[Résolu] Rapport hijackthis

[ALOHAAAA-44]

Bonjour,

 

Je tente de récupérer un PC sous XP, qui semble un peu infesté par des troyens qui reviennent sans cesse après nettoyage par avast.

 

Voici quelques éléments du problème :

 

Delsim dialer est présent et se réinstalle sans cesse...

 

J'ai fait l'inventaire des services en cours avec MSCONFIG et j'ai arrêté "WindowsNT Session manager" dont l'origine était donnée comme "inconnue".

 

Par ailleurs, au chargement du Systeme, une fenêtre d'erreur "exporer.exe" signal que le lecteur A: est vide... je me demande bien quel est cet accès.

 

Enfin, de loin en loin, "Autorité système" Windows arrête le PC parce que "le RPC" s'est terminé pour une raison inconnue

 

Qu'en pensez-vous ?

 

 

Voici le dernier rapport Hijack ....

 

 

Logfile of HijackThis v1.99.1

Scan saved at 19:23:09, on 17/03/2007

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\System32\VTTimer.exe

C:\Program Files\Analog Devices\SoundMAX\SMTray.exe

C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe

C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe

C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe

C:\Program Files\QuickTime\qttask.exe

C:\WINDOWS\System32\winamp.exe

C:\WINDOWS\System32\ctfmon.exe

C:\WINDOWS\System32\WgaTray.exe

C:\Program Files\Fichiers communs\Teleca Shared\CapabilityManager.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Program Files\Fichiers communs\Teleca Shared\Generic.exe

C:\Program Files\Sony Ericsson\Mobile2\Mobile Phone Monitor\epmworker.exe

C:\WINDOWS\System32\qpkrsiic.exe

C:\WINDOWS\System32\wuauclt.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Program Files\Lavasoft\Ad-Aware SE Personal\Ad-Aware.exe

C:\WINDOWS\SoftwareDistribution\Download\f697044d3195503aab7466ff13289a88\update\update.exe

C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.neuf.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.neuf.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {3E15C94A-07D7-450A-B004-CB8CD1C7D100} - C:\WINDOWS\System32\gebyv.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST1.03.0000.1005\en-xu\stmain.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar1.02.5000.1021\fr\msntb.dll

O2 - BHO: (no name) - {E141CDC5-18F7-408A-84C3-17614B543415} - C:\WINDOWS\System32\fccdcab.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar1.02.5000.1021\fr\msntb.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [VTTimer] VTTimer.exe

O4 - HKLM\..\Run: [smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe

O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe"

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [sony Ericsson PC Suite] "C:\Program Files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions

O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [WinMsg] C:\WINDOWS\winmsgr.exe

O4 - HKLM\..\Run: [Winamp Agent] C:\WINDOWS\System32\winamp.exe

O4 - HKLM\..\Run: [Advanced DHTML Enable] C:\WINDOWS\System32\qpkrsiic.exe

O4 - HKLM\..\RunServices: [Windows Update Firewall System] winmsfws.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - Global Startup: Accélérateur de démarrage AutoCAD.lnk = C:\Program Files\Fichiers communs\Autodesk Shared\acstart16.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O8 - Extra context menu item: &eBay Search - res://C:\Program Files\eBay\eBay Toolbar2\eBayTb.dll/RCSearch.html

O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {A1F2F2CE-06AF-483C-9F12-D3BAA72477D6} (BatchDownloader Class) - http://appdirectory.messenger.msn.com/AppD...ap/DigWXMSN.cab

O16 - DPF: {C942A79B-01ED-47EE-9DAA-1EFAA70DAB8E} (VacPro.int_ver22b) - http://www.muiegaozsicur.com/ocx/intES_ver22b.CAB

O20 - Winlogon Notify: fccdcab - C:\WINDOWS\SYSTEM32\fccdcab.dll

O20 - Winlogon Notify: gebyv - C:\WINDOWS\System32\gebyv.dll

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - C:\Program Files\Fichiers communs\Autodesk Shared\Service\AdskScSrv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

Modifié le 20 avril 2007 par ALOHAAAA-44

[bruce lee]

Bonjour,

 

J'ai fait l'inventaire des services en cours avec MSCONFIG et j'ai arrêté "WindowsNT Session manager" dont l'origine était donnée comme "inconnue".

 

redemarre le même si il est surement néfaste.

