Flux rss
Options Ils ont besoin de votre aide Tous les messages sans réponse
Rechercher : dans
Par : Pertinence Date Nom d'utilisateur
Statut : Résolu

Virus invirable

loulou4789, le lundi 31 mars 2008 à 20:10:17
Bonjour,

Voici mes symptômes:

- Mon wallpaper a été changé et le virus à installé une image rouge avec marqué dessus: "votre ordinateur est infesté, cliquez ici, pour télécharger un antivirus" comme je suis pas con je ne l'ai pas fais, mais ma sœur oui et donc elle a ouvert le lien et le virus c'est connecté à internet et à pu télécharger un nouveau virus (envahisseur je crois)

- Dans ma barre de tache, tout à droite (icône actif) un symbole à apparu, c'est un panneau de signalisation jeune, il forme un triangle (la pointe vers le haut) avec un point d'exclamation noir. Quand on clique dessus le virus ouvre encore une page internet (Firefox en l'occurrence) et il télécharge encore un nouveau virus.

- Le virus à désactivé le Gestionnaire des tâches et affiche un message qui me dit: "Le gestionnaire des tâches à été désactivé pas votre administrateur" donc je ne peux pas fermer le virus...

Que faire? Merci beaucoup pour vos conseils! :-)

Bien cordialement,
l.s
Configuration: Windows XP
Firefox 2.0.0.13
Répondre à loulou4789  Signaler ce message aux modérateurs Aller au dernier message
53 réponses 123

1


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
jessydu54, le lundi 31 mars 2008 à 20:23:12
salut

quel est ton antivirus?
   
Répondre à jessydu54

2


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
loulou4789, le mardi 1 avril 2008 à 09:11:27
j'ai AVAST 4 qui est mis à jours tout le temps, j'ai déjà fait des scannages antivirus sur l'ordinateur complet!
   
Répondre à loulou4789

3


  • 1    Ce message vous semble utile, votez !
  • Ce message ne vous semble pas utile, votez !
  • Signaler ce message aux modérateurs
jessydu54, le mardi 1 avril 2008 à 09:15:11
essai d'enlever avast et mes antivir fait un scan et supprime tous se qu'il trouve

aide antivir

http://www.malekal.com/tutorial_antivir.php
http://forum.malekal.com/ftopic3212.php
   
Répondre à jessydu54

4


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
loulou4789, le mardi 1 avril 2008 à 16:29:42
J'ai supprimé AVAST et j'ai installé ANTIVIR, j'ai fais un scannage complet du DD, mais le virus est toujours sur mon ordinateur, avec encore les messages pour acheter le "programme antivirus", le bureau modifié et l'icône en bas droite. A pars quelques autres petit virus ANTIVIR n'a rien supprimé.
Que faire?

merci beaucoup pour ton aide!
   
Répondre à loulou4789

5


  • 1    Ce message vous semble utile, votez !
  • Ce message ne vous semble pas utile, votez !
  • Signaler ce message aux modérateurs
booddha, le mardi 1 avril 2008 à 20:34:58

Bonjour/Bonsoir
• Ne pas surfer ailleurs que sur le site
• Couper MSN ou tout autre connexion hormis celle sur le site
• Appliquer exactement et dans l'ordre les procédures indiquées.
• Au cas ou plusieurs intervenants se manifestent, en choisir un et un seul.

• Rester devant la machine en rafraichissant souvent le forum pour voir les nouvelles réponses.
• Répondre sans attendre à toutes les questions posées dans l'ordre ou elles ont étés posées
• Etre précis dans les réponses. Ne s'en tenir qu'au sujet et rien qu'au sujet.
• A proscrire : le language SMS.

• Ne pas quitter tant qu'il n'est pas dit explicitement que le problème est résolu ou qu'il dépasse les compétences de celui ou ceux qui vous aident.
• Ne pas ouvrir plusieurs discussions sur le même sujet sauf si on vous le demande (Problème non résolu. Ca arrive)

• Ne pas s'impatienter. L'analyse d'un rapport et la recherche de solutions appropriées prends un certain temps. Inutile donc de reposter le même message. Nous ne vous oublions pas, nous vous cherchons une solution

• Ne pas oublier : nous sommes bénévoles. Nous mangeons, nous dormons, nous travaillons, nous avons une vie de famille aussi.

• Les procédures qui vont suivre, bien que largement éprouvées, sont mises en oeuvre aux risques et périls du possesseur de la machine.


Préparation de la machine
• Vider la corbeille
• Fermer toutes les applications

================ PareFeu XP - Vista ===================
• Si un autre pare-feu que celui de windows est installé, vérifier qu'il est actif et passer à l'étape CCleaner

• Sinon

pour activer/désactiver le Pare-feu Vista
pour activer/désactiver le Pare-feu Xp le Pare-feu Vista

• Activer le pare-Feu si ce n'est déjà fait

===================== CCLEANER ========================
Pour le petit coup de polish.
• Appliquer la procédure ci-dessous.
• l'outil pourra être conservé pour faire le ménage de temps en temps en appliquant la même procédure.

• Télécharger CCLeaner et l'installer sur le bureau en refusant l'installation de la barre Yahoo.
• Fermer toutes les applications
• Lancer CCLeaner
S'il n'est pas en Français cliquer sur Options, Setting, Language
et sélectionner Français
• cocher dans le menu Nettoyeur - onglet Windows :
Internet Explorer: Fichiers Internet Temporaires, Cookies
• Système: Vider la Poubelle, Fichiers Temporaires, Presse-papiers
• Avancé: Vieilles données du Prefetch
• Décocher dans le menu Options - sous-menu Avancé :
Effacer uniquement les fichiers, du dossier temp de Windows, plus vieux que 48 heures
• Cocher dans le menu Nettoyeur - onglet Applications : Internet: Sun Java
• Cocher , si cela est possible, dans le menu Nettoyeur - onglet Applications :
Firefox/Mozilla: Cache Internet, Cookies
• Click sur Analyse
• Click sur le bouton Lancer le nettoyage dans le menu Nettoyeur.
• Click sur Registre
• Sélectionner tout
• Click sur Chercher des erreurs (En bas)

Une fois le scan terminé sélectionner tout
• Click sur Réparer les erreurs sélectionnées


==================== HIJACKTHIS ======================

HijackThis

• Télécharger HijackThis
• Installer HijackThis en se laissant guider (Accepter le répertoire proposé sans rien changer)
• Fermer HijackThis
• Télécharger sur le bureau HJTNew (Si le Pare-Feu ou l'Anti-virus se manifeste, Ignorer)
• Fermer toutes les applications
• Se débrancher d'Internet (Enlever le cable, c'est encore la meilleure solution)
• Lancer HJTNew.exe (Si le Pare-Feu ou l'Anti-virus se manifeste, Ignorer)
Ne pas s'étonner pour HJTNew, rien ne s'affiche, juste une fenêtre qui s'ouvre et se ferme aussitôt. C'est normal.
• Click sur Do a system scan and save a logfile
• Copier/Coller le rapport dans le prochain message
• Supprimer HJTNew.exe (sinon l'Anti-virus risque de se manifester souvent) puis


=================== SMITFRAUDFIX ======================

Télécharger SmitfraudFix (de S!ri)


Etape 1 : Recherche

• Mettre le fichier SmitfraudFix.exe, téléchargé préalablement, sur le Bureau Windows.
• Double click sur SmitfraudFix.exe pour lancer l'outil.
• Après l'affichage du menu, taper 1 puis faire Entrée pour rechercher les fichiers responsables de l'infection.
• Copier/Coller le rapport qui se trouve à la racine de la partition système (en général il s'agit de C: ) dans le fichier rapport.txtdans le prochain message
• Attendre la suite

Notes:
1/ Il faut autoriser l'exécution de l'intégralité du script Visual Basic (fichier de type vbs) une
seule fois en cas d'alerte par votre antivirus (pas d'interruption).
2/ process.exe est détecté par certains antivirus comme étant un RiskTool. Il ne s'agit pas d'un virus,
mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité
(Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. Site officiel
3/ Sous vista le faire executer avec les droits d'administrateur si il y a un souci.

_
_ Si il n'y a pas de solution c'est qu'il n'y a pas de problème.
   
Répondre à booddha

6


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
loulou4789, le mercredi 2 avril 2008 à 09:14:19
Bonjour,

Deja merci de m'aidé, ensuite j'ai bien suivi ce que tu m'as dis à la lettre et apparament ca pas marché! Le virus se connecte toujours à Internet Explorer (alors que je suis sur Firefox) Voici la page qu'il m'affiche: http://www.system-defender.com/...
Et le gestionnaire des taches est toujours désactivé!

Que faire?

J'ai encore une petite question: Pour toi, vu que tu t'y connait, quel est l'antivirus à avoir sur son ordinateur? Peux tu me recommander les programmes de bases à avoir sur son ordi (ex: Ccleaner)

Merci beaucoup pour ton aide et toutes mes excuses si je met du temps pour suivre tes instructions, mais j'ai beaucoup de boulo alors je dois gérer tout plein de chose en meme temps!

Bien cordialement,
L.s
   
Répondre à loulou4789

7


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
loulou4789, le mercredi 2 avril 2008 à 11:04:58
J'ai refais un scannage avec "HijackThis" et voici le rapport:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:00:46, on 02/04/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\PSIService.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Wallpaper\Wallpaper.exe
C:\Fichiers programme\Corel\Print Office 2000\Register\Remind32.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Azureus\Azureus.exe
C:\Program Files\Windows Media Player\wmplayer.exe
C:\WINDOWS\System32\dllhost.exe
C:\WINDOWS\system32\wuauclt.exe
c:\program files\avira\antivir personaledition classic\avscan.exe
C:\Program Files\Trend Micro\HijackThis\MonJack.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\PCHealth\HelpCtr\System\panels\blank.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://login.live.com/ppsecure/sha1auth.srf?lc=1036
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! ¤u¨ã¦C - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {75C24362-C092-4C70-A82E-16D0A7982332} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: Yahoo! ¤u¨ã¦C - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O4 - HKLM\..\Run: [SchedulingAgent] mstinit.exe /firstlogon
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Wallpaper] "C:\Program Files\Wallpaper\Wallpaper.exe" Starter
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\WINDOWS\ServicePackFiles\i386\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\WINDOWS\ServicePackFiles\i386\msmsgs.exe
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) -
O16 - DPF: {7FC1B346-83E6-4774-8D20-1A6B09B0E737} (Windows Live Photo Upload Control) - http://louloulouisschneider89.spaces.live.com/PhotoUpload/MsnPUpld.cab
O21 - SSODL: dwnrpofk - {AD44AFCC-8BF4-4BCA-8901-AD04A4AC6C11} - C:\WINDOWS\dwnrpofk.dll
O21 - SSODL: vbgtorfd - {6E12CD77-8A1C-4710-8170-943867AB31A4} - (no file)
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe
O24 - Desktop Component 0: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm
End of file - 5299 bytes

J'ai refais un scannage avec "HJTNew" voici le rapport:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:01:36, on 02/04/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\PSIService.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Wallpaper\Wallpaper.exe
C:\Fichiers programme\Corel\Print Office 2000\Register\Remind32.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Azureus\Azureus.exe
C:\Program Files\Windows Media Player\wmplayer.exe
C:\WINDOWS\System32\dllhost.exe
C:\WINDOWS\system32\wuauclt.exe
c:\program files\avira\antivir personaledition classic\avscan.exe
C:\Program Files\Trend Micro\HijackThis\MonJack.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\PCHealth\HelpCtr\System\panels\blank.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! ¤u¨ã¦C - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {75C24362-C092-4C70-A82E-16D0A7982332} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: Yahoo! ¤u¨ã¦C - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O4 - HKLM\..\Run: [SchedulingAgent] mstinit.exe /firstlogon
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Wallpaper] "C:\Program Files\Wallpaper\Wallpaper.exe" Starter
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\WINDOWS\ServicePackFiles\i386\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\WINDOWS\ServicePackFiles\i386\msmsgs.exe
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) -
O16 - DPF: {7FC1B346-83E6-4774-8D20-1A6B09B0E737} (Windows Live Photo Upload Control) -
O21 - SSODL: dwnrpofk - {AD44AFCC-8BF4-4BCA-8901-AD04A4AC6C11} - C:\WINDOWS\dwnrpofk.dll
O21 - SSODL: vbgtorfd - {6E12CD77-8A1C-4710-8170-943867AB31A4} - (no file)
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe
O24 - Desktop Component 0: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm

--
End of file - 5299 bytes

J'ai refais un scannage avec "SmitfraudFix" voici le rapport:

SmitFraudFix v2.309

Rapport fait à 11:02:23,67, 02/04/2008
Executé à partir de C:\Documents and Settings\Propri‚taire.JEUNES\Bureau\Supprimer un VIRUS\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\PSIService.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Wallpaper\Wallpaper.exe
C:\Fichiers programme\Corel\Print Office 2000\Register\Remind32.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Azureus\Azureus.exe
C:\Program Files\Windows Media Player\wmplayer.exe
C:\WINDOWS\System32\dllhost.exe
C:\WINDOWS\system32\wuauclt.exe
c:\program files\avira\antivir personaledition classic\avscan.exe
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

C:\WINDOWS\privacy_danger PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Propri‚taire.JEUNES


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Propri‚taire.JEUNES\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\PROPRI~1.JEU\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="file:///C:\\WINDOWS\\privacy_danger\\index.htm"
"SubscribedURL"=""
"FriendlyName"="Privacy Protection"

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\1]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri

[!] Suspicious: dwnrpofk.dll
SSODL: dwnrpofk - {AD44AFCC-8BF4-4BCA-8901-AD04A4AC6C11}


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Rustock



»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: VIA Rhine II Fast Ethernet Adapter - Miniport d'ordonnancement de paquets
DNS Server Search Order: 192.168.2.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{B1D41AAD-6C74-4BF7-9702-20BFA6A771E7}: DhcpNameServer=192.168.2.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{B1D41AAD-6C74-4BF7-9702-20BFA6A771E7}: DhcpNameServer=192.168.2.1
HKLM\SYSTEM\CS3\Services\Tcpip\..\{B1D41AAD-6C74-4BF7-9702-20BFA6A771E7}: DhcpNameServer=192.168.2.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.2.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.2.1
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.2.1


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

Que faire?
   
Répondre à loulou4789

8


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
loulou4789, le mercredi 2 avril 2008 à 11:09:54
PS: j'ai fais une capture d'écran, quand y a le virus qui s'affiche...tu veux que je te l'envoie par mail? ou autre!
   
Répondre à loulou4789

9


  • 1    Ce message vous semble utile, votez !
  • Ce message ne vous semble pas utile, votez !
  • Signaler ce message aux modérateurs
booddha, le mercredi 2 avril 2008 à 13:53:25
+ CCl
+ HJT
+ SmitFraudFix
----------------------------- Ne pas tenir compte des lignes ci-dessus

C'est normal que le Virus soit toujours là, pour l'instant nous n'avons fait que préparer la machine et détecter ce qui ne va pas.

On passe seulement à la phase d'éradication.

Essaie de ne pas anticiper et respecte scrupuleusement les instructions. Ne fait rien d'autre que ce que je te demande et au moment ou je te le demande. N'intervient que pour me dire si tu constates quelque chose de différent sur la machine en mieux ou en plus mal, ou si tu as une difficulté à mettre en œuvre une procédure.

======================

Etape 2 : Nettoyage:

------
• Redémarrer en mode Sans Échec (le démarrage peut prendre plusieurs minutes)
• Attention, pas d’accès à internet dans ce mode. Enregistrer ou imprimer les consignes.

• Relancer le Pc et tapoter la touche F8 ( ou F5 pour certains) , jusqu’à l’apparition des inscriptions avec choix de démarrage
• Avec les touches « flèches », sélectionner Mode sans échec ==> entrée ==>nom utilisateur habituel
-------
• Double click sur SmitfraudFix.exe
• Sélectionner 2 et presser Entrée dans le menu pour supprimer les fichiers responsables de l'infection.
• A la question: Voulez-vous nettoyer le registre ? répondre O (oui) et presser Entrée afin de débloquer
le fond d'écran et supprimer les clés de registre de l'infection.
• Le correctif déterminera si le fichier wininet.dll est infecté.
• A la question: "Corriger le fichier infecté ?" répondre O (oui) et presser Entrée
pour remplacer le fichier corrompu.
• Un redémarrage sera peut être nécessaire pour terminer la procédure de nettoyage.
Le rapport se trouve à la racine de la partition système (en général il s'agit de C: )
dans le fichier rapport.txt. Le Copier/Coller dans le prochain message. + un rapport HiJackThis

Notes:
1/ Il faut autoriser l'exécution de l'intégralité du script Visual Basic (fichier de type vbs) une
seule fois en cas d'alerte par votre antivirus (pas d'interruption).
2/ process.exe est détecté par certains antivirus comme étant un RiskTool. Il ne s'agit pas d'un virus,
mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité
(Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. Site officiel
3/ Sous vista le faire exécuter avec les droits d'administrateur si il y a un souci. Si il n'y a pas de solution c'est qu'il n'y a pas de problème.
   
Répondre à booddha

10


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
loulou4789, le mercredi 2 avril 2008 à 14:09:21
ok merci je fais ce que tu dis et je te tiens au courant!
   
Répondre à loulou4789

11


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
loulou4789, le mercredi 2 avril 2008 à 14:31:54
j'ai bien suivie ce que tu as dis, mais le hic c'est que quand je redémarre l'ordi et que j'appuie sur F5 (F8 ne marche pas) j'ai bien une page qui me permet de choisir le mode de démarrage, mais les flèches ne marchent pas. Je peux que sélectionner "mode normal". Je ne comprned pas c'est la 1ère fois que cela m'arrive, j'ai déjà fais cette opération auparavant et ca toujours marché!
Que faire?
   
Répondre à loulou4789

12


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
booddha, le mercredi 2 avril 2008 à 15:25:03
Essaye en mode normal Si il n'y a pas de solution c'est qu'il n'y a pas de problème.
   
Répondre à booddha

13


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
loulou4789, le mercredi 2 avril 2008 à 15:52:05
je viens de redémarrer en mon "windows démarrage normal" mais l'ordinateur démarre normalement (logique) et je ne peux pas cliquer sur "SmitfraudFix.exe", comme tu me l'as demandé.
je pense que le virus à peut-être désactivé la fonction "mode sans échec" et mes les flèches du haut et du bas (ce qui fait que je ne peux rien sélectionner) vu qu'il a réussi à désactiver le "gestionnaire des taches"
que faire?
   
Répondre à loulou4789

14


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
booddha, le mercredi 2 avril 2008 à 16:02:01
et je ne peux pas cliquer sur "SmitfraudFix.exe", comme tu me l'as demandé.

Et que se passe-t-il ? Si il n'y a pas de solution c'est qu'il n'y a pas de problème.
   
Répondre à booddha

15


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
loulou4789, le mercredi 2 avril 2008 à 16:11:10
En fait quand je coupe mon ordi, et que je le redémarre et quand je le redémarre, j'appuie sur F5, l'ordi m'affiche une page noir avec du texte, comme par exemple: "Mode sans échec" "mode normal" etc. L'ordi sélectionne tout seul le mode "démarrer windows normalement" et je ne peux rien faire, ni cliquer, ni monter et descendre avec les flèches. J'ai déjà fait cette opération auparavant et ca toujours marché et depuis que j'ai le virus ca ne marche pas!
Après l'ordi affiche un compte à rebours de 30s et je ne peux rien faire, puis l'ordi démarre normalement et j'arrive sur le burreau...tout est normal.
Je n'ai donc pas pu cliquer sur "SmitfraudFix.exe" ou sur autre chose!
   
Répondre à loulou4789

16


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
booddha, le mercredi 2 avril 2008 à 16:21:46
Fais la procédure de mon message N°9 en mode normal.

Si il n'y a pas de solution c'est qu'il n'y a pas de problème.
   
Répondre à booddha

17


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
loulou4789, le mercredi 2 avril 2008 à 16:49:08
J'y crois pas, quand j'ai voulu faire ce que tu viens de me demander, je me suis aperçu que "SmitfraudFix.exe" n'existe plus sur mon ordi...(le dossier existe encore, mais pas le programme) impossible de le retélécharger! Je peux retélécharger d'autre programme, comme par exemple "HijackThis", mais je ne peux pas télécharger "SmitfraudFix.exe", donc je ne peux pas suivre ce que tu me demande...je ne comprend pas!
Le virus a-t-il pu supprimer le programme? En tout cas personne n'a touché mon ordi et je n'ai pas supprimé ce programme...!

Ce virus est définitivement balaise!
Que faire?
   
Répondre à loulou4789

18


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
booddha, le mercredi 2 avril 2008 à 17:03:59
Essayes de le télécharger en le renommant Combo-Fix.exe au moment de l'enregistrer sur ton bureau. Si il n'y a pas de solution c'est qu'il n'y a pas de problème.
   
Répondre à booddha

19


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
loulou4789, le mercredi 2 avril 2008 à 17:15:25
quand je télécharge le lien "SmitfraudFix.exe", que tu m'as donné dans le message n*5, l'ordi veut bien le télécharger, mais une fois télécharger et sur le bureau, l'antivirus (antivir) m'informe que c'est un virus et le supprime, alors qu'avant antivir ne le faisait pas!
j'ai voulu télécharger "SmitfraudFix.exe" sur le site 01net (aussi que d'autre site) mais là l'ordi refuse totalement de le télécharger. Voici le lien regarde si tu peux le télécharger:
http://www.01net.com/...

en tout cas merci pour ta gentillesse envers moi!!!! c vraiment cool de m'aider! j'espère qu'on arrivera à virer ce petit BIP de virus lol
   
Répondre à loulou4789

20


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
booddha, le mercredi 2 avril 2008 à 17:21:41
Oui, c'est normal qu'Antivir réagisse comme ça. Il y a dans le code de SmitFraud des techniques employées par les virus.

Désactive Antivir le temps de charger et d'appliquer ComboFix.

Pour désactiver Antivir, ClickDroit sur l'icone en bas et clique Antivir Guard Enable Si il n'y a pas de solution c'est qu'il n'y a pas de problème.
   
Répondre à booddha

21


  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs
loulou4789, le mercredi 2 avril 2008 à 17:25:16
ok ouf merci, je fais ca et ensuite je suis ce que tu as dis en n*9 en mode normal, vu que sans echec ne marche pas!
je te tiens au courant!!!
   
Répondre à loulou4789
53 réponses 123Posez votre question Répondre
Virus invirable - tout essayé ou presque! (Résolu)Bonjour, j'ai un probleme récurrent avec un virus ou un spyware (enfin en principe rien ne me le garanti). J'ai essayé de le supprimer avec mon antivirus traditionnel norton antivirus 2008, avast, spybot, ccleaner. Parfois chaque logiciel... www.commentcamarche.net/forum/affich-7042515-virus-invirable-tout-essaye-ou-presque
Virus hacktool.rootkit invirable ! (Résolu)Bonjour à tous ! Voilà, depuis 3 jours j'ai choppé le virus hacktool.rootkit détecté avec norton mais avec impossibilité de le supprimer ou de le mettre en quarantaine ! Aprés plusieurs recherches sur google et essayé différentes manipulations je... www.commentcamarche.net/forum/affich-2204341-virus-hacktool-rootkit-invirable
Virus - Introduction aux virus Un virus est un petit programme informatique situé dans le corps d'un autre, qui, lorsqu'on l'exécute, se charge en mémoire et exécute les instructions que son auteur a programmé. La définition d'un virus pourrait être la suivante : « Tout programme... www.commentcamarche.net/virus/virus.php3