WinFixer

Péhel · le 29 juillet 2005

Bonjour,

Qui peut m'aider à me débarrasser de l'agressif WinFixer 2005 qui met mes nerfs à rude épreuve!

WinFixer 2005 s'est installé d'autorité sur mon PC. Au démarrage, il m'invite à télécharger son produit, il ouvre le navigateur et installe un raccourci sur le bureau toujours dans le but du téléchargement. Je refuse tout cela, je supprime le raccourci, et il installe d'office une petite icone en forme de cercle en bas à droite sur la barre des tâches. Et si ce n'était que cela! Impossible de surfer raisonnablement: sans cesse il m'envoie tantôt un message d'alerte copié sur ceux de Windows qui m'annonce que mon système est défectueux et que la seule solution est le téléchargement de WinFixer 2005, tantôt une alerte de Visual Basic (quel rapport!) sur l'IE! toujours en vue du téléchargement, tantôt une page d'invitation à télécharger, tantôt des notifications ou des prédictions de détèrioration que lui seul peut contrer. Et chaque fois que je refuse tout cela, bien sûr l'altération prochaine de mon système est à envisager! Je reçois aussi des écrans publicitaires américains non sollicités, choses inconnues avant WinFixer, sans que je puisse affirmer qu'il en est la cause réelle.

A l'entrée du site de WinFixer, mon antivirus réagit.

Serait-il possible d'anéantir ce néfaste sans reconfigurer.

Dans tous les cas, ma reconnaissance éternelle à celui qui parviendra à supprimer cette saleté!

le 29 juillet 2005

Salut

et bienvenue sur zebulon,

tu suis cette procédure :

http://forum.zebulon.fr/index.php?showtopi...ndpost&p=522499

et ensuite tu colles le rapport hijackthis ici

ipl_001 · le 29 juillet 2005

Bonjour Péhel, tesgaz, bonjour à tous,

Messages : 1

Je te souhaite la bienvenue sur Zeb'Sécurité ! Merci de venir sur notre forum !

Péhel · le 29 juillet 2005

Bonjour à tous et merci pour votre accueil,

Voici le rapport HijackThis:

Logfile of HijackThis v1.99.1

Scan saved at 21:39:38, on 29/07/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\HijackThis 1\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.skynet.be/search

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.euronext.com/trader/summarizedm...de=BE0003562700

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O4 - HKLM\..\Run: [AME_CSA] rundll32 csa.cpl,RUN_DLL

O4 - HKLM\..\Run: [tgcmd] "C:\Program Files\Support.com\bin\tgcmd.exe" /server /startmonitor

O4 - HKLM\..\Run: [lgbrz32] lxzr32.exe

O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min

O4 - HKLM\..\Run: [bCMSMMSG] BCMSMMSG.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe

O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE

O4 - HKLM\..\Run: [LDM] C:\Program Files\Desktop Messenger\8876480\Program\backWeb-8876480.exe

O4 - HKLM\..\Run: [MMTray] C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [NI.UWFX5LP_0001_0715] "C:\WINDOWS\Downloaded Program Files\UWFX5LP_0001_0715NetInstaller.exe"

O4 - HKLM\..\Run: [KASP] "C:\Program Files\Kaspersky Lab\Kaspersky Security Suite\Kaspersky Anti-Spam Personal\OESpamTest.exe"

O4 - HKLM\..\Run: [TraySantaCruz] C:\WINDOWS\system32\tbctray.exe

O4 - HKLM\..\RunServices: [lgbrz32] lxzr32.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit

O4 - HKCU\..\Run: [LDM] \Program\BackWeb-8876480.exe

O4 - HKCU\..\Run: [EPSON Stylus COLOR 880] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S00IC1.EXE /A "C:\WINDOWS\system32\E_S1B.tmp"

O4 - Startup: Aide mémoire.lnk = ?

