difficulté avec malwares- registre

[Thanos]

salut chmart

 

Je te laisse ce soir quelques conseils de sécurité cmart(je ne vais pas pouvoir rester longtemps pour le moment!).juste réagir à ton propos=>

J’ai éliminé Spyware Doctor, parce j’ai réalisé que j’avais aussi Ad-Aware, et que mon frère est satisfait de cette configuration (BitDefender et Ad-Aware) qu’il a depuis plusieurs mois.

Le problème, c'est que Ad-Aware ne protège pas ton pc(sauf la version payante: l'as tu?) contrairement à Spyware Doctor qui lui je crois propose un "gardien" en temps réel(swdoctor.exe)!ceci dit, ca n'est pas grave!Spybot et son teatimer par exemple suffit à bloquer la plupart des spywares qui tentent d'infiltrer le pc(par exemple pour ne parler que de logiciel gratos!)

mon démarrage est de plus en plus long (Windows) et je ne peux pas effacer les CD-RW (Windows).

Pour le démarrage, as tu pensé :

-à défragmenter ton(tes) DD?

- nettoyer la base de registre avec JV16 par ex?=>

 

-Télécharge jv16 et met le dans un dossier:

http://telechargement.zebulon.fr/201-jv16-powertools.html

 

-son tutorial pour l'utiliser correctement ,ici:

http://www.zebulon.fr/articles/base-de-registre-3.php

 

* Lance JV16

 

- Mets le logiciel en français Preferences > Language > Français > OK.

- Ensuite, Outils registre > menu Outils > nettoyeur de registre.

- Coche "je veux vérifier manuellement les entrées" Décoche "Montrer les entrées ignorées".

- Clique sur "Continuer" puis sur "Démarrer".

- Quand jv16 a terminé la recherche,vas dans le menu "sélectionner" choisis "sélectionner tout" puis en bas à droite choisis l'option "supprimer".Tu peux virer toutes les entrées en vert.

-Si ca ne fonctionne pas du premier coup,recommence!

 

Il y a pas mal d'astuces dans Zeb qui permettent d'optimiser ton pc(démarrage, fermeture etc...)

 

-As tu configuré les services comme il faut? =>

 

Regarder et appliquer les conseils de tesgaz sur les Services:

http://www.zebulon.fr/articles/services_1.php

 

Par contre pour ce qui est des CD-RW ... je pense qu'il faudra que tu poses la question sur le forum Hardware par exemple, où des personnesplus compétentes que moi pourront t'aider.

 

@toute à l'heure

[chmart]

salut chmart

 

Je te laisse ce soir quelques conseils de sécurité cmart(je ne vais pas pouvoir rester longtemps pour le moment!).juste réagir à ton propos=>

 

Le problème, c'est que Ad-Aware ne protège pas ton pc(sauf la version payante: l'as tu?) contrairement à Spyware Doctor qui lui je crois propose un "gardien" en temps réel(swdoctor.exe)!ceci dit, ca n'est pas grave!Spybot et son teatimer par exemple suffit à bloquer la plupart des spywares qui tentent d'infiltrer le pc(par exemple pour ne parler que de logiciel gratos!)

 

Pour le démarrage, as tu pensé :

-à défragmenter ton(tes) DD?

- nettoyer la base de registre avec JV16 par ex?=>

 

-Télécharge jv16 et met le dans un dossier:

http://telechargement.zebulon.fr/201-jv16-powertools.html

 

-son tutorial pour l'utiliser correctement ,ici:

http://www.zebulon.fr/articles/base-de-registre-3.php

 

* Lance JV16

 

- Mets le logiciel en français Preferences > Language > Français > OK.

- Ensuite, Outils registre > menu Outils > nettoyeur de registre.

- Coche "je veux vérifier manuellement les entrées" Décoche "Montrer les entrées ignorées".

- Clique sur "Continuer" puis sur "Démarrer".

- Quand jv16 a terminé la recherche,vas dans le menu "sélectionner" choisis "sélectionner tout" puis en bas à droite choisis l'option "supprimer".Tu peux virer toutes les entrées en vert.

-Si ca ne fonctionne pas du premier coup,recommence!

 

Il y a pas mal d'astuces dans Zeb qui permettent d'optimiser ton pc(démarrage, fermeture etc...)

 

-As tu configuré les services comme il faut? =>

 

Regarder et appliquer les conseils de tesgaz sur les Services:

http://www.zebulon.fr/articles/services_1.php

 

Par contre pour ce qui est des CD-RW ... je pense qu'il faudra que tu poses la question sur le forum Hardware par exemple, où des personnesplus compétentes que moi pourront t'aider.

 

@toute à l'heure

[chmart]

Bonjour Charles,

Je dois revenir sur ce que j’ai dit hier.

Mais je réponds à propos de ton dernier message.

J’ai, après ton avis sur Ad-Aware vs Spyware Doctor dans icelui, éliminé Ad-Aware et réinstallé la version gratuite de Spyware Doctor.

J’ai fait une analyse. Je suis toujours infecté de la même façon, par Backdoor.Sdbot.ADD, par Backdoor.Small.EO, par Internet Optimizer, par Websearch Toolbar, par Wintools, par AproposMedia.

Cela fait 279 lignes de registre concernées.

Je n’ai pas progressé d’un cheveu, dirait-on.

Mon assertion récente sur la 'pollution' de mon système était du pipo: il y a exactement les mêmes spywares qu'auparavant.

Au fait j'ai utilisé jv16. Mais j'ai viré les lignes de l'imprimante, et après je ne pouvais plus imprimer. Donc j'ai rechargé le driver de l'imprimante. Il semble que jv 16 indique les lignes d'équipement, pas celles de services démarrés at the very beginning. J'ai trouvé un système qui indique les services utilisés au démarrage, dans ton message précédent. J'en ai fait basculer de 'automatique' à 'manuel', celles qui ne me paraissaient pas nécessaires d'avoir au démarrage. Cela a un effet positif (40% d'amélioration du démarrage comme de l'extinction) mais je ne suis pas sûr de ne pas avoir fait de bêtise: si cela s'avère être le cas, il me faudra faire une restauration, et recommencer avec prudence.

Tchüss

Charles

Modifié le 25 mai 2006 par chmart

[Thanos]

bonsoir chmart

 

J’ai fait une analyse. Je suis toujours infecté de la même façon, par Backdoor.Sdbot.ADD, par Backdoor.Small.EO, par Internet Optimizer, par Websearch Toolbar, par Wintools, par AproposMedia.

Cela fait 279 lignes de registre concernées.

C'est spyware Doctor qui détecte tout ca?? est ce qu'il a généré un rapport ?(as tu refais un scan après pour t'assurer qu'il avait bien tout éliminé?)Je sais que Ewido a coincé lors de la désinfection, mais on avait éliminé les clés de registre infectées avec un fichier reg!

 

Tu me dit que tu as la version gratos de Spywaredoctor?...je croyait que tu avais la version payante qui elle propose une protection résidente!!(pas la version gratos!! pareil pour AdAware SE!).Ceci dit tu peux garder ta version gratuite(pour scanner uniquement), mais si tu veux une protection en temps réel, il faut se tourner vers Spybot par exemple(avec son Teatimer)

 

Est ce que tu as encore le courage de refaire un scan avec Ewido(en mode sans échec après mise à jour), pour que les fichiers infectés s'éliminent automatiquement,garde l'option par défaut "Supprimer" (avec la ligne "Créer des copies de sauvegarde cryptées dans la quarantaine" cochée).

 

Est ce que tu as utilisé Spybot pour scanner le pc(plutôt rapide ,fais le en mode sans échec après mise à jour)?télécharge le ici=>

-Téléchargement:

http://spybot.safer-networking.de/fr/download/index.html

 

-Son tutoriel: http://www.zebulon.fr/articles/spybot_1.php ou

 

* Lance Spybot.Sur la page d'accueil , clique sur "Vérifier tout"

Patiente le temps du scan. Lorsque le scan est fini, clique sur "Corriger les problèmes" pour éliminer les espions.(dis moi si il trouve quelque chose!)

 

Ca m'embête ce que tu m'annonces!! si tu as encore un peu de courage , poste un nouveau rapport hijackthis pour vérification stp!!

 

Mais j'ai viré les lignes de l'imprimante, et après je ne pouvais plus imprimer. Donc j'ai rechargé le driver de l'imprimante. Il semble que jv 16 indique les lignes d'équipement, pas celles de services démarrés at the very beginning.

Etonnant! jamais eu ce soucis avec jv16!! tu n'as éliminé que les clés avec un rond vert devant?as tu récupéré ton impression?

 

J'ai trouvé un système qui indique les services utilisés au démarrage, dans ton message précédent. J'en ai fait basculer de 'automatique' à 'manuel', celles qui ne me paraissaient pas nécessaires d'avoir au démarrage.

Tu parles de l'article de tesgaz ?si tu as bien suivi les recommendations , tu n'as pas fait de bêtises! à part un service auquel il ne faut surtout pas toucher!!(Appel de procédure distante - RPC)tu peux revenir en arrière!

après ca il faut composer selon ta configuration et l'utilisation que tu fais de ton pc(si ton pc est en réseau etc...)

 

@+ tard

[chmart]

bonsoir chmart

C'est spyware Doctor qui détecte tout ca?? est ce qu'il a généré un rapport ?(as tu refais un scan après pour t'assurer qu'il avait bien tout éliminé?)Je sais que Ewido a coincé lors de la désinfection, mais on avait éliminé les clés de registre infectées avec un fichier reg!

 

Tu me dit que tu as la version gratos de Spywaredoctor?...je croyait que tu avais la version payante qui elle propose une protection résidente!!(pas la version gratos!! pareil pour AdAware SE!).Ceci dit tu peux garder ta version gratuite(pour scanner uniquement), mais si tu veux une protection en temps réel, il faut se tourner vers Spybot par exemple(avec son Teatimer)

 

Est ce que tu as encore le courage de refaire un scan avec Ewido(en mode sans échec après mise à jour), pour que les fichiers infectés s'éliminent automatiquement,garde l'option par défaut "Supprimer" (avec la ligne "Créer des copies de sauvegarde cryptées dans la quarantaine" cochée).

 

Est ce que tu as utilisé Spybot pour scanner le pc(plutôt rapide ,fais le en mode sans échec après mise à jour)?télécharge le ici=>

-Téléchargement:

http://spybot.safer-networking.de/fr/download/index.html

 

-Son tutoriel: http://www.zebulon.fr/articles/spybot_1.php ou

 

* Lance Spybot.Sur la page d'accueil , clique sur "Vérifier tout"

Patiente le temps du scan. Lorsque le scan est fini, clique sur "Corriger les problèmes" pour éliminer les espions.(dis moi si il trouve quelque chose!)

 

Ca m'embête ce que tu m'annonces!! si tu as encore un peu de courage , poste un nouveau rapport hijackthis pour vérification stp!!

Etonnant! jamais eu ce soucis avec jv16!! tu n'as éliminé que les clés avec un rond vert devant?as tu récupéré ton impression?

Tu parles de l'article de tesgaz ?si tu as bien suivi les recommendations , tu n'as pas fait de bêtises! à part un service auquel il ne faut surtout pas toucher!!(Appel de procédure distante - RPC)tu peux revenir en arrière!

après ca il faut composer selon ta configuration et l'utilisation que tu fais de ton pc(si ton pc est en réseau etc...)

 

@+ tard

 

Bonjour Charles. Excuse moi pour plusieurs jours de silence.

Pour le pb d'imprimante, j'ai fait une restauration avant la date où j'ai utilisé JV16, ainsi que le tutorial de tesgaz. J'ai pu réimprimer. Puis j'ai rechargé JV16, je l'ai fait tourner, j'ai supprimé toutes les lignes avec une clef verte et laissé les 2 lignes qui ont une clef rouge. Là pas de pb d'imprimante ni d'autre équipement. J'ai imprimé et lu le tutorial pour JV16. Très intéressant . Comme une analyse avec RegCleaner me montre les mêmes spywares et les mêmes clefs de registre infectées, j'ai essayé avec le tutorial de JV16. Pour le moment, je n'y suis pas parvenu. Je vais faire un log Hijackthis. A bientôt.

Charles (chmart)

[Thanos]

salut chmart

 

Quand tu dis:

j'ai fait une restauration avant la date où j'ai utilisé JV16

tu parles d'un point de restauration système?le seul souci avec cette restauration système, c'est qu'elle restaure aussi les malwares!!(tout dépend du point que tu as choisi! justeavant ce problème avec l'imprimante?).

N'hésite pas à revenir poster un rapport hijackthis pour voir si tout vas bien

[chmart]

Rebonjour Charles,

voici le log hijackthis que je vient de faire.

 

Logfile of HijackThis v1.99.1

Scan saved at 15:46:06, on 01/06/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\PROGRA~1\Softwin\BITDEF~1\bdswitch.exe

C:\Program Files\Softwin\BitDefender9\bdoesrv.exe

C:\PROGRA~1\Softwin\BITDEF~1\bdnagent.exe

C:\téléchargement de progr.inf\D4.exe

C:\téléchargement de progr.inf\ewido anti-malware\ewidoguard.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe

C:\WINDOWS\system32\Imapi.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe

C:\Program Files\Softwin\BitDefender9\vsserv.exe

c:\progra~1\softwin\bitdef~1\bdmcon.exe

C:\Documents and Settings\Charles\Mes documents\hijackthis\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.akeo.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.akeo.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll

O4 - HKLM\..\Run: [bDSwitchAgent] "c:\progra~1\softwin\bitdef~1\bdswitch.exe"

O4 - HKLM\..\Run: [bDOESRV] "C:\Program Files\Softwin\BitDefender9\bdoesrv.exe"

O4 - HKLM\..\Run: [bDNewsAgent] "c:\progra~1\softwin\bitdef~1\bdnagent.exe"

O4 - HKLM\..\Run: [bDMCon] C:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exe

O4 - HKLM\..\Run: [Dimension4] C:\téléchargement de progr.inf\D4.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_01\bin\npjpi150_01.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_01\bin\npjpi150_01.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1129278288717

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{CB659912-32A9-4466-9FDB-3592FC5A2DC3}: NameServer = 86.64.145.145 84.103.237.145

O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)

O23 - Service: ewido security suite control - Unknown owner - C:\Program Files\ewido anti-malware\ewidoctrl.exe (file missing)

O23 - Service: ewido security suite guard - ewido networks - C:\téléchargement de progr.inf\ewido anti-malware\ewidoguard.exe

O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)

O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Program Files\Softwin\BitDefender9\vsserv.exe" /service (file missing)

O23 - Service: VNC Server Version 4 (WinVNC4) - Unknown owner - C:\Program Files\RealVNC\VNC4\WinVNC4.exe" -service (file missing)

O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

 

J'ai eu des difficultés aujourd'hui d'abord pour me servir de firefox (résolue) puis pour utiliser Acrobat Reader (en prenant un article de journal, opération que j'ai fait des centaines de fois: c'est la 1° fois que je rencontre une difficulté) J'ai essayé d'ouvrir Acrobat, mais cela a échoué.

A plus tard.

Charles (chmart)

[Thanos]

re

 

Je peux te dire en tout cas que ton rapport est propre Pour ce qui est de problèmes relatifs à Acrobat Reader , je te conseille plutôt de poster un message dans le forum Software, ou des personnes plus qualifiées pourront te répondre(moi dans ce cas, je désinstalle, nettoie ,puis réinstalle!).

Je repasse tout à l'heure pour te laisser des conseils de sécurité(j'avais oublié la dernière fois )

@+ tard

edit: avais tu repassé Spyware Doctor pour voir si il détectait encore ces spywares?

[chmart]

Bonjour Charles,

J'ai fait pour Acrobat Reader exactement comme tu me le conseillais, et Acrobat marche de nouveau très bien. J'aurais d'ailleurs spontanément procédé comme cela.

J'ai fait un scan Spyware Doctor. Je ne peux pas sauvegarder le rapport, peut être que j'aurais dû le faire en ligne. J’ai fait tourner SpywareDoctor le 2-6-06 à 11h15. Le rapport de synthèse est

 

645 infections

11x AproposMedia registry et files

102x Wintools registry

339x Websearch Toolbar registry

2x SahAgent files

16x Internet Optimizer registry

29x Backdoor Small EO registry

88x Backdoor.Sdbot.AAD registry

1x UCmore Toolbar registry

 

je n'arrive pas très bien à mes fins en allant dans le registre avec les indications du tutorial JV16, très bien fait au demeurant.

 

J'ai un autre problème: j'en parle bien qu'il soit prématuré de clore le sujet ci-dessus mais mon épouse est très énervée à cause du pb suivant. J'ai une adresse familiale, qui me sert dans certains échanges familiaux. En réalité elle me sert surtout pour recevoir de certains membres de la famille. Mais cette adresse (dela forme charles@ nom de famille.com) est installée sur le serveur free, à mon avis mal protégé. Tous les matins , nous recevons 15 à 20 messages douteux, parfois avec pièce jointe dangereuse: nous les mettons à la poubelle sans les ouvrir. Comme dit ma femme, quid des vacances? Cela va bloquer la boîte!

Est-il possible de protéger efficacement une adresse E-mail en particulier? J'ajoute que les adresses des émetteurs de ces messages changent constamment, j'ai essayé de les bloquer par le firewall, mais cela est inefficace, car on ne protège que le passé, cela ne sert à rien puisque les adresses changent tout le temps.

Salut Charles

Au revoir Charles

[chmart]

Bonjour Charles,

J'ai fait pour Acrobat Reader exactement comme tu me le conseillais, et Acrobat marche de nouveau très bien. J'aurais d'ailleurs spontanément procédé comme cela.

J'ai fait un scan Spyware Doctor. Je ne peux pas sauvegarder le rapport, peut être que j'aurais dû le faire en ligne. J’ai fait tourner SpywareDoctor le 2-6-06 à 11h15. Le rapport de synthèse est

 

645 infections

11x AproposMedia registry et files

102x Wintools registry

339x Websearch Toolbar registry

2x SahAgent files

16x Internet Optimizer registry

29x Backdoor Small EO registry

88x Backdoor.Sdbot.AAD registry

1x UCmore Toolbar registry

 

je n'arrive pas très bien à mes fins en allant dans le registre avec les indications du tutorial JV16, très bien fait au demeurant.

 

J'ai un autre problème: j'en parle bien qu'il soit prématuré de clore le sujet ci-dessus mais mon épouse est très énervée à cause du pb suivant. J'ai une adresse familiale, qui me sert dans certains échanges familiaux. En réalité elle me sert surtout pour recevoir de certains membres de la famille. Mais cette adresse (dela forme charles@ nom de famille.com) est installée sur le serveur free, à mon avis mal protégé. Tous les matins , nous recevons 15 à 20 messages douteux, parfois avec pièce jointe dangereuse: nous les mettons à la poubelle sans les ouvrir. Comme dit ma femme, quid des vacances? Cela va bloquer la boîte!

Est-il possible de protéger efficacement une adresse E-mail en particulier? J'ajoute que les adresses des émetteurs de ces messages changent constamment, j'ai essayé de les bloquer par le firewall, mais cela est inefficace, car on ne protège que le passé, cela ne sert à rien puisque les adresses changent tout le temps.

Salut Charles

Au revoir Charles

 

 

au 11-6-06

Bonjour Charles,

J’ai utilisé JV16 en suivant le tutorial, plusieurs fois ; j’ai éliminé en particulier les dossiers Toolbar et Wintools, que je voyais apparaître dans JV16 (ce ne sont pas les seuls spywares dans le registre, mais ce sont ceux que je localise le plus facilement), mais ensuite je les retrouve inlassablement, comme indiqué ci-dessous (pour l’instant la liste détectée par Spyware Doctor est Backdoor.Sdbot.AAD, Backdoor.Small.EO, Websearch Toolbar, Wintools, Apropos Media.)

Comme mon pb de graveur ne paraît décidément pas devoir être résolu, malgré la compétence et la bienveillance que j’ai trouvées sur le forum hardware, je vois gros comme une maison que je vais finir par reformater, bien que je me sois fait dire plusieurs fois que c’était un truc de débutant. Si je reformate, je devrais en même temps me débarrasser des spywares bien que cela ne soit pas dans ce but que j’envisage de reformater, mais dans celui de retrouver les propriétés du graveur.

Amicalement.

Charles (chmart)

 

Voilà les localisations de Toolbar et de Wintools, qui semblent décidément inamovibles.

Regedit

 HKEY_LOCAL_MACHINE

 SOFTWARE

o TOOLBAR

 Files

o WINTOOLS

 nlibx4m