Demande d'aide après attaque troyenRésolu/Fermé

Question

Bonjour,
il y a quelques jours, mon antivirus a détecté la présence d'un troyen dans mon ordi. J'ai cru bon de supprimer les fichiers infectés jusqu'à ce que je m'aperçoive qu'un fichier de mon antivirus était lui aussi infecté. J'ai alors mis ce fichier en quarantaine, me suis branché d'internet. Malheureusement le mal était fait. Depuis mon antivirus ne se lance plus comme avant ( il s'agit d'Avast ). J'ai pu réinstaller Firefox et Thunderbird mais non avast que je n'arrive pas à désinstaller pour le réinstaller. J'ai procédé à un nettoyage via la procédure trouvée sur votre site mais des problèmes persistes ( avast ne se lance toujours pas correctement au démarrage, firefox et thunderbird plante). J'ai réalisé un scan avec SmartfraudFix et HJT. Dois-je poster ici les rapports ? 
D'avance merci.

tribun · Answer

bonjour 
si tu as des fichiers manquant pour ton antivirus tu doit le réinstaller!
pareil pour ton système , car souvent après une désinfection,
des fichiers infectés sont supprimés et il faut réinstaller le système !

maintenant si tu veux désinstaller avast ici un utilitaire !
https://www.avast.com/fr-fr/uninstall-utility

Yusuke21 · Answer

Rebonjour.

Alors, j'ai pu désinstaller Avast mais je n'arrive pas à le résinstaller. De plus j'ai vu que j'avais un drôle de programme qui tournait en regardant la liste des processus : kpf4gui.exe ! J'avoue que je suis un peu perdu...

chimay8 · Answer

Bonjour,

- Télécharge TrendMicro&#8482; HijackThis&#8482; de Merijn(prog de diagnostic) sur ton bureau. 
- Cette version est sans installateur! ( Zip à décompresser )
- Enregistre le sur ton bureau.

-A l'installation,
****Place le dans son répertoire par défaut, c'est à dire : C:\program files***

Important : Sous Vista, clic droit sur le fichier Hijackthis.exe ou sur le raccourci, Propriétés, Onglet Compatibilité, cocher :
"Exécuter ce programme en tant qu'administrateur"

installer hijackthis correctement:
https://forums.cnetfrance.fr 

*** Ferme toute les fenêtres ouvertes , et déconnecte toi du web***

- Double-clique dessus
- Génère un rapport en suivant ces indications :
- Exécute le et clique sur "Do a scan and save log file".
- Le rapport s'ouvre sur le Bloc-Note.
- Colle le rapport ici, pour cela :
- Menu Edition / Selectionner Tout
- Menu Edition / copier
- Ici dans un nouveau message : clic droit / coller
- ** ne pas fixer de lignes sans notre avis **
Aide : N'hésite pas à consulter l'aide HiJackThis de Malekal_morte   
En image

Yusuke21 · Answer

Bonjour. Voilà le rappport du HTJ. Pour info, quand je l'ai lancé, l'ordi a planté : une page bleue est apparue avec un message en rapport avec l'effacement de la mémoire physique. Au redémarrage, mon bureau avait changé...

Logfile of HijackThis v1.99.1
Scan saved at 10:53:29, on 03/05/2009
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\a-squared Free\a2service.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\system32\hidserv.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\MSTask.exe
C:\WINDOWS\system32\stisvc.exe
C:\WINDOWS\System32\WBEM\WinMgmt.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\msiexec.exe
C:\Program Files\MessengerPlus! 3\MsgPlus.exe
C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\WINDOWS\system32\internat.exe
C:\Program Files\Hijackthis Version Française\hijackthis vf.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.free.fr/search/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.free.fr/freebox/index.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.free.fr/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://fr.yahoo.com/?p=us
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.5000.1021\fr\msntb.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [internat.exe] internat.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O12 - Plugin for .mpg: C:\Program Files\Internet Explorer\PLUGINS
pqtplugin2.dll
O14 - IERESET.INF: START_PAGE_URL=http://home.free.fr/
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Program Files\a-squared Free\a2service.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Unknown owner - C:\Program Files\Java\jre6\bin\jqs.exe" -service -config "C:\Program Files\Java\jre6\lib\deploy\jqs\jqs.conf (file missing)
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
O23 - Service: Windows Network Security Management Service (nsms) - Unknown owner - C:\WINDOWS\system32\7.tmp (file missing)
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe

Merci d'avance.

chimay8 · Answer

salut,
première chose,c'est d'utiliser les liens que je te donne...tu as télécharger une version obsolète de hijackthis
Logfile of HijackThis v1.99.1

nous en sommes à la version 2.0.2

as-tu installé MessengerPlus! 3 avec les sponsors?
si c'est le cas,désinstalle via ajout/suppression de programmes(tu pourras le réinstaller après sans les sponsors!)

désinstalle a²-squarred,il est inutile
désinstalle avg7.5,il n'est plus mis à jour depuis avg8

autre chose

tu dis vouloir installer avast à la place de norton?
bref,tu remplace une passoire par une autre passoire

désinstalle norton,
Rends toi sur ce lien : Norton removal tool
Clique sur "Download" en fin de page. 
Enregistre le fichier sur ton bureau, puis double-clique dessus et suis les instructions. 
Il te sera normalement demandé de redémarrer ton PC, redémarre.

installe celui-ci(Antivir)
pour installer Antivir en français

le tuto

- Après l'installation, mets le à jour - si ton firewall fait une alerte.. accepte la connexion.
- Assure toi qu'Antivir est bien à jour, vérifie la date d'update.

-- Redémarre en mode sans échec, pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec et appuye sur la touche entrée du clavier.

- Ouvre Antivir par le menu Démarrer / Programmes
- Clique sur l'onglet Scanner.
- Sélectionne "Manual Selection"
- Sélectionne ton/tes disque(s) 
- Lance le scan - Mets en quarantaine tous les éléments détectés.
- Une fois le scan terminé enregistre le rapport.

Redémarre en mode normal.

Poste le rapport ici.

ensuite

Télécharge Malwarebytes' Anti-Malware et enregistre le sur ton Bureau. 
https://www.malwarebytes.com/ 

(NB : S'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharges le ici : https://www.malekal.com/tutorial-aboutbuster/ )

A la fin du téléchargement, ferme toutes les fenêtres et programmes, y compris celui-ci. 
Double-clique sur l'icône "Download_mbam-setup.exe" sur ton bureau pour démarrer le programme d'installation.
 
Pendant l'installation, suis les indications n'apporte aucune modification aux réglages par défaut et en fin d'installation, vérifie que les options "Update Malwarebytes' Anti-Malware" et "Launch Malwarebytes' Anti-Malware" soit cochées. 
MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse. Comme MBAM se met automatiquement à jour en fin d'installation, clique sur OK pour fermer la boîte de dialogue.
La fenêtre principale de MBAM s'affiche : 
Dans l'onglet analyse, vérifie que "Exécuter un examen complet" est coché et clique sur le bouton Rechercher pour démarrer l'analyse. 
MBAM analyse ton ordinateur. 
L'analyse peut prendre un certain temps. Il suffit de vérifier de temps en temps son avancement. 
A la fin de l'analyse, un message s'affiche indiquant la fin de l'analyse. Clique sur OK pour poursuivre. 
Si des malwares sont détectés, leur liste s'affiche. 
***EN CLIQUANT SUR SUPPRESSION(?)FAIT LE*** , MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Ferme le Bloc-notes. (Le rapport peut être retrouvé sous l'onglet Rapports/logs) 
Ferme MBAM en cliquant sur Quitter. 
Poste le rapport dans ta réponse

Yusuke21 · Answer

Bonjour. 
Alors après plusieurs tentatives, je n'ai pu installé l'antivirus. Dès que j'essaie d'installer ou d'utiliser un programme j'ai très régulièrement un message d'erreur au sujet d'une commande qui ne peut être réalisée car la mémoire ne peut être "read". 
J'ai tout de même pu faire un HTJ avec la nouvelle version. Dois-je poster ici le rapport même si je n'ai pu réaliser les autres opérations ?
Merci

chimay8 · Answer

tu n'as pas su faire non plus MBAM?

Télécharge random's system information tool (RSIT) par random/random et sauvegarde-le sur le Bureau.
http://images.malwareremoval.com/random/RSIT.exe

Double-clique sur RSIT.exe afin de lancer RSIT.
Clique "Continue" à l'écran Disclaimer.

Si l'outil HIjackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu, si demandé) et tu devras accepter la licence.
Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront.
Poste le contenu de log.txt (<<qui sera affiché)
ainsi que de info.txt (<<qui sera réduit dans la Barre des Tâches).

NB : Les rapports sont sauvegardés dans le dossier C:\rsit

Yusuke21 · Answer

bonsoir.
Après moult redémarrage j'ai pu finalement faire les analyses avec Antivir et MBAM! Voici les rapports : 
antivir : 


Avira AntiVir Personal
Date de création du fichier de rapport : jeudi 7 mai 2009  10:08

La recherche porte sur 1382105 souches de virus.

Détenteur de la licence :Avira AntiVir PersonalEdition Classic
Numéro de série : 0000149996-ADJIE-0001
Plateforme :      Windows 2000
Version de Windows :(Service Pack 4)  [5.0.2195]
Mode Boot :       Mode sans échec
Identifiant :     Dabady
Nom de l'ordinateur :CHRIS

Informations de version :
BUILD.DAT     : 8.2.0.53       17752 Bytes  23/03/2009 13:45:00
AVSCAN.EXE    : 8.1.4.10      315649 Bytes  18/11/2008 07:21:02
AVSCAN.DLL    : 8.1.4.1        49921 Bytes  21/07/2008 12:44:28
LUKE.DLL      : 8.1.4.5       164097 Bytes  12/06/2008 11:44:18
LUKERES.DLL   : 8.1.4.0        13057 Bytes  04/07/2008 06:30:28
ANTIVIR0.VDF  : 7.1.0.0     15603712 Bytes  27/10/2008 10:30:38
ANTIVIR1.VDF  : 7.1.2.12     3336192 Bytes  11/02/2009 07:21:46
ANTIVIR2.VDF  : 7.1.3.137    1810944 Bytes  30/04/2009 07:21:54
ANTIVIR3.VDF  : 7.1.3.165     149504 Bytes  07/05/2009 07:21:56
Version du moteur: 8.2.0.160 
AEVDF.DLL     : 8.1.1.1       106868 Bytes  07/05/2009 07:22:08
AESCRIPT.DLL  : 8.1.1.79      385403 Bytes  07/05/2009 07:22:06
AESCN.DLL     : 8.1.1.10      127348 Bytes  07/05/2009 07:22:06
AERDL.DLL     : 8.1.1.3       438645 Bytes  04/11/2008 12:58:40
AEPACK.DLL    : 8.1.3.14      397685 Bytes  07/05/2009 07:22:04
AEOFFICE.DLL  : 8.1.0.36      196987 Bytes  07/05/2009 07:22:04
AEHEUR.DLL    : 8.1.0.122    1737080 Bytes  07/05/2009 07:22:02
AEHELP.DLL    : 8.1.2.2       119158 Bytes  07/05/2009 07:21:58
AEGEN.DLL     : 8.1.1.39      348532 Bytes  07/05/2009 07:21:58
AEEMU.DLL     : 8.1.0.9       393588 Bytes  14/10/2008 09:05:58
AECORE.DLL    : 8.1.6.9       176500 Bytes  07/05/2009 07:21:56
AEBB.DLL      : 8.1.0.3        53618 Bytes  14/10/2008 09:05:58
AVWINLL.DLL   : 1.0.0.12       15105 Bytes  09/07/2008 07:40:04
AVPREF.DLL    : 8.0.2.0        38657 Bytes  16/05/2008 08:28:00
AVREP.DLL     : 8.0.0.3       155688 Bytes  07/05/2009 07:21:56
AVREG.DLL     : 8.0.0.1        33537 Bytes  09/05/2008 10:26:38
AVARKT.DLL    : 1.0.0.23      307457 Bytes  12/02/2008 07:29:20
AVEVTLOG.DLL  : 8.0.0.16      119041 Bytes  12/06/2008 11:27:48
SQLITE3.DLL   : 3.3.17.1      339968 Bytes  22/01/2008 16:28:04
SMTPLIB.DLL   : 1.2.0.23       28929 Bytes  12/06/2008 11:49:38
NETNT.DLL     : 8.0.0.1         7937 Bytes  25/01/2008 11:05:08
RCIMAGE.DLL   : 8.0.0.51     2371841 Bytes  04/07/2008 06:23:18
RCTEXT.DLL    : 8.0.52.1       86273 Bytes  17/07/2008 09:08:44

Configuration pour la recherche actuelle :
Nom de la tâche..................: Contrôle intégral du système
Fichier de configuration.........: c:\program files\avira\antivir personaledition classic\sysscan.avp
Documentation....................: bas
Action principale................: interactif
Action secondaire................: ignorer
Recherche sur les secteurs d'amorçage maître: marche
Recherche sur les secteurs d'amorçage: marche
Secteurs d'amorçage..............: C:, 
Recherche dans les programmes actifs: marche
Recherche en cours sur l'enregistrement: marche
Recherche de Rootkits............: marche
Fichier mode de recherche........: Tous les fichiers
Recherche sur les archives.......: marche
Limiter la profondeur de récursivité: 20
Archive Smart Extensions.........: marche
Heuristique de macrovirus........: marche
Heuristique fichier..............: moyen
Catégories de dangers divergentes: +APPL,+GAME,+JOKE,+PCK,+SPR,

Début de la recherche : jeudi 7 mai 2009  10:08

La recherche d'objets cachés commence.
Impossible d'initialiser le pilote.

La recherche sur les processus démarrés commence :
Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés
Processus de recherche 'avcenter.exe' - '1' module(s) sont contrôlés
Processus de recherche 'Explorer.EXE' - '1' module(s) sont contrôlés
Processus de recherche 'WinMgmt.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés
Processus de recherche 'services.exe' - '1' module(s) sont contrôlés
Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés
Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés
Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés
'10' processus ont été contrôlés avec '10' modules

La recherche sur les secteurs d'amorçage maître commence :
Secteur d'amorçage maître HD0
    [INFO]      Aucun virus trouvé !

La recherche sur les secteurs d'amorçage commence :
Secteur d'amorçage 'C:\'
    [INFO]      Aucun virus trouvé !

La recherche sur les renvois aux fichiers exécutables (registre) commence.
Le registre a été contrôlé ( '37' fichiers).


La recherche sur les fichiers sélectionnés commence :

Recherche débutant dans 'C:\'
C:\pagefile.sys
    [AVERTISSEMENT] Impossible d'ouvrir le fichier !
C:\Program Files\Hijackthis Version Française\hijackthis vf.exe
      [RESULTAT]  Le fichier est comprimé à l'aide d'un programme de compression inhabituel (PCK/Dumped). Veuillez vérifier l'origine de ce fichier.
    [REMARQUE]  Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4a6c9dd2.qua' !
C:\Program Files\LimeWire\.NetworkShare\LimeWireWin4.16.6.exe
    [0] Type d'archive: NSIS
    --> [ProgramFilesDir]/LimeWire/execNoWindow.exe
      [AVERTISSEMENT] Aucun autre fichier n'a pu être décompressé de cette archive. L'archive est refermée.
C:\Documents and Settings\Dabady\Bureau\SmitfraudFix.exe
    [0] Type d'archive: RAR SFX (self extracting)
    --> SmitfraudFix\Reboot.exe
      [RESULTAT]  Contient le modèle de détection du programme SPR/Tool.Reboot.F
    --> SmitfraudFix\restart.exe
      [RESULTAT]  Contient le modèle de détection du programme SPR/Tool.Hardoff.A
    [REMARQUE]  Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4a6ba536.qua' !
C:\Documents and Settings\Dabady\Bureau\SmitfraudFix\restart.exe
    [RESULTAT]  Contient le modèle de détection du programme SPR/Tool.Hardoff.A
    [REMARQUE]  Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4a75a53b.qua' !
C:\Documents and Settings\Dabady\Bureau\SmitfraudFix\Reboot.exe
    [RESULTAT]  Contient le modèle de détection du programme SPR/Tool.Reboot.F
    [REMARQUE]  Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4a64a542.qua' !
C:\Documents and Settings\Dabady\Bureau\OpenOffice.org 2.4 (fr) Installation Files\openoffice.org-core05.cab
    [0] Type d'archive: CAB (Microsoft)
    --> libxmlsec_mscrypto.dll
      [RESULTAT]  Contient le cheval de Troie TR/Crypt.XPACK.Gen
    [REMARQUE]  Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4a67a587.qua' !
C:\Downloads\lecteur vidéo\dvdcodec1038.exe
    [0] Type d'archive: NSIS
    --> [ProgramFilesDir]/HQ Codec/register.exe
      [RESULTAT]  Contient le cheval de Troie TR/Dldr.DNSChanger.Gen
    [RESULTAT]  Contient le modèle de détection du dropper DR/Dldr.DNSChanger.Gen
    [REMARQUE]  Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4a66a94a.qua' !
C:\Downloads\lecteur vidéo\VLC\vlc-0.8.6b-win32.exe
    [0] Type d'archive: NSIS
    --> [ProgramFilesDir]/VideoLAN/VLC/libfixed32tofloat32_plugin.dll
      [AVERTISSEMENT] Aucun autre fichier n'a pu être décompressé de cette archive. L'archive est refermée.
C:\Downloads\Prob ordi\avgas-setup-7.5.0.50.exe
    [0] Type d'archive: NSIS
    --> [PluginsDir]/System.dll
      [AVERTISSEMENT] Aucun autre fichier n'a pu être décompressé de cette archive. L'archive est refermée.


Fin de la recherche : jeudi 7 mai 2009  11:29
Temps nécessaire:  1:20:52 Heure(s)

La recherche a été effectuée intégralement

   7718 Les répertoires ont été contrôlés
 440863 Des fichiers ont été contrôlés
      8 Des virus ou programmes indésirables ont été trouvés
      0 Des fichiers ont été classés comme suspects
      0 Des fichiers ont été supprimés
      0 Des virus ou programmes indésirables ont été réparés
      6 Les fichiers ont été déplacés dans la quarantaine
      0 Les fichiers ont été renommés
      1 Impossible de contrôler des fichiers
 440854 Fichiers non infectés
   3406 Les archives ont été contrôlées
      4 Avertissements
      6 Consignes

et voici celui de MBAM : 
Finalement il n'y a pas de rapport car celui ne s'est pas enregistré...

chimay8 · Answer

re,

en tout cas,le trojan dnschanger était là
C:\Downloads\lecteur vidéo\dvdcodec1038.exe

tu peux me faire le poste 8?

Yusuke21 · Answer

Bonjour. 
Voilà le rapport du log : 
Logfile of random's system information tool 1.06 (written by random/random)
Run by Dabady at 2009-05-08 11:41:35
Microsoft Windows 2000 Professionnel Service Pack 4
System drive C: has 6 GB (30%) free of 19 GB
Total RAM: 255 MB (56% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:42:00, on 08/05/2009
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\a-squared Free\a2service.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\hidserv.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\MSTask.exe
C:\WINDOWS\system32\stisvc.exe
C:\WINDOWS\System32\WBEM\WinMgmt.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\MessengerPlus! 3\MsgPlus.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\internat.exe
C:\Documents and Settings\Dabady.CHRIS\Bureau\RSIT.exe
C:\Documents and Settings\Dabady.CHRIS\Bureau\RSIT.exe
C:\Documents and Settings\Dabady.CHRIS\Bureau\Dabady.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.free.fr/search/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.free.fr/freebox/index.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.free.fr/freebox/index.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://fr.yahoo.com/?p=us
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.5000.1021\fr\msntb.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKLM\..\Policies\Explorer\Run: [none] C:\Program Files\Video ActiveX Object\pmsngr.exe
O4 - HKUS\.DEFAULT\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background (User 'Default user')
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O12 - Plugin for .mpg: C:\Program Files\Internet Explorer\PLUGINS
pqtplugin2.dll
O14 - IERESET.INF: START_PAGE_URL=https://www.free.fr/freebox/index.html
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Program Files\a-squared Free\a2service.exe
O23 - Service: Planificateur Avira AntiVir Personal - Free Antivirus (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
O23 - Service: Windows Network Security Management Service (nsms) - Unknown owner - C:\WINDOWS\system32\7.tmp (file missing)

chimay8 · Answer

vérifie que ceci n'est plus là

c:\program files\video activex object\pmsngr.exe

si il est encore là,vire le dossier complet

relance hijack(scan only) et coche ces lignes
O4 - HKLM\..\Policies\Explorer\Run: [none] C:\Program Files\Video ActiveX Object\pmsngr.exe 
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe" -osboot     
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime     
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"     
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"     
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"     
O4 - HKCU\..\Run: [internat.exe] internat.exe     
O4 - HKUS\.DEFAULT\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background (User 'Default user')     

clic sur fix checked

si tu as installé messengerplus!3 avec les sponsors,tu as intérèt à le désinstaller puis le réinstaller sans les sponsors

je vais te faire passer un tool,mais je suis pas sur que cela fonctionne sous windows 2000

Télécharge OTMoveIt3( de Old Timer ) 
http://oldtimer.geekstogo.com/OTMoveIt3.exe
Une fois téléchargé double-clique sur OTMoveIt3.exe pour le lancer. 
Assure toi que la case "Unregister Dll's and Ocx's" est cochée 
Copie les lignes(qui sont en gras) qui se trouvent ci-dessous : 

:Processes 
explorer.exe
:Files
C:\WINDOWS\system32	mp.txt 
c:\program files\video activex object\pmsngr.exe
:Reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
"none"=-
:Commands 
[emptytemp] 
 [Reboot]

et colle-les dans le cadre de gauche de OTMoveIt : "Paste List Of Files/Folders to Move." 
Clique sur "MoveIt!" pour lancer la suppression. 
Le résultat apparaitra dans le cadre "Results". 
Clique sur Exit pour fermer. 
Poste le rapport situé dans C:\_OTMoveIt\MovedFiles. 
 -Il te sera peut-être demander de redémarrer le pc pour achever la suppression -> Accepte ( si il ne fait pas automatiquement , fait-le toi même ) 

/!\ Note : Au démarrage ton bureau RISQUE de ne plus apparaître, dans ce cas fait --> CTRL+ALT+SUPP pour ouvrir le Gestionnaire des tâches. 
Puis rends toi sur l'onglet "Processus". Clique en haut à gauche sur "Fichiers" et choisis "Exécuter" 
Tape "explorer.exe"(sans les guillemèts) et valide. Cela fera réapparaître le Bureau. 

*************************************

Yusuke21 · Answer

Bonjour. 
Voilà le résultat de la dernière manip : 
========== PROCESSES ==========
Process explorer.exe killed successfully.
========== FILES ==========
C:\WINDOWS\system32	mp.txt moved successfully.
File/Folder c:\program files\video activex object\pmsngr.exe not found.
========== REGISTRY ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\none not found.
========== COMMANDS ==========
File delete failed. C:\DOCUME~1\DABADY~1.CHR\LOCALS~1\Temp\etilqs_647Kgsr6g3VV8BqgGawt scheduled to be deleted on reboot.
User's Temp folder emptied.
User's Internet Explorer cache folder emptied.
File delete failed. C:\Documents and Settings\Dabady.CHRIS\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
User's Temporary Internet Files folder emptied.
Windows Temp folder emptied.
File delete failed. C:\Documents and Settings\Dabady.CHRIS\Local Settings\Application Data\Mozilla\Firefox\Profiles\ab9j604r.default\Cache\_CACHE_MAP_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Dabady.CHRIS\Local Settings\Application Data\Mozilla\Firefox\Profiles\ab9j604r.default\Cache\_CACHE_001_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Dabady.CHRIS\Local Settings\Application Data\Mozilla\Firefox\Profiles\ab9j604r.default\Cache\_CACHE_002_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Dabady.CHRIS\Local Settings\Application Data\Mozilla\Firefox\Profiles\ab9j604r.default\Cache\_CACHE_003_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Dabady.CHRIS\Local Settings\Application Data\Mozilla\Firefox\Profiles\ab9j604r.default\urlclassifier3.sqlite scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Dabady.CHRIS\Local Settings\Application Data\Mozilla\Firefox\Profiles\ab9j604r.default\XUL.mfl scheduled to be deleted on reboot.
FireFox cache emptied.
Temp folders emptied.
 
