello.fr/ssi/welcome/welcome.php?url=home&src=ie
O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure/connexion/archives/ie4n4/teleir_cert.cab
O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://encyclo.voila.fr/JS/tdserver.cab
O16 - DPF: {8F48147B-78D9-40F9-ACC0-BDDE59B246F4} (AccountHelper Class) - http://register.tiscali.fr/configurateur/AccountHelper.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38049.9621296296
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab

merci pour tes conseils.

Jopp

re
utilise ce log et le copier coller ici
http://www.spywareinfo.com/~merijn/files/HijackThis.exe

merci.

j'ai passé regcleaner et je n'ai pas pu supprimer l'entrée de bridge, mais il ne tourne plus.

pour n-case, le message est celui que l'on peut lire à l'adresse ci-dessous au début :
http://www.pestpatrol.com/pestinfo/n/ncase.asp

merci de ton aide.

jopp

pour bridge pas necessaire mais si tu as regcleaner tu peut faire nettoyage de registre
pour n case
qu est ce que cela te dit exactement

ah, j'ai parlé trop vite pour n-case, il est toujours là...

jopp

Bonsoir,

je suis sous xp et la manip dans msconfig a fonctionné pour le fichier bridge.dll

faut-il toucher au regedit concernant ce fichier ou non ?

n-case ne réapparaît pas pour le moment non plus, mais ça reste à confirmer.

en tout cas, merci encore beaucoup.

Jopp

si tu as windows 2000 tu peux télécharger msconfig ici:
http://www.techadvice.cc/files/s29k2/w98/msconfig.exe

ça marche sous win 2000. procédure a suivre ci-dessous:

* Copy the file msconfig.exe from the c:\windows\system folder to the Windows 2000 c:\winnt\system32 folder.

* Click | Start | Run | and type msconfig on the text box and click the OK button to start MSCONFIG
* ignore the error messages you get about not finding the following files
o config.sys
o autoexec.bat
o win.ini
o system.ini
* Click the startup tab
* Check or Uncheck the check boxes of the programs you want to run or not run
---------------------------------------------------
ou bien tu peux utiliser ce programme:
http://www.mlin.net/files/StartupCPL.zip
voir ici:
http://www.mlin.net/StartupCPL.shtml

*** http://vil.nai.com/vil/stinger/ ***
*** http://www.ravantivirus.com/scan/ ***

salut
pur bridge dll
tu fait demarrer/executer tu tapes msconfig
tu vas sur l onglet demarrage et tu cherche si quelque chose est en rapport avec ca
si tu trouve tu decoche cet ligne ettu click sur appliquer
au prochain redemarrage une fenetre vas s ouvrir tu coche ne plus afficher ce message et ok
et regarde de meme pour l autre
j espere que tu est sur xp car la fonction msconfig n est pas avec windows 2000

Salut,

j'ai essayé tes conseils, mais la moitié des instructions données ne correspondent pas à mes propres fichiers dans Regedit ou autre.

pourtant, n-case est toujours actif, de même que ce foutu message de bridge.dll manquant qui existe dans Regedit.

quelqu'un a-t-il une procédure particulière à m'indiquer.

merci

Jopp

Bonjour,

ces deux messages étaient apparus avant les manips pour éradiqués les virus.

merci pour les conseils, mais je ne sais pas lire l'anglais, je n'arrive donc pas à faire les manips du site que tu me recommandes pour n-case.

existe-t-il quelquechose en français ?

merci encore

Jopp