[LOGICIEL] [Résolu] Problème avec un spyware

Kuntu · October 26, 2006

Salut,

J'ai un problème récurrent de spyware : il s'appelle command service et depuis deux semaines il squatte mon PC -_-

Je le détecte avec Spybot mais ce dernier n'arrive pas à le virer, et ce même en redémarrant ... En plus j'ai l'impression que ce spyware permet à d'autres de s'installer sur ma machine.

Des idées ?

maxsims1 · October 26, 2006

Essaie en mode sans échec (F8 au démarrage).

Poste après un rapport hijackthis.

noisette · October 26, 2006

Salut

:transpi: comme dit maxsims1, HijackThis, mais je te laisse voir avec lui, c'est mieux ^^.

:transpi: Spysweeper, en mode sans échec et avec la restauration système désactivée.

tiens au courant :pleure:

Kuntu · October 26, 2006

Replop,

Merci de votre aide :)

Je poste naïvement mon rapport hijackthis, je vous fais confiance :transpi:

Logfile of HijackThis v1.99.1

Scan saved at 22:08:29, on 26/10/2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\UGlnZ3k\command.exe

C:\WINDOWS\System32\FTRTSVC.exe

C:\Program Files\Network Monitor\netmon.exe

C:\WINDOWS\system32\pctspk.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\GSICON.EXE

C:\WINDOWS\System32\dslagent.exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\Logitech\MouseWare\system\em_exec.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\Jetico\Jetico Personal Firewall\fwsrv.exe

C:\Program Files\outlook\outlook.exe

C:\nwnmff_e38.exe

C:\Program Files\Fichiers communs\{0CDCE735-07CC-1036-1008-030810040021}\Update.exe

C:\Program Files\Stardock\ObjectDock\ObjectDock.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\iTunes\iTunes.exe

C:\Documents and Settings\Famille\Bureau\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Orange

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL

R3 - URLSearchHook: DeskbarBHO - {A8B28872-3324-4CD2-8AA3-7D555C872D96} - C:\Program Files\Deskbar\deskbar.dll

O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\fr\msntb.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: (no name) - {C004DEC2-2623-438e-9CA2-C9043AB28508} - (no file)

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe

O4 - HKLM\..\Run: [GSICONEXE] GSICON.EXE

O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [EPSON Stylus Photo RX420 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE /P31 "EPSON Stylus Photo RX420 Series" /O6 "USB001" /M "Stylus Photo RX420"

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime

O4 - HKLM\..\Run: [JeticoPFStartup] "C:\Program Files\Jetico\Jetico Personal Firewall\fwsrv.exe"

O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe

O4 - HKLM\..\Run: [outlook] C:\Program Files\outlook\outlook.exe /auto

O4 - HKLM\..\Run: [winlog] winlog.exe

O4 - HKLM\..\RunServices: [winlog] winlog.exe

O4 - Global Startup: Barre d'état système d'ATI CATALYST.lnk = C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll

O9 - Extra button: Orange - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.orange.fr (file missing) (HKCU)

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {0E8D0700-75DF-11D3-8B4A-0008C7450C4A} (DjVuCtl Class) - http://www.lizardtech.com/download/files/w...ntrol_en_US.cab

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineS...er.cab31267.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1135182215656

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} - http://www.pandasoftware.com/activescan/as5/asinst.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

O16 - DPF: {B79A53C0-1DAC-4636-BACE-FD086A7A79BF} (AdSignerLCContrl Class) - https://static.impots.gouv.fr/tdir/static/a...AdSignerADP.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab

O16 - DPF: {BD393C14-72AD-4790-A095-76522973D6B8} - http://messenger.zone.msn.com/binary/Bankshot.cab31267.cab

O16 - DPF: {EF99BD32-C1FB-11D2-892F-0090271D4F88} - http://us.dl1.yimg.com/download.companion....bio5_3_18_0.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: ShellCompatibility - C:\WINDOWS\system32\n62ulgf9162.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\UGlnZ3k\command.exe

O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: PACSPTISVR - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\Pacsptisvr.exe

O23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exe

O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\Sptisrv.exe

Edit : rapport posté après nettoyage par Spybot

noisette · October 26, 2006

Spysweeper, en mode sans échec et avec la restauration système désactivée.

reposte un log aprés . :transpi:

maxsims1 · October 26, 2006

Lignes à fixer :

O4 - HKLM\..\Run: [winlog] winlog.exe

O4 - HKLM\..\RunServices: [winlog] winlog.exe

O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\UGlnZ3k\command.exe

Supprime le fichier C:\WINDOWS\UGlnZ3k\command.exe

avec unlocker

Utilise firefox pour naviguer, et active virus shield en anti-virus, et analyse ton pc avec.

Pour optimisation, tu peux fixer ça :

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime

Kuntu · October 26, 2006

Plop,

Bon je peux pas démarrer en mode sans échec, mon clavier fonctionne pas dans le menu qui découle de F8.

Merci pour votre aide, ça sera fait :)

EDIT :

"O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\UGlnZ3k\command.exe" n'a pas l'air d'avoir envie de se laisser delete.

HijackThis est dans la racine de C:, et la restauration système est bien désactivée. Le problème doit être le mode sans échec je suppose ...

Je fais comment pour mon clavier ?

maxsims1 · October 26, 2006

Tu as quoi comme clavier ? usb, bluetooth ? Pas de clavier classique sous la main ?

Utilise le logiciel unlocker pour supprimer.

Kuntu · October 26, 2006

Bon,

Je vais surement passer pour un con ( si ce n'est pas déjà fait :chinois: ) mais je me souviens plus comment afficher les fichiers cachés :/

J'ai un bon vieux clavier USB et malheuresement je n'ai pas de clavier PS2 sous la main ...

maxsims1 · October 26, 2006

Outils -> options des dossiers

Même pas un adaptateur usb -> ps/2 ?

Kuntu · October 26, 2006

Ah bah si, sur l'étagère à 10 cm :chinois:

Merci je m'occupe de ça =)

Edit : Error Debug Privileges avec unlocker :/

noisette · October 26, 2006

le FBI nous espionne. :yes: :chinois: ça m'a échappé

Kuntu · October 26, 2006

:chinois: Ils ont des yeux partout les bougres.

Mhh accessoirement tu m'as parle d'activer virus shield, mais où ? Jetico ?

Edit : merci d'avoir utilisé un peu de votre temps pour moi, mais après une très ( trop ) longue soirée hier mon PC me soule un poil, je reviens donc demain =)

+

maxsims1 · October 26, 2006

Lève tes yeux, jeune INpactien :chinois:

Dans le bandeau, centralisation antivirus.

noisette · October 26, 2006

Active Virus Shield, c'est le nom de l'anti-virus conseillé par maxsims (et par moi, j'en profite) .

A demain :)

Kuntu · October 27, 2006

Soir :)

Après une grosse journée, j'ai réussi à faire ce que je voulais sur le PéCé :)

J'ai fait un scan avec AVS, tout nettoyé et voilà ce que ça donne :

Logfile of HijackThis v1.99.1

Scan saved at 23:15:09, on 27/10/2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AOL\Active Virus Shield\avp.exe

C:\WINDOWS\System32\FTRTSVC.exe

C:\WINDOWS\system32\pctspk.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\GSICON.EXE

C:\WINDOWS\System32\dslagent.exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE

C:\Program Files\Jetico\Jetico Personal Firewall\fwsrv.exe

C:\Program Files\Logitech\MouseWare\system\em_exec.exe

C:\Program Files\AOL\Active Virus Shield\avp.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\HijackThis.exe