[resolu]infection: spyware...

[dark-setsuna]

bonjour a tous!!

 

alors voila mon ordinateur doit etre infecté par des spyware, adware parce que j'ai toute les 5min des message me disant de télécharger des anti-virus payant sur internet parce que mon pc est infecté!

 

j'ai installé des anti-spyware(AVG qui detecte un virus mais n'arrive pas a le supprimer, et Antivir qui fait ramé mon pc... c'est impressionant)

 

mon pc rame donc enormement et j'ai pub des que je lance firefox!!!

 

 

voila mon rapport hijackthis:

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 01:46:40, on 09/03/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\WINDOWS\system32\VTTimer.exe

C:\WINDOWS\system32\VTtrayp.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\drivers\STDSB.exe

C:\WINDOWS\system32\drivers\Icon.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

C:\Apps\Powercinema\PCMService.exe

C:\Program Files\MessengerPlus! 3\MsgPlus.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\QuickTime\QTTask.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

C:\WINDOWS\system32\Rundll32.exe

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Documents and Settings\Lasher\Mes documents\divers\SuperCopier2 sur Duss\SuperCopier2.exe

C:\documents and settings\lasher\local settings\application data\dxtsqkewxd.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Microsoft Office\Office10\OSA.EXE

C:\WINDOWS\BricoPacks\Vista Inspirat\ObjectDock\ObjectDock.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\PROGRA~1\FICHIE~1\AOL\ACS\AOLacsd.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

c:\APPS\Powercinema\Kernel\TV\CLCapSvc.exe

C:\Program Files\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe

C:\Program Files\CyberLink\Shared Files\CLML_NTService\CLMLService.exe

c:\APPS\HIDSERVICE\HIDSERVICE.exe

C:\WINDOWS\system32\slmdmsr.exe

c:\APPS\Powercinema\Kernel\TV\CLSched.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\System32\alg.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\GUARDGUI.EXE

C:\WINDOWS\system32\wscntfy.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\GUARDGUI.EXE

C:\Program Files\Avira\AntiVir PersonalEdition Classic\GUARDGUI.EXE

C:\Program Files\Avira\AntiVir PersonalEdition Classic\GUARDGUI.EXE

C:\Program Files\Avira\AntiVir PersonalEdition Classic\GUARDGUI.EXE

C:\Program Files\Avira\AntiVir PersonalEdition Classic\GUARDGUI.EXE

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

C:\Program Files\Mozilla Firefox\firefox.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.myownstartpage.net/?cm=705&.../www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = file://C:\APPS\IE\offline\fr.htm

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Packard Bell

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Sotfone Tracker Class - {10C52A42-DB8B-4ade-AA4A-CED6A8282B67} - C:\Program Files\Sotfone\1202834924.dll (file missing)

O2 - BHO: e404 helper - {2C566C34-7D72-4DC1-9BBE-1121A76698F8} - C:\Program Files\Helper\1203464357.dll (file missing)

O2 - BHO: (no name) - {393C2547-B2AB-422C-87AF-385238C73416} - C:\WINDOWS\system32\efccyyv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: (no name) - {B32549AD-11BC-4371-AADF-D31A7EB9E832} - C:\WINDOWS\system32\pmkji.dll

O2 - BHO: e404 helper - {C03FD59D-9104-44B7-929A-9EAA0BA05211} - C:\Program Files\Helper\1202834921.dll (file missing)

O2 - BHO: (no name) - {C2A1C5CB-C0EF-4689-9436-F62CCA1C5383} - C:\Program Files\NetProject\sbmdl.dll (file missing)

O2 - BHO: {713ebf59-2872-9cda-7af4-aae65e2e5f3f} - {f3f5e2e5-6eaa-4fa7-adc9-278295fbe317} - C:\WINDOWS\system32\fncfiamb.dll

O4 - HKLM\..\Run: [iMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32

O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC

O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName

O4 - HKLM\..\Run: [synTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [VTTimer] VTTimer.exe

O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe

O4 - HKLM\..\Run: [sTDSB] C:\WINDOWS\system32\drivers\STDSB.exe

O4 - HKLM\..\Run: [icon] C:\WINDOWS\system32\drivers\Icon.exe

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

O4 - HKLM\..\Run: [PCMService] "c:\Apps\Powercinema\PCMService.exe"

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [VirusHeat 3.9] "C:\Program Files\VirusHeat 3.9\VirusHeat 3.9.exe" /h

O4 - HKLM\..\Run: [bm] "C:\Program Files\Fichiers communs\WinSecureAv\bm.exe" dm=http://winsecureav.com ad=http://winsecureav.com sd=http://ykeeper.winsecureav.com

O4 - HKLM\..\Run: [ptask] C:\Program Files\WinSecureAv\ptask.exe

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - HKLM\..\Run: [34693614] rundll32.exe "C:\WINDOWS\system32\qdeckonw.dll",b

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [bM375a0588] Rundll32.exe "C:\WINDOWS\system32\nytkcehp.dll",s

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [superCopier2.exe] C:\Documents and Settings\Lasher\Mes documents\divers\SuperCopier2 sur Duss\SuperCopier2.exe

O4 - HKCU\..\Run: [AntiSpywareShield] C:\Program Files\AntiSpywareShield\AntiSpywareShield.exe

O4 - HKCU\..\Run: [dxtsqkewxd] c:\documents and settings\lasher\local settings\application data\dxtsqkewxd.exe dxtsqkewxd

O4 - HKLM\..\Policies\Explorer\Run: [some] C:\Program Files\NetProject\scit.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User '?')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Startup: Stardock ObjectDock.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat\ObjectDock\ObjectDock.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra button: PokerStars - {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - C:\Program Files\PokerStars\PokerStarsUpdate.exe

O9 - Extra button: (no name) - {9034A523-D068-4BE8-A284-9DF278BE776E} - http://www.explorertool.net/redirect.php (file missing)

O9 - Extra 'Tools' menuitem: IE Anti-Spyware - {9034A523-D068-4BE8-A284-9DF278BE776E} - http://www.explorertool.net/redirect.php (file missing)

O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll

O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\fr.htm

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab56907.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{8A69FD32-C6BB-4FD8-A35B-36EFC64B9094}: NameServer = 85.255.116.21,85.255.112.147

O17 - HKLM\System\CCS\Services\Tcpip\..\{8DE42DFE-0690-4424-8CD8-A4BBB5C69086}: NameServer = 85.255.116.21,85.255.112.147

O17 - HKLM\System\CCS\Services\Tcpip\..\{B38E3DDD-4778-407A-8DB1-F8BA01FF4BAF}: NameServer = 85.255.116.21,85.255.112.147

O17 - HKLM\System\CCS\Services\Tcpip\..\{E008C17D-714F-4781-B2BF-AC627BC39895}: NameServer = 85.255.116.21,85.255.112.147

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.21 85.255.112.147

O17 - HKLM\System\CS1\Services\Tcpip\..\{8A69FD32-C6BB-4FD8-A35B-36EFC64B9094}: NameServer = 85.255.116.21,85.255.112.147

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.21 85.255.112.147

O20 - Winlogon Notify: efccyyv - C:\WINDOWS\SYSTEM32\efccyyv.dll

O22 - SharedTaskScheduler: didact - {747e1fbe-b70f-441d-bbca-6e536c04924a} - C:\WINDOWS\system32\wuuawkz.dll (file missing)

O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - c:\program files\a-squared free\a2service.exe

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\PROGRA~1\FICHIE~1\AOL\ACS\AOLacsd.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - c:\APPS\Powercinema\Kernel\TV\CLCapSvc.exe

O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - c:\APPS\Powercinema\Kernel\TV\CLSched.exe

O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Program Files\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe

O23 - Service: Generic Service for HID Keyboard Input Collections (GenericHidService) - Unknown owner - c:\APPS\HIDSERVICE\HIDSERVICE.exe

O23 - Service: MySqlInventime - Unknown owner - c:\mysql\bin\mysqld-max-nt.exe

O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe

O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe

O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slmdmsr.exe

 

--

End of file - 12069 bytes

 

 

voila j'ai oublié je suis sur un pc portable qui tourne sous window Xp

 

merci d'avance pour votre aide.

 

P.S: j'ai mis 30min pour avoir le rapport hijackthis et envoyé se message!!

