winfixer help

marioonb · le 7 septembre 2005

bonjour à tous !!

Je suis infesté par winfixer 2005, jai tous essayé en vain pour le desinstaller, depuis hier je ne peut plus redemarrer mon ordinateur en mode sans echec, il maffiche une page noir avec un petit trait blanc qui clignote, donc pas possible de vous envoyer mon rapport avec hijackthis.

Je suppose que cest ce logiciel de m.... qui fait que les pilotes de mon controleur audio multimedia ne fonctionne plus et que je suis obligé de les réinstaller a chaque fois que je rallume mon ordi ? jai par la meme occasion depuis winfixer (surement lié au probleme audio), une page bleue qui s affiche lorsque je branche mon hub ou mon disque dur externe...

Si vous avez une solution pour moi s il vous plait, une façon de le désinstaller, car arès une semaine de prise de tête je craque !!

merci beaucoup

Marioon

le 7 septembre 2005

Bonjour et bienvenue sur Zeb' Sécu. Peux- tu nous communiquer le chemin exact du fichier?

marioonb · le 7 septembre 2005

je sais pas car je lai desinstaller et je le voit plus. Avec hijackthis jai vu qu il etait encore la hier mais impossible dy acceder a present.

et puis pand antivirus ma dit qu il y avait un logiciel supstect au je sias plus koi donc je sais qu il est la.

BipBip07 · le 7 septembre 2005

Salut,

Ne peux tu pas mettre un rapport HJT en mode normal ?

marioonb · le 7 septembre 2005

Voila en mode normal, je le voit pas dedans, hier jai utilisé xoftspy, paut etre qil me la enlevé mais pourtant mes probleme persiste.

Logfile of HijackThis v1.99.1

Scan saved at 22:56:04, on 09/07/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

D:\symantec\DefWatch.exe

D:\Kerio\Personal Firewall 4\kpf4ss.exe

D:\symantec\Rtvscan.exe

C:\WINDOWS\system32\CTHELPER.EXE

C:\WINDOWS\system32\RUNDLL32.EXE

C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe

D:\symantec\vptray.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\WINDOWS\System32\svchost.exe

D:\Kerio\Personal Firewall 4\kpf4gui.exe

c:\progra~1\intern~1\iexplore.exe

C:\WINDOWS\system32\wscntfy.exe

D:\Kerio\Personal Firewall 4\kpf4gui.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Program Files\Internet Explorer\iexplore.exe

E:\MARION\logiciel-application\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.ozsewdwsozamylx.com/khtxSNuMl5G...SWBxbEGAFy6.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.rvzerhhkorufmgle.com/khtxSNuMl5...2dYQeomagL0.htm

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.free.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

F0 - system.ini: Shell=Explorer.exe C:\windows\system32\msiexec16.exe

F1 - win.ini: run=C:\windows\system32\msiexec16.exe

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\spybot\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: (no name) - {6C4579D0-513E-1743-E72F-2826D6829F45} - C:\DOCUME~1\Famille\APPLIC~1\CLOSED~1\clockknob.exe

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE

O4 - HKLM\..\Run: [updReg] C:\WINDOWS\UpdReg.EXE

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe

O4 - HKLM\..\Run: [winupdt] RUNDLL32.EXE c:\windows\fsprof32.dll,_mainRD

O4 - HKLM\..\Run: [Meow meta view size] C:\Documents and Settings\All Users\Application Data\for remote meow meta\PLAY JOY.exe

O4 - HKLM\..\Run: [vptray] D:\symantec\vptray.exe

O4 - HKLM\..\Run: [Kuyeopfe] C:\Program Files\Mxgb\Tvqj.exe

O4 - HKLM\..\Run: [os4U36U] pipjmon.exe

O4 - HKLM\..\Run: [Warn Hold 2 Open] C:\Documents and Settings\All Users\Application Data\Mags sect warn hold\copy dupe.exe

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [steam] "d:\steam\steam.exe" -silent

O4 - HKCU\..\Run: [16 Long] C:\DOCUME~1\Famille\APPLIC~1\ATOMOP~1\mode extra readme.exe

O4 - Startup: PowerReg Scheduler.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://c:\program files\google\GoogleToolbar3.dll/cmwordtrans.html

O8 - Extra context menu item: Bloquer ce serveur... - C:\Program Files\Avant Browser\AddAllToADBlackList.htm

O8 - Extra context menu item: Bloquer cette publicité... - C:\Program Files\Avant Browser\AddToADBlackList.htm

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://D:\OFFICE~1\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Ouvrir tous les liens de la page... - C:\Program Files\Avant Browser\OpenAllLinks.htm

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar3.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar3.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://c:\program files\google\GoogleToolbar3.dll/cmsearch.html

O8 - Extra context menu item: Rechercher sur le Web... - C:\Program Files\Avant Browser\Search.htm

O8 - Extra context menu item: Surligner - C:\Program Files\Avant Browser\Highlight.htm

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar3.dll/cmcache.html

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\OFFICE~1\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O14 - IERESET.INF: START_PAGE_URL=http://home.free.fr/

O16 - DPF: {00000000-0000-0000-0000-000020030000} - http://www.advnt01.com/dialer/fra_pao.exe

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - http://www.creative.com/su/ocx/15015/CTSUEng.cab

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/CDT/ie/bridge-c6.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineS...er.cab31267.cab

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://software-dl.real.com/2045fc13650ded...RdxIE601_fr.cab

O16 - DPF: {6DB731A3-B074-4118-8B1C-32511C65D836} (FotovistaPhotoUploader.ctrFpu) - http://www.mypixmania.com/fr/fr/tools/activex/fpu.cab

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1125765644601

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab

O16 - DPF: {E123BED4-B8C7-42BB-958F-F13CA77EF95D} (Anark Client ActiveX Control) - http://install.anark.com/client/version2/w...en/AMClient.cab

O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://www.creative.com/su/ocx/15016/CTPID.cab

O16 - DPF: {FC67BB52-AAB6-4282-9D51-2DAFFE73AFD0} - http://download.spyspotter.com/spyspotter/...rCabInstall.cab

O20 - Winlogon Notify: NavLogon - C:\WINDOWS\system32\NavLogon.dll

O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: DefWatch - Symantec Corporation - D:\symantec\DefWatch.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - D:\Kerio\Personal Firewall 4\kpf4ss.exe

O23 - Service: Norman ZANDA - Unknown owner - E:\MARION\logiciel 2\Nvc\BIN\Zanda.exe (file missing)

O23 - Service: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - D:\symantec\Rtvscan.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Pml Driver - HP - C:\WINDOWS\System32\HPHipm09.exe

O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\PROGRA~1\FICHIE~1\SONYSH~1\AVLib\Sptisrv.exe

BipBip07 · le 7 septembre 2005

Démarrer le logiciel HijackThis et lancer un scan "Do a system scan only".

Puis cocher les lignes suivantes (dans HijackThis):

F0 - system.ini: Shell=Explorer.exe C:\windows\system32\msiexec16.exe

F1 - win.ini: run=C:\windows\system32\msiexec16.exe

O2 - BHO: (no name) - {6C4579D0-513E-1743-E72F-2826D6829F45} - C:\DOCUME~1\Famille\APPLIC~1\CLOSED~1\clockknob.exe

O4 - HKLM\..\Run: [winupdt] RUNDLL32.EXE c:\windows\fsprof32.dll,_mainRD

O4 - HKLM\..\Run: [Meow meta view size] C:\Documents and Settings\All Users\Application Data\for remote meow meta\PLAY JOY.exe

O4 - HKLM\..\Run: [Kuyeopfe] C:\Program Files\Mxgb\Tvqj.exe

O4 - HKLM\..\Run: [os4U36U] pipjmon.exe

O4 - HKLM\..\Run: [Warn Hold 2 Open] C:\Documents and Settings\All Users\Application Data\Mags sect warn hold\copy dupe.exe

O4 - HKCU\..\Run: [16 Long] C:\DOCUME~1\Famille\APPLIC~1\ATOMOP~1\mode extra readme.exe

O16 - DPF: {00000000-0000-0000-0000-000020030000} - http://www.advnt01.com/dialer/fra_pao.exe

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/CDT/ie/bridge-c6.cab

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://software-dl.real.com/2045fc13650ded...RdxIE601_fr.cab

O16 - DPF: {6DB731A3-B074-4118-8B1C-32511C65D836} (FotovistaPhotoUploader.ctrFpu) - http://www.mypixmania.com/fr/fr/tools/activex/fpu.cab

O16 - DPF: {E123BED4-B8C7-42BB-958F-F13CA77EF95D} (Anark Client ActiveX Control) - http://install.anark.com/client/version2/w...en/AMClient.cab

O16 - DPF: {FC67BB52-AAB6-4282-9D51-2DAFFE73AFD0} - http://download.spyspotter.com/spyspotter/...rCabInstall.cab

O23 - Service: Norman ZANDA - Unknown owner - E:\MARION\logiciel 2\Nvc\BIN\Zanda.exe (file missing)

Fermer toutes les fenêtres Windows, Internet explorer, Outlook,…sauf le logiciel Hijackthis et cliquer sur « Fix checked »

Redémarrer en mode sans echec (appuyer sur F8 ou F5 lors du démarrage) si tu peux...

