virus indetructible??!?!?!

Eric84 · le 24 octobre 2006

Bonjour a tous

merci d'avance pour votre réponce

j'ai plein de virus et je n'arrive pas a les supprimé

avec avg car quand il les supprime je relance avg

et il réaparais... :S je me demande si ils sont destructible !!

voici mon rapport de HijackThis

j'attend avec impatience pour une réponce..

car vous êtes un forum tellement efficace

merci d'avance

Logfile of HijackThis v1.99.1

Scan saved at 16:50:16, on 2006-10-24

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Ahead\InCD\InCDsrv.exe

C:\Program Files\Sygate\SPF\Smc.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Analog Devices\Core\smax4pnp.exe

C:\WINDOWS\system32\hkcmd.exe

C:\WINDOWS\system32\igfxpers.exe

C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

C:\Program Files\Dell\Media Experience\DMXLauncher.exe

C:\WINDOWS\System32\DLA\DLACTRLW.EXE

C:\Program Files\Fichiers communs\InstallShield\UpdateService\issch.exe

C:\WINDOWS\wt\updater\wcmdmgr.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

C:\Program Files\Winamp\winampa.exe

C:\Program Files\CyberLink DVD Solution\PowerDVD\PDVDServ.exe

C:\Program Files\Ahead\InCD\InCD.exe

C:\Program Files\BearShare\BearShare.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\PROGRA~1\INCRED~1\bin\IMApp.exe

C:\Program Files\Digital Line Detect\DLG.exe

C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkCalRem.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\PROGRA~1\NEONAP~1.0\NEONAP~1.EXE

C:\Program Files\Crazy Browser\Crazy Browser.exe

C:\Documents and Settings\All Users\Documents\SETUP A GRAVER (attendre d'en avoir plein)\Logiciel de sécuriter\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = www.google.ca/ig/dell?hl=fr&client=dell-row&channel=ca&ibd=0060928

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.ca/hws/sb/dell-row/fr/side.html?channel=ca

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.ca/hws/sb/dell-row/fr/side.html?channel=ca

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.imesh.com/ca/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www1.ca.dell.com/content/default.as...;l=FR&s=gen

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www1.ca.dell.com/content/default.as...;l=FR&s=gen

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R1 - HKLM\Software\Microsoft\Internet Explorer\Search,Default_Page_URL = www.google.ca/ig/dell?hl=fr&client=dell-row&channel=ca&ibd=0060928

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.google.ca/ig/dell?hl=fr&cli...amp;ibd=0060928

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O3 - Toolbar: ToolBar888 - {C004DEC2-2623-438e-9CA2-C9043AB28508} - C:\Program Files\Fichiers communs\{3C18CA46-0AE9-1036-0103-060416200002}\MyToolBar.dll (file missing)

O4 - HKLM\..\Run: [soundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [DMXLauncher] C:\Program Files\Dell\Media Experience\DMXLauncher.exe

O4 - HKLM\..\Run: [DLA] C:\WINDOWS\System32\DLA\DLACTRLW.EXE

O4 - HKLM\..\Run: [iSUSPM Startup] C:\PROGRA~1\FICHIE~1\INSTAL~1\UPDATE~1\isuspm.exe -startup

O4 - HKLM\..\Run: [iSUSScheduler] "C:\Program Files\Fichiers communs\InstallShield\UpdateService\issch.exe" -start

O4 - HKLM\..\Run: [Google Desktop Search] "C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startup

O4 - HKLM\..\Run: [wcmdmgr] C:\WINDOWS\wt\updater\wcmdmgrl.exe -launch

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe

O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink DVD Solution\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [inCD] C:\Program Files\Ahead\InCD\InCD.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run:

C:\Documents and Settings\All Users\Application Data\Second Show List Delete\open live.exe

O4 - HKLM\..\Run: [bearShare] "C:\Program Files\BearShare\BearShare.exe" /pause

O4 - HKLM\..\Run: [orl3b7b6] RUNDLL32.EXE w38d9fd4.dll,n 0063b7b00000000a38d9fd4

O4 - HKLM\..\Run: [smcService] C:\PROGRA~1\Sygate\SPF\Smc.exe -startgui

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [incrediMail] C:\Program Files\IncrediMail\bin\IncMail.exe /c

O4 - HKCU\..\Run: [PowerBar] "C:\Program Files\CyberLink DVD Solution\Multimedia Launcher\PowerBar.exe" /AtBootTime

O4 - Startup: wkcalrem.LNK = C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkCalRem.exe

O4 - Global Startup: Digital Line Detect.lnk = ?

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://c:\program files\google\GoogleToolbar2.dll/cmwordtrans.html

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by106fd.bay106.hotmail.msn.com/resources/MsnPUpld.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1161357769531

O17 - HKLM\System\CCS\Services\Tcpip\..\{6EDD0899-9C1A-4E49-8DD5-B6190C8DE0FB}: NameServer = 142.217.192.9,142.217.192.8

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~1\GOEC62~1.DLL

O20 - Winlogon Notify: CSCSettings - C:\WINDOWS\system32\f22mlcf11f2.dll

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll

O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: FireDaemon Service: binconf (binconf) - Unknown owner - C:\WINNT\system32\directx\asp\mech\FireDaemon.EXE (file missing)

O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\bGUgYm9zcw\command.exe (file missing)

O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Program Files\Ahead\InCD\InCDsrv.exe

O23 - Service: Intel NCS NetService (NetSvc) - Intel® Corporation - C:\Program Files\Intel\PROSetWired\NCS\Sync\NetSvc.exe

O23 - Service: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe (file missing)

O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\Smc.exe

O23 - Service: FireDaemon Service: windll64 (windll64) - Unknown owner - C:\WINNT\system32\directx\asp\mech\FireDaemon.EXE (file missing)

bibi26 · le 24 octobre 2006

Bonjour et bienvenue sur zebulon,

Rien n'est indestructible, d'ailleurs, la cause de ton problème est très fortement :

O4 - HKLM\..\Run: [bearShare] "C:\Program Files\BearShare\BearShare.exe" /pause

Le P2P est une grande source d'infection, d'autant plus que BearShare est lui-même infecté. Je te demande d'enlever BearShare et de ne pas le remettre, ni aucun autre logiciels de P2P.

Sur ce, commençons le nettoyage, analyse en cours, je vais manger entre temps et après, je poste la procédure

Modifié le 24 octobre 2006 par bibi26

ice9 · le 24 octobre 2006

salut

tout d abord execute la procedure de pré nettoyage d un PC infecté de zebulon ICI

@+

bibi26 · le 24 octobre 2006

Bonjour,

Je n'ai pas l'habitude de faire faire la procédure de pré nettoyage car je ne trouve pas ça toujours utile. Mais ce n'est que mon avis

Modifié le 24 octobre 2006 par bibi26

bibi26 · le 24 octobre 2006

Il te faudra copier ces informations dans un fichier car tu n'auras pas accès à internet pour une grande partie des instructions !

1-Télécharge lopremover : http://clairvoyant.p2pforum.it/tools/lopremover.zip. Dézippe-le mais ne l'exécute pas tout de suite.

Il se peut que ton antivirus t'empêche de télécharger le programme en le considérant comme un trojan, désactive-le lors du téléchargement !!

Télécharge EasyCleaner : http://personal.inet.fi/business/toniarts/files/EClea2_0.exe , tu n'as qu'à double-cliquer sur l'exécutable et te laisser guider par l'assistant.

Ouvre AVG Anti-Spyware et clique sur "Shield". Tu verras qu'il est écrit "Resident shield is... active". Clique sur "active" pour désactiver le bouclier résident qui est inutile. Clique sur "Update", décoche la case "Download and install updates automatically" et clique sur "Start update". Attends que la mise à jour soit terminée et ferme ewido.

2-Redémarre ton ordinateur, dès que ton ordinateur redémarre, appuie plusieurs fois sur le bouton "F8" jusqu'à ce qu'un menu apparaisse, sélectionne "Mode sans échec" et appuie sur le bouton "entrer" de ton clavier pour continuer le démarrage de Windows. Choisis normalement ton utilisateur, il se peut qu'un message te demande si tu veux vraiment aller en mode sans échec, accepte. N'oublie pas, tu n'as pas accès à internet dans ce mode !!! Copie les instructions dans un fichier.

Clique sur le bouton "Démarrer" et clique sur "Poste de travail", regarde un peu en haut, tu vas voir un menu qui s'appelle "Outils", clique dessus, sur "Options des dossiers" et sur l'onglet "Affichage" :

Sélectionne : Afficher les fichiers et dossiers cachés

Décoche : Masquer les extensions des fichiers dont le type est connu

Décoche : Masquer les fichiers protégés du système d'exploitation

Puis clique sur "Ok"

3-Démarre hijackthis et clique sur "do a system scan only", coche les lignes suivantes (Il se peut que certaines lignes aillent disparues ou qu'un "(file missing)" ait été rajouté à côté de certaines lignes) :

O3 - Toolbar: ToolBar888 - {C004DEC2-2623-438e-9CA2-C9043AB28508} - C:\Program Files\Fichiers communs\{3C18CA46-0AE9-1036-0103-060416200002}\MyToolBar.dll (file missing)

O4 - HKLM\..\Run:

C:\Documents and Settings\All Users\Application Data\Second Show List Delete\open live.exe

O4 - HKLM\..\Run: [bearShare] "C:\Program Files\BearShare\BearShare.exe" /pause

O4 - HKLM\..\Run: [orl3b7b6] RUNDLL32.EXE w38d9fd4.dll,n 0063b7b00000000a38d9fd4

O20 - Winlogon Notify: CSCSettings - C:\WINDOWS\system32\f22mlcf11f2.dll

O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\bGUgYm9zcw\command.exe (file missing)

O23 - Service: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe (file missing)

Clique sur "Fix Checked" et ferme hijackthis.

4-Clique sur "Démarrer" et clique sur "Exécuter". Tape "services.msc" (sans les guillemets) et clique sur "OK". Une liste va apparaître, cherche un service qui se nomme "Command Service" et double clique dessus !

Si tu regardes bien, tu verras une liste déroulante avec, au-dessus, un texte qui est écrit "Type de démarrage". Clique sur la liste déroulante et sélectionne "Désactivé". Puis, un peu plus bas, il y a 4 boutons, clique sur celui qui dit "Arrêter", clique sur le bouton "OK".

Refait la même chose avec Network Monitor et ferme la fenêtre des services.

Ouvre hijackthis et clique sur "Open the Misc Tools section" et sur "Delete an NT service…". Une fenêtre va apparaître, copie-colle (pour éviter les fautes de frappes) :

cmdService

Après, clique sur "OK". Une confirmation te sera demandée, clique sur "Oui". Un autre message va apparaître et te demander si tu veux redémarrer ton ordinateur, réponds "Non". Fait de même avec Network Monitor et ferme hijackthis.

5-Ouvre Lopremover, une série de chiffres va apparaître, copie les chiffres et clique sur le bouton "Uninstall".

Clique sur "Démarrer" et sur "Exécuter". Une boîte va apparaître, copie-colle (pour éviter les fautes de frappes) :

regsvr32 /u /s C:\WINDOWS\system32\f22mlcf11f2.dll

Clique sur "OK".

Supprime le fichier suivant (si tu le trouve) :

-C:\WINDOWS\system32\f22mlcf11f2.dll

Supprime les dossiers suivants (si tu les trouves) :

-C:\Program Files\Network Monitor

-C:\Program Files\Fichiers communs\{3C18CA46-0AE9-1036-0103-060416200002}

-C:\WINDOWS\bGUgYm9zcw

6-Ouvre ewido et clique sur "scanner" et sur "Complete System Scan". L'analyse commence. Après que l'analyse est terminée, clique sur "Recommended action" et sur "Quarantine". Clique sur "Apply all actions", sur "Save Report" et sur "Save report as", sauvegarde le rapport ewido. Après, ferme ewido !

7-Ouvre easycleaner, clique sur le bouton "inutiles" et sur le bouton "trouver" et après, quand l'analyse est terminée, clique sur le bouton "Supprimer tout". Après, clique sur "Fermer". Fait de même avec la fonction "registre". Après, retourne sur ton bureau, clique-droit sur la corbeille et sélectionne "Vider la corbeille".

8-Retourne en mode normal, fait un nouveau rapport hijackthis et poste-le avec le rapport ewido

Modifié le 24 octobre 2006 par bibi26

Eric84 · le 24 octobre 2006

Coucou

merci énormément bibi26 :P :P je vais essayer sela on se reparle après la procedure

Eric84 · le 25 octobre 2006

Coucou

il y a quelqu'une des procedure que tu ma dit de faire

que je n'ai pas pus executer en voici la liste:

pour la procedure 4 je peux faire la premiere acion qui est

de désactiver Command Service & Network Monitor mais les

bouton (arreter) je ne peux pas y toucher car il aparraise inclicable

lopremover ne s'install pas car quand je clic sur le set up

il y a qu'un bouton unstall donc ya pas d'instal sais un désinstal

que tu ma donner :S

j'ai fini le reste voici les rapport:

Logfile of HijackThis v1.99.1

Scan saved at 21:18:17, on 2006-10-24

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Ahead\InCD\InCDsrv.exe

C:\Program Files\Sygate\SPF\Smc.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Analog Devices\Core\smax4pnp.exe

C:\WINDOWS\system32\hkcmd.exe

C:\WINDOWS\system32\igfxpers.exe

C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

C:\Program Files\Dell\Media Experience\DMXLauncher.exe

C:\WINDOWS\System32\DLA\DLACTRLW.EXE

C:\Program Files\Fichiers communs\InstallShield\UpdateService\issch.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

C:\Program Files\Winamp\winampa.exe

C:\WINDOWS\wt\updater\wcmdmgr.exe

C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe

C:\Program Files\CyberLink DVD Solution\PowerDVD\PDVDServ.exe

C:\Program Files\Ahead\InCD\InCD.exe

C:\Program Files\CyberLink DVD Solution\Multimedia Launcher\PowerBar.exe

C:\Program Files\Digital Line Detect\DLG.exe

C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkCalRem.exe

C:\PROGRA~1\INCRED~1\bin\IMApp.exe

C:\Documents and Settings\All Users\Documents\SETUP A GRAVER (attendre d'en avoir plein)\Logiciel de sécuriter\HijackThis.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\system32\NOTEPAD.EXE