W32.Desktophijack Résolu

Question

Bonjour ,Depuis ce matin j'ai un virus  W32.Desktophijack et pas moyen de m'en debarasser meme avec norton 2003 apres mise a jour et en mode sans echecj'ai telecharger  hijackthis je vous donne le rsultat mai moi j'y comprend rienDonc je suis pas contre un peut d'aide D'avance merciLogfile of HijackThis v1.99.1Scan saved at 21:43:42, on 22/06/2005Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\Ati2evxx.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\Ati2evxx.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeC:\Program Files\Norton Internet Security\NISUM.EXEC:\WINDOWS\system32	askswitch.exeC:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeC:\WINDOWS\system32\CTHELPER.EXEC:\Program Files\Fichiers communs\Symantec Shared\ccApp.exeF:\Program Files\D-Tools\daemon.exeC:\Program Files\Messenger Plus! 3\MsgPlus.exeC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\Program Files\Java\jre1.5.0_02\bin\jusched.exeC:\Program Files\Daily Weather Forecast\weather.exeC:\Program Files\QuickTime\qttask.exeF:\progra~1\steam\steam.exeC:\PROGRA~1\INCRED~1\bin\IMApp.exeC:\Program Files\Norton Internet Security\ccPxySvc.exeC:\Program Files\Norton AntiVirus
avapsvc.exeC:\Program Files\MSN Messenger\msnmsgr.exeC:\WINDOWS\system32\svchost.exeC:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exeC:\Program Files\Internet Explorer\iexplore.exeF:\Program Files\FlashGet\flashget.exeC:\Documents and Settings\Administrateur\Mes documents\a2freesetup.exeC:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\is-RR3L7.tmp\is-58S5G.tmpC:\Program Files\a2 Free\a2upd.exeC:\Program Files\Internet Explorer\iexplore.exeC:\Program Files\Internet Explorer\iexplore.exeC:\Program Files\Internet Explorer\iexplore.exeC:\PROGRA~1\INCRED~1\bin\IncMail.exeC:\Program Files\a2 Free\a2start.exeC:\Program Files\a2 Free\a2scan.exeC:\Documents and Settings\Administrateur\Mes documents\hijackthis\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr/R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocxO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dllO2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - F:\PROGRA~1\FlashGet\jccatch.dllO2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dllO2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dllO2 - BHO: TGTSoft Explorer Toolbar Changer - {C333CF63-767F-4831-94AC-E683D962C63C} - (no file)O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - c:\PROGRA~1\FlashFXP\IEFlash.dllO3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dllO3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - F:\PROGRA~1\FlashGet\fgiebar.dllO3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dllO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\system32	askswitch.exeO4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeO4 - HKLM\..\Run: [CTHelper] CTHELPER.EXEO4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXEO4 - HKLM\..\Run: [Jet Detection] "C:\Program Files\Creative\SBLive\PROGRAM\ADGJDet.exe"O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe"O4 - HKLM\..\Run: [DAEMON Tools-1033] "F:\Program Files\D-Tools\daemon.exe"  -lang 1033O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe"O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osbootO4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /ConsumerO4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckRegO4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_02\bin\jusched.exeO4 - HKLM\..\Run: [Daily Weather Forecast] C:\Program Files\Daily Weather Forecast\weather.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKCU\..\Run: [Steam] "f:\progra~1\steam\steam.exe" -silentO4 - HKCU\..\Run: [IncrediMail] C:\PROGRA~1\INCRED~1\bin\IncMail.exe /cO4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe" /WinStartO4 - HKCU\..\Run: [NBJ] "C:\Program Files\Ahead\Nero BackItUp\NBJ.exe"O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /backgroundO4 - Startup: PowerReg Scheduler V3.exeO4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exeO8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\binesources\WebMenuImg.htmO8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.htmlO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://F:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.htmlO8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.htmlO8 - Extra context menu item: Télécharger avec FlashGet - F:\Program Files\FlashGet\jc_link.htmO8 - Extra context menu item: Télécharger tout avec FlashGet - F:\Program Files\FlashGet\jc_all.htmO8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.htmlO9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin
pjpi150_02.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin
pjpi150_02.dllO9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - F:\PROGRA~1\FlashGet\flashget.exeO9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - F:\PROGRA~1\FlashGet\flashget.exeO16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1094318398609O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exeO23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exeO23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exeO23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeO23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exeO23 - Service: Symantec Proxy Service (ccPxySvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\ccPxySvc.exeO23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus
avapsvc.exeO23 - Service: Norton Internet Security Accounts Manager (NISUM) - Symantec Corporation - C:\Program Files\Norton Internet Security\NISUM.EXEO23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exeO23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exeO23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

Utilisateur anonyme · Answer

salutsur quel fichier tu as eu l'alerte ?

scouby01 · Answer

Sur le fichier  WININET.DLL  et  OLEADM.DLLj'ai une alert virus sur les 2 fichiers + le virus Trojan.Desktophijack.B sur  les  2 meme

Utilisateur anonyme · Answer

salut scoubyne touche surtout pas à wininet.dll c'est un fichier systeme.j'ai plus le temps ce soir, je repasse demain pour la suitea+

scouby01 · Answer

Ok je verais ca se soir

Utilisateur anonyme · Answer

salut scoubyreposte un hijack.a+

Utilisateur anonyme · Answer

moe ça va t-il bien ? est-ce que tu peux regarder ce log ? je suis à la bourre j'ai plus le temps - ce serait très gentil avant qu'ils fassent tous une crise de nerfs sur ce post pour juste "remise des pendules à l'heure" mdrrr!
http://www.commentcamarche.net/forum/affich-1623819-Intrus-sur-mon-PC---Hijackthis

Merci

et b'jour scouby

*Devise : Je m'intéresse à l'avenir parceque
c'est là que je vais passer le reste de ma vie*

scouby01 · Answer

Logfile of HijackThis v1.99.1Scan saved at 18:01:16, on 23/06/2005Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\Ati2evxx.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\system32\Ati2evxx.exeC:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeC:\Program Files\Norton Internet Security\NISUM.EXEC:\WINDOWS\Explorer.EXEC:\WINDOWS\system32	askswitch.exeC:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeC:\WINDOWS\system32\CTHELPER.EXEC:\Program Files\Fichiers communs\Symantec Shared\ccApp.exeF:\Program Files\D-Tools\daemon.exeC:\Program Files\Messenger Plus! 3\MsgPlus.exeC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\Program Files\Java\jre1.5.0_02\bin\jusched.exeC:\Program Files\Daily Weather Forecast\weather.exeC:\Program Files\QuickTime\qttask.exeF:\progra~1\steam\steam.exeC:\PROGRA~1\INCRED~1\bin\IMApp.exeC:\Program Files\Norton Internet Security\ccPxySvc.exeC:\Program Files\Norton AntiVirus
avapsvc.exeC:\Program Files\MSN Messenger\msnmsgr.exeC:\WINDOWS\system32\svchost.exeC:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exeC:\WINDOWS\system32\wuauclt.exeC:\Program Files\Internet Explorer\IEXPLORE.EXEC:\Documents and Settings\Administrateur\Mes documents\hijackthis\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr/R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocxO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dllO2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - F:\PROGRA~1\FlashGet\jccatch.dllO2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dllO2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dllO2 - BHO: TGTSoft Explorer Toolbar Changer - {C333CF63-767F-4831-94AC-E683D962C63C} - (no file)O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - c:\PROGRA~1\FlashFXP\IEFlash.dllO3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dllO3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - F:\PROGRA~1\FlashGet\fgiebar.dllO3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dllO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\system32	askswitch.exeO4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeO4 - HKLM\..\Run: [CTHelper] CTHELPER.EXEO4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXEO4 - HKLM\..\Run: [Jet Detection] "C:\Program Files\Creative\SBLive\PROGRAM\ADGJDet.exe"O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe"O4 - HKLM\..\Run: [DAEMON Tools-1033] "F:\Program Files\D-Tools\daemon.exe"  -lang 1033O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe"O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osbootO4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /ConsumerO4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckRegO4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_02\bin\jusched.exeO4 - HKLM\..\Run: [Daily Weather Forecast] C:\Program Files\Daily Weather Forecast\weather.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKCU\..\Run: [Steam] "f:\progra~1\steam\steam.exe" -silentO4 - HKCU\..\Run: [IncrediMail] C:\PROGRA~1\INCRED~1\bin\IncMail.exe /cO4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe" /WinStartO4 - HKCU\..\Run: [NBJ] "C:\Program Files\Ahead\Nero BackItUp\NBJ.exe"O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /backgroundO4 - Startup: PowerReg Scheduler V3.exeO4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exeO8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\binesources\WebMenuImg.htmO8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.htmlO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://F:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.htmlO8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.htmlO8 - Extra context menu item: Télécharger avec FlashGet - F:\Program Files\FlashGet\jc_link.htmO8 - Extra context menu item: Télécharger tout avec FlashGet - F:\Program Files\FlashGet\jc_all.htmO8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.htmlO9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin
pjpi150_02.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin
pjpi150_02.dllO9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - F:\PROGRA~1\FlashGet\flashget.exeO9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - F:\PROGRA~1\FlashGet\flashget.exeO16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1094318398609O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exeO23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exeO23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exeO23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeO23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exeO23 - Service: Symantec Proxy Service (ccPxySvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\ccPxySvc.exeO23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus
avapsvc.exeO23 - Service: Norton Internet Security Accounts Manager (NISUM) - Symantec Corporation - C:\Program Files\Norton Internet Security\NISUM.EXEO23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exeO23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exeO23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

Utilisateur anonyme · Answer

salut

bon, quelques vérifs pour commencer:

Rend visible les fichiers cachés et systeme
panneau de configuration > options des dossiers > onglet affichage
Cocher " afficher les fichiers et dossiers cachés "
Décocher " masquer les extentions des fichiers dont le type est connu
Décocher " masquer les fichiers protégés du système"
clic sur ok pour valider

dis moi si ces fichiers sont présents:

C:\Windows\uninstIU.exe
C:\Windows\System32\oleadm.dll
C:\Windows\System32\OLEADM32.DLL
C:\program files\PsGuard
mais n'y touche pas pour l'instant

ensuite ouvre l'editeur du registre:
demarrer > executer tape regedit

rend toi a l'aide du signe + sur cette clé
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager\clic sur PendingFileRenameOperations

note tout se qui se trouve dans la fenetre de droite et poste le resultat ici

a+

scouby01 · Answer

C:\Windows\uninstIU.exe NON
C:\Windows\System32\oleadm.dll OUI
C:\Windows\System32\OLEADM32.DLL NON
C:\program files\PsGuard NON

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager\ j ai pas PendingFileRenameOperations
voir capture d'ecran

http://img280.echo.cx/img280/7842/keyregistre3pg.jpg

Utilisateur anonyme · Answer

ok, dsl je me suis mal expliqué, en fait c'est:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\clic sur Session Manager

dans la fenetre de droite dis moi si tu vois:
PendingFileRenameOperations
et
AllowProtectedRenames

a+

scouby01 · Answer

Comme tu peut le voir sur la capture d'ecran j ai ni PendingFileRenameOperations  ni AllowProtectedRenames

Utilisateur anonyme · Answer

exact

essaye de supprimer oleadm.dll en mode sans echec et si elle et recalcitrante:
telecharge pocket killbox ici:
http://www.downloads.subratam.org/KillBox.exe
en image:
http://get.yourfile.net/ix48472.jpg

Double-clic sur KillBox.exe
Selectionne "Delete on Reboot"
4- Copie le chemin C:\Windows\System32\oleadm.dll et colle dans "Full Path of File to Delete"
5- clic sur la croix rouge
6- une fenetre va apparaitre pour confirmation clic sur YES
7- une seconde fenetre te demande si tu veux redemarrer clic sur YES

Recherche et supprime cette clé si elle existe

HKEY_CLASSES_ROOT\CLSID\{357A87ED-3E5D-437d-B334-DEB7EB4982A3}

repasse ton av, pour voir ce qu'il dit.

a+

scouby01 · Answer

j ' ai suprimer oleadm.dll  avec  killbox  j'ai supprime la cle j ai relancer norton mais j ai plus qu'un fichier infecter  " WININET.DLL  "Voila la situationMerci de ton aide

Utilisateur anonyme · Answer

salut

pas facile, d'autant que cette nouvelle variante de smitfraud n'a pas trop de solutions encore.

essaye à nouveau de rechercher:
C:\Windows\System32\oleadm32.dll
C:\Windows\uninstIU.exe
C:\WINDOWS\zloader3.exe

mais sans passer par la fonction rechercher, en allant directement dans les dossier.
c'est vraiment important de rendre visible les fichiers cachés et systeme (les 2)

telecharge aussi Registry Search Tool
http://www.billsway.com/vbspage/vbsfiles/RegSrch.zip
c'est un outil qui permet de rechercher dans le registre.

tape wininet.dll
enregistre le log
tape oleadm32.dll
enregistre le log

poste les 2 resultats

est ce que tu as essayé de passer ton av en mode sans echecs ?

a+

balltrap34 · Answer

lol il y a une nouvel version qui traine?

Utilisateur anonyme · Answer

oui, elle infecte un fichier systeme: wininet.dllca devient de plus en plus dur avec smitfraudles seuls cas resolus que j'ai vu on du remplacer la dll et non sans malquelques infos ici:http://securityresponse.symantec.com/avcenter/venc/data/w32.desktophijack.htmlhttp://users.telenet.be/marcvn/spyware/1308650.htmhttp://www.antivirusworld.com/articles/virus/smitfraud.php

scouby01 · Answer

C:\Windows\System32\oleadm32.dll NON
C:\Windows\uninstIU.exe NON
C:\WINDOWS\zloader3.exe NON

tape wininet.dll
Resultat

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB867282\Filelist\9]
"FileName"="wininet.dll"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB883939\Filelist\0]
"FileName"="wininet.dll"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB883939\Filelist\12]
"FileName"="wininet.dll"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB883939\Filelist\26]
"FileName"="wininet.dll"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB890923\Filelist\0]
"FileName"="wininet.dll"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB890923\Filelist\10]
"FileName"="wininet.dll"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB890923\Filelist\20]
"FileName"="wininet.dll"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\TemplatePolicies\High]
"Icon"="wininet.dll#00001205"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\TemplatePolicies\Low]
"Icon"="wininet.dll#00001207"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\TemplatePolicies\Medium]
"Icon"="wininet.dll#00001206"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\TemplatePolicies\MedLow]
"Icon"="wininet.dll#00001206"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager\KnownDLLs]
"wininet"="wininet.dll"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Session Manager\KnownDLLs]
"wininet"="wininet.dll"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs]
"wininet"="wininet.dll"

[HKEY_USERS\S-1-5-21-1960408961-1303643608-682003330-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
"AutoConfigProxy"="wininet.dll"

tape oleadm32.dll

REGEDIT4
; RegSrch.vbs © Bill James

; Registry search results for string "oleadm32.dll" 23/06/2005 22:19:40

; NOTE: This file will be deleted when you close WordPad.
; You must manually save this file to a new location if you want to refer to it again later.
; (If you save the file with a .reg extension, you can use it to restore any Registry changes you make to these values.)

[HKEY_USERS\S-1-5-21-1960408961-1303643608-682003330-500\Software\Microsoft\Search Assistant\ACMru\5603]
"002"="OLEADM32.DLL "

Voila les resultats ( que je comprend pas ) j'espere qu il pourons " t'aider a m'aider " ;)

Utilisateur anonyme · Answer

tout ca est normal.tente une derniere recherche avec oleadm.dll et poste le resultat.

scouby01 · Answer

tente une derniere recherche avec oleadm.dll il trouve RIEN

Utilisateur anonyme · Answer

pas facile....

est ce que tu as plusieurs fichiers wininet.dll sur ton pc ?
regarde en faisant :
demarrer > rechercher
Assure toi que dans:
Tous les fichiers et tous les dossiers >> Options avancées
• Rechercher dans les dossiers systemes <- DOIT ETRE COCHE !
• Rechercher dans les fichiers et les dossiers cachés <- DOIT ETRE COCHE !
• Rechercher dans les sous-dossiers <- DOIT ETRE COCHE !

lance une recherche sur wininet.dll et dis moi combien tu en trouve

a+

scouby01 · Answer

En gros 10 voir capture d ecran http://img166.echo.cx/img166/5884/wininet7gm.jpg

Utilisateur anonyme · Answer

bon, tu dois en avoir une de reserve, c'est dejà ca !Avant de tenter de la remplacer, fais plusieurs scan av, histoire de voir si norton n'a rien oublier.http://www.ravantivirus.comhttp://housecall.trendmicro.comhttp://www.bitdefender.com/scan/licence.phphttp://www.pandasoftware.com/activescan/fr/activescan_principal.htmfais les 4 si tu as le temps (note le nom et chemin des fichiers qui seront trouvés)ensuite telecharge:PFIND-Newhttp://www.bleepingcomputer.com/files/grinler/pfind-new.zipetrkfileshttp://skads.org/special/rkfiles.zippour pfind-new, double clic sur pfind.bat et enregistre le rapportpour rkfiles, double clic sur rkfiles.bat et enregistre le rapportposte les resultats des 2 logsje dois arreter pour ce soir.j'espere qu'on va en venir à bout !!je repasse demain en fin d'appres midià demain pour la suitea+

scouby01 · Answer

je part en wenk end donc plustot a lundi

Utilisateur anonyme · Answer

ok, bon week end et à lundi

balltrap34 · Answer

salutbizzard ces kb sp3pour moe peut etre tenter un reg avec les infos de symanteclol cela vas pas etre facileou alors un scan en ligne qui est capable de le nettoyer style panda voir peut etre bit defendermais je craint pour oleadm.dll et wininet.dll

scouby01 · Answer

PFIND-New Files found with this application may be legitimate. Only remove files that you know are malware related.   Checking the C: folder   Checking the C:\Program Files folder   Checking the C:\WINDOWS folder C:\WINDOWS\daemon.dll: UPX!C:\WINDOWS\RMAgentOutput.dll: UPX!C:\WINDOWS	sc.exe: UPX!C:\WINDOWS\vsapi32.dll: UPX!t4  Checking the C:\WINDOWS\SYSTEM32 folder C:\WINDOWS\SYSTEM32
tdll.dll: .aspack  Checking all directories under the C:\WINDOWS\SYSTEM32\drivers folder   Checking the C:\Documents and Settings\All Users\Start Menu\programs\Startup\ folder      Checking the C:\Documents and Settings\All Users\Application Data folder     Checking the C:\Documents and Settings\Administrateur\Start Menu\programs\Startup\ folder     Checking the C:\Documents and Settings\Administrateur\Application Data folder     Checking the Windows folder for system and hidden files within the last 60 days  C:\WINDOWS\   bootstat.dat   Thu 23 Jun 2005  21:15:12   A.S..          2 048     2,00 KC:\WINDOWS\TASKS\   sa.dat         Thu 23 Jun 2005  21:15:14   A..H.              6     0,00 KC:\WINDOWS\SYSTEM32\CONFIG\   default.log    Thu 23 Jun 2005  23:10:38   A..H.          1 024     1,00 K   sam.log        Thu 23 Jun 2005  21:15:14   A..H.          1 024     1,00 K   security.log   Thu 23 Jun 2005  21:16:22   A..H.          1 024     1,00 K   software.log   Thu 23 Jun 2005  23:42:36   A..H.         12 288    12,00 K   system.log     Thu 23 Jun 2005  23:42:36   A..H.          1 024     1,00 KC:\WINDOWS\SYSTEM32\CATROOT\{F750E~1\   kb883939.cat   Mon  2 May 2005  14:12:50   ..S..         18 615    18,18 K   kb890046.cat   Tue 17 May 2005  11:23:10   ..S..         11 845    11,57 K   kb893066.cat   Wed 25 May 2005  14:38:58   ..S..         10 786    10,53 K   kb8938~1.cat   Wed  4 May 2005  14:45:46   ..S..         29 493    28,80 K   kb896358.cat   Thu 26 May 2005  19:22:30   ..S..         15 022    14,67 K   kb896422.cat   Tue 10 May 2005  10:34:16   ..S..         10 786    10,53 K   kb896428.cat   Tue 10 May 2005  19:52:16   ..S..         10 786    10,53 KC:\WINDOWS\SYSTEM32\CONFIG\SYSTEM~1\   ntuser~1.log   Sat 18 Jun 2005  15:28:00   A..H.          1 024     1,00 KC:\WINDOWS\SYSTEM32\MICROS~1\PROTECT\S-1-5-18\USER\   a66554~1       Sat  4 Jun 2005  12:16:46   A.SH.            388     0,38 K   prefer~1       Sat  4 Jun 2005  12:16:46   A.SH.             24     0,02 KC:\WINDOWS\SYSTEM32\CONFIG\SYSTEM~1\APPLIC~1\MICROS~1\CRYPTN~1\CONTENT\   60e316~1       Sat 14 May 2005   8:12:36   A.S..            688     0,67 K   6c68a7~1       Thu 23 Jun 2005  17:58:58   A.S..         14 760    14,41 K   a8faba~1       Wed 15 Jun 2005  15:09:14   A.S..         14 515    14,17 K   e891c6~1       Sat  4 Jun 2005   2:54:16   A.S..          7 652     7,47 K   f482c9~1       Thu 16 Jun 2005  18:14:58   A.S..         70 121    68,48 KC:\WINDOWS\SYSTEM32\CONFIG\SYSTEM~1\APPLIC~1\MICROS~1\CRYPTN~1\METADATA\   60e316~1       Sat 14 May 2005   8:12:36   A.S..             94     0,09 K   6c68a7~1       Thu 23 Jun 2005  17:58:58   A.S..            132     0,13 K   a8faba~1       Wed 15 Jun 2005  15:09:14   A.S..            124     0,12 K   e891c6~1       Sat  4 Jun 2005   2:54:16   A.S..            134     0,13 K   f482c9~1       Thu 16 Jun 2005  18:14:58   A.S..            128     0,13 K27 items found:  27 files, 0 directories.   Total of file sizes:  235 555 bytes    230,03 K