Ensuite aller dans l’ Explorateur Windows et afficher tous les fichiers cachés:

Dans une fenêtre de l'explorateur Windows, cliquez sur le menu "Outils" et choisissez "Options des dossiers...".

Affichez l'onglet "Affichage" et sélectionnez l'option "Afficher les fichiers et dossiers cachés"

Cliquer sur « Appliquer ». Fermer la fenêtre d'options en cliquant "OK".

En image ici

et supprimer les fichiers ci dessous si ils sont présent :

C:\windows\system32\msiexec16.exe

c:\windows\fsprof32.dll

C:\Program Files\Mxgb\

C:\Documents and Settings\All Users\Application Data\for remote meow meta\PLAY JOY.exe

C:\Documents and Settings\All Users\Application Data\Mags sect warn hold\copy dupe.exe

C:\DOCUME~1\Famille\APPLIC~1\CLOSED~1\clockknob.exe

C:\DOCUME~1\Famille\APPLIC~1\ATOMOP~1\mode extra readme.exe

C\temp\ <-- supprimer tout le contenu du dossier

C:\windows\temp\ <-- supprimer tout le contenu du dossier

C:\windows\Downloaded Program Files\ <-- supprimer tout le contenu du dossier

C:\Documents and settings\Tous les identifiants\application data\Sun\Java\Deployment\cache\javapi1.0\jar\ <-- supprimer tout le contenu du dossier

C:\Documents and Settings\Tous les identifiants\Local Settings\Temp\ <-- supprimer tout le contenu du dossier

C:\Documents and Settings\ Tous les identifiants\Local Settings\Temporary Internet Files\ <-- supprimer tout le contenu du dossier

Fichier temporaire internet:

Démarrer/panneau de configuration/options internet

--> button supprimer cookies

--> button supprimer fichier temporaire internet

Fichiers temporaries : Démarrer/exécuter " CleanMgr "

Cocher tout sauf :

Compression des fichiers non utilisés

Fichiers catalogue d’indexation du contenu

/ OK / OUI

Dans l'Explorateur Windows recacher les fichiers systeme afin de ne pas faire d'erreur a l'avenir:

Retournez à la fenêtre <Paramètres de dossier> et sélectionnez <Ne pas afficher les fichiers cachés ou les fichiers système>.

redémarer normalement

vas dans ma signature consignes de sécurité et nettois ton PC avec Adaware, Spybot, A2, Easycleaner(registre uniquement), et Ccleaner.

Faire un scan en ligne chez Ravantivirus(mettre un fausse adresse email ou une adresse hotmail):

http://www.ravantivirus.com/scan/

jusqu'à ce que "ready to scan" apparaisse

cela doit se présenter comme ceci http://img272.echo.cx/img272/7830/rav0gh.jpg

Tu cliques ensuite sur "scan my pc" (étape 3 de l'image)

A la fin du scan, qui peut prendre un certain temps, tu copies et colles le rapport ici

Ou celui la

PANDA si tu n'y arrive pas : tutorial

Puis reviens mettre un rapport Hijackthis

Modifié le 7 septembre 2005 par BipBip07

marioonb · le 7 septembre 2005

jai pu aller juska fix checked, mais ensuite lorsque mon ordi na pas voulu redemmarrer en mode sans echec, estce que je suis le reste des consigne en mode normal ?

BipBip07 · le 8 septembre 2005

Redémarrer en mode sans echec (appuyer sur F8 ou F5 lors du démarrage) si tu peux...

jai pu aller juska fix checked, mais ensuite lorsque mon ordi na pas voulu redemmarrer en mode sans echec, estce que je suis le reste des consigne en mode normal ?

567489[/snapback]

Le si tu peux avait pour objeectif de te dire que tu continu le nettoyage mais en mode normal si pas de mode sans echec.... Donc oui pour ta question.

marioonb · le 8 septembre 2005

bonjour !!

jai suivi les instruction en mode normal, je tenvoi le rapport ravantivirus et le rapport hijackthis...

Autre chose lorsque jai voulu faire un scan avec easycleaner, mon ordinateur ma affiché la page bleu et ceci deux fois de suite et je nai donc pas pu faire l analyse. La page bleu appariat aussi lorsque je branche mon disque dur externe.

rapport ravantivirus

Scan started at 09/08/2005 17:09:35

Scanning memory...

Scanning boot sectors...

Scanning files...

D:\winrar\Uninstall.exe - Backdoor:Win32/Poebot.E -> Suspicious

Scanned

============================

Objects: 62722

Directories: 4660

Archives: 1904

Size(Kb): -672466

Infected files: 0

Found

============================

Viruses found: 0

Suspicious files: 1

Disinfected files: 0

Mail files: 63

rapport hijackthis :

Logfile of HijackThis v1.99.1

Scan saved at 18:18:30, on 09/08/2005