svchost.exe = virus ?

Thanos · le 8 mars 2006

re liline33,

étonnant que L2Mfix n'ait pas fonctionné!! On va utiliser celui ci qui fera le boulot=>

Prière d'imprimer ces instructions, ou de les coller dans un fichier texte, pour lecture durant ce fix. Regarde bien les trois petites notes au bas, avant de débuter.

Télécharge Look2Me-Destroyer.exe (par Atribune) sur ton Bureau.

Ferme toutes les fenêtres actives avant de passer à l'étape suivante.
Double-clique Look2Me-Destroyer.exe afin de lancer l'outil.
Coche Run this program as a task
Un message s'affichera, te disant ceci : "Look2Me-Destroyer will close and re-open in approximately 10 seconds". Clique OK
Il se relancera après les 10 secondes, puis clique sur le bouton Scan for L2M; les icônes de ton Bureau vont disparaître : c'est normal.
Lorsque le scan termine, clique sur le bouton Remove L2M
Un message Done Scanning apparaîtra, clique OK.
Un nouveau message s'affichera : Done removing infected files! Look2Me-Destroyer will now shutdown your computer; clique OK.
Ton PC va maintenant s'éteindre.
Démarre ton PC normalement.
Colle le rapport généré, situé ici : C:\Look2Me-Destroyer.txt , ainsi qu'un nouveau rapport HijackThis! dans ta prochaine réponse.

*Si Look2Me-Destroyer ne se relance pas automatiquement après les 10 secondes, redémarre et essaie à nouveau.

**Si tu reçois un message de ton parefeu que l'outil tente d'accéder à l'internet : accepte.

***Si un message runtime error '339' s'affiche : télécharge MSWINSCK.OCX du lien ci-bas, et place-le dans le dossier C:\Windows\System32.

http://www.ascentive.com/support/new/images/lib/MSWINSCK.OCX

Dis moi si ca marche

Modifié le 8 mars 2006 par charles ingals

Liline33 · le 8 mars 2006

Re

Dis moi si ca marche

Oui, cette fois ca a marché.

Le rapport est le suivant :

*---------------------------------------------------------------------------------------------------------------*

Look2Me-Destroyer V1.0.7

Scanning for infected files.....

Scan started at 08/03/2006 22:20:11

Infected! C:\WINDOWS\system32\m6lslg3716.dll

Infected! C:\WINDOWS\system32\dgloader.dll

Infected! C:\WINDOWS\system32\enlul1391.dll

Infected! C:\WINDOWS\system32\irn2l55o1.dll

Infected! C:\WINDOWS\system32\m6lslg3716.dll

Infected! C:\WINDOWS\system32\mkdocs.dll

Infected! C:\WINDOWS\system32\n6p4lg7q16.dll

Infected! C:\WINDOWS\system32\p0r4la9q1d.dll

Infected! C:\WINDOWS\system32\soesrv.dll

Infected! C:\WINDOWS\system32\guard.tmp

Attempting to delete infected files...

Attempting to delete: C:\WINDOWS\system32\m6lslg3716.dll

C:\WINDOWS\system32\m6lslg3716.dll Deleted successfully!

Attempting to delete: C:\WINDOWS\system32\dgloader.dll

C:\WINDOWS\system32\dgloader.dll Deleted successfully!

Attempting to delete: C:\WINDOWS\system32\enlul1391.dll

C:\WINDOWS\system32\enlul1391.dll Deleted successfully!

Attempting to delete: C:\WINDOWS\system32\irn2l55o1.dll

C:\WINDOWS\system32\irn2l55o1.dll Deleted successfully!

Attempting to delete: C:\WINDOWS\system32\m6lslg3716.dll

C:\WINDOWS\system32\m6lslg3716.dll Deleted successfully!

Attempting to delete: C:\WINDOWS\system32\mkdocs.dll

C:\WINDOWS\system32\mkdocs.dll Deleted successfully!

Attempting to delete: C:\WINDOWS\system32\n6p4lg7q16.dll

C:\WINDOWS\system32\n6p4lg7q16.dll Deleted successfully!

Attempting to delete: C:\WINDOWS\system32\p0r4la9q1d.dll

C:\WINDOWS\system32\p0r4la9q1d.dll Deleted successfully!

Attempting to delete: C:\WINDOWS\system32\soesrv.dll

C:\WINDOWS\system32\soesrv.dll Deleted successfully!

Attempting to delete: C:\WINDOWS\system32\guard.tmp

C:\WINDOWS\system32\guard.tmp Deleted successfully!

