virus? malware? ver? je sais plus quoi penser de mon probleme...(rappo

babydoll · le 9 janvier 2006

bon, ca y est j'ai tout fait!!!

easy cleaner m'a meme trouvé 128 entrées registre à enlever! mais pour la ligne à fixer de mailskinner elle n'y était plus puisque je l'avais préalablement désinstallé.l'autre ligne ct bon.

par contre, j'ai remarqué que ANTIVIR et PANDA détectent le fichier PROCESS.EXE de SMITFRAUDIFX comme un fichier malveillant, est ce vrai?

sinon j'ai 2 rapports et aussi 1 autre Rapport avec qq questions...

1°) RAPPORT HIJACKTHIS :

Logfile of HijackThis v1.99.1

Scan saved at 01:03:33, on 09/01/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\SCardSvr.exe

C:\WINDOWS\system32\netdde.exe

C:\WINDOWS\system32\drivers\CDAC11BA.EXE

C:\WINDOWS\system32\dllhost.exe

C:\Program Files\ewido\security suite\ewidoctrl.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\system32\msiexec.exe

C:\Program Files\Norton AntiVirus\navapsvc.exe

C:\Program Files\Norton AntiVirus\IWP\NPFMntor.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\system32\wbem\wmiapsrv.exe

C:\WINDOWS\system32\fxssvc.exe

C:\WINDOWS\System32\alg.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\Screen Watcher\watcher.exe

C:\Program Files\MessengerPlus! 3\MsgPlus.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe

C:\Program Files\Microsoft AntiSpyware\gcasDtServ.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\system32\wbem\wmiprvse.exe

C:\Program Files\a-squared\a2guard.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Program Files\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.yahoo.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [s-watch] C:\Program Files\Screen Watcher\watcher.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"

O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [a-squared] "C:\Program Files\a-squared\a2guard.exe"

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab

O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://download.ewido.net/ewidoOnlineScan.cab

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111...all/xscan53.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - AppInit_DLLs: MsgPlusLoader.dll

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido\security suite\ewidoctrl.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus\navapsvc.exe

O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Program Files\Norton AntiVirus\IWP\NPFMntor.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe

O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2006\WinStylerThemeSvc.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

2°) RAPPORT SMITFRAUDFIX

SmitFraudFix v2.12

Rapport fait à 1:07:33,32 le 09/01/2006

Executé à partir de C:\Documents and Settings\Bureau\scan entretien ordi\SmitfraudFix\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600]

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\Web

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system32

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Documents and Settings\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Recherche Menu Démarrer

»»»»»»»»»»»»»»»»»»»»»»»» Recherche Bureau

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Program Files

»»»»»»»»»»»»»»»»»»»»»»»» Recherche présence de clés corrompues

»»»»»»»»»»»»»»»»»»»»»»»» Recherche éléments du bureau

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]

"Source"="http://leboss2b02.skyblog.com/pics/298679915_small.jpg"'>http://leboss2b02.skyblog.com/pics/298679915_small.jpg"

"SubscribedURL"="http://leboss2b02.skyblog.com/pics/298679915_small.jpg"

"FriendlyName"=""

»»»»»»»»»»»»»»»»»»»»»»»» Recherche Sharedtaskscheduler

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]

"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Pr‚-chargeur Browseui"

"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="D‚mon de cache des cat‚gories de composant"

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport

******************************************************************

questions supplémentaires suite à ces manip:

1°) voici un rapport que j'ai eu après une analyse avec SPYBOT, c'est toujours ces résultats là et meme si je les corrige, ils reviennent souvent, à quoi cela correspond??? :-P

voila les problèmes trouvés :

--- Search result list ---

Connect MFC Application: Réglages (Clé du registre, nothing done)

HKEY_USERS\S-1-5-21-2251344573-2431364755-804962821-1006\Software\livesvc

MagicControl.Agent: Réglages utilisateur (Clé du registre, nothing done)

HKEY_USERS\S-1-5-21-2251344573-2431364755-804962821-1006\Software\LanConfig

MagicControl.Agent: Réglages utilisateur (Valeur du registre, nothing done)

HKEY_USERS\S-1-5-21-2251344573-2431364755-804962821-1006\Software\mc\SA

Windows Security Center.AntiVirusDisableNotify: Réglages (Modification du registre, nothing done)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify!=dword:0

2°) sinon j'ai vu dans l'explorateur (/program files) que j'avais 2 répertoires dont je ne connais pas les noms, pourriez vous me dire si je dois les garder ou ce que c'est??? :-(

le premier c'est ONECLICK et dedans il y a juste un fichier qui est UNINSTALL

et le deuxième est MY WAY qui a comme sous répertoire SRCHASTT qui lui meme a 3 sous répertoires : "1.bin", "cache" et "settings"

merci de m'aider encore pour tout ca

Thanos · le 9 janvier 2006

salut babydoll

-Pour commencer tu peux éliminer le fichier "SMITFRAUDFIX" : l'infection n'est pas présente.(il est détecté comme étant un fichier malveillant,mais ca n'en est pas un!)

-Ton rapport hijackthis est clean , mais ton pc montre encore des infections!

-Tu as bien fait de poster le rapport de Spybot!Il montre la présence de l'Adware.InstantAccess et de MagicControl.Agent: on va créer un fichier pour t'en débarrasser + Ewido:

-1)Télécharger la version d'essai d'Ewido=>ici :

et l'installer (important: pendant l'installation, sur la page "Additional Options"

décocher les deux options "Install background guard" et "Install scan via context

menu")Met le à jour.Ne le lance pas encore.

-2)Créé un fichier Bloc Notes avec le texte qui se trouve dans l'espace "code" ci-dessous (copie/colle, sans le mot "Code"=>Attention pas de ligne vierge avant REGEDIT4 et une ligne vierge aprés la derniere ligne) :

REGEDIT4

[-HKEY_USERS\S-1-5-21-2251344573-2431364755-804962821-1006\Software\livesvc]

[-HKEY_USERS\S-1-5-21-2251344573-2431364755-804962821-1006\Software\LanConfig]

[-HKEY_USERS\S-1-5-21-2251344573-2431364755-804962821-1006\Software\mc\SA]

-Enregistrer ce fichier dans : Bureau

-Nom du fichier : remove.reg

-Type : tous les fichiers

-cliquer sur Enregistrer

-quitter le Bloc Notes

-3)Redémarre en mode sans échec.

-4)Clique sur le fichier reg pour qu'il s'exécute.Un message te demandera la fusion,accepte.Supprime le fichier remove.reg

-5)Supprime les dossiers incriminés (s'ils existent encore) puis vide la corbeille.:

-ONECLICK

-MY WAY

-6)Lances Ewido et cliquer sur scanner puis sur scan complet du système.

Si des fichiers infectés sont trouvés, garder l'option par défaut Supprimer (avec la ligne "Créer des copies de sauvegarde cryptées dans la quarantaine" cochée).

A la fin du scan, Sauver le rapport (Fichier/Enregistrer sous...)

-7)Exécute EasyCleaner Registre et Inutiles.Ne pas toucher à la fonction doublons. Supprime tout ce qu'il te propose.

Redémarre normalement et poste le rapport d'Ewido.

Modifié le 9 janvier 2006 par charles ingals

babydoll · le 9 janvier 2006

j'ai suivi toutes tes instructions et voilà le rapport EWIDO (j'ai fait un scan aussi avec spybot et j'ai eu des cookies traceurs qui sont ressortis, je te met le rapport aussi à la suite)

RAPPORT EWIDO

ewido anti-malware - Rapport de scan

---------------------------------------------------------

+ Créé le: 20:22:06, 09/01/2006

+ Somme de contrôle: 866B4723

+ Résultats du scan:

C:\Documents and Settings\Cookies\babydoll@ads.pointroll[2].txt -> Spyware.Cookie.Pointroll : Nettoyer et sauvegarder

C:\Documents and Settings\Cookies\babydoll@adtech[2].txt -> Spyware.Cookie.Adtech : Nettoyer et sauvegarder

C:\Documents and Settings\Cookies\babydoll@advertising[1].txt -> Spyware.Cookie.Advertising : Nettoyer et sauvegarder

C:\Documents and Settings\Cookies\babydoll@as1.falkag[2].txt -> Spyware.Cookie.Falkag : Nettoyer et sauvegarder

C:\Documents and Settings\Cookies\babydoll@atdmt[2].txt -> Spyware.Cookie.Atdmt : Nettoyer et sauvegarder

C:\Documents and Settings\Cookies\babydoll@bluestreak[1].txt -> Spyware.Cookie.Bluestreak : Nettoyer et sauvegarder

C:\Documents and Settings\Cookies\babydoll@doubleclick[1].txt -> Spyware.Cookie.Doubleclick : Nettoyer et sauvegarder

C:\Documents and Settings\Cookies\babydoll@ehg-warnerbrothers.hitbox[1].txt -> Spyware.Cookie.Hitbox : Nettoyer et sauvegarder

C:\Documents and Settings\Cookies\babydoll@estat[1].txt -> Spyware.Cookie.Estat : Nettoyer et sauvegarder

C:\Documents and Settings\Cookies\babydoll@statse.webtrendslive[1].txt -> Spyware.Cookie.Webtrendslive : Nettoyer et sauvegarder

C:\Program Files\Yahoo!\YPSR\Quarantine\ppq25E.tmp -> Spyware.Cookie.247realmedia : Nettoyer et sauvegarder

C:\Program Files\Yahoo!\YPSR\Quarantine\ppq25F.tmp -> Spyware.Cookie.Advertising : Nettoyer et sauvegarder

C:\Program Files\Yahoo!\YPSR\Quarantine\ppq260.tmp -> Spyware.Cookie.Atdmt : Nettoyer et sauvegarder

