[résolu]Mon PC est infecté

murloch · le 4 août 2005

Salut les gars,

je voudrais tout d'abord vous remercier pour tout le mal que vous vous donnez à nous fournir des conseils et des idées... géniales au demeurant!

En ce qui me concerne vous m'avez rendu des tas de services et je ne pourrai jamais vous remercier assez.

Je vous sais gré encore une fois de m'aider

Mon PC est infecté.

J'ai suivi la procédure comme convenu et vous affiche les résulatst de Hijack

Merci pour votre aide

Logfile of HijackThis v1.99.1

Scan saved at 13:01:46, on 04/08/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Unable to get Internet Explorer version!

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

G:\TEMP\QZTEMP\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.free.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://fr6.hpwis.com/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.free.fr/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

R3 - Default URLSearchHook is missing

O2 - BHO: (no name) - {33AB917A-1C4E-2865-A448-A3B401A5B38B} - (no file)

O2 - BHO: SpywareGuard Download Protection - {4A368E80-174F-4872-96B5-0B27DDD11DB2} - C:\Program Files\SpywareGuard\dlprotect.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - G:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: (no name) - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - (no file)

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - g:\program files\google\googletoolbar1.dll

O2 - BHO: (no name) - {B40E1063-1323-01C0-30E7-3699AF6ACD77} - (no file)

O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - c:\Program Files\Norton AntiVirus\NavShExt.dll

O2 - BHO: (no name) - {EE090D54-6421-9339-2AF7-27A343BFA54A} - (no file)

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - c:\Program Files\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_5_7_0.dll

O3 - Toolbar: (no name) - {82315A18-6CFB-44a7-BDFD-90E36537C252} - (no file)

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - g:\program files\google\googletoolbar1.dll

O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - G:\Program Files\Canon\Easy-WebPrint\Toolband.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NVMixerTray] "G:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe"

O4 - HKLM\..\Run: [Zone Labs Client] G:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKLM\..\Run: [AVGCtrl] G:\Program Files\AVPersonal\AVGNT.EXE /min

O4 - Startup: SpywareGuard.lnk = C:\Program Files\SpywareGuard\sgmain.exe

O8 - Extra context menu item: &Google Search - res://G:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://G:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html

O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://G:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html

O8 - Extra context menu item: Easy-WebPrint Imprimer - res://G:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html

O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://G:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html

O8 - Extra context menu item: Pages liées - res://G:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://G:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: S'abonner avec l'agrégateur par défaut - C:\Documents and Settings\Propriétaire\Application Data\RssBandit\iecontext_subscribefeed.htm

O8 - Extra context menu item: Télécharger en utilisant Download &Express - G:\Program Files\Download Express\Add_Url.htm

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://G:\Program Files\Google\GoogleToolbar1.dll/cmcache.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll

O9 - Extra button: Micro Application Anti-Popup - {2E071ADC-ADF8-4b4b-8ACB-EDC49E6D45A2} - G:\Program Files\Micro Application\Effaceur Expert\Blocker.dll (file missing)

O9 - Extra 'Tools' menuitem: Anti-Popup - {2E071ADC-ADF8-4b4b-8ACB-EDC49E6D45A2} - G:\Program Files\Micro Application\Effaceur Expert\Blocker.dll (file missing)

O9 - Extra button: Bloc Notes - {AF4F850B-68FF-404C-8417-549F86B1E236} - notepad.exe (file missing)

O14 - IERESET.INF: START_PAGE_URL=http://freebox.free.fr/

O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Unknown owner - C:\Program Files\Fichiers communs\Acronis\Schedule2\schedul2.exe (file missing)

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - G:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - G:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE

O23 - Service: CA ISafe (CAISafe) - Computer Associates International, Inc. - C:\WINDOWS\system32\ZoneLabs\isafe.exe

O23 - Service: Diskeeper - Executive Software International, Inc. - G:\Program Files\Executive Software\DiskeeperLite\DKService.exe

O23 - Service: FlowProtectorService - Unknown owner - C:\Program Files\CheckFlow\Spy Shooter\4.5.0.1\FlowService.exe

O23 - Service: Iomega Activity Disk2 - Unknown owner - C:\WINDOWS\

O23 - Service: Iomega App Services - Iomega Corporation - G:\Program Files\Iomega\System32\AppServices.exe

