[Résolu]avast disparu et troyens HLDRRR.EXE

VdeLab · le 15 février 2007

Bonjour à tous,

J'ai actuellement qq soucis avec un malware que j'ai du mal à retirer.

A chaque fermeture de windows, je vois qu'un HLDRRR.exe est encore actif, bien que :

- j'ai suivi la procédure syamtec pour l'eradiquer, voir ci dessous

Symantec Security Response - Trojan.Tooso.R

"hldrrr" = "%System%\hldrrr.exe" aux sous-clés de registre : ... "hldrrr" = "%System%\hldrrr.exe"; Naviguez vers la sous-clé suivante et supprimez-la : ...

www.symantec.com/region/fr/techsupp/avcenter/venc/data/fr-trojan.tooso.r.html - 40k -

en plus, Avast ne l'a pas vu

Alors j'ai repris les bases et la procedure de pre-nettoyage, j'ai essayé d'installer Antivir, et depuis non seulement antivir ne s'est pas installé et en plus Avast n'apparait plus , ni en protection résidente, ni même en executable.

J'ai essayé le remplaçant d'ewido avgas, mais bizarre, il ne veut pas se mettre à jour en ligne "error, the server is not ready to serve....

Enfin, Blacklight a vu de truc, dont HLDRRR, mais ne propose pas de le virer....

Bref, je commence à être un peu coincé;...

je continue... mais un peu d'aide serait la bienvenue....

J'ai fais un log hijackthis, si vous voyez ce qu'il y a ...

Logfile of HijackThis v1.99.1

Scan saved at 19:27:14, on 15/02/2007

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Norton SystemWorks\Norton Ghost\GhostStartService.exe

C:\WINDOWS\System32\inetsrv\inetinfo.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Controle Parental\bin\optproxy.exe

C:\WINDOWS\system32\pctspk.exe

C:\WINDOWS\System32\snmp.exe

C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\mqsvc.exe

C:\WINDOWS\PCHealth\HelpCtr\Binaries\HelpSvc.exe

C:\Program Files\Canon\CAL\CALMAIN.exe

C:\WINDOWS\System32\mqtgsvc.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\D-Tools\daemon.exe

C:\Program Files\CL\e-Carte Bleue VISA Cleo\ECB-CLEO.exe

C:\PROGRA~1\Wanadoo\TaskbarIcon.exe

C:\WINDOWS\System32\taskswitch.exe

C:\PROGRA~1\Wanadoo\CnxMon.exe

C:\Program Files\Utilitaires Audio\TotalRecorder\TotRecSched.exe

C:\Program Files\Java\jre1.5.0_05\bin\jusched.exe

C:\Program Files\HP\HP Software Update\HPWuSchd2.exe

C:\WINDOWS\System32\devldr32.exe

C:\Program Files\Norton SystemWorks\Norton Ghost\GhostStartTrayApp.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\utilitaires PC\Copernic_desktop\Copernic Desktop Search\CopernicDesktopSearch.exe

C:\WINDOWS\System32\rundll32.exe

C:\PROGRA~1\MI3AA1~1\wcescomm.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\PROGRA~1\MI3AA1~1\rapimgr.exe

C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

C:\Program Files\Sony Handheld\HOTSYNC.EXE

C:\Program Files\HP\Digital Imaging\bin\hpqgalry.exe

C:\Program Files\Wanadoo\EspaceWanadoo.exe

C:\Program Files\Wanadoo\ComComp.exe

C:\Program Files\Wanadoo\Watch.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

E:\Utilitaires\cleanup_securite\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.copernic.com/explorer17/?l=FRA&e=

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.fr

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: (no name) - {83B79436-C1A7-427B-B40D-689E9CC71FAE} - C:\PROGRA~1\UTILIT~3\COPERN~2\COPERN~1\COPERN~4.DLL

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {243B17DE-77C7-46BF-B94B-0B5F309A0E64} - C:\Program Files\Microsoft Money\System\mnyside.dll

O2 - BHO: e-Carte Bleue Browser Helper Object - {2E03C0FD-4C48-43A7-9A54-00240C70FF16} - C:\WINDOWS\System32\BhoECart.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - (no file)

O3 - Toolbar: Copernic Desktop Search - {C5F7A735-70F1-477F-8C36-6FF3C736017B} - C:\Program Files\utilitaires PC\Copernic_desktop\Copernic Desktop Search\CopernicDesktopSearchIntegration974.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [MsmqIntCert] regsvr32 /s mqrt.dll

O4 - HKLM\..\Run: [eCarteBleue-CLEO] "C:\Program Files\CL\e-Carte Bleue VISA Cleo\ECB-CLEO.exe" /dontopenmycards

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe

O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\TaskbarIcon.exe

O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [CloneDVDElbyDelay] "C:\Program Files\Utilitaires Video_DVD\CloneDVD\ElbyCheck.exe" /L ElbyDelay

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [backgroundSwitcher] C:\WINDOWS\System32\bgswitch.exe

O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\System32\taskswitch.exe

O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe

O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\Wanadoo\CnxMon.exe

O4 - HKLM\..\Run: [TotalRecorderScheduler] C:\Program Files\Utilitaires Audio\TotalRecorder\TotRecSched.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_05\bin\jusched.exe

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\HP\HP Software Update\HPWuSchd2.exe"

O4 - HKLM\..\Run: [GhostStartTrayApp] C:\Program Files\Norton SystemWorks\Norton Ghost\GhostStartTrayApp.exe

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [Copernic Desktop Search] "C:\Program Files\utilitaires PC\Copernic_desktop\Copernic Desktop Search\CopernicDesktopSearch.exe" /tray

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\PROGRA~1\MI3AA1~1\wcescomm.exe"

O4 - Startup: HotSync Manager.lnk = C:\Program Files\Sony Handheld\HOTSYNC.EXE

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_05\bin\npjpi150_05.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_05\bin\npjpi150_05.dll

O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll

O9 - Extra 'Tools' menuitem: Créer un favori mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll

O9 - Extra button: MoneySide - {E023F504-0C5A-4750-A1E7-A9046DEA8A21} - C:\Program Files\Microsoft Money\System\mnyside.dll

O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)

O14 - IERESET.INF: START_PAGE_URL=http://www.google.fr

O15 - Trusted Zone: *.registration.sonystyle-europe.com (HKLM)

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://webscanner.kaspersky.fr/kavwebscan_unicode.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5free/asinst.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{B47F558F-33D8-46FC-85C3-AA76EFF152DB}: NameServer = 80.10.246.1 80.10.246.132

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: WRNotifier - WRLogonNTF.dll (file missing)

O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe

O23 - Service: ewido anti-spyware 4.0 guard - Unknown owner - C:\Program Files\ewido_anti-spyware\guard.exe (file missing)

O23 - Service: GhostStartService - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton Ghost\GhostStartService.exe

O23 - Service: InteractiveLogon - Unknown owner - C:\WINDOWS\System32\Fast.exe (file missing)

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Control Parental (OPTENET_FILTER) - Contrôle Parental - C:\Program Files\Controle Parental\bin\optproxy.exe

O23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe

Merci beaucoup...

Modifié le 21 février 2007 par VdeLab

regis56 · le 15 février 2007

Bonsoir VdeLab !

Si tu as Blacklight et AVG faits des rapports avec et poste les STP

A plus.

VdeLab · le 15 février 2007

Bonsoir,

voici le rapport blacklight

02/15/07 19:46:56 [info]: BlackLight Engine 1.0.55 initialized

02/15/07 19:46:56 [info]: OS: 5.1 build 2600 (Service Pack 1)

02/15/07 19:46:58 [Note]: 7019 4

02/15/07 19:46:58 [Note]: 7005 0

02/15/07 19:47:04 [Note]: 7006 0

02/15/07 19:47:04 [Note]: 7011 1208

02/15/07 19:47:04 [Note]: 7026 0

02/15/07 19:47:05 [Note]: 7026 0

02/15/07 19:47:05 [Note]: 7024 3

02/15/07 19:47:05 [info]: Hidden process: C:\WINDOWS\System32\hldrrr.exe

02/15/07 19:47:05 [Note]: 7024 3

02/15/07 19:47:05 [info]: Hidden process: C:\WINDOWS\System32\hldrrr.exe

02/15/07 19:47:50 [Note]: FSRAW library version 1.7.1021

02/15/07 19:48:05 [info]: Hidden file: c:\Documents and Settings\Vincent d L\Application Data\hidires\hidr.exe

02/15/07 19:48:05 [Note]: 10002 2

02/15/07 19:48:05 [info]: Hidden file: c:\Documents and Settings\Vincent d L\Application Data\hidires\m_hook.sys

02/15/07 19:48:05 [Note]: 10002 2

02/15/07 19:48:06 [Note]: 10002 3

02/15/07 19:48:06 [Note]: 10002 2

02/15/07 20:05:58 [Note]: 10002 2

02/15/07 20:07:49 [info]: Hidden file: c:\WINDOWS\system32\wintems.exe

02/15/07 20:07:49 [Note]: 10002 2

02/15/07 20:07:49 [info]: Hidden file: C:\WINDOWS\System32\hldrrr.exe

02/15/07 20:07:49 [Note]: 10002 2

et je fais le rapport AVG dès que possible.

J'ai l'AV Kapersky en ligne qui tourne, fait à 20%

Je continue, merci de la réponse.

VdL

regis56 · le 16 février 2007

Bonjour VdeLab !

Sélectionne cette liste dans l'espace code (sans le mot "code"):

---code---

Drivers to unload:

m_hook

registry keys to delete:

HKLM\System\CurrentControlSet\Services\m_hook

Files to delete:

C:\WINDOWS\system32\wintems.exe

C:\WINDOWS\system32\hldrrr.exe

Folders to delete:

c:\Documents and Settings\Vincent d L\Application Data\hidires

C:\WINDOWS\exefld

---code---

- Ouvre le Bloc-Note et clic sur le menu Edition/Coller afin de coller le contenu qui est dans le cadre ci-dessus

Important : Tu dois avoir le contenu du cadre ci-dessous dans le bloc-note, vérifié qu'il n'y a pas de lignes manquantes au début ou à la fin.

- Enregistre le fichier sur ton bureau sous le nom remove.txt

- Télécharge The Avenger de Swandog46

http://swandog46.geekstogo.com/avenger.zip

- Dézip le contenu de l'archive sur ton bureau et double-clic sur avenger.exe

- Clique sur "Ok"

- Sélectionne "Load Script from File" et clique sur l'icône en forme de dossier.

- Sélectionne le fichier remove.txt qui est sur ton bureau

- Clique sur le feu vert pour lancer le script

- Clique sur "Oui"

- Accepte de redémarrer ton pc.

Quand le PC a redémarre ouvre le fichier C:\avenger.txt et copie/colle le contenu ici.

Copie/colle un nouveau Log HiJackThis et blacklight

A plus.

VdeLab · le 16 février 2007

Bonjour, et déjà merci pour ces premières procédures...

Au milieu de la nuit hier, Kapersky a fini son scan, et voici le log, assez long...

Une fois que vous l'aurez vu, il ne faudra pas hésitez à l'effacer...

Voila déjà... je fais la procédure dans la soirée, et je vous tiens au courant...

Merci

VdL

KASPERSKY ON-LINE SCANNER REPORT

Friday, February 16, 2007 1:07:57 AM

Système d'exploitation : Microsoft Windows XP Professional, Service Pack 1

(Build 2600)

Kaspersky On-line Scanner version : 5.0.83.0

Dernière mise à jour de la base antivirus Kaspersky : 15/02/2007

Enregistrements dans la base antivirus Kaspersky : 253311

----------------------------------------------------------------------------

---

Paramètres d'analyse:

Analyser avec la base antivirus suivante: standard

Analyser les archives: vrai

Analyser les bases de messagerie: vrai

Cible de l'analyse - Poste de travail:

A:\

C:\

E:\

H:\

I:\

J:\

Statistiques de l'analyse:

Total d'objets analysés: 125818

Nombre de virus trouvés: 11

Nombre d'objets infectés: 65 / 0

Nombre d'objets suspects: 0

Durée de l'analyse: 04:03:41

Nom de l'objet infecté / Nom du virus / Dernière action

C:\Documents and Settings\Félicie\Local Settings\Application

Data\Identities\{A03881C0-82DB-4122-8D3D-22009889D9F6}\Microsoft\Outlook

Express\Boîte de réception.dbx/[From "postmaster@aerotechnic-france.com"

