virus recu par courriel et bloquait accès au web

renoracing · le 31 août 2007

Bonjour

LE Pc de ma mère sur Windows Xp c'est mis à ralentir et a refuser l'accès au web. J'ai suivi votre démarche de pré-nettoyage mais la je me suis perdu un peu avec l'application autoruns et je crois que j'ai fais une gaffe. Le Pc boot et ouvre une fentre de session windows(ce que je n'avais pas avant) et tombe dans un cycle de redémarrage du PC. J'ai vraiment tout foutu l'affaire.

Aidez-moi quelqu'un

MERCI

RENORACING

Gof · le 31 août 2007

Bonjour renoracing

Tu as suivi j'imagine le tuto de désinfection en solo avec Autoruns. Il est pour utilisateur averti celui la. La pré-procédure de nettoyage est ce tuto là.

Que se passe-t-il exactement alors ? Tu n'as pas été très clair ? As tu accès à une session ? En mode normal ? En mode sans échec ?

renoracing · le 31 août 2007

Bonjour,

Non en faite je n'ai pas de session qui s'ouvre ni en mode sans echec ni en mode normale. Il y a une fenêtre avec le nom de l'utilisateur, je clique sur Ok sans mettre de mot de passe, puis windows se charge et tout a coup ecrit fermeture de wnidows et e cycle recommence le PC redemarre....

MERCI

RENORACING

Bonjour renoracing

Tu as suivi j'imagine le tuto de désinfection en solo avec Autoruns. Il est pour utilisateur averti celui la. La pré-procédure de nettoyage est ce tuto là.

Que se passe-t-il exactement alors ? Tu n'as pas été très clair ? As tu accès à une session ? En mode normal ? En mode sans échec ?

Gof · le 31 août 2007

Houla.

En mode sans échec, en plus de ta session habituelle, tu as une session Administrateur de disponible. Est ce que celle-ci ne fonctionne pas non plus ?

As tu un cd de windows ?

renoracing · le 31 août 2007

Je n'ai pas le choix entre la session administrateur ou celle de l'utilisateur. Tous ce que je vois c'est une fenetre avec le nom de l'utilisateur et un champ pour inscrire le mot de passe. C'est identique en mode normal. Oui j'ai le CD genuine de Windows.

MERCI

RENORACING

renoracing · le 1 septembre 2007

Ok j'ai fait une réparation avec l'aide du CD de windows. Je suis dans une session Windows, mais pas de connection internet disponible. Il semble que le virus fait encore des siennes.

MERCI

Gof · le 1 septembre 2007

Bonjour renoracing

Je suis heureux que tu ais pu résoudre ton souci avec une réparation, bien que je ne comprenne pas ce qui s'est passé. Je ne trouve pas cohérent les symtpômes annoncés.

Si cela avait été une altération du boot, tu n'aurais pas pu je pense accéder au panneau du choix de session et de l'invite à saisir le mot de passe. Si le mot de passe n'était pas le bon saisi, il n'y a pas de raisons que le pc redémarre du premier coup, il doit normalement rester sur l'invite de saisie du mot de passe et de session.

Je pensais t'indiquer un tuto de restauration à une date antérieure à ton souci, et ensuite envisager la réparation. Mais tu as eu une bonne initiative si cela a fonctionné. Il faudra certainement par la suite refaire une mise à jour importante de ton système. Pour l'instant c'est à éviter, comme nous ne savons pas si ton pc est encore infecté ou pas.

Puisque ton pc n'a pas d'accès internet, je vais te demander par copier-coller des outils sur un support amovible de me communiquer divers rapports sur ce pc. Pour commencer, génère un rapport HijackThis.

Télécharge HijackThisV2 sur ton bureau.

Double-clique sur HJTInstall.exe et suis les instructions d'installation.
Tu trouveras un tutoriel pour l'installation et la génération d'un rapport ici
Poste le rapport généré sur le forum.

renoracing · le 1 septembre 2007

Voici le rapport hijackthis:

Logfile of HijackThis v1.99.1

Scan saved at 01:10:32, on 2007-09-01

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

D:\WINDOWS\System32\smss.exe

D:\WINDOWS\system32\winlogon.exe

D:\WINDOWS\system32\services.exe

D:\WINDOWS\system32\lsass.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\System32\svchost.exe

D:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

D:\Program Files\Alwil Software\Avast4\ashServ.exe

D:\WINDOWS\system32\spoolsv.exe

D:\WINDOWS\Explorer.EXE

D:\WINDOWS\system32\svchost.exe

D:\Program Files\RealVNC\VNC4\WinVNC4.exe

D:\WINDOWS\SOUNDMAN.EXE

D:\Program Files\Alwil Software\Avast4\ashWebSv.exe

D:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

D:\WINDOWS\system32\rundll32.exe

D:\Program Files\HIJACKTHIS\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.ca/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - Default URLSearchHook is missing

