Problème de publicité intempestives et autres

rabi · le 14 avril 2009

Bonjour,

Depuis quelques jours je suis harcelé par des pubs concernant des logiciel de sécurité.

Des fenêtres s'ouvrent de façon intempestives et m'empêche de surfer convenablement.

Jusque là le problème ne m'inquiétait pas outre mesure.

Mais voilà, ce soir les affaires se sont aggravées, j'utilise AVG comme antivirus, et celui ci m'annonce qu'un cheval de Troie a été détecté.

Ce message est apparu lorsque j'ai voulu lancer mon logiciel client FTP Flash Fxp, que j'utilisais sans aucun problème jusqu'à maintenant.

J'ai du d'ailleurs désinstaller ce programme qui causait une alerte cheval de Troie, et impossible de le réinstaller.

Les affaires se compliquent d'autant plus que lorsque je veux lancer un fichier vidéo avec Windows média player, j'ai immédiatement un message type

"explorer.exe a rencontré un problème et doit fermer. Nous vous prions de nous excuser pour le désagrément encouru."

(je clique sur "ne pas envoyer le rapport")

Je panique pas et je lance une analyse de mon lecteur C avec AVG, malheureusement celui ci ne trouve rien...

J'ai donc télécharger hitjackthis sur les conseil d'un ami, mais malheureusement je ne comprend rien au rapport et de peur de faire une mauvaise manipulation, je me suis dirigé vers vous.

Avant de lancer le logiciel j'ai pris soin de fermer tout les programmes, s'il s'avère qu'un processus firefox soit ouvert, c'est du a un autre problème que je n'arrive pas à résoudre et qui me colle depuis 2 semaines ( en gros j'ai de temps à autre un message, qui apparait lorsque je veux lancer firefox, et qui me dit qu'une session firefox est déjà ouverte, alors qu'aucune fenêtre est ouverte, je passe pas le gestionnaire de tâche pour fermer le processus et en ouvrir un autre, curieusement cela fonctionne)

voila le résultat du rapport :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 03:01:54, on 14/04/2009

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe

C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe

C:\PROGRA~1\Grisoft\AVG7\avgemc.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\PROGRA~1\Grisoft\AVG7\avgcc.exe

C:\Program Files\Analog Devices\Core\smax4pnp.exe

C:\Program Files\Analog Devices\SoundMAX\Smax4.exe

C:\Program Files\ASUS WiFi-AP Solo\RtWLan.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\system32\drwtsn32.exe

C:\WINDOWS\explorer.exe

C:\Documents and Settings\chilo\Bureau\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [WinSys2] C:\WINDOWS\system32\winsys2.exe

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [soundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe

O4 - HKLM\..\Run: [soundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: ASUS WiFi-AP Solo.lnk = ?

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{27D550E3-5E1E-45B8-A549-65F6F385DD00}: NameServer = 212.27.53.252,212.27.54.252

O17 - HKLM\System\CCS\Services\Tcpip\..\{3A361327-F263-492D-B490-505906CF78AF}: NameServer = 212.27.53.252,212.27.54.252

O17 - HKLM\System\CS2\Services\Tcpip\..\{27D550E3-5E1E-45B8-A549-65F6F385DD00}: NameServer = 212.27.53.252,212.27.54.252

O17 - HKLM\System\CS3\Services\Tcpip\..\{27D550E3-5E1E-45B8-A549-65F6F385DD00}: NameServer = 212.27.53.252,212.27.54.252

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe

O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgemc.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe

--

End of file - 3711 bytes

J'espère que ce n'est rien de grave et je vous remercie d'avance pour l'attention que vous puissiez y porter.

Petite précision, j'ai reçu un mail d'un ami qui me demander de cliker sur une video, cela m'as envoyé sur une page d'erreur...et j'ai l'impression que l'origine du problème pourrait se situer là.

(cela m'apprendra a cliquer n'importe où).

Rabi

PS : en parcourant quelques sujets je me suis apercu que vous recomandiez l'utlisation de MBAM.

je me suis lancé dedans et apres mis à jour et analyse voici le rapport :

Malwarebytes' Anti-Malware 1.36

Version de la base de données: 1979

Windows 5.1.2600 Service Pack 2

14/04/2009 03:49:50

mbam-log-2009-04-14 (03-49-50).txt

Type de recherche: Examen complet (C:\|E:\|F:\|G:\|)

Eléments examinés: 102639

Temps écoulé: 13 minute(s), 23 second(s)

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 3

Valeur(s) du Registre infectée(s): 1

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 1

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):

HKEY_CURRENT_USER\SOFTWARE\fcn (Rogue.Residue) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\OOO (Rogue.LivePlayer) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\OOO (Malware.Trace) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WinSys2 (Trojan.Agent) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

Fichier(s) infecté(s):

C:\WINDOWS\system32\WinSys2.exe (Trojan.Agent) -> Quarantined and deleted successfully.

Le logiciel me demande de redémarrer, je vais le faire, j'espere que cela va fonctionner...

Modifié le 14 avril 2009 par rabi

Apollo · le 14 avril 2009

Bonjour,

Possible infection Vundo, on va vérifier.

Je te signale que tu peux disposer de ceci provisoirement mais c'est supérieur à AVG:

Gratuite pendant 6 mois: la suite internet security Avira.

https://license.avira.com/en/promotion-8821dtghledngvzkrrqr

Il faut bien sûr désinstaller antivirus et firewall avant, car ce produit est une suite complète de sécurité.

EDIT:

je vois que tu as déjà utilisé MBAM (ton édition), il ne s'agit dionc pas de Vundo.

Le logiciel qui suit n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.

Ne pas utiliser en dehors de ce cas de figure : dangereux.

Désactive ton antivirus, firewall et antispyware le temps de l'analyse.

Connecter les supports amovibles (clé usb et autres) avant de procéder.

Tutoriel officiel

Télécharge ComboFix sur ton bureau (et pas ailleurs).

Si la console de récupération n'est pas installée sur un XP, ComboFix va proposer de l'installer: Accepter!
Assure toi que tous les programmes sont fermés avant de commencer.
Double-clique combofix.exe afin de l'exécuter.
Clique sur "Oui" au message de Limitation de Garantie qui s'affiche.
Il est possible que ton pare-feu (firewall) te demande si tu acceptes ou non l'accès de nircmd.cfexe à la zone sûre: accepte.
Ne ferme pas la fenêtre qui vient de s'ouvrir, tu te retrouverais avec un bureau vide.
Lorsque l'analyse sera terminée, un rapport apparaîtra.
Copie-colle ce rapport dans ta prochaine réponse.
Le rapport se trouve dans : C:\Combofix.txt (si jamais).

Si tu perds la connexion après le passage de ComboFix, voici comment la réparer ICI.

Modifié le 14 avril 2009 par Apollo

rabi · le 14 avril 2009

Ok, j'ai téléchargé combofix.

Mais avant tout, je suis connecté via un routeur (freebox) que je partage avec mon coloc, cela n'as pas d'incidence ? la réparation en cas de perte de connection sera t-elle identique ?

Apollo · le 14 avril 2009

As-tu redémarré le pc après le scan MBAM?

Car si ça va après ça, inutile d'utiliser ComboFix.

rabi · le 14 avril 2009

oui j'ai redémaré, voila le rapport hitjackthis :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 04:11:02, on 14/04/2009

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\Analog Devices\Core\smax4pnp.exe

C:\Program Files\Analog Devices\SoundMAX\Smax4.exe

C:\Program Files\ASUS WiFi-AP Solo\RtWLan.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\PnkBstrA.exe