smart antivirus 2009 • page 3

[r@in | b0w]

Bonjour.

Nous sommes devant un cas bien particulier d'une infection inconnue changeante.

Déjà, si tu télécharges et que tu as des cracks sur ta machine, tu supprimes tout pour ne pas réactiver l'infection après le nettoyage.

Si tu ne l'avais pas remarqué, elle était invisible à l'origine (ou c'était le fameux C:Program FilesCalendrierCld2000.exe ) puis elle est devenue C:WINDOWSsystem32CF29952.exe et finalement C:WINDOWSsystem32CF2598.exe.

A moins que je fasse totalement fausse route, ce dont je doute puisque ce cas de figure n'est jamais arrivé avant (ni avec l'utilisation des utilitaires comme ComboFix), nous avons un problème de taille.

Alors, on va manoeuvrer autrement.

1_ Tu télécharges si tu ne l'as pas Ccleaner reste le moyen le plus sûr et pratique de tout nettoyer sans risques.

En suivant ce tutorial, cet utilitaire sera configuré correctement.

Il est aussi utile de purger régulièrement le dossier Prefetch en profitant de Ccleaner pour automatiser ce nettoyage.
Pour cela, il faut aller dans Options puis Personnaliser pour ajouter le dossier C:WindowsPREFETCH.

1bis_ Tu cliques sur Poste de travail puis Propriétés.
Onglet Restauration automatique du système, tu coches la ligne Désactiver la restauration du système puis tu valides par Ok.
Tu confirmes la suppression de tous les points de restauration, puis tu cliques sur Appliquer et/ou Ok.

2_ Tu double-cliques sur Poste de travail puis tu vas dans Outils et ensuite Options des dossiers.



Tu vas sur l'onglet Affichage et tu coches la ligne Afficher les fichiers et dossiers cachés.

Dessous, tu décoches la ligne Masquer les extensions des fichiers dont le type est connu et tu décoches aussi la ligne suivante Masquer les fichiers protégés du système d'exploitation (recommandé).

Tu valides en cliquant sur Appliquer puis Ok.



3_ Tu redémarres en Mode sans échec.

Tu vas dans le dossier C:WINDOWSsystem32 et tu cherches un fichier CF2598.exe ou avec comme nom CF (en majuscules) avec une suite de chiffres ensuite (4 voir 5 vu ce qu'on a vu précédemment) et avec l'extension .exe.

Tu supprimes le fichier en question (s'il a un nom différent, tu me le communiques ensuite) puis tu fais un nettoyage avec Ccleaner.

Tu nettoies aussi manuellement les dossiers C:WindowsPREFETCH, C:TEMP, C:WINDOWSTEMP, C:Documents And SettingsNom_UtilisateurLocal SettingsTemp & C:Documents And SettingsNom_UtilisateurLocal SettingsTemporary internet files pour nous assurer que tout soit effacé.

Idem pour la poubelle si elle n'est pas vide.


Si tu as un souci pour l'effacement ce qui est peu probable, tu cliques sur Démarrer puis Tous les programmes, Accessoires et finalement Invite de commandes ou, si l'Invite de commandes n'est pas là, tu vas toujours dans Accessoires puis Outils système et enfin Invite de commandes.

Tu copies-colles la ligne suivante (avec le clic droit car le raccourci clavier ne fonctionne pas) et tu valides par la touche [Entrée]:

Code: Tout sélectionner

del C:WINDOWSsystem32CF2598.exe

Si tu constates que le nom a changé, tu le modifies dans la commande.

Pour information, j'ai regardé mon disque dur et, dans ce même répertoire C:WINDOWSsystem32, je n'ai que deux fichiers commençant par cf (en minuscules) mais sans suite de chiffres.

Je te mets une impression écran que tu enregistres sur ton Bureau (clic droit sur l'image puis Enregistrer sous) afin de pouvoir comparer si besoin est.



4_ Tu redémarres en Mode normal, viens sur le forum et rends compte de ce que tu as pu faire et si la suppression est effective.

On récapitule: dans l'ordre, tu télécharges Ccleaner pour faire du nettoyage post-suppressions, tu modifies les différentes options de masquage de fichiers pour voir cette application dans tous les cas puis tu la repères/cibles avant de la supprimer.
Tu fais ensuite un grand ménage pour qu'il n'en reste aucune trace.

