problèmes des virus (punisher, spyware, adware,...)

[invite1f0d72b1]

Bonjour,

je suis confronté à des énormes problèmes. car mon pc est envahit des virus. Franchement je n'y connais pas grand chose des ordinateur. Il y a même des indications, comme quoi ces virus enrégistre mes mots de passe lorsque je suis connecté.
Prière de bien vouloir me venir en aide.

Merci d'avance.
-----

[erik]

Bonjour

Ton ordinateur est il protégé par un anti virus et un pare feux ? lesquels ? (voir le dossier Protéger son ordinateur )

Passe en mode sans échec, lance ton anti virus (est ce qu'il trouve beaucoup de choses ?)

Ensuite suis très précisément la procédure décrite ici : http://forums.futura-sciences.com/thread69698.html

[igor51]

Bonjour à tous les deux,

Pour ce qui est de l'antivirus en mode sans échec, certain ne sont pas efficace dans ce mode: je sais que antivir est efficace mais le reste je ne sais pas.

Suis la procédure ( dernier lien d'erik ) et poste dans CE sujet les deux rapports générés en pièces jointes.

Pense à renommer le log hijackthis.log en hijackthis.txt

Bonne journée,

Igor

[invite1f0d72b1]

oui, l'antivirus que je possède est norton. mais il semble dépasser. De plus, je viens juste d'intaller d'autres antivirus comme BulletProofSoft.com, Spyware doctor, antivirus Golden. Mais j'ignore comment ils fonctionnent tous (explications en anglais (je ne comprends rien)).

[A voir en vidéo sur Futura]

[erik]

Aie,

Déja il ne faut avoir qu'un seul antivirus actif sur une machine.
Désinstalle tout tes antivirus sauf un que tu garde actif.

Et suis la procédure que l'on t'a indiqué

[invite1f0d72b1]

resalut,

j'ai petit souci, parce que Spyware Doctor et bulletProofSoft.com ne se désinstallent pas. car à chaque désinstallation c'est indiquer qu'ils sont en cour d'exécution. franchement je ne comprends de plus en plus rien.

[igor51]

Bonjour,

il faut que tu kill le porcessus par le gestionnaire de taches ou que tu démarres en mode sans échec pour t'éviter tous ses problèmes.

Bonne journée,

Igor

Ps: mais fais la procédure on te diras comment faire après.

[invite1f0d72b1]

Ok j'ai tout comme vous me l'avez recommandé. Et vous envoie comme convenu les réponses obtenues:

1) ewido:

---------------------------------------------------------
Non tu as mal lu la procédure: il faut poster les rapports en pièces jointes
Pour la modération
yoda1234.

[yoda1234]

Merci de lire la procédure jusqu'au bout et particulièrement ceci:

Remplacez l'extension .log du fichier ainsi créé par .txt et mettez-le en pièces jointes dans votre prochain message (en pièces jointes signifie : pas dans le corps du message).

La prochaine fois j'effacerais purement et simplement les rapports.

[igor51]

Bonsoir à tous,


merci yoda pour ton intervention.

Je regarde ton log, réponse dans la soirée.

Bonne soirée,

Igor

[igor51]

Bonsoir,

Je vois que tu n'as pas de firewall, il est impératif que tu en installes ( par exemple Zone alarm pour le temps de la désinfection ) ensuite lorsque ton ordinateur sera propre on te conseillera comment bien te protéger!

téléchargement de zone alarm >> Zone alarm

voice la procédure à faire en entier. Si tu rencontres des diffilcultés en mode sans échec, ne t'arrètes pas, fini la procédure mais dis moi dans ta prochaine quelles problèmes tu auras rencontré.

On va opérer en mode sans échec sans prise en charge du réseau, il faut donc que tu conserves ses instructions, avec la mise en page pour avoir une meilleure lecture

Si tu utilises Internet explorer:

• Clique sur Fichier
• Puis sur Enregistrer sous
• Choisis l'emplacement de la sauvegarde ( ie : Mes documents par exemple )
• Clique sur Enregistrer

Si tu utilises Firefox:

• Clique sur Fichier
• Puis sur Enregistrer sous
• Choisis l'emplacement de la sauvegarde ( ie : Bureau par exemple )
• Clique sur Enregistrer

1/Démarre en mode sans échec :

Au démarrage, tapote immédiatement sur la touche F8 (parfois c'est F5), puis tu verras un écran avec un choix de démarrages : choisis « Mode sans échec » avec les flèches du clavier, puis valide avec "Entrée". Choisis ton compte usuel (et non Administrateur).

