assistance dégommage virus

rafos · le 30 décembre 2005

Voilà le nouveau rapport hijackthis :

Logfile of HijackThis v1.99.1

Scan saved at 17:45:40, on 30/12/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\brsvc01a.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\brss01a.exe

C:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXE

C:\Program Files\AVPersonal\AVWUPSRV.EXE

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\ezSP_Px.exe

C:\WINDOWS\system32\ICO.EXE

C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program Files\Sony\HotKey Utility\HKserv.exe

C:\Program Files\sony\vaio power management\SPMgr.exe

C:\Program Files\AVPersonal\AVGNT.EXE

C:\Program Files\Sony\HotKey Utility\HKWnd.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Documents and Settings\Rafy\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exe

O4 - HKLM\..\Run: [Mouse Suite 98 Daemon] ICO.EXE

O4 - HKLM\..\Run: [synTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [HKSERV.EXE] C:\Program Files\Sony\HotKey Utility\HKserv.exe

O4 - HKLM\..\Run: [sonyPowerCfg] C:\Program Files\sony\vaio power management\SPMgr.exe

O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min

O14 - IERESET.INF: START_PAGE_URL=http://www.club-vaio.sony-europe.com/

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXE

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe

O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\Sptisrv.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

O23 - Service: VAIO Media Music Server (VAIOMediaPlatform-MusicServer-AppServer) - Unknown owner - C:\Program Files\sony\vaio media music server\SSSvr.exe" /Service=VAIOMediaPlatform-MusicServer-AppServer /DisplayName="VAIO Media Music Server (file missing)

O23 - Service: VAIO Media Music Server (HTTP) (VAIOMediaPlatform-MusicServer-HTTP) - Unknown owner - C:\Program Files\Fichiers communs\Sony Shared\vaio media platform\sv_httpd.exe" /Service=VAIOMediaPlatform-MusicServer-HTTP /RegRoot="Software\Sony Corporation\VAIO Media Platform\2.0" /RegExt="Applications\MusicServer\HTTP (file missing)

O23 - Service: VAIO Media Music Server (UPnP) (VAIOMediaPlatform-MusicServer-UPnP) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\vaio media platform\UPnPFramework.exe

O23 - Service: VAIO Media Photo Server (VAIOMediaPlatform-PhotoServer-AppServer) - Sony Corporation - C:\Program Files\sony\photo server\appsrv\PhotoAppSrv.exe

O23 - Service: VAIO Media Photo Server (HTTP) (VAIOMediaPlatform-PhotoServer-HTTP) - Unknown owner - C:\Program Files\Fichiers communs\sony shared\vaio media platform\SV_Httpd.exe" /Service=VAIOMediaPlatform-PhotoServer-HTTP /RegRoot="Software\Sony Corporation\VAIO Media Platform\2.0" /RegExt="\Applications\PhotoServer\HTTP (file missing)

O23 - Service: VAIO Media Photo Server (UPnP) (VAIOMediaPlatform-PhotoServer-UPnP) - Sony Corporation - C:\Program Files\Fichiers communs\sony shared\vaio media platform\UPnPFramework.exe

Merci merci Jack_Burton, tout semble rentrer dans l'ordre, plus de pack office qui pose des questions au démarrage.

Il me reste semble-t-il une inconnue : dans ajout/supression de programme j'ai " web nexus network ".

J'ai vu qu'il était pas facile sur ce forum de s'en débarrasser...

Charles Ingals en parle ici :

http://forum.zebulon.fr/index.php?showtopi...75entry630482

Est-ce que cela fait partie du même problème?

Mark · le 30 décembre 2005

Salut rafos ;

Jack et toi avez bien bossé !! (et Charles..)

Ok, on va s'occuper des restants de Qoologic (Web-Nexus) et autres ;

Imprime ces instructions, ou colle les dans un fichier texte pour lecture en mode sans échec.

Télécharge SmitfraudFix (par S!Ri) de ce lien :

http://siri.urz.free.fr/Fix/SmitfraudFix.zip

Dézippe le contenu (dossier Smitfraudfix) sur ton Bureau.

* Double cliquer sur smitfraudfix.cmd

* Sélectionner 1 dans le menu pour créer un rapport des fichiers responsables de l'infection. Sauvegarde le rapport.

* Redémarre l'ordinateur en mode sans échec (au démarrage de l'ordinateur, tapote F8 puis choisis "Mode Sans Échec" de l'écran d'options de démarrage - valide - choisis ton compte usuel, et non Administrateur)

* Double cliquer sur smitfraudfix.cmd

* Sélectionner 2 dans le menu pour supprimer les fichiers respondables de l'infection.

* A la question: Voulez-vous nettoyer le registre ? répondre O (oui) afin de débloquer le fond d'écran et supprimer les clés de registre de l'infection.

* Le fix déterminera si le fichier wininet.dll est infecté. A la question: Corriger le fichier infecté ? répondre O (oui) pour remplacer le fichier corrompu. Sauvegarde ce nouveau rapport.

Redémarre en mode Normal. Télécharge TrackQoo (de Mosaïc1) de ce lien :

http://www.geekstogo.com/downloads/Trackqoo.zip

Créé un nouveau dossier nommé Trackqoo à la racine de C: (C:\Trackqoo), puis dézippe le contenu de Trackqoo.zip dans ce nouveau dossier. De ce dossier, double-clique sur Trackqoo.vbs. Lorsque l'outil aura terminé son scan, un rapport va apparaître ; copie/colle ce rapport dans ta prochaine réponse, avec les deux rapports de SmitfraudFix et un nouveau rapport HijackThis! également. Bon succès !

rafos · le 30 décembre 2005

Bonsoir Qc001

Je connais plein de monde maintenant!

Donc c'est parti pour une serie de rapports :

- Trackqoo:

REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ezShieldProtector for Px"="C:\\WINDOWS\\System32\\ezSP_Px.exe"

"Mouse Suite 98 Daemon"="ICO.EXE"

"SynTPLpr"="C:\\Program Files\\Synaptics\\SynTP\\SynTPLpr.exe"

"SynTPEnh"="C:\\Program Files\\Synaptics\\SynTP\\SynTPEnh.exe"

"ATIModeChange"="Ati2mdxx.exe"

"ATIPTA"="C:\\Program Files\\ATI Technologies\\ATI Control Panel\\atiptaxx.exe"

"HKSERV.EXE"="C:\\Program Files\\Sony\\HotKey Utility\\HKserv.exe"

"SonyPowerCfg"="C:\\Program Files\\sony\\vaio power management\\SPMgr.exe"

"AVGCtrl"="C:\\Program Files\\AVPersonal\\AVGNT.EXE /min"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\IMAIL]

"Installed"="1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MAPI]

"NoChange"="1"

"Installed"="1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MSFS]

"Installed"="1"

-----------------

HKEY_CLASSES_ROOT\*\shellex\ContextMenuHandlers

Subkey --- Adobe.Acrobat.ContextMenu

{D25B2CAB-8A9A-4517-A9B2-CB5F68A5A802}

C:\Program Files\Adobe\Acrobat 6.0\Acrobat Elements\ContextMenu.dll

Subkey --- AntiVir/Win

{a7cda720-84ee-11d0-b5c0-00001b3ca278}

C:\Program Files\AVPersonal\AVShlExt.DLL

Subkey --- mggnfnnq

{2cd17702-2b50-49bd-8f6f-88bf68299189}

Subkey --- Offline Files

{750fdf0e-2a26-11d1-a3ea-080036587f03}

C:\WINDOWS\System32\cscui.dll

Subkey --- Open With

{09799AFB-AD67-11d1-ABCD-00C04FC30936}

C:\WINDOWS\system32\SHELL32.dll

Subkey --- Open With EncryptionMenu

{A470F8CF-A1E8-4f65-8335-227475AA5C46}

C:\WINDOWS\system32\SHELL32.dll

Subkey --- QuickSFV Shell Extension

{906b0e6e-61ce-11d3-8ee2-0060080a7242}

C:\Program Files\QuickSFV\QSFVShll.dll

Subkey --- WinRAR

{B41DB860-8EE4-11D2-9906-E49FADC173CA}

C:\Program Files\WinRAR\rarext.dll

Subkey --- {a2a9545d-a0c2-42b4-9708-a0b2badd77c8}

Épingle du menu Démarrer

C:\WINDOWS\system32\SHELL32.dll

=====================

HKEY_CLASSES_ROOT\Folder\shellex\ColumnHandlers

Subkey --- {0D2E74C4-3C34-11d2-A27E-00C04FC30871}

C:\WINDOWS\system32\SHELL32.dll

Subkey --- {24F14F01-7B1C-11d1-838f-0000F80461CF}

C:\WINDOWS\system32\SHELL32.dll

Subkey --- {24F14F02-7B1C-11d1-838f-0000F80461CF}

C:\WINDOWS\system32\SHELL32.dll

Subkey --- {66742402-F9B9-11D1-A202-0000F81FEDEE}

C:\WINDOWS\system32\SHELL32.dll

==============================

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage

desktop.ini

==============================

C:\Documents and Settings\Rafy\Menu Démarrer\Programmes\Démarrage

desktop.ini

==============================

C:\WINDOWS\system32 cpl files

access.cpl Microsoft Corporation

appwiz.cpl Microsoft Corporation

bthprops.cpl Microsoft Corporation

desk.cpl Microsoft Corporation

firewall.cpl Microsoft Corporation

hdwwiz.cpl Microsoft Corporation

inetcpl.cpl Microsoft Corporation

intl.cpl Microsoft Corporation

irprops.cpl Microsoft Corporation

joy.cpl Microsoft Corporation

jpicpl32.cpl Sun Microsystems

main.cpl Microsoft Corporation

mmsys.cpl Microsoft Corporation

ncpa.cpl Microsoft Corporation

netsetup.cpl Microsoft Corporation

nusrmgr.cpl Microsoft Corporation

odbccp32.cpl Microsoft Corporation

powercfg.cpl Microsoft Corporation

QuickTime.cpl Apple Computer, Inc.

SNSetup.cpl Sony Corporation

sysdm.cpl Microsoft Corporation

telephon.cpl Microsoft Corporation

timedate.cpl Microsoft Corporation

wscui.cpl Microsoft Corporation

wuaucpl.cpl Microsoft Corporation

- SmitfraudFix rapport 1

SmitFraudFix v2.11

Rapport fait à 0:25:45,78 le 31/12/2005

Executé à partir de C:\Documents and Settings\Rafy\Bureau\SmitfraudFix-1\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600]

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus

»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

Nettoyage terminé.

»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport

- SmitfraudFix rapport 2

SmitFraudFix v2.11

Rapport fait à 0:25:45,78 le 31/12/2005

Executé à partir de C:\Documents and Settings\Rafy\Bureau\SmitfraudFix-1\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600]

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus

»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

Nettoyage terminé.

»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport

- et pour finir :

nouveau rapport HijackThis:

Logfile of HijackThis v1.99.1

Scan saved at 00:38:47, on 31/12/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\brsvc01a.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\brss01a.exe

C:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXE

C:\Program Files\AVPersonal\AVWUPSRV.EXE

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\ezSP_Px.exe

C:\WINDOWS\system32\ICO.EXE

C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program Files\Sony\HotKey Utility\HKserv.exe

C:\Program Files\sony\vaio power management\SPMgr.exe

C:\Program Files\AVPersonal\AVGNT.EXE

C:\Program Files\Sony\HotKey Utility\HKWnd.exe

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\system32\NOTEPAD.EXE