O2 - BHO: (no name) - AutorunsDisabled - (no file)

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O9 - Extra button: (no name) - AutorunsDisabled - (no file)

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.zebulon.fr/scan8/oscan8.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1173396236421

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - D:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - D:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: AutorunsDisabled - D:\WINDOWS\

O20 - Winlogon Notify: WgaLogon - D:\WINDOWS\

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - D:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - D:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - D:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - D:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - D:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: Pml Driver HPZ12 - Unknown owner - D:\WINDOWS\system32\HPZipm12.exe (file missing)

O23 - Service: VNC Server Version 4 (WinVNC4) - Unknown owner - D:\Program Files\RealVNC\VNC4\WinVNC4.exe" -service (file missing)

Gof · le 1 septembre 2007

Re

Génère un rapport avec la version du HijackThis que je t'ai donné.

A cela, rajoute ceci :

Télécharge MsLook.exe, double-clique dessus. Presse une touche à la demande. Cela va travailler très rapidement et le bloc-notes va s'ouvrir, poste le contenu du bloc-notes dans ta prochaine réponse.

Télécharge DiagHelp.zip de Malekal_morte sur ton bureau.

Décompresse le, sur ton bureau par exemple.
Un nouveau dossier chercher va être créé DiagHelp.
Ouvre le et double-clique sur go.cmd (le .cmd peut ne pas apparaître)
Une fenêtre va s'ouvrir, choisis l'option 1
L'analyse va commencer, ceci peut durer quelques minutes, laisse faire et appuie sur une touche quand on te le demande
Copie/colle le contenu du bloc-note qui s'ouvre et joins le à ta prochaine réponse.

renoracing · le 1 septembre 2007

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 01:18:27, on 2007-09-01

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Boot mode: Normal

Running processes:

D:\WINDOWS\System32\smss.exe

D:\WINDOWS\system32\winlogon.exe

D:\WINDOWS\system32\services.exe

D:\WINDOWS\system32\lsass.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\System32\svchost.exe

D:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

D:\Program Files\Alwil Software\Avast4\ashServ.exe

D:\WINDOWS\system32\spoolsv.exe

D:\WINDOWS\Explorer.EXE

D:\WINDOWS\system32\svchost.exe

D:\Program Files\RealVNC\VNC4\WinVNC4.exe

D:\WINDOWS\SOUNDMAN.EXE

D:\Program Files\Alwil Software\Avast4\ashWebSv.exe

D:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

D:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.ca/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - Default URLSearchHook is missing

O2 - BHO: (no name) - AutorunsDisabled - (no file)

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O9 - Extra button: (no name) - AutorunsDisabled - (no file)

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINDOWS\web\related.htm

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.zebulon.fr/scan8/oscan8.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1173396236421

O20 - Winlogon Notify: AutorunsDisabled - D:\WINDOWS\

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - D:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - D:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - D:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - D:\Program Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: Pml Driver HPZ12 - Unknown owner - D:\WINDOWS\system32\HPZipm12.exe (file missing)

O23 - Service: VNC Server Version 4 (WinVNC4) - RealVNC Ltd. - D:\Program Files\RealVNC\VNC4\WinVNC4.exe

--

End of file - 3019 bytes

MsLook.exe execute le : 2007-09-01 1:18:48,00

REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\services]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\D:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^HP Digital Imaging Monitor.lnk]

"path"="D:\\Documents and Settings\\All Users\\Menu Démarrer\\Programmes\\Démarrage\\HP Digital Imaging Monitor.lnk"

"backup"="D:\\WINDOWS\\pss\\HP Digital Imaging Monitor.lnkCommon Startup"

"location"="Common Startup"

"command"="D:\\PROGRA~1\\HP\\DIGITA~1\\bin\\hpqtra08.exe "

"item"="HP Digital Imaging Monitor"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\D:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Microsoft Office.lnk]

"path"="D:\\Documents and Settings\\All Users\\Menu Démarrer\\Programmes\\Démarrage\\Microsoft Office.lnk"

"backup"="D:\\WINDOWS\\pss\\Microsoft Office.lnkCommon Startup"

"location"="Common Startup"

"command"="D:\\PROGRA~1\\MICROS~2\\Office\\OSA9.EXE -b -l"

"item"="Microsoft Office"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Adobe Reader Speed Launcher]