Un rapport de plus !!

[Spidergon]

Bonjour tout le monde,

 

Après les 2 interventions plus qu'efficace de jack Burton sur mon PC, je n'ai pu m'empêcher de donner un coup de pouce à une amie qui a un PC infesté !!

J'ai fait le protocole d'usage (CleanMgr,antivir, Hjt) et vous post le log pour un avis d'expert !

 

J'ai quand même éradiqué 112 virus, vers et autre trojan avec antivir et même un problème qui empechait l'ordi de s'éteindre via le menu demarrer !

 

Je rappelle que ce n'est pas MON pc !! (je me suis équipé !!) lol !

 

voici le log

 

Logfile of HijackThis v1.99.1

Scan saved at 15:13:20, on 11/09/2004

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Unable to get Internet Explorer version!

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\PROGRA~1\IZArc\IZArc.exe

C:\DOCUME~1\NATIVEL\LOCALS~1\Temp\ztv1\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://63.246.131.130/tek.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

R3 - Default URLSearchHook is missing

F2 - REG:system.ini: UserInit=userinit.exe,setup32.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [siSUSBRG] C:\WINDOWS\SiSUSBrg.exe

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [MsnExplorer] C:\WINDOWS\winagent.exe /i

O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe

O4 - HKLM\..\Run: [Quicktime] C:\WINDOWS\nerocheck.exe /i

O4 - HKLM\..\Run: [systemboot] msnsngr.exe

O4 - HKLM\..\Run: [Windows System Gateway ] SPOOLER.EXE

O4 - HKLM\..\Run: [MS MSN Menssenger 7.0] MSMSN7.exe

O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKLM\..\Run: [Microsoft System Backup] wciouj.exe

O4 - HKLM\..\Run: [lsass] C:\windows\system32\elitefjg32.exe

O4 - HKLM\..\Run: [byaCV÷h$æÆõÚ)–²%)ßC:\Program Files\ISTsvc\istsvc.exe] C:\WINDOWS\ttfaqww.exe

O4 - HKLM\..\Run: [byaCV÷h$æÆßfÏNb½¾C:\Program Files\ISTsvc\istsvc.exe] C:\WINDOWS\ttfaqww.exe

O4 - HKLM\..\Run: [Windows Automatic Updates] C:\prz2.exe

O4 - HKLM\..\Run: [Microsoft messenger] msnger.exe

O4 - HKLM\..\Run: [sVC Service] svc32.pif

O4 - HKLM\..\Run: [system service75] C:\WINDOWS\etb\pokapoka75.exe

O4 - HKLM\..\RunServices: [Microsoft AOL Instant Messenger] MSAOL32.exe

O4 - HKLM\..\RunServices: [systemboot] msnsngr.exe

O4 - HKLM\..\RunServices: [Windows System Gateway ] SPOOLER.EXE

O4 - HKLM\..\RunServices: [Windows Media Player] mcafe32.exe

O4 - HKLM\..\RunServices: [MS MSN Menssenger 7.0] MSMSN7.exe

O4 - HKLM\..\RunServices: [Microsoft Media player 9] msmedia32.exe

O4 - HKLM\..\RunServices: [Microsoft System Backup] wciouj.exe

O4 - HKLM\..\RunServices: [Operating System] system.exe

O4 - HKLM\..\RunServices: [Microsoft messenger] msnger.exe

O4 - HKLM\..\RunServices: [sVC Service] svc32.pif

O4 - HKCU\..\Run: [Windows System Gateway ] SPOOLER.EXE

O4 - HKCU\..\Run: [systemboot] msnsngr.exe

O4 - HKCU\..\Run: [Microsoft System Backup] wciouj.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [Microsoft messenger] msnger.exe

O4 - HKCU\..\Run: [sVC Service] svc32.pif

O4 - HKCU\..\RunServices: [Microsoft System Backup] wciouj.exe

O4 - HKCU\..\RunServices: [sVC Service] svc32.pif

O4 - HKCU\..\RunServices: [Microsoft messenger] msnger.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O15 - Trusted Zone: http://ny.contentmatch.net (HKLM)

O16 - DPF: {42F2C9BA-614F-47C0-B3E3-ECFD34EED658} (Installer Class) - http://www.ysbweb.com/ist/softwares/v4.0/ysb_regular.cab

O16 - DPF: {7149E79C-DC19-4C5E-A53C-A54DDF75EEE9} (IObjSafety.DemoCtl) - http://cabs.media-motor.net/cabs/joysaver.cab

O16 - DPF: {FC67BB52-AAB6-4282-9D51-2DAFFE73AFD0} - http://download.spyspotter.com/spyspotter/...rcabinstall.cab

O20 - Winlogon Notify: NavLogon - C:\WINDOWS\System32\NavLogon.dll

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: DefWatch - Symantec Corporation - C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe

O23 - Service: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe

 

 

 

MERCI !!

