Rapport d'analyse de mon amie

[Mark]

Ok. S'assurer de changer les options afin de voir tous les fichiers cachés (instructions de mon premier post). Elle peut redémarrer en sans échec, puis lancer HijackThis! et cocher ces lignes :

 

O4 - HKLM\..\Run: [html32 Help System] hhs32.pif

 

O4 - HKLM\..\Run: [Microsoft Command Line] wincmd.exe

O4 - HKLM\..\Run: [Microsoft Update 32] wininit.exe

O4 - HKLM\..\Run: [MS Sys Security] mswin.pif

O4 - HKLM\..\Run: [MS Unix Binary] msnq3insller.exe

O4 - HKLM\..\Run: [Optional Web Drivers For WIN32] phqghume.exe

 

O4 - HKLM\..\Run: [Windows System Security] sys32.pif

 

O4 - HKLM\..\RunServices: [Optional Web Drivers For WIN32] phqghume.exe

O4 - HKLM\..\RunServices: [MS Unix Binary] msnq3insller.exe

O4 - HKLM\..\RunServices: [Windows System Security] sys32.pif

O4 - HKLM\..\RunServices: [Microsoft Update 32] wininit.exe

O4 - HKLM\..\RunServices: [MS Sys Security] mswin.pif

O4 - HKLM\..\RunServices: [Microsoft Command Line] wincmd.exe

O4 - HKLM\..\RunServices: [html32 Help System] hhs32.pif

 

O4 - HKCU\..\Run: [soes] "C:\Program Files\ioap\ouau.exe" -vt ndrv

 

O4 - HKCU\..\RunServices: [Windows System Security] sys32.pif

O4 - HKCU\..\RunServices: [MS Sys Security] mswin.pif

O4 - HKCU\..\RunServices: [html32 Help System] hhs32.pif

 

Cliquer sur "Fix checked", puis fermer HijackThis!. Rechercher et supprimer ces fichiers (si présents):

 

C:\Windows\System32\hhs32.pif

C:\Windows\System32\msnq3insller.exe

C:\Windows\System32\mswin.pif

C:\Windows\System32\ntsys32.exe

C:\Windows\System32\phqghume.exe

C:\Windows\System32\sys32.pif

C:\Windows\System32\wininit.exe

C:\Windows\System32\wincmd.exe

C:\alc.exe

C:\Program Files\ioap << et ce dossier

 

Redémarrer en mode Normal.

====================

 

Voici un autre outil qui est essentiel à ce fix ; à télécharger par tous les moyens...lol..

 

Télécharge VundoFix.exe (par Atribune) sur ton Bureau.

• Double-clique VundoFix.exe afin de le lancer.
  
• Coche Run VundoFix as a task.
  
• Un message t'avertira que l'outil va se fermer et s'ouvrir à nouveau : clique Ok
  
• Clique sur le bouton Scan for Vundo.
  
• Lorsque le scan est complété, clique sur le bouton Remove Vundo.
  
• Une invite te demandera si tu veux supprimer les fichiers, clique YES
  
• Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers.
  
• Tu verras une invite qui t'annonce que ton PC va s'éteindre ("shutdown"); clique OK
  
• Démarre ton PC à nouveau.
  
• Copie/colle le contenu du rapport situé dans C:\vundofix.txt ainsi qu'un nouveau rapport HijackThis! dans ta prochaine réponse.
  

Bon succès à vous deux

 

ZUT !! Je t'avais pas vu !!

 

Ok-ok, on finira le ménage plus tard.

 

Allez-y avec VundiFix

Modifié le 5 février 2006 par Qc001

[Mark]

Je suis désolé Liloute... J'ai tenté de répondre rapidement, mais les restrictions du forum nous limitent dans la rapidité de poster plusieurs fois, donc ma réponse se retrouve dans mon poste précédent...

 

Ok, passez VundoFix maintenant

[Liloute]

Je suis désolé Liloute... J'ai tenté de répondre rapidement, mais les restrictions du forum nous limitent dans la rapidité de poster plusieurs fois, donc ma réponse se retrouve dans mon poste précédent...

 

Ok, passez VundoFix maintenant

C'est pas grave, tu t'es donné déjà beaucoup de mal, c'est très gentil de ta part

 

Donc, là, je ne lui fais pas fixer ce que tu as posté en dernier?

[Mark]

À nouveau désolé, j'ai dû m'absenter..

 

Ta copine a fait du bon travail, donc le nettoyage est fait

 

Prochaine étape : VundoFix

 

Je serai là pour une heure (environ), sinon j'y serai dans 8 ou 9 heures

[Liloute]

Bon.... je lui ferai faire le VundoFix + un rapport HijackThis que je posterai en début de soirée, vers les 18h....

Sinon, elle m'a dit avoir eu un message du genre " plus de mémoire virtuelle".... que se passe t il encore?

[Apollo]

Bonjour,

 

Soit elle dispose de trop peu de mémoire RAM et dans ce cas il faut ajouter une barrette, soit la mémoire virtuelle n'est pas bien réglée.

 

Cela relève plus du forum optimisation, trucs et astuces, je pense.

Combien de Mo de RAM? Il est possible de le savoir avec le logiciel Everest Home ou Aida 32.

Modifié le 5 février 2006 par liegeois

[Liloute]

Bonsoir a tous,

 

Voici donc le rapport de VundoFix

 

VundoFix V4.2.21

Scan started at 19:24:28 05/02/2006

 

Listing files found while scanning....

Some files may be listed more then once

 

 

C:\windows\system32\yccdd.bak1

C:\windows\system32\yccdd.bak2

C:\windows\system32\yccdd.tmp

C:\windows\system32\yccdd.ini

C:\windows\system32\yccdd.ini2

C:\windows\system32\vybeg.bak1

C:\windows\system32\vybeg.bak2

C:\windows\system32\vybeg.ini

C:\windows\system32\gebyv.dll

C:\windows\system32\yccdd.ini2

C:\windows\system32\yccdd.bak2

C:\windows\system32\yccdd.tmp

C:\windows\system32\yccdd.ini

C:\windows\system32\yccdd.ini2

Attempting to delete C:\WINDOWS\qaz4.txt

C:\WINDOWS\qaz4.txt Has been deleted!

 

Attempting to delete C:\windows\system32\yccdd.bak1

C:\windows\system32\yccdd.bak1 Has been deleted!

 

Attempting to delete C:\windows\system32\yccdd.bak2

C:\windows\system32\yccdd.bak2 Has been deleted!

 

Attempting to delete C:\windows\system32\yccdd.tmp

C:\windows\system32\yccdd.tmp Has been deleted!

 

Attempting to delete C:\windows\system32\yccdd.ini

C:\windows\system32\yccdd.ini Has been deleted!

 

Attempting to delete C:\windows\system32\yccdd.ini2

C:\windows\system32\yccdd.ini2 Has been deleted!

 

Attempting to delete C:\windows\system32\vybeg.bak1

C:\windows\system32\vybeg.bak1 Has been deleted!

 

Attempting to delete C:\windows\system32\vybeg.bak2

C:\windows\system32\vybeg.bak2 Has been deleted!

 

Attempting to delete C:\windows\system32\vybeg.ini

C:\windows\system32\vybeg.ini Could not be deleted.

 

Attempting to delete C:\windows\system32\gebyv.dll

C:\windows\system32\gebyv.dll Could not be deleted.

 

Performing Repairs to the registry.

Done!

 

et celui fait avec HijackThis, juste après:

 

 

Logfile of HijackThis v1.99.1

Scan saved at 19:32:52, on 05/02/2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\windows\System32\smss.exe

C:\windows\SYSTEM32\winlogon.exe

C:\windows\system32\services.exe

C:\windows\system32\lsass.exe

C:\windows\system32\svchost.exe

C:\windows\System32\svchost.exe

C:\windows\system32\spoolsv.exe

C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe

C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\Program Files\ewido anti-malware\ewidoguard.exe

C:\windows\System32\svchost.exe

C:\WINDOWS\system32\wincon.exe

C:\windows\Explorer.EXE

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\MessengerPlus! 3\MsgPlus.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\QuickTime\qttask.exe

C:\PROGRA~1\Grisoft\AVG7\avgcc.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\Hijackthis\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - Default URLSearchHook is missing

O2 - BHO: ATLDistrib Object - {E65DD8E2-1005-4D44-952E-016BEDB01B62} - C:\WINDOWS\System32\gebyv.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP

O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe" /WinStart

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background

O4 - Startup: CD-MENU.LNK = ?

O4 - Startup: OpenOffice.org 1.1.5.lnk = C:\Program Files\OpenOffice.org1.1.5\program\crashrep.exe

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://c:\program files\google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://c:\program files\google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar1.dll/cmcache.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - AppInit_DLLs: sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll

O20 - Winlogon Notify: awvtt - awvtt.dll (file missing)

O20 - Winlogon Notify: ddccy - C:\WINDOWS\System32\ddccy.dll (file missing)

O20 - Winlogon Notify: mlljh - mlljh.dll (file missing)

O20 - Winlogon Notify: WRNotifier - WRLogonNTF.dll (file missing)

O23 - Service: AOL Instant Messanger (AIM) - Unknown owner - C:\WINDOWS\aim.exe (file missing)

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe

O23 - Service: DirectX Graphics (dxdmain) - Unknown owner - C:\WINDOWS\System32\dxdmain.exe (file missing)

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe

O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido anti-malware\ewidoguard.exe

O23 - Service: Defragmentation Management Handler (FAT Defragmentation) - Unknown owner - C:\WINDOWS\System32\dfrgfat32.exe (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: inetdns (InetDns) (inetdns) - Unknown owner - C:\WINDOWS\system32\inetdns.exe (file missing)

O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: Enables Java Support (Java) - Unknown owner - C:\WINDOWS\System32\winjava.exe (file missing)

O23 - Service: Remote Procedure Call (RPC) Locator (Locator) - Unknown owner - C:\WINDOWS\system32\wininit.exe (file missing)

O23 - Service: NetDDE Server (NetDDEsrv) - Unknown owner - C:\WINDOWS\System32\netddesrv.exe (file missing)

O23 - Service: Print Spool Handler (Print Spooler) - Unknown owner - C:\WINDOWS\System32\spooler.exe (file missing)

O23 - Service: Remote Procedure Call (RPC) Monitoring (Rpcmon) - Unknown owner - C:\WINDOWS\System32\Rpcmon.exe (file missing)

O23 - Service: System Manager Service (SMSC) - Unknown owner - C:\WINDOWS\smsc.exe (file missing)

O23 - Service: SMSS - Unknown owner - C:\WINDOWS\smss.exe (file missing)

O23 - Service: Super AOL instant messenger (supermsg) - Unknown owner - C:\windows\lsass2.exe (file missing)

O23 - Service: SystemManager - Unknown owner - C:\WINDOWS\sysmanager.exe (file missing)

O23 - Service: network monitoring tools (windows network) - Unknown owner - C:\WINDOWS\nvcr32.exe (file missing)

O23 - Service: MS Dns Service (WinNet) - Unknown owner - C:\WINDOWS\system32\wincntrl.exe (file missing)

O23 - Service: wordpad - Unknown owner - C:\WINDOWS\wordpad.exe (file missing)

 

Ca en est où?

[Thanos]

salut Liloute, Liégeois , QC001

 

Il y a eu un problème avec Vundofix on dirait puisqu'il n'a pas réussi à éliminer totalement l'infection!

 

Attempting to delete C:\windows\system32\vybeg.ini

C:\windows\system32\vybeg.ini Could not be deleted.

 

Attempting to delete C:\windows\system32\gebyv.dll

C:\windows\system32\gebyv.dll Could not be deleted.

 

Je pense que la cause de cet échec est dû à l'action du teatimer de spybot qui empêche certaines modifications!! Il faut que tu le désactive par les options de Spybot, et que tu relance le fix Vundo pour que ca fonctionne. Essaie et reposte le rapport de Vundofix + un nouveau rapport hijackthis en mode normal

[Liloute]

salut Liloute, Liégeois , QC001

 

Il y a eu un problème avec Vundofix on dirait puisqu'il n'a pas réussi à éliminer totalement l'infection!

Je pense que la cause de cet échec est dû à l'action du teatimer de spybot qui empêche certaines modifications!! Il faut que tu le désactive par les options de Spybot, et que tu relance le fix Vundo pour que ca fonctionne. Essaie et reposte le rapport de Vundofix + un nouveau rapport hijackthis en mode normal

 

 

Ah ok, ben je vais de ce pas lui faire désactiver Spy Bot et lui faire refaire la manip avec VundoFix & Hijackthis.... Merci d'avoir répondu Charles Ingals

A tout à l'heure

[Mark]

Merci à Charly d'avoir pris la relève , et bonsoir Liloute

 

Ouff... y avait du Vundo là-dedans... et en prime elle avait le rootkit qui est indiqué par ceci :

Attempting to delete C:\WINDOWS\qaz4.txt

C:\WINDOWS\qaz4.txt Has been deleted!

 

Je suis désolé de mon absence aujourd'hui, mais une importante tempête a foutu notre câblo hors de combat pendant 9 heures...

 

Je constate que le fichier non détruit par VundoFix correspond à une toute nouvelle variante, non incluse dans l'outil.

 

Je contacte Atribune pour lui en faire part. Si tout va bien, l'outil sera à jour au plus tard demain, et vous pourrez le repasser avec succès.

 

Liloute : je reviendrai poster ici, lorsque l'outil sera à jour, et merci de votre patience