Infection par w32.Ecup

cestminou · le 6 octobre 2007

pour répondre à tes questions :

oui j'ai très très souvent des message comme" l'application a rencontré un problème et doit fermer...."

je ne sais pas ce que tu veux dire par écran bleu , si c'est ce que je pense : oui il m'arrive aussi très très souvent de voir des écrans vierges qui apparaissent quand je veux ouvrir un fichier et après plusieurs secondes, le contenu s'affiche"

des fois, lorsque je déplace une fenêtre ouverte dans un coin de mon bureau je vois sur mon écran de pc, le chemin de la fenetre comme un fondu de fenetres et cela peut des fois rester figer comme ceci pendant qq minutes : a tel point que je ne peux voir ma barre de taches ou entreprendre autre chose, si je tente d'ouvrir une autre application , les fenetres se supperposent sur mon écran et je ne peux pas y faire gd chose , juste attendre que mes applications se réduisent et pouvoir entreprendre une action.

quel micmac !!!!

j'espère que tu as tout saisi ce que je voulais expliquer..je suis sans doute un peu confuse ds mes explications

bon je vais entreprendre ce que tu me demandes de faire et je te colle le rapport voulu dans qq heures.

merci de ta disponibilité

wong · le 6 octobre 2007

RE cestminou,

J'ai bien peur que tes problèmes ne soient pas la cause d'une infection, mais plutôt d'un problème XP avec un logiciel ( ou d'un problème matériel ).

Depuis quand ces symptomes sont-ils apparus ?

Est-ce que c'est suite à l'installation d'un logiciel ?

Indique moi la capacité de ton Disque Dur et l'Espace Libre :

Poste de Travail > Clique droit sur C:\ > Dans le menu déroulant Clique sur Propriétés : dans l'Onglet Général tu as les renseignements.

Indique moi le nombre de processus, l'UC Utilisée et la charge dédiée dans le Gestionnaire de tâches > Onglet Processus ( les renseignements sont en bas ).

Pour ouvrir le Gestionnaire de tâches : Ctrl + Alt + Suppr ( ou bien : Clique droit sur la barre de tâches, et dans le menu Clique sur Gestionnaire de tâches ).

Au repos ( attendre 1' ) regarde s'il n'y a pas un processus qui tourne.

Cordialement.

cestminou · le 7 octobre 2007

RE cestminou,

J'ai bien peur que tes problèmes ne soient pas la cause d'une infection, mais plutôt d'un problème XP avec un logiciel ( ou d'un problème matériel ).

Depuis quand ces symptomes sont-ils apparus ? je ne sais plus !!!!

Indique moi la capacité de ton Disque Dur = 74.5 Go et l'Espace Libre = 67.6 Go

> Clique droit sur C:\ > Dans le menu déroulant Clique sur Propriétés : dans l'Onglet Général tu as les renseignements.

Indique moi le nombre de processus= 37

l'UC Utilisée = de 4 jusqu'a 15 ( avant , avec emule, elle était à 100 )

et la charge dédiée =

processus qui tournent = entre 5 et 7

le processus que tu m'avais demandé de stopper ( FTRTSVC) et c'est bien indiqué processus inactif a une valeur qui varie tt de meme dans la colonne processeur, cette valeur passe de 92 à 97...je te dis ça au cas , mais je ne sais pas ce que veut dire ttes ces valeurs, ????

a coté de ça, j'ai supprimé emule, ; il n'y avait pas de kerio ni de adobe reader dans les programmes.

j'ai recherché antivir que j'ai supprimé aussi ( je l'avais téléchargé comme pour faire le tuto de Tesgaz mais je n'ai pas réussi à l'installer comme il faut et puis comme tu ne m'as toujours pas dit pour le dllcache, j'ai abandonné la procédure de Tesgaz pour suivre tes instructions, donc j'ai tout désinstallé les logiciels que je devais avoir selon le post de Tesgaz.

mon internet rame toujours autant :

j'ai la livebox et je suis théoriquement en 8Méga mon Ip a changé et elle ne fini plus par 10 mais par 12 maintenant.je pense qu'il y a un souci la dessus, j'ai tjrs été en 10 !)

j'ai reconfiguré ma livebox puisque n'ayant plus emule, j'ai enlevé "les chemins du routeur", mais rien n'y fait : je pense que je vais réinitialiser ma livebox et puis on verra , si ça rame toujours autant, je leur téléphonerai, peut-etre est-ce un pb sur ma ligne : j'ai essayé de tester ma ligne par les outils du site mais au bout de 3/4 d'heure, ça testait toujours alors j'ai quitté la page et fermé mon navigateur car ça me prenait un peu trop ...

je pense t'avoir tout dit pour le moment, je vais faire la restauration du système et lancer le hijackthis et je te colle le rapport demain...euh tt à l'heure.

cestminou · le 7 octobre 2007

Voici le rapport hijackthis :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 11:56:17, on 07/10/2007

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe

C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0C2.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\System32\ctfmon.exe

C:\PROGRA~1\Wanadoo\TaskBarIcon.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe

C:\Program Files\Norton Internet Security\Norton AntiVirus\navapsvc.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Norton Internet Security\Norton AntiVirus\SAVScan.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.orange.fr