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Desktop Messenger\8876480\Program\LDMConf.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: Microtek Scanner Finder.lnk = C:\Program Files\Microtek\ScanWizard 5\ScannerFinder.exe

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedC...bin/AvSniff.cab

O16 - DPF: {4208FB4D-4E53-4F5A-BF7A-3E047DDB5281} (ActiveX Control) - http://www.icannnews.com/app/ST/ActiveX.ocx

O16 - DPF: {511F9316-771B-4953-A268-1C36DA667FE9} - http://ip.sponsoradulto.com/cab/3/fr/SysWebTelecomInt.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1120072334544

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedC...n/bin/cabsa.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (ASquaredScanForm Element) - http://www.windowsecurity.com/trojanscan/axscan.cab

O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} - https://www-secure.symantec.com/techsupp/asa/SymAData.cab

O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/...539/mcfscan.cab

O20 - Winlogon Notify: Extensions - C:\WINDOWS\system32\sgrialui.dll

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Merci pour la marche à suivre.

le 29 juillet 2005

Bonsoir, je regarde ton rapport réponse dans un moment

le 29 juillet 2005

Re, télécharge:

EasyCleaner de Toni Helenius

http://personal.inet.fi/business/toniarts/ecleane.htm

KillBox d'Option^Explicit

http://www.bleepingcomputer.com/files/spyware/KillBox.zip

Dézippe sur le bureau

Démarre en mode sans échec (F8 ou F5)

Assure toi d'avoir accès à tous les fichiers.

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

Démarre Hijackthis Do a system scan only, assure toi que la case Make Backups before fixing items est activée et coche les lignes suivantes :

O4 - HKLM\..\Run: [lgbrz32] lxzr32.exe

O4 - HKLM\..\Run: [NI.UWFX5LP_0001_0715] "C:\WINDOWS\Downloaded Program Files\UWFX5LP_0001_0715NetInstaller.exe"

O4 - HKLM\..\RunServices: [lgbrz32] lxzr32.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedC...bin/AvSniff.cab

O16 - DPF: {4208FB4D-4E53-4F5A-BF7A-3E047DDB5281} (ActiveX Control) - http://www.icannnews.com/app/ST/ActiveX.ocx

O16 - DPF: {511F9316-771B-4953-A268-1C36DA667FE9} - http://ip.sponsoradulto.com/cab/3/fr/SysWebTelecomInt.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1120072334544

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedC...n/bin/cabsa.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (ASquaredScanForm Element) - http://www.windowsecurity.com/trojanscan/axscan.cab

O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} - https://www-secure.symantec.com/techsupp/asa/SymAData.cab

O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/...539/mcfscan.cab

Ferme toutes les fenêtres, tous les programmes et clique sur Fix checked

Supprime les fichiers/dossiers incriminés (s'ils existent encore) :

lxzr32.exe< localisation probable System32

C:\WINDOWS\Downloaded Program Files\< le contenu du dossier

Ouvre Killbox. Dans la petite fenêtre sous Full Path of File to Delete colle le chemin complet du fichier suivant:

C:\WINDOWS\Downloaded Program Files\UWFX5LP_0001_0715NetInstaller.exe

Coche le bouton"Delete on Reboot " et clique sur la croix blanche sur fond rouge. Aux deux messages qui vont s'afficher réponds Oui

Recache les fichiers système afin de ne pas faire d'erreur à l'avenir en sélectionnant ne pas afficher les fichiers cachés ou les fichiers système.

Exécute EasyCleaner Inutiles et Registre seulement. Ne pas toucher à la fonction doublon.

Redémarre normalement et poste un nouveau rapport Hijackthis pour vérification.

Fais analyser ce fichier C:\WINDOWS\system32\sgrialui.dll ici:

http://virusscan.jotti.org/

Colle le résultat dans ton prochain message

Péhel · le 29 juillet 2005

Bonjour Stonangel,

Tout ce qui se passait au démarrage a disparu. Malheureusement, les messages intempestifs et les écrans d'invitation à télécharger sont toujours là sur l'IE avec la même fréquence qu'auparavant, les publicités américaines également.

Rapport HijackThis:

Logfile of HijackThis v1.99.1

Scan saved at 0:12:33, on 30/07/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AVPersonal\AVGUARD.EXE

C:\Program Files\AVPersonal\AVWUPSRV.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\Support.com\bin\tgcmd.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\BCMSMMSG.exe

C:\Program Files\Logitech\iTouch\iTouch.exe

C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE

C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe

C:\WINDOWS\system32\NotifyPhoneBook.exe

C:\Program Files\AVPersonal\AVGNT.EXE

C:\WINDOWS\system32\tbctray.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\Microtek\ScanWizard 5\ScannerFinder.exe

C:\Program Files\WinZip\WZQKPICK.EXE

C:\Program Files\Aide mémoire\TrayIcon.exe

C:\Program Files\Logitech\iTouch\kbdtray.exe

C:\Program Files\HijackThis 1\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.skynet.be/search

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.euronext.com/trader/summarizedm...de=BE0003562700

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =