spyware MEDIATICKETS

chercheur · le 12 mai 2005

Re,

1 Télécharge Ad-Aware SE Personnal

Regarde son tutorial d'installation.

Tu le paramêtre comme ceci.

* General--
-Sauver le journal automatiquement

-Mettre en quarantaine avant suppression

-Toujours demander confirmation

* Verification--

-Verification des archives

-Verification du registre

-Verification approfondie du registre

-Verifier les sites bannis dans mes favoris IE

-Verifier mon fichier Hostes

* Cliquez sur Clique ici pour selectionner les lecteurs

tous les disques durs

* Avancé--

-Inclure des informations processus

-Inclure des informations fichiers

-Inclure des informetions d'environnement

-Inclure des informations d'objets

* Optimiser--

Moteur de verification->Decharge les processus reconnus lors de la verification

->Inclure les la configuration basique d'ad-ware dans le journal

->Inclure la configuration avancée d'ad-ware dans le journal

Moteur de nettoyage->Laisser windows supprimer les fichiers en cours d'utilisation au prochain redemmarage Exécuter

cocher verification approfondie

2 Télécharge

Pocket KillBox

Ensuite, tu le dézippes sur ton bureau.

3 Recommence CWShredder

http://cwshredder.net/bin/CWShredder.exe

-Mettre CWShredder dans un répertoire dédié

-fermer toutes les fenêtres

-lancer CWShredder et cliquer sur "Fix".

4 Redémarre en mode sans echec.

5 Relance un scan HijackThis et coche les lignes en gras ci-dessous :

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wanadoo.fr/go/page_recherche/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.jimbutt.com/stuffs/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://search.yahoo.com/search?p=%s

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: Yahoo! Compagnon - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_3_18_0.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.3000.1001\fr\msntb.dll (file missing)

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\Wanadoo\CnxMon.exe

O4 - HKLM\..\Run: [ccApp] C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe

O4 - HKLM\..\Run: [NAV CfgWiz] C:\Program Files\Fichiers communs\Symantec Shared\CfgWiz.exe /GUID NAV /CMDLINE "REBOOT"

O4 - HKLM\..\Run: [ccRegVfy] C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [windll32.exe] C:\WINDOWS\System32\windll32.exe

O4 - Global Startup: DSLMON.lnk = ?

O16 - DPF: {084DAC27-6FA3-4F55-9005-033F2F102F5C} (ITPPDiagIE Class) - http://downloads.winwise.fr/Common/npwwg.cab

O16 - DPF: {09C21411-B9A2-4DE6-8416-4E3B58577BE0} (France Telecom MDM ActiveX Control) - http://minitelweb.minitel.com/imin_data/ocx/MDM.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{F54B5003-61FE-4A76-A656-2E8DE22F64F0}: NameServer = 80.10.246.130 80.10.246.3

Ferme toutes les fenêtres Windows, Internet explorer, Outlook,sauf le logiciel Hijackthis et clique sur « Fix checked »

6 Fais un scan avec AdAware.

Supprimes tout ce qu'il trouve.

7 Ouvre Pocket Killbox

colle dans la petite boite, le chemin complet du fichier suivant:

C:\WINDOWS\System32\windll32.exe

et clique sur Delete on Reboot, puis clique sur le cercle rouge avec la croix, tu auras le message suivant:"File with be deleted on next reboot, Process and Reboot now?" ,tu cliques sur "yes" .

8 Assure toi d'avoir accés à tous les fichiers.

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

9 Supprime les fichiers/dossiers incriminés (s'ils existent encore) :

C:\WINDOWS\System32\windll32.exe

10 Vas dans les fichiers Temp:

- C:\Windows\Temp

- C:\Documents and Settings\ton nom\Local Settings\Temp

- C:\Documents and Settings\autre nom\Local Settings\Temp

et supprime tout ce qu'il y a dedans

-Supprime tous les fichiers de Temporary Internet Files via

Options Internet/onglet Général/zone "Fichiers Internet Temporaires/bouton supprimer les fichiers .

-Supprime les Cookies .

-Clique sur Démarrer / Exécuter / tape CleanMgr et valide pour accepter l'examen du disque C:

coche toutes les cases et clique sur OK pour confirmer la suppression des fichiers

-Vide la corbeille

Recache les fichiers systeme afin de ne pas faire d'erreur à l'avenir en sélectionnant ne pas afficher les fichiers cachés ou les fichiers système.

11 Redémarre normalement et poste un nouveau log HijackThis pour vérification.

cedriquet · le 12 mai 2005

re chercheur,

J'ai fais ce que tu m'as dis mais encore pble lol

en fait en mode sans echec je ne trouve plus la ligne o4 du fichier log ou est situe - windll32.exe.

voici le nouveau log

Logfile of HijackThis v1.99.1

Scan saved at 00:14:34, on 13/05/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

C:\Program Files\Norton Personal Firewall\NISUM.EXE

C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\PROGRA~1\Grisoft\AVG6\avgserv.exe

C:\Program Files\Norton Personal Firewall\ccPxySvc.exe

C:\Program Files\Norton AntiVirus\navapsvc.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\userinit.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\ibz.exe

C:\WINDOWS\System32\RUNDLL32.EXE

C:\PROGRA~1\Wanadoo\CnxMon.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\SAGEM\SAGEM F@st800\dslmon.exe

C:\Program Files\Messenger\msmsgs.exe

C:\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wanadoo.fr/go/page_recherche/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.jimbutt.com/stuffs/