Spams involontaires : VirusRésolu/Fermé

Question

Bonjour, 

J'utilise Windows XP avec internet explorer 7.0

Je suis infecté par un virus coriace depuis plusieurs jours.
Au debut Antivir voyait un trojan, en particulier dans le fichier C:\WINDOWS\system32\drivers\dokfypig.sys. Ce fichier ne peut pas etre supprimé. Le plus curieux, c'est qu'en observant mon disque avec Linux, je me rends compte que ce fichier n'a pas d'existence physique.
J'ai installé Norton 360. Celui ci ne trouve plus de virus, mais me produit sans cesse un message de type: "Erreur de courrier électronique". Il s'agit sans aucun doute de spams qui sont envoyés depuis mon ordinateur, à mon insu. Mon FAI m'a déja contacté et a restreint mon accès a cause de ces spams.

Que faire ? Cela fait des jours que je lutte contre cette sale bete sans succes...
Je serais reconnaissant pour tout tuyau non percé...
J'ai fait une ZHPdiag, dont voila le log:
http://www.cijoint.fr/cjlink.php?file=cj201009/cijKHZrxc8.txt

Merci d'avance a tous pour votre aide précieuse!
Jo

Utilisateur anonyme · Answer

bonsoir, 

tu as 3 antivirus sur ton pc :

Norton 360, kaspersky et avira !!!

il faut en garder un seul

* Télécharge de AD-Remover sur ton Bureau. (Merci à C_XX) 
http://pagesperso-orange.fr/NosTools/C_XX/AD-R.exe 

Miroir:  

https://www.androidworld.fr/ 

/!\ Ferme toutes applications en cours /!\  

- Double-clique sur l'icône Ad-remover située sur ton Bureau.  
- Sur la page, clique sur le bouton « Nettoyer » 
- Confirme lancement du scan 
- Laisse travailler l'outil. 
- Poste le rapport qui apparaît à la fin.  

(Le rapport est sauvegardé aussi sous C:\Ad-report(Scan/clean).Txt)  

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller)  

O.o°*??? Membre, Contributeur Sécurité CCM o°.Oø¤º°'°º¤ø

Jo31 · Answer

Bonsoir Electricien;

Merci pour ta reponse
voici le rapport :



======= RAPPORT D'AD-REMOVER 2.0.0.1,E | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 06/09/10 à 15:20
Contact: AdRemover.contact[AT]gmail.com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 20:32:01 le 13/09/2010, Mode normal

Microsoft Windows XP Édition familiale Service Pack 3 (X86) 
JM@CAYMAN ( ) 
 
============== ACTION(S) ==============


0,Dossier supprimé: C:\WINDOWS\Installer\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
0,Fichier supprimé: C:\Program Files\Mozilla FireFox\Components\AskHPRFF.js
0,Fichier supprimé: C:\WINDOWS\Tasks\Scheduled Update for Ask Toolbar.job
0,Fichier supprimé: C:\Documents and Settings\JM\Application Data\Mozilla\FireFox\Profiles\xsesj0cq.default\searchplugins\askcom.xml
0,Dossier supprimé: C:\Program Files\Ask.com
0,Dossier supprimé: C:\Documents and Settings\JM\Local Settings\Application Data\AskToolbar
3,Fichier supprimé: C:\WINDOWS\Installer\55a0a77.msi 

(!) -- Fichiers temporaires supprimés.


-- Fichier ouvert: C:\Documents and Settings\JM\Application Data\Mozilla\FireFox\Profiles\xsesj0cq.default\Prefs.js --
Ligne supprimée: user_pref("browser.search.defaultengine", "Ask.com"); 
Ligne supprimée: user_pref("browser.search.order.1", "Ask.com"); 
Ligne supprimée: user_pref("extensions.asktb.cbid", "RY"); 
Ligne supprimée: user_pref("extensions.asktb.default-channel-url-mask", "hxxp://www.ask.com/web?q={query}&o={o}&l={l}... 
Ligne supprimée: user_pref("extensions.asktb.fresh-install", false); 
Ligne supprimée: user_pref("extensions.asktb.l", "dis"); 
Ligne supprimée: user_pref("extensions.asktb.last-config-req", "1276844795920"); 
Ligne supprimée: user_pref("extensions.asktb.locale", "en_US"); 
Ligne supprimée: user_pref("extensions.asktb.o", "15184"); 
Ligne supprimée: user_pref("extensions.asktb.overlay-reloaded-using-restart", true); 
Ligne supprimée: user_pref("extensions.asktb.qsrc", "2871"); 
Ligne supprimée: user_pref("extensions.asktb.r", "3"); 
Ligne supprimée: user_pref("extensions.asktb.search-suggestions-uri", "hxxp://ss.websearch.ask.com/query?qsrc=2922&li... 
-- Fichier Fermé --
 

1,Clé supprimée: HKLM\Software\Classes\CLSID\{00000000-6E41-4FD3-8538-502F5495E5FC}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{00000000-6E41-4FD3-8538-502F5495E5FC}
1,Clé supprimée: HKLM\Software\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}
1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D4027C7F-154A-4066-A1AD-4243D8127440}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}
1,Clé supprimée: HKLM\Software\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}
1,Clé supprimée: HKLM\Software\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}
1,Clé supprimée: HKLM\Software\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}
1,Clé supprimée: HKLM\Software\Classes\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}
1,Clé supprimée: HKLM\Software\Classes\TypeLib\{77D6DDFA-7834-4541-B2B3-A8B0FB0E3924}
0,Clé supprimée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd
0,Clé supprimée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd.1
0,Clé supprimée: HKLM\Software\Classes\AppID\GenericAskToolbar.DLL
1,Clé supprimée: HKLM\Software\Classes\AppID\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874}
0,Clé supprimée: HKCU\Software\Ask.com
0,Clé supprimée: HKCU\Software\AskToolbar
0,Clé supprimée: HKCU\Software\AppDataLow\AskBarDis
0,Clé supprimée: HKCU\Software\AppDataLow\AskHomePage
0,Clé supprimée: HKCU\Software\AppDataLow\AskToolbarInfo
3,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
3,Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
0,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{83FA27D5-25B5-4D24-B796-DF742F08A5CF}
0,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
0,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{1A0AADCD-3A72-4B5F-900F-E3BB5A838E2A}
0,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{BC4FFE41-DE9F-46fa-B455-AAD49B9F9938}

0,Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks|{00000000-6E41-4FD3-8538-502F5495E5FC}
0,Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks|{BC4FFE41-DE9F-46FA-B455-AAD49B9F9938}
0,Valeur supprimée: HKLM\Software\Microsoft\Internet Explorer\Toolbar|{D4027C7F-154A-4066-A1AD-4243D8127440}
0,Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{BC4FFE41-DE9F-46FA-B455-AAD49B9F9938}
0,Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}


============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.6.3 (fr)] **

-- C:\Documents and Settings\JM\Application Data\Mozilla\FireFox\Profiles\xsesj0cq.default\Prefs.js --
browser.download.lastDir, C:\Documents and Settings\JM\Bureau
browser.search.defaultenginename, ICQ Search
browser.search.selectedEngine, ICQ Search
browser.startup.homepage, hxxp://start.icq.com/
browser.startup.homepage_override.mstone, rv:1.9.2.3
keyword.URL, hxxp://search.icq.com/search/afe_results.php?ch_id=afex&q=

========================================

** Internet Explorer Version [8.0.6001.18702] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 15 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 14 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 13/09/2010 (5743 Octet(s)) 

Fin à: 20:40:37, 13/09/2010 
 
============== E.O.F ============== 



J espere que c'est exploitable.
Jo

Utilisateur anonyme · Answer

relance ADR, clique sur désinstaller, vire les antivirus que tu n'utilise pas!

repasse un autre zhpdiag, héberge son rapport sur Cijoint ..

@++

Utilisateur anonyme · Answer

bonjour,
tu as encore avira et spybot su ton pc, à désinstaller  :-)

pour spybot, depuis ajout/suppression de programme

pour avira, aide toi de ceci :

https://www.avira.com/

P.S :
ignore cette ligne, ceci conserne juste la vérsion payante :
Le fichier HBEDV.key se trouve le cas échéant dans le répertoire programme d'Avira :

C:\Programmes\AntiVir PersonalEdition...\ (version 8)
C:\Programmes\Avira Premium ...\ (version 8)
C:\Programmes\Avira\Antivir Desktop\ (version 9)

Remarque : ceci n'est pas nécessaire pour Avira AntiVir Personal - Free Antivirus.


une fois tout ce beau monde désinstaller, repasse un autre zhpdiag ...

tu connais la musique maintenant  :-)

@++

Utilisateur anonyme · Answer

ok, 

désinstalle ce toolbar, les toolbar ne sont pas obligatoires  !

C:\Program Files\Burn4Free Toolbar


avira est toujours là !
on vire avira autrement

Télécharge HostsXpert sur ton Bureau :

 http://www.funkytoad.com/download/HostsXpert.zip

---> Décompresse-le (Clic droit >> Extraire ici) 

---> Double-clique sur HostsXpert pour le lancer , laisse travailler l'outil.