NB:Si tu rencontres un problème, va voir ici : http://service1.symantec.com/support...20905112131924

2/ Affiche tous les dossiers/fichiers :

Pour afficher les fichiers et dossiers cachés du systéme :

1. Démarrer, Poste de travail ou autre dossier, Menu Outils -> Option des dossiers -> onglet Affichage :
2. Cocher la case : Afficher les fichiers et dossiers cachés
3. Décocher la case : Masquer les extensions des fichiers dont le type est connu
4. Décocher la case : Masquer les fichiers protégés du système d'exploitation
   ---> Répondre OUI à la demande de confirmation
5. Cliquer Appliquer puis OK

3/ Désinstallation de programmes :

En passant pas ajout/suppression de programme se situant dans le panneau de configuration, supprime les programmes suivants si présents :

Spyware Doctor
BulletProofSoft.com

4/ Utilisation d'hijackthis :

Exécute Hijackthis, choisi "Do a scan only" et coche les lignes suivantes :

O2 - BHO: (no name) - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - (no file)
O2 - BHO: (no name) - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - (no file)
O4 - HKCU\..\Run: [BPS Security Console] C:\Program Files\BulletProofSoft.com\BPS Security Console\SecCon.EXE /First Run
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\WINDOWS\system32\shdocvw.dl l

Ferme toutes les fenetres sauf hijackthis et clique sur "Fix Cheked"

5/ Suppression manuelle :

Supprime les fichiers/dossiers en gras suivants si toujours présents:

C:\WINDOWS\system32\[b]shdocvw.dll[b] << le fichier
C:\Program Files\BulletProofSoft.com << le dossier

Puis avec l'assistant de recherche, fait une recherche sur

Spyware Doctor

6/ Vide la corbeille !!!

7/ Utilisation d'un batch

Sélectionne les lignes dans ce cadre :

cd \
dir "%PROGRAMFILES%" > resultat.txt
dir "%PROGRAMFILES%\fichiers communs\" >> resultat.txt
dir "%PROGRAMFILES%\common files\" >> resultat.txt
dir C:\*.exe >> resultat.txt
dir /a /s /o:n /b c:\*.exe |find "Documents" >> resultat.txt
notepad resultat.txt

--> clic droit / copier

- Ouvre le bloc-note et clic sur menu edition puis coller
- Enregistre le fichier sur ton bureau cherche.cmd
- Double clic sur cherche.cmd --> Cela va t'ouvrir une fenêtre, attends.. cela peut durer longtemps.
- Le bloc-note va s'ouvrir, enregistre le fichier par exemple : chercher.txt

8/ Redémarre en mode normal :

Fais ceci :

Télécharge Blacklight (de F-Secure); clique sur "I ACCEPT" au bas de la page. Sauvegarde le sur ton Bureau.

Double-clique blbeta.exe et accepte la licence; clique Scan puis Next

Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres).

Enregistre le rapport sur ton disque dur. NE PAS choisir l'option "Rename" de suite : nous devons analyser le rapport, car des fichiers légitimes peuvent être présents, tel wbemtest.exe

9/ Ta prochaine réponse :

Il faut que tu poste sen pièce jointe les rapports suivants dans ta prochaine réponse :

-> le chercher.txt
-> le rapport de blacklight
-> un log hijackthis fais en mode normal ( n'oublie pas qu'il faut renommer le hijackthis.log créer en hijackthis.txt )

Voila si tu as des questions n'hésite pas,

Bonne journée,

Igor

[invite1f0d72b1]

Bonsoir,

Je tiens tout d'abord à vous remercier (tous les deux) de l'attention et du temps que vous m'accordez.
Bref, impossible de supprimer le fichier shdocvw.dll (Impossible de supprimer ... Vérifier que le disque n'est pas plein ou protégé en écriture,...). De plus, Pas de résultats sur Spyware Doctor suite à la recherche.

chercher.txt

hijackthis.txt

fsbl-20060810001451.txt

Report-Scan-20060809-164344.txt


Bonne soirée.

Ghiss.

[invite275db609]

Bonjour Ghiss, Igor

Bref, impossible de supprimer le fichier shdocvw.dll (Impossible de supprimer ... Vérifier que le disque n'est pas plein ou protégé en écriture,...

As-tu bien redémarré en mode sans echec pour essayer de le viré ??
Pour spyware doctor, as-tu bien afficher tous les fichiers et dossiers (car il est encore présent dans ton hijackthis ...)
Content, il n'y a pas de trace de rootkit dans blacklight

Je te laisse avec Igor, mais si tu peux répondre a mes questions, ca aidera certainement ...

Bonne journée ...

[igor51]

Bonjour synthexe, bonjour à tous,

Je pense qu'il a bien démarré en MSE car sinon il n'aurait pas pu désinstallé BulletProofSoft.com

On va s'occuper de la dll récalcitrante :

Télécharge la dernière version de Killbox -> http://www.downloads.subratam.org/KillBox.zip
Place le programme dans le répertoire qui te plaît (pas d'installation Windows)

- redémarre l'ordinateur en mode sans échec

- lance Pocket Killbox
--- choisis l'option Delete on Reboot
--- copie le chemin complet du fichier dans la boîte "Full Path of File to Delete" :
C:\WINDOWS\system32\shdocvw.dl l
--- vérifie que tous les fichiers sont enregistrés, par la liste déroulante "Full Path of File to Delete"
--- si un ou des fichiers ".dll" sont présents dans la liste, coche "Unregister .dll Before Deleting".
--- clique sur la croix blanche sur fond rouge (Delete File) :

- "File will be Removed on Reboot, Do you want to reboot now?", réponds OUI si tu es prêt à procéder

Si Pocket KillBox ne fait pas redémarrer le PC, redémarre le toi même.

Tu pourras trouver un tutorial complet et détaillé par Jesses : http://perso.wanadoo.fr/jesses/Docs/...ls/KillBox.htm


Puis reposte en pièce jointe un nouveau log hijackthis fait en mode normal.

Bonne journée,

Igor

edit: lorsque que tu copie/colle le chemin, vérifie qu'il n'y est pas d'espace entre les deux derniers " l " je ne sias pas pourquoi il apparait

[invite275db609]

Coucou Igor

Avec une balise code autour, on a jamais de probleme de censure, petite technique pour ne plus avoir ce probleme, ca donne :

C:\WINDOWS\system32\shdocvw.dll

@ tout bientot

[igor51]

Coucou synthexe,

tiens merci pour l'astuce je ne connaissais pas, il faut dire que j'utilise jamais les balises code.

Encore merci,

Bonne journée,

Igor

[invite1f0d72b1]

Bonsoir,

Mission accomplie j'envoie le fichier demandé.

Bonne soirée.
hijackthis.txt

[invite1f0d72b1]

Bonjour,
C'est bizard, les virus sont toujours là malgré tout ce qu'on a fait. Il n'y a pas de grand changement. Et il y a toujours le système d'alerte (spyware et adware) qui clignote.

Bonne journée.

Ghiss

[igor51]

Bonjour

ça ne m'avait pas choqué en première lecture car j'étais focalisé sur le dll, mais as-tu appliqué correctement la procédure?

Tu n'as pas coché les lignes que je t'avais indiqué dans hijackthis, et tu n'as pas non plus désinstallé le logiciel BulletProofSoft.com

fais ceci :
Fais un scan en ligne avec Kaspersky WebScanner
Sous Démonstration en ligne" , on t'explique la marche à suivre , et pour lancer le scan il faut sélectionner "Exécuter l'analyse en ligne" .Le scan ne marche que sous Internet Explorer.
On va te demander de télécharger un contôle active x, accepte .
Dans le menu "Choisissez la cible de l'analyse" , sélectionne "Poste de travail".
Le scan va commencer.Poste le rapport qui sera généré stp en pièce jointe.

Bonne journée,

Igor

[invite1f0d72b1]

Rebonjour,

Je vous rassure que j'ai et bien suivi et appliqué vos instructions à la lettre. La seule difficultée rencontrée était sur Zone Alarm dont l'installation m'empéchait d'accéder l'internet. Donc j'ai dû le désinstaller par la suite.

Bonne journée.

rapport Kaspersky.txt

[igor51]

Bonsoir,

c'est bizarre, mais bon pourquoi pas.

Il faut arriver à tuer cette dll !

Bon, redémarre en mode sans échec comme ceci

Au démarrage, tapote immédiatement sur la touche F8 (parfois c'est F5), puis tu verras un écran avec un choix de démarrages : choisis « Mode sans échec » avec les flèches du clavier, puis valide avec "Entrée". Choisis ton compte usuel (et non Administrateur).

NB:Si tu rencontres un problème, va voir ici : http://service1.symantec.com/support...20905112131924

Lance hijackthis, choisi " "Do a scan only" et coche les lignes suivantes :

O2 - BHO: (no name) - {1da7dbe8-c51b-4ae4-bc6e-21863349b0b4} - C:\Program Files\IntCodec\isaddon.dll
O2 - BHO: (no name) - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - (no file)
O2 - BHO: (no name) - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - (no file)
O4 - HKCU\..\Run: [BPS Security Console] C:\Program Files\BulletProofSoft.com\BPS Security Console\SecCon.EXE /First Run
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\WINDOWS\system32\shdocvw.dl l

Clique sur "Fix cheked"

Refais un scan ( avec la même manipulation) et vérifie que les lignes cochées sont bien parties.

Affiche tous les dossiers/fichier :

Pour afficher les fichiers et dossiers cachés du systéme :

1. Démarrer, Poste de travail ou autre dossier, Menu Outils -> Option des dossiers -> onglet Affichage :
2. Cocher la case : Afficher les fichiers et dossiers cachés
3. Décocher la case : Masquer les extensions des fichiers dont le type est connu
4. Décocher la case : Masquer les fichiers protégés du système d'exploitation
   ---> Répondre OUI à la demande de confirmation
5. Cliquer Appliquer puis OK

Supprime manuellement ceci :

C:\Program Files\BulletProofSoft.com << le dossier
C:\WINDOWS\system32\shdocvw.dll << le fichier

Refais un scan Ewido et sauvegarde le rapport

Redémarre en mode normal

Poste moi les deux rapports suivants :

le rapport d'ewido
un log hijackthis en mode normal

Bonne soirée,

Igor

[invite1f0d72b1]

hijackthis.txt

Report-Scan-20060811-230917.txt

Bonsoir Igor,

J'ai constaté la non existence des points à cocher dans hijackthis:
O2 - BHO: (no name) - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - (no file)
O2 - BHO: (no name) - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - (no file)
O2 - BHO: (no name) - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - (no file)
O4 - HKCU\..\Run: [BPS Security Console] C:\Program Files\BulletProofSoft.com\BPS Security Console\SecCon.EXE /First Run
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\WINDOWS\system32\shdocvw.dl l

De plus, BulletProofSoft.com était déjà supprimé. Mais shdocvw.dll ne peut être toujours supprimé (Impossible de supprimer shdoccvw:Accès refusé Vérifier que le disque n'est pas plein ou protégé en écriture...). Et pourtant tout s'est fait au Mode Sans Echec. Tu crois que les virus existent ou sont émis à partir de ce fichier shdocvw.dll?

Bref, je t'envoie les fichers demandés.

Je te remercie. Et je profite de l'occasion pour te souhaiter une bonne journée.

Ghiss.

[invite1f0d72b1]

resalut,
je confirme que la seule case existante à cocher dans hijackthis est:
O2 - BHO: (no name) - {1da7dbe8-c51b-4ae4-bc6e-21863349b0b4} - C:\Program Files\IntCodec\isaddon.dll.

J'espère que cette intervention ne t'embrouille pas trop.

Merci.

Ghiss.
J'interviens car j'ai mis deux fois dans le message précédent:
O2 - BHO: (no name) - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - (no file)

[igor51]

Bonjour,

j'ai trouvé pourquoi j'ai dit sa. Tu me repostes le même log hijackthis depuis le depuis donc je pense que je me suis mal exprimé.

Peux faire cette manipulation alors:
A faire en mode normal.

Lance hijackthis, choisis "Do a scan and save a log"
Sauvegarde le rapport généré en pensant à changer le nom ( par exemple : hijackthis1.txt ) puis poste le sur le forum dans ta prochaine réponse.

Désolé si je me suis mal exprimé depuis le début,

Bonne journée,

Igor

[invite1f0d72b1]

Bonjour,

T'as pas à t'excuser, j'aurai dû m'en rendre compte aussi.
Ok, je t'envoie le fichier j'espère que cette fois-ci que c'est le bon...

Allez encore merci et bonne journée.

Ghiss.

hijackthis1.txt

[igor51]

Bonjour,

c'est déjà mieux

Parle moi de ses pubs intempestives : quand est-ce qu'elles apparraissent? sur quel site?


Bonne journée,

Igor

[igor51]

Bonjour,

Désinstalle via "ajout/suppression de praogramme" dans le panneau de configuration le programme suivant :

IntCodec\

Si tu rencontres des problèmes pour le désinstaller, n'hésite pas à passer par le mode sans échec

Bonne soirée,
Igor

[invite1f0d72b1]

salut,

je ne retrouve pas "IntCodec\" dans le panneau de configuration (ajout\suppression).

Bonne soirée

[invite1f0d72b1]

Resalut,

Je l'ai retrouvé dans program files et je l'ai supprimé à la main.

Bonne soirée.

[igor51]

Bonjour,

as-tu toujours des problèmes?
reçois-tu toujours de la pub ? Si oui pour quel genre de produits?

Bonne journée,

Igor

Ps: pour intcodec, tu as fait ce qu'il fallait