Virus win32:syspatch[wrm]

Résolu/Fermé
dibi86 - 2 janv. 2009 à 13:47
 dibi86 - 8 mars 2009 à 18:48
Bonjour,

j'ai un virus appelé win32:syspatch[wrm] qui se trouve dans le dossier cwindowssystem32 user.dll.
avast l'a détécté mais je n'arrive pas a le mettre en quarantaine ni a le supprimer car il me dit que le fichier est impossible a traiter.
j'ai recherché sur le forum des situations identiques et j'ai vu qu'a chaque fois il etait demander de telecharger hijack 02 de faire un scan et de poster le rapport sur le forum.
c'est donc ce que j'ai fait et voici le rapport.
je suis un vrai nul en informatique donc si quelqu'un peut venir a mon secours ca serait super sympa.
merci d'avance
cedric

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:33:50, on 31/12/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\System32\CTsvcCDA.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\WgaTray.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Ahead\InCD\InCD.exe
C:\WINDOWS\system32\CTHELPER.EXE
C:\Program Files\Microsoft Hardware\Mouse\point32.exe
C:\PROGRA~1\Wanadoo\CnxMon.exe
C:\PROGRA~1\Wanadoo\TaskbarIcon.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Canon\MyPrinter\BJMyPrt.exe
C:\Program Files\ScanSoft\OmniPageSE4\OpwareSE4.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe­
C:\documents and settings\nanie\local settings\application data\acaaqmq.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\Program Files\Nikon\PictureProject\NkbMonitor.exe
C:\Program Files\Fichiers communs\Real\Update_OB\RealOneMessageCenter.exe
C:\Program Files\Wanadoo\EspaceWanadoo.exe
C:\Program Files\Wanadoo\ComComp.exe
C:\Program Files\Wanadoo\Watch.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.orange.fr/portail
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.orange.fr/portail
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.orange.fr/portail
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,userinit.exe
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\3.1.807.1746\swg.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [Generic Host Process System] scvhost32.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [Jet Detection] "C:\Program Files\Creative\SBLive\PROGRAM\ADGJDet.exe"
O4 - HKLM\..\Run: [POINTER] point32.exe
O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\Wanadoo\CnxMon.exe
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe
O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\TaskbarIcon.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [CanonSolutionMenu] C:\Program Files\Canon\SolutionMenu\CNSLMAIN.exe /logon
O4 - HKLM\..\Run: [CanonMyPrinter] C:\Program Files\Canon\MyPrinter\BJMyPrt.exe /logon
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Program Files\Fichiers communs\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [OpwareSE4] "C:\Program Files\ScanSoft\OmniPageSE4\OpwareSE4.exe"
O4 - HKLM\..\Run: [yebkyunenl] c:\windows\system32\yebkyunenl.exe yebkyunenl
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\RunServices: [Generic Host Process System] scvhost32.exe
O4 - HKCU\..\Run: [NvCplScan] msc32.exe
O4 - HKCU\..\Run: [Generic Host Process System] scvhost32.exe
O4 - HKCU\..\Run: [WOOKIT] C:\PROGRA~1\Wanadoo\Shell.exe appLaunchClientZone.shl|PARAM= cnx
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [acaaqmq] "c:\documents and settings\nanie\local settings\application data\acaaqmq.exe" acaaqmq
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [^SetupICWDesktop] (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [^SetupICWDesktop] (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Global Startup: Inicio rápido de Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: NkbMonitor.exe.lnk = C:\Program Files\Nikon\PictureProject\NkbMonitor.exe
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Ouvrir dans un nouvel onglet d'arrière-plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/229?2a4813e0896e4f19b4ee79097eb679e2
O8 - Extra context menu item: Ouvrir dans un nouvel onglet de premier plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/230?2a4813e0896e4f19b4ee79097eb679e2
O9 - Extra button: Stop Pub - {10954C80-4F0F-11d3-B17C-00C0DFE39736} - C:\Program Files\JCA2000\StopPub\StopPub.exe
O9 - Extra 'Tools' menuitem: Stop Pub - {10954C80-4F0F-11d3-B17C-00C0DFE39736} - C:\Program Files\JCA2000\StopPub\StopPub.exe
O9 - Extra button: PokerStars - {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - C:\Program Files\PokerStars\PokerStarsUpdate.exe
O9 - Extra button: Messager Wanadoo - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\WANADO~1\Wanadoo Messager.exe
O9 - Extra 'Tools' menuitem: Messager Wanadoo - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\WANADO~1\Wanadoo Messager.exe
O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - https://www.orange.fr/portail (file missing) (HKCU)
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{C3BE9908-7E63-4E24-B082-A240A98094CC}: NameServer = 81.253.149.9 80.10.246.132
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InCD File System Service (InCDsrv) - AHEAD Software - C:\Program Files\Ahead\InCD\InCDsrv.exe

