Tom's Guide > Forum > Sécurité - Virus > Problème avec PSGUARD [résolu]

Problème avec PSGUARD [résolu]

Forum Sécurité - Virus : Problème avec PSGUARD [résolu]

TomsGuide.com : 800 000 inscrits répondent à toutes vos questions high-tech et informatique. Pour obtenir de l'aide, inscrivez-vous gratuitement !
Créer un nouveau sujet Répondre
Mot :    Pseudo :           
 
patmat17   23-08-2005 à 10:51:20

Bonjour,
Je rencontre depuis quelques jours des pbs avec un invité-surprise du nom de PSGUARD, qui se régénère systématiquement chaque jour au lancement de mes accès internet. J'arrive à le détecter et à le supprimer avec Spybot, mais il revient toujours.
Merci si des spécialistes peuvent m'aider à me débarrasser de lui.
Cordialement
Patrick

Répondre
Liens sponsorisés
Inscrivez-vous ou connectez-vous pour masquer ceci.
esteban54   23-08-2005 à 11:27:54
- 0 +

Bonjour,

1/ Télécharge >>SmitfraudFix<< de S!Ri
Dézippes-le sur le Bureau.
Ouvre le dossier SmitfraudFix et lance SmitfraudFix.cmd
Choisis l'option 1 (Recherche)
Poste le rapport ici

2/ Redémarre en mode sans échec (Pour cela : démarrer le PC en tapotant sur la touche F8 du clavier jusqu'à ce que le menu des options avancées de Windows apparaisse puis avec les touches fléchées du clavier, sélectionner Mode sans échec puis appuyer sur la touche Entrée...)

Relance SmitfraudFix et choisis cette fois l’option 2 et réponds oui à chaque question
Sauvegarde le rapport.

3/ Redémarre normalement et poste le 2ème rapport de SmitfraudFix

Répondre à esteban54
patmat17   23-08-2005 à 14:24:13
- 0 +

Bonjour Esteban54, merci de votre aide, voici le premier rapport. Cordialement- Patrick

SmitFraudFix v1.8

Rapport fait à 14:21:23,70 le mar. 23/08/2005
Executé à partir de C:\Documents and Settings\p_mathieu\Bureau\SmitfraudFix
OS: Microsoft Windows 2000 [Version 5.00.2195]

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\


»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINNT


»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINNT\system


»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINNT\Web


»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINNT\system32

C:\WINNT\system32\intell32.exe PRESENT !
C:\WINNT\system32\oleext.dll PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINNT\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Documents and Settings\p_mathieu\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Program Files

C:\Program Files\PSGuard\ PRESENT!

»»»»»»»»»»»»»»»»»»»»»»»» Recherche fichiers créés le 23/08/2005
!!! Attention, les fichiers qui suivent ne sont pas forcément infectés !!!

C:\PAGEFILE.SYS
C:\AVG7DB_F.DAT
C:\WINNT\system32\intell32.exe

»»»»»»»»»»»»»»»»»»»»»»»» Recherche présence de la clé HKLM\SOFTWARE\SHUDDERLTD

HKLM\SOFTWARE\SHUDDERLTD Présent !

C:\WINNT\system32\wininet.dll infecté !

»»»»»»»»»»»»»»»»»»»»»»»» Recherche wininet.dll de remplacement

Le volume dans le lecteur C n'a pas de nom.
Le num‚ro de s‚rie du volume est 1C33-16E5

R‚pertoire de C:\WINNT\system32

30/08/2002 18:24 590ÿ336 wininet.dll
1 fichier(s) 590ÿ336 octets

R‚pertoire de C:\WINNT\system32\dllcache

30/08/2002 18:24 590ÿ336 wininet.dll
1 fichier(s) 590ÿ336 octets

R‚pertoire de C:\WINNT\ServicePackFiles\i386

19/06/2003 21:05 470ÿ800 wininet.dll
1 fichier(s) 470ÿ800 octets

»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport

Répondre à patmat17
patmat17   23-08-2005 à 14:48:20
- 0 +

Pour Esteban, ci-dessous le second rapport

Pour Alessia, je suis désolé mais je ne sais pas ce qu'est un log "hijacthis"
Merci

SmitFraudFix v1.8

Rapport fait à 14:34:33,44 le mar. 23/08/2005
Executé à partir de C:\Documents and Settings\p_mathieu\Bureau\SmitfraudFix
OS: Microsoft Windows 2000 [Version 5.00.2195]

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

C:\WINNT\system32\intell32.exe supprimé
C:\WINNT\system32\oleext.dll supprimé

C:\Program Files\PSGuard\ supprimé

»»»»»»»»»»»»»»»»»»»»»»»» Teste la présence de HKLM\SOFTWARE\SHUDDERLTD

HKLM\SOFTWARE\SHUDDERLTD Présent !
Création clé temporaire
Sauvegarde clé temporaire
Suppression clé temporaire
Fusion clé temporaire
Suppression clé ShudderLTD
problèle suppression HKLM\SOFTWARE\SHUDDERLTD

»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

Nettoyage terminé.

