[virus] un virus qui fait des popup sous windows, rapport de hikack fo

Art · le 16 août 2006

Bonjour

mon virus, c l'affichage toute les 5 minutes environ de ces genre de message

http://img236.imageshack.us/img236/9602/exempleio0.jpg

s'en suis régulierement, mais pas systématiquement, un plantage général et plus rien de répond, pas meme le gestionnaire de taches

mon antivirus, c Avast, et il trouve rien, pas plus d'ailleur que spybot, ad-aware ou ewido

voila ce que me sort hijack

Logfile of HijackThis v1.99.1

Scan saved at 20:11:06, on 15/08/2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\System32\wuauclt.exe

C:\HijackThis\HijackThis.exe

C:\WINDOWS\System32\svchost.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.msn.fr

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\SYSTEM\blank.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://webscanner.kaspersky.fr/kavwebscan_unicode.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Merci d'avance

bruce lee · le 16 août 2006

Bonjour Art,

Ton rapport montre la presence d'un spyware, mais je doute que le probleme vienne dela, de plus ton systeme n'est pas a jour....

1/telecharge silent runners http://www.silentrunners.org/Silent%20Runners.vbs

(fait clique droit sur le lien, puis enregistrer la cible sous)

2/déconnecte toi du net et ferme toutes les applications en cours.

3/lance silent runners laisse le travailler quand il aura finit de scanner tu en sauras averti par un message et un nouveau fichier texte sera crée ouvre ce fichier texte et colle la totalité du rapport.

Art · le 16 août 2006

oki, je vais faire ca merci, je post le rapport quand c fini

(en espérant que ce soit pas trop long )

Art · le 16 août 2006

heu, il se lance pas silent runners, ca me fait

Script: E:\Downloads\silent Runners.vbs

Ligne: 1

Caract.: 1

Erreur: Instruction attendue

Code: 800A0400

Source: Erreur de compilation Microsoft VBScript

Je fait koi ?

bruce lee · le 16 août 2006

re,

telecharge ceci http://www.microsoft.com/downloads/details...eb-95a22b832caa

installe le, et réessaye le scan avec silent runners.

P.S: le scan ne dure pas plus de deux minutes

Degama · le 16 août 2006

Bonjour,

Il me semble que ton pb est celui décrit ici http://www.trucsastuces.com/Forums/topic-6571.html

@+

Art · le 16 août 2006

Bon, ba, ma version de windows, n'étant pas officiel (j'ai honte), je peux pas télécharger le truc chez microsoft

ensuite, effectivement, mon probeleme ressemble a celui indiqué, je vais voir

en revanche en démarrant, j'ai eu droit à une alerte virus de la part d'avast

location : System32\.exe\[NEW]

type: Win32:Sbot-3265[Trj]

avast n'a rien pu faire, j'ai mis mettre en quarantaine, il a planté, et meme resultat avec delete

il me trouve aussi ce truc

location : System32

type: Win32:Ircbot-ABC[trj]

Merci de votre aide

bonus, un rapport de Hijack plus récent

Logfile of HijackThis v1.99.1

Scan saved at 15:43:37, on 16/08/2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\Program Files\REG CLEANER\ewido anti-spyware 4.0\guard.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\QuickTime\qttask.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\REG CLEANER\ewido anti-spyware 4.0\ewido.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\WINDOWS\System32\wuauclt.exe

C:\WINDOWS\System32\taskmgr.exe

C:\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.msn.fr

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\SYSTEM\blank.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [!ewido] "C:\Program Files\REG CLEANER\ewido anti-spyware 4.0\ewido.exe" /minimized

O8 - Extra context menu item: Afficher cette page dans Firefox - file://C:\Program Files\Mozilla Firefox\Profiles\extensions\{5D558C43-550F-4b12-84AB-0D8ABDA9F975}\firefoxviewpage.html

O8 - Extra context menu item: Ouvrir la cible dans Firefox - file://C:\Program Files\Mozilla Firefox\Profiles\extensions\{5D558C43-550F-4b12-84AB-0D8ABDA9F975}\firefoxviewlink.html

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://webscanner.kaspersky.fr/kavwebscan_unicode.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\REG CLEANER\ewido anti-spyware 4.0\guard.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Modifié le 16 août 2006 par Art

Art · le 16 août 2006

avast récidive, il vient de me trouver

system32\Fqvn.exe\[ASProtect]

Win32:Sdbot-gen22[trj]

et

C:\WINDOWS\system32\jmlnmuzs.exe\[ASProtect]

Win32:SdBot-gen22 [Trj]

Modifié le 16 août 2006 par Art

bruce lee · le 16 août 2006

re,

Je sais que tu possedes deja ewido, mais je voudrais voir un rapport.

Si durant la procedure ci bas, il y a des etapes que tu n'as pas reussi a faire, merci de

continuer la procedure jusqu'au bout et de les signaler dans ta prochaine reponse.

1/Télécharge http://www.ewido.net/en/download/ Ewido anti-spyware

Lance Ewido et clique sur le bouton Update (barre d'outils - au haut). Sous Manual Update clique Start update.

Tu verras ceci juste au bas, lorsque la mise à jour sera complétée : "Update successful"

Ferme Ewido. Ne pas le lancer tout de suite.

2/demarre en mode sans echec http://www.sosordi.net/Faq/Faq.2.html

3/lance hijackthis en cliquant sur do a scan system only coche ces lignes:

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

Ferme toutes les fenêtres ouvertes sauf Hijackthis et clique sur fix checked

4/pour supprimer les fichiers nefastes on va tous les afficher en faisant comme ceci:

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Cocher la case : Afficher les fichiers et dossiers cachés

Décocher la case : Masquer les extensions des fichiers dont le type est connu

Décocher la case : Masquer les fichiers protégés du système d'exploitation

cliquer sur "Appliquer"

cliquer sur le bouton "Appliquer à tous les dossiers" / OK

5/supprime ce qui est en gras:

C:\WINDOWS\web\ related.htm<== le fichier

6/ Du mode Sans Échec, lance Ewido et clique sur le bouton Scanner (de la barre d'outils) et ensuite clique sur Complete System Scan. Le scan prendra un certain temps, donc sois patient.

Ewido affichera une liste des fichiers détectés, sur la gauche. En fin de scan, l'outil appliquera les "Actions" à appliquer automatiquement. Clique sur le bouton Apply all actions. Ewido affichera "All actions have been applied" du côté droit.

Clique sur "Save Report", puis "Save Report As". Ceci génère un rapport en fichier texte. Assure-toi de le sauvegarder dans un endroit sûr (sur ton Bureau, par exemple).

7/redemarre en mode normal

8/poste le rapport d'ewido ainsi qu'un nouveau log hijackthis.

bon courage, et si tu as la moindre question n'hesite surtout pas

@+

Art · le 16 août 2006

bon, je suis de retour

je suis passé en mod sans échec, puis j'ai redémrré, au bout de 20 seconde, mon ordi répondai plus (toujours les meme symptomes, puis apres un second redémrrage, je suis là

voila le rapport ewido :

---------------------------------------------------------

ewido anti-spyware - Scan Report

---------------------------------------------------------

+ Created at: 18:16:36 16/08/2006

+ Scan result:

:mozilla.85:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.2o7 : Error during cleaning.

:mozilla.59:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Adbrite : Error during cleaning.

:mozilla.60:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Adbrite : Error during cleaning.

:mozilla.61:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Adbrite : Error during cleaning.

C:\Documents and Settings\A\Cookies\a@bluestreak[2].txt -> TrackingCookie.Bluestreak : Cleaned.

:mozilla.208:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Clickbank : Error during cleaning.

:mozilla.119:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Clickzs : Error during cleaning.

:mozilla.120:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Clickzs : Error during cleaning.

:mozilla.226:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Clickzs : Error during cleaning.

:mozilla.227:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Clickzs : Error during cleaning.

:mozilla.219:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Estat : Error during cleaning.

:mozilla.158:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Googleadservices : Error during cleaning.

:mozilla.159:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Googleadservices : Error during cleaning.

:mozilla.24:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Hitbox : Error during cleaning.

:mozilla.25:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Hitbox : Error during cleaning.

:mozilla.26:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Hitbox : Error during cleaning.

:mozilla.262:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Hotlog : Error during cleaning.

:mozilla.246:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Onestat : Error during cleaning.

:mozilla.247:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Onestat : Error during cleaning.

:mozilla.194:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Sexcounter : Error during cleaning.

:mozilla.195:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Sexcounter : Error during cleaning.

:mozilla.196:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Sexcounter : Error during cleaning.

:mozilla.197:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Sexcounter : Error during cleaning.

C:\Documents and Settings\A\Cookies\a@www.smartadserver[1].txt -> TrackingCookie.Smartadserver : Cleaned.

:mozilla.75:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Spylog : Error during cleaning.

:mozilla.10:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Statcounter : Error during cleaning.

:mozilla.11:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Statcounter : Error during cleaning.

:mozilla.12:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Statcounter : Error during cleaning.

:mozilla.112:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Tradedoubler : Error during cleaning.

:mozilla.113:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Tradedoubler : Error during cleaning.

:mozilla.233:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Tribalfusion : Error during cleaning.

:mozilla.19:C:\Program Files\Mozilla Firefox\Profiles\cookies.txt -> TrackingCookie.Weborama : Cleaned.

:mozilla.79:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Weborama : Error during cleaning.

:mozilla.80:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Weborama : Error during cleaning.

:mozilla.81:E:\SAVE\Nouveau dossier\profile{default}.fbu/cookies.txt -> TrackingCookie.Weborama : Error during cleaning.

C:\Documents and Settings\A\Cookies\a@weborama[2].txt -> TrackingCookie.Weborama : Cleaned.

::Report end

voila le rapport Hijackthis:

Logfile of HijackThis v1.99.1

Scan saved at 18:22:15, on 16/08/2006