Making registry repairs.

Removing: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\URL

Removing: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved "{FBA0E1FB-CB94-4822-8A34-5F1A5206E362}"

HKCR\Clsid\{FBA0E1FB-CB94-4822-8A34-5F1A5206E362}

Removing: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved "{042CCCB9-6CB0-4BAF-826C-E2218B4D7FE7}"

HKCR\Clsid\{042CCCB9-6CB0-4BAF-826C-E2218B4D7FE7}

Removing: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved "{F609B05B-0014-4E27-8122-765DA765DFF6}"

HKCR\Clsid\{F609B05B-0014-4E27-8122-765DA765DFF6}

Removing: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved "{C4785446-7B17-46F5-9F7D-8C17F39B7A6C}"

HKCR\Clsid\{C4785446-7B17-46F5-9F7D-8C17F39B7A6C}

Removing: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved "{23640CDF-24A8-4BFA-A522-9D7781616122}"

HKCR\Clsid\{23640CDF-24A8-4BFA-A522-9D7781616122}

Restoring Windows certificates.

Replaced hosts file with default windows hosts file

Restoring SeDebugPrivilege for Administrateurs - Succeeded

*---------------------------------------------------------------------------------------------------------------*

et celui de HiJackThis :

*---------------------------------------------------------------------------------------------------------------*

Logfile of HijackThis v1.99.1

Scan saved at 22:30:30, on 08/03/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Winamp\winampa.exe

C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

C:\Program Files\Elaborate Bytes\CloneCD\CloneCDTray.exe

C:\Program Files\D-Tools\daemon.exe

C:\Program Files\Fichiers communs\ACD Systems\EN\DevDetect.exe

C:\mousepad1.exe

C:\Program Files\Network\ipnetwork.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Microsoft Money\System\mnyexpr.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\PROGRA~1\FICHIE~1\MICROS~1\Msinfo\OFFPROV.EXE

C:\Program Files\Anti-Virus\Diagnostique\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://searchbar.findthewebsiteyouneed.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://searchbar.findthewebsiteyouneed.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://searchbar.findthewebsiteyouneed.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.google.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O4 - HKLM\..\Run: [PMXInit] C:\WINDOWS\system32\pmxinit.exe

O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Program Files\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL

O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\Elaborate Bytes\CloneCD\CloneCDTray.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [Device Detector] DevDetect.exe -autorun

O4 - HKLM\..\Run: [keyboard] C:\\keyboard1.exe

O4 - HKLM\..\Run: [mousepad] C:\\mousepad1.exe

O4 - HKLM\..\Run: [gimmysmileys] C:\\gimmysmileys1.exe

O4 - HKLM\..\Run: [ipNetwork] C:\Program Files\Network\ipnetwork.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKCU\..\Run: [MoneyAgent] "C:\Program Files\Microsoft Money\System\mnyexpr.exe"

O4 - Global Startup: Action Manager 32.lnk = C:\Program Files\ScannerU\AM32.exe

O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra button: MoneySide - {E023F504-0C5A-4750-A1E7-A9046DEA8A21} - C:\Program Files\Microsoft Money\System\mnyside.dll

O16 - DPF: {42F2C9BA-614F-47C0-B3E3-ECFD34EED658} - http://promo.dollarrevenue.com/webmasterex...artload464a.exe

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = home.local

O17 - HKLM\Software\..\Telephony: DomainName = home.local

O17 - HKLM\System\CCS\Services\Tcpip\..\{E6585767-1790-49A7-96B5-DEA9011FCACB}: Domain = home.local

O17 - HKLM\System\CCS\Services\Tcpip\..\{E6585767-1790-49A7-96B5-DEA9011FCACB}: NameServer = 192.168.0.10,212.27.32.176

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = home.local

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = home.local

O17 - HKLM\System\CS3\Services\Tcpip\Parameters: Domain = home.local

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

*---------------------------------------------------------------------------------------------------------------*

Thanos · le 8 mars 2006

tres bien Liline33! je lance une analyse pour le reste

Réponse dans une vingtaine de minutes! Ton pc fait il partie d'un réseau?

Modifié le 8 mars 2006 par charles ingals

Liline33 · le 8 mars 2006

Il en a fait parti, jusqu'à il y a 1 semaine, mais plus maintenant. Il en reste surement des traces.

Bonne analyse

Thanos · le 8 mars 2006

Désolé pour la lenteur de ma réponse Liline33

-Télécharge EasyCleaner de Toni Helenius(installe le dans son dossier)

-Télécharge : Killbox d'Option^Explicit

met le dans un dossier.

-Créé un fichier Bloc Notes avec le texte qui se trouve dans l'espace "code" ci-dessous (copie/colle, sans le mot "Code"=>Attention pas de ligne vierge avant REGEDIT4 ) :

REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"keyboard"=-
"mousepad"=-
"gimmysmileys"=-

-Enregistrer ce fichier dans : Bureau

-Nom du fichier : remove.reg

-Type : tous les fichiers

-cliquer sur Enregistrer

-quitter le Bloc Notes: ne clique pas sur le fichier maintenant!

-Redémarre le PC, impérativement en mode sans échec,(n'ayant pas accès à Internet, tu as préalablement copié ces instructions dans un fichier texte)

en cas de problème pour sélectionner le mode sans échec, appliquer la procédure de Symantec "Comment démarrer l'ordinateur en mode sans échec" http://service1.symantec.com/support/inter...020905112131924

Assure toi d'avoir accès à tous les fichiers,certains fichiers/dossiers sont cachés!!

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

Démarre Hijackthis"Do a system scan only", et coche les lignes suivantes :

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://searchbar.findthewebsiteyouneed.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://searchbar.findthewebsiteyouneed.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://searchbar.findthewebsiteyouneed.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O4 - HKLM\..\Run: [keyboard] C:\\keyboard1.exe

O4 - HKLM\..\Run: [mousepad] C:\\mousepad1.exe

O4 - HKLM\..\Run: [gimmysmileys] C:\\gimmysmileys1.exe

O4 - HKLM\..\Run: [ipNetwork] C:\Program Files\Network\ipnetwork.exe

O16 - DPF: {42F2C9BA-614F-47C0-B3E3-ECFD34EED658} - http://promo.dollarrevenue.com/webmasterex...artload464a.exe

-Ferme tous les programmes et clique sur "Fix Checked"

-Clique sur le fichier remove.reg pour qu'il s'exécute.Un message te demandera la fusion,accepte.Elimine le fichier reg.

*Ouvre Killbox et dans la fenêtre tu as un champ à complêter:"Full Path Of File To Delete" ,copie/colle ceci:

C:\keyboard1.exe

-Assure toi que la case "Delete on Reboot" soit cochée.

-Cliquer sur la croix blanche sur fond rouge:

« File will be Deleted on Next Reboot » répondre OUI

« File will be Removed on Reboot, Do you want to reboot now ? » répondre NON

Ainsi de suite tu entres les chemins de tout les fichiers=>

C:\mousepad1.exe

C:\gimmysmileys1.exe

C:\Program Files\Network\ipnetwork.exe

à la fin:

« will be Deleted on Next Reboot » Répondre OUI

« File will be Removed on Reboot, Do you want to reboot now ? » Répondre OUI

Le PC va redémarrer et supprimer le fichier de la liste.

-Exécute EasyCleaner Registre et Inutiles.Ne pas toucher à la fonction doublons. Supprime tout ce qu'il te propose.

*Remarque:

-Dans "Inutiles", coche les cases suivantes=>"Normal Types" - "Temp Directories" - "Temp Internet Files" - "Browser Cookies" puis clique sur "Find".Lorsque le scan est terminé,clique sur "Delete all".

poste un nouveau rapport Hijackthis(en mode normal) pour vérification.

Bon courage

Liline33 · le 8 mars 2006

Je fais tout cela et je te tiendrai au courant demain soir.

Dans un premier temps je vais aller préparer ma journée de demain, sinon l'embauche va être dure :

Bonne nuit et encore merci beaucoup pour tous ces services

Thanos · le 8 mars 2006

ok passe une bonne nuit et prend ton temps pour faire la procédure, on sera là pour te guider

Modifié le 8 mars 2006 par charles ingals

Liline33 · le 9 mars 2006

Bonsoir;

j'ai fait les manipulations que vous m'aviez demandé, et voici le résultat.

Qu'est-ce que ca donne selon vous ?

*--------------------------------------------------------------------------------------------------------------------------*

Logfile of HijackThis v1.99.1

Scan saved at 22:25:24, on 09/03/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Winamp\winampa.exe

C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

C:\Program Files\Elaborate Bytes\CloneCD\CloneCDTray.exe

C:\Program Files\D-Tools\daemon.exe

C:\Program Files\Fichiers communs\ACD Systems\EN\DevDetect.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Microsoft Money\System\mnyexpr.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE