Difficulté avec HijackThisRésolu/Fermé

Question

Bonjour à tous, 
je viens de faire un scan avec HijackThis comme je fais de temps en temps, et lorsque j'ai posé le log sur ce site http://www.hijackthis.de/fr#anl  il m'a signalé trois lignes, avec une croix rouges, j'en ai supprimé deux, mais par contre j'ai beau supprimé la troisième, elle revient au prochain scan... Je vous poste ci-dessous le scan, en mettant en gras la ligne en question en rouge, si vous pouvez m'aider. Merci

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:39:19, on 08/10/2009
Platform: Windows Vista SP2 (WinNT 6.00.1906)
MSIE: Internet Explorer v8.00 (8.00.6001.18813)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\system32	askeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Common Files\Real\Update_OBealsched.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Eggiz\Meteo Fusion\Meteo Fusion.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtblfs.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://fr.yahoo.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://fr.yahoo.com/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O1 - Hosts: ::1 localhost
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayerpbrowserrecordplugin.dll
O2 - BHO: Windows Live Family Safety Browser Helper - {4f3ed5cd-0726-42a9-87f5-d13f3d2976ac} - C:\Program Files\Windows Live\Family Safety\fssbho.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\ievkbd.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: link filter bho - {E33CF602-D945-461A-83F0-819F76A199F8} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [avp] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OBealsched.exe"  -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Meteo Fusion] "C:\Program Files\Eggiz\Meteo Fusion\Meteo Fusion.exe"
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Clavier &virtuel - {4248FE82-7FCB-46AC-B270-339F08212110} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: Analyse des &liens - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O13 - Gopher Prefix: 
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~2\mzvkbd3.dll
O23 - Service: Kaspersky Anti-Virus (avp) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: Gestionnaire de mise à jour Winsudate (WinSvc) - Winsudate - C:\Program Files\Winsudate\gibsvc.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

Utilisateur anonyme · Answer

Bonjour

• Télécharge : http://images.malwareremoval.com/random/RSIT.exe
/!\ Important (Sous Vista) /!\
Vous devez exécuter RSIT avec les droits d'administrateur, pour cela Clique droit sur RSIT et "Lancer en tant qu'administrateur"
• Double clique sur RSIT.exe pour lancer l'outil.
• Clique sur 'Continue' à l'écran Disclaimer.
• Si l'outil Hijackthis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera et tu devras accepter la licence.
• Une fois le scan fini , 2 rapports vont apparaitre. Poste le contenu des 2 rapports.
( C:\RSIT\log.txt et C:\RSIT\info.txt )
• CTRL A pour sélectionner tout, CTRL C pour copier et puis CTRL V pour coller

verni29 · Answer

Oui, c'est normal que tu ne puisses pas enlever cette ligne.
L'infection est bien ancrée.

Passe l'outil suivant.

Tu télécharges MalwareBytes. 
http://www.malwarebytes.org/mbam/program/mbam-setup.exe 

Tu l'installes. Choisis les options par défaut. 
# A la fin de l’installation, il te sera demandé de mettre à jour MalwareBytes et de l’éxecuter .
# Accepte. Après la, mise à jour, le logiciel va s’ouvrir. 

# Dans l’onglet Recherche, sélectionne Exécuter un examen complet. 
# Clique sur recherche. Tu ne sélectionnes que les disques durs de l’ordinateur. 
# Clique sur lancer l’examen. 

# A la fin de la recherche, comme il est demandé, clique sur afficher les résultats.
# Si des infections sont trouvées, clique sur Supprimer la sélection. 
Tu postes le rapport dans ton prochain message.

Si tu ne retrouves pas le rapport, ouvre MalwareBytes et regarde dans l’onglet  Rapport/logs. Il y est. Clique dessus et choisir ouvrir. 

A+

pinkou · Answer

Ok merci verni29 je fais ça de suite et je colle le rapport

pinkou · Answer

Désolé, mais le scan est un peu long... Kaspersky s'est déclenché au moment ou j'installais le logiciel, mais j'ai ignoré de façon a ce qu'il s'installe. Pour le moment il m'a trouvé 5 éléments infectés..

verni29 · Answer

Laisse-le se terminer.
Un scan dure en moyenne 50 mn.

A+

pinkou · Answer

Oui c'est très long...

pinkou · Answer

J'en suis a presque 2h de scan... ça laisse pas augurer de quelque chose de grave ???
14 éléments infectés.. je suis assez étonné, car mon antivirus (Kaspersky que je paie), est réputée pour détecté toutes sortes de virus, ne m'a jamais rien signalé...

verni29 · Answer

Si tu as un gros disques dur et des fichiers volumineux, le scan peut prendre du temps.
Ne t'inquiéte pas pour la longueur du scan.

Pour les infections trouvées, KIS et Malwarbytes n'ont pas la même fonction.
KIS est un très bon antivirus.
malwarebytes ets un anti-malware. 
Malawrebytes détecte des infections que KIS ne trouvera pas et l'inverse est vrai.

A+

pinkou · Answer

Oui mon disque dur partition C il ne reste que 4Go de libre donc c'est peut-être pour ça..  donc je le garderais installer sur mon PC, tu me diras une fois ceci réglé, comment et quand je devrais l'utiliser (si les MAJ se font automatiquement, etc..)

verni29 · Answer

Autant que je te réponde tout de suite, sinon on risque d'oublier.
Il faut bien sur garder Malwarebytes. 
La version que tu as téléchargé est gatuite. Il y a aussi une version payante qui permet d'avoir une protection en temps réel.

la mise à jour ne se fait pas automatiquement mais on peut créer une tache planifiée pour à chaque ouverture de session que cela se fasse .
Tout est expliqué dans le tuto de Destrio :
https://www.commentcamarche.net/faq/16504-malwarebytes-mise-a-jour-automatique

A+

pinkou · Answer

L'examen est terminé, il m'a trouvé 15 élements infectés, portant le titre de "ADWARE GIBMEDIA" 
Je clique sur "supprimer la sélection ?
C'est grave ce truc qu'il m'a trouvé ?

verni29 · Answer

Oui, tu supprimes la sélection.

Non, l'infection n'est pas grave mais l'infection que tu avais n'a pas été traité.
Il faudra le faire manuellement.

Poste le rapport de malwarebytes.

A+

pinkou · Answer

Le voici, il me les a mis en quarantaine les élements :

Malwarebytes' Anti-Malware 1.41
Version de la base de données: 2925
Windows 6.0.6002 Service Pack 2

08/10/2009 20:55:23
mbam-log-2009-10-08 (20-55-23).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 209687
Temps écoulé: 2 hour(s), 49 minute(s), 40 second(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 3
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 1
Fichier(s) infecté(s): 10

Processus mémoire infecté(s):
C:\Program Files\Winsudate\gibsvc.exe (Adware.Gibmedia) -> Unloaded process successfully.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\winsvc (Adware.Gibmedia) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\winsvc (Adware.Gibmedia) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\winsvc (Adware.Gibmedia) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
C:\Program Files\Winsudate (Adware.Gibmedia) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):
C:\Program Files\Winsudate\gibsvc.exe (Adware.Gibmedia) -> Quarantined and deleted successfully.
C:\Program Files\Winsudate\gibcom.dll (Adware.Gibmedia) -> Quarantined and deleted successfully.
C:\Program Files\Winsudate\gibidl.dll (Adware.Gibmedia) -> Quarantined and deleted successfully.
C:\Program Files\Winsudate\gibupt.exe (Adware.Gibmedia) -> Quarantined and deleted successfully.
C:\Program Files\Winsudate\gibusr.exe (Adware.Gibmedia) -> Quarantined and deleted successfully.
C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\432MOMC2\gibcom[1].dll (Adware.Gibmedia) -> Quarantined and deleted successfully.
C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\432MOMC2\gibidl[1].dll (Adware.Gibmedia) -> Quarantined and deleted successfully.
C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\8FJB13TA\gibsvc[1].exe (Adware.Gibmedia) -> Quarantined and deleted successfully.
C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\KO3EKC4X\gibupt[1].exe (Adware.Gibmedia) -> Quarantined and deleted successfully.
C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\KO3EKC4X\gibusr[1].exe (Adware.Gibmedia) -> Quarantined and deleted successfully.

verni29 · Answer

Impeccable, je retire ce que j'ai dit.
L'infection a bien été désinfectée par Malwarebytes.

Pour plus d'info , 

Tu télécharges MalwareBytes. 
http://www.malwarebytes.org/mbam/program/mbam-setup.exe 

Tu l'installes. Choisis les options par défaut. 
# A la fin de l’installation, il te sera demandé de mettre à jour MalwareBytes et de l’éxecuter .
# Accepte. Après la, mise à jour, le logiciel va s’ouvrir. 

# Dans l’onglet Recherche, sélectionne Exécuter un examen complet. 
# Clique sur recherche. Tu ne sélectionnes que les disques durs de l’ordinateur. 
# Clique sur lancer l’examen. 

# A la fin de la recherche, comme il est demandé, clique sur afficher les résultats.
# Si des infections sont trouvées, clique sur Supprimer la sélection. 
Tu postes le rapport dans ton prochain message.

Si tu ne retrouves pas le rapport, ouvre MalwareBytes et regarde dans l’onglet  Rapport/logs. Il y est. Clique dessus et choisir ouvrir. 

A+

pinkou · Answer

Pourquoi je dois refaire tout ça ? je l'ai fais déjà... Je peux te poster un rapport de Hijack pour confirmer que je suis débarrassé ?

verni29 · Answer

Excuse moi, je me suis planté en copiant/collant en tre deux fichiers word ouverts.

Télécharge Random's System Information Tool (RSIT) de random/random et enregistre le sur ton Bureau. 
http://images.malwareremoval.com/random/RSIT.exe 

# Double-clique sur " RSIT.exe " pour le lancer . 
( Si sous Vista : Click droit sur le fichier et choisir exécuter en tant qu'administrateur )
# dans la fenêtre qui va s’ouvrir choisis  1 month pour l'option "List files/folders created ...". 
# clique ensuite sur " Continue " pour lancer l'analyse ... 

Si la dernière version de HijackThis n'est pas trouvée sur ton PC, RSIT la téléchargera et te demandera d'accepter la licence. 

Attends jusqu’à la fin de l’analyse. deux rapports vont être crées. 

# Poste en deux messages le contenu de " log.txt ", et de " info.txt " ( dans la barre des tâches).

Note : Si tu ne les trouves pas,les rapports sont sauvegardés dans le dossier  C:\rsit.

A+

pinkou · Answer

Ok je fais ça de suite;

pinkou · Answer

Voici le log

Logfile of random's system information tool 1.06 (written by random/random)
Run by André at 2009-10-08 21:10:29
Microsoft® Windows Vista™ Édition Familiale Basique  Service Pack 2
System drive C: has 5 GB (15%) free of 33 GB
Total RAM: 2038 MB (53% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:10:43, on 08/10/2009
Platform: Windows Vista SP2 (WinNT 6.00.1906)
MSIE: Internet Explorer v8.00 (8.00.6001.18813)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\system32	askeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Common Files\Real\Update_OBealsched.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Eggiz\Meteo Fusion\Meteo Fusion.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtblfs.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Users\André\Downloads\RSIT.exe
C:\Program Files\Trend Micro\HijackThis\André.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://fr.fr.acer.yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://fr.yahoo.com/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O1 - Hosts: ::1 localhost
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayerpbrowserrecordplugin.dll
O2 - BHO: Windows Live Family Safety Browser Helper - {4f3ed5cd-0726-42a9-87f5-d13f3d2976ac} - C:\Program Files\Windows Live\Family Safety\fssbho.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\ievkbd.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: link filter bho - {E33CF602-D945-461A-83F0-819F76A199F8} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [avp] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OBealsched.exe"  -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [Malwarebytes Anti-Malware (reboot)] "C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Meteo Fusion] "C:\Program Files\Eggiz\Meteo Fusion\Meteo Fusion.exe"
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Clavier &virtuel - {4248FE82-7FCB-46AC-B270-339F08212110} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: Analyse des &liens - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O13 - Gopher Prefix: 
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~2\mzvkbd3.dll
O23 - Service: Kaspersky Anti-Virus (avp) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

