éliminer rogueRésolu/Fermé

Question

Bonjour,
voici mon rapport d'analyse smitfraudfixSmitFraudFix v2.424

Scan done at 23:16:21,22, 15/02/2010
Run from C:\Users\Moi\Desktop\SmitfraudFix
OS: Microsoft Windows [version 6.0.6001] - Windows_NT
The filesystem type is NTFS
Fix run in normal mode

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\Ati2evxx.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\Ati2evxx.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32	askeng.exe
C:\Program Files\Acer Arcade Live\Acer HomeMedia Connect\Kernel\DMS\CLMSServer.exe
C:\Windows\system32\Dwm.exe
C:\Windows\system32	askeng.exe
C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
C:\Windows\Explorer.EXE
C:\Program Files\Lexmark 6500 Series\lxdfmon.exe
C:\Program Files\Lexmark 6500 Series\lxdfamon.exe
C:\Acer\Empowering Technology\eDataSecurity\eDSService.exe
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Program Files\Common Files\Real\Update_OBealsched.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\Acer Arcade Live\Acer PlayMovie\PMVService.exe
C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
C:\Acer\Empowering Technology\SysMonitor.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Windows\ehome\ehtray.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\PROGRA~1\COMMON~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe
C:\Windows\System32\a1duqpcth.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Program Files\Acer Arcade Live\Acer HomeMedia Connect\Kernel\DMS\PCMMediaSharing.exe
C:\Program Files\Common Files\LightScribe\LSSrvc.exe
C:\Windows\system32\lxdfcoms.exe
C:\Windows\system32\svchost.exe
C:\Program Files\CyberLink\Shared Files\RichVideo.exe
C:\Program Files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Windows\system32\WUDFHost.exe
C:\Windows\system32\DRIVERS\xaudio.exe
C:\Acer\Empowering Technology\eRecovery\eRecoveryService.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Windows\System32\mobsync.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Windows\system32\wbem\wmiprvse.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Windows\system32\wbem\wmiprvse.exe
C:\Program Files\OpenOffice.org 2.4\program\soffice.exe
C:\Windows\ehome\ehmsas.exe
C:\Acer\Empowering Technology\ACER.EMPOWERING.FRAMEWORK.SUPERVISOR.EXE
C:\Acer\Empowering Technology\eRecovery\ERAGENT.EXE
C:\Program Files\OpenOffice.org 2.4\program\soffice.BIN
C:\PROGRA~1\COMMON~1\France Telecom\Shared Modules\AlertModule\1\AlertModule.exe
C:\Windows\system32\msiexec.exe
C:\Windows\System32\svchost.exe
C:\Program Files\OrangeHSS\systray\systrayapp.exe
C:\Windows\system32\SearchProtocolHost.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe
\?\C:\Windows\system32\wbem\WMIADAP.EXE
C:\Windows\servicing\TrustedInstaller.exe
C:\Windows\system32\wuauclt.exe
C:\Windows\system32\conime.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Windows\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\

C:esycled\ FOUND !

»»»»»»»»»»»»»»»»»»»»»»»» C:\Windows


»»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Users\Moi


»»»»»»»»»»»»»»»»»»»»»»»» C:\Users\Moi\AppData\Local\Temp


»»»»»»»»»»»»»»»»»»»»»»»» C:\Users\Moi\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Start Menu


»»»»»»»»»»»»»»»»»»»»»»»» C:\Users\Moi\FAVORI~1


»»»»»»»»»»»»»»»»»»»»»»»» Desktop


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 


»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys


»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components
 
 

»»»»»»»»»»»»»»»»»»»»»»»» o4Patch
!!!Attention, following keys are not inevitably infected!!!

o4Patch
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, following keys are not inevitably infected!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» Agent.OMZ.Fix
!!!Attention, following keys are not inevitably infected!!!

Agent.OMZ.Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, following keys are not inevitably infected!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, following keys are not inevitably infected!!!

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"="axkexEvus.dll"
"LoadAppInit_DLLs"=dword:00000001


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\Windows\system32\userinit.exe,"

»»»»»»»»»»»»»»»»»»»»»»»» RK

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]




»»»»»»»»»»»»»»»»»»»»»»»» DNS

Your computer may be victim of a DNS Hijack: 85.255.x.x detected !

Description: Marvell Yukon 88E8056 PCI-E Gigabit Ethernet Controller
DNS Server Search Order: 85.255.112.90
DNS Server Search Order: 85.255.112.134

HKLM\SYSTEM\CCS\Services\Tcpip\..\{04E2543C-71FE-4AF3-B833-82F9D78ECD62}: DhcpNameServer=86.64.145.143 84.103.237.143 84.103.237.146 86.64.145.146
HKLM\SYSTEM\CCS\Services\Tcpip\..\{5980B36A-C000-4D8A-8161-F99D05B431E5}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\..\{5980B36A-C000-4D8A-8161-F99D05B431E5}: NameServer=85.255.112.90,85.255.112.134
HKLM\SYSTEM\CCS\Services\Tcpip\..\{B3EEEE7A-E79C-4D6F-A9A4-394892C9276E}: DhcpNameServer=86.64.145.143 84.103.237.143 86.64.145.140 84.103.237.140
HKLM\SYSTEM\CS1\Services\Tcpip\..\{04E2543C-71FE-4AF3-B833-82F9D78ECD62}: DhcpNameServer=86.64.145.143 84.103.237.143 84.103.237.146 86.64.145.146
HKLM\SYSTEM\CS1\Services\Tcpip\..\{5980B36A-C000-4D8A-8161-F99D05B431E5}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{5980B36A-C000-4D8A-8161-F99D05B431E5}: NameServer=85.255.112.90,85.255.112.134
HKLM\SYSTEM\CS1\Services\Tcpip\..\{B3EEEE7A-E79C-4D6F-A9A4-394892C9276E}: DhcpNameServer=86.64.145.143 84.103.237.143 86.64.145.140 84.103.237.140
HKLM\SYSTEM\CS3\Services\Tcpip\..\{04E2543C-71FE-4AF3-B833-82F9D78ECD62}: DhcpNameServer=86.64.145.143 84.103.237.143 84.103.237.146 86.64.145.146
HKLM\SYSTEM\CS3\Services\Tcpip\..\{5980B36A-C000-4D8A-8161-F99D05B431E5}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS3\Services\Tcpip\..\{5980B36A-C000-4D8A-8161-F99D05B431E5}: NameServer=85.255.112.90,85.255.112.134
HKLM\SYSTEM\CS3\Services\Tcpip\..\{B3EEEE7A-E79C-4D6F-A9A4-394892C9276E}: DhcpNameServer=86.64.145.143 84.103.237.143 86.64.145.140 84.103.237.140
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: NameServer=85.255.112.90,85.255.112.134
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: NameServer=85.255.112.90,85.255.112.134
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: NameServer=85.255.112.90,85.255.112.134


»»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection


»»»»»»»»»»»»»»»»»»»»»»»» End

crapoulou · Accepted Answer

Arrêtez le carnage !
Vous faites n'importe quoi et je n'accepte pas que hacker13 prenne mes procédures sans demander !
Désinfecter ne s'improvise pas !
Ce n'est pas une machine virtuelle sur laquelle vous travaillez mais sur la machine infectée d'un utilisateur qui tient à son PC et a des données personnelles !
Continuez sur cette voie et vous allez planter le PC !

cosmido · Answer

bonjur,

L'éditeur de SmitFraudFix ne l'ont plus mis à jours depuis 06-0229.

Téléchargez WORT (dj QUIOU & la Team sécurité MH)
• Double-cliquer sur l'icône Wort.exe
• Suivre les instructions pour installer WORT.
• Cliquer sur WareOut_Removal_Tool.bat et choisir l'option 1.
• Le programme va sauvegarder le registre.
• Suivre attentivement les instructions et appuyer sur une touche à chaques fois que WORT le demande.
>> Le rapport va s'ouvrir, postez-le

► Postez le rapport.
___________________________________________

Téléchargez Malwarebytes
• Lancez l'installation,
• Faites la [Mise à jours] de Malwarebytes.
• Dans [Recherche] sélectionnez [Exécuter un examen Complet],

Après le scan;
• Sauvegarder le rapport ..et
• Appuyer sur [Supprimer la sélection] (en bas à droite),
>> Redémarrer si proposé.. <<

► Postez le rapport Malwarebytes.

crapoulou · Answer

Salut,
Smitfraudfix ayant détecté un élément, il serait bon de l'utiliser malgré tout....
L'option 5 même plus mis à jour traitera l'infection Wareout
MBAM est à passer en fin de désinfection (après avoir réaliser un diagnostic de la machine).

hacker13 · Answer

poste les rapport il y a sans doute autre infection surtout sur tes ports USB donc CE NES PAS FINI

hacker13 · Answer

Télécharge et installe UsbFix de C_XX & El desaparecido :
= = = = >>> En cliquant ici <<< = = = =

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d’avoir été infectés sans les ouvrir !

* Double clique sur le raccourci UsbFix présent sur ton bureau.
* Choisis l’option 1 (Recherche)
* Laisse travailler l’outil.
* Ensuite poste l’intégralité du rapport UsbFix.txt qui apparaîtra.

Notes :
- Le rapport UsbFix.txt est sauvegardé a la racine du disque. (C:\UsbFix.txt)
(CTRL+A Pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller sur le forum).
- "Process.exe", une composante de l’outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. Il ne s’agit pas d’un virus, mais d’un utilitaire destiné à mettre fin à des processus. Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d’où l’alerte émise par ces antivirus.

cosmido · Answer

re..

j'ai supprimé la liste de quarantaine.  
Devez redémarrer le PC pour compléter la suppression.
__________________________________________________

Viens de remarquer ce fix. - réf.

Commencez avec ce Fix.
• Télécharger le avec un de ces lien1 ou lien2.
• Double-cliquez sur le fichier télécharger pour lancer la désinfection. 

^^ Puisque Malwarebytes n'est pas encore tout à fait upgradé pour toutes ces récente infection. ^^
__________________________________________________

Toujours bien d'avoir un compte rendu de l'utilisateur.
Mais avec  le rapport de Malawrebytes, ça ajoute beaucoup d'info.
&#9658;  Postez le . ......dans [Rapports/Logs]
__________________________________________________

Que ce soit avec Wort, SmitFraud Fix ou Malwarebytes.
Les détournements de DNS ont été supprimés ! 
__________________________________________________

Diagnostiques du PC.

Téléchargez sur votre bureau ZHPDiag de Nicolas Coolman.
• Lancer l'installation de ZHPDiag.exe,
>> Ne modifiez pas les paramètres
>> Après l'installation, ZHPDiag devrait s'ouvrir ..ou faites le,

En haut à gauche ;
• Cliquer sur la LOUPE ..pour créer le rapport.
>> Attendez que le rapport soit complété,
• Cliquer sur la DISQUETTE et sauvegarder le rapport,

Au lieu de postez le rapport directement sur le forum
Utilisez l'hébergeur Cjoint -> Joignez y le fichier(rapport) avec [Parcourrir] -> ensuite appuyer [Créer le lien Cjoint]. Une adresse http//...... sera créé.
&#9658; Postez le lien http//..... contenant le rapport).

cosmido · Answer

..
.

Hacker13 
C'est quoi votre référence pour faire utiliser UsbFix à mich' ..

hacker13 · Answer

de quoi ? je suspecte ses support usb d'être infecter ou est le problème

cosmido · Answer

mich'
Faites les procédures du message 7 et posté les rapports.

Crapoulou,
Le message : insecure internet activity threat of virus attack... 
Fait référence à un rogue.
Malwarebytes qui n'est pas à encore jours, avec tout ces rogues qui viennent d'arriver tout récemment.
Le fix proposé, bien qu'à une de mes première essai, semble prometteur.
....Un nerd et asiatique avec ça. Y a du ce la faire aller la machine virtuelle !!
Sinon le rapport ZHPDiag va tout montrer ce qu'il y a à éradiquer.

Et avec la collection d'adware (ou s'il y avaient eu autre chose..) sur le rapport Malwarebytes.
Même si Malwarebytes est utiliser en premier.
Ont a toujours la possibilité après, de lancer des Ad-remover, pour un checkup des Adware, comme le propose déjà le rapport.
Ou un Navilog1, le cas échéant, ne serait-ce que pour le Certificats
etc.

Perso. je favorise la pré-désinfection en premier et complète par la suite avec les outil spécifique nécessaires.

crapoulou · Answer

Malwarebytes qui n'est pas à encore jours
A toi de faire remonter les infos !
http://uploads.malwarebytes.org/

*****

Et le diagnostic dans l'histoire tu le fais quand ?

cosmido · Answer

Crapouloux a écrit :
Malwarebytes qui n'est pas à encore jours

A toi de faire remonter les infos !
http://uploads.malwarebytes.org/

*****
Et le diagnostic dans l'histoire tu le fais quand ?

(i) Y arrivent (leurs upgrade) toutes ensembles, comme si c'était la saison de rogues.

(ii) Le premier message posté ; la pré-désinfection 
Et le second "#7" ;  un guess avec le nerd et une commande de placé pour un rapport ZHPDiag.

éliminer rogue

11 réponses

Discussions similaires

Newsletters