Problèmes en chaîne

Bonjour,

Voila, j'ai bien lu votre rubrique avant de déposer ceci, donc j'espère qu'il n'y a rien dedans qui puisse vous faire perdre votre temps.

J'ai subi une attaque de cheval de troie détectée par mon antivirus, le temps que je ferme mon modem, plusieurs fichiers infectés ont été déposés dans mon ordi. Les ayant détectés avast! les a supprimés sur ma demande. J'ai ensuite redémarré en mode sans échec pour faire les scan avec les logiciels sus-cités.

Cependant au démarrage de windows, il m'affiche une boite de dialogue qui s'appelle " prévention de l'éxécution des données " visant a fermer le programme " Explorateur Windows " dans le but de le protéger. N'ayant aucun autre choix je ferme la boite et un message d'erreur explorer.exe, puis Drwatson apparaît, et le processus explorer se ferme et se rouvre. Ce processus se repète de manière aléatoire, et c'est très ennuyeux...

Auriez vous une idée pour enrayer ceci, est ce le spyware? une mauvaise manip de ma part lors de son traitement ?

Voici mon scan Hijackthis :
Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 13:11:43, on 19/05/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\RTHDCPL.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Famille Badiboux\Bureau\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.fujitsu-siemens.fr/home/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://fr.yahoo.com/fsc/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.yahoo.com/fsc/
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/customize/fuji/defaults/su/*http://www.yahoo.(...)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O22 - SharedTaskScheduler: Pré-chargeur Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Démon de cache des catégories de composant - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: Service de planification Media Center (ehSched) - Unknown owner - C:\WINDOWS\eHome\ehSched.exe
O23 - Service: Journal des événements (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: Fax - Unknown owner - C:\WINDOWS\system32\fxssvc.exe
O23 - Service: Service COM de gravage de CD IMAPI (ImapiService) - Unknown owner - C:\WINDOWS\system32\imapi.exe
O23 - Service: Partage de Bureau à distance NetMeeting (mnmsrvc) - Unknown owner - C:\WINDOWS\system32\mnmsrvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Plug-and-Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe
O23 - Service: Carte à puce (SCardSvr) - Unknown owner - C:\WINDOWS\System32\SCardSvr.exe
O23 - Service: Journaux et alertes de performance (SysmonLog) - Unknown owner - C:\WINDOWS\system32\smlogsvc.exe
O23 - Service: Cliché instantané de volume (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe
O23 - Service: Carte de performance WMI (WmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\wmiapsrv.exe
O23 - Service: Service Partage réseau du Lecteur Windows Media (WMPNetworkSvc) - Unknown owner - C:\Program Files\Windows Media Player\WMPNetwk.exe

--
End of file - 5516 bytes


Un grand merci par avance pour votre aide

Bien a vous

JB

Bonjour!

Vous n'avez pas spécifiez si vous aviez éxécuté cette méthode présente dans rla section Tutoriels/sécurité du forum.
http://forum.telecharger.01net.com/ordinateurindividuel/tutoriels/securite/me(...)


Ensuite le concernat le présent rapport HijackThis...

1.Passez en mode de démarrage Windows sans échec. là lançant Hijackthis,vous refaites un "Do a scan..."

Pour allez en MODE SANS ÉCHEC, deux méthodes:

MÉTHODE 1; Tapez rapidement et à répétition sur la touche F8 dès que le ventilo se remet en marche jusqu'à-ce
que vous voyez un menu en noir. Faire F8 et là sélectionner
SANS ÉCHEC à l'aide des flèche et faites "<-Enter".

OU

(la méthode suivante devrait être copiée dans le bloc-note et sauvegardée sur le Bureau.)
MÉTHODE 2: Tapez dans "exécuter" msconfig +ENTRÉE. Onglet BOOT.INI cochez /SAFEBOOT.
ET CLIQUEZ SUR "appliquer" et OK. Faite "Redémarrer.

Pour revenir en mode "normal" à partir de la méthode 2:
Le retour en mode Normal ne ce fait pas de lui même.Pour ce faire faites tapez dans "éxécuter" msconfig.
Dans "Général" cochez le point "Démarrage normal" +"appliquer" + OK. Redémarrer.

Dans les petites cases à gauche(dans la marge) vous cocz la case correspondant à cette ligne:
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
Faites "fix checked"

Finalement, vous n'utilisez aucun pare-feu. Pourrions-nous savoir pourquoi?

A+

Revenez en mode normal.

Un grand merci pour votre aide,

A propos de pare-feu, je vous avoue que je n'en ai jamais vraiment compris l'utilité, ni d'ailleurs la différence avec une protection résidente anti-virus comme celle présente sur avast !. Ma connection internet passe d'abord par un routeur switch avant d'aboutir à mon ordinateur, et d'après la notice d'utilisation, mon routeur contient un firewall... c'est possible , ca d'après vous ?

Bon en tout cas j'ai effectué la manipulation que vous m'aviez décrite, j'espère que ca va marcher, j'ai maintenant des problèmes avec les pilotes de ma carte son, windows ne les reconnait plus, meme après réinstallation... c'est chiant... je pense réellement que j'ai du faire une mauvaise manip en supprimant ces fichiers infectés, je vais essayé si ca s'empire de réinstaller totalement windows....

Bien, encore merci pour votre aide, et pourriez vous me dire pourquoi vous m'avez demandé de supprimer CETTE clé la précisément

Cordialement

JB

Rebonjour!

1. Vous utilisez un routeur... qui peut être comfigurer comme firewall MATÉRIEL (différent de LOGICIEL) = Oui , c'est très possible. Avez-vous pris la peine de le configurer selon les recommendation du fabricant....j'imageine que oui.
Si oui, une firewall logiciel n'est pas nécessaire. MAis dans la mesure ou tout marcherait nickel, un firewall logiciel pourrait apporter une deuxième couche de protection intéressante mais pas obligée.

2. Les Boucliers de Avast...
Sont simplement des "fonctionalités" appelé aussi modules de l'analyse anti-virale de Avast!. Elle ne doivent pas être comprise ou confondu comme étant un firewall. Un firewall logiciel, permet le contrôle (par VOUS) des connections
entrantes et sortantes(vous pose des questions) afin que ce ne soit pas n,importe qui ou quoi qui se balade allez-retour vers chez vous et ensuite vers le monde etc.


3.
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
Cette inscription d'après les répertoires des processus malveillant et non-malveilant établit par la communauté du Web : ce processus à un impact nocif pour la sécurité (et le fonctionnement) de votre PC. Suffit pour en avoir le coeur net de prendre le moteur de recherche google et de mettre ALCMTR.EXE dedans. C'est un "oeil de moscou" voyez ce que je veux dire.i.e. Il épie et va tout déballer à sa mère.
http://www.brakstar.com/dicobrak/term/701,7.xhtml
http://cs76.free.fr/processus-a.php

4. faites la méthode voir lien donné en haut.

A+

Ok merci pour tes renseignements, grace a vous je n'ai plus le bug au démarrage mais il arive encore de manière aléatoire, et surtout lorsqu'il survient je constate dans le gestionnaire de processus un nombre incalculable de processus nommés IEXPLORE.EXE qui se multiplient et je suis obligé de tous les fermer ainsi que drwtsn32.exe qui est toujours en double au moment du bug aussi.

Etrange, non, d'après vous et d'après mon scan hijackthis, c'est un phénomène viral ou une mauvaise manip de ma part ?