problème icone registry cleaner Résolu

Question

Salut

J'ai fais quelques recherches sur le forum a propos de ce satané problème pour regitry cleaner et j'ai compris qu'il fallait que je fasse un post perso pour expliquer mon problème.
Comme les autres j'ai desinstalé registry cleaner mais il reste l'icone dans la barre de tache et impossible de l'enlever.
Merci d'avance pour votre aide

philae83 · Answer

Bonjour,

* Télécharge SmitfraudFix de S!Ri, balltrap34 et moe31

http://siri.urz.free.fr/Fix/SmitfraudFix.exe

* Installe le à la racine de C
 
* double clic sur l'exe pour le décompresser et lancer le fix.
Utilisation ----- option 1 - Recherche :
* Double clique sur smitfraudfix.cmd 
* Sélectionne 1 pour créer un rapport des fichiers responsables de l'infection.
* Poste le rapport ici
process.exe est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

----

rorodu22 · Answer

Ton lien ne marche pas ^^

philae83 · Answer

désolée, je viens encore de vérifier, mon lien fonctionne très bien pourtant

rorodu22 · Answer

Bon j'ai télécharger smitfraud fix. Je l'ai installé mais quand je clic sur smitfraudfix.cmd il y a une fenêtre qui s'ouvre pendant 1/4 de seconde et puis plus rien.
Que faire ?

philae83 · Answer

tu n'as pas eu de soucis avec ton antivirus, en général il n'aime pas smitfraud.
La fenêtre cmd doit rester ouverte en principe
Essaye de désactiver ton antivirus (déconnecte toi pendant ce temps là) et relance smitfraud

rorodu22 · Answer

Non même en désactivant  mon ativirus cela ne marche pas. Peut etre que je n'ai pas le bon fichier car je n'ai pa reussi a le télécharger a pertir de ton lien.

philae83 · Answer

mon lien fonctionne, si tu as été chercher ailleurs, c'est probable, d'où l'as tu pris ?
recommence avec mon lien, pourquoi ne fonctionnerait il pas chez toi, j'ai testé, je l'ai repris sans problème smitfraud

rorodu22 · Answer

Je sais pas c'est biazarre j'ai essayé de le telecharger a partir du site telecharger.com et dès que j'essaye de lançe le telechargement rebelotte page introuvable. La plupart des liens pour télécharger smitfraud ne marche pas.

philae83 · Answer

bon, on va faire autrement pour le moment

* Télécharge  HijackThis  et poste le rapport stp

http://pchelpbordeaux.free.fr/logiciels.html
Tutorial
http://pchelpbordeaux.free.fr/tuto.html
Démo en image
http://pageperso.aol.fr/balltrap34/demohijack.htm

rorodu22 · Answer

enfin un truc qui marche ça fair plaisir ^^
 alors voila le rapport:
Logfile of HijackThis v1.99.1
Scan saved at 20:35:22, on 17/03/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16414)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\F-SECU~1\backweb\2376288\Program\SERVIC~1.EXE
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fsgk32st.exe
C:\Program Files\F-Secure Anti-Virus\backweb\2376288\program\fsbwsys.exe
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\FSGK32.EXE
C:\WINDOWS\Explorer.EXE
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fssm32.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\F-Secure Anti-Virus\backweb\2376288\Program\BackWeb-2376288.exe
C:\Program Files\Virtual CD v4\System\vcdsecs.exe
C:\Program Files\F-Secure Anti-Virus\Common\FSMA32.EXE
C:\Program Files\F-Secure Anti-Virus\Common\FSMB32.EXE
C:\Program Files\F-Secure Anti-Virus\Common\FCH32.EXE
C:\Program Files\F-Secure Anti-Virus\Common\FAMEH32.EXE
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fsav32.exe
C:\WINDOWS\WcgopSvc.exe
C:\WINDOWS\gc.exe
C:\Program Files\ATI Technologies\ATI.ACE\CLI.EXE
C:\WINDOWS\system32	cpipmon.exe
C:\Program Files\F-Secure Anti-Virus\Common\FSM32.EXE
C:\WINDOWS\system32	cpipmon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Steam\Steam.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Microsoft Office\Office\WINWORD.EXE
C:\Program Files\Teamspeak2_RC2\TeamSpeak.exe
C:\Program Files\Hijackthis Version Française\hijackthis vf.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.orange.fr/portail
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.orange.fr/portail
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
R3 - URLSearchHook: (no name) - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {5BAF9DD0-8D43-4EA9-B85D-8B3EC3E1BDA1} - C:\WINDOWS\system32\ddcyv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: (no name) - {C0982322-2A6C-4022-92F1-C7CB9F86DCC8} - C:\WINDOWS\system32
nnljij.dll
O2 - BHO: CATLEvents Object - {CA5DDFAC-93D0-46B0-973E-D25832A0D119} - C:\DOCUME~1\Romain\LOCALS~1\Temp\cg.dat
O2 - BHO: (no name) - {D38439EC-4A7F-42b4-90C2-D810D7778FDD} - C:\WINDOWS\system32\kjjxappu.dll
O2 - BHO: (no name) - {E03C740E-BB24-4d3c-B92A-6F84DE1DD99C} - C:\WINDOWS\system32\bdblpwyn.dll
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\CLIStart.exe"
O4 - HKLM\..\Run: [2chkdsk] rundll32.exe "C:\WINDOWS\system32\ulqiqwfb.dll",setvm
O4 - HKLM\..\Run: [tcpipmon] tcpipmon.exe
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure Anti-Virus\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\F-Secure Anti-Virus\TNB\TNBUtil.exe" /CHECKALL
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\RunOnce: [*gc] C:\WINDOWS\gc.exe rerun
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin
pjpi150_02.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin
pjpi150_02.dll
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O15 - Trusted Zone: http://www.secuser.com
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: ddcyv - C:\WINDOWS\system32\ddcyv.dll
O20 - Winlogon Notify: gc - C:\DOCUME~1\Romain\LOCALS~1\Temp\cg.dat
O20 - Winlogon Notify: nnnljij - C:\WINDOWS\SYSTEM32
nnljij.dll
O20 - Winlogon Notify: rpcc - C:\WINDOWS\system32pcc.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: F-Secure Anti-Virus (BackWeb Client - 2376288) - Unknown owner - C:\PROGRA~1\F-SECU~1\backweb\2376288\Program\SERVIC~1.EXE
O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fsgk32st.exe
O23 - Service: F-Secure Authentication Agent (FSAA) - Unknown owner - C:\Program Files\F-Secure Anti-Virus\Common\FSAA.EXE (file missing)
O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\F-Secure Anti-Virus\backweb\2376288\program\fsbwsys.exe
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure Anti-Virus\Common\FSMA32.EXE
O23 - Service: Fswsclds - Unknown owner - (no file)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: License Management Service ESD - Unknown owner - C:\Program Files\Fichiers communs\element5 Shared\Service\Licence Manager ESD.exe
O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe (file missing)
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exe
O23 - Service: VCDSecS - H+H Software GmbH - C:\Program Files\Virtual CD v4\System\vcdsecs.exe

philae83 · Answer

enfin un truc qui marche ça fair plaisir ^^ 

normal avec l'infection, ca coince....