[Jack_Burton]

Salut,

 

Effectivement, le systeme est tres infecté!

 

J analyse ton rapport, réponse dans un moment!

 

C:\DOCUME~1\NATIVEL\LOCALS~1\Temp\ztv1\HijackThis.exe

Petite précision : ne pas placer Hijackthis dans un dossier temp (temporaire) sinon vous ne pourrez pas conserver les sauvegardes des lignes fixées!

[Jack_Burton]

Re bonjour a tous,

 

Imprime ces instructions ou sauvegarde les dans un fichier texte de façon à pouvoir les consulter en mode sans échec.

 

1/ Télécharge et installe EasyCleaner de Toni Helenius: http://personal.inet.fi/business/toniarts/ecleane.htm

 

2/ Redémarre en mode sans échec.

 

3/ Vérifie d'avoir accès à tous les fichiers

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

 

4/ Désinstalle via "panneau de configuration/suppression de programmes" le(s) logiciel(s) suivant(s) si présent(s):

-ISTsvc

 

5/ Relance un scan HijackThis, clique sur "Do a system scan only" et coche les lignes ci-dessous :

 

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://63.246.131.130/tek.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

R3 - Default URLSearchHook is missing

F2 - REG:system.ini: UserInit=userinit.exe,setup32.exe

 

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [siSUSBRG] C:\WINDOWS\SiSUSBrg.exe

O4 - HKLM\..\Run: [MsnExplorer] C:\WINDOWS\winagent.exe /i

O4 - HKLM\..\Run: [Quicktime] C:\WINDOWS\nerocheck.exe /i

O4 - HKLM\..\Run: [systemboot] msnsngr.exe

O4 - HKLM\..\Run: [Windows System Gateway ] SPOOLER.EXE

O4 - HKLM\..\Run: [MS MSN Menssenger 7.0] MSMSN7.exe

O4 - HKLM\..\Run: [Microsoft System Backup] wciouj.exe

O4 - HKLM\..\Run: [lsass] C:\windows\system32\elitefjg32.exe

O4 - HKLM\..\Run: [byaCV÷h$æÆõÚ)–²%)ßC:\Program Files\ISTsvc\istsvc.exe] C:\WINDOWS\ttfaqww.exe

O4 - HKLM\..\Run: [byaCV÷h$æÆßfÏNb½¾C:\Program Files\ISTsvc\istsvc.exe] C:\WINDOWS\ttfaqww.exe

O4 - HKLM\..\Run: [Windows Automatic Updates] C:\prz2.exe

O4 - HKLM\..\Run: [Microsoft messenger] msnger.exe

O4 - HKLM\..\Run: [sVC Service] svc32.pif

O4 - HKLM\..\Run: [system service75] C:\WINDOWS\etb\pokapoka75.exe

O4 - HKLM\..\RunServices: [Microsoft AOL Instant Messenger] MSAOL32.exe

O4 - HKLM\..\RunServices: [systemboot] msnsngr.exe

O4 - HKLM\..\RunServices: [Windows System Gateway ] SPOOLER.EXE

O4 - HKLM\..\RunServices: [Windows Media Player] mcafe32.exe

O4 - HKLM\..\RunServices: [MS MSN Menssenger 7.0] MSMSN7.exe

O4 - HKLM\..\RunServices: [Microsoft Media player 9] msmedia32.exe

O4 - HKLM\..\RunServices: [Microsoft System Backup] wciouj.exe

O4 - HKLM\..\RunServices: [Operating System] system.exe

O4 - HKLM\..\RunServices: [Microsoft messenger] msnger.exe

O4 - HKLM\..\RunServices: [sVC Service] svc32.pif

O4 - HKCU\..\Run: [Windows System Gateway ] SPOOLER.EXE

O4 - HKCU\..\Run: [systemboot] msnsngr.exe

O4 - HKCU\..\Run: [Microsoft System Backup] wciouj.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [Microsoft messenger] msnger.exe

O4 - HKCU\..\Run: [sVC Service] svc32.pif

O4 - HKCU\..\RunServices: [Microsoft System Backup] wciouj.exe

O4 - HKCU\..\RunServices: [sVC Service] svc32.pif

O4 - HKCU\..\RunServices: [Microsoft messenger] msnger.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

 

O15 - Trusted Zone: http://ny.contentmatch.net (HKLM)

 

O16 - DPF: {42F2C9BA-614F-47C0-B3E3-ECFD34EED658} (Installer Class) - http://www.ysbweb.com/ist/softwares/v4.0/ysb_regular.cab

O16 - DPF: {7149E79C-DC19-4C5E-A53C-A54DDF75EEE9} (IObjSafety.DemoCtl) - http://cabs.media-motor.net/cabs/joysaver.cab

O16 - DPF: {FC67BB52-AAB6-4282-9D51-2DAFFE73AFD0} - http://download.spyspotter.com/spyspotter/...rcabinstall.cab

 

Ferme toutes les fenêtres sauf HijackThis et "Fix Checked".

 

6/ Supprime le(s) fichier(s) incriminé(s) & dossier(s) [s'il(s) existe(nt) encore] par l'Explorateur Windows :

 

-C:\WINDOWS\winagent.exe

-C:\WINDOWS\nerocheck.exe

-C:\windows\system32\elitefjg32.exe

-C:\WINDOWS\ttfaqww.exe

-C:\WINDOWS\etb<--- supprime tout le dossier

-C:\prz2.exe

-C:\Program Files\ISTsvc<--- supprime tout le dossier

 

-setup32.exe

-msnsngr.exe

-SPOOLER.EXE

-MSMSN7.exe

-wciouj.exe

-msnger.exe

-svc32.pif

-MSAOL32.exe

-msnsngr.exe

-mcafe32.exe

-msmedia32.exe

-system.exe<---ces derniers fichiers sont probablement placés dans C:\Windows ou C:\Windows\System32, utilise la fonction recherchée via "démarrer/rechercher/des fichiers ou des dossiers" pour les débusquer !!!

 

 

7/ Nettoyage dans la base de registre:

 

Démarrer -> Exécuter -> tape regedit et va successivement :

 

*HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

 

[systemboot] msnsngr.exe<--- supprime si présent

[Windows System Gateway ] SPOOLER.EXE<--- supprime si présent

[MS MSN Menssenger 7.0] MSMSN7.exe<--- supprime si présent

[Microsoft System Backup] wciouj.exe<--- supprime si présent

[Microsoft messenger] msnger.exe<--- supprime si présent

[sVC Service] svc32.pif<--- supprime si présent

 

 

*HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

 

[Microsoft AOL Instant Messenger] MSAOL32.exe<--- supprime si présent

[systemboot] msnsngr.exe<--- supprime si présent

[Windows System Gateway ] SPOOLER.EXE<--- supprime si présent

[Windows Media Player] mcafe32.exe<--- supprime si présent

[MS MSN Menssenger 7.0] MSMSN7.exe<--- supprime si présent

[Microsoft Media player 9] msmedia32.exe<--- supprime si présent

[Microsoft System Backup] wciouj.exe<--- supprime si présent

[Operating System] system.exe<--- supprime si présent

[Microsoft messenger] msnger.exe<--- supprime si présent

[sVC Service] svc32.pif<--- supprime si présent

 

*HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

 

[Windows System Gateway ] SPOOLEREXE<--- supprime si présent

[systemboot] msnsngr.exe<--- supprime si présent

[Microsoft System Backup] wciouj.exe<--- supprime si présent

[Microsoft messenger] msnger.exe<--- supprime si présent

[sVC Service] svc32.pif<--- supprime si présent

 

 

*HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices

 

[Microsoft System Backup] wciouj.exe<--- supprime si présent

[sVC Service] svc32.pif<--- supprime si présent

[Microsoft messenger] msnger.exe<--- supprime si présent

 

Ferme ensuite le registre.

 

8/ Execute EasyCleaner: Utilise les fonctions "Inutiles" et "Registre" seulement. Ne touche pas à la fonction "doublons".

 

9/ Redémarre l'ordinateur en mode normal et poste un nouveau rapport HijackThis à titre de vérification.

 

Edit : je ne vois aucun parfeu sur le rapport, ce qui explique cette grosse infection!

Modifié le 9 novembre 2005 par Jack_Burton

[Spidergon]

Je m'execute et je reviens poster le nouveau log

 

merci

 

pour le parfeu, je lui en installerai un !!

 

Zonealarm que j'ai installé sur le mien eh bin le paramètrage selon le tutorial eh bin j'ai rien compris !!

[Jack_Burton]

Zonealarm que j'ai installé sur le mien eh bin le paramètrage selon le tutorial eh bin j'ai rien compris !!

 

Il suffit de suivre le tutorial de Tesgaz !

Il est tres bien expliqué et illustré, avec des captures d écran afin de ne pas se tromper!

[Spidergon]

Re bonjour,

 

Voici le log après procédure de desinfection :

 

Logfile of HijackThis v1.99.1

Scan saved at 16:31:30, on 11/09/2004

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Unable to get Internet Explorer version!

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe

C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe

C:\WINDOWS\Explorer.EXE

C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe

C:\Program Files\Microsoft AntiSpyware\gcasDtServ.exe

C:\Program Files\Hijackthis\ztv1\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe

O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKLM\..\RunOnce: [delus] C:\DOCUME~1\NATIVEL\LOCALS~1\Temp\delus.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1100000042873

O20 - Winlogon Notify: NavLogon - C:\WINDOWS\System32\NavLogon.dll

O23 - Service: DefWatch - Symantec Corporation - C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe

O23 - Service: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe

 

 

 

Merci de ton aide !

[Jack_Burton]

Ton rapport est propre!

 

Tu peux fixer encore ces lignes inutiles :

 

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

 

O4 - HKLM\..\RunOnce: [delus] C:\DOCUME~1\NATIVEL\LOCALS~1\Temp\delus.exe

 

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1100000042873

 

Puis tu vides le dossier suivant :

C:\DOCUME~1\NATIVEL\LOCALS~1\Temp<--- vide le!

 

As tu toujours des dysfonctionnements?

Modifié le 9 novembre 2005 par Jack_Burton

[Spidergon]

Petite question

 

La version d'Internet Explorer de ce pc est la 3° !!

 

Je crois qu'on en est à la 6eme version ! Comment faire pour faire la mise à jour alors que sur window update, il m'affiche

 

 

Le site ne peut pas continuer, car un ou plusieurs des services Windows suivants ne sont pas exécutés :

 

Mises à jour automatiques (permet au site de rechercher, de télécharger et d'installer les mises à jour prioritaires destinées à votre ordinateur)

Service de transfert intelligent en arrière-plan (BITS) (accélère le téléchargement et résout les problèmes liés aux éventuelles interruptions du processus)

Journal des événements (conserve l'historique des opérations de mise à jour pour faciliter la résolution des problèmes le cas échéant)

Pour vérifier que ces services sont exécutés :

1. Cliquez sur Démarrer, puis sur Exécuter.

2. Entrez services.msc, puis cliquez sur OK.

3. Dans la liste de services, double-cliquez sur Mises à jour automatiques, puis cliquez sur Propriétés.

4. Dans la liste Type de démarrage, sélectionnez Automatique et cliquez sur Appliquer.

5. Vérifiez que l'état associé au service est Démarré. Si le service est arrêté, cliquez sur le bouton Démarrer.

6. Dans la liste de services, double-cliquez sur Service de transfert intelligent en arrière-plan et cliquez sur Propriétés.

7. Dans la liste Type de démarrage, sélectionnez Manuel et cliquez sur Appliquer.

8. Vérifiez que l'état associé au service est Démarré. Si le service est arrêté, cliquez sur le bouton Démarrer.

9. Dans la liste de services, double-cliquez sur Journal des événements et cliquez sur Propriétés.

10. Dans la liste Type de démarrage, sélectionnez Automatique et cliquez sur Appliquer.

11. Vérifiez que l'état du service est Démarré. Si le service est arrêté, cliquez sur le bouton Démarrer.

 

 

Mais lorsque je fais la manip' une fenetre s'affiche et me dit

 

MMC a besoin de IE 5.5 ou ultérieure pour etre installé !!

 

comprend rien !

 

Merci

[Jack_Burton]

Télécharge Internet Explorer 6 SP1 ici puis installe le!

 

Une fois cela fait, active les services nécessaires (s ils ne sont pas déja activés) pour faire les mises a jour du systeme par WindowsUpdate :

 

Dans le menu Demarrer>Executer >tape: Services.msc

 

Recherche les services avec cette orthographe exacte:

-Mises à jour automatiques

-Service de transfert intelligent en arrière-plan (BITS)

-Journal des événements

 

Double clic dessus et clic sur [automatique] puis dans :

type de demarrage --> sélectionne activé.

 

Redémarre l ordinateur!

 

Puis fais les mises a jour via WindowsUpdate !

Modifié le 9 novembre 2005 par Jack_Burton

[Spidergon]

merci

je dois m'absenter , je verrai ça au retour !!

 

Elle a aussi Mozilla Firefox sur son pc !

Lequel dois -je mettre comme navigateur par défaut ? (j'ai ma petite idée !