Hope & see

Ps: fais un copier-coller de tout mon message (il n'y aura pas les images) pour parer à d'éventuels problèmes en Mode sans échec (tu n'auras pas de connexion internet) ou connectes toi avec un ordinateur différent sur le forum pour garder mon message sous les yeux.

[lionel974]

Bonjour,

je n'ai pas trouvé de CF29952 ou un autre CF dans system 32, du coup je n'ai pas pu supprimer!

[r@in | b0w]

Vraiment curieux.

Fais un nouveau scan HiJackThis et postes le rapport.

[lionel974]

Voilà:



Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:31:35, on 06/09/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32csrss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:Program FilesAlwil SoftwareAvast4aswUpdSv.exe
C:Program FilesAlwil SoftwareAvast4ashServ.exe
C:WINDOWSExplorer.EXE
C:Program FilesJavajre1.6.0_03injusched.exe
C:Program FilesHotkey ManagementFuncKey.exe
C:WINDOWSRTHDCPL.EXE
C:Program FilesAVC Finger-sensing Pad Driverfscp.exe
C:Program FilesScanSoftOmniPageSE4.0OpwareSE4.exe
C:Program FilesKWorld MultimediaPVR PlusTVRScheduled.exe
C:WINDOWSvsnpstd.exe
C:PROGRA~1ALWILS~1Avast4ashDisp.exe
C:WINDOWSsystem32ctfmon.exe
C:Program FilesSuperCopier2SuperCopier2.exe
C:WINDOWSsystem32spoolsv.exe
C:Program FilesSpybot - Search & DestroyTeaTimer.exe
C:Program FilesMSN Messengermsnmsgr.exe
C:Program FilesMicro ApplicationMediaDICOMediaDICO.EXE
C:Program FilesOpenOffice.org 2.3programsoffice.exe
C:Program FilesOpenOffice.org 2.3programsoffice.BIN
C:Program FilesMicro ApplicationMediaDICORac.EXE
C:Program FilesGrisoftAVG Anti-Spyware 7.5guard.exe
C:Program FilesAVC Finger-sensing Pad DriverFspadSvr.exe
C:WINDOWSsystem32
vsvc32.exe
C:WINDOWSsystem32svchost.exe
C:Program FilesAlwil SoftwareAvast4ashMaiSv.exe
C:Program FilesAlwil SoftwareAvast4ashWebSv.exe
C:WINDOWSSystem32alg.exe
C:Program FilesMSN Messengerusnsvc.exe
C:Program FilesMozilla Firefoxfirefox.exe
C:WINDOWSsystem32wuauclt.exe
C:Program FilesJavajre1.6.0_03injucheck.exe
C:Documents and SettingsPropriétaireBureauArtHuros.exe
C:WINDOWSsystem32wbemwmiprvse.exe

R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Local Page =
R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:Program FilesFichiers communsAdobeAcrobatActiveXAcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:Program FilesSpybot - Search & DestroySDHelper.dll
O2 - BHO: EWPBrowseObject Class - {68F9551E-0411-48E4-9AAF-4BC42A6A46BE} - C:Program FilesCanonEasy-WebPrintEWPBrowseLoader.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:Program FilesJavajre1.6.0_03inssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:Program FilesFichiers communsMicrosoft SharedWindows LiveWindowsLiveLogin.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:Program FilesCanonEasy-WebPrintToolband.dll
O4 - HKLM..Run: [SunJavaUpdateSched] "C:Program FilesJavajre1.6.0_03injusched.exe"
O4 - HKLM..Run: [FuncKey] "C:Program FilesHotkey ManagementFuncKey.exe"
O4 - HKLM..Run: [NvCplDaemon] RUNDLL32.EXE C:WINDOWSsystem32NvCpl.dll,NvStartup
O4 - HKLM..Run: [nwiz] nwiz.exe /install
O4 - HKLM..Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM..Run: [SkyTel] SkyTel.EXE
O4 - HKLM..Run: [fscp] C:Program FilesAVC Finger-sensing Pad Driverfscp.exe
O4 - HKLM..Run: [SSBkgdUpdate] "C:Program FilesFichiers communsScansoft SharedSSBkgdUpdateSSBkgdupdate.exe" -Embedding -boot
O4 - HKLM..Run: [OpwareSE4] "C:Program FilesScanSoftOmniPageSE4.0OpwareSE4.exe"
O4 - HKLM..Run: [PVR Agent] C:Program FilesKWorld MultimediaPVR PlusTVRScheduled.exe
O4 - HKLM..Run: [NeroFilterCheck] C:WINDOWSsystem32NeroCheck.exe
O4 - HKLM..Run: [snpstd] C:WINDOWSvsnpstd.exe
O4 - HKLM..Run: [avast!] C:PROGRA~1ALWILS~1Avast4ashDisp.exe
O4 - HKLM..Run: [QuickTime Task] "C:Program FilesQuickTimeqttask.exe" -atboottime
O4 - HKLM..Run: [Easy-PrintToolBox] C:Program FilesCanonEasy-PrintToolBoxBJPSMAIN.EXE /logon
O4 - HKCU..Run: [CTFMON.EXE] C:WINDOWSsystem32ctfmon.exe
O4 - HKCU..Run: [µTorrent] "C:Program FilesuTorrentutorrent.exe"
O4 - HKCU..Run: [SuperCopier2.exe] C:Program FilesSuperCopier2SuperCopier2.exe
O4 - HKCU..Run: [MediaDico] C:Program FilesMicro ApplicationMediaDICOLanceMediaDICO.exe Lancement
O4 - HKCU..Run: [SpybotSD TeaTimer] C:Program FilesSpybot - Search & DestroyTeaTimer.exe
O4 - HKCU..Run: [CursorXP] "C:Program FilesCursorXPCursorXP.exe" -s
O4 - HKCU..Run: [msnmsgr] "C:Program FilesMSN Messengermsnmsgr.exe" /background
O4 - HKUSS-1-5-19..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUSS-1-5-20..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'SERVICE RESEAU')
O4 - HKUSS-1-5-18..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'SYSTEM')
O4 - HKUS.DEFAULT..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 2.3.lnk = C:Program FilesOpenOffice.org 2.3programquickstart.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:Program FilesFichiers communsAdobeCalibrationAdobe Gamma Loader.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:PROGRA~1MICROS~2OFFICE11EXCEL.EXE/3000
O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://C:Program FilesCanonEasy-WebPrintToolband.dll/RC_AddToList.html
O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:Program FilesCanonEasy-WebPrintToolband.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:Program FilesCanonEasy-WebPrintToolband.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:Program FilesCanonEasy-WebPrintToolband.dll/RC_Preview.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:Program FilesJavajre1.6.0_03inssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:Program FilesJavajre1.6.0_03inssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:WINDOWSdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:WINDOWSdoscandel.exe
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:PROGRA~1MICROS~2OFFICE11REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:Program FilesSpybot - Search & DestroySDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:Program FilesSpybot - Search & DestroySDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengermsmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengermsmsgs.exe
O16 - DPF: {5C051655-FCD5-4969-9182-770EA5AA5565} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/So ... b56986.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-U ... E_UNO1.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda ... 9211569109
O16 - DPF: {B7D07999-2ADB-4AEB-997E-F61CB7B2E2CD} (TSEasyInstallX Control) - http://www.trendsecure.com/easy_install ... stallX.CAB
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Me ... b56907.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/Mi ... b56986.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:PROGRA~1FICHIE~1SkypeSKYPE4~1.DLL
O23 - Service: Adobe LM Service - Unknown owner - C:Program FilesFichiers communsAdobe Systems SharedServiceAdobelmsvc.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:Program FilesAlwil SoftwareAvast4aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:Program FilesAlwil SoftwareAvast4ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:Program FilesAlwil SoftwareAvast4ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:Program FilesAlwil SoftwareAvast4ashWebSv.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:Program FilesGrisoftAVG Anti-Spyware 7.5guard.exe
O23 - Service: FspadSvc - Unknown owner - C:Program FilesAVC Finger-sensing Pad DriverFspadSvr.exe
O23 - Service: Service de l'iPod (iPod Service) - Unknown owner - C:Program FilesiPodiniPodService.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:WINDOWSsystem32
vsvc32.exe
O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Unknown owner - C:Program FilesSunbelt SoftwarePersonal Firewallkpf4ss.exe (file missing)

--
End of file - 9964 bytes

[r@in | b0w]

Bilan: je suis scié.

Plus rien de détecté... Cela restera une grande inconnue...

Bref, on va faire les avertissements d'usage:


_ Désinstallation des utilitaires utilisés:

Les programmes utilisés pour la désinfection ne sont pas à utiliser quotidiennement.

Pour les désinstaller, il faut aller dans le Panneau de configuration puis, via Ajouter/Supprimer des programmes, sélectionner les utilitaires et cliquer sur Désinstaller.

Pour une suppression effective, penses à supprimer leurs dossiers respectifs, la plupart à la racine de ta partition principale.

Note: si tu ne télécharges pas de fichiers libres de droits, je te conseille de désinstaller tous les logiciels de téléchargement en peer-to-peer, la plupart des infections provenant de fichiers téléchargés.


_ Utilisation d'un navigateur internet alternatif:

Internet Explorer n'étant pas sûr, il est préférable d'installer un navigateur internet alternatif pour sécuriser ton surf.

Tu as le choix entre Mozilla Firefox, Apple Safari ou encore Opéra.

Il faudra ensuite définir ce navigateur internet alternatif comme navigateur par défaut.


_ Utilisation d'un pare-feu alternatif:

Il est recommandé de ne pas utiliser le pare-feu Windows et d'en prendre un plus efficace.

Le choix est large: Zone Alarm & Sunbelt compatibles avec Vista sinon Ashampoo ou encore Sygate.

Après avoir sélectionné le pare-feu idéal, il faudra désactiver celui de Windows.


_ Nettoyage des points de restauration:

Dans un premier temps, il faut supprimer tous les points de restauration.

Pour cela, cliques sur Poste de travail puis Propriétés.
Onglet Restauration automatique du système, tu coches la ligne Désactiver la restauration du système puis tu valides par Ok.
Tu confirmes la suppression de tous les points de restauration, puis tu cliques sur Appliquer et/ou Ok.

Ensuite, il faut réactiver la restauration automatique du système.

Tu refais la manipulation précédente pour relancer les propriétés du Poste de travail.
Tu décoches la ligne puis cliques sur Appliquer & Ok.

Tu auras créer un point de restauration propre.


_ Nettoyage des fichiers temporaires & de la base de registre:

Pour cela, Ccleaner reste le moyen le plus sûr et pratique de tout nettoyer sans risques.

En suivant ce tutorial, cet utilitaire sera configuré correctement.

Il est aussi utile de purger régulièrement le dossier Prefetch en profitant de Ccleaner pour automatiser ce nettoyage.
Pour cela, il faut aller dans Options puis Personnaliser pour ajouter le dossier C:WindowsPREFETCH.


_ Un petit coup d'oeil à notre dossier Nettoyage peut être utile en supplément.

Et finalement, pour optimiser Windows XP, ce sujet sera intéressant.

[lionel974]

Donc, mon ordi est 'propre'? En tout cas merci pour ton aide, et je pense que je vais appliquer tes conseils!

[r@in | b0w]

Propre, on dirait oui.

Par contre, j'ai oublié de te rappeler de mettre à jour Internet Explorer vers la version 7 disponible ici.

Bon surf.

[lionel974]

Merci encore pour tout.

[r@in | b0w]

Ah ben de rien.

Je reste sur ma faim avec le .exe introuvable mais bon, l'essentiel est que tout aille mieux.

Une dernière chose: tu vas sur ton premier message et tu cliques en haut à droite sur Editer puis tu rajoutes dans le titre [Résolu] entre crochets et tu cliques sur Envoyer

Merci.

[lionel974]

Re!

Je me permets de ré-écrire dans ce sujet, car, je sens que mon ordi n'est pas tout à fait guéri. Ca rame pas mal, et je n'arrive pas à upgrader internet explorer.

[r@in | b0w]

Tu peux te permettre

Ta version de Windows est légale & ta clé de licence Windows valide?

[lionel974]

Oui, oui, tout ça est légal, c'était fourni avec l'ordi portable.

[r@in | b0w]

Alors aucune idée pour l'instant.

Quel est le message d'erreur ou à quelle étape l'installation plante?

[lionel974]

En gros, ça dit que l'installation a été annulée et qu'il faut redémarrer pour ensuite voir la page d'aide de microsoft, mais ça n'y fait rien.
Et pour le 'ramage', tu as une idée?

[r@in | b0w]

Le ramage: Windows tout simplement

Un peu de nettoyage côté programmes, désactivation des programmes lancés au démarrage, nettoyage des fichiers temporaires, rien de très compliqué (tout est donné dans les liens plus haut).

Pour l'installation d'Internet Explorer, aucune idée par contre.

C'est certaines fois la galère pour l'installer.