* Télécharge VundoFix.exe (par Atribune) sur ton Bureau

http://www.atribune.org/ccount/click.php?id=4

 * Double-clique VundoFix.exe afin de le lancer

* Clique sur le bouton Scan for Vundo

* Lorsque le scan est complété, clique sur le bouton Remove Vundo

* Une invite te demandera si tu veux supprimer les fichiers, clique YES

* Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers

* Tu verras une invite qui t'annonce que ton PC va redémarrer; clique OK

* Copie/colle le contenu du rapport situé dans C:\vundofix.txt ainsi qu'un nouveau rapport HijackThis dans ta prochaine réponse

 
Note: Il est possible que VundoFix soit confronté à un fichier qu'il ne peut supprimer. Si tel est le cas, l'outil se lancera au prochain redémarrage; il faut simplement suivre les instructions ci-haut, à partir de "clique sur le bouton Scan for Vundo".

rorodu22 · Answer

Ok je fais ça et je post les rapports merci

rorodu22 · Answer

Alors voila le rapport vundo fix:


VundoFix V6.3.16

Checking Java version...

Java version is 1.5.0.2
Old versions of java are exploitable and should be removed.

Scan started at 20:52:10 17/03/2007

Listing files found while scanning....

C:\DOCUME~1\Romain\LOCALS~1\Temp\cg.dat
C:\WINDOWS\system32\bdblpwyn.dll
C:\WINDOWS\system32\ddcyv.dll
C:\WINDOWS\system32\dhossqwm.dll
C:\WINDOWS\system32\gllwmxgq.exe
C:\WINDOWS\system32\khfffda.dll
C:\WINDOWS\system32\kjjxappu.dll
C:\WINDOWS\system32\ktjpowpv.dll
C:\WINDOWS\system32\lcqdmnsv.dll
C:\WINDOWS\system32\mwqssohd.ini
C:\WINDOWS\system32
nnljij.dll
C:\WINDOWS\system32
opvpnsg.dll
C:\WINDOWS\system32\pntbotpe.dll
C:\WINDOWS\system32	qxdongy.dll
C:\WINDOWS\system32\urmkpsaa.dll
C:\WINDOWS\system32\vycdd.bak1
C:\WINDOWS\system32\vycdd.bak2
C:\WINDOWS\system32\vycdd.ini
C:\WINDOWS\system32\xyqshlqy.exe
C:\WINDOWS\system32\ydvihsbc.dll

Beginning removal...

 Attempting to delete C:\DOCUME~1\Romain\LOCALS~1\Temp\cg.dat
C:\DOCUME~1\Romain\LOCALS~1\Temp\cg.dat Could not be deleted.

 Attempting to delete C:\WINDOWS\system32\bdblpwyn.dll
C:\WINDOWS\system32\bdblpwyn.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\ddcyv.dll
C:\WINDOWS\system32\ddcyv.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\dhossqwm.dll
C:\WINDOWS\system32\dhossqwm.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\gllwmxgq.exe
C:\WINDOWS\system32\gllwmxgq.exe Has been deleted!

 Attempting to delete C:\WINDOWS\system32\khfffda.dll
C:\WINDOWS\system32\khfffda.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\kjjxappu.dll
C:\WINDOWS\system32\kjjxappu.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\ktjpowpv.dll
C:\WINDOWS\system32\ktjpowpv.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\lcqdmnsv.dll
C:\WINDOWS\system32\lcqdmnsv.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\mwqssohd.ini
C:\WINDOWS\system32\mwqssohd.ini Has been deleted!

 Attempting to delete C:\WINDOWS\system32
nnljij.dll
C:\WINDOWS\system32
nnljij.dll Could not be deleted.

 Attempting to delete C:\WINDOWS\system32
opvpnsg.dll
C:\WINDOWS\system32
opvpnsg.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\pntbotpe.dll
C:\WINDOWS\system32\pntbotpe.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32	qxdongy.dll
C:\WINDOWS\system32	qxdongy.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\urmkpsaa.dll
C:\WINDOWS\system32\urmkpsaa.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\vycdd.bak1
C:\WINDOWS\system32\vycdd.bak1 Has been deleted!

 Attempting to delete C:\WINDOWS\system32\vycdd.bak2
C:\WINDOWS\system32\vycdd.bak2 Has been deleted!

 Attempting to delete C:\WINDOWS\system32\vycdd.ini
C:\WINDOWS\system32\vycdd.ini Has been deleted!

 Attempting to delete C:\WINDOWS\system32\xyqshlqy.exe
C:\WINDOWS\system32\xyqshlqy.exe Has been deleted!

 Attempting to delete C:\WINDOWS\system32\ydvihsbc.dll
C:\WINDOWS\system32\ydvihsbc.dll Has been deleted!

Performing Repairs to the registry.
Done!

Beginning removal...

 Attempting to delete C:\DOCUME~1\Romain\LOCALS~1\Temp\cg.dat
C:\DOCUME~1\Romain\LOCALS~1\Temp\cg.dat Could not be deleted.

 Attempting to delete C:\WINDOWS\system32
nnljij.dll
C:\WINDOWS\system32
nnljij.dll Has been deleted!

Performing Repairs to the registry.
Done!

Beginning removal...

rorodu22 · Answer

voila de nouvo l'autre rapport:

