malware impossible à virer

jufi · le 27 octobre 2005

ça fait pareil avec evido : le scan se coupe avant la fin la fenêtre se ferme toute seule...

mais je n'étais pas en mode sans échec. Mais comme les autres utilitaires ont le même problème en mode sans échec, je me dis que c'est inutile

j'essaye de refaire unscan hijack et de virer la ligne 17

le 27 octobre 2005

Bonsoir, essaie ceci:

Imprime ces instructions si nécessaires car il va y avoir un redémarrage de l'ordinateur.

Télécharge le FixWareout d'un de ces deux sites:

http://downloads.subratam.org/Fixwareout.exe

http://swandog46.geekstogo.com/Fixwareout.exe

Sur le bureau puis lance le. Clique sur Next, puis Install, puis assure toi que "Run fixit" est activé puis clique sur Finish. Le fix va commencer; suis les messages à l'écran. Il te sera demandé de redémarrer ton ordinateur; fais le. Ton système mettra un peu plus de temps au démarrage; c'est normal.

Quand ton système aura redémarré, suis les invites des messages. Ensuite lance HijackThis. Clic Scan, et coche les lignes suivantes:

O17 - HKLM\System\CCS\Services\Tcpip\..\{FFA39FBC-405F-4D0B-9A13-F1B530A84F73}: NameServer = 85.255.113.146,85.255.112.23

Clique sur Fix Checked. Ferme HijackThis, et clique OK pour procéder.

A la fin du fix, tu auras peut-être encore besoin de redémarrer le PC.

A la fin poste le contenu de C:\fixwareout\report.txt avec un nouveau rapport HijackThis.

Modifié le 27 octobre 2005 par Stonangel

jufi · le 28 octobre 2005

Bonjour Stoneangel

j'ai utilisé fixwareout et pendant son travail j'ai eu 4 fois la fenêtre antivir qui me signale des trojans : tr\click.526

tr\Dldr.agent.UJ

tr\Small.fb.2

tr\Qhost.DV

j'ai alors coché deny access.

j'ai viré la ligne en question et au redémarrage ma page internet par défaut est msn au lieu de Google, et l'accès à mes favoris est modifié mais j'ai internet.

mais je crois que le problème est résolu : j'ai essayé une page qui est toujours détournée d'habitude et ça a marché !voici le rapport hijackthis

Logfile of HijackThis v1.99.1

Scan saved at 09:34:38, on 28/10/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\fixwareout\SUB\BFU.exe

C:\Program Files\AVPersonal\AVGUARD.EXE

C:\Program Files\AVPersonal\AVWUPSRV.EXE

C:\WINDOWS\system32\DRIVERS\CDANTSRV.EXE

C:\Program Files\Executive Software\Diskeeper\DkService.exe

C:\Program Files\ewido\security suite\ewidoctrl.exe

C:\Program Files\ewido\security suite\ewidoguard.exe

C:\Program Files\Kerio\Personal Firewall\persfw.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Documents and Settings\Administrateur\Bureau\Virus Spyware\hijackthis\hijackthis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr/ie

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr/ie

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: HelperObject Class - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Program Files\TechSmith\SnagIt 7\SnagItBHO.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: e-Carte Bleue Browser Helper Object - {2E03C0FD-4C48-43A7-9A54-00240C70FF16} - C:\WINDOWS\system32\BhoECart.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Program Files\TechSmith\SnagIt 7\SnagItIEAddin.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O4 - HKLM\..\Run: [PtLiveUpdate] C:\Program Files\Fichiers communs\Pumatech Shared\5.3\LiveUpdate Client\PtLUWorker.exe

O4 - HKLM\..\Run: [Lexmark X74-X75] "C:\Program Files\Lexmark X74-X75\lxbbbmgr.exe"

O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /min

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_05\bin\jusched.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [dmtbb.exe] C:\WINDOWS\system32\dmtbb.exe

O4 - HKCU\..\Run: [My Folders] C:\Program Files\My Folders\MyFolders.exe

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://c:\program files\google\GoogleToolbar2.dll/cmwordtrans.html

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: SYSTRAN: &Effacer le cache de traduction - C:\Program Files\Systran\Premium\menuClearCache.html

O8 - Extra context menu item: SYSTRAN: &Options - C:\Program Files\Systran\Premium\menuConfigure.html

O8 - Extra context menu item: SYSTRAN: &Traduire - C:\Program Files\Systran\Premium\menuTranslate.html

O8 - Extra context menu item: SYSTRAN: En&registrement - C:\Program Files\Systran\Premium\menuRegister.html

O8 - Extra context menu item: SYSTRAN: Rechercher les &mises à jour - C:\Program Files\Systran\Premium\menuUpdate.html

O8 - Extra context menu item: SYSTRAN: Traduire les &cadres - C:\Program Files\Systran\Premium\menuTranslateAll.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html

O9 - Extra button: @sysiecom.dll,-2100 - {703436F1-3E1F-11d3-8F6B-00105A2A1D59} - C:\Program Files\Systran\Premium\MenuTranslate.html

O9 - Extra 'Tools' menuitem: @sysiecom.dll,-2102 - {703436F1-3E1F-11d3-8F6B-00105A2A1D59} - C:\Program Files\Systran\Premium\MenuTranslate.html

O9 - Extra button: @sysiecom.dll,-2103 - {703436F2-3E1F-11d3-8F6B-00105A2A1D59} - C:\Program Files\Systran\Premium\MenuTranslateAll.html

O9 - Extra 'Tools' menuitem: @sysiecom.dll,-2105 - {703436F2-3E1F-11d3-8F6B-00105A2A1D59} - C:\Program Files\Systran\Premium\MenuTranslateAll.html

O9 - Extra button: @sysiecom.dll,-2115 - {703436F3-3E1F-11d3-8F6B-00105A2A1D59} - C:\Program Files\Systran\Premium\MenuConfigure.html

O9 - Extra 'Tools' menuitem: @sysiecom.dll,-2117 - {703436F3-3E1F-11d3-8F6B-00105A2A1D59} - C:\Program Files\Systran\Premium\MenuConfigure.html

O9 - Extra button: (no name) - {703436F4-3E1F-11d3-8F6B-00105A2A1D59} - C:\Program Files\Systran\Premium\MenuClearCache.html

O9 - Extra 'Tools' menuitem: @sysiecom.dll,-2108 - {703436F4-3E1F-11d3-8F6B-00105A2A1D59} - C:\Program Files\Systran\Premium\MenuClearCache.html

O9 - Extra button: (no name) - {703436F5-3E1F-11d3-8F6B-00105A2A1D59} - C:\Program Files\Systran\Premium\MenuRegister.html

O9 - Extra 'Tools' menuitem: @sysiecom.dll,-2111 - {703436F5-3E1F-11d3-8F6B-00105A2A1D59} - C:\Program Files\Systran\Premium\MenuRegister.html

O9 - Extra button: (no name) - {703436F6-3E1F-11d3-8F6B-00105A2A1D59} - C:\Program Files\Systran\Premium\MenuUpdates.html (file missing)

O9 - Extra 'Tools' menuitem: @sysiecom.dll,-2114 - {703436F6-3E1F-11d3-8F6B-00105A2A1D59} - C:\Program Files\Systran\Premium\MenuUpdates.html (file missing)

O17 - HKLM\System\CCS\Services\Tcpip\..\{FFA39FBC-405F-4D0B-9A13-F1B530A84F73}: NameServer = 85.255.113.146,85.255.112.23

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\system32\DRIVERS\CDANTSRV.EXE

O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Program Files\Executive Software\Diskeeper\DkService.exe

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido\security suite\ewidoctrl.exe

O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido\security suite\ewidoguard.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: Kerio Personal Firewall (PersFw) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall\persfw.exe

O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR2a\RpcDataSrv.exe

O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR2a\RpcSandraSrv.exe

ah, misère!

ça recommence : j'ai eu le temps de taper la réponse précédente et ensuite je ne pouvais plus afficher les pages. J'ai la page blanche qui dit impossible de se connecter.

Alors j'ai encore restauré la ligne en question et ça remarche

je sais plusquoi faire

je suis sûr de rien, mais en allant sur le web, j'ai l'impression que même après avoir restauré la ligne problématique, le programme malicieux est viré, il faisait peut-être partie des trojans trouvés par antivir ?

Jack_Burton · le 28 octobre 2005

Salut,

Cette ligne 017 est néfaste, il va donc falloir que tu l as fixe et que tu te fasses une connexion manuelle!!

Un autre membre a eu le meme probleme (Anianka http://forum.zebulon.fr/index.php?showtopic=76438 )!

Tu vas faire ceci dans un premier temps :

1- démarrer/exécuter taper cmd et copier/coller la ligne suivante :

ipconfig /all

noter l'adresse IP indiquée et les 2 adresses des serveurs DNS et les envoyer dans le prochain post.

jufi · le 28 octobre 2005

192.168.0.254

85.255.113.146

85.255.112.23

est-ce que je dois pas attendre avant de recréer une connexion de bien voir si le truc réapparait, car pour le moment ça marche

Jack_Burton · le 28 octobre 2005

est-ce que je dois pas attendre avant de recréer une connexion de bien voir si le truc réapparait, car pour le moment ça marche

Non ca ne durera pas, il faut donc agir des maintenant!

La preuve :

85.255.113.146
85.255.112.23

Ce n est absolument pas les caractéristiques de ton FAI!

A moins que tu sois Ukrainien mais j en doute

Tu as ADSL classique ou le tres haut débit (dégroupage ou pas?)

J ai besoin de le savoir pour te trouver un tuto en image pour que tu puisses bien configurer ta connexion manuellement!

Modifié le 28 octobre 2005 par Jack_Burton

jufi · le 28 octobre 2005

je suis chez free dégroupé haut débit freebox v3

merci encore

Modifié le 28 octobre 2005 par jufi

Jack_Burton · le 28 octobre 2005

Ok merci,

J essaye de te trouver un tuto en image pour une connexion manuelle en haut débit dégroupé!

Pour le moment je n ai trouvé que pour de l ADSL classique grrrrr!!

Au pire si je ne trouve rien, je t indiquerai tout par écrit!

J ai trouvé (sur le site de free )

Télécharge Modèles FBX-03 & FBX-04 - Lignes Dégroupées (4.49 MB ici http://adsl.free.fr/config/freebox/V3-V4.html

page 38 a 41 : Support TCP/IP sous Windows XP ou 2000

Mais avant de faire tout ceci n oublie pas de fixer la ligne 017 néfaste de ton rapport hijackthis

Une fois que tu auras tout fini, poste nous un rapport hijackthis a titre de vérification!

Modifié le 28 octobre 2005 par Jack_Burton

jufi · le 28 octobre 2005

je suis désolé mais dès que je fixe cette ligne je n'ai plus de connexion, je te redonne mon log hijack avant la restauration de la ligne, mais c'est du déjà vu je crois

Logfile of HijackThis v1.99.1

Scan saved at 15:43:58, on 28/10/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\LEXPPS.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Fichiers communs\Pumatech Shared\5.3\LiveUpdate Client\PtLUWorker.exe

C:\Program Files\Lexmark X74-X75\lxbbbmgr.exe

C:\Program Files\Lexmark X74-X75\lxbbbmon.exe

C:\Program Files\AVPersonal\AVGNT.EXE

C:\Program Files\Java\jre1.5.0_05\bin\jusched.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\My Folders\MyFolders.exe

C:\Program Files\Microsoft AntiSpyware\gcasDtServ.exe

C:\Program Files\AVPersonal\AVGUARD.EXE

C:\Program Files\AVPersonal\AVWUPSRV.EXE

C:\WINDOWS\system32\DRIVERS\CDANTSRV.EXE

C:\Program Files\Executive Software\Diskeeper\DkService.exe

C:\Program Files\ewido\security suite\ewidoctrl.exe

C:\Program Files\ewido\security suite\ewidoguard.exe

C:\Program Files\Kerio\Personal Firewall\persfw.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Documents and Settings\Administrateur\Bureau\Virus Spyware\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr/ie

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/