HELP ! Mon PC est infecté jusqu'au cou !

[Jamie]

Je vous explique mon problème :

J'ai dû changer d'antivirus (j'étais en version d'évaluation de Kaspersky) car ma clé s'est expirée, et avant d'acheter le logiciel (qui m'a bien plû d'ailleurs) j'ai voulu mettre Avast! Familial à titre provisoire. Je me rends sur Internet pour télécharger le freeware quand je vois une infobulle apparaitre avec marqué à l'intérieur un tru du genre "Spyware detected ! Failure system" ou quelque chose de ce genre, une seconde après ça le PC redémarre brusquement.

Complètement catastrophé, au démarrage je lance une analyse spyware avec AD-Aware SE pendant que je m'empresse de (re)télécharger Avast! le téléchargement réussit (OUF ! ) et l'analyse Ad Aware rend son verdict :

tenez vous bien (!) : 92 Spywares répartis un peu partout dans le Système !

Ensuite, procédure habituelle : Avast me demande de redémarrer pour que l'installation soit effective et fait une anlayse après le redémarrage et il me trouve une multitude de virus dont plus particulièrement des trojans que je supprime tous (peut être aurais-je mieux fait de les mettre en quarantaine ? )

Je me suis rendu compte que les virus s'étaient placés dans la partition où j'ai Windows XP et pas dans la seconde. Maintenant, le PC est extrêmement lent au démarrage : il reste pendant 2 minutes sur l'écran "bienvenue", de plus les virus ont désactivé mon pare-feu et empêchent de le réactiver et mon menu "démarrer" a été remodelé : il n'y a plus "éxecuter".

Aidez-moi je vous en prie !! lol

Si je dois faire quelque chose que je n'ai pas fait, dîtes le moi et aidez moi à résoudre ces problèmes de mon pauvre Windows.

 

Cordialement

Jamie

Modifié le 29 décembre 2006 par Jamie

[bruce lee]

bonjour Jamie,

 

telecharge la version original de hijackthis http://www.merijn.org/files/hijackthis.zip

 

déconnecte toi du net et installe le et installe le sur ton bureau

 

lance le en cliquant sur Do a system scan and save a logfile a la fin du scan le bloc note va s'ouvrir tu fais un copier coller de tout son contenu.

[Jamie]

bonjour Jamie,

 

telecharge la version original de hijackthis http://www.merijn.org/files/hijackthis.zip

 

déconnecte toi du net et installe le et installe le sur ton bureau

 

lance le en cliquant sur Do a system scan and save a logfile a la fin du scan le bloc note va s'ouvrir tu fais un copier coller de tout son contenu.

 

Bonsoir Bruce Lee, voici le rapport Hijackthis que tu m'as demandé :

 

Logfile of HijackThis v1.99.1

Scan saved at 19:35:51, on 27/12/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

D:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

D:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

D:\Program Files\Alwil Software\Avast4\ashServ.exe

D:\Program Files\Adobe\Reader 8.0\Reader\reader_sl.exe

C:\Program Files\SAGEM WiFi manager\WLANUTL.exe

C:\WINDOWS\system32\msasvc.exe

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\system32\msiexec.exe

C:\Program Files\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: VMN Toolbar - {4E7BD74F-2B8D-469E-8DA9-FD60BB9AAE33} - C:\PROGRA~1\VMNTOO~1\VMNTOO~1.DLL

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O3 - Toolbar: VMN Toolbar - {4E7BD74F-2B8D-469E-8DA9-FD60BB9AAE33} - C:\PROGRA~1\VMNTOO~1\VMNTOO~1.DLL

O4 - HKLM\..\Run: [RTHDCPL] --RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] --ALCMTR.EXE

O4 - HKLM\..\Run: [ATICCC] --"C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime

O4 - HKLM\..\Run: [Adobe Photo Downloader] --"D:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe"

O4 - HKLM\..\Run: [sunJavaUpdateSched] --"C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe"

O4 - HKLM\..\Run: [surfAccuracy] C:\Program Files\SurfAccuracy\SAcc.exe

O4 - HKLM\..\Run: [{4E-E9-9A-AE-ZN}] c:\windows\system32\nsdsregl.exe OLI001

O4 - HKLM\..\Run: [avast!] D:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Startup: TA_Start.lnk = C:\WINDOWS\system32\dwdsregt.exe

O4 - Startup: Think-Adz.lnk = C:\WINDOWS\system32\lwintoed.exe

O4 - Global Startup: Adobe Reader Synchronizer.lnk = D:\Program Files\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe

O4 - Global Startup: Barre d'état système d'ATI CATALYST.lnk = C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = D:\Program Files\Adobe\Reader 8.0\Reader\reader_sl.exe

O4 - Global Startup: Utilitaire réseau pour SAGEM Wi-Fi 11g USB adapter.lnk = ?