»»»»»»»»»»»»»»»»»»»»»»»» Recheche wininet.dll

C:\WINNT\system32\wininet.dll infecté !

Recherche d'une copie de secours (backup) de wininet.dll...
Le volume dans le lecteur C n'a pas de nom.
Le num‚ro de s‚rie du volume est 1C33-16E5

R‚pertoire de C:\WINNT\system32

30/08/2002 18:24 590ÿ336 wininet.dll
1 fichier(s) 590ÿ336 octets

R‚pertoire de C:\WINNT\system32\dllcache

30/08/2002 18:24 590ÿ336 wininet.dll
1 fichier(s) 590ÿ336 octets

R‚pertoire de C:\WINNT\ServicePackFiles\i386

19/06/2003 21:05 470ÿ800 wininet.dll
1 fichier(s) 470ÿ800 octets

Fichier trouvé : C:\WINNT\system32\dllcache\wininet.dll
Version System : 6.0.2800.1106
Version BackUp : 6.0.2800.1106

Remplacement wininet.dll (reboot necessaire)

»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport


Répondre à patmat17
esteban54   23-08-2005 à 14:55:49
- 0 +

Télécharge le programme >>Hijackthis 1.99.1<<

Dézippe-le et mets le dans un dossier specifique (exemple : ..\Bureau\Hijackthis\Hijackthis.exe )

Lance-le
Clique sur "Do a system scan and save a logfile" et poste le rapport avec copier/coller

Répondre à esteban54
patmat17   23-08-2005 à 15:17:09
- 0 +

Esteban,
Suite au reboot de tout à l'heure à la suite du second rapport Smitfraudix, c'est un peu la panique, notre ami PSGuard est revenu en force, puisqu'il m'a en plus noirçi mon fond d'écran avec un joli message en rouge "Warning, your computer is infected, etc..."
J'ai lancé un petit Spybot pour constater les dégats et j'ai 70 problèmes :
- PSGuard.msmsgs 2 éléments
- PSGuard 65 éléments
- Desktop.DisplayProperties 3 éléments
Dois-je faire un "Corriger les problèmes" dans Spybot avant de lancer le HIJACKTHIS, ou bien dois-je lancer HIJACKTHIS en conservant les problèmes ?
Merci de votre aide Cordialement Patrick

Répondre à patmat17
esteban54   23-08-2005 à 15:30:35
- 0 +

Corrige les prob avec Spybot
puis lance HijackThis et poste le rapport

Répondre à esteban54
patmat17   23-08-2005 à 15:41:46
- 0 +

Esteban,
J'ai Corrigé les 70 pbs dans Spybot, écran tjs noir avec message, icone rouge ronde PSguard dans la barre en bs à droite, par contre l'icone PSGuard du bureau s'est effacée...
Ci-joint le rapport Hijackthis Merci bcp Patrick

Logfile of HijackThis v1.99.1
Scan saved at 15:38:28, on 23/08/2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINNT\System32\svchost.exe
C:\OfficeScan NT\ntrtscan.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\OfficeScan NT\tmlisten.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\mspmspsv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\OfficeScan NT\ofcdog.exe
C:\WINNT\system32\tp4mon.exe
C:\WINNT\system32\wuauclt.exe
C:\OfficeScan NT\pccntmon.exe
C:\PROGRA~1\WANADOO\CnxMon.exe
C:\PROGRA~1\WANADOO\TaskbarIcon.exe
C:\Program Files\Microsoft AntiSpyware\gcasServ.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\WINNT\system32\internat.exe
C:\OfficeScan NT\pccntupd.exe
C:\Program Files\Microsoft AntiSpyware\gcasDtServ.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\Program Files\Wanadoo\EspaceWanadoo.exe
C:\Program Files\Wanadoo\ComComp.exe
C:\Program Files\Wanadoo\Watch.exe
C:\web.exe
C:\Program Files\Outlook Express\msimn.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINNT\explorer.exe
C:\Documents and Settings\p_mathieu\Bureau\Hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\WANADOO\SEARCH~1.DLL
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Internet Explorer Hot Fix - {D4919C29-9422-482B-8555-C3F72B06B4F9} - C:\WINNT\system32\nwcsw.dll (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [TrackPointSrv] tp4mon.exe
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [OfficeScanNT Monitor] "C:\OfficeScan NT\pccntmon.exe" -HideWindow
O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\WANADOO\CnxMon.exe
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\WANADOO\Watch.exe
O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\WANADOO\TaskbarIcon.exe
O4 - HKLM\..\Run: [dflnl.exe] C:\WINNT\system32\dflnl.exe
O4 - HKLM\..\Run: [vmcleaner] gxlib.exe
O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = apsara.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{188536EC-FC6B-44AD-B754-FFFA7FC5F5D7}: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CCS\Services\Tcpip\..\{28835D77-762F-40BE-BD43-B569A3882B22}: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CCS\Services\Tcpip\..\{E0EA5F4A-92EA-44AE-93C7-A7BD019A0B9D}: NameServer = 80.10.246.1 80.10.246.132
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = apsara.com
O17 - HKLM\System\CS1\Services\VxD\MSTCP: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CS1\Services\Tcpip\..\{188536EC-FC6B-44AD-B754-FFFA7FC5F5D7}: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = apsara.com
O17 - HKLM\System\CS2\Services\VxD\MSTCP: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CS2\Services\Tcpip\..\{188536EC-FC6B-44AD-B754-FFFA7FC5F5D7}: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 69.50.184.84,195.225.176.37
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Scannage en temps réel OfficeScanNT (ntrtscan) - Trend Micro Inc. - C:\OfficeScan NT\ntrtscan.exe
O23 - Service: OfficeScanNT Listener (tmlisten) - Unknown owner - C:\OfficeScan NT\tmlisten.exe

Répondre à patmat17
esteban54   23-08-2005 à 15:45:01
- 0 +

Je n'ai pas le temps d'analyser ton rapport maintenant
mais je repasserai ce soir tard (>23h) à moins que qq'un ait pris le relais ;-)

Répondre à esteban54
esteban54   23-08-2005 à 21:07:21
- 0 +

Je suis revenu plus tôt que prévu...

1/ Télécharge et installe CCleaner

2/ Redémarre en mode sans échec (Pour cela : démarrer le PC en tapotant sur la touche F8 du clavier jusqu'à ce que le menu des options avancées de Windows apparaisse puis avec les touches fléchées du clavier, sélectionner Mode sans échec puis appuyer sur la touche Entrée...)

3/ Lance Hijackthis et fixe les lignes suivantes :

O2 - BHO: Internet Explorer Hot Fix - {D4919C29-9422-482B-8555-C3F72B06B4F9} - C:\WINNT\system32\nwcsw.dll (file missing)

O4 - HKLM\..\Run: [dflnl.exe] C:\WINNT\system32\dflnl.exe

O4 - HKLM\..\Run: [vmcleaner] gxlib.exe

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

4/ Assure-toi que tu as accès aux fichiers cachés.
(explorateur windows->outils->options des dossiers->affichage
"Afficher les fichiers et dossiers cachés"->coché
"Masquer les extensions des fichiers dont le type est connu"->décoché
"Masquer les fichiers protégés du système d'exploitation->décoché)

5/ Ensuite supprime les fichiers et/ou dossiers suivants

C:\WINNT\system32\nwcsw.dll
C:\WINNT\system32\dflnl.exe
gxlib.exe --> fais une recherche sur ton PC, sans doute localisé dans C:\WINDOWS\System32 ou C:\WINDOWS
C:\WINNT\web\related.htm

6/ Ouvre le dossier SmitfraudFix et lance SmitfraudFix.cmd
Choisis l’option 2, réponds oui à chaque question
Sauvegarde le rapport.

7/ Lance CCleaner puis bouton Analyse ensuite Bouton Lancer le Nettoyage

8/ Redémarre normalement puis fais un scan en ligne sur Panda >>ici<<

9/ Poste le rapport de SmitfraudFix, celui de Panda et un nouveau rapport Hijackthis.