Logfile of HijackThis v1.99.1
Scan saved at 21:20:22, on 17/03/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16414)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\F-SECU~1\backweb\2376288\Program\SERVIC~1.EXE
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fsgk32st.exe
C:\Program Files\F-Secure Anti-Virus\backweb\2376288\program\fsbwsys.exe
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\FSGK32.EXE
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fssm32.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Virtual CD v4\System\vcdsecs.exe
C:\Program Files\F-Secure Anti-Virus\Common\FSMA32.EXE
C:\Program Files\F-Secure Anti-Virus\Common\FSMB32.EXE
C:\Program Files\F-Secure Anti-Virus\Common\FCH32.EXE
C:\WINDOWS\WcgopSvc.exe
C:\Program Files\F-Secure Anti-Virus\Common\FAMEH32.EXE
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fsav32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\gc.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\ATI Technologies\ATI.ACE\CLI.EXE
C:\WINDOWS\system32	cpipmon.exe
C:\Program Files\F-Secure Anti-Virus\Common\FSM32.EXE
C:\WINDOWS\system32	cpipmon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\F-Secure Anti-Virus\backweb\2376288\Program\BackWeb-2376288.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\Teamspeak2_RC2\TeamSpeak.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Hijackthis Version Française\hijackthis vf.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.orange.fr/portail
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.orange.fr/portail
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
R3 - URLSearchHook: (no name) - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - (no file)
O2 - BHO: (no name) - {04128985-B203-47B3-B51E-6B183275D518} - C:\WINDOWS\system32\ddcyv.dll (file missing)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: (no name) - {C0982322-2A6C-4022-92F1-C7CB9F86DCC8} - C:\WINDOWS\system32
nnljij.dll (file missing)
O2 - BHO: CATLEvents Object - {CA5DDFAC-93D0-46B0-973E-D25832A0D119} - C:\DOCUME~1\Romain\LOCALS~1\Temp\cg.dat
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\CLIStart.exe"
O4 - HKLM\..\Run: [2chkdsk] rundll32.exe "C:\WINDOWS\system32\ulqiqwfb.dll",setvm
O4 - HKLM\..\Run: [tcpipmon] tcpipmon.exe
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure Anti-Virus\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\F-Secure Anti-Virus\TNB\TNBUtil.exe" /CHECKALL
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\RunOnce: [*gc] C:\WINDOWS\gc.exe rerun
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin
pjpi150_02.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin
pjpi150_02.dll
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O15 - Trusted Zone: http://www.secuser.com
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: gc - C:\DOCUME~1\Romain\LOCALS~1\Temp\cg.dat
O20 - Winlogon Notify: rpcc - C:\WINDOWS\system32pcc.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: F-Secure Anti-Virus (BackWeb Client - 2376288) - Unknown owner - C:\PROGRA~1\F-SECU~1\backweb\2376288\Program\SERVIC~1.EXE
O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fsgk32st.exe
O23 - Service: F-Secure Authentication Agent (FSAA) - Unknown owner - C:\Program Files\F-Secure Anti-Virus\Common\FSAA.EXE (file missing)
O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\F-Secure Anti-Virus\backweb\2376288\program\fsbwsys.exe
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure Anti-Virus\Common\FSMA32.EXE
O23 - Service: Fswsclds - Unknown owner - (no file)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: License Management Service ESD - Unknown owner - C:\Program Files\Fichiers communs\element5 Shared\Service\Licence Manager ESD.exe
O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe (file missing)
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exe
O23 - Service: VCDSecS - H+H Software GmbH - C:\Program Files\Virtual CD v4\System\vcdsecs.exe

philae83 · Answer

ok merci,

je regarde à nouveau tes rapports, il en reste je te préviens

rorodu22 · Answer

Je m'en doute qu'en il y a des pages web qui s'ouvrent totes seules c'est pas normal ^^.
En tout cas merci pour ton aide

philae83 · Answer

re

* Télécharge Pocket KillBox sur ton bureau.
http://www.downloads.subratam.org/KillBox.exe

et

* Télécharge CCleaner.

https://www.pcastuces.com/logitheque/ccleaner.htm

Installe le dans un répertoire dédié.

Décoche pendant l'installation

--- les deux cases "Ajouter l'option ... "

--- Contrôler les mises à jour

--- Ajouter la Barre d'Outils Yahoo! CCleaner


puis

 * Relance Vundofix
 * Ne clique pas sur "Scan for a vundo"
 * Clique droit au milieu de la fenêtre
 * Clique sur Add more files ?
 * Copie/colle le fichier ci-dessous  :

C:\WINDOWS\system32\ulqiqwfb.dll

* Clique sur Add files
 * Ensuite clique sur Close Windows
 * Enfin, clique sur Remove Vundo ( les fichiers précédents doivent apparaitre dans la fenêtre principale)
 * Si l'outils demande un redémarrage, accepte
 * Poste le rapport Vundofix

puis

relance hijackthis et coche ces lignes :

 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp 
R3 - URLSearchHook: (no name) - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - (no file) 
O2 - BHO: (no name) - {04128985-B203-47B3-B51E-6B183275D518} - C:\WINDOWS\system32\ddcyv.dll (file missing) 
 O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) 
O2 - BHO: (no name) - {C0982322-2A6C-4022-92F1-C7CB9F86DCC8} - C:\WINDOWS\system32
nnljij.dll (file missing) 
O2 - BHO: CATLEvents Object - {CA5DDFAC-93D0-46B0-973E-D25832A0D119} - C:\DOCUME~1\Romain\LOCALS~1\Temp\cg.dat 
 O4 - HKLM\..\Run: [2chkdsk] rundll32.exe "C:\WINDOWS\system32\ulqiqwfb.dll",setvm 
O4 - HKLM\..\Run: [tcpipmon] tcpipmon.exe 
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto 
O4 - HKLM\..\RunOnce: [*gc] C:\WINDOWS\gc.exe rerun 
 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin
pjpi150_02.dll 
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin
pjpi150_02.dll 
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file) 
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing) 
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing) 
 O11 - Options group: [INTERNATIONAL] International* 
O15 - Trusted Zone: http://www.secuser.com 
O20 - Winlogon Notify: gc - C:\DOCUME~1\Romain\LOCALS~1\Temp\cg.dat 
O20 - Winlogon Notify: rpcc - C:\WINDOWS\system32pcc.dll 
O23 - Service: Fswsclds - Unknown owner - (no file) 

* ferme toutes les fenetres ouvertes y compris internet explorer et clique sur "fixer objet" 

puis

* Double-clique sur le fichier Killbox.exe, et coche la case "Delete on reboot".
* copie d'un trait les lignes de la citation suivante :

C:\WINDOWS\system32\ulqiqwfb.dll
C:\WINDOWS\system32pcc.dll
C:\WINDOWS\system32	cpipmon.exe
C:\DOCUMENTS & SETTINGS\Romain\LOCALS SETTINGS\Temp\cg.dat 
C:\WINDOWS\gc.exe
C:\WINDOWS\system32\msasvc.exe

Sur PocketKillBox --> menu "File" --> "Paste from Clipboard" (tu ne verras rien se passer).

Tu peux vérifier dans le menu déroulant que tous les fichiers sont bien présents.
- coche la case "Unregister dll before deleting" (si tu en as la possibilité)
- clique sur le bouton "All files"
- clique ensuite sur la croix rouge

Au deux messages qui vont s'afficher, tu réponds par "YES"
L'ordinateur doit redémarrer, sinon, fais le toi-même, quoiqu'il arrive.

puis

* lance Ccleaner pour un nettoyage complet

puis

Démarrer "Exécuter…" puis Tape "services.msc" et valide par  OK
la fenêtre des Services s'ouvre => vérifier dans la partie inférieure que l'onglet "Etendu" est bien sélectionné, sinon faites le. 

