Help !

Question

Bonjour tout le monde,

Les spyware ont encore envahi mon ordi sous Windows XP.

Habitué, j'ai tout ratissé au Spybot, Ad Aware, Hijack et Shredder et ca a beaucoup amélioré les choses.

Malgré tout, il reste dans le log Hijack quelques lignes impossibles à "fixer".

Les voilà :
O2 - BHO: IE Update Class - {5B4AB8E2-6DC5-477A-B637-BF3C1A2E5993} - C:\WINDOWS\isrvs\sysupd.dll
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [Desktop Search] C:\WINDOWS\isrvs\desktop.exe
O4 - HKLM\..\Run: [ffis] C:\WINDOWS\isrvs\ffisearch.exe
O4 - HKLM\..\Run: [kalvsys] C:\windows\system32\kalvwrd32.exe
O9 - Extra 'Tools' menuitem: Console Java (Sun) (HKLM)
O15 - Trusted Zone: *.finefind.nettraffic2cash.biz

Comment puis-je me débarrasser de ces saloperies ?

Merci beaucoup

Fisherprice · Answer

Salut!

la moitié c'est pas des spyware...
normale que tu n'arrive pas a les fixer... ^^

@+
____________________________________________________________
~-[=====> "L'amour est un égoïsme à deux..." <=====]-~

moe · Answer

salut flvMet ton log en entier sinon ca va etre difficile de te voir tout ce qu'il faut supprimer.a+

FLV · Answer

Merci Moe ! :-)Le voilà : Logfile of HijackThis v1.97.7Scan saved at 11:15:34, on 05/02/2005Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\System32\CTsvcCDA.EXEC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\ZoneLabs\vsmon.exeC:\WINDOWS\Explorer.EXEC:\Program Files\Zone Labs\ZoneAlarm\zlclient.exeC:\WINDOWS\System32\P2P Networking\P2P Networking.exeC:\WINDOWS\isrvs\desktop.exeC:\Program Files\Wanadoo\EspaceWanadoo.exeC:\Program Files\Wanadoo\ComComp.exeC:\Program Files\Wanadoo\Watch.exeC:\Documents and Settings\François\Bureau\HijackThis.exeC:\WINDOWS\isrvs\desktop.exeC:\Program Files\Internet Explorer\iexplore.exeO2 - BHO: IE Update Class - {5B4AB8E2-6DC5-477A-B637-BF3C1A2E5993} - C:\WINDOWS\isrvs\sysupd.dllO4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exeO4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTARTO4 - HKLM\..\Run: [Desktop Search] C:\WINDOWS\isrvs\desktop.exeO4 - HKLM\..\Run: [ffis] C:\WINDOWS\isrvs\ffisearch.exeO4 - HKLM\..\Run: [kalvsys] C:\windows\system32\kalvwrd32.exeO9 - Extra 'Tools' menuitem: Console Java (Sun) (HKLM)O15 - Trusted Zone: *.finefind.nettraffic2cash.bizIndices : -Le fichier "isrvs " est bien un intrus : j'ai vérifié son contenu  sous mon c/ et il  refuse déséspéremment d'aller à la poubelle.-J'ai toujours une barre de recherche "search the web" sur mon bureau !

moe · Answer

retelecharge la nouvelle version 1.99 d'hijackthis ici (plus complete):http://telechargement.zebulon.fr/138-HijackThis-1.99.htmlet reposte un log .

moe · Answer

Salut

Démarre en mode sans echec:
redemarrer l'ordinateur et appuyer plusieurs fois sur F8

Termine les processus douteux:
Ouvrir le gestionnaire des taches: CTRL+ALT+SUPPR
Clic-droit sur le processus et choisir terminer le processus.
Termine:

C:\WINDOWS\System32\P2P Networking\P2P Networking.exe
C:\WINDOWS\isrvs\desktop.exe

Fixe avec hijackthis:
cocher au début de chaques lignes valider avec fix checked

R3 - Default URLSearchHook is missing
O2 - BHO: IE Update Class - {5B4AB8E2-6DC5-477A-B637-BF3C1A2E5993} - C:\WINDOWS\isrvs\sysupd.dll
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [Desktop Search] C:\WINDOWS\isrvs\desktop.exe
O4 - HKLM\..\Run: [ffis] C:\WINDOWS\isrvs\ffisearch.exe
O4 - HKLM\..\Run: [kalvsys] C:\windows\system32\kalvwrd32.exe
O15 - Trusted Zone: *.finefind.nettraffic2cash.biz
O15 - Trusted IP range: 206.161.125.149
O15 - Trusted IP range: 206.161.125.149 (HKLM)
O18 - Filter: text/html - {950238FB-C706-4791-8674-4D429F85897E} - (no file)
O23 - Service: Network Security Service - Unknown - C:\WINDOWS\system32\ipyd.exe

