Sujet Précédent Sujet Suivant

SUPRESSION RDRIV.SYS

Résolu/Fermé
Utilisateur anonyme - 7 nov. 2005 à 20:10
 Utilisateur anonyme - 30 janv. 2006 à 12:50
Bonjour à tous,

Mon système d'exploitation est windows 2000 pro à jour

J'ai un gros problème avec ce satané virus, j'ai redémarré l'ordinateur en mode sans échec pour éffacer toutes les traces dans la base de registre mais impossible de supprimer LEGACY_RDRIV.

Après avoir lancé Norton Antivirus, il me supprime rdriv.sys, mais en redémarrant l'ordinateur en mode normal, il revient sans arrêt utilisant l'ensemble des processus pour se connecter à Internet.

Voici le petit journal de RDRIVEM

~~~~~~~~~~~~~ Pre-run File Check ~~~~~~~~~~~~~


~~~~~~~~~~~~~ Pre-run File Check ~~~~~~~~~~~~~



~~~~~~~~~~~~~ Post run File Check ~~~~~~~~~~~~~


~~~~~~~~~~~~~ Pre-run File Check ~~~~~~~~~~~~~

rdriv.sys present!
WinRep.exe present!


~~~~~~~~~~~~~ Post run File Check ~~~~~~~~~~~~~


~~~~~~~~~~~~~ Pre-run File Check ~~~~~~~~~~~~~



~~~~~~~~~~~~~ Post run File Check ~~~~~~~~~~~~~


~~~~~~~~~~~~~ Pre-run File Check ~~~~~~~~~~~~~



~~~~~~~~~~~~~ Post run File Check ~~~~~~~~~~~~~

Merci de bien vouloir m'aider

16 réponses

Réponse 1 / 16
Utilisateur anonyme
7 nov. 2005 à 20:15
salut
télécharge HijackThis ici:
http://www.hijackthis.de/downloads/hijackthis_199.zip

Dézippe le dans un dossier prévu à cet effet.
Par exemple C:\hijackthis < Enregistre le bien dans c : !
Lance le puis:
clique sur "do a system scan and save logfile" (cf démo)
faire un copier coller du log entier sur le forum

Démo : (merci à balltrap34 pour cette réalisation)
http://pageperso.aol.fr/balltrap34/demohijack.htm

Bon courage

A+
0
francois
30 janv. 2006 à 10:02
Logfile of HijackThis v1.99.1
Scan saved at 09:57:01, on 30/01/2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\System32\oleupdate.exe
C:\Program Files\Logitech\Video\LogiTray.exe
C:\WINDOWS\System32\chkiz.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Logitech\Video\FxSvr2.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\netconf32.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\aswclnr.exe
C:\aswclnr.tmp
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\snddrv.exe
C:\alc.exe
C:\WINDOWS\mansor.exe
C:\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Related Page - {9A9C9B69-F908-4AAB-8D0C-10EA8997F37E} - C:\WINDOWS\System32\WinNB57.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Related Page - {9A9C9B68-F908-4AAB-8D0C-10EA8997F37E} - C:\WINDOWS\System32\WinNB57.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Win Update] C:\WINDOWS\System32\oleupdate.exe
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [Winsocket log aa] chkiz.exe
O4 - HKLM\..\Run: [Winsocket log] chkiz.exe
O4 - HKLM\..\Run: [Anti-Virus Update Scheduler V1.39.12R] C:\alc.exe
O4 - HKLM\..\RunServices: [Winsocket log aa] chkiz.exe
O4 - HKLM\..\RunServices: [Winsocket log] chkiz.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Microsoft Configusd] msconfigsd.exe
O4 - HKCU\..\Run: [LogitechSoftwareUpdate] "C:\Program Files\Logitech\Video\ManifestEngine.exe" boot
O4 - HKCU\..\RunServices: [Microsoft Configusd] msconfigsd.exe
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O15 - Trusted Zone: http://click.getmirar.com (HKLM)
O15 - Trusted Zone: http://click.mirarsearch.com (HKLM)
O15 - Trusted Zone: http://redirect.mirarsearch.com (HKLM)
O15 - Trusted Zone: http://awbeta.net-nucleus.com (HKLM)
O16 - DPF: {42F2C9BA-614F-47C0-B3E3-ECFD34EED658} - http://promo.dollarrevenue.com/webmasterexe/drsmartload124a.exe
O16 - DPF: {8A0DCBDB-6E20-489C-9041-C1E8A0352E75} (Mirar_Dummy_ATS1 Class) - http://awbeta.net-nucleus.com/FIX/WinATS.cab
O16 - DPF: {9AC54695-69A4-46F1-BE10-10C74F9520D5} (elitectl.DemoCtl) - http://cabs.elitemediagroup.net/cabs/mediaview.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: cyberz mansor (mansor) - Unknown owner - C:\WINDOWS\mansor.exe
O23 - Service: netconf32 - Unknown owner - C:\WINDOWS\netconf32.exe
0
Réponse 2 / 16
Utilisateur anonyme
7 nov. 2005 à 20:24
Salut merci de ta réponse voici mon log

Logfile of HijackThis v1.99.1
Scan saved at 20:21:05, on 07/11/2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\System32\Ati2evxx.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe
C:\WINNT\System32\svchost.exe
D:\PROGRAMMES\Norton AntiVirus\navapsvc.exe
D:\PROGRAMMES\Norton Utilities\NPROTECT.EXE
C:\WINNT\system32\MSTask.exe
D:\PROGRA~1\SPEEDD~1\nopdb.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\MsPMSPSv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\Explorer.EXE
C:\Program Files\Fichiers communs\Symantec Shared\SymTray.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
D:\PROGRA~1\NORTON~1\navapw32.exe
C:\WINNT\system32\internat.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\WINNT\system32\ntvdm.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINNT\system32\ZoneLabs\vsmon.exe
C:\WINNT\system32\BHSV.EXE
