Encore et toujours "Windows Security Alert"

[Papsded]

Suite à mon échange avec Zonk sur mon ordi, voici le rapport Hijackthis de l'ordi de mon ami.

Cet ordi est infecté par plusieurs virus (d'après Avast) et l'on obtient sans arrêt la fenêtre sitée dans le titre.

Merci pour votre aide.

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 13:12:25, on 20/12/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16574)

Boot mode: Safe mode

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.exe

C:\WINDOWS\system32\proper.exe

C:\WINDOWS\system32\winsos.exe

C:\WINDOWS\system32\shovth.exe

C:\Documents and Settings\JEAN LOUIS RABASTE\Mes documents\Downloads\HiJackThis.exe

 

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\proper.exe

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Toolbar Wanadoo - {4E7BD74F-2B8D-469E-8FB0-B921F5DBF922} - C:\PROGRA~1\WANADO~2\WANADO~1.DLL

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar5.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll

O2 - BHO: (no name) - {D27987B8-7244-4DE0-AE10-39B826B492F1} - C:\WINDOWS\system32\bronto.dll (file missing)

O3 - Toolbar: Toolbar Wanadoo - {4E7BD74F-2B8D-469E-8FB0-B921F5DBF922} - C:\PROGRA~1\WANADO~2\WANADO~1.DLL

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar5.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [undefined] C:\WINDOWS\system32\winter.exe

O4 - HKLM\..\Run: [sis32] C:\WINDOWS\system32\winsos.exe

O4 - HKLM\..\Run: [winroot] C:\WINDOWS\system32\winsn.exe

O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe

O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\TaskbarIcon.exe

O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\Wanadoo\CnxMon.exe

O4 - HKLM\..\Run: [updateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r

O4 - HKLM\..\Run: [synTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [speedTouch USB Diagnostics] "C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe" /icon

O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe

O4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\system32\hphmon05.exe

O4 - HKLM\..\Run: [FSASWREG] "C:\Program Files\Securitoo\av_fw\Anti-Spyware\fsaswreg.exe"

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [undefined] C:\WINDOWS\system32\winter.exe

O4 - HKCU\..\Run: [startUp] C:\WINDOWS\Temp\checkmem.exe /optimize speed

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Startup: infos.exe

O4 - Global Startup: autos.exe

O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk.disabled

O4 - Global Startup: HP Digital Imaging Monitor.lnk.disabled

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Logitech Desktop Messenger.lnk.disabled

O4 - Global Startup: Microsoft Office.lnk.disabled

O7 - HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

O9 - Extra button: Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe

O14 - IERESET.INF: START_PAGE_URL=http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_FR&c=Q304&bd=pavilion&pf=laptop

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: HP WMI Interface (hpqwmi) - Hewlett-Packard Development Company, L.P. - C:\Program Files\HPQ\SHARED\HPQWMI.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

 

--

End of file - 6169 bytes

[Zonk]

Rebonjour

Idéalement fait ton HJT en mode normal

Avast perd des plumes!..... voilà pourquoi je recommande Antivir (de toutes facon tu devras installer Antivir pour le pré-nettoyage……et tu devras supprimer l’un d’eux…autant en profiter pour supprimer le moins performant)

http://forum.zebulon.fr/index.php?showtopic=123053

http://forum.zebulon.fr/index.php?showtopic=127217

idéalement de stopper les processus Avast antivirus avant la suppression par ajout /Supp de prog.

,voici selon moi des processus Avast antivirus a stopper par le gestionnaire de taches:

En faisant simultanément les touches Alt + Ctrl + Suppr ou

- Clic droit dans la barre des taches de votre bureau et ensuite / gestionnaire de taches

- Ou pour faire plus pro, Démarrer /Exécuter et tapez taskmgr

avant la suppression de Avast antivirus ,voici les processus à terminer

-AshDisp.exe

-Asmaisv.exe

-ashserv.exe

-ashwebsv.exe

-aawservice.exe

-aswupdsv.exe

en cas de problème lors de la désinstallation

http://www.avast.com/fre/avast-uninstall-utility.html

Securitoo???ca inclus quoi ????

...si ca inclu un antivirus,alors tu devras le désactiver durant le pré-nettoayage......(et par le fait même de supprimer Avast car deux et + protection de la même famille sont à proscrire)

 

Cette partie en mauve est liée avec le pré-nettoyage (car le lien pour le téléchargement Antivir du pré-nettoyage est probablement périméé....alors favorise celui-ci bas dans les écrits mauves

 

Tuto ..à toi de choisir mais assure toi de bien suivre les conseils .....surveille à bien activer la recherche de " rootkits" (cette fonction est souvent oublier par les gens)

 

http://www.libellules.ch/tuto_antivir.php

http://tutopat.hostonet.org/viewtopic.php?t=2417

 

Antivir dans le pré-nettoyage,revient ici :

http://www.free-av.com/

Antivir Classic

Tuto ....à toi de choisir mais assure toi de bien suivre les conseils .....surveille à bien activer la recherche de " rootkits" (cette fonction est souvent oublier par les gens)

http://www.libellules.ch/tuto_antivir.php

http://tutopat.hostonet.org/viewtopic.php?t=2417

Télécharge ATF Cleaner par Atribune....(petit programme sans danger qui ne s'installe pas.... il ne fait que s'exécuter

....parfois avec des ordis moins performants, le nettoyage est lourd....alors si tu veux alléger la tache, va y deux cases à la fois et fait "Empty selected"......

Nettoyeur ATF

Installe-le sur le bureau.

 

Double-clique ATF-Cleaner.exe afin de lancer le programme.

Sous l'onglet Main, choisis : Select All (ou deux cases à la fois....mais fait toutes les cases )

Cliquer sur le bouton Empty Selected

 

Securitoo ??c'est un antispyware???ca inclus un antivirus?????......si il est en temps réel ,oublie le paragraphe ci-bas:

Autrement ,tu ne semble pas avoir un antipsyware en temps réel ?: AVG Antipsyware (choix de langues)

http://free.grisoft.com/doc/5390/us/frt/0?prd=asf

http://www.kachouri.com/tuto/imprimer161.html

il est en version complète durant 30 jours (protection résidente)...suite a cela,tu perdras la protection complète,c'est à dire celle en temps réel.....

je te conseille d'acheter la licence.....

mais si parfois tu ne veux pas.,alors une fois la période d'essai terminée (IMPORTANT de ne pas mettre deux protections en temps réel de la même famille ),il y a celui-ci:

Windows Defender

ce n'est pas le ténor du genre...mais selon mon expérience,il fait un travail honnête...et gratuit !

 

 

applique ceci...le pré-nettoyage:

http://forum.zebulon.fr/index.php?showtopic=83986

tu devras aller en mode sans échec.....parfois lent à démarrer/fermer...soit très patient.....l'affichage sera altéré, ça reviendra suite à un redémarrage

Tandis que tu es en "sans échec" profite en pour passer tout tes antipestes en ce mode.................souvent le pré-nettoyage n'est pas suffisant pour tout supprimer...mais ça peut arriver que ça règle les ennuis... amène tes rapports...l'Équipe Sécurité va te guider pour terminer le travail (rapport Antivir,HJT,,etc.........)

 

@+

Modifié le 20 décembre 2007 par Zonk

[Papsded]

OK Zonk !

 

Merci pour tout cela

 

Ouf, il y a du boulot ! Je m'y attèle de ce pas.

A+

[Zonk]

OK Zonk !

 

Merci pour tout cela

 

Ouf, il y a du boulot ! Je m'y attèle de ce pas.

A+

Ça parait pire que ce ne l'est.......

@+

[Papsded]

J'ai oublié:

 

Securitoo est livré par le FAI Wanadoo. J'en ai résilié et supprimé l'antivirus (payant) mais il reste l'antispyware (gratuit) qu'on ne peut désactiver à priori.

[Zonk]

J'ai oublié:

 

Securitoo est livré par le FAI Wanadoo. J'en ai résilié et supprimé l'antivirus (payant) mais il reste l'antispyware (gratuit) qu'on ne peut désactiver à priori.

Si il fait la job en temps réel pourquoi le changer pour un autre antispyware ??

@+

Modifié le 20 décembre 2007 par Zonk

[Papsded]

Bonjour à toute l'Equipe Sécurité,

 

Je suis en train de faire le scan Antivir en mode sans échec (toujours sur un autre ordi,celui de mon ami JeanLouis) et il me semble ne jamais se terminer: ça fait un bon moment que la progression est à 99,8 % et il tourne déjà depuis 2h. Etant donné qu'il a trouvé souvent "TR.CRYPT.ULPM.GEN" j'ai coché l'automatisation de mettre tous les fichiers en quarantaine.Il en est à 660 détections,3 fichiers suspicieux et 2 warnings.

Et je suis bloqué sur la dernière fenêtre de warning qui me dit ceci:"The file could not be copied to quarantine" Il s'agit d'un trojan:"TR/Rootkit.geo" qui se trouve dans:"c:\windows\system32\mscore.dll".

Que dois-je répondre SVP: "Delete locked file after reboot" ou "Ignore" ?

Merci

[Zonk]

Bonjour à toute l'Equipe Sécurité,

 

Je suis en train de faire le scan Antivir en mode sans échec (toujours sur un autre ordi,celui de mon ami JeanLouis) et il me semble ne jamais se terminer: ça fait un bon moment que la progression est à 99,8 % et il tourne déjà depuis 2h. Etant donné qu'il a trouvé souvent "TR.CRYPT.ULPM.GEN" j'ai coché l'automatisation de mettre tous les fichiers en quarantaine.Il en est à 660 détections,3 fichiers suspicieux et 2 warnings.

Et je suis bloqué sur la dernière fenêtre de warning qui me dit ceci:"The file could not be copied to quarantine" Il s'agit d'un trojan:"TR/Rootkit.geo" qui se trouve dans:"c:\windows\system32\mscore.dll".

Que dois-je répondre SVP: "Delete locked file after reboot" ou "Ignore" ?

Merci

Tu ne te casse pas la tête avec les warnings.....c'est normal...va lire les tutos tu auras tes réponses...pour ton autre question,fait:

Delete locked file after reboot"

...il le supprimera suite au redémarrage

@+