[RESOLU] WINBLUE SPYWARE

PAPY · 10 Juin 2009

Bonjour, mon garçon du coté de marseille, sur son portable a récupéré un spyware WINBLUE. Cela se concrétise par le blocage de l'anti virus , blocage d'installation de logiciel (antispyware) et 2 fenetres rouges qui clignote avec des avertissements. Hier soir nous avons essayé pas mal de choses, mais sans résultat. Avez vous une expérience en la matière ? Un idée simple et rapide pour se débarasser de cette M.....
Merci D'avance.
ps : nous avons trouvé un site www.darfuns.com, mais la méthode manuelle n'est pas au point .http://darfuns.com/spyware-removal/remove-wini-blue-soft-manually/

Harcelor · 10 Juin 2009

Salut papy,

Perso j'ai pas encore eu à faire à celui-là, mais je t'ai trouvé une procédure qui semble complète et efficace sur CCM

Tiens nous au jus :sourire-4e62:

PAPY · 10 Juin 2009

Merci HARCELOR, nous venons d'appliquer la procédure décrite, rapport suivant :
Il n'a pas trouvé grand chose, même rien, ni les fichiers ou les clefs de registre. Bien sur, pas de réparation. Nous venons aussi d'essayer d'exécuter HIJACKTHIS, mais sans succès, le virus nous jette. Je suis sec !!!!!

========== PROCESSES ==========
Process explorer.exe killed successfully.
========== FILES ==========
File/Folder c:\Documents and Settings\All Users\Desktop\WinBlueSoft.lnk not found.
File/Folder c:\Documents and Settings\All Users\Start Menu\Programs\WinBlueSoft not found.
File/Folder c:\Documents and Settings\All Users\Start Menu\Programs\WinBlueSoft\1 WinBlueSoft.lnk not found.
File/Folder c:\Documents and Settings\All Users\Start Menu\Programs\WinBlueSoft\2 Homepage.lnk not found.
File/Folder c:\Documents and Settings\All Users\Start Menu\Programs\WinBlueSoft\3 Uninstall.lnk not found.
File/Folder c:\Program Files\WinBlueSoft Software not found.
File/Folder c:\Program Files\WinBlueSoft Software\WinBlueSoft not found.
File/Folder c:\Program Files\WinBlueSoft Software\WinBlueSoft\data.bin not found.
File/Folder c:\Program Files\WinBlueSoft Software\WinBlueSoft\license.txt not found.
File/Folder c:\Program Files\WinBlueSoft Software\WinBlueSoft\uninstall.exe not found.
File/Folder c:\Program Files\WinBlueSoft Software\WinBlueSoft\WinBlueSoft.exe not found.
File/Folder C:\Windows\System32\blocker.dll not found.
========== REGISTRY ==========
Registry key HKEY_CURRENT_USER\Software\WinBlueSoft\\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\WinBlueSoft\\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\WinBlueSoft\\ not found.
Unable to delete registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\ .
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\WinBlueSoft not found.
========== COMMANDS ==========
File delete failed. C:\Users\Olivier\AppData\Local\Temp\etilqs_AOcTMpPp7g3G7dVUNRdJ scheduled to be deleted on reboot.
User's Temp folder emptied.
User's Internet Explorer cache folder emptied.
Windows Temp folder emptied.
File delete failed. C:\Users\Olivier\AppData\Local\Mozilla\Firefox\Profiles\c2ezad0k.default\Cache\_CACHE_001_ scheduled to be deleted on reboot.
File delete failed. C:\Users\Olivier\AppData\Local\Mozilla\Firefox\Profiles\c2ezad0k.default\Cache\_CACHE_002_ scheduled to be deleted on reboot.
File delete failed. C:\Users\Olivier\AppData\Local\Mozilla\Firefox\Profiles\c2ezad0k.default\Cache\_CACHE_003_ scheduled to be deleted on reboot.
File delete failed. C:\Users\Olivier\AppData\Local\Mozilla\Firefox\Profiles\c2ezad0k.default\Cache\_CACHE_MAP_ scheduled to be deleted on reboot.
File delete failed. C:\Users\Olivier\AppData\Local\Mozilla\Firefox\Profiles\c2ezad0k.default\urlclassifier3.sqlite scheduled to be deleted on reboot.
File delete failed. C:\Users\Olivier\AppData\Local\Mozilla\Firefox\Profiles\c2ezad0k.default\XUL.mfl scheduled to be deleted on reboot.
FireFox cache emptied.
Temp folders emptied.
Explorer started successfully

OTM by OldTimer - Version 2.1.0.1 log created on 06102009_172701

Ps : mon gars viens de s'inscrire sur le fofo OLIV13, mais je continue puisque j'ai commencé.
Merci d'avance.

Harcelor · 10 Juin 2009

maintenant que OTM est passé essayez de nouveau les programmes proposés par le gars au début du topic :dontknow-102c:

Et sinon, ça boot en mode sans echec ??

NEO III · 10 Juin 2009

PAPY à dit:
Nous venons aussi d'essayer d'exécuter HIJACKTHIS, mais sans succès, le virus nous jette.

Essaye de télécharger hijackthis sur ton bureau et de le renommer "truc.exe", certains virus bloquent l'utilisation de hijack en se basant sur son nom et cette technique permet de contourner l'action du virus :icon_wink-221e:

GURU MEDITATION · 10 Juin 2009

HS mode on :
Sympa le Speed Triple PAPY :icon_wink-221e:
HS mode off .

PAPY · 10 Juin 2009

NEO III à dit:
Essaye de télécharger hijackthis sur ton bureau et de le renommer "truc.exe", certains virus bloquent l'utilisation de hijack en se basant sur son nom et cette technique permet de contourner l'action du virus :icon_wink-221e:

Bien vu pour le rename rapport suit:
Pour GURU, ma prochaine triple ne sera pas rouge mais blanche vroom vroom!

PAPY · 10 Juin 2009

Oliv13 tu peux saluer mes copins..:hello-11a1::hello-11a1:
Papa

Harcelor · 10 Juin 2009

Bonsoir Oliv13 et bienvenue :sourire-4e62:

Bien joué Neo, et pas con du tout :icon_wink-221e:

Sinon, dans Main menu, choisis plutôt le premier bouton et balance nous un copier coller du rapport sous format texte, se sera plus facile de t'aider et de l'analyser

PAPY · 10 Juin 2009

Mon gars ne peut pas poster ?????

[FONT='Arial','sans-serif']Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:46:06, on 10/06/2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18226)
Boot mode: Normal[/FONT]<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com

ffice

ffice" /><o

></o

>
<o

></o

>
[FONT='Arial','sans-serif']Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\taskeng.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Windows\ehome\ehtray.exe
C:\Windows\System32\setup2.exe
C:\Windows\ehome\ehmsas.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Program Files\Trend Micro\HijackThis\gab.exe
C:\Program Files\Mozilla Firefox\firefox.exe[/FONT]<o

></o

>
<o

></o

>
[FONT='Arial','sans-serif']R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://fr.fr.acer.yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.fr.acer.yahoo.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://fr.rd.yahoo.com/customize/ycomp/defaults/su/*http://fr.yahoo.com
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Canon Easy Web Print Helper - {68F9551E-0411-48E4-9AAF-4BC42A6A46BE} - C:\Program Files\Canon\Easy-WebPrint\EWPBrowseLoader.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [WarReg_PopUp] C:\Acer\WR_PopUp\WarReg_PopUp.exe
O4 - HKLM\..\Run: [Acer Tour Reminder] C:\Acer\AcerTour\Reminder.exe
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0 for Windows Workstations\avp.exe"
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [ISUSPM Startup] "C:\Program Files\Common Files\InstallShield\UpdateService\ISUSPM.exe" -startup
O4 - HKCU\..\Run: [setup2.exe] C:\Windows\system32\setup2.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html
O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html
O9 - Extra button: Statistiques d’Anti-Virus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0 for Windows Workstations\SCIEPlgn.dll
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O13 - Gopher Prefix:
O16 - DPF: {D8089245-3211-40F6-819B-9E5E92CD61A2} (FlashXControl Object) - https://signin9.valueactive.com/Register/Branding/olr3313/OCX/v1018/flashax.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{02529343-4104-45EA-ACCD-8EDEA29F8555}: NameServer = 85.255.112.104,85.255.112.155
O17 - HKLM\System\CCS\Services\Tcpip\..\{2C48A365-5CC1-4FAA-A445-95BB698AA078}: NameServer = 85.255.112.104,85.255.112.155
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.104,85.255.112.155
O17 - HKLM\System\CS1\Services\Tcpip\..\{02529343-4104-45EA-ACCD-8EDEA29F8555}: NameServer = 85.255.112.104,85.255.112.155
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.104,85.255.112.155
O20 - AppInit_DLLs: eNetHook.dll,C:\PROGRA~1\KASPER~1\KASPER~1.0FO\adialhk.dll,C:\PROGRA~1\KASPER~1\KASPER~1.0FO\r3hook.dll
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0 for Windows Workstations\avp.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - c:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe (file missing)
O23 - Service: eRecovery Service (eRecoveryService) - Acer Inc. - C:\Acer\Empowering Technology\eRecovery\eRecoveryService.exe
O23 - Service: Service de l’iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - c:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: MobilityService - Unknown owner - C:\Acer\Mobility Center\MobilityService.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe[/FONT]<o

></o

>
<o

></o

>
[FONT='Arial','sans-serif']--
End of file - 7370 bytes[/FONT]<o

></o

>

NEO III · 10 Juin 2009

Harcelor à dit:
Bien joué Neo, et pas con du tout :icon_wink-221e:

:hat-1194:

C'est une technique utilisée surtout contre la plupart des varientes de Vundo qui empèche un scan hijack quand il est lancé sans le renommer :icon_wink-221e:

Alors pour l'hijack, tu peux cocher et fixer ces lignes là :

O4 - HKCU\..\Run: [setup2.exe] C:\Windows\system32\setup2.exe

O16 - DPF: {D8089245-3211-40F6-819B-9E5E92CD61A2} (FlashXControl Object) - https://signin9.valueactive.com/Regi...18/flashax.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{02529343-4104-45EA-ACCD-8EDEA29F8555}: NameServer = 85.255.112.104,85.255.112.155

O17 - HKLM\System\CCS\Services\Tcpip\..\{2C48A365-5CC1-4FAA-A445-95BB698AA078}: NameServer = 85.255.112.104,85.255.112.155

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.104,85.255.112.155

O17 - HKLM\System\CS1\Services\Tcpip\..\{02529343-4104-45EA-ACCD-8EDEA29F8555}: NameServer = 85.255.112.104,85.255.112.155

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.104,85.255.112.155

Ensuite passes un coup de Malwarebytes' anti malware, poste le rapport ici et suivi d'un autre hijackthis.

Comment se porte le pc à cette étape (après le second hijack) ?

PAPY · 10 Juin 2009

Mon gars ne pouvant poster (est-ce de la ségrégation motardise:mdr3

, il vous remercie grandement, et il est en train de suivre les consignes de NEO.
Merci, merci...

Harcelor · 10 Juin 2009

il a quoi comme message d'erreur quand il veut poster ?? :dontknow-102c:

GURU MEDITATION · 10 Juin 2009

Pour poster , faut que ton gars active son compte :lol-1923: Ca devrait s' arranger en regardant dans ses mails .

PAPY · 10 Juin 2009

GURU MEDITATION à dit:
Pour poster , faut que ton gars active son compte :lol-1923: Ca devrait s' arranger en regardant dans ses mails .

Désolé, mais c'est la premiere chose que nous avons regardé, il n'a pas de mail de OCPC, peut-etre mangé par sa M.... comment faire ?
Merci mon cher GURU.

GURU MEDITATION · 10 Juin 2009

Contacte jojo par MP dans ce cas .

Harcelor · 10 Juin 2009

accéde à sa boite mail en ligne via ton pc par exemple papy, enfin sous condition que tu y est accès, et de là, activer son compte :icon_wink-221e:

PAPY · 10 Juin 2009

[FONT=&quot]ouce1-1a0b: Un grand merci à vous. ouce1-1a0b:[/FONT]
[FONT=&quot]
[/FONT]
[FONT=&quot]Plus de fenètre rouge, à priori c'est bon. Ci joint HIJACK après nettoyage. Vous ètes bons les gars, quelle chance de vous avoir. Bonne soirée à tous et attendons demain pour fermer.[/FONT]
[FONT=&quot]Papy
[/FONT]
[FONT=&quot]
[/FONT]
[FONT=&quot]
[/FONT]
[FONT=&quot]Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:27:02, on 10/06/2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18226)
Boot mode: Normal[/FONT]<o>

></o>

>
<o>

></o>

>
[FONT=&quot]Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Windows\ehome\ehtray.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Windows\ehome\ehmsas.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Program Files\Spyware Doctor\pctsTray.exe
C:\Program Files\Trend Micro\HijackThis\gab.exe[/FONT]<o>

></o>

>
<o>

></o>

>
[FONT=&quot]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://fr.fr.acer.yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.fr.acer.yahoo.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://fr.rd.yahoo.com/customize/ycomp/defaults/su/*http://fr.yahoo.com
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Canon Easy Web Print Helper - {68F9551E-0411-48E4-9AAF-4BC42A6A46BE} - C:\Program Files\Canon\Easy-WebPrint\EWPBrowseLoader.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [WarReg_PopUp] C:\Acer\WR_PopUp\WarReg_PopUp.exe
O4 - HKLM\..\Run: [Acer Tour Reminder] C:\Acer\AcerTour\Reminder.exe
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0 for Windows Workstations\avp.exe"
O4 - HKLM\..\Run: [ISTray] "C:\Program Files\Spyware Doctor\pctsTray.exe"
O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Program Files\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [ISUSPM Startup] "C:\Program Files\Common Files\InstallShield\UpdateService\ISUSPM.exe" -startup
O4 - HKCU\..\Run: [BPS Remover] C:\Program Files\BPS Remover\SpyRem.exe
O4 - HKCU\..\Run: [BPS Spyware Remover] C:\Program Files\BPS Remover\BPSRem.exe /STARTUP
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html
O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html
O9 - Extra button: Statistiques d’Anti-Virus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0 for Windows Workstations\SCIEPlgn.dll
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O13 - Gopher Prefix:
O20 - AppInit_DLLs: eNetHook.dll,C:\PROGRA~1\KASPER~1\KASPER~1.0FO\adialhk.dll,C:\PROGRA~1\KASPER~1\KASPER~1.0FO\r3hook.dll
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0 for Windows Workstations\avp.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - c:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe (file missing)
O23 - Service: eRecovery Service (eRecoveryService) - Acer Inc. - C:\Acer\Empowering Technology\eRecovery\eRecoveryService.exe
O23 - Service: Service de l’iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - c:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: MobilityService - Unknown owner - C:\Acer\Mobility Center\MobilityService.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe[/FONT]<o>

></o>

>
<o>

></o>

>
[FONT=&quot]--
End of file - 6891 bytes[/FONT]<o>

></o>

>

Harcelor · 10 Juin 2009

ça me semble propre

ouce1-1a0b:

NEO III · 10 Juin 2009

/!\ La désinfection n'est pas finie !

Le hijack semble clean, tu as passé un coup de mbam ? Quel en à été le résultat ?

J'aurais encore une petite manip à te faire faire après ça :icon_wink-221e:

PAPY · 11 Juin 2009

NEO III à dit:
/!\ La désinfection n'est pas finie !

Le hijack semble clean, tu as passé un coup de mbam ? Quel en à été le résultat ?

J'aurais encore une petite manip à te faire faire après ça :icon_wink-221e:

Bonjour,
Mbam n'a pas marché, installation ok mais problème en cours de traitement. Je lui ai fait télécharger BPS spyware remover (qui a trouvé et réparé une cinquantaine d'erreurs sérieuses). Je lui fait la commission et nous reprendrons ce soir ci necessaire.
Merci encore, au boulot et bonne journée.
Papy

oliv13 · 11 Juin 2009

ouce1-1a0b:

ouce1-1a0b: Merci et à ce soir .

NEO III · 11 Juin 2009

très bien, donc maintenant on va purger la restauration système. C'est un endroi ou les virus adorent se cacher en attendant de se réveiller pour faire encore plus mal. Tu vas suivre ce tuto pour désactiver la restauration système puis la refaire en cochant les cases qui étaient cochées à la première manip.

