Bonjour,

Tout d'abord Voici le profil de mon matériel : Platform: Windows 2000 SP1 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP1 (5.00.2920.0000)

Depuis deux jours un programme dénomé "PSGuard spyware remover" s'est affiché dans la barre de tache du bureau de mon PC. Je l'ai désinstallé plusieurs fois et il revient systématiquement "s'auto-installer". Le programme lance un scanne sans que je le souhaite à la manière d'un détecteur de mouchard. Je précise qu'avant de "recevoir" PSGuard spyware remover l'écran est devenu noir, un site s'est auto installé dans Explorer etc. J'ai suivi plusieurs procédures assez efficaces décrites dans 01net (MERCI INFINIMENT AU PASSAGE !)mais je ne parviens donc pas à supprimer PSGuard spyware remover. Comment faire ?!

Merci par avance !

Jean-Christophe

Bonjour.

-Télécharge HijackThis: (lien sur l'image).
-Crée un dossier nommé HijackThis et place le dedans.
-Exécute le et clique sur Do a scan and save log file.
-Copie et colle ici ton rapport ouvert avec le bloc note. Sans rien faire d'autre.

Merci beaucoup pour votre réponse rapide. Voici donc le rapport :

Logfile of HijackThis v1.99.1
Scan saved at 22:10:19, on 12/08/2005
Platform: Windows 2000 SP1 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP1 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\CTSvcCDA.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\slserv.exe
C:\WINNT\System32\WFXSVC.EXE
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\Program Files\Symantec\DelFax\WFXMOD32.EXE
C:\WINNT\explorer.exe
C:\WINNT\System32\wfxsnt40.exe
C:\Program Files\Creative\ShareDLL\CtNotify.exe
C:\Program Files\Creative\Audio2K\PROGRAM\CTMIX32.EXE
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\WINNT\System32\intell32.exe
C:\WINNT\System32\internat.exe
C:\Program Files\Microsoft Office\Office\OSA.EXE
C:\Program Files\SpamPal\spampal.exe
C:\Program Files\Creative\ShareDLL\MediaDet.Exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINNT\explorer.exe
C:\WINNT\Temp\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://yoursearch.ws/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://yoursearch.ws/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.bestwebslinks.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O3 - Toolbar: @msdxmLC.dll,-1@1036,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [WinFaxAppPortStarter] wfxsnt40.exe
O4 - HKLM\..\Run: [Disc Detector] C:\Program Files\Creative\ShareDLL\CtNotify.exe
O4 - HKLM\..\Run: [CreativeMixer] C:\Program Files\Creative\Audio2K\PROGRAM\CTMIX32.EXE /t
O4 - HKLM\..\Run: [Register MediaRing Talk] C:\Program Files\MediaRing Talk\register.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [RegSvr32] C:\WINNT\System32\msmsgs.exe
O4 - HKLM\..\Run: [intell32.exe] C:\WINNT\System32\intell32.exe
O4 - HKLM\..\Run: [PSGuard] C:\Program Files\PSGuard\PSGuard.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Startup: SpamPal.lnk = C:\Program Files\SpamPal\spampal.exe
O4 - Global Startup: Démarrage d'Office.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXE
O4 - Global Startup: Microsoft Recherche accélérée.lnk = C:\Program Files\Microsoft Office\Office\FINDFAST.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_01\bin\npjpi150_01.dll
O12 - Plugin for .bat: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin.dll
O12 - Plugin for .mid: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin.dll
O12 - Plugin for .mov: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.fr.msn.com
O14 - IERESET.INF: MS_START_PAGE_URL=http://www.fr.msn.com
O15 - Trusted Zone: www.redfunny.com
O15 - Trusted Zone: www.skymasters.biz
O16 - DPF: {01347765-1965-426B-91A4-AA6BB342B9A3} (InstallerObj Class) - http://www.1-click.com/common/files/installer-hidden-test.cab
O20 - Winlogon Notify: style2 - C:\WINNT\q17693742_disk.dll
O21 - SSODL: qGJwPPy - {7C86DDF5-D62C-775F-1EEB-FCFA87D971CC} - C:\WINNT\System32\ydn.dll
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINNT\System32\CTSvcCDA.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINNT\SYSTEM32\slserv.exe
O23 - Service: DelrinaFax PRO (wfxsvc) - Symantec Corporation - C:\WINNT\System32\WFXSVC.EXE

salut
en attendent que gchris revienne tu peut faire ceci
telecharge
http://siri.urz.free.fr/Fix/SmitfraudFix.zip
tu le decompresse tu double clik dessus et tu choisi l option 1
cela vas generer un rapport donne nous le

redemarre en sans echec

relance le et choisi cette fois l option 2 et repond oui a tous
redemarre et donne le nouveau rapport

redemarre

et completer a la fin par hijack

Tout d'abord MERCI du coup de main !

En mode sans échec smitfraud me signale une infection et me propose de corriger le problème. Par prudence j'ai répondu "Non". Je te joins les rapports. Serai de retour le 1er septembre, impatient de te lire.

Merci encore

Jean-Christophe

SmitFraudFix v1.5

Rapport fait à 12:12:37,48 le sam. 13/08/2005
Executé à partir de C:\unzipped\SmitfraudFix\SmitfraudFix
OS: Microsoft Windows 2000 [Version 5.00.2195]

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

C:\WINNT\system32\intell32.exe supprimé
Problème suppression C:\WINNT\system32\oleext.dll

C:\Program Files\PSGuard\ supprimé

»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

Nettoyage du registre non souhaité.

»»»»»»»»»»»»»»»»»»»»»»»» Recheche wininet.dll

C:\WINNT\system32\wininet.dll infecté !

Recherche d'une copie de secours (backup) de wininet.dll...
Le volume dans le lecteur C s'appelle SYSTEME
Le num‚ro de s‚rie du volume est 7C86-DDF4

R‚pertoire de C:\WINNT\system32

21/07/2000 11:05 472ÿ848 wininet.dll
1 fichier(s) 472ÿ848 octets

R‚pertoire de C:\WINNT\system32\dllcache

21/07/2000 11:05 472ÿ848 wininet.dll
1 fichier(s) 472ÿ848 octets

Fichier trouvé : C:\WINNT\system32\dllcache\wininet.dll
Version System : 5.0.3103.1000
Version BackUp : 5.0.3103.1000

Correction du fichier non souhaitée.

»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport

Je viens de m'apercevoir que les deux rapports sont identiques en mode normal et en mode sans échec, je ne t'en envoie donc qu'un seul...

Le rapport HijackThis
Logfile of HijackThis v1.99.1
Scan saved at 12:23:14, on 13/08/2005
Platform: Windows 2000 SP1 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP1 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\CTSvcCDA.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\slserv.exe
C:\WINNT\System32\WFXSVC.EXE
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\Program Files\Symantec\DelFax\WFXMOD32.EXE
C:\WINNT\explorer.exe
C:\WINNT\System32\wfxsnt40.exe
C:\Program Files\Creative\ShareDLL\CtNotify.exe
C:\Program Files\Creative\Audio2K\PROGRAM\CTMIX32.EXE
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\WINNT\System32\internat.exe
C:\Program Files\Microsoft Office\Office\OSA.EXE
C:\Program Files\SpamPal\spampal.exe
C:\Program Files\Creative\ShareDLL\MediaDet.Exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINNT\explorer.exe
C:\WINNT\system32\NOTEPAD.EXE
C:\WINNT\Temp\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://yoursearch.ws/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://yoursearch.ws/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.bestwebslinks.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O3 - Toolbar: @msdxmLC.dll,-1@1036,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [WinFaxAppPortStarter] wfxsnt40.exe
O4 - HKLM\..\Run: [Disc Detector] C:\Program Files\Creative\ShareDLL\CtNotify.exe
O4 - HKLM\..\Run: [CreativeMixer] C:\Program Files\Creative\Audio2K\PROGRAM\CTMIX32.EXE /t
O4 - HKLM\..\Run: [Register MediaRing Talk] C:\Program Files\MediaRing Talk\register.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [RegSvr32] C:\WINNT\System32\msmsgs.exe
O4 - HKLM\..\Run: [intell32.exe] C:\WINNT\System32\intell32.exe
O4 - HKLM\..\Run: [PSGuard] C:\Program Files\PSGuard\PSGuard.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Startup: SpamPal.lnk = C:\Program Files\SpamPal\spampal.exe
O4 - Global Startup: Démarrage d'Office.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXE
O4 - Global Startup: Microsoft Recherche accélérée.lnk = C:\Program Files\Microsoft Office\Office\FINDFAST.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_01\bin\npjpi150_01.dll
O12 - Plugin for .bat: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin.dll
O12 - Plugin for .mid: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin.dll
O12 - Plugin for .mov: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.fr.msn.com
O14 - IERESET.INF: MS_START_PAGE_URL=http://www.fr.msn.com
O15 - Trusted Zone: www.redfunny.com
O15 - Trusted Zone: www.skymasters.biz
O16 - DPF: {01347765-1965-426B-91A4-AA6BB342B9A3} (InstallerObj Class) - http://www.1-click.com/common/files/installer-hidden-test.cab
O20 - Winlogon Notify: style2 - C:\WINNT\q17693742_disk.dll
O21 - SSODL: qGJwPPy - {7C86DDF5-D62C-775F-1EEB-FCFA87D971CC} - C:\WINNT\System32\ydn.dll
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINNT\System32\CTSvcCDA.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINNT\SYSTEM32\slserv.exe
O23 - Service: DelrinaFax PRO (wfxsvc) - Symantec Corporation - C:\WINNT\System32\WFXSVC.EXE

il faut accepter le nettoyage du registre
recommence l option 2 en sans echec et cette fois accepte

Bonjour à tout le monde !

C'est mon premier message, et je suis exactement dans le même cas de figure que JEAN3111

Impossible de faire sauter cette saleté.

edit : merci de ne pas coller ses rapports dans le sujet d'un autre.

leoburd
fait ton propre message ne sqatte pas celui d un autre

Ok désolé, je désirai éviter un doublon.

De retour de vacance. Bonne nouvelle le problème est résolu ! MERCI.

Il y a juste une chose, maintenant dès que je redémare le PC je suis obligé d'appuyer sur les touches ALT CTRL SUPPR pour avoir accès au bureau. Connaissez vous la solution pour ne pas à avoir à effectuer cette manoeuvre ?

Merci d'avance.

bizzard repasse le fix en option 2 mode sans echec et accepte le nettoyage du registre

Un grand merci, grâce à vos explications j'ai enfin pu me débarasser de cette salop'rie de psguard !!
OUF !

Je viens de repasser le fix comme demandé mais toujours le même problème, je suis toujours obligé d'appuyer sur les touches ALT CTRL SUPPR pour avoir accès au bureau...

Que faire ?

Merci.

salut
quand tu fait ctrl alt suppr a tu un explorer .exe
si non clik sur fichier nouvele tache et tu le cree

Bsr,

Je n'ai pas de explorer .exe

J'ai un "Gestionnaire des taches"...

je me suis mal exprimer
c est dans le gestionnaire tu clik sur fichier nouvelles tache
et la tu met explorer .exe

Je crois que c'est moi qui me suis mal exprimé !

Quand je démare le PC au lieu d'accéder directement au bureau je dois taper ALT CTRL SPPR et ensuite, après avoir inscrit mon code (procédure habituelle) j'ai accès au bureau. Avant d'avoir été infecté par PS Guard je n'étais donc pas obligé de taper ALT CTRL SPPR. Je souhaiterais supprimer cette manipulation.