[Résolu] Infection avec Spyware-secure
Forum Sécurité - Virus : [Résolu] Infection avec Spyware-secure
Bonsoir 
Telecharge Navilog1 <- ici
enregistre le sur ton Bureau
double clic sur Navilog1.exe ( le .exe peut ne pas apparaitre )
Il s’éxécutera automatiquement
(Si ce n'est pas le cas, double clique sur le raccourci présent sur le Bureau)
suis les invites et choisis l'option 1 puis valide
n'utilise pas les options 2,3 ou 4
attend jusqu'a " analyse terminé le ........... "
appuie sur une touche comme demandé
Copie / Coller le rapport généré ( C:\fixnavi.txt ) dans ta réponse
- Mode Sans Echec -
Répondre à Eric_71
Bonsoir 
,
Entendu pour Navilog1, le rapport sera posté demain soir.
Merci.
Message édité par Chre le 23-08-2007 à 22:22:32
Répondre à Chre
à demain , bonne soirée
Bonsoir toutes et tous
Voici le rapport demandé :
--
Search Navipromo version 2.0.9 commencé le 24/08/2007 à 20:54:19,01
!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Poster ce rapport sur le forum pour le faire analyser !!!
!!! Ne pas lancer la partie désinfection sans l'avis d'un spécialiste !!!
Fix lancé depuis C:\Program Files\navilog1
Mise a jour le 20.08.2007 a 22h30 by IL-MAFIOSO
Executé en mode normal
*** Recherche Programmes installes ***
*** Recherche dossiers dans C:\WINDOWS ***
*** Recherche dossiers dans C:\Program Files ***
*** Recherche dossiers dans C:\Documents and Settings\All Users\Application Data ***
*** Recherche dossiers dans C:\Documents and Settings\fr‚d‚ric\Application Data ***
*** Recherche avec BlackLight Engine/F-secure ***
BlackLight Engine est un produit de F-secure, pour + d'infos :
http://www.f-secure.com/blacklight [...] _help.html
F-SECURE BLACKLIGHT ROOTKIT ELIMINATOR
======================================
Copyright 2005-2006 F-Secure Corporation. All rights reserved.
This is a beta version. It will expire on 1st of October, 2007.
Version information: 2.2.1064.
[+] Started on 08/24/07 at 20:54:20.
[+] Initializing ...
[+] Starting scan, press Ctrl-C to abort.
[+] Scanning for hidden items ..................................................................................
[+] Scan complete.
[+] Summary: 0 hidden item(s) found, 0 scheduled for renaming.
[+] Exited on 08/24/07 at 21:03:16 (return code = 0).
*** Recherche avec GenericNaviSearch ***
!!! Tous Ces résultats peuvent révéler des fichiers légitimes !!!
!!! A verifier impérativement avant toute suppression manuelle !!!
Fichiers trouvés :
Aucun Fichier trouvé !
Fichiers suspects :
Aucun Fichier suspect trouvé !
*** Recherche fichiers ***
C:\WINDOWS\Downloaded Program Files\EGAUTH.inf trouvé !
C:\WINDOWS\Downloaded Program Files\EGDACCESS.inf trouvé !
C:\WINDOWS\Downloaded Program Files\EGDACCESS_ASPIV4.inf trouvé !
C:\WINDOWS\tmlpcert2007 trouvé !