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll

O17 - HKLM\System\CCS\Services\Tcpip\..\{D0DDA97C-8EC7-4697-90F9-2927EF976557}: NameServer = 192.168.1.1

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: Adobe LM Service - Unknown owner - --"C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe (file missing)

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - D:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: avast! Antivirus - Unknown owner - D:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - D:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - D:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\QW1hdXJ5\command.exe (file missing)

O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe

O23 - Service: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe (file missing)

O23 - Service: Office Source Engine (ose) - Unknown owner - --"C:\Program Files\Fichiers communs\Microsoft Shared\Source Engine\OSE.EXE (file missing)

O23 - Service: Service Partage réseau du Lecteur Windows Media (WMPNetworkSvc) - Unknown owner - --"C:\Program Files\Windows Media Player\WMPNetwk.exe (file missing)

 

J'ajoute aussi que j'ai suivi le conseil de ce forum avec le "pré-nettoyage d'un PC infecté", j'ajoute aussi que en plus que "exécuter" a disparu de mon menu démarrer le bouton "arrêter l'ordinateur" aussi !

 

Voici une capture d'écran pour mieux montrer l'un des problèmes :

 

Amicalement

Jamie

Modifié le 27 décembre 2006 par Jamie

[bruce lee]

bonojur Jamie,

 

 

connais tu? est ce toi qui a mis en réseau?

O23 - Service: Service Partage réseau du Lecteur Windows Media (WMPNetworkSvc) - Unknown owner - --"C:\Program Files\Windows Media Player\WMPNetwk.exe (file missing)

 

 

Ton antivirus c'est bien Avast?

[Jamie]

bonojur Jamie,

connais tu? est ce toi qui a mis en réseau?

Ton antivirus c'est bien Avast?

 

Bonjour Bruce Lee.

Heu, je ne pense pas avoir mis en réseau mon lecteur Windows Media et je ne connait pas ce programme en "exe".

Mon antivirus est bien Avast, il y a Antivir référencé dans le rapport HijackThis parce que j'ai suivi le conseil en épinglé sur le Forum "Pré-nettoyage d'un Pc infecté" qui préconisait d'installer Antivir puis de le désinstallait après la manip'.

J'ai fait ce rapport avant d'avoir désinstallé Antivir.

 

Amicalement

Jamie

Modifié le 28 décembre 2006 par Jamie

[bruce lee]

re,

 

Si durant la procédure ci-dessous, il y a des étapes que tu n'as pas reussi a faire, merci de continuer la procédure jusqu'au bout et de les signaler dans ta prochaine reponse.

 

 

1/Télécharge puis installe http://www.ewido.net/en/download

Une fois AVG AS lancé, clique sur Mise à jour

Ferme le programme.

 

 

 

2/Démarre en mode sans échec http://www.sosordi.net/Faq/Faq.2.html

 

3/

Démarrer/panneau de configuration/ajout et suppression de programmes et vérifie la présence de:

 

VMN Toolbar

SurfAccuracy

Network Monitor

AntiVir PersonalEdition Classic

 

Si ces programmes sont présents désinstalle-les.

 

 

4/fais:

demarer executer services.msc repere Command Service

 

Double clic dessus :dans le champs Statut du service met le sur arrêté

dans le champs Type de démarrage met le sur désactivé puis

Appliquer puis ok .

 

 

fais la même chose avec ces services:

 

Microsoft authenticate service

Network Monitor

Service Partage réseau du Lecteur Windows Media

 

 

maintenant on va supprimer les services:

 

demarrer/executer/ cmd

 

execute cette commande qui est en citation sans le mot citation:

 

sc delete cmdService

 

 

fais la même chose avec ce service:

 

MsaSvc

 

 

 

5/lance hijackthis en cliquant sur do a scan system only et coche ces lignes:

 