Avant de supprimer les fichiers douteux:

- Afficher les dossiers cachés et fichiers système:
panneau de configuration > options des dossiers > onglet affichage

cocher " afficher les fichiers et dossiers cachés "
décocher " masquer les extentions des fichiers dont le type est

connu
décocher " masquer les fichiers protégés du système"

clic sur demarrer>rechercher dans les options avancées, vérifier que:
rechercher dans les dossiers systeme,
dans les fichiers et dossiers cachés,
dans les sous-dossiers
soient cochés.

Supprimer (si présent):

C:\WINDOWS\System32\P2P Networking <= dossier en entier
C:\WINDOWS\isrvs <= dossier entier
C:\windows\system32\kalvwrd32.exe
C:\WINDOWS\system32\ipyd.exe

Redemarrer et refaire un scan hijack pour vérifier si tout et ok
recocher " masquer les fichiers protégés du système" dans les options des dossiers.

a+

FLV · Answer

OK, j'essaie tout ca et je te tiens au courant sur ce forum.Merci, pour tout moe !

FLV · Answer

hello moe,Voici le dernier log depuis que j'ai effectué les manip que tu m'as préconisées : Logfile of HijackThis v1.99.0Scan saved at 13:19:23, on 05/02/2005Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\System32\CTsvcCDA.EXEC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\ZoneLabs\vsmon.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\System32\wuauclt.exeC:\Program Files\Zone Labs\ZoneAlarm\zlclient.exeC:\WINDOWS\System32	askmgr.exeC:\Documents and Settings\François\Bureau\HijackThis.exeO2 - BHO: &EliteBar - {28CAEFF3-0F18-4036-B504-51D73BD81ABC} - C:\WINDOWS\EliteToolBar\EliteToolBar version 59.dllO2 - BHO: IE Update Class - {5B4AB8E2-6DC5-477A-B637-BF3C1A2E5993} - C:\WINDOWS\isrvs\sysupd.dllO3 - Toolbar: &EliteBar - {825CF5BD-8862-4430-B771-0C15C5CA8DEF} - C:\WINDOWS\EliteToolBar\EliteToolBar version 59.dllO4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exeO4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"O4 - HKLM\..\Run: [Desktop Search] C:\WINDOWS\isrvs\desktop.exeO4 - HKLM\..\Run: [ffis] C:\WINDOWS\isrvs\ffisearch.exeO4 - HKLM\..\Run: [kalvsys] C:\windows\system32\kalvwrd32.exeO9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO15 - Trusted Zone: *.finefind.nettraffic2cash.bizO18 - Filter: text/html - {950238FB-C706-4791-8674-4D429F85897E} - (no file)O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.EXEO23 - Service: Service d'administration du Gestionnaire de disque logique - Unknown - C:\WINDOWS\System32\dmadmin.exeO23 - Service: Journal des événements - Unknown - C:\WINDOWS\system32\services.exeO23 - Service: Service COM de gravage de CD IMAPI - Unknown - C:\WINDOWS\System32\imapi.exeO23 - Service: Partage de Bureau à distance NetMeeting - Unknown - C:\WINDOWS\System32\mnmsrvc.exeO23 - Service: DDE réseau - Unknown - C:\WINDOWS\system32
etdde.exeO23 - Service: DSDM DDE réseau - Unknown - C:\WINDOWS\system32
etdde.exeO23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exeO23 - Service: PCTEL Speaker Phone - Unknown - C:\WINDOWS\system32\pctspk.exeO23 - Service: Plug-and-Play - Unknown - C:\WINDOWS\system32\services.exeO23 - Service: Gestionnaire de session d'aide sur le Bureau à distance - Unknown - C:\WINDOWS\system32\sessmgr.exeO23 - Service: Prise en charge des cartes à puces - Unknown - C:\WINDOWS\System32\SCardSvr.exeO23 - Service: Carte à puce - Unknown - C:\WINDOWS\System32\SCardSvr.exeO23 - Service: Journaux et alertes de performance - Unknown - C:\WINDOWS\system32\smlogsvc.exeO23 - Service: TrueVector Internet Monitor - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exeO23 - Service: Cliché instantané de volume - Unknown - C:\WINDOWS\System32\vssvc.exeO23 - Service: Carte de performance WMI - Unknown - C:\WINDOWS\System32\wbem\wmiapsrv.exeA NOTER : La barre "search the web" disparait bien une fois la manip des processus douteux réalisée. Elle réapparait cependant après un redémarrage.

Utilisateur anonyme · Answer

saluten mode sans echeccocher et fixer ces lignesO2 - BHO: &EliteBar - {28CAEFF3-0F18-4036-B504-51D73BD81ABC} - C:\WINDOWS\EliteToolBar\EliteToolBar version 59.dll 	O2 - BHO: IE Update Class - {5B4AB8E2-6DC5-477A-B637-BF3C1A2E5993} - C:\WINDOWS\isrvs\sysupd.dllO3 - Toolbar: &EliteBar - {825CF5BD-8862-4430-B771-0C15C5CA8DEF} - C:\WINDOWS\EliteToolBar\EliteToolBar version 59.dllO4 - HKLM\..\Run: [ffis] C:\WINDOWS\isrvs\ffisearch.exeO4 - HKLM\..\Run: [kalvsys] C:\windows\system32\kalvwrd32.exeO15 - Trusted Zone: *.finefind.nettraffic2cash.bizO18 - Filter: text/html - {950238FB-C706-4791-8674-4D429F85897E} - (no file) ensuite rechercher les exe et dll en gras et les supprimer.......

FLV · Answer

SI CA PEUT T'AIDER :

Tous les fichiers correspondants à cette merde de barre de tâche sont visibles sous mon C: mais imposs de les supprimer :

"impossible de supprimer desktop.exe : accès refusé
Vérifiez que le disque n'est pas plein ou protégé en écritue et que
le fichier n'est pas utilisé actuellement."

Teddy-Bear · Answer

Bonjourvire aussi ffisearch.exe   (iSearch "Desktop Search" hijacker)sur le lien suivant:http://tasklist.org/downloadscanner.php?id=1048962

FLV · Answer

Je dois être un boulet mais Keske le mode "Sans échec".
Peux-tu me décrire précisemment comment on l'active ?

Ca doit venir de là parce que sinon je fais bien tout ce que tu me conseilles mais il m'est impossible de supprimer les fichiers correspondants. Tjrs le même messsage d'erreur :

impossible de supprimer desktop.exe : accès refusé
Vérifiez que le disque n'est pas plein ou protégé en écritue et que
le fichier n'est pas utilisé actuellement."

Merci.

Utilisateur anonyme · Answer

Non tu n'es pas un boulet mais tu vas trop vite

Ajouté par moe (05/02/2005 à 12:52 GMT+1)

Salut

Démarre en mode sans echec:
redemarrer l'ordinateur et appuyer plusieurs fois sur F8

c'est pour cela que tu n'arrives pas a supprimer les fichiers .....
une fois fait reprends la procedure du post 10 ......

flv · Answer

Apuyyer sur F8 plusieurs fois OK mais à quel moment ?

Au redémarrage ?

Une fois le bureau affiché ?

Ke se passera-t-il une fois que j'aurais appuyé ?

On m'indiquera que je suis passé en mode "sans échec ?

Merci Moe

Utilisateur anonyme · Answer

presser F8 des l'allumage du pc/ il te sera proposé plusieurs sortes de demarrages/tu prend le mode sans echec avec les fleches haut_bas du clavier /et tu valides par "entrée".....et tu y es....

flv · Answer

J'appuie sur F8 juste après avoir appuyé sur le bouton d'allumage du PC mais rien de ce que tu me dis ne se produit.Y-a-t -il une autre soluce pour passer en mode "sans échec "?

moe · Answer

salut

essaye comme ceci:

Cliquez sur Démarrer, puis sur Exécuter
tapez msconfig puis cliquez sur OK
choisis l'onglet boot.ini
Sélectionnez l'option "/SAFEBOOT"
repond oui a tout les messages
une boite de dialogue va te demander si tu veux redemarrer.
une fois les manips faites avec hijack tu refais demarrer executer, msconfig, onglet boot.ini et tu DECOCHE "/SAFEBOOT"

a+

Utilisateur anonyme · Answer

ou encore>>demarrer/executer/tapes msconfig/coches demarrer en mode diagnostic/valides /rebootes.....

flv · Answer

Autant pour moi :

La méthode du F8 fonctionne : j'ai réussi à supprimer les fichiers et la barre ne parait plus au démarrage.

Tout parait OK pour la partie visible et la circulation internet mais hijack signale toujours les mêmes merdes.

Je vais maintenant essayé de me débrouiller pour que le log n'affiche plus tous ces parasites.

MERCI A TOUS POUR VOTRE PRECIEUSE AIDE !!
C'EST VRAIMENT SUPER D'ACCORDER UN PEU DE VOTRE TEMPS LIBRE AUX NOOBS !!!

moe · Answer

reposte un log pour finir de nettoyer.

flv · Answer

Voilà le dernier log : (TOUT EST OK POURTANT AU NIVEAU DE MON PC ! )C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\System32\CTsvcCDA.EXEC:\WINDOWS\System32
vsvc32.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\ZoneLabs\vsmon.exeC:\WINDOWS\Explorer.EXEC:\Program Files\Zone Labs\ZoneAlarm\zlclient.exeC:\Program Files\Wanadoo\EspaceWanadoo.exeC:\Program Files\Wanadoo\ComComp.exeC:\Program Files\Wanadoo\Watch.exeC:\WINDOWS\System32\wuauclt.exeC:\Program Files\Outlook Express\msimn.exeC:\Program Files\Internet Explorer\iexplore.exeC:\Documents and Settings\François\Bureau\HijackThis.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wanadoo.fr/go/page_recherche/O2 - BHO: IE Update Class - {5B4AB8E2-6DC5-477A-B637-BF3C1A2E5993} - C:\WINDOWS\isrvs\sysupd.dll (file missing)O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exeO4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"O4 - HKLM\..\Run: [Desktop Search] C:\WINDOWS\isrvs\desktop.exeO4 - HKLM\..\Run: [ffis] C:\WINDOWS\isrvs\ffisearch.exeO4 - HKLM\..\Run: [kalvsys] C:\windows\system32\kalvwrd32.exeO9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dllO15 - Trusted Zone: *.finefind.nettraffic2cash.bizO17 - HKLM\System\CCS\Services\Tcpip\..\{BDD2C30E-309C-4ED7-AD8F-E230F71D3B40}: NameServer = 80.10.246.1 80.10.246.132O18 - Filter: text/html - {950238FB-C706-4791-8674-4D429F85897E} - (no file)O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.EXEO23 - Service: Service d'administration du Gestionnaire de disque logique - Unknown - C:\WINDOWS\System32\dmadmin.exeO23 - Service: Journal des événements - Unknown - C:\WINDOWS\system32\services.exeO23 - Service: Service COM de gravage de CD IMAPI - Unknown - C:\WINDOWS\System32\imapi.exeO23 - Service: Partage de Bureau à distance NetMeeting - Unknown - C:\WINDOWS\System32\mnmsrvc.exeO23 - Service: DDE réseau - Unknown - C:\WINDOWS\system32
etdde.exeO23 - Service: DSDM DDE réseau - Unknown - C:\WINDOWS\system32
etdde.exeO23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exeO23 - Service: PCTEL Speaker Phone - Unknown - C:\WINDOWS\system32\pctspk.exeO23 - Service: Plug-and-Play - Unknown - C:\WINDOWS\system32\services.exeO23 - Service: Gestionnaire de session d'aide sur le Bureau à distance - Unknown - C:\WINDOWS\system32\sessmgr.exeO23 - Service: Prise en charge des cartes à puces - Unknown - C:\WINDOWS\System32\SCardSvr.exeO23 - Service: Carte à puce - Unknown - C:\WINDOWS\System32\SCardSvr.exeO23 - Service: Journaux et alertes de performance - Unknown - C:\WINDOWS\system32\smlogsvc.exeO23 - Service: TrueVector Internet Monitor - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exeO23 - Service: Cliché instantané de volume - Unknown - C:\WINDOWS\System32\vssvc.exeO23 - Service: Carte de performance WMI - Unknown - C:\WINDOWS\System32\wbem\wmiapsrv.exe

Help !

23 réponses

Newsletters