O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: kavsvc - Kaspersky Lab - G:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

O23 - Service: Tenebril antispyware satellite (TNBRLDS) - Tenebril Inc. - C:\Program Files\SpyCatcher\DeleteSvc.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

O23 - Service: Qbik WinGate Engine (WinGateEngine) - Qbik Software NZ Ltd - G:\Program Files\WinGate\WinGate.exe

O23 - Service: Iomega Active Disk (_IOMEGA_ACTIVE_DISK_SERVICE_) - Iomega Corporation - G:\Program Files\Iomega\AutoDisk\ADService.exe

ipl_001 · le 4 août 2005

Bonjour murloch, bonjour à tous,

Je démarre une analyse de ton rapport HijackThis... réponse d'ici 15-20 minutes !

murloch · le 4 août 2005

Bonjour murloch, bonjour à tous,

Je démarre une analyse de ton rapport HijackThis... réponse d'ici 15-20 minutes !

546545[/snapback]

Merci JPL pour tes efforts et excuse moi pour le dérangement!

Bien à toi !!!

ipl_001 · le 4 août 2005

Rebonjour murloch, rebonjour à tous,

(post édité suite à la remarque de tesgaz)

Excuse moi d'avoir mis plus longtemps qu'annoncé !

Merci JPL pour tes efforts et excuse moi pour le dérangement!

C'est avec plaisir que je t'aide à nettoyer ton système !

Mais... combien as-tu d'antivirus ??? Je vois Norton AntiVirus, AntiVir, eTrust/ZoneAlarm (merci Tesgaz)... çà fait déjà un de trop (mais la procédure de pré-nettoyage avant HijackThis) t'a fait installer AntiVir que tu as oublié de désinstaller, OK mais il faut que tu en gardes seulement 1 !

Mais en plus, je vois KAV !

Nous allons désinstaller celui-ci !

Tu as également beaucoup trop d'autres programmes de protection antispyware, antispam, etc. je ne suis pas sûr qu'ils soient tous efficaces ou utiles !

Imprime ou sauvegarde ces instructions dans un fichier .txt de manière à pourvoir le consulter en mode sans échec.

Télécharge et installe EasyCleaner de Toni Helenius ( http://personal.inet.fi/business/toniarts/ecleane.htm )

Redémarre l'ordinateur en mode sans échec.

Occupons nous des 3 services :

O23 - Service: Iomega Activity Disk2 - Unknown owner - C:\WINDOWS\
O23 - Service: kavsvc - Kaspersky Lab - G:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: Qbik WinGate Engine (WinGateEngine) - Qbik Software NZ Ltd - G:\Program Files\WinGate\WinGate.exe[/b]

-= Désactivation des services =-

Démarrer / Exécuter / tape services.msc et clique sur OK

Recherche chacun de ces services (partie en gras) dans la liste

Double-clique et mets "Désactivé" dans "Type de démarrage"

Note de "Nom complet"

OK

Fais çà pour chacun des 3 et quite la fenêtre Services

-= Supression des services =-

Démarrer / Exécuter / tape RegEdit et clique sur OK

HKLM\System\CurrentControlSet\Services

Recherche la clé qui correspond au "Nom complet" noté

Clic droit / Supprimer / valide

Fais cela pour chacun des 3 services et quitte RegEdit

Désinstalle ces applications (si tu trouves) dans Ajout-Suppression de programmes :

- Kaspersky

- CA eTrust ou eTrust

- WinGate

- désinstalle 2 antivirus et n'en conserve qu'un entre Norton AV, ZoneAlarm et AntiVir

Il se peut que certaines des lignes n'apparaissent plus du fait du nettoyage déjà effectué.

Relance un scan HijackThis, clique sur "Do a system scan and save a log file" et coche les lignes ci-dessous :

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

R3 - Default URLSearchHook is missing

O2 - BHO: (no name) - {33AB917A-1C4E-2865-A448-A3B401A5B38B} - (no file)

O2 - BHO: (no name) - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - (no file)

O2 - BHO: (no name) - {B40E1063-1323-01C0-30E7-3699AF6ACD77} - (no file)

O2 - BHO: (no name) - {EE090D54-6421-9339-2AF7-27A343BFA54A} - (no file)

O3 - Toolbar: (no name) - {82315A18-6CFB-44a7-BDFD-90E36537C252} - (no file)

O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -

O23 - Service: Iomega Activity Disk2 - Unknown owner - C:\WINDOWS\

O23 - Service: kavsvc - Kaspersky Lab - G:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: Qbik WinGate Engine (WinGateEngine) - Qbik Software NZ Ltd - G:\Program Files\WinGate\WinGate.exe

Ferme toutes les fenêtres sauf HijackThis et "Fix Checked".

- Supprime les fichiers/dossiers incriminés (s'ils existent encore) par l'Explorateur Windows :

--- G:\Program Files\Kaspersky Lab (supprime le dossier)

--- G:\Program Files\WinGate (supprime le dossier)

En cas de difficultés, vérifier l'option d'affichage des fichiers, les attributs "Lecture seule", etc.

- suppression des fichiers inutiles par EasyCleaner-Inutile(s)

- vidage des zones de quarantaine éventuelles

- nettoyage de la base de registres par EasyCleaner-Registre

Redémarre l'ordinateur en mode normal et poste un nouveau rapport HijackThis à titre de vérification.

Ceci concerne le nettoyage dans une optique malware ; lorsque ton ordinateur sera bien propre, on pourra aller au delà en parlant optimisation de ton système !

le 4 août 2005

Salut

Isafe correspond au service antivirus de ZoneAlarm Suite

ipl_001 · le 4 août 2005

Bonjour tesgaz,

Salut

Isafe correspond au service antivirus de ZoneAlarm Suite

546583[/snapback]

Je suppose que Zone Alarm Suite utilise l'AntiVirus de Computer Associates... je comprends mieux pourquoi je voyais du eTrust mélangé avec du Zone Labs !

Merci !

Il y en a en trop ! J'édite mon post !

anono · le 4 août 2005

Un conseil? consulte ce tutorial sur la désinfection :

http://ngc-informatique.chez.tiscali.fr/gu...sec/antispy.htm

murloch · le 4 août 2005

Rebonjour murloch, rebonjour à tous,

(post édité suite à la remarque de tesgaz)

Excuse moi d'avoir mis plus longtemps qu'annoncé !C'est avec plaisir que je t'aide à nettoyer ton système !

Re-salut JPL,

C'est moi qui te prie de m'excuser pour tous les tracas que je t'ai causés. Tu as été fort aimable d'étudier mon Hijack et je t'en remercie. Faut-il encore exiger le temps alors que déjà tu m rends un grand service? Néanmoins, merci pour ta ponctualité et ton amabilité!

Mais... combien as-tu d'antivirus ??? Je vois Norton AntiVirus, AntiVir, eTrust/ZoneAlarm (merci Tesgaz)... çà fait déjà un de trop (mais la procédure de pré-nettoyage avant HijackThis) t'a fait installer AntiVir que tu as oublié de désinstaller, OK mais il faut que tu en gardes seulement 1 !
Mais en plus, je vois KAV !

Nous allons désinstaller celui-ci !

C'est vrai que j'ai toujours peur des virus mais considérant que tous les AV ne sont pas totalement efficaces j'ai cru bon m'armer au mieux!

Néanmoins, pour Norton je l'avais désinstaléé depuis longtemps mais il me reste des bribes qui n'ont pas voulu déguerpir. Que dois-je faire?

Je garderai Antivir!

Tu as également beaucoup trop d'autres programmes de protection antispyware, antispam, etc. je ne suis pas sûr qu'ils soient tous efficaces ou utiles !
Imprime ou sauvegarde ces instructions dans un fichier .txt de manière à pourvoir le consulter en mode sans échec.

Je vais enlever le tout et garder juste Spybot, Ad Aware et Easy Clean

Télécharge et installe EasyCleaner de Toni Helenius ( http://personal.inet.fi/business/toniarts/ecleane.htm )
Redémarre l'ordinateur en mode sans échec.

Occupons nous des 3 services :-= Désactivation des services =-

Démarrer / Exécuter / tape services.msc et clique sur OK

Recherche chacun de ces services (partie en gras) dans la liste

Double-clique et mets "Désactivé" dans "Type de démarrage"

Note de "Nom complet"

OK

Fais çà pour chacun des 3 et quite la fenêtre Services

-= Supression des services =-

Démarrer / Exécuter / tape RegEdit et clique sur OK

HKLM\System\CurrentControlSet\Services

Recherche la clé qui correspond au "Nom complet" noté

Clic droit / Supprimer / valide

Fais cela pour chacun des 3 services et quitte RegEdit

Désinstalle ces applications (si tu trouves) dans Ajout-Suppression de programmes :

- Kaspersky

- CA eTrust ou eTrust

- WinGate

- désinstalle 2 antivirus et n'en conserve qu'un entre Norton AV, ZoneAlarm et AntiVir

Il se peut que certaines des lignes n'apparaissent plus du fait du nettoyage déjà effectué.