*** Recherche cles registre ***
Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs]
C:\WINDOWS\system32\EGDACCESS_1068.dll REG_DWORD 0x1
C:\WINDOWS\system32\EGDACCESS_ASPIV4_1068.dll REG_DWORD 0x1
C:\WINDOWS\system32\EGDACCESS_ASPIV4_1069.dll REG_DWORD 0x1
C:\WINDOWS\system32\EGDACCESS_1069.dll REG_DWORD 0x1
C:\WINDOWS\system32\EGDACCESS_ASPIV4_1070.dll REG_DWORD 0x1
C:\WINDOWS\system32\EGDACCESS_1070.dll REG_DWORD 0x1
C:\WINDOWS\system32\EGDACCESS_ASPIV4_1071.dll REG_DWORD 0x1
C:\WINDOWS\system32\EGDACCESS_1071.dll REG_DWORD 0x1
C:\WINDOWS\system32\EGDACCESS_1073.dll REG_DWORD 0x1
C:\WINDOWS\system32\EGDACCESS_ASPIV4_1073.dll REG_DWORD 0x1
C:\WINDOWS\eg_auth_1046.dll REG_DWORD 0x1
C:\WINDOWS\eg_auth_1047.dll REG_DWORD 0x1
C:\WINDOWS\system32\egaccess4_1061.dll REG_DWORD 0x1
C:\WINDOWS\system32\egaccess4_1063.dll REG_DWORD 0x1
C:\WINDOWS\system32\egaccess4_1064.dll REG_DWORD 0x1
Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage]
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\C
WINDOWS/system32/EGDACCESS_1068.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\CWINDOWS/system32/EGDACCESS_1069.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\CWINDOWS/system32/EGDACCESS_1070.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\CWINDOWS/system32/EGDACCESS_1071.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\CWINDOWS/system32/EGDACCESS_1073.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\CWINDOWS/system32/EGDACCESS_ASPIV4_1068.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\CWINDOWS/system32/EGDACCESS_ASPIV4_1069.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\CWINDOWS/system32/EGDACCESS_ASPIV4_1070.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\CWINDOWS/system32/EGDACCESS_ASPIV4_1071.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\CWINDOWS/system32/EGDACCESS_ASPIV4_1073.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\CWINDOWS/eg_auth_1046.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\CWINDOWS/eg_auth_1047.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\CWINDOWS/system32/egaccess4_1061.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\CWINDOWS/system32/egaccess4_1063.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\CWINDOWS/system32/egaccess4_1064.dll
Recherche Clé Magic Control
HKEY_CURRENT_USER\Software\Lanconfig trouvé !
HKEY_USERS\S-1-5-21-449577589-1411560117-3989723319-1007\Software\Lanconfig trouvé !
*** Module de Recherche complémentaire ***
(Recherche fichiers spécifiques)
1)Recherche fichiers connus:
2)Recherche Heuristique :
*
**
***
****
*****
******
*******
********
3)Recherche Certificats :
Certificat Egroup trouvé !
*** Analyse Terminé le 24/08/2007 à 21:03:38,51 ***
--
Message édité par Chre le 24-08-2007 à 21:08:12
Répondre à Chre
Bonsoir
Ouvre Spybot , clique sur l'onglet Mode et choisis Mode Avancé
Ne tiens pas compte de l'avertissement
En bas à gauche , clique sur Outils
Toujours dans la colonne de gauche , clique sur Résident ( pas dans la fenêtre centrale )
Et décoche l'option Resident "TeaTimer".......
-----------------------------------------------------------
Double clique sur le raccourci Navilog1
Choisis cette fois ci l'option 2 et valide
Il va t’informer qu’il va Redémarrer l’ordinateur
Ferme toutes les fenêtres !
si tu as des documents personnels ouverts , Enregistre les !
Appuie sur une touche comme demandé
( s’il ne redémarre pas automatiquement , redémarre manuellement )
attend jusqu'à ce message :
" Nettoyage Terminé le ..... "
Sauvegarde le rapport sur ton Bureau
ton bureau va réapparaître
( si ce n’est pas le cas , appuie sur Ctrl+Alt+Suppr , dans l’onglet Processus , clique sur Fichier , choisis Executer et tape explorer puis valide )
poste le rapport sauvegardé ( C:\cleannavi.txt )
et un nouveau rapport Hijackthis
- Mode Sans Echec -
Répondre à Eric_71
Bien , il était coriace Spyware-secure
Télécharge clean <- ici
décompresse-le sur ton bureau ( extraire tous les fichiers) , tu obtient un dossier clean
Ouvre le dossier clean, double-clique sur clean.cmd ( le .cmd peut ne pas apparaitre )
choisis l'option 1 puis patiente
un rapport est généré , poste ce rapport
- Mode Sans Echec -
Répondre à Eric_71
C'est mieux ?
il reste des bricoles , on continue le nettoyage
Imprime cette page car tu n'auras pas accès à internet durant la procédure !
Télécharge puis installe AVG Anti-Spyware <- ici
Fais les mises à jour mais ne lance pas de scan tout de suite
Redémarre en mode sans échec ( démarrer / redémarrer / tapotte sur F8 jusqu'a l'apparition du menu / monte avec les fleches sur mode sans echec / choisis ta session )
Relance AVG
Choisis l'onglet Analyse , puis l'onglet Paramètres
Sous la question Comment réagir ? clique sur Actions recommandées et choisis Quarantaine
Reclique sur l'onglet Analyse puis fais Analyse complète du système
a la fin de l'analyse ,si un fichier est infecté clique sur Appliquer toutes les actions
Clique sur Enregistrer le rapport puis sur Enregistrer le rapport sous ( enregistre sur ton Bureau )
Ouvre le dossier clean, double-clique sur clean.cmd
Choisis l'option 2 et patiente
Redémarre normalement
Poste le rapport AVG
le rapport clean : C:\rapport clean.txt
et un rapport Hijackthis
- Mode Sans Echec -
Répondre à Eric_71
| Eric_71 a écrit : C'est mieux ?
|
C'est beaucoup mieux, les fenêtres intempestives de
spyware-secure ne sont plus là 
C'était juste un peu beaucoup long...
Lors de l'arrêt du poste, mon pc avait chargé
15 mises à jour MS Windows XP. Je l'ai donc laissé
les installer. Etaient-elles bloquées par mes
infections ?
Voici le rapport AVG :
--
---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------
+ Créé à: 00:15:34 25/08/2007
+ Résultat de l'analyse:
HKLM\SOFTWARE\Classes\CLSID\{645FF040-5081-101B-9F08-00AA002F954E}\shellex\ContextMenuHandlers\{7EC618F2-C506-4221-9F56-792B92BF762E} -> Adware.DriveCleaner : Nettoyé et sauvegardé (mise en quarantaine).
C:\System Volume Information\_restore{20F508DD-556D-4780-869F-D1CE4C742FF6}\RP537\A0034996.exe -> Adware.NaviPromo : Nettoyé et sauvegardé (mise en quarantaine).
C:\Documents and Settings\frédéric\Cookies\frédéric@msnportal.112.2o7[1].txt -> TrackingCookie.2o7 : Nettoyé.
C:\Documents and Settings\frédéric\Cookies\frédéric@ads.pointroll[2].txt -> TrackingCookie.Pointroll : Nettoyé.
C:\Documents and Settings\frédéric\Cookies\frédéric@weborama[2].txt -> TrackingCookie.Weborama : Nettoyé.
Fin du rapport
--
Répondre à Chre
| Citation : C'était juste un peu beaucoup long... |
Oui , mais nécessaire pour tout désinfecté
| Citation : Lors de l'arrêt du poste, mon pc avait chargé
|
Certaines infections bloquent les MAJ , tu seras maintenant mieux protègé
Fais un scan en ligne Kaspersky <- ici avec Internet Explorer
Clique sur Demarrer Online-Scanner ( en bas à droite )
Clique sur J'accepte , si necessaire valide l'installation des ActiveX
laisse installer les Mises à jour , choisis l'analyse du Poste de travail
à la fin de l'analyse , Sauvegarde le rapport puis colle le dans ta réponse
Si tu vois ce message : La licence de Kaspersky On-line Scanner est périmée
vas dans Ajout / Suppression de programmes et désinstalle On-Line Scanner
retourne sur le site et retente le scan
( tu peux le faire demain , c'est assez long )
- Mode Sans Echec -
Répondre à Eric_71
Bonjour ( ) toutes et tous,
Bonjour Eric71, et merci pour tout le travail déjà réalisé,
| Eric_71 a écrit : Imprime cette page car tu n'auras pas accès à internet durant la procédure ! |
| Eric_71 a écrit : Choisis l'onglet Analyse , puis l'onglet Paramètres |
Quelques informations complémentaires qui peuvent servir
à d'autres .
Je n'avais pas d'imprimante sous la main, j'ai donc fait un
copier/coller de tes instructions dans le bloc-notes, et j'ai
enregistré les instructions sur mon bureau. Après le reboot
en mode sans échec, j'avais donc le fichier avec les instructions
à suivre.
Pour AVG, il y a deux onglets "analyse", et évidemment j'ai choisi
le mauvais et je ne trouvais pas les options. Il faut donc utiliser
l'onglet "analyse" le plus à gauche ; et çà roule
| Eric_71 a écrit : Fais un scan en ligne Kaspersky <- ici avec Internet Explorer
|
J'ai effectivement attendu ce matin pour le lancer. Par contre,
cela fait déjà 45mn, et il est bloqué à 6% dans le dossier
"Infolder" de Thunderbird. J'attends encore, mais çà me semble
étrange. Le nombre de fichiers scannés n'évolue plus.
