Rechercher : dans
Par :

Gros pb avec wuauclt.exe

Dernière réponse le 2 sep 2004 à 17:31:35 david03, le 2 sep 2004 à 00:54:22 
 Signaler ce message aux modérateurs

Bonjour, jv tenté de faire concis :

je suis infecté par wuauclt.exe qui est un trojan (troj/cult-B).

1/g passer mon antivirus, ad-aware, spybot...
2/ g étais dans la base de registre effacer les fichiers corrompus ainsi que sur C: pour le fichier exe.... mais quand je redémarre le pc, je retrouve encore le fichier wuauclt.exe dans le dossier syst de C!!!!
3/g étais sur le site de sophos faire la désinfection de W32/mydoom-A qui correspond à mon pb : et rien, zéro...

aidez-moi, merci d'avance!!!

Meilleures réponses pour « gros pb avec wuauclt.exe » dans :
Wuauclt - wuauclt.exe Voir wuauclt - wuauclt.exe Le processus wuauclt.exe (wuauclt signifiant Windows Update client for WindowsME) est un processus générique de Windows Millenium servant à mettre à jour Windows Millenium via Internet. Le fichier correspondant à ce...
Ntvdm - ntvdm.exe Voirntvdm - ntvdm.exe Le processus ntvdm.exe (Windows 16-bit Virtual Machine) est un processus générique de Windows NT/2000/XP visant à fournir un environnement 16-bit pour les anciennes applications 16 bits. Le processus ntvdm n'est en aucun cas un...
Ctfmon - ctfmon.exe Voirctfmon - ctfmon.exe Le processus ctfmon.exe (dont le nom complet de processus est Alternative User Input Services) est un processus générique de Windows NT/2000/XP servant à gérer les entrées de saisie texte alternatives telles que les logiciels...
Svchost - svchost.exe Voirsvchost - svchost.exe Le processus svchost.exe (svchost signifiant Service Host Process) est un processus générique de Windows 2000/XP servant d'hôtes pour les autres processus dont le fonctionnement repose sur des librairies dynamiques (DLLs). Il...

1

PurpleStorm, le 2 sep 2004 à 01:03:54

C'est normal, pour le supprimer il faut retirer la restauration de XP :
elle se trouve dans le menu démarrer - programmes - accessoires - outils système - Restauration... petite case à gauche à décocher
Ceci fait, redémarrer l'ordinateur en mode sans échec (appuyer sur F8 au démarrage).
Une fois Windows redémarré en mode sans échec, scanner le micro avec l'anti-virus, pareil avec les anti-spy et autres utilitaires, pour supprimer définitivement les intrus.
Si besoin est, supprimer soit même les fichiers (.exe) logés dans le répertoire windows ou Windows-system.
Vider la corbeille, les fichiers temp internet etc...(option internet)
Remettre La page d'accueil internet-Explorer désirée (Google par exemple).
Reste plus qu'a redémarrer l'ordinateur en mode normal. Il faudra penser à recocher l'option de restauration du système.


Qui écrase une araignée,
piétine l'humanité.

Répondre à PurpleStorm

2

david03, le 2 sep 2004 à 10:04:23

Merci de ta réponse.
Mais kaspersky ne fonctionne pas en mode sans échec....
et je me rapelle + comment faire pour afficher la base de registre avec Executer.

Répondre à david03

3

david03, le 2 sep 2004 à 10:30:09

C bon mais mon antivirus me trouve ca maintenant...

impossible à scanner, protégé par mot de passe:
C:\documents and settings\all users\application data spybot-search destroy\recovery\alexa related-zip\relatat-htm

et dans le rapport g d'autres ligne de spybot du style
DSOExploit 1zip
DSOExploit 8zip...
impossible a scanner car protégé!!!

Répondre à david03

4

david03, le 2 sep 2004 à 12:33:31

G étais sur le site de sophos et g le virus W32/Mydoom-A.
mais la désinfection est inefficace... que faire?

g étais dans la base de registre viré tous fichiers liés à W32

pourtant g suivis tes instructions PurpleStorm...

merci.

Répondre à david03

5

david03, le 2 sep 2004 à 13:19:42

Mon dernier hijack...

Logfile of HijackThis v1.97.7
Scan saved at 13:16:09, on 02/09/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Intel\Intel(R) Active Monitor\imonnt.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
C:\Program Files\Analog Devices\SoundMAX\Smax4.exe
C:\Program Files\Intel\Intel(R) Active Monitor\imontray.exe
C:\Program Files\Microsoft Hardware\Keyboard\type32.exe
C:\Program Files\Olitec\USB ADSL\CnxDslTb.exe
D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\Microsoft Hardware\Mouse\point32.exe
C:\WINDOWS\System32\ctfmon.exe
D:\Program Files\E-COLOR\Common\IconMgr.exe
d:\program files\E-COLOR\E-Color Indicator\TICIcon.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\BILOU\Local Settings\Temp\Répertoire temporaire 6 pour hjt.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,Shellnext = http://windowsupdate.microsoft.com/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [KAVPersonal50] D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [IMONTRAY] C:\Program Files\Intel\Intel(R) Active Monitor\imontray.exe
O4 - HKLM\..\Run: [IntelliType] "C:\Program Files\Microsoft Hardware\Keyboard\type32.exe"
O4 - HKLM\..\Run: [CnxDslTaskBar] C:\Program Files\Olitec\USB ADSL\CnxDslTb.exe
O4 - HKLM\..\Run: [Zone Labs Client] "D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [POINTER] point32.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: E-Color.lnk = D:\Program Files\E-COLOR\Common\IconMgr.exe
O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1094057686750
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{F253F098-AC4C-44A3-8FCF-81A7D9ED0100}: NameServer = 80.118.196.36 80.118.192.100

Répondre à david03

6

darkcrystal33, le 2 sep 2004 à 13:36:57
Répondre à darkcrystal33

7

david03, le 2 sep 2004 à 14:15:30

Merci!!!
comment je dois faire pour voir le résultat de mon analyse comme cela?
ya rien de suspect à part cela :

O17 - HKLM\System\CCS\Services\Tcpip\..\{F253F098-AC4C-44A3-8FCF-8­1A7D9ED0100}: NameServer = 80.118.
Eventuellement méchant Effacer cette inscription si le domaine n’appartient pas à l’ISP ou à un réseau qui vous est connu. Il en est de même pour les inscriptions du type 'SearchList'. Effacer si l’IP ou le domaine ne vous est pas connu

mais je sais pas comment faire pour savoir si je connais ou pas...

Répondre à david03

8

darkcrystal33, le 2 sep 2004 à 17:14:44

Tu vas a cette adresse ==>
http://hijackthis.de/index.php?langselect=french

autrement :

80.118.196.36
80.118.192.100

ça correspond a :

netname: FR-LDCOMNET-20010830
descr: LDCOM
descr: PROVIDER LIR
country: FR

LDCOM, est le fournisseur des lignes ADSL dégroupées de (entre autres) 9Online, Club-Internet et Tiscali

Répondre à darkcrystal33

9

 david03, le 2 sep 2004 à 17:31:35

Ok, merci de tes précieux conseils!

Répondre à david03