verni29 · Answer

les supports amovibles sont infectés.

Télécharge  UsbFix ( par Chiquitine29 ) sur ton bureau.

 (!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d'avoir été infectées sans les ouvrir
• Double clic sur UsbFix.exe présent sur ton bureau .
• Au menu principal choisis l'option " F " pour français et tape sur [entrée] . 
• Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée] 
• Laisse travailler l'outil.
• Ensuite post le rapport UsbFix.txt qui apparaitra.

 Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

A+

pinkou · Answer

Ok je fais ça de suite (je n'ai jamais mis de clé USB, et j'ai pas de disque durs externe) comme ça, c 'est réglé :)

verni29 · Answer

Le lecteur F:, c'est quoi au juste ?

A+

pinkou · Answer

C'était mon cousin qui avait branché son MP3 à noel dernier mais je doute qu'à cette période j'étais infecté, car j'avais acheté ce PC ça faisait a peine deux mois

pinkou · Answer

Voici le rapport;

############################## | UsbFix V6.039 |

User : André (Administrateurs) # PC-DE-ANDRÉ
Update on 08/10/2009 by Chiquitine29, C_XX & Chimay8
Start at: 21:28:24 | 08/10/2009
Website : http://pagesperso-orange.fr/NosTools/index.html

Intel(R) Celeron(R) CPU          550  @ 2.00GHz
Microsoft® Windows Vista™ Édition Familiale Basique  (6.0.6002 32-bit) # Service Pack 2
Internet Explorer 8.0.6001.18813
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 32,38 Go (4,83 Go free) [ACER] # NTFS
D:\ -> Disque fixe local # 32,38 Go (29,86 Go free) [DATA] # NTFS
E:\ -> Disque CD-ROM

############################## | Processus actifs |

C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Microsoft Small Business\Business Contact Manager\BcmSqlStartupSvc.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Windows Live\Family Safety\fsssvc.exe
C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe
C:\Program Files\Common Files\LightScribe\LSSrvc.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Microsoft SQL Server\90\Shared\sqlbrowser.exe
C:\Program Files\Microsoft SQL Server\90\Shared\sqlwriter.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Windows\system32\DRIVERS\xaudio.exe
C:\Windows\system32\Dwm.exe
C:\Windows\system32	askeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Common Files\Real\Update_OBealsched.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Windows\system32	askeng.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Eggiz\Meteo Fusion\Meteo Fusion.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Windows\system32\wbem\wmiprvse.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Windows Media Player\wmpnetwk.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtblfs.exe
C:\Windows\system32\wbem\wmiprvse.exe

################## | Fichiers # Dossiers infectieux |


################## | Registre # Clés Run infectieuses |


################## | Registre # Mountpoints2 |

HKCU\..\..\Explorer\MountPoints2\{51bae3d7-13e8-11de-8f9c-000000000000}
shell\AutoRun\command =F:\.\FREETEST3.EXE 

HKCU\..\..\Explorer\MountPoints2\{a54e0216-268c-11dd-8b53-001d72225066}
shell\AutoRun\command =F:\ 
shell\open\Command =3CC0E2BD.exe 

################## | ! Fin du rapport # UsbFix V6.039 ! |

verni29 · Answer

Si c'est le seul périphérique ( clé USB, apparaeil photo, portable ) que tu as branché sur ton PC, alors oui, c'est son lecteur MP3 qui est infecté.
Tu pourras lui téléphoner pour le prevenir.
cela se désinfecte également avec le même logiciel que je t'ai indiqué.

