Forum XP.Net -Sécurité Informatique-

Bonjour Agnès,

Me revoilà !
Cette fois je ne l'ai pas vu venir. Pourtant j'ai toute une batterie de logiciels, il y en a plein le bureau : Ewido, Norton, Shreder, etc. Mais apparemment rien n'y fait.
C'est en jouant tout simplement à un Tétris sur un site de démos gratuites que c'est arrivé. On ne peut décidément plus se balader sur le Net, sauf à rester sur Ebay et Google Earth.
J'ai un copain qui en avait marre de planter sans arrêt sur son PC. Il a entendu dire qu'il n'y avait pas de virus sur Mac. Du coup il a liquidé son PC et s'est acheté un Mac il y a deux ans. Depuis il est parfaitement tranquille. Faut-il faire la même chose pour ne pas être victime tous les deux mois ?

Le problème : fermeture systématique d'Internet Explorer.
"iexplore.exe a rencontré un problème et doit fermer. Nous vous prions de nous excuser etc."
A tout bout de champ.

Un premier scan Ewido a détecté 14 infections : un maliciel.

- Backdoor.Rbot
- Spyware.Cookie.Blues track
- Spyware.Cookie.Statcounter
- Spyware.Cookie.Tradedoubler
- Downloader.Agent.bc

Dans :

C:\WINDOWS\System32\dxmadxr.exe
.......................\explorer.scf:kvjps
......................\msgsocm.log:efuat
.......................\system32\pabaaaaa.exe
etc.

Ewido a tout éliminé, théoriquement. Mais :

A partir de là, dès l'allumage du PC j'avais deux messages d'alerte Norton impossibles à faire disparaître de l'écran, pour le virus W32 Spybot.Worm, dans :
- C:\WINDOWS\Syst....\mtqwbeaw.exe
l'un avec le commentaire : "l'accès au fichier a été refusé ", l'autre avec le commentaire : "impossible de réparer ce fichier ".

Au deuxième scan, Ewido a trouvé un fichier infecté qui subsistait et a affiché un message de destruction réussie.

Depuis, les deux alertes de Norton n'apparaissent plus mais le problème de fermeture intempestive d'Internet Explorer subsiste. Le message "iexplore.exe a rencontré un problème et doit fermer. Nous vous prions de nous excuser etc." apparaît toujours, même quand Internet Expl. n'est pas ouvert. (Et, bien entendu, quand il est ouvert il le ferme, mais pas toujours. Parfois il faut attendre deux ou trois apparitions du message pour que la fermeture intervienne).

Je m'en remets une fois de plus à ta sagacité et à celle de tes amis. Je ne sais plus quoi faire pour que ça n'arrive pas. Est-ce qu'il n'y aurait pas un paramétrage d'Internet Explorer dans les options avancées à mettre au point ?

La difficulté, lorsqu'on navigue, est qu'il apparaît souvent des messages de connexion ("trucmuche-machin tente de se connecter, voulez-vous autoriser ? oui, non ?") et qu'on ne comprend généralement pas s'il faut dire oui ou non. Parfois il est indispensable de dire oui pour continuer normalement l'activité sur le Net et d'autres fois il ne faut absolument pas dire oui. Mais comment faire la différence ?

C'est arrivé comme ça.
Un message de demande auquel j'ai répondu non quinze fois et qui revenait sans arrêt. J'en ai déduit qu'il fallait dire oui et les ennuis sont arrivés.

Voilà. Merci d'avance. Désolé.

Oufffffffffffff !!
Bon, une fois n'est pas coutume, je vais commencer par les commentaires :
(si quelque chose te choque, dis-toi qu'il y a une bonne dose d'humour)



Me semble au contraire que tu l'as bien vu venir, tu l'as même prié de s'installer


Pour être efficace, il faut aussi que les logiciels soient efficaces.
Remplace ton Norton, tu iras de suite mieux


Forcément, il y a 2 douzaines de Mac sur la planète, pourquoi voudrais-tu qu'on s'y attaque ?
Mais, il y a moins cher : Linux


Ewido n'élimine pas les virus


Tu es sûr que c'est bien Internet Explorer ? Ce ne serait pas Explorer.exe ?


