[Resolu] help ! rapport HijackThis

BEM · le 24 septembre 2008

Bonjour à tous

Pourriez-vous me donner un petit coup de main pour interpréter le rapport HijackThis de mon ordi. En effet, depuis quelques temps ma navigation sur internet devient insupportable : ouverture automatique d'onglets de pubs ... Je soupçonne un un petit programme mal veillant bien planqué. J'ai déja fait des vérifications avec Spybot, Spyware terminator, et Ad-watch (RAS). mon antivirus est Avira antivir.

Merci pour votre aide, voici mon rapport HijackThis :

BEM

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 23:06:29, on 17/09/2008

Platform: Windows Vista SP1 (WinNT 6.00.1905)

MSIE: Internet Explorer v7.00 (7.00.6001.18000)

Boot mode: Normal

Running processes:

C:\Windows\system32\taskeng.exe

C:\Windows\system32\Dwm.exe

C:\Windows\Explorer.EXE

C:\Program Files\Windows Defender\MSASCui.exe

C:\Program Files\Motorola\SMSERIAL\sm56hlpr.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Windows\RtHDVCpl.exe

C:\Program Files\Intel\Intel Matrix Storage Manager\IAAnotif.exe

C:\Program Files\HP\QuickPlay\QPService.exe

C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QLBCTRL.exe

C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe

C:\Program Files\Hewlett-Packard\HP Wireless Assistant\WiFiMsg.exe

C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe

C:\Program Files\Common Files\Real\Update_OB\realsched.exe

C:\Program Files\Spyware Terminator\SpywareTerminatorShield.Exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe

C:\Windows\System32\rundll32.exe

C:\Program Files\HP\HP Software Update\hpwuSchd2.exe

C:\Program Files\Windows Sidebar\sidebar.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Windows\ehome\ehtray.exe

C:\Users\toto\AppData\Local\qqesw.exe

C:\Windows\System32\rundll32.exe

C:\Program Files\Google\Google Updater\GoogleUpdater.exe

C:\Windows\ehome\ehmsas.exe

C:\Program Files\Windows Sidebar\sidebar.exe

C:\Program Files\Hewlett-Packard\Shared\HpqToaster.exe

C:\Program Files\Internet Explorer\ieuser.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Windows\system32\conime.exe

C:\Windows\system32\Macromed\Flash\FlashUtil9b.exe

C:\Program Files\Hp\HP Software Update\HPWUCli.exe

C:\PROGRA~1\Crawler\CToolbar.exe

C:\Windows\system32\SearchFilterHost.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.crawler.com/search/dispatcher.a...&tbid=60446

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://recherche.neuf.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.cbsnews.com/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ie.redirect.hp.com/svs/rdr?TYPE=3&a...n&pf=laptop

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://recherche.neuf.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://ie.redirect.hp.com/svs/rdr?TYPE=3&a...n&pf=laptop

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://recherche.neuf.fr/ie/default.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

R3 - URLSearchHook: (no name) - {1CB20BF0-BBAE-40A7-93F4-6435FF3D0411} - C:\PROGRA~1\Crawler\ctbr.dll

F2 - REG:system.ini: UserInit=C:\Windows\system32\ezShellStart.exe

O1 - Hosts: ::1 localhost

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {1CB20BF0-BBAE-40A7-93F4-6435FF3D0411} - C:\PROGRA~1\Crawler\ctbr.dll

O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: Barre d'outils &Crawler - {4B3803EA-5230-4DC3-A7FC-33638F3D3542} - C:\PROGRA~1\Crawler\ctbr.dll

O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide

O4 - HKLM\..\Run: [sMSERIAL] C:\Program Files\Motorola\SMSERIAL\sm56hlpr.exe

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe

O4 - HKLM\..\Run: [iAAnotif] C:\Program Files\Intel\Intel Matrix Storage Manager\iaanotif.exe

O4 - HKLM\..\Run: [QPService] "C:\Program Files\HP\QuickPlay\QPService.exe"

O4 - HKLM\..\Run: [QlbCtrl] %ProgramFiles%\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start

O4 - HKLM\..\Run: [HP Health Check Scheduler] C:\Program Files\Hewlett-Packard\HP Health Check\HPHC_Scheduler.exe

