pages intempestives sous IE et Mozilla, incite à charger un antivirus

Sophie So · le 3 avril 2010

Bonjour,

Lors de la navigation, avec Mozilla comme avec IE, que je n'utilise presque pas, des pages non demandées s'ouvrent, qui redirigent rapidement vers d'autres pages. L'une d'entre elle détecte une soit-disant infection virale, elle fait un bilan d'infection bidon. Lorsqu'on tente de la fermer en cliquant sur un faux x elle lance un téléchargement de .exe.

Elle s'appelle Security Threat analysis et l'adresse est celle-ci: http://go-protect-my-system.xorg.pl/?p=p52dcWpnaV%2FCj8bYbnOCdVik12qUYGaMnNah2qePglzHysd2lJN%2Fel6orKWeZpXMZWRkaGKelpGIo6THodjXoGJdo3OL1cytnpl2Wp6dpJ6eU9rPlqdqWpuooWSZXmGfY5

GVlWplY2uXh9WemHGhqKykcmiQkMXToZKSoJ6r15zXoKLLkMzUyF%2BaoaOU08isp6CtYqicqHiskt3doKKRp2%2BxxZXRn1vTjszQiZKkonHXnsZtk5abmGllmp3GYpjKaWJjZJOayV7HZmefYsSalZVwYpucl8RtlGVva

Wtla3HCYpieYmWSlpZpyJPIaZKakpicmJRwmJzIkZubZ21pZJlsbGySk52flmJmapdrxV2YllbHmtOftq

aZn5%2FZnqqoWKiscWlmb2mTZpWXYWRTqKVqoV6UZ2CYZpSVk2VdlZmip7VfqZ2dcXBnag%3D%3D

J'ai Antivir à jour.

J'ai utilisé Spybot et A-squared, ainsi que Spyware Blaster, tous à jour, sans succès, même en mode sans échec.

J’ai fait passer deux anti-virus en ligne.

J’ai installé PC Tools Firewall

Je ne trouve pas comment nettoyer mes navigateurs.

Voici mon hijackthis fait à l’instant, après un CC Cleaner complet :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 12:27:06, on 03/04/2010

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir Desktop\sched.exe

c:\program files\a-squared free\a2service.exe

C:\Program Files\Avira\AntiVir Desktop\avguard.exe

c:\APPS\Powercinema\Kernel\TV\CLCapSvc.exe

C:\WINDOWS\system32\CTSvcCDA.EXE

C:\Program Files\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program Files\Club-Internet\Agent Wi-Fi V2.1\McciTrayApp.exe

C:\Program Files\CyberLink\Shared Files\CLML_NTService\CLMLService.exe

c:\APPS\HIDSERVICE\HIDSERVICE.exe

C:\Program Files\Avira\AntiVir Desktop\avgnt.exe

C:\Program Files\Sécurité\PC Tools Firewall Plus\FirewallGUI.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Sécurité\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe

C:\Program Files\Sécurité\PC Tools Firewall Plus\FWService.exe

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\MsPMSPSv.exe

c:\APPS\Powercinema\Kernel\TV\CLSched.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\microsoft office\office10\WINWORD.EXE

C:\Documents and Settings\SOPHIE\Bureau\téléchargements\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.msn.fr/spbasic.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.packardbell.fr/easysearch/index...rd=restauration

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Internet Explorer avec Club-Internet

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SCURIT~1\SPYBOT~1\SDHelper.dll

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [Club-Internet_McciTrayApp] C:\Program Files\Club-Internet\Agent Wi-Fi V2.1\McciTrayApp.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKLM\..\Run: [00PCTFW] "C:\Program Files\Sécurité\PC Tools Firewall Plus\FirewallGUI.exe" -s

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Sécurité\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll

O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe (file missing)

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe (file missing)

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SCURIT~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SCURIT~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\fr.htm

O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.inoculer.com/antivirus/Msie/bitdefender.cab

O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - c:\program files\a-squared free\a2service.exe

O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - c:\APPS\Powercinema\Kernel\TV\CLCapSvc.exe

O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - c:\APPS\Powercinema\Kernel\TV\CLSched.exe

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTSvcCDA.EXE

O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Program Files\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe

O23 - Service: Generic Service for HID Keyboard Input Collections (GenericHidService) - Unknown owner - c:\APPS\HIDSERVICE\HIDSERVICE.exe

O23 - Service: MySqlInventime - Unknown owner - c:\mysql\bin\mysqld-max-nt.exe

O23 - Service: PC Tools Firewall Plus (PCToolsFirewallPlus) - PC Tools - C:\Program Files\Sécurité\PC Tools Firewall Plus\FWService.exe

O23 - Service: Planificateur LiveUpdate automatique - Unknown owner - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe (file missing)

O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

--

End of file - 7997 bytes

Merci,

Sophie

Modifié le 3 avril 2010 par Sophie So

Sophie So · le 3 avril 2010

En attendant votre aide , j’ai fait tout ce qui est à ma portée :

- Suivi le tutorial zébulon pour changer le mot de passe du modem et cacher les ports, et activer le pare-feu.

- Nettoyé des programmes inutilisés installés sous C:\ (paramètres usine de mon Packard Bell) vus dans le log hijackthis en tâches de fond. Pas très propre ma désinstallation car ils sont invisible du désinstalleur Windows et CC cleaner. Y’a des « files missing » du coup que je ne peux pas « fix cheked », ils reviennent

- passé le patch sasser car j’avais attrapé ce virus il y a longtemps et j’aurais pu me réinfecter depuis un support amovible, mais non, il n’y est pas.

- formaté mes supports amovibles, après un usb fix qui montrait des infections (zip adressées au site demandé)

- tout vérifié en mode sans échec avec Antivir et Spyware Blaster, Spybot.

- Essayé d’autres outils (Ad- Remover, Trojan Remover) que j’ai ensuite désinstallés. J’ai aussi désinstallé spybot parce que c’est conseillé sur un fil ou quelqu’un a le même problème que moi.

- fait brûler un cirge au dieu Zébulon pour qu’il m’envoie un ange-gardien.

Ad-Remover a trouvé plein de choses lors du scan. Je l’ai relancé en fonction « nettoyage ». J’ai désactivé la restauration système avant. J’improvise, mais ça semble correspondre à la norme des conseils que vous donnez sur ce forum, je suis prudemment les explications données à d’autres quand elles semblent s’adapter à mon cas.

Le rapport d'Ad-Remover me rend optimiste, car même si je n'y comprend pas grand chose je vois qu'il y avait beaucoup de chose dans mes navigateurs, qui n'y sont plus, et depuis je n'ai pas été redirigée.

Si quelqu'un est intéressé par les logs d'ad-remover évidemment je les posterai. J'espère que vous voudrez bien vous pencher sur mon nouvel hijackthis, pour vérifier si tout est propre.

En attendant, merci pour les multiples conseils donnés à d'autres qui m'ont servi à me dépatouiller toute seule.

Modifié le 4 avril 2010 par Sophie So

Sophie So · le 4 avril 2010

Et voici le nouvel hijackthis fait en mode sans échec.

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 14:06:04, on 04/04/2010

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Safe mode

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Documents and Settings\SOPHIE\Bureau\téléchargements\HiJackThis.exe

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.msn.com/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =