Psguard and friends...

Bubidyn · le 3 novembre 2005

Bonsoir à tous.

Avant de commencer à raconter mon calvaire, je tiens a remercier les internautes et habitués de ce site, qui passent vraiment beaucoup de temps à aider les autres. J'ai rarement, voire jamais vu autant d'implication dans d'autres communautés pour aider son prochain.

Mon problème est assez similaire aux post traitant de PSguard (ex: http://forum.zebulon.fr/index.php?showtopic=78364) avec comme à chaque fois, quelques diversification.

Je suis sous win XP pro, et le pc sur lequel je suis voit assez de passage, vu que j'habite en collocation et que je prete volontier mon ordi à mes colloc'. Impossible de determiner exactement l'origine du problème, si seulement nous pouvons estimer la date d'infectation aux alentours du 31/10 - 01/11.

1. Bureau bloqué au bout de quelques secondes, impossible d'agir, cliquer des que le desktop est chargé.

--> J'ai réussi à remédier à cela en faisant ctrl+alt+suppr -> gestionnaire des tâches -> nouvelles tâche et j'ai lancé spybot+ad aware+the cleaner. Ce qui m'a permit de débloquer tout ça.

2. Impossible de surfer! La je n'ai pas trouvé de solutions. Ma page d'accueil est changée, et je suis condamné à rester sur celle qui m'est imposée (inutile que je mette l'adresse autant limiter les degats, une page banale qui me propose de telecharger un anti-spyware...).

Lorsque j'entre une adresse dans mon navigateur (par exp: www.google.com) , la page ne se charge pas, à la place j'ai un pop up de message d'erreur et retour sur la page d'accueil indesirable. IE devient inexploitable, ce qui ne m'arrange pas avec la somme pharaonique de boulot que j'accumule...

Je peux naviguer seulement avec mes favoris ou lorsqu'on m'envoie une adresse par lien hypertexte sous MSN. (C'est d'ailleur comme ça que je suis tombé ici grâce à un ami

Points à noter:

* C:\WINDOWS\SYSTEM32\ST3.DLL

Is the Trojan horse TR/Spy.Delf.H.3.B

Voici un virus detecté par antivir qui n'arrive pas à nettoyer et récurent après reboot.

* Un triangle jaune avec un ! anime ma barre des tâches m'envoyant trop régulierement une bulle info avec une alerte adware & spyware detected...

* Psguard ne semble plus etre la, bien que ad-aware le detecte apres chaque scan/nettoyage...

Voila je pense avoir tout dit, après les 4 phases demandées, voici mon log hijackthis :

Logfile of HijackThis v1.99.1

Scan saved at 23:15:18, on 03/11/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\svchost.exe

C:\Documents and Settings\Nico\Mes documents\utilitaires\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

O2 - BHO: HomepageBHO - {3bf1f86f-b1a8-489b-8d8b-43781d51411f} - C:\WINDOWS\System32\hp8E36.tmp

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

O4 - HKLM\..\Run: [soundMAXPnP] C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe

O4 - HKLM\..\Run: [soundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Wireless Configuration Utility.lnk = C:\Program Files\802.11 Wireless LAN\802.11g Wireless Cardbus & PCI Adapter HW.21 V1.10\WlanCU.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{06C5BB20-A535-45B7-972F-96657C2BF9DE}: NameServer = 80.118.192.100,80.118.196.36

O17 - HKLM\System\CS1\Services\Tcpip\..\{06C5BB20-A535-45B7-972F-96657C2BF9DE}: NameServer = 80.118.192.100,80.118.196.36

O17 - HKLM\System\CS2\Services\Tcpip\..\{06C5BB20-A535-45B7-972F-96657C2BF9DE}: NameServer = 80.118.192.100,80.118.196.36

O17 - HKLM\System\CS3\Services\Tcpip\..\{06C5BB20-A535-45B7-972F-96657C2BF9DE}: NameServer = 80.118.192.100,80.118.196.36

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: st3 - C:\WINDOWS\system32\st3.dll

O20 - Winlogon Notify: st3i - C:\WINDOWS\q154953.dll

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: Service de lancement de WlanCfg (Wlancfg) - Inventel - C:\Program Files\Inventel\Gateway\wlancfg.exe

Merci d'avance à tous ceux qui auront le courage de se pencher sur le sujet... Je ne desespere pas, mais si ça pouvait m'eviter un format c:, ca serais avec joie!

Thanos · le 3 novembre 2005

Salut Bubidyn,bienvenue

Fais ceci stp:

télécharge l'utilitaire de S!Ri:

http://siri.urz.free.fr/Fix/SmitfraudFix.zip

Tu le décompresses tu double cliques dessus et tu choisis l’option 1

Cela va générer un rapport,poste le. Redémarre en mode sans échec:

Relance le et choisis cette fois l’option 2 et réponds ouià tout

Redémarre et communique le nouveau rapport avec un nouveau rapport Hijackthis

Bubidyn · le 3 novembre 2005

Voici le rapport FRAUDFIX étape 1.

SmitFraudFix v1.92

Rapport fait à 0:16:35,31 le 04/11/2005

Executé à partir de C:\Documents and Settings\Nico\Mes documents\utilitaires\SmitfraudFix\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600]

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\Web

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system32

C:\WINDOWS\system32\hp????.tmp PRESENT !

C:\WINDOWS\system32\ld????.tmp PRESENT !

C:\WINDOWS\system32\mscornet.exe PRESENT !

C:\WINDOWS\system32\mssearchnet.exe PRESENT !

C:\WINDOWS\system32\msvol.tlb PRESENT !

C:\WINDOWS\system32\ncompat.tlb PRESENT !

C:\WINDOWS\system32\nvctrl.exe PRESENT !

C:\WINDOWS\system32\oleext.dll PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system32\LogFiles

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Documents and Settings\Nico\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Documents and Settings\Nico\Bureau

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Program Files

»»»»»»»»»»»»»»»»»»»»»»»» Recherche présence de clés corrompues

HKLM\SOFTWARE\PSGuard.com Présent !

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport

Voici le rapport hijackthis apres nettoyage Fraudfix en mode sans echec: