[LOGICIEL] [Résolu] Problème avec un spyware

Posté(e) le 26 octobre 200618 a

Salut,

J'ai un problème récurrent de spyware : il s'appelle command service et depuis deux semaines il squatte mon PC -_-

Je le détecte avec Spybot mais ce dernier n'arrive pas à le virer, et ce même en redémarrant ... En plus j'ai l'impression que ce spyware permet à d'autres de s'installer sur ma machine.

Des idées ?

Modifié le 27 octobre 200618 a par Kuntu

Citer

Posté(e) le 26 octobre 200618 a

Essaie en mode sans échec (F8 au démarrage).

Poste après un rapport hijackthis.

Citer

Posté(e) le 26 octobre 200618 a

Salut

:transpi: comme dit maxsims1, HijackThis, mais je te laisse voir avec lui, c'est mieux ^^.

:transpi: Spysweeper, en mode sans échec et avec la restauration système désactivée.

tiens au courant :pleure:

Citer

Posté(e) le 26 octobre 200618 a

Auteur

Replop,

Merci de votre aide :)

Je poste naïvement mon rapport hijackthis, je vous fais confiance :transpi:

Logfile of HijackThis v1.99.1

Scan saved at 22:08:29, on 26/10/2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\UGlnZ3k\command.exe

C:\WINDOWS\System32\FTRTSVC.exe

C:\Program Files\Network Monitor\netmon.exe

C:\WINDOWS\system32\pctspk.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\GSICON.EXE

C:\WINDOWS\System32\dslagent.exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\Logitech\MouseWare\system\em_exec.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\Jetico\Jetico Personal Firewall\fwsrv.exe

C:\Program Files\outlook\outlook.exe

C:\nwnmff_e38.exe

C:\Program Files\Fichiers communs\{0CDCE735-07CC-1036-1008-030810040021}\Update.exe

C:\Program Files\Stardock\ObjectDock\ObjectDock.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\iTunes\iTunes.exe

C:\Documents and Settings\Famille\Bureau\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Orange

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL

R3 - URLSearchHook: DeskbarBHO - {A8B28872-3324-4CD2-8AA3-7D555C872D96} - C:\Program Files\Deskbar\deskbar.dll

O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\fr\msntb.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: (no name) - {C004DEC2-2623-438e-9CA2-C9043AB28508} - (no file)

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe

O4 - HKLM\..\Run: [GSICONEXE] GSICON.EXE

O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [EPSON Stylus Photo RX420 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE /P31 "EPSON Stylus Photo RX420 Series" /O6 "USB001" /M "Stylus Photo RX420"

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime

O4 - HKLM\..\Run: [JeticoPFStartup] "C:\Program Files\Jetico\Jetico Personal Firewall\fwsrv.exe"

O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe

O4 - HKLM\..\Run: [outlook] C:\Program Files\outlook\outlook.exe /auto

O4 - HKLM\..\Run: [winlog] winlog.exe

O4 - HKLM\..\RunServices: [winlog] winlog.exe

O4 - Global Startup: Barre d'état système d'ATI CATALYST.lnk = C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll

O9 - Extra button: Orange - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.orange.fr (file missing) (HKCU)

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {0E8D0700-75DF-11D3-8B4A-0008C7450C4A} (DjVuCtl Class) - http://www.lizardtech.com/download/files/w...ntrol_en_US.cab

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineS...er.cab31267.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1135182215656

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

O16 - DPF: {B79A53C0-1DAC-4636-BACE-FD086A7A79BF} (AdSignerLCContrl Class) - https://static.impots.gouv.fr/tdir/static/a...AdSignerADP.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab

O16 - DPF: {BD393C14-72AD-4790-A095-76522973D6B8} - http://messenger.zone.msn.com/binary/Bankshot.cab31267.cab

O16 - DPF: {EF99BD32-C1FB-11D2-892F-0090271D4F88} - http://us.dl1.yimg.com/download.companion....bio5_3_18_0.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: ShellCompatibility - C:\WINDOWS\system32\n62ulgf9162.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\UGlnZ3k\command.exe

O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: PACSPTISVR - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\Pacsptisvr.exe

O23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exe

O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\Sptisrv.exe

Edit : rapport posté après nettoyage par Spybot

Citer

Posté(e) le 26 octobre 200618 a

Spysweeper, en mode sans échec et avec la restauration système désactivée.

reposte un log aprés . :transpi:

Citer

Posté(e) le 26 octobre 200618 a

Lignes à fixer :

O4 - HKLM\..\Run: [winlog] winlog.exe

O4 - HKLM\..\RunServices: [winlog] winlog.exe

O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\UGlnZ3k\command.exe

Supprime le fichier C:\WINDOWS\UGlnZ3k\command.exe

avec unlocker

Utilise firefox pour naviguer, et active virus shield en anti-virus, et analyse ton pc avec.

Pour optimisation, tu peux fixer ça :

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime

Citer

Posté(e) le 26 octobre 200618 a

Auteur

Plop,

Bon je peux pas démarrer en mode sans échec, mon clavier fonctionne pas dans le menu qui découle de F8.

Merci pour votre aide, ça sera fait :)

EDIT :

"O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\UGlnZ3k\command.exe" n'a pas l'air d'avoir envie de se laisser delete.

HijackThis est dans la racine de C:, et la restauration système est bien désactivée. Le problème doit être le mode sans échec je suppose ...

Je fais comment pour mon clavier ?

Citer

Posté(e) le 26 octobre 200618 a

Tu as quoi comme clavier ? usb, bluetooth ? Pas de clavier classique sous la main ?

Utilise le logiciel unlocker pour supprimer.

Citer

Posté(e) le 26 octobre 200618 a

Auteur

Bon,

Je vais surement passer pour un con ( si ce n'est pas déjà fait :chinois: ) mais je me souviens plus comment afficher les fichiers cachés :/

J'ai un bon vieux clavier USB et malheuresement je n'ai pas de clavier PS2 sous la main ...

Citer

Posté(e) le 26 octobre 200618 a

Outils -> options des dossiers

Même pas un adaptateur usb -> ps/2 ?

Citer

Posté(e) le 26 octobre 200618 a

Auteur

Ah bah si, sur l'étagère à 10 cm :chinois:

Merci je m'occupe de ça =)

Edit : Error Debug Privileges avec unlocker :/

Citer

Posté(e) le 26 octobre 200618 a

le FBI nous espionne. :yes: :chinois: ça m'a échappé

Citer

Posté(e) le 26 octobre 200618 a

Auteur

:chinois: Ils ont des yeux partout les bougres.

Mhh accessoirement tu m'as parle d'activer virus shield, mais où ? Jetico ?

Edit : merci d'avoir utilisé un peu de votre temps pour moi, mais après une très ( trop ) longue soirée hier mon PC me soule un poil, je reviens donc demain =)

+

Citer

Posté(e) le 26 octobre 200618 a

Lève tes yeux, jeune INpactien :chinois:

Dans le bandeau, centralisation antivirus.

Citer

Posté(e) le 26 octobre 200618 a

Active Virus Shield, c'est le nom de l'anti-virus conseillé par maxsims (et par moi, j'en profite) .

A demain :)

Citer

Posté(e) le 27 octobre 200618 a

Auteur

Soir :)

Après une grosse journée, j'ai réussi à faire ce que je voulais sur le PéCé :)

J'ai fait un scan avec AVS, tout nettoyé et voilà ce que ça donne :

Logfile of HijackThis v1.99.1

Scan saved at 23:15:09, on 27/10/2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AOL\Active Virus Shield\avp.exe

C:\WINDOWS\System32\FTRTSVC.exe

C:\WINDOWS\system32\pctspk.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\GSICON.EXE

C:\WINDOWS\System32\dslagent.exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE

C:\Program Files\Jetico\Jetico Personal Firewall\fwsrv.exe

C:\Program Files\Logitech\MouseWare\system\em_exec.exe

C:\Program Files\AOL\Active Virus Shield\avp.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\HijackThis.exe