Microsoft authenticate service (MsaSvc)
Et le chemin
C:\WINDOWS\system32\msasvc.exe

- Dans la colonne "Nom", DOUBLE CLIQUE sur le service noté en GRAS ci dessus, pour faire apparaître "Propriétés".
- Vérifie dans "Chemin d'accès des fichiers exécutables" qu'il s'agit bien de l'emplacement souligné.
- Puis clique sur Arrêter
- Dans le menu déroulant "Type de démarrage", sélectionne "Désactivé".
- valide la modification par OK
- Ferme la fenêtre des Services.

Puis

Ouvrir la section outils
Outils
Enlever un service NT
Entre :
Microsoft authenticate service
Valide 

* reviens avec les rapports de vundo, et un nouveau hijackthis

rorodu22 · Answer

Houla sa fait beaucoup de chose j'aurais pas le temps de fair tout ça se soir mais je te remercie et je refais un post dem1.

philae83 · Answer

ok, mais un conseil, tu commences, tu vas jusqu'au bout des manips, et tu ne fais que ça pendant ce temps là. Ne traine pas trop non +

rorodu22 · Answer

voila 3 nouveaux rapports!!
Le premier rapport vundofix:


VundoFix V6.3.16

Checking Java version...

Java version is 1.5.0.2
Old versions of java are exploitable and should be removed.

Scan started at 20:52:10 17/03/2007

Listing files found while scanning....

C:\DOCUME~1\Romain\LOCALS~1\Temp\cg.dat
C:\WINDOWS\system32\bdblpwyn.dll
C:\WINDOWS\system32\ddcyv.dll
C:\WINDOWS\system32\dhossqwm.dll
C:\WINDOWS\system32\gllwmxgq.exe
C:\WINDOWS\system32\khfffda.dll
C:\WINDOWS\system32\kjjxappu.dll
C:\WINDOWS\system32\ktjpowpv.dll
C:\WINDOWS\system32\lcqdmnsv.dll
C:\WINDOWS\system32\mwqssohd.ini
C:\WINDOWS\system32
nnljij.dll
C:\WINDOWS\system32
opvpnsg.dll
C:\WINDOWS\system32\pntbotpe.dll
C:\WINDOWS\system32	qxdongy.dll
C:\WINDOWS\system32\urmkpsaa.dll
C:\WINDOWS\system32\vycdd.bak1
C:\WINDOWS\system32\vycdd.bak2
C:\WINDOWS\system32\vycdd.ini
C:\WINDOWS\system32\xyqshlqy.exe
C:\WINDOWS\system32\ydvihsbc.dll

Beginning removal...

 Attempting to delete C:\DOCUME~1\Romain\LOCALS~1\Temp\cg.dat
C:\DOCUME~1\Romain\LOCALS~1\Temp\cg.dat Could not be deleted.

 Attempting to delete C:\WINDOWS\system32\bdblpwyn.dll
C:\WINDOWS\system32\bdblpwyn.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\ddcyv.dll
C:\WINDOWS\system32\ddcyv.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\dhossqwm.dll
C:\WINDOWS\system32\dhossqwm.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\gllwmxgq.exe
C:\WINDOWS\system32\gllwmxgq.exe Has been deleted!

 Attempting to delete C:\WINDOWS\system32\khfffda.dll
C:\WINDOWS\system32\khfffda.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\kjjxappu.dll
C:\WINDOWS\system32\kjjxappu.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\ktjpowpv.dll
C:\WINDOWS\system32\ktjpowpv.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\lcqdmnsv.dll
C:\WINDOWS\system32\lcqdmnsv.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\mwqssohd.ini
C:\WINDOWS\system32\mwqssohd.ini Has been deleted!

 Attempting to delete C:\WINDOWS\system32
nnljij.dll
C:\WINDOWS\system32
nnljij.dll Could not be deleted.

 Attempting to delete C:\WINDOWS\system32
opvpnsg.dll
C:\WINDOWS\system32
opvpnsg.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\pntbotpe.dll
C:\WINDOWS\system32\pntbotpe.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32	qxdongy.dll
C:\WINDOWS\system32	qxdongy.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\urmkpsaa.dll
C:\WINDOWS\system32\urmkpsaa.dll Has been deleted!

 Attempting to delete C:\WINDOWS\system32\vycdd.bak1
C:\WINDOWS\system32\vycdd.bak1 Has been deleted!

 Attempting to delete C:\WINDOWS\system32\vycdd.bak2
C:\WINDOWS\system32\vycdd.bak2 Has been deleted!

 Attempting to delete C:\WINDOWS\system32\vycdd.ini
C:\WINDOWS\system32\vycdd.ini Has been deleted!

 Attempting to delete C:\WINDOWS\system32\xyqshlqy.exe
C:\WINDOWS\system32\xyqshlqy.exe Has been deleted!

 Attempting to delete C:\WINDOWS\system32\ydvihsbc.dll
C:\WINDOWS\system32\ydvihsbc.dll Has been deleted!

Performing Repairs to the registry.
Done!

Beginning removal...

 Attempting to delete C:\DOCUME~1\Romain\LOCALS~1\Temp\cg.dat
C:\DOCUME~1\Romain\LOCALS~1\Temp\cg.dat Could not be deleted.

 Attempting to delete C:\WINDOWS\system32
nnljij.dll
C:\WINDOWS\system32
nnljij.dll Has been deleted!

Performing Repairs to the registry.
Done!

Beginning removal...

Beginning removal...

 Attempting to delete C:\WINDOWS\system32\ulqiqwfb.dll
C:\WINDOWS\system32\ulqiqwfb.dll Has been deleted!

Performing Repairs to the registry.
Done!

Le deuxième rapport vundo fix:


VundoFix V6.3.16

Checking Java version...

Java version is 1.5.0.2
Old versions of java are exploitable and should be removed.

Scan started at 205210 17032007

Listing files found while scanning....

CDOCUME~1RomainLOCALS~1Tempcg.dat
CWINDOWSsystem32bdblpwyn.dll
CWINDOWSsystem32ddcyv.dll
CWINDOWSsystem32dhossqwm.dll
CWINDOWSsystem32gllwmxgq.exe
CWINDOWSsystem32khfffda.dll
CWINDOWSsystem32kjjxappu.dll
CWINDOWSsystem32ktjpowpv.dll
CWINDOWSsystem32lcqdmnsv.dll
CWINDOWSsystem32mwqssohd.ini
CWINDOWSsystem32nnnljij.dll
CWINDOWSsystem32nopvpnsg.dll
CWINDOWSsystem32pntbotpe.dll
CWINDOWSsystem32tqxdongy.dll
CWINDOWSsystem32urmkpsaa.dll
CWINDOWSsystem32vycdd.bak1
CWINDOWSsystem32vycdd.bak2
CWINDOWSsystem32vycdd.ini
CWINDOWSsystem32xyqshlqy.exe
CWINDOWSsystem32ydvihsbc.dll

Beginning removal...

