Probleme msdirectx.sys rapport Hijack Help please

kiff31 · le 30 septembre 2005

Bonjour à tous le monde.

Apres avoir passé ma journée à essayer de me débarasser du ver Msdirectx.sys sans succes je demande conseil, j'ai cherché sur tous les forums mais aucune solution radicale ne m'a permis d'avancer...

Le ver me bloque 3 fois 4 les applications du genre antivirus et antispy sauf en mode sans echec, ainsi que le gestionnaire des tâches.

Cela dit j'ai réussi à avoir un log d'Hijack en renommant le prog en tot.exe je le post donc ici merci d'avance de m'aider !!!

Logfile of HijackThis v1.99.1

Scan saved at 16:11:19, on 30/09/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\RealVNC\WinVNC\winvnc.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\WINDOWS\System32\ntsys32.exe

C:\WINDOWS\system32\mmc.exe

C:\Documents and Settings\arnaud\Bureau\Anti_virus_spy\Nouveau dossier\tot.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.cegetel.net

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [Compaq Service Drivers] ntsys32.exe

O4 - HKLM\..\RunServices: [Compaq Service Drivers] ntsys32.exe

O4 - HKCU\..\Run: [Compaq Service Drivers] ntsys32.exe

O4 - HKCU\..\RunServices: [Compaq Service Drivers] ntsys32.exe

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://C:\Program Files\Google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1127891884515

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: VNC Server (winvnc) - Unknown owner - C:\Program Files\RealVNC\WinVNC\winvnc.exe" -service (file missing)

Jack_Burton · le 30 septembre 2005

bonjour kiff31

j analyse ton rapport, réponse dans un moment. Je vois déja un beau virus qui se fait passer pour un driver Compaq : ntsys32.exe voir ici http://www.bleepingcomputer.com/startups/n....exe-10610.html ou ici http://www.sysinfo.org/startuplist.php?filter=&letter=N

Modifié le 30 septembre 2005 par Jack_Burton

Jack_Burton · le 30 septembre 2005

Re,

1/ Télécharge et installe EasyCleaner de Toni Helenius: http://personal.inet.fi/business/toniarts/ecleane.htm

2/ Démarre en mode sans échec

3/ Vérifie d'avoir accès à tous les fichiers

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

4/ Relance un scan HijackThis, clique sur "Do a system scan only" et coche les lignes ci-dessous :

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

O4 - HKLM\..\Run: [Compaq Service Drivers] ntsys32.exe

O4 - HKLM\..\RunServices: [Compaq Service Drivers] ntsys32.exe

O4 - HKCU\..\Run: [Compaq Service Drivers] ntsys32.exe

O4 - HKCU\..\RunServices: [Compaq Service Drivers] ntsys32.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1127891884515

Ferme toutes les fenêtres sauf HijackThis et "Fix Checked"

6/ Supprime le fichier incriminé (s'il existe encore) par l'Explorateur Windows :

-C:\WINDOWS\System32\ntsys32.exe

7/ Nettoyage de ver W32/Sdbot-LN dans la base de registre:

Démarrer -> Exécuter -> tape regedit et va successivement à :

*HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

[Compaq Service Drivers] ntsys32.exe<--- supprime si présent

*HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

[Compaq Service Drivers] ntsys32.exe<--- supprime si présent

*HKCU\Software\Microsoft\Windows\CurrentVersion\Run

[Compaq Service Drivers] ntsys32.exe<--- supprime si présent

*HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices

[Compaq Service Drivers] ntsys32.exe<--- supprime si présent

Ferme ensuite le registre.

8/ Execute EasyCleaner: Utilise les fonctions "Inutiles" et "Registre" seulement. Ne touche pas à la fonction "doublons".

9/ Redémarre l'ordinateur en mode normal et poste un nouveau rapport HijackThis à titre de vérification.

Edit : coucou Charly

Modifié le 30 septembre 2005 par Jack_Burton

Thanos · le 30 septembre 2005

salut Jack,kiff31

Manifestment collant ce" Msdirectx.sys" => petite info là dessus

Symantec does pick up another file that it drops, msdirectx.sys, which is detected as the generic "hacktool.rootkit". This virus attempts to connect to an outside server using IP address 140.123.176.237 with port 19899.

Autre chose sur cette daube ici=> http://www.antisource.com/article.php/spyb...ebc08-msdirectx

kiff31 · le 30 septembre 2005

RE bonjour !!

Merci Jack ,

ton aide m'a été précieuse, en fait je n'avait pas remarqué le virus qui se faisait passé pour compaq (le pc n'est pas à moi) et c'est lui qui ramenait je ne sais comment msdirectx.sys, car depuis que j'ai supprimé ntsys32.exe, le terrible msdirectx.sys ne revient plus! Le bonheur quoi !!

Petite précision quand même au cas ou une autre personne aurait ce problème, en plus d'avoir suivi les conseils de Jack, il faut refaire la manip en mode normal, car Hijack ne trouve pas tous les ntsys32.exe en mode sans échec. Puis pour finir dans regedit, faire rechercher et tapper :

1) "ntsys32.exe" et supprimé TOUS les fichiers ayant une entrée registre (appuyer sur F3 pour poursuivre la recherche)

2) "msdirectx.sys" et supprimé toutes les clés (dans mon cas une dossier entier nommé msdirectx).

Voila !! Merci pour l'aide apportée si rapidement et bonne continuation à ce forum

Merci Charles aussi pour les info ! Bon Week-End à tous

Modifié le 30 septembre 2005 par kiff31

Thanos · le 30 septembre 2005

kiff pense à reposter un log pour voir si tout vas bien

kiff31 · le 30 septembre 2005

Oups désolé !! j'y pensé plus Merci Charles !

Logfile of HijackThis v1.99.1

Scan saved at 22:32:24, on 30/09/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\WINDOWS\System32\nvsvc32.exe