PSGuard + Raze Spyware ++++ :(

Biktim · le 25 novembre 2005

Bonjour,

Moi aussi j'ai eu le Raze SpyWare ce soir, grace au forum j'ai fait les manip dans le panneau de configuration pour me débarasser de l'écran noir et rouge.

Après j'ai suivi la procédure préliminaire décrite à http://forum.zebulon.fr/index.php?showtopic=72612.

Antivir m'a trouvé des dizaines de trucs, je pense que j'ai réussi à les effacer mais il y'en a un qui fait disjoncter même Antivir : drop.small.bc Chaque fois qui je dis "effacer" ca me renvoi à la jolie écran de rapport des erreurs de Windows.

Bon, enfiin, j'ai fait tout ce qui écrit dans la procédure, j'ai redemarré mon ordi. J'ai tjr PSGuard qui se lance de temps en temps et ma page d'accueil s'est transformé en

res://C:\WINDOWS\system32\shdochp.dll/defAPI.htm

Je serais très très reconnaissant si vous pourriez m'aider.

Voici mon log HijackThis:

Logfile of HijackThis v1.99.1

Scan saved at 02:57:58, on 25/11/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\explorer.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Documents and Settings\Ender\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://C:\WINDOWS\system32\shdochp.dll/defAPI.htm#privacy;x32;

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://global.acer.com/

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = wmplayer.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\WANADOO\SEARCH~1.DLL

F2 - REG:system.ini: Shell=explorer.exe nstask32.exe

F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\Userinit.exe

N3 - Netscape 7: user_pref("browser.startup.homepage", "http://www.google.fr/"); (C:\Documents and Settings\Ender\Application Data\Mozilla\Profiles\default\u1wptjuu.slt\prefs.js)

N3 - Netscape 7: user_pref("browser.search.defaultengine", "engine://C%3A%5CProgram%20Files%5CNetscape%5CNetscape%5Csearchplugins%5CNetscape_France.src"); (C:\Documents and Settings\Ender\Application Data\Mozilla\Profiles\default\u1wptjuu.slt\prefs.js)

O2 - BHO: (no name) - {00110011-4B0B-44D5-9718-90C88817369B} - C:\WINDOWS\sys_ext.dll (file missing)

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\QtaET2S.EXE

O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe

O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\WANADOO\watch.exe

O4 - HKLM\..\Run: [Tapicfg.exe] C:\WINDOWS\System32\tapicfg.exe

O4 - HKLM\..\Run: [NDplDeamon] nstask32.exe

O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\WANADOO\CnxMon.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [P.S.Guard] C:\Program Files\P.S.Guard\PSGuard.exe

O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min

O4 - HKLM\..\Run: [FHPage] C:\WINDOWS\system32\shdochp.exe home

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\RunOnce: [NDplDeamon] nstask32.exe

O8 - Extra context menu item: Download with GetRight - C:\Program Files\GetRight\GRdownload.htm

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Open with GetRight Browser - C:\Program Files\GetRight\GRbrowse.htm

O9 - Extra button: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Program Files\ICQ\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Program Files\ICQ\ICQ.exe

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)

O14 - IERESET.INF: START_PAGE_URL=http://global.acer.com/

O16 - DPF: MynetSohbet - http://irc.mynet.com/java/cr.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1131157331267

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

Merci!!!!!!

Ruby · le 25 novembre 2005

Bonsoir Biktim, bonsoir à tous,

- Affichez l'onglet "Affichage" et sélectionnez l'option "Afficher les fichiers et dossiers cachés"

Cliquer sur « Appliquer ». Fermer la fenêtre d'options en cliquant "OK".

En image ici

- Je voudrais bien demander si vous pouver upload ce fichier:

C:\WINDOWS\system32\shdochp.exe

->à Upload malicious software (*).

->à ST-Adware-Upload (*).

(*) Si vous avez besoin d'un programme d'emballer le fichier, vous pouvez prendre ALZip 5.52.

Vous obtiennez un rapport par Mail.

- Allez ici: http://virusscan.jotti.org/

et scannez le fichier ci-dessous:

C:\WINDOWS\system32\shdochp.exe

Et collez ici le rapport.

Merci

BipBip07 · le 25 novembre 2005

Salut Biktim et Ruby,

envoi les fichiers comme te le demande Ruby puis fait ceci:

1-Télécharge le fix de S!Ri

http://siri.urz.free.fr/Fix/SmitfraudFix.zip

Tu le décompresses tu double cliques dessus et tu choisis l’option 1
Cela va générer un rapport poste le

Redémarre en mode sans échec

Relance le et choisis cette fois l’option 2 et réponds oui à tout

2-Démarrer le logiciel HijackThis et lancer un scan "Do a system scan only".

Puis cocher les lignes suivantes (dans HijackThis):

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://C:\WINDOWS\system32\shdochp.dll/defAPI.htm#privacy;x32;

F2 - REG:system.ini: Shell=explorer.exe nstask32.exe

O2 - BHO: (no name) - {00110011-4B0B-44D5-9718-90C88817369B} - C:\WINDOWS\sys_ext.dll (file missing)

O4 - HKLM\..\Run: [Tapicfg.exe] C:\WINDOWS\System32\tapicfg.exe

O4 - HKLM\..\Run: [NDplDeamon] nstask32.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [P.S.Guard] C:\Program Files\P.S.Guard\PSGuard.exe (si il est toujours présent)

O4 - HKLM\..\Run: [FHPage] C:\WINDOWS\system32\shdochp.exe home

O4 - HKCU\..\RunOnce: [NDplDeamon] nstask32.exe

O14 - IERESET.INF: START_PAGE_URL=http://global.acer.com/

O16 - DPF: MynetSohbet - http://irc.mynet.com/java/cr.cab

Fermer toutes les fenêtres Windows, Internet explorer, Outlook,…sauf le logiciel Hijackthis et cliquer sur « Fix checked »

Redémarrer en mode sans echec (appuyer sur F8 ou F5 lors du démarrage ; aide visuelle )

Ensuite aller dans l’ Explorateur Windows et afficher tous les fichiers cachés:

Dans une fenêtre de l'explorateur Windows, cliquez sur le menu "Outils" et choisissez "Options des dossiers...".

Affichez l'onglet "Affichage" et sélectionnez l'option "Afficher les fichiers et dossiers cachés"

Cliquer sur « Appliquer ». Fermer la fenêtre d'options en cliquant "OK".

En image ici

et supprimer les fichiers ci dessous si ils sont présent :

C:\WINDOWS\system32\shdochp.dll

C:\WINDOWS\sys_ext.dll

C:\WINDOWS\System32\tapicfg.exe

C:\Program Files\P.S.Guard\ (si il est toujours présent)

C:\WINDOWS\system32\shdochp.exe

C:\WINDOWS\system32\nstask32.exe

C\temp\ <-- supprimer tout le contenu du dossier

C:\windows\temp\ <-- supprimer tout le contenu du dossier

C:\windows\Downloaded Program Files\ <-- supprimer tout le contenu du dossier

C:\Documents and settings\Tous les identifiants\application data\Sun\Java\Deployment\cache\javapi1.0\jar\ <-- supprimer tout le contenu du dossier

C:\Documents and Settings\Tous les identifiants\Local Settings\Temp\ <-- supprimer tout le contenu du dossier

C:\Documents and Settings\ Tous les identifiants\Local Settings\Temporary Internet Files\ <-- supprimer tout le contenu du dossier

Fichier temporaire internet:

Démarrer/panneau de configuration/options internet

--> button supprimer cookies

--> button supprimer fichier temporaire internet

Fichiers temporaries : Démarrer/exécuter " CleanMgr "

Cocher tout sauf :

Compression des fichiers non utilisés

Fichiers catalogue d’indexation du contenu

/ OK / OUI

Dans l'Explorateur Windows recacher les fichiers systeme afin de ne pas faire d'erreur a l'avenir:

Retournez à la fenêtre <Paramètres de dossier> et sélectionnez <Ne pas afficher les fichiers cachés ou les fichiers système>.

Puis revenir mettre un rapport Hijackthis

Biktim · le 25 novembre 2005

Salut Ruby et BipBip07!!!

Merci bcp pour vos réponses. J'ai essayé de faire un upload du fichier C:\WINDOWS\system32\shdochp.exe mais le truc c'est que je ne le trouve pas!!!! Même si l'option "afficher les fichiers cachés" est cochée.

J'ai essayé de le trouver et manuellement et avec recherche Windows; toujours aucun résultat.

HijackTis log:

Logfile of HijackThis v1.99.1

Scan saved at 19:11:28, on 25/11/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\snmp.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\MsPMSPSv.exe

C:\WINDOWS\explorer.exe

C:\PROGRA~1\LAUNCH~1\QtaET2S.EXE

C:\Program Files\Apoint2K\Apoint.exe

C:\PROGRA~1\WANADOO\CnxMon.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\Program Files\Skype\Phone\Skype.exe

C:\Program Files\Apoint2K\Apntex.exe

C:\Program Files\Netscape\Netscape\Netscp.exe

C:\Documents and Settings\Ender\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/