ADW NAVIPROMO.B

[pioukaya]

Bonjour,

ok j'ai suivi à la lettre tes consignes

j'ai bien lu et imprimé d'ailleurs les conseils de Régis auquel j'ai répondu...

Gof me dit qu'il ne faut pas installer 2 pare-feux donc je desactive celui de windows et je garde celui de microtrend.. je ne peux donc pas telecharger Outpost ou Zonealarm...

Voici le scan de panda... no comments...

Incident Statut Analyse

 

Adware:adware/navipromo No Désinfecté Registre Windows

 

Bon dimanche à toi! et merci pour ta réponse...

 

Bonjour à tous!

Dois-je considérer que mon PC est propre???

A+++

[regis56]

Bonsoir pioukaya !

 

Comme te la dis Qc001 la clé est orpheline donc plus infectieuse tu peut considérer ton système non infecté mais propre je sais pas

 

Si tu est partant on peut continuer mais ca va étre long et douloureux

Voir même risqué

 

As toi de voir !

 

A plus !

[pioukaya]

Bonsoir pioukaya !

 

Comme te la dis Qc001 la clé est orpheline donc plus infectieuse tu peut considérer ton système non infecté mais propre je sais pas

 

Si tu est partant on peut continuer mais ca va étre long et douloureux

Voir même risqué

 

As toi de voir !

 

A plus !

 

Bonjour Régis,

En effet je crois qu'il n'est pas propre puisque j'ai fait un scan en ligne avec bitdefender:

BitDefender Online Scanner

 

 

 

Rapport d'analyse généré à: Tue, Apr 11, 2006 - 21:54:16

 

 

 

 

 

Voie d'analyse: A:\;C:\;D:\;E:\;F:\;G:\;

 

 

 

 

 

 

 

Statistiques

 

Temps

00:57:25

 

Fichiers

252685

 

Directoires

3396

 

Secteurs de boot

5

 

Archives

2034

 

Paquets programmes

21810

 

 

 

 

Résultats

 

Virus identifiés

2

 

Fichiers infectés

2

 

Fichiers suspects

0

 

Avertissements

0

 

Désinfectés

0

 

Fichiers effacés

2

 

 

 

 

Info sur les moteurs

 

Définition virus

369532

 

Version des moteurs

AVCORE v1.0 (build 2292) (i386) (Mar 3 2005 11:57:29)

 

Analyse des plugins

13

 

Archive des plugins

39

 

Unpack des plugins

4

 

E-mail plugins

6

 

Système plugins

1

 

 

 

 

Paramètres d'analyse

 

Première action

Désinfecté

 

Seconde Action

Supprimé

 

Heuristique

Oui

 

Acceptez les avertissements

Oui

 

Extensions analysées

*;

 

Excludez les extensions

 

 

Analyse d'emails

Oui

 

Analyse des Archives

Oui

 

Analyser paquets programmes

Oui

 

Analyse des fichiers

Oui

 

Analyse de boot

Oui

 

 

 

 

Fichier analysé

Statut

 

C:\WINDOWS\pack.epk=>(Embedded EXE g)=>(CAB Sfx r)=>setup.msi=>(Embedded CAB)=>_B78502A451AB41049EDF1482207E250D

Infecté par: Trojan.Mailskinner.A

 

C:\WINDOWS\pack.epk=>(Embedded EXE g)=>(CAB Sfx r)=>setup.msi=>(Embedded CAB)=>_B78502A451AB41049EDF1482207E250D

Supprimé

 

C:\WINDOWS\pack.epk=>(Embedded EXE g)=>(CAB Sfx r)=>setup.msi=>(Embedded CAB)

Echec de la mise à jour

 

D:\setup.exe=>(Embedded EXE o)=>(CAB Sfx r)=>setup.msi=>(Embedded CAB)=>_B78502A451AB41049EDF1482207E250D

Infecté par: Trojan.Mailskinner.A

 

D:\setup.exe=>(Embedded EXE o)=>(CAB Sfx r)=>setup.msi=>(Embedded CAB)=>_B78502A451AB41049EDF1482207E250D

Supprimé

 

D:\setup.exe=>(Embedded EXE o)=>(CAB Sfx r)=>setup.msi=>(Embedded CAB)

Echec de la mise à jour

 

Puis un nouveau scan panda (idem aux precedents):

 

Incident Statut Analyse

 

Adware:adware/navipromo No Désinfecté Registre Windows

J'attends de savoir ce que tu en penses... Bonne journée à toi!

