Disparition de l'arrière-plan du bureau

goltia · le 20 mai 2005

Salut à tous.

Suite à un spyware sur le pc de mes parents, l'arrière-plan du bureau sur la session de ma mère a disparu. Si je vais dans propriétés d'affichage, il n'y a que les onglets écran de veille et paramètres. Je ne sais pas pourquoi les autres ont disparu ? Sinon j'ai essayé de définir l'image désiré comme papier peint du bureau mais rien ne se passe. L'arrière plan reste toujuors tout noir.

Est-ce que quelqu'un peut m'aider svp?

Merci d'avance.

@+

le 20 mai 2005

Salut,

encore un coup de iguard ou autres bestioles,

regardes cette discussion sur le même sujet

http://forum.zebulon.fr/index.php?showtopic=66011

et ensuite post un rapport hijackthis dans le forum sécurité

Modifié le 20 mai 2005 par tesgaz

goltia · le 21 mai 2005

Merci tesgaz.

Vais poster de suite.

@+

goltia · le 21 mai 2005

Salut.

tesgaz m'a dit de poster mon rapport silentrunner ici.

Mon problème était que l'arrière-plan sur la session de ma mère ne pouvait plus être changé (dans les propriétés d'affichage il ne restait que les onglets Ecran de veille et Paramètres). Quand je définis une image comme arrière-plan du bureau, rien ne se passe.

Je venais d'éliminer un spyware : startsearches. apparament il doit en rester un peu.

"Silent Runners.vbs", revision 36, http://www.silentrunners.org/

Operating System: Windows XP SP2

Output limited to non-default values, except where indicated by "{++}"

Startup items buried in registry:

---------------------------------

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}

"MessengerPlus3" = ""C:\Program Files\MessengerPlus! 3\MsgPlus.exe" /WinStart" ["Patchou"]

"MSMSGS" = ""C:\Program Files\Messenger\msmsgs.exe" /background" [MS]

"msnmsgr" = ""C:\Program Files\MSN Messenger\msnmsgr.exe" /background" [MS]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}

"SunJavaUpdateSched" = "C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe" [null data]

"hpsysdrv" = "c:\windows\system\hpsysdrv.exe" ["Hewlett-Packard Company"]

"HPHUPD06" = "c:\Program Files\HP\{AAC4FC36-8F89-4587-8DD3-EBC57C83374D}\hphupd06.exe" ["Hewlett-Packard"]

"HPHmon06" = "C:\WINDOWS\system32\hphmon06.exe" ["Hewlett-Packard"]

"KBD" = "C:\HP\KBD\KBD.EXE" ["Hewlett-Packard Company"]

"iTunesHelper" = "C:\Program Files\iTunes\iTunesHelper.exe" ["Apple Computer, Inc."]

"Recguard" = "C:\WINDOWS\SMINST\RECGUARD.EXE" [empty string]

"VTTimer" = "VTTimer.exe" [file not found]

"SiS Windows KeyHook" = "C:\WINDOWS\system32\keyhook.exe" ["Silicon Integrated Systems Corporation"]

"AGRSMMSG" = "AGRSMMSG.exe" ["Agere Systems"]

"PS2" = "C:\WINDOWS\system32\ps2.exe" ["Hewlett-Packard Company"]

"ATIPTA" = "C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe" ["ATI Technologies, Inc."]

"InCD" = "C:\Program Files\Ahead\InCD\InCD.exe" [null data]

"NeroFilterCheck" = "C:\WINDOWS\system32\NeroCheck.exe" ["Ahead Software Gmbh"]

"KAVPersonal50" = "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize" ["Kaspersky Labs"]

"ADS TVR Agent" = "C:\Program Files\ADS Tech\INSTANT TV PVR\Scheduled.exe" ["ADS"]

"MessengerPlus3" = ""C:\Program Files\MessengerPlus! 3\MsgPlus.exe"" ["Patchou"]

"QuickTime Task" = ""C:\Program Files\QuickTime\qttask.exe" -atboottime" ["Apple Computer, Inc."]

