Aller au contenu

  • Pas encore inscrit ?

    Pourquoi ne pas vous inscrire ? C'est simple, rapide et gratuit.
    Pour en savoir plus, lisez Les avantages de l'inscription... et la Charte de Zébulon.
    De plus, les messages que vous postez en tant qu'invité restent invisibles tant qu'un modérateur ne les a pas validés. Inscrivez-vous, ce sera un gain de temps pour tout le monde, vous, les helpeurs et les modérateurs ! :wink:

[résolu][Malware]XP family - *.frame.crazywinnings.com

tangui

Par tangui
dans Analyses et éradication malwares

 Partager

Messages recommandés

tangui Godlike Member

tangui

Posté(e)
Posté(e)

Bonjour tous le monde,

J'ai un soucis avec le PC portable d'une amie.

Le PC était rempli de spyware, virus and co... Et il m'en reste un dont je n'arrive pas a me défaire...

 

Les procédures que j'ai faite:

  • Antivir maj en mode sans echec
  • Spybot
  • Ad aware
  • hijackthis
  • la main dans le cambuis de la BDR
  • des prières
  • Les opérations précédentes plusieurs fois

Alors pour la gloire: l'hijackthis:

Logfile of HijackThis v1.99.1

Scan saved at 00:56:29, on 02/16/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\S3hotkey.exe

C:\WINDOWS\system32\S3tray2.exe

C:\WINDOWS\soundman.exe

C:\Program Files\D-Tools\daemon.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe

C:\Program Files\Kerio\Personal Firewall\persfw.exe

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\system32\rundll32.exe

C:\Documents and Settings\Utilisateur\Bureau\HijackThis.exe

 

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.neuf.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O4 - HKLM\..\Run: [s3hotkey] S3hotkey.exe

O4 - HKLM\..\Run: [s3TRAY2] S3tray2.exe

O4 - HKLM\..\Run: [soundMan] soundman.exe

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKCU\..\Run: [f0s8RWbnh] dmiskrnl.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

O9 - Extra button: MoneySide - {E023F504-0C5A-4750-A1E7-A9046DEA8A21} - C:\WINDOWS\System32\shdocvw.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O15 - Trusted Zone: *.frame.crazywinnings.com

O15 - Trusted Zone: *.frame.crazywinnings.com (HKLM)

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111...all/xscan53.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{07C71CA6-9FDB-43E5-AA09-40752CE72DA9}: NameServer = 212.27.32.176,212.27.32.177

O17 - HKLM\System\CS1\Services\Tcpip\..\{07C71CA6-9FDB-43E5-AA09-40752CE72DA9}: NameServer = 212.27.32.176,212.27.32.177

O20 - Winlogon Notify: WindowsUpdate - C:\WINDOWS\system32\enrql1951.dll

O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Kerio Personal Firewall (PersFw) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall\persfw.exe

O23 - Service: Security Agent (scagent) - Unknown owner - C:\WINDOWS\system32\scagent.exe" start (file missing)

O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

 

 

En ce qui concerne *.frame.crazywinnings.com, j'ai dejà essayé plusieurs fois de le virer, et ca revient a chaque fois...

 

Les sites ouvert sont ceux de logiciels d'antivirus (de merde je pense), des pubs sur 88*.com etc...

 

Une idée?!

angelique Devil Member !

angelique

Posté(e)
Posté(e)

hello tangui;

 

t'as regardé si les 015 étaient pas rajoutés ds zone de confiance de ie,tu les supp et tu fix avec hijack.

 

pour moi ça sapue aussi:

 

O4 - HKCU\..\Run: [f0s8RWbnh] dmiskrnl.exe

 

hum!! et ça à verifier par un conseiller sécu-

-->O20 - Winlogon Notify: WindowsUpdate - C:\WINDOWS\system32\enrql1951.dll

 

je fixerai,et utiliserai killbox si il vire pas :P

tangui Godlike Member

tangui

Posté(e)
  • Auteur
Posté(e)

re :P

j'en ai viré, et les fichiers reviennent... (soupir)

J'ai oublié de dire que j'avais XP a jours

Mark Godlike Member

Mark

Posté(e)
Posté(e) (modifié)

Bonjour les amis(es) Modos :P

 

Tangui : ton amie a chopé un p'tit coriace ; cette ligne O20 c'est Look2Me :P KillBox n'y peut rien. Nous avons des outils qui font le travail par contre, dont un tout frais d'hier (d'un copain Canadien). Pour les O15, on passe un petit script afin de restaurer le tout.

==================================

 

Télécharge DelDomains.inf sur ton Bureau, à partir de ce lien :

http://www.mvps.org/winhelp2002/DelDomains.inf

 

- Fais un clic-droit sur ce fichier, et choisis "Installer". Le script s'installe silencieusement. **Si jamais ta copine utlise FireFox pour télécharger ce fichier, la méthode est différente qu'avec IE : elle doit faire un clic-droit sur le lien ci-haut, et choisir "Enregistrer la cible sous..", puis sauvegarder le fichier sur le Bureau. Clic-droit et "Installer".

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

 

Prière d'imprimer ces instructions, ou de les coller dans un fichier texte, pour lecture durant ce fix. Regarde bien les trois petites notes au bas, avant de débuter.

Télécharge Look2Me-Destroyer.exe (par Atribune) sur ton Bureau.

  • Ferme toutes les fenêtres actives avant de passer à l'étape suivante.
  • Double-clique Look2Me-Destroyer.exe afin de lancer l'outil.
  • Coche Run this program as a task
  • Un message s'affichera, te disant ceci : "Look2Me-Destroyer will close and re-open in approximately 10 seconds". Clique OK
  • Il se relancera après les 10 secondes, puis clique sur le bouton Scan for L2M; les icônes de ton Bureau vont disparaître : c'est normal.
  • Lorsque le scan termine, clique sur le bouton Remove L2M
  • Un message Done Scanning apparaîtra, clique OK.
  • Un nouveau message s'affichera : Done removing infected files! Look2Me-Destroyer will now shutdown your computer; clique OK.
  • Ton PC va maintenant s'éteindre.
  • Démarre ton PC normalement.
  • Colle le rapport généré, situé ici : C:\Look2Me-Destroyer.txt , ainsi qu'un nouveau rapport HijackThis! dans ta prochaine réponse.

*Si Look2Me-Destroyer ne se relance pas automatiquement après les 10 secondes, redémarre et essaie à nouveau.

 

**Si tu reçois un message de ton parefeu que l'outil tente d'accéder à l'internet : accepte.

 

***Si un message runtime error '339' s'affiche : télécharge MSWINSCK.OCX du lien ci-bas, et place-le dans le dossier C:\Windows\System32.

http://www.ascentive.com/support/new/images/lib/MSWINSCK.OCX

 

=======================================================================

 

Il reste une autre peste dont on devra s'occuper, mais on le fera après. Celle-ci :

 

O4 - HKCU\..\Run: [f0s8RWbnh] dmiskrnl.exe

 

>> le fichier se retrouve dans System32, et il est possible qu'il mute à chaque démarrage. On verra...

 

J'attends le prochain rapport HijackThis!

 

Bon succès :-P

Modifié par Qc001
tangui Godlike Member

tangui

Posté(e)
  • Auteur
Posté(e)

Merci Qc001, j'essaye ca ce soir :P

 

oui, c'est une bête assez coriace...

Mais je ne lache pas :P

tangui Godlike Member

tangui

Posté(e)
  • Auteur
Posté(e)

Alors, pour Look2Me:

Look2Me-Destroyer V1.0.5

 

Scanning for infected files.....

Scan started at 16/02/2006 19:59:13

 

Infected! C:\WINDOWS\system32\ir4ml5h11.dll

Infected! C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP192\A0117866.dll

Infected! C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP192\A0117874.dll

Infected! C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0117885.dll

Infected! C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0117886.dll

Infected! C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0118995.dll

Infected! C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0119009.dll

Infected! C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0119017.dll

Infected! C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0119018.dll

Infected! C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0119025.dll

Infected! C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0119031.dll

Infected! C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0119032.dll

Infected! C:\WINDOWS\system32\ir4ml5h11.dll

Infected! C:\WINDOWS\system32\k0lq0a35ed.dll

Infected! C:\WINDOWS\system32\k0pmla711d.dll

Infected! C:\WINDOWS\system32\lv6009jme.dll

Infected! C:\WINDOWS\system32\lvno0953e.dll

Infected! C:\WINDOWS\system32\mfyuv.dll

Infected! C:\WINDOWS\system32\s0rs0a97ed.dll

 

Attempting to delete infected files...

 

Attempting to delete: C:\WINDOWS\system32\ir4ml5h11.dll

C:\WINDOWS\system32\ir4ml5h11.dll Deleted successfully!

 

Attempting to delete: C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP192\A0117866.dll

C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP192\A0117866.dll Deleted successfully!

 

Attempting to delete: C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP192\A0117874.dll

C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP192\A0117874.dll Deleted successfully!

 

Attempting to delete: C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0117885.dll

C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0117885.dll Deleted successfully!

 

Attempting to delete: C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0117886.dll

C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0117886.dll Deleted successfully!

 

Attempting to delete: C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0118995.dll

C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0118995.dll Deleted successfully!

 

Attempting to delete: C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0119009.dll

C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0119009.dll Deleted successfully!

 

Attempting to delete: C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0119017.dll

C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0119017.dll Deleted successfully!

 

Attempting to delete: C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0119018.dll

C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0119018.dll Deleted successfully!

 

Attempting to delete: C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0119025.dll

C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0119025.dll Deleted successfully!

 

Attempting to delete: C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0119031.dll

C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0119031.dll Deleted successfully!

 

Attempting to delete: C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0119032.dll

C:\System Volume Information\_restore{59338F0B-D70C-46F1-8091-3B4D3594CF65}\RP193\A0119032.dll Deleted successfully!

 

Attempting to delete: C:\WINDOWS\system32\ir4ml5h11.dll

C:\WINDOWS\system32\ir4ml5h11.dll Deleted successfully!

 

Attempting to delete: C:\WINDOWS\system32\k0lq0a35ed.dll

C:\WINDOWS\system32\k0lq0a35ed.dll Deleted successfully!

 

Attempting to delete: C:\WINDOWS\system32\k0pmla711d.dll

C:\WINDOWS\system32\k0pmla711d.dll Deleted successfully!

 

Attempting to delete: C:\WINDOWS\system32\lv6009jme.dll

C:\WINDOWS\system32\lv6009jme.dll Deleted successfully!

 

Attempting to delete: C:\WINDOWS\system32\lvno0953e.dll

C:\WINDOWS\system32\lvno0953e.dll Deleted successfully!

 

Attempting to delete: C:\WINDOWS\system32\mfyuv.dll

C:\WINDOWS\system32\mfyuv.dll Deleted successfully!

 

Attempting to delete: C:\WINDOWS\system32\s0rs0a97ed.dll

C:\WINDOWS\system32\s0rs0a97ed.dll Deleted successfully!

 

Making registry repairs.

 

Removing: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\Uninstall

 

Removing: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved "{BBCE7A0D-F08F-46ED-9177-EFEDFD0B5C13}"

HKCR\Clsid\{BBCE7A0D-F08F-46ED-9177-EFEDFD0B5C13}

 

Removing: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved "{35AA8226-B7E2-45D2-A5F3-0C49D1592F86}"

HKCR\Clsid\{35AA8226-B7E2-45D2-A5F3-0C49D1592F86}

 

Removing: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved "{CF9B94A2-BA00-4DEA-9760-3C8D8F80D3C4}"

HKCR\Clsid\{CF9B94A2-BA00-4DEA-9760-3C8D8F80D3C4}

 

Removing: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved "{3F59A976-30A6-4616-B836-D284237CBF6A}"

HKCR\Clsid\{3F59A976-30A6-4616-B836-D284237CBF6A}

 

Removing: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved "{FA162BAC-E00D-4617-BC04-D725863E8F02}"

HKCR\Clsid\{FA162BAC-E00D-4617-BC04-D725863E8F02}

 

Restoring Windows certificates.

 

Replaced hosts file with default windows hosts file

 

 

Restoring SeDebugPrivilege for Administrateurs - Succeeded

 

 

et pour hijack:

 

Logfile of HijackThis v1.99.1

Scan saved at 20:12:48, on 02/16/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\S3hotkey.exe

C:\WINDOWS\system32\S3tray2.exe

C:\WINDOWS\soundman.exe

C:\Program Files\D-Tools\daemon.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe

C:\Program Files\Kerio\Personal Firewall\persfw.exe

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Documents and Settings\Utilisateur\Bureau\HijackThis.exe

 

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.neuf.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O4 - HKLM\..\Run: [s3hotkey] S3hotkey.exe

O4 - HKLM\..\Run: [s3TRAY2] S3tray2.exe

O4 - HKLM\..\Run: [soundMan] soundman.exe

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKCU\..\Run: [f0s8RWbnh] dmiskrnl.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

O9 - Extra button: MoneySide - {E023F504-0C5A-4750-A1E7-A9046DEA8A21} - C:\WINDOWS\System32\shdocvw.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111...all/xscan53.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{07C71CA6-9FDB-43E5-AA09-40752CE72DA9}: NameServer = 212.27.32.176,212.27.32.177

O17 - HKLM\System\CS1\Services\Tcpip\..\{07C71CA6-9FDB-43E5-AA09-40752CE72DA9}: NameServer = 212.27.32.176,212.27.32.177

O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Kerio Personal Firewall (PersFw) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall\persfw.exe

O23 - Service: Security Agent (scagent) - Unknown owner - C:\WINDOWS\system32\scagent.exe" start (file missing)

O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

 

 

ca m'a l'air beaucoup mieux :P

 

tiens, c'est quoi ce truc?

O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

Ah c'est bon, rien de grave:

Description:

slserv.exe is installed alongside Smartlink communication products and offers additional support to the modem service. This program is a non-essential process, but should not be terminated unless suspected to be causing problems.

Invité Stonangel

Invité Stonangel

Posté(e)
Posté(e) (modifié)

Bonsoir tangui :P,

 

Déplace HijackThis dans un répertoire dédié, de préférence pas sur le bureau.

 

Télécharge EasyCleaner de Toni Helenius

http://personal.inet.fi/business/toniarts/ecleane.htm

 

Démarre en mode sans échec (F8 ou F5)

 

Assure toi d'avoir accès à tous les fichiers.

 

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

 

Démarre HijackThis Do a system scan only, assure toi que la case Make Backups before fixing items est activée et coche la ligne suivante:

 

O4 - HKCU\..\Run: [f0s8RWbnh] dmiskrnl.exe

 

Ferme toutes les fenêtres, tous les programmes et clique sur Fix checked

 

Supprime le fichier incriminé (s'il existe encore):

 

dmiskrnl.exe< localisation probable System32

 

Recache les fichiers système afin de ne pas faire d'erreur à l'avenir en sélectionnant ne pas afficher les fichiers cachés ou les fichiers système.

 

Exécute EasyCleaner Inutiles et Registre seulement. Ne pas toucher à la fonction doublons.

 

Redémarre normalement et poste un nouveau rapport HijackThis pour vérification.

Modifié par Stonangel
bruce lee Devil Member !

bruce lee

Posté(e)
Posté(e) (modifié)

bonsoir a tous et a toutes.

Qc001,

quand il y a une infection par look2me faut il mieux utiliser ton lien ou on peut encore faire utiliser L2mfix de Shadowwar?

merci de me repondre des que tu as un moment

Modifié par bruce lee
Mark Godlike Member

Mark

Posté(e)
Posté(e)

Salut Bruce, Stonangel :P , Tangui, bonsoir à tous/toutes ;

 

Bruce : question plus que pertinente... et je suis un peu déchiré ! Les deux outils sont excellents. L2MFix semble ramer un peu avec logs multi-infectés ces jours-ci, et nécessite deux posts pour le nettoyage. L'outil d'Atri se lance et nettoie en un seul post, et c'est pour cette raison que je l'ai prescrit ici, car Tangui ne fait pas les manips sur sa propre bécane, donc faut que ce soit "rapide". Tu peux donc choisir ton outil Bruce :P

Rejoindre la conversation

Vous pouvez publier maintenant et vous inscrire plus tard. Si vous avez un compte, connectez-vous maintenant pour publier avec votre compte.
Remarque : votre message nécessitera l’approbation d’un modérateur avant de pouvoir être visible.

Invité
Répondre à ce sujet…

×   Collé en tant que texte enrichi.   Coller en tant que texte brut à la place

  Seulement 75 émoticônes maximum sont autorisées.

×   Votre lien a été automatiquement intégré.   Afficher plutôt comme un lien

×   Votre contenu précédent a été rétabli.   Vider l’éditeur

×   Vous ne pouvez pas directement coller des images. Envoyez-les depuis votre ordinateur ou insérez-les depuis une URL.

×
 Partager
Aller sur la liste des sujets

  • En ligne récemment   0 membre est en ligne

    • Aucun utilisateur enregistré regarde cette page.
×
×
  • Créer...