VIRUS OU NON ?Résolu/Fermé

Question

Bonjour,
Voila le higackthis du PC portable de ma fille 
HP pavillon DV 9000

Symptomes :
Difficultés de se connecter à un site quelconque que ce soit par IE ou Mozilla  car des pages spam erreur 404, antivirus vista 2008 (qui semble analyser et qui propose un antivirus), site de rencontre etc.

Analysé avec ADWARE CCLEANER et mac affee(dispo sur CCM) 

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:33:57, on 08/06/2008
Platform: Windows Vista  (WinNT 6.00.1904)
MSIE: Internet Explorer v7.00 (7.00.6000.16643)
Boot mode: Normal

Running processes:
C:\Windows\system32	askeng.exe
C:\Windows\system32\Dwm.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\HP\QuickPlay\QPService.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QLBCTRL.exe
C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
C:\Program Files\Hewlett-Packard\HP Wireless Assistant\WiFiMsg.exe
C:\Program Files\HP\HP Software Update\hpwuSchd2.exe
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Common Files\LightScribe\LightScribeControlPanel.exe
C:\Windows\ehome\ehtray.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Windows\System32undll32.exe
C:\Windows\System32undll32.exe
C:\Windows\ehome\ehmsas.exe
C:\Program Files\Hewlett-Packard\Shared\HpqToaster.exe
C:\Windows\system32undll32.exe
C:\Windows\system32undll32.exe
C:\Windows\Explorer.EXE
C:\Windows\system32	askeng.exe
C:\Program Files\Internet Explorer\IEUser.exe
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Windows\system32\Macromed\Flash\FlashUtil9e.exe
C:\Windows\system32\DllHost.exe
C:\Windows\System32\mobsync.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr?cobrand=hp-notebook.msn.com&ocid=HPDHP&pc=HPNTDF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr?cobrand=hp-notebook.msn.com&ocid=HPDHP&pc=HPNTDF
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O1 - Hosts: ::1 localhost
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [QPService] "C:\Program Files\HP\QuickPlay\QPService.exe"
O4 - HKLM\..\Run: [QlbCtrl] %ProgramFiles%\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start
O4 - HKLM\..\Run: [HP Health Check Scheduler] C:\Program Files\Hewlett-Packard\HP Health Check\HPHC_Scheduler.exe
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32
vsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [hpWirelessAssistant] %ProgramFiles%\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
O4 - HKLM\..\Run: [WAWifiMessage] %ProgramFiles%\Hewlett-Packard\HP Wireless Assistant\WiFiMsg.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [Symantec PIF AlertEng] "C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /a /m "C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\AlertEng.dll"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [Antivirus] C:\Program Files\VAV\vav.exe
O4 - HKLM\..\RunOnce: [Launcher] %WINDIR%\SMINST\launcher.exe
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [LightScribe Control Panel] C:\Program Files\Common Files\LightScribe\LightScribeControlPanel.exe -hidden
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [LSA Shellu] C:\Users\NOLWENN\lsass.exe
O4 - HKCU\..\Run: [MSServer] rundll32.exe C:\Users\NOLWENN\AppData\Local\Temp\fccYpPIC.dll,#1
O4 - HKCU\..\Run: [cmds] rundll32.exe C:\Users\NOLWENN\AppData\Local\Temp
nnoLBtQ.dll,c
O4 - HKCU\..\Run: [Antivirus] C:\Program Files\VAV\vav.exe
O4 - HKCU\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter
O4 - HKCU\..\Run: [BM2d1a7da5] Rundll32.exe "C:\Users\NOLWENN\AppData\Local\Temp\fcufnelh.dll",s
O4 - HKCU\..\Run: [2e294e39] rundll32.exe "C:\Users\NOLWENN\AppData\Local\Temptomptii.dll",b
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Add to Windows &Live Favorites - https://onedrive.live.com/?id=favorites
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O13 - Gopher Prefix: 
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://appldnld.apple.com/QuickTime/qtactivex/qtplugin.cab
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {A73BAEFA-EE65-494D-BEDB-DD3E5A34FA98} (Image Uploader) - http://www.extrafilm.fr/ImageUploader4.cab
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Program Files\HP\QuickPlay\Kernel\TV\CLCapSvc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Program Files\HP\QuickPlay\Kernel\TV\CLSched.exe
O23 - Service: Com4Qlb - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\Com4Qlb.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: HP Health Check Service - Hewlett-Packard - C:\Program Files\Hewlett-Packard\HP Health Check\hphc_service.exe
O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: LiveUpdate Notice Service Ex (LiveUpdate Notice Ex) - Unknown owner - c:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe (file missing)
O23 - Service: LiveUpdate Notice Service - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe
O23 - Service: Planificateur LiveUpdate automatique - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: RoxMediaDB9 - Sonic Solutions - C:\Program Files\Common Files\Roxio Shared\9.0\SharedCOM\RoxMediaDB9.exe
O23 - Service: stllssvr - MicroVision Development, Inc. - C:\Program Files\Common Files\SureThing Shared\stllssvr.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

^^Marie^^ · Accepted Answer

Coucou cachou

Supprime Norton
http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/fr_docid/20050414110429924

Utilisateur anonyme · Answer

Re alors fais une mise a jour a tous tes logiciels de sécurité ?

^^Marie^^ · Answer

Dans la foulée


Désactive le contrôle des comptes utilisateurs (tu le réactiveras après ta désinfection): 

- Va dans démarrer puis panneau de configuration 
- Double Clique sur l'icône "Comptes d'utilisateurs" 
- Clique ensuite sur désactiver et valide. 
"Exécuter en tant qu'administrateur


Télécharge SmitfraudFix
Utilitaire de S!Ri: Moe et balltrap34
http://siri.urz.free.fr/Fix/SmitfraudFix.php 
et télécharge SmitfraudFix.exe.

Regarde le tuto

Exécute le en choisissant l’option 1,
il va générer un rapport
Copie/colle le sur le poste stp.

Bon courage
A++

^^Marie^^ · Answer

Coucou

On va continuer trankilou ;;)

Démarre en mode sans échec : 
Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter. 
Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée. 
Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal ! 
(Si F8 ne marche pas utilise la touche F5). 

http://www.coupdepoucepc.com/modules/news/article.php?storyid=253 
 https://www.micro-astuce.com/depannage/demarrer-mode-sans-echec.php

---------------------------------------------------------------------------- 
Relance le programme Smitfraud, 
Cette fois choisit l’option 2, répond oui a tous ; 
Sauvegarde le rapport, Redémarre en mode normal, 
copie/colle le rapport sauvegardé sur le forum


Un log hijackthis dans la foulée

+++

^^Marie^^ · Answer

Refais moi un log hijackthis en mode normal -- stp

^^Marie^^ · Answer

Il porte la même heure que l'autre C'est normal ?
Ben ouiiiiiiiiii !!!
Tu m'as collé le mm ;;))))))

^^Marie^^ · Answer

Repaire toi au début Scan saved at 12:10:02, on 09/06/2008 Platform: Windows Vista (WinNT 6.00.1904) MSIE: Internet Explorer v7.00 (7.00.6000.16643) Boot mode: Safe mode ► sans échec Tu dois avoir ça Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 20:33:57, on 08/06/2008 Platform: Windows Vista (WinNT 6.00.1904) MSIE: Internet Explorer v7.00 (7.00.6000.16643) Boot mode: Normal ► ;;))

^^Marie^^ · Answer

·	Télécharge ToolsCleaner de A.Roshtein sur ton Bureau.(sur un des 2 liens)
http://pagesperso-orange.fr/AceRothstein/ToolsCleaner2.exe
http://a-rothstein.changelog.fr/TC/ToolsCleaner2.exe
·	Clique sur Recherche et laisse le scan se terminer.
·	Clique, sur Suppression pour finaliser.
·	Tu peux, si tu le souhaites, te servir des Options facultatives.
·	Clique sur Quitter, pour que le rapport puisse se créer.
·	Poste moi le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur( C:\).

^^Marie^^ · Answer

Re

1) Affiche les fichiers et dossiers cachés … 
Pour ce faire, tu vas dans un dossier, par ex. "Mes Images". 
Ensuite, clique sur >
 Outils > Options des dossiers ... 
clique sur l' onglet « Affichage » et ... 
Ou bien 
« Outil »
« Option Internet »
« Avancés »
coche ---> Afficher les fichiers et dossiers cachés 
décoche > Masquer les extensions des fichiers dont le type est connu 
décoche > Masquer les fichiers protégés du système d' exploitation (recommandé). 
« Appliquer » et « OK ».
refaire la manip inverse en fin de désinfection


Télécharges ComboFix à partir d'un de ces liens : 
En premier
http://download.bleepingcomputer.com/sUBs/ComboFix.exe 

 

Et important, enregistre le sur le bureau. 

Avant d'utiliser ComboFix : 

&#9658; Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours. 

&#9658; Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. 


Une fois fait, sur ton bureau double-clic sur Combofix.exe. 

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc. 

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes. 

- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire. 

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt) 

&#9658; Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. 

&#9658; Reviens sur le forum, et 

copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

^^Marie^^ · Answer

Pas de soucis
Prends ton temps

BOB3 · Answer

Bonne soiree a vous tous,
salut Marie

Je me suis permis de jeter un coup d'oeil,
il y'a 2 infections distinctes.

Worm/Vavico
Worm/AKHER.G

il faut imperativement arreter avant toutes choses le partage des dossiers et imprimantes,
autrement il se regenere indefiniement.
les infections elles sont la
O4 - HKLM\..\Run: [Antivirus] C:\Program Files\VAV\vav.exe   
O4 - HKLM\..\Run: [MSServer] rundll32.exe C:\Windows\system32\opnOFWnm.dll,#1 
O4 - HKLM\..\Run: [2e294e39] rundll32.exe "C:\Users\NOLWENN\AppData\Local\Temptomptii.dll",b    
O4 - HKCU\..\Run: [LSA Shellu] C:\Users\NOLWENN\lsass.exe  
O4 - HKLM\..\Run: [BM2d1a7da5] Rundll32.exe "C:\Users\NOLWENN\AppData\Local\Temp\fcufnelh.dll", 
O4 - HKLM\..\RunOnce: [Launcher] %WINDIR%\SMINST\launcher.exe    
O4 - HKCU\..\Run: [MSServer] rundll32.exe C:\Users\NOLWENN\AppData\Local\Temp\khfGaaBS.dll,#1  
O4 - HKCU\..\Run: [cmds] rundll32.exe C:\Users\NOLWENN\AppData\Local\Temp
nnoLBtQ.dll,c  
O4 - HKCU\..\Run: [Antivirus] C:\Program Files\VAV\vav.exe  
O4 - HKCU\..\Run: [2e294e39] rundll32.exe "C:\Users\NOLWENN\AppData\Local\Temp\hkcbmbqf.dll",b  
O4 - HKCU\..\Run: [BM2d1a7da5] Rundll32.exe "C:\Users\NOLWENN\AppData\Local\Temp\yeqkpmqa.dll",s  
 
essayer avec ca http://www.malwarebytes.org/rogueremover/free/rr-free-setup.exe
pour virer LE WORM/VAVICO

il risque de garder des sequelles, ils sont capable de modifier des centaines de cles du registre.
Bonne soiree.
BOB3

^^Marie^^ · Answer

Coucou

Une mise au point du PC ??

Avec un hijackthis -- stp

BOB3 · Answer

Re bonjour Marie,

il reste tout ca a virer, Isass.exe n'a rien a faire chez c:\users\Nolwenn\
en plus il se lance automatiquement, c'est qui lance les xxxxxxxx.dll dans 	emp 
O4 - HKCU\..\Run: [LSA Shellu] C:\Users\NOLWENN\lsass.exe
O4 - HKCU\..\Run: [cmds] rundll32.exe C:\Users\NOLWENN\AppData\Local\Temp
nnoLBtQ.dll,c
O4 - HKCU\..\Run: [2e294e39] rundll32.exe "C:\Users\NOLWENN\AppData\Local\Temp\qvcughpb.dll",b
O4 - HKCU\..\Run: [BM2d1a7da5] Rundll32.exe "C:\Users\NOLWENN\AppData\Local\Temp\ekddycrf.dll",s

Bonne journee
BOB3

BOB3 · Answer

Re bonjour Marie,

Marie j'ai fouiné pour toi afin de mieux avancé
je pense que l'ordi s'est infecte a partir de ce lien qui figure dans le rapport hijackthis

O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://appldnld.apple.com.edgesuite.net/ 

quelques infos a propos sur ce lien,
what is appldnld.apple.com.edgesuite.net/content.info.apple.com/QuickTime/qtactivex/qtplugin.cab

a mon avis cet ordi doit rester deconnecter pour faire le nettoyage.
fin.

Bonjour cach103,
reponse 56

ca n'a rien a voir avec l'imprimante, mais avec les fichiers.
pour cela il faut desactiver a 2 endroits distinct.
1--dans explorer, outils, option des dossiers, affichage--->desactiver utiliser le partage de fichiers simple
2--dans connexions reseau wifi, clique droit puis proprietes, et decocher partage de fichiers et d'imprimantes, puis ok.

Bonne journee.
BOB3

^^Marie^^ · Answer

Re

Fais tout ce qui suit dans l' ordre ... 


C:\Program Files\Java\jre1.6.0_05 Obsolète
Mets là à jour
https://www.java.com/fr/download/manual.jsp 

(si ce n’ est déjà fait) Télécharge et installe CCleaner : 
https://forums.cnetfrance.fr 
Sur le site, clique sur > Download latest version et laisse-toi guider. 
Ne coche pas "Ajouter la barre d' outils Yahoo". 
Laisse-le s’ installer tel que … 

Télécharge OTMoveIt (de Old_Timer) sur ton bureau... 
http://download.bleepingcomputer.com/oldtimer/OTMoveIt.exe 
http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe

Redémarre le PC en mode sans échec : 
http://forum.telecharger.01net.com/forum/ 
(méthode F8 de préférence) 
http://www.coupdepoucepc.com/modules/news/article.php?storyid=253 
 https://www.micro-astuce.com/depannage/demarrer-mode-sans-echec.php

-------------------------------------------- 
Tu n' auras pas accès à Internet pendant le "mode sans échec". 
Aussi, copie/colle la procédure dans un fichier texte (word) et mets-la sur le 
"bureau" pour l' avoir à ta disposition. 
-------------------------------------------- 

Ferme toutes les fenêtres et applications. 
Relance HijackThis et clique sur > Do a system scan only 
puis, coche les 
cases devant les lignes qui suivent (et uniquement ces lignes), si tjrs présentes  

O2 - BHO: (no name) - {1A35634D-378B-4E85-AAAB-51D3AC3262E0} - C:\Users\NOLWENN\AppData\Local\Temp
nnoLBtQ.dll
O3 - Toolbar: (no name) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - (no file)
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" –atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [Antivirus] C:\Program Files\VAV\vav.exe
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [LSA Shellu] C:\Users\NOLWENN\lsass.exe
O4 - HKCU\..\Run: [cmds] rundll32.exe C:\Users\NOLWENN\AppData\Local\Temp
nnoLBtQ.dll,c
O4 - HKCU\..\Run: [2e294e39] rundll32.exe "C:\Users\NOLWENN\AppData\Local\Temp\qvcughpb.dll",b
O4 - HKCU\..\Run: [BM2d1a7da5] Rundll32.exe "C:\Users\NOLWENN\AppData\Local\Temp\ekddycrf.dll",s
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://appldnld.apple.com.edgesuite.net/ 
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll


Puis, clique sur > Fix checked et valide par « Yes ». 
Referme HijackThis. 

Double-clique sur OTMoveIt.exe pour le lancer. 
Assure toi que la case "Unregister Dll's and Ocx's" soit bien cochée !!! 
Copie le texte qui se trouve dans l'encadré ci-dessous et colle-le dans le cadre 
de gauche de OTMoveIt nommé Paste List of Files/Folders to be moved. 

C:\Program Files\VAV 



Clique sur MoveIt! pour lancer la suppression. 
Lorsque un résultat apparaît dans le cadre Results,
 clique sur Exit. 
Redémarre ton PC. 
Copie-colle le rapport dans ta réponse : 
Il est situé sur --> C:\_OTMoveIt\MovedFiles. 

Lance CCleaner ... 
Clique sur > Analyse > Lancer le nettoyage, puis sur OK dans la fenêtre qui s' affiche. 
(re)Lance le nettoyage et (re)confirme par OK.



pare-feu gratuits
télécharger la version gratuite de Zone alarm 
https://www.pcastuces.com/logitheque/zonealarm.htm
TUTO
http://securite-facile.ovh.org/zonealarm.php
http://forum.telecharger.01net.com/forum/high-tech/PRODUITS/Questions-techniques/zonealarm-tutorial-sujet_169658_1.htm




============================================

Rapporte ton infection pour faire condamner les auteurs de malware sur Malware-Complaints. 
Pour faire entendre nos voix, nous devons être le plus nombreux possibles, alors rapporte ton infection ça serait sympa de ta part (cela prend 5min !)  

* Voir les règles de Malware-Complaints 
https://malwarecomplaints.info/ 
(important). 
* Enregistre sur le forum à partir du bouton register en haut : 
Si tu as plus de 13 ans, choisir : I Agree to these terms and am over or exactly 13 years of age. 
Si tu as moins, clic sur : I Agree to these terms and am under 13 years of age. 

 
Aide : Comment signaler son infection sur Malware Complaints. 
http://www.malekal.com/malwarecomplaints.html 

6/ Article important à lire ICI . 
http://forum.telecharger.01net.com/forum/high-tech/SECURITE/Securite/preventions-suppression-virus-sujet_39_1.htm 
C'est une synthèse sur les méthodes de prévention et de sécurisation des ordinateurs. Si ce sujet t'a plu, n'hésite pas à envoyer ce PDF https://www.malekal.com/fichiers/projetantimalwares/prevention-protection.pdf 
 à tes amis !



Comment se comporte le PC ?

^^Marie^^ · Answer

Supprime tout ce que je t'ai mis
Pas de soucis ;;)

^^Marie^^ · Answer

Déso ;;))

J'étais un peu ....

Refais moi un log Hijacthis -- stp
Le fond d'écran cela arrive que smitfraud, le supprime

Comment se comporte ton PC ?

^^Marie^^ · Answer

Pas de soucis

Bonne soirée

Lyonnais92 · Answer

Bonsoir cach103,

^^Marie^^ a un petit souci avec ses lunettes.

Elle craint un peu que ses lunettes de secours (des lunettes de soleil) lui fassent perdre un peu de sa clairvoyance.

Elle m' a demandé de reprendre ton topic le temps que les réparations soient faites.

Le temps de lire tes soucis et je te réponds.

Lyonnais92 · Answer

Re,

comme je débarque un peu,

fais redémarrer l'ordi et remets un rapport Hijackthis.

Celui-ci est propre, mais je préfère voir après redémarrage.

J'aimerai bien avoir la liste des dysfonctionnements


J'ai l'impression que c'est nettoyé et qu'il reste des paramètres qui ont été modifiés.

Lyonnais92 · Answer

Re,

j'ai quelques idées (ce qui ne veut pas dire que je vais réussir).

On commence comme ça :

télécharge Zeb Restore
http://telechargement.zebulon.fr/zeb-restore.html
Zeb-Restore est un petit utilitaire de restauration de clés de la base de registre. Le but du programme n'est pas de restaurer l'ensemble du système mais uniquement les points les plus souvent touchés afin de solutionner différents problèmes qui peuvent revenir de façon récurrente.

Voici les éléments qui peuvent être restaurés : coche les lignes engras
- RegEdit : réactive l'accès à RegEdit
- Clés RUN : réactive le lancement de programmes par clés RunXXX
- Bouton Arrêter : rétablit le bouton Arrêter
- Windows Update : rétablit la fonction Windows Update
- Gestionnaire des tâches : réactive le gestionnaire des tâches
- Panneau de configuration : réactive le Panneau de configuration
- Ajout/Suppression de programmes : restaure la fonction Ajout-Suppression de programmes
- Policies : remet en place des éléments désactivés par "Policies"
- Bureau : réactive le Bureau
- Réparation IE : répare Internet Exploreur (pages de recherche)
- Extension des fichiers : répare les extensions des fichiers .exe .bat .reg. Pif.cmd.scr .com
- Sites de confiance et sensibles : efface le contenu de ces zones (à utiliser si vous êtes infecté par des malwares)
- Préfixes et Protocoles Internet : restore les clés des protocoles Internet (ZoneMap etc.)
- Réinitialiser Fichier Hosts : réinitialise le fichier Hosts

Lyonnais92 · Answer

Re,

pas de souci.

Lyonnais92 · Answer

Re,

je ne comprends pas comment tu veux voir autrement que par son nom.

Je ne comprends pas non non plus "l'emplacement est vide'. Il n'y a plus de fichier dans les répertoires ? ou bien le raccourci ne permet pas d'ouvrir le programme ?

Lyonnais92 · Answer

Bonsoir,

Le symptome est clic droit

Le clic droit sur quoi ?

Lyonnais92 · Answer

Re,

J'avais oublié que tu étais sous Vista.

J'avais biuen fait un clic droit sur mon bureau mais je n'avais pas "changer le fond d'écran".

A mon avis, soit un malware soit un outil a vidé ou supprimé le dossier qui contient les fonds d'écran.

mais je ne connais pas le nom de ce dossier.

Bon surf.

Tu réouvres si tu as un souci.

Lyonnais92 · Answer

re,

lol.

Merci pour elle.

VIRUS OU NON ?

26 réponses

Discussions similaires

Newsletters