O2 - BHO: VMN Toolbar - {4E7BD74F-2B8D-469E-8DA9-FD60BB9AAE33} - C:\PROGRA~1\VMNTOO~1\VMNTOO~1.DLL

O3 - Toolbar: VMN Toolbar - {4E7BD74F-2B8D-469E-8DA9-FD60BB9AAE33} - C:\PROGRA~1\VMNTOO~1\VMNTOO~1.DLL

O4 - HKLM\..\Run: [surfAccuracy] C:\Program Files\SurfAccuracy\SAcc.exe

O4 - HKLM\..\Run: [{4E-E9-9A-AE-ZN}] c:\windows\system32\nsdsregl.exe OLI001

O4 - Startup: TA_Start.lnk = C:\WINDOWS\system32\dwdsregt.exe

O4 - Startup: Think-Adz.lnk = C:\WINDOWS\system32\lwintoed.exe

 

Ferme toutes les fenêtres ouvertes sauf Hijackthis et clique sur fix checked

 

 

6/pour supprimer les fichiers nefastes on va tous les afficher en faisant comme ceci:

 

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Cocher la case : Afficher les fichiers et dossiers cachés

 

Décocher la case : Masquer les extensions des fichiers dont le type est connu

 

Décocher la case : Masquer les fichiers protégés du système d'exploitation

 

cliquer sur "Appliquer"

 

cliquer sur le bouton "Appliquer à tous les dossiers" / OK

 

 

7/Supprime ce qui est en gras:

 

C:\WINDOWS\ QW1hdXJ5<== tout le dossier

C:\Program Files\ Network Monitor<== tout le dossier

C:\Program Files\ SurfAccuracy<== tout le dossier

C:\Program Files\ VMN Toolbar<== tout le dossier

C:\WINDOWS\system32\ msasvc.exe<== le fichier

c:\windows\system32\ nsdsregl.exe<== le fichier

C:\WINDOWS\system32\ dwdsregt.exe<== le fichier

C:\WINDOWS\system32\ lwintoed.exe<== le fichier

 

 

8/ Relance AVG AS puis choisis l'onglet Analyse

Puis l'onglet Paramètres

Sous la question Comment réagir ?, clique sur Actions recommandées et choisis Quarantaine

Reclique sur l'onglet Analyse puis réalise une Analyse complète du système

 

Si un fichier infecté est détecté en fin d'analyse

Clique sur Appliquer toutes les actions

 

Clique sur Enregistrer le rapport puis sur Enregistrer le rapport sous

Enregistre ce fichier texte sur ton bureau

 

 

9/Redémarre en mode normal

 

10/Poste le rapport d'AVG Anti spyware 7.5 ainsi qu'un nouveau log Hijackthis.

 

Bon courage, et si tu as la moindre question n'hésite surtout pas

 

@+

[Jamie]

Alors là, merci Beaucoup, on ne peut plus complet !

Mais le problème est maintenant de plus en plus énorme, ça touche même plutôt au sujet Hardware : j'ai ma RAM qui est morte

Je ne peux même plus allumer mon PC.

Ca m'énerve vraiment.

Jamie

Modifié le 28 décembre 2006 par Jamie

[bruce lee]

re,

 

Je n'ai pas trouvé grand chose sur internet donc j'ai regardé sur ma bécane il se peut que chez toi ca soit un peu différent.

 

 

fais clique droit sur Démarrer puis "propriétés". Rend toi dans l'onglet "Menu Démarrer" clique sur "Personnaliser". Une nouvelle fenêtre s'est ouverte clique sur l'onglet "Avancé" puis sous Eléments du menu Démarrer coche la case devant Commande Exécuter clique ensuite sur "ok". Si les modifications n'ont pas été prise en compte redémarre le PC.

 

Si la manip a réussi poursuis la procédure.

[Jamie]

Bonjour Bruce Lee,

J'ai de nouveau un problème, plus grave cette fois : ma RAM est morte. J'allume mon PC => Ecran noir, il tourne mais rien à l'écran et aucun bip carte mère. j'en déduis que ma RAM est cramée.

Je me demande si ce ne pourrait pas être dû aux virus ?

Maintenant, je ne peux faire aucun emanipulation su rmon PC tant que je ne rachèterai pas mes RAMs.

D'après toi, un virus peut vraiment cramer des barrettes RAM ?

Amicalement

Jamie

[bruce lee]

bonjour Jamie,

 

D'après toi, un virus peut vraiment cramer des barrettes RAM ?

 

Un virus peut faire des dégats mais a ce point la. Donc non ton probleme n'est pas du a un virus.

 

@+