Media Access irrémédiable ??

mks · le 4 janvier 2006

Bonjour à tous

Je suis un peu désolé de ne poster que parce que j'ai un problème, mais... je poste quand même.

J'ai chopé, je ne sais comment (le PC est partagé par toute la famille), media access (entre autres).

Je suis pourtant au départ équipé d'antivir, qui était configuré comme précisé dans un des posts (il a du être désactivé).

J'ai donc suivi la procédure "pré HijackThis", et une autre liée à l'éradication de ce **** malware, sans succès.

Pour info, dans le désordre car je ne me souviens plus de tout ce que j'ai fait:

- procédure "Pré HijackThis" complète (et ordre respecté).

(Pour info, killprocess n'a pas réussi à flinguer les process de ce malware, enfin, il réapparait de suite sous un autre n°)

- antispyware (tous ceux qui existent et sont gratuits: ad-aware, spybot, spyware cleaner, spy sweeper) qui d'ailleurs me confirment l'infection, me l'éradiquent... jusqu'au re-démarrage

- Ccleaner, JV16, antivir, quand je pensais mon PC "propre".

- NEttoyage de tous les fichiers "inutiles", comme décrit dans un autre post sur ce site.

Et il est toujours là.

Je soumet donc à votre savoir et gentillesse mon dernier log "HijackThis", effectué hier, quand je pensais que c'était enfin terminé (après la procédure mentionnée plus haut) . Je ne maitrise absolument pas l'informatique, j'ai donc préféré ne rien toucher.

Merci beaucoup de votre aide.

Logfile of HijackThis v1.99.1

Scan saved at 00:25:55, on 04/01/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe

C:\WINDOWS\Explorer.EXE

D:\Mes Documents\Softs\nettoyage\hijackthis(2)\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min

O4 - HKLM\..\Run: [NVMixerTray] "C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe"

O4 - HKLM\..\Run: [AVSCHED32] C:\Program Files\AVPersonal\AVSched32.EXE /min

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Launch PC Probe II] "C:\Program Files\ASUS\PC Probe II\Probe2.exe" 1

O4 - HKLM\..\Run: [Explorer] C:\WINDOWS\system32\expIorer.exe

O4 - HKLM\..\Run: [Media Access] C:\Program Files\Media Access\MediaAccK.exe

O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{62F230BE-1042-4550-8C63-2DF40D40EB5D}: NameServer = 80.118.196.42 80.118.192.112

O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe

Thanos · le 4 janvier 2006

salut mks,bienvenue sur ce forum,et bonne année

On va t'aider à te débarrasser ce cette daube!J'analyse ton rapport et te dis quoi faire dans quelques instants.

Thanos · le 4 janvier 2006

Pour commencer peut tu faire ceci stp:

Télécharge RegSearch.exe (Registry Search de Bobbi Flekman) -> http://www.bleepingcomputer.com/files/misc/regsearch.zip

- dézippe dans un répertoire dédié tel que C:\Program Files

- double clique sur RegSearch.exe

- copie colleMedia Access dans la première ligne de la zone de recherche

- rien dans la deuxième ligne de la zone de recherche

- clique sur OK

- après recherche, le bloc-notes ouvre une fenêtre "RegSearch.txt" avec toutes les instances trouvées

- le fichier est en outre sauvegardé dans le même répertoire que celui de RegSearch

- copie-colle le contenu de la fenêtre dans un post, ici

- ferme le bloc-notes

- ferme RegSearch par Cancel

Je t'ai préparé une analyse, peut tu me poster le résultat de Regsearch en attendant?

La suite :

-TéléchargeEasyCleaner(installe le dans son dossier)

-Télécharger la version d'essai d'Ewido=>ici :

et l'installer (important: pendant l'installation, sur la page "Additional Options"

décocher les deux options "Install background guard" et "Install scan via context

menu")Met le à jour.

redémarre le PC, impérativement en mode sans échec, (n'ayant pas accès à Internet, tu as préalablement copié ces instructions dans un fichier texte)

en cas de problème pour sélectionner le mode sans échec, appliquer la procédure de Symantec "Comment démarrer l'ordinateur en mode sans échec" http://service1.symantec.com/support/inter...020905112131924

Assure toi d'avoir accès à tous les fichiers.

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

Passe par Installer /Désinstaller(Panneau de Configuration) et désinstalle les programmes suivant:

-Media Access

Démarre Hijackthis"Do a system scan only", et coche les lignes suivantes :

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [Explorer] C:\WINDOWS\system32\expIorer.exe

O4 - HKLM\..\Run: [Media Access] C:\Program Files\Media Access\MediaAccK.exe

-Clique sur "Fix Checked"

-Supprime les fichiers/dossiers incriminés (s'ils existent encore) :

-C:\Program Files\Media Access=>le dossier

-C:\WINDOWS\system32\expIorer.exe=>le fichier(lance une recherche si tu ne trouves pas)

-Lances Ewido et cliquer sur scanner puis sur scan complet du système.

Si des fichiers infectés sont trouvés, garder l'option par défaut Supprimer (avec la ligne "Créer des copies de sauvegarde cryptées dans la quarantaine" cochée).

A la fin du scan, Sauver le rapport (Fichier/Enregistrer sous...)

-Exécute EasyCleaner Registre et Inutiles.Ne pas toucher à la fonction doublons. Supprime tout ce qu'il te propose.

Redémarre normalement et poste un nouveau rapport Hijackthis(en mode normal) pour vérification + le rapport d'Ewido.

Modifié le 4 janvier 2006 par charles ingals

mks · le 5 janvier 2006

Salut Charles

Merci pour l'accueil et le soutien !!! C'est sincerement suuuuuper agréable de se sentir épaulé.

Voici le résultat de Regsearch:

REGEDIT4

; Registry Search by Bobbi Flekman

; Version: 1.0.2.1

; Results at 05/01/2006 18:46:46 for strings:

; 'media access'

; Strings excluded from search:

; (None)

; Search in:

; Registry Keys Registry Values Registry Data

; HKEY_LOCAL_MACHINE HKEY_USERS

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{15696AE2-6EA4-47F4-BEA6-A3D32693EFC7}\1.0\0\win32]

@="C:\\Program Files\\Media Access\\MediaAccess.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{15696AE2-6EA4-47F4-BEA6-A3D32693EFC7}\1.0\HELPDIR]

@="C:\\Program Files\\Media Access\\"

[HKEY_LOCAL_MACHINE\SOFTWARE\Media Access]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Media Access]

"command"="C:\\Program Files\\Media Access\\MediaAccK.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Media Access"="C:\\Program Files\\Media Access\\MediaAccK.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Media Access]

"UninstallString"="C:\\Program Files\\Media Access\\MediaAccess.exe /Remove"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Media Access]

"DisplayName"="Media Access"

[HKEY_LOCAL_MACHINE\SOFTWARE\Webroot\SpySweeper\Startup\id_4]

"ValueName"="Media Access"

[HKEY_LOCAL_MACHINE\SOFTWARE\Webroot\SpySweeper\Startup\id_4]

"Value"="C:\\Program Files\\Media Access\\MediaAccK.exe"

[HKEY_USERS\S-1-5-21-2000478354-162531612-725345543-1004\Software\Microsoft\Windows\ShellNoRoam\MUICache]

"C:\\Program Files\\Media Access\\MediaAccK.exe"="MediaAccK"

; End Of The Log...

--------------

Heu... pour la suite, j'attend tes instructions ou je peux d'ores et déjà attaquer ?

mks · le 5 janvier 2006

Re -

Magique, il n'y a a priori plus rien.

J'ai eu un petit souci, pas moyen d'installer EasyCleaner. J'ai le sablier pendant une 15zaine de secondes, puis je reprend la main, sans que rien ne se soit passé. Si tu as un tuyau... mais ce sera sans doute l'objet d'un autre post... :-P

Comme j'avais déjà Ccleaner, je m'en suis servi en lieu et place, pour nettoyer les inutiles et le registre.

Redémarrage en mode normal,

Un petit coup de Ewido par dessus, rien ! Suuuuuuper.

Je te poste comme demandé mon txt Ewido "initial", et mon Hijack "final"... enfin final, y'a peut être d'autres trucs à virer....

En tous cas un immense merci, du fond du coeur, pour ce probleme RESOLU avec célérité, gentillesse et simplicité !!! :-P

Re -

Magique, il n'y a a priori plus rien.

J'ai eu un petit souci, pas moyen d'installer EasyCleaner. J'ai le sablier pendant une 15zaine de secondes, puis je reprend la main, sans que rien ne se soit passé. Si tu as un tuyau... mais ce sera sans doute l'objet d'un autre post...

Comme j'avais déjà Ccleaner, je m'en suis servi en lieu et place, pour nettoyer les inutiles et le registre.

Redémarrage en mode normal,

Un petit coup de Ewido par dessus, rien ! Suuuuuuper.

Je te poste comme demandé mon txt Ewido "initial", et mon Hijack "final"... enfin final, y'a peut être d'autres trucs à virer....