balltrap34 · Answer

salutpour moe j ai rajouter des entrees au rega utiliser mais avant faire sauvegarde de la base de registreje te le met en entierREGEDIT4[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Desktop\General]"WallpaperFileTime"=-"WallpaperLocalFileTime"=-[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]"NoDispAppearancePage"=-"Wallpaper"=-"WallpaperStyle"=-"NoDispBackgroundPage"=-[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]"NoActiveDesktopChanges"=-"ForceActiveDesktopOn"=-[HKEY_CURRENT_USER\Control Panel\Desktop]"Wallpaper"=-"WallpaperStyle"=-"Papier peint" =-[HKEY_CURRENT_USER\Control Panel\Colors]"Background"="0 78 152"[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]"notepad.exe"=-"notepad2.exe"=-"winlogon.exe"=-"paint.exe"=-[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Explorer\Browser Helper Objects\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFF}][-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Explorer\Browser Helper Objects\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA}][HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search]"SearchAssistant"="http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm""CustomizeSearch"="http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchcust.htm""Default_Search_URL"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]"Default_Search_URL"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch""Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"[HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main]"Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch""Search Bar"="Search Bar"="http://search.msn.com/intl/searchpane/en-au/prov2.htm"[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchUrl]""="http://home.microsoft.com/access/autosearch.asp?p=%s"[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\main]"Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch""Search Bar"="http://search.msn.com/spbasic.htm""Use Custom Search URL"= dword:00000000"Use Search Asst"=-[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFF}][-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA}][-HKEY_CLASSES_ROOT\CLSID\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFF}][-HKEY_CLASSES_ROOT\CLSID\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA}][-HKEY_CLASSES_ROOT\CLSID\{357A87ED-3E5D-437d-B334-DEB7EB4982A3}][-HKEY_CLASSES_ROOT\CLSID\VMHomepage][-HKEY_CLASSES_ROOT\CLSID\VMHomepage.1][-HKEY_CLASSES_ROOT\Interface\{1E1B2878-88FF-11D2-8D96-D7ACAC95951F}][-HKEY_CLASSES_ROOT\TypeLib\{1E1B286C-88FF-11D2-8D96-D7ACAC95951F}][-HKEY_CLASSES_ROOT\VMHomepage][-HKEY_CLASSES_ROOT\VMHomepage.1][-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objecta][-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\HTTP\Parameters\S][-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\HTTP\Parameters\S][-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\SharedAccess\Parameters\r][-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\1][HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]"Intel system tool"=-"WindowsFZ"=-[-HKEY_LOCAL_MACHINE\SOFTWARE\AntivirusGold][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001 \Control\Session Manager]"AllowProtectedRenames" =-"PendingFileRenameOperations" = -

scouby01 · Answer

C:\Documents and Settings\Administrateur\Mes documentskfiles  PLEASE NOTE THAT ALL FILES FOUND BY THIS METHOD ARE NOT BAD FILES, THERE MIGHT BE LEGIT FILES LISTED AND PLEASE BE CAREFUL WHILE FIXING. IF YOU ARE UNSURE OF WHAT IT IS LEAVE THEM ALONE. Files Found in system Folder............ ------------------------C:\WINDOWS\system32\dfrg.msc: AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAQAAAAAwGpEc213C:\WINDOWS\system32\dfrg.msc: AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAQAAAAAwGpEc213 Files Found in all users startup Folder............ ------------------------Files Found in all users windows Folder............ ------------------------C:\WINDOWS\daemon.dll: UPX!C:\WINDOWS\RMAgentOutput.dll: UPX!C:\WINDOWS	sc.exe: UPX!C:\WINDOWS\vsapi32.dll: UPX!t4Finishedbye

Utilisateur anonyme · Answer

salutfait analyser ici:http://virusscan.jotti.org/ C:\WINDOWS\RMAgentOutput.dll et poste le resultata+

nico · Answer

BonjourJe rencontre le meme probleme, j'ai vire le fichier comme tu dis, donc je n'ai plus qu'un fichier inficté "wininet.dll".Norton le detecte mais ne résoud rienMerci  Nico

balltrap34 · Answer

salutsi c est une infection smirtfaut cela ne suffit pas car au demarrage suivant si l exe qui le relance n est pas suppr tous finirat par reveniril faut aussi utiliser se regREGEDIT4[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Desktop\General]"WallpaperFileTime"=-"WallpaperLocalFileTime"=-[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]"NoDispAppearancePage"=-"Wallpaper"=-"WallpaperStyle"=-"NoDispBackgroundPage"=-[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]"NoActiveDesktopChanges"=-"ForceActiveDesktopOn"=-[HKEY_CURRENT_USER\Control Panel\Desktop]"Wallpaper"=-"WallpaperStyle"=-"Papier peint" =-[HKEY_CURRENT_USER\Control Panel\Colors]"Background"="0 78 152"[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]"notepad.exe"=-"notepad2.exe"=-"winlogon.exe"=-"paint.exe"=-[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Explorer\Browser Helper Objects\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFF}][-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Explorer\Browser Helper Objects\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA}][HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search]"SearchAssistant"="http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm""CustomizeSearch"="http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchcust.htm""Default_Search_URL"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]"Default_Search_URL"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch""Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"[HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main]"Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch""Search Bar"="Search Bar"="http://search.msn.com/intl/searchpane/en-au/prov2.htm"[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchUrl]""="http://home.microsoft.com/access/autosearch.asp?p=%s"[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\main]"Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch""Search Bar"="http://search.msn.com/spbasic.htm""Use Custom Search URL"= dword:00000000"Use Search Asst"=-[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFF}][-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA}][-HKEY_CLASSES_ROOT\CLSID\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFF}][-HKEY_CLASSES_ROOT\CLSID\{FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA}][-HKEY_CLASSES_ROOT\CLSID\{357A87ED-3E5D-437d-B334-DEB7EB4982A3}][-HKEY_CLASSES_ROOT\CLSID\VMHomepage][-HKEY_CLASSES_ROOT\CLSID\VMHomepage.1][-HKEY_CLASSES_ROOT\Interface\{1E1B2878-88FF-11D2-8D96-D7ACAC95951F}][-HKEY_CLASSES_ROOT\TypeLib\{1E1B286C-88FF-11D2-8D96-D7ACAC95951F}][-HKEY_CLASSES_ROOT\VMHomepage][-HKEY_CLASSES_ROOT\VMHomepage.1][-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objecta][-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\HTTP\Parameters\S][-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\HTTP\Parameters\S][-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\SharedAccess\Parameters\r][-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\1][HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]"Intel system tool"=-"WindowsFZ"=-[-HKEY_LOCAL_MACHINE\SOFTWARE\AntivirusGold][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001 \Control\Session Manager]"AllowProtectedRenames" =-"PendingFileRenameOperations" = -tu le copie dans le bhloc note et tu lui donne le nom que tu veut.regpense a mettre tous fichiers avant d enregistrerla tu sauvegarde ta base de registre avant de faire le restetu le met sur ton bureau et tu double clik dessus et confirmre

Utilisateur anonyme · Answer

salut balltrapje vois que tu as rajouté les nouvelles lignes au reg, c'est bien.y a quand meme un truc que je trouve bizarre, c'est que scouby par exemple n'a pas ces clés dans sont registre (voir capture post 10).surtout celle ci PendingFileRenameOperations, qui apparement permet l'infection par OLEADM32.DLL  ou OLEADM.DLL de wininet.dll.

balltrap34 · Answer

salut moecertainement un anti virus qui a fait une partie du travail??j ai un soucis avec le reg je le met sur mon serveur et quand je l apelle il ne s enregistre pas et affiche le reg mais completement decaler je te le donne regarde pour voir stphttp://pageperso.aol.fr/balltrap34/nouveau smirfault.reg

balltrap34 · Answer

lol le voilahttp://pageperso.aol.fr/Balltrap34/smirfault.reg

Utilisateur anonyme · Answer

salutil s'ouvre directement et toutes les lignes sont les une à coté des autre.

balltrap34 · Answer

lol je comprend pas pourquoi

Utilisateur anonyme · Answer

tu l'as fais avec wordpad ou bloc note ?le bloc note c'est mieux

balltrap34 · Answer

le bloc note

Utilisateur anonyme · Answer

essaye celui là, je l'ai uploadé ici:http://get.yourfile.net/nu52411.zipa+

balltrap34 · Answer

oki il marche c est un copier du mien ou tu la refait

Utilisateur anonyme · Answer

non c'est celui de bleeping computer, et j'ai juste rajouté la derniere ligne.HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001 \Control\Session Manager etc...

balltrap34 · Answer

bizzard exactement comme moic est pas grave la ou tu la mis il vas rester lomgtemp ou je le met sur mon site

Utilisateur anonyme · Answer

tu peux le mettre sur ton site si tu veux, je l'ai uploadé pour 1 jour seulement

balltrap34 · Answer

lol j ai trouver mon serveur naccepte pas les reg directj ai mis le zipper et pas de soucisje te donne le lienhttp://pageperso.aol.fr/balltrap34/smitfraud2.zip

Utilisateur anonyme · Answer

c'est bon ca marche !

balltrap34 · Answer

merciet sur se bonne soiree je doit m absentera++

Utilisateur anonyme · Answer

amuse toi biena+

scouby01 · Answer

Apres un bon wwek end me revoila avec mes problemefait analyser ici: http://virusscan.jotti.org/ C:\WINDOWS\RMAgentOutput.dll et poste le resultat Service load:  0%        100%   File:  RMAgentOutput.dll  Status:  MIGHT BE INFECTED/MALWARE (Sandbox emulation took a long time and/or runtime packers were found, this is suspicious. Normally programs aren't packed and don't force the sandbox into lengthy emulation. Do realize no scanner issued any warning, the file can very well be harmless. Caution is advised, however.) (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)  MD5  d5ed81b5764e618d99a627df4e49de2c  Packers detected:  UPX Scanner results  AntiVir  Found nothing ArcaVir  Found nothing Avast  Found nothing AVG Antivirus  Found nothing BitDefender  Found nothing ClamAV  Found nothing Dr.Web  Found nothing F-Prot Antivirus  Found nothing Fortinet  Found nothing Kaspersky Anti-Virus  Found nothing NOD32  Found nothing Norman Virus Control  Found nothing VBA32  Found nothing

Utilisateur anonyme · Answer

salut scouby, reposte un hijack et on verra pour winineta+

scouby01 · Answer

Sakut  voici le dernier hijackLogfile of HijackThis v1.99.1Scan saved at 20:22:29, on 27/06/2005Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\Ati2evxx.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\Ati2evxx.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\system32\spoolsv.exeC:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeC:\Program Files\Norton Internet Security\NISUM.EXEC:\WINDOWS\system32	askswitch.exeC:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeC:\WINDOWS\system32\CTHELPER.EXEC:\Program Files\Fichiers communs\Symantec Shared\ccApp.exeF:\Program Files\D-Tools\daemon.exeC:\Program Files\Messenger Plus! 3\MsgPlus.exeC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\Program Files\Java\jre1.5.0_02\bin\jusched.exeC:\Program Files\Daily Weather Forecast\weather.exeC:\Program Files\QuickTime\qttask.exeF:\progra~1\steam\steam.exeC:\PROGRA~1\INCRED~1\bin\IMApp.exeC:\Program Files\Norton Internet Security\ccPxySvc.exeC:\Program Files\Norton AntiVirus
avapsvc.exeC:\WINDOWS\system32\svchost.exeC:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exeC:\WINDOWS\system32\wuauclt.exeC:\Program Files\MSN Messenger\msnmsgr.exeC:\Program Files\Internet Explorer\IEXPLORE.EXEC:\Program Files\Internet Explorer\IEXPLORE.EXEC:\Documents and Settings\Administrateur\Mes documents\hijackthis\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr/R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocxO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dllO2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - F:\PROGRA~1\FlashGet\jccatch.dllO2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dllO2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dllO2 - BHO: TGTSoft Explorer Toolbar Changer - {C333CF63-767F-4831-94AC-E683D962C63C} - (no file)O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - c:\PROGRA~1\FlashFXP\IEFlash.dllO3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dllO3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - F:\PROGRA~1\FlashGet\fgiebar.dllO3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dllO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exeO4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\system32	askswitch.exeO4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeO4 - HKLM\..\Run: [CTHelper] CTHELPER.EXEO4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXEO4 - HKLM\..\Run: [Jet Detection] "C:\Program Files\Creative\SBLive\PROGRAM\ADGJDet.exe"O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe"O4 - HKLM\..\Run: [DAEMON Tools-1033] "F:\Program Files\D-Tools\daemon.exe"  -lang 1033O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe"O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osbootO4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /ConsumerO4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckRegO4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_02\bin\jusched.exeO4 - HKLM\..\Run: [Daily Weather Forecast] C:\Program Files\Daily Weather Forecast\weather.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKCU\..\Run: [Steam] "f:\progra~1\steam\steam.exe" -silentO4 - HKCU\..\Run: [IncrediMail] C:\PROGRA~1\INCRED~1\bin\IncMail.exe /cO4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe" /WinStartO4 - HKCU\..\Run: [NBJ] "C:\Program Files\Ahead\Nero BackItUp\NBJ.exe"O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /backgroundO4 - Startup: PowerReg Scheduler V3.exeO4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exeO8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\binesources\WebMenuImg.htmO8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.htmlO8 - Extra context menu item: E&xporter vers Microsoft Excel - res://F:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.htmlO8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.htmlO8 - Extra context menu item: Télécharger avec FlashGet - F:\Program Files\FlashGet\jc_link.htmO8 - Extra context menu item: Télécharger tout avec FlashGet - F:\Program Files\FlashGet\jc_all.htmO8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.htmlO9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin
pjpi150_02.dllO9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin
pjpi150_02.dllO9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - F:\PROGRA~1\FlashGet\flashget.exeO9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - F:\PROGRA~1\FlashGet\flashget.exeO16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cabO16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1094318398609O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exeO23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exeO23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exeO23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeO23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exeO23 - Service: Symantec Proxy Service (ccPxySvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\ccPxySvc.exeO23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus
avapsvc.exeO23 - Service: Norton Internet Security Accounts Manager (NISUM) - Symantec Corporation - C:\Program Files\Norton Internet Security\NISUM.EXEO23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exeO23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exeO23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

Utilisateur anonyme · Answer

salutest ce que norton, ta detecté d'autres fichiers depuis ?

scouby01 · Answer

Norton detecte juste wininet.dll avec W32.Desktophijack

Utilisateur anonyme · Answer

salutPour wininet.dll, la seule méthode pour l'instant que je connaisse(sauf si ton av peut réparer), c'est de remplacer la dll par une copie, que tu dois avoir normallement sur ton pc: Désactive la restauration systéme.Clic droit sur poste de travail > propriétés > onglet restauration système puis cocher "désactiver la restauration système".clic sur ok pour valider  Redémarre en mode sans échec Laisse passer l'écran du bios, puis tapote sur la touche F8 avant qu'apparaisse l'écran de chargement de windows.  Choisis le mode sans échec dans les options et valide avec entrée. Rend visible les fichiers cachés et systeme panneau de configuration > options des dossiers > onglet affichage Cocher " afficher les fichiers et dossiers cachés "Décocher " masquer les extentions des fichiers dont le type est connu Décocher " masquer les fichiers protégés du système"clic sur ok pour valider-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_ Lance hijackthis et clic sur "do a system scan only"cocher la case au début des lignes suivantes:O4 - HKLM\..\Run: [Daily Weather Forecast] C:\Program Files\Daily Weather Forecast\weather.exe valider avec [fix checked]-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_recherche et supprime:C:\Program Files\Daily Weather Forecastensuite:Va dans C:\windows\system32 et clic droit sur wininet.dll > propriété > versionnote la version du fichier.Maintenant, renomme wininet.dll en wininet2.dll(mais ne la supprime pas, on sait jamais...)Ensuite, demarrer > rechercherlance une recherche sur wininet.dllTu devrais normallement trouver des sauvegardes de ce fichier dans plusieurs dossiers.il ne te reste plus, qu'a trouver celui qui a la meme version et de le copier (clic droit > copier) et coller dans C:\windows\system32redemarre normallement et relance ton av.

scouby01 · Answer

Ok tous marche Norton a meme reparer le fichier renomer !!!!Je te remerci et si je peut aider le site d'une facon ou d'une autre je le feraisEncors merci pour la solution et le temps que tu m'a consacrer

Utilisateur anonyme · Answer

salutvraiment content pour toi.juste pour info, est ce que tu avais essayer de faire reparer par norton en sans echec avant de faire les manips ?est ce qu'il a reussi à reparer en mode normal ?merci de préciser, ca aidera ce qui ont le meme prob que toi.n'oublis pas de reactiver la restauration systeme et de recacher les fichiers cachés et systeme.a++

mattlou43 · Answer

bravomoi aussi j'avais le même problème et maintenant tout va bienEn ce qui me concerne norton a reussi a reparer en mode normal aprés avoir fait les manip.Merci encore pour tes conseils

Utilisateur anonyme · Answer

salutapres avoir supprimé les fichiers infectés ou apres avoir renomé la dll ?merci.

mattlou43 · Answer

aprés avoir renomé

mattlou43 · Answer

un peu plus de précisionMoi je n'avais pas le fichier c:\program Files \Daily Weather Forecastdonc j'ai juste renommer wininetpuis je suis repasser en mode normal et lancer un scan avec norton et a la fin du scan il marquer un virus trouve et un virus repare

scouby01 · Answer

BonjourAvant d'avoir renomer le fichier meme en mode sans echec norton ne pouvais reparer le fichier , donc j 'ai renomer le fichier et epres ( toujours en mode sans echec ) norton a put reparer

Utilisateur anonyme · Answer

salutmerci d'avoir précisé.a+

Sulia · Answer

Bonjour, Voila j ai le même probleme et j ai tenter de le renommer comme vous mais quand j essai de le renommer moi ca ne marche pas j ai une fenetre d' erreur qui me dit que je ne peus pas renommer le fichier car il est en cour d' utilisation par windowssvp aidez moiMerci d' avance

balltrap34 · Answer

salutfait le en mode sans echecechec pour cela tu tapote la touche f8 des le debut de l allumage du pc sans t arreter une fenetre vas souvrir tute deplace avec les fleches du clavier sur demarreren mode sans echec une fois sur le bureau il ni auras pas toutes les couleurs et autres c est normal.si f8 ne marche pas utilise la touche f5

jean38 · Answer

dis balltrap,tu ne m'as pas mis le lien pour l'aide hijack...coup de pompe?? loljean

Sulia · Answer

Salut Balltrap, Escuse moi je n' avais pas preciser mais je l avai deja fait en mode sans echec j ai exactement fait la manip suivante : Ajouté par moe31 (27/06/2005 à 20:43 GMT+2)  salut Pour wininet.dll, la seule méthode pour l'instant que je connaisse(sauf si ton av peut réparer), c'est de remplacer la dll par une copie, que tu dois avoir normallement sur ton pc:  Désactive la restauration systéme. Clic droit sur poste de travail > propriétés > onglet restauration système puis cocher "désactiver la restauration système". clic sur ok pour valider  Redémarre en mode sans échec Laisse passer l'écran du bios, puis tapote sur la touche F8 avant qu'apparaisse l'écran de chargement de windows. Choisis le mode sans échec dans les options et valide avec entrée.  Rend visible les fichiers cachés et systeme panneau de configuration > options des dossiers > onglet affichage Cocher " afficher les fichiers et dossiers cachés " Décocher " masquer les extentions des fichiers dont le type est connu Décocher " masquer les fichiers protégés du système" clic sur ok pour valider -_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_  Lance hijackthis et clic sur "do a system scan only" cocher la case au début des lignes suivantes: O4 - HKLM\..\Run: [Daily Weather Forecast] C:\Program Files\Daily Weather Forecast\weather.exe valider avec [fix checked] -_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_ recherche et supprime: C:\Program Files\Daily Weather Forecast ensuite: Va dans C:\windows\system32 et clic droit sur wininet.dll > propriété > version note la version du fichier. Maintenant, renomme wininet.dll en wininet2.dll(mais ne la supprime pas, on sait jamais...) Ensuite, demarrer > rechercher lance une recherche sur wininet.dll Tu devrais normallement trouver des sauvegardes de ce fichier dans plusieurs dossiers. il ne te reste plus, qu'a trouver celui qui a la meme version et de le copier (clic droit > copier) et coller dans C:\windows\system32 redemarre normallement et relance ton av.Mais de toute facon je ne comprend pourquoi cela a marché pour certains car je ne vois pas comment dejà on peut arriver a renommer un fichier qui est utiliser par le systeme.Un dernier truc, si quelqun peut m' expliquer ce que cela donne de supprimer daily weather forecastMerci d' avancea+