C:\Documents and Settings\Administrateur\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - D:\PROGRAMMES\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Browser Help Svc] BHSV.EXE
O4 - HKLM\..\Run: [SymTray - Norton SystemWorks] C:\Program Files\Fichiers communs\Symantec Shared\Symtray.exe SetReg
O4 - HKLM\..\Run: [NAV Agent] D:\PROGRA~1\NORTON~1\navapw32.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\RunServices: [Browser Help Svc] BHSV.EXE
O4 - HKLM\..\RunOnce: [SymTray - Norton SystemWorks] C:\Program Files\Fichiers communs\Symantec Shared\Symtrdr.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [Browser Help Svc] BHSV.EXE
O4 - HKCU\..\RunServices: [Browser Help Svc] BHSV.EXE
O4 - Global Startup: CleanSweep Smart Sweep-Internet Sweep.LNK = D:\PROGRAMMES\Norton CleanSweep\csinsmnt.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://www-secure.symantec.com/techsupp/asa/LSSupCtl.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - https://www-secure.symantec.com/techsupp/asa/SymAData.cab
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe
O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - D:\PROGRAMMES\Norton AntiVirus\navapsvc.exe
O23 - Service: NeroNET - Ahead Software AG - D:\PROGRAMMES\ahead\NeroNET\NeroNET.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - D:\PROGRAMMES\Norton Utilities\NPROTECT.EXE
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
O23 - Service: Speed Disk service - Symantec Corporation - D:\PROGRA~1\SPEEDD~1\nopdb.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: NTsystem (System) - Unknown owner - C:\WINNT\ntsys32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINNT\system32\ZoneLabs\vsmon.exe
0
Réponse 3 / 16
Utilisateur anonyme
7 nov. 2005 à 20:30
re;
Rend toi sur ce site :
http://www.virustotal.com/xhtml/virustotal_en.html
Clik sur parcourir
Recherche ceci :
C:\WINNT\system32\BHSV.EXE
Clik send et colle le rapport stp

et fais pareil avec:
C:\WINNT\ntsys32.exe

A+
0
Réponse 4 / 16
cms Messages postés 59 Date d'inscription lundi 7 novembre 2005 Statut Membre Dernière intervention 29 août 2012
7 nov. 2005 à 20:37
salut regis !
BHSV, ça me rappelle qq chose ... ;-)
a+
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 16
Utilisateur anonyme
7 nov. 2005 à 20:42
salut cms
tu rodes sur le forum???
Oui, je l ai connu sur ton pc lol
Et je voulais connaitre son nom, c est toujours utile

a+
;-)

PS: mon prenom ----> Quentin
0
incognito02 Messages postés 3487 Date d'inscription vendredi 28 octobre 2005 Statut Contributeur Dernière intervention 17 août 2008 138
7 nov. 2005 à 20:53
Bonsoir Quentin

Le BHSV.exe, ça ressemblerai pas à ça :
BHSV.EXE
added by the W32/Rbot-AVQ worm. When started, this infection connects to a remote IRC server where it waits for commands to execute.

bonne soirée !

au faites, je l'ai trouvé sur ce site : http://www.bleepingcomputer.com/startups/

a+
0
Réponse 6 / 16
cms Messages postés 59 Date d'inscription lundi 7 novembre 2005 Statut Membre Dernière intervention 29 août 2012
7 nov. 2005 à 20:50
et oui quentin, je me sens presque triste de plus avoir de virus ! ;-)
au fait, si un jour tu veux m'enseigner ton savoir sur la chasse aux virus, entre deux consultations, je suis preneur !
a+
0
Réponse 7 / 16
Utilisateur anonyme
7 nov. 2005 à 20:57
Bonsoir Patrick
tout a fait ca, je vais pouvoir faire la manip ;-)
Merci

----
salut cms,
il y a pas de probleme, quand tu veux, il faudrait un poste libre pour cela ou contacte moi en privee sur hardware.fr, pseudo: regis41.

A+
0
Réponse 8 / 16
Utilisateur anonyme
7 nov. 2005 à 21:00
Merci pour ta réponse, ca été un peu long car ai mis du temps à comprendre que c'était des fichiers système cachés.


Voici le test 1er fichier BHSV.exe

AntiVir 6.32.0.6 11.07.2005 Worm/SdBot.ahx
Avast 4.6.695.0 11.07.2005 no virus found
AVG 718 11.03.2005 no virus found
Avira 6.32.0.6 11.07.2005 Worm/SdBot.ahx
BitDefender 7.2 11.07.2005 Backdoor.SDBot.AHX
CAT-QuickHeal 8.00 11.07.2005 Backdoor.SdBot.ahx
ClamAV devel-20050917 11.07.2005 no virus found
