Scan alarmant...

ipl_001 · le 2 juillet 2005

Rebonjour m4tboy, rebonjour à tous,

Hou la la ! Tu n'es vraiment pas prudent !

Tu m'as donné beaucoup de mal !

msmsgn.exe légitime est dans Program Files, pas dans System32 !

Imprime ou sauvegarde ces instructions dans un fichier .txt de manière à pourvoir le consulter en mode sans échec.

Télécharge LSPfix -> http://www.downloads.subratam.org/lspfix.zip ou http://www.cexx.org/lspfix.htm (instructions -> http://www.cexx.org/lspfix.txt )

- télécharger LSPfix sur le bureau, éventuellement, le dézipper sur le bureau

Télécharge et installe EasyCleaner de Toni Helenius ( http://personal.inet.fi/business/toniarts/ecleane.htm )

Redémarre l'ordinateur en mode sans échec.

Désinstalle ces applications (si tu trouves) dans Ajout-Suppression de programmes :

Lancer LSPfix et se mettre en plein écran pour voir boutons et ascenseurs

- fermer Internet Explorer et arrêter la connexion à Internet

- cocher la case "I know what I'm doing" (je sais ce que je fais)

- il doit y avoir une ou plusieurs lignes dans la colonne de droite ("REMOVE") sinon, fais passer toutes les instances de "c:\windows\system32\flsmngr.dll" de la colonne de gauche ("KEEP") vers celle de droite en utilisant la flèche à double chevron

- scroller et cliquer sur Finish.

Il se peut que certaines des lignes n'apparaissent plus du fait du nettoyage déjà effectué.

Relance un scan HijackThis, clique sur "Do a system scan and save a log file" et coche les lignes ci-dessous :

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://w-find.com/sp.htm

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://w-find.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://w-find.com/

F2 - REG:system.ini: Shell=Explorer.exe,fxsccic.exe,sysstdos.exe,ntlax8vb.exe,wdmatify.exe,wdmaclip.exe,...

(je tronque la ligne !)

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\System32\fxsccic.exe,...

(je tronque la ligne !)

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [RegSvr32] C:\WINDOWS\System32\msmsgs.exe

O4 - HKLM\..\Run: [update Windows] C:\WINDOWS\System32\ctypserv.exe

O4 - HKCU\..\Run: [update Windows] C:\WINDOWS\System32\ctypserv.exe

O4 - Startup: winupdate07094367[1].exe

O4 - Startup: winupdate21630923[1].exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\flsmngr.dll

O21 - SSODL: Update Player - {611D29C0-CA68-4DD1-AECC-E288C49FEFA0} - C:\WINDOWS\System32\cmctaddr.dll (file missing)

Ferme toutes les fenêtres sauf HijackThis et "Fix Checked".

- suppression des éléments inutiles par

Démarrer / Exécuter / tape CleanMgr et clique sur OK / OK pour accepter l'examen du disque C: / coche toutes les cases et clique sur OK / OK pour confirmer la suppression des fichiers inutiles

Lancement de l'Explorateur Windows : supprimer le contenu de C:\Temp et C:\Windows (ou WinNT)\Temp

- Supprime les fichiers/dossiers incriminés (s'ils existent encore).

Relance HijackThis, clique sur "Open the Misc Tools section", clique sur "Delete a file on reboot", montre les fichiers suivants (réponds Non à l'invite de redémararage de l'ordinateur sauf après le dernier fichier) et recommence pour montrer chacun des fichiers :

--- C:\WINDOWS\System32\msmsgs.exe

--- C:\WINDOWS\System32\ctypserv.exe

--- c:\windows\system32\flsmngr.dll

(pour ceux qui suivent, recherche sur le disque, probablement dans System32, quelle est sa date de dernière maj ?)

--- winupdate07094367[1].exe

--- winupdate21630923[1].exe

En cas de difficultés, vérifier l'option d'affichage des fichiers, les attributs "Lecture seule", etc.

- suppression des fichiers inutiles par EasyCleaner-Inutile(s)

- vidage des zones de quarantaine éventuelles

- nettoyage de la base de registres par EasyCleaner-Registre

Renomme les fichiers suivants ! Je te les fais renommer car ils me sont inconnus et je ne veux pas les perdre, juste les rendre inactifs (pour le moment) ; je te conseille de mettre un nom reprenant le nom-tiret-l'extension.anc :

--- C:\WINDOWS\System32\fxsccic.exe

--- C:\WINDOWS\System32\sysstdos.exe

--- C:\WINDOWS\System32\ntlax8vb.exe

--- C:\WINDOWS\System32\wdmatify.exe

--- C:\WINDOWS\System32\wdmaclip.exe

--- C:\WINDOWS\System32\wpabsnds.exe

--- C:\WINDOWS\System32\msr2on32.exe

--- C:\WINDOWS\System32\gpkcds32.exe

--- C:\WINDOWS\System32\sclgaaaa.exe

--- C:\WINDOWS\System32\clusan32.exe

--- C:\WINDOWS\System32\episdecx.exe

--- C:\WINDOWS\System32\e_silxgd.exe

--- C:\WINDOWS\System32\ctypserv.exe

(pour ceux qui suivent, recherche sur le disque, probablement dans System32, quelle est sa date de dernière maj ?)

--- msmsgs.exe

--- fxsccic.exe

--- sysstdos.exe

--- ntlax8vb.exe

--- wdmatify.exe

--- wdmaclip.exe

--- wpabsnds.exe

--- msr2on32.exe

--- gpkcds32.exe

--- sclgaaaa.exe

--- clusan32.exe

--- episdecx.exe

--- e_silxgd.exe

--- ctypserv.exe

Si tout est bon dans 2 jours, tu les supprimeras.

Redémarre l'ordinateur en mode normal et poste un nouveau rapport HijackThis à titre de vérification.

m4tboy · le 3 juillet 2005

Certains fichiers existent parmi ceux que tu m'as demandé d'enlever ou de renommer mais les extensions ne sont pas les mêmes. Ce sont des fichiers .ocx. Faut-il que je les renomme ou supprime quand meme?

Voilà le rapport.

Logfile of HijackThis v1.99.1

Scan saved at 11:54:23, on 03/07/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AVPersonal\AVWUPSRV.EXE

C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Program Files\No-IP\DUC20.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\RealVNC\WinVNC\winvnc.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program Files\D-Tools\daemon.exe

C:\Program Files\HP\HP Software Update\HPWuSchd2.exe

C:\Program Files\HP\hpcoretech\hpcmpmgr.exe

C:\PROGRA~1\WANADOO\TaskbarIcon.exe

C:\Program Files\MSI\PC Alert 4\PCAlert4.exe

C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

C:\WINDOWS\DvzCommon\DvzMsgr.exe

C:\Program Files\BPFTP Server\G6FTPSrv.exe

D:\Program Files\Palm\HOTSYNC.EXE

C:\Program Files\HP\Digital Imaging\bin\hpqgalry.exe

C:\Program Files\HP\hpcoretech\comp\hptskmgr.exe

C:\WINDOWS\System32\HPZipm12.exe

C:\Documents and Settings\Famille\Mes documents\hijackthis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wanadoo.fr/go/page_recherche/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\acrobat reader\ActiveX\AcroIEHelper.dll

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - D:\Program Files\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - D:\Program Files\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [speedTouch USB Diagnostics] "C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [WinVNC] "C:\Program Files\RealVNC\WinVNC\winvnc.exe" -servicehelper

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\HP\HP Software Update\HPWuSchd2.exe"

O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"

O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\WANADOO\Watch.exe

O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\WANADOO\TaskbarIcon.exe

O4 - Startup: BPFTP Server.lnk = C:\Program Files\BPFTP Server\G6FTPSrv.exe

O4 - Startup: HotSync Manager.lnk = D:\Program Files\Palm\HOTSYNC.EXE

O4 - Startup: winupdate21630923[1].exe

O4 - Global Startup: EPSON Status Monitor 3 Environment Check.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV03.EXE

O4 - Global Startup: PC Alert 4.lnk = C:\Program Files\MSI\PC Alert 4\PCAlert4.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe

O4 - Global Startup: Dataviz Messenger.lnk = C:\WINDOWS\DvzCommon\DvzMsgr.exe

O9 - Extra button: Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)

O12 - Plugin for .mov: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin.dll

O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{F9012A13-66D1-499D-9420-F40E305B27C3}: NameServer = 80.10.246.1 80.10.246.132

O23 - Service: ADSLAutoconnect - Unknown owner - C:\Program Files\ADSL Autoconnect\ADSL Autoconnect.exe" -z (file missing)

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: NoIPDUCService - Vitalwerks LLC - C:\Program Files\No-IP\DUC20.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

O23 - Service: VNC Server (winvnc) - Unknown owner - C:\Program Files\RealVNC\WinVNC\winvnc.exe" -service (file missing)

Merci beaucoup pour ton aide

le 3 juillet 2005

Bonjour, comme te l'a demandé ipl_001 renomme les fichiers.

Démarre en mode sans échec, assure toi d'avoir accès à tous les fichiers.

Lance Hijackthis Do a system scan only et coche les lignes suivantes:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

O4 - Startup: winupdate21630923[1].exe

Renomme le fichier suivant:

winupdate21630923[1].exe> winupdate21630923[1]-exe.anc (nom tiret extension point anc)

Si tu ne constates pas de dysfonctionnement d'ici quelques temps tu pourras le supprimer.

Recahe les fichiers système.

Redémarre normalement et dis ce qu'il en est.

Modifié le 3 juillet 2005 par Stonangel

m4tboy · le 3 juillet 2005

ok voila le nouveau. Merci beaucoup

Logfile of HijackThis v1.99.1

Scan saved at 16:02:48, on 03/07/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AVPersonal\AVWUPSRV.EXE

C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Program Files\No-IP\DUC20.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\RealVNC\WinVNC\winvnc.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\SYSTEM32\Userinit.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program Files\D-Tools\daemon.exe

C:\Program Files\HP\HP Software Update\HPWuSchd2.exe

C:\Program Files\HP\hpcoretech\hpcmpmgr.exe

C:\PROGRA~1\MESSAG~1\StartMessager.exe

C:\Program Files\MSI\PC Alert 4\PCAlert4.exe

C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

C:\WINDOWS\DvzCommon\DvzMsgr.exe

C:\Program Files\BPFTP Server\G6FTPSrv.exe

D:\Program Files\Palm\HOTSYNC.EXE

C:\Program Files\HP\Digital Imaging\bin\hpqgalry.exe

C:\Program Files\HP\hpcoretech\comp\hptskmgr.exe

C:\Documents and Settings\Famille\Mes documents\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr