Souci d'apparition de popup...

capichef · le 11 octobre 2007

Bonsoir,

je connais votre forum par un ami qui m'a dit que vous étiez LA référence en terme de sécurité internet et d'ordinateurs.

Donc je m'adresse a vous pour mon soucis ( rien de mieux que ceux qui s'y connaissent...)

Alors mon souci est que de temps en temps mon antivirus Bitdefender v10 s'affole, il detecte un trojan nommé Trojan.FatObFus.2.Gen alors il me dit qu'il le bloque mais ce petit trojan m'ouvre des fenetres nommée CiD ...

C'est assez ennuyeux, j'ai fait un rapporrt log HiJackThis le voici :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 19:40:04, on 11/10/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Intel\Wireless\Bin\EvtEng.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Java\j2re1.4.2_05\bin\jusched.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\DAEMON Tools\daemon.exe

C:\Program Files\hpq\HP Wireless Assistant\HP Wireless Assistant.exe

C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe

C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe

C:\Program Files\Softwin\BitDefender10\bdmcon.exe

C:\Program Files\Softwin\BitDefender10\bdagent.exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE

C:\Program Files\Internet Explorer\iexplore.exe

C:\PROGRA~1\hpq\Shared\HpqToaster.exe

C:\Program Files\Intel\Wireless\Bin\Dot1XCfg.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe

C:\Program Files\Softwin\BitDefender10\vsserv.exe

C:\Program Files\Mozilla Firefox\firefox.exe

H:\setup.exe

H:\isnetfx.exe

C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\IS5B9.tmp\install.exe

C:\WINDOWS\system32\msiexec.exe

C:\WINDOWS\system32\MsiExec.exe

C:\Documents and Settings\Administrateur\Bureau\HiJackThis(2).exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_05\bin\jusched.exe

O4 - HKLM\..\Run: [Raccourci vers la page des propriétés de High Definition Audio] HDAShCut.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /nodetect

O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] CHDAudPropShortcut.exe

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [hpWirelessAssistant] C:\Program Files\hpq\HP Wireless Assistant\HP Wireless Assistant.exe

O4 - HKLM\..\Run: [intelZeroConfig] "C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe"

O4 - HKLM\..\Run: [intelWireless] "C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless

O4 - HKLM\..\Run: [bDMCon] "C:\Program Files\Softwin\BitDefender10\bdmcon.exe" /reg

O4 - HKLM\..\Run: [bDAgent] "C:\Program Files\Softwin\BitDefender10\bdagent.exe"

O4 - HKLM\..\Run: [EPSON Stylus DX3800 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE /P26 "EPSON Stylus DX3800 Series" /O6 "USB001" /M "Stylus DX3800"

O4 - HKCU\..\Run: [Hope Hold] C:\DOCUME~1\ADMINI~1\APPLIC~1\Up bits loud\burn about bat.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\Microsoft Office\Office12\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_05\bin\npjpi142_05.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_05\bin\npjpi142_05.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\Microsoft Office\Office12\REFIEBAR.DLL

O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe

O23 - Service: Intel® PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe

O23 - Service: BitDefender Desktop Update Service (LIVESRV) - SOFTWIN S.R.L. - C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Intel® PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe

O23 - Service: Intel® PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe

O23 - Service: BitDefender Virus Shield (VSSERV) - SOFTWIN S.R.L. - C:\Program Files\Softwin\BitDefender10\vsserv.exe

O23 - Service: BitDefender Communicator (XCOMM) - Softwin - C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe

--

End of file - 5598 bytes

Merci d'avance aux personnes qui sauront m'aider...

wong · le 11 octobre 2007

Bonsoir capichef et bienvenue,

Etude de ton rapport et retour dans 20'

Cordialement.

wong · le 11 octobre 2007

RE capichef,

Pour te faire une procédure pour supprimer Lop.com/CiD, j'ai besoin d'un rapport.

Fichier findlopjob

Création du fichier findlopjob.bat

Faire un copier/coller de la ligne ci-dessous ( dans la zone "Code" ) dans le Bloc-note ( sans le mot Code ) :

dir %Windir%\tasks /a h > c:\filelopjob.txt

Note: Dans le Bloc-notes, vérifie dans le menu Format que l'option "Retour automatique à la ligne" n'est pas cochée.

Enregistrer le fichier sur le Bureau sous le nom de findlopjob.bat

Attention: l'extension doit être .bat, choisir "Tous les fichiers" dans la liste déroulante de "Type" lors du "Enregistrer sous.."

Si l'extension est .bat.txt, renommer le fichier en .bat

Utilisation du fichier findlopjob.bat

Faire un double clic sur findlopjob.bat ( une petite fenêtre à fond noir va apparaître puis disparaître très rapidement ).

Résultat

Copie/Colle le contenu du fichier C:\filelopjob.txt dans ta prochaine réponse.

Cordialement.

capichef · le 11 octobre 2007

Tout d'abord merci a toi de t'occuper de moi c'est sympa

Voila qui est fait :

Le volume dans le lecteur C n'a pas de nom.

Le num‚ro de s‚rie du volume est D0AE-F3A4

R‚pertoire de C:\WINDOWS\tasks

12/09/2007 19:17 <REP> .

12/09/2007 19:17 <REP> ..

24/08/2001 16:00 65 desktop.ini

10/10/2007 03:08 6 SA.DAT

2 fichier(s) 71 octets

R‚pertoire de C:\Documents and Settings\Administrateur\Bureau

Modifié le 11 octobre 2007 par capichef

wong · le 11 octobre 2007

RE capichef,

NOTE : Etant donné la longueur de la procédure, je te conseille de l'imprimer ( ou de sélectionner toutes les lignes, puis de copier cette sélection dans un fichier texte sur ton PC ).

En mode sans échec tu n'auras pas accès à Internet. Il faut exécuter toutes les étapes sans interruption, dans l'ordre exact indiqué ci-dessous. Si tu ne comprends pas un élément, demande des explications avant de commencer la désinfection.

Cette procédure doit être effectuée en ayant ouvert ta session normale : ton nom "Administrateur" ( ne pas utiliser le profil utilisateur nommé "Administrateur" visible en mode sans échec).

Prends ton temps, et fais-le calmement. La procédure n'est pas compliquée.

1°) Suppression de CID

Démarrer > Panneau de configuration > Ajout/Suppression de programmes :

Recherche CID ou CiDHelp qui doit-être présent. Clique sur Supprimer pour le désinstaller ( une fenêtre va s'ouvrir avec un code. Tape ce code et clique sur UNINSTALL ).

2°) Vérifie d'avoir accès à tous les dossiers/fichiers :

Démarrer > Poste de travail ou autre dossier > Menu Outils > Option des dossiers > Onglet Affichage :

Coche le bouton devant : Afficher les fichiers et dossiers cachés
Décoche la case : Masquer les extensions des fichiers dont le type est connu
Décoche la case : la case : Masquer les fichiers protégés du système d'exploitation
Clique sur : Appliquer à tous les dossiers.

3°) Création du fichier tuer-lop.reg

Fais un Copier/Coller des lignes ci-dessous ( dans la zone "Code" ) dans le Bloc-notes ( sans le mot Code ).
Note: Dans le Bloc-notes, vérifie dans le menu Format que l'option "Retour automatique à la ligne" n'est pas cochée.
Enregistrer le fichier sous le nom de tuer-lop.reg
Attention : Il faut une ligne blanche après la dernière ligne ( à faire dans le Bloc-notes ).
L'extension doit être .reg , choisir "Tous les fichiers" dans la liste déroulante de "Type" lors du "Enregistrer sous.."
Si l'extension est .reg.txt, renommer le fichier en .reg

REGEDIT4 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
"Hope Hold"=-

4°) Redémarre en mode sans échec

Durant cette phase, tu n'auras pas d'accès Internet. Je te conseille d'imprimer ( ou, événtuellement, d'enregistrer ) la procédure.

Clique sur Démarrer
Clique sur Arrêter l'ordinateur
Dans la fenêtre qui s'ouvre : clique sur " Redémarrer "
Appui sur la touche F8 ( ou F5 sur certains PC ) dès qu'un écran de texte apparaît ( puis disparaît ).
Utilise les touches de direction pour sélectionner le mode sans échec voulu ( " mode sans échec " seul )
Appui dur la touche " ENTRÉE "
Attend la fenêtre avec le choix des sessions ( noms d'administrateurs ).
Clique sur ta session normale : ton nom (Administrateur )
Une nouvelle fenêtre s'affiche " Bureau " : clique sur OUI

Pour éventuellement t'aider voici un tuto en images : http://www.malekal.com/modesansechec.php

4.1 - Exécute le fichier tuer-lop.reg

Faire un clic droit sur "tuer-lop.reg", puis dans le menu contextuel choisir Fusionner et accepter la fusion dans le registre.

4.2 - Nettoyage avec HijackThis

Lance un scan HijackThis : Clique sur Do a system scan only et coche les lignes ci-dessous :

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O4 - HKCU\..\Run: [Hope Hold] C:\DOCUME~1\ADMINI~1\APPLIC~1\Up bits loud\burn about bat.exe

Ferme toutes les fenêtres, sauf le logiciel Hijackthis, et Clique sur Fix checked puis ferme HijackThis.

4.3 - Suppressions manuelles :

Dans Poste de travail > Disque local C :

Supprime les fichiers/dossiers suivants s'ils sont présents :

C:\Documents and Settings\All Users\Application Data\Up bits loud\burn about bat.exe <== ce fichier en rouge

C:\Documents and Settings\All Users\Application Data\Up bits loud <== ce dossier en rouge

4.4 - Vide le contenu de la corbeille :

4.5 - Masque les fichiers/dossiers cachés ou protégés

Décoche le bouton, et recoche les cases ( voir en 3° )

5°) Redémarre en mode normal

Lance HijackThis

Copie/Colle un nouveau rapport HijackThis dans ta réponse

Au travail

capichef · le 11 octobre 2007

j'ai donc suivi a la lettre la procédure et n'ai manqué aucun élément, toutes les etapes se sont deroulées sans soucis.

Voici donc le nouveau log HJT

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 23:54:22, on 11/10/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Intel\Wireless\Bin\EvtEng.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Java\j2re1.4.2_05\bin\jusched.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\DAEMON Tools\daemon.exe

C:\Program Files\hpq\HP Wireless Assistant\HP Wireless Assistant.exe

C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe

C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe

C:\Program Files\Softwin\BitDefender10\bdmcon.exe

C:\Program Files\Softwin\BitDefender10\bdagent.exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE

C:\Program Files\Softwin\BitDefender10\vsserv.exe

C:\PROGRA~1\hpq\Shared\HpqToaster.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Intel\Wireless\Bin\Dot1XCfg.exe

\?\C:\WINDOWS\system32\WBEM\WMIADAP.EXE