OTMoveIt3 by OldTimer - Version 1.0.11.0 log created on 05092009_165248

Files moved on Reboot...
File C:\DOCUME~1\DABADY~1.CHR\LOCALS~1\Temp\etilqs_647Kgsr6g3VV8BqgGawt not found!
C:\Documents and Settings\Dabady.CHRIS\Local Settings\Application Data\Mozilla\Firefox\Profiles\ab9j604r.default\Cache\_CACHE_MAP_ moved successfully.
C:\Documents and Settings\Dabady.CHRIS\Local Settings\Application Data\Mozilla\Firefox\Profiles\ab9j604r.default\Cache\_CACHE_001_ moved successfully.
C:\Documents and Settings\Dabady.CHRIS\Local Settings\Application Data\Mozilla\Firefox\Profiles\ab9j604r.default\Cache\_CACHE_002_ moved successfully.
C:\Documents and Settings\Dabady.CHRIS\Local Settings\Application Data\Mozilla\Firefox\Profiles\ab9j604r.default\Cache\_CACHE_003_ moved successfully.
C:\Documents and Settings\Dabady.CHRIS\Local Settings\Application Data\Mozilla\Firefox\Profiles\ab9j604r.default\urlclassifier3.sqlite moved successfully.
C:\Documents and Settings\Dabady.CHRIS\Local Settings\Application Data\Mozilla\Firefox\Profiles\ab9j604r.default\XUL.mfl moved successfully.

Merci encore pour votre aide!

chimay8 · Answer

bien,

fais ceci stp

Télécharges : - CCleaner (n'installe pas la barre d'outil Yahoo)
https://www.pcastuces.com/logitheque/ccleaner.htm 
Ce logiciel va permettre de supprimer tous les fichiers temporaires et de corrigé ton registre .Lors de l'installation, avant de cliquer sur le bouton "installer", décoche toutes les "options supplémentaires" sauf les 2 première. 
Une fois le prg instalé et lancé, Clique sur "Options", "Avancé" et décoche la case "Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures"( Par la suite, laisse-le avec ses réglages par défaut. C'est tout ). 

Un tuto ( aide ): 
http://perso.orange.fr/jesses/Docs/Logiciels/CCleaner.htm 

---> Utilisation: 
! déconnectes toi et fermes toutes les applications en cours ! 
* vas dans "nettoyeur" : fait analyse puis nettoyage 
* vas dans "registre" : fait chercher les erreurs et réparer ( plusieurs fois jusqu'à ce qu'il n'y ai plus d'erreur ) . 

( CCleaner : soft à garder sur son PC , super utile pour de bons nettoyages ... )

surf un peu et dis moi si tu as encore des problèmes?
si c'est non,on va passer à la partition nettoyage!

Yusuke21 · Answer

Bonsoir. 
La situation s'est compliquée. Après avoir exécuté la manip précédente, mon ordi ne démarre plus correctement. J'ai un écran bleu avec une erreur en rapport avec la mémoire. Je ne peux même pas démarer en mode sans échec. Je pense que je dois dire adieu à mon ordi. J'espère pouvoir récupérer quelques données en le branchant comme externe sur mon autre ordi... 
En tout cas merci de votre aide tout  de même !

chimay8 · Answer

mais quelle manip précédente?

ccleaner?

Yusuke21 · Answer

Oui ! Après CCleaner, le premier démarrage c'était bien passé. J'ai surfé un peu sur le net. Puis firefox a planté. Au second démarrage, j'ai un écran bleu qui est apparu. Depuis, je tombe toujours sur cet écran.

chimay8 · Answer

tu possède le cd de windows?

si oui! fais ceci

https://www.pcastuces.com/pratique/windows/xp/default.htm

Yusuke21 · Answer

Bonjour. 
Malheureusement mon "vieil" ordi était sous windows 2000 et je n'ai plus le CD. Je pense que c'est la fin pour lui. Je continue à chercher un moyen de retrouver un CD. Merci encore pour votre aide.

chimay8 · Answer

arff! oui!

j'avais oublié que t'es sous win 2000
de toute façon ca n'aurait pas fonctionné sous windows 2000

déso...!c'est un peu obsolète comme système....même si c'est du NT!!

Yusuke21 · Answer

En tout cas merci beaucoup pour votre aide. Je pense qu'on peut cloturer ce sujet. Bonne continuation

chimay8 · Answer

de rien,

déso de ne pas avoir pu aller plus loin...

Demande d'aide après attaque troyen

21 réponses

Discussions similaires

Newsletters