Résolu : Dossier qui s'ouvre au démarrage

ipl_001 · le 24 février 2006

Bonsoir Nat01, regis56, bonsoir à tous,

... Puis-je lancer la procédure proposée par Regis 56 ?

Oui ! pas de problème !

Nat01 · le 24 février 2006

OK. Merci.

Voici le rapport de Smitfraudfix :

SmitFraudFix v2.21

Rapport fait à 0:21:55,31 le sam. 25/02/2006

Executé à partir de H:\Logiciels\Optimisation et diagnostics\SmitfraudFix\SmitfraudFix\SmitfraudFix

OS: Microsoft Windows 2000 [Version 5.00.2195]

»»»»»»»»»»»»»»»»»»»»»»»» Recherche D:\

»»»»»»»»»»»»»»»»»»»»»»»» Recherche D:\WINNT

»»»»»»»»»»»»»»»»»»»»»»»» Recherche D:\WINNT\system

»»»»»»»»»»»»»»»»»»»»»»»» Recherche D:\WINNT\Web

»»»»»»»»»»»»»»»»»»»»»»»» Recherche D:\WINNT\system32

»»»»»»»»»»»»»»»»»»»»»»»» Recherche ...\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Recherche Menu Démarrer

»»»»»»»»»»»»»»»»»»»»»»»» Recherche Bureau

»»»»»»»»»»»»»»»»»»»»»»»» Recherche D:\Program Files

»»»»»»»»»»»»»»»»»»»»»»»» Recherche présence de clés corrompues

»»»»»»»»»»»»»»»»»»»»»»»» Recherche éléments du bureau

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]

"Source"="About:Home"

"SubscribedURL"="About:Home"

"FriendlyName"="Ma page d'accueil"

»»»»»»»»»»»»»»»»»»»»»»»» Recherche Sharedtaskscheduler

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]

"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Pré-chargeur Browseui"

[HKEY_CLASSES_ROOT\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]

@="%SystemRoot%\System32\browseui.dll"

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]

@="%SystemRoot%\System32\browseui.dll"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]

"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Démon de cache des catégories de composant"

[HKEY_CLASSES_ROOT\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]

@="%SystemRoot%\System32\browseui.dll"

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]

@="%SystemRoot%\System32\browseui.dll"

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport

Je continue la suite des opérations.

Je poste dès que disponible.

Nat.

regis56 · le 24 février 2006

Re

Merci ipl 001 d'avoir pris le temps de regarder ma procédure !

Bonne soirée moi je vais faire dodo !

Thanos · le 24 février 2006

Bonne idée de did71 ! Quelques rectifications et remarques à faire pour regis56 :-P :

Pour regis56

- Ou vois tu la présence de smitfraud sur le rapport?Ceci dit tu ne lance que l'option n°1 qui fait uniquement un scan du pc, donc pas de soucis!

-

-C:\WINDOWS\System32\
Si des fichiers portant l'extension .dll et .exe dans la liste paraissent louchent ou inconnus mettre les noms et le chemin dans la prochaine réponse

Peu de personnes seront capables de te dire ce qui est louche ou non! certains fichiers portent des noms vraiment bizarres parfois

Rechercher et supprimer le(s) fichier(s) en gras suivant(s) si présent(s):

CTXFIHLP.EXE

CTXFISPI.EXE

Voilà ce qu'on dit de ces fichiers => http://www.help2go.com/Tutorials/Running_P...able_it%3F.html

ctxfihlp.exe is a process that many Windows users have recently found running on their system. What is it? Can it be disabled?

ctxfihlp.exe is usually added by the installation of a Creative Labs X-Fi sound card. This particular process provides the help functionality for your card.

Ces processus installés par la carte son X-Fi de Creative sont je pense légitime! d'ailleurs si tu regardes plus haut sur le rapport hjt tu vois ceci:

H:\Logiciels installés\Creative XFi\DVDAudio

Cequi vient confirmer :-(

- Le fichier svxhost.exe a éliminer doit certainement se trouver dans D:\WINNT\System32 ou D:\WINNT\ les 3/4 du temps , sinon utiliser la fonction rechercher de windows comme tu l'as dit!

Ouvrir les dossiers :

-C:\Program Files....

C:\WINDOWS\System32

(Cliquer affichage/détails classer la liste par ordre de date décroissante en cliquant sur date de modification puis rechercher dans les fichiers les plus récents environ 2-3 dernières semaines !)

Fais gaffe à adapter ton discours selon les circonstances il n'y a pas de partition C: dans le dd de Nat01,

la partition principale est D.(et H pour les logiciels)

Par contre ce service est douteux, je ne suis pas du tout sûr qu'il soit lié à Ewido:

O23 - Service: Defragmentation Management Handler (FAT Defragmentation) - ewido networks - (no file)

celui qui est légitime est celui ci =>

O23 - Service: ewido security suite control - ewido networks - H:\Logiciels installés\Ewido\ewido anti-malware\ewidoctrl.exe

Une remarque pour Nat01: tu as deux antivirus, désinstalle en un car c'est source de plantage!

D:\DOCUME~1\Philippe\LOCALS~1\Temp\ARCB\HijackThis.exe

Nat01, tu ne dois pas installer hijackthis dans un répertoire temporaire!désinstalle le et met le dans

C:\Program Files par exemple.(sinon tu ne bénéficiera pas des sauvegardes) .

Voilà j'espère ne pas avoir été trop long

Modifié le 24 février 2006 par charles ingals

Nat01 · le 25 février 2006

Bonsoir.

Merci.

Pour Hijack, j'ai corrigé et je l'ai mis dans un fichier non temporaire.

Par contre, j'ai eu pas mal de soucis en mode sans échec :

- pas de logiciel AdobeReaderPro ; j'ai essayé de désinstaller adobe reader 7 mais impossible

- lors du fix checked avec Hijackthis, plusieurs messages d'erreur

- zebrestore : je n'ai pas trouvé le bouton restaurer !

Voici le nouveau rapport Hijackthis :

Logfile of HijackThis v1.99.1

Scan saved at 00:54:12, on 25/02/2006

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

D:\WINNT\System32\smss.exe

D:\WINNT\system32\csrss.exe

D:\WINNT\system32\winlogon.exe

D:\WINNT\system32\services.exe

D:\WINNT\system32\lsass.exe

D:\WINNT\system32\Ati2evxx.exe

D:\WINNT\system32\svchost.exe

D:\WINNT\System32\svchost.exe

D:\WINNT\system32\spoolsv.exe

D:\Program Files\AntiVir PersonalEdition Classic\sched.exe

D:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

H:\LOGICI~1\AVG\avgamsvr.exe

H:\LOGICI~1\AVG\avgupsvc.exe

H:\Logiciels installés\Ewido\ewido anti-malware\ewidoctrl.exe

D:\WINNT\system32\regsvc.exe

D:\WINNT\system32\MSTask.exe

D:\WINNT\system32\stisvc.exe

D:\WINNT\system32\ZoneLabs\vsmon.exe

D:\WINNT\System32\WBEM\WinMgmt.exe

D:\WINNT\system32\svchost.exe

D:\WINNT\system32\Ati2evxx.exe

D:\WINNT\Explorer.EXE

H:\Logiciels installés\Creative XFi\DVDAudio\CTDVDDET.EXE

D:\Program Files\Creative\Shared Files\Module Loader\DLLML.exe

H:\Logiciels installés\Creative XFi\Volume Panel\VolPanel.exe

D:\WINNT\CTHELPER.EXE

D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

H:\LOGICI~1\AVG\avgcc.exe

H:\LOGICI~1\AVG\avgemc.exe

D:\Program Files\ATI Technologies\ATI.ACE\cli.exe

D:\WINNT\SOUNDMAN.EXE

H:\LOGICI~1\WINPAT~1\winpatrol.exe

H:\Logiciels installés\Microsoft AntiSpyware\gcasServ.exe

H:\Logiciels installés\Microsoft AntiSpyware\gcasDtServ.exe

D:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

H:\Logiciels installés\a-squared\a-squared\a2guard.exe

H:\Logiciels installés\Ultrabackup\bin\ubtray.exe

D:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

D:\Program Files\ATI Technologies\ATI.ACE\cli.exe

H:\Logiciels\Optimisation et diagnostics\HijackThis\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.lemonde.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.free.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - H:\Logiciels installés\Adobe Acrobat Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: SpywareGuard Download Protection - {4A368E80-174F-4872-96B5-0B27DDD11DB2} - H:\Logiciels installés\SpywareGuard\dlprotect.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - H:\LOGICI~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - d:\program files\google\googletoolbar1.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINNT\system32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - d:\program files\google\googletoolbar1.dll

O4 - HKLM\..\Run: [synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [CTDVDDET] "H:\Logiciels installés\Creative XFi\DVDAudio\CTDVDDET.EXE"

O4 - HKLM\..\Run: [RCSystem] "D:\Program Files\Creative\Shared Files\Module Loader\DLLML.exe" RCSystem * -Startup

O4 - HKLM\..\Run: [AudioDrvEmulator] "D:\Program Files\Creative\Shared Files\Module Loader\DLLML.exe" -1 AudioDrvEmulator "D:\Program Files\Creative\Shared Files\Module Loader\Audio Emulator\AudDrvEm.dll"

O4 - HKLM\..\Run: [VolPanel] "H:\Logiciels installés\Creative XFi\Volume Panel\VolPanel.exe" /r

O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE

O4 - HKLM\..\Run: [updReg] D:\WINNT\UpdReg.EXE

O4 - HKLM\..\Run: [WinampAgent] H:\Logiciels installés\Winamp\winampa.exe

O4 - HKLM\..\Run: [Zone Labs Client] D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKLM\..\Run: [AVG7_CC] H:\LOGICI~1\AVG\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [AVG7_EMC] H:\LOGICI~1\AVG\avgemc.exe

O4 - HKLM\..\Run: [ATICCC] "D:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [NeroFilterCheck] D:\WINNT\system32\NeroCheck.exe

O4 - HKLM\..\Run: [WinPatrol] H:\LOGICI~1\WINPAT~1\winpatrol.exe

O4 - HKLM\..\Run: [zSPGuard] h:\logiciels installés\spguard\spguard.exe /s

O4 - HKLM\..\Run: [TrojanScanner] H:\Logiciels installés\Trojan Remover\Trjscan.exe

O4 - HKLM\..\Run: [gcasServ] "H:\Logiciels installés\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKLM\..\Run: [avgnt] "D:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\RunServices: [AdobeReaderPro] svxhost.exe

O4 - HKCU\..\Run: [Cld2000.exe] H:\Logiciels installés\Calendrier\Cld2000.exe

O4 - HKCU\..\Run: [a-squared] "H:\Logiciels installés\a-squared\a-squared\a2guard.exe"

O4 - HKCU\..\Run: [ub4TrayApp] "H:\Logiciels installés\Ultrabackup\bin\ubtray.exe" /start

O4 - HKCU\..\Run: [LDM] H:\Logiciels installés\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe

O4 - Global Startup: Adobe Gamma.lnk = D:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: DSLMON.lnk = D:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O4 - Global Startup: Microsoft Office.lnk = ?

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O8 - Extra context menu item: &Google Search - res://D:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: &Translate English Word - res://D:\Program Files\Google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: Backward Links - res://D:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Cached Snapshot of Page - res://D:\Program Files\Google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: Similar Pages - res://D:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Translate Page into English - res://D:\Program Files\Google\GoogleToolbar1.dll/cmtrans.html

O14 - IERESET.INF: START_PAGE_URL=http://home.free.fr/

O23 - Service: Adobe LM Service - Adobe Systems - D:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - D:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - H+BEDV Datentechnik GmbH - D:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - D:\WINNT\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - D:\WINNT\system32\ati2sgag.exe

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - H:\LOGICI~1\AVG\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - H:\LOGICI~1\AVG\avgupsvc.exe

O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - D:\WINNT\System32\dmadmin.exe

O23 - Service: ewido security suite control - ewido networks - H:\Logiciels installés\Ewido\ewido anti-malware\ewidoctrl.exe

O23 - Service: Defragmentation Management Handler (FAT Defragmentation) - ewido networks - (no file)

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - D:\WINNT\system32\ZoneLabs\vsmon.exe

Le PC présente toujours le même problème (affichage dossier H:\logiciel au démarrage).

Je lance un scan bitdefender.

Je poste le rapport dès que disponible (compter 45 minutes probablement vu la taille des disques à scanner.

Merci.

Nat.

Thanos · le 25 février 2006

re

Est ce que tu as pris en compte mes remarques?

ne pas éliminer ces fichiers:

CTXFIHLP.EXE

CTXFISPI.EXE

Ces processus installés par la carte son X-Fi de Creative sont je pense légitime! d'ailleurs si tu regardes plus haut sur le rapport hjt tu vois ceci:

H:\Logiciels installés\Creative XFi\DVDAudio

Par contre as tu éliminé ce fichier :svxhost.exe ?