Uniquement en comprenant précisément ce qui est demandé et en sachant exactement que l'on désire. Il n'y a malheureusement pas de règles précises.
D'ailleurs s'il y en avait, les différents modes d'infection s'arrangeraient pour correspondre à ces règles pour continuer gentiment à semer la panique.

Pour résoudre ton problème :
1- ma question ci-dessus : Internet Explorer ou Explorer ?
2- ton anti-virus Norton est-il à jour ?
3- as-tu essayé un scan en ligne ?
4- as-tu essayé en mode sans échec ?
5- as-tu désactivé la restauration système pour scanner le PC ?

@+

Cela faisait longtemps que l'on ne t'avais vu....

Réponds aux questions de Guardian.
(son humoiur est légendaire mais tu en a toi aussi une bonne dose )

Pour faire les scans et autres en mode sans échec avec la restauration du systéme...et tout le toutim
regarde là
http://forumxp.net.free.fr/phpBB2/viewforum.php?f=24
sortie en avant premiére pour toi


A bientôt

Bonsoir,

Merci de venir encore une fois à mon secours.
Je vais essayer de répondre brièvement aux commentaires avant d'attaquer le fond du problème.

Remplacer Norton : d'accord. Par quoi ?
Mac : c'est précisément dans le faible pourcentage d'utilisateurs que réside l'intérêt !
Ewido : je ne sais pas s'il élimine les virus ou non mais il a détecté 14 problèmes et déclaré les avoir résolus.
Explorer : il y a des subtilités qui m'échappent. Comme indiqué, le message d'alerte dit : "iexplorer.exe a rencontré un problème etc." Mais la conséquence est que la connexion Internet se ferme. Je pensais qu'iexplorer.exe était le fichier de démarrage d'Internet Explorer. Ce n'est pas ça ?

Pour répondre à tes questions précises :

1- ma question ci-dessus : Internet Explorer ou Explorer ?
Réponse : Sais pas. Le message parle de iexplorer.exe. C'est Internet Explorer qui se ferme. Explorer tout court je ne vois pas.

2- ton anti-virus Norton est-il à jour ? oui

3- as-tu essayé un scan en ligne ? non

4- as-tu essayé en mode sans échec ? non

5- as-tu désactivé la restauration système pour scanner le PC ? non

C'est vrai que ce sont toujours les mêmes procédés et que je pourrais m'en souvenir mais je n'assimile pas. Pendant les dépannages, le côté didactique ne fonctionne absolument pas.
Bien. Je poste avant que ça ferme. Je suis d'ailleurs étonné que ce soit encore ouvert...
Merci à tous.

Ça c'est LA question...
Perso, je ne jure que par McAfee que j'utilise depuis + de 15 ans (± 16 ans je pense)
Donc Mcafee pour l'AV payant
En gratuit, Avast
Mais d'autres auront un avis différent.


Tout dépend du point de vue
Pour moi c'est un défaut plus qu'une qualité.


Si, c'est Ok
Mais le problème le plus courant c'est explorer.exe qui plante
c'est pour être sûr de parler de la même chose
explorer.exe c'est le "coeur" du GUI (interface graphique) de Windows


Ok


Essaye, ça pourrait t'aider


Cela permet d'enlever des fichiers virussés qui ne peuvent l'être en mode normal parce qu'ils sont exécutés et en mémoire. Donc bloqués pour une suppression.


Il faut le faire (sous Me & XP) sinon le système est suceptible de remettre les fichiers virussés en "réparant" le système qu'il juge "abîmé" par tes manipulations.

En résumé pour le nettoyage
Pour commencer un scan en ligne essaye Kaspersky. ou panda assez réputés.
tu ne peux pas le faire en mode sans echec car dans ce mode tu n'auras plus accés a internet
http://forumxp.net.free.fr/phpBB2/viewtopic.php?t=21
Pour ce qui est du mode sans echec et le reste regarde là.
http://forumxp.net.free.fr/phpBB2/viewforum.php?f=24
Tu passe un coup de ton AV un coup de Spybot ou AD-Aware et ensuite Ewido.en suivant cette procédure strictement.
puis pour finir tu nous poste un HijackThis.
On va trouver.

D'accord. Merci.
Je me suis absenté, et quand je suis revenu tout était fermé, avec le message habituel.

Agnès, je vais essayer toute la procédure que tu as la gentillesse de décrire dans un autre fil et que je n'avais pas vue, ainsi que tes dernières recommandations. Il va me falloir le temps...
Quand ce sera fait je reviendrai.
Peut-être avant Noël, si ça se trouve...
A bientôt.

Excuse moi je me suis plantée dans le lien c'est là
http://forumxp.net.free.fr/phpBB2/viewtopic.php?t=276
rien, de tréscompliqué tu aura fini avant Noel.

A bientôt
si tu a un doute demande nous.

Merci Agnès, c'est bien sur ce lien que je travaille.
Mais ça commence mal car en entrant dans le site de CCleaner il y a cinq ou six choix de chargement et je ne sais pas lequel prendre.
J'ai donc escamoté cette étape pour passer directement aux scan Spybot puis Ewido, et enfin au log Hijackthis, le tout en mode sans échec et avec l'option de restauration de système désactivée.

J'ai une suggestion à faire, à ce propos. Dans ce lien où tu donnes la procédure de nettoyage et que je trouve plutôt bien fait car il fournit une méthode simple et directe, tu expliques COMMENT passer en mode sans échec et comment activer/désactiver l'option de restauration mais on ne sait pas exactement QUAND faire ces opérations. C'est peut-être stupide mais est-ce qu'il ne faudrait pas, pour plus de clarté, indiquer dans le déroulement du nettoyage le moment où il faut passer en mode sans échec et en restauration désactivée puis le moment où il faut revenir aux mode et option d'origine, ou alors dire à chaque étape dans quel mode elle doit être exécutée ?

Je passerai le log Hijack demain.
Merci et à bientôt.

Merci Richard

toute suggestion est bonne pour améliorer la technique .
j'ai un peu modifié tu me dira si c'est mieux.
En fait c'est chornologique donc si rien n'est précisé tout ce que tu a fait au début doit soit aller jusqu'a la fin soit être "annulé" de lui même.
Sinon a la fin la phase post nettoyage t'indique que faire pour remettre en place ce qui ne se fera pas de lui même.

Ccleaner c'est quand même important.
essaye par là
c'est parfois un peu long avant qu'il arrive.
http://www.ccleaner.com/download126.asp

pour le reste AV et Mac on en reparlera quand ce sera propre.

Bonjour à tous.
Merci Agnès. J'irai voir si le PC me laisse le temps.
Là j'écris sur Word et je me dépêcherai de poster parce que tout à l'heure j'ai pas pu finir mon message avant qu'I.E. se ferme d'office.
Voici le résultat Hijackthis.
Merci d'avance.




Logfile of HijackThis v1.99.1
Scan saved at 09:12:22, on 13.12.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\glejhaaa.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton Internet Security Professional\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton Internet Security Professional\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Microsoft Windows System] glejhaaa.exe
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\RunServices: [Microsoft Windows System] glejhaaa.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O12 - Plugin for .mid: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin2.dll
O12 - Plugin for .wav: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin3.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.google.fr/
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/Shar ... /cabsa.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex/EP ... -0-3-0.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{6B755CD9-BCC1-430A-9962-66EB87498824}: NameServer = 212.151.136.242,130.244.127.170
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O21 - SSODL: IEFilter - {E7938C57-642F-4A7B-842B-E93B60DE4509} - C:\WINDOWS\system32\IEFilter.dll
O21 - SSODL: SysTray.Exgr - {5368D1FC-4F5C-4f1b-B134-E67214FC78E9} - C:\WINDOWS\System32\egedohnn.dll (file missing)

Richard tu n'as toujours pas installé le SP2...donc tu cours plus de risques que la moyenne. (beaucoup plus )

cela ressemble a : Troj/SrchSpy-A
Bon on va essayer ceci
Voila les lignes a cocher fixer

O4 - HKLM\..\Run: [Microsoft Windows System] glejhaaa.exe
O4 - HKLM\..\RunServices: [Microsoft Windows System] glejhaaa.exe
O21 - SSODL: IEFilter - {E7938C57-642F-4A7B-842B-E93B60DE4509} - C:\WINDOWS\system32\IEFilter.dll
O21 - SSODL: SysTray.Exgr - {5368D1FC-4F5C-4f1b-B134-E67214FC78E9} - C:\WINDOWS\System32\egedohnn.dll (file missing)

coche et fixe ces lignes en mode sans echec.
si HJThis n'y arrive pas :
Stoppe les processus glejhaaa.exe par le gestionnaire des taches
pour cela tu cliques droit sur la barre des taches --> gestionnaire des taches--> onglet processus tu cherche ce qui ressemble a glejhaaa.exe tu le sélectionne et clic droit terminer le processus.
Tu auras une fenêtre d'avertissement tu accepte.
Si tu en vois plusieurs stoppe les tous.
Ensuite reessaye de les cocher et fixer.

Si cela ne marche toujours pas ainsi pas de panique on fera autrement.

Que tu y sois arrivé ou non, reposte nous un rapport HJThis fait sans le mode sans echec.

Si tu a vraiment du mal a te connecter et seulement si.
tu peux passer par mon mail et je posterais pour toi sur le forum.
courage
A+

Retour.
J'ai chargé Ccleaner mais au résultat ça s'appelle Registery Mechanic.
Apparemment il a fait son boulot.
Spybot donne toujours les mêmes résultats : deux groupes d'éléments signalés dont il n'arrive à corriger qu'un seul. Et la fois d'après les deux mêmes groupes sont de retour. Ca c'est permanent.
Ewido détecte 9 problèmes. Parfois c'est 6. Parfois 2. Il corrige mais la fois d'après ça recommence.
Et voilà le dernier Hijack qui a suivi immédiatement les 3 opérations (Ccleaner, Spybot et Ewido)..
Merci d'avance.
(Je prépare toujours sur Word puis je procède par copier-coller pour précéder la coupure !).


Logfile of HijackThis v1.99.1
Scan saved at 09:51:09, on 13.12.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE
C:\WINDOWS\System32\drwtsn32.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton Internet Security Professional\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton Internet Security Professional\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\RunOnce: [SpybotSnD] "C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe" /autocheck
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O12 - Plugin for .mid: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin2.dll
O12 - Plugin for .wav: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin3.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.google.fr/
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/Shar ... /cabsa.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex/EP ... -0-3-0.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{6B755CD9-BCC1-430A-9962-66EB87498824}: NameServer = 212.151.136.242,130.244.127.170
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O21 - SSODL: IEFilter - {E7938C57-642F-4A7B-842B-E93B60DE4509} - C:\WINDOWS\system32\IEFilter.dll
O21 - SSODL: SysTray.Exgr - {5368D1FC-4F5C-4f1b-B134-E67214FC78E9} - blank (file missing)

Agnès, j'ai posté le précédent sans lire ton message intermédiaire, pour aller vite.

Je vais faire ce que tu demandes.

j'ai pas compris pour quoi ccleaner c'est registry mechanics ???
la page que je t'ai donnée pour ccleaner tu la laisse telle quelle (clique nulle part) il va apparaitre au bout de quelsques secondes. je ne connais aps registry mechanics donc desinstalle le.
bon il en manque quelques unes peut être enlevées par Ewido.
regarde bien quand même.
Aprés avoir fait ce que je te demande dans mon post du dessus
et redémarrer l''ordi sans le mode sans échec ensuite refait et reposte un HJT.
merci a toi
A+