Une fois ceci fait, un dernier hijack pour vérifier que je virus n'est pas revenu d'outre tombe avec le reboot de la machine (ça peut arriver si il était caché dans la restauration système) :icon_wink-221e:

NEO III · 14 Juin 2009

PAPY, oliv13, vous êtes toujours là ? :dontknow-102c:

PAPY · 15 Juin 2009

NEO III à dit:
PAPY, oliv13, vous êtes toujours là ? :dontknow-102c:

Ho oui, j'attends mon gars qui a été absent tout le WE, pour savoir ce qu'il a ou ne pas fait avant de fermer. Bonne semaine à tous.

NEO III · 15 Juin 2009

ouce1-1a0b:

oliv13 · 17 Juin 2009

tout est rentré dans l'ordre, merci infiniment pour votre aide et à bientôt. :icon_clap1-1a1655:

NEO III · 17 Juin 2009

Au risque de me répéter, la désinfection n'est pas terminée ! Pensez à lire la charte de la section sécurité notamment le dernier point !

Fais ce que je t'ai dit sur ce post : http://overclocking-pc.eu/forums/showpost.php?p=138999&postcount=23

oliv13 · 19 Juin 2009

voilà le dernier scan de l'ordinateur. merci et bonne journée.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:34:18, on 19/06/2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18248)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Windows\ehome\ehtray.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Windows\ehome\ehmsas.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Trend Micro\HijackThis\gab.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://fr.fr.acer.yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.fr.acer.yahoo.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://fr.rd.yahoo.com/customize/ycomp/defaults/su/*http://fr.yahoo.com
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Canon Easy Web Print Helper - {68F9551E-0411-48E4-9AAF-4BC42A6A46BE} - C:\Program Files\Canon\Easy-WebPrint\EWPBrowseLoader.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [WarReg_PopUp] C:\Acer\WR_PopUp\WarReg_PopUp.exe
O4 - HKLM\..\Run: [Acer Tour Reminder] C:\Acer\AcerTour\Reminder.exe
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0 for Windows Workstations\avp.exe"
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [ISUSPM Startup] "C:\Program Files\Common Files\InstallShield\UpdateService\ISUSPM.exe" -startup
O4 - HKCU\..\Run: [BPS Spyware Remover] C:\Program Files\BPS Remover\BPSRem.exe /STARTUP
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html
O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html
O9 - Extra button: Statistiques d’Anti-Virus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0 for Windows Workstations\SCIEPlgn.dll
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O13 - Gopher Prefix:
O20 - AppInit_DLLs: eNetHook.dll,C:\PROGRA~1\KASPER~1\KASPER~1.0FO\adialhk.dll,C:\PROGRA~1\KASPER~1\KASPER~1.0FO\r3hook.dll
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0 for Windows Workstations\avp.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - c:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe (file missing)
O23 - Service: eRecovery Service (eRecoveryService) - Acer Inc. - C:\Acer\Empowering Technology\eRecovery\eRecoveryService.exe
O23 - Service: Service de l’iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - c:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: MobilityService - Unknown owner - C:\Acer\Mobility Center\MobilityService.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

--
End of file - 6489 bytes

NEO III · 19 Juin 2009

Le rapport est clean, ton pc est désinfecté

ouce1-1a0b:

Si tu n'as pas d'autres questions ajoutes le tag [RESOLU] à ton premier post et je verrouillerai le topic :icon_wink-221e:

[RESOLU] WINBLUE SPYWARE

Extra Terrestre

Super Géant

Extra Terrestre

Super Géant

OCPC Membre Premium

Super Modo OCPC

Extra Terrestre

Extra Terrestre

Super Géant

Extra Terrestre

OCPC Membre Premium

Extra Terrestre

Super Géant

Super Modo OCPC

Extra Terrestre

Super Modo OCPC

Super Géant

Extra Terrestre

Super Géant

OCPC Membre Premium

Extra Terrestre

Membre Junior

OCPC Membre Premium

OCPC Membre Premium

Extra Terrestre

OCPC Membre Premium

Membre Junior

OCPC Membre Premium

Membre Junior

OCPC Membre Premium