Modifié le 11 mars 2008 par dark-setsuna

[angelique]

'jour

 

faut faire attention à tes habitudes de surfs !!! >> http://forum.zebulon.fr/lofiversion/index.php/t116238.html

 

c'est la misere ton rapport

 

• desinstalle avast via ajout\suppression de programmes ainsi que PokerStars

 

• Télécharge le FixWareout sur le bureau:

http://downloads.subratam.org/Fixwareout.exe

 

 

Lance le fix: clique sur Next, puis Install, puis assure toi que "Run fixit" est activé puis clique sur Finish.

Le fix va commencer, suis les messages à l'écran. Il te sera demandé de redémarrer ton ordinateur, fais le. Ton système mettra un peu plus de temps au démarrage, c'est normal.

 

Quand ton système aura redémarré, suis les invites des messages. Ensuite lance hijackthis en cliquant sur do a scan system only coche ces lignes et clic fixchecked:

 

O2 - BHO: e404 helper - {2C566C34-7D72-4DC1-9BBE-1121A76698F8} - C:\Program Files\Helper\1203464357.dll (file missing)

O2 - BHO: (no name) - {393C2547-B2AB-422C-87AF-385238C73416} - C:\WINDOWS\system32\efccyyv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: (no name) - {B32549AD-11BC-4371-AADF-D31A7EB9E832} - C:\WINDOWS\system32\pmkji.dll

O2 - BHO: e404 helper - {C03FD59D-9104-44B7-929A-9EAA0BA05211} - C:\Program Files\Helper\1202834921.dll (file missing)

O2 - BHO: (no name) - {C2A1C5CB-C0EF-4689-9436-F62CCA1C5383} - C:\Program Files\NetProject\sbmdl.dll (file missing)

O2 - BHO: {713ebf59-2872-9cda-7af4-aae65e2e5f3f} - {f3f5e2e5-6eaa-4fa7-adc9-278295fbe317} - C:\WINDOWS\system32\fncfiamb.dll

O4 - HKLM\..\Run: [VirusHeat 3.9] "C:\Program Files\VirusHeat 3.9\VirusHeat 3.9.exe" /h

O4 - HKLM\..\Run: [bm] "C:\Program Files\Fichiers communs\WinSecureAv\bm.exe" dm=http://winsecureav.com ad=http://winsecureav.com sd=http://ykeeper.winsecureav.com

O4 - HKLM\..\Run: [ptask] C:\Program Files\WinSecureAv\ptask.exe

O4 - HKLM\..\Run: [34693614] rundll32.exe "C:\WINDOWS\system32\qdeckonw.dll",b

O4 - HKLM\..\Run: [bM375a0588] Rundll32.exe "C:\WINDOWS\system32\nytkcehp.dll",s

O4 - HKCU\..\Run: [AntiSpywareShield] C:\Program Files\AntiSpywareShield\AntiSpywareShield.exe

O4 - HKCU\..\Run: [dxtsqkewxd] c:\documents and settings\lasher\local settings\application data\dxtsqkewxd.exe dxtsqkewxd

O4 - HKLM\..\Policies\Explorer\Run: [some] C:\Program Files\NetProject\scit.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O9 - Extra button: PokerStars - {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - C:\Program Files\PokerStars\PokerStarsUpdate.exe

O9 - Extra button: (no name) - {9034A523-D068-4BE8-A284-9DF278BE776E} - http://www.explorertool.net/redirect.php (file missing)

O9 - Extra 'Tools' menuitem: IE Anti-Spyware - {9034A523-D068-4BE8-A284-9DF278BE776E} - http://www.explorertool.net/redirect.php (file missing)

O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

O17 - HKLM\System\CCS\Services\Tcpip\..\{8A69FD32-C6BB-4FD8-A35B-36EFC64B9094}: NameServer = 85.255.116.21,85.255.112.147

O17 - HKLM\System\CCS\Services\Tcpip\..\{8DE42DFE-0690-4424-8CD8-A4BBB5C69086}: NameServer = 85.255.116.21,85.255.112.147

O17 - HKLM\System\CCS\Services\Tcpip\..\{B38E3DDD-4778-407A-8DB1-F8BA01FF4BAF}: NameServer = 85.255.116.21,85.255.112.147

O17 - HKLM\System\CCS\Services\Tcpip\..\{E008C17D-714F-4781-B2BF-AC627BC39895}: NameServer = 85.255.116.21,85.255.112.147

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.21 85.255.112.147

O17 - HKLM\System\CS1\Services\Tcpip\..\{8A69FD32-C6BB-4FD8-A35B-36EFC64B9094}: NameServer = 85.255.116.21,85.255.112.147

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.21 85.255.112.147

O20 - Winlogon Notify: efccyyv - C:\WINDOWS\SYSTEM32\efccyyv.dll

O22 - SharedTaskScheduler: didact - {747e1fbe-b70f-441d-bbca-6e536c04924a} - C:\WINDOWS\system32\wuuawkz.dll (file missing)

 

• http://perso.orange.fr/il.mafioso/Navifix/Navilog1.exe

Télécharge Navilog1.exe (Il Mafioso)

Installe le,un raccourci est crée sur le bureau il va se lancer tout seul, choisis l'option 1

 

• Télécharge SmitfraudFix de S!Ri sur ton bureau

http://siri.urz.free.fr/Fix/SmitfraudFix.exe

exécute Smitfraudfix.exe , un dossier de meme nom est crée

Dans le menu, sélectionne 1

 

•

 

Redémarre en mode Sans Échec : au redémarrage, tapote immédiatement la touche F8 ; tu verras un écran avec choix de démarrages apparaître. Utilisant les flèches du clavier, choisis "Mode Sans Échec" et valide avec "Entrée". Choisis ton compte usuel, et non Administrateur.

** relance SmitfraudFix.cmd dans le dossier crée

Dans le menu, sélectionne 2

-- A la question "Voulez-vous nettoyer le registre ?" répondre O (oui) afin de débloquer le fond d'écran et supprimer les clés de démarrage automatique de l'infection.

* Le fix déterminera si le fichier wininet.dll est infecté.

-- A la question "Corriger le fichier infecté ?" répondre O (oui) pour remplacer le fichier corrompu.

-- A la fin du scan, sauvegarder le rapport (Fichier/Enregistrer sous...) sur le Bureau.

-- Fais un copier coller du contenu de ce rapport dans ta prochaine réponse

process.exe est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky...) comme étant un RiskTool.

Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.

 

**Double clique sur le raccourci navilog sur ton bureau

 

Choisis maintenant l'option 2 puis valide.

Laisse toi guider et réponds aux questions éventuelles.

 

Ton bureau va disparaître, c'est normal !

 

Patiente jusqu'à l'apparition de ce message :

"*** Nettoyage Termine le ..... ***"

 

Appuie sur une touche comme demandé, le Bloc-notes va s'ouvrir.

Sauvegarde le rapport de manière à le retrouver en mode normal.

(sur ton bureau par exemple)

Referme le Bloc-notes. Ton bureau va maintenant réapparaître.

 

# NOTES : Le rapport se trouve également ici : C\cleannavi.txt

# Si ton Bureau ne réapparaît pas, fais ceci :

-> Clique simultanément sur Ctrl + Alt + Suppr.

Clique sur l'onglet Fichier puis choisis Nouvelle tâche.

Tape Explorer puis valide.

-> Choisis Exécuter..., tape Explorer puis valide.

 

• reboot normal , desactive temporairement antivir

 

Télécharge combofix.exe (par sUBs) et sauvegarde le sur ton bureau.

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

 

* Double-clique combofix.exe afin de l'exécuter et suis les instructions.

* Lorsque l'analyse sera complétée, un rapport apparaîtra que tu me posteras, avec les rapport navilog et smitfraudfix

 

===tu fais tout ça dans l'ordre!!!!=== imprime les instructions car tu n'y auras pas access en Mode sans Echec

[dark-setsuna]

merci a toi de m'aidé!

 

d'abord dsl mais j'ai du supprimer antivir(sans quoi je ne pouvait rien faire sur le pc tellement sa ramé, j'ai du passé par le mode sans echec pour le supprimer) j'espere que sa ne pose pas de probleme!!

 

ensuite j'ai fait tout se que tu ma dit mais j'ai rencontrer quelque problème(qui n'en sont peu etre pas!):

 

sur toute les ligne que tu ma demandé de cocher sur hijackthis je n'est pu en cocher que 11 les autres n'etant pas presente

voila les 11 que j'ai pu cocher:

O4 - HKLM\..\Run: [VirusHeat 3.9] "C:\Program Files\VirusHeat 3.9\VirusHeat 3.9.exe" /h

O4 - HKLM\..\Run: [bm] "C:\Program Files\Fichiers communs\WinSecureAv\bm.exe" dm=http://winsecureav.com ad=http://winsecureav.com sd=http://ykeeper.winsecureav.com

O4 - HKLM\..\Run: [ptask] C:\Program Files\WinSecureAv\ptask.exe

O4 - HKLM\..\Run: [34693614] rundll32.exe "C:\WINDOWS\system32\qdeckonw.dll",b

O4 - HKLM\..\Run: [bM375a0588] Rundll32.exe "C:\WINDOWS\system32\nytkcehp.dll",s

O4 - HKCU\..\Run: [AntiSpywareShield] C:\Program Files\AntiSpywareShield\AntiSpywareShield.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O9 - Extra button: (no name) - {9034A523-D068-4BE8-A284-9DF278BE776E} - http://www.explorertool.net/redirect.php (file missing)

O9 - Extra 'Tools' menuitem: IE Anti-Spyware - {9034A523-D068-4BE8-A284-9DF278BE776E} - http://www.explorertool.net/redirect.php (file missing)

O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

O22 - SharedTaskScheduler: didact - {747e1fbe-b70f-441d-bbca-6e536c04924a} - C:\WINDOWS\system32\wuuawkz.dll (file missing)

 

ensuite je n'est pas eu la question "Corrigé le fichier infecté?" lors du scan de SmitfraudFix en mode sans echec

 

sinon rien de special a part que je me retrouve sans fond d'ecran!

 

voila les rapport smitfraudFix, navilog et combofix:

 

SmitfraudFix:

SmitFraudFix v2.301

 

Rapport fait à 17:54:43,70, 09/03/2008

Executé à partir de C:\Documents and Settings\Lasher\Bureau\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Le type du système de fichiers est NTFS

Fix executé en mode sans echec

 

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

 

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

 

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus

 

 

»»»»»»»»»»»»»»»»»»»»»»»» hosts

 

127.0.0.1 localhost

 

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

 

VACFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

 

S!Ri's WS2Fix: LSP not Found.

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

 

GenericRenosFix by S!Ri

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

 

C:\DOCUME~1\Lasher\MENUDM~1\PROGRA~1\VirusHeat 3.9 supprimé

C:\Program Files\Helper\ supprimé

C:\Program Files\Sotfone\ supprimé

 

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

 

IEDFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

 

 

»»»»»»»»»»»»»»»»»»»»»»»» DNS

 

HKLM\SYSTEM\CCS\Services\Tcpip\..\{8A69FD32-C6BB-4FD8-A35B-36EFC64B9094}: DhcpNameServer=212.27.54.252 212.27.53.252

HKLM\SYSTEM\CS1\Services\Tcpip\..\{8A69FD32-C6BB-4FD8-A35B-36EFC64B9094}: DhcpNameServer=212.27.54.252 212.27.53.252

HKLM\SYSTEM\CS3\Services\Tcpip\..\{8A69FD32-C6BB-4FD8-A35B-36EFC64B9094}: DhcpNameServer=212.27.54.252 212.27.53.252

HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=212.27.54.252 212.27.53.252

HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=212.27.54.252 212.27.53.252

HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=212.27.54.252 212.27.53.252

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"system"=""

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

 

Nettoyage terminé.

 

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

 

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Fin

 

 

 

 

ensuite le rapport Navilog:

Clean Navipromo version 3.5.0 commencé le 09/03/2008 à 18:01:24,51

 

Outil exécuté depuis C:\Program Files\navilog1

Mise à jour le 04.03.2008 à 17h00 par IL-MAFIOSO

 

 

Microsoft Windows XP [version 5.1.2600]

Internet Explorer : 6.0.2900.2180

Système de fichiers : NTFS

 

Mode suppression automatique

avec prise en charge résultats Catchme et GNS

 

 

Executé en mode sans échec

 

*** Creation backups fichiers trouvés par Catchme ***

 

Copie vers "C:\Program Files\navilog1\Backupnavi"

 

Copie C:\Documents and Settings\Lasher\Local Settings\Application Data\dxtsqkewxd.dat réalisée avec succès !

Copie C:\Documents and Settings\Lasher\Local Settings\Application Data\dxtsqkewxd.exe réalisée avec succès !

Copie C:\Documents and Settings\Lasher\Local Settings\Application Data\dxtsqkewxd_nav.dat réalisée avec succès !

Copie C:\Documents and Settings\Lasher\Local Settings\Application Data\dxtsqkewxd_navps.dat réalisée avec succès !

 

*** Suppression des fichiers trouvés avec Catchme ***

 

C:\Documents and Settings\Lasher\Local Settings\Application Data\dxtsqkewxd.dat supprimé !

C:\Documents and Settings\Lasher\Local Settings\Application Data\dxtsqkewxd.exe supprimé !

C:\Documents and Settings\Lasher\Local Settings\Application Data\dxtsqkewxd_nav.dat supprimé !

C:\Documents and Settings\Lasher\Local Settings\Application Data\dxtsqkewxd_navps.dat supprimé !

 

** 2ème passage avec résultats Catchme **

 

* Dans C:\WINDOWS\system32 *

 

 

C:\WINDOWS\prefetch\dxtsqkewxd*.pf trouvé !

Copie C:\WINDOWS\prefetch\dxtsqkewxd*.pf réalisée avec succès !

C:\WINDOWS\prefetch\dxtsqkewxd*.pf supprimé !

 

* Dans "C:\Documents and Settings\Lasher\locals~1\applic~1" *

 

 

*** Suppression avec sauvegardes résultats GenericNaviSearch ***

 

* Suppression dans C:\WINDOWS\System32 *

 

 

* Suppression dans "C:\Documents and Settings\Lasher\locals~1\applic~1" *

 

 

 

*** Suppression dossiers dans C:\WINDOWS ***

 

 

*** Suppression dossiers dans C:\Program Files ***

 

 

*** Suppression dossiers dans C:\DOCUME~1\ALLUSE~1\APPLIC~1 ***

 

 

*** Suppression dossiers dans "C:\Documents and Settings\Lasher\applic~1" ***

 

 

*** Suppression dossiers dans "C:\Documents and Settings\Lasher\locals~1\applic~1" ***

 

 

*** Suppression dossiers dans "C:\Documents and Settings\Lasher\menudm~1\progra~1" ***

 

 

*** Suppression dossiers dans C:\DOCUME~1\ALLUSE~1\MENUD?~1\PROGRA~1 ***

 

 

 

*** Suppression fichiers ***

 

C:\WINDOWS\system32\nvs2.inf supprimé !

 

*** Suppression fichiers temporaires ***

 

Nettoyage contenu C:\WINDOWS\Temp effectué !

Nettoyage contenu C:\Documents and Settings\Lasher\locals~1\Temp effectué !

 

*** Traitement Recherche complémentaire ***

(Recherche fichiers spécifiques)

 

1)Suppression avec sauvegardes nouveaux fichiers Instant Access :

 

2)Recherche, création sauvegardes et suppression Heuristique :

 

 

* Dans C:\WINDOWS\system32 *

 

 

* Dans "C:\Documents and Settings\Lasher\locals~1\applic~1" *

 

 

*** Sauvegarde du Registre vers dossier Backupnavi ***

 

sauvegarde du Registre réalisée avec succès !

 

*** Nettoyage Registre ***

 

Nettoyage Registre Ok

 

 

*** Certificats ***

 

Certificat Egroup supprimé !

Certificat Electronic-Group supprimé !

Certificat OOO-Favorit supprimé !

 

*** Nettoyage terminé le 09/03/2008 à 18:03:13,51 ***

 

 

 

et enfin le rapport combofix:

ComboFix 08-03-09.1 - Lasher 2008-03-09 18:15:05.1 - NTFSx86

Microsoft Windows XP Édition familiale 5.1.2600.2.1252.1.1036.18.635 [GMT 1:00]

Endroit: C:\Documents and Settings\Lasher\Bureau\ComboFix.exe

* Création d'un nouveau point de restauration

.

 

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

 

C:\Documents and Settings\Lasher\Mes documents\jeux\TrackMania Nations ESWC\GameData\Tracks\Challenges\My Challenges\_desktop.ini

C:\Documents and Settings\Lasher\Mes documents\Ma musique\MP3 alex\NIGHTWISH\Oceanborn\_desktop.ini

C:\Documents and Settings\Lasher\Mes documents\Ma musique\MP3 alex\Trivium\_desktop.ini

C:\Documents and Settings\Lasher\Mes documents\Ma musique\MP3 alex\Trivium\Ascendancy\_desktop.ini

C:\Documents and Settings\Lasher\Mes documents\Ma musique\MP3 alex\Trivium\Crusader\_desktop.ini

C:\Documents and Settings\Lasher\Mes documents\Ma musique\MP3 alex\Trivium\Ember To Inferno\_desktop.ini

C:\Documents and Settings\Lasher\Mes documents\Ma musique\MP3 Laurent\Lost Prophets\_desktop.ini

C:\Documents and Settings\Lasher\Mes documents\Ma musique\MP3 Laurent\Lost Prophets\Liberation Transmission\_desktop.ini

C:\Documents and Settings\Lasher\Mes documents\Ma musique\MP3 Laurent\Lost Prophets\Start Something\_desktop.ini

C:\Documents and Settings\Lasher\Mes documents\Mes vid‚os\manga anime\soultaker\_desktop.ini

C:\WINDOWS\BM375a0588.xml

C:\WINDOWS\pskt.ini

C:\WINDOWS\system\smss.exe

C:\WINDOWS\system32\acbqwlig.dll

C:\WINDOWS\system32\bjmhwxxi.dll

C:\WINDOWS\system32\ccnsoryk.ini

C:\WINDOWS\system32\dtocphpr.dll

C:\WINDOWS\system32\dyilurju.ini

C:\WINDOWS\system32\efccyyv.dll

C:\WINDOWS\system32\eugxokjh.dll

C:\WINDOWS\system32\flgjxwkl.dll

C:\WINDOWS\system32\fncfiamb.dll

C:\WINDOWS\system32\frujoyie.ini

C:\WINDOWS\system32\hxneiadu.dll

C:\WINDOWS\system32\ijkmp.ini

C:\WINDOWS\system32\ijkmp.ini2

C:\WINDOWS\system32\isqjxgxm.ini

C:\WINDOWS\system32\jlcqvxyb.dll

C:\WINDOWS\system32\jpowqvpg.ini

C:\WINDOWS\system32\ntojnful.dll

C:\WINDOWS\system32\nwhskotd.dll

C:\WINDOWS\system32\nytkcehp.dll

C:\WINDOWS\system32\oygjvokf.ini

C:\WINDOWS\system32\pmkji.dll

C:\WINDOWS\system32\qbxtueks.ini

C:\WINDOWS\system32\qfkokilx.dll

C:\WINDOWS\system32\qvyeubwn.ini

C:\WINDOWS\system32\rooxjllb.dll

C:\WINDOWS\system32\rphpcotd.ini

C:\WINDOWS\system32\sihattps.ini

C:\WINDOWS\system32\spttahis.dll

C:\WINDOWS\system32\utxlewic.dll

C:\WINDOWS\system32\xewtkypw.dll

C:\WINDOWS\system32\yvgixtvj.dll

 

.

((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

 

-------\nm

 

 

((((((((((((((((((((((((((((( Fichiers créés 2008-02-09 to 2008-03-09 ))))))))))))))))))))))))))))))))))))

.

 

2008-03-09 17:50 . 2008-03-09 17:54 3,108 --a------ C:\WINDOWS\system32\tmp.reg

2008-03-09 17:49 . 2007-09-05 23:22 289,144 --a------ C:\WINDOWS\system32\VCCLSID.exe

2008-03-09 17:49 . 2006-04-27 16:49 288,417 --a------ C:\WINDOWS\system32\SrchSTS.exe

2008-03-09 17:49 . 2008-03-09 01:15 86,528 --a------ C:\WINDOWS\system32\VACFix.exe

2008-03-09 17:49 . 2008-03-05 22:29 82,432 --a------ C:\WINDOWS\system32\IEDFix.exe

2008-03-09 17:49 . 2004-07-31 17:50 51,200 --a------ C:\WINDOWS\system32\dumphive.exe

2008-03-09 17:49 . 2007-10-03 23:36 25,600 --a------ C:\WINDOWS\system32\WS2Fix.exe

2008-03-09 17:39 . 2008-03-09 18:03 <REP> d-------- C:\Program Files\Navilog1

2008-03-09 17:20 . 2008-03-09 17:30 <REP> d-------- C:\fixwareout

2008-03-08 20:41 . 2008-03-08 20:41 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Avira

2008-03-08 20:08 . 2008-03-08 20:08 <REP> d-------- C:\Program Files\Trend Micro

2008-03-08 15:51 . 2008-03-09 17:07 1,307,741 ---hs---- C:\WINDOWS\system32\wnokcedq.ini

2008-02-28 20:10 . 2008-03-03 19:16 1,317,037 ---hs---- C:\WINDOWS\system32\dcxmrdqn.ini

2008-02-23 00:27 . 2008-03-09 17:14 <REP> d-------- C:\Program Files\PokerStars

2008-02-20 22:00 . 2004-08-03 23:01 25,856 --a------ C:\WINDOWS\system32\drivers\usbprint.sys

2008-02-20 22:00 . 2004-08-03 23:01 25,856 --a------ C:\WINDOWS\system32\dllcache\usbprint.sys

2008-02-16 01:41 . 2008-02-16 02:11 <REP> d-a------ C:\Documents and Settings\All Users\Application Data\TEMP

2008-02-16 01:40 . 2008-02-16 01:42 <REP> d-------- C:\Program Files\Spyware Doctor

2008-02-16 01:40 . 2008-02-16 01:40 <REP> d-------- C:\Documents and Settings\Lasher\Application Data\PC Tools

2008-02-16 01:40 . 2007-12-10 14:53 81,288 --a------ C:\WINDOWS\system32\drivers\iksyssec.sys

2008-02-16 01:40 . 2007-12-10 14:53 66,952 --a------ C:\WINDOWS\system32\drivers\iksysflt.sys

2008-02-16 01:40 . 2007-12-10 14:53 41,864 --a------ C:\WINDOWS\system32\drivers\ikfilesec.sys

2008-02-16 01:40 . 2007-12-10 14:53 29,576 --a------ C:\WINDOWS\system32\drivers\kcom.sys

2008-02-14 17:57 . 2008-02-14 17:57 <REP> d-------- C:\Documents and Settings\Lasher\Application Data\Grisoft

2008-02-14 17:56 . 2008-02-14 17:56 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Grisoft

2008-02-14 17:56 . 2007-05-30 13:10 10,872 --a------ C:\WINDOWS\system32\drivers\AvgAsCln.sys

2008-02-12 18:01 . 2008-02-12 18:01 <REP> d--hs---- C:\WinSecureAv

2008-02-12 18:01 . 2008-02-12 19:57 <REP> d-------- C:\Documents and Settings\Lasher\Application Data\WinSecureAv

2008-02-12 18:01 . 2008-02-12 18:01 <REP> dr------- C:\Documents and Settings\All Users\Application Data\SalesMon

 

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-03-05 18:10 --------- d-----w C:\Program Files\Fichiers communs\SureThing Shared

2008-02-18 10:55 --------- d-----w C:\Program Files\Lavasoft

2008-02-18 10:55 --------- d-----w C:\Documents and Settings\Lasher\Application Data\Lavasoft

2008-01-25 19:11 --------- d-----w C:\Program Files\Eden_World

2008-01-14 22:05 --------- d-----w C:\Documents and Settings\Lasher\Application Data\utorrent

2007-04-02 11:37 47,408 ----a-w C:\Documents and Settings\Lasher\Application Data\GDIPFONTCACHEV1.DAT

2006-11-20 11:31 32 ----a-r C:\Documents and Settings\All Users\hash.dat

2004-08-05 12:00 93,184 --sha-w C:\WINDOWS\BricoPacks\SysFiles\68_iexplore.exe

2004-08-11 18:49 73,728 --sha-w C:\WINDOWS\BricoPacks\SysFiles\71_wmplayer.exe

.

 

------- Sigcheck -------

 

2004-08-05 13:00 1884672 90e794c5d2d368686fe71b4a0354462c C:\WINDOWS\explorer.exe

.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))

.

.

REGEDIT4

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"MSMSGS"="C:\Program Files\Messenger\msmsgs.exe" [2004-10-13 17:24 1694208]

"SuperCopier2.exe"="C:\Documents and Settings\Lasher\Mes documents\divers\SuperCopier2 sur Duss\SuperCopier2.exe" [2006-07-07 17:45 1052672]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"IMJPMIG8.1"="C:\WINDOWS\IME\imjp8_1\IMJPMIG.exe" [2004-08-05 13:00 208952]

"PHIME2002ASync"="C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.exe" [2004-08-05 13:00 455168]

"PHIME2002A"="C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.exe" [2004-08-05 13:00 455168]

"SynTPLpr"="C:\Program Files\Synaptics\SynTP\SynTPLpr.exe" [2005-03-10 17:44 98394]

"SynTPEnh"="C:\Program Files\Synaptics\SynTP\SynTPEnh.exe" [2005-03-10 17:43 688218]

"VTTimer"="VTTimer.exe" [2005-03-08 02:33 53248 C:\WINDOWS\system32\VTTimer.exe]

"VTTrayp"="VTtrayp.exe" [2005-09-14 12:47 167936 C:\WINDOWS\system32\VTTrayp.exe]

"STDSB"="C:\WINDOWS\system32\drivers\STDSB.exe" [2003-12-17 15:50 28672]

"Icon"="C:\WINDOWS\system32\drivers\Icon.exe" [2005-08-23 14:51 221184]

"SoundMan"="SOUNDMAN.EXE" [2005-08-17 17:39 90112 C:\WINDOWS\SOUNDMAN.EXE]

"SunJavaUpdateSched"="C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe" [2005-06-03 02:52 36975]

"PCMService"="c:\Apps\Powercinema\PCMService.exe" [2005-05-11 12:48 127118]

"MessengerPlus3"="C:\Program Files\MessengerPlus! 3\MsgPlus.exe" [2006-08-31 00:08 190024]

"QuickTime Task"="C:\Program Files\QuickTime\QTTask.exe" [2007-06-29 05:24 286720]

"!AVG Anti-Spyware"="C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" [2007-06-11 10:25 6731312]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-05 13:00 15360]

 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]

"DisableRegistryTools"= 0 (0x0)

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon]

"UIHost"="LogonUI.EXE"

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%ProgramFiles%\\UBISOFT\\Splinter Cell Pandora Tomorrow\\pandora.exe"=

"%windir%\\system32\\sessmgr.exe"=

"C:\\Program Files\\Messenger\\msmsgs.exe"=

"C:\\Program Files\\utorrent\\utorrent.exe"=

"C:\\Program Files\\AOL 9.0\\aol.exe"=

"C:\\APPS\\Inventime\\my.exe"=

"C:\\Documents and Settings\\Lasher\\Mes documents\\jeux\\TrackMania Nations ESWC\\TmNationsESWC.exe"=

"C:\\Documents and Settings\\Lasher\\Mes documents\\jeux\\blobby volley\\volley.exe"=

"C:\\WINDOWS\\system32\\dplaysvr.exe"=

"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"=

"C:\\Program Files\\MSN Messenger\\livecall.exe"=

 

R2 MTC0007_STDSB;Scroll Bar Driver;C:\WINDOWS\system32\drivers\STDSB.sys [2005-08-25 14:00]

S2 STDSB;STDSB;C:\WINDOWS\system32\DRIVERS\STDSB.sys [2005-08-25 14:00]

S3 fbxusb;Carte réseau virtuelle FreeBox USB;C:\WINDOWS\system32\DRIVERS\fbxusb32.sys [2004-10-20 14:23]

S3 gUSBSTOi;gUSBSTOi;C:\DOCUME~1\Lasher\LOCALS~1\Temp\gUSBSTOi.sys []

S3 USBSTOR;Pilote de stockage de masse USB;C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2004-08-03 22:08]

 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{8ecf735c-742b-11db-bc26-00038a000015}]

\Shell\AutoRun\command - E:\ReadMe.exe

 

.

**************************************************************************

 

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-03-09 18:25:21

Windows 5.1.2600 Service Pack 2 NTFS

 

Balayage processus cachés ...

 

Balayage caché autostart entries ...

 

Balayage des fichiers cachés ...

 

Scan terminé avec succès

Les fichiers cachés: 0

 

**************************************************************************

 

[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\mchInjDrv]

"ImagePath"="\??\C:\DOCUME~1\Lasher\LOCALS~1\Temp\mc22.tmp"

 

[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\MySqlInventime]

"ImagePath"="c:\mysql\bin\mysqld-max-nt MySqlInventime"

.

--------------------- DLLs a chargé sous des processus courants ---------------------

 

PROCESS: C:\WINDOWS\explorer.exe [6.00.2900.2180]

-> C:\WINDOWS\BricoPacks\Vista Inspirat\ObjectDock\DockShellHook.dll

.

------------------------ Other Running Processes ------------------------

.

C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\WINDOWS\BricoPacks\Vista Inspirat\ObjectDock\ObjectDock.exe

c:\program files\a-squared free\a2service.exe

C:\PROGRA~1\FICHIE~1\AOL\ACS\AOLacsd.exe

c:\APPS\Powercinema\Kernel\TV\CLCapSvc.exe

C:\Program Files\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe

C:\Program Files\CyberLink\Shared Files\CLML_NTService\CLMLService.exe

c:\APPS\HIDSERVICE\HIDSERVICE.exe

C:\WINDOWS\system32\slmdmsr.exe

c:\APPS\Powercinema\Kernel\TV\CLSched.exe

C:\WINDOWS\system32\wscntfy.exe

.

**************************************************************************

.

Temps d'accomplissement: 2008-03-09 18:28:28 - machine was rebooted

ComboFix-quarantined-files.txt 2008-03-09 17:28:23

.

2007-06-28 22:16:00 --- E O F ---

 

 

 

voila j'ai egalement gardé le rapport de fixwareout. Si tu en as besoin demande le moi!!

 

encore merci pour ton aide(et dsl pour les habitude de surf j'en ai effectivement de mauvaise et en plus c'est le pc portable de mon frere que j'ai recuperé reçement et il doit avoir de très mauvaise habitudes lui aussi^^)

[angelique]

• desinstalle navilog1 via ajout\supp de progset supp son rapport, et supprime SmitfraudFix + rapport

 

• ouvre ton bloc note[executer--notepad] et copies/colles le contenu du cadre ci dessous:

 

Folder::
C:\Program Files\PokerStars
C:\WinSecureAv
C:\Documents and Settings\Lasher\Application Data\WinSecureAv
C:\Documents and Settings\All Users\Application Data\SalesMon

File::
C:\WINDOWS\system32\wnokcedq.ini
C:\WINDOWS\system32\dcxmrdqn.ini

Registry::
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{8ecf735c-742b-11db-bc26-00038a000015}]

 

[*]Va en haut de la page et clique sur le menu"Fichier" , une liste apparait=>

[*]Choisis "Enregistrer sous" et choisis "Bureau"

[*]Dans le champs "Nom du fichier" en bas de page donne le nom suivant:CFScript en fichier .txt

[*]Clique sur le bouton "Enregistrer" à droite du champs "nom du fichier"

[*]Quitte le Bloc Notes.

[*]Fait un glisser/déposer de ce fichier CFScript.txt sur le fichier ComboFix.exe comme sur la capture

 

 

 

 

* suis les instructions

* Patiente le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!

Ne touche à rien tant que le scan n'est pas terminé.

* Une fois le scan achevé, un rapport va s'afficher: poste son contenu.

* Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt

 

• executer ---regedit

 

la parefeu du sp2 a l'air desactivé:

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

donc assure toi que : "EnableFirewall"= 1

Modifie la valeur.

 

HKLM,"System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile","EnableFirewall",0x00010001,1

 

- EnableFirewall = Enable Firewall? Values: 0 = Firewall Off, 1= Firewall On (default)

 

• Remet un nouveau rapport HJT

 

○ réinstalle antivir , maj+ scan + rapport stp!! que tu posteras.

tuto >> http://www.malekal.com/tutorial_antivir.php

 

• telecharge sur ton bureau:

 

- AtfCleaner --> http://www.atribune.org/ccount/click.php?id=1

 

ATF Cleaner

Double-clique ATF-Cleaner.exe afin de lancer le programme.

Sous l'onglet Main, choisis : Select All

Clique sur le bouton Empty Selected, patiente le temp du nettoyage, ok

Si tu utilises le navigateur Firefox :

Clique Firefox au haut et choisis : Select All

Clique le bouton Empty Selected

NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.

Si tu utilises le navigateur Opera :

Clique Opera au haut et choisis : Select All

Clique le bouton Empty Selected

NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.

Clique Exit, du menu prinicipal, afin de fermer le programme.

 

• Télécharge ewido anti-spyware micro scanner sur ton bureau.

• Double-clique sur le fichier ewido_micro.exe pour l'exécuter.
  
• Le programme va demander dès son lancement un accès internet pour se mettre à jour, accepte.
  
• Puis, un nouvel écran apparaît, assure toi que toutes les cases soient cochées.
  
• Clique sur Start Scan et laisse l'outil travailler.
  
• Quand l'outil à fini, clique sur save report et sauvegarde le rapport sur ton bureau.
  
• Poste le dans ta prochaine réponse.
  

• Nb, clique sur Remove infections
  

• effectue un scan avec antivir que tu possedes apres réinstalle, poste aussi son rapport avec un nouveau rapport HJT+ rapport ewido

[angelique]

J'ai pas répondu à cette question:

 

sinon rien de special a part que je me retrouve sans fond d'ecran!

 

Normal!! SmitFraudFix a restauré les parametres par default.

[dark-setsuna]

merci de repondre aussi vite!!

 

voila le rapport combofix avec le fichier CFScript:

 

ComboFix 08-03-09.1 - Lasher 2008-03-09 20:44:10.2 - NTFSx86

Microsoft Windows XP Édition familiale 5.1.2600.2.1252.1.1036.18.581 [GMT 1:00]

Endroit: C:\Documents and Settings\Lasher\Bureau\ComboFix.exe

Command switches used :: C:\Documents and Settings\Lasher\Bureau\CFScript.txt

* Création d'un nouveau point de restauration

 

FILE ::

C:\WINDOWS\system32\dcxmrdqn.ini

C:\WINDOWS\system32\wnokcedq.ini

.

 

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

 

C:\Documents and Settings\All Users\Application Data\SalesMon

C:\Documents and Settings\Lasher\Application Data\WinSecureAv

C:\Documents and Settings\Lasher\Application Data\WinSecureAv\Logs\threats.log

C:\Documents and Settings\Lasher\Application Data\WinSecureAv\Logs\update.log

C:\Documents and Settings\Lasher\Application Data\WinSecureAv\PGE.dat

C:\WINDOWS\system32\dcxmrdqn.ini

C:\WINDOWS\system32\drivers\Icon.exe

C:\WINDOWS\system32\wnokcedq.ini

C:\WinSecureAv

 

.

((((((((((((((((((((((((((((( Fichiers créés 2008-02-09 to 2008-03-09 ))))))))))))))))))))))))))))))))))))

.

 

2008-03-09 17:50 . 2008-03-09 17:54 3,108 --a------ C:\WINDOWS\system32\tmp.reg

2008-03-09 17:49 . 2007-09-05 23:22 289,144 --a------ C:\WINDOWS\system32\VCCLSID.exe

2008-03-09 17:49 . 2006-04-27 16:49 288,417 --a------ C:\WINDOWS\system32\SrchSTS.exe

2008-03-09 17:49 . 2008-03-09 01:15 86,528 --a------ C:\WINDOWS\system32\VACFix.exe

2008-03-09 17:49 . 2008-03-05 22:29 82,432 --a------ C:\WINDOWS\system32\IEDFix.exe

2008-03-09 17:49 . 2004-07-31 17:50 51,200 --a------ C:\WINDOWS\system32\dumphive.exe

2008-03-09 17:49 . 2007-10-03 23:36 25,600 --a------ C:\WINDOWS\system32\WS2Fix.exe

2008-03-09 17:39 . 2008-03-09 19:36 <REP> d-------- C:\Program Files\Navilog1

2008-03-09 17:20 . 2008-03-09 17:30 <REP> d-------- C:\fixwareout

2008-03-08 20:41 . 2008-03-08 20:41 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Avira

2008-03-08 20:08 . 2008-03-08 20:08 <REP> d-------- C:\Program Files\Trend Micro

2008-02-20 22:00 . 2004-08-03 23:01 25,856 --a------ C:\WINDOWS\system32\drivers\usbprint.sys

2008-02-20 22:00 . 2004-08-03 23:01 25,856 --a------ C:\WINDOWS\system32\dllcache\usbprint.sys

2008-02-16 01:41 . 2008-02-16 02:11 <REP> d-a------ C:\Documents and Settings\All Users\Application Data\TEMP

2008-02-16 01:40 . 2008-02-16 01:42 <REP> d-------- C:\Program Files\Spyware Doctor

2008-02-16 01:40 . 2008-02-16 01:40 <REP> d-------- C:\Documents and Settings\Lasher\Application Data\PC Tools

2008-02-16 01:40 . 2007-12-10 14:53 81,288 --a------ C:\WINDOWS\system32\drivers\iksyssec.sys

2008-02-16 01:40 . 2007-12-10 14:53 66,952 --a------ C:\WINDOWS\system32\drivers\iksysflt.sys

2008-02-16 01:40 . 2007-12-10 14:53 41,864 --a------ C:\WINDOWS\system32\drivers\ikfilesec.sys

2008-02-16 01:40 . 2007-12-10 14:53 29,576 --a------ C:\WINDOWS\system32\drivers\kcom.sys

2008-02-14 17:57 . 2008-02-14 17:57 <REP> d-------- C:\Documents and Settings\Lasher\Application Data\Grisoft

2008-02-14 17:56 . 2008-02-14 17:56 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Grisoft

2008-02-14 17:56 . 2007-05-30 13:10 10,872 --a------ C:\WINDOWS\system32\drivers\AvgAsCln.sys

 

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-03-05 18:10 --------- d-----w C:\Program Files\Fichiers communs\SureThing Shared

2008-02-18 10:55 --------- d-----w C:\Program Files\Lavasoft

2008-02-18 10:55 --------- d-----w C:\Documents and Settings\Lasher\Application Data\Lavasoft

2008-01-25 19:11 --------- d-----w C:\Program Files\Eden_World

2008-01-14 22:05 --------- d-----w C:\Documents and Settings\Lasher\Application Data\utorrent

2007-04-02 11:37 47,408 ----a-w C:\Documents and Settings\Lasher\Application Data\GDIPFONTCACHEV1.DAT

2006-11-20 11:31 32 ----a-r C:\Documents and Settings\All Users\hash.dat

2004-08-05 12:00 93,184 --sha-w C:\WINDOWS\BricoPacks\SysFiles\68_iexplore.exe

2004-08-11 18:49 73,728 --sha-w C:\WINDOWS\BricoPacks\SysFiles\71_wmplayer.exe

.

 

------- Sigcheck -------

 

2004-08-05 13:00 1884672 90e794c5d2d368686fe71b4a0354462c C:\WINDOWS\explorer.exe

.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))

.

.

REGEDIT4

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"MSMSGS"="C:\Program Files\Messenger\msmsgs.exe" [2004-10-13 17:24 1694208]

"SuperCopier2.exe"="C:\Documents and Settings\Lasher\Mes documents\divers\SuperCopier2 sur Duss\SuperCopier2.exe" [2006-07-07 17:45 1052672]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"IMJPMIG8.1"="C:\WINDOWS\IME\imjp8_1\IMJPMIG.exe" [2004-08-05 13:00 208952]

"PHIME2002ASync"="C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.exe" [2004-08-05 13:00 455168]

"PHIME2002A"="C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.exe" [2004-08-05 13:00 455168]

"SynTPLpr"="C:\Program Files\Synaptics\SynTP\SynTPLpr.exe" [2005-03-10 17:44 98394]

"SynTPEnh"="C:\Program Files\Synaptics\SynTP\SynTPEnh.exe" [2005-03-10 17:43 688218]

"VTTimer"="VTTimer.exe" [2005-03-08 02:33 53248 C:\WINDOWS\system32\VTTimer.exe]

"VTTrayp"="VTtrayp.exe" [2005-09-14 12:47 167936 C:\WINDOWS\system32\VTTrayp.exe]

"STDSB"="C:\WINDOWS\system32\drivers\STDSB.exe" [2003-12-17 15:50 28672]

"SoundMan"="SOUNDMAN.EXE" [2005-08-17 17:39 90112 C:\WINDOWS\SOUNDMAN.EXE]

"SunJavaUpdateSched"="C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe" [2005-06-03 02:52 36975]

"PCMService"="c:\Apps\Powercinema\PCMService.exe" [2005-05-11 12:48 127118]

"MessengerPlus3"="C:\Program Files\MessengerPlus! 3\MsgPlus.exe" [2006-08-31 00:08 190024]

"QuickTime Task"="C:\Program Files\QuickTime\QTTask.exe" [2007-06-29 05:24 286720]

"!AVG Anti-Spyware"="C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" [2007-06-11 10:25 6731312]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-05 13:00 15360]

 

C:\Documents and Settings\Lasher\Menu D‚marrer\Programmes\D‚marrage\

Stardock ObjectDock.lnk - C:\WINDOWS\BricoPacks\Vista Inspirat\ObjectDock\ObjectDock.exe [2005-02-21 14:56:00 1826885]

 

C:\Documents and Settings\All Users\Menu D‚marrer\Programmes\D‚marrage\

Lancement rapide d'Adobe Reader.lnk - C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2005-09-23 21:05:26 29696]

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon]

"UIHost"="LogonUI.EXE"

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%ProgramFiles%\\UBISOFT\\Splinter Cell Pandora Tomorrow\\pandora.exe"=

"%windir%\\system32\\sessmgr.exe"=

"C:\\Program Files\\Messenger\\msmsgs.exe"=

"C:\\Program Files\\utorrent\\utorrent.exe"=

"C:\\Program Files\\AOL 9.0\\aol.exe"=

"C:\\APPS\\Inventime\\my.exe"=

"C:\\Documents and Settings\\Lasher\\Mes documents\\jeux\\TrackMania Nations ESWC\\TmNationsESWC.exe"=

"C:\\Documents and Settings\\Lasher\\Mes documents\\jeux\\blobby volley\\volley.exe"=

"C:\\WINDOWS\\system32\\dplaysvr.exe"=

"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"=

"C:\\Program Files\\MSN Messenger\\livecall.exe"=

 

R2 MTC0007_STDSB;Scroll Bar Driver;C:\WINDOWS\system32\drivers\STDSB.sys [2005-08-25 14:00]

S2 STDSB;STDSB;C:\WINDOWS\system32\DRIVERS\STDSB.sys [2005-08-25 14:00]

S3 fbxusb;Carte réseau virtuelle FreeBox USB;C:\WINDOWS\system32\DRIVERS\fbxusb32.sys [2004-10-20 14:23]

S3 gUSBSTOi;gUSBSTOi;C:\DOCUME~1\Lasher\LOCALS~1\Temp\gUSBSTOi.sys []

S3 USBSTOR;Pilote de stockage de masse USB;C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2004-08-03 22:08]

 

.

**************************************************************************

 

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-03-09 20:47:54

Windows 5.1.2600 Service Pack 2 NTFS

 

Balayage processus cachés ...

 

Balayage caché autostart entries ...

 

Balayage des fichiers cachés ...

 

Scan terminé avec succès

Les fichiers cachés: 0

 

**************************************************************************

 

[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\mchInjDrv]

"ImagePath"="\??\C:\DOCUME~1\Lasher\LOCALS~1\Temp\mc22.tmp"

 

[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\MySqlInventime]

"ImagePath"="c:\mysql\bin\mysqld-max-nt MySqlInventime"

.

Temps d'accomplissement: 2008-03-09 20:49:05

ComboFix-quarantined-files.txt 2008-03-09 19:48:47

ComboFix2.txt 2008-03-09 17:28:29

.

2007-06-28 22:16:00 --- E O F ---

 

 

et voila le nouveau rapport HJT aprés réactivation du parefeu sp2(si j'ai bien réussi^^):

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 20:57:22, on 09/03/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\WINDOWS\system32\VTTimer.exe

C:\WINDOWS\system32\VTtrayp.exe

C:\WINDOWS\system32\drivers\STDSB.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

C:\Apps\Powercinema\PCMService.exe

C:\Program Files\MessengerPlus! 3\MsgPlus.exe

C:\Program Files\QuickTime\QTTask.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Documents and Settings\Lasher\Mes documents\divers\SuperCopier2 sur Duss\SuperCopier2.exe

C:\WINDOWS\BricoPacks\Vista Inspirat\ObjectDock\ObjectDock.exe

c:\program files\a-squared free\a2service.exe

C:\PROGRA~1\FICHIE~1\AOL\ACS\AOLacsd.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

c:\APPS\Powercinema\Kernel\TV\CLCapSvc.exe

C:\Program Files\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe

C:\Program Files\CyberLink\Shared Files\CLML_NTService\CLMLService.exe

c:\APPS\HIDSERVICE\HIDSERVICE.exe

C:\WINDOWS\system32\slmdmsr.exe

c:\APPS\Powercinema\Kernel\TV\CLSched.exe

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\System32\alg.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\explorer.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

C:\WINDOWS\system32\wbem\wmiprvse.exe

 

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O4 - HKLM\..\Run: [iMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32

O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC

O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName

O4 - HKLM\..\Run: [synTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [VTTimer] VTTimer.exe

O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe

O4 - HKLM\..\Run: [sTDSB] C:\WINDOWS\system32\drivers\STDSB.exe

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

O4 - HKLM\..\Run: [PCMService] "c:\Apps\Powercinema\PCMService.exe"

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [superCopier2.exe] C:\Documents and Settings\Lasher\Mes documents\divers\SuperCopier2 sur Duss\SuperCopier2.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Startup: Stardock ObjectDock.lnk = C:\WINDOWS\BricoPacks\Vista Inspirat\ObjectDock\ObjectDock.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll

O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\fr.htm

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab56907.cab

O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - c:\program files\a-squared free\a2service.exe

O23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\PROGRA~1\FICHIE~1\AOL\ACS\AOLacsd.exe

O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - c:\APPS\Powercinema\Kernel\TV\CLCapSvc.exe

O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - c:\APPS\Powercinema\Kernel\TV\CLSched.exe

O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Program Files\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe

O23 - Service: Generic Service for HID Keyboard Input Collections (GenericHidService) - Unknown owner - c:\APPS\HIDSERVICE\HIDSERVICE.exe

O23 - Service: MySqlInventime - Unknown owner - c:\mysql\bin\mysqld-max-nt.exe

O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe

O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe

O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slmdmsr.exe

 

--

End of file - 6824 bytes

 

 

 

 

voila je suis en train de télécharger antivir et de faire le reste!!

[dark-setsuna]

voila j'ai fini le scan avec antivir, voila le rapport et j'ai fait ce que tu as demandé avec ATFcleaner.

 

voila le rapport antivir:

 

 

 

AntiVir PersonalEdition Classic

Report file date: dimanche 9 mars 2008 21:36

 

Scanning for 1139141 virus strains and unwanted programs.

 

Licensed to: Avira AntiVir PersonalEdition Classic

Serial number: 0000149996-ADJIE-0001

Platform: Windows XP

Windows version: (Service Pack 2) [5.1.2600]

Username: Lasher

Computer name: LASHER

 

Version information:

BUILD.DAT : 270 15603 Bytes 19/09/2007 13:32:00

AVSCAN.EXE : 7.0.6.1 290856 Bytes 23/08/2007 13:16:29

AVSCAN.DLL : 7.0.6.0 49192 Bytes 16/08/2007 12:23:51

LUKE.DLL : 7.0.5.3 147496 Bytes 14/08/2007 15:32:47

LUKERES.DLL : 7.0.6.1 10280 Bytes 21/08/2007 12:35:20

ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18/07/2007 14:27:15

ANTIVIR1.VDF : 7.0.3.2 5447168 Bytes 07/03/2008 20:22:21

ANTIVIR2.VDF : 7.0.3.3 2048 Bytes 07/03/2008 20:22:21

ANTIVIR3.VDF : 7.0.3.6 29184 Bytes 09/03/2008 20:22:21

AVEWIN32.DLL : 7.6.0.73 3334656 Bytes 09/03/2008 20:22:22

AVWINLL.DLL : 1.0.0.7 14376 Bytes 26/02/2007 10:36:26

AVPREF.DLL : 7.0.2.2 25640 Bytes 18/07/2007 07:39:17

AVREP.DLL : 7.0.0.1 155688 Bytes 16/04/2007 13:16:24

AVPACK32.DLL : 7.6.0.3 360488 Bytes 09/03/2008 20:22:22

AVREG.DLL : 7.0.1.6 30760 Bytes 18/07/2007 07:17:06

AVARKT.DLL : 1.0.0.20 278568 Bytes 28/08/2007 12:26:33

AVEVTLOG.DLL : 7.0.0.20 86056 Bytes 18/07/2007 07:10:18

NETNT.DLL : 7.0.0.0 7720 Bytes 08/03/2007 11:09:42

RCIMAGE.DLL : 7.0.1.30 2342952 Bytes 07/08/2007 12:38:13

RCTEXT.DLL : 7.0.62.0 86056 Bytes 21/08/2007 12:50:37

SQLITE3.DLL : 3.3.17.1 339968 Bytes 23/07/2007 09:37:21

 

Configuration settings for the scan:

Jobname..........................: Local Hard Disks

Configuration file...............: c:\program files\avira\antivir personaledition classic\alldiscs.avp

Logging..........................: low

Primary action...................: interactive

Secondary action.................: ignore

Scan master boot sector..........: off

Scan boot sector.................: on

Boot sectors.....................: C:,

Scan memory......................: on

Process scan.....................: on

Scan registry....................: on

Search for rootkits..............: off

Scan all files...................: Intelligent file selection

Scan archives....................: on

Recursion depth..................: 20

Smart extensions.................: on

Macro heuristic..................: on

File heuristic...................: medium

 

Start of the scan: dimanche 9 mars 2008 21:36

 

The scan of running processes will be started

Scan process 'avscan.exe' - '1' Module(s) have been scanned

Scan process 'avcenter.exe' - '1' Module(s) have been scanned

Scan process 'explorer.exe' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'guard.exe' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'lsass.exe' - '1' Module(s) have been scanned

Scan process 'services.exe' - '1' Module(s) have been scanned

Scan process 'winlogon.exe' - '1' Module(s) have been scanned

Scan process 'csrss.exe' - '1' Module(s) have been scanned

Scan process 'smss.exe' - '1' Module(s) have been scanned

12 processes with 12 modules were scanned

 

Start scanning boot sectors:

Boot sector 'C:\'

[NOTE] No virus was found!

 

Starting to scan the registry.

The registry was scanned ( '35' files ).

 

 

Starting the file scan:

 

Begin scan in 'C:\' <HDD>

C:\pagefile.sys

[WARNING] The file could not be opened!

C:\Documents and Settings\Lasher\Local Settings\Application Data\Mozilla\Firefox\Profiles\zmz8dppk.default\Cache\55B4B867d01

[DETECTION] Contains detection pattern of the dropper DR/Tool.Reboot.F.59

[iNFO] The file was moved to '48164cb7.qua'!

C:\Program Files\Panda Security\NanoScan\Engine\psnflg.dll

[DETECTION] Is the Trojan horse TR/Agent.bux.1

[iNFO] The file was moved to '484254f6.qua'!

C:\QooBox\Quarantine\catchme2008-03-09_182441.10.zip

[0] Archive type: ZIP

--> efccyyv.dll

[DETECTION] Is the Trojan horse TR/Vundo.Gen

--> pmkji.dll

[DETECTION] Is the Trojan horse TR/Vundo.Gen

[iNFO] The file was moved to '48485563.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system\smss.exe.vir

[DETECTION] Is the Trojan horse TR/Proxy.Horst.Gen

[iNFO] The file was moved to '48475570.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system32\acbqwlig.dll.vir

[DETECTION] Is the Trojan horse TR/Vundo.Gen

[iNFO] The file was moved to '48365567.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system32\bjmhwxxi.dll.vir

[DETECTION] Is the Trojan horse TR/Vundo.Gen

[iNFO] The file was moved to '4841556e.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system32\dtocphpr.dll.vir

[DETECTION] Is the Trojan horse TR/Vundo.Gen

[iNFO] The file was moved to '48435578.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system32\efccyyv.dll.vir

[DETECTION] Is the Trojan horse TR/Trash.Gen

[iNFO] The file was moved to '4837556b.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system32\eugxokjh.dll.vir

[DETECTION] Is the Trojan horse TR/Vundo.Gen

[iNFO] The file was moved to '483b557a.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system32\flgjxwkl.dll.vir

[DETECTION] Is the Trojan horse TR/Vundo.Gen

[iNFO] The file was moved to '483b5571.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system32\fncfiamb.dll.vir

[DETECTION] Is the Trojan horse TR/Vundo.Gen

[iNFO] The file was moved to '48375574.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system32\hxneiadu.dll.vir

[DETECTION] Is the Trojan horse TR/Vundo.Gen

[iNFO] The file was moved to '4842557e.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system32\jlcqvxyb.dll.vir

[DETECTION] Is the Trojan horse TR/Vundo.Gen

[iNFO] The file was moved to '48375573.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system32\ntojnful.dll.vir

[DETECTION] Is the Trojan horse TR/Vundo.Gen

[iNFO] The file was moved to '4843557b.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system32\nwhskotd.dll.vir

[DETECTION] Is the Trojan horse TR/Vundo.Gen

[iNFO] The file was moved to '483c557e.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system32\nytkcehp.dll.vir

[DETECTION] Is the Trojan horse TR/Vundo.Gen

[iNFO] The file was moved to '48485581.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system32\pmkji.dll.vir

[DETECTION] Is the Trojan horse TR/Trash.Gen

[iNFO] The file was moved to '483f5575.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system32\qfkokilx.dll.vir

[DETECTION] Is the Trojan horse TR/Vundo.Gen

[iNFO] The file was moved to '483f556f.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system32\rooxjllb.dll.vir

[DETECTION] Is the Trojan horse TR/Vundo.Gen

[iNFO] The file was moved to '49e22451.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system32\spttahis.dll.vir

[DETECTION] Is the Trojan horse TR/Vundo.Gen

[iNFO] The file was moved to '4848557a.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system32\utxlewic.dll.vir

[DETECTION] Is the Trojan horse TR/Vundo.Gen

[iNFO] The file was moved to '484c557e.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system32\xewtkypw.dll.vir

[DETECTION] Is the Trojan horse TR/Vundo.Gen

[iNFO] The file was moved to '484b556f.qua'!

C:\QooBox\Quarantine\C\WINDOWS\system32\yvgixtvj.dll.vir

[DETECTION] Is the Trojan horse TR/Vundo.Gen

[iNFO] The file was moved to '483b5581.qua'!

C:\WINDOWS\system32\drivers\sptd.sys

[WARNING] The file could not be opened!

 

 

End of the scan: dimanche 9 mars 2008 22:45

Used time: 1:09:35 min

 

The scan has been done completely.

 

8426 Scanning directories

210450 Files were scanned

24 viruses and/or unwanted programs were found

0 Files were classified as suspicious:

0 files were deleted

0 files were repaired

23 files were moved to quarantine

0 files were renamed

2 Files cannot be scanned

210426 Files not concerned

7854 Archives were scanned

2 Warnings

0 Notes

 

 

 

voila pour ewido je le ferait demain j'ai pas le temps maintenant!!

 

et une petite question par rapport a:

• effectue un scan avec antivir que tu possedes apres réinstalle, poste aussi son rapport avec un nouveau rapport HJT+ rapport ewido

 

il faut que je refasse des rapport antivir et HJT???ou c'est ceux que j'ai fait precedement??

 

voila encore merci pour ton aide!!!

[Apollo]

Soir dark-setsuna, Angélique

 

avec un nouveau rapport HJT+ rapport ewido

 

Scan Ewido, sauver son rapport puis cliquer sur Remove Infections.

 

Ensuite, Nouveau log Hijackthis et poster les deux rapports

 

@+

[angelique]

voila et vide ta quarantaine d'antivir+desinstalle ComboFix de cette maniere:

 

• copie\colle dans executer et valide par "enter" la ligne ci dessous:

 

ComboFix /u

 

poste le rapport ewido c'est tout , ton rapport HJT est ok.

 

• rassure moi que "EnableFirewall"=1 dans le chemin regedit ci dessous:

 

[HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]

"EnableFirewall"=1

 

• * Fais un scan en ligne Kaspersky avec IE

http://www.kaspersky.com/kos/eng/partner/d...kavwebscan.html

* Clique sur Accept

* Une barre jaune va te demander si tu acceptes d'installer le Kavwebscan_Unicode.cab, installe l'Active X.

* clique une nouvelle fois sur "Accept"

* Les bases de mises à jour vont s'installer, patiente un moment

* Clique sur Next.

* Clique sur My Computer, le scan se met en route; attends la fin du scan sans fermer la fenêtre sinon il s'arrêtera.

 

tuto et poste le rapport: http://forum.pcastuces.com/sujet.asp?f=25&s=37641

[dark-setsuna]

j'ai effectué un scan avec ewido mais je n'est pas pu avoir rapport car il n'a rien detecté!!

 

pendant le scan antivir en revanche a detecte beaucoup de fichier infesté(or unwanted^^) que j'ai placé en quarantaine!!!

 

j'ai desinstaller combofix comme indiqué et nettoyé ma quarantaine antivir(en laissé les obje detecté pendant le scan ewido)

 

les fichier detecté par antivir pendant le dcan ewido proviennent de:

C:\System Volume Information\_restore{plein de chiffre et de lettres^^}\RP(series de chiffre et lettre).exe ou .dll

 

voila il faut que je les del aussi??? que je refasse un rapport de HJT ou antivir???

 

pour:

• rassure moi que "EnableFirewall"=1 dans le chemin regedit ci dessous:

 

[HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]

"EnableFirewall"=1

comment je tassure que c'est le cas??? dans regedit a l'emplacement ci dessus j'ai: (nom)EnableFirewall (type)REG_DWORD (données)0x00000001(1)

 

je lance de suite le scan kaspersky