Utilisateur anonyme · Answer

salut suliala manip et la meme pour tout le monde pour wininet, mais pas avec hijackthis.Daily Weather Forecast n'a rien à voir avec cette infection, c'est un spyware.chaque hijack est différent pour chacun, poste le tiens pour voir de quoi il en retourne.si tu as du mal, regarde ceci:http://pageperso.aol.fr/balltrap34/demohijack.htmQuels sont les fichiers que te detecte ton av ?a+

Sulia · Answer

Salut Moe 31,Merci de ton aide, Voicice que tu m a demandé : Logfile of HijackThis v1.99.1Scan saved at 12:01:51, on 01/07/2005Platform: Windows 2000 SP4 (WinNT 5.00.2195)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINNT\System32\smss.exeC:\WINNT\system32\winlogon.exeC:\WINNT\system32\services.exeC:\WINNT\system32\lsass.exeC:\WINNT\System32\Ati2evxx.exeC:\WINNT\system32\svchost.exeC:\WINNT\System32\svchost.exeC:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exeC:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exeC:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exeC:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeC:\WINNT\system32\spoolsv.exeC:\Program Files\Dassault Systemes\B14\intel_a\code\bin\CATSysDemon.exeC:\Program Files\flexlm\i486_nt\obj\lmgrd.exeC:\WINNT\system32\hidserv.exeC:\Program Files\Ahead\InCD\InCDsrv.exeC:\Program Files\flexlm\i486_nt\obj\ptc_d.exeC:\Program Files\Norton AntiVirus
avapsvc.exeC:\Program Files\Norton AntiVirus\IWP\NPFMntor.exeC:\WINNT\system32egsvc.exeC:\WINNT\system32\MSTask.exeC:\WINNT\system32\stisvc.exeC:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exeC:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exeC:\WINNT\System32\WBEM\WinMgmt.exeC:\WINNT\System32\mspmspsv.exeC:\WINNT\system32\svchost.exeC:\WINNT\system32\Ati2evxx.exeC:\WINNT\Explorer.EXEC:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeC:\Program Files\Microsoft IntelliType Pro	ype32.exeC:\Program Files\Microsoft IntelliPoint\point32.exeC:\WINNT\system32\spool\drivers\w32x86\3\hpztsb04.exeC:\Program Files\Ahead\InCD\InCD.exeC:\Program Files\Fichiers communs\Real\Update_OBealsched.exeC:\WINNT\system32\LVCOMSX.EXEC:\Program Files\Logitech\Video\LogiTray.exeC:\Program Files\QuickTime\qttask.exeC:\PROGRA~1\PESTPA~1\PPControl.exeC:\PROGRA~1\PESTPA~1\PPMemCheck.exeC:\PROGRA~1\PESTPA~1\CookiePatrol.exeC:\Program Files\Fichiers communs\Symantec Shared\ccApp.exeC:\WINNT\system32\internat.exeC:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exeC:\Program Files\WinZip\WZQKPICK.EXEC:\Program Files\Logitech\Video\FxSvr2.exeC:\Program Files\eMule\emule.exeC:\Program Files\MSN Messenger\msnmsgr.exeC:\Program Files\Internet Explorer\iexplore.exeC:\Program Files\Internet Explorer\iexplore.exeC:\Program Files\Internet Explorer\iexplore.exeC:\hijackthis\HijackThis.exeR0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhostR0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = LiensO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dllO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dllO2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dllO2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dllO3 - Toolbar: @msdxmLC.dll,-1@1036,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocxO3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dllO3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dllO4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logonO4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWndO4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exeO4 - HKLM\..\Run: [type32] "C:\Program Files\Microsoft IntelliType Pro	ype32.exe"O4 - HKLM\..\Run: [IntelliPoint] "C:\Program Files\Microsoft IntelliPoint\point32.exe"O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINNT\system32\spool\drivers\w32x86\3\hpztsb04.exeO4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exeO4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exeO4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osbootO4 - HKLM\..\Run: [LVCOMSX] C:\WINNT\system32\LVCOMSX.EXEO4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\Video\ISStart.exeO4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exeO4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exeO4 - HKLM\..\Run: [Easy PDF Creator] C:\Program Files\Easy PDF Creator\EasyPDFCreator.exeO4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottimeO4 - HKLM\..\Run: [PestPatrol Control Center] C:\PROGRA~1\PESTPA~1\PPControl.exeO4 - HKLM\..\Run: [PPMemCheck] C:\PROGRA~1\PESTPA~1\PPMemCheck.exeO4 - HKLM\..\Run: [CookiePatrol] C:\PROGRA~1\PESTPA~1\CookiePatrol.exeO4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Program Files\Fichiers communs\Symantec Shared\Security Center\UsrPrmpt.exeO4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /ConsumerO4 - HKCU\..\Run: [internat.exe] internat.exeO4 - HKCU\..\Run: [LogitechSoftwareUpdate] "C:\Program Files\Logitech\Video\ManifestEngine.exe" bootO4 - HKCU\..\Run: [Steam] C:\Valve\Steam\Steam.exe -silentO4 - HKCU\..\Run: [LDM] \Program\BackWeb-8876480.exeO4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exeO4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exeO4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exeO4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exeO4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXEO4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXEO9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\webelated.htmO9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\webelated.htmO16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cabO16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cabO16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cabO16 - DPF: {7DA181BB-EF8D-4A7E-8C53-7BFC718EF71D} (Upload Class) - http://photos.wanadoo.fr/al/presentation/pc/resources/activex/Ephoto.cabO16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cabO16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cabO16 - DPF: {C5E28B9D-0A68-4B50-94E9-E8F6B4697514} (NsvPlayX Control) - http://www.nullsoft.com/nsv/embed/nsvplayx_vp3_mp3.cabO23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\System32\Ati2evxx.exeO23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exeO23 - Service: Backbone Service (BBDemon) - Dassault Systemes - C:\Program Files\Dassault Systemes\B14\intel_a\code\bin\CATSysDemon.exeO23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exeO23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exeO23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exeO23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exeO23 - Service: FLEXlm server for PTC - GLOBEtrotter Software Inc. - C:\Program Files\flexlm\i486_nt\obj\lmgrd.exeO23 - Service: InCD Helper (InCDsrv) - AHEAD Software - C:\Program Files\Ahead\InCD\InCDsrv.exeO23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus
avapsvc.exeO23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Program Files\Norton AntiVirus\IWP\NPFMntor.exeO23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton AntiVirus\SAVScan.exeO23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exeO23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exeO23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exeO23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exeO23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exeLe fichier que mon antivirus detecte est wininet.dll mais le probleme c est qu on ne peut vraiment pas y toucher car windows l utilise en permanence même on reboota+

Utilisateur anonyme · Answer

salut suliaapparement il n'y a rien de suspect dans ton hijack.commence par vérifier ceci:Rend visible les fichiers cachés et systeme panneau de configuration > options des dossiers > onglet affichage Cocher " afficher les fichiers et dossiers cachés " Décocher " masquer les extentions des fichiers dont le type est connu Décocher " masquer les fichiers protégés du système" clic sur ok pour valider dis moi si un ou plusieurs de ces fichiers sont présents: C:\Windows\uninstIU.exe C:\Windows\System32\oleadm.dll C:\Windows\System32\OLEADM32.DLL ensuite ouvre l'editeur du registre: demarrer > executer tape regedit rend toi a l'aide du signe + sur cette clé HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\clic sur Session Manager dans la fenetre de droite dis moi si tu vois: PendingFileRenameOperations et AllowProtectedRenames si tu les vois, ni touche pas et dis moi juste quelle valeurs ils ont.a+

Sulia · Answer

Re MoeJe ne trouve aucun des noms de clés que tu m as dit

Utilisateur anonyme · Answer

et pour les fichiers ?

Sulia · Answer

Dsl j ai couper mon messsage en deux sans faire exprèsJe n ai pas trouver non plus les fichier ds WINNT Par contre le fichier olea je l avais pendant un moment car j avais les 2 virus Trojan.Desktophijack.B et W32.Desktophijack mais j ai reussi a supprimer le premier grace a kill box mais pas wininet.dll car il me diut constament que je ne peus pas le modifier car il est utilisé par windows

Sulia · Answer

Tu sais Moe j ai deja essayer plein de trucs sur differents forum supprimer des clés de registre telecharger pleins d utilitaires et t as solutions je ne l avais jamais vu j ai essayer mais je n arrive pas a toucher a ce foutu fichier wininet.dll

Utilisateur anonyme · Answer

salutdur durtu as essayé de la renommer en mode sans echec ?et de lance norton dans le mode sans echec ?telecharge Registry Search Toolhttp://www.billsway.com/vbspage/vbsfiles/RegSrch.ziplance regsrch.vbs (norton va te demander si tu autorise le script, autorise le)dans la boite de dialogue tape  wininet.dllvalideposte le résultat ici

Sulia · Answer

salut, Oui j ai deja essayer de faire tt ca en mode sans echec mais rien a faire .Par contre je vais essayer de telecharger ke truc que tu m as dit et de te donner le résultat Je me dépechea+

Sulia · Answer

Salut, Voici le résultat :REGEDIT4; RegSrch.vbs © Bill James; Registry search results for string "wininet.dll" 01/07/2005 13:47:34; NOTE: This file will be deleted when you close WordPad.; You must manually save this file to a new location if you want to refer to it again later.; (If you save the file with a .reg extension, you can use it to restore any Registry changes you make to these values.)[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Security\Basic]"DLLFile"="wininet.dll"[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Internet Explorer 6\SP1\KB867282-IE6SP1-20050127.163319\Filelist\15]"FileName"="WININET.DLL"[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Internet Explorer 6\SP1\KB867282-IE6SP1-20050127.163319\Filelist\7]"FileName"="WININET.DLL"[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Internet Explorer 6\SP1\KB883939-IE6SP1-20050428.125228\Filelist\3]"FileName"="WININET.DLL"[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Internet Explorer 6\SP1\KB883939-IE6SP1-20050428.125228\Filelist\7]"FileName"="WININET.DLL"[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Internet Explorer 6\SP1\KB889293-IE6SP1-20041111.235619\Filelist\0]"FileName"="WININET.DLL"[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Internet Explorer 6\SP1\KB889293-IE6SP1-20041111.235619\Filelist\7]"FileName"="WININET.DLL"[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Internet Explorer 6\SP1\KB890923-IE6SP1-20050225.103456\Filelist\11]"FileName"="WININET.DLL"[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Internet Explorer 6\SP1\KB890923-IE6SP1-20050225.103456\Filelist\5]"FileName"="WININET.DLL"[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\TemplatePolicies\High]"Icon"="wininet.dll#00001205"[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\TemplatePolicies\Low]"Icon"="wininet.dll#00001207"[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\TemplatePolicies\Medium]"Icon"="wininet.dll#00001206"[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\TemplatePolicies\MedLow]"Icon"="wininet.dll#00001206"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager\KnownDLLs]"wininet"="wininet.dll"[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Session Manager\KnownDLLs]"wininet"="wininet.dll"[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs]"wininet"="wininet.dll"

Utilisateur anonyme · Answer

bon, apparement rien d'anormaldans la boite de dialogue de regsrch tape oleadm.dll valideet poste le resultat

siloo · Answer

salutpeut-etre ce qui m'est arrive peut aider Sulia:mon wininet etait aussi infecte par un trojanet j'ai installe le correctif MS05-025 (Mise à jour de sécurité ) sur mon pchttp://www.microsoft.com/technet/security/Bulletin/MS05-025.mspx ca a change mon fichier wininet  (entre autre) et depuis il est okalors peut etre que..voila!bonne chance!

Sulia · Answer

Il n a rien trouver mais de toute facon j avais regler le probleme avec ce virus et norton ne le détecte plus mais c' est vraiment le fichier wininet , je crois que je n' ai plus qu' a attendre une mise a jour de symantec car je ne vois pas comment renommer ce fichier il faudrait trouver le processus et encore je ne pense pas que ca puisse marcher car il s' agit d un fichier très important pour le systeme ce que j' ai du mal a comprendre c est que ca ai marcher pour les autres que tu as aider pour ce virus eux. apparement n ont pas eu de probleme pour renommer .Je ne sais vraiment pas quoi faire

Sulia · Answer

Salut Siloo, merci beaucoupJe vais aller voir et te dire si cela amrche a+

Utilisateur anonyme · Answer

oui, comme le précise siloo une mise à jour de windows peut regler le probleme.

Utilisateur anonyme · Answer

salut siloomerci, mais c'est S!Ri qui a cité le lien.J'espere que ca résoudra son probleme, apres tout ca a bien marché pour toi !!a+

Sulia · Answer

Salut tt le monde vraiment merci pour votre aideca marche ! ! ! ! !Le correctif a remplacer le fichier par un nouveau WININET.DLL le polluer etait en miniscule maintenant celui la est en majusculeEncore merci à tt le monde et au site

Utilisateur anonyme · Answer

Salut suliaVraiment content pour toi !!a++

Utilisateur anonyme · Answer

salut moe,tu recolte des infos, patch etcsais tu comment on cree des fix comme celui ci dessu?a+

W32.Desktophijack

84 réponses

Discussions similaires

Newsletters