PB virus ?

[bogdan]

Bonjour,

 

C' est Rosace.

Des amis Ont eu des soucis avec leur PC, un virus sans doute.

Depuis nous avons installe Mac Affe et il a repere des courriers viruse.

On a nettoye comme vous le conseillez, avec easy cleaner, spybot, add-aware (hitmanpro), trojan remover, enleve les cookies et temps, avec desprogrames mis a jour et update de windows... Ouf !

 

Pas d'accent sur le clavier, DSL ...

 

voici le HJT.

 

Merci d'avance pour celui ou celle qui voudra bien l'etudier.

 

Rosace + amie de Bogdan

 

Logfile of HijackThis v1.99.1

Scan saved at 11:18:47, on 2005-06-08

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

c:\PROGRA~1\mcafee.com\vso\mcvsrte.exe

C:\PROGRA~1\MCAFEE.COM\PERSON~1\MPFSERVICE.exe

C:\WINDOWS\System32\SCardSvr.exe

C:\WINDOWS\System32\svchost.exe

c:\PROGRA~1\mcafee.com\vso\mcshield.exe

C:\WINDOWS\Explorer.EXE

C:\PROGRA~1\mcafee.com\agent\mcagent.exe

C:\PROGRA~1\MCAFEE.COM\PERSON~1\MPFTRAY.EXE

C:\PROGRA~1\mcafee.com\vso\mcvsshld.exe

C:\Program Files\QuickTime\qttask.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE

c:\progra~1\mcafee.com\vso\mcvsescn.exe

C:\Program Files\Kalendarz XP\Kalendarz.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Program Files\SpamPal\spampal.exe

C:\PROGRA~1\MCAFEE.COM\PERSON~1\MPFAGENT.EXE

C:\PROGRA~1\INCRED~1\bin\IMApp.exe

C:\Documents and Settings\user\Ustawienia lokalne\Temp\HijackThis.exe

C:\Program Files\HJT\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\Program Files\Copernic Agent\CopernicAgentExt.dll/INTEGRATION_BAND_SEARCHBAR_HTML

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = C:\Program Files\Copernic 2001 Basic\Search Bar.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

R3 - URLSearchHook: (no name) - {BE89472C-B803-4D1D-9A9A-0A63660E0FE3} - C:\PROGRA~1\COPERN~2\COPERN~1.DLL

O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\WINDOWS\Downloaded Program Files\ycomp5_0_2_7.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: Copernic Agent - {F2E259E8-0FC8-438C-A6E0-342DD80FA53E} - C:\PROGRA~1\COPERN~2\COPERN~1.DLL

O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\WINDOWS\Downloaded Program Files\ycomp5_0_2_7.dll

O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll

O4 - HKLM\..\Run: [REGSHAVE] C:\Program Files\REGSHAVE\REGSHAVE.EXE /AUTORUN

O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\mcagent.exe

O4 - HKLM\..\Run: [MCUpdateExe] C:\PROGRA~1\mcafee.com\agent\mcupdate.exe

O4 - HKLM\..\Run: [MPFExe] C:\PROGRA~1\MCAFEE.COM\PERSON~1\MPFTRAY.EXE

O4 - HKLM\..\Run: [VSOCheckTask] "c:\PROGRA~1\mcafee.com\vso\mcmnhdlr.exe" /checktask

O4 - HKLM\..\Run: [VirusScan Online] "c:\PROGRA~1\mcafee.com\vso\mcvsshld.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [TrojanScanner] C:\Program Files\Trojan Remover\Trjscan.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"

O4 - HKCU\..\Run: [incrediMail] C:\Program Files\IncrediMail\bin\IncMail.exe /c

O4 - Startup: SpamPal.lnk = C:\Program Files\SpamPal\spampal.exe

O4 - Startup: StartupCleaner.exe

O4 - Global Startup: Kalendarz XP.lnk = C:\Program Files\Kalendarz XP\Start.exe

O4 - Global Startup: AdwareFilter Background Protection.lnk = C:\Program Files\AdwareFilter\AdwareFilter.exe

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm

O8 - Extra context menu item: Search Using Copernic Agent - res://C:\Program Files\Copernic Agent\CopernicAgentExt.dll/INTEGRATION_MENU_SEARCHEXT

O9 - Extra button: (no name) - {193B17B0-7C9F-4D5B-AEAB-8D3605EFC084} - C:\PROGRA~1\COPERN~2\COPERN~1.EXE

O9 - Extra 'Tools' menuitem: Launch Copernic Agent - {193B17B0-7C9F-4D5B-AEAB-8D3605EFC084} - C:\PROGRA~1\COPERN~2\COPERN~1.EXE

O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INETREPL.DLL

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INETREPL.DLL

O9 - Extra 'Tools' menuitem: Create Mobile Favorite... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INETREPL.DLL

O9 - Extra button: Copernic Agent - {688DC797-DC11-46A7-9F1B-445F4F58CE6E} - C:\PROGRA~1\COPERN~2\COPERN~1.EXE

O9 - Extra button: Free Surfer - {AFC3FA82-AD07-45cd-8B57-983435B9899E} - C:\Program Files\Free Surfer\FS20.exe

O9 - Extra 'Tools' menuitem: Free Surfer - {AFC3FA82-AD07-45cd-8B57-983435B9899E} - C:\Program Files\Free Surfer\FS20.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/shared/m...90/mcinsctl.cab

O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} (DwnldGroupMgr Class) - http://download.mcafee.com/molbin/shared/m...,23/mcgdmgr.cab

O16 - DPF: {EF99BD32-C1FB-11D2-892F-0090271D4F88} (Yahoo! Companion) - http://us.dl1.yimg.com/download.yahoo.com/...ebio5_0_2_7.cab

O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup...p1/imloader.cab

O23 - Service: McAfee.com McShield (McShield) - Unknown owner - c:\PROGRA~1\mcafee.com\vso\mcshield.exe

O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\PROGRA~1\McAfee.com\Agent\mcupdmgr.exe

O23 - Service: McAfee.com VirusScan Online Realtime Engine (MCVSRte) - McAfee, Inc - c:\PROGRA~1\mcafee.com\vso\mcvsrte.exe

O23 - Service: McAfee Personal Firewall Service (MpfService) - McAfee Corporation - C:\PROGRA~1\MCAFEE.COM\PERSON~1\MPFSERVICE.exe

[Invité Stonangel]

Bonjour bogdan et bienvenue sur Zébulon Sécurité. Pas grand-chose dans ton rapport.

 

Installe Hijackthis correctement:

http://sitethemacs.free.fr/aide_enregistre...e_hijackthi.htm

 

Démarre Hijackthis Do a system scan only et coche les lignes suivantes:

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza < sauf si tu connais

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

 

Ferme toutes les fenêtres tous les programmes puis Fix checked.

 

Fais un scan sur Panda:

http://www.pandasoftware.com/activescan/

 

Colle le rapport ici.

 

Effectue les mises à jour via Windows Update.

Modifié le 8 juin 2005 par Stonangel

[roserousse]

Merci Stonangel,

 

Réponse rassurante.

Allez hop Bogdan, au boulot ...

 

Roselyne

 

... édité par ipl_001

Bonjour roserousse ! Il est inutile de reproduire le post précédent !...

[roserousse]

re:

Well, it's impossible to find HJT in .exe

you must follow the procedure

Means enter it in c:// program files/HJT

 

 

 

 

Make the folder first

install the HJT .zip

 

Extract it

 

Hope you underestand me.

 

Rose

[Invité Stonangel]

Pas de problème... Autant pour moi je me suis arrêté sur une ligne et j'ai sauté la seconde. Hijackthis est localisé à deux endroits:

 

C:\Documents and Settings\user\Ustawienia lokalne\Temp\HijackThis.exe

C:\Program Files\HJT\HijackThis.exe

 

Par contre ce sont les mises à jour qui m'inquiètent. Je devrais voir ceci:

 

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

[roserousse]

bON - ILS EN SONT AU SCAN DU PC AVEC PANDA

ET MAC AFFE AVAIT REPERER W32/NETSKY.P.EMLLEXE

 

MERCI STONANGEL

 

 

Pas de problème... Autant pour moi je me suis arrêté sur une ligne et j'ai sauté la seconde. Hijackthis est localisé à deux endroits:

Par contre ce sont les mises à jour qui m'inquiètent. Je devrais voir ceci:

514562[/snapback]

 

To Bogdan:

 

You absolutly must install the updates from windows update.

 

++

Modifié le 8 juin 2005 par roserousse

[ipl_001]

Hi bogdan, Stonangel, roserousse, hi everyone,

 

bogdan, welcome on Zeb'-Sécurité especially as a friend of roserousse! Thanks for coming on our forum!

 

... Installe Hijackthis correctement:

...

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza < sauf si tu connais...

As Stonangel said it, there's no problem about HijackThis except that it was started twice! Please, don't start it from Temp... I would say, please delete it!

 

Stonangel, I assume "Łącza" means "Liens" so no worries!

[roserousse]

hI ipl!

 

Nice to meet you again here !

 

Saluuuuuuuuuuuuuut !!

 

++

[ipl_001]

Hi roserousse,

hI ipl!

 

Nice to meet you again here !

 

Saluuuuuuuuuuuuuut !!

 

++

514594[/snapback]

Not surprising to meet me here! I'm welcome too on Zebulon... so I think!

[roserousse]

Not surpised but very happy !! You saved my PC from the death on Zebulon )

I wont forget !

I came with some friends today as you proposed to me to do, if some have problems with their PC.

 

C'était drôle car un de mes enfants (9 ans), en voyant le petit bonhomme marcher dans l'avatar, s'est écrié : "ha regardes, c'est la personne qui nous a aidé la dernière fois !"

 

T'es repérée

 

 

Hi roserousse,Not surprising to meet me here ! I'm welcome too on Zebulon... so I think!

514659[/snapback]