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Orange

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL

O2 - BHO: (no name) - {259F616C-A300-44F5-B04A-ED001A26C85C} - (no file)

O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [urlLSTCK.exe] C:\Program Files\Norton Internet Security\UrlLstCk.exe

O4 - HKLM\..\Run: [symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe

O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe

O4 - HKLM\..\Run: [EPSON Stylus C64 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0C2.EXE /P23 "EPSON Stylus C64 Series" /O6 "USB001" /M "Stylus C64"

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe

O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\GestMaj.exe TaskBarIcon.exe

O4 - HKLM\..\RunServices: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\Bin\REGIST~1.EXE

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab

O16 - DPF: {5AE58FCF-6F6A-49B2-B064-02492C66E3F4} (MUCatalogWebControl Class) - http://catalog.update.microsoft.com/v7/sit...b?1190664319655

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/microsoftu...b?1190663517468

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftu...b?1190663237077

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab56907.cab

O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - http://www.adobe.com/products/acrobat/nos/gp.cab

O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineS...er.cab56986.cab

O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Unknown owner - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe (file missing)

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Unknown owner - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe (file missing)

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus\navapsvc.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

--

End of file - 6925 bytes

ça rame tjrs autant sur internet .bon, je n'ai pas encore réinitialisé ma livebox. je pense le faire cet après midi , il faut d'abord que je retrouve mes identifiants de connexion.

j'ai lancé un test de connexion adsl sur ce site, il est enclanché depuis 5 min , on va voir si j'ai une réponse.

au fait, qu'est ce que le dllcache , je sais qu'il contient les executables , mais qu'est-ce que ça veut dire en fait ??? est-ce que le fait de supprimer l'intérieur de ce dossier m'empécherait de mener à bien les applications que je voudrais ouvrir ???

a ce propos, quand j'ouvre C/windows/system32 , il y a un fichier bleu nommé "DRVSTORE" qui s'affiche alors que les autres fichiers sont en écriture noire : il contient un fichier nommé "wlphonecv_8800C151E3BB94", à l'intérieur, il y a 2 fichiers . dois-je le supprimer ???

je viens de regarder mon test de connexion, cela fait 15 min et ça tourne toujours !!!!

bon , à très bientot

wong · le 7 octobre 2007

Bonjour cestminou,

1°) Dans ton Gestionnaire de tâches, c'est " Processus inactif du système " qui est à 92/97 % ? Si c'est le cas, c'est normal.

2°) Dossier dllcache :

Voici un lien concernant une demande comme la tienne : http://forum.zebulon.fr/index.php?showtopic=91301

Voici une discussion sur Zeb concernant le dossier dllcache : http://forum.zebulon.fr/index.php?showtopic=85647

Tu fait comme tu veux ( à mon avis, et pour l'instant, tu le laisses ).

3°) Le dossier bleu DRVSTORE = Dossier compressé.

4°) Ton problème de connexion Internet ( Wanadoo ) : je ne suis pas spécialiste, et tu pourras poser la question sur le forum " Internet & Réseaux " ( il y a une méthode pour faire une connexion manuelle ).

5°) Lance HijackThis

Clique sur Do a system scan only
Vérifie que HijackThis fera des sauvegardes : Dans Config, coche Make backups before fixing items" , puis clique sur le bouton Back
Coche les lignes suivantes:

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {259F616C-A300-44F5-B04A-ED001A26C85C} - (no file)
O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - http://www.adobe.com/products/acrobat/nos/gp.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Unknown owner - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe (file missing)
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Unknown owner - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe (file missing)
Ferme toutes les fenêtres toutes les fenêtres et tous les autres programmes.
Clique sur Fix Checked.
Ferme HijackThis

5°) Vérification du Disque

Poste de Travail > Clique droit sur Disque local (C:) > Dans le menu déroulant Clique sur Propriétés > Onglet Outils > Vérification des erreurs > Clique sur le bouton Vérifier maintenant > dans la fenêtre qui s'ouvre : Coche les 2 cases et Clique sur Démarrer. Tu dois redémarrer ton PC ( Attention la vérification est longue ).

6°) Fais une défragmentation en mode sans échec.

Après, poste un nouveau rapport HijackThis, et dis-moi comment se comporte le PC.

Cordialement.

Modifié le 7 octobre 2007 par wong

cestminou · le 8 octobre 2007

voici le rapport hijackthis, après avoir fait tout ce que tu m'as décris auparavant

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 11:48:06, on 08/10/2007

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe

C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0C2.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\System32\ctfmon.exe

C:\PROGRA~1\Wanadoo\TaskBarIcon.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe

C:\Program Files\Norton Internet Security\Norton AntiVirus\navapsvc.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Norton Internet Security\Norton AntiVirus\SAVScan.exe

C:\PROGRA~1\Wanadoo\Toaster.exe

C:\PROGRA~1\Wanadoo\Inactivity.exe

C:\PROGRA~1\Wanadoo\PollingModule.exe

C:\Program Files\Wanadoo\GestionnaireInternet.exe

C:\Program Files\Wanadoo\ComComp.exe

C:\Program Files\Wanadoo\Watch.exe

C:\WINDOWS\System32\ALERTM~1\ALERTM~1.EXE

C:\PROGRA~1\Wanadoo\WOOBrowser\WOOBrowser.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.orange.fr/