virus - fenetre s'ouvrent toutes seules

[invitef950935f]

Bonjour, depuis quelques jours j'ai des soucis de fenetres qui s'ouvrent seulent installer "spyware"... j'ai suivi les conseil de un malware? premiers gestes...
Hier j''ai passe le ccleaner, AVG (mode sans echec) et le windows defender. Ca n'a rien fait malgres 23 virus mis en quarantaine.
Ce soir j'ai refait sauf que je n'ai pas passe AVG en mode sans echec, il a trouve virus et troyen encore.
Pour ce qui est du hijackthis j'ai pas par exemple futura.exe donc j'ai fait au pif pour le scan et sauvegarde.

Pouvez vous m'aider ? En tout cas votre site est tres precieux pour les personnes novices comme moi, un grand merci, mais j'ai beau faire le mal est plus profond...!
-----

[Cyrrus]

Bonsoir Lunaverde,

Bienvenue sur Futura !

Avant de commencer, lis la licence de Blacklight (F-Secure)
En lisant ce document, tu as pris connaissance et accepté les conditions d'utilisation de ce programme inclus dans Navilog1.zip.

Télécharge maintenant Navilog1.zip (Il Mafioso)
Enregistre-le sur ton Bureau.
Dézippe le contenu de l'archive en faisant un Clique droit sur Navilog1.zip puis en choisissant Tout Extraire.

Double clique sur Navilog1.bat.
Laisse-toi guider par l'utilitaire. Choisis l'option 1 puis valide.
/!\ N'utilise pas l'option 2,3 et 4 sans notre accord /!\
Patiente jusqu'à l'apparition de ce message :
"*** Analyse Termine le ..... ***"
Appuie sur une touche comme demandé. Le Bloc-notes va s'ouvrir. Poste-nous le rapport en pièce jointe

Bonne soirée
Cyrrus

[invitef950935f]

Merci et bonsoir à vous,
voici le fichier

[invite275db609]

Bonjour a tous les 2

Pour avancer Cyrrus :

• Redémarre en mode sans echec : http://service1.symantec.com/support...20905112131924
  
• Double clique sur Navilog1.bat.
• Choisis maintenant l'option 2 puis valide.
• A la question posée, choisis "Mode automatique" en tapant A ou a puis en validant.
• Réponds aux questions éventuelles.
• Ton bureau va disparaître, c'est normal !
• Patiente jusqu'à l'apparition de ce message :
  "*** Nettoyage Termine le ..... ***"
• Appuie sur une touche comme demandé, le Bloc-notes va s'ouvrir.
• Sauvegarde le rapport de manière à le retrouver en mode normal.
• Referme le Bloc-notes. Ton bureau va maintenant réapparaître.
• Colle dans ton prochain message le contenu de C:\cleannavi.txt
  
  NOTE :
• Le rapport se trouve également ici : C:\cleannavi.txt
• Si ton Bureau ne réapparaît pas, fais ceci :
  -> Clique simultanément sur Ctrl + Alt + Suppr.
  Clique sur l'onglet Fichier puis choisis Nouvelle tâche.
  Tape Explorer puis valide.
  -> Choisis Exécuter..., tape Explorer puis valide.

Poste le rapport cleannavi et un nouveau rapport hijackthis en mode normal.

Bonne journée

[A voir en vidéo sur Futura]

[invitef950935f]

Bonsoir a vous 2 qui m'aidez a sortir de tout cela. Et surtout un grand merci..
Je viens de faire les 2 operations indiquees, vous trouverez les rapports ci-joint.
Est ce qu'il est possible d'avoir eu ces virus en mettant a jour telechargeant internet explorer, car c'est depuis que je l'ai fait que tout cela a commence.
Je l'ai mis a jour parce que apres une coupure a la sauvage de l'edf qui a eteint mon ordi, et bien d'abord mon ecran ne voulait plus rien savoir mais le lendemain comme par miracle il a remarche, et la j'ai vu que mon outlook express tournait dans le vide donc je n'ai plus accès a mes mails sous express (rapport d'erreur apres fermeture programme), plus de paint, de dame de pique... bon je sais mon histoire parait dingue . Et en plus je me sers tjs de mozilla en general. J'ai essaye plusieurs choses pour outlook selon conseil forum mais ca n'a rien change pas grave suis sous microsoft outlook.
Voila... mais si cela se trouve cela n'a rien a voir !?

[Cyrrus]

Bonsoir LunaVerde,

Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau.
Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau. Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :

• Redémarre ton ordinateur
• Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
• A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
• Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
• Choisis ton compte.

Déroule la liste des instructions ci-dessous :

• Ouvre le dossier SDFix qui vient d'être créé sur le Bureau et double clique sur RunThis.bat pour lancer le script.
• Appuie sur Y pour commencer le processus de nettoyage.
• Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
• Appuie sur une touche pour redémarrer le PC.
• Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
• Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
• Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.
• Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.
• Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum, avec un nouveau log Hijackthis !

Poste les rapports en pièces jointes.

Bonne soirée
Cyrrus

[invitef950935f]

Je crois que c'est bon pour l'instant aucune fenetres n'est revenue toutes seule ! Super.
Vraiment vous etes des personnes précieuses avec de vraies compétences ce qui devient rare malheureusement. Mille merci à vous partager .

[Cyrrus]

Re,

Malheuresement ce n'est pas fini ! Il reste des éléments infectieux, qui sont en effet invisible mais néanmoins bien présents. Un peu de patience donc

[invitef950935f]

Bon oui je m'emballe mais voila c'est fait ci joint es 2 fichiers...., j'ai l'impression qu'il ronronne mieux

[Cyrrus]

Re,

Je dois encore faire un scan ou deux avant de passer à la suppression :

Télécharge Rootkit Unhooker de EP_X0FF/MP_ART, <DNY>

• Lance l'installer et clique sur "Install"
• Puis lance Rootkit Unhooker.
• Va dans l'onglet Report et clique sur "Scan"
• Le tool va te demander quoi scanner : ne décoche que la première case => SSDT Hooks Detector/Restorer.
• Clique ensuite sur Ok.
• RkU va scanner ton pc. Dans la partie "Hidden Files Detector, il va te demander quel disque scanner, choisis ton disque principale (C:\ en général).
• Une fois le scan terminé clique sur File - Save Report as et sauvegarde le sur ton Bureau.

Télécharge DiagHelp.zip sur ton bureau

• Ne double-clic pas dessus !! Fais un clic droit sur le fichier et "extraire tout"
• Un nouveau dossier va être créé , il se nomme DiagHelp
• Ouvre le et double-clique sur go.cmd (le .cmd peut ne pas apparaître)
• Une fenêtre va s'ouvrir, choisis l'option 1
• L'analyse va commencer, ceci peut durer quelques minutes, laisse faire et appuie sur une touche quand on te le demande
• A la fin de l'analyse, il te sera redemandé de redémarrer l'ordinateur... Une fois l'ordinateur redémarré le rapport va apparaître sur le bloc-note..
• Copie/colle le contenu du bloc-note qui s'ouvre dans ton prochain post.

Ce devrait être assez rapide ne t'inquiète pas.

Cyrrus

[invitef950935f]

Me revoilà... le 1er scan a ete un peu long..
pour dial impossible d'envoyer le bloc note que j'ai colle il est trop long donc je le joins..

[Cyrrus]

Bonsoir LunaVerde,

1. Désinstalle via Ajout/Suppression de programme WinAntivirus Pro 2007.

2.

Télécharge VundoFix.exe (par Atribune) sur ton Bureau.

