PC infecté - Pub intempestive - Spybot et AdAware ne fonctionnent plus

Voici:


############################## [ UsbFix V3.027 | Scan ]

# User : Marco (Administrateurs) # XPPRO-SP2
# Update on 30/05/09 by Chiquitine29, C_XX & Chimay8
# WebSite : http://pagesperso-orange.fr/NosTools/usbfix.html
# Start at: 02:12:52 | 2009-06-02

# AMD Athlon(tm) 64 X2 Dual Core Processor 4200+
# Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
# Internet Explorer 7.0.5730.11
# Windows Firewall Status : Enabled
# AV : AVG Anti-Virus Free 8.5 [ Enabled | Updated ]

# A:\ # Lecteur de disquettes 3 ½ pouces
# C:\ # Disque fixe local # 149,05 Go (31,45 Go free) # NTFS
# D:\ # Disque CD-ROM
# E:\ # Disque CD-ROM
# F:\ # Disque amovible
# G:\ # Disque amovible # 953,19 Mo (531,67 Mo free) [KINGSTON] # FAT

############################## [ Processus actifs ]

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\PowerISO\PWRISOVM.EXE
C:\Program Files\Fichiers communs\ArcSoft\Connection Service\Bin\ACDaemon.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Microsoft IntelliType Pro\itype.exe
C:\Program Files\Microsoft IntelliPoint\ipoint.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\MétéoMédia\MétéoÉclair\WeatherEye.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\ArcSoft\Connection Service\Bin\ACService.exe
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\Panasonic\PHOTOfunSTUDIO -viewer-\PhAutoRun.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe
C:\Program Files\Fichiers communs\ArcSoft\Connection Service\Bin\ArcCon.ac
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Program Files\HP\Digital Imaging\bin\hpqimzone.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

################## [ Registre Startup ]

HKCU_Main: "Local Page"="C:\\windows\\system32\\blank.htm"
HKCU_Main: "Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"
HKCU_Main: "Start Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome"
HKLM_logon: "Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"
HKLM_logon: "DefaultUserName"="Marco"
HKLM_logon: "AltDefaultUserName"="Marco"
HKLM_logon: "LegalNoticeCaption"=""
HKLM_logon: "LegalNoticeText"=""
HKLM_Run: NvCplDaemon=RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
HKLM_Run: nwiz=nwiz.exe /install
HKLM_Run: NvMediaCenter=RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
HKLM_Run: NeroFilterCheck=C:\WINDOWS\system32\NeroCheck.exe
HKLM_Run: RTHDCPL=RTHDCPL.EXE
HKLM_Run: PWRISOVM.EXE=C:\Program Files\PowerISO\PWRISOVM.EXE
HKLM_Run: ArcSoft Connection Service=C:\Program Files\Fichiers communs\ArcSoft\Connection Service\Bin\ACDaemon.exe
HKLM_Run: StartCCC="C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
HKLM_Run: amd_dc_opt=C:\Program Files\AMD\Dual-Core Optimizer\amd_dc_opt.exe
HKLM_Run: QuickTime Task="C:\Program Files\QuickTime\QTTask.exe" -atboottime
HKLM_Run: Adobe Reader Speed Launcher="C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
HKLM_Run: SunJavaUpdateSched="C:\Program Files\Java\jre6\bin\jusched.exe"
HKLM_Run: AVG8_TRAY=C:\PROGRA~1\AVG\AVG8\avgtray.exe
HKLM_Run: iTunesHelper="C:\Program Files\iTunes\iTunesHelper.exe"
HKLM_Run: itype="C:\Program Files\Microsoft IntelliType Pro\itype.exe"
HKLM_Run: IntelliPoint="C:\Program Files\Microsoft IntelliPoint\ipoint.exe"
HKLM_Run: HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents=
HKCU_Run: CTFMON.EXE=C:\WINDOWS\system32\ctfmon.exe
HKCU_Run: WeatherEye=C:\Program Files\MétéoMédia\MétéoÉclair\WeatherEye.exe
HKCU_Run: NBJ="C:\Program Files\Ahead\Nero BackItUp\NBJ.exe"
HKCU_Run: MSMSGS="C:\Program Files\Messenger\msmsgs.exe" /background

################## [ Fichiers # Dossiers infectieux ]


################## [ Registre # Clés Run infectieuses ]


################## [ Registre # Mountpoints2 ]


################## [ Informations # Fichier Suspect ]


################## [ Cracks # Keygens # Serials ]

# -> Nothing found !

################## [ ! Fin du rapport # UsbFix V3.027 ! ]

Allez, dodo. il est tard.

