RESOLU Trojan.nebuler et Smitfraud-C.Toolbar888

bruce lee · le 17 janvier 2007

re,

Alors là vous me tuez!!!!! je suis un peu novice en informatique et ce que vous me demandez...hou là là
Bon je vais m'y mettre...

si tu suis bien tout dans l'ordre il ne devrait pas y avoir de problemes

Quand je serai grand je serai informaticien

Moi aussi :P

bon courage

edit: tu peux me tutoyer

Modifié le 17 janvier 2007 par bruce lee

lembron · le 17 janvier 2007

Bonsoir Bruce Lee

pas de chance, le telechargement de AVG AS contenant des erreurs, j'ai du recommencer

idem pour SDFIX, je le télécharge une deuxième fois actuellement.

Par contre je ne parviens pas à appliquer les consigne de la ligne 2/

en mode sans échec je n'ai pas accés à Internet, alors quelle procédure appliquer pour aller

sur sosordi.net ?

Merci

bruce lee · le 17 janvier 2007

re,

La procédure que je t'ai mise, je te conseil de l'imprimer une fois fait rend toi sur le site de sosordi et imprime la page pour demarrer en mode sans echec puis ensuite suis la procedure que je t'ai mise.

bon courage

lembron · le 17 janvier 2007

Bonsoir Bruce Lee

Deux pb qui me stoppent

Ferme toutes les fenêtres ouvertes sauf Hijackthis et clique sur fix checked

Là j'ai une fenêtre qui s'ouvre, je réponds quoi yes ou no?

6/Supprime ce qui est en gras:

C:\Program Files\Fichiers communs\ {C0A5DEDC-063B-1036-0124-050501180021}<== tout le dossier

C:\WINDOWS\SYSTEM32\ winbcq32.dll<== le fichier

C:\WINDOWS\system32\ svchosts.exe<== le fichier ATTENTION! ne confond surtout pas avec svchost.exe qui lui est legitime.

Où puis-je trouver ces dossiers? Dois-je les rechercher avec l'explorateur dans la Racine?

Désolé pour le dérangement @+

bruce lee · le 17 janvier 2007

re,

Désolé pour le dérangement @+

tu ne me derranges pas

Ferme toutes les fenêtres ouvertes sauf Hijackthis et clique sur fix checked
Là j'ai une fenêtre qui s'ouvre, je réponds quoi yes ou no?

tu cliques sur yes

Où puis-je trouver ces dossiers? Dois-je les rechercher avec l'explorateur dans la Racine?

tu te rends dans les differents dossiers pour:

C:\Program Files\Fichiers communs\{C0A5DEDC-063B-1036-0124-050501180021}

tu fais:

demarrer/poste de travail/disque local ( C: )

tu es donc rendu ici:

C:

ensuite tu parcours les differents dossiers soit Program Files puis ensuite tu vas dans Fichiers communs et tu supprimes {C0A5DEDC-063B-1036-0124-050501180021} (clique droit dessus puis supprimer)

@+

lembron · le 18 janvier 2007

Bonjour Bruce Lee

Mes questions d'hier soir ont du vous sembler bien naïves , mais face à une situation inconnue je préfère rester prudent.

j'espérais terminer ce matin, mais cela ne marche pas.

Donc je fais le point et je pose une nouvelle question.

1) le système a refusé de supprimer le fichier C:\Windows\System32\winbcq32.dll

je l'ai renommé winlembron, histoire que le système ne le retrouve pas

2) AVG AS s'est installé automatiquement dans la bare d'état système.

Dois-je le laisser ou le supprimer?

3) SDFix.zip, aprés décompression et "extraire tout" ne montre qu'un seul dossier SDFix.exe

Il n'y a pas de RunThis.bat. Comment faire pour continuer?

4) Enfin sur le bureau j'ai récupéré un dossier backup, il comporte 5 dossiers nommés respectivement

20070117-2155126- /174 /608 /779 /786 /875 chacun d'eux pèse 1Ko . J'en fais quoi?

5) je mets ci-dessous le rapport du scan de AVG AS (le scan a duré 59 minutes!!!)

---------------------------------------------------------

AVG Anti-Spyware - Rapport d'analyse

---------------------------------------------------------

+ Créé à: 22:52:41 17/01/2007

+ Résultat de l'analyse:

C:\WINDOWS\Temp\idd1.tmp.exe -> Dialer.IDialer.m : Nettoyé.

C:\WINDOWS\Temp\idd121.tmp.exe -> Dialer.IDialer.m : Nettoyé.

C:\WINDOWS\Temp\idd12E.tmp.exe -> Dialer.IDialer.m : Nettoyé.

C:\WINDOWS\Temp\idd139.tmp.exe -> Dialer.IDialer.m : Nettoyé.

C:\WINDOWS\Temp\idd172.tmp.exe -> Dialer.IDialer.m : Nettoyé.

C:\WINDOWS\Temp\idd174.tmp.exe -> Dialer.IDialer.m : Nettoyé.

C:\WINDOWS\Temp\idd18A.tmp.exe -> Dialer.IDialer.m : Nettoyé.

C:\WINDOWS\Temp\idd1B9.tmp.exe -> Dialer.IDialer.m : Nettoyé.

C:\WINDOWS\Temp\idd1C6.tmp.exe -> Dialer.IDialer.m : Nettoyé.

C:\WINDOWS\Temp\idd214.tmp.exe -> Dialer.IDialer.m : Nettoyé.

C:\WINDOWS\Temp\idd4.tmp.exe -> Dialer.IDialer.m : Nettoyé.

C:\WINDOWS\Temp\iddA9.tmp.exe -> Dialer.IDialer.m : Nettoyé.

C:\WINDOWS\Temp\iddAC.tmp.exe -> Dialer.IDialer.m : Nettoyé.

C:\WINDOWS\Temp\iddE2.tmp.exe -> Dialer.IDialer.m : Nettoyé.

C:\WINDOWS\Temp\iddE9.tmp.exe -> Dialer.IDialer.m : Nettoyé.

C:\Documents and Settings\Gérard\Cookies\gérard@advertising[2].txt -> TrackingCookie.Advertising : Nettoyé.

C:\Documents and Settings\Gérard\Cookies\gérard@bluestreak[2].txt -> TrackingCookie.Bluestreak : Nettoyé.

C:\Documents and Settings\Gérard\Cookies\gérard@tradedoubler[2].txt -> TrackingCookie.Tradedoubler : Nettoyé.

Fin du rapport

A ce soir et merci

bruce lee · le 18 janvier 2007

bonjour lembron,

1) le système a refusé de supprimer le fichier C:\Windows\System32\winbcq32.dll
je l'ai renommé winlembron, histoire que le système ne le retrouve pas{

rapele le par son vrai "prénom".

2) AVG AS s'est installé automatiquement dans la bare d'état système.
Dois-je le laisser ou le supprimer?

Tu peux le supprimer si tu le souhaites

3) SDFix.zip, aprés décompression et "extraire tout" ne montre qu'un seul dossier SDFix.exe
Il n'y a pas de RunThis.bat. Comment faire pour continuer?

regarde a la racine de ton disque dur (demarrer/poste de travail/disuqe local ( C )) pour voir si tu n'as pas de dossier SDFIX si tu en as un et que tu as le fichier runthis execute SDFIX en mode sans echec

4) Enfin sur le bureau j'ai récupéré un dossier backup, il comporte 5 dossiers nommés respectivement

supprime ce dossier.

-Télécharge la dernière version de Killbox ici=>

http://www.killbox.net/downloads/KillBox.exe

-Redémarre en mode sans échec pour ne pas être gêné par un résident.

-Lance Pocketkillbox,choisis l'option Delete on reboot

Copie le chemin de fichier entier, en gras ci-bas, et colle le dans la boîte Full Path of File to Delete :

C:\Windows\System32\winbcq32.dll

coche ensuite la case devant Unregister .dll Before Deleting

-Cliquer sur la croix blanche sur fond rouge:

« File will be Deleted on Next Reboot » répondre OUI

« File will be Removed on Reboot, Do you want to reboot now ? » répondre OUI

Si le message "PendingFileRenameOperations Registry Data has been removed by external process!" s'affiche et que l'ordinateur ne redémarre pas, redémarre le manuellement

rend toi ici: C:\!KillBox\logs

ouvre le dossier logs puis ouvre le fichier texte qui s'y trouve et fait un copier coller de tout son contenu.

Poste un nouveau rapport hijackthis et celui de SDFIX si tu as pu faire un scan.

lembron · le 18 janvier 2007

Bonsoir Bruce Lee

Rien à faire avec SDFix, je n'ai rien à la racine, je suis allé le télécharger deux nouvelles fois et j'obtiens toujours le même fichier.

Les autres opérations se sont bien déroulées

je poste donc les deux rapports

Pocket Killbox version 2.0.0.881

Running on Windows XP as Gérard(Administrator)

was started @ jeudi, janvier 18, 2007, 3:17 PM

# 1 [Delete on Reboot]

Path = C:\Windows\System32\winbcq.dll

PendingFileRenameOperations Registry Data has been Removed by External Process! @ 3:20:59 PM

Killbox Closed(Exit) @ 3:21:43 PM

__________________________________________________

Logfile of HijackThis v1.99.1

Scan saved at 17:22:28, on 18/01/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Documents and Settings\Gérard\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.orange.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll

O2 - BHO: Norton Internet Security - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll

O2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - C:\Program Files\Microsoft Money\System\mnyviewer.dll

O3 - Toolbar: Norton Internet Security - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll

O4 - HKLM\..\Run: [synTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [Tvs] C:\Program Files\Toshiba\Tvs\TvsTray.exe

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [THotkey] C:\Program Files\Toshiba\Toshiba Applet\thotkey.exe

O4 - HKLM\..\Run: [TPSMain] TPSMain.exe

O4 - HKLM\..\Run: [PadTouch] C:\Program Files\TOSHIBA\Touch and Launch\PadExe.exe

O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [TFncKy] TFncKy.exe

O4 - HKLM\..\Run: [MoneyStartUp10.0] "C:\Program Files\Microsoft Money\System\Activation.exe"

O4 - HKLM\..\Run: [symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer

O4 - HKLM\..\Run: [soundMAXPnP] C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe

O4 - HKLM\..\Run: [soundMAX] C:\Program Files\Analog Devices\SoundMAX\Smax4.exe /tray

O4 - HKLM\..\Run: [smoothView] C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe

O4 - HKLM\..\Run: [REGSHAVE] C:\Program Files\REGSHAVE\REGSHAVE.EXE /AUTORUN

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [WOOKIT] C:\Program Files\Wanadoo\Shell.exe appLaunchClientZone.shl|PARAM= cnx

O4 - Global Startup: Exif Launcher.lnk = ?

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html

O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html

O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html

O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: MoneySide - {E023F504-0C5A-4750-A1E7-A9046DEA8A21} - C:\Program Files\Microsoft Money\System\mnyviewer.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O11 - Options group: [iNTERNATIONAL] International*

O15 - Trusted Zone: http://www.investir.fr

O15 - Trusted Zone: http://www.symantec.com

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://www-secure.symantec.com/techsupp/asa/LSSupCtl.cab

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedC...n/bin/cabsa.cab

O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - https://www-secure.symantec.com/techsupp/as...rl/SymAData.cab

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O20 - Winlogon Notify: winbcq32 - C:\WINDOWS\SYSTEM32\winbcq32.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe

O23 - Service: ISSvc (ISSVC) - Symantec Corporation - C:\Program Files\Norton Internet Security\ISSVC.exe

O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE

O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus\navapsvc.exe

O23 - Service: Planificateur LiveUpdate automatique - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

O23 - Service: TOSHIBA Application Service (TAPPSRV) - TOSHIBA Corp. - C:\Program Files\TOSHIBA\TOSHIBA Applet\TAPPSRV.exe

A+

bruce lee · le 18 janvier 2007

re,

lance hijackthis en cliquant sur do a scan system only et coche cette ligne:

O20 - Winlogon Notify: winbcq32 - C:\WINDOWS\SYSTEM32\winbcq32.dll

Ferme toutes les fenêtres ouvertes sauf Hijackthis et clique sur fix checked

assure que le fichier winbcq32.dll a été supprimé en te rendant dans le dossier system32.

Reposte ensuite un nouveau rapport hijackthis.

Modifié le 18 janvier 2007 par bruce lee

lembron · le 18 janvier 2007

Bonsoir Bruce Lee

Tout s'est bien passé

Le fichier récalcitrant a disparu

le dernier scan de HJT

Logfile of HijackThis v1.99.1

Scan saved at 19:03:13, on 18/01/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

C:\Program Files\Norton Internet Security\ISSVC.exe

C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe

C:\Program Files\Norton Internet Security\Norton AntiVirus\navapsvc.exe

C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\TOSHIBA\TOSHIBA Applet\TAPPSRV.exe

C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\Toshiba\Tvs\TvsTray.exe

C:\WINDOWS\AGRSMMSG.exe

C:\Program Files\Toshiba\Toshiba Applet\thotkey.exe

C:\Program Files\TOSHIBA\Touch and Launch\PadExe.exe

C:\WINDOWS\system32\TPSBattM.exe

C:\WINDOWS\system32\dla\tfswctrl.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe

C:\Program Files\TOSHIBA\Commandes TOSHIBA\TFncKy.exe

C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe

C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\FinePixViewer\QuickDCF.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NSMdtr.exe

C:\Program Files\Messenger\msmsgs.exe