---> clique sur le bouton "Restore MS Hosts File" puis ferme le programme 

Note: Avant de cliquer sur le bouton "Restore MS Hosts File", vérifie que le cadenas en haut à gauche est ouvert sinon tu vas avoir un message d'erreur. 
s'il est fermé , clique dessus



*	Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag en cliquant sur l'écusson vert) 
Clique sur l'icone représentant la lettre H (« coller les lignes Helper ») 
Copie/colle les lignes suivantes en gras et place les dans ZHPFix : 

---------------------------------------------------------- 

O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) . (.Pas de propriÃ©taire - Pas de description.) - C:\Program Files\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) . (.Pas de propriÃ©taire - Pas de description.) - C:\Program Files\Avira\AntiVir Desktop\avguard.exe

O64 - Services: CurCS - C:\Program Files\Avira\AntiVir Desktop\avgio.sys (.not file.) - avgio (avgio)  .(.Pas de propriÃ©taire - Pas de description.) - LEGACY_AVGIO    => Avira AntiVir PersonalEdition

O64 - Services: CurCS - C:\Windows\system32\DRIVERS\avgntflt.sys - avgntflt (avgntflt)  .(.Avira GmbH - Avira Minifilter Driver.) - LEGACY_AVGNTFLT

SS - | Auto  0 | Avira AntiVir Planificateur (AntiVirSchedulerService) . (.Pas de propriÃ©taire.) - C:\Program Files\Avira\AntiVir Desktop\sched.exe

SS - | Auto  0 | Avira AntiVir Guard (AntiVirService) . (.Pas de propriÃ©taire.) - C:\Program Files\Avira\AntiVir Desktop\avguard.exe

---------------------------------------------------------- 

- Clique sur « Tous », puis sur « Nettoyer » 
- Copie/colle la totalité du rapport dans ta prochaine réponse
Tuto :
http://www.premiumorange.com/zeb-help-process/zhpfix.html

Utilisateur anonyme · Answer

j'aurai sa peau  :-) 

recommence avec zhpfix, colle ces lignes cette fois ci : 

O64 - Services: CurCS - C:\Program Files\Avira\AntiVir Desktop\avgio.sys (.not file.) - avgio (avgio)  .(.Pas de propriétaire - Pas de description.) - LEGACY_AVGIO  
O2 - BHO: IEPluginBHO - {F5CC7F02-6F4E-4462-B5B1-394A57FD3E0D} . (.Pas de propriétaire - Pas de description.) -- (.not file.) 
O9 - Extra 'Tools' menuitem: ICQ7.2 - {72EFBFE4-C74F-4187-AEFD-73EA3BE968D6} . (.not file.) - ,1040 
O1 - Hosts: HP92656E.mshome.net HP0017A492656E  
[HKCU\Software\Burn4Free]  

passe Hostexpert  : 

Télécharge HostsXpert sur ton Bureau :  

http://www.funkytoad.com/download/HostsXpert.zip  

---> Décompresse-le (Clic droit >> Extraire ici)  

---> Double-clique sur HostsXpert pour le lancer , laisse travailler l'outil.  

---> clique sur le bouton "Restore MS Hosts File" puis ferme le programme  

Note: Avant de cliquer sur le bouton "Restore MS Hosts File", vérifie que le cadenas en haut à gauche est ouvert sinon tu vas avoir un message d'erreur.  
s'il est fermé , clique dessus 


O.o°*??? Membre, Contributeur Sécurité CCM o°.Oø¤º°'°º¤ø

Utilisateur anonyme · Answer

tu deviens un pro,,tu vas me piquer ma place,  mdr

on est arrivé à bout de ceci, oufff!!!

	Télécharge JavaRa.zip de Paul McLain et Fred de Vries.

http://raproducts.org/click/click.php?id=1

* Décompresse le fichier sur le Bureau (Clic droit > Extraire tout).
* Double-clique sur le répertoire JavaRa.
* Puis double-clique sur le fichier JavaRa.exe (le exe peut ne pas s'afficher).

* Choisis Français puis clique sur Select.
* Clique sur Recherche de mises à jour.
* Sélectionne Mettre à jour via jucheck.exe puis clique sur Rechercher.
* Autorise le processus à se connecter s'il le demande, clique sur Installer et suis les instructions d'installation qui prennent quelques minutes.
* L'installation est terminée, reviens à l'écran de JavaRa et clique sur Effacer les anciennes versions.
* Clique sur Oui pour confirmer. Laisse travailler et clique ensuite sur OK, puis une deuxième fois sur OK.
* Un rapport va s'ouvrir. Poste-le dans ta prochaine réponse.
* Ferme l'application.

Note : le rapport se trouve aussi dans C:\ sous le nom JavaRa.log.	

Tuto :
https://www.commentcamarche.net/faq/15645-supprimer-les-anciennes-versions-de-java-avec-javara

Utilisateur anonyme · Answer

bonsoir,
tiens, c'est marc1301  :-)

comment va ton petit ?
@jo :
 les pub arrivent via IE ?

Spams involontaires : Virus

8 réponses

Discussions similaires

Newsletters