À demain.

Marco

Salut !

Désolé du délais !

Bon, le fichier en question ne veut pas te quitter, on va le forcer un peu !

* Télécharge OTM (de Old_Timer) sur ton Bureau

http://oldtimer.geekstogo.com/OTM.exe

* Double-clique sur OTM.exe pour le lancer.

* Assure toi que la case Unregister Dll's and Ocx's soit bien cochée.

* Copie la liste qui se trouve en gras dans la citation ci-dessous et colle-la dans le cadre de gauche de OTM sous Paste List of Files/Folders to move.


-----------------------------

:processes
explorer.exe

:files
C:\WINDOWS\system32\tmp.txt

:commands
[purity]
[emptytemp]
[start explorer]

-----------------------------


* Clique sur MoveIt! pour lancer la suppression.

* Le résultat apparaitra dans le cadre "Results".

* Clique sur Exit pour fermer.

* Poste le rapport situé dans C:\_OTM\MovedFiles.

* Il te sera peut-être demandé de redémarrer le pc pour achever la suppression. Si c'est le cas accepte par Yes.

Ensuite redémarre le pc et refais un nouveau rapport RSIT stp que tu me posteras.

A++

Bonsoir!

Il est très tard ici et j'ai manqué le fin de ton message Ric. J'ai commencé par lancer OTM en lui demandant Clean Up au lieu de Move It. J'ai redémarré pour ensuite men apercevoir.

J'ai relancé ensuite OTM en lui demandant Move It comme tu l'as demandé. ET re-démarré. Et refait Move It. Voici le log:

========== PROCESSES ==========
Process explorer.exe killed successfully.
========== FILES ==========
C:\WINDOWS\system32\tmp.txt moved successfully.
========== COMMANDS ==========
File delete failed. C:\DOCUME~1\Marco\LOCALS~1\Temp\etilqs_hmedaedcBdfzWwV53zSZ scheduled to be deleted on reboot.
File delete failed. C:\DOCUME~1\Marco\LOCALS~1\Temp\hpodvd09.log scheduled to be deleted on reboot.
File delete failed. C:\DOCUME~1\Marco\LOCALS~1\Temp\~DF9C81.tmp scheduled to be deleted on reboot.
User's Temp folder emptied.
User's Internet Explorer cache folder emptied.
File delete failed. C:\Documents and Settings\Marco\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
User's Temporary Internet Files folder emptied.
Local Service Temp folder emptied.
File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
Local Service Temporary Internet Files folder emptied.
Network Service Temp folder emptied.
Network Service Temporary Internet Files folder emptied.
File delete failed. C:\WINDOWS\temp\Perflib_Perfdata_304.dat scheduled to be deleted on reboot.
Windows Temp folder emptied.
Java cache emptied.
File delete failed. C:\Documents and Settings\Marco\Local Settings\Application Data\Mozilla\Firefox\Profiles\ncgssj6p.default\Cache\_CACHE_001_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Marco\Local Settings\Application Data\Mozilla\Firefox\Profiles\ncgssj6p.default\Cache\_CACHE_002_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Marco\Local Settings\Application Data\Mozilla\Firefox\Profiles\ncgssj6p.default\Cache\_CACHE_003_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Marco\Local Settings\Application Data\Mozilla\Firefox\Profiles\ncgssj6p.default\Cache\_CACHE_MAP_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Marco\Local Settings\Application Data\Mozilla\Firefox\Profiles\ncgssj6p.default\urlclassifier3.sqlite scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Marco\Local Settings\Application Data\Mozilla\Firefox\Profiles\ncgssj6p.default\XUL.mfl scheduled to be deleted on reboot.
FireFox cache emptied.
Temp folders emptied.
Explorer started successfully

OTM by OldTimer - Version 2.1.0.0 log created on 06052009_014308

Files moved on Reboot...
File C:\DOCUME~1\Marco\LOCALS~1\Temp\etilqs_hmedaedcBdfzWwV53zSZ not found!
C:\DOCUME~1\Marco\LOCALS~1\Temp\hpodvd09.log moved successfully.
File C:\DOCUME~1\Marco\LOCALS~1\Temp\~DF9C81.tmp not found!
File C:\WINDOWS\temp\Perflib_Perfdata_304.dat not found!
C:\Documents and Settings\Marco\Local Settings\Application Data\Mozilla\Firefox\Profiles\ncgssj6p.default\Cache\_CACHE_001_ moved successfully.
C:\Documents and Settings\Marco\Local Settings\Application Data\Mozilla\Firefox\Profiles\ncgssj6p.default\Cache\_CACHE_002_ moved successfully.
C:\Documents and Settings\Marco\Local Settings\Application Data\Mozilla\Firefox\Profiles\ncgssj6p.default\Cache\_CACHE_003_ moved successfully.
C:\Documents and Settings\Marco\Local Settings\Application Data\Mozilla\Firefox\Profiles\ncgssj6p.default\Cache\_CACHE_MAP_ moved successfully.
C:\Documents and Settings\Marco\Local Settings\Application Data\Mozilla\Firefox\Profiles\ncgssj6p.default\urlclassifier3.sqlite moved successfully.
C:\Documents and Settings\Marco\Local Settings\Application Data\Mozilla\Firefox\Profiles\ncgssj6p.default\XUL.mfl moved successfully.

Registry entries deleted on Reboot...

Salut Marco.

Parfait, il est parti !

Est-ce que tu as encore des soucis sur ton pc ?

Ad-Aware, tu peux supprimer, il n'est pas très utile. Spybot redémarre-t-il normalement ?

Tu ne parais plus infecté !

Tout va très bien maintenant Ric.

Merci infiniment!

Marc

Tout va très bien maintenant Ric.

Merci infiniment!

Comment je fais pour indiquer «résolu» stp?


Marco

Salut !

Avant de mettre "Résolu", on doit finaliser la désinfection.

Nettoyage des outils:

* Télécharge ToolsCleaner par A.Rothstein & dj QUIOU sur ton Bureau:

Toolscleaner

* Clique sur Recherche et laisse le scan se terminer.

* Clique, sur Suppression pour finaliser.

* Clique sur Quitter, pour que le rapport puisse se créer.

Poste moi le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur( C:\).

=======================================

Repasse CCleaner afin de nettoyer le système.

=======================================

Redémarre le pc et fais un nouveau rapport Hijackthis, afin de vérifier et cibler d'éventuelles lignes à fixer.

++

[ Rapport ToolsCleaner version 2.3.6 (par A.Rothstein & dj QUIOU) ]

--> Recherche:

C:\UsbFix.txt: trouvé !
C:\_OTM: trouvé !
C:\UsbFix: trouvé !
C:\Rsit: trouvé !
C:\Documents and Settings\Marco\Bureau\Rsit.exe: trouvé !
C:\Documents and Settings\Marco\Menu Démarrer\Programmes\UsbFix: trouvé !
C:\Program Files\Trend Micro\HijackThis.exe: trouvé !
C:\Program Files\Trend Micro\hijackthis.log: trouvé !
C:\Program Files\Trend Micro\HijackThis: trouvé !
C:\Program Files\Trend Micro\HijackThis\hijackthis.log: trouvé !

---------------------------------
--> Suppression:

Salut Ric!

Voici TCleaner.txt:

C:\Program Files\Trend Micro\HijackThis.exe: supprimé !
C:\UsbFix.txt: supprimé !
C:\Documents and Settings\Marco\Bureau\Rsit.exe: supprimé !
C:\Program Files\Trend Micro\hijackthis.log: supprimé !
C:\Program Files\Trend Micro\HijackThis\hijackthis.log: supprimé !
C:\_OTM: supprimé !
C:\UsbFix: supprimé !
C:\Rsit: supprimé !
C:\Documents and Settings\Marco\Menu Démarrer\Programmes\UsbFix: supprimé !
C:\Program Files\Trend Micro\HijackThis: supprimé !

J'ai effectué CCleaner et voici le rapport HJT:

http://www.cijoint.fr/cjlink.php?file=cj200906/cij6QgMOA8.txt

Salut Marco !

Ravi de te revoir !

Tu as fait quoi entre-temps ? Un fichier malsain est apparu !!

C:\WINDOWS\PEV.exe

Après recherche : SpywareRemovalBlog

PREVX

VirusAlert

....

Sans appel, je pense !

=========================================

* Télécharge OTM (de Old_Timer) sur ton Bureau

http://oldtimer.geekstogo.com/OTM.exe

* Double-clique sur OTM.exe pour le lancer.

* Assure toi que la case Unregister Dll's and Ocx's soit bien cochée.

* Copie la liste qui se trouve en gras dans la citation ci-dessous et colle-la dans le cadre de gauche de OTM sous Paste List of Files/Folders to move.


-----------------------------

:processes
explorer.exe

:files
C:\WINDOWS\PEV.exe

:commands
[start explorer]

-----------------------------


* Clique sur MoveIt! pour lancer la suppression.

* Le résultat apparaitra dans le cadre "Results".

* Clique sur Exit pour fermer.

* Poste le rapport situé dans C:\_OTM\MovedFiles.

* Il te sera peut-être demandé de redémarrer le pc pour achever la suppression. Si c'est le cas accepte par Yes.

Ensuite redémarre le pc et refais un nouveau rapport hijackthis stp que tu me posteras.

A

========== PROCESSES ==========
Process explorer.exe killed successfully!
========== FILES ==========
C:\WINDOWS\PEV.exe moved successfully.
========== COMMANDS ==========

OTM by OldTimer - Version 3.0.0.0 log created on 06232009_021903

Voila:

http://www.cijoint.fr/cjlink.php?file=cj200906/cij0XAqvjt.txt

je me suis permis de rectifier ton lien

Shion-Ares

Salut Marco.

Désolé, tu m'a posté le log.txt daté du 15 Juin.

Oups.

Je vérifie et je te reviens

Voici:

http://www.cijoint.fr/cjlink.php?file=cj200906/cijHMJJcBn.txt

Salut Marco.

Le rapport ne montre plus d'infection.

Relance Hijakthis, choisis "Do a system scan only". La liste créée, coche les lignes suivantes :

Code:

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

Clique ensuite sur "Fix Checked".

==============================

Repasse un coup de ccleaner, registre compris. Redémarre ensuite le pc afin que les changements soient pris en compte.

Si tout va bien au reboot : (sinon, redis-moi).

- Désinstalle Hijackthis.
- Désinstalle OTM ainsi que son rapport. (C:\_OTM\MovedFiles)
- Désinstalle Toolscleaner et son rapport. (C:\TCleaner.txt)

!! Très Important !!

Supprimer les anciens points de restauration:

* Cliquer "démarrer", "panneau de configuration", performance et maintenance" puis système".
* Cliquer sur l'onglet "Restauration du système".
* Cocher la case "Désactiver la restauration...", puis "Appliquer" et valider par "OK".

* Cliquer "démarrer", "panneau de configuration", "performance et maintenance" puis "système".
* Cliquer sur l'onglet "Restauration du système".
* Redécocher la case "Désactiver la restauration...", puis "Appliquer" et valider par "OK".

Les points sont supprimés.

Création d'un nouveau point:

* Cliquer "démarrer", "panneau de configuration", "performance et maintenance" puis "restauration du système" (en haut à gauche).
* Dans la nouvelle fenêtre, cocher la case "Créer un point de restauration".
* Cliquer sur "Suivant".
* Entrer un nom pour le point de restauration : ce nom doit être assez évocateur (comme: "Après désinfection...")
* Cliquer sur "Créer" et le point de restauration se créé automatiquement.

=============

Pour une navigation plus sûre et plus rapide:

Addon à ajouter à firefox pour le sécuriser:

Ici : WOT : https://addons.mozilla.org/en-US/firefox/addon/3456
Explications/Demo ici : http://www.mywot.com/fr/demo

+ ceux-ci: http://www.malekal.com/securiser_Firefox.php
=============

Si tu n'as plus de question et/ou problème, pour moi, c'est ok! (Si tu as encore des questions, n'hésite pas ! ) Tu pourras mettre en résolu suivant ce lien : http://www.forum-aide-contre-virus.net/virus-scurit-f1/comment-mettre-son-sujet-rsolu-t58.htm?highlight=r%e9solu

++

Bonsoir Ric,

Tu sais, je n'en reviens juste pas de tout le travail que tu t'es tapé pour nettoyer mon ordi. Je comprends que le décalage horaire y a fait pour beaucoup question délais mais tout de même, ça fait plus d'un mois maintenant quand même!

Merci. Merci infiniment. Je n'ai pas encore compris exactement à quoi des bonshommes comme toi et Geoffrey pouvez carburer mais je vous suis très reconnaissant.

Je crois avoir lu en quelque part sur le site que ce forum n'est pas exactement l'endroit pour s'épancher comme ça mais, si vous m'excusez la digression, je tenais à faire ces quelques commentaires.

Je t'avais mentionné que j'aurais aimé en savoir un peu plus sur le comment et le pourquoi de la première infection qui m'a amenée à vous demander de l'aide. En fait, je crois qu'il est finalement mieux que je n'en ai pas su plus que ça après tout. C'était en fait déjà suffisant. Quand tu m'as appris le 15 juin que j'étais à nouveau infecté, après tout le boulot qu'on s'était déjà tapé toi et moi, j'ai fait tout un méchant pétard à la maison au réveil (décalage horaire oblige).

Les plus vieux sont depuis partis avec leur propre mère et il ne reste que ma petite et moi. Entre le Club Pingouins et Jeux 2 filles, disons que c'est beaucoup plus relax maintenant côté ordi...

C'est bien, quand on est québécois et loin de la francophonie comme on l'est, de savoir qu'on a toujours des cousins éloignés comme vous sur qui on peut compter.

J'emmène Junior(e) à Punta Cana 2 semaines, pour la fin des classes, dans 10 jours. Je boirai quelques verres de rhum à votre santé les mecs!

Merci encore.

Marco


P.S.: Je suis tes dernières recommandations et je mets résolu ensuite.

Salut Marco.



Avec modération tout de même, pense à nous en sirotant ton Rhum ou ton "Ti'Punch" sur les plages de Punta Cana !

A quoi l'on carbure ? A ce genre de post ! Vos remerciements sont nos seules récompenses, avec le fait de voir un pc en bonne forme. Et puis, il faut avouer que l'on aime ce que l'on fait et pour ma part, j'essaie toujours de le faire bien.

Bref, si tout va bien, j'en suis ravi.

lainvi a écrit:

C'est bien, quand on est québécois et loin de la
francophonie comme on l'est, de savoir qu'on a toujours des cousins
éloignés comme vous sur qui on peut compter.

Et oui, et si on vous taquine souvent, c'est parce qu'on vous aime ! Et vous nous le rendez si bien. Moi, je suis en France, Geoffrey en Belgique, toi au Canada....Je trouve ça sympa !

Merci à toi et bon surf.

Prudence sur le net. Envoie-nous quand même une carte de la République Dominicaine !

++

Avec modération évidemment, comme tu le dis, je me ferai un plaisir de lever un petit verre de liquide multicolore avec parasol quétaine à votre santé.

On vous taquine pas mal aussi par chez nous, crains pas Ric...

Par exemple: http://membres.multimania.fr/journel/joke.html

Ciao!

Marco

Hello,
j'aime bien vos expressions tjrs tres poetiques...crisse de pc,va (voir traduction http://membres.multimania.fr/journel/joke.html)
Amitié aux Quebecquois