O4 - HKLM\..\Run: [hpWirelessAssistant] %ProgramFiles%\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe

O4 - HKLM\..\Run: [WAWifiMessage] %ProgramFiles%\Hewlett-Packard\HP Wireless Assistant\WiFiMsg.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [spywareTerminator] "C:\Program Files\Spyware Terminator\SpywareTerminatorShield.exe"

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe

O4 - HKLM\..\RunOnce: [Launcher] %WINDIR%\SMINST\launcher.exe

O4 - HKCU\..\Run: [sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\PROGRA~1\MSNMES~1\msnmsgr.exe" /background

O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe

O4 - HKCU\..\Run: [qqesw] "c:\users\toto\appdata\local\qqesw.exe" qqesw

O4 - HKUS\S-1-5-19\..\Run: [sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')

O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Program Files\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Reader 8.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: Outil de mise à jour Google.lnk = C:\Program Files\Google\Google Updater\GoogleUpdater.exe

O8 - Extra context menu item: Crawler Search - tbr:iemenu

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~2.0_0\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~2.0_0\bin\ssv.dll

O9 - Extra button: PokerStars - {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - C:\Program Files\PokerStars\PokerStarsUpdate.exe

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O13 - Gopher Prefix:

O16 - DPF: {04CB5B64-5915-4629-B869-8945CEBADD21} (Module de délivrance de certificat MINEFI) - https://static.impots.gouv.fr/abos/static/s...te/certdgi1.cab

O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://download.divx.com/player/DivXBrowserPlugin.cab

O16 - DPF: {8436FE12-31DB-48BF-83BF-FE682F9160B4} (NanoInstaller Class) - http://www.nanoscan.com/cabs/nanoinst.cab

O18 - Protocol: tbr - {4D25FB7A-8902-4291-960E-9ADA051CFBBF} - C:\PROGRA~1\Crawler\ctbr.dll

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Program Files\HP\QuickPlay\Kernel\TV\CLCapSvc.exe

O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Program Files\HP\QuickPlay\Kernel\TV\CLSched.exe

O23 - Service: Com4Qlb - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\Com4Qlb.exe

O23 - Service: EasyBits Magic Desktop Services for Windows NT (ezntsvc) - EasyBits Software Corp. - C:\Windows\system32\ezNTSvc.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: HP Health Check Service - Hewlett-Packard - C:\Program Files\Hewlett-Packard\HP Health Check\hphc_service.exe

O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe

O23 - Service: Intel® Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\IAANTMon.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe

O23 - Service: RoxMediaDB9 - Sonic Solutions - C:\Program Files\Common Files\Roxio Shared\9.0\SharedCOM\RoxMediaDB9.exe

O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe

O23 - Service: ScsiAccess - Unknown owner - C:\Program Files\Photodex\ProShowProducer\ScsiAccess.exe

O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Program Files\Spyware Terminator\sp_rsser.exe

O23 - Service: stllssvr - MicroVision Development, Inc. - C:\Program Files\Common Files\SureThing Shared\stllssvr.exe

--

End of file - 11353 bytes

Modifié le 2 octobre 2008 par BEM

Le sioux · le 25 septembre 2008

Bonjour BEM et bienvenue chez Zébulon

Avant toute chose, tu es encore en SP1, une fois désinfecté, il faudra penser à mettre à jour Windows, nous en sommes

au SP3, tu t'exposes à de nombreuses failles de sécurité en ne le faisant pas.

Ton PC est infecté par l'adware Navipromo/ Magic control ainsi que par Crawler, besoin de deux autresrapports avant d'attaquer le nettoyage :

1) ToolBar-S&D

Télécharge ToolBar-S&D (Merci à Eric_71, Angeldark, Sham_Rock et XmichouX) sur ton Bureau.

Double-clique sur ToolBar-S&D afin de lancer l'installation, un raccourci sera ajouté sur le Bureau.
Double-clique dessus pour démarrer l'outil; choisis la langue.
Tape 1 puis sur la touche [Entrée] afin de lancer la recherche.
Patiente jusqu'à la fin de la recherche.
À la fin du scan, le rapport s'ouvrira dans le Bloc-notes.
Sauvegarde ce rapport sur ton Bureau pour le retrouver facilement.
Le rapport se trouve également sous : C:\TB.txt

Aide en images : http://toolbarsd.googlepages.com/aideenimages

2) Navilog1 d'El Mafioso

Télécharge Navilog1 d'Il Mafioso

Enregistrer la cible (du lien) sous... et enregistre-le sur ton Bureau.

/ !\ Déconnecte toi du net et désactive ton antivirus et antispyware résident pour que Navilog1 puisse s'exécuter normalement. /!\

Ensuite double-clique sur Navilog1.exe pour lancer l'installation.
Une fois l'installation terminée, fais un double-clic sur le raccourci de Navilog1 présent sur ton Bureau .
Au menu principal, fais le choix 1
Laisse toi guider et patiente.
Patiente jusqu'au message :
*** Analyse Termine le ..... ***
Appuie sur une touche le Bloc-notes va s'ouvrir.

-->--> Sauvegarde ce rapport sur ton Bureau pour le retrouver facilement.

Le rapport fixnavi.txt est en outre sauvegardé dans %systemdrive%.

/!\ Pense à ré-activer ton antivirus et antispyware résident avant de te reconnecter sur "la toile". / !\

3) Rapports

--> Poste en réponse ici le rapport de Toolbar S&D et celui de Navilog1

@ suivre

Modifié le 25 septembre 2008 par Le sioux

Zonk · le 25 septembre 2008

Avant toute chose, tu es encore en SP1, une fois désinfecté, il faudra penser à mettre à jour Windows, nous en sommes
au SP3, tu t'exposes à de nombreuses failles de sécurité en ne le faisant pas.

Allo Le Sioux

J'ose intervenir ...si ca peut rassurer BEM que son Windows n'est pas si désuet

Tu es en avance sur tout le monde avec Vista SP3

(BEM est sous Vista....et le SP1 est le dernier service pack...)

@+

BEM · le 25 septembre 2008

Salut Sioux et Zonk

merci beaucoup pour votre aide, vraiment très sympa

Donc voila tout d'abord la rapport ToolBar :

bem

-----------\\ ToolBar S&D 1.2.1 XP/Vista

Microsoft® Windows Vista™ Édition Familiale Premium ( v6.0.6001 ) Service Pack 1

X86-based PC ( Multiprocessor Free : Intel® Core2 Duo CPU T7250 @ 2.00GHz )

BIOS : Ver 1.00PARTTBL

USER : toto ( Administrator )

BOOT : Normal boot

Antivirus : Avira AntiVir PersonalEdition 8.0.1.18 (Activated)

C:\ (Local Disk) - NTFS - Total : 141 Go Free : 90 Go

D:\ (Local Disk) - NTFS - Total : 7 Go Free : 2 Go

E:\ (CD or DVD)

"C:\ToolBar SD" ( MAJ : 24-09-2008|21:50 )

Option : [1] ( 25/09/2008|22:44 )

[ UAC => 0 ]

-----------\\ Recherche de Fichiers / Dossiers ...

C:\PROGRA~2\MICROS~1\Windows\STARTM~1\Programs\Barre d'outils Crawler

C:\Program Files\Crawler

C:\Program Files\Crawler\adrkeys.dat

C:\Program Files\Crawler\COMMON_FF.dat

C:\Program Files\Crawler\confirm.dat

C:\Program Files\Crawler\ctbcomm.dll

C:\Program Files\Crawler\ctbr.dll

C:\Program Files\Crawler\CTConf.dat

C:\Program Files\Crawler\CTipsDef.dll

C:\Program Files\Crawler\CToolbar.exe

C:\Program Files\Crawler\CUpdate.exe

C:\Program Files\Crawler\Download

C:\Program Files\Crawler\firefox

C:\Program Files\Crawler\Languages

C:\Program Files\Crawler\lookfor.dat

C:\Program Files\Crawler\majorse.dat

C:\Program Files\Crawler\rootmenu.dat

C:\Program Files\Crawler\services.dat

C:\Program Files\Crawler\STWSGLanguageAct

C:\Program Files\Crawler\STWSG_FF.dat

C:\Program Files\Crawler\TBR5LanguageAct

C:\Program Files\Crawler\Update

C:\Program Files\Crawler\WebSecurityGuard.dll

C:\Program Files\Crawler\WSGData

-----------\\ [..\Internet Explorer\Main]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]