End of file - 8928 bytes
Répondre à dibi86

279 réponses

j'ai redemarrer en mode sans echec mais ca ne marche toujours pas .
j' ai cliqué sur mise a jour alors que j'ai vu qu'il ne fallait pas le faire ca viens peut etre de la ?
0
Utilisateur anonyme
16 janv. 2009 à 15:53
bon desinstalle le comletement


essuite regarde le tutoriel :https://forums.cnetfrance.fr

ensuite retelecharge le


Télécharge sur ton bureau Dr.Web CureIt
https://free.drweb.com/
- Lance Dr.Web CureIt :
- Clique sur <Analyse> puis sur <Ok> à l'invite de l'analyse rapide.
Le scan va analyser les processus chargés en mémoire. S'il trouve des infections clique sur le bouton <Oui> à chaque propositions.
NB : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction". Quitte en cliquant le <X>.
- Une fois le scan rapide achevé, clique sur <Menu Options> puis choisis <Changer la configuration>. Choisis l'onglet <Scanner>, décoche <Analyse heuristique> puis clique sur <Ok>.
- De retour à la fenêtre principale, clique pour activer <Analyse complète> puis sur le bouton avec la flèche verte => le scan débute alors.
- Lorsque qu'un fichier est détecté, clique sur <Oui> pour tout à l'invite <Désinfecter ?> puis sur <Désinfecter>.
- Lorsque le scan sera terminé, regarde si tu peux cliquer sur cet icône adjacent aux fichiers détectés. Si oui, alors clique dessus et ensuite clique sur l'icône <Suivant> au dessous, et choisis <Déplacer en quarantaine l'objet indésirable>.
- En haut à gauche du menu principal de l'outil, clique sur le menu <Fichier> et choisis <Enregistrer le rapport>.
- Sauvegarde le rapport dans le dossier de ton bureau créé au début de la manip. Il se nomme : DrWeb.csv
- Ferme Dr.Web Cureit.
- Redémarre ton PC (c'est très important car certains fichiers peuvent être déplacés/réparés au redémarrage.
- Après redémarrage copie/colle le rapport Dr. Web

0
comment je fais pour le desinstaller ?

quand je vais dans ajout et suppression de programme il n'apparait pas dans la liste.
0
désolé mais je pars bosser je rentre vers 21 h.
si tu peux me dire comment je fais pour le desinstaller completement comme ca en rentrant je le fais et je le retelecharge.

cedric
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Utilisateur anonyme
16 janv. 2009 à 16:34
relance l'instalateur de drWebcureIt il devrais te proposer la suppression .

je t'ai trouvé un autre tuto afin de l'utiliser correctement

https://www.malekal.com/tutorial-et-guidedr-web-cureit/
0
j'ai enregistré drweb directement sur le bureau et je ne retrouve pas l'installateur
0
Utilisateur anonyme
16 janv. 2009 à 21:02
bon le cas est assez sérré as tu ton cd de windows ?

quelle version de xp est ce ?
0
j'ai pas le cd ,je sais pas quel xp c'est en plus ce n'est pas un original.
0
Utilisateur anonyme
16 janv. 2009 à 21:41
okay , bon j'essaie de voire avec des amis , il va falloir que l'on remplace tout ton fichier user32.dll ( pas facile sans cd de windows mais on vas trouver un truc ;-) ))
0
ok merci beaucoup


cedric
0
Utilisateur anonyme
16 janv. 2009 à 22:09
bon un ami va essayer de me faire passer un fichier user32.dll mais pour ce soir ca va etre trop tard !
et il vaux mieux etre reposé pour faire celas correctement ;-)

on vois celas demain , sinon j'ai aussi un cd de windows qui dois correspondre a ton os ( je suis en train de demenager , mais je le chercherais demain ;-) donc ne t'inquiete pas on va sauver ton pc .

passe une bonne fin de soirée et nuit
0
Utilisateur anonyme
17 janv. 2009 à 12:34
bonjour on va attaquer le remplacement




bon j'ai retrouvé mon cd de windows xp sp2 et dupliqué le fichier user32.dll il vas falloir le remplacer le tiens par celui ci

telecharge user32.dll sur ce lien

http://dl.free.fr/getfile.pl?file=/CFHW1DR5



ensuite recherche ton fichier actuel de user32.dll


effectue un clique droit sur user32.dll puis selectionne renommer et renomme le par l'extention .bak

ce qui va donner : user32.dll.bak

un message va t'avertir que si tu renomme le fichier ne pourras fonctionner ! a la question " voulez vous renommer le fichier ? " clique sur oui !


ensuite tu vas compresser le fichier user32.dll .bak clique droit dessus puis envoyer / dossiers compresser , afin d'emprisonner la bete qui se trouve a l'interieur ( ne le met pas a la corbeille car si la dll de remplacement ne convient pas on pourras tjrs la reinstaller, place simplement user32.dll.bak sur ton bureau )

maintenant tu vas installer la nouvelle dll

installe le nouveau fichier user32.dll que tu as telechargé , dans le repertoire de l'ancien ( dezippe l'archive , ensuite il faut extraire la dll , clique droit extraire tout , puis place user32.dll dans le dossier system32 .


c:\windows\system32\user32.dll



ensuite

demarrer / executer : copie et colle


regsvr32.exe "%systemroot%\system32\user32.dll


valide , tu vas avoir un message ! dit nous si la dll a ete correctement initialisée .
0
salut ,desolé je bossais ce matin.

bon ca se compiique pour moi

je pense avoir tout fait correctement mais je ne comprend pas ce qu'il faut faire ici :

ensuite

demarrer / executer : copie et colle


regsvr32.exe "%systemroot%\system32\user32.dll

j'ai bien compréssé le fichier user32.dl.bakl mais il est toujours present dans system 32 je sais pas si c'est normal ensuite j'ai collé le nouveau user32 a coté de l'ancien dans system 32 ensuite je sais pas ce que je dois faire.

autre chose quand j'ai renommé le fichier je n'au eu aucun message pour me dire qu'il ne fonctionnerait plus.
0
bon je pense avoir compris mais le message qui s'affiche me dit que le fichier a été chargé mais que le point d'entree dllregistrer est introuvable et que le fichier ne peut etre enregistré
0
je sais pas si c'est important mais le fichier que j'ai telechargé est un fichier user32 et quand je met la souris dessus je vois user32.dl et non pas user32.dll.
0
Utilisateur anonyme
17 janv. 2009 à 17:07
oui c'est normal c'est un fichier compresse nomé user32 , dedans tu as un autres fichier compressé nomé lui meme user32.dl_ et quand tu le decompresse tu as la dll tant convoitée user32.dll
0
Utilisateur anonyme
17 janv. 2009 à 17:14
je reprend rapidement une fois nomé .bak tu zip le dossier puis tu supprime le premier car en le zippant celas le dupplique ;-)

ensuite la dll que je t'ai recupperé est compressé et en plus je l'ai recompresse donc il faut dezipper user32 ( vas sortir user32.dl_ ) decompresse user32.dl_ ( et la tu vas voire apparaitre user32.dll)

installe user32.dll dans le dossier system32 ( il ne dois pas y avoir le fichier user32.dll.bak !)


ensuite

tu va dans demarrer / executer


colle cette citation

regsvr32.exe "%systemroot%\system32\user32.dll

puis valide
0
je dois pas etre doué mais rien ne marche.

quand j'essayes de supprimer le fichier user32.dll.bak j'ai un meesage acces refusé.
ensuite je sais pas trop comment on decompresse le fichier user32 en tout cas quand je double clique dessus j'ai un message windows ne peut pas ouvrir le fichier.
0
Utilisateur anonyme
17 janv. 2009 à 17:28
non , lol pour decompresser , clique droit et extraire tout
0
j'ai fait extraire toutsur le dossier user32 mais je n'ai qu'un fichier user32.dl qui apparait
0