Relevant knowledge

[Jibione]

bonjour à tous,

 

j'ai récupéré le virus relevant knowledge.

 

quelqu'un peut-il m'aider à m'en débarasser?

 

voici le rapport hijackthis :

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 08:31:58, on 06/07/2009

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\RelevantKnowledge\rlvknlg.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\RTHDCPL.EXE

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Java\jre6\bin\jusched.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\Windows Live\Messenger\msnmsgr.exe

C:\Program Files\AMD\RAIDXpert\jetty\extra\win32\Wrapper.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Program Files\Bonjour\mDNSResponder.exe

C:\Program Files\Java\jre6\bin\jqs.exe

C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\AMD\RAIDXpert\_jvm\bin\java.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\WINDOWS\system32\wbem\unsecapp.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Documents and Settings\Jibione\Desktop\HiJackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.msn.fr/spbasic.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: NCO 2.0 IE BHO - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - (no file)

O2 - BHO: FDMIECookiesBHO Class - {CC59E0F9-7E43-44FA-9FAA-8377850BF205} - C:\Program Files\Free Download Manager\iefdm2.dll

O2 - BHO: Java Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKCU\..\Run: [QUAD Scheduler] C:\Program Files\QUAD Utilities\QUAD Registry Cleaner\QUAD Scheduler.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Tout télécharger avec Free Download Manager - file://C:\Program Files\Free Download Manager\dlall.htm

O8 - Extra context menu item: Télécharger avec Free Download Manager - file://C:\Program Files\Free Download Manager\dllink.htm

O8 - Extra context menu item: Télécharger la sélection avec Free Download Manager - file://C:\Program Files\Free Download Manager\dlselected.htm

O8 - Extra context menu item: Télécharger la vidéo avec Free Download Manager - file://C:\Program Files\Free Download Manager\dlfvideo.htm

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll

O17 - HKLM\System\CCS\Services\Tcpip\..\{45BCFF62-AB81-4033-A84F-C015C618050B}: NameServer = 212.27.53.252,212.27.54.252

O20 - Winlogon Notify: RelevantKnowledge - C:\Program Files\RelevantKnowledge\rlls.dll

O23 - Service: AMD RAIDXpert (AMDRAIDXpert) - Unknown owner - C:\Program Files\AMD\RAIDXpert\jetty\extra\win32\Wrapper.exe

O23 - Service: Planificateur Avira AntiVir Personal - Free Antivirus (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Service de l’iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Program Files\WinPcap\rpcapd.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

O23 - Service: uvnc_service - Unknown owner - C:\Program Files\UltraVNC\winvnc.exe (file missing)

 

--

End of file - 6187 bytes

 

 

Merci d'avance

[pear]

Bonjour,

 

Télécharger sur le bureauOTM by OldTimer .

Double-clic sur OTM.exe pour le lancer.

Sous Vista,Clic droit sur le fichier ->Choisir Exécuter en tant qu' Administrateur

Vérifier que Unregister Dll's and Ocx's soit coché.

* Copiez /Collez les lignes ci dessous):

 

:Processes

explorer.exe

:Files

c:\program files\relevantknowledge\rlvknlg.exe

c:\program files\quad utilities\quad registry cleaner\quad scheduler.exe

c:\program files\relevantknowledge\rlls.dll

 

:Reg

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]

"QUAD Scheduler"=-

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\RelevantKnowledge]

[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\RelevantKnowledge]

 

 

:Commands

[purity]

[emptytemp]

[start explorer]

[Reboot]

 

Revenez dans OTM,

Clic droit sur la fenêtre "Paste Instructions for Items to be Moved" sous la barre jaune et choisir Coller(Paste).

* Click le bouton rouge Moveit!

* Fermez OTM

Votre Pc va redémarrer.

Rendez vous dans le dossier C:\_OTM\MovedFiles ,

ouvrez le dernier fichier .log

Copiez/collez en le contenu dans votre prochaine réponse

 

 

 

Téléchargez MBAM

[branchez tous les supports amovibles avant de faire ce scan (clé usb/disque dur externe etc)

Si vous utilisez Spybot

Pour désactiver TeaTimer qui ne set à rien et peut faire échouer une désinfection:!

Afficher d'abord le Mode Avancé dans SpyBot

->Options Avancées :

- >menu Mode, Mode Avancé.

Une colonne de menus apparaît dans la partie gauche :

- >cliquer sur Outils,

- >cliquer sur Résident,

Dans Résident :

- >décocher Résident "TeaTimer" pour le désactiver.

* Double cliquez sur l'icône Download_mbam-setup.exe pour lancer le processus d'installation.

Enregistrez le sur le bureau .

Fermer toutes les fenêtres et programmes

Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet)

N'apportez aucune modification aux réglages par défaut et, en fin d'installation,

Vérifiez que les options Update Malwarebytes' Anti-Malware et Launch Malwarebytes' Anti-Malware sont cochées

MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse.

cliquer sur OK pour fermer la boîte de dialogue..

