Pop-ups de fou!!!!!

Bonsoir

Deux infections différentes.

On commence.

Prière d'imprimer ces instructions, ou de les coller dans un fichier texte, pour lecture durant ce fix. Regarde bien les trois petites notes au bas, avant de débuter.
Télécharge Look2Me-Destroyer.exe sur ton Bureau.
http://www.atribune.org/ccount/click.php?id=7

* Ferme toutes les fenêtres actives avant de passer à l'étape suivante.
* Double-clique Look2Me-Destroyer.exe afin de lancer l'outil.
* Coche Run this program as a task
* Un message s'affichera, te disant ceci : "Look2Me-Destroyer will close and re-open in approximately 10 seconds". Clique OK
* Il se relancera après les 10 secondes, puis clique sur le bouton Scan for L2M; les icônes de ton Bureau vont disparaître : c'est normal.
* Lorsque le scan termine, clique sur le bouton Remove L2M
* Un message Done Scanning apparaîtra, clique OK.
* Un nouveau message s'affichera : Done removing infected files! Look2Me-Destroyer will now shutdown your computer; clique OK.
* Ton PC va maintenant s'éteindre.
* Démarre ton PC normalement.
* Colle le rapport généré, situé ici : C:\Look2Me-Destroyer.txt , ainsi qu'un nouveau rapport HijackThis! dans ta prochaine réponse.

#Si Look2Me-Destroyer ne se relance pas automatiquement après les 10 secondes, redémarre et essaie à nouveau.

##Si tu reçois un message de ton parefeu que l'outil tente d'accéder à l'internet : accepte.

###Si un message runtime error '339' s'affiche : télécharge MSWINSCK.OCX du lien ci-bas, et place-le dans le dossier C:\Windows\System32.
http://www.ascentive.com/support/new/images/lib/MSWINSCK.OCX


Quel est ton antivirus ?....

Look2Me-Destroyer V1.0.7

Scanning for infected files.....
Scan started at 01/03/2006 00:43:23

Infected! C:\WINDOWS\system32\kt4sl7h71.dll
Infected! C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002315.dll
Infected! C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002321.dll
Infected! C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002328.dll
Infected! C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002336.dll
Infected! C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002344.dll
Infected! C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002422.dll
Infected! C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002428.dll
Infected! C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002436.dll
Infected! C:\WINDOWS\system32\ibengine.dll
Infected! C:\WINDOWS\system32\kt4sl7h71.dll
Infected! C:\WINDOWS\system32\m0nq0a55ed.dll
Infected! C:\WINDOWS\system32\m682lglo16qc.dll
Infected! C:\WINDOWS\system32\parfnw.dll
Infected! C:\WINDOWS\System32\guard.tmp

Attempting to delete infected files...

Attempting to delete: C:\WINDOWS\system32\kt4sl7h71.dll
C:\WINDOWS\system32\kt4sl7h71.dll Deleted successfully!

Attempting to delete: C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002315.dll
C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002315.dll Deleted successfully!

Attempting to delete: C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002321.dll
C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002321.dll Deleted successfully!

Attempting to delete: C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002328.dll
C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002328.dll Deleted successfully!

Attempting to delete: C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002336.dll
C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002336.dll Deleted successfully!

Attempting to delete: C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002344.dll
C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002344.dll Deleted successfully!

Attempting to delete: C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002422.dll
C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002422.dll Deleted successfully!

Attempting to delete: C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002428.dll
C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002428.dll Deleted successfully!

Attempting to delete: C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002436.dll
C:\System Volume Information\_restore{10C81125-3F76-4F96-8A23-890D1FA8A8D8}\RP4\A0002436.dll Deleted successfully!

Attempting to delete: C:\WINDOWS\system32\ibengine.dll
C:\WINDOWS\system32\ibengine.dll Deleted successfully!

Attempting to delete: C:\WINDOWS\system32\kt4sl7h71.dll
C:\WINDOWS\system32\kt4sl7h71.dll Deleted successfully!

Attempting to delete: C:\WINDOWS\system32\m0nq0a55ed.dll
C:\WINDOWS\system32\m0nq0a55ed.dll Deleted successfully!

Attempting to delete: C:\WINDOWS\system32\m682lglo16qc.dll
C:\WINDOWS\system32\m682lglo16qc.dll Deleted successfully!

Attempting to delete: C:\WINDOWS\system32\parfnw.dll
C:\WINDOWS\system32\parfnw.dll Deleted successfully!

Attempting to delete: C:\WINDOWS\System32\guard.tmp
C:\WINDOWS\System32\guard.tmp Deleted successfully!

Making registry repairs.

Removing: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\App Management

Removing: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved "{AB352945-CF7E-4DA6-BCDE-45B4F8F4DDEE}"
HKCR\Clsid\{AB352945-CF7E-4DA6-BCDE-45B4F8F4DDEE}

Removing: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved "{77DBECC7-BD0A-413D-A0A6-5D6DF38AA49A}"
HKCR\Clsid\{77DBECC7-BD0A-413D-A0A6-5D6DF38AA49A}

Removing: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved "{C6D8D3B1-408A-4ABC-BD52-8261E4B38CFA}"
HKCR\Clsid\{C6D8D3B1-408A-4ABC-BD52-8261E4B38CFA}

Removing: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved "{F43B4E16-DA56-4575-8AF5-33F104A5E6EB}"
HKCR\Clsid\{F43B4E16-DA56-4575-8AF5-33F104A5E6EB}

Removing: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved "{275F59D4-7D24-482D-B1BC-A61CCED69CD9}"
HKCR\Clsid\{275F59D4-7D24-482D-B1BC-A61CCED69CD9}

Restoring Windows certificates.