- pas de logiciel AdobeReaderPro ; j'ai essayé de désinstaller adobe reader 7 mais impossible

N'élimine pas adobe reader 7!! il est légitime! l'infection prend parfois des noms de vrais logiciels pour tromper

l'internaute:AdobeReaderPro(ce logiciel ne figure pas dans tes dossiers ni dans "panneau de configuration"=>/ajout suppression de programmes , c'est juste un nom !)

- zebrestore : je n'ai pas trouvé le bouton restaurer !

Ca a pourtant fonctionné visiblement car les lignes 015 ont disparues! pour être sûr, tu va utiliser un autre tool:

"DelDomains"

- lors du fix checked avec Hijackthis, plusieurs messages d'erreur

Quels messages?

Modifié le 25 février 2006 par charles ingals

Nat01 · le 25 février 2006

Bonjour.

Voici le rapport de Bit defender :

BitDefender Online Scanner - Real Time Virus Report

Generated at: Sat, Feb 25, 2006 - 08:08:09

--------------------------------------------------------------------------------

Scan Info

Scanned Files

833580

Infected Files

49

Virus Detected

Exploit.Iframe.Vulnerability

10

Win32.Sober.Y@mm

39

--------------------------------------------------------------------------------

This summary of the scan process will be used by the BitDefender Antivirus Lab to create agregate statistics about virus activity around the world.

Nat.

Nat01 · le 25 février 2006

Bonjour.

Non, désolé Charles Ingals, IPL 001 avait validé la procédure alors j'ai lancé.

Pour répondre à tes questions :

- CTXFIHLP.EXE et CTXFISPI.EXE ont été éliminés

- svxhost.exe a été éliminé

- je n'ai pas éliminé Adobe Reader 7

- les messages de HiJackTHis lors du fix checked étaient du type "Error 92 - Fix error"

J'essaie DelDomains et je reposte un rapport HiJackThis.

Nat.

Nat01 · le 25 février 2006

Bonjour.

J'ai lancé DelDomains sans problèmes ; voici le nouveau rapport de HiJackThis :

Logfile of HijackThis v1.99.1

Scan saved at 09:47:04, on 25/02/2006

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

D:\WINNT\System32\smss.exe

D:\WINNT\system32\csrss.exe

D:\WINNT\system32\winlogon.exe

D:\WINNT\system32\services.exe

D:\WINNT\system32\lsass.exe

D:\WINNT\system32\Ati2evxx.exe

D:\WINNT\system32\svchost.exe

D:\WINNT\System32\svchost.exe

D:\WINNT\system32\spoolsv.exe

H:\LOGICI~1\AVG\avgamsvr.exe

H:\LOGICI~1\AVG\avgupsvc.exe

H:\Logiciels installés\Ewido\ewido anti-malware\ewidoctrl.exe

D:\WINNT\system32\regsvc.exe

D:\WINNT\system32\MSTask.exe

D:\WINNT\system32\stisvc.exe

D:\WINNT\system32\ZoneLabs\vsmon.exe

D:\WINNT\System32\WBEM\WinMgmt.exe

D:\WINNT\system32\svchost.exe

D:\WINNT\system32\Ati2evxx.exe

D:\WINNT\Explorer.EXE

H:\Logiciels installés\Creative XFi\DVDAudio\CTDVDDET.EXE

D:\Program Files\Creative\Shared Files\Module Loader\DLLML.exe

H:\Logiciels installés\Creative XFi\Volume Panel\VolPanel.exe

D:\WINNT\CTHELPER.EXE

D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

H:\LOGICI~1\AVG\avgcc.exe

H:\LOGICI~1\AVG\avgemc.exe

D:\Program Files\ATI Technologies\ATI.ACE\cli.exe

D:\WINNT\SOUNDMAN.EXE

H:\LOGICI~1\WINPAT~1\winpatrol.exe

H:\Logiciels installés\Microsoft AntiSpyware\gcasServ.exe

H:\Logiciels installés\Microsoft AntiSpyware\gcasDtServ.exe

H:\Logiciels installés\a-squared\a-squared\a2guard.exe

H:\Logiciels installés\Ultrabackup\bin\ubtray.exe

D:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

D:\Program Files\ATI Technologies\ATI.ACE\cli.exe

H:\Logiciels installés\Marathon\Maxthon\Maxthon.exe