Ben... un virus !

Denis95 · le 12 juin 2006

Bonjour à tous !

Je m'appelle Denis et je ne suis pas un habitué des forums informatiques. (malheureusement pour moi si j'avais su !!)

Aujourd'hui je suis face à une série de virus que je n'arrive pas à enlever, et j'ai l'impression que c'est de pire en pire....

C'est pourquoi je viens humblement solliciter votre aide suite à un problème dont je ne saurais connaitre l'issu seul.

J'explique l'histoire.

Il ya quelques mois j'ai acheté un clavier et souris sans fil. Et un beau jour, le clavier ne marche plus, mais la souris impeccable. En cherchant, dans les fonctions du clavier pour essayer de trouver le problème, je m'aperçois qu'avec le SP 2 de windows, c'est.. plus mieux bien...; bref...

Un amis me passe donc la maj par cd car par internet, ça coince (je vous passe les détails).

Et là... c'est la misère. Mon antivirus devient fou et sonne toutes les secondes (Norman). Se suit une séries de dysfonctionnements de Windows (plus de son , plus de lecteur média, ...).

Je recommence l'installation, et c'est pas mieux. Je jongle avec l'antivirus et l'installations de windows, toujours pas mieux. Par dépis je sauve mes fichiers important sur mon second disque dur, et me résigne à ... formater.

Je fais ça sur l'ordinateur du boulot (chuttt...). Propre comme un sou neuf, je reviens chez moi et recommence l'installation... et retrouve les même virus.

Un certain sality.n et autres spybot ...

C'est alors qu'en cherchant sur le net je tombe sur votre forum. J'apprend alors pas mal de choses... mais trop tard.

Comme beaucoup, j'ai (peut-être) formaté mon pc pour rien.

Comme beaucoup, mon pc ne devait pas être super clean avant la màj de windows (malgré ad aware et Norman)

Comme beaucoup, je ne me suis pas assez documenté avant de tripatouiller dans des fonctions inconnues.

Comme beaucoup, j'ai persisté dans ma bétise.

Bref.... En parcourant le forum j'ai trouvé une personne qui avait des problèmes similaires, et un nom de virus similaire. J'ai l'impression d'avoir effacé (via l'antivirus) des fichiers de windows qui n'étaient pas vraiment infectés ou endommagés. Même après un formatage dans les rêgles, j'ai de nouveau le virus.

J'ai repéré des méthodes carabinées ou il faut télécharger des logiciels (ewido, hijackthis, kaspersky.....) Mais c'est du chinois pour moi tout ça. Je les ai imprimées pour ne pas les perdre, et je ne sais pas laquelle utiliser.

Je vais commencer par installer le fameux Hijackthis.... et vous collerai son compte rendu. Je crois qu'on commence comme ça ?

Merci d'avance.

Je pense que suite à cela vous me conseillerez la "bonne" méthode qui corespond à mon problème.

Malekal_morte · le 12 juin 2006

Bonjour Denis95,

- Télécharge HijackThis puis génère un log :

- Exécute le et clique sur Do a scan and save log file.

- Le rapport s'ouvre sur leBloc-Note

- Colle le rapport ici, pour cela :

- Menu Edition / Selectionner Tout

- Menu Edition / copier

- Ici dans un nouveau message : clic droit / coller

- N'hésite pas à consulter l'aide HijackThis -

Denis95 · le 12 juin 2006

Whaoow déjà une réponse !!

Merci pour le lien d'aide de Hijackthis, j'ai de la lecture...

J'ai mis mon DD infecté en escalve sur mon ordi de boulot. Il apparait en tant que E:\.

Puis j'ai installé le logiciel, dans E:\Program Files\HijackThis\

Comme le DD infecté (E:\) n'est pas le principal, si je lance Hijackthis, scannera-t-il que E ou le C ?

Pasque tant qu'à faire... je le lance maintenant sans être obligé de le faire chez moi !

En attendant je vais lire l'aide même si ça a l'aie d'être du chinois.

Merci

Malekal_morte · le 12 juin 2006

Ce n'est pas un antivirus, il ne va pas scanner les disques.

Ne te fais pas de soucis sur la configuration de ton ordinateur, lance le scan comme demandé et copie/colle le rapport.

Denis95 · le 13 juin 2006

Ce n'est pas un antivirus, il ne va pas scanner les disques.

Ok j'ai tendance à me mélanger les crayons....

D'abord Bonjour et merci de se pencher sur mon cas.

Hier au boulot, j'ai téléchargé (mais non installé) ewido, hijackthis, et antivir en prévision d'une future utilisation, en prenant soin de créer pour chacun un dossier dans "program files".

J'imprime toutes les procédures qui vont bien.

En rentrant, j'installe le DD et commence à regarder pour passer en mode sans échec. (Chouette ça marche)

Dans la précipitation, j'installe antivir...... et forcément, je ne peux pas faire la mise à jour !

Pas grave, je continue... il me détecte 6 virus. Puis, je nettoie le disque comme indiqué par Mégataupe.

Avant de lancer Hijackthis, je suis repassé en Mode normal pour faire la màj d'antivir (histoire de faire les choses bien)...; et là impossible de me connecter à internet. L'ordinateur est hyper lent !! au bout de 15 minutes la page internet (update antivir) ne s'était toujours pas affichée.

Du coup je n'ai pas fait Hijackthis, car je n'aurais pas pu vous poster le rapport.

J'ai mon anti-virus Norman actif. Faut-il le supprimer pour éviter une interaction gênant anti-vir ? Je pourrais le ré-installer par la suite. Sinon je recommencerais ce soir et posterais tout demain même si c'est pas impeccable.

Voilà et encore merci.

Modifié le 13 juin 2006 par Denis95

Malekal_morte · le 13 juin 2006

Je t'ai pas dit d'installer Antivir :/

Deux antivirus c'est pas génial.

Fais ce qui est demandé s'il te plait, sinon on va pas s'en sortir, désinstalle Antivir.

Denis95 · le 13 juin 2006

Désolé mais dans la procédure de Mégataupe, il faut l'installer, faire un scan et le désinstaller, avant de lancer Hijackthis.

Je m'étais arrêté au scan vu que je n'arrivais pas à faire la màj. J'ai essayé de bien faire.

Ok je le désinstalle ce soir et je posterais le rapport de HiJack.

Merci.

Malekal_morte · le 13 juin 2006

oui je me doute bien, désolé si j'ai été un peu brusque

Denis95 · le 15 juin 2006

Voilà le rapport de Hijackthis comme demandé !

En espérant que ça "causera"....

Logfile of HijackThis v1.99.1

Scan saved at 20:21:08, on 15/06/2006

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Analog Devices\SoundMAX\Smtray.exe

C:\Program Files\Microsoft IntelliType Pro\type32.exe

C:\Program Files\Microsoft IntelliPoint\point32.exe

C:\Norman\bin\ZLH.EXE

C:\WINDOWS\System32\ctfmon.exe

C:\WINDOWS\?dobe\??ool32.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\DOCUME~1\ADMINI~1\MESDOC~1\PPPATC~1\javaw.exe

C:\Program Files\E-Color\True Internet Color\TICIcon.exe

C:\Norman\Bin\Zanda.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\wbem\wmiapsrv.exe

C:\Norman\bin\NJEEVES.EXE

C:\Norman\Nvc\BIN\NVCSCHED.EXE

C:\Norman\Nvc\BIN\nipsvc.exe

C:\Norman\Nvc\BIN\NIP.EXE

C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: (no name) - {859718F8-8441-ABB0-3CD2-895D4CC214CA} - C:\WINDOWS\System32\nbvslmd.dll

R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)

F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe,C:\WINDOWS\winsock\csrss.exe

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [smapp] C:\Program Files\Analog Devices\SoundMAX\Smtray.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [type32] "C:\Program Files\Microsoft IntelliType Pro\type32.exe"

O4 - HKLM\..\Run: [intelliPoint] "C:\Program Files\Microsoft IntelliPoint\point32.exe"

O4 - HKLM\..\Run: [Windows Update Firewall System] winmsfw.exe

O4 - HKLM\..\Run: [Application Layer Gateway Service] C:\WINDOWS\System32\algs.exe

O4 - HKLM\..\Run: [Norman ZANDA] C:\Norman\bin\ZLH.EXE /LOAD /SPLASH

O4 - HKLM\..\Run: [security Centers] Sacurity.exe

O4 - HKLM\..\Run: [Windows Update] host.exe

O4 - HKLM\..\Run: [Windows Virtual Assistance] hpms2wtn.exe

O4 - HKLM\..\RunServices: [Windows Update Firewall System] winmsfw.exe

O4 - HKLM\..\RunServices: [security Centers] Sacurity.exe

O4 - HKLM\..\RunServices: [Windows Update] host.exe

O4 - HKLM\..\RunServices: [Windows Virtual Assistance] hpms2wtn.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [Mprr] "C:\DOCUME~1\ADMINI~1\APPLIC~1\ECURIT~1\spoolsv.exe" -vt yazb

O4 - HKCU\..\Run: [Jnbwzwoq] C:\WINDOWS\?dobe\??ool32.exe

O4 - HKCU\..\Run: [scct] "C:\WINDOWS\ICROSO~1.NET\dllhost.exe" -vt ndrv

O4 - HKCU\..\Run: [Hnoghg] C:\WINDOWS\system32\?ppPatch\t?skmgr.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [Tomo] "C:\DOCUME~1\ADMINI~1\MESDOC~1\YMBOLS~1\alg.exe" -vt ndrv

O4 - HKCU\..\Run: [Ojllxx] C:\Documents and Settings\Administrateur\Mes documents\s?mbols\w?aclt.exe

O4 - HKCU\..\Run: [Windows Virtual Assistance] hpms2wtn.exe

O4 - HKCU\..\Run: [Aaih] "C:\DOCUME~1\ADMINI~1\MESDOC~1\PPPATC~1\javaw.exe" -vt ndrv

O4 - HKCU\..\Run: [Ocy] C:\WINDOWS\system32\?racle\?ttrib.exe

O4 - HKCU\..\RunServices: [Windows Virtual Assistance] hpms2wtn.exe

O4 - Global Startup: 3Deep.lnk = C:\Program Files\E-Color\3Deep\3Deepctl.exe

O4 - Global Startup: SonnReg.lnk = C:\Program Files\E-Color\Registration\SonnReg.exe

O4 - Global Startup: True Internet Color Icon.lnk = C:\Program Files\E-Color\True Internet Color\TICIcon.exe

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1149887603275

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1149887578306

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - AppInit_DLLs: C:\WINDOWS\System32\regsvr32.dll C:\WINDOWS\System32\rundll32.dll C:\WINDOWS\System32\wowexec.dll C:\WINDOWS\System32\cmd.dll

O23 - Service: Norman API-hooking helper (NipSvc) - Unknown owner - C:\Norman\Nvc\BIN\nipsvc.exe

O23 - Service: Norman NJeeves - Unknown owner - C:\Norman\bin\NJEEVES.EXE

O23 - Service: Norman ZANDA - Unknown owner - C:\Norman\Bin\Zanda.exe

O23 - Service: Network DRV (NTDRV) - Unknown owner - C:\WINDOWS\system32\netdrvr.exe (file missing)

O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\Norman\Nvc\bin\nvcoas.exe

O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman Data Defense Systems - C:\Norman\Nvc\BIN\NVCSCHED.EXE

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: wins(WINS) (wins) - Unknown owner - C:\WINDOWS\system32\winscntrl.exe (file missing)

O23 - Service: Windows TCP/IP Socket Driver (winsck) - Unknown owner - C:\WINDOWS\winsock\csrss.exe (file missing)

Merci d'avance.

PS: le lien comme indiqué sur l'aide Hijackthis !

http://www.hijackthis.de/logfiles/c2f9e226...16abf48b85.html

Modifié le 15 juin 2006 par Denis95

Denis95 · le 16 juin 2006

Puisque Malekal a l'air occupé, j'en ai profité pour refaire la procédure complète avant Hijackthis (scan par antiVir avec sa mise à jour et sa désinstallation). Histoire de faire le maximum de mon coté.

Voici le dernier rapport de hiJack:

Logfile of HijackThis v1.99.1

Scan saved at 22:42:37, on 16/06/2006

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Analog Devices\SoundMAX\Smtray.exe

C:\Program Files\Microsoft IntelliType Pro\type32.exe

C:\Program Files\Microsoft IntelliPoint\point32.exe

C:\Norman\bin\ZLH.EXE

C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\Documents and Settings\Administrateur\Mes documents\s?mbols\w?aclt.exe

C:\DOCUME~1\ADMINI~1\MESDOC~1\PPPATC~1\javaw.exe

C:\Program Files\E-Color\True Internet Color\TICIcon.exe

C:\Norman\Bin\Zanda.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\Norman\Nvc\bin\nvcoas.exe

C:\Norman\Nvc\BIN\NVCSCHED.EXE

C:\Norman\bin\NJEEVES.EXE

C:\Norman\Nvc\BIN\nipsvc.exe

C:\WINDOWS\System32\wbem\wmiapsrv.exe

C:\WINDOWS\System32\wbem\wmiprvse.exe

C:\Norman\Nvc\BIN\NIP.EXE

C:\Norman\Nvc\bin\cclaw.exe

C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: (no name) - {859718F8-8441-ABB0-3CD2-895D4CC214CA} - C:\WINDOWS\System32\nbvslmd.dll (file missing)

R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)

F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe,C:\WINDOWS\winsock\csrss.exe

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [smapp] C:\Program Files\Analog Devices\SoundMAX\Smtray.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [type32] "C:\Program Files\Microsoft IntelliType Pro\type32.exe"

O4 - HKLM\..\Run: [intelliPoint] "C:\Program Files\Microsoft IntelliPoint\point32.exe"

O4 - HKLM\..\Run: [Windows Update Firewall System] winmsfw.exe

O4 - HKLM\..\Run: [Application Layer Gateway Service] C:\WINDOWS\System32\algs.exe

O4 - HKLM\..\Run: [Norman ZANDA] C:\Norman\bin\ZLH.EXE /LOAD /SPLASH

O4 - HKLM\..\Run: [security Centers] Sacurity.exe

O4 - HKLM\..\Run: [Windows Update] host.exe

O4 - HKLM\..\Run: [Windows Virtual Assistance] hpms2wtn.exe

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto