Salut
J'écris pour un ami qui n'ose plus se servir d'internet. Il a un PC windows XP SP2 équipé de SPybot et d'Avast (à jour). Il a été infecté par 2 trojan repérés par Avast et mis en quarantaine. win32:Privoxy et Win32:VB-ENO.Après traitement par SPybot (des host redirected) et un scan avast qui n'a rien détecté, il a toujours un message d'alerte qui dit :
"Windows security alert. Warning ! Potential Spyware Operation ! YOur computer is making unauthorized copies of your system and internet files. Run full scan now top prevent any unathorised acess to your fils. Click here to download spyware remove" Et il a le choix entre Oui et Non.
Bien sur il a mis non et maintenant il a un triangle jaune à côté de l'heure qui se réveille de temps en temps et dit "Your computer is infected. Windows has detected spyware infection ! It's recommended to use special antispyware tools to prevent data loss. Windows will now download and install the most up to date antispyware for you. Click here to protect your computer from spyware !"
Il a réduit sans cliquer.
J'ai consulté pour lui les sujets sur le forum et je suis allé essayer de l'aider.
J'ai vu une solution qui disait de virer les clés de registre avec worldantispy et remplacer les wininet.dll du system32 par des dll clean mais ça n'a rien fait. (au passage, pas facile de trouver un wininet.dll de la même version, sur microsoft elles sont toutes antérieurs à 2006 !). Dans le registre j'ai vu aussi des tas de clés du genre antispy, anstipsion, antiver, ...winantispam ou winantispy mais j'ai pas touché.
En regardant dans system32 j'ai vu 3 programmes avec comme icone un triangle jaune (winAvxx.exe, print.exe et un troisième). J'ai viré le winAvXX.exe et là les messages ont un peu arrêté puis ont repris et le winAvXX.exe est revenu.
Du coup j'ai voulu essayer ce qui était dit dans le sujet virus your computer is infected
Dans ce sujet, ils parlaient de passer dans le panneau de config pour désactiver les messages. Le problème c'est que je me suis aperçu qu'il n'avait plus accès au panneau de configuration alors qu'il est admin. l'accès est revenu temporairement quand j'ai viré le winavxx.exe mais c'est reparti en même temps que les messages sont revenus.
J'ai quand même pu lui amener et lui installer SmitFraudFix. Pour suivre toujours le sujet 2964, j'ai aussi voulu aller chercher Hoster mais je suis tombé sur hostsXpert. Est-ce équivalent ?
Bref, pour suivre quand même un peu le sujet 2964, j'ai fait tourné SmitFraudFix donc voici le rapport où il détecte apparemment les 3 exe bizarre du system32.
Ma question est: dois je continuer la procédure du sujet 2964 même sans enlever l'affichage des messages ? J'ai accès au poste de travail donc je peux désactiver la restauration du système. Et je peux appliquer hostsXpert comme Hoster ou pas ?
Merci de me donner la marche à suivre
Rapport SmitFraudFix
SmitFraudFix v2.219
Rapport fait à 20:20:13.42, 05/09/2007
Executé à partir de C:\Documents and Settings\HP_Propri‚taire\Mes documents\Franck LEMOINE\SmitfraudFix\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal
»»»»»»»»»»»»»»»»»»»»»»»» Process
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\FTRTSVC.exe
C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\printer.exe
C:\windows\system\hpsysdrv.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\Fichiers communs\InterVideo\SchSvr\SchSvr.exe
C:\Program Files\InterVideo\Common\Bin\WinRemote.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\DRIVERS\WtSrv.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\WINDOWS\ALCXMNTR.EXE
C:\Program Files\HP\HP Software Update\HPwuSchd2.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9LE.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\EPSON\Creativity Suite\Event Manager\EEventManager.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\WINDOWS\system32\WService.EXE
C:\PROGRA~1\Wanadoo\TaskBarIcon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\SAGEM Wi-Fi USB 802.11g\WLANUTL.exe
C:\lotus\wordpro\ltsstart.exe
C:\Program Files\OpenOffice.org 2.0\program\soffice.exe
C:\Program Files\OpenOffice.org 2.0\program\soffice.BIN
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\iPod\bin\iPodService.exe
c:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe
C:\WINDOWS\system32\cmd.exe
»»»»»»»»»»»»»»»»»»»»»»»» hosts
»»»»»»»»»»»»»»»»»»»»»»»» C:\
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32
C:\WINDOWS\system32\hadjajr.ini PRESENT !
C:\WINDOWS\system32\printer.exe PRESENT !
C:\WINDOWS\system32\vtr???.dll PRESENT !
C:\WINDOWS\system32\WinAvXX.exe PRESENT !
»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\HP_Propri‚taire
»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\HP_Propri‚taire\Application Data
»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer
C:\DOCUME~1\HP_PRO~1\MENUDM~1\PROGRA~1\DMARRA~1\system.exe PRESENT !
»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\HP_PRO~1\Favoris
»»»»»»»»»»»»»»»»»»»»»»»» Bureau
»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files
»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues
»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"
»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!
SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll
»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"="C:\\WINDOWS\\system32\\hadjajr.ini"
»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""
»»»»»»»»»»»»»»»»»»»»»»»» Rustock
»»»»»»»»»»»»»»»»»»»»»»»» DNS
Description: Realtek RTL8139/810x Family Fast Ethernet NIC - Miniport d'ordonnancement de paquets
DNS Server Search Order: 15.243.128.51
DNS Server Search Order: 15.243.160.51
HKLM\SYSTEM\CCS\Services\Tcpip\..\{A38021FC-0AE9-438F-A7D0-29F1AC77D3B5}: DhcpNameServer=192.168.1.1 0.0.0.0
HKLM\SYSTEM\CCS\Services\Tcpip\..\{DE246E2C-8697-44FE-A5BB-FA04D12D4DEC}: DhcpNameServer=15.243.128.51 15.243.160.51
HKLM\SYSTEM\CS1\Services\Tcpip\..\{A38021FC-0AE9-438F-A7D0-29F1AC77D3B5}: DhcpNameServer=192.168.1.1 0.0.0.0
HKLM\SYSTEM\CS1\Services\Tcpip\..\{DE246E2C-8697-44FE-A5BB-FA04D12D4DEC}: DhcpNameServer=15.243.128.51 15.243.160.51
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A38021FC-0AE9-438F-A7D0-29F1AC77D3B5}: DhcpNameServer=192.168.1.1 0.0.0.0
HKLM\SYSTEM\CS3\Services\Tcpip\..\{DE246E2C-8697-44FE-A5BB-FA04D12D4DEC}: DhcpNameServer=15.243.128.51 15.243.160.51
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 0.0.0.0
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 0.0.0.0
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 0.0.0.0
»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll
»»»»»»»»»»»»»»»»»»»»»»»» Fin
Configuration: Windows XP
Firefox 2.0.0.6
"your player is not connected" philips gogear
