Probleme virus ied

[wonderwall]

Bonjour à tous,

 

Je fais appel à vous car je suis un peu dans l'impasse. N'étant pas un pro de l'informatique je me trouve confronté à deux problèmes (liés ?)

 

1) A chaque analyse antivirus de Norton il détecte un virus dénommé ied.exe. Il le place en quarantaine et me dis qu'il va le détruire mais rien n'y fait, le virus est toujours là. J'ai essayé avec bit Defender en ligne et rebelote il n'arrive pas à le supprimer. Que puis je faire pour assainir mon PC.

 

2) Le second problème est quasi incompréhensible. Je ne sais pas s'il peut-être lié à la présence de ce virus mais voilà le descriptif.

Mon PC jusqu' à il y a trois jours fonctionnait à merveille et démarrait sans problème. Sans que j'ai apporté aucune modification (téléchargement ou installation de logiciel, etc...) il se plante au démarrage de la façon suivante.

Tout se passe bien jusqu'à l'affichage des icônes dans la barre des tâches (Norton antivirus, modem sans fil, imprimante,...). Là il affiche juste l'horloge et puis plus rien. Si je me positionne sur la barre des tâches il affiche un sablier mais rien ne se passe. Il m'est impossible de lancer une quelconque application puisqu'il "travaille" dans la barre des tâches. Alors arrive le plus fou...

Je fait CTRL-ALT-DEL et je vais sélectionner "fermer la session". Il ferme et je relance le même utilisateur càd moi et là miracle les icônes apparaissent et tout se passe normalement. C'est à n'y rien comprendre.

Je ne sais pas ce qui peut le bloquer d'autant qu'au redémarrage tout fonctionne normalement. Mon seul espoir c'est cet appel au secours !

 

Je ne sais pas si j'ai été suffisamment clair mais bon si vous avez des questions plus précises (je vous rappelle que je suis pas une bête de l'informatique !)

 

Merci d'avance de l'aide précieuse que vous pourrez m'apporter.

[ipl_001]

Bonjour wonderwall, bonjour à tous,

 

Messages : 1

Je te souhaite la bienvenue sur Zeb'Sécurité ! Merci de venir sur notre forum !

 

Je ne sais pas si il y a un problème Windows en plus de ton problème de malware... nous verrons bien : commençons par nous occuper du virus !

 

S'il te plaît, applique la procédure "Pré-Nettoyage d'un PC infecté" -> http://forum.zebulon.fr/index.php?showtopic=69176

 

Lorsque tu auras posté le rapport HijackThis qui en résulte, nous l'analyserons et te dirons que faire !

 

A cette occasion, tu nous comment se passe le mode sans échec ! sablier ?

 

---édition : hello Jack_Burton !

C'est vrai que c'est rédigé en bon Français !... peut-être un prof !

Non, il y a 2 fautes d'orthographe... un prof dans la lune alors !

[Jack_Burton]

Bonjour et bienvenu sur le forum sécurité de zebulon

 

Je ne sais pas si j'ai été suffisamment clair mais bon si vous avez des questions plus précises (je vous rappelle que je suis pas une bête de l'informatique !)

 

Oui c était tres clair et ca fait plaisir de voir quelqu un qui ne rédige pas en caractere "SMS". Merci du soin que tu portes a la rédaction, ca devient de plus en plus rare de nos jours.

 

Voila ce que je te suggere, applique la procédure préliminaire je te prie, ensuite nous analyserons ton rapport. Cela nous donnera une idée des logiciels installés sur ton PC, des processus et des services qui tournent, ainsi nous pourrons voir s il y a quelque chose de douteux ou d infectueux.

 

 

Edit : grillé par ipl coucou ipl

Modifié le 8 octobre 2005 par Jack_Burton

[wonderwall]

Merci pour votre accueil ! C'est très sympa !

Pour info...je ne suis pas prof mais j'aime écrire. a défaut de m'y connaître en informatique.

Enfin soit, j'ai respecté le process (admirablement bien fait) à la lettre.

 

1) Pour info, en mode sans échec pas de sablier. Rien à signaler !

 

2) Antivir détecte plein de trucs que Norton a "oublié". Ca fait peur ! Par contre il rencontre le même problème que Norton et n'arrive pas à tout désinfecter.

 

3) voici le rapport Hijack (du chinois pour moi)

 

++++++++++++++++++++++++++

 

Logfile of HijackThis v1.99.1

Scan saved at 16:46:58, on 8/10/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\NOTEPAD.EXE

C:\Documents and Settings\Propriétaire\Mes documents\temp\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.belgacom.net/?new_lang=fr

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.belgacom.net

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fourni par Belgacom

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local.,

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {265EC989-C17C-7C94-A2F1-4710EE35A793} - C:\WINDOWS\Vb5fr.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Norton Internet Security - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe

O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE

O4 - HKLM\..\Run: [storageGuard] "C:\Program Files\VERITAS Software\Update Manager\sgtray.exe" /r

O4 - HKLM\..\Run: [WCOLOREAL] "C:\Program Files\COMPAQ\Coloreal\coloreal.exe"

O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded

O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exe

O4 - HKLM\..\Run: [D-Link AirPlus G] C:\Program Files\D-Link\AirPlus G\AirGCFG.exe

O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer

O4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /min

O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook

O4 - Global Startup: hp psc 2000 Series.lnk = C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe

O4 - Global Startup: hpoddt01.exe.lnk = ?

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: &Translate English Word - res://C:\Program Files\Google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: Backward Links - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Cached Snapshot of Page - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Similar Pages - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Translate Page into English - res://C:\Program Files\Google\GoogleToolbar1.dll/cmtrans.html

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\program files\bonjour\mdnsnsp.dll

O14 - IERESET.INF: START_PAGE_URL=http://www.belgacom.net

O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://www-secure.symantec.com/techsupp/asa/LSSupCtl.cab

O16 - DPF: {4D7F48C0-CB49-4EA6-97D4-04F4EACC2F3B} - http://sib1.od2.com/common/Member/ClientIn...2/OCI/setup.exe

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5co...b?1118505326937

O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - https://www-secure.symantec.com/techsupp/asa/SymAData.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{3707B6E3-BE58-42A3-A9D1-717A4F7DF785}: NameServer = 195.238.2.21,195.238.2.22

O17 - HKLM\System\CCS\Services\Tcpip\..\{A47BB6A8-04E7-44ED-B781-BCDC2B6A54A9}: NameServer = 195.238.2.21,195.238.2.22

O17 - HKLM\System\CCS\Services\Tcpip\..\{C504027B-F7B7-46BE-8475-722BD1568F75}: NameServer = 195.238.2.21,195.238.2.22

O17 - HKLM\System\CCS\Services\Tcpip\..\{EE663FA2-E672-41B0-ACCC-B80C053424B3}: NameServer = 195.238.2.21,195.238.2.22

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O21 - SSODL: LmHosts - {4EC88EDB-C7D5-4843-F59D-C598C10143E9} - C:\WINDOWS\help\agt0415.hlp

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: Service Bonjour (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: ISSvc (ISSVC) - Symantec Corporation - C:\Program Files\Norton Internet Security\ISSVC.exe

O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus\navapsvc.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe

 

 

+++++++++++++++++++++++++++++++++

 

Voilà, je ne joins pas le rapport Antivir pour ne pas surcharger inutilement mais si ça peut aider je l'ai conservé précieusement.

[Jack_Burton]

Re,

 

J analyse ton rapport, réponse dans un moment, désolé si je mets du temps mais je suis un peu débordé aujourd hui.

 

C:\Documents and Settings\Propriétaire\Mes documents\temp\HijackThis.exe

 

Ne place pas Hijackthis dans un dossier TEMP, change son emplacement je te prie

 

-- créer un nouveau dossier à la racine de C:\Program Files\HijackThis (double clic sur poste de travail/double clic sur l'icone de C/double clic sur le répertoire Program Files/clic droit dans la fenêtre, choisir nouveau dossier et le nommer HijackThis) ; dézipper le programme précédemment téléchargé lors de la phase 1 dans ce nouveau dossier HijackThis, créer un raccourci sur le bureau.

 

Important: surtout, ne pas créer ce dossier HijackThis dans un répertoire temporaire

Modifié le 8 octobre 2005 par Jack_Burton

[wonderwall]

Ok, un grand merci. C'est déjà très gentil de m'aider, il ne manquerait plus que ça que je te presse !

Je déplace hijack de suite.

[Jack_Burton]

Re,

 

Je ne vois rien d infectueux sur ton rapport.

 

Cependant je trouve plutot étrange que tu ais des services associés a des cartes graphiques Nvidia et Ati en meme temps

 

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded

 

O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

 

Vraiment bizarre ca!!

 

Voici les lignes supertflues que tu peux fixer :

 

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.belgacom.net

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fourni par Belgacom

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local.,

 

O2 - BHO: (no name) - {265EC989-C17C-7C94-A2F1-4710EE35A793} - C:\WINDOWS\Vb5fr.dll

 

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present<-- fixe les si ce n est pas toi qui a accepté ces restrictions

 

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

 

O14 - IERESET.INF: START_PAGE_URL=http://www.belgacom.net

 

O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://www-secure.symantec.com/techsupp/asa/LSSupCtl.cab

O16 - DPF: {4D7F48C0-CB49-4EA6-97D4-04F4EACC2F3B} - http://sib1.od2.com/common/Member/ClientIn...2/OCI/setup.exe

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5co...b?1118505326937

O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - https://www-secure.symantec.com/techsupp/asa/SymAData.cab

 

Voila ce que tu peux fixer en premier temps.

 

O21 - SSODL: LmHosts - {4EC88EDB-C7D5-4843-F59D-C598C10143E9} - C:\WINDOWS\help\agt0415.hlp<--- ligne peu fréquente. Les lignes 021 sont tres rares ( a vrai dire c est la 1ere fois que j en vois dans un rapport. Elle n a pas l air infectueuse, pour le moment je ne préfere pas la toucher.

 

Edit : Peux tu me dire ce que tu possedes comme carte graphique car cela m intrigue que tu ais des services nvidia et ATI.

 

2eme Edit : désolé pour l attente de mon post, le téléphone a sonné... (merci mamie )

Modifié le 8 octobre 2005 par Jack_Burton

[wonderwall]

Re,

 

J'ai une carte ATI. Jamais eu de nvidia !

Je vais sûrement te paraître profondément idiot mais le fix provoque quoi exactement. Ca efface ces fichiers, ça les répare.

car ces lignes correspondent à ma connexion internet

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.belgacom.net

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fourni par Belgacom

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local

 

en résumé...y'a pas de danger ?

 

Et puis ensuite après le fix je fais quoi (ben oui là tu ris sûrement à gorge déployée mais bon c'est ma première fois !)

 

Dois je relancer, refaire une analyse virus ou autre chose

 

Merci

[Jack_Burton]

Re,

 

Jamais eu de nvidia !

 

Il faut donc que tu désinstalles les pilotes nVidia via "panneau de configuration/suppression de programmes" et cherche "NVIDIA drivers" (ou un nom similaire, dans tout les cas il y aura le mot "nvidia" dedans)

 

Je vais sûrement te paraître profondément idiot mais le fix provoque quoi exactement. Ca efface ces fichiers, ça les répare.

car ces lignes correspondent à ma connexion internet

 

Le "fix" en supprimant la ligne peut stopper le lancement d un logiciel au démarrage, limite les éléments additionnels du menu contextuel et les boutons additionnels de la barre d'outils principale d'IE.

Tu peux fixer sans aucun risque les lignes que je t ai indiqué, cela ne changera rien a l utilisation que tu fais de ton PC.

 

en résumé...y'a pas de danger ?

 

Tout dépend ce que l on fixe

Par exemple si tu fixes les lignes 017 tu ne pourras plus te connecter sur le net. Elles correspondent a ton réseau ou a ta connexion faite manuellement.

 

Dois je relancer, refaire une analyse virus ou autre chose

Pour le moment non, je me renseigne pour la ligne 021.

 

En tout cas n oublie pas de désinstaller les pilotes Nvidia !!!

 

Bon, concernant la ligne 21 :

O21 - SSODL: LmHosts - {4EC88EDB-C7D5-4843-F59D-C598C10143E9} - C:\WINDOWS\help\agt0415.hlp

 

J aimerais que tu me fasses un scan en ligne du fichier suivant C:\WINDOWS\help\agt0415.hlp avec le le viruscan de jotti.

J aimerais également que tu me donnes la date de ce fichier et ses caractéristiques (sa taille).

Modifié le 8 octobre 2005 par Jack_Burton

[wonderwall]

Re,

 

Voilà

 

1) j'ai désinstallé le pilote nvidia qui n'avait rien à faire là (je crois qu'il était là à

l'origine alors que j'ai toujours eu une carte ATI !).

 

2) j'ai fixé tout ce que tu m'as dit sauf

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present<-- fixe les si ce n est pas toi qui a accepté ces restrictions

car je ne comprend pas de quelles restrictions tu parles (là normalement tu ris encore un bon coup !)

Mais bon pour toues les autres lignes c'est fait !

 

3) Concernant le fichier

C:\WINDOWS\help\agt0415.hlp voici les infos

Taille: 392 Ko (401.408 octets)

Et alors les dates

Créé le dimanche 27 juillet 2003, 18:57:23

Modifié le mercredi 30 octobre 2002, 2:26:18 (Il n'y a pas d'erreur, la date est antérieure ?!? modifié avant sa création !)

 

Résultat analyse en ligne:

 

Service load: 0% 100%

File: agt0415.hlp

Status: OK

MD5 c0dd4edb3dd62c35159a690e91809858

Packers detected: -

Scanner results

AntiVir Found nothing

ArcaVir Found nothing

Avast Found nothing

AVG Antivirus Found nothing

BitDefender Found nothing

ClamAV Found nothing

Dr.Web Found nothing

F-Prot Antivirus Found nothing

Fortinet Found nothing

Kaspersky Anti-Virus Found nothing

NOD32 Found nothing

Norman Virus Control Found nothing

UNA Found nothing

VBA32 Found nothing

 

Voilà...