Mises à jours automatiques.

kikou54 · le 17 septembre 2005

Bonjour, j'ai un petit problème,

Quand je veux faire les mises à jours automaques j'ai un message d'erreur qui me dit Une exeption s'est produite lors de la tentative d'exécution de "Shell32.dll,Controm_RunDLL"C:\WINDOWS\System32\wuaucpl.cpl"

J'ai eu un autre problème, mon firewalle empêchait mon pc de s'éteindre il a fallu que je l'enlève et que je mette Kério pour qu'il marche et je ne sais pas pourquoi ça me le fait maintenant car jusque maintenant tout aller bien, c'est juste après avoir eu des virus que j'ai et j'espère fait disparaître que ça me l'a fait. J'ai beau désinstaller, nettoyer avec plusieurs logiciels comme easy cleaner et autres et réinstaller et tout en mode sans échec, ça ne marche toujours pas et le pire c'est qu'il n'y a plus rien qui s'incris dans le firewall.En revanche en mode sans échec tout fonctionné bien. En mode normal soit il fallait que je désactive le firewall ou que je termine le processus.

J'en profite pour vous donner mon log HJT, merci.

Logfile of HijackThis v1.98.2

Scan saved at 23:07:04, on 17/09/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Logiciels\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - F:\LOGICI~1\SPYBOT~1\SDHelper.dll

O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll

O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [shStatEXE] "C:\Program Files\McAfee\Virusscan\SHSTAT.EXE" /STANDALONE

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE

O4 - HKCU\..\RunOnce: [Microsoft Windows Update] svmhost.exe

O4 - HKCU\..\RunOnce: [Cleaner] msn.exe

O4 - HKCU\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe

O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O16 - DPF: fdjeux - https://www.fdjeux.net/classes/fdjeux.cab

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1126896715000

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

Modifié le 17 septembre 2005 par kikou54

ipl_001 · le 17 septembre 2005

Bonsoir kikou54, bonsoir à tous,

Je te souhaite la bienvenue sur Zeb'Sécurité ! Merci de venir sur notre forum !

Logfile of HijackThis v1.98.2

Heu désolé ! Tu as trop de retard : télécharge la version 1.99.1 d'HijackThis -> http://www.merijn.org/files/hijackthis.zip

J'analyserai ton log ensuite ! Je peux déjà te dire que je vois ForBot, une vraie pieuvre ! Nous allons nettoyer çà !

kikou54 · le 17 septembre 2005

ok merci je m'en occupe.

Voilà c'est fait le nouveau log à jour.

Logfile of HijackThis v1.99.1

Scan saved at 00:22:24, on 18/09/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Logiciels\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - F:\LOGICI~1\SPYBOT~1\SDHelper.dll

O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll

O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [shStatEXE] "C:\Program Files\McAfee\Virusscan\SHSTAT.EXE" /STANDALONE

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE

O4 - HKCU\..\RunOnce: [Microsoft Windows Update] svmhost.exe

O4 - HKCU\..\RunOnce: [Cleaner] msn.exe

O4 - HKCU\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe

O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O16 - DPF: fdjeux - https://www.fdjeux.net/classes/fdjeux.cab

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1126896715000

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\System32\drivers\CDAC11BA.EXE

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido\security suite\ewidoctrl.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\McAfee\Virusscan\Mcshield.exe

O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Program Files\McAfee\Virusscan\VsTskMgr.exe

O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - Network Associates, Inc. - (no file)

O23 - Service: McAfee.com VirusScan Online Realtime Engine (MCVSRte) - Network Associates, Inc. - (no file)

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Print Spool Handler (Print Spooler) - Unknown owner - C:\WINDOWS\System32\spooler.exe

O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - F:\Logiciels\Tuneup\WinStylerThemeSvc.exe

O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\WINDOWS\System32\x10nets.exe

Merci de ton aide et de ton accueil, c'est sympa.

Modifié le 17 septembre 2005 par kikou54

ipl_001 · le 17 septembre 2005

Rebonsoir kikou54, rebonsoir à tous,

>Merci de ton aide et de ton accueil, c'est sympa.

Pas de problème, kikou54 : nous sommes sur ce forum pour t'aider à surfer plus tranquille !

Je démarre une analyse de ton rapport HijackThis... réponse d'ici 15-20 minutes !

ipl_001 · le 17 septembre 2005

Rebonsoir kikou54, rebonsoir à tous,

Tu as notamment Forbot-EX, voici quelques infos -> http://www.sophos.com/virusinfo/analyses/w32forbotex.html

Imprime ou sauvegarde ces instructions dans un fichier .txt de manière à pourvoir le consulter en mode sans échec.

Télécharge et installe EasyCleaner de Toni Helenius ( http://personal.inet.fi/business/toniarts/ecleane.htm )

Redémarre l'ordinateur en mode sans échec.

Relance un scan HijackThis, clique sur "Do a system scan only" et coche les lignes ci-dessous :

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKCU\..\RunOnce: [Microsoft Windows Update] svmhost.exe

O4 - HKCU\..\RunOnce: [Cleaner] msn.exe

O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

O16 - DPF: fdjeux - https://www.fdjeux.net/classes/fdjeux.cab

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1126896715000

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - Network Associates, Inc. - (no file)

O23 - Service: McAfee.com VirusScan Online Realtime Engine (MCVSRte) - Network Associates, Inc. - (no file)

O23 - Service: Print Spool Handler (Print Spooler) - Unknown owner - C:\WINDOWS\System32\spooler.exe

Ferme toutes les fenêtres sauf HijackThis et "Fix Checked".

- Supprime les fichiers/dossiers incriminés (s'ils existent encore) par l'Explorateur Windows :

--- svmhost.exe (recherche sur le disque, probablement dans System32, quelle est sa date de dernière maj ?)

--- msn.exe (recherche sur le disque, probablement dans System32, quelle est sa date de dernière maj ?)

En cas de difficultés, vérifier l'option d'affichage des fichiers, les attributs "Lecture seule", etc.

- suppression des fichiers inutiles par EasyCleaner-Inutile(s)

- vidage des zones de quarantaine éventuelles

- nettoyage de la base de registres par EasyCleaner-Registre

Renomme les fichiers suivants ! Je te les fais renommer car ils me sont inconnus et je ne veux pas les perdre, juste les rendre inactifs (pour le moment) ; je te conseille de mettre un nom reprenant le nom-tiret-l'extension.anc :

--- C:\WINDOWS\System32\spooler.exe

Si tout est bon dans 2 jours, tu les supprimeras.

Redémarre l'ordinateur en mode normal et poste un nouveau rapport HijackThis à titre de vérification.

Qu'en est-il de dysfonctionnements éventuels ?

kikou54 · le 17 septembre 2005

Je vais faire ça mais je ne peux plus imprimer je n'ai plus d'imprante enregistreé il m'a tout viré et je nepeux pas en ajouter ill me dit impossible de le faire donc j'enregistre ce que tu me demande de faire sur le C: pour pouvoir le consulter en mode sans échec.

ipl_001 · le 17 septembre 2005

Re,

>il m'a tout viré

>ill me dit impossible de le faire

Qui çà "Il" ?

>Bonjour, j'ai un petit problème,

Tu trouves que c'est un "petit problème" ???

kikou54 · le 17 septembre 2005

Ok me revoilà, non c'est un gros problème.

Le QUI c'est le responsable que je ne connais pas.

Pour les mises à jours automatiques c'est le même message.

Pour mes deux imprimantes, probleme résolu, par hasard j'ai été voir si le service de spooleur d'impression était en marche et en fait il était arrêté et donc j'ai fais redémarrer et mes imprimantes sont revenues, c'est déjà ça.

Donc pour le SPOOLER.EXE (application américaine qui a pour description "Mapping the end point spool to the beging point" d'après ma traduction en français ça donne "Tracer la bobine du point final au point dérrière"), impossible de le renommer même en mode sans échec, sa création est du 6/09/05 très récent dans les moments où j'ai été infecté.j'ai réussis à le désactiver dans les services de lancement mais je ne peux toujours pas le modifier, à côté il y avait un raccourci montrant l'icone MSDOS du même nom mais sans chemin), il est donc toujours présent dans system32.

Certaines clés sont impossible de les trouver même avec fichiers cachés et dans la section recherche donc les clés 023 de Mcafee et de Print Spool sont désactivées dans les services de lancements.

Logfile of HijackThis v1.99.1

Scan saved at 02:17:00, on 18/09/2005