PROBLEME DE RUNDLL AU DEMARRAGE

XJR · le 7 mai 2007

Bonsoir,

J'ai effectué les opérations prescrites - le fichier ua2.dll a été uploadé dans le dossier "malwares", je n'ai pas changé sur le site.

Voilà.

Merci

Gof · le 7 mai 2007

Re,

je n'ai pas changé sur le site.

Je n'ai pas compris ce que tu as voulu dire.

Je me renseigne sur un point précis de ton infection, et je reviens.

XJR · le 7 mai 2007

Désolé, je me suis mal exprimé.

Sur le site Upload, il est mentionné Malwares par défaut, mais comme je suis curieux, j'ai cliqué sur la flèche et j'ai vu également rapport. J'ai donc laissé Malwares.

Ce n'est pas très important et je voulais juste le signaler.

Voilà le fin mot de cette action.

Gof · le 7 mai 2007

Re, XJR

Sur le site Upload, il est mentionné Malwares par défaut, mais comme je suis curieux, j'ai cliqué sur la flèche et j'ai vu également rapport. J'ai donc laissé Malwares.

D'accord. Je n'avais pas compris au départ.

Copie-colle le texte suivant (sans le mot code) dans le bloc-notes:

CHCP 1252
D:
cd \documents and settings
dir|find "REP">D:\a.txt
dir /ah|find "REP">D:\b.txt
cd\
copy a.txt+b.txt vue.txt
notepad vue.txt
del ?.txt

Assure toi que le retour automatique à la ligne n'est pas activé
Sauvegarde comme vue.bat sur le Bureau :
Nom: vue.bat
Type: Tous les fichiers

Localise vue.bat sur le Bureau (il aura cette icône -> ), double-clique dessus et poste le contenu du bloc-notes.

Quand tu auras posté ceci, je souhaiterais que tu repasses le fix PrevX pour vérifier quelque chose je te prie. Pour rappel :

Télécharge Gromozon Rootkit Removal Tool de Prevx.

Ferme toutes les applications en cours.

Exécute le.

Une fois l'analyse finie, rends toi sur ce fichier : D:\gromozon_removal.txt

Ouvre le fichier gromozon_removal.txt et fais un copier-coller de tout son contenu.

A plus tard.

EDIT : tu ne m'as pas dit comment se comportait le pc ?

Modifié le 7 mai 2007 par Gof

XJR · le 8 mai 2007

Bonjour,

Je viens d'effectuer les deux rapports :

1/ VUE BAT

05/05/2007 16:09 <REP> .

05/05/2007 16:09 <REP> ..

10/12/2006 08:03 <REP> Administrateur

05/05/2007 16:09 <REP> Administrateur.TPH-GCV96XLNJ94

18/02/2006 12:20 <REP> All Users

13/12/2006 17:59 <REP> All Users.WINDOWS

13/12/2006 16:04 <REP> thierry

07/05/2007 20:55 <REP> thierry.TPH-GCV96XLNJ94

15/12/2006 12:24 <REP> THIERR~1~TPH

18/02/2006 12:20 <REP> Default User

13/12/2006 18:01 <REP> Default User.WINDOWS

06/08/2006 00:29 <REP> HSHkKgVCKYeAf

04/02/2006 17:12 <REP> LocalService

07/05/2007 14:09 <REP> LocalService.AUTORITE NT

04/02/2006 17:12 <REP> NetworkService

07/05/2007 14:09 <REP> NetworkService.AUTORITE NT

2/ RAPPORT GROMOZON

Removal tool loaded into memory

Gromozon rootkit component not detected - searching for other components

Scanning: D:\WINDOWS

Scanning: D:\Program Files\Fichiers communs

Trojan.Gromozon does not exist - your system is clean.

----------------------------------------

Je constate qu'il met que c'est clean (tant mieux) mais il a emprisonné SWSC.EXE (D:\WINDOWS\SYSTEM32\SWSC.EXE)

D'autre part l'antivirus a détecté :\WINDOWS\SYSTEM32\ACTIVESCAN\PSKAVS.DLL (Win32:CTX)

C'est juste une information - j'ignore si ça peut avoir des conséquences mais je préfère en parler.

--------------------------------------------

Le pc se porte mieux, il n'y a pas photos (d'ailleurs merci) mais maintenant qu'il a effectué des mises à jour (ce qu'il ne pouvait faire depuis quelques temps) - au démarrage j'ai un message qui me dit que ma version de XP est peut être une contrefaçon alors qu'elle était installée lors de l'achat du pc.

--------------------------------------------

Voilà les dernières nouvelles et merci encore.

Gof · le 8 mai 2007

Bonsoir XJR

Il y a un reste, la présence d'un compte utilisateur créé par l'infection :

06/08/2006 00:29 <REP> HSHkKgVCKYeAf

Supprime ce compte. Pour cela, prends connaissance de ce tuto de Tesgaz, Options des comptes ou sessions pour Windows XP, et plus particulièrement ce chapitre : Suppression d'un compte.

Lorsque tu auras supprimé ce compte de la manière indiquée, reposte un rapport généré par Vue.bat.

Je constate qu'il met que c'est clean (tant mieux) mais il a emprisonné SWSC.EXE (D:\WINDOWS\SYSTEM32\SWSC.EXE)

C'est une commande externe utilisée par beaucoup d'outils que je t'ai fait utiliser, normalement pas de soucis. Néanmoins, pour vérification, fais ceci :

Télécharge RechercheAlea de Balltrap34.

Double-clique sur rechercheralea.exe
Appuie à l'invitation sur une touche
Saisis en nom de fichier recherché : SWSC.EXE
Copie-colle le rapport généré.

D'autre part l'antivirus a détecté icon_biggrin.gif:\WINDOWS\SYSTEM32\ACTIVESCAN\PSKAVS.DLL (Win32:CTX)

Pas de soucis, c'est lié à l'antivirus en ligne Panda.

maintenant qu'il a effectué des mises à jour (ce qu'il ne pouvait faire depuis quelques temps)

Cette infection empêche la possibilité de mettre pas mal de softs à jour en effet.

au démarrage j'ai un message qui me dit que ma version de XP est peut être une contrefaçon alors qu'elle était installée lors de l'achat du pc.

N'as tu pas une "aide à la démarche" pour corriger ce souci ? Tu dois normalement en ligne, via windows update installer l'outil de contrôle de la légalité de ta version windows afin de le mettre à jour. Où en es-tu de tes mises à jour ? Il te faut au moins installer le SP1, un pare-feu et un antivirus. Reposte un log hijackthis que je vois où tu en es.

XJR · le 8 mai 2007

Bonsoir,

J'ai recherché le compte en question et je n'ai pas trouvé. Par contre, j'ai trouvé le fichier HSHkKgVCKYeAf et je l'ai supprimé (ensuite, j'ai vidé la corbeille).

Sinon, voici les rapports :

1/ VUE BAT

08/05/2007 21:10 <REP> .

08/05/2007 21:10 <REP> ..

10/12/2006 08:03 <REP> Administrateur

05/05/2007 16:09 <REP> Administrateur.TPH-GCV96XLNJ94

18/02/2006 12:20 <REP> All Users

13/12/2006 17:59 <REP> All Users.WINDOWS

13/12/2006 16:04 <REP> thierry

08/05/2007 08:58 <REP> thierry.TPH-GCV96XLNJ94

15/12/2006 12:24 <REP> THIERR~1~TPH

18/02/2006 12:20 <REP> Default User

13/12/2006 18:01 <REP> Default User.WINDOWS

04/02/2006 17:12 <REP> LocalService

07/05/2007 14:09 <REP> LocalService.AUTORITE NT

04/02/2006 17:12 <REP> NetworkService

07/05/2007 14:09 <REP> NetworkService.AUTORITE NT

2/ RAPPORT RECHERCHEALEA

Rapport fait à 21:18:07,48 le 08/05/2007

Executé à partir de D:\Documents and Settings\thierry.TPH-GCV96XLNJ94\Bureau

» » » » » » » » » » » » »recherche D: » » » » » » » » » » » » » » » » » » » » » » » » »

SWSC.EXE NO PRESENT

» » » » » » » » » » » » »recherche D:\WINDOWS » » » » » » » » » » » » » » » » » » »

SWSC.EXE NO PRESENT

» » » » » » » » » » » » »recherche D:\WINDOWS\System » » » » » » » » » » » » »

SWSC.EXE NO PRESENT

» » » » » » » » » » » » »recherche D:\WINDOWS\System32 » » » » » » » » » » » » »

SWSC.EXE NO PRESENT

3/ RAPPORT HITJACTHIS

Logfile of HijackThis v1.99.1

Scan saved at 21:21:29, on 08/05/2007

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

D:\WINDOWS\System32\smss.exe

D:\WINDOWS\system32\winlogon.exe

D:\WINDOWS\system32\services.exe

D:\WINDOWS\system32\lsass.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\System32\svchost.exe

D:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

D:\Program Files\Alwil Software\Avast4\ashServ.exe

D:\WINDOWS\Explorer.EXE

D:\WINDOWS\system32\spoolsv.exe

D:\WINDOWS\System32\FTRTSVC.exe

D:\WINDOWS\System32\svchost.exe

D:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

D:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

D:\WINDOWS\System32\ctfmon.exe

D:\Program Files\Hewlett-Packard\AiO\hp officejet d series\Bin\hpoojd07.exe

D:\PROGRA~1\Wanadoo\TaskBarIcon.exe

D:\PROGRA~1\HEWLET~1\HPSHAR~1\hpgs2wnf.exe

D:\PROGRA~1\HEWLET~1\AiO\Shared\Bin\hpoevm07.exe

D:\Program Files\Hewlett-Packard\AiO\Shared\bin\hpOSTS07.exe

D:\WINDOWS\System32\wuauclt.exe

D:\WINDOWS\System32\WgaTray.exe

D:\Program Files\Wanadoo\EspaceWanadoo.exe

D:\Program Files\Wanadoo\ComComp.exe

D:\PROGRA~1\Wanadoo\Toaster.exe

D:\PROGRA~1\Wanadoo\Inactivity.exe

D:\PROGRA~1\Wanadoo\PollingModule.exe

D:\WINDOWS\System32\ALERTM~1\ALERTM~1.EXE

D:\Program Files\Wanadoo\Watch.exe

D:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr/

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://g.msn.fr/0SEFRFR/SAOS01?FORM=TOOLBR

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - D:\PROGRA~1\Wanadoo\SEARCH~1.DLL

O2 - BHO: (no name) - {1F698FBB-9CB6-490C-B195-6ABE4886DA2d} - (no file)

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Malicious Scripts Scanner - {55EA1964-F5E4-4D6A-B9B2-125B37655FCB} - D:\Documents and Settings\All Users.WINDOWS\Application Data\Prevx\pxbho.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - D:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - D:\Program Files\Windows Live Toolbar\msntb.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - D:\Program Files\Windows Live Toolbar\msntb.dll

O4 - HKLM\..\Run: [WOOWATCH] D:\PROGRA~1\Wanadoo\Watch.exe

O4 - HKLM\..\Run: [WOOTASKBARICON] D:\PROGRA~1\Wanadoo\GestMaj.exe TaskBarIcon.exe

O4 - HKLM\..\Run: [avast!] D:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [share-to-Web Namespace Daemon] D:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

O4 - HKLM\..\Run: [ZoneAlarm Client] "D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [PrevxOne] "D:\Program Files\Prevx1\PXConsole.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [WOOKIT] D:\PROGRA~1\Wanadoo\GestMaj.exe EspaceWanadoo.exe

O4 - Global Startup: HPAiODevice(hp officejet d series) - 1.lnk = D:\Program Files\Hewlett-Packard\AiO\hp officejet d series\Bin\hpoojd07.exe

O8 - Extra context menu item: &Windows Live Search - res://D:\Program Files\Windows Live Toolbar\msntb.dll/search.htm

O8 - Extra context menu item: Ouvrir dans un nouvel onglet d'arrière-plan - res://D:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/229?66ef3042f3104c17ad459711300699ae

O8 - Extra context menu item: Ouvrir dans un nouvel onglet de premier plan - res://D:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/230?66ef3042f3104c17ad459711300699ae

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{640E86AD-535A-4976-AE0B-9411090B2567}: NameServer = 80.10.246.130 80.10.246.3

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - D:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - D:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: ddaby - D:\WINDOWS\

O20 - Winlogon Notify: WgaLogon - D:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - D:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - D:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - D:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - D:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - D:\WINDOWS\System32\FTRTSVC.exe

O23 - Service: Prevx Agent (PREVXAgent) - Unknown owner - D:\Program Files\Prevx1\PXAgent.exe" -f (file missing)

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - D:\WINDOWS\system32\ZoneLabs\vsmon.exe

----- Pour le message relatif à la contrefacon, je vais voir après la désinfection et je pense aller au magasin où j'ai acheté l'appareil si je ne peux pas le faire seul en suivant les consignes qui vont s'afficher.

Merci

Gof · le 8 mai 2007

Re XJR

tu peux supprimer vue.bat et le rapport en d:\vue.txt, ainsi que recherchealea.exe. Je souhaiterais que tu renommes le fichier de hijackthis (hijackthis.exe) en xjr.exe et que tu le double-cliques à nouveau.

Clique sur Do a system scan only et coche les lignes ci-dessous :

O2 - BHO: (no name) - {1F698FBB-9CB6-490C-B195-6ABE4886DA2d} - (no file)
O20 - Winlogon Notify: ddaby - D:\WINDOWS\

Ferme toutes les fenêtres sauf HijackThis et Fix Checked.

Puis génère à nouveau un rapport, toujours sous le nom modifié (xjr.exe) et poste le nouveau rapport.

XJR · le 8 mai 2007

J'ignore si c'est exactement ce qu'il fallait faire :

Rapport XJR :

Logfile of HijackThis v1.99.1

Scan saved at 22:01:23, on 08/05/2007

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

D:\WINDOWS\System32\smss.exe

D:\WINDOWS\system32\winlogon.exe

D:\WINDOWS\system32\services.exe

D:\WINDOWS\system32\lsass.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\System32\svchost.exe

D:\WINDOWS\system32\ZoneLabs\vsmon.exe

D:\WINDOWS\Explorer.EXE

D:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

D:\Program Files\Alwil Software\Avast4\ashServ.exe

D:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

D:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

D:\WINDOWS\System32\ctfmon.exe

D:\Program Files\Hewlett-Packard\AiO\hp officejet d series\Bin\hpoojd07.exe

D:\PROGRA~1\Wanadoo\TaskBarIcon.exe

D:\PROGRA~1\Wanadoo\EspaceWanadoo.exe

D:\WINDOWS\system32\spoolsv.exe

D:\PROGRA~1\HEWLET~1\HPSHAR~1\hpgs2wnf.exe

D:\PROGRA~1\Wanadoo\ComComp.exe

D:\PROGRA~1\Wanadoo\Toaster.exe

D:\PROGRA~1\Wanadoo\Inactivity.exe

D:\PROGRA~1\Wanadoo\PollingModule.exe

D:\WINDOWS\System32\FTRTSVC.exe

D:\WINDOWS\System32\ALERTM~1\ALERTM~1.EXE

D:\WINDOWS\System32\svchost.exe

D:\PROGRA~1\HEWLET~1\AiO\Shared\Bin\hpoevm07.exe

D:\Program Files\Hewlett-Packard\AiO\Shared\bin\hpOSTS07.exe

D:\WINDOWS\System32\wuauclt.exe

D:\Program Files\Alwil Software\Avast4\ashWebSv.exe

D:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

D:\PROGRA~1\Wanadoo\Watch.exe

D:\PROGRA~1\Wanadoo\WOOBrowser\WOOBrowser.exe