Windows Antivirus 2008

[badboss]

Salut tout le monde,

 

Mon premier message sur ce forum !! J'ai un gros problème sur ma bécane : Hier, sur mon bureau, un message m'indiquait :

 

"Warning! Spyware détected on your computer". Il s'agit en fait d'une image (que je n'arrive pas à trouver dans l'arborescence) qui s'est incrusté sur le bureau

 

J'ai vérifier quel logiciel me donnait ce message, et il s'agissait de Windows Antivirus 2008.

 

Comme j'étais sur que ce n'était pas moi qui l'avais installé, j'ai lancé spybot, qui a réussi à me le virer en mode sans échec. Mon problème aujourd'hui est que sur le bureau le message reste et que je ne peux pas changer (le mode mise en veille et le mode bureau ont été supprimé des propriétés, il ne reste que thème apparence et propriété).

 

Par contre lorsque je vais sur un autre session, aucun problème. J'ai lu sur un autre forum que ce spyware pouvait infecter les policies (je reprend le terme mais je sais pas trop à quoi cela correspond).

 

Quelqu'un peut m'aider à résoudre le problème.

 

Merci d'avance !!!!!!!!!!

[Loup blanc]

Bonjour Badboss,

 

Bienvenu sur Zebulon.

 

Pour pouvoir te répondre précisement, j'aurais besoin que tu édites un rapport Hijackthis :

 

• Télécharge Hijackthis (Trend Micro)
  
• Lance l'installation, puis le logiciel.
  
• Cliques sur "Do a system scan and save a log file"
  
• Copie/colle dans ton prochain message tout le contenu du rapport qui s'ouvrira.
  

[badboss]

Ci-joint le log de trend :

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 09:53:07, on 21/08/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Intel\AMT\atchksrv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 5.0 for Windows Workstations\kavsvc.exe

C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 5.0 for Windows Workstations\klswd.exe

C:\Program Files\Kaspersky Lab\NetworkAgent\klnagent.exe

C:\Program Files\Intel\AMT\LMS.exe

C:\WINDOWS\system32\igfxsrvc.exe

C:\Program Files\lotus\notes\ntmulti.exe

C:\WINDOWS\System32\snmp.exe

C:\Program Files\IBM\Director\bin\twgipcsv.exe

C:\WINDOWS\system32\hkcmd.exe

C:\Program Files\Intel\AMT\UNS.exe

C:\Program Files\IBM\Director\bin\twgipc.exe

C:\WINDOWS\system32\igfxpers.exe

C:\Program Files\IBM\Director\cimom\bin\wmicimserver.exe

C:\Program Files\Intel\AMT\atchk.exe

C:\Program Files\Analog Devices\Core\smax4pnp.exe

C:\Program Files\IBM\Director\bin\twgescli.exe

C:\Program Files\IBM\Director\bin\twgmonit.exe

C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 5.0 for Windows Workstations\kav.exe

C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe

C:\Program Files\IBM\Director\bin\twgagent.exe

C:\WINDOWS\system32\cssrss.exe

C:\WINDOWS\system32\lphc3cnj0ev6r.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\WinZip\WZQKPICK.EXE

C:\Program Files\IBM\Director\bin\nfUMSagent.exe

C:\WINDOWS\system32\wbem\wmiapsrv.exe

C:\Program Files\lotus\notes\NLNOTES.EXE

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\IBM\Director\bin\pegsunprv.exe

C:\Program Files\lotus\notes\ntaskldr.EXE

C:\Program Files\Microsoft Office\OFFICE11\POWERPNT.EXE

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.dunhill.com/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http:\\www.dunhill.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer provided by Dunhill -- Support No 8444

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = ftp=10.160.100.75:80;http=10.160.100.75:80;https=10.160.100.75:443

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 10.160.*,*talentv80*;<local>

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe

O4 - HKLM\..\Run: [atchk] "C:\Program Files\Intel\AMT\atchk.exe"

O4 - HKLM\..\Run: [soundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe

O4 - HKLM\..\Run: [Client Access Service] "C:\Program Files\IBM\Client Access\cwbsvstr.exe"

O4 - HKLM\..\Run: [Client Access Help Update] "C:\Program Files\IBM\Client Access\cwbinhlp.exe"

O4 - HKLM\..\Run: [Client Access Check Version] "C:\Program Files\IBM\Client Access\cwbckver.exe" LOGIN

O4 - HKLM\..\Run: [Client Access Express Welcome] "C:\Program Files\IBM\Client Access\cwbwlwiz.exe"

O4 - HKLM\..\Run: [Client Access PC5250 Sound] "C:\Program Files\IBM\Client Access\Emulator\pcssnd.exe"

O4 - HKLM\..\Run: [KAVWks50] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 5.0 for Windows Workstations\kav.exe" /minimize /chkas

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O14 - IERESET.INF: START_PAGE_URL=http:\\www.dunhill.com

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = adl.com

O17 - HKLM\Software\..\Telephony: DomainName = adl.com

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = adl.com

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = adl.com

O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe

O23 - Service: Intel® Active Management Technology System Status Service (atchksrv) - Intel Corporation - C:\Program Files\Intel\AMT\atchksrv.exe

O23 - Service: iSeries Access for Windows Remote Command (Cwbrxd) - IBM Corporation - C:\WINDOWS\CWBRXD.EXE

O23 - Service: Kaspersky Anti-Virus Service (kavsvc) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 5.0 for Windows Workstations\kavsvc.exe

O23 - Service: Kaspersky Network Agent (klnagent) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\NetworkAgent\klnagent.exe

O23 - Service: Intel® Active Management Technology Local Management Service (LMS) - Intel - C:\Program Files\Intel\AMT\LMS.exe

O23 - Service: Multi-user Cleanup Service - IBM Corp - C:\Program Files\lotus\notes\ntmulti.exe

O23 - Service: IBM Director Support Program (TWGIPC) - IBM Corporation - C:\Program Files\IBM\Director\bin\twgipcsv.exe

O23 - Service: Intel® Active Management Technology User Notification Service (UNS) - Intel - C:\Program Files\Intel\AMT\UNS.exe

O23 - Service: IBM Director Agent WMI CIM Server (wmicimserver) - Unknown owner - C:\Program Files\IBM\Director\cimom\bin\wmicimserver.exe

 

--

End of file - 6747 bytes

[Loup blanc]

Ok, l'infection est bien active.

 

Commence par faire ceci :

• Télécharge SDFix (de Andy Manchesta) sur ton bureau
  
• Double clique sur SDFix.exe puis sur Install, clique ensuite sur Browse pour installer Sdfix sur ton bureau.
  
• Redémarre ton PC en mode sans échecs (Touche F8 au démarrage du PC juste avant l'apparition du chenillard de Windows)
  
• Ouvre le dossier SDFix qui se trouve maintenant sur ton bureau et lance le script en faisant un double clic sur le fichier RunThis.bat .
  
• Accepte le lancement en appuyant sur Y.
  
• Ton bureau va disparaître pendant le nettoyage,
  
• A la fin du scan accepte le redémarrage de ton PC et laisse le nettoyage se poursuivre jusqu'à la fin.
  
• Le rapport de nettoyage va s'ouvrir, copie/colle tout son contenu dans ton prochain message (tu pourras trouver ce rapport dans le répertoire de Sdfix : report.txt).