multivirus récalcitrants?... a l'aide siouplait! RESOLU!

gilbert montagné · le 17 février 2007

et au fait, je t'avais dit que j'avais tout un tas de logiciels non supprimables dans "ajout suppression de programmes" tels que Photogallery, product context, Tray App etc, et je croyais que c'était des chochonneries du genre minispywares qui étaient entrés sur mon PC en allant sur des sites pas top, et au final, je me suis renseignée et c'est des programmes de mon imprimante HP 1500, donc de ce coté là, ça élimine un souci, si ça peut t'éclaircir en core un peu...

y'avait juste MarketResearch pour qui je ne savais pas, et ce serait le virus SOBER, mais j'ai fait un SOBER REMOVAL TOOL de Symantec et il a rien trouvé. tu crois que ça pourrait faire partie d'un truc qui infeste mon PC??....

Voila, je continue mes recherches en meme temps, comme ça, si je trouve des trucs etranges qui peuvent t'indiquer à tout hasard ce qui se passe, je te le dis!

bon courage!

bruce lee · le 17 février 2007

Bonjour gilbert montagné

Supprime ce fichier si présent:

C:\Windows\system32\ Ntbtlog.txt<== le fichier

ou C:\Windows\ Ntbtlog.txt<== le fichier

Clique sur le bouton Demarrer puis Executer et tape msconfig

Rend toi dans l'onglet BOOT.INI puis coche la case devant BOOTLOG clique sur OK

Redemarre ton ordinateur puis ouvre le fichier Ntbtlog.txt qui se trouve ici:

C:\Windows\system32\ Ntbtlog.txt

ou là:

C:\Windows\ Ntbtlog.txt

Fais un copié/collé de tout son contenu.

Modifié le 17 février 2007 par bruce lee

gilbert montagné · le 18 février 2007

salut bruce!

voila le fichier texte de Ntbtlog: (pour info si des gens lisent ce topic, il y a pas la commande msconfig sur winbug 2000 pro, il faut la télécharger...)

Service Pack 2 2 18 2007 11:37:37.500

Pilote charg‚ \WINNT\System32\ntoskrnl.exe

Pilote charg‚ \WINNT\System32\hal.dll

Pilote charg‚ \WINNT\System32\BOOTVID.DLL

Pilote charg‚ pci.sys

Pilote charg‚ isapnp.sys

Pilote charg‚ intelide.sys

Pilote charg‚ \WINNT\System32\DRIVERS\PCIIDEX.SYS

Pilote charg‚ MountMgr.sys

Pilote charg‚ ftdisk.sys

Pilote charg‚ Diskperf.sys

Pilote charg‚ \WINNT\System32\Drivers\WMILIB.SYS

Pilote charg‚ dmload.sys

Pilote charg‚ dmio.sys

Pilote charg‚ PartMgr.sys

Pilote charg‚ atapi.sys

Pilote charg‚ symc8xx.sys

Pilote charg‚ \WINNT\System32\DRIVERS\SCSIPORT.SYS

Pilote charg‚ disk.sys

Pilote charg‚ \WINNT\System32\DRIVERS\CLASSPNP.SYS

Pilote charg‚ PxHelp20.sys

Pilote charg‚ KSecDD.sys

Pilote charg‚ Ntfs.sys

Pilote charg‚ NDIS.sys

Pilote charg‚ srescan.sys

Pilote charg‚ Mup.sys

Pilote charg‚ agp440.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\audstub.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\rasl2tp.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\ndistapi.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\ndiswan.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\raspptp.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\ptilink.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\raspti.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\parallel.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\atimpab.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\cdrom.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\uhcd.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\el90xbc5.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\mf.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\swenum.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\update.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\i8042prt.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\kbdclass.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\parport.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\serial.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\serenum.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\fdc.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\mouclass.sys

Pilote charg‚ \SystemRoot\System32\Drivers\NDProxy.SYS

Pilote charg‚ \SystemRoot\System32\Drivers\EFS.SYS

Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\Drivers\NDProxy.SYS

Pilote charg‚ \SystemRoot\System32\DRIVERS\usbhub.sys

Pilote charg‚ \SystemRoot\system32\drivers\adm8820.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\admjoy.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\flpydisk.sys

Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\Drivers\lbrtfdc.SYS

Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\Drivers\Sfloppy.SYS

Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\Drivers\Changer.SYS

Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\Drivers\Cdaudio.SYS

Pilote charg‚ \SystemRoot\System32\Drivers\Fs_Rec.SYS

Pilote charg‚ \SystemRoot\System32\Drivers\Null.SYS

Pilote charg‚ \SystemRoot\System32\Drivers\Beep.SYS

Pilote charg‚ \SystemRoot\System32\DRIVERS\AvgAsCln.sys

Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\Drivers\sglfb.SYS

Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\Drivers\tga.SYS

Pilote charg‚ \SystemRoot\System32\drivers\vga.sys

Pilote charg‚ \SystemRoot\System32\Drivers\mnmdd.SYS

Pilote charg‚ \SystemRoot\System32\Drivers\Msfs.SYS

Pilote charg‚ \SystemRoot\System32\Drivers\Npfs.SYS

Pilote charg‚ \SystemRoot\System32\DRIVERS\rasacd.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\msgpc.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\tcpip.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\wanarp.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\netbt.sys

Pilote charg‚ \SystemRoot\System32\vsdatant.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\netbios.sys

Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\Drivers\PCIDump.SYS

Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\DRIVERS\redbook.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\rdbss.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\mrxsmb.sys

Pilote charg‚ \SystemRoot\System32\drivers\klmc.sys

Pilote charg‚ \SystemRoot\System32\drivers\klif.sys

Le pilote n'a pas ‚t‚ charg‚ \??\C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.sys

Pilote charg‚ \SystemRoot\System32\drivers\afd.sys

Pilote charg‚ \SystemRoot\System32\Drivers\ParVdm.SYS

Pilote charg‚ \SystemRoot\system32\drivers\wdmaud.sys

Pilote charg‚ \SystemRoot\system32\drivers\sysaudio.sys

Pilote charg‚ \SystemRoot\system32\drivers\swmidi.sys

Pilote charg‚ \SystemRoot\system32\drivers\DMusic.sys

Pilote charg‚ \SystemRoot\system32\drivers\kmixer.sys

Pilote charg‚ \SystemRoot\System32\Drivers\Fips.SYS

Pilote charg‚ \SystemRoot\System32\DRIVERS\srv.sys

Pilote charg‚ \SystemRoot\System32\Drivers\Cdfs.SYS

Pilote charg‚ \SystemRoot\System32\Drivers\Fastfat.SYS

Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\DRIVERS\rdbss.sys

Le pilote n'a pas ‚t‚ charg‚ \SystemRoot\System32\DRIVERS\mrxsmb.sys

Pilote charg‚ \SystemRoot\system32\drivers\kmixer.sys

Pilote charg‚ \SystemRoot\System32\DRIVERS\ipsec.sys

Pilote charg‚ \SystemRoot\system32\drivers\kmixer.sys

gilbert montagné · le 18 février 2007

re-salut bruce...

j'ai du nouveau, je viens de faire un nettoyage de disque avec easycleaner (mon nettoyage windows par défaut n'ayant jamais marché) et il me dit qu'il peut pas supprimer les fichiers suivants:

C:\Documents and Settings\kroquette1\Local Settings\Historique\History.IE5 0 18/02/2007 12:48:32 S

C:\Documents and Settings\kroquette1\Local Settings\Historique\History.IE5\MSHist012007021820070219 0 18/02/2007 11:16:02 S

C:\Documents and Settings\kroquette1\Local Settings\Temporary Internet Files\Content.IE5 0 Dossier de fichiers 18/02/2007 12:48:32 S

C:\WINNT\Temp\ZLT0207c.TMP 256 Fichier TMP 18/02/2007 11:38:36 A

C:\WINNT\Temp\ZLT02086.TMP 256 Fichier TMP 18/02/2007 11:38:40 A

C:\Documents and Settings\kroquette1\Local Settings\Temp\~DF2BE7.tmp 16384 Fichier TMP 18/02/2007 11:41:44 A

C:\Documents and Settings\kroquette1\Local Settings\Temp\~DFA6EA.tmp 16384 Fichier TMP 18/02/2007 11:42:10 A

C:\Documents and Settings\kroquette1\Local Settings\Historique\History.IE5\MSHist012007021820070219\index.dat 32768 18/02/2007 12:22:44 A

C:\Documents and Settings\kroquette1\Local Settings\Temp\hpodvd09.log 49314 Texte seulement 18/02/2007 11:34:36 A

C:\Documents and Settings\kroquette1\Local Settings\Temporary Internet Files\Content.IE5\index.dat 81920 DVDXPlayer.Video 18/02/2007 12:48:32 A

C:\Documents and Settings\kroquette1\Local Settings\Historique\History.IE5\index.dat 131072 18/02/2007 12:48:32 A

C:\Documents and Settings\kroquette1\Local Settings\Temp\~AceTemp\EClea2_0\EasyClea.exe 2117632 Application 14/01/2005 23:38:02 A 2.0.6.380 2.0.6

d'apres mes vagues recherches, il y aurait du trojan là dedans, de la famille Trojano-3428 et Sdbot-3267 et j'ai vu que t'avais déja conseillé quelqu'un de zebulon, willow, sur ce meme souci, enfin, je crois... mais comme c'est des rapports et que je sais pas les analyser, je t'envoie ce que je trouve! bon courage!

bruce lee · le 18 février 2007

re,

Merci pour les recherches

Poste un nouveau rapport hijackthis s'il te plait.

gilbert montagné · le 18 février 2007

salut!

voici hijackthis:

Logfile of HijackThis v1.99.1

Scan saved at 19:33:12, on 18/02/2007

Platform: Windows 2000 SP2 (WinNT 5.00.2195)

MSIE: Internet Explorer v5.00 SP2 (5.00.2920.0000)

Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\ZoneLabs\vsmon.exe

C:\WINNT\system32\spoolsv.exe

C:\WINNT\System32\svchost.exe

C:\WINNT\system32\regsvc.exe

C:\WINNT\system32\MSTask.exe

C:\WINNT\system32\stisvc.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\Program Files\foobar2000\foobar2000.exe

C:\WINNT\explorer.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Sécurité\Hijack this\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SCURIT~1\SPYBOT~1\SDHelper.dll

O4 - HKLM\..\Run: [synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [KAVPersonal50] C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize

O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1171113423429

O23 - Service: AVG Anti-Spyware Guard - Unknown owner - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe (file missing)

O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe

O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINNT\System32\HPZipm12.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINNT\system32\ZoneLabs\vsmon.exe

il y a moins de trucs qu'avant on dirait...

j'ai une nouvelle important aussi, meme plusieurs du coup::!

j'ai fait un scan kaspersky en ayant arrété le processus explorer et il m'a trouvé et supprimé

Trojan-Downloader.BAT.Ftp.ab

dans system32\i

c'est un bon point je pense, non?

et aussi, j'ai remarqué que les choses suivantes (étant considérées comme inutiles et à virer par EasyCleaner) étaient insuprimables, ni par easycleaner, ni par la commande de executer en mode sans echec et avec explorer de désactivé, ni meme par killbox:

C:\Documents and Settings\kroquette1\Local Settings\Historique\History.IE5\

C:\Documents and Settings\kroquette1\Local Settings\Temporary Internet Files\Content.IE5\

C:\Documents and Settings\kroquette1\Local Settings\Temporary Internet Files\Content.IE5\index.dat\

C:\Documents and Settings\kroquette1\Local Settings\Historique\History.IE5\index.dat\

ca correspond à quoi ces choses la? des résidus de virus? des dossiers de winbug infectés?

en tout cas, j'ai quand meme l'impression que mon ordi va mieux, j'ai eu moins de bugs ces deux derniers jours, merci bruce lee!

bruce lee · le 18 février 2007

re,

j'ai fait un scan kaspersky en ayant arrété le processus explorer et il m'a trouvé et supprimé
Trojan-Downloader.BAT.Ftp.ab

dans system32\i

Oui, il est a supprimer

Si durant la procédure ci-dessous, il y a des étapes que tu n'as pas reussi a faire, merci de continuer la procédure jusqu'au bout et de les signaler dans ta prochaine reponse.

Je te conseille d'enregistrer la page web compléte sous Internet Explorer comme ceci :

* Clique sur Fichier/Enregistrer sous Dans Type, choisis : Archive web (fichier seul (*.mht) / Enregistre la sur le bureau,comme cela tu retrouvera la mise en forme ou imprime cette réponse. Une partie de la désinfection se déroulera en mode sans échec.

1/Lance AVG Anti Spyware puis clique sur Mise à jour

Ferme le programme.

2/Démarre en mode sans échec http://www.sosordi.net/Faq/Faq.2.html

3/ Relance AVG AS puis choisis l'onglet Analyse

Puis l'onglet Paramètres

Sous la question Comment réagir ?, clique sur Actions recommandées et choisis Quarantaine

Reclique sur l'onglet Analyse puis réalise une Analyse complète du système

Si un fichier infecté est détecté en fin d'analyse

Clique sur Appliquer toutes les actions

Clique sur Enregistrer le rapport puis sur Enregistrer le rapport sous

Enregistre ce fichier texte sur ton bureau

4/Redémarre en mode normal

5/ fais un scan complet de ta machine avec ton antivirus et dis moi ce que ca donne.

6/Poste le rapport d'AVG Anti spyware 7.5

Bon courage, et si tu as la moindre question n'hésite surtout pas

@+

gilbert montagné · le 25 février 2007

salut bruce!

j'ai mis le temps a répondre mais mon pc veut d emoins en moins se connecter, il plante! snif, je vais jamais m'en sortir!!!

bon, voici le rapport avg réalisé en mode sans echec:

---------------------------------------------------------

AVG Anti-Spyware - Rapport d'analyse

---------------------------------------------------------

+ Créé à: 14:26:16 25/02/2007

+ Résultat de l'analyse:

:mozilla.32:C:\Documents and Settings\kroquette1\Application Data\Mozilla\Firefox\Profiles\vicske3b.default\cookies.txt -> TrackingCookie.247realmedia : Nettoyé.

:mozilla.310:C:\Documents and Settings\kroquette1\Application Data\Mozilla\Firefox\Profiles\vicske3b.default\cookies.txt -> TrackingCookie.2o7 : Nettoyé.

:mozilla.61:C:\Documents and Settings\kroquette1\Application Data\Mozilla\Firefox\Profiles\vicske3b.default\cookies.txt -> TrackingCookie.Atdmt : Nettoyé.

:mozilla.144:C:\Documents and Settings\kroquette1\Application Data\Mozilla\Firefox\Profiles\vicske3b.default\cookies.txt -> TrackingCookie.Hitbox : Nettoyé.

:mozilla.145:C:\Documents and Settings\kroquette1\Application Data\Mozilla\Firefox\Profiles\vicske3b.default\cookies.txt -> TrackingCookie.Hitbox : Nettoyé.

:mozilla.146:C:\Documents and Settings\kroquette1\Application Data\Mozilla\Firefox\Profiles\vicske3b.default\cookies.txt -> TrackingCookie.Hitbox : Nettoyé.

:mozilla.26:C:\Documents and Settings\kroquette1\Application Data\Mozilla\Firefox\Profiles\vicske3b.default\cookies.txt -> TrackingCookie.Mediaplex : Nettoyé.

:mozilla.27:C:\Documents and Settings\kroquette1\Application Data\Mozilla\Firefox\Profiles\vicske3b.default\cookies.txt -> TrackingCookie.Mediaplex : Nettoyé.

:mozilla.40:C:\Documents and Settings\kroquette1\Application Data\Mozilla\Firefox\Profiles\vicske3b.default\cookies.txt -> TrackingCookie.Serving-sys : Nettoyé.

:mozilla.41:C:\Documents and Settings\kroquette1\Application Data\Mozilla\Firefox\Profiles\vicske3b.default\cookies.txt -> TrackingCookie.Serving-sys : Nettoyé.

:mozilla.42:C:\Documents and Settings\kroquette1\Application Data\Mozilla\Firefox\Profiles\vicske3b.default\cookies.txt -> TrackingCookie.Serving-sys : Nettoyé.

:mozilla.43:C:\Documents and Settings\kroquette1\Application Data\Mozilla\Firefox\Profiles\vicske3b.default\cookies.txt -> TrackingCookie.Serving-sys : Nettoyé.

:mozilla.44:C:\Documents and Settings\kroquette1\Application Data\Mozilla\Firefox\Profiles\vicske3b.default\cookies.txt -> TrackingCookie.Serving-sys : Nettoyé.

:mozilla.45:C:\Documents and Settings\kroquette1\Application Data\Mozilla\Firefox\Profiles\vicske3b.default\cookies.txt -> TrackingCookie.Serving-sys : Nettoyé.

:mozilla.28:C:\Documents and Settings\kroquette1\Application Data\Mozilla\Firefox\Profiles\vicske3b.default\cookies.txt -> TrackingCookie.Smartadserver : Nettoyé.

:mozilla.60:C:\Documents and Settings\kroquette1\Application Data\Mozilla\Firefox\Profiles\vicske3b.default\cookies.txt -> TrackingCookie.Tradedoubler : Nettoyé.

:mozilla.58:C:\Documents and Settings\kroquette1\Application Data\Mozilla\Firefox\Profiles\vicske3b.default\cookies.txt -> TrackingCookie.Weborama : Nettoyé.

Fin du rapport

j'ai fait aussi un spybot, qui n'a rien trouvé, ainsi qu'un VundoFix, rien trouvé lui non plus.

seulement, mon pc rame a la connexion depuis que zone alarm m'a demandé si j'autorisais l'executable DLL et LSA au démarrage, je lui dis non, mais d'apres mes recherches, il s'agirait du ver espion W32/Rbot-AAC... j'ai voulu le virer en m'aidant d'un utilitaire de désinfection en ligne, mais comme ma connexion a p^lanté, j'ai rien pu faire...

je t'ajoute un rapport hijack, au cas ou il y aurait des choses interressantes dedans pour toi...

Logfile of HijackThis v1.99.1

Scan saved at 19:42:46, on 25/02/2007

Platform: Windows 2000 SP2 (WinNT 5.00.2195)

MSIE: Internet Explorer v5.00 SP2 (5.00.2920.0000)

Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\ZoneLabs\vsmon.exe

C:\WINNT\system32\spoolsv.exe

C:\WINNT\System32\svchost.exe

C:\WINNT\System32\HPZipm12.exe

C:\WINNT\Explorer.EXE