Aller au contenu
  • Pas encore inscrit ?

    Pourquoi ne pas vous inscrire ? C'est simple, rapide et gratuit.
    Pour en savoir plus, lisez Les avantages de l'inscription... et la Charte de Zébulon.
    De plus, les messages que vous postez en tant qu'invité restent invisibles tant qu'un modérateur ne les a pas validés. Inscrivez-vous, ce sera un gain de temps pour tout le monde, vous, les helpeurs et les modérateurs ! :wink:

kiff31

Probleme msdirectx.sys rapport Hijack Help please

Messages recommandés

Bonjour à tous le monde.

 

Apres avoir passé ma journée à essayer de me débarasser du ver Msdirectx.sys sans succes je demande conseil, j'ai cherché sur tous les forums mais aucune solution radicale ne m'a permis d'avancer...

 

Le ver me bloque 3 fois 4 les applications du genre antivirus et antispy sauf en mode sans echec, ainsi que le gestionnaire des tâches.

 

Cela dit j'ai réussi à avoir un log d'Hijack en renommant le prog en tot.exe je le post donc ici merci d'avance de m'aider !!!

 

Logfile of HijackThis v1.99.1

Scan saved at 16:11:19, on 30/09/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\RealVNC\WinVNC\winvnc.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\WINDOWS\System32\ntsys32.exe

C:\WINDOWS\system32\mmc.exe

C:\Documents and Settings\arnaud\Bureau\Anti_virus_spy\Nouveau dossier\tot.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.cegetel.net

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [Compaq Service Drivers] ntsys32.exe

O4 - HKLM\..\RunServices: [Compaq Service Drivers] ntsys32.exe

O4 - HKCU\..\Run: [Compaq Service Drivers] ntsys32.exe

O4 - HKCU\..\RunServices: [Compaq Service Drivers] ntsys32.exe

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://C:\Program Files\Google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1127891884515

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: VNC Server (winvnc) - Unknown owner - C:\Program Files\RealVNC\WinVNC\winvnc.exe" -service (file missing)

Partager ce message


Lien à poster
Partager sur d’autres sites

bonjour kiff31

 

j analyse ton rapport, réponse dans un moment. Je vois déja un beau virus qui se fait passer pour un driver Compaq : ntsys32.exe voir ici http://www.bleepingcomputer.com/startups/n....exe-10610.html ou ici http://www.sysinfo.org/startuplist.php?filter=&letter=N

Modifié par Jack_Burton

Partager ce message


Lien à poster
Partager sur d’autres sites

Re,

 

1/ Télécharge et installe EasyCleaner de Toni Helenius: http://personal.inet.fi/business/toniarts/ecleane.htm

 

2/ Démarre en mode sans échec

 

3/ Vérifie d'avoir accès à tous les fichiers

 

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

 

4/ Relance un scan HijackThis, clique sur "Do a system scan only" et coche les lignes ci-dessous :

 

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

 

O4 - HKLM\..\Run: [Compaq Service Drivers] ntsys32.exe

O4 - HKLM\..\RunServices: [Compaq Service Drivers] ntsys32.exe

O4 - HKCU\..\Run: [Compaq Service Drivers] ntsys32.exe

O4 - HKCU\..\RunServices: [Compaq Service Drivers] ntsys32.exe

 

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

 

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1127891884515

 

Ferme toutes les fenêtres sauf HijackThis et "Fix Checked"

 

 

6/ Supprime le fichier incriminé (s'il existe encore) par l'Explorateur Windows :

-C:\WINDOWS\System32\ntsys32.exe

 

7/ Nettoyage de ver W32/Sdbot-LN dans la base de registre:

 

Démarrer -> Exécuter -> tape regedit et va successivement à :

 

*HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

[Compaq Service Drivers] ntsys32.exe<--- supprime si présent

 

*HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

[Compaq Service Drivers] ntsys32.exe<--- supprime si présent

 

*HKCU\Software\Microsoft\Windows\CurrentVersion\Run

[Compaq Service Drivers] ntsys32.exe<--- supprime si présent

 

*HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices

[Compaq Service Drivers] ntsys32.exe<--- supprime si présent

 

Ferme ensuite le registre.

 

8/ Execute EasyCleaner: Utilise les fonctions "Inutiles" et "Registre" seulement. Ne touche pas à la fonction "doublons".

 

9/ Redémarre l'ordinateur en mode normal et poste un nouveau rapport HijackThis à titre de vérification.

 

Edit : coucou Charly :P

Modifié par Jack_Burton

Partager ce message


Lien à poster
Partager sur d’autres sites

salut Jack,kiff31 :P

 

Manifestment collant ce" Msdirectx.sys" => petite info là dessus

 

Symantec does pick up another file that it drops, msdirectx.sys, which is detected as the generic "hacktool.rootkit". This virus attempts to connect to an outside server using IP address 140.123.176.237 with port 19899.

 

Autre chose sur cette daube ici=> http://www.antisource.com/article.php/spyb...ebc08-msdirectx

Partager ce message


Lien à poster
Partager sur d’autres sites

RE bonjour !!

 

Merci Jack :P ,

 

ton aide m'a été précieuse, en fait je n'avait pas remarqué le virus qui se faisait passé pour compaq (le pc n'est pas à moi) et c'est lui qui ramenait je ne sais comment msdirectx.sys, car depuis que j'ai supprimé ntsys32.exe, le terrible msdirectx.sys ne revient plus! Le bonheur quoi !!

 

Petite précision quand même au cas ou une autre personne aurait ce problème, en plus d'avoir suivi les conseils de Jack, il faut refaire la manip en mode normal, car Hijack ne trouve pas tous les ntsys32.exe en mode sans échec. Puis pour finir dans regedit, faire rechercher et tapper :

1) "ntsys32.exe" et supprimé TOUS les fichiers ayant une entrée registre (appuyer sur F3 pour poursuivre la recherche)

2) "msdirectx.sys" et supprimé toutes les clés (dans mon cas une dossier entier nommé msdirectx).

 

Voila !! Merci pour l'aide apportée si rapidement et bonne continuation à ce forum

 

Merci Charles aussi pour les info ! Bon Week-End à tous

Modifié par kiff31

Partager ce message


Lien à poster
Partager sur d’autres sites

Oups désolé !! j'y pensé plus Merci Charles !

 

Logfile of HijackThis v1.99.1

Scan saved at 22:32:24, on 30/09/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\RealVNC\WinVNC\winvnc.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\Documents and Settings\arnaud\Bureau\Anti_virus_spy\Nouveau dossier\tot.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://C:\Program Files\Google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: VNC Server (winvnc) - Unknown owner - C:\Program Files\RealVNC\WinVNC\winvnc.exe" -service (file missing)

 

Voila !

Partager ce message


Lien à poster
Partager sur d’autres sites

En effet je trouve que ça à l'air propre aussi, pour le firewall je leur installerai Zone alarme demain, y ont installé pas mal de trucs faut que je fasse un peu de tri avant, bonne soirée !

Partager ce message


Lien à poster
Partager sur d’autres sites

Créer un compte ou se connecter pour commenter

Vous devez être membre afin de pouvoir déposer un commentaire

Créer un compte

Créez un compte sur notre communauté. C’est facile !

Créer un nouveau compte

Se connecter

Vous avez déjà un compte ? Connectez-vous ici.

Connectez-vous maintenant

  • En ligne récemment   0 membre est en ligne

    Aucun utilisateur enregistré regarde cette page.

×