Relance un scan HijackThis, clique sur "Do a system scan and save a log file" et coche les lignes ci-dessous :

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

R3 - Default URLSearchHook is missing

O2 - BHO: (no name) - {33AB917A-1C4E-2865-A448-A3B401A5B38B} - (no file)

O2 - BHO: (no name) - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - (no file)

O2 - BHO: (no name) - {B40E1063-1323-01C0-30E7-3699AF6ACD77} - (no file)

O2 - BHO: (no name) - {EE090D54-6421-9339-2AF7-27A343BFA54A} - (no file)

O3 - Toolbar: (no name) - {82315A18-6CFB-44a7-BDFD-90E36537C252} - (no file)

O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -

O23 - Service: Iomega Activity Disk2 - Unknown owner - C:\WINDOWS\

O23 - Service: kavsvc - Kaspersky Lab - G:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: Qbik WinGate Engine (WinGateEngine) - Qbik Software NZ Ltd - G:\Program Files\WinGate\WinGate.exe

Ferme toutes les fenêtres sauf HijackThis et "Fix Checked".

- Supprime les fichiers/dossiers incriminés (s'ils existent encore) par l'Explorateur Windows :

--- G:\Program Files\Kaspersky Lab (supprime le dossier)

--- G:\Program Files\WinGate (supprime le dossier)

En cas de difficultés, vérifier l'option d'affichage des fichiers, les attributs "Lecture seule", etc.

- suppression des fichiers inutiles par EasyCleaner-Inutile(s)

- vidage des zones de quarantaine éventuelles

- nettoyage de la base de registres par EasyCleaner-Registre

Redémarre l'ordinateur en mode normal et poste un nouveau rapport HijackThis à titre de vérification.

Ceci concerne le nettoyage dans une optique malware ; lorsque ton ordinateur sera bien propre, on pourra aller au delà en parlant optimisation de ton système !

546560[/snapback]

Tout a été fait selon tes prescriptions. Le seul problème c'est Norton!

Pour le reste tout est fait c'est pourquoi je n'ai pas pu te répondre avant!

Après ce leafting de mon PC, les améliorations sont notables. Il roule bien mieux alors qu'il était extrémement lent.

J'ai découvert en effet 7 dossiers infectés par trois variétés de virus.

APPAREMMENT LES SALES BËTES ONT ETE MISES HORS D'ETAT DE NUIRE

et je t'en remercie. ma bécane roule bien mieux... encore une peu lente mais comparativement à ce qu'elle était hier ................c'est le paradis.

Merciiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiii

beaucoupppppppppppppppppppppppppppppppppppppppppppppppppppppp!!!!

Je te sais gré encore une fois pour tous tes efforts et je te prie de me pardonner pour le temps que je t'ai pris!

Merci ami,

voivi le Hijack final

Logfile of HijackThis v1.99.1

Scan saved at 18:34:37, on 04/08/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Unable to get Internet Explorer version!

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

G:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe

G:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\system32\netdde.exe

G:\Program Files\SpywareGuard\sgmain.exe

C:\WINDOWS\system32\drivers\CDAC11BA.EXE

G:\Program Files\Executive Software\DiskeeperLite\DKService.exe

C:\Program Files\CheckFlow\Spy Shooter\4.5.0.1\FlowService.exe

G:\Program Files\Iomega\System32\AppServices.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\system32\oodag.exe

G:\Program Files\SpywareGuard\sgbhp.exe

C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

G:\Program Files\Iomega\AutoDisk\ADService.exe

C:\WINDOWS\System32\svchost.exe

G:\Program Files\Mozilla Firefox\firefox.exe

G:\Program Files\MSN Messenger\msnmsgr.exe

G:\Program Files\QuickZip4\QuickZip.exe

G:\TEMP\QZTEMP\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.free.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://fr6.hpwis.com/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.free.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =