[LOGICIEL] Nouveau virus ? pokapoka63 etc...

[lynal]

Salut à tous !

J'ai reformaté mes 2 PC, et j'ai attrapé, je sais pas comment, des trojans et des virus... impossible à enlever ! sur les deux pc en même temps. Si je reformate, ils reviennent quand même !

j'ai trouvé du :

pokapoka63.exe

dwwin.exe

Tous les exécutables de mon pc ont été infectés, et ils sont devenus inutilisables (et supprimés par Kaspersky).

Des barres de navigation sont installées (entre autre Mirar Toolbar).

Il bloque Internet explorer, et ouvre des pop-up porno.

Je n'arrive pas à les virer !!! avec Kaspersky, Ad-Aware et Trojan Expert, rien n'y fait.

Vous avez une solution ?

[snooky]

Désinstalle via Ajout/suppr des programmes ce qui te semble " louche " ( Mirar , etc...)

Désactive la restauration system , passe Ccleaner et supprime TOUT ce qu'il trouve ( ferme ton navigateur avant )

Enfin , poste un rapport Hijackthis dans la bonne section ( vise ma signature ).

Règle n°1 : Installer un firewall ( pare-feu ) avant de se connecter sur la bulle Internet . ( Kerio 2.1.5 , ZoneAlarm ou le firewall XP )

[bakou76]

Tu ne sais pas faire la suite après le formatage toi !

Va à ce lien et procede comme suis :

http://www.pcinpact.com/forum/sujet_34532....20entry720481 (by gailuron)

Si ça marche pas, ça doit être ton cd qui est infécté

[lynal]

Reuhh...

J'ai un imapi.exe qui s'est ajouté, une nouvelle toolbar, et deux fenêtrs c:\windows\cmd qui s'affichent au début.

Je tente le coup de Ccleaner et aussi hijackthis

[cedricpc]

C'est typique d'un hijack passé par une faille d'IE sans avoir de firewall.

Donc faut suivre ce qui dis snooky, c'est un pro pour ça.

Puis mettre firefox (gratuit et ressemble pas mal à IE) et un firewall (ZoneAlarm pour être tranquille (cf Gailuron66 ) ou Kerio Personal Firewall pour un protection optimale).

[Neworld]

Firewall, et pas de sites cochons/cracks à visiter, et t'aura beaucoup moins de problèmes...

[cedricpc]

Firewall, et pas de sites cochons/cracks à visiter, et t'aura beaucoup moins de problèmes...

Pas besoin d'aller voir ce genre de site... Ca viens tout seul.

[lynal]

Voici le log Hijackthis

Logfile of HijackThis v1.99.1

Scan saved at 10:19:45, on 29/08/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\syshost.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\WINDOWS\System32\alg.exe

\?\C:\WINDOWS\system32\WBEM\WMIADAP.EXE

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.neuf.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [KAVPersonal50] C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize

O4 - HKLM\..\Run: [eDonkey2000] C:\Program Files\eDonkey2000\eDonkey2000.exe -t

O4 - HKLM\..\Run: [Windows Logon Application] C:\WINDOWS\System32\winIogon.exe

O4 - HKLM\..\Run: [Local Security Authority Service] C:\WINDOWS\System32\Isass.exe

O4 - HKLM\..\Run: [tracert] C:\syshost.exe

O4 - HKLM\..\Run: [Configuration Loader] scvhost.exe

O4 - HKLM\..\Run: [system service63] C:\WINDOWS\etb\pokapoka63.exe

O4 - HKLM\..\RunServices: [MS Office1 Startup] OfficeGUI1.exe

O4 - HKLM\..\RunServices: [Configuration Loader] scvhost.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [MS Office1 Startup] OfficeGUI1.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{C2EF1099-1D97-4981-8543-FBD54D792B01}: NameServer = 80.118.192.112 80.118.196.42

O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

[snooky]

Coche et fixe ces lignes avec Hijackthis :

O4 - HKLM\..\Run: [Windows Logon Application] C:\WINDOWS\System32\winIogon.exe

O4 - HKLM\..\Run: [Local Security Authority Service] C:\WINDOWS\System32\Isass.exe

O4 - HKLM\..\Run: [tracert] C:\syshost.exe

O4 - HKLM\..\Run: [Configuration Loader] scvhost.exe

O4 - HKLM\..\Run: [system service63] C:\WINDOWS\etb\pokapoka63.exe

O4 - HKLM\..\RunServices: [MS Office1 Startup] OfficeGUI1.exe

O4 - HKLM\..\RunServices: [Configuration Loader] scvhost.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [MS Office1 Startup] OfficeGUI1.exe

Passe A² Squared .

Supprime ce fichier : C:\syshost.exe , si encore présent , avec BootDeleter

( Deleteon reboot dans le clic droit )

Active les Bases étendues et scan avec Kaspersky ( restauration system toujours désactivée )

Poste un nouveau rapport pour vérification.

[X-System]

J'ai reformaté mes 2 PC

En même temps ? Ils sont connectés par réseau entre ces deux ?

[lynal]

Resalut !

Je m'en sors pas... maintenant 3 pc sont atteint, dont un avec Windows 98 !

Oui les 3 pc sont en réseau :(

Voici un nouveau hijackthis :

Logfile of HijackThis v1.99.1

Scan saved at 19:58:48, on 02/09/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\syshost.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.searchtheworld4you.com/sp2.php

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.searchtheworld4you.com/sp2.php

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.searchtheworld4you.com/sp2.php

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.neuf.fr

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.searchtheworld4you.com/sp2.php

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O4 - HKLM\..\Run: [usbn] C:\WINDOWS\system32\usbn.exe -go -c28 -w

O4 - HKLM\..\Run: [Application Layer Gateway Service] C:\WINDOWS\System32\algs.exe

O4 - HKLM\..\Run: [tracert] C:\syshost.exe

O4 - HKLM\..\Run: [system service63] C:\WINDOWS\etb\pokapoka63.exe

O4 - HKLM\..\Run: [Windows Messenger] msnsmgs.exe

O4 - HKLM\..\Run: [MSDOS Security Service] msdos.pif

O4 - HKLM\..\Run: [lsass] c:\windows\system32\elitehoa32.exe

O4 - HKLM\..\RunServices: [Windows Messenger] msnsmgs.exe

O4 - HKLM\..\RunServices: [MSDOS Security Service] msdos.pif

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [MSDOS Security Service] msdos.pif

O4 - HKCU\..\Run: [Windows Messenger] msnsmgs.exe

O4 - HKCU\..\RunServices: [MSDOS Security Service] msdos.pif

O4 - HKCU\..\RunServices: [Windows Messenger] msnsmgs.exe

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O15 - Trusted Zone: http://awbeta.net-nucleus.com (HKLM)

O16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\ex.cab

O16 - DPF: {33331111-1111-1111-1111-611111193458} - file://c:\ex.cab

O16 - DPF: {33331111-1111-1111-1111-622221193458} - file://c:\ex.cab

O16 - DPF: {43331111-1111-1111-1111-611111195622} - file://c:\ex.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1125683236357

O16 - DPF: {64311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{3F101325-7EBD-4E14-930F-AB4C99EBF643}: NameServer = 80.118.196.36 80.118.192.100

O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} - C:\WINDOWS\System32\vbsys2.dll

[snooky]

Défait ton réseau et clean un pc après l'autre

( il faut également poster un rapport Hijack pour les 2 autres pc ... ne les connecte pas avant que les rapports Hijackthis soient clean ! )

Passe en mode sans échec.

Supprime ces fichiers avec Bootdeleter :

C:\syshost.exe

C:\WINDOWS\System32\vbsys2.dll

Reboot .

Supprime TOUTES les lignes R1 et R0 ,

les lignes 04,

les lignes 09,

la ligne 015,

les lignes 016

la ligne 21

Reboot.

Passe A²squared free et poste un nouveau rapport.

Règle n°1 : Installer un firewall ( pare-feu )

avant de se connecter sur la bulle Internet . ( Kerio 2.1.5 , ZoneAlarm ou le firewall XP )

Pas de trace de A² Squared ni de Firewall , pas de SP1 ou 2 !

Ne le reconnecte pas en réseau.

[cedricpc]

Je m'en sors pas... maintenant 3 pc sont atteint, dont un avec Windows 98 !

Oui les 3 pc sont en réseau :(

C'est un peu normal sans firewall... Tu vas pas sur des sites sensibles desfois ?

[lynal]

Eh bien je crois bien que c'est mon ***** de frère de 14 ans qui y est allé !!! sur les 3 pc en plus !!! le salaud...

avec a²free et Dr web j'ai réussi à virer pokapoka63, et il n'est pas revenu !!!

Cependant j'ai des attaques de "Lovesan", un prog qui veut rentrer dans mon pc, et j'ai aussi des fenêtres X qui s'affichent quand je démarre internet explorer.

Ad Aware n'a rien trouvé, mais Kaspersky, à chaque démarrage, me trouve deux trojan downloader.

Grrrr

Nouveau rapport :

Logfile of HijackThis v1.99.1

Scan saved at 13:23:32, on 03/09/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\RUNDLL32.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\a2\a2guard.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\alg.exe

C:\Documents and Settings\Lynal\Mes documents\Dr Web.exe

C:\DOCUME~1\Lynal\LOCALS~1\Temp\RarSFX0\drw_start.exe

C:\DOCUME~1\Lynal\LOCALS~1\Temp\RarSFX0\drweb32w.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.searchtheworld4you.com/sp2.php

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.searchtheworld4you.com/sp2.php

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O4 - HKLM\..\Run: [Windows Messenger] msnsmgs.exe

O4 - HKLM\..\Run: [KAVPersonal50] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\RunServices: [Windows Messenger] msnsmgs.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [Windows Messenger] msnsmgs.exe

O4 - HKCU\..\Run: [a-squared] "C:\Program Files\a2\a2guard.exe"

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O15 - Trusted Zone: http://awbeta.net-nucleus.com (HKLM)

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1125683236357

O16 - DPF: {64311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{3F101325-7EBD-4E14-930F-AB4C99EBF643}: NameServer = 80.118.196.40 80.118.192.110

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} - C:\WINDOWS\System32\vbsys2.dll (file missing)

O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

[snooky]

Désinstalle Dr Web !

Ferme ton navigateur et passe Ccleaner ( supprime TOUT ce qu'il trouve. )

Désactive la restauration system.

Avec Hijackthis , coche et fixe ces lignes :

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.searchtheworld4you.com/sp2.php

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.searchtheworld4you.com/sp2.php

O4 - HKLM\..\Run: [Windows Messenger] msnsmgs.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\RunServices: [Windows Messenger] msnsmgs.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [Windows Messenger] msnsmgs.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O15 - Trusted Zone: http://awbeta.net-nucleus.com (HKLM)

O16 - DPF: {64311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} - C:\WINDOWS\System32\vbsys2.dll (file missing)

Passe CWShredder.

Supprime ces fichiers avec Bootdeleter : ( recherche - les sur ton pc )

msgrapp.dll

C:\WINDOWS\System32\vbsys2.dll

Active les bases étendues et scan avec Kaspersky en mode sans échec .

Passe à nouveau A² Squared.

Poste un nouveau rapport pour véfification.

Suis - je assez compréhensible dans ce que je te demande de faire ?

PS :

Pour les attaques Lovesan que Kaspersky te signale , désactive " Prévenir en cas d'attaques réseau "

[cedricpc]

Eh bien je crois bien que c'est mon ***** de frère de 14 ans qui y est allé !!! sur les 3 pc en plus !!! le salaud...

Pas forcément besoin qu'il y soit allé sur tout les pc pour contaminer le réseau...

Installe vite un pare-feu (KPF ou ZA) !!!

C'est au moins la troisième fois qu'on te le dis et j'en vois toujours pas la moindre trace dans tes rapports HiJackThis...

(Isole ton pc du monde (réseau, internet...) dès maintenant aussi, ça bloquera tout comme ça . Rebranche tous uniquement après avoir fini ce que t'as dis Snooky)

[snooky]

Il a le firewall XP , c'est déjà pas si mal pour un début...

[cedricpc]

Peut-être mais ça ne dispence pas d'un bon firewall. Je doute d'une réel efficacité face aux HiJack celui de ikspé...

Et puis comment tu sais qu'il l'a activer ?

[D-Tune]

Salut à tous !

J'ai reformaté mes 2 PC, et j'ai attrapé, je sais pas comment, des trojans et des virus... impossible à enlever ! sur les deux pc en même temps. Si je reformate, ils reviennent quand même !

j'ai trouvé du :

pokapoka63.exe

dwwin.exe

Tous les exécutables de mon pc ont été infectés, et ils sont devenus inutilisables (et supprimés par Kaspersky).

Des barres de navigation sont installées (entre autre Mirar Toolbar).

Il bloque Internet explorer, et ouvre des pop-up porno.

Je n'arrive pas à les virer !!! avec Kaspersky, Ad-Aware et Trojan Expert, rien n'y fait.

Vous avez une solution ?

Je crois savoir où tu l'as chopé, je l'ai eu aussi (merci mumule au passage )

Coriace à enlever....

Mais intelligent trojan ^^

[snooky]

C'est le processus alg.exe .

[D-Tune]

C'est visiblement pas la même chose que moi, mais j'avais pokapoka36.exe et l'autre executable aussi...

Petit historique :

Au debut, j'installe le fichier "louche", à mes risques et périls...

Il me parle de battlefield 2 oO

Je continue, et me retrouve obligé de rebooter...

Reboot donc... puis

Début des emmerdes...

Kav ne se lance plus au démarrage... normal, l'executable a été supprimé (tiens tiens, pas con ce virus)...

Je regarde ce qui a changé via Msconfig... ok.. quelques processus en plus, idem dans le gestionnaire de tâches...

J'essaie de virer pokapoka et un autre en les enlevant du menu demarrage... nada, ils reviennent.

Je bloque les acces au net des deux fichiers "louches"... mais voilà qu'explorer s'affole... allons bon.

Scan avec spybot, il me trouve 3 trucs... ouai, bon, ça ne résoud rien ça..

Hop, Ad Aware... tiens, à peine trouvé les clefs de registres modifiées et les modules "louches", reboot violent du systeme (même façon que Lovsan, arret des services via un compte à rebours, qui durait meme pas 3 secondes chez moi )... et celà me l'a fait 5 fois, sur 5 boot.

Un des virus (et oui, il doit y en avoir plusieurs ), s'est planqué dans sys32, et le cache de windows... ce qui parfois le rend "invisible"

Reboot.. bon, rien n'a changé...

Hop, mode sans echec, reinstall de Kav sur une autre partition, ... passage d'Ad aware... (qu'il fallait lancer sans avoir le processus explorer.exe actif... en plus... because je me suis aperçu entre temps qu'il était lui aussi vérolé)

Bilan, un trojan... 6 virus

Au passage, on efface les entrées au demarrage via Msconfig (rien dans "ajouts-suppression de programmes" au passage...).

On reboot... mode normal... et voiloù...

Deux petites heures de prise de tête

Bien fait pour moi en même temps

EDIT:// ha si, j'avais aussi les popup porn et la barre de recherche dans IE

[cedricpc]

C'est le processus alg.exe .

Il sert pas aussi à la fois pour faire passerelle celui-la ?

[snooky]

Au fait , un XP sans SP1 ou SP2 , a bien son firewall intégré , non ? ... me souvient plus , ç'est tellement loin ...

[cedricpc]

Donc c'est pas forcement le Pare-Feu qui est activé...

SP1 n'as pas de centre de sécurité comme le SP2, le firewall est actif uniquement sur la connexion (beaucoup moins casse co*** pour le désactiver) :

(Sans gribouillage)

(Avec gribouillage)

[snooky]

Et SANS SP ?