Analyse suite éradication Antivir XP 2008 [Résolu]

[Falkra]

Curieux, mais on va finir autrement.

Ton système est très vulnérable, on devra faire quelques mises à jour après la fin du nettoyage.

 

Relance HijackThis, clique sur "Do a system scan only" puis coche ceci et clique sur le bouton "Fix checked", en bas à gauche :

R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - (no file)

F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe,userinit.exe,

O15 - Trusted Zone: *.whataboutadog.com

O15 - Trusted Zone: *.whataboutarabit.com

O21 - SSODL: ZdTyxr - {A8927D3D-0238-D797-33E3-360A9DDF4170} - C:\WINDOWS\System32\cycv.dll (file missing)

 

 

• Clique sur ce lien de navilog1 de IL-MAFIOSO :
  http://perso.orange.fr/il.mafioso/Navifix/Navilog1.exe
  
• Enregistre le fichier sur ton bureau.
  
• Ensuite double clique sur navilog1.exe pour lancer l'installation.
  
• Une fois l'installation terminée, le fix s'exécutera automatiquement.
  (Si ce n'est pas le cas, double-clique sur le raccourci Navilog1 présent sur le bureau).
  
• Laisse-toi guider. Au menu principal, choisis 1 et valide.
  (ne fais pas le choix 2,3 ou 4 sans accord)
  
• Cela dure un moment, attends le message :

  *** Analyse Termine le ..... ***

• Appuie sur une touche comme demandé, le Bloc-notes va s'ouvrir.
  
• Copie-colle l'intégralité du rapport dans ton prochain post. Referme le bloc note.
  

 

Note :

Le rapport est aussi sauvegardé à la racine du disque (fixnavi.txt)

Si ton antivirus se plaint de fichiers de Navilog1, dis lui d'ignorer les fichiers.

[jay31]

Je viens de voir ta réponse.

 

Avant de suivre tes instructions, voici un nouveau rapport MBAM que j'ai réussi à faire à l'instant :

Malwarebytes' Anti-Malware 1.26

Version de la base de données: 1103

Windows 5.1.2600 Service Pack 1

 

10/09/2008 22:00:10

mbam-log-2008-09-10 (22-00-10).txt

 

Type de recherche: Examen rapide

Eléments examinés: 40070

Temps écoulé: 21 minute(s), 14 second(s)

 

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 0

 

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Clé(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Valeur(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

 

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

 

Fichier(s) infecté(s):

(Aucun élément nuisible détecté)

[Falkra]

Impeccable, et bon signe.

 

Passe Navilog1 après avoir retiré les ligne, ça va finir le boulot.

[jay31]

et enfin le log de Navilog1

 

Search Navipromo version 3.6.5 commencé le 10/09/2008 à 22:32:14,92

 

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!

!!! Postez ce rapport sur le forum pour le faire analyser !!!

!!! Ne lancez pas la partie désinfection sans l'avis d'un spécialiste !!!

 

Outil exécuté depuis C:\Program Files\navilog1

Session actuelle : "Serge BRAYE"

 

Mise à jour le 22.08.2008 à 17h30 par IL-MAFIOSO

 

 

Microsoft Windows XP [version 5.1.2600]

Internet Explorer : 6.0.2800.1106

Système de fichiers : NTFS

 

Recherche executé en mode normal

 

*** Recherche Programmes installés ***

 

 

*** Recherche dossiers dans "C:\WINDOWS" ***

 

 

*** Recherche dossiers dans "C:\Program Files" ***

 

 

*** Recherche dossiers dans "C:\Documents and Settings\All Users\menudm~1\progra~1" ***

 

 

*** Recherche dossiers dans "C:\Documents and Settings\All Users\menudm~1" ***

 

 

*** Recherche dossiers dans "c:\docume~1\alluse~1\applic~1" ***

 

 

*** Recherche dossiers dans "C:\Documents and Settings\Serge BRAYE\applic~1" ***

 

...\MessengerSkinner trouvé !

 

*** Recherche dossiers dans "C:\DOCUME~1\celine\applic~1" ***

 

 

*** Recherche dossiers dans "C:\DOCUME~1\sandrine\applic~1" ***

 

 

*** Recherche dossiers dans "C:\Documents and Settings\Serge BRAYE\locals~1\applic~1" ***

 

 

*** Recherche dossiers dans "C:\DOCUME~1\celine\locals~1\applic~1" ***

 

 

*** Recherche dossiers dans "C:\DOCUME~1\sandrine\locals~1\applic~1" ***

 

 

*** Recherche dossiers dans "C:\Documents and Settings\Serge BRAYE\menudm~1\progra~1" ***

 

 

*** Recherche dossiers dans "C:\DOCUME~1\celine\menudm~1\progra~1" ***

 

 

*** Recherche dossiers dans "C:\DOCUME~1\sandrine\menudm~1\progra~1" ***

 

 

*** Recherche avec Catchme-rootkit/stealth malware detector par gmer ***

pour + d'infos : http://www.gmer.net

 

Fichier(s) caché(s) :

 

C:\WINDOWS\system32\gwkwa.dat

C:\WINDOWS\system32\gwkwa.exe

C:\WINDOWS\system32\gwkwa_navps.dat

 

 

*** Recherche avec GenericNaviSearch ***

!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!

!!! A vérifier impérativement avant toute suppression manuelle !!!

 

* Recherche dans "C:\WINDOWS\system32" *

 

Fichiers trouvés :

 

gwkwa.exe trouvé !

 

Fichiers suspects :

 

hbdcbrdc.exe trouvé !

 

* Recherche dans "C:\Documents and Settings\Serge BRAYE\locals~1\applic~1" *

 

* Recherche dans "C:\DOCUME~1\celine\locals~1\applic~1" *

 

* Recherche dans "C:\DOCUME~1\sandrine\locals~1\applic~1" *

 

 

 

*** Recherche fichiers ***

 

 

C:\WINDOWS\pack.epk trouvé !

 

*** Recherche clés spécifiques dans le Registre ***

 

HKEY_CURRENT_USER\Software\Lanconfig trouvé !

 

*** Module de Recherche complémentaire ***

(Recherche fichiers spécifiques)

 

1)Recherche nouveaux fichiers Instant Access :

 

 

2)Recherche Heuristique :

 

* Dans "C:\WINDOWS\system32" :

 

matbdtdcze.dat trouvé !

mcghmeh.dat trouvé !

nhrhmf.dat trouvé !

qsgosbkkr.dat trouvé !

 

* Dans "C:\Documents and Settings\Serge BRAYE\locals~1\applic~1" :

 

 

* Dans "C:\DOCUME~1\celine\locals~1\applic~1" :

 

 

* Dans "C:\DOCUME~1\sandrine\locals~1\applic~1" :

 

 

3)Recherche Certificats :

 

Certificat Egroup trouvé !

Certificat Electronic-Group trouvé !

Certificat Montorgueil absent !

Certificat OOO-Favorit trouvé !

Certificat Sunny-Day-Design-Ltd absent !

 

4)Recherche fichiers connus :

 

 

 

*** Analyse terminée le 10/09/2008 à 22:45:16,57 ***

[Falkra]

• Double-clique sur le raccourci Navilog1 présent sur le bureau et laisse-toi guider.
  
• Au menu principal, choisis 2 et valide.
  
• Le programme va t'informer qu'il va alors redémarrer ton PC.
  
• Ferme toutes les fenêtres ouvertes et enregistre tes documents personnels ouverts.
  
• Appuie sur une touche comme demandé. Le pc va redémarrer.
  
• Au redémarrage de ton PC, choisis ta session habituelle. Attends le message :

  *** Nettoyage Termine le ..... ***

• Le Bloc-notes va s'ouvrir : sauvegarde le rapport de manière à le retrouver.
  
• Referme le Bloc-notes. Ton bureau va réapparaitre
  

 

PS: Si ton bureau ne réapparait pas, fais CTRL+ALT+SUPP pour ouvrir le gestionnaire de tâches.

Puis rends-toi à l'onglet "processus". Clique en haut à gauche sur fichiers et choisis "exécuter"

Tape explorer.exe et valide. Cela fera revenir ton bureau.

 

Note:

Si tu ne trouves pas le rapport, il se nomme cleannavi.txt et se trouve dans C:\

[jay31]

Bonjour

 

Au redémarrage, j'ai eu un message comme quoi le module de défragmentation a suffit un problème et n'a pu s'exécuter ??

 

Voici le rapport de navilog1 :

Clean Navipromo version 3.6.5 commencé le 10/09/2008 à 23:13:21,62

 

Outil exécuté depuis C:\Program Files\navilog1

Session actuelle : "Serge BRAYE"

 

Mise à jour le 22.08.2008 à 17h30 par IL-MAFIOSO

 

 

Microsoft Windows XP [version 5.1.2600]

Internet Explorer : 6.0.2800.1106

Système de fichiers : NTFS

 

Mode suppression automatique

avec prise en charge résultats Catchme et GNS

 

 

Nettoyage exécuté au redémarrage de l'ordinateur

 

*** Creation backups fichiers trouvés par Catchme ***

 

Copie vers "C:\Program Files\navilog1\Backupnavi"

 

Copie C:\WINDOWS\system32\gwkwa.dat réalisée avec succès !

Copie C:\WINDOWS\system32\gwkwa.exe réalisée avec succès !

Copie C:\WINDOWS\system32\gwkwa_navps.dat réalisée avec succès !

 

*** Suppression des fichiers trouvés avec Catchme ***

 

C:\WINDOWS\system32\gwkwa.dat supprimé !

C:\WINDOWS\system32\gwkwa.exe supprimé !

C:\WINDOWS\system32\gwkwa_navps.dat supprimé !

 

** 2ème passage avec résultats Catchme **

 

* Dans "C:\WINDOWS\system32" *

 

 

C:\WINDOWS\prefetch\gwkwa*.pf trouvé !

Copie C:\WINDOWS\prefetch\gwkwa*.pf réalisée avec succès !

C:\WINDOWS\prefetch\gwkwa*.pf supprimé !

 

 

* Dans "C:\Documents and Settings\Serge BRAYE\locals~1\applic~1" *

 

 

 

*** Suppression avec sauvegardes résultats GenericNaviSearch ***

 

* Suppression dans "C:\WINDOWS\System32" *

 

 

 

* Suppression dans "C:\Documents and Settings\Serge BRAYE\locals~1\applic~1" *

 

 

 

* Suppression dans "C:\DOCUME~1\celine\locals~1\applic~1" *

 

 

* Suppression dans "C:\DOCUME~1\sandrine\locals~1\applic~1" *

 

 

 

*** Suppression dossiers dans "C:\WINDOWS" ***

 

 

*** Suppression dossiers dans "C:\Program Files" ***

 

 

*** Suppression dossiers dans "C:\Documents and Settings\All Users\menudm~1\progra~1" ***

 

 

*** Suppression dossiers dans "C:\Documents and Settings\All Users\menudm~1" ***

 

 

*** Suppression dossiers dans "c:\docume~1\alluse~1\applic~1" ***

 

 

*** Suppression dossiers dans "C:\Documents and Settings\Serge BRAYE\applic~1" ***

 

...\MessengerSkinner ...suppression...

...\MessengerSkinner supprimé !

 

 

*** Suppression dossiers dans "C:\DOCUME~1\celine\applic~1" ***

 

 

*** Suppression dossiers dans "C:\DOCUME~1\sandrine\applic~1" ***

 

 

*** Suppression dossiers dans "C:\Documents and Settings\Serge BRAYE\locals~1\applic~1" ***

 

 

*** Suppression dossiers dans "C:\DOCUME~1\celine\locals~1\applic~1" ***

 

 

*** Suppression dossiers dans "C:\DOCUME~1\sandrine\locals~1\applic~1" ***

 

 

*** Suppression dossiers dans "C:\Documents and Settings\Serge BRAYE\menudm~1\progra~1" ***

 

 

*** Suppression dossiers dans "C:\DOCUME~1\celine\menudm~1\progra~1" ***

 

 

*** Suppression dossiers dans "C:\DOCUME~1\sandrine\menudm~1\progra~1" ***

 

 

 

*** Suppression fichiers ***

 

C:\WINDOWS\pack.epk supprimé !

 

*** Suppression fichiers temporaires ***

 

Nettoyage contenu C:\WINDOWS\Temp effectué !

Nettoyage contenu C:\Documents and Settings\Serge BRAYE\locals~1\Temp effectué !

 

*** Traitement Recherche complémentaire ***

(Recherche fichiers spécifiques)

 

1)Suppression avec sauvegardes nouveaux fichiers Instant Access :

 

2)Recherche, création sauvegardes et suppression Heuristique :

 

 

* Dans "C:\WINDOWS\system32" *

 

 

matbdtdcze.dat trouvé !

Copie matbdtdcze.dat réalisée avec succès !

matbdtdcze.dat supprimé !

 

mcghmeh.dat trouvé !

Copie mcghmeh.dat réalisée avec succès !

mcghmeh.dat supprimé !