[pitcat]

bonjour pioukaya

pour IE-SPYAD tu peut l'installer sans pb j'utilise Spywareblaster et Spybot et lors de son install je n'ai pas rencontre de pb.

et si je puis me permetre ajouter s'il n'y est pas un bon fichier hosts:

lire ces 2 articles pour comprendre le fichiers hosts:

http://speedweb1.free.fr/frames2.php?page=securite10

http://assiste.free.fr/p/boite_a_outils/boite_a_outils.php

pour la suite de la procedure je ne peux pas t'aider

à+

Modifié le 12 avril 2006 par pitcat

[regis56]

Bonjour pioukaya !

 

Salut pitcat

 

Effectivemnt mailskinner a été trouvé par Bitdefender !

Ce edgaccess te reste coller comme un pot de colle !!!

 

Alors on va continuer les investigations !

 

Télécharge Blacklight (de F-Secure) et sauvegarde le sur ton Bureau.

 

Double-clique blbeta.exe et accepte la licence; laisse [X]scan through Windows Explorer activé; clique Scan puis Next

 

Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres).

 

Copie et colle le contenu de ce rapport dans ta prochaine réponse. NE PAS choisir l'option "Rename" de suite : nous devons analyser le rapport, car des fichiers légitimes peuvent être présents, tel wbemtest.exe

~~~~~~~~~~~~~~~~~~~~~~~~~~~

 

Prière de poster les rapports suivant dans ta prochaine réponse :

 

 

BlackLight

Nouveau rapport HijackThis!

 

Bon courage, et @+

Modifié le 12 avril 2006 par regis56

[pioukaya]

Bonjour pioukaya !

 

Salut pitcat

 

Effectivemnt mailskinner a été trouvé par Bitdefender !

Ce edgaccess te reste coller comme un pot de colle !!!

 

Alors on va continuer les investigations !

 

Télécharge Blacklight (de F-Secure) et sauvegarde le sur ton Bureau.

 

Double-clique blbeta.exe et accepte la licence; laisse [X]scan through Windows Explorer activé; clique Scan puis Next

 

Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres).

 

Copie et colle le contenu de ce rapport dans ta prochaine réponse. NE PAS choisir l'option "Rename" de suite : nous devons analyser le rapport, car des fichiers légitimes peuvent être présents, tel wbemtest.exe

~~~~~~~~~~~~~~~~~~~~~~~~~~~

 

Prière de poster les rapports suivant dans ta prochaine réponse :

BlackLight

Nouveau rapport HijackThis!

 

Bon courage, et @+

 

Bonjour Régis,

Voici les deux rapports:

04/12/06 20:44:14 [info]: BlackLight Engine 1.0.35 initialized

04/12/06 20:44:14 [info]: OS: 5.1 build 2600 (Service Pack 2)

04/12/06 20:44:14 [Note]: 7019 4

04/12/06 20:44:14 [Note]: 7005 0

04/12/06 20:44:58 [Note]: 7006 0

04/12/06 20:44:58 [Note]: 7011 708

04/12/06 20:44:58 [Note]: 7026 0

04/12/06 20:44:59 [Note]: 7026 0

04/12/06 20:44:59 [Note]: FSRAW library version 1.7.1015

04/12/06 20:46:02 [Note]: 7007 0

 

Logfile of HijackThis v1.99.1

Scan saved at 20:46:51, on 12/04/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Trend Micro\Internet Security\Tmntsrv.exe

C:\Program Files\Trend Micro\Internet Security\tmproxy.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\Program Files\Trend Micro\Internet Security\PccPfw.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\RunDll32.exe

C:\Program Files\Trend Micro\Internet Security\pccguide.exe

C:\Program Files\Trend Micro\Internet Security\PCClient.exe

C:\Program Files\Trend Micro\Internet Security\TMOAgent.exe

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Program Files\a-squared\a2guard.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\HJT\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.cegetel.net/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.cegetel.net/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = \blank.htm

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.cegetel.net/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll

O3 - Toolbar: &Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [pccguide.exe] "C:\Program Files\Trend Micro\Internet Security\pccguide.exe"

O4 - HKLM\..\Run: [PCClient.exe] "C:\Program Files\Trend Micro\Internet Security\PCClient.exe"

O4 - HKLM\..\Run: [TM Outbreak Agent] "C:\Program Files\Trend Micro\Internet Security\TMOAgent.exe" /run

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [bluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [FLMOFFICE4DMOUSE] C:\Program Files\Labtec\Desktop\V5.1\moffice.exe

O4 - HKLM\..\Run: [OFFICEKB] C:\Program Files\Labtec\Desktop\V5.1\kbdap32a.exe

O4 - HKLM\..\Run: [WinPatrol] d:\winpatrol.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [bgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe"

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [a-squared] "C:\Program Files\a-squared\a2guard.exe"

O4 - HKCU\..\Run: [a-squared Antispam Guard] C:\PROGRAM FILES\A-SQUARED ANTI-SPAM\A2AntiSpamGUARD.exe

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html

O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html

O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html

O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kav...can_unicode.cab

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1127582898512

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{B26C4E16-1C2E-491A-926C-E3664210738B}: NameServer = 217.19.192.132 217.19.192.131

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe

O23 - Service: Trend Micro Personal Firewall (PccPfw) - Trend Micro Incorporated. - C:\Program Files\Trend Micro\Internet Security\PccPfw.exe

O23 - Service: Trend NT Realtime Service (Tmntsrv) - Trend Micro Incorporated. - C:\Program Files\Trend Micro\Internet Security\Tmntsrv.exe

O23 - Service: Trend Micro Proxy Service (tmproxy) - Trend Micro Incorporated. - C:\Program Files\Trend Micro\Internet Security\tmproxy.exe

 

 

Merci et à +++

[regis56]

Bonsoir pioukaya !

 

Bon black light ne trouve rien !

 

On va essayer autre chose !

 

Télécharge RegSearch.exe (Registry Search de Bobbi Flekman) -> http://www.bleepingcomputer.com/files/regsearch.php

- dézippe dans un répertoire dédié tel que C:\Program Files

- double clique sur RegSearch.exe

- copie colle l'entrée en rouge dans la ligne de la zone de recherche:

 

navipromo

 

- rien dans la ligne "Enter string to exclude from results"

- clique sur OK

- après recherche, le bloc-notes ouvre une fenêtre "RegSearch.txt" avec toutes les instances trouvées

- le fichier est en outre sauvegardé dans le même répertoire que celui de RegSearch

- copie-colle le contenu de la fenêtre dans un post, ici

- ferme le bloc-notes

- ferme RegSearch par Cancel.

 

A plus !

[pioukaya]

Bonsoir pioukaya !

 

Bon black light ne trouve rien !

 

On va essayer autre chose !

 

Télécharge RegSearch.exe (Registry Search de Bobbi Flekman) -> http://www.bleepingcomputer.com/files/regsearch.php

- dézippe dans un répertoire dédié tel que C:\Program Files

- double clique sur RegSearch.exe

- copie colle l'entrée en rouge dans la ligne de la zone de recherche:

 

navipromo

 

- rien dans la ligne "Enter string to exclude from results"

- clique sur OK

- après recherche, le bloc-notes ouvre une fenêtre "RegSearch.txt" avec toutes les instances trouvées

- le fichier est en outre sauvegardé dans le même répertoire que celui de RegSearch

- copie-colle le contenu de la fenêtre dans un post, ici

- ferme le bloc-notes

- ferme RegSearch par Cancel.

 

A plus !

 

Bonjour Régis,

jai un mal fou à pouvoir te répondre je suis deconnectée à chaque fois!!!

REGEDIT4

 

; Registry Search 2.0 by Bobbi Flekman © 2005

; Version: 2.0.0.1

 

; Results at 13/04/2006 09:32:21 for strings:

; 'navipromo

navipromo

navipromo'

; Strings excluded from search:

; (None)

; Search in:

; Registry Keys Registry Values Registry Data

; HKEY_LOCAL_MACHINE HKEY_USERS

 

 

; End Of The Log...

 

 

A+++

[regis56]

Bonjour pioukaya !

 

 

jai un mal fou à pouvoir te répondre je suis deconnectée à chaque fois!!!

 

Je ne sais pas d'ou vient ton problème ton Pc était désinfecté la dernière fois ?

Là ce qu'on fais c'est du fignolage

 

Tu peut quand même essayer ceci pour ta connexion TCP optimizer

http://telechargement.zebulon.fr/73-TCP-Optimizer.html

 

Sinon pour la suite peut tu faire ceci

 

- double clique sur RegSearch.exe

- copie colle l'entrée en rouge dans la ligne de la zone de recherche:

 

mslagent

navmpc

 

- rien dans la ligne "Enter string to exclude from results"

- clique sur OK

- après recherche, le bloc-notes ouvre une fenêtre "RegSearch.txt" avec toutes les instances trouvées

- le fichier est en outre sauvegardé dans le même répertoire que celui de RegSearch

- copie-colle le contenu de la fenêtre dans un post, ici

- ferme le bloc-notes

- ferme RegSearch par Cancel.

 

On va vérifier que tout va bien

 

Peux-tu faire s'il te plait un scan en ligne?=>

-Faire un scan en ligne ici et coller le rapport.

Panda si tu n'y arrives pas : tutorial

 

Refais un rapport hijackthis aussi STP

 

A plus !

[cubitus]

Salut à tous,

 

Tout d'abord Bravo pour votre entêtement à régler les problèmes, cela crée une véritable base de donnée permettant souvent de faire des recoupements.

 

Comme Pioukaya, j'ai eu à traiter un adware Navipromo combiné avec un adware mailskinner.

 

Après avoir lu le topic en entier, j'ai décidé de faire un scan sur Panda et il m'indiquait que Navipromo était résident dans la base de registre, pourtant les autres utilitaires m'indiquait une absence totale de problème.

comme vous j'ai utilisé tout l'arsenal mis a notre disposition sur le net.

 

Panda me conseillait d'acheter la version Titanium 2006 pour éradiquer définitivement le Navi promo, je l'ai téléchargé en version d'essai, histoire de tester. Mais l'install Panda Titanium est exclusive et il m'a obligé à desinstaller Nod 32 et ZoneAlarm pour accepter de se poser sur mon disque dur. (D'ailleurs Panda Antivirus Titanium prends ZoneAlarm pour un logiciel E Trust Ez Antivirus)

 

De ce fait, j'ai décidé d'utiliser Regcleaner pour constater la présence E Trust sur mon Pc et là forcèment il y est pas (je l'ai jamais installé) et c'est ZoneAlarm que j'ai enlevé du coup.

 

Et c'est là que j'ai trouvé deux clefs de registre bizarre, j'ai décidé de les supprimer : une clef s'appelle mailskinner et l'autre ncxbeib. J'ai supprimer à l'aide de Regcleaner la seule clef "mailskinner" et la deuxième a été automatiquement enlevé avec.

 

J'ai fait un scan avec Panda Titanium (une fois installé) et refait avec Panda en ligne et là Nada plus rien.

 

Voilà je voulais vous faire part de cette possibilité.

 

Continuer votre taf, c'est une bonne chose que de pouvoir vous lire.

 

 

Cubi