[Résolu]Infection par Winantispyware 2006

Jefdebruges · le 20 octobre 2006

Bonjour,

Hier soir c'est la totale

1) une première infection en cliquant sur une attache de mail

Symptômes: apparition de pubs pour des antispy, antimalware dans IE

2) Dans la panique installation de Winantispyware 2006 que j'ai même payé (j'ai honte)

J'ai peut être réussi à désinfecter (pas sur). A 2h du mat j'en ai eu marre ! mais il n'y avait plus apparamment plus d'alerte sécurité

Reste Winantispyware 2006 qui après visite sur les forums semble faire plus de mal que de bien.

Quelle serait la meilleure méthode

1) Pour être sur de la désinfection ?

2) Pour supprimer Winantispyware 2006.

Je dispose de spybot, a2squarred, macafee virus scan, tune up utilities

Merci pour votre aide

Jef

Modifié le 25 octobre 2006 par Jefdebruges

bruce lee · le 20 octobre 2006

bonjour Jefdebruges,

telecharge la version original de hijackthis http://www.merijn.org/files/hijackthis.zip

déconnecte toi du net et installe le.

fais un clique droit sur hijackthis.exe puis choisis renommer et appele le Jefdebruges .

lance le en cliquant sur Do a system scan and save a logfile a la fin du scan le bloc note va s'ouvrir tu fais un copier coller de tout son contenu.

@+

Jefdebruges · le 20 octobre 2006

bonjour Jefdebruges,

telecharge la version original de hijackthis http://www.merijn.org/files/hijackthis.zip

déconnecte toi du net et installe le.

fais un clique droit sur hijackthis.exe puis choisis renommer et appele le Jefdebruges .

lance le en cliquant sur Do a system scan and save a logfile a la fin du scan le bloc note va s'ouvrir tu fais un copier coller de tout son contenu.

@+

Jefdebruges · le 20 octobre 2006

Bonjour Bruce,

Merci pour ta réponse rapide.

Je fais ça dès que possible et je mets le résultat dans le forum.

Désolé si j'ai fias une merdouille en recopiant ta réponse (fausse manip)

@+

Jefdebruges · le 20 octobre 2006

Salut à tous,

Voici le rapport HijackThis déconnecté du réseau.

J'en ai profité pour arrêter le lancement de WinAntispyware 2006 au démarrage (onglet Démarrage de msconfig)

Merci pour votre analyse

Logfile of HijackThis v1.99.1

Scan saved at 16:46:00, on 20/10/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

c:\program files\mcafee.com\agent\mcdetect.exe

c:\PROGRA~1\mcafee.com\vso\mcshield.exe

c:\PROGRA~1\mcafee.com\agent\mctskshd.exe

c:\PROGRA~1\mcafee.com\vso\OasClnt.exe

c:\program files\mcafee.com\vso\mcvsshld.exe

c:\program files\mcafee.com\agent\mcagent.exe

c:\progra~1\mcafee.com\vso\mcvsescn.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Logitech\iTouch\iTouch.exe

C:\WINDOWS\system32\LVCOMSX.EXE

C:\Program Files\Logitech\Video\LogiTray.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\WinAntiSpyware 2006\was6.exe

C:\Program Files\Fichiers communs\WinAntiSpyware 2006\was6cw.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\Program Files\Nikon\NkView6\NkvMon.exe

C:\Program Files\MSI\PC Alert III\alert.exe

C:\Program Files\Logitech\iTouch\kbdtray.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\Logitech\Video\FxSvr2.exe

C:\WINDOWS\system32\ntvdm.exe

C:\OPLIMIT\ocrawr32.exe

c:\progra~1\mcafee.com\vso\mcvsftsn.exe

C:\Program Files\Messenger\msmsgs.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\Explorer.EXE

C:\Documents and Settings\JEFNI\Mes documents\Jef\Telechargement\Outils\Jefdebruges.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll

O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll

O3 - Toolbar: (no name) - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - (no file)

O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll

O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll

O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll

O3 - Toolbar: (no name) - {8aed5df3-6e0b-4930-b1a5-f8aa8d757497} - (no file)

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe

O4 - HKLM\..\Run: [VSOCheckTask] "C:\PROGRA~1\McAfee.com\VSO\mcmnhdlr.exe" /checktask

O4 - HKLM\..\Run: [VirusScan Online] C:\Program Files\McAfee.com\VSO\mcvsshld.exe

O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\mcagent.exe

O4 - HKLM\..\Run: [MCUpdateExe] C:\PROGRA~1\mcafee.com\agent\mcupdate.exe

O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE

O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe

O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon

O4 - HKLM\..\Run: [OASClnt] C:\Program Files\McAfee.com\VSO\oasclnt.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [WinAntiSpyware 2006] C:\Program Files\WinAntiSpyware 2006\was6.exe /min

O4 - HKLM\..\Run: [was6cw] C:\Program Files\Fichiers communs\WinAntiSpyware 2006\was6cw.exe -c

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [LogitechSoftwareUpdate] "C:\Program Files\Logitech\Video\ManifestEngine.exe" boot

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [updateMgr] "C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_7 -reboot 1

O4 - HKCU\..\Run: [LDM] \Program\BackWeb-8876480.exe

O4 - Startup: OCRAWARE.lnk = C:\OPLIMIT\OCRAWARE.EXE

O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe

O4 - Global Startup: NkvMon.exe.lnk = C:\Program Files\Nikon\NkView6\NkvMon.exe

O4 - Global Startup: PC Alert III.lnk = C:\Program Files\MSI\PC Alert III\alert.exe

O4 - Global Startup: WiziWYG XP Startup.lnk = C:\Program Files\Praxisoft\WiziWYG XP\WiziWYGXP.exe

O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm

O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html

O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html

O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html

O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html

O8 - Extra context menu item: Ouvrir dans un nouvel onglet d'arrière-plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/229?1f57bced6b3f4c89a0edb723ef91ff5a

O8 - Extra context menu item: Ouvrir dans un nouvel onglet de premier plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/230?1f57bced6b3f4c89a0edb723ef91ff5a

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} (DwnldGroupMgr Class) - http://download.mcafee.com/molbin/shared/m...,26/mcgdmgr.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: McAfee WSC Integration (McDetect.exe) - McAfee, Inc - c:\program files\mcafee.com\agent\mcdetect.exe

O23 - Service: McAfee.com McShield (McShield) - McAfee Inc. - c:\PROGRA~1\mcafee.com\vso\mcshield.exe

O23 - Service: McAfee Task Scheduler (McTskshd.exe) - McAfee, Inc - c:\PROGRA~1\mcafee.com\agent\mctskshd.exe

O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\PROGRA~1\McAfee.com\Agent\mcupdmgr.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exe

Merci pour votre aide.

Jef

Jefdebruges · le 20 octobre 2006

Pour avancer j'ai supprimé WinAntispyrware 2006 par ajout/suppression de programme.

Si quelqu'un peut cependant regarder le rapport HijackThis.

Y at-il autre chose à faire:

- passage antispy

- nettoyage registre

Merci pour vos conseils.

Jef

bruce lee · le 20 octobre 2006

re,

Si durant la procedure ci bas, il y a des etapes que tu n'as pas reussi a faire, merci de

continuer la procedure jusqu'au bout et de les signaler dans ta prochaine reponse.

1/Télécharge puis installe http://www.ewido.net/en/download

Une fois AVG AS lancé, clique sur Mise à jour

Ferme le programme.

2/demarre en mode sans echec http://www.sosordi.net/Faq/Faq.2.html

3/

demarrer/panneau de configuration/ajouts et suppresions de programmes et verifie la presence de:

WinAntiSpyware 2006

si ce programme est present desinstalle le.

4/lance hijackthis en cliquant sur do a scan system only coche ces lignes:

O3 - Toolbar: (no name) - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - (no file)

O3 - Toolbar: (no name) - {8aed5df3-6e0b-4930-b1a5-f8aa8d757497} - (no file)

O4 - HKLM\..\Run: [WinAntiSpyware 2006] C:\Program Files\WinAntiSpyware 2006\was6.exe /min

O4 - HKLM\..\Run: [was6cw] C:\Program Files\Fichiers communs\WinAntiSpyware 2006\was6cw.exe -c

Ferme toutes les fenêtres ouvertes sauf Hijackthis et clique sur fix checked

5/pour supprimer les fichiers nefastes on va tous les afficher en faisant comme ceci:

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Cocher la case : Afficher les fichiers et dossiers cachés

Décocher la case : Masquer les extensions des fichiers dont le type est connu

Décocher la case : Masquer les fichiers protégés du système d'exploitation

cliquer sur "Appliquer"

cliquer sur le bouton "Appliquer à tous les dossiers" / OK

6/supprime ce qui est en gras:

C:\Program Files\ WinAntiSpyware 2006<== tout le dossier

C:\Program Files\Fichiers communs\ WinAntiSpyware 2006<== tout le dossier

7/ Relance AVG AS puis choisis l'onglet Analyse

Puis l'onglet Paramètres

Sous la question Comment réagir ?, clique sur Actions recommandées et choisis Quarantaine

Re-clique sur l'onglet Analyse puis réalise une Analyse complète du système

Si un fichier est infecté détécté en fin d'analyse

Clique sur Appliquer toutes les actions

Clique sur Enregistrer le rapport puis sur Enregistrer le rapport sous

Enregistre ce fichier texte sur ton bureau

8/redemarre en mode normal

9/poste le rapport d'AVG Anti spywaware 7.5 ainsi qu'un nouveau log hijackthis.

bon courage, et si tu as la moindre question n'hesite surtout pas

@+

Jefdebruges · le 21 octobre 2006

re,

Suite aux opérations que j'ai déjà indiqué comme faite:

- suppression par ajout/suppression de programme de WinAntispyware 2006

J'ai aussi:

- passer spybot en mode sans échec

- passer a-squared

- nettoyer la base de registre avec tune up utilities.

Apparemment mon problème est résolu mais comme punition je vais refaire toutes les manipulations que tu indiques pour voir si je n'ai pas manqué un truc.

En tout cas je te remercie pour ton aide et j'espère ne pas refaire une con..rie pareille.

@+

bruce lee · le 21 octobre 2006

re,

Apparemment mon problème est résolu mais comme punition je vais refaire toutes les manipulations que tu indiques pour voir si je n'ai pas manqué un truc.

LOL faut pas prendre ca comme une punition, si pour toi, des "trucs" c'est des traces, il en reste.

@ plus tard

Jefdebruges · le 22 octobre 2006

re,

LOL faut pas prendre ca comme une punition, si pour toi, des "trucs" c'est des traces, il en reste.

@ plus tard

Resalut Bruce,

Voilà j'ai tout fait. Il restait des trucs

Merci pour ton aide. J'irai voir tes fims. Bruce lee (c'est pas un boxeur ?).

Ah oui les logs.

---------------------------------------------------------

AVG Anti-Spyware - Rapport d'analyse

---------------------------------------------------------

+ Créé à: 19:32:15 21/10/2006

+ Résultat de l'analyse:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Public Messenger ver 2.03 -> Adware.Generic : Nettoyé et sauvegardé (mise en quarantaine).

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Internet Explorer Security Plugin 2006 -> Adware.IntCodec : Nettoyé et sauvegardé (mise en quarantaine).

HKU\S-1-5-21-1343024091-1659004503-725345543-1004\Software\Internet Security -> Adware.IntCodec : Nettoyé et sauvegardé (mise en quarantaine).

C:\System Volume Information\_restore{8F2715C3-8BFB-406A-824F-6C573E9D997B}\RP310\A0042093.exe -> Not-A-Virus.Downloader.Win32.WinFixer.o : Nettoyé et sauvegardé (mise en quarantaine).

C:\Documents and Settings\JEFNI\Local Settings\Temp\laf21.tmp -> Not-A-Virus.Hoax.Win32.Renos.dv : Nettoyé et sauvegardé (mise en quarantaine).

C:\Documents and Settings\JEFNI\Cookies\[email protected][1].txt -> TrackingCookie.2o7 : Nettoyé.

C:\Documents and Settings\JEFNI\Cookies\jefni@bluestreak[1].txt -> TrackingCookie.Bluestreak : Nettoyé.

C:\Documents and Settings\JEFNI\Cookies\jefni@doubleclick[1].txt -> TrackingCookie.Doubleclick : Nettoyé.

C:\Documents and Settings\JEFNI\Cookies\[email protected][1].txt -> TrackingCookie.Reliablestats : Nettoyé.

C:\Documents and Settings\JEFNI\Cookies\[email protected][1].txt -> TrackingCookie.Smartadserver : Nettoyé.

Fin du rapport

Logfile of HijackThis v1.99.1

Scan saved at 10:23:55, on 22/10/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Logitech\iTouch\iTouch.exe

C:\Program Files\McAfee.com\VSO\mcvsshld.exe

C:\PROGRA~1\mcafee.com\agent\mcagent.exe

C:\WINDOWS\system32\LVCOMSX.EXE

c:\progra~1\mcafee.com\vso\mcvsescn.exe

C:\Program Files\Logitech\Video\LogiTray.exe

C:\Program Files\McAfee.com\VSO\oasclnt.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\Program Files\Nikon\NkView6\NkvMon.exe

C:\Program Files\MSI\PC Alert III\alert.exe

C:\WINDOWS\system32\ntvdm.exe

C:\Program Files\Logitech\Video\FxSvr2.exe

C:\Program Files\Logitech\iTouch\kbdtray.exe

C:\OPLIMIT\ocrawr32.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe