Flux rss
Ils ont besoin de votre aide
Collection CommentCaMarche.net
Rechercher : dans
Par : Pertinence Date Nom d'utilisateur
Statut : Non résolu

(virus) gros soucis : win32.trojanspy.goldun

pascalou35, le mercredi 8 novembre 2006 à 23:19:52
Bonjour à tous !

Je viens de choper un virus sur internet au travers de MSN (lien) et détecté par Adaware sur un scan partiel : "win32.trojanspy.goldun"

Symptomes :
- impossible d'accéder à internet explorer (i.e a rencontré un pb etc...) je clique sur "ne pas envoyer" et la fenêtre I.Explorer se ferme !
- Impossible de scanner complètement avec Adaware (l'ordi s'éteint et se rallume et m'affiche "recupération erreur sérieuse"
- Par contre, je peux toujours me connecter à MSN en l'exécutant et qui a donc du être + ou - désinstallé !
Depuis impossible de le supprimer.

Selon les recommandations du forum:
- Je n'ai pas restaurer Active Desktop,
- j'ai désactivé la restauration du système, dans "options des dossiers" / "affichage" ,
- j'ai décoché "masquer extensions fichiers dont le type est connu" et "masquer les fichiers protégés du système d'exploitation"

Après lecture sur votre forum, j'ai telechargé "cleanUp40" , "HijackThis"et je viens d'enregistrer un scan.

Logfile of HijackThis v1.99.1
Scan saved at 21:58:54, on 08/11/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\WINDOWS\system32\msasvc.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe
C:\Program Files\Fichiers communs\PCSuite\DataLayer\DataLayer.exe
C:\Program Files\QuickTime\qttask.exe
C:\kybrdff_e51.exe
C:\nwnmff_e51.exe
C:\Program Files\Fichiers communs\{709ABABF-0702-1036-0318-030302170021}\Update.exe
C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\PROGRA~1\FICHIE~1\PCSuite\Services\SERVIC~1.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\PROGRA~1\FICHIE~1\Nokia\MPAPI\MPAPI3s.exe
C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE
c:\progra~1\intern~1\iexplore.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: (no name) - {A8B28872-3324-4CD2-8AA3-7D555C872D96} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: UCmore toolbar - {ED8DB0FD-D8F4-4b2c-BB5B-9EF040FE104D} - C:\Program Files\UCmore\UCMIE.dll (file missing)
O3 - Toolbar: (no name) - {53CBEE82-D747-11d3-9ED0-005004189684} - (no file)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb05.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe -onlytray
O4 - HKLM\..\Run: [DataLayer] C:\Program Files\Fichiers communs\PCSuite\DataLayer\DataLayer.exe
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SIXTH BALL CITY GPL] C:\Documents and Settings\All Users\Application Data\MixByteSixthBall\4LOCKS.exe
O4 - HKLM\..\Run: [keyboard] C:\\kybrdff_e51.exe
O4 - HKLM\..\Run: [newname] C:\\nwnmff_e51.exe
O4 - HKCU\..\Run: [LogitechSoftwareUpdate] "C:\Program Files\Logitech\Video\ManifestEngine.exe" boot
O4 - HKCU\..\Run: [PcSync] C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog
O4 - HKCU\..\Run: [IncrediMail] C:\Program Files\IncrediMail\bin\IncMail.exe /c
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [Flag hope] C:\DOCUME~1\PASCAL~1\APPLIC~1\SETUPD~1\oncedownload.exe
O4 - HKCU\..\Run: [userinit.exe] C:\WINDOWS\userinit.exe
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: Bloquer ce serveur... - C:\Program Files\Avant Browser\AddAllToADBlackList.htm
O8 - Extra context menu item: Bloquer cette publicité... - C:\Program Files\Avant Browser\AddToADBlackList.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Ouvrir dans une nouvelle fenêtre d'Avant Browser - C:\Program Files\Avant Browser\OpenInNewBrowser.htm
O8 - Extra context menu item: Ouvrir tous les liens de la page... - C:\Program Files\Avant Browser\OpenAllLinks.htm
O8 - Extra context menu item: Rechercher sur le Web... - C:\Program Files\Avant Browser\Search.htm
O8 - Extra context menu item: Surligner - C:\Program Files\Avant Browser\Highlight.htm
O12 - Plugin for .bcf: C:\Program Files\Internet Explorer\Plugins\NPBelv32.dll
O16 - DPF: {42E1F024-ECC3-456F-B98A-4CE5ACDBF25C} (ActiveFormX Contrôle) - http://ssl-tb.sitadelle.com/...
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/...
O16 - DPF: {9122D757-5A4F-4768-82C5-B4171D8556A7} (PhotoPickConvert Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/PhotoSwap/PhtPkMSN.cab
O16 - DPF: {A1F2F2CE-06AF-483C-9F12-D3BAA72477D6} (BatchDownloader Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/PhotoSwap/DigWXMSN.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: gatwxkey - C:\WINDOWS\SYSTEM32\gatwxkey.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\System32\drivers\CDAC11BA.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe


Un grand merci à celui qui pourra m'aider !
A lire les messages de dépannage, ça me fait un peu peur.
Dans l'attente
Configuration: XP
Répondre à pascalou35  Signaler ce message aux modérateurs Aller au dernier message

1


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
Malekal_morte-, le mercredi 8 novembre 2006 à 23:30:15
Bonsoir,

Télécharge http://users.telenet.be/marcvn/tools/haxfix.exe
et le sauvegarde sur le bureau.


[*]Double cliquer sur [b]haxfix.exe[/b] pour installer haxfix. (l'installation standard est c:\program Files\haxfix)
[*]Cocher "Create a desktop icon"
[*]Cliquer "Next"
[*]Quand l'installation est terminée, s'assurer que "Launch HaxFix" est coché
[*]Cliquer "Finish"

Une "fenêtre DOS" à fond rouge s'ouvre avec les options suivantes:
1. Make logfile (créer un rapport)
2. Run auto fix (lancer la réparation en mode automatique)
3. Run manual fix (lancer la réparation en mode manuel)
4. Run wnlogow fix (lancer la réparation pour wnlogow)
E. Exit Haxfix (quitter Haxfix)

[*]Selectionner l'option [b]3. Run manual fix en tapant 3 puis "Entrée"

ce message apparait:

echo Insert the haxdoorkey,
and then press Enter:

[*]taper ceci : gatwxkey
Puis appuyer sur "Entrée".

Si l'infection est identifiée, tu verras un message te demandant de fermer toutes les fenêtres ("Close all windows").
Ferme les toutes, sauf la fenêtre DOS avec fond rouge (l'outil), et appuie sur "Entrer".
Ton PC va redémarrer.
Après le redémarrage, poste (copie/colle) le contenu du rapport, situé ici : C:\haxfix.txt

Colle également un nouveau log HiJackThis.
   
Répondre à Malekal_morte-

2


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
pascalou35, le jeudi 9 novembre 2006 à 00:10:21
Merci pour réponse très rapide !
J'ai exécuté vos ordres et voici donc le reste:


HAXFIX logfile - by Marckie
--------------
version 4.28
08/11/2006 23:48:38,15

--- Manual Haxdoorfix ---

Adding haxdoorkeys to delete...
no infections found


--- Goldunfix ---


searching for files:

searching for SSODLkeys:
no SSODLkeys found

searching for notifykeys:
no notifykeys found

searching for services:
xkeyshd


deleting service xkeyshd
[SWSC] DeleteService SUCCESS


.....rebooting the computer.....


searching for ssodlkeys

not needed


searching for notifykeys

not needed


searching for services

service xkeyshd found


searching for safeboot services

not needed


searching for files

xkeyshd.sys exists
deleting xkeyshd.sys
xkeyshd.sys has not been deleted


checking for other files

ksl48.bin exists
deleting ksl48.bin
ksl48.bin has been deleted


checking for a3d files

no a3d files found


Finished



Logfile of HijackThis v1.99.1
Scan saved at 00:01:05, on 09/11/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\WINDOWS\system32\msasvc.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe
C:\Program Files\Fichiers communs\PCSuite\DataLayer\DataLayer.exe
C:\Program Files\QuickTime\qttask.exe
C:\kybrdff_e51.exe
C:\nwnmff_e51.exe
C:\Program Files\Fichiers communs\{709ABABF-0702-1036-0318-030302170021}\Update.exe
C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\PROGRA~1\FICHIE~1\PCSuite\Services\SERVIC~1.EXE
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
c:\progra~1\intern~1\iexplore.exe
C:\PROGRA~1\FICHIE~1\Nokia\MPAPI\MPAPI3s.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\WINDOWS\system32\LVComsX.exe
C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE
C:\WINDOWS\system32\NOTEPAD.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: (no name) - {A8B28872-3324-4CD2-8AA3-7D555C872D96} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: UCmore toolbar - {ED8DB0FD-D8F4-4b2c-BB5B-9EF040FE104D} - C:\Program Files\UCmore\UCMIE.dll (file missing)
O3 - Toolbar: (no name) - {53CBEE82-D747-11d3-9ED0-005004189684} - (no file)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb05.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe -onlytray
O4 - HKLM\..\Run: [DataLayer] C:\Program Files\Fichiers communs\PCSuite\DataLayer\DataLayer.exe
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SIXTH BALL CITY GPL] C:\Documents and Settings\All Users\Application Data\MixByteSixthBall\4LOCKS.exe
O4 - HKLM\..\Run: [keyboard] C:\\kybrdff_e51.exe
O4 - HKLM\..\Run: [newname] C:\\nwnmff_e51.exe
O4 - HKCU\..\Run: [LogitechSoftwareUpdate] "C:\Program Files\Logitech\Video\ManifestEngine.exe" boot
O4 - HKCU\..\Run: [PcSync] C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog
O4 - HKCU\..\Run: [IncrediMail] C:\Program Files\IncrediMail\bin\IncMail.exe /c
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [Flag hope] C:\DOCUME~1\PASCAL~1\APPLIC~1\SETUPD~1\oncedownload.exe
O4 - HKCU\..\Run: [userinit.exe] C:\WINDOWS\userinit.exe
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: Bloquer ce serveur... - C:\Program Files\Avant Browser\AddAllToADBlackList.htm
O8 - Extra context menu item: Bloquer cette publicité... - C:\Program Files\Avant Browser\AddToADBlackList.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Ouvrir dans une nouvelle fenêtre d'Avant Browser - C:\Program Files\Avant Browser\OpenInNewBrowser.htm
O8 - Extra context menu item: Ouvrir tous les liens de la page... - C:\Program Files\Avant Browser\OpenAllLinks.htm
O8 - Extra context menu item: Rechercher sur le Web... - C:\Program Files\Avant Browser\Search.htm
O8 - Extra context menu item: Surligner - C:\Program Files\Avant Browser\Highlight.htm
O12 - Plugin for .bcf: C:\Program Files\Internet Explorer\Plugins\NPBelv32.dll
O16 - DPF: {42E1F024-ECC3-456F-B98A-4CE5ACDBF25C} (ActiveFormX Contrôle) - http://ssl-tb.sitadelle.com/...
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/...
O16 - DPF: {9122D757-5A4F-4768-82C5-B4171D8556A7} (PhotoPickConvert Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/PhotoSwap/PhtPkMSN.cab
O16 - DPF: {A1F2F2CE-06AF-483C-9F12-D3BAA72477D6} (BatchDownloader Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/PhotoSwap/DigWXMSN.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: gatwxkey - C:\WINDOWS\SYSTEM32\gatwxkey.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\System32\drivers\CDAC11BA.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe


En vous remerciant pour votre dévouement

Pascal
   
Répondre à pascalou35

3


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
Séb08, le jeudi 9 novembre 2006 à 00:14:59
slt,

Télécharges smitfraudfix:

En image :
http://siri.urz.free.fr/Fix/SmitfraudFix.php

tu le décompresses tu doubles cliques sur smitfraudfix.cmd et tu choisis l option 1
cela vas générer un rapport.
Si tu vois des lignes avec PRESENT!

- > Continue la manip qui suit.

* Redémarres le PC en mode sans échec : Au démarrage tu tapotes sur la touche F8 de ton clavier (ou F5 ) et tu choisis le [mode sans échec]

* Ouvre le dossier [SmitfraudFix] et double clic sur Smitfraudfix.cmd, choisit l’option 2 et tu réponds oui à tout.

Copie/colle le rapport sur le forum stp.

a+ ***** Have a good day *****
   
Répondre à Séb08

4


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
Malekal_morte-, le jeudi 9 novembre 2006 à 07:42:07
Re,

Je ne suis pas certains que SmitFraudfix trouve quelque chose.
Je te donne donc une autre procédure.


Voici la manipulation à effectuer [u]en entier[/u]
Merci de bien vouloir :
- Lire [b]attentivement[/b] les instructions demandées et prendre son temps pour les effectuer convenablement, sinon la désinfection ne sera pas complète.
- Si certains éléments ne sont pas trouvés, merci de le signaler mais de [b]poursuivre[/b] les manipulations jusqu'au bout.
- A l'issu de la procédure, merci de bien copier/coller [b]TOUS[/b] les rapports demandés.
- N'hésitez pas à consulter les liens d'aides, ils sont là pour vous guider !

- Demarrer / executer / tape services.msc
- Cherche Microsoft authenticate service dans la liste
- Double clic dessus, positionne le type de démarrage sur désactiver

Sur HiJackThis, refais un scan et coches les lignes suivantes :

O4 - HKLM\..\Run: [keyboard] C:\\kybrdff_e51.exe
O4 - HKLM\..\Run: [newname] C:\\nwnmff_e51.exe
O4 - HKCU\..\Run: [Flag hope] C:\DOCUME~1\PASCAL~1\APPLIC~1\SETUPD~1\oncedownload.exe
O4 - HKCU\..\Run: [userinit.exe] C:\WINDOWS\userinit.exe
O20 - Winlogon Notify: gatwxkey - C:\WINDOWS\SYSTEM32\gatwxkey.dll

---> puis clic sur le bouton "Fix Checked"
n'hésite pas à consulter l'aide : http://www.malekal.com/tutorial_HijackThis.html

- Télécharge et installe AVG Anti-Spyware http://downloads.grisoft.cz/softw/70/filedir/inst/avgas-setup-7.5.0.50.exe
- Tutorial : http://www.malekal.com/tutorial_AVG_AntiSpyware.html
- Mets le à jour à partir du menu Mise à jour en haut
- Télécharge clean : http://www.malekal.com/download/clean.zip, décompresse-le sur ton bureau (clic droit / extraire tout), tu dois obtenir un dossier clean.

-- Redémarre en mode en mode sans échec, si tu sais pas comment on fait [url=http://forum.telecharger.01net.com/...l]lis ceci[/url]

-- Ouvre le dossier clean qui se trouve sur ton bureau, et double-clic sur clean.cmd, une fenêtre noire va apparaître pendant un instant, laisse la ouverte.

-- Ouvre le poste de travail
-- Clic sur le menu outils en haut à droite puis options des dossiers
-- Dans la nouvelle fenêtre, clic sur l'onglet Affichage en haut
-- Coche dans la liste "Afficher les fichiers cachés"
-- Décoche "masquer les fichier proteger du systeme d exploitation (recommandée)"
-- Tu vas recevoir un message qui te dit que cela peut endommager le système, n'en tiens pas compte.

C:\DOCUMENTS AND SETTINGS\PASCAL~1\APPLICATION DATA\SETUPD~1\ <-- abréviation

- Ouvre AVG Anti-Spyware et clic sur l'onglet Analyse, puis le sous-onglet Paramètres
- Sélectionne dans Comment Réagir ? Quarantine. (voir l'aide http://www.malekal.com/tutorial_AVG_AntiSpyware.html#mozTocId92038
- Reviens au sous-onglet [color=#3333FF][b]Analyser[/b][/color] puis clique sur Analyse complète du système.
---> Le scan démarre.

A la fin clique sur Appliquer toutes les actions, les éléments doivent alors être déplacés en quarantaine.
Puis clique sur Enregistrer le rapport d'analyse et enregistre le rapport sur le Bureau.


[b]Aide :[/b] N'hésite pas à consulter l'aide l'http://www.malekal.com/tutorial_AVG_AntiSpyware.html pour tout problème.


-- Redémarre en mode normal : Menu Démarrer / Arreter / Redémarre l'ordinateur
[b]Attention :[/b] dans le cas où l'ordinateur redémarre en boucle en mode sans échec, faire la manipulation inverse en décochant l'option /SAFEBOOT à l'aide de msconfig : voir à nouveau cette page : [url=http://forum.telecharger.01net.com/...l]cliquez-ici[/url]


- Télécharge Vundofix : http://www.atribune.org/ccount/click.php?id=4 de Atribune - mirror si le lien ne fonctionne pas : http://www.softpedia.com/get/Antivirus/VundoFix.shtml
- Double-clique VundoFix.exe afin de le lancer.
- Clique sur le bouton Scan for Vundo.
- Lorsque le scan est complété, clique sur le bouton Remove Vundo.
- Une invite te demandera si tu veux supprimer les fichiers, clique YES
- Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers.
- Tu verras une invite qui t'annonce que ton PC va s'éteindre ("shutdown") ; clique OK
- Démarre ton PC à nouveau.
- Copie/colle le contenu du rapport situé dans C:\vundofix.txt



-- Copie/Colle ici les rapports :
- AVG Anti-Spyware
- le contenu du rapport situé dans C:\vundofix.txt
- le rapport clean : Poste de travail / double clic sur disque C / double-clic sur rapport_clean.txt et copier/coller le contenu ici C:\rapport_clean.txt
- ainsi qu'un nouveau log HiJackThis
   
Répondre à Malekal_morte-

5


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
pascalou35, le vendredi 10 novembre 2006 à 00:05:54
Merci encore "MALEKAL"

Donc j'ai appliqué vos consignes :

Pour info avant de commencer, quand je fais CTRL ALT SUP, j'ai un programme "Project1" qui apparaît tout le temps

Donc je n'arrive pas à me connecter pour MàJ sur serveur update ewido.net
J'ai néanmoins fait le scan qui a trouvé bcp de virus
Voici le rapport AVG anti spyware :


AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

+ Créé à: 23:22:59 09/11/2006

+ Résultat de l'analyse:



C:\Program Files\Bcpc -> Adware.BroadcastPC : Nettoyé et sauvegardé (mise en quarantaine).
C:\Program Files\Bcpc\Uninst.exe -> Adware.BroadcastPC : Nettoyé et sauvegardé (mise en quarantaine).
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\UCmore -> Adware.UCmore : Nettoyé et sauvegardé (mise en quarantaine).
C:\Program Files\mp3\mp3.exe -> Dialer.Allotick : Nettoyé et sauvegardé (mise en quarantaine).
C:\mp3.exe -> Dialer.Allotick : Nettoyé et sauvegardé (mise en quarantaine).
C:\Program Files\Services en ligne\meleki.html -> Hijacker.Small.jf : Nettoyé et sauvegardé (mise en quarantaine).
C:\Program Files\WindowsUpdate\pono.html -> Hijacker.Small.jf : Nettoyé et sauvegardé (mise en quarantaine).
C:\WINDOWS\Cookies\pascal guisnel@2o7[2].txt -> TrackingCookie.2o7 : Nettoyé.
C:\WINDOWS\Cookies\pascal guisnel@msnportal.112.2o7[1].txt -> TrackingCookie.2o7 : Nettoyé.
C:\Documents and Settings\Pascal GUISNEL\Local Settings\Temp\Cookies\pascal guisnel@atdmt[2].txt -> TrackingCookie.Atdmt : Nettoyé.
C:\WINDOWS\Cookies\pascal guisnel@atdmt[2].txt -> TrackingCookie.Atdmt : Nettoyé.
C:\WINDOWS\Cookies\pascal guisnel@casalemedia[1].txt -> TrackingCookie.Casalemedia : Nettoyé.
C:\Documents and Settings\Pascal GUISNEL\Local Settings\Temp\Cookies\pascal guisnel@doubleclick[1].txt -> TrackingCookie.Doubleclick : Nettoyé.
C:\WINDOWS\Cookies\pascal guisnel@doubleclick[1].txt -> TrackingCookie.Doubleclick : Nettoyé.
C:\WINDOWS\Cookies\pascal guisnel@lop[1].txt -> TrackingCookie.Lop : Nettoyé.
C:\Documents and Settings\Pascal GUISNEL\Local Settings\Temp\Cookies\pascal guisnel@mediaplex[2].txt -> TrackingCookie.Mediaplex : Nettoyé.
C:\WINDOWS\Cookies\pascal guisnel@mediaplex[1].txt -> TrackingCookie.Mediaplex : Nettoyé.
C:\Documents and Settings\Pascal GUISNEL\Local Settings\Temp\Cookies\pascal guisnel@stats1.reliablestats[1].txt -> TrackingCookie.Reliablestats : Nettoyé.
C:\WINDOWS\Cookies\pascal guisnel@stats1.reliablestats[1].txt -> TrackingCookie.Reliablestats : Nettoyé.
C:\WINDOWS\Cookies\pascal guisnel@revenue[1].txt -> TrackingCookie.Revenue : Nettoyé.
C:\WINDOWS\Cookies\pascal guisnel@banners.searchingbooth[1].txt -> TrackingCookie.Searchingbooth : Nettoyé.
C:\Documents and Settings\Pascal GUISNEL\Local Settings\Temp\Cookies\pascal guisnel@www.smartadserver[1].txt -> TrackingCookie.Smartadserver : Nettoyé.
C:\WINDOWS\Cookies\pascal guisnel@www.smartadserver[1].txt -> TrackingCookie.Smartadserver : Nettoyé.
C:\WINDOWS\Cookies\pascal guisnel@media.top-banners[1].txt -> TrackingCookie.Top-banners : Nettoyé.
C:\WINDOWS\Cookies\pascal guisnel@weborama[2].txt -> TrackingCookie.Weborama : Nettoyé.
C:\Documents and Settings\Pascal GUISNEL\Local Settings\Temp\Cookies\pascal guisnel@ad.yieldmanager[1].txt -> TrackingCookie.Yieldmanager : Nettoyé.
C:\WINDOWS\Cookies\pascal guisnel@ad.yieldmanager[1].txt -> TrackingCookie.Yieldmanager : Nettoyé.
C:\adpekdeu.exe -> Trojan.ProcKill.DJ : Nettoyé et sauvegardé (mise en quarantaine).
C:\kdsprpod.exe -> Trojan.ProcKill.DJ : Nettoyé et sauvegardé (mise en quarantaine).
C:\lgtwq.exe -> Trojan.ProcKill.DJ : Nettoyé et sauvegardé (mise en quarantaine).
C:\wrwhiem.exe -> Trojan.ProcKill.DJ : Nettoyé et sauvegardé (mise en quarantaine).