Même si cela ne semble pas être l'habitude sur ce forum (?),
j'aimerais connaître les infections dont je suis victime. Il me
semble bien qu'il n'y a pas que Spyware-secure qui m'embête
ici ?
Enfin, dans le rapport HijackThis, les lignes suivantes m'interpellent 
Comment puis-je les supprimer, et
surtout, les programmes associés ?
| Citation :
|
Répondre à Chre
| Citation : j'aimerais connaître les infections dont je suis victime. Il me
|
Egdaccess , Spyware-secure , et quelques petites bêtes
| Citation : cela fait déjà 45mn, et il est bloqué à 6% dans le dossier
|
Suivant la taille des fichiers , il peut rester plus ou moins longtemps dessus
| Citation : les lignes suivantes m'interpellent |
Si tu ne te sert pas de ces programmes tu peux faire ça :
Relance Hijackthis clique cette fois sur do a system scan only
coche dans les cases à gauche les lignes suivantes ( et uniquement celles-ci ) :
O4 - HKCU\..\Run: [MP3Chansons] C:\Documents and Settings\frédéric\Application Data\MP3Chansons[1].exe t
O4 - HKCU\..\Run: [FavoriSexy] "C:\Program Files\FavoriSexy\FavoriSexy.exe" /boot
O9 - Extra button: MP3Chansons - {EF6D6AE3-2625-40D6-A5AB-920DFD2DAF8C} - C:\Documents and Settings\frédéric\Application Data\MP3Chansons[1].exe (file missing)
O16 - DPF: {745395C8-D0E1-4227-8586-624CA9A10A8D} (AxisMediaControl Class) - http://agaycam01.dyndns.org:8083/activex/AMC.cab
O23 - Service: Norman API-hooking helper (NipSvc) - Unknown owner - C:\NORMAN\Nvc\BIN\nipsvc.exe (file missing)
et clique sur Fix checked ( en bas à gauche )
A la demande de confirmation , répond Oui
------------------------------------------------------------------------------------------
Séléctionne l'encadré ci-dessous , puis Clique droit , puis Copier :
C:\Documents and Settings\frédéric\Application Data\MP3Chansons[1].exe
|
Lance maintenant OTMoveIt en double cliquant sur OTMoveIt.exe
Deux cadres apparaissent , clique droit sur le cadre de gauche , puis Coller
Enfin , clique sur MoveIt!
Il est possible qu'il te demande de redemarrer , accepte en cliquant sur YES
- Mode Sans Echec -
Répondre à Eric_71
Aucun fichier infecté
tu as toujours des problèmes ?
- Mode Sans Echec -
Répondre à Eric_71
| Citation : D'autres vérifs à faire ? |
Non , tout est ok
Une dernière chose :
Clique, dans ton premier message, sur le bouton "Editer" 
Ajoute [Résolu] au titre ( avec les crochets , c'est plus lisible )
Clique ensuite sur "Valider votre message"
Bonne continuation
- Mode Sans Echec -
Répondre à Eric_71
Re,
Enorme merci Eric71. Quelque chose qui te ferais plaisir en plus
d'une bière à l'oeil ?
Me reste plus qu'à faire le ménage et à supprimer tous ces programmes
installés. Pas de risques particuliers ou de manip' spécifiques pour les
enlever ?
Puis, changement d'antivirus pour Antivir en suivant la procédure.
I'm happy! 
Message édité par Chre le 25-08-2007 à 16:53:50
Répondre à Chre
| Citation : Quelque chose qui te ferais plaisir en plus
|
Bien fraiche , avec pas trop de mousse ! 
| Citation : Pas de risques particuliers ou de manip' spécifiques pour les
|
Non , clique droit dessus / Supprimer , pour Navilog Ajout /suppression de programmes
| Citation : changement d'antivirus pour Antivir en suivant la procédure. |
Bonne résolution Avast est pas très efficace
@ +
- Mode Sans Echec -
Répondre à Eric_71
Bonjour,
La nuit fut courte
Merci Eric71 de ces dernières précisions.
Je vais donc pouvoir arrêter là le nettoyage et désinstaller les
programmes.
Merci encore :!:
Bonne continuation et à bientôt.
Répondre à Chre
De rien
@ +
- Mode Sans Echec -
Répondre à Eric_71
