OVH Cloud OVH Cloud

virus IE

19 réponses
Avatar
f4N-
bonjour,
depuis 2 jours, mon internet explorer est bloqué sur ma page de démarrage. Ma
connection internet est active (ca j'en suis sûr), mais qu'elle que soit l'URL
que je rentre dans le champ d'adrese je suis sytématiquement redirigé vers ma
page de démarrage (quelle qu'elle soit d'ailleurs). Mon antivirus et mon anti
adware ne détectent rien. J'ai désinstallé IE (avec Ieradicator) puis réinstallé
en vain.
Quelqu'un aurait-il une idée pour me venir en aide ?
Merci :(

9 réponses

1 2
Avatar
haristo

Bonjour ...haristo qui nous as a dit
*
*
* >
*
* > ceci dit tu as cette couennerie de NIS qui le fait aussi ;-(
*
*
* Affirmation gratuite.
*

http://support.microsoft.com/default.aspx?scid=kb;FR;320159&product=ieINT


ça fait des mois ou des années qu'on sait que c'est NIS sur des
dizaines de milliers ou + d'ordis


Rajoute alors dans tes couennerie Kaspersky vu qu'ici c'est cet AV qui
est utilisé :-)


Avatar
f4N-
.. que je pourrai faire une fois chez moi. :) Je suis au boulot la :D.
Avatar
f4N-
Salut,

f4N-:
depuis 2 jours, mon internet explorer est bloqué sur ma page
de démarrage. Ma connection internet est active (ca j'en suis
sûr), mais qu'elle que soit l'URL que je rentre dans le champ
d'adrese je suis sytématiquement redirigé vers ma page de
démarrage (quelle qu'elle soit d'ailleurs). Mon antivirus et
mon anti adware ne détectent rien. J'ai désinstallé IE (avec
Ieradicator) puis réinstallé en vain.


HijackThis est ton ami!©
<URL:http://www.lacave.net/~jokeuse/usenet/ht.html>

Fais-nous un petit rapport.


Bonjour,
j'ai fait le scan avec hithisjack. Je soumet le rapport à votre sagacité. Hihi!!
j'aime bien cette expression.
Bref, je n'ai encore rien fait. J'attends votre diagnostic et vos éventuelles
solutions. Merci d'avance.
Voici le rapport :


Logfile of HijackThis v1.97.7
Scan saved at 22:08:58, on 23/05/2004
Platform: Windows 2000 SP2 (WinNT 5.00.2195)
MSIE: Unable to get Internet Explorer version!

Running processes:
C:WINNTSystem32smss.exe
C:WINNTsystem32winlogon.exe
C:WINNTsystem32services.exe
C:WINNTsystem32lsass.exe
C:WINNTsystem32svchost.exe
C:WINNTsystem32spoolsv.exe
C:Program FilesKaspersky LabKaspersky Anti-Virus Personal Proavpcc.exe
C:WINNTSystem32svchost.exe
C:Program FilesKaspersky LabKaspersky Anti-Virus Personal Proavpm.exe
C:WINNTSystem32nvsvc32.exe
C:WINNTsystem32regsvc.exe
C:WINNTsystem32MSTask.exe
C:WINNTSystem32WBEMWinMgmt.exe
C:WINNTSystem32mspmspsv.exe
C:WINNTSystem32xl.exe
C:WINNTExplorer.EXE
C:WINNTloadqm.exe
C:Program FilesFichiers communsRealUpdate_OBrealsched.exe
C:Program FilesNetLimiterNetLimiter.exe
C:Program FilesPestPatrolPPControl.exe
C:WINNTsystem32devldr32.exe
C:WINNTsystem32devldr32.exe
C:PROGRA~1PESTPA~1PPMemCheck.exe
C:PROGRA~1PESTPA~1CookiePatrol.exe
C:Program FilesKaspersky LabKaspersky Anti-Virus Personal Proavpcc.exe
C:Program FilesFriendly TechnologiesBroadbandAccessfts.exe
C:WINNTsystem32ctfmon.exe
C:Program FilesAdobeAcrobat 6.0Distillracrotray.exe
C:Program FilesACD SystemsImageFoxImageFox.exe
C:Documents and Settingsprince1BureauHijackThis.exe

R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Page = http://www.
microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.
google.fr/
R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.
microsoft.com/isapi/redir.
dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL =
http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Local Page =
R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName =
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:Program
FilesAdobeAcrobat 6.0AcrobatActiveXAcroIEHelper.dll
O2 - BHO: (no name) - {AE7CD045-E861-484f-8273-0445EE161910} - C:Program
FilesAdobeAcrobat 6.0AcrobatAcroIEFavClient.dll
O2 - BHO: OsbornTech Popup Blocker - {FF1BF4C7-4E08-4A28-A43F-9D60A9F7A880} -
C:WINNTsystem32mshelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:WINNTsystem32msdxm.ocx
O4 - HKLM..Run: [NvCplDaemon] RUNDLL32.EXE C:WINNTSystem32NvCpl.dll,
NvStartup
O4 - HKLM..Run: [UpdReg] C:WINNTUpdreg.exe
O4 - HKLM..Run: [nwiz] nwiz.exe /install
O4 - HKLM..Run: [LoadQM] loadqm.exe
O4 - HKLM..Run: [divwin] divwin.exe
O4 - HKLM..Run: [windiv] windiv.exe
O4 - HKLM..Run: [TkBellExe] "C:Program FilesFichiers
communsRealUpdate_OBrealsched.exe" -osboot
O4 - HKLM..Run: [MS Security Hotfix] spoolsrv32.exe
O4 - HKLM..Run: [NetLimiter] C:Program FilesNetLimiterNetLimiter.exe /s
O4 - HKLM..Run: [PestPatrol Control Center] C:Program
FilesPestPatrolPPControl.exe
O4 - HKLM..Run: [PPMemCheck] C:PROGRA~1PESTPA~1PPMemCheck.exe
O4 - HKLM..Run: [CookiePatrol] C:PROGRA~1PESTPA~1CookiePatrol.exe
O4 - HKLM..Run: [OfficeGuard RegChecker] "C:Program FilesKaspersky
LabKaspersky Anti-Virus Personal Proogrc.exe"
O4 - HKLM..Run: [AVPCC] "C:Program FilesKaspersky LabKaspersky Anti-Virus
Personal Proavpcc.exe" /wait
O4 - HKLM..Run: [%FP%Friendly fts.exe] "C:Program FilesFriendly
TechnologiesBroadbandAccessfts.exe"
O4 - HKLM..Run: [DSLAGENTEXE] dslagent.exe
O4 - HKLM..RunServices: [MS Security Hotfix] spoolsrv32.exe
O4 - HKCU..Run: [ctfmon.exe] ctfmon.exe
O4 - HKCU..Run: [neufbox_reminder] "C:Program FilesKit
ADSLWizardPostInstall_Checker.exe" -r
O4 - Global Startup: Assistant d'Acrobat.lnk = C:Program FilesAdobeAcrobat 6.
0Distillracrotray.exe
O4 - Global Startup: ImageFox.lnk = C:Program FilesACD
SystemsImageFoxImageFox.exe
O4 - Global Startup: Microsoft Office.lnk = C:Program FilesMicrosoft
OfficeOffice10OSA.EXE
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O17 - HKLMSystemCCSServicesTcpip..{090D68FE-2202-41A0-B0E7-5F81AD9A0FD8}:
NameServer = 80.118.192.100 80.118.196.36
O17 - HKLMSystemCS1ServicesTcpip..{090D68FE-2202-41A0-B0E7-5F81AD9A0FD8}:
NameServer = 80.118.192.100 80.118.196.36


f4N-


Avatar
joke0
Salut,

f4N-:
Platform: Windows 2000 SP2 (WinNT 5.00.2195)


C'est dramatiquement pas à jour! Ton windows est faillible à
toutes les véroles qui traînent sur internet en ce moment.
Installe le sp4 (je ne sais pas s'il faut commencer par
installer le sp3 :-/).

Tu as un administrateur ou c'est pour ton PC perso?

C:WINNTSystem32xl.exe


Apparemment un outil de protection pour un logiciel.

C:Program FilesFriendly TechnologiesBroadbandAccessfts.exe

O4 - HKLM..Run: [%FP%Friendly fts.exe] "C:Program FilesFriendly
TechnologiesBroadbandAccessfts.exe"


Ceci me semble louche. A quoi ça sert?

O4 - HKLM..Run: [divwin] divwin.exe
O4 - HKLM..Run: [windiv] windiv.exe


Apparemment installé avec un pack de codecs bulgare?!

Tu peux m'en faire une copie et me l'envoyer? (retirer _noswen
de l'adresse).


Il n'y a rien d'évident dans ce rapport, rien qui saute aux yeux :-/

PS: Fais une recherche pour voir si par hasard tu n'aurais pas un
fichier msvrl.dll dans le répertoire C:WINNTsystem32

--
joke0

Avatar
f4N-
Bonour,

C'est dramatiquement pas à jour! Ton windows est faillible >à
toutes les véroles qui traînent sur internet en ce moment.
Installe le sp4 (je ne sais pas s'il faut commencer par
installer le sp3 :-/).


Je fais ca en rentrant ce soir si je peux ^^

Tu as un administrateur ou c'est pour ton PC perso?


C'est pour mon pc perso.

C:WINNTSystem32xl.exe


Apparemment un outil de protection pour un logiciel.

C:Program FilesFriendly >TechnologiesBroadbandAccessfts.exe

O4 - HKLM..Run: [%FP%Friendly fts.exe] "C:Program FilesFriendly
TechnologiesBroadbandAccessfts.exe"


Ceci me semble louche. A quoi ça sert?


Moi aussi je l'ai trouvé louché. Je pense que c'est ca qui fou le bazar.

O4 - HKLM..Run: [divwin] divwin.exe
O4 - HKLM..Run: [windiv] windiv.exe


Apparemment installé avec un pack de codecs bulgare?!


Comment sais tu que c'est bulgare?


Tu peux m'en faire une copie et me l'envoyer? (retirer >_noswen
de l'adresse).


Je t'envoie ca dès que je peux. Chui pas chez moi la.

Il n'y a rien d'évident dans ce rapport, rien qui saute aux yeux :-/


Ok. Mais concrètement à part installer le SP4 que puis-je faire. J'avoue que je
pensais effacer le truc louche ou demander à hijackthis de corriger. Est-ce une
bonne idée?

PS: Fais une recherche pour voir si par hasard tu n'aurais >pas un
fichier msvrl.dll dans le répertoire C:WINNTsystem32


Merci.


Avatar
joke0
Salut,

f4N-:
depuis 2 jours, mon internet explorer est bloqué sur ma page
de démarrage.


Dans le panneau d'installation/désinstallation, choisit IE et
fais 'Réparer'.

--
joke0

Avatar
joke0
Salut,

Au fait, c'est quoi cett fameuse page de démarrage?

f4N-:
C:Program FilesFriendly
TechnologiesBroadbandAccessfts.exe


O4 - HKLM..Run: [%FP%Friendly fts.exe] "C:Program
FilesFriendly TechnologiesBroadbandAccessfts.exe"


Ceci me semble louche. A quoi ça sert?


Moi aussi je l'ai trouvé louché. Je pense que c'est ca qui fou
le bazar.


Probablement. As-tu un anti-spyware?
<URL:http://www.lacave.net/~jokeuse/usenet/spyware.html>

O4 - HKLM..Run: [divwin] divwin.exe
O4 - HKLM..Run: [windiv] windiv.exe




Coche-les après m'en avoir fais des copies.

R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search
Page = http://www.
microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch R0 -
HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page > http://www. google.fr/
R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Start Page
= http://www. microsoft.com/isapi/redir.
dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R1 - HKLMSoftwareMicrosoftInternet
ExplorerMain,Default_Page_URL =
http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnho
me R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Local
Page = R0 - HKCUSoftwareMicrosoftInternet
ExplorerToolbar,LinksFolderName =


Cocher tout ça aussi.

Ok. Mais concrètement à part installer le SP4 que puis-je
faire. J'avoue que je pensais effacer le truc louche ou
demander à hijackthis de corriger. Est-ce une bonne idée?


Oui, fais-le coche ce que j'ai dit, puis clique sur 'Fix Check'
*Attention, IE et OE doivent être fermés!*
puis rebootes et recommence un scan pour voir si les lignes de
windiv/divwin ont disparu.

--
joke0




Avatar
f4N-
salut à tous,


Au fait, c'est quoi cett fameuse page de démarrage?


La page de démarrage n'a guère d'importance puisque je peux la modifier comme
bon me semble (cf pages 10 et 11 de ce thread) ... Mais en général c'est google
ou yahoo.


Probablement. As-tu un anti-spyware?
<URL:http://www.lacave.net/~jokeuse/usenet/spyware.html>


J'utilise pestpatrol mais j'ai aussi spybot d'installé, je crois. Je n'ai jamais
réussi à faire un scan complet avec ce dernier : il se bloque à un moment sur un
fichier dont je n'ai pas le nom en tête.

Cocher tout ça aussi.
Oui, fais-le coche ce que j'ai dit, puis clique sur 'Fix >Check'
*Attention, IE et OE doivent être fermés!*
puis rebootes et recommence un scan pour voir si les >lignes de
windiv/divwin ont disparu.


ok je fais ca, compte-rendu demain et avec un peu de chance ce soir après 20h00.
Merci encore.
--
joke0

Avatar
joke0
Salut,

joke0:
O4 - HKLM..Run: [divwin] divwin.exe
O4 - HKLM..Run: [windiv] windiv.exe


Apparemment installé avec un pack de codecs bulgare?!


J'ai envoyé les 2 fichiers suspects à Kaspersky Labs.
La réponse de KAV:

windiv.exe is a downloader.
divwin.exe is what windiv.exe download.


windiv est un téléchargeur.
divwin est le fichier téléchargé.

divwin.exe is packed with something new,
but it acts like 'gain trickler' killer.


divwin est compacté avec un nouveau packer, et il agit comme un
tueur de 'gain trikler' (ie: le spyware fournit avec le codec
divx free).

A virer donc! Pas sûr que ce soit dangereux, mais de toute
façon, c'est illégitime. Un logiciel mal programmé peut mettre
la zone sur un PC.

le windiv.exe est fournit avec un pack de codec:
http://www.codecpack.net/ qui est un site français (et pas
bulgare :o)

--
joke0


1 2