Forums Zebulon.fr: [Résolu] Win32/Spy.SpyEye.B cheval de Troie - Forums Zebulon.fr

salut à tous,

je viens de recevoir une alerte de mon anti virus (eset nod32 4.0.314.0)et voici l'alerte :
14/11/2011 17:34:37 Analyseur au démarrage fichier Mémoire vive » winlogon.exe(828) une variante de Win32/Spy.SpyEye.B cheval de troie impossible de nettoyer
14/11/2011 18:03:33 Protection en temps réel du système de fichiers fichier C:\RECYCLER\S-1-5-21-1757981266-261903793-839522115-1003\Dc5.exe une variante probable de Win32/Injector.HYS cheval de troie nettoyé par suppression - mis en quarantaine PAT-C602E66FD60\patryk Un événement s'est produit sur un fichier modifié par l'application : C:\WINDOWS\explorer.exe.

mon rapport HijackThis :

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 17:58:48, on 14/11/2011
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\devldr32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Microsoft IntelliType Pro\itype.exe
C:\WINDOWS\RTHDCPL.EXE
C:\program files\real\realplayer\update\realsched.exe
C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
C:\Program Files\Nero\Update\NASvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\NVIDIA Corporation\NVIDIA Updatus\daemonu.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\DllHost.exe
C:\WINDOWS\system32\notepad.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Mozilla Firefox\plugin-container.exe
C:\Documents and Settings\patryk\Mes documents\HiJackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = Google
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = MSN Hotmail, Messenger, Actualité, Sport, People, Femmes - MSN France
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = Bing
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = Bing
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = MSN Hotmail, Messenger, Actualité, Sport, People, Femmes - MSN France
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: ToolbarURLSearchHook Class - {CA3EB689-8F09-4026-AA10-B9534C691CE0} - C:\Program Files\searchweb\tbunsm56.tmp\tbhelper.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Documents and Settings\All Users\Application Data\Real\RealPlayer\BrowserRecordPlugin\IE\rpbrowserrecordplugin.dll
O2 - BHO: TBSB02609 - {3F4F8369-DA5A-4895-A07F-6E97A9BA22CB} - C:\Program Files\searchweb\tbunsm56.tmp\tbcore3.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: searchweb - {A29B2641-9931-448A-8DE7-B2D63BDC1812} - C:\Program Files\searchweb\tbunsm56.tmp\tbcore3.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [itype] "c:\Program Files\Microsoft IntelliType Pro\itype.exe"
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\program files\real\realplayer\update\realsched.exe" -osboot
O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Wfkkkg] C:\Documents and Settings\patryk\Application Data\Wfkkkg.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-21-1757981266-261903793-839522115-1004\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'UpdatusUser')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: searchweb - {A29B2641-9931-448A-8DE7-B2D63BDC1812} - C:\Program Files\searchweb\tbunsm56.tmp\tbcore3.dll
O9 - Extra 'Tools' menuitem: searchweb - {A29B2641-9931-448A-8DE7-B2D63BDC1812} - C:\Program Files\searchweb\tbunsm56.tmp\tbcore3.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O21 - SSODL: Windows Task Services - C:\Documents and Settings\patryk\Application Data\16.exe - (no file)
O22 - SharedTaskScheduler: Pré-chargeur Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Démon de cache des catégories de composant - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: ESET HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe
O23 - Service: ESET Service (ekrn) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
O23 - Service: Journal des événements (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: Service COM de gravage de CD IMAPI (ImapiService) - Unknown owner - C:\WINDOWS\system32\imapi.exe
O23 - Service: Ma-Config Service (maconfservice) - Unknown owner - C:\Program Files\ma-config.com\maconfservice.exe
O23 - Service: Partage de Bureau à distance NetMeeting (mnmsrvc) - Unknown owner - C:\WINDOWS\system32\mnmsrvc.exe
O23 - Service: @C:\Program Files\Nero\Update\NASvc.exe,-200 (NAUpdate) - Nero AG - C:\Program Files\Nero\Update\NASvc.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: NVIDIA Update Service Daemon (nvUpdatusService) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NVIDIA Updatus\daemonu.exe
O23 - Service: Plug-and-Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe
O23 - Service: Carte à puce (SCardSvr) - Unknown owner - C:\WINDOWS\System32\SCardSvr.exe
O23 - Service: Journaux et alertes de performance (SysmonLog) - Unknown owner - C:\WINDOWS\system32\smlogsvc.exe
O23 - Service: Cliché instantané de volume (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe
O23 - Service: Carte de performance WMI (WmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\wmiapsrv.exe

--
End of file - 7556 bytes


je ne sais quoi faire ?????

par avance merci !!

pat.

Bonjour patman,

---

Très Important!

>>> A faire immédiatement:
- En haut de ce message cliquer sur le bouton "Suivre ce sujet", en choisissant "Notification immédiate" => "Soumettre" tu seras avisé en temps réel pour les réponses apportées à ton sujet et de ce fait, ta machine sera nettoyée dans les meilleurs délais.
Si à la place du bouton "Suivre ce sujet" tu as "Arrêter de suivre ce sujet", c'est que les réglages ont déjà été faits.
- Sauvegarder (en copiant) tous les documents personnels sur un support autre que la partition système: Clé USB, CD/DVD, Disque Dur externe etc.
- TeaTimer de Spybot-S&D peut interférer avec nos utilitaires et causer certains problèmes. Le désactiver dès maintenant s'il est installé sur la machine à traiter: Lancer Spybot-S&D => "Mode Avancé". Outils (à gauche) => "Résident" et Décocher "Résident TeaTimer (...)" => OK.

>>> Que faire durant ce nettoyage: Merci de NE PAS utiliser, installer et/ou désinstaller aucun programme à part ceux qui sont proposés à chaque étape ce qui a pour but d'éviter tout problème d'incompatibilité entre les outils.

>>> Que faire à la réception de nouvelles instructions:

• Lire la totalité du message.
  
• Certains programmes peuvent créer des problèmes s'ils ne sont pas lancés depuis le Bureau. Aussi, il est demandé de les télécharger et enregistrer DIRECTEMENT sur le Bureau (ou les déplacer avant utilisation par un clic-droit dessus => "Couper" puis clic-droit sur le Bureau => "Coller").
  
• Procéder toujours dans l'ordre donné et demander des clarifications si nécessaire AVANT de commencer.
  
• NE PAS hésiter à commenter et signaler tout changement (en bien ou en mal) dans le comportement de la machine ou par rapport au problème initial.

>>> Comment répondre:
- Cliquer sur le bouton (et non sur car je n'ai pas besoin de relire mes messages précédents).
- Coller le contenu des rapports SANS y ajouter AUCUN formatage de texte (en citation, code, couleur etc...), le but étant pour nous faciliter leur interprétation.
De mon côté, j'utilise certains formatages de texte et/ ou certaines couleurs NON PAS pour faire joli mais juste pour attirer l'attention sur certains points afin d'éviter toute mauvaise manipulation risquant de créer des problèmes.

>>> Ne pas abandonner son sujet avant d'être informé(e) que tout est OK.

---

>>> ZHPDiag/ Analyse: Télécharger, sur le Bureau ZHPDiag (par Nicolas Coolman) depuis ici.
Double-cliquer sur "ZHPDiag.exe" pour lancer l'installation du programme (Vista/ W7, cliquer-droit dessus => "Exécuter en tant qu'administrateur"). Suivre les instructions jusqu'à la fin.
Fermer toutes les applications et fenêtres ouvertes et lancer le programme via l'icône "ZHPDiag" ou "Démarrer" => "Tous les programmes" => "ZHP" => "ZHPDiag". Cliquer sur Lancer le diagnostic (loupe) et patienter jusqu'à la fin (En cas de blocage sur O80, cliquez sur le tournevis pour le décocher).
Un rapport ZHPDiag.txt sera généré et sauvegardé automatiquement sur le Bureau.
Ne pas le poster directement ici car souvent trop long pour les limites du forum mais
Aller sur le site : cjoint.com
Cliquer sur Parcourir, chercher le fichier et cliquer dessus. Cliquer sur Créer le lien CJoint.
Dans la page suivante --> , une adresse (http//...) sera créée. La copier /coller dans la prochaine réponse.

re,

tout d'abord merci pour tout ça et voici le lien ZHPdiag ---> lien

merci de votre attention !!

pat.

re,

suite à nouveau scan de eset nod32 .... scan


merci de votre aide !!

p@t.

Bonjour,

N'utilise pas de programmes autres que ceux indiqués et ne ré-utilise pas deux fois de suite le même programme (relire la note "Très important!" dans mon 1er message).
--

Visiblement ta version de "Eset NOD32 Antivirus" est illégale (crack).
Un peu de lecture sur tout ce qui tourne autour de ces programmes: Warez ; Crack ; keygen.
- Elle est finie l'époque où les cracks sont là juste pour aider ceux qui n'ont pas les moyens de se payer un tel ou tel programme et/ou c'était un signe de rébellion contre ces concepteurs trop avides...
La nouvelle orientation est de se faire de l'agent facile en vendant des programmes qui "font tout" ou des barres d'outil qui "cherchent et trouvent tout".
En fait, ils installent au mieux un spyware ou un adware qui tracent les habitudes de l'utilisateur pour lui afficher des pubs ciblées et au pire un rogue ou un rootkit qui peut aller jusqu'à bloquer une machine ou la rendre complètement inutilisable.
- A noter que les "plus bénins" de ces cracks, ceux qui vous permettent d'installer un programme sans créer de problèmes apparents, mettent votre machine en danger parce que tout programme illégal ne reçoit pas de mises à jour et est donc porteur de vulnérabilités facilement exploitables par les pirates pour s'ouvrir des portes dérobées et disposer de tout ce qu'il veulent dans votre machine.
Parce qu'il existe toujours un programme/logiciel gratuit et légal pour pratiquement tout ce qu'on veut, on peut éviter tout risque de catastrophe pour sa machine et ses documents personnels en restant à l'écart de ce type de programmes.
Si tu veux désinfecter ta machine qui semble être bien atteinte (présence de rootkit possible), désinstalle tout ce qui est illégal, supprime tous les fichiers/ dossiers de crack/keygen etc... et poste le rapport demandé. On commencera le nettoyage à l'étape suivante si c'est OK de ce côté là.


>>> CKScanner: Télécharger sur le Bureau CKScanner (par askey127) depuis ici.
S'assurer que CKScanner.exe est sur le Bureau et double-cliquer dessus. Cliquer sur Search For Files.
Patienter jusqu'à ce que le curseur de la souris reprenne sa forme habituelle et cliquer sur Save List To File.
Cliquer sur OK dans le message "Saved to flename ckfiles.txt" .
Maintenant, ouvrir le fichier CKFiles.txt qui s'est créé sur le Bureau et copier/ coller son contenu dans la prochaine réponse.
Cliquer sur Exit pour fermer CKScanner.

bonjour,

je pense avoir supprimé tout ce qui était illégal (mise à part windows ... ) et j'ai remplacé eset nod32 par avira ...

voici le scan de CKScanner:

CKScanner - Additional Security Risks - These are not necessarily bad
scanner sequence 3.RP.11.NOCPWW
----- EOF -----

pat

Ce message a été modifié par patman - 15 novembre 2011 - 09:49 .

Très bonne décision

Imprimer ces instructions ou les enregistrer dans un fichier texte sur le Bureau pour les consulter facilement.

>>> Utiliser ZHPFix: Sélectionner et copier le texte suivant:

Citation

Lancer ZHPFix (raccourci sur le Bureau ou "Démarrer" => "Tous les programmes" => "ZHP" => "ZHPFix") et cliquer sur le bouton [H].
Vérifier que toutes les lignes copiées (et rien d'autre) apparaissent dans la fenêtre (et disposées exactement de la même façon) et clique sur le bouton [OK] puis sur sur le bouton [Tous].
Fermer toutes les applications et autres fenêtres en cours désactive (y compris Internet) et désactiver tous les programmes de protection (antivirus, pare-feu et antispyware).
Enfin, clique sur le bouton [Nettoyer] et laisser faire. Redémarrer le PC pour finir le nettoyage si demandé.
Copier/ coller le contenu du rapport qui s'ouvre dans la prochaine réponse. Ce rapport est en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag\ZHPFixReport.txt.


>>> Télécharger sur le Bureau:

• ComboFix© (par sUBs) depuis ici ou ici
• Security Check (par screen317) depuis ici ou ici.

>>> ComboFix/Analyse: Fermer toutes les applications et fenêtres ouvertes, désactiver antivirus/ pare-feu/ antispyware et double-cliquer/cliquer-droit sur ComboFix.exe => "Exécuter en tant qu'administrateur". Suivre les instructions.
NE PAS TOUCHER la machine avant la fin (même si les choses semblent ne pas avancer).
Quand c'est fini, un rapport (ComboFix.txt) s'affiche. Il est sauvegardé, automatiquement, à la racine de la partition système (généralement C:\). Copier/coller directement son contenu dans la prochaine réponse.


>>> Utiliser SecurityCheck: Fermer toutes les fenêtres et applications ouvertes et double-cliquer/cliquer-droit sur SecurityCheck.exe => "Exécuter en tant qu'administrateur" pour lancer le programme.
Appuyer sur une touche comme demandé et suivre les indications.
Si un des programmes de sécurité demande la permission d'accéder à Internet depuis "dig.exe", acceptez.
Le Rapport "checkup.txt" s'ouvre à la fin. Poster son contenu.
Ce rapport ne sera pas enregistré automatiquement. Si vous voulez en garder une copie, cliquez sur "Fichier" => "Enregistrer sous", choisissez un endroit (Bureau par exemple) et cliquez sur "Enregistrer" en bas à droite.

>>> Rapports demandés à coller directement:

• ZHPFixReport.tx
• ComboFix.txt
• checkup.txt

Un changement quelconque?

re,

bon ben voilà , tout est effectué et voici les rapports:

ZHPFixReport.txt

ComboFix.txt

checkup.txt

encore merci

p@t.

Merci d'éditer ton post et de coller directement les rapports comme demandé (en rouge ) car plus facile pour nous à étudier. Ils y vont facilement tous dans le même message. L'hébergement lorsque c'est clairement stipulé concerne les rapports trop lourds pour les limites du forum.

N'oublie pas de répondre à ma question (dernière ligne de mon précédent message pour savoir quoi faire pour enchaîner.

re, désolé !!

(pourtant en rouge!) pour la question, je n'avais pas de gros changements d'attitude de la machine, ce sont juste les alertes qui m'inquietaient (je relance un scan antivir)

voici donc :

Rapport de ZHPFix 1.12.3368 par Nicolas Coolman, Update du 12/11/2011
Fichier d'export Registre :
Run by patryk at 15/11/2011 13:19:56
Windows XP Professional Service Pack 3 (Build 2600)
Web site : ZHPFix Fix de rapport

========== Logiciel(s) ==========
SUPPRIME O42 - Logiciel: NOD32 FiX - (.nsane productions.) [HKLM] -- {DBC3FDEC-D5F4-439C-9A18-EF454A74E3DE}_is1

========== Clé(s) du Registre ==========
SUPPRIME Key: CLSID Extra Buttons: {A29B2641-9931-448A-8DE7-B2D63BDC1812}
SUPPRIME Key: HKLM\Software\Classes\Interface\{01221FCC-4BFB-461C-B08C-F6D2DF309921}
SUPPRIME Key: HKLM\Software\Classes\Interface\{0FA32667-9A8A-4E9C-902F-CA3323180003}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{1C950DE5-D31E-42FB-AFB9-91B0161633D8}
SUPPRIME Key: HKLM\Software\Classes\Interface\{2A42D13C-D427-4787-821B-CF6973855778}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{3BDF4CE9-E81D-432B-A55E-9F0570CE811F}
SUPPRIME Key: HKLM\Software\Classes\Interface\{452AE416-9A97-44CA-93DA-D0F15C36254F}
SUPPRIME Key: HKLM\Software\Classes\Interface\{45CDA4F7-594C-49A0-AAD1-8224517FE979}
SUPPRIME Key: HKLM\Software\Classes\AppID\{4CE516A7-F7AC-4628-B411-8F886DC5733E}
SUPPRIME Key: HKLM\Software\Classes\Interface\{4D8ED2B3-DC62-43EC-ABA3-5B74F046B1BE}
SUPPRIME Key: HKLM\Software\Classes\AppID\{628F3201-34D0-49C0-BB9A-82A26AEFB291}
SUPPRIME Key: HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{628F3201-34D0-49C0-BB9A-82A26AEFB291}
SUPPRIME Key: HKLM\Software\Classes\Interface\{6B458F62-592F-4B25-8967-E6A350A59328}
SUPPRIME Key: HKLM\Software\Classes\Interface\{81E852CC-1FD5-4004-8761-79A48B975E29}
SUPPRIME Key: HKLM\Software\Classes\Interface\{95B6A271-FEB4-4160-B0FF-44394C21C8DC}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{9F34B17E-FF0D-4FAB-97C4-9713FEE79052}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{A29B2641-9931-448A-8DE7-B2D63BDC1812}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{A29B2641-9931-448A-8DE7-B2D63BDC1812}
ABSENT Key: HKLM\Software\Classes\CLSID\{A29B2641-9931-448A-8DE7-B2D63BDC1812}
ABSENT Key: HKLM\Software\Microsoft\Internet Explorer\extensions\{A29B2641-9931-448A-8DE7-B2D63BDC1812}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{A9A56B8E-2DEB-4ED3-BC92-1FA450BCE1A5}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{AE338F6D-5A7C-4D1D-86E3-C618532079B5}
SUPPRIME Key: HKLM\Software\Classes\Interface\{B2CA345D-ADB8-4F5D-AC64-4AB34322F659}
SUPPRIME Key: HKLM\Software\Classes\TypeLib\{B87F8B63-7274-43FD-87FA-09D3B7496148}
SUPPRIME Key: HKLM\Software\Classes\Interface\{B9F43021-60D4-42A6-A065-9BA37F38AC47}
SUPPRIME Key: HKLM\Software\Classes\Interface\{BCFF5F55-6F44-11D2-86F8-00104B265ED5}
SUPPRIME Key: HKLM\Software\Classes\Interface\{BF921DD3-732A-4A11-933B-A5EA49F2FD2C}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{C339D489-FABC-41DD-B39D-276101667C70}
SUPPRIME Key: HKLM\Software\Classes\TypeLib\{C4BAE205-5E02-4E32-876E-F34B4E2D000C}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{D433A9D0-8267-40CB-8AD5-24F22FA5373F}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{D565B35E-B787-40FA-95E3-E3562F8FC1A0}
SUPPRIME Key: HKLM\Software\Classes\Interface\{D83B296A-2FA6-425B-8AE8-A1F33D99FBD6}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{D89031C2-10DA-4C90-9A62-FCED012BC46B}
SUPPRIME Key: HKLM\Software\Classes\Interface\{E67D5BC7-7129-493E-9281-F47BDAFACE4F}
SUPPRIME Key: HKLM\Software\Classes\TypeLib\{EC4085F2-8DB3-45a6-AD0B-CA289F3C5D7E}
SUPPRIME Key: HKLM\Software\Classes\Interface\{FCC9CDD3-EFFF-11D1-A9F0-00A0244AC403}
SUPPRIME Key: HKLM\Software\Classes\AppID\TbCommonUtils.DLL
SUPPRIME Key: HKLM\Software\Classes\AppID\TbHelper.EXE
SUPPRIME Key: HKLM\Software\Classes\TbCommonUtils.CommonUtils
SUPPRIME Key: HKLM\Software\Classes\TbCommonUtils.CommonUtils.1
SUPPRIME Key: HKLM\Software\Classes\TbHelper.TbDownloadManager
SUPPRIME Key: HKLM\Software\Classes\TbHelper.TbDownloadManager.1
SUPPRIME Key: HKLM\Software\Classes\TbHelper.TbPropertyManager
SUPPRIME Key: HKLM\Software\Classes\TbHelper.TbPropertyManager.1
SUPPRIME Key: HKLM\Software\Classes\TbHelper.TbRequest
SUPPRIME Key: HKLM\Software\Classes\TbHelper.TbRequest.1
SUPPRIME Key: HKLM\Software\Classes\TbHelper.TbTask
SUPPRIME Key: HKLM\Software\Classes\TbHelper.ToolbarHelper
SUPPRIME Key: HKLM\Software\Classes\TbHelper.ToolbarHelper.1
SUPPRIME Key: HKLM\Software\Classes\Toolbar3.ContextMenuNotifier
SUPPRIME Key: HKLM\Software\Classes\Toolbar3.ContextMenuNotifier.1
SUPPRIME Key: HKLM\Software\Classes\Toolbar3.CustomInternetSecurityImpl
SUPPRIME Key: HKLM\Software\Classes\Toolbar3.CustomInternetSecurityImpl.1
SUPPRIME Key: HKLM\Software\Classes\Toolbar3.SearchProviderManager
SUPPRIME Key: HKLM\Software\Classes\Toolbar3.SearchProviderManager.1
SUPPRIME Key: HKLM\Software\Classes\URLSearchHook.ToolbarURLSearchHook
ABSENT Key: HKLM\Software\Classes\urlsearchhook.toolbarurlsearchhook
SUPPRIME Key: HKLM\Software\Classes\urlsearchhook.toolbarurlsearchhook.1
ABSENT Key: HKLM\Software\Classes\Interface\{2a42d13c-d427-4787-821b-cf6973855778}
SUPPRIME Key: HKLM\Software\Classes\Interface\{3d8478aa-7b88-48a9-8bcb-b85d594411ec}
SUPPRIME Key: HKLM\Software\Classes\TypeLib\{4509D3CC-B642-4745-B030-645B79522C6D}
SUPPRIME Key: HKLM\Software\Classes\Interface\{4897bba6-48d9-468c-8efa-846275d7701b}

========== Valeur(s) du Registre ==========
SUPPRIME URLSearchHook: {CA3EB689-8F09-4026-AA10-B9534C691CE0}
SUPPRIME Toolbar: {A29B2641-9931-448A-8DE7-B2D63BDC1812}
SUPPRIME RunValue: Wfkkkg
ABSENT RunValue: Wfkkkg
ABSENT [HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks]:{CA3EB689-8F09-4026-AA10-B9534C691CE0}
ABSENT Toolbar: {1E796980-9CC5-11D1-A83F-00C04FC99D61}
SUPPRIME Toolbar: {1E796980-9CC5-11D1-A83F-00C04FC99D61}

========== Elément(s) de donnée du Registre ==========
SUPPRIME R1 - HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs
SUPPRIME R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,MigrateProxy

========== Préférences navigateur ==========
ABSENT Chrome File:

========== Dossier(s) ==========
SUPPRIME Folder: C:\Documents and Settings\patryk\Application Data\Toolbar4
SUPPRIME Temporaires Windows: : 102
SUPPRIME Flash Cookies: 44

========== Fichier(s) ==========
SUPPRIME File: c:\program files\searchweb\tbunsm56.tmp\tbhelper.dll
SUPPRIME File: c:\program files\searchweb\tbunsm56.tmp\tbcore3.dll
ABSENT File: c:\documents and settings\patryk\application data\wfkkkg.exe
SUPPRIME File: c:\program files\searchweb\tbunsm56.tmp\favicon.ico
ABSENT Folder/File: c:\documents and settings\patryk\application data\toolbar4
SUPPRIME Temporaires Windows: : 131
SUPPRIME Flash Cookies: 19


========== Récapitulatif ==========
62 : Clé(s) du Registre
7 : Valeur(s) du Registre
2 : Elément(s) de donnée du Registre
3 : Dossier(s)
7 : Fichier(s)
1 : Logiciel(s)
1 : Préférences navigateur


End of clean in 00mn 19s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 15/11/2011 13:19:56 [7026]





ComboFix 11-11-14.03 - patryk 15/11/2011 13:30:15.1.2 - x86
Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.3071.2352 [GMT 1:00]
Lancé depuis: c:\documents and settings\patryk\Bureau\ComboFix.exe
AV: AntiVir Desktop *Disabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}
.
.
(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
C:\install.exe
c:\windows\daemon.dll
c:\windows\msxml4-KB954430-enu.LOG
c:\windows\msxml4-KB973688-enu.LOG
.
.
((((((((((((((((((((((((((((( Fichiers créés du 2011-10-15 au 2011-11-15 ))))))))))))))))))))))))))))))))))))
.
.
2011-11-14 19:15 . 2011-11-15 00:03 512 ----a-w- C:\PhysicalDisk0_MBR.bin
2011-11-14 19:13 . 2011-11-15 12:19 -------- d-----w- C:\ZHP
2011-11-08 23:27 . 2011-11-08 23:27 -------- d-----w- C:\a9bdd965b80468688d9f
2011-11-07 02:15 . 2011-11-07 02:15 -------- d-----r- C:\MSOCache
2011-11-07 01:55 . 2011-11-07 01:55 -------- d-----w- C:\Intel
2011-11-07 01:47 . 2011-11-07 01:47 -------- d-----w- C:\NVIDIA
.
.
.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-09-28 07:06 . 2004-08-19 14:09 606208 ----a-w- c:\windows\system32\crypt32.dll
2011-09-26 10:41 . 2011-09-26 10:41 614400 ------w- c:\windows\system32\uiautomationcore.dll
2011-09-26 10:41 . 2002-08-30 12:00 22528 ----a-w- c:\windows\system32\oleaccrc.dll
2011-09-26 10:41 . 2002-08-30 12:00 220160 ----a-w- c:\windows\system32\oleacc.dll
2011-09-06 14:10 . 2004-08-19 14:00 1859072 ----a-w- c:\windows\system32\win32k.sys
2011-08-22 23:41 . 2004-08-19 14:09 916480 ----a-w- c:\windows\system32\wininet.dll
2011-08-22 23:41 . 2004-08-19 14:10 1469440 ------w- c:\windows\system32\inetcpl.cpl
2011-08-22 23:41 . 2004-08-19 14:09 43520 ------w- c:\windows\system32\licmgr10.dll
2011-08-22 11:56 . 2004-08-19 13:56 385024 ------w- c:\windows\system32\html.iec
2011-08-17 13:49 . 2004-08-03 21:14 138496 ----a-w- c:\windows\system32\drivers\afd.sys
2011-11-05 07:18 . 2011-11-12 20:33 134104 ----a-w- c:\program files\mozilla firefox\components\browsercomps.dll
.
.
((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2011-10-08 16744256]
"itype"="c:\program files\Microsoft IntelliType Pro\itype.exe" [2011-08-10 1313640]
"RTHDCPL"="RTHDCPL.EXE" [2011-05-12 20053608]
"AlcWzrd"="ALCWZRD.EXE" [2010-11-03 2815592]
"Adobe ARM"="c:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe" [2011-06-06 937920]
"TkBellExe"="c:\program files\real\realplayer\update\realsched.exe" [2011-11-14 273528]
"Malwarebytes' Anti-Malware"="c:\program files\Malwarebytes' Anti-Malware\mbamgui.exe" [2011-08-31 449608]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2011-04-21 281768]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableLinkedConnections"= 1 (0x1)
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]
@="Driver"
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe ARM]
2011-06-06 11:55 937920 ----a-w- c:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\APSDaemon]
2011-09-27 06:22 59240 ----a-w- c:\program files\Fichiers communs\Apple\Apple Application Support\APSDaemon.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AudioHQ]
2000-05-11 00:00 205312 ----a-w- c:\program files\Creative\SBLive\AudioHQ\ahqtb.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BrowserChoice]
2010-02-12 10:03 293376 ------w- c:\windows\system32\browserchoice.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools-1033]
2002-12-28 11:14 77824 ----a-w- c:\program files\D-Tools\daemon.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Facebook Update]
2011-11-07 20:33 137536 ----atw- c:\documents and settings\patryk\Local Settings\Application Data\Facebook\Update\FacebookUpdate.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Google Update]
2011-11-07 13:49 136176 ----atw- c:\documents and settings\patryk\Local Settings\Application Data\Google\Update\GoogleUpdate.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Launch Ai Booster]
2005-06-16 14:36 3627520 ----a-w- c:\program files\ASUS\Ai Booster\OverClk.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Malwarebytes' Anti-Malware (reboot)]
2011-08-31 16:00 1047208 ----a-w- c:\program files\Malwarebytes' Anti-Malware\mbam.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
2008-04-14 02:34 1695232 ------w- c:\program files\Messenger\msmsgs.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NBAgent]
2010-03-26 09:52 1234216 ----a-w- c:\program files\Nero\Nero 10\Nero BackItUp\NBAgent.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NiwradSoft Welcome]
2010-07-04 04:14 243442 ----a-w- c:\windows\NiwradSoft Shell Pack\Tools\NS Welcome.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvMediaCenter]
2011-10-08 04:50 203072 ----a-w- c:\windows\system32\nvmctray.dll
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\nwiz]
2011-10-08 04:50 1632360 ----a-w- c:\program files\NVIDIA Corporation\nview\nwiz.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RIMBBLaunchAgent.exe]
2011-02-18 10:47 79192 ----a-w- c:\program files\Fichiers communs\Research In Motion\USB Drivers\RIMBBLaunchAgent.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SoundMan]
2010-11-03 17:15 84584 ----a-w- c:\windows\SOUNDMAN.EXE
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SpybotSD TeaTimer]
2009-03-05 15:07 2260480 --sha-r- c:\program files\Spybot - Search & Destroy\TeaTimer.exe
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\NVIDIA Corporation\\NVIDIA Updatus\\daemonu.exe"=
"c:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Program Files\\Fichiers communs\\Apple\\Apple Application Support\\WebKit2WebProcess.exe"=
"c:\\Program Files\\Opera\\opera.exe"=
"c:\\Program Files\\IDM Computer Solutions\\UltraEdit\\Uedit32.exe"=
"c:\\Program Files\\Research In Motion\\BlackBerry Desktop\\Rim.Desktop.exe"=
"c:\\Documents and Settings\\patryk\\Local Settings\\Application Data\\Facebook\\Video\\Skype\\FacebookVideoCalling.exe"=
.
R2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\program files\Avira\AntiVir Desktop\sched.exe [15/11/2011 09:37 136360]
R2 MBAMService;MBAMService;c:\program files\Malwarebytes' Anti-Malware\mbamservice.exe [14/11/2011 22:16 366152]
R2 NAUpdate;@c:\program files\Nero\Update\NASvc.exe,-200;c:\program files\Nero\Update\NASvc.exe [25/03/2010 14:39 490280]
R2 nvUpdatusService;NVIDIA Update Service Daemon;c:\program files\NVIDIA Corporation\NVIDIA Updatus\daemonu.exe [07/11/2011 02:49 2253120]
R3 dc3d;MS Hardware Device Detection Driver (USB);c:\windows\system32\drivers\dc3d.sys [07/11/2011 02:54 45288]
R3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [14/11/2011 22:16 22216]
R3 st3bus28;st3bus28;c:\windows\system32\drivers\st3bus28.sys [28/12/2002 12:16 8416]
R3 st3mp28;st3mp28;c:\windows\system32\drivers\st3mp28.sys [28/12/2002 12:16 95328]
S3 Ambfilt;Ambfilt;c:\windows\system32\drivers\Ambfilt.sys [07/11/2011 09:07 1691480]
S3 maconfservice;Ma-Config Service;c:\program files\ma-config.com\maconfservice.exe [17/10/2011 13:29 311928]
S3 MBAMSwissArmy;MBAMSwissArmy;\??\c:\windows\system32\drivers\mbamswissarmy.sys --> c:\windows\system32\drivers\mbamswissarmy.sys [?]
.
Contenu du dossier 'Tâches planifiées'
.
2011-11-12 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\program files\Apple Software Update\SoftwareUpdate.exe [2011-06-01 16:57]
.
2011-11-14 c:\windows\Tasks\FacebookUpdateTaskUserS-1-5-21-1757981266-261903793-839522115-1003Core.job
- c:\documents and settings\patryk\Local Settings\Application Data\Facebook\Update\FacebookUpdate.exe [2011-11-07 20:33]
.
2011-11-15 c:\windows\Tasks\FacebookUpdateTaskUserS-1-5-21-1757981266-261903793-839522115-1003UA.job
- c:\documents and settings\patryk\Local Settings\Application Data\Facebook\Update\FacebookUpdate.exe [2011-11-07 20:33]
.
2011-11-14 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-1757981266-261903793-839522115-1003Core.job
- c:\documents and settings\patryk\Local Settings\Application Data\Google\Update\GoogleUpdate.exe [2011-11-07 13:49]
.
2011-11-15 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-1757981266-261903793-839522115-1003UA.job
- c:\documents and settings\patryk\Local Settings\Application Data\Google\Update\GoogleUpdate.exe [2011-11-07 13:49]
.
2011-11-15 c:\windows\Tasks\RealUpgradeLogonTaskS-1-5-21-1757981266-261903793-839522115-1003.job
- c:\program files\Real\RealUpgrade\realupgrade.exe [2011-09-27 12:40]
.
2011-11-15 c:\windows\Tasks\RealUpgradeScheduledTaskS-1-5-21-1757981266-261903793-839522115-1003.job
- c:\program files\Real\RealUpgrade\realupgrade.exe [2011-09-27 12:40]
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.google.fr/
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000
TCP: DhcpNameServer = 192.168.1.1
DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} - hxxp://www.zebulon.fr/scan8/oscan8.cab
FF - ProfilePath - c:\documents and settings\patryk\Application Data\Mozilla\Firefox\Profiles\mr91fql8.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr/
.
- - - - ORPHELINS SUPPRIMES - - - -
.
BHO-{3F4F8369-DA5A-4895-A07F-6E97A9BA22CB} - c:\program files\searchweb\tbunsm56.tmp\tbcore3.dll
WebBrowser-{A29B2641-9931-448A-8DE7-B2D63BDC1812} - (no file)
SSODL-Windows Task Services-c:\documents and settings\patryk\Application Data\16.exe - (no file)
MSConfigStartUp-Adobe Reader Speed Launcher - c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe
MSConfigStartUp-TkBellExe - c:\program files\Fichiers communs\Real\Update_OB\realsched.exe
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover
Rootkit scan 2011-11-15 13:34
Windows 5.1.2600 Service Pack 3 NTFS
.
Recherche de processus cachés ...
.
Recherche d'éléments en démarrage automatique cachés ...
.
Recherche de fichiers cachés ...
.
Scan terminé avec succès
Fichiers cachés: 0
.
**************************************************************************
.
Heure de fin: 2011-11-15 13:36:23
ComboFix-quarantined-files.txt 2011-11-15 12:36
.
Avant-CF: 231 064 801 280 octets libres
Après-CF: 232 243 376 128 octets libres
.
WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professionnel" /noexecute=optin /fastdetect
.
- - End Of File - - 1969B917EDECA4A61815A65E42840AB5



Results of screen317's Security Check version 0.99.26
Windows XP Service Pack 3 x86
Internet Explorer 8
``````````````````````````````
Antivirus/Firewall Check:
Avira AntiVir Personal - Free Antivirus
(On Access scanning disabled!)
Error obtaining update status for antivirus!
```````````````````````````````
Anti-malware/Other Utilities Check:
Malwarebytes' Anti-Malware
CCleaner
Adobe Flash Player 11.1.102.55
Adobe Reader X (10.1.1)
Mozilla Firefox (8.0.)
````````````````````````````````
Process Check:
objlist.exe by Laurent
Malwarebytes' Anti-Malware mbamservice.exe
Malwarebytes' Anti-Malware mbamgui.exe
Avira Antivir avgnt.exe
Avira Antivir avguard.exe
``````````End of Log````````````

Ce message a été modifié par patman - 15 novembre 2011 - 04:15 .