"Start Page"="http://www.cbsnews.com/"

"Local Page"="C:\\Windows\\system32\\blank.htm"

"Search Page"="http://recherche.neuf.fr/"'>http://recherche.neuf.fr/"

"Search Bar"="http://www.crawler.com/search/dispatcher.aspx?tp=aus&qkw=%s&tbid=60446"

"Url"="http://go.microsoft.com/fwlink/?LinkId=75720"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]

"Start Page"="http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_FR&c=73&bd=Pavilion&pf=laptop"'>http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_FR&c=73&bd=Pavilion&pf=laptop"

"Default_Page_URL"="http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_FR&c=73&bd=Pavilion&pf=laptop"

"Default_Search_URL"="http://recherche.neuf.fr/"

"Search Page"="http://go.microsoft.com/fwlink/?LinkId=54896"

--------------------\\ Recherche d'autres infections

C:\Program Files\WebMediaPlayer

C:\Program Files\WebMediaPlayer\Conditions g‚n‚rales.url

C:\Program Files\WebMediaPlayer\Confidentialit‚.url

C:\Program Files\WebMediaPlayer\resources

C:\Program Files\WebMediaPlayer\skins

C:\Program Files\WebMediaPlayer\sqlite3.dll

C:\Program Files\WebMediaPlayer\uninst.exe

C:\Program Files\WebMediaPlayer\updates

C:\Program Files\WebMediaPlayer\WebMediaPlayer.exe

C:\Program Files\WebMediaPlayer\Website.url

C:\PROGRA~2\MICROS~1\Windows\STARTM~1\Programs\WebMediaPlayer

C:\PROGRA~2\MICROS~1\Windows\STARTM~1\Programs\WebMediaPlayer\Conditions g‚n‚rales.lnk

C:\PROGRA~2\MICROS~1\Windows\STARTM~1\Programs\WebMediaPlayer\Confidentialit‚.lnk

C:\PROGRA~2\MICROS~1\Windows\STARTM~1\Programs\WebMediaPlayer\WebMediaPlayer.lnk

C:\PROGRA~2\MICROS~1\Windows\STARTM~1\Programs\WebMediaPlayer\Website.lnk

C:\Users\toto\AppData\Local\ouoeyow.dat

C:\Users\toto\AppData\Local\ouoeyow.exe

C:\Users\toto\AppData\Local\ouoeyow_nav.dat

C:\Users\toto\AppData\Local\ouoeyow_navps.dat

C:\Users\toto\AppData\Local\rceatidum.dat

C:\Users\toto\AppData\Local\rceatidum_nav.dat

C:\Users\toto\AppData\Local\rceatidum_navps.dat

==> EGDACCESS <==

[ UAC => 1 ]

1 - "C:\ToolBar SD\TB_1.txt" - 25/09/2008|22:02 - Option : [1]

2 - "C:\ToolBar SD\TB_2.txt" - 25/09/2008|22:44 - Option : [1]

-----------\\ Fin du rapport a 22:44:56,94

et le rapport navilog1 :

bem

Search Navipromo version 3.6.5 commencé le 25/09/2008 à 22:30:34,28

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!

!!! Postez ce rapport sur le forum pour le faire analyser !!!

!!! Ne lancez pas la partie désinfection sans l'avis d'un spécialiste !!!

Outil exécuté depuis C:\Program Files\navilog1

Session actuelle : "toto"

Mise à jour le 22.08.2008 à 17h30 par IL-MAFIOSO

Microsoft Windows Vista 6.0.6001

Internet Explorer : 7.0.6001.18000

Système de fichiers : NTFS

Recherche executé en mode normal

*** Recherche Programmes installés ***

*** Recherche dossiers dans "C:\Windows" ***

*** Recherche dossiers dans "C:\Program Files" ***

...\WebMediaPlayer trouvé !

*** Recherche dossiers dans "c:\progra~2\micros~1\windows\startm~1\programs" ***

...\WebMediaPlayer trouvé !

*** Recherche dossiers dans "c:\progra~2\micros~1\windows\startm~1" ***

*** Recherche dossiers dans "C:\ProgramData" ***

*** Recherche dossiers dans "c:\users\toto\appdata\roaming\micros~1\windows\startm~1\programs" ***

*** Recherche dossiers dans "C:\Users\toto\AppData\Local\virtualstore\Program Files" ***

*** Recherche dossiers dans "C:\Users\toto\AppData\Roaming" ***

*** Recherche avec Catchme-rootkit/stealth malware detector par gmer ***

pour + d'infos : http://www.gmer.net

Fichier(s) caché(s) :

C:\Users\toto\AppData\Local\ouoeyow.dat

C:\Users\toto\AppData\Local\ouoeyow.exe

C:\Users\toto\AppData\Local\ouoeyow_nav.dat

C:\Users\toto\AppData\Local\ouoeyow_navps.dat

*** Recherche avec GenericNaviSearch ***

!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!

!!! A vérifier impérativement avant toute suppression manuelle !!!

* Recherche dans "C:\Windows\system32" *

* Recherche dans "C:\Users\toto\AppData\Local\Microsoft" *

* Recherche dans "C:\Users\toto\AppData\Local\virtualstore\windows\system32" *

* Recherche dans "C:\Users\toto\AppData\Local" *

*** Recherche fichiers ***

c:\users\public\desktop\WebMediaPlayer.lnk trouvé !

*** Recherche clés spécifiques dans le Registre ***

HKEY_CURRENT_USER\Software\Lanconfig trouvé !

*** Module de Recherche complémentaire ***

(Recherche fichiers spécifiques)

1)Recherche nouveaux fichiers Instant Access :

2)Recherche Heuristique :

* Dans "C:\Windows\system32" :

* Dans "C:\Users\toto\AppData\Local\Microsoft" :

* Dans "C:\Users\toto\AppData\Local\virtualstore\windows\system32" :

* Dans "C:\Users\toto\AppData\Local" :

rceatidum.dat trouvé !

rceatidum_nav.dat trouvé !

rceatidum_navps.dat trouvé !

3)Recherche Certificats :

Certificat Egroup trouvé !

Certificat Electronic-Group trouvé !

Certificat Montorgueil absent !

Certificat OOO-Favorit trouvé !

Certificat Sunny-Day-Design-Ltd absent !

4)Recherche fichiers connus :

*** Analyse terminée le 25/09/2008 à 22:43:23,79 ***

Le sioux · le 25 septembre 2008

Bonsoir BEM

1) Désactive le contrôle des comptes utilisateurs

(Tu le réactiveras après ta désinfection.)

Vas dans le menu Démarrer puis Panneau de configuration
Double Clique sur l'icône "Comptes d'utilisateurs"
Clique ensuite sur Activer ou désactiver le contrôle des comptes d’utilisateurs
Décoche «Utiliser le contrôle d’utilisateurs pour vous aider à protéger votre ordinateur» et Valide par OK .

Un redémarrage du PC sera nécessaire.

2) ToolBar S&D (Merci à Eric_71, Angeldark, Sham_Rock et XmichouX)

/!\Déconnecte toi du net et désactive ton antivirus / antispyware résident / TeaTimer de Spybot (si présent et actif)/!\

Aide en images : http://forum.pcastuces.com/sujet.asp?f=25&s=37316

Double clique sur le raccourci de ToolBar-S&D présent sur ton Bureau.
( Sous Vista : clic droit et "Exécuter en tant qu'administrateur". )
Au menu principal, choisis l'option 2 et valide par la touche [Entrée].

/!\ Ne ferme pas la fenêtre lors de la suppression /!\

Un rapport sera généré, sauvegarde le sur ton Bureau.

3) Navilog1 option2

Veille à ce que le contrôle des comptes utilisateurs (UAC) soit désactivé..

Regarde ici si besoin : http://forum.pcastuces.com/desactiver_les_...entes-f31s4.htm

Double-clique sur le raccourci de Navilog1 présent sur ton Bureau.
Fais un clic droit sur le raccourci Navilog1 présent sur ton Bureau et « Exécuter en tant qu’administrateur »
Au menu principal, fais le choix 2
Laisse toi guider et patiente.
Le fix va t'informer qu'il va alors redémarrer ton PC
Ferme toutes les fenêtres ouvertes et enregistre tes documents personnels ouverts.
Appuie sur une touche comme demandé.
(Si ton PC ne redémarre pas automatiquement, fais le toi même)
Au redémarrage de ton PC, choisis ta session habituelle, si nécessaire.
Patiente jusqu'au message :
*** Nettoyage Termine le ..... ***
Le Bloc-notes va s'ouvrir.
Sauvegarde le rapport sur ton Bureau de manière à le retrouver.
Referme le Bloc-notes. Ton Bureau va réapparaître.

Note : Si ton Bureau ne réapparaît pas, fais CTRL+ALT+SUPP pour ouvrir le Gestionnaire de tâches.

Clique en haut à gauche sur Fichier et choisis "Nouvelle tâche" (Exécuter ...)

Tape explorer et valide. Cela fera apparaître ton Bureau.

--> Poste le rapport de Navilog1 (contenu du fichier cleannavi.txt) en réponse ainsi que le rapport de ToolBar-SD que tu as sauvegardé sur ton Bureau et un nouveau rapport HijackThis, dis moi aussi si tu constates des améliorations.

/!\ Pense à ré-activer ton antivirus et antispyware résident avant de te reconnecter sur Internet. ainsi que l'UAC/!\

@ suivre

BEM · le 26 septembre 2008

Salut SIOUX !

Et bien ça va beaucoup mieux, trop cool !! ouf plus de pubs intempestives. Encore un grand grand merci pour ton aide.

Je te joins les rapports :

tool-bar

navilog1

hijackthis

Pourrais-tu me faire une petite synthèse de ton diagnostic ? (j'aime bien comprendre). Deja, comment as tu repéré dès le début dans le premier rapport hijackthis l'adware Navipromo/ Magic control et Crawler. merci d'avance

BEM

ps : la barre google a disparu d'IE, c'est normal ?

Toolbar:

-----------

-----------\\ ToolBar S&D 1.2.1 XP/Vista

Microsoft® Windows Vista™ Édition Familiale Premium ( v6.0.6001 ) Service Pack 1

X86-based PC ( Multiprocessor Free : Intel® Core2 Duo CPU T7250 @ 2.00GHz )

BIOS : Ver 1.00PARTTBL

USER : toto ( Administrator )

BOOT : Normal boot

Antivirus : Avira AntiVir PersonalEdition 8.0.1.18 (Activated)

C:\ (Local Disk) - NTFS - Total : 141 Go Free : 90 Go

D:\ (Local Disk) - NTFS - Total : 7 Go Free : 2 Go

E:\ (CD or DVD)

"C:\ToolBar SD" ( MAJ : 24-09-2008|21:50 )

Option : [2] ( 26/09/2008|20:49 )

[ UAC => 1 ]

-----------\\ SUPPRESSION

Supprime! - C:\PROGRA~2\MICROS~1\Windows\STARTM~1\Programs\Barre d'outils Crawler

Supprime! - C:\Program Files\Crawler\adrkeys.dat

Supprime! - C:\Program Files\Crawler\COMMON_FF.dat

Supprime! - C:\Program Files\Crawler\confirm.dat

Supprime! - C:\Program Files\Crawler\ctbcomm.dll

Supprime! - C:\Program Files\Crawler\ctbr.dll

Supprime! - C:\Program Files\Crawler\CTConf.dat

Supprime! - C:\Program Files\Crawler\CTipsDef.dll

Supprime! - C:\Program Files\Crawler\CToolbar.exe

Supprime! - C:\Program Files\Crawler\CUpdate.exe

Supprime! - C:\Program Files\Crawler\Download

Supprime! - C:\Program Files\Crawler\firefox

Supprime! - C:\Program Files\Crawler\Languages

Supprime! - C:\Program Files\Crawler\lookfor.dat

Supprime! - C:\Program Files\Crawler\majorse.dat

Supprime! - C:\Program Files\Crawler\rootmenu.dat

Supprime! - C:\Program Files\Crawler\services.dat

Supprime! - C:\Program Files\Crawler\STWSGLanguageAct

Supprime! - C:\Program Files\Crawler\STWSG_FF.dat

Supprime! - C:\Program Files\Crawler\TBR5LanguageAct

Supprime! - C:\Program Files\Crawler\Update

Supprime! - C:\Program Files\Crawler\WebSecurityGuard.dll

Supprime! - C:\Program Files\Crawler\WSGData

Supprime! - C:\Program Files\Crawler

-----------\\ Recherche de Fichiers / Dossiers ...

C:\Users\toto\AppData\Roaming\MICROS~1\Windows\Cookies\toto@crawler[1].txt

-----------\\ [..\Internet Explorer\Main]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]

"Start Page"="http://www.cbsnews.com/"

"Local Page"="C:\\Windows\\system32\\blank.htm"

"Search Page"="http://recherche.neuf.fr/"'>http://recherche.neuf.fr/"

"Search Bar"="http://www.crawler.com/search/dispatcher.aspx?tp=aus&qkw=%s&tbid=60446"

"Url"="http://go.microsoft.com/fwlink/?LinkId=75720"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]

"Start Page"="http://www.msn.com/"

"Default_Page_URL"="http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_FR&c=73&bd=Pavilion&pf=laptop"

"Default_Search_URL"="http://recherche.neuf.fr/"

"Search Page"="http://go.microsoft.com/fwlink/?LinkId=54896"

--------------------\\ Recherche d'autres infections

C:\Program Files\WebMediaPlayer

C:\Program Files\WebMediaPlayer\Conditions g‚n‚rales.url

C:\Program Files\WebMediaPlayer\Confidentialit‚.url

C:\Program Files\WebMediaPlayer\resources

C:\Program Files\WebMediaPlayer\skins

C:\Program Files\WebMediaPlayer\sqlite3.dll

C:\Program Files\WebMediaPlayer\uninst.exe

C:\Program Files\WebMediaPlayer\updates

C:\Program Files\WebMediaPlayer\WebMediaPlayer.exe

C:\Program Files\WebMediaPlayer\Website.url

C:\PROGRA~2\MICROS~1\Windows\STARTM~1\Programs\WebMediaPlayer

C:\PROGRA~2\MICROS~1\Windows\STARTM~1\Programs\WebMediaPlayer\Conditions g‚n‚rales.lnk

C:\PROGRA~2\MICROS~1\Windows\STARTM~1\Programs\WebMediaPlayer\Confidentialit‚.lnk

C:\PROGRA~2\MICROS~1\Windows\STARTM~1\Programs\WebMediaPlayer\WebMediaPlayer.lnk

C:\PROGRA~2\MICROS~1\Windows\STARTM~1\Programs\WebMediaPlayer\Website.lnk

C:\Users\toto\AppData\Local\ouoeyow.dat

C:\Users\toto\AppData\Local\ouoeyow.exe

C:\Users\toto\AppData\Local\ouoeyow_nav.dat

C:\Users\toto\AppData\Local\ouoeyow_navps.dat

C:\Users\toto\AppData\Local\rceatidum.dat

C:\Users\toto\AppData\Local\rceatidum_nav.dat

C:\Users\toto\AppData\Local\rceatidum_navps.dat

==> EGDACCESS <==

[ UAC => 1 ]

1 - "C:\ToolBar SD\TB_1.txt" - 25/09/2008|22:02 - Option : [1]

2 - "C:\ToolBar SD\TB_2.txt" - 25/09/2008|22:44 - Option : [1]

3 - "C:\ToolBar SD\TB_3.txt" - 26/09/2008|20:50 - Option : [2]

-----------\\ Fin du rapport a 20:50:59,49

NAVILOG1

Clean Navipromo version 3.6.5 commencé le 26/09/2008 à 21:35:04,84

Outil exécuté depuis C:\Program Files\navilog1

Session actuelle : "toto"

Mise à jour le 22.08.2008 à 17h30 par IL-MAFIOSO

Microsoft Windows Vista 6.0.6001

Internet Explorer : 7.0.6001.18000

Système de fichiers : NTFS

Mode suppression automatique

avec prise en charge résultats Catchme et GNS

Nettoyage exécuté au redémarrage de l'ordinateur

*** Creation backups fichiers trouvés par Catchme ***

Copie vers "C:\Program Files\navilog1\Backupnavi"

Copie C:\Users\toto\AppData\Local\ouoeyow.dat réalisée avec succès !

Copie C:\Users\toto\AppData\Local\ouoeyow.exe réalisée avec succès !

Copie C:\Users\toto\AppData\Local\ouoeyow_nav.dat réalisée avec succès !

Copie C:\Users\toto\AppData\Local\ouoeyow_navps.dat réalisée avec succès !

*** Suppression des fichiers trouvés avec Catchme ***

C:\Users\toto\AppData\Local\ouoeyow.dat supprimé !

C:\Users\toto\AppData\Local\ouoeyow.exe supprimé !

C:\Users\toto\AppData\Local\ouoeyow_nav.dat supprimé !

C:\Users\toto\AppData\Local\ouoeyow_navps.dat supprimé !

** 2ème passage avec résultats Catchme **

* Dans "C:\Windows\system32" *

* Dans "C:\Users\toto\AppData\Local\Microsoft" *

* Dans "C:\Users\toto\AppData\Local\virtualstore\windows\system32" *

* Dans "C:\Users\toto\AppData\Local" *

*** Suppression avec sauvegardes résultats GenericNaviSearch ***

* Suppression dans "C:\Windows\System32" *

* Suppression dans "C:\Users\toto\AppData\Local\Microsoft" *

* Suppression dans "C:\Users\toto\AppData\Local\virtualstore\windows\system32" *

* Suppression dans "C:\Users\toto\AppData\Local" *

*** Suppression dossiers dans "C:\Windows" ***

*** Suppression dossiers dans "C:\Program Files" ***

...\WebMediaPlayer ...suppression...

...\WebMediaPlayer supprimé !

*** Suppression dossiers dans "c:\progra~2\micros~1\windows\startm~1\programs" ***

...\WebMediaPlayer ...suppression...

...\WebMediaPlayer supprimé !

*** Suppression dossiers dans "c:\progra~2\micros~1\windows\startm~1" ***

*** Suppression dossiers dans "C:\ProgramData" ***

*** Suppression dossiers dans c:\users\toto\appdata\roaming\micros~1\windows\startm~1\programs ***

*** Suppression dossiers dans "C:\Users\toto\AppData\Local\virtualstore\Program Files" ***

*** Suppression dossiers dans "C:\Users\toto\AppData\Roaming" ***

*** Suppression fichiers ***

c:\users\public\desktop\WebMediaPlayer.lnk supprimé !

*** Suppression fichiers temporaires ***

Nettoyage contenu C:\Windows\Temp effectué !

Nettoyage contenu C:\Users\toto\AppData\Local\Temp effectué !

*** Traitement Recherche complémentaire ***

(Recherche fichiers spécifiques)

1)Suppression avec sauvegardes nouveaux fichiers Instant Access :

2)Recherche, création sauvegardes et suppression Heuristique :

* Dans "C:\Windows\system32" *

* Dans "C:\Users\toto\AppData\Local\Microsoft" *

* Dans "C:\Users\toto\AppData\Local\virtualstore\windows\system32" *

* Dans "C:\Users\toto\AppData\Local" *

rceatidum.dat trouvé !

Copie rceatidum.dat réalisée avec succès !

rceatidum.dat supprimé !

rceatidum_nav.dat trouvé !

Copie rceatidum_nav.dat réalisée avec succès !

rceatidum_nav.dat supprimé !

rceatidum_navps.dat trouvé !

Copie rceatidum_navps.dat réalisée avec succès !

rceatidum_navps.dat supprimé !

*** Sauvegarde du Registre vers dossier Safebackup ***

sauvegarde du Registre réalisée avec succès !

*** Nettoyage Registre ***

Nettoyage Registre Ok

*** Certificats ***

Certificat Egroup supprimé !

Certificat Electronic-Group supprimé !

Certificat Montorgueil absent !

Certificat OOO-Favorit supprimé !

Certificat Sunny-Day-Design-Ltdt absent !

*** Nettoyage terminé le 26/09/2008 à 21:39:33,14 ***

et enfin hijackthis :