 Attempting to delete CDOCUME~1RomainLOCALS~1Tempcg.dat
CDOCUME~1RomainLOCALS~1Tempcg.dat Could not be deleted.

 Attempting to delete CWINDOWSsystem32bdblpwyn.dll
CWINDOWSsystem32bdblpwyn.dll Has been deleted!

 Attempting to delete CWINDOWSsystem32ddcyv.dll
CWINDOWSsystem32ddcyv.dll Has been deleted!

 Attempting to delete CWINDOWSsystem32dhossqwm.dll
CWINDOWSsystem32dhossqwm.dll Has been deleted!

 Attempting to delete CWINDOWSsystem32gllwmxgq.exe
CWINDOWSsystem32gllwmxgq.exe Has been deleted!

 Attempting to delete CWINDOWSsystem32khfffda.dll
CWINDOWSsystem32khfffda.dll Has been deleted!

 Attempting to delete CWINDOWSsystem32kjjxappu.dll
CWINDOWSsystem32kjjxappu.dll Has been deleted!

 Attempting to delete CWINDOWSsystem32ktjpowpv.dll
CWINDOWSsystem32ktjpowpv.dll Has been deleted!

 Attempting to delete CWINDOWSsystem32lcqdmnsv.dll
CWINDOWSsystem32lcqdmnsv.dll Has been deleted!

 Attempting to delete CWINDOWSsystem32mwqssohd.ini
CWINDOWSsystem32mwqssohd.ini Has been deleted!

 Attempting to delete CWINDOWSsystem32nnnljij.dll
CWINDOWSsystem32nnnljij.dll Could not be deleted.

 Attempting to delete CWINDOWSsystem32nopvpnsg.dll
CWINDOWSsystem32nopvpnsg.dll Has been deleted!

 Attempting to delete CWINDOWSsystem32pntbotpe.dll
CWINDOWSsystem32pntbotpe.dll Has been deleted!

 Attempting to delete CWINDOWSsystem32tqxdongy.dll
CWINDOWSsystem32tqxdongy.dll Has been deleted!

 Attempting to delete CWINDOWSsystem32urmkpsaa.dll
CWINDOWSsystem32urmkpsaa.dll Has been deleted!

 Attempting to delete CWINDOWSsystem32vycdd.bak1
CWINDOWSsystem32vycdd.bak1 Has been deleted!

 Attempting to delete CWINDOWSsystem32vycdd.bak2
CWINDOWSsystem32vycdd.bak2 Has been deleted!

 Attempting to delete CWINDOWSsystem32vycdd.ini
CWINDOWSsystem32vycdd.ini Has been deleted!

 Attempting to delete CWINDOWSsystem32xyqshlqy.exe
CWINDOWSsystem32xyqshlqy.exe Has been deleted!

 Attempting to delete CWINDOWSsystem32ydvihsbc.dll
CWINDOWSsystem32ydvihsbc.dll Has been deleted!

Performing Repairs to the registry.
Done!

Beginning removal...

 Attempting to delete CDOCUME~1RomainLOCALS~1Tempcg.dat
CDOCUME~1RomainLOCALS~1Tempcg.dat Could not be deleted.

 Attempting to delete CWINDOWSsystem32nnnljij.dll
CWINDOWSsystem32nnnljij.dll Has been deleted!

Performing Repairs to the registry.
Done!

Beginning removal...

Beginning removal...

 Attempting to delete CWINDOWSsystem32ulqiqwfb.dll
CWINDOWSsystem32ulqiqwfb.dll Has been deleted!

Performing Repairs to the registry.
Done!

VundoFix V6.3.16

Checking Java version...

Java version is 1.5.0.2
Old versions of java are exploitable and should be removed.

Scan started at 002301 18032007

Listing files found while scanning....

CDOCUME~1RomainLOCALS~1Tempcg.dat

Beginning removal...

 Attempting to delete CDOCUME~1RomainLOCALS~1Tempcg.dat
CDOCUME~1RomainLOCALS~1Tempcg.dat Has been deleted!

Performing Repairs to the registry.
Done!

rorodu22 · Answer

Et enfin le rapport hijack:

Logfile of HijackThis v1.99.1
Scan saved at 00:22:02, on 18/03/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16414)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\F-SECU~1\backweb\2376288\Program\SERVIC~1.EXE
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fsgk32st.exe
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\FSGK32.EXE
C:\Program Files\F-Secure Anti-Virus\backweb\2376288\program\fsbwsys.exe
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fssm32.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\F-Secure Anti-Virus\backweb\2376288\Program\BackWeb-2376288.exe
C:\Program Files\Virtual CD v4\System\vcdsecs.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\F-Secure Anti-Virus\Common\FSMA32.EXE
C:\Program Files\F-Secure Anti-Virus\Common\FSMB32.EXE
C:\Program Files\F-Secure Anti-Virus\Common\FCH32.EXE
C:\Program Files\F-Secure Anti-Virus\Common\FAMEH32.EXE
C:\WINDOWS\WcgopSvc.exe
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fsav32.exe
C:\Program Files\F-Secure Anti-Virus\Common\FSM32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\ATI Technologies\ATI.ACE\CLI.EXE
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Hijackthis Version Française\hijackthis vf.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.orange.fr/portail
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.orange.fr/portail
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: CATLEvents Object - {CA5DDFAC-93D0-46B0-973E-D25832A0D119} - C:\DOCUME~1\Romain\LOCALS~1\Temp\cg.dat
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\CLIStart.exe"
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure Anti-Virus\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\F-Secure Anti-Virus\TNB\TNBUtil.exe" /CHECKALL
O4 - HKLM\..\Run: [tcpipmon] tcpipmon.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: gc - C:\DOCUME~1\Romain\LOCALS~1\Temp\cg.dat
O20 - Winlogon Notify: rpcc - C:\WINDOWS\system32\rpcc.dll (file missing)
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: F-Secure Anti-Virus (BackWeb Client - 2376288) - Unknown owner - C:\PROGRA~1\F-SECU~1\backweb\2376288\Program\SERVIC~1.EXE
O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fsgk32st.exe
O23 - Service: F-Secure Authentication Agent (FSAA) - Unknown owner - C:\Program Files\F-Secure Anti-Virus\Common\FSAA.EXE (file missing)
O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\F-Secure Anti-Virus\backweb\2376288\program\fsbwsys.exe
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure Anti-Virus\Common\FSMA32.EXE
O23 - Service: Fswsclds - Unknown owner - (no file)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: License Management Service ESD - Unknown owner - C:\Program Files\Fichiers communs\element5 Shared\Service\Licence Manager ESD.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exe
O23 - Service: VCDSecS - H+H Software GmbH - C:\Program Files\Virtual CD v4\System\vcdsecs.exe

En tout cas l'icone registry cleaner n'apparait plus un grand merci pour ça!

philae83 · Answer

Bonjour,

de passage ce matin, je reviendrais dans l'après midi ensuite

du mieux, mais il en reste encore
au passage, je viens de m'apercevoir que j'avais enlevé ta ligne 015 concernant secuser, ce n'est pas grave, tu pourras la remettre

on va ré essayer avec smitfraud maintenant

tu supprimes celui que tu avais puis tu reprends ici

* Télécharge SmitfraudFix de S!Ri, balltrap34 et moe31

http://siri.urz.free.fr/Fix/SmitfraudFix.exe

* Installe le à la racine de C
 
* double clic sur l'exe pour le décompresser et lancer le fix.
Utilisation ----- option 1 - Recherche :
* Double clique sur smitfraudfix.cmd 
* Sélectionne 1 pour créer un rapport des fichiers responsables de l'infection.
* Poste le rapport ici
process.exe est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

rorodu22 · Answer

Le lien ne marche toujours pas (enfin a partir de mon ordinateur).
Comment poiurais-je remettre  la ligne 15 secuser ?? 
Merci d'avance

philae83 · Answer

re

essaye de le prendre ici, je te l'ai envoyé après l'avoir téléchargé
https://www.hightail.com/ 

il se peut que ton antivirus n'aime pas, dit lui que tout va bien....lol !

je reviens dans l'après midi

rorodu22 · Answer

Ctte fois j'ai reussi reussi a télécharger smitfraudfix à partir du lien que tu ma passé. Mais cela fais comme la dernière fois: 
Quand je clic sur smitfraudfix.cmd il y a une fenêtre qui s'ouvre pendant 1/4 de seconde et puis plus rien. 
J'ai essayer de désactiver mon antivirus et de relancer smitfraudfix.cmd mais cela ne change rien.

philae83 · Answer

re

j'arrive....lol

Ouvre le bloc-notes
- Menu Démarrer, Tous les programmes, Accessoires, Bloc notes
ou
- Menu Démarrer, Exécuter : tape notepad

Copie-colle ce qui suit dans le bloc-notes (sans la mention "code") et sauvegarde sur le bureau comme ceci :


    C:\Windows\system32\reg.exe query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Environment" /s >> look.txt
    start notepad look.txt


Nom : look.bat
Type : Tous les fichiers

Double-clique sur Look.bat. Cela va t'ouvrir un fichier au format TXT Look.txt

Copie et colle ici le contenu de Look.txt.

puis

un fix qui permet de corriger le problème :
http://internet.cybermesa.com/~bstewart/files/fixpath2.zip


Dezippe le contenu de fixpath2.zip dans un répertoire sur C:\, par exemple: C:\FIXPATH2
Clique sur Démarrer, Executer et entre cmd
Valide par entrée.

Dans la fenêtre de commande, entre :

cd C:\ [+Entrée]
cd FIXPATH2 [+Entrée]
(Attention aux espaces juste après cd)
entre encore:
fixpath.exe [+Entrée]

Ceci va afficher un message d'information, clique Yes. Ferme la fenêtre.
Si les changements ont été effectués, il faudra redémarrer l'ordinateur pour tenir compte des modifications.

rorodu22 · Answer

alors voila deja le contenu de look.txt:


! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Environment
    ComSpec	REG_EXPAND_SZ	%SystemRoot%\system32\cmd.exe
    windir	REG_EXPAND_SZ	%SystemRoot%
    FP_NO_HOST_CHECK	REG_SZ	NO
    OS	REG_SZ	Windows_NT
    PROCESSOR_ARCHITECTURE	REG_SZ	x86
    PROCESSOR_LEVEL	REG_SZ	6
    PROCESSOR_IDENTIFIER	REG_SZ	x86 Family 6 Model 8 Stepping 0, AuthenticAMD
    PROCESSOR_REVISION	REG_SZ	0800
    NUMBER_OF_PROCESSORS	REG_SZ	1
    PATHEXT	REG_SZ	.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH
    TEMP	REG_EXPAND_SZ	%SystemRoot%\TEMP
    TMP	REG_EXPAND_SZ	%SystemRoot%\TEMP
    PATH	REG_SZ	C:\Program Files\QuickTime\QTSystem\;C:\Program Files\ATI Technologies\ATI.ACE\
    CLASSPATH	REG_SZ	.;C:\Program Files\Java\jre1.5.0_02\lib\ext\QTJava.zip
    QTJAVA	REG_SZ	C:\Program Files\Java\jre1.5.0_02\lib\ext\QTJava.zip

rorodu22 · Answer

J'ai égalment fait le truc avec fixpath2 et tout c'est déroulé normalement.

philae83 · Answer

ok,

tu peux utiliser smitfraud maintenant ?

rorodu22 · Answer

oui!!! ça marche la fenêtre ne se ferme plus toute seule

philae83 · Answer

ok parfait, normalement c'était prévu pour...Lol

alors fait ceci :
* double clic sur l'exe pour le décompresser et lancer le fix.
Utilisation ----- option 1 - Recherche :
* Double clique sur smitfraudfix.cmd 
* Sélectionne 1 pour créer un rapport des fichiers responsables de l'infection.
* Poste le rapport ici
process.exe est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

rorodu22 · Answer

voila voila

SmitFraudFix v2.148

Rapport fait à 21:19:42,50, 18/03/2007
Executé à partir de C:\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» hosts

Fichier hosts corrompu !

127.0.0.1	forum.arovax.com
127.0.0.1	bleepingcomputer.com
127.0.0.1	www.bleepingcomputer.com
127.0.0.1	download.bleepingcomputer.com
127.0.0.1	boskak.za.net
127.0.0.1	bullguard.com
127.0.0.1	www.bullguard.com
127.0.0.1	castlecops.com
127.0.0.1	www.castlecops.com
127.0.0.1	compu-docs.com
127.0.0.1	www.compu-docs.com
127.0.0.1	computing.net
127.0.0.1	www.computing.net
127.0.0.1	forums.us.dell.com
127.0.0.1	depannetonpc.net
127.0.0.1	www.depannetonpc.net
127.0.0.1	forums.digitaltrends.com
127.0.0.1	ewido.net
127.0.0.1	www.ewido.net
127.0.0.1	greyknight17.com
127.0.0.1	www.greyknight17.com
127.0.0.1	forum.idg.pl
127.0.0.1	infos-du-net.com
127.0.0.1	www.infos-du-net.com
127.0.0.1	innovative-sol.com
127.0.0.1	www.innovative-sol.com
127.0.0.1	help.lockergnome.com
127.0.0.1	majorgeeks.com
127.0.0.1	www.majorgeeks.com
127.0.0.1	microsoft.com
127.0.0.1	mytechsupport.ca
127.0.0.1	www.mytechsupport.ca
127.0.0.1	pandasoftware.com
127.0.0.1	www.pandasoftware.com
127.0.0.1	fileinfo.prevx.com
127.0.0.1	siri.urz.free.fr
127.0.0.1	forums.spybot.info
127.0.0.1	cleanup.stevengould.org
127.0.0.1	stevengould.org
127.0.0.1	www.stevengould.org
127.0.0.1	research.sunbelt-software.com
127.0.0.1	forums.spywareinfo.com
127.0.0.1	spywareinfo.dk
127.0.0.1	www.spywareinfo.dk
127.0.0.1	superantispyware.com
127.0.0.1	www.superantispyware.com
127.0.0.1	forums.techguy.org
127.0.0.1	techsupportforum.com
127.0.0.1	www.techsupportforum.com
127.0.0.1	forums.tomcoyote.org
127.0.0.1	tomcoyote.org
127.0.0.1	www.tomcoyote.org
127.0.0.1	wilderssecurity.com
127.0.0.1	www.wilderssecurity.com

»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

C:\WINDOWS\dr.exe PRESENT !
C:\WINDOWS\user32.exe PRESENT !
C:\WINDOWS\Tasks\At1.job PRESENT !
C:\WINDOWS\Tasks\At2.job PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

C:\WINDOWS\system32\ctpmon.exe PRESENT !
C:\WINDOWS\system32\RegistryCleanerSetup.exe PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Romain


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Romain\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\Romain\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 

C:\Program Files\dr.exe~ PRESENT !
C:\Program Files\serial.dat PRESENT !
C:\Program Files\serial.zip PRESENT !
C:\Program Files\user32.exe PRESENT !
C:\Program Files\widupdate.exe~ PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"
 

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32-huy32


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

philae83 · Answer

Maintenant :

Utilisation ----- option 2 -Nettoyage :

* Redémarre l'ordinateur en mode sans échec IMPERATIVEMENT 
(tapoter F8 au boot pour obtenir le menu de démarrage ou http://service1.symantec.com/support/inter/tsgeninfointl.nsf/fr_docid/20020905112131924


* Double clique sur smitfraudfix.cmd


* Sélectionne 2 pour supprimer les fichiers responsables de l'infection.


A la question Voulez-vous nettoyer le registre ? répondre O (oui) afin de débloquer le fond d'écran et supprimer les clés de démarrage automatique de l'infection.

Le fix déterminera si le fichier wininet.dll est infecté.

A la question Corriger le fichier infecté ? répondre O (oui) pour remplacer le fichier corrompu.

* Redémarre en mode normal et poste le rapport ici

N.B.: Cette étape élimine les fichiers infectieux détectés à l'étape #1
Attention que l'option 2 de l'outil supprime le fond d'écran !

rorodu22 · Answer

Ok je  ferais ça demain et je posterais un rapport en fin d'après-midi mais la il faut que j'aille bosser et oui j'ai cours a 8 heure demain ^^

philae83 · Answer

il aurait été préférable de faire l'option 2 de suite. Tu ne peux vraiment pas ?

rorodu22 · Answer

désolé pour le retard j'aSmitFraudFix v2.148

Rapport fait à 17:37:11,17, 19/03/2007
Executé à partir de C:\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» hosts


127.0.0.1       localhost

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés


»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre
 
Nettoyage terminé. 
 
»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

i fais le plus vite possible alors voila le rapport:

philae83 · Answer

bonjour,

ok, maintenant reposte un nouveau rapport hijackthis stp

Nicolas94 · Answer

meme chose, PC avec ce satané virus, que dois je faire ? merci par avance !

Voila mon rapport

SmitFraudFix v2.150

Rapport fait à 19:26:16,71, 19/03/2007
Executé à partir de C:\Documents and Settings
c\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings
c


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings
c\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» 


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"
 

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32-huy32


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

Nicolas94 · Answer

j'ai redemarré en mode sans echec puis lancé l'option 2  ensuite le rapport me donne ça :

mitFraudFix v2.150

Rapport fait à 19:42:06,86, 19/03/2007
Executé à partir de C:\Documents and Settings
c\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» hosts


127.0.0.1       localhost

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés


»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre
 
Nettoyage terminé. 
 
»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

rorodu22 · Answer

voila le nouvo rapport hijackthis:

Logfile of HijackThis v1.99.1
Scan saved at 20:09:31, on 19/03/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16414)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\F-SECU~1\backweb\2376288\Program\SERVIC~1.EXE
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fsgk32st.exe
C:\Program Files\F-Secure Anti-Virus\backweb\2376288\program\fsbwsys.exe
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\FSGK32.EXE
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fssm32.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Virtual CD v4\System\vcdsecs.exe
C:\WINDOWS\WcgopSvc.exe
C:\Program Files\F-Secure Anti-Virus\Common\FSMA32.EXE
C:\Program Files\F-Secure Anti-Virus\Common\FSMB32.EXE
C:\Program Files\F-Secure Anti-Virus\Common\FCH32.EXE
C:\Program Files\F-Secure Anti-Virus\Common\FAMEH32.EXE
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fsav32.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ATI Technologies\ATI.ACE\CLI.EXE
C:\Program Files\F-Secure Anti-Virus\Common\FSM32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\F-Secure Anti-Virus\backweb\2376288\Program\BackWeb-2376288.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Hijackthis Version Française\hijackthis vf.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: CATLEvents Object - {CA5DDFAC-93D0-46B0-973E-D25832A0D119} - (no file)
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\CLIStart.exe"
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure Anti-Virus\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\F-Secure Anti-Virus\TNB\TNBUtil.exe" /CHECKALL
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: gc - C:\DOCUME~1\Romain\LOCALS~1\Temp\cg.dat (file missing)
O20 - Winlogon Notify: rpcc - C:\WINDOWS\system32\rpcc.dll (file missing)
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: F-Secure Anti-Virus (BackWeb Client - 2376288) - Unknown owner - C:\PROGRA~1\F-SECU~1\backweb\2376288\Program\SERVIC~1.EXE
O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fsgk32st.exe
O23 - Service: F-Secure Authentication Agent (FSAA) - Unknown owner - C:\Program Files\F-Secure Anti-Virus\Common\FSAA.EXE (file missing)
O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\F-Secure Anti-Virus\backweb\2376288\program\fsbwsys.exe
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure Anti-Virus\Common\FSMA32.EXE
O23 - Service: Fswsclds - Unknown owner - (no file)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: License Management Service ESD - Unknown owner - C:\Program Files\Fichiers communs\element5 Shared\Service\Licence Manager ESD.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exe
O23 - Service: VCDSecS - H+H Software GmbH - C:\Program Files\Virtual CD v4\System\vcdsecs.exe

rorodu22 · Answer

re

voila le sacn de hijackthis (je ne savais pas si tu en avais encore besoin)
Logfile of HijackThis v1.99.1
Scan saved at 15:55:05, on 20/03/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16414)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\F-SECU~1\backweb\2376288\Program\SERVIC~1.EXE
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fsgk32st.exe
C:\Program Files\F-Secure Anti-Virus\backweb\2376288\program\fsbwsys.exe
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\FSGK32.EXE
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fssm32.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Virtual CD v4\System\vcdsecs.exe
C:\Program Files\F-Secure Anti-Virus\Common\FSMA32.EXE
C:\Program Files\F-Secure Anti-Virus\Common\FSMB32.EXE
C:\Program Files\F-Secure Anti-Virus\Common\FCH32.EXE
C:\Program Files\F-Secure Anti-Virus\Common\FAMEH32.EXE
C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fsav32.exe
C:\WINDOWS\WcgopSvc.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\F-Secure Anti-Virus\Common\FSM32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\ATI Technologies\ATI.ACE\CLI.EXE
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\F-Secure Anti-Virus\backweb\2376288\Program\BackWeb-2376288.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Hijackthis Version Française\hijackthis vf.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\CLIStart.exe"
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure Anti-Virus\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\F-Secure Anti-Virus\TNB\TNBUtil.exe" /CHECKALL
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: F-Secure Anti-Virus (BackWeb Client - 2376288) - Unknown owner - C:\PROGRA~1\F-SECU~1\backweb\2376288\Program\SERVIC~1.EXE
O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Program Files\F-Secure Anti-Virus\Anti-Virus\fsgk32st.exe
O23 - Service: F-Secure Authentication Agent (FSAA) - Unknown owner - C:\Program Files\F-Secure Anti-Virus\Common\FSAA.EXE (file missing)
O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\F-Secure Anti-Virus\backweb\2376288\program\fsbwsys.exe
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure Anti-Virus\Common\FSMA32.EXE
O23 - Service: Fswsclds - Unknown owner - (no file)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: License Management Service ESD - Unknown owner - C:\Program Files\Fichiers communs\element5 Shared\Service\Licence Manager ESD.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exe
O23 - Service: VCDSecS - H+H Software GmbH - C:\Program Files\Virtual CD v4\System\vcdsecs.exe


Sinon il n'y a plus de problème (visible en tout cas)
Merci beaucoup pour ton aide et pour la rapidité et l'éffiaccité de tes reponses

philae83 · Answer

bonjour,

tout est ok, maintenant tu peux :

supprime
smitfraud
c:\windows\system32\process.exe
c:\vundofixtxt

*démarrer-----------panneau de configuration------------système----------

onglet Restauration système-----------coche la case (Désactiver la restauration système)--------------

redémarre l'ordinateur
puis ré active la

* pour apprendre à sécuriser ton pc regarde ces liens
securite proteger un ordinateur contre les malwares d internet
et

https://forum.pcastuces.com/default.asp


*Dénonce ton infection pour faire condamner les auteurs.


Crée un message pour faire avancer les choses sur Malware-Complaints, nous devons être les plus nombreux possibles, alors rends compte de ton infection :

- Voir les règles du forum : https://malwarecomplaints.info/
- Après t'être enregistré à l'aide du bouton en haut se nommant "Register"
Si tu as plus de 13 ans, choisir : "I Agree to these terms and am over or exactly 13 years of age"
Si tu as moins, clique sur : "I Agree to these terms and am under 13 years of age"

Tu as alors sous forme de liste un sujet par type d'infection (Look2Me, Smitfraud, SpywareQuake etc..).
La tienne = ******

---> https://malwarecomplaints.info/

Si le malware que tu as eu n'apparaît pas dans la liste, ou si tu ne sais pas par quoi tu étais infecté(e), crée un message dans le sujet Autres infections
conforme au règle du forum (age, ville, département etc..)


Indique aussi le nom du Forum qui t'a aidé, CommentCaMarche

* met ton sujet en RESOLU stp. Merci

bonne fin de journée

rorodu22 · Answer

OK pas de problème je vais faire tout ça merci pour ton naide et bonne paré'midi a toi aussi

abdel · Answer

svp klk peu analyser mon rapport 

Logfile of HijackThis v1.99.1
Scan saved at 16:30:38, on 15/06/2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
C:\Program Files\F-Secure\Anti-Virus\FSGK32.EXE
C:\Program Files\F-Secure\Common\FSM32.EXE
C:\WINDOWS\System32	emp1.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\WINDOWS\System32
vsvc32.exe
C:\Program Files\F-Secure\Anti-Virus\fssm32.exe
C:\Program Files\F-Secure\Common\FSMA32.EXE
C:\Program Files\F-Secure\Common\FSMB32.EXE
C:\Program Files\F-Secure\Common\FCH32.EXE
C:\Program Files\F-Secure\Common\FAMEH32.EXE
C:\WINDOWS\TEMP\bwgo000057b5.exe
C:\Program Files\F-Secure\Common\FNRB32.EXE
C:\Program Files\F-Secure\Common\FIH32.EXE
C:\Program Files\F-Secure\Anti-Virus\fsav32.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Winamp\winamp.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Program Files\Hijackthis Version Française\hijackthis vf.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F3 - REG:win.ini: load=C:\WINDOWS\svchost.exe
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure\Common\FSM32.EXE" /splash
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\webelated.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\webelated.htm
O17 - HKLM\System\CCS\Services\Tcpip\..\{00DB233E-669A-4463-B438-0BF34B4E6B10}: NameServer = 212.217.0.3 196.217.246.210
O17 - HKLM\System\CS1\Services\Tcpip\..\{00DB233E-669A-4463-B438-0BF34B4E6B10}: NameServer = 212.217.0.3 196.217.246.210
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: F-Secure BackWeb (BackWeb Client - 7681197) - Unknown owner - C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE
O23 - Service: F-Secure BackWeb LAN Access - Unknown owner - C:\Program Files\F-Secure\BackWeb\7681197\Program\fsbwlan.exe
O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
O23 - Service: F-Secure Network Request Broker - F-Secure Corporation - C:\Program Files\F-Secure\Common\FNRB32.EXE
O23 - Service: F-Secure Authentication Agent (FSAA) - F-Secure Corporation. All Rights Reserved. - C:\Program Files\F-Secure\Common\FSAA.EXE
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure\Common\FSMA32.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exe

predateur87 · Answer

j'ai perdu ma licence regystry smart a tu quelqu'un pourra m'endener un s.v.p contre la licence de avast ok

Problème icone registry cleaner

45 réponses

Discussions similaires

Newsletters