• Double-clique VundoFix.exe afin de le lancer.
• Clique sur le bouton Scan for Vundo.
• Lorsque le scan est complété, clique sur le bouton Remove Vundo.
• Une invite te demandera si tu veux supprimer les fichiers, clique YES
• Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers.
• Tu verras une invite qui t'annonce que ton PC va s'éteindre ("shutdown"); clique OK
• Démarre ton PC à nouveau.
• Copie/colle le contenu du rapport situé dans C:\vundofix.txt ainsi qu'un nouveau rapport HijackThis! dans ta prochaine réponse.

3. Redemarre en mode sans échec

4. Lance Hijackthis, Do a system scan only, et coche les lignes suivantes :

R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O4 - HKLM\..\Run: [Matire] Fonosog.exe
O4 - HKLM\..\Run: [dxjrcvwa] c:\winnt\system32\dxjrcvwa.exe dxjrcvwa
O4 - HKLM\..\RunServices: [Matire] Fonosog.exe
O4 - HKCU\..\Run: [LDM] \Program\
O4 - HKCU\..\Run: [Matire] Fonosog.exe

5. Assure toi d'avoir accès à tous les fichiers/dossiers :

• Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
• Cocher la case : Afficher les fichiers et dossiers cachés
• Décocher la case : Masquer les extensions des fichiers dont le type est connu
• Décocher la case : Masquer les fichiers protégés du système d'exploitation
• cliquer sur "Appliquer"
• cliquer sur le bouton "Appliquer à tous les dossiers" / OK

6. Fais un recherche pour les fichiers suivants et supprime les si trouvé :

Fonosog.exe
c:\winnt\system32\dxjrcvwa.exe

7. Crée un fichier texte (Bloc Notes) et colle y ceci :

@ECHO OFF
dir %Windir%\tasks /a h > files.txt
notepad files.txt
del /q files.txt

- Dans le menu "Fichier":"Enregistrer sous"
- Enregistrer dans : Bureau
- Nom du fichier : findjob.bat
- Type : tous les fichiers
- cliquer sur Enregistrer
- quitter Notepad

Double clique sur le fichier findjob.bat : une fenêtre va s'ouvrir rapidement, c'est normal. Sauvegarde le rapport sur ton Bureau.

8. Redemarre normalement et poste moi les rapports de :

• le rapport files.txt
• Un nouveau log Hijackthis.

Bonne soirée
Cyrrus

[invitef950935f]

Bonsoir Cyrrus,
Je n'ai pas winantivirus pro dans ajout/supprimer programme, j'ai windows defender. Est celui ci que je désinstalle ?
D'avance gros merci

[Cyrrus]

Re,

Euh...non, windows defender est légitime, c'est bien winantivirus pro.

C'est pas bien grave, supprime juste ceci en plus du reste :

C:\Program Files\WinAntiVirus Pro 2007
C:\Program Files\fichiers communs\WinAntiVirus Pro 2007

[invitef950935f]

A nouveau moi Cyrrus,
J'ai supprimer comme tu m'as indiqué les 2 winantivirus, ca c'est ok.
Mais le Vundo n'a rien trouvé, donc pas de rapport. Il dit "Done searching for files. No infected files were found"
Est ce que je continue la proccédure point 3 etc ?
Ci joint le rapport hitjackThis en mode normal.
Merci

[Cyrrus]

Oui oui tu continues, je m'attendais à cette non détection

[invitef950935f]

Voilà... ce fut un brin laborieux 2 doutes :
- parce que je n'ai pas pu appuyer sur "appliquer a tous les dossiers" une fois que j'avais décoché cases
- Et je n'ai pas lancé le scan une fois que j'avais coché les 6 lignes dans Hijackthis, je ne savais pas si je devais ou non.???
Donc voici les rapports en PJ
voilou

[invitef950935f]

et le file.txt
J'espère que c'est bientot bon

[Cyrrus]

Bonsoir Lunaverde,

Quel andouille, j'ai oublié de te mettre "Clique sur Fix Checked" après avoir coché les lignes.