OK, pas de fichiers présents sur le PC.

Passe USBFix option 2.
Il va désinfecter et vacciner le PC pour éviter de futures infections par support amovible.

Poste le rapport obtenu.

A+

pinkou · Answer

Option 2= Suppression c'est ça ? (que je fasse pas de bêtises..)
J' pense maintenant, j'ai révisé le code y a quelques mois, j'ai acheté une clé USB a l'auto-école, ou y avait les séries, c'est peut-être ça .. ?

verni29 · Answer

Tout à fait.
Freetest3 --> code la route .
https://www.google.fr/search?q=F%3A&gws_rd=ssl\.\FREETEST3.EXE&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:fr:official&client=firefox-a

L'option 2 est bien la suppression ( et il vaccinera également ).

A+

pinkou · Answer

Ok voici le rapport 

############################## | UsbFix V6.039 |

User : André (Administrateurs) # PC-DE-ANDRÉ
Update on 08/10/2009 by Chiquitine29, C_XX & Chimay8
Start at: 21:43:22 | 08/10/2009
Website : http://pagesperso-orange.fr/NosTools/index.html

Intel(R) Celeron(R) CPU          550  @ 2.00GHz
Microsoft® Windows Vista™ Édition Familiale Basique  (6.0.6002 32-bit) # Service Pack 2
Internet Explorer 8.0.6001.18813
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 32,38 Go (4,82 Go free) [ACER] # NTFS
D:\ -> Disque fixe local # 32,38 Go (29,86 Go free) [DATA] # NTFS
E:\ -> Disque CD-ROM

############################## | Processus actifs |

C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Microsoft Small Business\Business Contact Manager\BcmSqlStartupSvc.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Windows Live\Family Safety\fsssvc.exe
C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe
C:\Program Files\Common Files\LightScribe\LSSrvc.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Microsoft SQL Server\90\Shared\sqlbrowser.exe
C:\Program Files\Microsoft SQL Server\90\Shared\sqlwriter.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Windows\system32\DRIVERS\xaudio.exe
C:\Windows\system32\Dwm.exe
C:\Windows\system32	askeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Common Files\Real\Update_OBealsched.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Windows\system32	askeng.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Eggiz\Meteo Fusion\Meteo Fusion.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Windows\system32\wbem\wmiprvse.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Windows Media Player\wmpnetwk.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtblfs.exe
C:\Windows\system32\wbem\wmiprvse.exe

################## | Fichiers # Dossiers infectieux |


################## | Registre # Clés Run infectieuses |


################## | Registre # Mountpoints2 |

Supprimé ! HKCU\...\Explorer\MountPoints2\{51bae3d7-13e8-11de-8f9c-000000000000}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{a54e0216-268c-11dd-8b53-001d72225066}\Shell\AutoRun\Command  

################## | Listing des fichiers présent |

[15/04/2009 21:06|--a------|36] C:\2588.dat 
[18/09/2006 23:43|--a------|24] C:\autoexec.bat 
[11/04/2009 08:36|-rahs----|333257] C:\bootmgr 
[10/12/2006 04:40|-ra-s----|8192] C:\BOOTSECT.BAK 
[18/09/2006 23:43|--a------|10] C:\config.sys 
[06/03/2009 23:46|-rahs----|0] C:\IO.SYS 
[06/03/2009 23:46|-rahs----|0] C:\MSDOS.SYS 
[24/05/2009 02:27|--ah-----|665] C:\os745025.bin 
[?|?|?] C:\pagefile.sys 
[27/12/2007 02:35|--ahs----|11263] C:\Patch.rev 
[06/07/2007 16:49|-rahs----|135] C:\preload.rev 
[25/11/2008 01:09|--ah-----|268] C:\sqmdata00.sqm 
[25/11/2008 01:09|--ah-----|244] C:\sqmnoopt00.sqm 
[08/10/2009 21:49|--a------|3796] C:\UsbFix.txt 

################## | Vaccination |

# C:\autorun.inf -> Folder created by UsbFix.  
# D:\autorun.inf -> Folder created by UsbFix.  

################## | ! Fin du rapport # UsbFix V6.039 ! |

pinkou · Answer

Par contre, on dirait que ça m'a donné de la place sur la barre des tâches, j'ai même plus la flèche qui te permet de voir les programmes masqué

pinkou · Answer

donc c'est bon là ? on a fini ?

verni29 · Answer

fais un scan en ligne pour vérifier que le PC est propre.
Après, il restera des mises à jour des sécurités du PC.

Suis le tuto suivant :
https://forum.pcastuces.com/default.asp
Poste le rapport obtenu.

A+

pinkou · Answer

Ok le scan part à l'instant
Pour ce qui est des MAJ de sécurité sur le pc, la vérification (et si nécessaire l'installation), se fait dès le démarrage du pc le matin, c'est configuré comme ça

verni29 · Answer

Je ne parle pas des mises à jour automatiques.
le réglage de ton PC est excellent. C'est ce qu'il faut  faire.

les mises à jour concerneront les versions de logiciels, plug-ins qui peuvent laisser des failles de sécurité sur le PC.

A+

pinkou · Answer

Ah très bien, par contre l'analyse risque d'être super longue non ? 'temps restant estimé + de 2h..."

verni29 · Answer

Je regarderais cela demain

A+

pinkou · Answer

Il m'a déjà trouvé un fichier infecté qu'il a supprimé

pinkou · Answer

Analyse finie, voici le résultat (il m'a dit un virus trouvé, mais qui a été réparé de suite), donc je pense que le soucis est résolu. Merci de ta patience.

BitDefender Online Scanner - Rapport virus en temps réel
	
Généré à: Thu, Oct 08, 2009 - 23:26:41
Info d'analyse

Fichiers scannés 137981

Infectés Fichiers : 1
	
Virus Détectés
Gen:Adware.Heur.rq0@d4FDRKji
1

verni29 · Answer

OK, 

Pour les mises à jour, c'est très bien : Vista + SP2 + IE8

On va vérifier pour Adobe et Java .

1/ Pour Acrobat Reader : https://get2.adobe.com/fr/reader/otherversions/

2/ Pour Java, tu vas utiliser JavaRa. Il va vérifier la mise à jour et également nettoyer les anciennes versions présentes sur le PC.

Télécharge JavaRa de PaulMcLain et Fred De Vries.
http://raproducts.org/click/click.php?id=1

Click droit sur l’archive JavaRa.zip et extraire sur le bureau.
Un dossier sera crée. L’ouvrir et double-cliquer sur JavaRa.exe pour le lancer

Choisis la langue ( anglais )
Une fenêtre va s’ouvrir ou tu auras le choix entre mettre à jour et supprimer les anciennes versions de Java.
 
- Mise à jour :
clique sur Search for Updates et choisis l’option Update Using jucheck.exe. Il te sera précisé si il existe ou pas de nouvelle version à installer sur ton PC.
Si oui, clique sur Installer puis suis les invites.

Note : si cette option ne marche pas, utilise l'autre option Using Sun's jawa web site.

- Suppression des anciennes versions :
Relance JavaRa.exe s’il le faut et choisis Remove Older Versions.
Suis les invites.
Il te sera précisé de la suppression les versions trouvées et supprimées.

Un rapport a été crée. Poste le.

3/ Enfin, connecte-toi au site de secunia et lance un scan en ligne pour les plugins installés.
https://www.flexera.com/products/operations/software-vulnerability-management.html

On termine ensuite.

A+

pinkou · Answer

Bonjour, 
pour JAVA j'ai fais et je dispose déjà de la nouvelle version la 6.15, et je n'ai pas de versions antérieures sur le PC, car je prend toujours soins d'effacer manuellement l'ancienne, quand je télécharges la nouvelle. Par contre après ces manipulations faites, aucun rapport ne m'est venu. Pour Adobe idem, j'ai la dernière version 9.1 en française

Je démarre le scan maintenant et je poste le résultat dès qu'il est fini

pinkou · Answer

Voici le résultat du scan bonjour l'anglais je comprend rien...

Detection Statistics:
11 Applications Detected in Total
2 Insecure Versions Detected
9 Patched Versions Detected
Errors with the scan:
0 Errors Detected, scan result should be correct
Status / Currently Processing:
Detection completed successfully

Programs / Result  Version Detected  	 Status
Adobe Flash Player 10.x	Adobe Flash Player 10.x	10.0.22.87	Adobe Flash Player 10.x
	
This installation of Adobe Flash Player 10.x is insecure and potentially exposes your system to security threats!

The detected version installed on your system is 10.0.22.87, however, the latest patched version released by the vendor, fixing one or more vulnerabilities, is 10.0.32.18.

Update Instructions:
Download


Installed on Your System in:
C:\Windows\SYSTEM32\Macromed\Flash\Flash10b.ocx
	Macromedia Flash Player 4.x	Macromedia Flash Player 4.x	4.0.12.0	Macromedia Flash Player 4.x
	
This installation of Macromedia Flash Player 4.x is insecure and potentially exposes your system to security threats!

The detected version installed on your system is 4.0.12.0, however, the latest patched version released by the vendor, fixing one or more vulnerabilities, is 9.0.151.0.

Update Instructions:
Download


Installed on Your System in:
C:\Windows\SYSTEM32\Macromed\Flash\swflash.ocx

verni29 · Answer

Pour java, si tu avais mis à jour le PC et supprimer les anciennes versions, c'est pour cela qu'il n'y a pas eu de rapport.

Pour secunia, télécharge uniquement Macromedia Flash Player.

A+

pinkou · Answer

oK c'est installé

pinkou · Answer

ON a terminé maintenant ? que je le sache afin de mettre en résolu

verni29 · Answer

1/ On va enlever les logiciels qui ont été utilisés..
Télécharge ToolsCleaner .sur le bureau
http://perso.orange.fr/AceRothstein/ToolsCleaner2.exe
Double-clique sur ToolsCleaner2.exe --> Recherche --> Suppression.
Il est possible que ton bureau disparaisse momentanément.

2/ Tu vas utiliser CCleaner. 
https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/ 

utilise les fonctions nettoyeur et registre. 

3/ Tu vas recréer un point de restauration propre pour pouvoir le réutiliser.

Pour recréer un point de restauration :

Dans le Panneau de configuration choisis l’affichage classique :
 Système --> dans la liste des taches, à gauche, choisis propriétés du système

Clique ensuite sur créer pour la création d’un point de restauration. 
Suis les invites.

--------------------------------------------------------------------------------------------------------

Ton PC est propre.
Sois prudent dans ton surf.

Une lecture : projet antimalwares : https://www.malekal.com/fichiers/projetantimalwares/prevention-protection.pdf

---------------------------------------------------------------------------------------------------------

/!\ Tu peux aussi dénoncer ton infection /!\
http://www.malwarecomplaints.info/phpBB3/viewforum.php?f=10

Lis l'article suivant pour t'aider dans la démarche : http://www.malekal.com/malwarecomplaints.html
Pour ton cas, choisis l'infection Autres infections et précise que tu as été infecté par Adware.Gibmedia.

-----------------------------------------------------------------------------------------------------------

En te souhaitant bonne lecture et bon surf.
Enchanté de t'avoir aidé à résoudre ton problème.

Salut. 

@+

Difficulté avec HijackThis

43 réponses

Discussions similaires

Newsletters