fenêtre intempestives

[Yannick™]

Bonsoir à tous ,

 

je suis actuellement sur le Pc d'une amie et j'aurais besoin d'un coup de main pour le désinfecté car il y a des fenêtres intempestives qui s'ouvrent pour nous dire que nous somme infectés et que nous devons télécharger ...

 

A savoir que j'ai déjà supprimer en mode SE linkprd.exe ...

 

Je vous envoie un rapport hijackthis.

 

Logfile of HijackThis v1.99.1

Scan saved at 19:40:11, on 17/08/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\Picasa2\PicasaMediaDetector.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\Program Files\Messenger\Msmsgs.exe

C:\Program Files\3M\PSNLite\PsnLite.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\LEXPPS.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\3M\PSNLite\PSNGive.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\system32\wuauclt.exe

C:\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr/ie

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.fr/ie

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.fr/search?q=%s

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [Picasa Media Detector] C:\Program Files\Picasa2\PicasaMediaDetector.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\Msmsgs.exe" /background

O4 - Global Startup: Post-it® Software Notes Lite.lnk = C:\Program Files\3M\PSNLite\PsnLite.exe

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Fichiers communs\Microsoft Shared\Help\hxds.dll

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\PROGRA~1\FICHIE~1\MICROS~1\OFFICE12\MSOXMLMF.DLL

O20 - Winlogon Notify: WgaLogon - WgaLogon.dll (file missing)

O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: WinFast® Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

 

En vous remerciant par avance .

Modifié le 18 août 2007 par Yannick™

[Gof]

Bonsoir Yannick™

 

Peux tu préciser pour quel produit sont les publicités ? Le pare-feu de ce pc est celui de windows par défaut ?

 

Fais un clic droit sur ce lien : Navilog1

• Enregistre la cible (du lien) sous... et enregistre-le sur ton bureau.
  
• Ensuite double clique sur navilog1.exe pour lancer l'installation.
  
• Une fois l'installation terminée, le fix s'exécutera automatiquement.
  (Si ce n'est pas le cas, double-clique sur le raccourci Navilog1 présent sur le bureau).
  
• Laisse-toi guider. Au menu principal, choisis 1 et valide.
  Patiente jusqu'au message : *** Analyse Termine le ..... ***
  
• Appuie sur une touche comme demandé, le bloc-notes va s'ouvrir.
  
• Copie-colle l'intégralité dans ta prochaine réponse. Referme le bloc-notes.
  Le rapport est en outre sauvegardé à la racine du disque (fixnavi.txt)
  

[Yannick™]

Bonsoir Gof

 

il me semble ques les produits ciblés sont pour la désinfection de l'ordinateur , le parfeux de windows est desactivé et mon amie se trouve derrière une LB,avec AVAST en AV,

 

voici le rapport comme demandé, en te remerciant

 

Search Navipromo version 2.0.8 commencé le 18/08/2007 à 0:33:06,14

 

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!

!!! Poster ce rapport sur le forum pour le faire analyser !!!

!!! Ne pas lancer la partie désinfection sans l'avis d'un spécialiste !!!

 

Fix lancé depuis C:\Program Files\navilog1

Mise a jour le 15.08.2007 a 15h00 by IL-MAFIOSO

 

Executé en mode normal

 

*** Recherche Programmes installes ***

 

 

Instant Access

 

 

*** Recherche dossiers dans C:\WINDOWS ***

 

 

 

 

*** Recherche dossiers dans C:\Program Files ***

 

 

C:\Program Files\MessengerSkinner trouvé !

 

 

*** Recherche dossiers dans C:\Documents and Settings\All Users\Application Data ***

 

 

 

 

*** Recherche dossiers dans C:\Documents and Settings\cec\Application Data ***

 

 

...\Application Data\MessengerSkinner trouvé !

 

*** Recherche avec BlackLight Engine/F-secure ***

BlackLight Engine est un produit de F-secure, pour + d'infos :

http://www.f-secure.com/blacklight/blacklight_help.html

 

Fichier(s) caché(s) dans C:\WINDOWS\system32 :

 

c:\WINDOWS\system32\jzmuwkfyn.dat

C:\windows\system32\jzmuwkfyn.exe

c:\WINDOWS\system32\jzmuwkfyn_nav.dat

c:\WINDOWS\system32\jzmuwkfyn_navps.dat

 

Processus caché(s) dans C:\WINDOWS\system32 :

 

C:\windows\system32\jzmuwkfyn.exe

 

 

*** Recherche fichiers ***

 

 

C:\WINDOWS\pack.epk trouvé !

C:\WINDOWS\system32\nvs2.inf trouvé !

 

 

*** Recherche cles registre ***

 

 

Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs]

 

 

 

Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage]

 

 

 

Recherche Clé Magic Control

 

HKEY_CURRENT_USER\Software\Lanconfig trouvé !

HKEY_USERS\S-1-5-21-1343024091-920026266-725345543-1003\Software\Lanconfig trouvé !

HKEY_CURRENT_USER\Software\mc trouvé !

 

 

*** Module de Recherche complémentaire ***

(Recherche fichiers spécifiques)

 

1)Recherche fichiers connus:

 

 

2)Recherche Heuristique :

*

C:\WINDOWS\system32\jzmuwkfyn.dat trouvé !

**

C:\WINDOWS\system32\jzmuwkfyn.dat trouvé !

***

****

C:\WINDOWS\system32\jzmuwkfyn_navps.dat trouvé !

*****

******

*******

********

 

 

3)Recherche Certificats :

 

Certificat Egroup trouvé !

 

 

*** Recherche avec GenericNaviSearch Beta ***

!!! Tous Ces résultats peuvent révéler des fichiers légitimes !!!

!!! A verifier impérativement avant toute suppression manuelle !!!

 

Fichiers trouvés :

 

C:\WINDOWS\system32\jzmuwkfyn.exe trouvé !

 

Fichiers suspects :

 

C:\WINDOWS\system32\qwnixktmoo.exe trouvé !

C:\WINDOWS\system32\xzkzjox.exe trouvé !

 

 

*** Analyse Terminé le 18/08/2007 à 0:35:08,40 ***

[Gof]

Re

 

Double-clique sur le raccourci Navilog1 présent sur le bureau

• Laisse-toi guider. Au menu principal, choisis 2 et valide.
  Patiente jusqu'au message : *** Analyse Termine le ..... ***
  
• Appuie sur une touche comme demandé, le bloc-notes va s'ouvrir.
  
• Copie-colle l'intégralité dans ta prochaine réponse. Referme le bloc-notes.
  Le rapport est en outre sauvegardé à la racine du disque (fixnavi.txt)
  

Ensuite ferme Internet explorer s'il est ouvert. Rends toi dans ton Menu démarrer, Paramètres, Panneau de configuration, Options Internet.

• Clique sur l'onglet Contenu, puis Certificats.
  
• Dans tous les onglets, Personnel, Autres personnes, etc. cherche et supprime si tu les trouves :
  • electronic-group
    
  • egroup
    
  • Montorgueil
    
  • VIP
    
  • "Sunny Day Design Ltd"
    

• Télécharge OTMoveIt (de Old_Timer) sur ton Bureau.
  
• Double-clique sur OTMoveIt.exe pour le lancer.
  
• Assure toi que Unregister Dll's and Ocx's soit coché.
  
• Copie-colle dans le cadre de gauche de OTMoveIt :Paste List of Files/Folders to be moved
  

• C:\WINDOWS\system32\jzmuwkfyn.exe
  C:\WINDOWS\system32\qwnixktmoo.exe
  C:\WINDOWS\system32\xzkzjox.exe
  

• Clique sur MoveIt! pour lancer la suppression.
  
• Le résultat apparaitra dans le cadre Results. Copie le résultat.
  
• Clique sur Exit pour fermer.
  
• Colle le résultat dans ta prochain réponse.
  

Il te sera peut-être demander de redémarrer le pc pour achever la suppression. Si c'est le cas accepte par Yes. Et poste le rapport situé dans C:\_OTMoveIt\MovedFiles sous le nom [nombres_nombres].log

[Yannick™]

Jour Gof,

 

Voici comme demandé le rapport pour fixnavi

 

Clean Navipromo version 2.0.8 commencé le 18/08/2007 à 12:44:03,45

 

Fix lancé depuis C:\Program Files\navilog1

Mise a jour le 15.08.2007 a 15h00 by IL-MAFIOSO

 

Mode suppression automatique avec prise en charge résultats Blacklight

 

 

 

*** fsbl1.txt non trouvé ***

(Assurez-vous que Blacklight n'avait rien trouvé lors de la recherche)

 

 

*** Suppression dossiers dans C:\WINDOWS ***

 

 

*** Suppression dossiers dans C:\Program Files ***

 

 

*** Suppression dossiers dans C:\Documents and Settings\All Users\Application Data ***

 

 

*** Suppression dossiers dans C:\Documents and Settings\cec\Application Data ***

 

 

 

*** Suppression fichiers ***

 

 

*** Suppression fichiers temporaires ***

 

Nettoyage contenu C:\WINDOWS\Temp effectué !

Nettoyage contenu C:\Documents and Settings\cec\Local Settings\Temp effectué !

 

 

*** Sauvegarde du registre vers dossier Backupnavi ***

 

 

sauvegarde du registre réalise avec succes !

 

 

*** Nettoyage registre ***

 

 

Nettoyage registre Ok

 

*** Traitement Recherche complémentaire ***

(Recherche fichiers spécifiques)

 

1)Recherche fichiers connus:

 

 

2)Recherche et Suppression Heuristique :

 

*

**

***

****

*****

******

*******

********

 

3)Contrôle présence clés Rootkit dans le registre :

 

Aucune autre clés présente dans le registre !

 

4)Certificats :

 

 

 

*** Recherche avec GenericNaviSearch Beta ***

!!! Ces résultats peuvent révéler des fichiers légitimes !!!

!!! A verifier impérativement avant toute suppression manuelle !!!

 

Fichiers trouvés supprimés avec backups :

 

Aucun Fichier trouvé !

 

Fichiers suspects non supprimés :

 

Aucun Fichier suspect trouvé !

 

 

 

*** Nettoyage termine le 18/08/2007 à 12:45:35,92 ***

 

 

Et voici le rapport généré par OtMoveIt

 

File/Folder C:\WINDOWS\system32\jzmuwkfyn.exe not found.

C:\WINDOWS\system32\qwnixktmoo.exe moved successfully.

C:\WINDOWS\system32\xzkzjox.exe moved successfully.

 

Created on 08/18/2007 12:42:16

 

 

Alors doc' c'est grave ?

 

En te remerciant ;

[Gof]

Bonjour Yannick™

 

Il y a eu un souci avec le fix. Il s'appuie sur le rapport généré en option 1 pour supprimer les fichiers détectés. Comme il n'a pas trouvé le rapport de l'option 1, il n'a pas supprimé les fichiers en option 2. As tu changé le dossier de l'outil entre-temps ?

 

Peux tu recommencer, et regénérer un rapport, option 1 je te prie ?

[Yannick™]

Bonsoir Gof

 

Oui effectivement tu as raison je me souviens l'avoir renomé afin de m en servir ulterieurement ... je te prie de m'excuser je ne pensais pas que cela generait la seconde étape

.

 

voici le rapport option 1

 

Search Navipromo version 2.0.8 commencé le 18/08/2007 à 22:42:55,21

 

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!

!!! Poster ce rapport sur le forum pour le faire analyser !!!

!!! Ne pas lancer la partie désinfection sans l'avis d'un spécialiste !!!

 

Fix lancé depuis C:\Program Files\navilog1

Mise a jour le 15.08.2007 a 15h00 by IL-MAFIOSO

 

Executé en mode normal

 

*** Recherche Programmes installes ***

 

 

 

 

*** Recherche dossiers dans C:\WINDOWS ***

 

 

 

 

*** Recherche dossiers dans C:\Program Files ***

 

 

 

 

*** Recherche dossiers dans C:\Documents and Settings\All Users\Application Data ***

 

 

 

 

*** Recherche dossiers dans C:\Documents and Settings\cec\Application Data ***

 

 

 

*** Recherche avec BlackLight Engine/F-secure ***

BlackLight Engine est un produit de F-secure, pour + d'infos :

http://www.f-secure.com/blacklight/blacklight_help.html

 

 

F-SECURE BLACKLIGHT ROOTKIT ELIMINATOR

======================================

 

Copyright 2005-2006 F-Secure Corporation. All rights reserved.

This is a beta version. It will expire on 1st of October, 2007.

Version information: 2.2.1064.

 

[+] Started on 08/18/07 at 22:42:56.

[+] Initializing ...

[+] Starting scan, press Ctrl-C to abort.

[+] Scanning for hidden items ................................

[+] Scan complete.

[+] Summary: 0 hidden item(s) found, 0 scheduled for renaming.

[+] Exited on 08/18/07 at 22:44:17 (return code = 0).

 

 

*** Recherche fichiers ***

 

 

 

 

*** Recherche cles registre ***

 

 

Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs]

 

 

 

Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage]

 

 

 

Recherche Clé Magic Control

 

 

 

*** Module de Recherche complémentaire ***

(Recherche fichiers spécifiques)

 

1)Recherche fichiers connus:

 

 

2)Recherche Heuristique :

*

**

***

****

*****

******

*******

********

 

 

3)Recherche Certificats :

 

 

*** Recherche avec GenericNaviSearch Beta ***

!!! Tous Ces résultats peuvent révéler des fichiers légitimes !!!

!!! A verifier impérativement avant toute suppression manuelle !!!

 

Fichiers trouvés :

 

Aucun Fichier trouvé !

 

Fichiers suspects :

 

Aucun Fichier suspect trouvé !

 

 

*** Analyse Terminé le 18/08/2007 à 22:44:36,54 ***

 

 

 

Merci

[Gof]

Bonsoir Yannick™

 

Oui effectivement tu as raison je me souviens l'avoir renomé afin de m en servir ulterieurement ...

 

Ok, je comprends mieux. Bon.

• Double-clique sur OTMoveIt.exe pour le lancer.
  
• Assure toi que Unregister Dll's and Ocx's soit coché.
  
• Copie-colle dans le cadre de gauche de OTMoveIt :Paste List of Files/Folders to be moved
  

• C:\Program Files\MessengerSkinner
  C:\Documents and Settings\cec\Application Data\MessengerSkinner
  c:\WINDOWS\system32\jzmuwkfyn.dat
  C:\windows\system32\jzmuwkfyn.exe
  c:\WINDOWS\system32\jzmuwkfyn_nav.dat
  c:\WINDOWS\system32\jzmuwkfyn_navps.dat
  C:\windows\system32\jzmuwkfyn.exe
  C:\WINDOWS\pack.epk
  C:\WINDOWS\system32\nvs2.inf
  

• Clique sur MoveIt! pour lancer la suppression.
  
• Le résultat apparaitra dans le cadre Results. Copie le résultat.
  
• Clique sur Exit pour fermer.
  
• Colle le résultat dans ta prochain réponse.
  

Il te sera peut-être demander de redémarrer le pc pour achever la suppression. Si c'est le cas accepte par Yes. Et poste le rapport situé dans C:\_OTMoveIt\MovedFiles sous le nom [nombres_nombres].log

 

Avec le rapport généré, reposte un log hijackthis.

[Yannick™]

BOnjour Gof

 

Comme demandé voici le rapport de OtMoveIt,

 

File/Folder C:\Program Files\MessengerSkinner not found.

File/Folder C:\Documents and Settings\cec\Application Data\MessengerSkinner not found.

File/Folder c:\WINDOWS\system32\jzmuwkfyn.dat not found.

File/Folder C:\windows\system32\jzmuwkfyn.exe not found.

File/Folder c:\WINDOWS\system32\jzmuwkfyn_nav.dat not found.

File/Folder c:\WINDOWS\system32\jzmuwkfyn_navps.dat not found.

File/Folder C:\windows\system32\jzmuwkfyn.exe not found.

File/Folder C:\WINDOWS\pack.epk not found.

File/Folder C:\WINDOWS\system32\nvs2.inf not found.

 

Created on 08/19/2007 16:52:42

 

En te remerciant

[Gof]

Bonjour Yannick™

 

Mhm. Ton navirpomo joue à cache cache j'ai l'impression C'est curieux qu'il ait été détecté une première fois et qu'ensuite il ne soit plus la. As tu lancé l'outil tout seul à un moment ou un autre ? Utilisé peut-être un autre outil ?

 

Désinstalle Navilog1, et retélécharge le ici. Peux tu renouveler encore une fois un Navilog1 en option 1 je te prie. As tu des popups ?