Aller au contenu

  • Pas encore inscrit ?

    Pourquoi ne pas vous inscrire ? C'est simple, rapide et gratuit.
    Pour en savoir plus, lisez Les avantages de l'inscription... et la Charte de Zébulon.
    De plus, les messages que vous postez en tant qu'invité restent invisibles tant qu'un modérateur ne les a pas validés. Inscrivez-vous, ce sera un gain de temps pour tout le monde, vous, les helpeurs et les modérateurs ! :wink:

[résolu] désinfecté!

tari

Par tari
dans Analyses et éradication malwares

 Partager

Messages recommandés

tari Power Member

tari

Posté(e)
  • Auteur
Posté(e) (modifié)

Oui, j'ai eu le message de confirmation ainsi que la possibilité d'upload un nouveau fichier

Modifié par tari

angelique Devil Member !

angelique

Posté(e)
Posté(e)

ok!

 

-Télécharge OTMoveIt (par OldTimer). Sauvegarde-le sur ton Bureau.

 

http://download.bleepingcomputer.com/oldtimer/OTMoveIt.exe

 

* Copie le texte ci-bas (sélectionne-le en entier avec ta souris, puis fais un clic-droit dessus et choisis "Copier") :

 

C:\WINDOWS\system32\nuqjici.dll

 

* Double-clique sur OTMoveIt.exe afin de lancer le programme.

* Assure toi que la case "Unregister Dll's and Ocx's" soit bien cochée

* Fais un Clique-droit sur le cadre de gauche puis choisis Coller.

* Clique à présent sur le bouton "MoveIt!".

 

Un rapport va être créé, il se trouve dans C:\_OTMoveIt\MovedFiles\

Le nom du rapport est la date de sa création.

 

**as tu ds %programfiles%\ un dossier de nom VirusProtectPro , SpyLocked , si oui supprime le

tari Power Member

tari

Posté(e)
  • Auteur
Posté(e)

Rapport :

 

DllUnregisterServer procedure not found in C:\WINDOWS\system32\nuqjici.dll

C:\WINDOWS\system32\nuqjici.dll NOT unregistered.

C:\WINDOWS\system32\nuqjici.dll moved successfully.

 

Created on 07/01/2007 18:19:33

 

Non, ces dossiers sont inexistants

angelique Devil Member !

angelique

Posté(e)
Posté(e)

et par rapport à ton probleme d'origine??toujours là?

 

Voici, le problème rencontré, le processus n'est pas visible et toutes les actions sur cette icones renvoient vers le site "www.virusprotectpro.com".

 

ton rapport HJT tout leger ne montre pas de traces d'infection.

tari Power Member

tari

Posté(e)
  • Auteur
Posté(e) (modifié)

Toujours effectif ^^ l'icone a meme changé de forme XD.

 

Un dossier Bonjour inconnu a mes sources

contient mdnsNSP.dll

Modifié par tari
angelique Devil Member !

angelique

Posté(e)
Posté(e)

un ancien programme desinstallé!(Part of Apple's Bonjour and/or Rendezvous zero configuration networking, most often added by Itunes version 5.0 and later)

 

sinon il apparaitrait en 010:

O10 - Unknown file in Winsock LSP: c:\program files\bonjour\mdnsnsp.dll

 

**peux tu refaire un nouveau rapport smitfraudFix et un nouveau rapport HJT

tari Power Member

tari

Posté(e)
  • Auteur
Posté(e)

Bien sur, voici le tout.

 

Rapport smitfraudfix :

 

SmitFraudFix v2.197

 

Rapport fait à 19:18:09,01, 01/07/2007

Executé à partir de C:\Documents and Settings\sundering-pc\Bureau\Fix\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Le type du système de fichiers est NTFS

Fix executé en mode normal

 

»»»»»»»»»»»»»»»»»»»»»»»» Process

 

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\Explorer.EXE

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\SuperCopier2\SuperCopier2.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\System32\alg.exe

D:\Program Files\Teamspeak2_RC2\TeamSpeak.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\WINDOWS\System32\svchost.exe

D:\Program Files\Warcraft III\war3.exe

C:\WINDOWS\system32\cmd.exe

C:\WINDOWS\System32\wbem\wmiprvse.exe

 

»»»»»»»»»»»»»»»»»»»»»»»» hosts

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\sundering-pc

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\sundering-pc\Application Data

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\SUNDER~1\Favoris

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Bureau

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

 

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components]

"Source"="About:Home"

"SubscribedURL"="About:Home"

"FriendlyName"="Ma page d'accueil"

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

 

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]

"{94524218-9af3-4643-9687-cbc2880e54da}"="fagging"

 

[HKEY_CLASSES_ROOT\CLSID\{94524218-9af3-4643-9687-cbc2880e54da}\InProcServer32]

@="C:\WINDOWS\system32\nuqjici.dll"

 

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{94524218-9af3-4643-9687-cbc2880e54da}\InProcServer32]

@="C:\WINDOWS\system32\nuqjici.dll"

 

 

 

»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]

"AppInit_DLLs"=""

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"System"=""

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Rustock

 

 

 

»»»»»»»»»»»»»»»»»»»»»»»» DNS

 

Description: Realtek RTL8168/8111 PCI-E Gigabit Ethernet NIC - Miniport d'ordonnancement de paquets

DNS Server Search Order: 80.10.246.130

DNS Server Search Order: 80.10.246.3

DNS Server Search Order: 192.168.1.1

 

HKLM\SYSTEM\CCS\Services\Tcpip\..\{B3BE324A-D2D6-474E-90F8-D0E811F343A4}: DhcpNameServer=80.10.246.130 80.10.246.3 192.168.1.1

HKLM\SYSTEM\CS1\Services\Tcpip\..\{B3BE324A-D2D6-474E-90F8-D0E811F343A4}: DhcpNameServer=80.10.246.130 80.10.246.3 192.168.1.1

HKLM\SYSTEM\CS3\Services\Tcpip\..\{B3BE324A-D2D6-474E-90F8-D0E811F343A4}: DhcpNameServer=80.10.246.130 80.10.246.3 192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=80.10.246.130 80.10.246.3 192.168.1.1

HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=80.10.246.130 80.10.246.3 192.168.1.1

HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=80.10.246.130 80.10.246.3 192.168.1.1

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Fin

 

Log Hijackthis :

 

Logfile of HijackThis v1.99.1

Scan saved at 19:19:34, on 01/07/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\Explorer.EXE

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\SuperCopier2\SuperCopier2.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\System32\alg.exe

D:\Program Files\Teamspeak2_RC2\TeamSpeak.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\WINDOWS\System32\svchost.exe

D:\Program Files\Warcraft III\war3.exe

C:\WINDOWS\system32\cmd.exe

C:\WINDOWS\System32\wbem\wmiprvse.exe

C:\WINDOWS\System32\wbem\wmiprvse.exe

C:\WINDOWS\notepad.exe

C:\hijackthis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKCU\..\Run: [superCopier2.exe] C:\Program Files\SuperCopier2\SuperCopier2.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://D:\PROGRA~1\OFFICE~1\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\OFFICE~1\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} - http://www.touslesdrivers.com/fichiers/har...on.cab?version=

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

angelique Devil Member !

angelique

Posté(e)
Posté(e)

j'ose pas trop :P (c'est pas mon pc !), faudrait attendre que Siri maj smitfraudFix ^^

 

en osant , je t'aurais dis de faire ce .reg

REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{94524218-9af3-4643-9687-cbc2880e54da}"=-

[-HKEY_CLASSES_ROOT\CLSID\{94524218-9af3-4643-9687-cbc2880e54da}]

[-HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{94524218-9af3-4643-9687-cbc2880e54da}]

et de refaire OTmoveIt idem qu'avant, mais j'ose pas !!!!!!!!!!!!!! :P

 

**en attendant :

 

Télécharge F-Secure Blacklight fsbl.exe

https://europe.f-secure.com/exclude/blacklight/fsbl.exe

 

*Lance-le en double-cliquant sur le fichier blbeta.exe

Accepte la licence, et clique enfin sur "Scan"

- Poste le rapport qui a été créé dans le fichier fsbl-bxxxx.log en l'ouvrant avec le bloc-note.

-n'utilises pas la fonction rename car certains fichiers sont legitimes

tari Power Member

tari

Posté(e)
  • Auteur
Posté(e)

Et voici,

 

07/01/07 19:57:01 [info]: BlackLight Engine 1.0.64 initialized

07/01/07 19:57:01 [info]: OS: 5.1 build 2600 (Service Pack 2)

07/01/07 19:57:01 [Note]: 7019 4

07/01/07 19:57:01 [Note]: 7005 0

07/01/07 19:57:03 [Error]: 6024 1

07/01/07 19:57:03 [Error]: 6024 1

07/01/07 19:57:03 [Note]: 7006 0

07/01/07 19:57:03 [Note]: 7011 1660

07/01/07 19:57:03 [Note]: 7026 0

07/01/07 19:57:03 [Note]: 7026 0

07/01/07 19:57:03 [Note]: 7015 2264

07/01/07 19:57:03 [Note]: 7015 87

07/01/07 19:57:05 [Note]: FSRAW library version 1.7.1022

07/01/07 19:58:20 [Note]: 7007 0

Rejoindre la conversation

Vous pouvez publier maintenant et vous inscrire plus tard. Si vous avez un compte, connectez-vous maintenant pour publier avec votre compte.
Remarque : votre message nécessitera l’approbation d’un modérateur avant de pouvoir être visible.

Invité
Répondre à ce sujet…

×   Collé en tant que texte enrichi.   Coller en tant que texte brut à la place

  Seulement 75 émoticônes maximum sont autorisées.

×   Votre lien a été automatiquement intégré.   Afficher plutôt comme un lien

×   Votre contenu précédent a été rétabli.   Vider l’éditeur

×   Vous ne pouvez pas directement coller des images. Envoyez-les depuis votre ordinateur ou insérez-les depuis une URL.

×
 Partager
Aller sur la liste des sujets

  • En ligne récemment   0 membre est en ligne

    • Aucun utilisateur enregistré regarde cette page.
×
×
  • Créer...