<postmaster@aerotechnic-france.com>][Date Wed, 29 Nov 2006 08:39:48

+0100]/UNNAMED/UNNAMED/[From felicie.de-laborderie@wanadoo.fr][Date Wed, 29

Nov 2006 08:27:48 +0100]/.xx.pif Infecté : Email-Worm.Win32.NetSky.y ignoré

C:\Documents and Settings\Félicie\Local Settings\Application

Data\Identities\{A03881C0-82DB-4122-8D3D-22009889D9F6}\Microsoft\Outlook

Express\Boîte de réception.dbx/[From "postmaster@aerotechnic-france.com"

<postmaster@aerotechnic-france.com>][Date Wed, 29 Nov 2006 08:39:48

+0100]/UNNAMED/UNNAMED Infecté : Email-Worm.Win32.NetSky.y ignoré

C:\Documents and Settings\Félicie\Local Settings\Application

Data\Identities\{A03881C0-82DB-4122-8D3D-22009889D9F6}\Microsoft\Outlook

Express\Boîte de réception.dbx/[From "postmaster@aerotechnic-france.com"

<postmaster@aerotechnic-france.com>][Date Wed, 29 Nov 2006 08:39:48

+0100]/UNNAMED Infecté : Email-Worm.Win32.NetSky.y ignoré

C:\Documents and Settings\Félicie\Local Settings\Application

Data\Identities\{A03881C0-82DB-4122-8D3D-22009889D9F6}\Microsoft\Outlook

Express\Boîte de réception.dbx Mail MS Outlook 5: infecté - 3 ignoré

C:\Documents and Settings\Félicie\Local Settings\Application

Data\Identities\{A03881C0-82DB-4122-8D3D-22009889D9F6}\Microsoft\Outlook

Express\Éléments supprimés.dbx/[From 4@mailflip13.edt02.net][Date Mon, 23

Oct 2006 08:14:14 +0200]/UNNAMED/document.zip/your_details.scr Infecté :

Email-Worm.Win32.NetSky.o ignoré

C:\Documents and Settings\Félicie\Local Settings\Application

Data\Identities\{A03881C0-82DB-4122-8D3D-22009889D9F6}\Microsoft\Outlook

Express\Éléments supprimés.dbx/[From 4@mailflip13.edt02.net][Date Mon, 23

Oct 2006 08:14:14 +0200]/UNNAMED/document.zip Infecté :

Email-Worm.Win32.NetSky.o ignoré

C:\Documents and Settings\Félicie\Local Settings\Application

Data\Identities\{A03881C0-82DB-4122-8D3D-22009889D9F6}\Microsoft\Outlook

Express\Éléments supprimés.dbx/[From 4@mailflip13.edt02.net][Date Mon, 23

Oct 2006 08:14:14 +0200]/UNNAMED Infecté : Email-Worm.Win32.NetSky.o ignoré

C:\Documents and Settings\Félicie\Local Settings\Application

Data\Identities\{A03881C0-82DB-4122-8D3D-22009889D9F6}\Microsoft\Outlook

Express\Éléments supprimés.dbx Mail MS Outlook 5: infecté - 3 ignoré

C:\Documents and Settings\Félicie\Local Settings\Temp\~20.exe Infecté :

Email-Worm.Win32.Bagle.hz ignoré

C:\Documents and Settings\Félicie\Local Settings\Temp\~21.exe Infecté :

Email-Worm.Win32.Bagle.hz ignoré

C:\Documents and Settings\Félicie\Local Settings\Temp\~22.exe Infecté :

Trojan-Downloader.Win32.Bagle.br ignoré

C:\Documents and Settings\Félicie\Local Settings\Temp\~23.exe Infecté :

Trojan-Downloader.Win32.Bagle.br ignoré

C:\Documents and Settings\LocalService\Cookies\index.dat L'objet est

verrouillé ignoré

C:\Documents and Settings\LocalService\Local Settings\Application

Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\Local Settings\Application

Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\Local

Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet

Files\Content.IE5\index.dat L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet

Files\Content.IE5\U1W9IXW5\pwn[1].exe Infecté : Trojan.Win32.Pakes ignoré

C:\Documents and Settings\LocalService\NTUSER.DAT L'objet est verrouillé

ignoré

C:\Documents and Settings\LocalService\ntuser.dat.LOG L'objet est verrouillé

ignoré

C:\Documents and Settings\NetworkService\Cookies\index.dat L'objet est

verrouillé ignoré

C:\Documents and Settings\NetworkService\Local Settings\Application

Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré

C:\Documents and Settings\NetworkService\Local Settings\Application

Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré

C:\Documents and Settings\NetworkService\Local

Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré

C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet

Files\Content.IE5\index.dat L'objet est verrouillé ignoré

C:\Documents and Settings\NetworkService\NTUSER.DAT L'objet est verrouillé

ignoré

C:\Documents and Settings\NetworkService\ntuser.dat.LOG L'objet est

verrouillé ignoré

C:\Documents and Settings\Vincent d L\Application Data\$_hpcst$.hpc L'objet

est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Application

Data\Mozilla\Firefox\Profiles\default.1gn\Cache\_CACHE_001_ L'objet est

verrouillé ignoré

C:\Documents and Settings\Vincent d L\Application

Data\Mozilla\Firefox\Profiles\default.1gn\Cache\_CACHE_002_ L'objet est

verrouillé ignoré

C:\Documents and Settings\Vincent d L\Application

Data\Mozilla\Firefox\Profiles\default.1gn\Cache\_CACHE_003_ L'objet est

verrouillé ignoré

C:\Documents and Settings\Vincent d L\Application

Data\Mozilla\Firefox\Profiles\default.1gn\Cache\_CACHE_MAP_ L'objet est

verrouillé ignoré

C:\Documents and Settings\Vincent d L\Application

Data\Mozilla\Firefox\Profiles\default.1gn\cert8.db L'objet est verrouillé

ignoré

C:\Documents and Settings\Vincent d L\Application

Data\Mozilla\Firefox\Profiles\default.1gn\formhistory.dat L'objet est

verrouillé ignoré

C:\Documents and Settings\Vincent d L\Application

Data\Mozilla\Firefox\Profiles\default.1gn\history.dat L'objet est verrouillé

ignoré

C:\Documents and Settings\Vincent d L\Application

Data\Mozilla\Firefox\Profiles\default.1gn\key3.db L'objet est verrouillé

ignoré

C:\Documents and Settings\Vincent d L\Application

Data\Mozilla\Firefox\Profiles\default.1gn\parent.lock L'objet est verrouillé

ignoré

C:\Documents and Settings\Vincent d L\Bureau\fsbl-20070215184656.log L'objet

est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Cookies\index.dat L'objet est

verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\ApplicationHistory\hpqgalry.exe.cf8dd223.ini.inuse L'objet est

verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\Copernic\DesktopSearch\Index\MainChunk\Documents.dfd L'objet est

verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\Copernic\DesktopSearch\Index\MainChunk\Documents.did L'objet est

verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\Copernic\DesktopSearch\Index\MainChunk\Documents.dsd L'objet est

verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\Copernic\DesktopSearch\Index\MainChunk\Keywords.kdb L'objet est

verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\Copernic\DesktopSearch\Index\MainChunk\Keywords.kdl L'objet est

verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\Copernic\DesktopSearch\Index\MainChunk\Keywords.kib L'objet est

verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\Copernic\DesktopSearch\Index\MainChunk\Keywords.kpf L'objet est

verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\Copernic\DesktopSearch\Index\MainChunk\Keywords.ksb L'objet est

verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\administrativeInfo.dbf L'objet est verrouillé

ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\albumImagesTable.cdx L'objet est verrouillé

ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\albumImagesTable.dbf L'objet est verrouillé

ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\albumTable.cdx L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\albumTable.dbf L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\CB_Server_Errors.txt L'objet est verrouillé

ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\EXIFTable.cdx L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\EXIFTable.dbf L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\imageTable.cdx L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\imageTable.dbf L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\imageTable.fpt L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\keywordImagesTable.cdx L'objet est verrouillé

ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\keywordImagesTable.dbf L'objet est verrouillé

ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\keywordTable.cdx L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\keywordTable.dbf L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\managedFolderTable.dbf L'objet est verrouillé

ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\pathnameTable.cdx L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\pathnameTable.dbf L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\ROFImagesTable.cdx L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\ROFImagesTable.dbf L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\ROFTable.cdx L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\HP\Digital Imaging\db\ROFTable.dbf L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\Identities\{EC70994C-C96C-4F3E-B309-A321C4B8916E}\Microsoft\Outlook

Express\copains.dbx/[From <DragonsSurf@aol.com>][Date Sun, 18 Nov 2001

18:47:49 EST]/UNNAMED/UNNAMED/[From "Sophie.de-LABORDERIE"

<Sophie.de-LABORDERIE@wanadoo.fr>][Date Sun, 18 Nov 2001 08:45:53

EST]/better.exe Infecté : Email-Worm.Win32.Magistr.b ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\Identities\{EC70994C-C96C-4F3E-B309-A321C4B8916E}\Microsoft\Outlook

Express\copains.dbx/[From <DragonsSurf@aol.com>][Date Sun, 18 Nov 2001

18:47:49 EST]/UNNAMED/UNNAMED Infecté : Email-Worm.Win32.Magistr.b ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application Data\Identi

ties\{EC70994C-C96C-4F3E-B309-A321C4B8916E}\Microsoft\Outlook

Express\copains.dbx/[From <DragonsSurf@aol.com>][Date Sun, 18 Nov 2001

18:47:49 EST]/UNNAMED Infecté : Email-Worm.Win32.Magistr.b ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\Identities\{EC70994C-C96C-4F3E-B309-A321C4B8916E}\Microsoft\Outlook

Express\copains.dbx Mail MS Outlook 5: infecté - 3 ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\Microsoft\Outlook\outlook_vdl.pst/Dossiers personnels/Boîte de

réception/13 Feb 2007 21:38 from Bland N.Deborah:Valentine Letter/greeting

postcard.exe Infecté : Email-Worm.Win32.Zhelatin.ab ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\Microsoft\Outlook\outlook_vdl.pst/Dossiers personnels/Perso

Vincent/France/copains/18 Nov 2001 23:47 from DragonsSurf@aol.com:Trans. : I

probably h/18 Nov 2001 13:45 to undisclosed-recipients::I probably have

bee/better.exe Infecté : Email-Worm.Win32.Magistr.b ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\Microsoft\Outlook\outlook_vdl.pst Mail MS Mail: infecté - 2 ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Application

Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local

Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local

Settings\Historique\History.IE5\MSHist012007021520070216\index.dat L'objet

est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\hpodvd09.log

L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local

Settings\Temp\Perflib_Perfdata_830.dat L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\WCESLog.log

L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\~10.exe Infecté :

Trojan-Downloader.Win32.Bagle.br ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\~13.exe Infecté :

Email-Worm.Win32.Bagle.hz ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\~138.exe Infecté :

Email-Worm.Win32.Bagle.hz ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\~139.exe Infecté :

Email-Worm.Win32.Bagle.hz ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\~13A.exe Infecté :

Trojan-Downloader.Win32.Bagle.br ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\~13B.exe Infecté :

Trojan-Downloader.Win32.Bagle.br ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\~14.exe Infecté :

Trojan-Downloader.Win32.Bagle.br ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\~5.exe Infecté :

Email-Worm.Win32.Bagle.hz ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\~6.exe Infecté :

Email-Worm.Win32.Bagle.hz ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\~7.exe Infecté :

Trojan-Downloader.Win32.Bagle.br ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\~9.exe Infecté :

Email-Worm.Win32.Bagle.hz ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\~A.exe Infecté :

Trojan-Downloader.Win32.Bagle.br ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\~C.exe Infecté :

Trojan-Downloader.Win32.Bagle.br ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\~C4.exe Infecté :

Email-Worm.Win32.Bagle.hz ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\~C5.exe Infecté :

Trojan-Downloader.Win32.Bagle.br ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\~C6.exe Infecté :

Email-Worm.Win32.Bagle.hq ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\~DFF6B7.tmp

L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temp\~F.exe Infecté :

Email-Worm.Win32.Bagle.hz ignoré

C:\Documents and Settings\Vincent d L\Local Settings\Temporary Internet

Files\Content.IE5\index.dat L'objet est verrouillé ignoré

C:\Documents and Settings\Vincent d L\Mes documents\PDA -gps\applicatif

divers\Spb_Pocket_Plus_3.1.2.zip/Spb_Pocket_Plus_3.1.2.exe Infecté :

Email-Worm.Win32.Bagle.gx ignoré

C:\Documents and Settings\Vincent d L\Mes documents\PDA -gps\applicatif

divers\Spb_Pocket_Plus_3.1.2.zip ZIP: infecté - 1 ignoré

C:\Documents and Settings\Vincent d L\NTUSER.DAT L'objet est verrouillé

ignoré

C:\Documents and Settings\Vincent d L\ntuser.dat.LOG L'objet est verrouillé

ignoré

C:\Program Files\eMule\Incoming\Spb_Backup_1.5.1.zip/Spb_Backup_1.5.1.exe

Infecté : Email-Worm.Win32.Bagle.gx ignoré

C:\Program Files\eMule\Incoming\Spb_Backup_1.5.1.zip ZIP: infecté - 1 ignoré

C:\Program Files\Norton SystemWorks\Norton Utilities\NDD32.EXE L'objet est

verrouillé ignoré

C:\Program Files\Norton SystemWorks\Norton Utilities\NPROTECT.EXE L'objet

est verrouillé ignoré

C:\System Volume

Information\_restore{5A8A586B-8B55-4456-8168-C42F0091DCE3}\RP54\A0159017.sys

Infecté : Email-Worm.Win32.Bagle.hj ignoré

C:\System Volume

Information\_restore{5A8A586B-8B55-4456-8168-C42F0091DCE3}\RP54\A0159039.exe

Infecté : Trojan-Downloader.Win32.Bagle.br ignoré

C:\System Volume

Information\_restore{5A8A586B-8B55-4456-8168-C42F0091DCE3}\RP54\A0159056.sys

Infecté : Email-Worm.Win32.Bagle.hj ignoré

C:\System Volume

Information\_restore{5A8A586B-8B55-4456-8168-C42F0091DCE3}\RP54\A0159081.sys

Infecté : Email-Worm.Win32.Bagle.hj ignoré

C:\System Volume

Information\_restore{5A8A586B-8B55-4456-8168-C42F0091DCE3}\RP54\A0159267.sys

Infecté : Email-Worm.Win32.Bagle.hj ignoré

C:\System Volume

Information\_restore{5A8A586B-8B55-4456-8168-C42F0091DCE3}\RP54\A0159280.sys

Infecté : Email-Worm.Win32.Bagle.hj ignoré

C:\System Volume

Information\_restore{5A8A586B-8B55-4456-8168-C42F0091DCE3}\RP54\A0159357.exe

Infecté : Email-Worm.Win32.Bagle.hz ignoré

C:\System Volume

Information\_restore{5A8A586B-8B55-4456-8168-C42F0091DCE3}\RP54\A0159428.sys

Infecté : Email-Worm.Win32.Bagle.hj ignoré

C:\System Volume

Information\_restore{5A8A586B-8B55-4456-8168-C42F0091DCE3}\RP54\A0159451.exe

Infecté : Email-Worm.Win32.Bagle.gx ignoré

C:\System Volume

Information\_restore{5A8A586B-8B55-4456-8168-C42F0091DCE3}\RP54\A0159463.exe

Infecté : Email-Worm.Win32.Bagle.hz ignoré

C:\System Volume

Information\_restore{5A8A586B-8B55-4456-8168-C42F0091DCE3}\RP54\A0159483.sys

Infecté : Email-Worm.Win32.Bagle.hj ignoré

C:\System Volume

Information\_restore{5A8A586B-8B55-4456-8168-C42F0091DCE3}\RP54\A0159487.exe

Infecté : Email-Worm.Win32.Bagle.hz ignoré

C:\System Volume

Information\_restore{5A8A586B-8B55-4456-8168-C42F0091DCE3}\RP54\A0160478.sys

Infecté : Email-Worm.Win32.Bagle.hj ignoré

C:\System Volume

Information\_restore{5A8A586B-8B55-4456-8168-C42F0091DCE3}\RP54\A0160499.exe

Infecté : Email-Worm.Win32.Bagle.hz ignoré

C:\System Volume

Information\_restore{5A8A586B-8B55-4456-8168-C42F0091DCE3}\RP54\change.log

L'objet est verrouillé ignoré

C:\WINDOWS\Debug\PASSWD.LOG L'objet est verrouillé ignoré

C:\WINDOWS\exefld\1093109.exe Infecté : Email-Worm.Win32.Bagle.hw ignoré

C:\WINDOWS\exefld\14674234.exe Infecté : Email-Worm.Win32.Bagle.hw ignoré

C:\WINDOWS\exefld\14675046.exe Infecté : Email-Worm.Win32.Bagle.hw ignoré

C:\WINDOWS\exefld\1531046.exe Infecté : Email-Worm.Win32.Bagle.hw ignoré

C:\WINDOWS\exefld\1622796.exe Infecté : Email-Worm.Win32.Bagle.hw ignoré

C:\WINDOWS\exefld\1931609.exe Infecté : Email-Worm.Win32.Bagle.hw ignoré

C:\WINDOWS\exefld\312671.exe Infecté : Email-Worm.Win32.Bagle.hw ignoré

C:\WINDOWS\exefld\337500.exe Infecté : Email-Worm.Win32.Bagle.hw ignoré

C:\WINDOWS\exefld\337890.exe Infecté : Email-Worm.Win32.Bagle.hw ignoré

C:\WINDOWS\exefld\37721531.exe Infecté : Email-Worm.Win32.Bagle.hw ignoré

C:\WINDOWS\Sti_Trace.log L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\Antivirus.Evt L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\AppEvent.Evt L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\default L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\default.LOG L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SAM L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SAM.LOG L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SecEvent.Evt L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SECURITY L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SECURITY.LOG L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\software L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\software.LOG L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\SysEvent.Evt L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\system L'objet est verrouillé ignoré

C:\WINDOWS\system32\config\system.LOG L'objet est verrouillé ignoré

C:\WINDOWS\system32\h323log.txt L'objet est verrouillé ignoré

C:\WINDOWS\system32\MsDtc\MSDTC.LOG L'objet est verrouillé ignoré

C:\WINDOWS\system32\MsDtc\Trace\dtctrace.log L'objet est verrouillé ignoré

C:\WINDOWS\system32\msmq\storage\QMLog L'objet est verrouillé ignoré

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR L'objet est verrouillé

ignoré

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA L'objet est verrouillé

ignoré

C:\WINDOWS\Temp\Perflib_Perfdata_4c8.dat L'objet est verrouillé ignoré

C:\WINDOWS\wiadebug.log L'objet est verrouillé ignoré

C:\WINDOWS\wiaservc.log L'objet est verrouillé ignoré

Analyse terminée.

VdeLab · le 16 février 2007

Bonsoir,

j'ai appliqué la procédure avec Avenger, et voici le log à la fin.

Puis j'ai fait un blacklight et un hijackthis, et j'ai mis les log à la suite.

Apparemment, les choses vont mieux.

En parallèle, j'ai lancé panda activescan sur le web, et il en est au milieu mais a trouvé encore

8 virus (noté désinfecté : les a -t-il vraimenet viré)

112 logiciel espions

13 rootkick

1 numéroteur

donc il reste des choses.... Mais AVG là s'est bien mis à jour, donc j'ai bon espoir de tout pouvoir retirer.

Si vous avez d'autres conseils, je suis preneur...

Je suis effaré du nombre de trucs que mon PC a chopé, alors que j'ai Avast en résudent et Zone Alarm, puis rgulièrement Spybot et ad-ware...

Y -a-t-il mieux maintenant???

A bientot,

Vdelab

_______________________________________________________________________________

Logfile of The Avenger version 1, by Swandog46

Running from registry key:

\Registry\Machine\System\CurrentControlSet\Services\clbygjic

*******************

Script file located at: \??\C:\Program Files\neayklkn.txt

Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Driver m_hook unloaded successfully.

Registry key HKLM\System\CurrentControlSet\Services\m_hook not found!

Deletion of registry key HKLM\System\CurrentControlSet\Services\m_hook failed!

Could not process line:

HKLM\System\CurrentControlSet\Services\m_hook

Status: 0xc0000034

File C:\WINDOWS\system32\wintems.exe deleted successfully.

File C:\WINDOWS\system32\hldrrr.exe deleted successfully.

Folder c:\Documents and Settings\Vincent d L\Application Data\hidires deleted successfully.

Folder C:\WINDOWS\exefld deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

____________________________________________________________________________________

Logfile of HijackThis v1.99.1

Scan saved at 18:39:39, on 16/02/2007