besoin d'aide pour lutter contre Winfixer !

jac' · le 4 janvier 2006

Merci à vous de vous penchez sur la chose parce les fenêtres de Winfixer à tout bout de champ ça commence à me gaver !

J'ai effectué le scan d'Antivir et j'attends de voir ce que vous pouvez me dire sur mes rapports d'analyse:

Mon rapport HJT:

Logfile of HijackThis v1.99.1

Scan saved at 23:58:13, on 03/01/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOW\System32\smss.exe

C:\WINDOW\system32\winlogon.exe

C:\WINDOW\system32\services.exe

C:\WINDOW\system32\lsass.exe

C:\WINDOW\system32\svchost.exe

C:\WINDOW\Explorer.EXE

C:\Program Files\Microsoft Office\Office10\WINWORD.EXE

C:\Program Files\WinRAR\WinRAR.exe

C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rar$EX00.672\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: (no name) - {02DCA195-602B-4B1F-83FF-381B7E804BDB} - C:\WINDOW\system32\HDBHO.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: SuperBar - {136A9D1D-1F4B-43D4-8359-6F2382449255} - C:\Program Files\SUPERBAR\SUPERBAR.dll

O3 - Toolbar: SuperBar - {F7CD96ED-16E4-46FF-9515-C37805AC2643} - C:\Program Files\SUPERBAR\SUPERBAR.dll

O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure\Common\FSM32.EXE" /splash

O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\F-Secure\TNB\TNBUtil.exe" /CHECKALL

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOW\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOW\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [sNPSTD2] C:\WINDOW\vsnpstd2.exe

O4 - HKLM\..\Run: [PrinTray] C:\WINDOW\System32\spool\DRIVERS\W32X86\3\printray.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOW\system32\NeroCheck.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

O4 - HKLM\..\Run: [Lexmark X73 Button Monitor] C:\PROGRA~1\LEXMAR~1\ACMonitor_X73.exe

O4 - HKLM\..\Run: [Lexmark X73 Button Manager] C:\PROGRA~1\LEXMAR~1\AcBtnMgr_X73.exe

O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [surfAccuracy] C:\Program Files\SurfAccuracy\SAcc.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOW\system32\ctfmon.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Program Files\AIM95\aim.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineS...er.cab31267.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1117756628551

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://beta.update.microsoft.com/microsoft...b?1107968852588

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

O16 - DPF: {85D1F3B2-2A21-11D7-97B9-0010DC2A6243} (SecureLogin class) - http://secure2.comned.com/signuptemplates/...login-devel.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/Solit...wn.cab31267.cab

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = via.ecp.fr

O17 - HKLM\Software\..\Telephony: DomainName = via.ecp.fr

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = via.ecp.fr

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = via.ecp.fr

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: F-Secure Automatic Update (BackWeb Client - 7681197) - Unknown owner - C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE

O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe

O23 - Service: F-Secure Network Request Broker - F-Secure Corporation - C:\Program Files\F-Secure\Common\FNRB32.EXE

O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe

O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\F-Secure\FWES\Program\fsdfwd.exe

O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure\Common\FSMA32.EXE

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOW\system32\LEXBCES.EXE

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: MATLAB Server (matlabserver) - Unknown owner - C:\MATLAB6p1\webserver\bin\win32\matlabserver.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOW\system32\nvsvc32.exe

fin du rapport HJT

Mon rapport Panda:

Incident Status Location

Virus:Trj/Mitglieder.EV Disinfected C:\Documents and Settings\Administrateur\Application Data\Thunderbird\Profiles\l1f03z6i.default\Mail\Local Folders\Inbox[price.cpl]

Virus:W32/Bagle.EN.worm Disinfected C:\Documents and Settings\Administrateur\Application Data\Thunderbird\Profiles\l1f03z6i.default\Mail\Local Folders\Inbox[09.exe]

Virus:Trj/Mitglieder.GB Disinfected C:\Documents and Settings\Administrateur\Application Data\Thunderbird\Profiles\l1f03z6i.default\Mail\Local Folders\Inbox[1.exe]

