Pb suite a Virus Trojan-spy.html.smitfraud

il faut télécharger a2free, c'est un anti trojan

1-Télécharge les outils suivants:

*PocketKillBox
http://www.bleepingcomputer.com/files/spyware/KillBox.z...

*DelDomain.inf
http://www.mvps.org/winhelp2002/restricted.htm

*Hoster
http://www.funkytoad.com/download/hoster.zip

*EasyCleaner
http://personal.inet.fi/business/toniarts/ecleane.htm

*Smitfaurd.reg
http://www.bleepingcomputer.com/files/reg/smitfraud.reg

IMPORTANT
Tu dois effectuer toutes les corrections HORS CONNEXION.Imprime cette page.

-2-Désinstalle via Ajout/suppression des programmes du panneau de configuration ,le(s) programme(s) suivant(s):

Security IGuard
Virtual Maid
Search Maid


-3- Clic droit sur
ce fichier >Enregistrer la cible sous, et tu télécharges ce fichier sur ton bureau.
Une fois téléchargé, double-clique sur smitfraud.reg et clique sur Oui lorsqu'on te demande confirmation pour Fusionner.
Lorsque tu reçois un message du bon déroulement, supprime le fichier smitfraud.reg

-4-Lance PocketKillBox, coche la case "Delete on reboot". Ne pas fermer le programme.
Fais Démarrer ->Exécuter, tape notepad, un fichier bloc-notes s'ouvre
Ensuite tu fais Ctrl-A pour sélectionner tout le texte suivant , Ctrl-C pour le copier dans le presse papier.



QUOTE
C:\wp.exe
C:\wp.bmp
C:\bsw.exe
C:\Windows\sites.ini
C:\Windows\popuper.exe
C:\Windows\System32\helper.exe
C:\Windows\System32\intmonp.exe
C:\Windows\System32\msmsgs.exe
C:\Windows\System32\ole32vbs.exe
C:\Windows\system32\msole32.exe
C:\WINDOWS\system32\hp560F.tmp
C:\WINDOWS\System32\shnlog.exe
C:\WINDOWS\System32\intmon.exe


Sur PocketKillBox-->File-->Paste from Clipboard,tu cliques ensuite sur la croix rouge
Au deux méssages qui vont s'afficher,tu réponds par "YES"

-Redémarre en mode sans échec (F5 ou F8)

-5-Lance Hijackthis, scan et coche les lignes ci-dessous:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.startsearches.net/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.startsearches.net/bar.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.startsearches.net/search.php?qq=%1
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.startsearches.net/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.startsearches.net/search.php?qq=%1
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.startsearches.net/search.php?qq=%1
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.startsearches.net/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: UserInit=C:\windows\System32\userinit.exe
O2 - BHO: VMHomepage Class - {FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA} - C:\windows\system32\hpD05B.tmp
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll (file missing)
O9 - Extra button: Microsoft AntiSpyware helper - {5ABFDD35-7B8F-438E-9CD9-4081229F16ED} - (no file) (HKCU)
O9 - Extra 'Tools' menuitem: Microsoft AntiSpyware helper - {5ABFDD35-7B8F-438E-9CD9-4081229F16ED} - (no file) (HKCU)
O15 - Trusted IP range: 206.161.125.149 (HKLM)
O16 - DPF: {8EC69950-F299-40AC-A004-3BF5176F8F7B} (FlowScan Control) - http://www.checkspy.com/fr/FlowScan.cab
O21 - SSODL: System - {830EDD44-6D03-4A77-943D-92B9DDB285B7} - C:\WINDOWS\system32\system32.dll (file missing)

-6-Ferme toutes les fenêtres Internet Explorer, Outlook Express sauf Hijackthis, puis clique sur "Fix checked"

-7-Supprime les fichiers et dossiers suivants s'ils sont encore présents:

C:\Program Files\Search Maid<-le dossier
C:\Program Files\Virtual Maid<-le dossier
C:\Program Files\Security IGuard<-le dossier
C:\WINDOWS\system32\system32.dll< le fichier

-8-Redémarre normalement

-9-Ouvre Hoster, et clique sur "Restore Original Hosts" ---> "OK"
Quitte le programme.

-10-Fais un clic droit le fichier Del_Domains.inf -->Installer

-11-Lance et exécute EasyCleaner.
N'utilise que les fonctions Inutiles et Registre.
Supprime tout ce qu'il te propose.

-12-Redémarre et poste un nouveau rapport Hijackthis.

Le poblème c que je ne peux rien faire, n'acceder a rien, pas meme ouvrir un menu :-((

Bonjour,

cutkiller123, le copier/coller ne sert à rien Tu n'as pas de rapport Hijackthis pour travailler dessus. Tu ne sais pas si c'est le bon fichier tmp ( il est souvent alèatoire )
Et il y a surement des fichiers différents à supprimer.
C'est vrai que je travaille avec des textes tout prêts, mais je les adapte selon les circonstances. Et après des recherches.

Jam2005
Quand tu démarres pour le mode sans échec, essaye de choisir Dernière bonne configuration connue.

Bonjour,

J'ai le même problème : Trojan-spy.html.smitfraud

Pouvez-vous m'aider et me dire comment faire pour vous donner un rapport Hijackthis afin que vous puissiez étudier mon problème ?

D'avance merci pour votre aide

bonjour donc voila je suis tout nouveau sur le forum et comme la plupart des gens j'ai chopé le fameux trojan-spy.html.smitfraud. J'ai donc l'ecran bleu avec le message d'alerte, j'ai aussi une dizaine d'icone sur mon bureau qui ne partent jamais ( une fois supprimées elles reapparaissent..) et toutes les 2 minutes on veut me connecter au site www.specialgoods.qqch ( les icones envoient sur ce site..) en fouillant sur le forum j'ai essayé les différentes manip ( supprimer wp.bmp et wp.exe et tout le tralala..) mais c pas concluant.. j'ai donc fait comme tout le monde avec hijackthis et je vous envoie le rapport. j'espere sincerement que vous pourrez m'aider. je vous remercie d'avance.
Logfile of HijackThis v1.99.1
Scan saved at 18:12:18, on 10/07/2005
Platform: Windows 2000 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\UStorSrv.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\Explorer.exe
C:\Program Files\Winamp\Winampa.exe
C:\WINNT\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
C:\WINNT\System32\internat.exe
C:\Program Files\n-CASE\FLEOK\msbb.exe
C:\bsw.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINNT\system32\ntvdm.exe
C:\WINNT\System32\taskmgr.exe
C:\Documents and Settings\Administrateur\Bureau\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.libertysurf.fr/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.specialgoods.info/ad/ad0456/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: transURL Class - {C7EDAB2E-D7F9-11D8-BA48-C79B0C409D70} - C:\WINNT\System32\SEARCH~1.DLL
O1 - Hosts: 255.255.255.255 www.casinoxo.com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: URLLink Class - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - C:\Program Files\NewDotNet\newdotnet6_38.dll (file missing)
O2 - BHO: BAHelper Class - {A3FDD654-A057-4971-9844-4ED8E67DBBB8} - C:\Program Files\SideFind\sfbho13.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [WhenUSave] C:\PROGRA~1\Save\Save.exe
O4 - HKLM\..\Run: [IST Service] C:\Program Files\ISTsvc\istsvc.exe
O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~1.DLL,NewDotNetStartup -s
O4 - HKLM\..\Run: [hpfsched] C:\WINNT\hpfsched.exe
O4 - HKLM\..\Run: [EPSON Stylus C62 Series] C:\WINNT\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C62 Series" /O5 "LPT1:" /M "Stylus C62"
O4 - HKLM\..\Run: [Epson Rappel concernant l'enregistrement] "C:\WINNT\temp\NavBrowser.exe" /r /i "C:\WINNT\temp\NavLoad.ini"
O4 - HKLM\..\Run: [HDAudio Driver 1.0] C:\WINNT\System32\asdnockr.exe
O4 - HKLM\..\Run: [Systems] C:\WINNT\System32\itDDD.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [msbb] C:\Program Files\n-CASE\FLEOK\msbb.exe
O4 - HKCU\..\Run: [WindowsFY] C:\bsw.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: NkvMon.exe.lnk = C:\Program Files\Nikon\NkView6\NkvMon.exe
O9 - Extra button: SideFind - {10E42047-DEB9-4535-A118-B3F6EC39B807} - C:\WINNT\System32\shdocvw.dll
O9 - Extra button: Microsoft AntiSpyware helper - {47ACE9D7-5583-4EF9-9CA0-2964B9A49851} - C:\WINNT\System32\wldr.dll
O9 - Extra 'Tools' menuitem: Microsoft AntiSpyware helper - {47ACE9D7-5583-4EF9-9CA0-2964B9A49851} - C:\WINNT\System32\wldr.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra button: Microsoft AntiSpyware helper - {47ACE9D7-5583-4EF9-9CA0-2964B9A49851} - C:\WINNT\System32\wldr.dll (HKCU)
O9 - Extra 'Tools' menuitem: Microsoft AntiSpyware helper - {47ACE9D7-5583-4EF9-9CA0-2964B9A49851} - C:\WINNT\System32\wldr.dll (HKCU)
O10 - Broken Internet access because of LSP provider 'c:\program files\newdotnet\newdotnet6_38.dll' missing
O12 - Plugin for .avi: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin.dll
O12 - Plugin for .wav: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin.dll
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe
O23 - Service: UStorage Server Service - OTi - C:\WINNT\system32\UStorSrv.exe

hello à tous.
Je me suis un peu balader sur le net, et voila ce que j'ai trouvé...
j'avais aussi ce virus de .......

la je suis pas chez moi je suis au taff, et il utilise l'antivirus trend, qui arrive a repérer smitfraud, mais c'est tout. quarantaine ou delete, il connais pas  

j'ai donc mis Avast antivirus (celui que j'utilise chez moi, gratos et nikel, j'ai jamais de virus chez moi)

un scan minutieux, ensuite un scan programmée après un reboot, et zou plus de smitfraud.  

ensuite il restait encore l'iconne rouge avec le point d'exlamation, en fond de tache...

pour la dégager, j'ai lancer un scan avec HijackThis, et j'ai fixer puis effacer les lignes :
O4 - HKLM\..\Run: [dxvid] C:\WINDOWS\System\dxvid \nocomm
O4 - HKLM\..\Run: [intel32.exe] C:\WINDOWS\System32\intel32.exe
O4 - HKLM\..\Run: [PSGuard] C:\Program Files\PSGuard\PSGuard.exe

et voila. j'ai galérer depuis ce matin a me lire des pages sur les forum... mais ca a porté ses fruits.

j'espère que ca vous aidera.
a bientot
remi