Replaced hosts file with default windows hosts file



voila, et pour l'anti virus je ne sais pas si c'est vreement efficasse mais j'ai zonlelabs pro par contre le par feu est telement sever qu'il empeche des jeux que je lui ai ordonné de les laisser online, et jaimerai aussi araanger ca :-P


sinon je te remercie vreement pour laide,merci!!! ;-)

Bien, on continue.
Tu n'as pas mis le nouveau rapport HijackThis, mais je sais que l'infection Vundo est encore là.


Télécharge VundoFix.exe (par Atribune) sur ton Bureau.
http://www.atribune.org/ccount/click.php?id=4

* Double-clique VundoFix.exe afin de le lancer.
* Coche Run VundoFix as a task.
* Un message t'avertira que l'outil va se fermer et s'ouvrir à nouveau : clique Ok
* Clique sur le bouton Scan for Vundo.
* Lorsque le scan est complété, clique sur le bouton Remove Vundo.
* Une invite te demandera si tu veux supprimer les fichiers, clique YES
* Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers.
* Tu verras une invite qui t'annonce que ton PC va s'éteindre ("shutdown"); clique OK
* Démarre ton PC à nouveau.


Tu as peut être Zone Alarm Pro, mais ce n'est pas suffisant.
- 1 (et 1 seul) antivirus résident bien paramétré et mis à jour régulièrement (quotidiennement s'il le faut) avec un scan complet régulier (journalier s'il le faut), gratuit
par exemple AVAST Home Edition FREE
http://www.avast.com/eng/down_home.html
avec inscription obligatoire
http://www.avast.com/i_kat_207.php?lang=ENG
et son tutorial
http://www.pcentraide.com/index.php?showtopic=120

Tu l'installes définitivement sur ton PC et tu fais un scan minutieux.

Ensuite, tu copies/colles le contenu du rapport situé dans C:\vundofix.txt ainsi qu'un nouveau rapport HijackThis! dans ta prochaine réponse.

Logfile of HijackThis v1.99.1
Scan saved at 13:53:31, on 01/03/2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Hijackthis\HijackThis.exe

O2 - BHO: WTLHelper Object - {75DC57F8-D831-4AB8-86B7-4F826F4A0873} - C:\WINDOWS\System32\awtqo.dll
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O20 - Winlogon Notify: awtqo - C:\WINDOWS\System32\awtqo.dll
O20 - Winlogon Notify: sstqn - C:\WINDOWS\System32\sstqn.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\U2Ft\command.exe (file missing)
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe




VundoFix V4.2.27
Scan started at 13:14:53 01/03/2006

Listing files found while scanning....

C:\WINDOWS\system32\pmkhg.dll


VundoFix V4.2.27
Scan started at 13:20:01 01/03/2006

Listing files found while scanning....

C:\WINDOWS\system32\pmkhg.dll

Attempting to delete C:\WINDOWS\system32\pmkhg.dll
C:\WINDOWS\system32\pmkhg.dll Could not be deleted.

Performing Repairs to the registry.
Done!

VundoFix V4.2.27
Scan started at 13:23:01 01/03/2006

Listing files found while scanning....


No infected files were found.


VundoFix V4.2.27
Scan started at 13:27:19 01/03/2006

Listing files found while scanning....


No infected files were found.


VundoFix V4.2.27
Scan started at 13:28:01 01/03/2006

Listing files found while scanning....


No infected files were found.










Look2Me-Destroyer V1.0.7

Scanning for infected files.....
Scan started at 01/03/2006 13:27:40

Infected! C:\WINDOWS\system32\kmdfo.dll
Infected! C:\WINDOWS\system32\kmdfo.dll
Infected! C:\WINDOWS\system32\kwdcz2.dll

Attempting to delete infected files...

Attempting to delete: C:\WINDOWS\system32\kmdfo.dll
C:\WINDOWS\system32\kmdfo.dll Deleted successfully!

Attempting to delete: C:\WINDOWS\system32\kmdfo.dll
C:\WINDOWS\system32\kmdfo.dll Deleted successfully!

Attempting to delete: C:\WINDOWS\system32\kwdcz2.dll
C:\WINDOWS\system32\kwdcz2.dll Deleted successfully!

Making registry repairs.

Removing: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\IPConfTSP

Removing: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved "{B5B6EE6D-2884-4147-BB48-C7694902F60D}"
HKCR\Clsid\{B5B6EE6D-2884-4147-BB48-C7694902F60D}

Restoring Windows certificates.

Replaced hosts file with default windows hosts file






je tien a preciser que j'ai relancer plusieur fois les aplication car les pop up revenaient mais la pour l'instant je n'en ai pas encore vue !!! :-P


Merci de maider et merci pour lanti virus il est trop bien!!
ciao

Salut,

Reposte un nouveau Log HJT car dans ton dernier Log l'infection Vundo était toujours presente !

Logfile of HijackThis v1.99.1
Scan saved at 17:29:08, on 02/03/2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\NovaLogic\Joint Operations Beta Demo\UPDATE.EXE
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Hijackthis\HijackThis.exe

O2 - BHO: WTLHelper Object - {75DC57F8-D831-4AB8-86B7-4F826F4A0873} - C:\WINDOWS\System32\awtqo.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O20 - Winlogon Notify: awtqo - C:\WINDOWS\System32\awtqo.dll
O20 - Winlogon Notify: sstqn - C:\WINDOWS\System32\sstqn.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\U2Ft\command.exe (file missing)
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe


voila et merci!!! :-D

Bonjour

Vundo est toujours là.

Recommence la manip avec VundoFix.