A ce sujet, puis-je effacer définitivement les fichiers Ewido mis en quarantaine ??

En tous cas un immense merci, du fond du coeur, pour ce probleme RESOLU avec célérité, gentillesse et simplicité !!!

J'allais en oublier mes logs...

---------------------------------------------------------

ewido anti-malware - Rapport de scan

---------------------------------------------------------

+ Créé le: 22:39:27, 05/01/2006

+ Somme de contrôle: 7B57C486

+ Résultats du scan:

:mozilla.6:C:\Documents and Settings\Bri\Application Data\Mozilla\Firefox\Profiles\kc68zv9k.default\cookies.txt -> Spyware.Cookie.Bluestreak : Nettoyer et sauvegarder

:mozilla.15:C:\Documents and Settings\Bri\Application Data\Mozilla\Firefox\Profiles\kc68zv9k.default\cookies.txt -> Spyware.Cookie.Overture : Nettoyer et sauvegarder

:mozilla.26:C:\Documents and Settings\Bri\Application Data\Mozilla\Firefox\Profiles\kc68zv9k.default\cookies.txt -> Spyware.Cookie.Doubleclick : Nettoyer et sauvegarder

:mozilla.27:C:\Documents and Settings\Bri\Application Data\Mozilla\Firefox\Profiles\kc68zv9k.default\cookies.txt -> Spyware.Cookie.2o7 : Nettoyer et sauvegarder

:mozilla.34:C:\Documents and Settings\Bri\Application Data\Mozilla\Firefox\Profiles\kc68zv9k.default\cookies.txt -> Spyware.Cookie.Atdmt : Nettoyer et sauvegarder

:mozilla.39:C:\Documents and Settings\Bri\Application Data\Mozilla\Firefox\Profiles\kc68zv9k.default\cookies.txt -> Spyware.Cookie.Serving-sys : Nettoyer et sauvegarder

:mozilla.40:C:\Documents and Settings\Bri\Application Data\Mozilla\Firefox\Profiles\kc68zv9k.default\cookies.txt -> Spyware.Cookie.Serving-sys : Nettoyer et sauvegarder

:mozilla.41:C:\Documents and Settings\Bri\Application Data\Mozilla\Firefox\Profiles\kc68zv9k.default\cookies.txt -> Spyware.Cookie.Serving-sys : Nettoyer et sauvegarder

:mozilla.42:C:\Documents and Settings\Bri\Application Data\Mozilla\Firefox\Profiles\kc68zv9k.default\cookies.txt -> Spyware.Cookie.Serving-sys : Nettoyer et sauvegarder

:mozilla.55:C:\Documents and Settings\Bri\Application Data\Mozilla\Firefox\Profiles\kc68zv9k.default\cookies.txt -> Spyware.Cookie.Mediaplex : Nettoyer et sauvegarder

:mozilla.13:C:\Documents and Settings\Mélan'\Application Data\Mozilla\Firefox\Profiles\0kpanph3.default\cookies.txt -> Spyware.Cookie.Bluestreak : Nettoyer et sauvegarder

:mozilla.14:C:\Documents and Settings\Mélan'\Application Data\Mozilla\Firefox\Profiles\0kpanph3.default\cookies.txt -> Spyware.Cookie.Sitestat : Nettoyer et sauvegarder

:mozilla.21:C:\Documents and Settings\Mélan'\Application Data\Mozilla\Firefox\Profiles\0kpanph3.default\cookies.txt -> Spyware.Cookie.Doubleclick : Nettoyer et sauvegarder

:mozilla.22:C:\Documents and Settings\Mélan'\Application Data\Mozilla\Firefox\Profiles\0kpanph3.default\cookies.txt -> Spyware.Cookie.Estat : Nettoyer et sauvegarder

C:\Program Files\DAEMON Tools\SetupDTSB.exe -> Adware.SaveNow : Nettoyer et sauvegarder

C:\WINDOWS\system32\expIorer.exe -> Dropper.Pakes : Nettoyer et sauvegarder

::Fin du rapport

*********************************

Logfile of HijackThis v1.99.1

Scan saved at 22:53:20, on 05/01/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AVPersonal\AVGUARD.EXE

C:\Program Files\AVPersonal\AVWUPSRV.EXE

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\HPZipm12.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\AVPersonal\AVGNT.EXE

C:\Program Files\AVPersonal\AVSched32.EXE

C:\Program Files\ASUS\PC Probe II\Probe2.exe

C:\Program Files\DAEMON Tools\daemon.exe

C:\WINDOWS\system32\ctfmon.exe