Répondre à esteban54
patmat17   23-08-2005 à 22:00:41
- 0 +

Bsr Esteban,
Merci pour la réponse, que veut dire au point n°3 "fixe les lignes suivantes" ?
Merci Patrick

Répondre à patmat17
esteban54   23-08-2005 à 22:09:20
- 0 +

tu lances HijackThis
puis --> Do a system scan only
tu coches les lignes indiquées
puis --> Fix checked
puis oui à la question de confirmation

Répondre à esteban54
patmat17   24-08-2005 à 00:03:21
- 0 +

Rebonsoir Esteban,
J'ai suivi la procédure à la lettre, cela a pris un peu de temps...
Au point n°5, je n'ai pas trouvé les ficiers nwcsw.dll et dflnl.exe, je n'ai pas donc pu les supprimer (j'ai fait une recherche sur tout le disque)
Pour le moment plus de trace de PSGuard, mais si j'en crois Panda, je traine quelques problèmes.
J'en ai un qui est récurrent quand je me connecte à Internet, j'ai des messages de type
"Service affichage de messages
Message de System à Alert le 23/08/2005
SECURITY ALERT
Windows has detected etc....
Visit : www.registry32.com"
Je clique et cela disparait jusqu'à la prochaine fois.
Merci pour votre aide, je suis encore connecté pour un moment.
Cordialement
Patrick

Voici les rapport Smitfraudix, Panda et Hijackthis :

SmitFraudFix v1.8

Rapport fait à 22:45:30,01 le mar. 23/08/2005
Executé à partir de C:\Documents and Settings\p_mathieu\Bureau\SmitfraudFix
OS: Microsoft Windows 2000 [Version 5.00.2195]

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

SmitFraudFix v1.8

Rapport fait à 14:34:33,44 le mar. 23/08/2005
Executé à partir de C:\Documents and Settings\p_mathieu\Bureau\SmitfraudFix
OS: Microsoft Windows 2000 [Version 5.00.2195]

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

C:\WINNT\system32\intell32.exe supprimé
C:\WINNT\system32\oleext.dll supprimé

C:\Program Files\PSGuard\ supprimé

»»»»»»»»»»»»»»»»»»»»»»»» Teste la présence de HKLM\SOFTWARE\SHUDDERLTD

HKLM\SOFTWARE\SHUDDERLTD Présent !
Création clé temporaire
Sauvegarde clé temporaire
Suppression clé temporaire
Fusion clé temporaire
Suppression clé ShudderLTD
problèle suppression HKLM\SOFTWARE\SHUDDERLTD

»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

Nettoyage terminé.

»»»»»»»»»»»»»»»»»»»»»»»» Recheche wininet.dll

C:\WINNT\system32\wininet.dll infecté !

Recherche d'une copie de secours (backup) de wininet.dll...
Le volume dans le lecteur C n'a pas de nom.
Le num‚ro de s‚rie du volume est 1C33-16E5

R‚pertoire de C:\WINNT\system32

30/08/2002 18:24 590ÿ336 wininet.dll
1 fichier(s) 590ÿ336 octets

R‚pertoire de C:\WINNT\system32\dllcache

30/08/2002 18:24 590ÿ336 wininet.dll
1 fichier(s) 590ÿ336 octets

R‚pertoire de C:\WINNT\ServicePackFiles\i386

19/06/2003 21:05 470ÿ800 wininet.dll
1 fichier(s) 470ÿ800 octets

Fichier trouvé : C:\WINNT\system32\dllcache\wininet.dll
Version System : 6.0.2800.1106
Version BackUp : 6.0.2800.1106

Remplacement wininet.dll (reboot necessaire)

»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport

C:\WINNT\system32\oleext.dll supprimé
C:\WINNT\system32\wppp.html supprimé


»»»»»»»»»»»»»»»»»»»»»»»» Teste la présence de HKLM\SOFTWARE\SHUDDERLTD

HKLM\SOFTWARE\SHUDDERLTD Présent !
Création clé temporaire
Sauvegarde clé temporaire
Suppression clé temporaire
Fusion clé temporaire
Suppression clé ShudderLTD
problèle suppression HKLM\SOFTWARE\SHUDDERLTD

»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

Nettoyage terminé.