Dialer:Dialer.AGS Not desinfected C:\Documents and Settings\Administrateur\Local Settings\Temporary Internet Files\Content.IE5\8NEZM7YR\VIDEO_STAR_NUE[1].0XE

Virus:Trj/Citifraud.A Disinfected C:\Documents and Settings\jb\Application Data\Thunderbird\Profiles\bj5bl5py.default\Mail\Local Folders\Inbox[~0000659.~]

Adware:Adware/PowerScan Not desinfected C:\Program Files\Power Scan\powerscan.exe

Adware:Adware/PowerScan Not desinfected C:\Program Files\Power Scan\uninstall.exe

Adware:Adware/Superbar Not desinfected C:\Program Files\SuperBar\SUPERBAR.dll

Adware:Adware/Superbar Not desinfected C:\Program Files\SuperBar\SUPERBAR1.dll

Adware:Adware/Superbar Not desinfected C:\Program Files\SuperBar\SUPERBARExts.dll

Adware:Adware/SurfAccuracy Not desinfected C:\Program Files\SurfAccuracy\SAcc.exe

Spyware:Spyware/New.net Not desinfected C:\WINDOW\NDNuninstall6_38.exe

Spyware:Spyware/New.net Not desinfected C:\WINDOW\NDNuninstall6_90.exe

Spyware:Spyware/New.net Not desinfected C:\WINDOW\NDNuninstall6_98.exe

Merci beaucoup pour le temps consacré et pour votre aide.

A bientôt

Thanos · le 4 janvier 2006

salut jac' et bienvenue sur le forum

J'analyse ton rapport,réponse dans une vingtaine de minutes.

jac' · le 4 janvier 2006

Merci beaucoup Charles Ingals

A toute

Thanos · le 4 janvier 2006

-Avant de faire quoique ce soit,réinstalle Hijackthis(pas dans un répertoire temporaire): dans C:\Program Files par exemple.(sinon tu ne bénéficieras pas des sauvegardes)

-TéléchargeEasyCleaner(installe le dans son dossier)

Télécharger la version d'essai d'Ewido=>ici :

et l'installer (important: pendant l'installation, sur la page "Additional Options"

décocher les deux options "Install background guard" et "Install scan via context

menu")Met le à jour.

redémarre le PC, impérativement en mode sans échec, (n'ayant pas accès à Internet, tu as préalablement copié ces instructions dans un fichier texte)

en cas de problème pour sélectionner le mode sans échec, appliquer la procédure de Symantec "Comment démarrer l'ordinateur en mode sans échec" http://service1.symantec.com/support/inter...020905112131924

Assure toi d'avoir accès à tous les fichiers.

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

Passe par Installer /Désinstaller(Panneau de Configuration) et désinstalle les programmes suivant:

-SurfAccuracy

-SUPERBAR

-Power Scan

Démarre Hijackthis"Do a system scan only", et coche les lignes suivantes :

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: SuperBar - {136A9D1D-1F4B-43D4-8359-6F2382449255} - C:\Program Files\SUPERBAR\SUPERBAR.dll

O3 - Toolbar: SuperBar - {F7CD96ED-16E4-46FF-9515-C37805AC2643} - C:\Program Files\SUPERBAR\SUPERBAR.dll

O4 - HKLM\..\Run: [surfAccuracy] C:\Program Files\SurfAccuracy\SAcc.exe

-Clique sur "Fix Checked"

-Supprime les fichiers/dossiers incriminés (s'ils existent encore) :

-C:\Program Files\SUPERBAR=> le dossier

-C:\Program Files\SurfAccuracy=> le dossier

-C:\Documents and Settings\Administrateur\Local Settings\Temporary Internet Files\Content.IE5

=> sélectionne tous les éléments présents dans le dossier et efface les.

-C:\Program Files\Power Scan=> le fichier

-C:\WINDOW\NDNuninstall6_38.exe => le fichier

-C:\WINDOW\NDNuninstall6_98.exe=> le fichier

-C:\WINDOW\NDNuninstall6_90.exe => le fichier (j'imagine que tu as téléchargé ces fichiers à la suite d'une infection par NewDotNet?)

-Lances Ewido et cliquer sur scanner puis sur scan complet du système.

Si des fichiers infectés sont trouvés, garder l'option par défaut Supprimer (avec la ligne "Créer des copies de sauvegarde cryptées dans la quarantaine" cochée).

A la fin du scan, Sauver le rapport (Fichier/Enregistrer sous...)

-Exécute EasyCleaner Registre et Inutiles.Ne pas toucher à la fonction doublons. Supprime tout ce qu'il te propose.

Redémarre normalement et poste un nouveau rapport Hijackthis(en mode normal) pour vérification+ le rapport d'Ewido

-Ton pc fais t'il partie d'un domaine?

jac' · le 4 janvier 2006

Hey Charles Ingals !

J'ai essayé de tout faire mais certaines choses ont buggé!

Pour vider le répertoire

"-C:\Documents and Settings\Administrateur\Local Settings\Temporary Internet Files\Content.IE5

=> sélectionne tous les éléments présents dans le dossier et efface les."

il y a un fichier que je ne peux pas enlever car windows dit qu'il est utilisé son nom est:

index.dat dans le même repertoire, windows dit que ce fichier doit être utilisé par une autre personne

ou un autre programme et que je dois eteindre ce dit programme pour pouvoir le supprimer alors que je

n'ai rien lancé d'autre que ce que tu m'avais demandé!

Ensuite j'ai réussi malgré moi à faire planter ewido qui s'arrête vers 46%... en ayant déjà détecté pas

mal de cochonneries du style :superbar,cookie,...

Il bug toujours au même endroit et me dit que security... doit s'arreter et j'ai le fameux écran qui veut me faire envoyer le rapport d'érreurs (alors que je suis en mode sans échec...)

Donc je ne peux,hélas, pas te le faire parvenir!

Pour le easyclean: 22935 fichiers inutiles ! Bilan j'ai tout supprimé

Je t'envoie donc le rapport HJT après tout le toutim:

Logfile of HijackThis v1.99.1

Scan saved at 18:46:52, on 04/01/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOW\System32\smss.exe

C:\WINDOW\system32\winlogon.exe

C:\WINDOW\system32\services.exe

C:\WINDOW\system32\lsass.exe

C:\WINDOW\system32\svchost.exe

C:\WINDOW\System32\svchost.exe

C:\WINDOW\system32\LEXBCES.EXE

C:\WINDOW\system32\spoolsv.exe

C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe

C:\Program Files\F-Secure\Anti-Virus\FSGK32.EXE

C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe

C:\Program Files\F-Secure\Anti-Virus\fssm32.exe

C:\Program Files\F-Secure\Common\FSMA32.EXE

C:\MATLAB6p1\webserver\bin\win32\matlabserver.exe

C:\Program Files\F-Secure\Common\FSMB32.EXE

C:\WINDOW\system32\nvsvc32.exe

C:\WINDOW\system32\svchost.exe

C:\Program Files\F-Secure\Common\FCH32.EXE

C:\Program Files\F-Secure\Common\FAMEH32.EXE

C:\WINDOW\Explorer.EXE

C:\Program Files\F-Secure\Common\FSM32.EXE

C:\Program Files\F-Secure\Common\FNRB32.EXE

C:\Program Files\F-Secure\FWES\Program\fsdfwd.exe

C:\Program Files\F-Secure\Anti-Virus\fsav32.exe

C:\Program Files\F-Secure\Common\FIH32.EXE

C:\WINDOW\vsnpstd2.exe

C:\WINDOW\System32\spool\DRIVERS\W32X86\3\printray.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

C:\Program Files\F-Secure\BackWeb\7681197\Program\BackWeb-7681197.exe

C:\PROGRA~1\LEXMAR~1\ACMonitor_X73.exe

C:\PROGRA~1\LEXMAR~1\AcBtnMgr_X73.exe

C:\Program Files\Winamp\winampa.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\QuickTime\qttask.exe

C:\WINDOW\system32\ctfmon.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\WINDOW\system32\wuauclt.exe

C:\WINDOW\system32\NOTEPAD.EXE

C:\Program Files\HijackThis\HijackThis.exe