virus Pokecake et autre...

FrancisMouans · le 2 octobre 2005

Bonjour, nouveau venu sur ce forum je n'arrive pas à enlever ces virus de ma machine, je suis allé sur un autre forum et la solution que l'on me propose est de reformater le disque. Plutot radical comme solution !!

Je précise que je possède Avast antivirus, ZoneAlarm en pare-feu, j'ai passé Adaware, Spy Sweeper (qui détecte des chose malveillante mais qui ne les enlève pas).

J'ai passé Adaware SE, Avast en mode sans échec avec désactivation de la restauration, j'ai même essayé de bidouiller dans la BDR pour enlever "Pokecake" mais il revient toujours. De plus internet explorer ne me laisse plus aller dans le menu des favoris sans planter et il m'impse des favoris 'Computer', 'Movie' 'games' "Web hosting" et "Casino online" sans compter un grosse barre bleue en bas de l'écran avec ces même liens.

Je précise que jutilise pas Opéra comme naviguateur mais quelque fois certains sites imposent IE.

Je vous joins le logfile d'Hijackthis en espèrant que vous trouviez une solution à mes problèmes. Merci d'avance.

Logfile of HijackThis v1.99.1

Scan saved at 15:46:20, on 02/10/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\netdde.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\clipsrv.exe

C:\Program Files\Executive Software\Diskeeper\DkService.exe

C:\Program Files\FileZilla Server\FileZilla Server.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\System32\dllhost.exe

C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\vssvc.exe

C:\Program Files\RealVNC\VNC4\WinVNC4.exe

C:\WINDOWS\System32\dmadmin.exe

C:\Program Files\ADSL Autoconnect\ADSL Autoconnect.exe

C:\Program Files\Logitech\iTouch\iTouch.exe

C:\Program Files\WinFast\WFTVFM\WFWIZ.exe

C:\PROGRA~1\PHILIP~1\VProperty.exe

C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe

C:\Program Files\Analog Devices\SoundMAX\Smax4.exe

C:\WINDOWS\system32\rundll32.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\RAMpage\RAMpage.exe

C:\Program Files\FileZilla Server\FileZilla Server Interface.exe

C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe

C:\PROGRA~1\MAILWA~1\MAILWA~1.EXE

C:\Program Files\Pense-bete\pb79a.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Shelltoys\Access Folders\afolders.exe

C:\Program Files\eMule\emule.exe

C:\Program Files\OpenOffice.org1.1.4\program\soffice.exe

c:\progra~1\intern~1\iexplore.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\System32\dllhost.exe

C:\WINDOWS\System32\msdtc.exe

C:\Program Files\Opera\Opera.exe

C:\PROGRA~1\INCRED~1\bin\IncMail.exe

C:\PROGRA~1\INCRED~1\bin\IMApp.exe

C:\Program Files\HIJACKTHIS\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.criozbjdyktkoxrilxabhvhnq.us/xi...KaHedlnbNP.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe

O4 - HKLM\..\Run: [WinFast Schedule] C:\Program Files\WinFast\WFTVFM\WFWIZ.exe

O4 - HKLM\..\Run: [ToUcamVProperty] C:\PROGRA~1\PHILIP~1\VProperty.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [soundMAXPnP] C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe

O4 - HKLM\..\Run: [soundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray

O4 - HKLM\..\Run: [AdslTaskBar] rundll32.exe stmctrl.dll,TaskBar

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [RAMpage] "C:\Program Files\RAMpage\RAMpage.exe" M=28 T=4 D=Y P="C:\Program Files\RAMpage\RAMpageConfig.exe"

O4 - HKLM\..\Run: [FileZilla Server Interface] "C:\Program Files\FileZilla Server\FileZilla Server Interface.exe"

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

O4 - HKLM\..\Run: [DiskeeperSystray] "C:\Program Files\Executive Software\Diskeeper\DkIcon.exe"

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"

O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKLM\..\Run: [spySweeper] "C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe" /startintray

O4 - HKCU\..\Run: [MailWasher] C:\PROGRA~1\MAILWA~1\MAILWA~1.EXE

O4 - HKCU\..\Run: [Pense-Bête] C:\Program Files\Pense-bete\pb79a.exe

O4 - HKCU\..\Run: [NBJ] "C:\Program Files\Ahead\Nero BackItUp\nbj.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [Access Folders] C:\Program Files\Shelltoys\Access Folders\afolders.exe

O4 - HKCU\..\Run: [ccleaner] "C:\Program Files\CCleaner\ccleaner.exe" /AUTO

O4 - HKCU\..\Run: [typeview] C:\DOCUME~1\FRANCI~1\APPLIC~1\64Loud\Pokecake.exe

O4 - HKCU\..\Run: [eMuleAutoStart] C:\Program Files\eMule\emule.exe -AutoStart

O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Startup: Diskeeper 9 Professional Edition Registration.lnk = C:\Program Files\Executive Software\Diskeeper\ESIRegister.exe

O4 - Startup: OpenOffice.org 1.1.4.lnk = C:\Program Files\OpenOffice.org1.1.4\program\quickstart.exe

O4 - Startup: PowerReg Scheduler.exe

O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm

O8 - Extra context menu item: Convertir en Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir en un fichier PDF existant - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir la cible du lien en Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir la cible du lien en un fichier PDF existant - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir la sélection en Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir la sélection en un fichier PDF existant - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir les liens sélectionnés en fichier Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Convertir les liens sélectionnés en un fichier PDF existant - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {0D41B8C5-2599-4893-8183-00195EC8D5F9} (asusTek_sysctrl Class) - http://support.asus.com/common/asusTek_sys_ctrl.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{B87C6D1E-2FCA-4044-AD62-E3F973E4A611}: NameServer = 212.151.137.166 212.247.156.66

O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: ADSLAutoconnect - Unknown owner - C:\Program Files\ADSL Autoconnect\ADSL Autoconnect.exe" -z (file missing)

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Program Files\Executive Software\Diskeeper\DkService.exe

O23 - Service: FileZilla Server FTP server (FileZilla Server) - Unknown owner - C:\Program Files\FileZilla Server\FileZilla Server.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe

O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

O23 - Service: VNC Server Version 4 (WinVNC4) - Unknown owner - C:\Program Files\RealVNC\VNC4\WinVNC4.exe" -service (file missing)

ipl_001 · le 2 octobre 2005

Bonjour FrancisMouans, bonjour à tous,

Messages : 1

Je te souhaite la bienvenue sur Zeb'Sécurité ! Merci de venir sur notre forum !

O4 - HKCU\..\Run: [eMuleAutoStart] C:\Program Files\eMule\emule.exe -AutoStart

Commence par désinstaller cette appli qui n'est pas idéale pour la sécurité de ton système !

S'il te plaît, applique la procédure "Pré-Nettoyage d'un PC infecté" -> http://forum.zebulon.fr/index.php?showtopic=69176

FrancisMouans · le 2 octobre 2005

J'ai donc enlever avec Hyjackthis la ligne 04 concernat Emule Autostart. Je suis donc allé voir la procédure préconisé, Je ne vois pas l'intérêt d'installer antivir car je possède déja avast qui est trés performant. Je tiens à préciser que j'ai lancé malencontreusement un programme NO CD qui devait soit disant me permettre d'éviter de mettre à chaque fois le cd d'un jeu pour ma fille et il a du m'installer quelques saletés car de suite Avast a réagit. J'ai donc fait un scan avec avast en mode sans echec et restauration système désactivée, j'ai mis en quarantaine les fichiers infectés. Je les ai ensuite supprimé. Est-ce qu'il y a une faille dans ma démarche ?

ipl_001 · le 2 octobre 2005

Rebonjour FrancisMouans,

J'ai donc enlever avec Hyjackthis la ligne 04 concernat Emule Autostart.

Je disais de désinstaller pas de désactiver !

Je suis donc allé voir la procédure préconisé, Je ne vois pas l'intérêt d'installer antivir car je possède déja avast qui est trés performant.

Libre à toi ! Tu es le responsable de ta machine !

J'ai également Avast et j'en suis très content mais je te fais remarquer que Avast à laissé passer la chose et que c'est bien toi qui as écrit :

je n'arrive pas à enlever ces virus de ma machine,

Si AntiVir est préconisé par la procédure, c'est pour différentes raisons... AntiVir est très bon pour le mode sans échec ; il s'agit en outre d'un antivirus nouveau pour ton système (souviens toi bien qu'un antivirus peut être désactivé par un malware et donc, un antivirus installé, qui a laissé passer un malware, est douteux !)

Lorsque tu auras posté le rapport HijackThis qui en résulte, nous l'analyserons et te dirons que faire !

Pollux_63 · le 2 octobre 2005

Bonjour.

J'ai donc enlever avec Hyjackthis la ligne 04 concernat Emule Autostart

Fixer la ligne ne suffit pas!! il faut désintaller entièrement le programme par le panneau de config, suppression de tous les dossiers en relation avec emule.

Je ne vois pas l'intérêt d'installer antivir car je possède déja avast qui est trés performant

l'installation d'antivir n'est que temporaire (juste le temps de la désinfection). Pourquoi Antivir? Car il a fait ces preuves, c'est un antivirus qui possède beaucoup d'avantages: gratuit, léger, particulièrement efficace en mode sans échec... Cette procédure est utilisée depuis quelques mois sur zeb, et elle aussi a fait ses preuvres.

Edit: salut ipl. trop rapide comme toujours!!

Modifié le 2 octobre 2005 par Pollux_63

FrancisMouans · le 2 octobre 2005

Bon je vous fais confiance par contre doit-je désinstaller Avast ou seulement le désactiver avant d'installer antivir ? Je suis peut-être une peu dur de la feuille est-ce qu'il faut que je désinstalle emule ?

J'ai également Spy sweeper d'installer en évaluation doit-je le désinstaller ?

Bon eh bien j'attend la réponse s'il faut désinstaller Avast

Merci de votre rapidité d'intervention

Pollux_63 · le 2 octobre 2005

re,

Non, ce n'est pas la peine de désintaller Avast.

Oui, il faut vraiment désintaller emule.

Ce n'est pas la peine de désintaller Spy sweeper.

A tout de suite avec ton rapport HijackThis.

ipl_001 · le 2 octobre 2005

Rebonsoir FrancisMouans, Pollux_63, rebonsoir à tous,

Quelques explications supplémentaires :

- la procédure prévoit l'exécution en mode sans échec

- dans ce mode, aucun des programmes n'est lancé au démarrage de Windows hormis le strict nécessaire au fonctionnement du système.

Avast n'est pas lancé et donc, il n'y aura pas 2 antivirus en mémoire en même temps

- la procédure demande la désinstallation du deuxième AV... tu choisis celui que tu gardes !

- il ne faut pas 2 AV résidents

FrancisMouans · le 2 octobre 2005

Me revoila après un scan avec antivir mode sans echec. Effectivement il m'a enlever pas mal de bestioles et j'ai de nouveau accés au menu des favoris sur IE. Les liens 'casino online' etc ont disparus. Par contre il m'a averti à plusieurs reprises qu'il ne pouvait effacer un truc du genre 'WORM/MAPSON'. Je vous joint un logfile d'Hijackthis mais il existe toujours une ligne 04 avec ce fameux "pokecake" (petite saleté bien coriace!!)

En ce qui concerne les 2 antivirus ils fonctionnent tous les 2 en même temps je vais donc enlever antivir ou dois-je le garder encore en attente de destruction de 'pokecake' ??

Logfile of HijackThis v1.99.1

Scan saved at 19:53:05, on 02/10/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\netdde.exe

C:\Program Files\AVPersonal\AVGUARD.EXE

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\Program Files\AVPersonal\AVWUPSRV.EXE

C:\WINDOWS\system32\clipsrv.exe

C:\Program Files\Executive Software\Diskeeper\DkService.exe

C:\Program Files\FileZilla Server\FileZilla Server.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\dllhost.exe

C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\System32\vssvc.exe

C:\WINDOWS\System32\dmadmin.exe

C:\Program Files\ADSL Autoconnect\ADSL Autoconnect.exe

C:\Program Files\Logitech\iTouch\iTouch.exe

C:\Program Files\WinFast\WFTVFM\WFWIZ.exe

C:\PROGRA~1\PHILIP~1\VProperty.exe

C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe

C:\Program Files\Analog Devices\SoundMAX\Smax4.exe

C:\WINDOWS\system32\rundll32.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\RAMpage\RAMpage.exe

C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe

C:\Program Files\AVPersonal\AVGNT.EXE

C:\PROGRA~1\MAILWA~1\MAILWA~1.EXE

C:\Program Files\Pense-bete\pb79a.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Shelltoys\Access Folders\afolders.exe

C:\Program Files\BHODemon 2\BHODemon.exe

C:\Program Files\OpenOffice.org1.1.4\program\soffice.exe

C:\WINDOWS\System32\wbem\wmiprvse.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\System32\dllhost.exe

C:\WINDOWS\system32\wuauclt.exe