Désinfection W98 SE

MissMonde · le 27 juillet 2005

Bonjour,

j'essaie de désinfecter l'ordi d'un ami en suivant votre procédure indiquée dans les sujets épinglés.

je fais l'intermédiaire, car l'ordi n'arrive pas à ouvrir 2 programmes en même temps, donc on ne peut pas faire de copier coller sur le post.

le rapport HijackThis m'est envoyé par email.

voici l'état initial de l'ordi :

pas d'accès aux icônes du bureau (même en mode sans échec)

pas d'accès à Mes Documents autrement que par un logiciel (même en mode sans échec)

pas d'accès à l'explorateur windows(même en mode sans échec)

pas d'accès au panneau de configuration(même en mode sans échec)

ce que l'on a déjà fait :

- désinstallation (par Démarrer/Programmes...) du Norton qui était là depuis Xtemps sans mise à jour.

- affichage des dossiers et nettoyage du disque en mode sans échec

- téléchargement d'Antivir et d'Hijackthis.

comme on n'a pas trouvé comment exécuter le fichier .exe d'Antivir en passant par un programme (maintenant, on sait comment faire!!)

on a téléchargé Avast et on a réussi à l'installer (pas compris comment) et à faire un scan mode sans échec et suppression des fichiers infectés.

- on a lancé HijackThis depuis l'emplacement où il a été enregistré (Mes Documents) car on n'a pas réussi à le déplacer dans le dossier que nous avions créé dans ProgramFiles. et on a un fichier HijackThis.log qui a été créé dans MesDocuments et qui m'a été donc envoyé par email, puisqu'on ne peut pas ouvrir 2 programmes en même temps.

Tout ça par téléphone, donc si vous nous répondez, il y aura forcément un temps de décalage pour les prochains logs, s'il y a lieu.

Voici le résultat :

Logfile of HijackThis v1.99.1

Scan saved at 16:12:17, on 27/07/05

Platform: Windows 98 SE (Win9x 4.10.2222A)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\EXPLORER.EXE

C:\MES DOCUMENTS\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.zcuukaimmnbvmjxklnez.com/n0aaYb...jkqPwdRouB.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tzpauctkzffw.biz/wc7XNTMj_ipKTK...H5jYUdq0js.html

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://search.yahoo.com/search?p=%s

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\PROGRAM FILES\YAHOO!\COMPANION\INSTALLS\CPN\YCOMP5_3_18_0.DLL

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll (file missing)

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX

O2 - BHO: (no name) - {D2CB1A81-AAC0-C02A-F834-11111C8DF4E8} - C:\WINDOWS\APPLICATION DATA\EXIT LOGO TWO\DOGACID.EXE

O3 - Toolbar: Barre d'outils MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\PROGRAM FILES\MSN TOOLBAR\01.01.1629.0\FR\MSNTB.DLL

O3 - Toolbar: Yahoo! Compagnon - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRAM FILES\YAHOO!\COMPANION\INSTALLS\CPN\YCOMP5_3_18_0.DLL

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll (file missing)

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX

O4 - HKLM\..\Run: [scanRegistry] c:\windows\scanregw.exe /autorun

O4 - HKLM\..\Run: [TaskMonitor] c:\windows\taskmon.exe

O4 - HKLM\..\Run: [systemTray] SysTray.Exe

O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\Run: [Mouse Suite 98 Daemon] PELMICED.EXE

O4 - HKLM\..\Run: [ConfigSafe] C:\CFGSAFE\AUTOCHK.EXE

O4 - HKLM\..\Run: [AEZBProc] c:\ibmtools\aptezbtn\aptezbp.exe

O4 - HKLM\..\Run: [Just Say Aptiva From Gdrive] C:\APTADV\JUSTSAY.EXE -auto

O4 - HKLM\..\Run: [ZIBMACC] c:\windows\rundll.exe setupx.dll,InstallHinfSection DefaultInstall 128 C:\WINDOWS\INF\ZIBMACC.INF

O4 - HKLM\..\Run: [stillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE

O4 - HKLM\..\Run: [LWBMOUSE] C:\Program Files\Browser Mouse\Browser Mouse\1.0\lwbwheel.exe

O4 - HKLM\..\Run: [LoadQM] loadqm.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\SYSTEM\QTTASK.EXE" -atboottime

O4 - HKLM\..\Run: [OmgStartup] C:\Program Files\Fichiers communs\Sony Shared\OpenMG\OmgStartup.exe

O4 - HKLM\..\Run: [sixth info name live] C:\WINDOWS\Application Data\filefreesixthinfo\Tool Type.exe

O4 - HKLM\..\Run: [avast! Web Scanner] C:\PROGRA~1\ALWILS~1\AVAST4\ASHWEBSV.EXE

O4 - HKLM\..\Run: [ashMaiSv] C:\PROGRA~1\ALWILS~1\AVAST4\ashmaisv.exe

O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\RunServices: [schedulingAgent] mstask.exe

O4 - HKLM\..\RunServices: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe"

O4 - HKLM\..\RunServices: [avast!] C:\Program Files\Alwil Software\Avast4\ashServ.exe

O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe" /WinStart

O4 - HKCU\..\Run: [For pure] C:\WINDOWS\APPLIC~1\MEDIAL~1\flageggs.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\PROGRAM FILES\MSN MESSENGER\MSNMSGR.EXE" /background

O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O8 - Extra context menu item: &Google Search - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR2.DLL/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR2.DLL/cmcache.html

O8 - Extra context menu item: Pages similaires - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR2.DLL/cmsimilar.html

O8 - Extra context menu item: Pages liées - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR2.DLL/cmbacklinks.html

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.inoculer.com/antivirus/Msie/bitdefender.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 192.168.1.1

Merci pour ce que vous pourrez faire.

Martine

elohel · le 27 juillet 2005

Bonjour,

j'essaie de désinfecter l'ordi d'un ami en suivant votre procédure indiquée dans les sujets épinglés.

je fais l'intermédiaire, car l'ordi n'arrive pas à ouvrir 2 programmes en même temps, donc on ne peut pas faire de copier coller sur le post.

...

Modéré par ipl_001 ! il est inutile de reproduire le post précédent ! je l'ai déjà lu !

Merci pour ce que vous pourrez faire.

Martine

542319[/snapback]

Bonsoir Missmonde

Jolie pagaille!!!!Dans ton cas je ne m'embète pas:

1)je sauvegarde les dossiers important: document adresses mail favoris

2)je vérifie que j'ai les bon cd de reinstallation + diskette boot

3) format C:

4)Je reinstalle tout + Antivir + Zone Alarm

Temps: une journée avec les mise à jour windows et autre

Comparez au temps que tus va mettre pour essayer de réparer et obtenir une installation crade il n'y a pas photo .

Bonne soirée et bon courage

Elohel

BipBip07 · le 27 juillet 2005

Salut MissMonde,

le formatage ce n'est pas encore obligé ! essayons d'abord de nettoyer voir si tu recupere ton PC

Tout d'abord désinstaller Messenger Plus! 3 qui est la base de tes soucis ! Car il contiens des spywares si installé avec la case sponsors coché !

Redémarrer.

vas dans ma signature consignes de sécurité et nettois ton PC avec Adaware, Spybot, A2, Easycleaner, et Ccleaner puis viens mettre un rapport Hijackthis.

A+

ipl_001 · le 27 juillet 2005

Bonsoir elohel, bonsoir à tous,

Bonsoir Missmonde
Jolie pagaille!!!!Dans ton cas je ne m'embète pas:

1)je sauvegarde les dossiers important: document adresses mail favoris

2)je vérifie que j'ai les bon cd de reinstallation + diskette boot

3) format C:

4)Je reinstalle tout + Antivir + Zone Alarm

Temps: une journée avec les mise à jour windows et autre

Comparez au temps que tus va mettre pour essayer de réparer et obtenir une installation crade il n'y a pas photo .

Bonne soirée et bon courage

Elohel

542372[/snapback]

C'est l'heure des torgnoles !!!

elohel,

- ne trouves-tu pas qu'il y aurait du temps et de la place disque à gagner à ne pas reproduire le post précédent ?

- avec toi, on peut supprimer tous les forums Sécurité qui s'occupent de lutte antimalware !

Si le dépannage prend plus d'une journée, tu formates ???

- un forum Sécurité n'est pas une course de F1 et il y a bien d'autres côtés positifs que le chrono !

- c'est la première fois que je te vois sur Zeb'Sécurité ! Il y faut de la patience, du savoir et de la générosité... si ce sont là les seuls conseils que tu saches donner, tu as en effet bien raison de ne pas participer !

- il n'est pas étonnant, avec ta méthode, que tu te limites au Format C: car évidemment, tu ne peux rien apprendre des infections et des réparations longues et lentes et instructives !

- avec ton raisonnement, on peut aussi conseiller de ne pas protéger le système puisqu'avec un Ghost et 10 minutes, on ne craint plus les malwares !

ipl_001 · le 27 juillet 2005

Bonsoir MissMonde, BipBip, bonsoir à tous,

l'ordi n'arrive pas à ouvrir 2 programmes en même temps, donc on ne peut pas faire de copier coller sur le post.

Je ne comprends pas la raison que tu avances

Il est possible de faire Ctrl-C, de fermer le programme, d'ouvrir un autre programme et de faire le Ctrl-V !

???

En effectuant Ctrl-C, la partie copiée est envoyée dans le "Presse-Papier" (sorte de mémoire temporaire intermédiaire)... il n'est pas nécessaire d'avoir 2 programmes ouverts en même temps !

Il n'en est pas de même pour un drag'n'drop...

Il y a de nombreux éléments infectieux dans le rapport HijackThis et avec de la patience, de l'opiniatreté, on peut arriver à nettoyer le système !

MissMonde · le 27 juillet 2005

bonjour, et merci de votre patience..

pour le copier-coller => il est impossible d'ouvrir un 2ème programme sans redémarrer l'ordi.<edit>avec IE ouvert pour venir sur le forum, on ne peut pas ouvrir le blocnotes pour copier le rapport</edit>

pour l'instant, nous avons réussi à désinstaller Messenger Plus3 avec EasyCleaner car pas d'accès au panneau de config pour supprimer le programme.

nous en sommes aux scans, c'est assez long parce qu'il faut redémarrer l'ordi à chaque manip et en plus on se pose plein de questions sur ce qu'on doit supprimer ou pas, et comment marchent les logiciels.

vu l'heure, je pense qu'on ne pourra pas poster de rapport HijackThis avant demain.

Merci à tous.. et bonne nuit,

Martine

Modifié le 27 juillet 2005 par MissMonde

ipl_001 · le 27 juillet 2005

Bonne nuit, MissMonde !

Tout de même bizarre ce cas !

Ne pas pouvoir travailler en mode sans échec, çà me fait penser à un matériel qui perturbe !... mais pourtant, il y a beaucoup de lignes infectieuses dans le rapport HijackThis !

MissMonde · le 28 juillet 2005

Bonjour à tous,

voilà la suite :

en mode sans échec, on a scanné avec :

- Easycleaner (registre, inutiles avec les options de nettoyage IE, et controleur démarrage) on a tout supprimé sauf les fichiers démarrage en vert et en jaune, on a supprimé les rouges.

- A2free

- ad-aware

- ccleaner

on n'a pas réussi à lancer spybot : on l'a lancé une première fois en mode normal pour aller récupérer les mises à jour, mais ensuite, en mode sans échec, il nous réclame les mises à jour, on n'a pas pu s'en sortir, on a laissé tomber.

on a fait un nouveau scan HijackThis que voici :