Libellules.ch - forum d'informatique • Gros soucis Adware, Spyware, trojan etc ... : Désinfections et demandes d'analyse

par **Nicolas D.** » 07 Jan 2006 13:14

Hello à tous,

Arghhhhhhhh j'en peux plus cela fait des heures que j'essaye de virer un méchant spyware ou adware, quoi que c'est peut-être un trojan je ne sais pas ... Je m'explique .. Suite au crashage de mon disque dur j'ai du tout réinstaller et ce qui devait être une formalité se révele un cauchemard ... Je suis pourri par des fenêtes de pubs intempestives et pire ... je ne peux même pas installer les updates Windows ou mon anti-virus Norton

J'ai beau avoir Spybot - Search & Destroy et Ad-Aware rien à faire, ces cochonneries reviennent sans cesse

Je sais qu'il y'a un tutorial là-dessus mais je crois avoir besoin d'un conseil personalisé ... Là j'en suis à hésiter reformater tout mon pc tellement çA me gonfle

par **Revjones** » 07 Jan 2006 13:17

Essaies dans un premier temps de lancer toute l'artillerie, mais en mode sans échec. Souvent, ça suffit à faire en sorte que les nuisibles ne se relancent pas automatiquement.

Et puis il faut s'assurer de la présence d'un pare-feu (celui de Windows ou autre), sinon les failles non patchées sont exploitée pour envoyer encore plus de saloperies...

par **Nicolas D.** » 07 Jan 2006 13:33

Voilà les méchants :

--- Search result list ---

CoolWWWSearch
LSA
Windows Security Center.SP2Update
Windows Security Center.AntiVirusOverride
Windows Security Center.FirewallOverride
Windows Security Center.FirewallDisableNotify
Windows Security Center.AntiVirusDisableNotify
Windows Security Center.UpdateDisableNotify
180Solutions.SearchAssistant

par **Nicolas D.** » 07 Jan 2006 13:35

Revjones a écrit:Essaies dans un premier temps de lancer toute l'artillerie, mais en mode sans échec. Souvent, ça suffit à faire en sorte que les nuisibles ne se relancent pas automatiquement.

Et puis il faut s'assurer de la présence d'un pare-feu (celui de Windows ou autre), sinon les failles non patchées sont exploitée pour envoyer encore plus de saloperies...

Pour le mode sans échec j'ai essayé, sans succès malheureusement

Le firewall ... Bein je viens de voir que celui de Windows était pas installé ... Impossible de le mettre à cause de ces cochonneries ... Je vais essayé d'en trouvé un ailleurs en ésperant qu'il s'installe

Grrrrrrrrrrrrrrrrr c'est frustrant

par **Falkra** » 07 Jan 2006 14:03

Bonjour, coolwebsearch est un des plus coriaces spywares, c'est lui qu'il faut éradiquer en premier. D'abord comme le rappelle Revjones, assure toi d'avoir un firewall activée et opérationnel, les antispywares à jour.

Pour coolwebsearch il y a un utilitaire créé spécialement pour lui :
http://www.libellules.ch/dotclear/index.php?2005/11/15/668-cwshredder

Pour les autres, spybot et ad-aware devraient en venir à bout. N'hésite pas à le faire ne mode sans échec, avec la restauratin ssytème désactivée (pour ne pas restaurer automatiquement les saletés).

par **Nicolas D.** » 07 Jan 2006 17:51

Ok je vais essayer ça ... Vous pensez que cela vient de là mon problème pour installer les upadates Windows ? C'est quand même étrange

En tout cas merci

par **Falkra** » 07 Jan 2006 18:05

Normalement ça n'est pas lié au problème des mises à jour. Il faut de toute façon se débarrasser des spywares/virus ou autres saletés pour que l'ordinateur récupère un comportement plus logique. :-D

par **Nicolas D.** » 07 Jan 2006 18:09

Rien à faire, ils reviennent toujours :cry:

J'ai essayé cwshredder mais il me dit qu'il n'y a rien

par **Falkra** » 07 Jan 2006 18:14

Tout se règle, on y arrivera. :wink:

Il va falloir utiliser hijackthis alors, et analyser son rapport pour empêcher certains spywares de redémarrer avec la machine.

Un billet du blog là dessus :
Interprêter un log hijackthis

Si ça ne donne rien, poste le rapport ici.

par **l' hideux** » 07 Jan 2006 18:30

Il faut aussi penser (selon l' OS utilisé) à une solution simple:
Démarrer/Exécuter/à l' invite entrer "msconfig" , choisir démarrage et décocher tout ce qui semble suspect...puis, sélectionner démarrage sélectif... redémarrer et nettoyer...
courrage,
l²

par **Falkra** » 07 Jan 2006 19:46

tout à fait l'hideux, mais le problème de msconfig, c'est qu'il ne regarde pas tout ce qui démarre ave la machine, seulement le dossier démarrage du menu démarrer et la base de registre. Hijackthis est bien plus complet.

par **antoninosalvo** » 07 Jan 2006 19:59

Bonsoir et une très bonne année 2006 à tous !

Personnellement j'effacerai déjà tous les fichiers temporaires avec l'utilitaire freeware
http://www.stevengould.org/downloads/cl ... anUp40.exe

puis reboot

et après je testerai ad-aware en scan complet sur tous les disques locaux

un nettoyage de la base de registre peut-etre bien (avec regcleaner) si tu le veux envoie moi un MP, car je le trouve plus sur le net.

redis-nous si c mieux ou pas...

A+

par **Nicolas D.** » 07 Jan 2006 21:41

Bon j'ai déjà réussi à en virer une tonne en mode sans échec. J'ai installé par la même occas AntivirXP ( que j'ai trouvé dans les liens libellules ) qui m'a enlevé qq sales vers ... Mon problème semble se préciser, c'est cela qui revient sans cesse :

C:\WINDOWS\SYSTEM32\SSQPQ.DLL

Is the Trojan horse TR/Dldr.ConHook.Q.2

Je viens d'installer Hijackthis mais apparemment il ne marche pas en mode "normal", je vais essayer de le faire démarrer en mode sans échec dès demain & par la même occas je suivrais l'indic de antoninosalvo ... là je dois partir

En tout cas merci déjà pour vos conseils .. Je vois la lumière au bout du tunnel ( J'éspère que c'est pas le train :wink:

)

par **Falkra** » 07 Jan 2006 21:44

Excellent début.
Pour la DLL, c'est très certainement une inscription winlogon (section 20 de hijackthis). Il devrait fonctionner en mode normal, il doit rester des trucs qui le bloquent. en mode sans échec un peu plus de chances. Sinon je te donnerai la manip dans la base de registre pour faire ça manuellement.

Désactive la restauration système en mode sans échec ça virera les doublons des saletés, qui parfois s'en servent pour se faire restaurer.

PS : tu n'aurais pas oublié un firewall après réinstallation de la connexion internet ? Pour en attrapper autant...

par **Nicolas D.** » 08 Jan 2006 14:03

Alors voilà j'ai suivi tout vos conseils et finalement j'ai réussi à utiliser Hijackthis dans le mode sans échec .. En fait maintenant si j'ai bien compris je dois effacer les mauvaises entrées ? J'ai utilisé le lien que tu ( Falkra ) m'a filé pour interpreter le log et j'ai par ex..

O20 - Winlogon Notify: mljjj - mljjj.dll (file missing)

Là il me met que c'est un fichier à enlever ... Je dois simplement aller le chercher avec l'explorer et l'enlevé ? ( Sorry c'est peut-être une question bête )

par **Falkra** » 08 Jan 2006 14:34

Les winlogon notify (tous) n'ont rien à faire là. Pour effacer ça, coche la ligne, et fais "Fix checked", ensuite redémarre. Là ça sera plus propre. Dans le doute, poste le log sur le forum.

par **Nicolas D.** » 08 Jan 2006 15:20

J'ai effacé ce que le site d'évaluation conseillait mais ils reviennent sans cesse ... Voici mon log

Logfile of HijackThis v1.99.1
Scan saved at 15:07:19, on 08.01.2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\WINDOWS\explorer.exe
C:\Documents and Settings\Bureau\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.edicom.ch/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINDOWS\system32\jkhhg.dll
O2 - BHO: ATLDistrib Object - {2353FCBC-012D-487B-8BF3-865C0929FBEB} - C:\WINDOWS\System32\ssqpo.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [IMONTRAY] C:\Program Files\Intel\Intel(R) Active Monitor\imontray.exe
O4 - HKLM\..\Run: [FastTVSync] "C:\Program Files\Fichiers communs\InterVideo\FastTVSync\FastTVSync.exe"
O4 - HKLM\..\Run: [SonicFocus] "C:\Program Files\Sonic Focus\SFIGUI\SFIGUI.EXE" BOOT
O4 - HKLM\..\Run: [farstone] NULL
O4 - HKLM\..\Run: [RestoreIT!] "C:\Program Files\FarStone\RestoreIT!\RestoreIT!_XP\VBPTASK.EXE" VBStart
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [enewsletterpro] C:\windows\enewsletterpro.exe
O4 - HKLM\..\Run: [banmanpro] C:\windows\banmanpro.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [Windows pad] qpad.exe
O4 - HKLM\..\Run: [MMTray] C:\PROGRA~1\MUSICM~1\MUSICM~2\mm_tray.exe
O4 - HKLM\..\Run: [mmtask] "C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe"
O4 - HKLM\..\Run: [SpySweeper] "C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe" /startintray
O4 - HKLM\..\Run: [Securepoint Personal Firewall] "C:\Program Files\Securepoint Personal Firewall\bin\sppfw.exe"
O4 - HKLM\..\RunServices: [Personal Firewall V9] Firewall-UpdateV9.exe
O4 - HKLM\..\RunServices: [Windows pad] qpad.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [Windows pad] qpad.exe
O4 - HKCU\..\RunServices: [MSN Checker] msnchecker.exe
O4 - HKCU\..\RunServices: [Windows pad] qpad.exe
O4 - Global Startup: InterVideo Scheduler server.lnk = C:\Program Files\InterVideo\WinDVD4PR\SchSvr.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe
O8 - Extra context menu item: &Traduire à partir de l'anglais - res://C:\Program Files\Google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Recherche &Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {01010E00-5E80-11D8-9E86-0007E96C65AE} (SupportSoft SmartIssue) - http://www.symantec.com/techsupp/asa/ctrl/tgctlsi.cab
O16 - DPF: {01012101-5E80-11D8-9E86-0007E96C65AE} (SupportSoft Script Runner Class) - http://www.symantec.com/techsupp/asa/ctrl/tgctlsr.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} - http://www.symantec.com/techsupp/asa/ctrl/LSSupCtl.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://software-dl.real.com/0413aa884a4 ... 601_fr.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda ... 6296756453
O16 - DPF: {88D969C0-F192-11D4-A65F-0040963251E5} (XML DOM Document 4.0) - file://C:\TempEI4\EI40_\msxml4.cab
O16 - DPF: {9AC54695-69A4-46F1-BE10-10C74F9520D5} (elitectl.DemoCtl) - http://cabs.elitemediagroup.net/cabs/mediaview.cab
O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - http://www.symantec.com/techsupp/asa/ctrl/SymAData.cab
O20 - Winlogon Notify: Explorer - C:\WINDOWS\system32\enrsl1971.dll
O20 - Winlogon Notify: jkhhg - C:\WINDOWS\SYSTEM32\jkhhg.dll
O20 - Winlogon Notify: ssqpo - C:\WINDOWS\System32\ssqpo.dll
O20 - Winlogon Notify: ssqpq - C:\WINDOWS\SYSTEM32\ssqpq.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Program Files\Executive Software\DiskeeperLite\DKService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Intel(R) Active Monitor (imonNT) - Intel Corp. - C:\Program Files\Intel\Intel(R) Active Monitor\imonnt.exe
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NT Net Driver (NtNav) (NtNav) - Unknown owner - C:\WINDOWS\system32\netnav.exe (file missing)
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: Securepoint Personal Firewall (spfirewallsvc) - Securepoint GmbH - C:\Program Files\Securepoint Personal Firewall\driver\spfirewallsvc.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe

par **Falkra** » 08 Jan 2006 15:32

Ok, ce sont bien les winlogon notify et les 2 BHO qu'il faut effacer en priorité, depuis le mode sans échec (avec restauration système désactivée pour ne pas les faire revenir).

Efface en même temps toutes ces lignes :

O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINDOWS\system32\jkhhg.dll
O2 - BHO: ATLDistrib Object - {2353FCBC-012D-487B-8BF3-865C0929FBEB} - C:\WINDOWS\System32\ssqpo.dll

O4 - HKLM\..\Run: [farstone] NULL
O4 - HKLM\..\Run: [enewsletterpro] C:\windows\enewsletterpro.exe
O4 - HKLM\..\Run: [banmanpro] C:\windows\banmanpro.exe
O4 - HKLM\..\Run: [Windows pad] qpad.exe
O4 - HKLM\..\RunServices: [Windows pad] qpad.exe (les deux)
O4 - HKCU\..\RunServices: [MSN Checker] msnchecker.exe

O16 - DPF: {9AC54695-69A4-46F1-BE10-10C74F9520D5} (elitectl.DemoCtl) - http://cabs.elitemediagroup.net/cabs/mediaview.cab

O20 - Winlogon Notify: Explorer - C:\WINDOWS\system32\enrsl1971.dll
O20 - Winlogon Notify: jkhhg - C:\WINDOWS\SYSTEM32\jkhhg.dll
O20 - Winlogon Notify: ssqpo - C:\WINDOWS\System32\ssqpo.dll
O20 - Winlogon Notify: ssqpq - C:\WINDOWS\SYSTEM32\ssqpq.dll

O23 - Service: NT Net Driver (NtNav) (NtNav) - Unknown owner - C:\WINDOWS\system32\netnav.exe (file missing)

Puis redémarre en mode sans échec, vois si elles réapparaissent dans hijackthis, si ce n'est pas le cas, efface les 4 dll des winlogon et les fichiers de la rubrique 04 (en faisant une recherche par nom de fichier sur le disque dur).

Si ça marche, ça ira mieux. N'oublie pas de virer la restauraitn système avant manipulations. Tu pourras la rétablir après tout ça, bien sûr, mais après.

par **Youreck** » 08 Jan 2006 16:11

Salut,
J'ai remarqué que tu travailles avec WinXp SP1, apres un nettoyage de ton ordi, je te conseille vivement et je crois que c'est l'opinion de tous les libelluliens d'installer le Service Pack 2 pour WinXP, ca va t'eviter que tu attrapes encore d'autres cochonneries du net.
Bon Week End
Youreck

par **Falkra** » 08 Jan 2006 16:15

Youreck a écrit:J'ai remarqué que tu travailles avec WinXp SP1, apres un nettoyage de ton ordi, je te conseille vivement et je crois que c'est l'opinion de tous les libelluliens d'installer le Service Pack 2 pour WinXP, ca va t'eviter que tu attrapes encore d'autres cochonneries du net.

+1, je n'avais pas fait attention.

Gros soucis Adware, Spyware, trojan etc ...

Gros soucis Adware, Spyware, trojan etc ...

Qui est en ligne