A la recherche du malware qui redirige mes pages IE

[Celioken]

apres recherche dans le dossier secure j ai pas trouver de FireDaemon.exe mais un FireDaemon.dtd

que j ai scanné mais il est clean

[bibi26]

Il te faudra copier ces informations dans un fichier car tu n'auras pas accès à Internet pour une grande partie des instructions !

 

Pour copier les informations tout en gardant la mise en forme, crée un dossier sur ton bureau du nom de Instructions, clique sur Fichier, Enregistrer sous..., ouvre le dossier Instructions que tu as fait et clique sur Enregistrer.

 

1)Le mode sans échec

Redémarre ton ordinateur.

Dès que ton ordinateur redémarre, appuie plusieurs fois sur le bouton F8 jusqu'à ce qu'un menu à choix multiples apparaisse.

Choisis Mode sans échec.

Voir ce lien pour plus d'informations.

 

Clique sur le bouton Démarrer et clique sur Poste de travail.

Clique sur le menu Outils, sur Options des dossiers et sur l'onglet Affichage :

Sélectionne : Afficher les fichiers et dossiers cachés

Décoche : Masquer les extensions des fichiers dont le type est connu

Décoche : Masquer les fichiers protégés du système d'exploitation

Puis clique sur Ok.

 

 

2)Suppression des services

Ferme toutes les fenêtres de tes programmes.

Démarre HijackThis.

Clique sur Do a system scan only.

Coche les lignes suivantes (Il se peut que certaines lignes aient disparu ou qu'un (file missing) ait été rajouté) :

 

O23 - Service: Windows Management Service - Unknown owner - C:\WINDOWS\System32\dmayk.exe

O23 - Service: FireDaemon Service: winsecure (winsecure) - Unknown owner - C:\WINDOWS\security\FireDaemon.exe (file missing)

 

Clique sur Fix Checked.

Ferme HijackThis.

 

Clique sur Démarrer et clique sur Exécuter.

Tape services.msc et clique sur OK.

Dans la liste, cherche un service qui se nomme Windows Management Service.

Double clique dessus.

Clique sur la liste déroulante et sélectionne Désactivé, clique sur le bouton Arrêter et sur OK.

Fait de même avec FireDaemon Service: winsecure.

Ouvre HijackThis.

Clique sur Open the Misc Tools section et sur Delete an NT service....

Copie-colle (pour éviter les fautes de frappes) : Windows Management Service

Clique sur OK.

Une confirmation te sera demandée, clique sur Oui.

Un autre message va apparaître et te demander si tu veux redémarrer ton ordinateur, réponds Non.

Fait de même avec winsecure.

 

Supprime les fichiers suivants (si tu les trouves) :

-C:\WINDOWS\System32\dmayk.exe

-C:\WINDOWS\security\FireDaemon.exe

 

 

3)Retour en mode normal

Redémarre ton ordinateur normalement (pas en mode sans échec). Refait l'opération avec FixWareOut et poste les rapports suivants :

-Le nouveau rapport de FixWareOut

-Un nouveau rapport HijackThis

[Celioken]

voila qui est fait, je n ai pas oser ouvrir une fenetre IE doncje poste via firefox

 

rapport fix

 

 

Fixwareout

Last edited 1/30/2007

Post this report in the forums please

...

Prerun check

»»»»» HKLM run and Winlogon System values

 

»»»»» System restarted

Reg Entries that were deleted

...

Random Runs removed from HKLM

...

 

»»»»» Misc files.

 

»»»»» Checking for older varients.

 

»»»»» Postrun check

»»»»» HKLM run

»»»»» Winlogon System value

"system"=""

»»»»»

 

PLEASE NOTE, There CAN be LEGITIMATE FILES LISTED IN THIS SECTION.

 

This WILL/CAN also list Legit Files, Submit them at Virustotal

Search five digit cs, dm kd and jb files.

»»»»»

»»»»» Current runs

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"SmcService"="C:\\PROGRA~1\\Sygate\\SPF\\smc.exe -startgui"

"diagnostics"="\"C:\\Program Files/Thomson SpeedTouch/ST330/diagnostics/diagnostics.exe\" /icon -l:fr"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\IMAIL]

"Installed"="1"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MAPI]

"Installed"="1"

"NoChange"="1"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MSFS]

"Installed"="1"

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"PopUpStopperFreeEdition"="\"C:\\PROGRA~1\\POP-UP~1\\PSFree.exe\""

 

Hosts file was reset, If you use a custom hosts file please replace it

 

 

_______________________________________________________________________________________

 

 

rapport hijack

 

 

Logfile of HijackThis v1.99.1

Scan saved at 20:38:01, on 11/02/2007

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Thomson SpeedTouch\ST330\service\st330service.exe

C:\Program Files\Sygate\SPF\smc.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\notepad.exe

C:\Program Files\Thomson SpeedTouch\ST330\diagnostics\diagnostics.exe

C:\PROGRA~1\POP-UP~1\PSFree.exe

C:\Documents and Settings\Quequete tueuse\Bureau\au secour !\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx

O4 - HKLM\..\Run: [smcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui

O4 - HKLM\..\Run: [diagnostics] "C:\Program Files/Thomson SpeedTouch/ST330/diagnostics/diagnostics.exe" /icon -l:fr

O4 - HKCU\..\Run: [PopUpStopperFreeEdition] "C:\PROGRA~1\POP-UP~1\PSFree.exe"

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Program Files\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Program Files\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Program Files\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Program Files\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Program Files\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Program Files\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Program Files\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convert to existing PDF - res://C:\Program Files\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_05\bin\npjpi150_05.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_05\bin\npjpi150_05.dll

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O16 - DPF: {0D41B8C5-2599-4893-8183-00195EC8D5F9} (asusTek_sysctrl Class) - http://support.asus.com/common/asusTek_sys_ctrl.cab

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111...all/xscan53.cab

O16 - DPF: {8731163E-77B9-4F91-9122-F112521C28AF} (MMSPlayerX Class) - http://mmt.bouyguestelecom.fr/mmawap/jsp/c...r/mmsPlayer.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe

O23 - Service: SpeedTouch 330 Manager (st330service) - THOMSON Telecom Belgium - C:\Program Files/Thomson SpeedTouch/ST330/service/st330service.exe

 

 

 

 

et voilou

[bibi26]

Essaie d'ouvrir une fenêtre IE pour tester

[Celioken]

j ai peur !!!!

[Celioken]

ça marche !!!!

 

trop bien

 

 

merci beaucoup

[bibi26]

Le rapport HijackThis est propre, cependant, il reste quelques trucs à finir. Pour commencer, as-tu d'autres problèmes avec ton ordinateur ?

[Celioken]

ça marche !!!!!

 

 

grand merci

[Celioken]

vi comment tu sais ?

 

mon ecran affiche des rayure verticale et defoit ça devient limite illisible

 

mais en mode sans echec c'est nickel

[bibi26]

Je doute que ce problème soit d'origine virale, l'avais-tu avant l'arrivé du malware ?

Modifié le 11 février 2007 par bibi26