DrWeb 4.33 11.07.2005 BackDoor.IRC.Sdbot.139
eTrust-Iris 7.1.194.0 11.04.2005 no virus found
eTrust-Vet 11.9.1.0 11.07.2005 Win32.Rbot.DZL
Fortinet 2.48.0.0 11.06.2005 W32/SDBot.AHX-bdr
F-Prot 3.16c 11.07.2005 no virus found
Ikarus 0.2.59.0 11.07.2005 Backdoor.Win32.SdBot.AHX
Kaspersky 4.0.2.24 11.07.2005 Backdoor.Win32.SdBot.ahx
McAfee 4622 11.07.2005 W32/Sdbot.worm.gen.j
NOD32v2 1.1277 11.05.2005 IRC/SdBot
Norman 5.70.10 11.07.2005 W32/SDBot.VAF
Panda 8.02.00 11.07.2005 W32/Sdbot.FOO.worm
Sophos 3.99.0 11.07.2005 W32/Rbot-AVQ
Symantec 8.0 11.06.2005 Backdoor.SDBot.Gen
TheHacker 5.9.1.030 11.07.2005 no virus found
VBA32 3.10.4 11.06.2005 Backdoor.Win32.SdBot.ahx

voici le 2éme NTSYS32.exe

www.virustotal.com :: @ Hispasec Sistemas 2004 :: e-mail info@virustotal.comAntiVir 6.32.0.6 11.07.2005 TR/Dldr.Oscaboth
Avast 4.6.695.0 11.07.2005 no virus found
AVG 718 11.03.2005 no virus found
Avira 6.32.0.6 11.07.2005 TR/Dldr.Oscaboth
BitDefender 7.2 11.07.2005 Backdoor.SDBot.DA19CEDD
CAT-QuickHeal 8.00 11.07.2005 (Suspicious) - DNAScan
ClamAV devel-20050917 11.07.2005 no virus found
DrWeb 4.33 11.07.2005 Win32.HLLW.MyBot.based
eTrust-Iris 7.1.194.0 11.04.2005 Win32/Darkmoon.56057!Trojan
eTrust-Vet 11.9.1.0 11.07.2005 Win32.Petribot.EJ
Fortinet 2.48.0.0 11.06.2005 suspicious
F-Prot 3.16c 11.07.2005 no virus found
Ikarus 0.2.59.0 11.07.2005 Backdoor.Win32.Hupigon.BV
Kaspersky 4.0.2.24 11.07.2005 Backdoor.Win32.SdBot.aad
McAfee 4622 11.07.2005 New Malware.u
NOD32v2 1.1277 11.05.2005 a variant of IRC/SdBot
Norman 5.70.10 11.07.2005 W32/SdBot.TWI
Panda 8.02.00 11.07.2005 W32/Sdbot.FCA.worm
Sophos 3.99.0 11.07.2005 Exp/MS04011-A
Symantec 8.0 11.06.2005 no virus found
TheHacker 5.9.1.030 11.07.2005 no virus found
VBA32 3.10.4 11.06.2005 suspected of Embedded.Rootkit.Win32.Agent.p
0
Réponse 9 / 16
Utilisateur anonyme
7 nov. 2005 à 21:05
Bonjour,

Méthode à suivre dans l'ordre...

Désactive le temps de la manip, le Tea timer de Spybot
lance Spybot >mode avancé> outils >> résident
Décoche la case résident "tea timer"
referme Spybot

----------------------------------------------------------------------------
¤Télécharge ces logiciels mais que tu n‘utilises pas tout de suite:

1/

Spybot S&D 1.4 <<nouvelle version.
http://www.safer-networking.org/fr/index.html

Démo d’utilisation (merci à Balltrap34 pour cette réalisation).
http://pageperso.aol.fr/Balltrap34/demo%20spybot.htm

2/

Ad-Aware SE 1.06 <<nouvelle version.
http://www.lavasoftusa.com/software/adaware/
-Une aide:
http://www.tutopat.com/viewtopic.php?t=1191
- installe le patch français, tu pourras le trouver ici:
http://download.lavasoft.de.edgesuite.net/public/pllangs.exe
et une petite vidéo d'utilisation ici:(merci à Moe31 pour cette réalisation).
http://pageperso.aol.fr/balltrap34/adawrevid.asf
----------------------------------------------------------------------------
¤Affiche tous les fichiers et dossiers :
Clique sur démarrer/panneau de configuration/outil/option des dossiers/affichage

Coche « afficher les fichiers et dossiers cachés »

Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"

Décoche « masquer les extensions dont le type est connu »
Puis fais «Ok» pour valider les changements.

Et appliquer !
----------------------------------------------------------------------------
¤Vide tes fichiers temps et temporary internet file:

:: Supprimer les fichiers temporaires ::
vider tout le contenu de ces dossiers.

* C:\Documents and Settings\ton compte\Local Settings\Temp
* C:\Documents and Settings\tous les autres comptes\Local Settings\Temp
* C:\Windows\Temp

:: Le contenu du dossier prefetch ::

* C:\WINDOWS\Prefetch <= sauf le fichier layout.ini

* Ne pas oublier de vider la corbeille !
----------------------------------------------------------------------------
¤Relance HijackThis, coche les cases devant ces lignes et ensuite clique sur fix checked :

O4 - HKLM\..\Run: [Browser Help Svc] BHSV.EXE

O4 - HKLM\..\RunServices: [Browser Help Svc] BHSV.EXE

O4 - HKCU\..\Run: [Browser Help Svc] BHSV.EXE

O23 - Service: NTsystem (System) - Unknown owner - C:\WINNT\ntsys32.exe

----------------------------------------------------------------------------
¤Démarre en mode sans échec :
Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter
Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée.
Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal !
(Si F8 ne marche pas utilise la touche F5).
----------------------------------------------------------------------------
¤Recherche et supprime ceci:
attention seulement les fichiers (si présents).

C:\WINNT\ntsys32.exe
C:\WINNT\system32\BHSV.EXE

Et Recherche ceci egalement, trouvé par RDRIVREM
rdriv.sys
WinRep.exe
----------------------------------------------------------------------------
¤Arrête ces services :

Clique sur Démarrer->exécuter->tape: services.msc

Double-clique: Service: NTsystem (System)

Règle-le sur "Arrêté" et "Désactivé".
----------------------------------------------------------------------------
¤ Passe Ad-Aware et supprime tout ce qu’il trouve + supprime les quarantaines…
----------------------------------------------------------------------------
¤ Passe Spybot et corrige tout ce qu’il trouve + vaccine + supprime les quarantaines…
----------------------------------------------------------------------------
¤ Vide ta Corbeille.
----------------------------------------------------------------------------
¤ Redémarre en mode normal, relance Hijackthis et copie/colle un nouveau rapport sur le forum + LE RAPPORT DE RDRIVREM

Précise tes soucis s’il en reste....

Tiens-moi au courant

A+
0
Réponse 10 / 16
Utilisateur anonyme
7 nov. 2005 à 22:32
Re Regis,

Pour l'instant plus rien à signaler sauf que BHSV est revenu mais j'ai empêché par teatimer qu'il modifie la base de registre malgré la suppression en mode sans échec.

De plus, j'ai demandé à zone alarm de terminer ce processus à chaque démarrage

RDRIVREM ne détecte plus rien
~~~~~~~~~~~~~ Pre-run File Check ~~~~~~~~~~~~~



~~~~~~~~~~~~~ Post run File Check ~~~~~~~~~~~~~

Voici le log, par contre j'ai raté une étape la mise à jour de adaware avant l'utilisation en mode sans échec, il ne m'a rien détecté en revanche spybot m'en a viré une tripoté !!!!

En tout cas, un grand merci à toi!!!!!!!!!!!!!
Si tu vois encore quelque chose dis le moi, en attentant je vais lancer Norton antivirus on ne sait jamais.

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\System32\Ati2evxx.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe
C:\WINNT\System32\svchost.exe
D:\PROGRAMMES\Norton AntiVirus\navapsvc.exe
D:\PROGRAMMES\Norton Utilities\NPROTECT.EXE
C:\WINNT\system32\MSTask.exe
D:\PROGRA~1\SPEEDD~1\nopdb.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\system32\ZoneLabs\vsmon.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\MsPMSPSv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\Explorer.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
D:\PROGRA~1\NORTON~1\navapw32.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINNT\system32\internat.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\WINNT\system32\ntvdm.exe
C:\Program Files\Lavasoft\Ad-Aware SE Personal\Ad-Aware.exe
C:\Documents and Settings\Administrateur\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - D:\PROGRAMMES\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SymTray - Norton SystemWorks] C:\Program Files\Fichiers communs\Symantec Shared\Symtray.exe SetReg
O4 - HKLM\..\Run: [NAV Agent] D:\PROGRA~1\NORTON~1\navapw32.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [Browser Help Svc] BHSV.EXE
O4 - HKLM\..\RunServices: [Browser Help Svc] BHSV.EXE
O4 - HKLM\..\RunOnce: [SymTray - Norton SystemWorks] C:\Program Files\Fichiers communs\Symantec Shared\Symtrdr.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [Browser Help Svc] BHSV.EXE
O4 - HKCU\..\RunServices: [Browser Help Svc] BHSV.EXE
O4 - Global Startup: CleanSweep Smart Sweep-Internet Sweep.LNK = D:\PROGRAMMES\Norton CleanSweep\csinsmnt.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://www-secure.symantec.com/techsupp/asa/LSSupCtl.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - https://www-secure.symantec.com/techsupp/asa/SymAData.cab
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe
O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - D:\PROGRAMMES\Norton AntiVirus\navapsvc.exe
O23 - Service: NeroNET - Ahead Software AG - D:\PROGRAMMES\ahead\NeroNET\NeroNET.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - D:\PROGRAMMES\Norton Utilities\NPROTECT.EXE
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
O23 - Service: Speed Disk service - Symantec Corporation - D:\PROGRA~1\SPEEDD~1\nopdb.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINNT\system32\ZoneLabs\vsmon.exe
0
Réponse 11 / 16
Utilisateur anonyme
7 nov. 2005 à 22:38
re,
retentons ainsi !

Télécharge: Pocket Killbox ici
http://www.downloads.subratam.org/KillBox.exe

:: Démo d utilisation (merci a Balltrap34 pour cette réalisation) ::
http://pageperso.aol.fr/balltrap34/killbox.htm


********

Desactive le tea timer

*********
puis lancer HijackThis:

clique sur "do a system scan only"

* Cocher la case au début de ces lignes:

O4 - HKLM\..\Run: [Browser Help Svc] BHSV.EXE

O4 - HKLM\..\RunServices: [Browser Help Svc] BHSV.EXE

O4 - HKCU\..\Run: [Browser Help Svc] BHSV.EXE

O4 - HKCU\..\RunServices: [Browser Help Svc] BHSV.EXE

* Valider avec fix checked


5/

Double clic sur killbox.exe (Pocket Killbox)

- coche: delete on reboot
- Dans "Full Path of File to Delete"
copie et colle:

C:\WINNT\system32\BHSV.EXE

- clique sur la croix rouge
- une fenêtre va apparaître pour confirmation clique sur YES
- une seconde fenêtre te demande si tu veux redémarrer clique sur YES

Laisse le pc redémarrer.
Recoche la case pour réactiver le tea timer de Spybot.
Et après reposte un log HijackThis.

A+
0
Réponse 12 / 16
Utilisateur anonyme
7 nov. 2005 à 23:32
RE-REGIS

Pb : Ne trouve plus le fichier, les options concernant les fichiers cachés sont décochés + extensions. En redémarrant, pourtant tea timer me rebloque la modification de registre et HJT m'indique de nouveau BHSV ne serait-ce pas les fichiers BHS avec un numéro style BHS8...

En tout cas killbox m'a tué un process que j'avais remarqué auparavant et déterminé comme dangereux car s'ouvrait sous MSDOS lors du démarrage de windows 2000 (PXZ.exe)

En tout cas merci pour ton aide précieuse
0
Réponse 13 / 16
Utilisateur anonyme
8 nov. 2005 à 00:58
Fin du problème, BHSV était résident dans mon système mais l'application de démarrage n'existait plus. L'ai supprimé grace à Regcleaner.

Merci beaucoup super Regis
0
Réponse 14 / 16
Utilisateur anonyme
8 nov. 2005 à 18:39
ok,
de rien

Recache tes fichiers caches et cree un point de restauration si tu n as plus de soucis

a+
0
Réponse 15 / 16
tryds
11 nov. 2005 à 15:00
bonjour j'ai hébergeur de ce bhsv... je n'ai jamais trouvé le fichier exe dans le system32 (note qu'il semble que michael aille windows nt et moi xp pro(peut-être sa change rien, enfin))
j'ai suivit pas mal tout ce que tu disais, il semble que hijack ne détecte plus bhsv nulle part, néanmoins un petit trouble sème mon esprit lorsque je fais ctrl alt supp, j'y trouve ceci : Processus inactif du systeme ... processeur: 99, il n'utilise pas beacoup de mémoire, mais c'est la premiere fois que je le remarque... il est normal ce truc ?
0
Réponse 16 / 16
Utilisateur anonyme
30 janv. 2006 à 12:50
salut francois

t es tres infecté
commence par detailler tes soucis et de creer ton propre poste

a+
0

Discussions similaires

supression SECURITOO
MINE972 -
gen-hackman -

18 réponses
supression snapchat
emiliebehague -
emiliebehague -

2 réponses
Supression hyperliens
routesud -
seb77150 -

11 réponses
Supression du Windows.old
cloechel84 -
Utilisateur anonyme -

6 réponses
supression de TEEMIX
sylmoi -
mpmp93 -

1 réponse