C:\Program Files\Yahoo!\YPSR\Quarantine\ppq261.tmp -> Spyware.Cookie.Doubleclick : Nettoyer et sauvegarder

C:\Program Files\Yahoo!\YPSR\Quarantine\ppq262.tmp -> Spyware.Cookie.Hitbox : Nettoyer et sauvegarder

C:\Program Files\Yahoo!\YPSR\Quarantine\ppq263.tmp -> Spyware.Cookie.Weborama : Nettoyer et sauvegarder

rapport SPYBOT

--- Search result list ---

HitBox: Cookie traceur (Internet Explorer) (Cookie, nothing done)

Advertising.com: Cookie traceur (Internet Explorer) (Cookie, nothing done)

HitBox: Cookie traceur (Internet Explorer) (Cookie, nothing done)

WebTrends live: Cookie traceur (Internet Explorer) (Cookie, nothing done)

DoubleClick: Cookie traceur (Internet Explorer) (Cookie, nothing done)

Avenue A, Inc.: Cookie traceur (Internet Explorer) (Cookie, nothing done)

WebTrends live: Cookie traceur (Internet Explorer) (Cookie, nothing done)

Thanos · le 9 janvier 2006

salut babydoll

Tes rappports ne montrent rien d'infectieux! Le fichier reg a fonctionné car Spybot ne détecte plus les entrées dans la base de registre .

Le rapport d'Ewido et celui de Spybot ne montrent que des Cookie traceur (ou Spyware.Cookie): je le dit souvent,mais ce n'est pas une infection!on en ramasse tous au gré de nos surfs sur le net!(à moins d'interdire l'installation de cookies,solution un peu extrême!).Donc aucune inquiêtude!

Ton pc fonctionne t'il correctement?

babydoll · le 9 janvier 2006

pour l'instant pas de retour de mes fichiers suspects ".exe" alors je te remercie beaucoup de ton coup de main.

il me reste juste un réglage à refaire, car l'autre jour tout s'est désactivé dans les Services windows (DEMARRER/EXECUTER/services.msc) alors comme ma connection ne marchait plus et que j'avais besoin de voir tes réponses pour finir les manips j'ai réactivé pas mal de services de la liste et je dois refaire le point en les pointant un par un avec la liste que j'ai trouvé sur ce site meme et que je trouve très complète et satisfaisante ! c'est celle la : http://www.zebulon.fr/articles/services_2.php

merci encore maintenant je vais aller mettre un post pour un autre sujet, il faut que je trouve le bon endroit ou le mettre car ca ne concerne pas la sécurité du pc.

ciao charles ingalls et merci pour ton coup de violon !!! LOL

Modifié le 9 janvier 2006 par babydoll

Thanos · le 10 janvier 2006

salut babydoll

Ouaip,super article de tesgaz pour désactiver les services inutiles!Quelques conseils pour finir:

Je t'avais fais faire ceci pour avoir acces à tous les fichiers =>

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

A présent recache tous ces dossiers pour ne pas en effacer un par erreur!

-Nettoie ton pc avec Easy cleaner Registre et Inutiles.Ne pas toucher à la fonction doublons pour virer ce qui reste(utilise le de temps en temps pour nettoyer le pc surtout apres désinstallation de programmes).

-Windows Update parfaitement à jour (catégorie critique, Services Pack et Services Release )

- pare-feu bien paramétré- antivirus bien paramétré et mis à jour régulièrement(quotidiennement s'il le faut) avec un scan complet régulier( journalier s'il le faut).

- une attitude prudente vis à vis de la navigation (pas de sites douteux:cracks, warez, sexe...) et vis à vis de la messagerie (fichiers joints aux messages doivent être scanné avant d'être ouvert)

- une attitude vigilante (être l'affût de fonctionnements inhabituels de ton système)

- nettoyage hebdomadaire du système (suppression des fichiers inutiles, nettoyage de la base de registre, scandisk, defrag)

- scan hebdomadaire antispyware

Pour en savoir plus, consulte la page de ipl_001:

http://gerard.melone.free.fr/IT/IT-AM0.html

Voici les utilitaires et programmes que tu peux installer pour sécuriser ton pc:

-=> Firefox , un vrai navigateur que tu pourras sécuriser avec les conseils de megataupe:

-Téléchargement: http://www.mozilla-europe.org/fr/products/firefox/

-Tutorial: http://forum.zebulon.fr/index.php?showtopic=69628

Si tu veux toujours utiliser IE! :

-=> E-SPYAD:(Ajoute plus de 5000 sites à la zone de restriction pour te protéger lorsque tu attéris sur un site douteux)

Pour Internet Explorer uniquement!( une fois l'utilitaire dézippé dans son dossier, cliquer sur le fichierie-ads.reg:

les modifications ne sont pas visibles mais l'effet est garanti par le message qui suit! )

https://netfiles.uiuc.edu/ehowes/www/resource.htm#IESPYAD

=> ZebProtect (pour sécuriser les ports de ton pc,tres simple)