 

Télécharge VundoFix.exe (par Atribune) sur ton Bureau.

• Double-clique VundoFix.exe afin de le lancer
  
• Clique sur le bouton Scan for Vundo
  
• Lorsque le scan est complété, clique sur le bouton Remove Vundo
  
• Une invite te demandera si tu veux supprimer les fichiers, clique YES
  
• Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers
  
• Tu verras une invite qui t'annonce que ton PC va redémarrer; clique OK
  
• Copie/colle le contenu du rapport situé dans C:\vundofix.txt ainsi qu'un nouveau rapport HijackThis! dans ta prochaine réponse
  

Note: Il est possible que VundoFix soit confronté à un fichier qu'il ne peut supprimer. Si tel est le cas, l'outil se lancera au prochain redémarrage; il faut simplement suivre les instructions ci-haut, à partir de "clique sur le bouton Scan for Vundo".

[ALOHAAAA-44]

Bonjour,

redemarre le même si il est surement néfaste.

 

Télécharge VundoFix.exe (par Atribune) sur ton Bureau.

• Double-clique VundoFix.exe afin de le lancer
  
• Clique sur le bouton Scan for Vundo
  
• Lorsque le scan est complété, clique sur le bouton Remove Vundo
  
• Une invite te demandera si tu veux supprimer les fichiers, clique YES
  
• Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers
  
• Tu verras une invite qui t'annonce que ton PC va redémarrer; clique OK
  
• Copie/colle le contenu du rapport situé dans C:\vundofix.txt ainsi qu'un nouveau rapport HijackThis! dans ta prochaine réponse
  

Note: Il est possible que VundoFix soit confronté à un fichier qu'il ne peut supprimer. Si tel est le cas, l'outil se lancera au prochain redémarrage; il faut simplement suivre les instructions ci-haut, à partir de "clique sur le bouton Scan for Vundo".

 

 

Ok je fais cet opération dès demain sur le PC incriminé

 

(merci au modérateur d'avoir remis mon post dans le bon topic !!)

[ALOHAAAA-44]

Bonjour,

redemarre le même si il est surement néfaste.

 

Télécharge VundoFix.exe (par Atribune) sur ton Bureau.

• Double-clique VundoFix.exe afin de le lancer
  
• Clique sur le bouton Scan for Vundo
  
• Lorsque le scan est complété, clique sur le bouton Remove Vundo
  
• Une invite te demandera si tu veux supprimer les fichiers, clique YES
  
• Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers
  
• Tu verras une invite qui t'annonce que ton PC va redémarrer; clique OK
  
• Copie/colle le contenu du rapport situé dans C:\vundofix.txt ainsi qu'un nouveau rapport HijackThis! dans ta prochaine réponse
  

Note: Il est possible que VundoFix soit confronté à un fichier qu'il ne peut supprimer. Si tel est le cas, l'outil se lancera au prochain redémarrage; il faut simplement suivre les instructions ci-haut, à partir de "clique sur le bouton Scan for Vundo".

 

 

Rebonjour,

 

J'ai donc rétabli le service "WindowsNT Session manager" et rebooté.

 

J'ai ensuite exécuté VundoFix (qui a éliminé qqs fichiers)

Voilà le rapport vundo :

 

------------------------------------------------------------------------------

VundoFix V6.3.6

 

Checking Java version...

 

Java version is 1.5.0.6

 

Java version is 1.5.0.9

 

Scan started at 01:11:20 13/02/2007

 

Listing files found while scanning....

 

 

VundoFix V6.3.6

 

Checking Java version...

 

Java version is 1.5.0.6

 

Java version is 1.5.0.9

 

Scan started at 01:18:16 13/02/2007

 

Listing files found while scanning....

 

 

 

Beginning removal...

 

Performing Repairs to the registry.

Done!

 

VundoFix V6.3.6

 

Checking Java version...

 

Java version is 1.5.0.6

 

Java version is 1.5.0.9

 

Scan started at 18:07:07 18/03/2007

------------------------------------------------------------------------------

 

 

 

 

 

et le rapport Hijack

 

------------------------------------------------------------------------------

 

Logfile of HijackThis v1.99.1

Scan saved at 18:18:09, on 18/03/2007

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\smss.exe

C:\WINDOWS\System32\VTTimer.exe

C:\Program Files\Analog Devices\SoundMAX\SMTray.exe

C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe

C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe

C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe

C:\Program Files\QuickTime\qttask.exe

C:\WINDOWS\System32\winamp.exe

C:\WINDOWS\System32\qpkrsiic.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Fichiers communs\Teleca Shared\CapabilityManager.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\WINDOWS\System32\WgaTray.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Fichiers communs\Teleca Shared\Generic.exe

C:\Program Files\Sony Ericsson\Mobile2\Mobile Phone Monitor\epmworker.exe

C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.neuf.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.neuf.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST1.03.0000.1005\en-xu\stmain.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar1.02.5000.1021\fr\msntb.dll

O2 - BHO: (no name) - {C12827A3-1859-4838-BBED-262E4A799545} - C:\WINDOWS\System32\gebyv.dll (file missing)

O2 - BHO: (no name) - {E141CDC5-18F7-408A-84C3-17614B543415} - C:\WINDOWS\System32\fccdcab.dll (file missing)

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar1.02.5000.1021\fr\msntb.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [VTTimer] VTTimer.exe

O4 - HKLM\..\Run: [smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe

O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe"

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [sony Ericsson PC Suite] "C:\Program Files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions

O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [WinMsg] C:\WINDOWS\winmsgr.exe

O4 - HKLM\..\Run: [Winamp Agent] C:\WINDOWS\System32\winamp.exe

O4 - HKLM\..\Run: [Advanced DHTML Enable] C:\WINDOWS\System32\qpkrsiic.exe

O4 - HKLM\..\RunServices: [Windows Update Firewall System] winmsfws.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - Global Startup: Accélérateur de démarrage AutoCAD.lnk = C:\Program Files\Fichiers communs\Autodesk Shared\acstart16.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O8 - Extra context menu item: &eBay Search - res://C:\Program Files\eBay\eBay Toolbar2\eBayTb.dll/RCSearch.html

O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {A1F2F2CE-06AF-483C-9F12-D3BAA72477D6} (BatchDownloader Class) - http://appdirectory.messenger.msn.com/AppD...ap/DigWXMSN.cab

O16 - DPF: {C942A79B-01ED-47EE-9DAA-1EFAA70DAB8E} (VacPro.int_ver22b) - http://www.muiegaozsicur.com/ocx/intES_ver22b.CAB

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - C:\Program Files\Fichiers communs\Autodesk Shared\Service\AdskScSrv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: Windows NT-Session Manager - Unknown owner - C:\WINDOWS\smss.exe

 

------------------------------------------------------------------------------

 

 

 

(il reste plusieurs fichiers exécutables "internet dialer" à la racine de C: )

 

 

 

Merci de votre attention

[bruce lee]

re,

 

Si durant la procédure ci-dessous, il y a des étapes que tu n'as pas reussi a faire, merci de continuer la procédure jusqu'au bout et de les signaler dans ta prochaine reponse.

 

Je te conseille d'enregistrer la page web compléte sous Internet Explorer comme ceci :

 

* Clique sur Fichier/Enregistrer sous Dans Type, choisis : Archive web (fichier seul (*.mht) / Enregistre la sur le bureau,comme cela tu retrouvera la mise en forme ou imprime cette réponse. Une partie de la désinfection se déroulera en mode sans échec.

 

 

1/Télécharge puis installe http://www.ewido.net/en/download

Une fois AVG AS lancé, clique sur Mise à jour

Ferme le programme.

 

 

Télécharge SDFix(créé par AndyManchesta) et sauvegarde le sur ton Bureau.

 

 

2/Démarre en mode sans échec http://www.sosordi.net/Faq/Faq.2.html

 

3/fais:

demarer executer services.msc repere Windows NT-Session Manager

 

Double clic dessus :dans le champs Statut du service met le sur arrêté

dans le champs Type de démarrage met le sur désactivé puis

Appliquer puis ok .

 

 

 

4/lance hijackthis en cliquant sur scanner seulement et coche ces lignes:

 

O2 - BHO: (no name) - {C12827A3-1859-4838-BBED-262E4A799545} - C:\WINDOWS\System32\gebyv.dll (file missing)

O2 - BHO: (no name) - {E141CDC5-18F7-408A-84C3-17614B543415} - C:\WINDOWS\System32\fccdcab.dll (file missing)

O4 - HKLM\..\Run: [Advanced DHTML Enable] C:\WINDOWS\System32\qpkrsiic.exe

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O16 - DPF: {C942A79B-01ED-47EE-9DAA-1EFAA70DAB8E} (VacPro.int_ver22b) - http://www.muiegaozsicur.com/ocx/intES_ver22b.CAB

 

Ferme toutes les fenêtres ouvertes sauf Hijackthis et clique sur fixer objet

 

 

5/pour supprimer les fichiers nefastes on va tous les afficher en faisant comme ceci:

 

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Cocher la case : Afficher les fichiers et dossiers cachés

 

Décocher la case : Masquer les extensions des fichiers dont le type est connu

 

Décocher la case : Masquer les fichiers protégés du système d'exploitation

 

cliquer sur "Appliquer"

 

cliquer sur le bouton "Appliquer à tous les dossiers" / OK

 

 

6/Supprime ce qui est en gras:

 

C:\WINDOWS\System32\ qpkrsiic.exe<== le fichier

C:\WINDOWS\web\ related.htm<== le fichier

C:\WINDOWS\ smss.exe<== le fichier ATTENTION! Ne supprime surtout pas celui qui se trouve dans le system32

 

 

7/ Relance AVG AS puis choisis l'onglet Analyse

Puis l'onglet Paramètres

Sous la question Comment réagir ?, clique sur Actions recommandées et choisis Quarantaine

Reclique sur l'onglet Analyse puis réalise une Analyse complète du système

 

Si un fichier infecté est détecté en fin d'analyse

Clique sur Appliquer toutes les actions

 

Clique sur Enregistrer le rapport puis sur Enregistrer le rapport sous

Enregistre ce fichier texte sur ton bureau

 

 

 

8/Déroule la liste des instructions ci-dessous :

• En mode sans échec, fais un clic droit sur le fichier SDFix.zip et choisis extraire tout,
  
• Ouvre le dossier SDFix qui vient d'être créé sur le Bureau et double clique sur RunThis.bat pour lancer le script.
  
• Appuie sur Y pour commencer le script.
  
• Il va supprimer les services de certains trojans, effectuera aussi quelques réparations du Registre et il te demandera d'appuyer sur une touche pour redémarrer.
  
• Appuie sur une touche pour redémarrer le PC.
  
• Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
  
• Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
  
• Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.
  
• Enfin, ouvre le dossier de SDFix sur ton Bureau et copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum, avec un nouveau log Hijackthis !
  

9/Poste le rapport d'AVG Anti spyware 7.5

 

Bon courage, et si tu as la moindre question n'hésite surtout pas

 

@+

Modifié le 18 mars 2007 par bruce lee

[ALOHAAAA-44]

Bien noté tout ceci... la prochaine étape sera pour mercredi (je suis en déplacement). Le PC "malade" n'est en tous les cas pas connecté au net durant mon absence

 

Merci encore et à bientôt.

[ALOHAAAA-44]

Bonjour,

 

 

J'ai exécuté cette nuit les actions que tu m'as recommandées selon la procédure définie.

 

Le nombre de corrections opérées par ces logiciels est impressionnant

 

 

Je n'ai rencontré de problème qu'avec la désactivation du ServiceNT. manager... en effet, dès sa MAJ Avg avait détecté la dépendance de C:\WINDOWS\ smss.exe et j'avais accepté la mise en quarantaine. Mais je crois que ça ne compromets rien. J'ai raison ?

 

Par ailleurs, j'ai aussi installé ZAlarm dès le début pour contrôler les accès au Net. (et j'ai vu un faux Winamp tenter de se connecter )

 

Voici les rapports dans l'ordre des opérations.

 

Il reste des choses à faire ??

 

---------------------------------------------------------

AVG Anti-Spyware - Rapport d'analyse

---------------------------------------------------------

 

+ Créé à: 23:43:25 21/03/2007

 

+ Résultat de l'analyse:

 

 

 

D:\Récup_Romain\Program Files\Fichiers communs\GMT\EGIEProcess.dll -> Adware.Gator : Nettoyé et sauvegardé (mise en quarantaine).

D:\Récup_Romain\Program Files\Fichiers communs\GMT\GUninstaller.exe -> Adware.Gator : Nettoyé et sauvegardé (mise en quarantaine).

D:\Récup_Romain\Program Files\NewDotNet\newdotnet6_30.dll -> Adware.NewDotNet : Nettoyé et sauvegardé (mise en quarantaine).

D:\Récup_Romain\Program Files\Web_Rebates\WebRebates1.exe -> Adware.WebRebates : Nettoyé et sauvegardé (mise en quarantaine).

D:\Récup_Romain\Program Files\Web_Rebates\disp1150.exe -> Adware.WebRebates : Nettoyé et sauvegardé (mise en quarantaine).

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\FFVM8NGA\qwazx1[1].exe -> Backdoor.SdBot.aad : Nettoyé et sauvegardé (mise en quarantaine).

C:\System Volume Information\_restore{FC150528-618E-4416-95C2-7C559D23A3D9}\RP7\A0000825.exe -> Backdoor.SdBot.aad : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\fpv.exe -> Backdoor.SdBot.aad : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\Downloaded Program Files\CONFLICT.1\UDC6V_0001_D19M0709NetInstaller.exe -> Not-A-Virus.Downloader.Win32.WinFixer.m : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\Downloaded Program Files\UDC6V_0001_D19M0709NetInstaller.exe -> Not-A-Virus.Downloader.Win32.WinFixer.m : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\Downloaded Program Files\CONFLICT.1\UERSV_9999_N91S1912NetInstaller.exe -> Not-A-Virus.Downloader.Win32.WinFixer.o : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\Downloaded Program Files\UERSV_9999_N91S1912NetInstaller.exe -> Not-A-Virus.Downloader.Win32.WinFixer.o : Nettoyé et sauvegardé (mise en quarantaine).

C:\Program Files\amsn\uninstall.exe -> Not-A-Virus.HackTool.Win32.Homac : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\ajpxwwoy.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\aplh.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\bkbjfb.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\bkobr.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\cqnelgv.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\dpjj.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\eqwj.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\evhwu.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\ezpqjrd.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\fcxbppe.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\fsnn.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\gkqyvu.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\hpdx.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\hxlf.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\inkjxdsj.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\ivfdk.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\jaqd.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\jvaym.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\lcopqn.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\lmkqr.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\mowvkd.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\nwlkwuds.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\nzxdy.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\pnnmn.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\ppspawn.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\qdkrjm.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\qexgjyze.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\qjkhzp.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\qnbomj.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\riszhhuj.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\sjuenbqn.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\stus.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\tgkao.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\tnnmgzg.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\utyquew.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\vaype.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\veapqxp.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\vnwn.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\wykyvj.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\xjtabnko.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\ysajwth.exe -> Proxy.Agent.by : Nettoyé et sauvegardé (mise en quarantaine).

C:\System Volume Information\_restore{FC150528-618E-4416-95C2-7C559D23A3D9}\RP7\A0000843.exe -> Proxy.Agent.mf : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\eqdtrn.exe -> Proxy.Agent.mf : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\fkkx.exe -> Proxy.Agent.mf : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\hkyce.exe -> Proxy.Agent.mf : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\mpncn.exe -> Proxy.Agent.mf : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\nnelsen.exe -> Proxy.Agent.mf : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\nypfbga.exe -> Proxy.Agent.mf : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\ozyve.exe -> Proxy.Agent.mf : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\rpqfe.exe -> Proxy.Agent.mf : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\rzxzrfql.exe -> Proxy.Agent.mf : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\tuqkizo.exe -> Proxy.Agent.mf : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\yvfxq.exe -> Proxy.Agent.mf : Nettoyé et sauvegardé (mise en quarantaine).

C:\WINDOWS\system32\zwhk.exe -> Proxy.Agent.mf : Nettoyé et sauvegardé (mise en quarantaine).

C:\Documents and Settings\Romain\Cookies\romain@cpvfeed[2].txt -> TrackingCookie.Cpvfeed : Nettoyé.

:mozilla.7:C:\Documents and Settings\Romain\Application Data\Mozilla\Firefox\Profiles\pyzx16ma.default\cookies.txt -> TrackingCookie.Mediaplex : Nettoyé.

:mozilla.10:C:\Documents and Settings\Romain\Application Data\Mozilla\Firefox\Profiles\pyzx16ma.default\cookies.txt -> TrackingCookie.Webtrends : Nettoyé.

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\316EIS0G\kan[1].exe -> Trojan.Dialer.fn : Nettoyé et sauvegardé (mise en quarantaine).

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\8VIK8J3B\makedr[1].exe -> Trojan.Dialer.fn : Nettoyé et sauvegardé (mise en quarantaine).

C:\Program Files\Fichiers communs\delsim\del.exe -> Trojan.Dialer.fn : Nettoyé et sauvegardé (mise en quarantaine).

C:\RECYCLER\S-1-5-21-1960408961-1275210071-1801674531-500\Dc1.exe -> Trojan.Dialer.fn : Nettoyé et sauvegardé (mise en quarantaine).

C:\RECYCLER\S-1-5-21-1960408961-1275210071-1801674531-500\Dc2.exe -> Trojan.Dialer.fn : Nettoyé et sauvegardé (mise en quarantaine).

C:\RECYCLER\S-1-5-21-1960408961-1275210071-1801674531-500\Dc3.exe -> Trojan.Dialer.fn : Nettoyé et sauvegardé (mise en quarantaine).

C:\RECYCLER\S-1-5-21-1960408961-1275210071-1801674531-500\Dc4.exe -> Trojan.Dialer.fn : Nettoyé et sauvegardé (mise en quarantaine).

C:\RECYCLER\S-1-5-21-1960408961-1275210071-1801674531-500\Dc5.exe -> Trojan.Dialer.fn : Nettoyé et sauvegardé (mise en quarantaine).

C:\RECYCLER\S-1-5-21-1960408961-1275210071-1801674531-500\Dc6.exe -> Trojan.Dialer.fn : Nettoyé et sauvegardé (mise en quarantaine).

C:\System Volume Information\_restore{FC150528-618E-4416-95C2-7C559D23A3D9}\RP5\A0000354.exe -> Trojan.Dialer.fn : Nettoyé et sauvegardé (mise en quarantaine).

C:\System Volume Information\_restore{FC150528-618E-4416-95C2-7C559D23A3D9}\RP5\A0000355.exe -> Trojan.Dialer.fn : Nettoyé et sauvegardé (mise en quarantaine).

C:\System Volume Information\_restore{FC150528-618E-4416-95C2-7C559D23A3D9}\RP7\A0000842.exe -> Trojan.Pakes : Nettoyé et sauvegardé (mise en quarantaine).

 

 

Fin du rapport

 

 

---------------------------------------------------

 

SDfix

---------------------------------------------------

SDFix: Version 1.74

 

Run by Romain - 21/03/2007 - 23:57:47,82

 

Microsoft Windows XP [version 5.1.2600]

 

Running From: C:\SDFix

 

Safe Mode:

Checking Services:

 

 

 

 

 

C:\WINDOWS\system32\Microsoft\backup.ftp Found...

C:\WINDOWS\system32\Microsoft\backup.tftp Found...

 

Checking files:

 

Genuine:

C:\WINDOWS\system32\Microsoft\backup.ftp

C:\WINDOWS\system32\Microsoft\backup.tftp

 

Dummy:

C:\WINDOWS\system32\ftp.exe

C:\WINDOWS\system32\tftp.exe

C:\WINDOWS\system32\dllcache\ftp.exe

C:\WINDOWS\system32\dllcache\tftp.exe

 

Files copied to SDFix\Backups

 

Restoring files if backups are found

 

Final Check:

 

Genuine:

C:\WINDOWS\system32\Microsoft\backup.ftp

C:\WINDOWS\system32\Microsoft\backup.tftp

C:\WINDOWS\system32\ftp.exe

C:\WINDOWS\system32\tftp.exe

C:\WINDOWS\system32\dllcache\ftp.exe

C:\WINDOWS\system32\dllcache\tftp.exe

 

Dummy:

 

 

Restoring Windows Registry Entries

Restoring Default Hosts File

 

 

Rebooting...

 

Normal Mode:

Checking Files:

 

Below files will be copied to Backups folder then removed:

 

C:\WINDOWS\SYSTEM32\CONFIG\SYSTEM~1\LOCALS~1\TEMPOR~1\CONTENT.IE5\X1QIJHL7\CAO1ER4T.HTM - Deleted

C:\WINDOWS\system32\iexploler.exe - Deleted

C:\WINDOWS\system32\Microsoft\backup.ftp - Deleted

C:\WINDOWS\system32\Microsoft\backup.tftp - Deleted

 

 

 

ADS Check:

 

C:\WINDOWS\system32

No streams found.

 

 

Final Check:

 

Remaining Services:

------------------

 

 

 

Authorized Application Key Export:

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

"C:\\WINDOWS\\Temp\\NavBrowser.exe"="C:\\WINDOWS\\Temp\\NavBrowser.exe:*:Enabled:NAVBrowser"

"C:\\Program Files\\@Last Software\\SketchUp 3.0\\SketchUp.exe"="C:\\Program Files\\@Last Software\\SketchUp 3.0\\SketchUp.exe:*:Enabled:SketchUp Application"

"C:\\Program Files\\Kazaa Lite K++\\KazaaLite.kpp"="C:\\Program Files\\Kazaa Lite K++\\KazaaLite.kpp:*:Enabled:KazaaLite"

"C:\\Program Files\\Messenger\\msmsgs.exe"="C:\\Program Files\\Messenger\\msmsgs.exe:*:Enabled:Windows Messenger"

"C:\\Program Files\\Microsoft Office\\Office\\1036\\WFXMSRVR.EXE"="C:\\Program Files\\Microsoft Office\\Office\\1036\\WFXMSRVR.EXE:*:Enabled:WFXMSRVR"

"C:\\Program Files\\Freeplayer\\vlc\\vlc.exe"="C:\\Program Files\\Freeplayer\\vlc\\vlc.exe:*:Disabled:VLC media player"

"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"="C:\\Program Files\\MSN Messenger\\msnmsgr.exe:*:Enabled:MSN Messenger 7.5"

"C:\\Program Files\\eMule\\emule.exe"="C:\\Program Files\\eMule\\emule.exe:*:Enabled:eMule"

"C:\\Program Files\\@Last Software\\SketchUp 5\\SketchUp.exe"="C:\\Program Files\\@Last Software\\SketchUp 5\\SketchUp.exe:*:Disabled:SketchUp Application"

"C:\\Program Files\\amsn\\bin\\wish.exe"="C:\\Program Files\\amsn\\bin\\wish.exe:*:Disabled:Wish Application"

"C:\\WINDOWS\\system32\\rtcshare.exe"="C:\\WINDOWS\\system32\\rtcshare.exe:*:Enabled:Partage de l'application RTC"

 

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"="C:\\Program Files\\MSN Messenger\\msnmsgr.exe:*:Enabled:MSN Messenger 7.5"

 

 

Remaining Files:

---------------

 

Backups Folder: - C:\SDFix\backups\backups.zip

 

Checking For Files with Hidden Attributes :

 

C:\Program Files\Autodesk\Autodesk DWF Viewer\_Setup.dll

C:\Program Files\Autodesk\Autodesk DWF Viewer\_Setupx.dll

C:\Program Files\Autodesk\Autodesk DWF Viewer\Setup.exe

C:\WINDOWS\system32\bgqndar.exe

C:\WINDOWS\system32\chqwcqj.exe

C:\WINDOWS\system32\cjvtnyo.exe

C:\WINDOWS\system32\hbrvkswu.exe

C:\WINDOWS\system32\hdhzlnws.exe

C:\WINDOWS\system32\hnczayui.exe

C:\WINDOWS\system32\ixei.exe

C:\WINDOWS\system32\jfntb.exe

C:\WINDOWS\system32\ksrv.exe

C:\WINDOWS\system32\kwenqlm.exe

C:\WINDOWS\system32\rpqki.exe

C:\WINDOWS\system32\tdtumly.exe

C:\WINDOWS\system32\tsxqqwsc.exe

C:\WINDOWS\system32\wwedzah.exe

C:\WINDOWS\system32\xnydasj.exe

C:\WINDOWS\system32\xuzjomg.exe

C:\WINDOWS\system32\yvwakm.exe

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL0003.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL0019.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL0086.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL0138.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL0140.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL0296.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL0304.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL0435.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL0466.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL0473.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL0485.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL0512.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL0523.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL0942.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL1206.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL1263.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL1300.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL1341.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL1534.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL1557.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL1685.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL1850.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL1951.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL2036.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL2058.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL2194.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL2266.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL2448.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL2511.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL2578.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL2717.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL2786.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL2979.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL3035.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL3113.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL3347.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL3505.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL3587.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL3846.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL4009.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL4020.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL4047.tmp

