Pré-Nettoyage PC & Rapport HijackThis

bambylou · le 26 janvier 2007

Bonjour,

Je me retrouve avec un tas de fenêtres qui s'ouvrent lorsque j'ouvre IE ou Mozilla ou MSN, etc......

Voici le rapport HijackThis effectué après le prénottoyage du PC avec Antivir sous Mode sans Echec....

Logfile of HijackThis v1.99.1

Scan saved at 14:38:17, on 26/01/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Windows Defender\MsMpEng.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\Program Files\Bonjour\mDNSResponder.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\System32\PAStiSvc.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIADE.EXE

C:\Program Files\Labtec\Desktop\V5.1\moffice.exe

C:\Program Files\Labtec\Desktop\V5.1\kbdap32a.exe

C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe

C:\Program Files\Labtec\Desktop\V5.1\MOUSE32A.EXE

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\Windows Defender\MSASCui.exe

C:\Program Files\Kodak\KODAK Software Updater\7288971\Program\Kodak Software Updater.exe

C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\HijackThis\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.bambylou.com/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll

O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [EPSON Stylus DX4800 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIADE.EXE /P26 "EPSON Stylus DX4800 Series" /O6 "USB001" /M "Stylus DX4800"

O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1036

O4 - HKLM\..\Run: [FLMOFFICE4DMOUSE] C:\Program Files\Labtec\Desktop\V5.1\moffice.exe

O4 - HKLM\..\Run: [OFFICEKB] C:\Program Files\Labtec\Desktop\V5.1\kbdap32a.exe

O4 - HKLM\..\Run: [Picasa Media Detector] C:\Program Files\Picasa2\PicasaMediaDetector.exe

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\\NeroCheck.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Windows Defender] "C:\Program Files\Windows Defender\MSASCui.exe" -hide

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: AutoStart IR.lnk = C:\Program Files\WinTV\Ir.exe

O4 - Global Startup: E-Compagnon.lnk = ?

O4 - Global Startup: Kodak software updater.lnk = C:\Program Files\Kodak\KODAK Software Updater\7288971\Program\Kodak Software Updater.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Logiciel Kodak EasyShare.lnk = C:\Program Files\Kodak\Kodak EasyShare software\bin\EasyShare.exe

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll

O9 - Extra button: Bonjour - {7F9DB11C-E358-4ca6-A83D-ACC663939424} - C:\Program Files\Bonjour\ExplorerPlugin.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\program files\bonjour\mdnsnsp.dll

O11 - Options group: [iNTERNATIONAL] International*

O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) - http://cdn.scan.onecare.live.com/resource/...lscbase9602.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1168362448696

O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - http://charon777.free.fr/plugins/hardwaredetection.cab

O16 - DPF: {BE833F39-1E0C-468C-BA70-25AAEE55775E} (System Requirements Lab) - http://www.systemrequirementslab.com/sysreqlab.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Fichiers communs\Microsoft Shared\Help\hxds.dll

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\Program Files\Fichiers communs\Microsoft Shared\OFFICE12\MSOXMLMF.DLL

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Unknown owner - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe (file missing)

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Unknown owner - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe (file missing)

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: Service Bonjour (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: STI Simulator - Unknown owner - C:\WINDOWS\System32\PAStiSvc.exe

Vous remerciant par anticipation ....

bruce lee · le 26 janvier 2007

bonjour bambilou et bienvenue sur zebulon

Télécharge Blacklight (de F-Secure); clique sur "I ACCEPT" au bas de la page. Sauvegarde le sur ton Bureau.

Double-clique blbeta.exe et accepte la licence; clique Scan puis Next

Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres).

Copie et colle le contenu de ce rapport dans ta prochaine réponse. NE PAS choisir l'option "rename ou cleaning" de suite : nous devons analyser le rapport, car des fichiers légitimes peuvent être présents, tel wbemtest.exe

bambylou · le 26 janvier 2007

bonjour,

Merci pour la réponse si rapide...

j'ai cliqué sur "close"...

Bon voici le rapport:

01/26/07 19:53:07 [info]: BlackLight Engine 1.0.55 initialized

01/26/07 19:53:07 [info]: OS: 5.1 build 2600 (Service Pack 2)

01/26/07 19:53:07 [Note]: 7019 4

01/26/07 19:53:07 [Note]: 7005 0

01/26/07 19:53:21 [Note]: 7006 0

01/26/07 19:53:21 [Note]: 7011 1424

01/26/07 19:53:22 [Note]: 7026 0

01/26/07 19:53:22 [Note]: 7024 3

01/26/07 19:53:22 [info]: Hidden process: C:\windows\system32\vmdtcrjyox.exe

01/26/07 19:53:26 [Note]: FSRAW library version 1.7.1021

01/26/07 19:54:13 [Error]: 6019 0

01/26/07 19:54:13 [Error]: 6017 0

01/26/07 19:54:28 [Note]: 7006 0

01/26/07 19:54:28 [Note]: 7011 2984

01/26/07 19:54:29 [Note]: 7026 0

01/26/07 19:54:29 [Note]: 7024 3

01/26/07 19:54:29 [info]: Hidden process: C:\windows\system32\vmdtcrjyox.exe

01/26/07 19:54:33 [Note]: FSRAW library version 1.7.1021

01/26/07 19:58:14 [info]: Hidden file: c:\WINDOWS\system32\vmdtcrjyox.dat

01/26/07 19:58:14 [Note]: 10002 1

01/26/07 19:58:15 [info]: Hidden file: C:\windows\system32\vmdtcrjyox.exe

01/26/07 19:58:15 [Note]: 10002 1

01/26/07 19:58:15 [info]: Hidden file: c:\WINDOWS\system32\vmdtcrjyox_nav.dat

01/26/07 19:58:15 [Note]: 10002 1

01/26/07 19:58:15 [info]: Hidden file: c:\WINDOWS\system32\vmdtcrjyox_navps.dat

01/26/07 19:58:15 [Note]: 10002 1

01/26/07 19:59:52 [Note]: 7007 0

merci

bruce lee · le 26 janvier 2007

re,

désinstalle antivir.

Si durant la procédure ci-dessous, il y a des étapes que tu n'as pas reussi a faire, merci de continuer la procédure jusqu'au bout et de les signaler dans ta prochaine reponse.

1/Télécharge puis installe http://www.ewido.net/en/download

Une fois AVG AS lancé, clique sur Mise à jour

Ferme le programme.

-Télécharge la dernière version de Killbox ici=>

http://www.killbox.net/downloads/KillBox.exe

2/ouvre le bloc note(demarrer\tous les programmes\accessoires\bloc notes)

3/copie ceci dedans:

REGEDIT4

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\vmdtcrjyox]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"vmdtcrjyox"=-

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"vmdtcrjyox"=-

-Enregistrez ce fichier reg dans : Bureau

-Nom du fichier : fixme.reg

-Type du fichier : tous les fichiers

-cliquez sur Enregistrer

-quittez le Bloc Notes

4/ demarre en mode sans echec http://www.sosordi.net/Faq/Faq.2.html

5/Utilisation du fichier: fixme.reg précedemment créé

- double cliquez sur le fichier (Bureau) / Acceptez l'avertissement concernant la fusion / ne pas s'étonner de ne rien voir / validez le message disant que la fusion est terminée.

6/Relance AVG AS puis choisis l'onglet Analyse

Puis l'onglet Paramètres

Sous la question Comment réagir ?, clique sur Actions recommandées et choisis Quarantaine

Reclique sur l'onglet Analyse puis réalise une Analyse complète du système

Si un fichier infecté est détecté en fin d'analyse

Clique sur Appliquer toutes les actions

Clique sur Enregistrer le rapport puis sur Enregistrer le rapport sous

Enregistre ce fichier texte sur ton bureau

7/-Lance Pocketkillbox,choisis l'option Delete on reboot

fais un clique gauche sur all files

Copie le chemin des fichiers entiers, en gras ci-bas, et colle les dans la boîte Full Path of File to Delete :

C:\windows\system32\vmdtcrjyox.exe

c:\WINDOWS\system32\vmdtcrjyox_nav.dat

c:\WINDOWS\system32\vmdtcrjyox.dat

c:\WINDOWS\system32\vmdtcrjyox_navps.dat

-Cliquer sur la croix blanche sur fond rouge:

« File will be Deleted on Next Reboot » répondre OUI

« File will be Removed on Reboot, Do you want to reboot now ? » répondre OUI

Si le message "PendingFileRenameOperations Registry Data has been removed by external process!" s'affiche et que l'ordinateur ne redémarre pas, redémarre le manuellement

rend toi ici: C:\!KillBox\logs

ouvre le dossier logs puis ouvre le fichier texte qui s'y trouve et fait un copier coller de tout son contenu.

8/Poste le rapport d'AVG Anti spyware 7.5 ainsi qu'un nouveau log Hijackthis.

Bon courage, et si tu as la moindre question n'hésite surtout pas

@+

Modifié le 26 janvier 2007 par bruce lee

bambylou · le 26 janvier 2007

re,

je n'arrive pas à désinstaller Antivir!!!

Même en mode sans echec, il ne veut pas....

As tu une solution?

Bon je lance ce que tum'as demandé

@+ encore merci

Modifié le 26 janvier 2007 par bambylou

bruce lee · le 26 janvier 2007

re,

apres la procédure essaye de le désinstaller en mode normal

@+

bambylou · le 26 janvier 2007

Re,

Bon tout est fait, sauf bien sur que je n'arrive toujours à désinstaller Antivir...Voici le message: "Cannot load master resource file"

Alors, le rapport d'AVG Anti spyware 7.5

---------------------------------------------------------

AVG Anti-Spyware - Rapport d'analyse

---------------------------------------------------------

+ Créé à: 23:44:50 26/01/2007

+ Résultat de l'analyse:

C:\Documents and Settings\Bambylou\Cookies\bambylou@casinotropez[1].txt -> TrackingCookie.Casinotropez : Nettoyé.

C:\Documents and Settings\Bambylou\Cookies\bambylou@www.casinotropez[1].txt -> TrackingCookie.Casinotropez : Nettoyé.

Fin du rapport

ainsi que le rapport !KillBox\logs:

Pocket Killbox version 2.0.0.881

Running on Windows XP as Bambylou(Administrator)

was started @ vendredi, janvier 26, 2007, 11:47 PM

# 1 [Delete on Reboot]

Path = C:\windows\system32\vmdtcrjyox.exe

I Rebooted @ 11:50:28 PM

Killbox Closed(Exit) @ 11:50:29 PM

__________________________________________________

Pocket Killbox version 2.0.0.881

Running on Windows XP as Bambylou(Administrator)

was started @ vendredi, janvier 26, 2007, 11:54 PM

# 1 [Delete on Reboot]

Path = c:\WINDOWS\system32\vmdtcrjyox_nav.dat

I Rebooted @ 11:54:49 PM

Killbox Closed(Exit) @ 11:54:49 PM

__________________________________________________

Pocket Killbox version 2.0.0.881

Running on Windows XP as Bambylou(Administrator)

was started @ vendredi, janvier 26, 2007, 11:56 PM

# 1 [Delete on Reboot]

Path = c:\WINDOWS\system32\vmdtcrjyox.dat

I Rebooted @ 11:57:18 PM

Killbox Closed(Exit) @ 11:57:18 PM

__________________________________________________

Pocket Killbox version 2.0.0.881

Running on Windows XP as Bambylou(Administrator)

was started @ vendredi, janvier 26, 2007, 11:59 PM

# 1 [Delete on Reboot]

Path = c:\WINDOWS\system32\vmdtcrjyox_navps.dat

I Rebooted @ 11:59:42 PM

Killbox Closed(Exit) @ 11:59:42 PM

__________________________________________________

et un nouveau log Hijackthis:

Logfile of HijackThis v1.99.1

Scan saved at 00:04:40, on 27/01/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Windows Defender\MsMpEng.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\HijackThis\hijackthis\HijackThis.exe

C:\WINDOWS\explorer.exe