malware ?

[bebert888]

bonjour,

 

IE semble avoir été victime d'un malware que je n'arrive pas à erradiquer.

 

Il refuse la page d'accueil que j'entre dans les options internet

 

et la barre d'adresse refuse tout autre adresse que le suivant

 

res://C:\WINDOWS\System32\shdoclc.dll/navcancl.htm

 

lorsque j'essaie de taper une autre adresse la barre m'affiche le message suivant :

 

res://sehlp.dll/HTTP_Blocked.htm

 

et une page me dit ceci :

 

Access Blocked - Virus Warning!

You cannot access this site due to following reason:

Your computer was infected by Spyware or Adware Software.

This is dangerous software which disclose your personal

and transferred data and/or display unsolices advertising.

You can use this ADWARE/SPYWARE REMOVAL tools in

order to solve this problem and prevent futurer infection.

 

You can click Search to look for information on the Internet.

 

HTTP Error - Access Blocked

 

J'ai essayé d'eradiquer le malware (si c'en est un) avec AD AWARE et SPYBOOT mais c'est toujours là.

 

MERCI PAR AVANCE POUR VOS CONSEILS

[Sew-Oszka]

Coucou!

 

Télécharge Hijackhis sur Zeb, fais un log et post le resultat sur ce forum! après on te dira quelle lignes tu devras fixer...Bonne Chance

[bebert888]

Merci choupinou,

 

Voici le log fait par hijackthis,

 

voyez ce que vous pouvez y déceler.

 

Merci d'avance

 

Logfile of HijackThis v1.99.0

Scan saved at 20:59:02, on 12/02/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

C:\Program Files\Ahead\InCD\InCDsrv.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\system32\ZoneLabs\minilog.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\RUNDLL32.EXE

C:\Program Files\Ahead\InCD\InCD.exe

C:\WINDOWS\System32\rundll32.exe

C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe

C:\WINDOWS\System32\CSRSSU.EXE

C:\WINDOWS\System32\CTFMON32.EXE

C:\Program Files\Palm\AlarmApp.exe

C:\WINDOWS\DvzCommon\DvzMsgr.exe

C:\Program Files\Zone Labs\ZoneAlarm\zapro.exe

C:\Program Files\Palm\HOTSYNC.EXE

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Documents and Settings\user\Bureau\Outils systeme\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://default.home

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://default.home

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 65.217.238.145:8080

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: SEDP Class - {3BA765C2-08DB-4fe2-9279-311CA10D582A} - C:\WINDOWS\sehlp.dll

O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\Program Files\FlashGet\jccatch.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe

O4 - HKLM\..\Run: [inCD] C:\Program Files\Ahead\InCD\InCD.exe

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [MMTray] C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKCU\..\Run: [CSRSSU] C:\WINDOWS\System32\CSRSSU.EXE

O4 - HKCU\..\Run: [CTFMON32] C:\WINDOWS\System32\CTFMON32.EXE

O4 - Startup: HotSync Manager.lnk = C:\Program Files\Palm\HOTSYNC.EXE

O4 - Startup: Kremlin Sentry.LNK = C:\Program Files\Mach5 Software\Kremlin\Kremlin Sentry.exe

O4 - Global Startup: Alarm Manager.LNK = C:\Program Files\Palm\AlarmApp.exe

O4 - Global Startup: Dataviz Messenger.lnk = C:\WINDOWS\DvzCommon\DvzMsgr.exe

O4 - Global Startup: ZoneAlarm Pro.lnk = C:\Program Files\Zone Labs\ZoneAlarm\zapro.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Tout télécharger avec FlashGet - C:\Program Files\FlashGet\jc_all.htm

O8 - Extra context menu item: Télécharger avec FlashGet - C:\Program Files\FlashGet\jc_link.htm

O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Program Files\FlashGet\flashget.exe

O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Program Files\FlashGet\flashget.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{73E2E2B6-B6BB-4851-B735-09FA44F00250}: NameServer = 213.36.80.1 213.36.80.1

O17 - HKLM\System\CS1\Services\Tcpip\..\{73E2E2B6-B6BB-4851-B735-09FA44F00250}: NameServer = 213.36.80.1 213.36.80.1

O23 - Service: Service d'administration du Gestionnaire de disque logique - Unknown - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: EPSON Printer Status Agent2 - SEIKO EPSON CORPORATION - C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

O23 - Service: Journal des événements - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Service COM de gravage de CD IMAPI - Unknown - C:\WINDOWS\System32\imapi.exe

O23 - Service: InCD File System Service - AHEAD Software - C:\Program Files\Ahead\InCD\InCDsrv.exe

O23 - Service: TrueVector Basic Logging Client - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\minilog.exe

O23 - Service: DDE réseau - Unknown - C:\WINDOWS\system32\netdde.exe

O23 - Service: DSDM DDE réseau - Unknown - C:\WINDOWS\system32\netdde.exe

O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Plug-and-Play - Unknown - C:\WINDOWS\system32\services.exe

O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance - Unknown - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: TrueVector Internet Monitor - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

O23 - Service: Cliché instantané de volume - Unknown - C:\WINDOWS\System32\vssvc.exe

O23 - Service: Carte de performance WMI - Unknown - C:\WINDOWS\System32\wbem\wmiapsrv.exe

[Invité tesgaz]

salut,

 

tu redémarres ton pc en mode sans echec (en appuyant sur la touche F8 de ton clavier au démarrage de ta machine)

 

ensuite tu relances Hijackthis, et tu fixes ces lignes (en les cochant et en cliquant sur Fix checked)

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://default.home

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://default.home

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 65.217.238.145:8080

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: SEDP Class - {3BA765C2-08DB-4fe2-9279-311CA10D582A} - C:\WINDOWS\sehlp.dll

 

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKCU\..\Run: [CSRSSU] C:\WINDOWS\System32\CSRSSU.EXE

O4 - HKCU\..\Run: [CTFMON32] C:\WINDOWS\System32\CTFMON32.EXE

O4 - Startup: Kremlin Sentry.LNK = C:\Program Files\Mach5 Software\Kremlin\Kremlin Sentry.exe

 

O4 - Global Startup: Dataviz Messenger.lnk = C:\WINDOWS\DvzCommon\DvzMsgr.exe

 

ensuite, une fois fixer, tu ouvres ton explorateur, tu mets les options qui te permettes de voir les fichiers cachés :

Pour changer ce paramètre depuis l'explorateur de Windows,

Menu "Outils", "Option des dossiers", onglet "Affichage" :

 

Activer la case : "Afficher les fichiers et dossiers cachés"

Désactiver la case : "Masquer les extensions des fichiers dont le type est connu"

Désactiver la case : "Masquer les fichiers protégés du système d'exploitation"

Puis "Appliquer".

 

ensuite, tu cherches ces fichiers que tu vas supprimer :

C:\WINDOWS\sehlp.dll

C:\WINDOWS\System32\CSRSSU.EXE

C:\WINDOWS\DvzCommon\DvzMsgr.exe

pour celui là :

C:\Program Files\Mach5 Software\Kremlin\Kremlin Sentry.exe << c'est toi qui l'a installé ?, si c'est le cas tu le gardes, sinon, tu lsupprimes le dossier complet

 

voila, tu redémarres en mode normal, tu refais un log que tu repostes ici pour voir s'il n'y a rien d'autre qui c'est greffé entre temps