Refais la manip avec Hijackthis, coche les lignes indiquées, et une fois cela fait clique sur le bouton Fix Checked.

Reposte moi un log hijackthis par la suite.

Bonne soirée
Cyrrus

[invitef950935f]

Bonsoir Cyrrus,
Voici le fichier. Je n'ai pas refais la manip 7 @ECHO OFF so and so... le fallait il ?
Et encore et encore merci pour tout

[Cyrrus]

Bonsoir LunaVerde,

Nop, c'est bon

Voilà un dernier scan pour vérifier qu'il n'ya plusrien. J'ai encore quelques doutes sur un fichier mais je dois me renseigner auparavant.

• Fais un scan en ligne Kaspersky avec Internet Explorer :
• Clique sur
• Clique maintenant sur J'accepte.
• Valide l'installation d'un ou de plusieurs ActiveX si c'est nécessaire.
• Patiente pendant l'installation des Mises à jour.
• Choisis par la suite l'analyse du Poste de travail
• Sauvegarde puis poste le rapport généré en fin d'analyse.

AIDE : Configurer le contrôle des ActiveX
Note : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée", vas dans Ajout/Suppression de programmes et désinstalle On-Line Scanner, reconnecte toi sur le site de Kaspersky pour retenter le scan en ligne.

Poste moi le rapport en pièces jointes;

Bonne soirée
Cyrrus

[invitef950935f]

re moi Cyrrus,
bon galère il bloque sur outlook express la boite de reception, cela fait 48 mn et il a analysé 2996 fichiers. je le stoppe???
en haut je n'ai pas telecharge le module complementaire "kaspersky oneline GUI part"... fallait il ???

[invitef950935f]

Voila j'ai tout recommence et accepte donc il rescanne, on va bien voir si stoppe encore, voilou..

[invitef950935f]

tjs moi Cyrrus, il a de nouveau bloqué sur le 2996 fichier sur outlook express boite de reception.dbx.... qui que je fais ? Cet outlook de toute facon ne fonctionne plus !
Merci pour ta réponse

[Cyrrus]

Re,

Pour l'instant, rien. Sauf si tu as encore des symptômes bien sur ?

Comme je te l'ai dit je veuxme renseigner sur un fichier en particulier, il me faut un tout petit peu de temps pour cela.

[invitef950935f]

Tout à l'air de fonctionner sauf paint, outlook et plus de jeux windows vide : solitaire etc
bonne soirée à toi...

[Cyrrus]

Re,

Je reviens avec une petite requête à te faire, justement au sujet du fichier qui m'embête :

En théorie tu as toujours le logiciel Rootkit Unhooker sur ton pc. Si oui lance le, et va dans la section "Hidden Drivers Detector".

Tu vas avoir une liste de fichiers qui s'affiche. Recherche celui ci :
zdmjaw3o.sys

Une fois que tu l'as trouvé, tu fais clique droit dessus et "Dump Process/Driver".

On va alors te demander où l'enregistrer, choisis l'endroit que tu veux (ton Bureau par exemple).

Une fois cela fait préviens moi, je t'enverrais par mp une adresse où me l'envoyer.

Bonne soirée
Cyrrus

[invitef950935f]

heu... le dernier fichier que j'ai dans hidden drivers... est ws2ifsl.sys, j'ai rereregardé partout
Que faire alors il est ailleurs caché ?
Bon dis moi quoi merci

[Cyrrus]

Grrrr, m'énerve çà...

Je vais devoir chercher pourquoi. En attendant, tu peux te considerer comme clean, mais je reposterai le plus rapidement possible pour tirer cette histoire au clair.

Désolé !

[invitef950935f]

ok, bonsoir alors et GRAND merci pour ton efficacité et la rapidité de tes réponses . Dans un sens j'ai eu plaisir à faire tout ce travail