* Dans l'onglet "mise à jour", cliquez sur le bouton Recherche de mise à jour:

Si le pare-feu demande l'autorisation à MBAM de se connecter, acceptez.

* Une fois la mise à jour terminée, allez dans l'onglet Recherche.

* Sélectionnez "Exécuter un examen complet"

* Cliquez sur "Rechercher"

* .L' analyse prendra un certain temps, soyez patient !

* A la fin , un message affichera :

L'examen s'est terminé normalement.

 

*Si MBAM n'a rien trouvé, il le dira aussi.

Cliquez sur "Ok" pour poursuivre.

*Fermez les navigateurs.

Cliquez sur Afficher les résultats .

 

*Sélectionnez tout et cliquez sur Supprimer la sélection ,

MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

puis ouvrir le Bloc-notes et y copier le rapport d'analyse qui peut être retrouvé sous l'onglet Rapports/logs.

* Copiez-collez ce rapport dans la prochaine réponse.

[Jibione]

Tout d'abord, merci à toi Pear pour t'occuper de mon cas

 

voici le rapport otm :

 

All processes killed

========== PROCESSES ==========

No active process named explorer.exe was found!

========== FILES ==========

c:\program files\relevantknowledge\rlvknlg.exe moved successfully.

File/Folder c:\program files\quad utilities\quad registry cleaner\quad scheduler.exe not found.

DllUnregisterServer procedure not found in c:\program files\relevantknowledge\rlls.dll

c:\program files\relevantknowledge\rlls.dll NOT unregistered.

c:\program files\relevantknowledge\rlls.dll moved successfully.

========== REGISTRY ==========

Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\QUAD Scheduler deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\RelevantKnowledge\ deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\RelevantKnowledge\ not found.

========== COMMANDS ==========

 

[EMPTYTEMP]

 

User: All Users

 

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 33170 bytes

 

User: Jibione

->Temp folder emptied: 948775 bytes

->Temporary Internet Files folder emptied: 2705298 bytes

->Java cache emptied: 9950886 bytes

->FireFox cache emptied: 90259429 bytes

->Apple Safari cache emptied: 13218001 bytes

->Opera cache emptied: 1411048 bytes

 

User: LocalService

->Temp folder emptied: 0 bytes

File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.

->Temporary Internet Files folder emptied: 32902 bytes

 

User: NetworkService

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 179684285 bytes

 

%systemdrive% .tmp files removed: 0 bytes

%systemroot% .tmp files removed: 4285428 bytes

%systemroot%\System32 .tmp files removed: 4627985 bytes

Windows Temp folder emptied: 16019690 bytes

RecycleBin emptied: 51560746 bytes

 

Total Files Cleaned = 357,38 mb

 

 

OTM by OldTimer - Version 3.0.0.4 log created on 07062009_214039

 

Files moved on Reboot...

 

Registry entries deleted on Reboot...

[pear]

Bonsoir,

C'est bien , mais vous n'avez qu'une partie du chemin.

J'attends le rapport Maleware's bytes.

[Jibione]

Ca tourne..

[Jibione]

Le voici :

 

Malwarebytes' Anti-Malware 1.38

Version de la base de données: 2382

Windows 5.1.2600 Service Pack 2

 

06/07/2009 23:03:18

mbam-log-2009-07-06 (23-03-18).txt

 

Type de recherche: Examen complet (C:\|I:\|)

Eléments examinés: 155489

Temps écoulé: 1 hour(s), 10 minute(s), 49 second(s)

 

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 6

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 10

Fichier(s) infecté(s): 23

 

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Clé(s) du Registre infectée(s):

HKEY_CLASSES_ROOT\cablerouting.cablerouting (Trojan.BHO) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\cablerouting.cablerouting.1 (Trojan.BHO) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\vrmdtneg.bfso (Trojan.FakeAlert) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Adsl Software Ltd (Trojan.FakeAlert) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\fcn (Rogue.Residue) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{d08d9f98-1c78-4704-87e6-368b0023d831} (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.

 

Valeur(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

 

Dossier(s) infecté(s):

C:\Program Files\CableRouting (Trojan.FakeAlert) -> Quarantined and deleted successfully.

c:\documents and settings\All Users\Start Menu\Programs\RelevantKnowledge (Spyware.Marketscore) -> Quarantined and deleted successfully.

C:\Program Files\RelevantKnowledge (Spyware.Marketscore) -> Quarantined and deleted successfully.

c:\program files\relevantknowledge\components (Spyware.Marketscore) -> Quarantined and deleted successfully.

c:\documents and settings\All Users\Application Data\ADSL Software Ltd (Rogue.Multiple) -> Quarantined and deleted successfully.

c:\documents and settings\all users\application data\adsl software ltd\WinSpywareProtect (Rogue.Multiple) -> Quarantined and deleted successfully.

c:\documents and settings\all users\application data\adsl software ltd\winspywareprotect\BASE (Rogue.Multiple) -> Quarantined and deleted successfully.

c:\documents and settings\all users\application data\adsl software ltd\winspywareprotect\DELETED (Rogue.Multiple) -> Quarantined and deleted successfully.

c:\documents and settings\all users\application data\adsl software ltd\winspywareprotect\LOG (Rogue.Multiple) -> Quarantined and deleted successfully.

c:\documents and settings\all users\application data\adsl software ltd\winspywareprotect\SAVED (Rogue.Multiple) -> Quarantined and deleted successfully.

 

Fichier(s) infecté(s):

c:\system volume information\_restore{b9e2cb46-2106-41d8-a525-55ce93ab7c95}\RP382\A0092713.exe (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.

c:\program files\cablerouting\uninstall.dat (Trojan.FakeAlert) -> Quarantined and deleted successfully.

c:\program files\cablerouting\Uninstall.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.

c:\documents and settings\all users\start menu\Programs\relevantknowledge\About RelevantKnowledge.lnk (Spyware.Marketscore) -> Quarantined and deleted successfully.

c:\documents and settings\all users\start menu\Programs\relevantknowledge\Privacy Policy and User License Agreement.lnk (Spyware.Marketscore) -> Quarantined and deleted successfully.

c:\documents and settings\all users\start menu\Programs\relevantknowledge\Support.lnk (Spyware.Marketscore) -> Quarantined and deleted successfully.

c:\documents and settings\all users\start menu\Programs\relevantknowledge\Uninstall Instructions.lnk (Spyware.Marketscore) -> Quarantined and deleted successfully.

c:\program files\relevantknowledge\chrome.manifest (Spyware.Marketscore) -> Quarantined and deleted successfully.

c:\program files\relevantknowledge\install.rdf (Spyware.Marketscore) -> Quarantined and deleted successfully.

c:\program files\relevantknowledge\rloci.bin (Spyware.Marketscore) -> Quarantined and deleted successfully.

c:\program files\relevantknowledge\rlph.dll (Spyware.Marketscore) -> Quarantined and deleted successfully.

c:\program files\relevantknowledge\rlservice.exe (Spyware.Marketscore) -> Quarantined and deleted successfully.

c:\program files\relevantknowledge\rlxf.dll (Spyware.Marketscore) -> Quarantined and deleted successfully.

c:\program files\relevantknowledge\Shortcut to rlvknlg.exe.lnk (Spyware.Marketscore) -> Quarantined and deleted successfully.

c:\program files\relevantknowledge\components\rlxg.dll (Spyware.Marketscore) -> Quarantined and deleted successfully.

c:\documents and settings\all users\application data\adsl software ltd\winspywareprotect\LOG\20080621171005281.log (Rogue.Multiple) -> Quarantined and deleted successfully.

c:\documents and settings\all users\application data\adsl software ltd\winspywareprotect\LOG\20080621182605640.log (Rogue.Multiple) -> Quarantined and deleted successfully.

c:\documents and settings\all users\application data\adsl software ltd\winspywareprotect\LOG\20080622101248187.log (Rogue.Multiple) -> Quarantined and deleted successfully.

c:\documents and settings\all users\application data\adsl software ltd\winspywareprotect\LOG\20080622233527781.log (Rogue.Multiple) -> Quarantined and deleted successfully.

c:\documents and settings\all users\application data\adsl software ltd\winspywareprotect\LOG\20080623100429359.log (Rogue.Multiple) -> Quarantined and deleted successfully.

c:\documents and settings\all users\application data\adsl software ltd\winspywareprotect\LOG\20080623212606578.log (Rogue.Multiple) -> Quarantined and deleted successfully.

c:\documents and settings\all users\application data\adsl software ltd\winspywareprotect\LOG\20080623215145484.log (Rogue.Multiple) -> Quarantined and deleted successfully.

c:\winzip112.exe (Trojan.Agent) -> Quarantined and deleted successfully.

[pear]

Bonjour,

 

Désinstallez la Restauration Système.

 

Poste de Travail->Propriétés->Restauration Système.

Cocher la case "Désactiver la Restauration sur tous les lecteurs".

Vous la décocherez par la suite

Un nouveau point de restauration sera créé au redémarrage.

 

Cela va-t-il mieux désormais ?

[Jibione]

j'en ai bien l'impression pear, merci.

en tout cas le "relevant" a bien dégagé de mon pc!

 

un grand merci à toi.

 

du coup, j'en profite :

 

- à quoi sert la dernière manip? je n'ai pas compris l'intérêt de la désactivation de la restauration des lecteurs...

- comme tu as dû le voir, j'ai avira comme antivirus. est-il toujours d'actualité pour limiter les infections?

 

encore merci et très bonne continuation à toi.

en plus aidé par quelqu'un du 29.. la classe

[pear]

Bonjour,

IL y avait un fichier de restauration infecté, d'où la nécessité de la suppression.

Antivir est toujours excellent: l'un des meilleurs .

[Jibione]

ok merci pour tout