»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport

RAPPORT PANDA


Incident Statut Analyse

Adware:adware/sbsoft No Désinfecté C:\WINNT\rdt.ini
Adware:adware/azesearch No Désinfecté C:\myvbs.vbs
Dialer:dialer.bjp No Désinfecté HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONEMAP\DOMAINS\ARCHIVIOSEX.NET
Adware:Adware/QuickWeb No Désinfecté C:\WINNT\system32\ntfsnlpa.exe
Spyware:Spyware/BetterInet No Désinfecté C:\WINNT\system32\pxpcya64.exe
Virus:Trj/LowZones.JF Désinfecté C:\WINNT\Downloaded Program Files\foercwzz.exe
Virus:Trj/LowZones.JF Désinfecté C:\Program Files\Internet Explorer\foercwzz.exe
RAPPORT HIJACKTHIS

ogfile of HijackThis v1.99.1
Scan saved at 23:52:37, on 23/08/2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINNT\System32\svchost.exe
C:\OfficeScan NT\ntrtscan.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\OfficeScan NT\tmlisten.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\mspmspsv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\OfficeScan NT\ofcdog.exe
C:\WINNT\system32\tp4mon.exe
C:\OfficeScan NT\pccntmon.exe
C:\PROGRA~1\WANADOO\CnxMon.exe
C:\WINNT\system32\wuauclt.exe
C:\PROGRA~1\WANADOO\TaskbarIcon.exe
C:\Program Files\Microsoft AntiSpyware\gcasServ.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\WINNT\system32\internat.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\OfficeScan NT\pccntupd.exe
C:\Program Files\Microsoft AntiSpyware\gcasDtServ.exe
C:\Program Files\Wanadoo\EspaceWanadoo.exe
C:\Program Files\Wanadoo\ComComp.exe
C:\Program Files\Wanadoo\Watch.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINNT\explorer.exe
C:\Documents and Settings\p_mathieu\Bureau\Hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\WANADOO\SEARCH~1.DLL
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [TrackPointSrv] tp4mon.exe
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [OfficeScanNT Monitor] "C:\OfficeScan NT\pccntmon.exe" -HideWindow
O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\WANADOO\CnxMon.exe
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\WANADOO\Watch.exe
O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\WANADOO\TaskbarIcon.exe
O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activ [...] asinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = apsara.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{188536EC-FC6B-44AD-B754-FFFA7FC5F5D7}: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CCS\Services\Tcpip\..\{28835D77-762F-40BE-BD43-B569A3882B22}: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CCS\Services\Tcpip\..\{E0EA5F4A-92EA-44AE-93C7-A7BD019A0B9D}: NameServer = 80.10.246.1 80.10.246.132
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = apsara.com
O17 - HKLM\System\CS1\Services\VxD\MSTCP: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CS1\Services\Tcpip\..\{188536EC-FC6B-44AD-B754-FFFA7FC5F5D7}: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = apsara.com
O17 - HKLM\System\CS2\Services\VxD\MSTCP: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CS2\Services\Tcpip\..\{188536EC-FC6B-44AD-B754-FFFA7FC5F5D7}: NameServer = 69.50.184.84,195.225.176.37
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 69.50.184.84,195.225.176.37
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Scannage en temps réel OfficeScanNT (ntrtscan) - Trend Micro Inc. - C:\OfficeScan NT\ntrtscan.exe
O23 - Service: OfficeScanNT Listener (tmlisten) - Unknown owner - C:\OfficeScan NT\tmlisten.exe


Répondre à patmat17
esteban54   24-08-2005 à 00:13:14
- 0 +

les fenêtres sont-elles du genre Internet Explorer ou boîtes de dialogues windows ?

Répondre à esteban54
patmat17   24-08-2005 à 00:24:17
- 0 +

La fenetre est la suivante
En haut dans une barre bleue :
"Service Affichage des messages" avec la petite croix à droite
Ensuite le corps du message est en gris, petite écriture de type message Internet :
" Message de SYSTEM à ALERT le 24/08/2005 00:19:43
Microsoft Windows has encountered an Internal Error
Your windows registry is corrupted
We recommand a complete system sacn
Visit
http://NeatReg.com
To repair now !"
Enfin, en bas au milieu, un petit OK dans un rectangle gris

Répondre à patmat17
esteban54   24-08-2005 à 00:25:59
- 0 +

Pour ces fenêtres fais ceci :

Désactiver le service d'affichage des messages :
Démarrer --> Exécuter --> taper services.msc puis OK
Dans la liste, chercher la ligne "Affichage des messages" puis double-cliquer dessus.
Régler le "type de démarrage" sur "Désactiver"
Pour le statut du service, cliquer sur le bouton Arrêter
puis cliquer sur Appliquer.

je reviens de suite...

Répondre à esteban54
esteban54   24-08-2005 à 00:30:03
- 0 +

Le rapport HijackThis est propre.

Pour le reste : supprime ces fichiers
C:\WINNT\rdt.ini
C:\myvbs.vbs
C:\WINNT\system32\ntfsnlpa.exe
C:\WINNT\system32\pxpcya64.exe

et c bon

Répondre à esteban54
patmat17   24-08-2005 à 00:31:37
- 0 +

J'ai désactivé le service d'affichage des messages, je pourrai vous dire d'ici quelques minutes si les messages n'apparaissent plus.
Et pour le rapport Panda qui ne semblait pas très encourageant, qu'en pensez-vous Docteur Esteban ?

Répondre à patmat17
esteban54   24-08-2005 à 00:34:35
- 0 +

c rien
supprime les fichiers que j'ai précisés post précédent

;-)

Répondre à esteban54
patmat17   24-08-2005 à 00:48:59
- 0 +

Bon voilà tout à l'air d'être rentré dans l'ordre, j'avoue ne pas avoir tout compris, mais je suis très impressionné et je vous remercie beaucoup de votre aide.
J'ai maintenant pas mal de programmes téléchargés sur mon vieux pc, et cela rame un peu... Que dois-je garder parmi CCleaner, HijackThis, Smitfraud et aussi Panda qui a dû m'installer pas mal de trucs ActiveX?
En général j'utilise le Spybot et le AVGFree.
Avant d'en appeler à vos services, j'avais aussi télécharger le Microsoft AntiSpyware (dois-je le garder?)
Et mauvaise nouvelle, je n'ai pas eu le temps de finir ma réponse qu'un message habituel "SYSTEM à ALERT etc.." vient de revenir...
Si vous êtes encore là, je reste à votre écoute
Merci

Répondre à patmat17
esteban54   24-08-2005 à 01:04:01
- 0 +

Le service "affichage des messages" est désactivé pour le prochain démarrage.
mais il faut l'arrêter pour la session en cours
c la même procédure mais cliquer sur le bouton "Arrêter"

Les prog chargés sont légers, cela dit :
CCleaner peut être désinstallé
HijackThis, SmitfraudFix --> supprimer
ActiveX de Panda --> c'est pas ça qui fait ramer le PC

en plus il est très fortement recommandé d'installer un pare-feu, par exemple ZoneAlarm qui est simple et gratuit.

Répondre à esteban54
patmat17   24-08-2005 à 01:16:27
- 0 +

OK, merci pour les infos, je viens de telecharger ZoneAlarm
Une dernière question si je peux abuser, dans Panda, il a detecté un numéroteur/dialer : doit-on l'eradiquer ou ce n'est pas genant ?
Et que pensez-vous du MicrosoftSpywareAlert, cela sert-il à quelque chose ?
Merci

Répondre à patmat17
esteban54   24-08-2005 à 01:29:20
- 0 +

Microsoft AntiSpyware est pas mal
perso je l'ai pas
avec un bon antivirus + pare-feu + màj windows + comportement prudent (pas télécharger et ouvrir n'importe quoi, éviter les sites à risques) --> pas de prob

pour ce qui est du dialer il reste seulement une trace dans la base de registre :
HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONEMAP\DOMAINS\ARCHIVIOSEX.NET
pas grave mais elle peut toujours être supprimée en passant par l'éditeur de registre à manipuler AVEC PRÉCAUTION
démarrer/Exécuter puis taper regedit puis entrée
ensuite suivre le chemin de la clef et la supprimer

Répondre à esteban54
patmat17   24-08-2005 à 01:45:46
- 0 +

OK c'est fait.
Merci pour tout, vous avez été vraiment top.
Comment je fais pour marquer que c'est résolu ?
Cordialement Patrick

Répondre à patmat17
esteban54   24-08-2005 à 01:50:33
- 0 +

--> éditez le premier post pour avoir accès au titre

Répondre à esteban54
Créer un nouveau sujet Répondre
Tom's Guide > Forum > Sécurité - Virus > Problème avec PSGUARD [résolu]
Aller à :

Il y a 2359 utilisateurs connus et inconnus. Pour voir la liste des connectés connus, cliquez ici.

Plan du forum
Forum Bestofmedia ©
2000-2009 Bestofmedia Group
Page générée en 0,326 secondes
Attention

Vous allez répondre sur un sujet resté inactif pendant plus de 6 mois.
Assurez-vous d'apporter des éléments nouveaux à la discussion avant de poursuivre.

Répondre Annuler
Liens