C:\Documents and Settings\Romain\Application Data\Microsoft\Word\~WRL4096.tmp

C:\WINDOWS\system32\config\default.tmp.LOG

C:\WINDOWS\system32\config\software.tmp.LOG

C:\WINDOWS\system32\config\system.tmp.LOG

 

Finished

 

---------------------------------------------------

 

 

 

Hijack

---------------------------------------------------

Logfile of HijackThis v1.99.1

Scan saved at 00:39:18, on 22/03/2007

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\VTTimer.exe

C:\Program Files\Analog Devices\SoundMAX\SMTray.exe

C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe

C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe

C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Fichiers communs\Teleca Shared\CapabilityManager.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Fichiers communs\Teleca Shared\Generic.exe

C:\Program Files\Sony Ericsson\Mobile2\Mobile Phone Monitor\epmworker.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\WINDOWS\System32\WgaTray.exe

C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.neuf.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.neuf.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST1.03.0000.1005\en-xu\stmain.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar1.02.5000.1021\fr\msntb.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar1.02.5000.1021\fr\msntb.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [VTTimer] VTTimer.exe

O4 - HKLM\..\Run: [smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe

O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe"

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [sony Ericsson PC Suite] "C:\Program Files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions

O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - Global Startup: Accélérateur de démarrage AutoCAD.lnk = C:\Program Files\Fichiers communs\Autodesk Shared\acstart16.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O8 - Extra context menu item: &eBay Search - res://C:\Program Files\eBay\eBay Toolbar2\eBayTb.dll/RCSearch.html

O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {A1F2F2CE-06AF-483C-9F12-D3BAA72477D6} (BatchDownloader Class) - http://appdirectory.messenger.msn.com/AppD...ap/DigWXMSN.cab

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - C:\Program Files\Fichiers communs\Autodesk Shared\Service\AdskScSrv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

 

 

---------------------------------------------------

---------------------------------------------------

[bruce lee]

bonjour,

 

Supprime ce qui est en gras :

 

C:\WINDOWS\system32\ bgqndar.exe<== le fichier

C:\WINDOWS\system32\ chqwcqj.exe<== le fichier

C:\WINDOWS\system32\ cjvtnyo.exe<== le fichier

C:\WINDOWS\system32\ hbrvkswu.exe<== le fichier

C:\WINDOWS\system32\ hdhzlnws.exe<== le fichier

C:\WINDOWS\system32\ hnczayui.exe<== le fichier

C:\WINDOWS\system32\ ixei.exe<== le fichier

C:\WINDOWS\system32\ jfntb.exe<== le fichier

C:\WINDOWS\system32\ ksrv.exe<== le fichier

C:\WINDOWS\system32\ kwenqlm.exe<== le fichier

C:\WINDOWS\system32\ rpqki.exe<== le fichier

C:\WINDOWS\system32\ tdtumly.exe<== le fichier

C:\WINDOWS\system32\ tsxqqwsc.exe<== le fichier

C:\WINDOWS\system32\ wwedzah.exe<== le fichier

C:\WINDOWS\system32\ xnydasj.exe<== le fichier

C:\WINDOWS\system32\ xuzjomg.exe<== le fichier

C:\WINDOWS\system32\ yvwakm.exe<== le fichier

 

Vide ensuite le contenu de ta corbeille.

 

Fais un scan en ligne avec http://webscanner.kaspersky.fr/kavwebscan.html

 

dans la nouvelle fenetre qui s'affiche clique sur J'accepte

 

On va te demander de télécharger un ou deux contôle active x, accepte . Laisse le faire les mises à jour puis quand il aura finit clique sur Suivant

 

Dans le menu Choisissez la cible de l'analyse , sélectionne Poste de travail .

Le scan va commencer.Poste le rapport qui sera généré stp.

 

Si il y a un problème, assure toi que les contrôles active x soient bien configurés dans les options internet comme

 

décrit sur ce lien=> http://www.inoculer.com/activex.php3

 

NOTE: le scan est a faire avec Internet Explorer

[ALOHAAAA-44]

Voilà, c'est fait ! Le système a retrouve toute sa stabilité grâce à ta vigilance et tes conseils.

 

Merci, bien sincèrement de ton aide

[bruce lee]

Bonjour,

 

Poste le rapport de kaspersky s'il te plait.