Libellules.ch - forum d'informatique • virus ou troyen?mode sans echec impossible : Désinfections et demandes d'analyse

par **leraid** » 30 Avr 2006 22:18

bonsoir

voila mon probleme je me suis apercu quand je tape queleques choses sur google ...je suis automatiquement diriger sur une autre page je me suis dit je vais faire une verification pour voir si pas de virus ou de troyens donc spybot ! et ad aware resultat jai trouver ...Pipas A..je l enleve avec spybot puis je redemarre et la un message erreur sous explorer apparait je ne peux pas l utiliser marche plus ok je me dis je vais essayer en mode sans echec puis j appuie sous administrateur..et l ordi redemarre sans le mode sans echec ??
jai telecharger HijackThis et voila le resultat et apres redemarrage de l ordi Pipas est revenue :twisted:

Logfile of HijackThis v1.99.1
Scan saved at 23:18:14, on 30.04.2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\System32\Ati2evxx.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\system32\Ati2evxx.exe
D:\WINDOWS\Explorer.EXE
D:\Programme\MessengerPlus! 3\MsgPlus.exe
D:\WINDOWS\System32\RunDll32.exe
D:\WINDOWS\soundman.exe
D:\Programme\Logitech\MouseWare\system\em_exec.exe
D:\Programme\Efface Historique 21\EffaceHistorique.exe
D:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
D:\Programme\AntiVir PersonalEdition Classic\sched.exe
D:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe
D:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
D:\Programme\AntiVir PersonalEdition Classic\avguard.exe
D:\Programme\ATI Technologies\ATI.ACE\cli.exe
D:\Programme\Messenger\msmsgs.exe
D:\Programme\MSN Messenger\msnmsgr.exe
D:\WINDOWS\system32\ZONELABS\vsmon.exe
D:\Programme\ATI Technologies\ATI.ACE\cli.exe
D:\Programme\ATI Technologies\ATI.ACE\cli.exe
D:\Programme\Internet Explorer\iexplore.exe
D:\Dokumente und Einstellungen\Besitzer\Desktop\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer bereitgestellt von cablecom hispeed internet
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 80.218.81.122:80
R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\system32\msdxm.OCX
O4 - HKLM\..\Run: [Workflow] E:\Installs\Workflow.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [MessengerPlus3] "D:\Programme\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [CmUsbSound] RunDll32 cmcnfgu.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SoundMan] soundman.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Efface Historique 2.1] D:\Programme\Efface Historique 21\EffaceHistorique.exe -s
O4 - HKLM\..\Run: [Compaqs Service Driver] copypad32.exe
O4 - HKLM\..\Run: [Zone Labs Client] D:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [ISUSPM Startup] D:\PROGRA~1\GEMEIN~1\INSTAL~1\UPDATE~1\isuspm.exe -startup
O4 - HKLM\..\Run: [ISUSScheduler] "D:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [avgnt] "D:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [ATICCC] "D:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [yaemu.exe] D:\WINDOWS\System32\yaemu.exe
O4 - HKLM\..\RunServices: [Compaqs Service Driver] copypad32.exe
O4 - HKCU\..\Run: [MSMSGS] "D:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Steam] "d:\programme\valve\steam\steam.exe" -silent
O4 - HKCU\..\Run: [Compaqs Service Driver] copypad32.exe
O4 - HKCU\..\Run: [MessengerPlus3] "D:\Programme\MessengerPlus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [msnmsgr] "D:\Programme\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\RunServices: [Compaqs Service Driver] copypad32.exe
O4 - Startup: Registration .LNK = D:\Programme\Ubisoft\Demo\Blazing Angels Squadrons of WWII Demo\RegistrationReminder.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = D:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=48835
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/Shar ... vSniff.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda ... 4035039453
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/Shar ... /cabsa.cab
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://go.divx.com/plugin/DivXBrowserPlugin.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://a840.g.akamai.net/7/840/537/2005 ... scan53.cab
O16 - DPF: {7F8C8173-AD80-4807-AA75-5672F22B4582} (ICSScanner Class) - http://download.zonelabs.com/bin/promot ... r37540.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMe ... loader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{1106DB8D-12CD-4EF7-9D36-699A8523F75E}: NameServer = 85.255.113.131,85.255.112.74
O17 - HKLM\System\CCS\Services\Tcpip\..\{4398337F-2B5D-4E03-98D6-73EBF0C76C94}: NameServer = 85.255.113.131,85.255.112.74
O17 - HKLM\System\CS2\Services\Tcpip\..\{1106DB8D-12CD-4EF7-9D36-699A8523F75E}: NameServer = 85.255.113.131,85.255.112.74
O17 - HKLM\System\CS3\Services\Tcpip\..\{1106DB8D-12CD-4EF7-9D36-699A8523F75E}: NameServer = 85.255.113.131,85.255.112.74
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "D:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: pmkhf - D:\WINDOWS\System32\pmkhf.dll (file missing)
O20 - Winlogon Notify: WebCheck - D:\WINDOWS\system32\kt2ml7f11.dll (file missing)
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - D:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - D:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - D:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - D:\WINDOWS\system32\ati2sgag.exe
O23 - Service: HSecurity - Unknown owner - D:\WINDOWS\hseure.exe (file missing)
O23 - Service: windows network (network services) - Unknown owner - D:\WINDOWS\svbhost.exe (file missing)
O23 - Service: sysmgr64 - Unknown owner - D:\WINDOWS\sysmgr64.exe (file missing)
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - D:\WINDOWS\system32\ZONELABS\vsmon.exe
si vous m avez un peu compris merci pour une reponse

par **Falkra** » 01 Mai 2006 07:53

Salut, tu es victime de plusieurs trucs partiellement nettoyés.

Enlève ça si ça n'est pas ton proxy attitré :
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 80.218.81.122:80

Ca vire le sans crainte
R3 - URLSearchHook: (no name) - - (no file)

Ca c'est WIN32.DNSCHANGER.S TROJAN, à virer aussi... (et effacer le fichier après coup)
O4 - HKLM\..\Run: [yaemu.exe] D:\WINDOWS\System32\yaemu.exe

Tous les 017 (les 4)
O17 - HKLM\System\CCS\Services\Tcpip\..\{1106DB8D-12CD-4EF7-9D36-699A8523F75E}: NameServer = 85.255.113.131,85.255.112.74
(IP en Ukraine, je ne pense pas que ça soit Cablecom)

O20 - Winlogon Notify: pmkhf - D:\WINDOWS\System32\pmkhf.dll (file missing)

O20 - Winlogon Notify: WebCheck - D:\WINDOWS\system32\kt2ml7f11.dll (file missing)
O23 - Service: HSecurity - Unknown owner - D:\WINDOWS\hseure.exe (file missing)

Un faux fichier windows, trojan
O23 - Service: windows network (network services) - Unknown owner - D:\WINDOWS\svbhost.exe (file missing)

Son petit frère
O23 - Service: sysmgr64 - Unknown owner - D:\WINDOWS\sysmgr64.exe (file missing)

Donc vire tout ça et ça ira déjà beaucoup mieux. Fais ça en mode sans échec, avec la restauration système désactivée pour être sûr à 100% que ça ne reviendra pas. :-D

par **leraid** » 01 Mai 2006 21:03

Bonsoir

je n arrive meme pas a aller dans le mode sans echec sous administrateur l ordinateur redemarre

merci pour les aides

par **Falkra** » 01 Mai 2006 21:04

Arf, ça doit être un écran bleu.
Si ça passe en mode normal, essaie de virer les lignes de hijackthis en mode normal.

par **leraid** » 01 Mai 2006 22:00

re bonsoir

voila le resultat tout n est pas

parti mais pour l instant revenue a la normale
Mode sans echec ne marche toujours pas

par **Falkra** » 01 Mai 2006 22:01

Il faut d'abord nettoyer tout ça.
Pour éviter les redémarrages, il faut afficher les écrans bleus.

par **leraid** » 01 Mai 2006 22:23

merci de la reponse tres rapide
j ai fait ceque tu ma ecrit mais apres ....euh :oops:

ou je vois les erreurs :oops:

voila le reultat
Logfile of HijackThis v1.99.1
Scan saved at 23:22:28, on 01.05.2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\System32\Ati2evxx.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\system32\Ati2evxx.exe
D:\WINDOWS\Explorer.EXE
D:\Programme\MessengerPlus! 3\MsgPlus.exe
D:\Programme\Logitech\MouseWare\system\em_exec.exe
D:\WINDOWS\System32\RunDll32.exe
D:\WINDOWS\soundman.exe
D:\Programme\Efface Historique 21\EffaceHistorique.exe
D:\Programme\AntiVir PersonalEdition Classic\sched.exe
D:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
D:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe
D:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
D:\Programme\ATI Technologies\ATI.ACE\cli.exe
D:\Programme\AntiVir PersonalEdition Classic\avguard.exe
D:\Programme\Messenger\msmsgs.exe
D:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
D:\Programme\MSN Messenger\msnmsgr.exe
D:\WINDOWS\system32\ZONELABS\vsmon.exe
D:\Programme\ATI Technologies\ATI.ACE\cli.exe
D:\Programme\ATI Technologies\ATI.ACE\cli.exe
D:\WINDOWS\PCHealth\HelpCtr\Binaries\HelpSvc.exe
D:\Dokumente und Einstellungen\Besitzer\Desktop\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer bereitgestellt von cablecom hispeed internet
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [Workflow] E:\Installs\Workflow.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [MessengerPlus3] "D:\Programme\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [CmUsbSound] RunDll32 cmcnfgu.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SoundMan] soundman.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Efface Historique 2.1] D:\Programme\Efface Historique 21\EffaceHistorique.exe -s
O4 - HKLM\..\Run: [Compaqs Service Driver] copypad32.exe
O4 - HKLM\..\Run: [Zone Labs Client] D:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [ISUSPM Startup] D:\PROGRA~1\GEMEIN~1\INSTAL~1\UPDATE~1\isuspm.exe -startup
O4 - HKLM\..\Run: [ISUSScheduler] "D:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [avgnt] "D:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [ATICCC] "D:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [NsCplTray] Uint32.exe
O4 - HKLM\..\Run: [SysSupport] lpt.exe
O4 - HKLM\..\RunServices: [Compaqs Service Driver] copypad32.exe
O4 - HKCU\..\Run: [MSMSGS] "D:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Steam] "d:\programme\valve\steam\steam.exe" -silent
O4 - HKCU\..\Run: [Compaqs Service Driver] copypad32.exe
O4 - HKCU\..\Run: [MessengerPlus3] "D:\Programme\MessengerPlus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [bnui] atl_helper.exe
O4 - HKCU\..\Run: [LOPTCON] dePloy.exe
O4 - HKCU\..\Run: [iehelper] xsetup.exe
O4 - HKCU\..\Run: [msnmsgr] "D:\Programme\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\RunServices: [Compaqs Service Driver] copypad32.exe
O4 - Startup: Registration .LNK = D:\Programme\Ubisoft\Demo\Blazing Angels Squadrons of WWII Demo\RegistrationReminder.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = D:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=48835
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/Shar ... vSniff.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda ... 4035039453
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/Shar ... /cabsa.cab
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://go.divx.com/plugin/DivXBrowserPlugin.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://a840.g.akamai.net/7/840/537/2005 ... scan53.cab
O16 - DPF: {7F8C8173-AD80-4807-AA75-5672F22B4582} (ICSScanner Class) - http://download.zonelabs.com/bin/promot ... r37540.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMe ... loader.cab
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - D:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - D:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - D:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - D:\WINDOWS\system32\ati2sgag.exe
O23 - Service: windows network (network services) - Unknown owner - D:\WINDOWS\svbhost.exe (file missing)
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - D:\WINDOWS\system32\ZONELABS\vsmon.exe

par **Falkra** » 01 Mai 2006 22:27

J'analyse ici pour aller plus vite : http://www.hijackthis.de/, mais ça n'est pas parfait.

En trop il reste

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
O23 - Service: windows network (network services) - Unknown owner - D:\WINDOWS\svbhost.exe (file missing)

Et tous les petits programmes bizaroides en 04
O4 - HKCU\..\Run: [bnui] atl_helper.exe
O4 - HKCU\..\Run: [LOPTCON] dePloy.exe
O4 - HKCU\..\Run: [iehelper] xsetup.exe
O4 - HKLM\..\Run: [NsCplTray] Uint32.exe
O4 - HKLM\..\Run: [SysSupport] lpt.exe

Je ne m'y fie pas trop...

par **leraid** » 01 Mai 2006 22:30

ok un grand merci je vous tiens au courant :shock:

par **Falkra** » 01 Mai 2006 22:32

Pour les écrans bleus, ça permet de voir si le redémarrage est dû à un problème logiciel (l'écran bleu apparaît) ou si c'est autre chose (alim fatiguée, carte mère, etc).

virus ou troyen?mode sans echec impossible

virus ou troyen?mode sans echec impossible

mode sans echec impossible

Qui est en ligne