 

nhrhmf.dat trouvé !

Copie nhrhmf.dat réalisée avec succès !

nhrhmf.dat supprimé !

 

qsgosbkkr.dat trouvé !

Copie qsgosbkkr.dat réalisée avec succès !

qsgosbkkr.dat supprimé !

 

 

* Dans "C:\Documents and Settings\Serge BRAYE\locals~1\applic~1" *

 

 

* Dans "C:\DOCUME~1\celine\locals~1\applic~1" *

 

 

* Dans "C:\DOCUME~1\sandrine\locals~1\applic~1" *

 

 

*** Sauvegarde du Registre vers dossier Safebackup ***

 

sauvegarde du Registre réalisée avec succès !

 

*** Nettoyage Registre ***

 

Nettoyage Registre Ok

 

 

*** Certificats ***

 

Certificat Egroup supprimé !

Certificat Electronic-Group supprimé !

Certificat Montorgueil absent !

Certificat OOO-Favorit supprimé !

Certificat Sunny-Day-Design-Ltdt absent !

 

*** Fichiers suspects non supprimés par Navilog1 ***

!! Fichiers légitimes possibles, à contrôler avant suppression !!

 

Fichiers suspects dans "C:\WINDOWS\system32" :

 

hbdcbrdc.exe trouvé !

 

*** Nettoyage terminé le 11/09/2008 à 9:42:07,62 ***

[Falkra]

Ca va mieux.

Le module de défragmentation, il n'était pas là au bon moment lui.

 

Poste un nouveau rapport HijackThis stp.

[jay31]

voilà

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 19:19:23, on 11/09/2008

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Symantec AntiVirus\DefWatch.exe

C:\WINDOWS\System32\tcpsvcs.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Symantec AntiVirus\Rtvscan.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe

C:\PROGRA~1\SYMANT~1\VPTray.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\Documents and Settings\Serge BRAYE\Bureau\HiJackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.fluo.com/?m=Claudine

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.free.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: &Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\VPTray.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [userFaultCheck] %systemroot%\system32\dumprep 0 -u

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O14 - IERESET.INF: START_PAGE_URL=http://home.free.fr/

O16 - DPF: {09C21411-B9A2-4DE6-8416-4E3B58577BE0} (France Telecom MDM ActiveX Control) - http://minitelweb.minitel.com/imin_data/ocx/MDM.cab

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.zebulon.fr/scan8/oscan8.cab

O16 - DPF: {6E5E167B-1566-4316-B27F-0DDAB3484CF7} (Image Uploader Control) - http://www.extrafilm.fr/ImageUploader4.cab

O16 - DPF: {7FC1B346-83E6-4774-8D20-1A6B09B0E737} (Windows Live Photo Upload Control) - http://cid-ce5f771e954c3e35.spaces.live.co...ad/MsnPUpld.cab

O16 - DPF: {8B1A14AF-E603-4356-B687-1F7D46522DD3} (Image Uploader Combo Control) - http://www.mesvacancesenphoto.com/Componen...geUploader5.cab

O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.5 Control) - http://marmaraphoto.com/Components/Upload/ImageUploader3.cab

O16 - DPF: {A73BAEFA-EE65-494D-BEDB-DD3E5A34FA98} (Image Uploader) - http://www.extrafilm.fr/ImageUploader4.cab

O16 - DPF: {B79A53C0-1DAC-4636-BACE-FD086A7A79BF} (AdSignerLCContrl Class) - https://static.impots.gouv.fr/tdir/static/a...gnerADP-1.1.cab

O23 - Service: Avira AntiVir Personal - Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - C:\Program Files\Symantec AntiVirus\DefWatch.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: SAVRoam (SavRoam) - symantec - C:\Program Files\Symantec AntiVirus\SavRoam.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec AntiVirus - Symantec Corporation - C:\Program Files\Symantec AntiVirus\Rtvscan.exe

 

--

End of file - 6340 bytes

 

Par contre, le PC est toujours aussi lent

[Falkra]

Tu as maintenant Norton + Antivir.

 

Si Norton était préinstallé, ou en démo, désinstalle-le avec cet outil officiel, qui fera le travail. Si tu as payé pour Norton, fais moi signe.

[jay31]

Je ne sais pas si Norton a été acheté ou si c'est une version de démo. Comme j'ai dit au début, c'est le PC d'une amie.

 

Tu sais comment je peux savoir quel type de Norton c'est ??