Résolu

aimrock · le 20 août 2006

Bonjour à tous,

C'est la première fois que j'écris sur un forum. Voici donc mon problème:

Suite à une invasion de pop up type "crazy girl" - "system doctor", "instant acces" et l'insistance de mon antivirus pour me signaler un fichier nommé "egaccess4_1064.dll", j'ai parcouru les forum pour savoir comment eradiquer le problème. J'ai donc suivi la procédure du forum Zébulon (pré-nettoyage d'un PC infecté, procédure pré-HijackThis). Voic donc comme décrit dans la procédure mon rapport Hijack This :

Logfile of HijackThis v1.99.1

Scan saved at 18:36:03, on 20/08/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Ahead\Nero6\InCD\InCDsrv.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\PROGRA~1\AVGt\avgamsvr.exe

C:\PROGRA~1\AVGt\avgupsvc.exe

C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE

C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

C:\WINDOWS\System32\tcpsvcs.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\WF2K.EXE

C:\Program Files\Logitech\iTouch\iTouch.exe

C:\MOUSE\Amoumain.exe

C:\Program Files\Ahead\Nero6\InCD\InCD.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\WINDOWS\Logi_MwX.Exe

C:\Program Files\Accélérateur de débit Alice\AccAlice.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\Adobe\Acrobat 7.0\Setup Files\Reader\reader_sl.exe

C:\PROGRA~1\FICHIE~1\Nokia\MPAPI\MPAPI3s.exe

C:\Program Files\Fichiers communs\PCSuite\Services\ServiceLayer.exe

C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.finance.yahoo.com/m5?s=CAD&t...amp;a=1&c=1

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.tele2internet.fr

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer - fourni par Tele2

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\Setup Files\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {2520BA45-3D97-4864-82FF-F47F951727BA} - (no file)

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: (no name) - {9B053E00-78D3-47AE-B763-60FF36FF2886} - (no file)

O2 - BHO: Url Catcher - {CE31A1F7-3D90-4874-8FBE-A5D97F8BC8F1} - (no file)

O4 - HKLM\..\Run: [WinFast2KLoadDefault] rundll32.exe wf2kcpl.dll,DllLoadDefaultSettings

O4 - HKLM\..\Run: [WinFoxV2] C:\WINDOWS\System32\WF2K.EXE

O4 - HKLM\..\Run: [TiscaliParam] C:\Program Files\Dialer Tiscali\bootparam.exe

O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe

O4 - HKLM\..\Run: [Netcom] "C:\Program Files\Compteur internet\Compteur internet\Netcom\Netcom.exe"

O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Program Files\CloneCD\ElbyCheck.exe" /L ElbyCDFL

O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\AVGt\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [WheelMouse] c:\MOUSE\Amoumain.exe

O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [inCD] C:\Program Files\Ahead\Nero6\InCD\InCD.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe

O4 - HKLM\..\Run: [ClamWin] "C:\Program Files\ClamWin\ClamWin\bin\ClamTray.exe" --logon

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [slipStream] "C:\Program Files\Accélérateur de débit Alice\AccAlice.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [updateMgr] "C:\Program Files\Adobe\Acrobat 7.0\Setup Files\Reader\AdobeUpdateManager.exe" AcRdB7_0_7 -reboot 1

O4 - HKCU\..\Run: [PcSync] C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog

O4 - Global Startup: Accélérateur de débit Alice.lnk = ?

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Setup Files\Reader\reader_sl.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra button: Judy - {FB5F1910-F110-11d2-BB9E-00C04F795684} - http://judy.ht.st (file missing)

O9 - Extra 'Tools' menuitem: Judy - {FB5F1910-F110-11d2-BB9E-00C04F795684} - http://judy.ht.st (file missing)

O14 - IERESET.INF: START_PAGE_URL=http://www.tele2internet.fr

O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure...teleir_cert.cab

O16 - DPF: {00000000-CDDC-0704-0B53-2C8830E9FAEC} (IELoaderCtl Class) - http://install.global-netcom.de/ieloader.cab

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {018B7EC3-EECA-11D3-8E71-0000E82C6C0D} (Installer Class) - http://www.xxxtoolbar.com/ist/softwares/v3.0/0006.cab

O16 - DPF: {08BBAF4C-4A89-471C-9552-3694A7F2D081} (LoginCtl Class) - http://www.smart-clip.com/SmartLogin/SmartLogin.cab

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwe...up1.0.0.8-2.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://212.157.152.82/AxisCamControl.ocx

O16 - DPF: {92CA8ACC-4E99-4A2A-93F1-B2C5CADC8613} (OPInstall Control) - http://a14.g.akamai.net/f/14/7141/144000s/...fr_4.1.0.18.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

O16 - DPF: {EFB22865-F3BC-4309-ADFA-C8E078A7F762} (SysWebTelecomInt Class) - http://www.sponsoradulto.com/fr/SysWebTelecom.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\AVGt\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\AVGt\avgupsvc.exe

O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE

O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Program Files\Ahead\Nero6\InCD\InCDsrv.exe

O23 - Service: InCD Helper (read only) (InCDsrvR) - Nero AG - C:\Program Files\Ahead\InCD\InCDsrv.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

O23 - Service: ServiceLayer - Nokia. - C:\Program Files\Fichiers communs\PCSuite\Services\ServiceLayer.exe

J'espère avoir été assez clair. Je vous remercie par avance de votre analyse, je ne pense pas pouvoir revenir avant le WE prochain.

Bonne semaine à tous

Merci encore

Modifié le 3 septembre 2006 par aimrock

bruce lee · le 20 août 2006

Bonjour aimrock et bienvenue sur zebulon

analyse en cours, retour dans 15 minutes

bruce lee · le 20 août 2006

re,

Tu possedes deux antivirus AVG et antivir, il te faut en supprimer un des deux.

Si durant la procedure ci bas, il y a des etapes que tu n'as pas reussi a faire, merci de

continuer la procedure jusqu'au bout et de les signaler dans ta prochaine reponse.

1/Télécharge http://www.ewido.net/en/download/ Ewido anti-spyware

Lance Ewido et clique sur le bouton Update (barre d'outils - au haut). Sous Manual Update clique Start update.

Tu verras ceci juste au bas, lorsque la mise à jour sera complétée : "Update successful"

Ferme Ewido. Ne pas le lancer tout de suite.

Télécharge Blacklight (de F-Secure); clique sur "I ACCEPT" au bas de la page. Sauvegarde le sur ton Bureau.

2/demarre en mode sans echec http://www.sosordi.net/Faq/Faq.2.html

3/lance hijackthis en cliquant sur do a scan system only coche ces lignes:

O2 - BHO: (no name) - {2520BA45-3D97-4864-82FF-F47F951727BA} - (no file)

O2 - BHO: (no name) - {9B053E00-78D3-47AE-B763-60FF36FF2886} - (no file)

O2 - BHO: Url Catcher - {CE31A1F7-3D90-4874-8FBE-A5D97F8BC8F1} - (no file)

O16 - DPF: {00000000-CDDC-0704-0B53-2C8830E9FAEC} (IELoaderCtl Class) - http://install.global-netcom.de/ieloader.cab

O16 - DPF: {018B7EC3-EECA-11D3-8E71-0000E82C6C0D} (Installer Class) - http://www.xxxtoolbar.com/ist/softwares/v3.0/0006.cab

O16 - DPF: {08BBAF4C-4A89-471C-9552-3694A7F2D081} (LoginCtl Class) - http://www.smart-clip.com/SmartLogin/SmartLogin.cab

O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwe...up1.0.0.8-2.cab

O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://212.157.152.82/AxisCamControl.ocx

O16 - DPF: {EFB22865-F3BC-4309-ADFA-C8E078A7F762} (SysWebTelecomInt Class) - http://www.sponsoradulto.com/fr/SysWebTelecom.cab

Ferme toutes les fenêtres ouvertes sauf Hijackthis et clique sur fix checked

4/ Du mode Sans Échec, lance Ewido et clique sur le bouton Scanner (de la barre d'outils) et ensuite clique sur Complete System Scan. Le scan prendra un certain temps, donc sois patient.

Ewido affichera une liste des fichiers détectés, sur la gauche. En fin de scan, l'outil appliquera les "Actions" à appliquer automatiquement. Clique sur le bouton Apply all actions. Ewido affichera "All actions have been applied" du côté droit.

Clique sur "Save Report", puis "Save Report As". Ceci génère un rapport en fichier texte. Assure-toi de le sauvegarder dans un endroit sûr (sur ton Bureau, par exemple).

5/redemarre en mode normal

6/ Double-clique blbeta.exe et accepte la licence; clique Scan puis Next

Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres).

Copie et colle le contenu de ce rapport dans ta prochaine réponse. NE PAS choisir l'option "Rename" de suite : nous devons analyser le rapport, car des fichiers légitimes peuvent être présents, tel wbemtest.exe

7/poste aussi le rapport d'ewido ainsi qu'un nouveau log hijackthis.

bon courage, et si tu as la moindre question n'hesite surtout pas

@+

aimrock · le 21 août 2006

Bonjour aimrock et bienvenue sur zebulon

analyse en cours, retour dans 15 minutes

Merci beaucoup de ta réponse aussi rapide.

je ne suis pas chez moi cette semaine mais j'essaie ca le WE prochain.

A bientôt.

aimrock · le 26 août 2006

Hello !

Ca y est, j'ai essayé d'appliqué à la lettre tous ce qui était décrit dans ta réponse.

Voici donc les différents rapports :

RAPPORT BLACKLIGHT:

08/26/06 11:04:33 [info]: BlackLight Engine 1.0.46 initialized

08/26/06 11:04:33 [info]: OS: 5.1 build 2600 (Service Pack 2)

08/26/06 11:04:33 [Note]: 7019 4

08/26/06 11:04:33 [Note]: 7005 0

08/26/06 11:04:36 [Note]: 7006 0

08/26/06 11:04:36 [Note]: 7011 288

08/26/06 11:04:37 [Note]: 7026 0

08/26/06 11:04:37 [Note]: 7024 3

08/26/06 11:04:37 [info]: Hidden process: C:\windows\system32\rudotig.exe

08/26/06 11:04:37 [Note]: FSRAW library version 1.7.1019

08/26/06 11:10:11 [info]: Hidden file: c:\WINDOWS\Prefetch\RUDOTIG.EXE-0565A862.pf

08/26/06 11:10:11 [Note]: 10002 1

08/26/06 11:10:49 [info]: Hidden file: c:\WINDOWS\system32\rudotig.dat

08/26/06 11:10:49 [Note]: 10002 1

08/26/06 11:10:52 [info]: Hidden file: C:\windows\system32\rudotig.exe

08/26/06 11:10:52 [Note]: 10002 1

08/26/06 11:10:59 [info]: Hidden file: c:\WINDOWS\system32\rudotig_nav.dat

08/26/06 11:10:59 [Note]: 10002 1

08/26/06 11:10:59 [info]: Hidden file: c:\WINDOWS\system32\rudotig_navps.dat

08/26/06 11:10:59 [Note]: 10002 1

08/26/06 11:12:51 [Note]: 7007 0

-------------------------------------------------------------------------------------------------

aimrock · le 26 août 2006

Je continue...

RAPPORT EWIDO :

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

e w i d o a n t i - s p y w a r e - S c a n R e p o r t

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

+ C r e a t e d a t : 1 1 : 0 0 : 0 6 2 6 / 0 8 / 2 0 0 6

+ S c a n r e s u l t :

C : \ D o c u m e n t s a n d S e t t i n g s \ F R E D \ L o c a l S e t t i n g s \ T e m p o r a r y I n t e r n e t F i l e s \ C o n t e n t . I E 5 \ G X B W Q G L 1 \ e g a c c e s s 4 _ 1 0 6 4 _ X P [ 1 ] . c a b / e g a c c e s s 4 _ 1 0 6 4 . d l l - > D i a l e r . E g r o u p D i a l . x : C l e a n e d .

C : \ P r o g r a m F i l e s \ D i a l e r T i s c a l i \ D i a l e r . e x e - > H e u r i s t i c . W i n 3 2 . D i a l e r : I g n o r e d .

C : \ P r o g r a m F i l e s \ D i a l e r T i s c a l i \ d i a l e r . b a k - > H e u r i s t i c . W i n 3 2 . D i a l e r : I g n o r e d .

C : \ D o c u m e n t s a n d S e t t i n g s \ F R E D \ C o o k i e s \ a y m e r i c @ a t d m t [ 1 ] . t x t - > T r a c k i n g C o o k i e . A t d m t : C l e a n e d .

C : \ D o c u m e n t s a n d S e t t i n g s \ F R E D \ C o o k i e s \ a y m e r i c @ d o u b l e c l i c k [ 1 ] . t x t - > T r a c k i n g C o o k i e . D o u b l e c l i c k : C l e a n e d .

C : \ D o c u m e n t s a n d S e t t i n g s \ F R E D \ C o o k i e s \ a y m e r i c @ a s 1 . f a l k a g [ 1 ] . t x t - > T r a c k i n g C o o k i e . F a l k a g : C l e a n e d .

: : R e p o r t e n d

--------------------------------------------------------------------------------------------------------------------------

Et enfin le nouveau log HiJack :

Logfile of HijackThis v1.99.1

Scan saved at 11:13:33, on 26/08/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Ahead\Nero6\InCD\InCDsrv.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE

C:\Program Files\ewido anti-spyware 4.0\guard.exe

C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

C:\WINDOWS\System32\tcpsvcs.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\WF2K.EXE

C:\Program Files\Logitech\iTouch\iTouch.exe

C:\Program Files\Compteur internet\Compteur internet\Netcom\Netcom.exe

C:\MOUSE\Amoumain.exe

C:\Program Files\Ahead\Nero6\InCD\InCD.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\WINDOWS\Logi_MwX.Exe

C:\Program Files\Accélérateur de débit Alice\AccAlice.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\ewido anti-spyware 4.0\ewido.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe

C:\Program Files\Accélérateur de débit Alice\AccAlice-gui.exe

C:\PROGRA~1\FICHIE~1\Nokia\MPAPI\MPAPI3s.exe

C:\Program Files\Fichiers communs\PCSuite\Services\ServiceLayer.exe

C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.finance.yahoo.com/m5?s=CAD&t...amp;a=1&c=1

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.tele2internet.fr

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer - fourni par Tele2

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\Setup Files\ActiveX\AcroIEHelper.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O4 - HKLM\..\Run: [WinFast2KLoadDefault] rundll32.exe wf2kcpl.dll,DllLoadDefaultSettings

O4 - HKLM\..\Run: [WinFoxV2] C:\WINDOWS\System32\WF2K.EXE

O4 - HKLM\..\Run: [TiscaliParam] C:\Program Files\Dialer Tiscali\bootparam.exe

O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe

O4 - HKLM\..\Run: [Netcom] "C:\Program Files\Compteur internet\Compteur internet\Netcom\Netcom.exe"

O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Program Files\CloneCD\ElbyCheck.exe" /L ElbyCDFL

O4 - HKLM\..\Run: [WheelMouse] c:\MOUSE\Amoumain.exe

O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [inCD] C:\Program Files\Ahead\Nero6\InCD\InCD.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [slipStream] "C:\Program Files\Accélérateur de débit Alice\AccAlice.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [!ewido] "C:\Program Files\ewido anti-spyware 4.0\ewido.exe" /minimized

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [updateMgr] "C:\Program Files\Adobe\Acrobat 7.0\Setup Files\Reader\AdobeUpdateManager.exe" AcRdB7_0_7 -reboot 1

O4 - HKCU\..\Run: [PcSync] C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog

O4 - Global Startup: Accélérateur de débit Alice.lnk = ?

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Setup Files\Reader\reader_sl.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra button: Judy - {FB5F1910-F110-11d2-BB9E-00C04F795684} - http://judy.ht.st (file missing)

O9 - Extra 'Tools' menuitem: Judy - {FB5F1910-F110-11d2-BB9E-00C04F795684} - http://judy.ht.st (file missing)

O14 - IERESET.INF: START_PAGE_URL=http://www.tele2internet.fr

O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure...teleir_cert.cab

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {92CA8ACC-4E99-4A2A-93F1-B2C5CADC8613} (OPInstall Control) - http://a14.g.akamai.net/f/14/7141/144000s/...fr_4.1.0.18.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE

O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe

O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Program Files\Ahead\Nero6\InCD\InCDsrv.exe

O23 - Service: InCD Helper (read only) (InCDsrvR) - Nero AG - C:\Program Files\Ahead\InCD\InCDsrv.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

O23 - Service: ServiceLayer - Nokia. - C:\Program Files\Fichiers communs\PCSuite\Services\ServiceLayer.exe

-------------------------------------------------------------------------------------------------------------------------

Merci pour ton ananlyse.

A bientôt

bruce lee · le 26 août 2006

salut aimrock,

-Télécharge la dernière version de Killbox ici=>

http://www.downloads.subratam.org/KillBox.zip

-Redémarre en mode sans échec pour ne pas être gêné par un résident.

-Lance Pocketkillbox,choisis l'option Delete on reboot

fais un clique gauche sur le bouton all files

Copie le chemin de fichier entier, en gras ci-bas, et colle le dans la boîte Full Path of File to Delete :

C:\windows\system32\rudotig.exe

c:\WINDOWS\Prefetch\RUDOTIG.EXE-0565A862.pf

c:\WINDOWS\system32\rudotig.dat

c:\WINDOWS\system32\rudotig_nav.dat

c:\WINDOWS\system32\rudotig_navps.dat

-Cliquer sur la croix blanche sur fond rouge:

« File will be Deleted on Next Reboot » répondre OUI

« File will be Removed on Reboot, Do you want to reboot now ? » répondre OUI

supprime ensuite ce dossier C:\ !KillBox

Refais un scan avec blacklight et poste le rapport ainsi qu'un nouveau log hijackthis s'il te plait.

@+

aimrock · le 26 août 2006

Re,

Merci pour la rapidité !!!

Voici donc le rapport BlackLight:

08/26/06 17:31:59 [info]: BlackLight Engine 1.0.46 initialized

08/26/06 17:31:59 [info]: OS: 5.1 build 2600 (Service Pack 2)

08/26/06 17:31:59 [Note]: 7019 4

08/26/06 17:31:59 [Note]: 7005 0

08/26/06 17:32:21 [Note]: 7006 0

08/26/06 17:32:21 [Note]: 7011 676

08/26/06 17:32:21 [Note]: 7026 0

08/26/06 17:32:29 [Note]: FSRAW library version 1.7.1019

08/26/06 17:39:09 [Note]: 2000 1006

08/26/06 17:40:58 [Note]: 7007 0

----------------------------------------------------------------------------

et le rapport HiJack:

Logfile of HijackThis v1.99.1

Scan saved at 17:41:35, on 26/08/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Ahead\Nero6\InCD\InCDsrv.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE

C:\Program Files\ewido anti-spyware 4.0\guard.exe

C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

C:\WINDOWS\System32\tcpsvcs.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\WF2K.EXE

C:\Program Files\Logitech\iTouch\iTouch.exe

C:\Program Files\Compteur internet\Compteur internet\Netcom\Netcom.exe

C:\MOUSE\Amoumain.exe

C:\Program Files\Ahead\Nero6\InCD\InCD.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\WINDOWS\Logi_MwX.Exe

C:\Program Files\Accélérateur de débit Alice\AccAlice.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\ewido anti-spyware 4.0\ewido.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe

C:\Program Files\Accélérateur de débit Alice\AccAlice-gui.exe

C:\PROGRA~1\FICHIE~1\Nokia\MPAPI\MPAPI3s.exe

C:\Program Files\Fichiers communs\PCSuite\Services\ServiceLayer.exe

C:\Program Files\Dialer Tiscali\Dialer.exe

C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\MMDiag.exe

C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mim.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\WINDOWS\system32\NOTEPAD.EXE

C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.finance.yahoo.com/m5?s=CAD&t...amp;a=1&c=1

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.tele2internet.fr

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer - fourni par Tele2

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:7500

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\Setup Files\ActiveX\AcroIEHelper.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O4 - HKLM\..\Run: [WinFast2KLoadDefault] rundll32.exe wf2kcpl.dll,DllLoadDefaultSettings

O4 - HKLM\..\Run: [WinFoxV2] C:\WINDOWS\System32\WF2K.EXE

O4 - HKLM\..\Run: [TiscaliParam] C:\Program Files\Dialer Tiscali\bootparam.exe

O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe

O4 - HKLM\..\Run: [Netcom] "C:\Program Files\Compteur internet\Compteur internet\Netcom\Netcom.exe"

O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Program Files\CloneCD\ElbyCheck.exe" /L ElbyCDFL

O4 - HKLM\..\Run: [WheelMouse] c:\MOUSE\Amoumain.exe

O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [inCD] C:\Program Files\Ahead\Nero6\InCD\InCD.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [slipStream] "C:\Program Files\Accélérateur de débit Alice\AccAlice.exe"

O4 - HKLM\..\Run: [rudotig] c:\windows\system32\rudotig.exe rudotig

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [!ewido] "C:\Program Files\ewido anti-spyware 4.0\ewido.exe" /minimized

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [updateMgr] "C:\Program Files\Adobe\Acrobat 7.0\Setup Files\Reader\AdobeUpdateManager.exe" AcRdB7_0_7 -reboot 1

O4 - HKCU\..\Run: [PcSync] C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog

O4 - Global Startup: Accélérateur de débit Alice.lnk = ?

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Setup Files\Reader\reader_sl.exe

O8 - Extra context menu item: Afficher l'image originale. - res://C:\Program Files\Accélérateur de débit Alice\gui_resource.dll/328

O8 - Extra context menu item: Afficher toutes les images originales. - res://C:\Program Files\Accélérateur de débit Alice\gui_resource.dll/327

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra button: Judy - {FB5F1910-F110-11d2-BB9E-00C04F795684} - http://judy.ht.st (file missing)

O9 - Extra 'Tools' menuitem: Judy - {FB5F1910-F110-11d2-BB9E-00C04F795684} - http://judy.ht.st (file missing)

O14 - IERESET.INF: START_PAGE_URL=http://www.tele2internet.fr

O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure...teleir_cert.cab

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {92CA8ACC-4E99-4A2A-93F1-B2C5CADC8613} (OPInstall Control) - http://a14.g.akamai.net/f/14/7141/144000s/...fr_4.1.0.18.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{E6EDE442-BCE2-49F6-95BF-C508C4CDE99E}: NameServer = 213.36.80.1