Fin du rapport


Voici le rapport clean :

Script clean par Malekal_morte - http://www.malekal.com

Microsoft Windows XP [version 5.1.2600]
Script execute en mode sans echec

*** Suppression de fichiers sur C:
C:\ac?_????.exe FOUND
C:\deskbar*.exe FOUND
C:\dfndr*.exe FOUND
C:\DXC?????.exe FOUND
C:\drsmartload.exe FOUND
C:\kybr*.exe FOUND
C:\nwnm*.exe FOUND
C:\uniq FOUND

*** Suppression des fichiers dans C:\WINDOWS\
C:\WINDOWS\NDNuninstall?_??.exe FOUND
C:\WINDOWS\newname.dat FOUND

*** Suppression des fichiers dans C:\WINDOWS\system32
C:\WINDOWS\system32\loadadv???.exe FOUND
C:\WINDOWS\system32\msasvc.exe FOUND
C:\WINDOWS\system32\wupdmgr.exe FOUND
"C:\Documents and Settings\Pascal GUISNEL\loadadv*.exe" FOUND

"C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm0000??.dll" FOUND
Impossible de supprimer "C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm0000??.dll"
"C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm0000?.dll" FOUND
Impossible de supprimer "C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm0000?.dll"
"C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm000??.dll" FOUND
Impossible de supprimer "C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm000??.dll"
"C:\Program Files\Deskbar\" FOUND
"C:\Program Files\n-Case\" FOUND


Vundofix n'a trouvé aucun virus

Pour info, la zone ou l'on nomme les icones est bleue en permanence depuis que je suis infecté.

Dans l'attente de vous relire

Merci beaucoup pour votre aide
Pascal
   
Répondre à pascalou35

6


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
Malekal_morte-, le vendredi 10 novembre 2006 à 07:55:12
- Télécharge DiagHelp sur ton bureau [url=[http://www.malekal.com/download/DiagHelp.zip
- Ne double-clic pas dessus !! Fais un clic droit sur le fichier et extraire tout
- Un nouveau dossier chercher va être créé DiagHelp
- Ouvre le et double-clic sur go.cmd (le .cmd peut ne pas apparaître)
- Une fenêtre va s'ouvrir, choisis [b]l'option 1[/b]
- L'analyse va commencer, ceci peut durer quelques minutes, laisse faire et appuie sur une touche quand on te le demande
- Copie/colle le contenu du bloc-note qui s'ouvre, pour cela :
-- Dans le bloc-note, cliquez sur le menu Edition / Selectionner tout
-- A nouveau menu Edition / copier
-- Dans un nouveau message ici, faire un clic droit / coller

ET :



Ouvre internet explorer --> Outils --> Options internet --> onglet "sécurité" --> Valide "niveau par défaut".
Toujours sur Internet explorer --> Outils --> Options internet --> onglet "avancé" --> valide "Paramètres par défaut".

Pour effectuer les scans, désactive ton antivirus, logiciels de protections et logiciels pouvant bloquer les popups (barres Google, barres Yahoo etc..).


Si le scan avec Kaspersky ne fonctionne pas, tu peux faire un scan en ligne avec Panda :
- Fais un scan panda: http://www.pandasoftware.com/products/activescan.htm
(Si tu es perdu, tu peux suivre ce tuto : http://www.malekal.com/scan_Av_en_ligne.html#mozTocId237368
- Copie/colle le rapport panda ici
   
Répondre à Malekal_morte-

7


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
 afideg, le vendredi 10 novembre 2006 à 12:18:52
Up
Juste pour suivre
Merci
;)
   
Répondre à afideg
Posez votre question Répondre

Résultats pour (virus) gros soucis : win32.trojanspy.goldun

Virus : infecté par win 32 Allaple (Résolu) Bonjour à tous, je viens demander de l'aide sur le forum car mon ordi est carrément vérolé par des virus nommés win 32 Allaple et win 32 watch exe, ils ont été détectés par avast, mais celui-ci n'arrive pas à réparer les fichiers...... www.commentcamarche.net/forum/affich-3388202-virus-infecte-par-win-32-allaple
Virus win 32 gen upx (Résolu) bonjour tout le monde je m'efforce a la soixantaine a configurer ma pauvre logique a celle de l'informatique et voila qu'un vilain trojan me detraque tout( c'est sur un windows xp anti virus avast ) le virus est win 32 gen upx mis... www.commentcamarche.net/forum/affich-2893551-virus-win-32-gen-upx
Attaque win 32 beagle aaw (Résolu) Bonjour, Voilà mon probleme : depuis 2 jours, à chaque démarrage de mon pc, avast m'alerte sur la présence d'un virus nommé WIN 32 : beagle.aaw dans le fichier c/windows/systeme32/drivers/srosa.sys . J'ai beau le mettre en quarantaine... www.commentcamarche.net/forum/affich-8731392-attaque-win-32-beagle-aaw

Résultats pour (virus) gros soucis : win32.trojanspy.goldun

Trojan win 32 gorshok dans system volume info (Résolu)Bonjour, J'ai besoin de votre aide. Mon ordinateur est sérieusement infecté. KASPERSKY online a détecté 1 virus (trojan win 32 gorshok) dans system volume information. De nombreux fichiers sont infectés. Pouvez-vous me conseiller SVP. Merci par... www.commentcamarche.net/forum/affich-4349746-trojan-win-32-gorshok-dans-system-volume-info
Virus trojan : win 32 : sdbot-2993 (Résolu)Bonjour à tous, voila je suis nouveau sur ce site, et je ne vous cache pas que je ne connais pas grand chose en informatique, j’ai une amie qui s'est fait choper un virus (cheval de Troi) Win 32 : sdbot- 2993, elle ne possédait aucun anti-virus,... www.commentcamarche.net/forum/affich-2033333-virus-trojan-win-32-sdbot-2993
Virus infection WIN 32 trojan-gen (Résolu)WIN 32:trojan-gen revient a chaque scan avast.help 1 novice www.commentcamarche.net/forum/affich-2641269-virus-infection-win-32-trojan-gen
Réponses suivantes