win32:Ircbot-AHK, Rbot-CWG, Softomate-B

Hello

Lors d'un scan au démarrage, avast m'a trouvé ceci :

win32:Ircbot-AHK (trj)
win32:Rbot-CWG (trj)
win32:Softomate-B (adw)

Je les ai mis en quarrantaine.
Pourriez vous me dire ce qu'il convient de faire pour éviter de les concerver dans ma quarrantaine ?

Je ne comprends pas comment ils font. J'ai eu qq soucis avec la protection résidente d'avast il y a qq jours, mais ça c'est arrangé.
Ici, j'ai eu un doute après l'installation d'une update de msn toolbar alors j'ai fait le scan. Ce serait ça ??


Merci d'avance

Bonjour Dizaal,

Télécharge HijackThis que tu placeras dans un répertoire dédié tel C:\Program Files\HijackThis.

Double-clique sur HijackThis.exe pour lancer l'outil.

Ferme toutes les applications en cours sauf HijackThis.

Clique sur le bouton Do a system scan and save a logfile.

Un rapport sera généré puis le Bloc-notes l'affichera.

Dans le Bloc-notes, clique en haut sur le menu Edition puis choisis Sélectionner tout.

Dans le Bloc-notes, clique en haut sur le menu Edition puis choisis Copier.

Dans ta future réponse, colle le rapport de HijackThis.

A suivre,

En cas de difficulté, voir le tutorial d'HijackThis sur le site de Malekal_Morte

Re !

Voici le rapport :

Logfile of HijackThis v1.99.1
Scan saved at 11:34:06, on 3/04/2007
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Program Files\Antivirus\Avast\aswUpdSv.exe
C:\Program Files\Antivirus\Avast\ashServ.exe
C:\WINNT\system32\HPZipm12.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe
C:\Program Files\Antivirus\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\Winamp\winampa.exe
C:\Program Files\Antivirus\Unlocker\UnlockerAssistant.exe
C:\PROGRA~1\ANTIVI~1\Avast\ashDisp.exe
C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\WINNT\system32\internat.exe
C:\Program Files\Antivirus\Avast\ashWebSv.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\Program Files\Antivirus\Avast\ashMaiSv.exe
C:\Program Files\HP\Digital Imaging\Product Assistant\bin\hprblog.exe
C:\Program Files\Antivirus\Hijtakthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O3 - Toolbar: (no name) - {C1B4DEC2-2623-438e-9CA2-C9043AB28508} - (no file)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [AcroRead 5 SetLanguage] wscript.exe "c:\program files\adobe\acrobat 5.0\Reader\Acrobat.vbs"
O4 - HKLM\..\Run: [%FP%Friendly fts.exe] "C:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe"
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Antivirus\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Program Files\Antivirus\Unlocker\UnlockerAssistant.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ANTIVI~1\Avast\ashDisp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Ouvrir dans un nouvel onglet d'arrière-plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-be\msntabres.dll.mui/229?1f9ec3d939046f3be5033dad340a5
O8 - Extra context menu item: Ouvrir dans un nouvel onglet de premier plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-be\msntabres.dll.mui/230?1f9ec3d939046f3be5033dad340a5
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{20A3A121-4DE0-459B-BEEE-0EC91D1642D9}: NameServer = 84.103.237.141 86.64.145.141
O20 - Winlogon Notify: NavLogon - C:\WINNT\system32\NavLogon.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Antivirus\Avast\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Antivirus\Avast\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Antivirus\Avast\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Antivirus\Avast\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Antivirus\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe (file missing)
O23 - Service: Symantec Password Validation (ccPwdSvc) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe (file missing)
O23 - Service: Symantec Settings Manager (ccSetMgr) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe (file missing)
O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Unknown owner - C:\Program files\NAVNT\DefWatch.exe (file missing)
O23 - Service: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINNT\system32\HPZipm12.exe
O23 - Service: SAVRoam (SavRoam) - Unknown owner - C:\Program files\NAVNT\SavRoam.exe (file missing)
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe (file missing)
O23 - Service: Symantec AntiVirus - Unknown owner - C:\Program files\NAVNT\Rtvscan.exe (file missing)






Ah et j'ai un drôle de dossier qui a été créé ce matin même (debut de mes soucis). Tu sais ce que c'est ? Je peux le supprimer ?
Le dossier se nomme : C:\f9e807517437e16bc238
et ne contient que un fichier, un bloc note : msxml4-KB927978-enu

Re-bonsoir,

Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau.
Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau. Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :

Redémarre ton ordinateur

Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).

A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.

Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".

Choisis ton compte.

Déroule la liste des instructions ci-dessous :

Ouvre le dossier SDFix qui vient d'être créé sur le Bureau et double clique sur RunThis.bat pour lancer le script.

Appuie sur Y pour commencer le processus de nettoyage.

Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.

Appuie sur une touche pour redémarrer le PC.

Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.

Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.

Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.

Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.

Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum, avec un nouveau log Hijackthis !

N.B.:
- Le fichier SDFIX_README.htm (dans le dossier SDFix) contient la liste des malwares pris en compte par l'outil.
- Andy fait plusieurs mises à jour, souvent plus d'une par jour... N'hésitez donc pas à demander de télécharger une nouvelle version lorsque le nettoyage dure et que l'outil ne semble pas tout voir.

Hello

Merci beaucoup.

Voici les résultats SDFix :



Le rapport HijachThis :





Les fichiers que j'avais mis en quarrantaine avast y sont toujours. Et le fichier "bizarre" dont je parlais plus haut est également toujours présent.

Au fait, Kerio veut plus se lancer, je sais pas trop pourquoi, il me met ce message d'erreur...

Voilà je pense avoir tout dit.


Merci d'avance

Bonjour,

Télécharge ComboFix.exe (par sUBs) sur ton Bureau

Double clique ComboFix.exe et suis les invites.

Lorsque le scan sera fini, un rapport apparaîtra.

Copie/colle ce rapport dans ta prochaine réponse.

Hello

Voici mon rapport :

Bonsoir Dizaal,

Génère un nouveau log HijackThis et envoie-le.

Anhtony.

Hello,

Oki voici mon nouveau rapport :


Merci

Bonjour Dizaal,

Ferme toutes les applications en cours.

Lance HijackThis.

Clique sur Do a system scan only.

Coche la case située devant la ligne suivante (Si présente) :

Clique sur Fixed checked.

Ferme HijackThis.

Génère et envoie un nouveau log HijackThis.

A suivre,

Hello

Voilà c'est fait

Bonsoir Dizaal,

Fais un scan en ligne Kaspersky avec Internet Explorer :

Dans la nouvelle fenêtre, clique sur J'accepte.

Valide l'installation d'un ou de plusieurs ActiveX si c'est nécessaire.

Patiente pendant l'installation des Mises à jour.

Choisis par la suite l'analyse du Poste de travail

Sauvegarde puis colle le rapport généré en fin d'analyse.

AIDE : Configurer le contrôle des ActiveX

NOTE : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée", va dans Ajout/Suppression de programmes puis désinstalle On-Line Scanner, reconnecte toi sur le site de Kaspersky pour retenter le scan en ligne.

Hello

Après quelques déboires, voici enfin le rapport :

Merci beaucoup

Bonjour,

Le rapport du scan en ligne est "propre".
Cependant, quels sont les déboires dont tu parles ?

Anthony.

Bonjour



He bien, pour te donner des exemples:

- Hier, à deux reprise IE a fait "une erreur fatale". Tout le prog s'éteint. Il y a un message avec "Dr Watson... error..." je sais plus exactement. Je relance le prog et ca fonctionne à nouveau.

(C'est ce type de problèmes qui m'avait poussée à faire une analyse avast au tout début)

- J'ai également eu le problème où il me donnait "Impossible de se connecter au serveur...". Là, plus moyen du tout de se connecter, même après avoir fermé et ré-ouvert IE.
Lorsque je regarde la barre sous l'écran de navigation où on peut voir l'adresse qu'il recherche je vois : "C://WINNT.system32.shdoccl.dll/error..."
(enfin mis à part la ponctuation dont je ne suis pas sure, le reste c'est ça)

Quoiqu'il en soit, après une nuit de repos, comme tu peux le voir, il a finalement 'accepté' de fonctionner.

- J'ai toujours ces programmes dans ma quarrantaine avast (je sais pas si ca change qq chose) :
C:\WINNT\sytem32\anuhcgbm.exe
C:\WINNT\sytem32\config.exe
C:\WINNT\sytem32\kwgdrwh.exe
C:\Program Files\Common Files\{D0169D99-01F2-1033...}\system.dll
C:\RECYCLER\S-1-5-18\Dc1\system.dll

Et le prog, bizarre dont je te parlais plus haut...(mais ca, c est peut etre normal)


Mon ordi est assez,...heuu...même très lent, mais ça c'est peut-être juste mon ordi



Voilà, j'espère que tu pourras m'aider.
Dans tous les cas, merci d'avance,

Bonsoir Dizaal,

Génère un nouveau rapport de ComboFix et envoie-le.

Anthony.

Bonjour !

Voici le rapport Combofix :


Merci

Ah, au fait, hier j'ai eu un problème en envoyant un mail. Il y avait un fichier word joint à mon mail. Le destinataire n'a pu l'ouvrir qu'après pas mal de chippotages.
Je sais pas si ça venait de moi ou de lui mais c'est vachement ennuyeux

Bonsoir Dizaal,

Télécharge The Avenger (de Swandog46) sur ton Bureau.

Dézippe-le sur ton Bureau.

Ouvre le Bloc-Notes puis copie la citation ci-dessous.

Clique sur le menu déroulant Edition et clique sur Coller

Clique sur le menu déroulant Fichier et clique sur Enregister sous...

Enregistre-le sur ton Bureau sous le nom de remove.txt.

Double-clique sur avenger.exe pour lancer l'outil.

A la fenêtre d'avertissement, clique sur OK.

Coche le bouton devant Load Script from File.

Clique sur l'icône en forme de dossier.

Recherche et double-clique sur remove.txt.

Clique sur le feu vert pour lancer le script.

A la fenêtre de confirmation, clique sur Oui.

A la fenêtre de redémarrage, clique sur Oui (Le rapport s'affichera au redémarrage).

Le rapport sera généré à l'endroit suivant : C:\avenger.txt

Dans ta future réponse, envoie ce rapport.

A suivre,

Ca ne fonctionne pas.
J'ai fait comme tu me l'as indiqué.

J'ai créé un fichier remove.txt sur mon bureau avec la citation ci-dessus. Je poursuis et lorsque je lance le script il me met :
-Comme attendu "Are you sur you want to execute the commands in the selected script ?" --> là je clique sur "yes"

- Ensuite il me met "Error: selected file does not appear to be a valid script"
- Après, "Press Ok to log error and to continue or cancel to arbor"

si je mets ok, il me repond : "Error 1813" et me met "could not log error"

Et il me crée un fichier errorlog.txt sur mon bureau avec


Je sais pas quoi faire.

Bonsoir Dizaal,

J'ai commis une erreur dans le script, MEA CULPA !
Reéxécute les instructions de mon précédent message.

Anthony.