"MSN Messenger" = "C:\WINDOWS\system32\msmsgs.exe" [file not found]

HKLM\Software\Microsoft\Active Setup\Installed Components\

{8b15971b-5355-4c82-8c07-7e181ea07608}\(Default) = "Fax"

\StubPath = "rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\fxsocm.inf,Fax.UnInstall.PerUser" [MS]

{94de52c8-2d59-4f1b-883e-79663d2d9a8c}\(Default) = "Fax Provider"

\StubPath = "rundll32.exe C:\WINDOWS\system32\Setup\FxsOcm.dll,XP_UninstallProvider" [MS]

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\

"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "Extension Affichage Panorama du Panneau de configuration"

-> {CLSID}\InProcServer32\(Default) = "deskpan.dll" [file not found]

"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Extension icône HyperTerminal"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\hticons.dll" ["Hilgraeve, Inc."]

"{DEE12703-6333-4D4E-8F34-738C4DCC2E04}" = "RecordNow! SendToExt"

-> {CLSID}\InProcServer32\(Default) = "c:\Program Files\Sonic RecordNow!\shlext.dll" [null data]

"{7F67036B-66F1-411A-AD85-759FB9C5B0DB}" = "SampleView"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\ShellvRTF.dll" ["XSS"]

"{0006F045-0000-0000-C000-000000000046}" = "Microsoft Outlook Custom Icon Handler"

-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\MICROS~4\Office\OLKFSTUB.DLL" [MS]

"{AB77609F-2178-4E6F-9C4B-44AC179D937A}" = "a² Context Menu Shell Extension"

-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\a2\A2CONT~1.DLL" [null data]

"{FA010552-4A27-4cb1-A1BB-3E2D697F1639}" = "SpySubtract Shell Extension"

-> {CLSID}\InProcServer32\(Default) = "c:\Program Files\interMute\SpySubtract\sshook.dll" ["InterMute, Inc."]

"{640167b4-59b0-47a6-b335-a6b3c0695aea}" = "Portable Media Devices"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\Audiodev.dll" [MS]

"{cc86590a-b60a-48e6-996b-41d25ed39a1e}" = "Portable Media Devices Menu"

-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\system32\Audiodev.dll" [MS]

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\

INFECTION WARNING! "{FA010552-4A27-4cb1-A1BB-3E2D697F1639}" = "SpySubtract Shell Extension"

-> {CLSID}\InProcServer32\(Default) = "c:\Program Files\interMute\SpySubtract\sshook.dll" ["InterMute, Inc."]

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\

INFECTION WARNING! AtiExtEvent\DLLName = "Ati2evxx.dll" ["ATI Technologies Inc."]

INFECTION WARNING! igfxcui\DLLName = "igfxsrvc.dll" ["Intel Corporation"]

Enabled Screen Saver:

---------------------

HKCU\Control Panel\Desktop\

"SCRNSAVE.EXE" = "C:\WINDOWS\system32\ssmypics.scr" [MS]

Enabled Wallpaper and Active Desktop:

-------------------------------------

Active Desktop is enabled.

HKCU\Software\Microsoft\Internet Explorer\Desktop\General\

"Wallpaper" = "C:\WINDOWS\system32\config\systemprofile\Local Settings\Application Data\Microsoft\Wallpaper1.bmp"

Startup items in "Cyril" & "All Users" startup folders:

-------------------------------------------------------

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage

"HP Digital Imaging Monitor" -> shortcut to: "C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe" ["Hewlett-Packard Co."]

"SpySubtract" -> shortcut to: "C:\Program Files\interMute\SpySubtract\SpySub.exe -autostart" ["InterMute, Inc."]

"TV Remote Control" -> shortcut to: "C:\Program Files\ADS Tech\Instant TV Remote\ADSRMT.exe" ["ADS Technologies"]

Winsock2 Service Provider DLLs:

-------------------------------

Namespace Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}

000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]

000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

Transport Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}

0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:

%SystemRoot%\system32\mswsock.dll [MS], 01 - 03, 06 - 21

%SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05

Toolbars, Explorer Bars, Extensions:

------------------------------------

Toolbars

HKCU\Software\Microsoft\Internet Explorer\Toolbar\ShellBrowser\

"{B2847E28-5D7D-4DEB-8B67-05D28BCF79F5}"

-> {CLSID}\(Default) = "Vue HP"

-> {CLSID}\InProcServer32\(Default) = "c:\Program Files\HP\Digital Imaging\bin\HPDTLK02.dll" ["Hewlett-Packard Company"]

HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\

"{B2847E28-5D7D-4DEB-8B67-05D28BCF79F5}"

-> {CLSID}\(Default) = "Vue HP"

-> {CLSID}\InProcServer32\(Default) = "c:\Program Files\HP\Digital Imaging\bin\HPDTLK02.dll" ["Hewlett-Packard Company"]

Dormant Explorer Bars in "View, Explorer Bar" menu

HKLM\Software\Classes\CLSID\{B2847E28-5D7D-4DEB-8B67-05D28BCF79F5}\

(Default) = "Vue HP"

Implemented Categories\{00021494-0000-0000-C000-000000000046}\ [horizontal bar]

InProcServer32\(Default) = "c:\Program Files\HP\Digital Imaging\bin\HPDTLK02.dll" ["Hewlett-Packard Company"]

Extensions (Tools menu items, main toolbar menu buttons)

HKLM\Software\Microsoft\Internet Explorer\Extensions\

{08B0E5C0-4FCB-11CF-AAA5-00401C608501}\

"MenuText" = "Console Java (Sun)"

"CLSIDExtension" = "{08B0E5C0-4FCB-11CF-AAA5-00401C608501}"

{FB5F1910-F110-11D2-BB9E-00C04F795683}\

"ButtonText" = "Messenger"

"MenuText" = "Windows Messenger"

"Exec" = "C:\Program Files\Messenger\msmsgs.exe" [MS]

Running Services (Display Name, Service Name, Path {Service DLL}):

------------------------------------------------------------------

Ati HotKey Poller, Ati HotKey Poller, "C:\WINDOWS\system32\Ati2evxx.exe" ["ATI Technologies Inc."]

iPod Service, iPodService, ""C:\Documents and Settings\Cyril\iPod\bin\iPodService.exe"" ["Apple Computer, Inc."]

kavsvc, kavsvc, "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe" ["Kaspersky Labs"]

Windows User Mode Driver Framework, UMWdf, "C:\WINDOWS\system32\wdfmgr.exe" [MS]

----------

This report excludes default entries except where indicated.

To see *everywhere* the script checks and *everything* it finds,

launch it from a command prompt or a shortcut with the -all parameter.

----------

queruak · le 21 mai 2005

Bonjour,

goltia,ce n'est vraiment pas sympa de ta part,et je ne suis pas content.

Tu pars sans donner suite,ensuite tu réapparais avec un nouveau topic pour le meme PC en déclarant :

Je venais d'éliminer un spyware : startsearches.

.

Tu ne l'as pas éliminé tout seul,et sache que cela fait plusieurs jours que je t'attends ici:

http://forum.zebulon.fr/index.php?showtopic=66545&hl=

ici

http://forum.zebulon.fr/index.php?showtopic=66869

quelqu'un qui a eu le meme probleme que toi,résolu en moins de 12 heures.

Modifié le 21 mai 2005 par queruak

queruak · le 21 mai 2005

Bonjour à tous,

Salut,
encore un coup de iguard ou autres bestioles,

regardes cette discussion sur le même sujet

http://forum.zebulon.fr/index.php?showtopic=66011

et ensuite post un rapport hijackthis dans le forum sécurité

505819[/snapback]

Hello tesgaz

Le probleme de goltia etait en voie de résolution,il a posté son rapport hijackthis il y'a une semaine,tout se passait bien,mais goltia préfere ne pas donner de suite,pour se disperser ensuite et lancer plusieurs discussions.

http://forum.zebulon.fr/index.php?showtopic=66545&hl=

ipl_001 · le 21 mai 2005

Bonjour goltia, queruak, bonjour à tous,

goltia, s'il te plait, ne poste pas à droite et à gauche :

- queruak apporte généreusement des réponses précieuses pour beaucoup de nos problèmes, ne lui complique pas la tâche inutilement !

- de mon côté, je dois aller chercher les bouts de discussions à différents endroits et reconstituer une solution complète pour aider beaucoup de membres !

goltia · le 24 mai 2005

Salut queruak et tesgaz.

Je vous prie de m'excuser.

Quand j'ai posté le 2eme sujet, je n'étais pas sur qu'il y est un lien avec le spyware même si je l'ai mentionné (on ne sait jamais).

De plus je n'avais pas vu que queruak avait posté de nouveau sur le 1er sujet. Je pensais que mon probleme était résolu.

Excusez-moi encore pour cette réponse tardive, j'accède moins souvent à ce pc (et comme le mien est en réparation :s).

J'éxécuterai ces actions demain matin.

Veuillez encore m'excuser pour toutes mes malpolitesses.

Je tiens à vous remercier pour tt ce que vous faites, ainsi que pour votre rapidité de réponse.

@+

goltia · le 25 mai 2005

Salut.

Alors j'ai lu l'autre sujet ayant le même problème que moi. J'ai fait ce qui était indiqué. Mais je ne peux toujours pas remettre l'arrière-plan de ma mère.

De plus j'ai trouvé Virtual Maid avec jv16. Je l'ai supprimé. Je n'ai rien correspondant à SaveNow, WhenUSave, ...

Je vous mets mes différents rapports en espérant que vous voudrez quand même continuer à m'aider :s

Activescan (Panda) :

Incident Status Location

Adware:Adware/MyWebSearch No disinfected Windows Registry

Virus:Exploit/ByteVerify Disinfected C:\Documents and Settings\HP_Propriétaire\Application Data\Sun\Java\Deployment\cache\javapi\v1.0\jar\loaderadv405.jar-63dc068-68d1b703.zip[Dummy.class]

Adware:Adware/Virmaid No disinfected C:\WINDOWS\system32\perfcii.ini

Rapport SilentRunner:

"Silent Runners.vbs", revision 36, http://www.silentrunners.org/

Operating System: Windows XP SP2

Output limited to non-default values, except where indicated by "{++}"

Startup items buried in registry:

---------------------------------

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}

"MessengerPlus3" = ""C:\Program Files\MessengerPlus! 3\MsgPlus.exe" /WinStart" ["Patchou"]

"MSMSGS" = ""C:\Program Files\Messenger\msmsgs.exe" /background" [MS]

"msnmsgr" = ""C:\Program Files\MSN Messenger\msnmsgr.exe" /background" [MS]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}

"SunJavaUpdateSched" = "C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe" [null data]

"hpsysdrv" = "c:\windows\system\hpsysdrv.exe" ["Hewlett-Packard Company"]

"HPHUPD06" = "c:\Program Files\HP\{AAC4FC36-8F89-4587-8DD3-EBC57C83374D}\hphupd06.exe" ["Hewlett-Packard"]

"HPHmon06" = "C:\WINDOWS\system32\hphmon06.exe" ["Hewlett-Packard"]

"KBD" = "C:\HP\KBD\KBD.EXE" ["Hewlett-Packard Company"]

"Recguard" = "C:\WINDOWS\SMINST\RECGUARD.EXE" [empty string]

"VTTimer" = "VTTimer.exe" [file not found]

"SiS Windows KeyHook" = "C:\WINDOWS\system32\keyhook.exe" ["Silicon Integrated Systems Corporation"]

"AGRSMMSG" = "AGRSMMSG.exe" ["Agere Systems"]

"PS2" = "C:\WINDOWS\system32\ps2.exe" ["Hewlett-Packard Company"]

"ATIPTA" = "C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe" ["ATI Technologies, Inc."]

"InCD" = "C:\Program Files\Ahead\InCD\InCD.exe" [null data]

"NeroFilterCheck" = "C:\WINDOWS\system32\NeroCheck.exe" ["Ahead Software Gmbh"]

"KAVPersonal50" = "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize" ["Kaspersky Labs"]

"ADS TVR Agent" = "C:\Program Files\ADS Tech\INSTANT TV PVR\Scheduled.exe" ["ADS"]

"MessengerPlus3" = ""C:\Program Files\MessengerPlus! 3\MsgPlus.exe"" ["Patchou"]

"iTunesHelper" = ""C:\Program Files\iTunes\iTunesHelper.exe"" ["Apple Computer, Inc."]