Demande d'analyse rapport Hijackthis

vassilia · le 12 avril 2007

Bonsoir,

J'ai rencontré enormément de problèmes ces derniers jours avec mon pc, je suis tombé avec grand bonheur sur votre site.

J'ai suivi la procédure préliminaire a toute demande d'analyse, qui apparement m'a corrigé quelques soucis.

J'aimerai etre sure que mon pc est nouveau sain.

Voici mon rapport:

Logfile of HijackThis v1.99.1

Scan saved at 23:52:06, on 12/04/2007

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe

C:\WINDOWS\System32\svehost.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\WINDOWS\System32\messengerr.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\System32\ctfmon.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = NUMERICABLE

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar1.02.5000.1021\fr\msntb.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [Windows Logon Application] C:\WINDOWS\System32\winIogon.exe

O4 - HKLM\..\Run: [msvccc66] svcchosst.exe

O4 - HKLM\..\Run: [KAVPersonal50] "C:\Program Files\Micro Application\Sécurité Internet\Anti-Virus\kav.exe" /minimize

O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe"

O4 - HKLM\..\Run: [Windows Security Center Notification Appls] C:\WINDOWS\System32\sxe.exe

O4 - HKLM\..\Run: [intel system tool] C:\WINDOWS\System32\svehost.exe

O4 - HKLM\..\Run: [clcl3] C:\WINDOWS\System32\clcl3.exe

O4 - HKLM\..\Run: [MSN MESSENGER 9.0] messengerr.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\RunServices: [msvccc66] svcchosst.exe

O4 - HKLM\..\RunServices: [MSN MESSENGER 9.0] messengerr.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSN MESSENGER 9.0] messengerr.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://c:\program files\google\GoogleToolbar2.dll/cmwordtrans.html

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O12 - Plugin for .mov: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin.dll

O12 - Plugin for .mp4: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin5.dll

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedC...bin/AvSniff.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by124fd.bay124.hotmail.msn.com/resources/MsnPUpld.cab

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://bitdefender.bwm-mediasoft.com/scan8/oscan8.cab

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedC...n/bin/cabsa.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111...all/xscan53.cab

O16 - DPF: {7F8C8173-AD80-4807-AA75-5672F22B4582} (ICSScanner Class) - http://download.zonelabs.com/bin/promotion...anner371420.cab

O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.inoculer.com/antivirus/Msie/bitdefender.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: Anti-Virus Service (kavsvc) - Kaspersky Labs Ltd. - C:\Program Files\Micro Application\Sécurité Internet\Anti-Virus\kavsvc.exe

O23 - Service: Network Windows Service (MSWindows) - Unknown owner - C:\WINDOWS\System32\urdvxc.exe" /service (file missing)

Merci de votre réponse

Thanos · le 12 avril 2007

salut et bienvenue

Malheureusement non! mais on va t'aider à désinfecter tout ca

1) Si tu as fais une analyse avec Antivir, poste le rapport stp > tu fais un clic droit sur l'icône d'Antvir (dans la barre des tâches) > tu clique sur l'onglet "Reports" > sous la colonne Action, sélectionne Scan (pas Update) et double clique dessus > un rapport s'affiche dans une fenêtre > clique sur le bouton "Report File" > un fichier texte s'ouvre, poste le contenu dans ta prochaine réponse

2) Je vais te demander tout d'abord d'envoyer des fichiers pour analyse au créateur (AndyManchesta) du programme de désinfection que nous allons utiliser (SDFix) > c'est rapide et important ! :

Télécharge Suspicious file Packer (de Safe-Networking.Org) pour le dézipper sur ton Bureau.

Redémarre en mode sans échec

Démarre SFP.exe

Sélectionne TOUS les emplacements suivants :

C:\WINDOWS\System32\clcl3.exe

C:\WINDOWS\System32\messengerr.exe

---> Clique-droit puis Copier

Retourne sur SFP.exe, fais un Clique-droit sur le cadre puis choisis Coller.

Clique maintenant sur Continue

Cela va créer un fichier .cab sur ton Bureau nommé requested-files[Date/Heure]

Fais un Clique-droit sur ce fichier, clique sur Envoyer vers puis sélectionne Dossier compressé.

Cela va créer un fichier .zip du même nom. Clique-droit sur ce fichier / Explorer / Fichier / Ajouter un mot de passe...

Nomme ce mot de passe malware.

Redémarre normalement pour envoyer ce fichier à cette adresse :

AndyManchesta(at)hotmail.com ( Remplace (at) par @ )

Supprime maintenant les fichier .zip et .cab qui se trouvent sur ton Bureau.

3) Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau.

Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau. Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :

Redémarre ton ordinateur
Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
Choisis ton compte.

Déroule la liste des instructions ci-dessous :

Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.bat pour lancer le script.
Appuie sur Y pour commencer le processus de nettoyage.
Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
Appuie sur une touche pour redémarrer le PC.
Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.
Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.
Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum, avec un nouveau log Hijackthis

3) Note importante :

A présent que tu as effectué la procédure de désinfection, il faut désinstaller les antivirus en trop: désinstalle Antivir.

Kaspersky n'est pas actif : est ce une version d'évaluation ? il va falloir n'en garder qu'un!

Modifié le 12 avril 2007 par charles ingals

vassilia · le 13 avril 2007

salut et bienvenue

Malheureusement non! mais on va t'aider à désinfecter tout ca

1) Si tu as fais une analyse avec Antivir, poste le rapport stp > tu fais un clic droit sur l'icône d'Antvir (dans la barre des tâches) > tu clique sur l'onglet "Reports" > sous la colonne Action, sélectionne Scan (pas Update) et double clique dessus > un rapport s'affiche dans une fenêtre > clique sur le bouton "Report File" > un fichier texte s'ouvre, poste le contenu dans ta prochaine réponse

2) Je vais te demander tout d'abord d'envoyer des fichiers pour analyse au créateur (AndyManchesta) du programme de désinfection que nous allons utiliser (SDFix) > c'est rapide et important ! :

Télécharge Suspicious file Packer (de Safe-Networking.Org) pour le dézipper sur ton Bureau.

Redémarre en mode sans échec

Démarre SFP.exe

Sélectionne TOUS les emplacements suivants :

C:\WINDOWS\System32\clcl3.exe

C:\WINDOWS\System32\messengerr.exe

---> Clique-droit puis Copier

Retourne sur SFP.exe, fais un Clique-droit sur le cadre puis choisis Coller.

Clique maintenant sur Continue

Cela va créer un fichier .cab sur ton Bureau nommé requested-files[Date/Heure]

Fais un Clique-droit sur ce fichier, clique sur Envoyer vers puis sélectionne Dossier compressé.

Cela va créer un fichier .zip du même nom. Clique-droit sur ce fichier / Explorer / Fichier / Ajouter un mot de passe...

Nomme ce mot de passe malware.

Redémarre normalement pour envoyer ce fichier à cette adresse :

AndyManchesta(at)hotmail.com ( Remplace (at) par @ )

Supprime maintenant les fichier .zip et .cab qui se trouvent sur ton Bureau.

3) Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau.

Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau. Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :

Redémarre ton ordinateur

Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).

A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.

Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".

Choisis ton compte.

Déroule la liste des instructions ci-dessous :

Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.bat pour lancer le script.

Appuie sur Y pour commencer le processus de nettoyage.

Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.

Appuie sur une touche pour redémarrer le PC.

Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.

Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.

Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.

Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.

Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum, avec un nouveau log Hijackthis

3) Note importante :

A présent que tu as effectué la procédure de désinfection, il faut désinstaller les antivirus en trop: désinstalle Antivir.

Kaspersky n'est pas actif : est ce une version d'évaluation ? il va falloir n'en garder qu'un!

Bonsoir et merci de cette aide précieuse.

Je colle donc le rapport de mon dernier scan Antivir que voici:

AntiVir PersonalEdition Classic

Report file date: samedi 14 avril 2007 00:15

Scanning for 569934 virus strains and unwanted programs.

Licensed to: Avira AntiVir PersonalEdition Classic

Serial number: 0000149996-ADJIE-0001

Platform: Windows XP

Windows version: (Service Pack 1) [5.1.2600]

Username: nous

Computer name: CLOTILDE

Version information:

BUILD.DAT : 217 12749 Bytes 05/12/2006 17:00:00

AVSCAN.EXE : 7.0.3.2 208936 Bytes 05/12/2006 14:30:07

AVSCAN.DLL : 7.0.3.1 35880 Bytes 05/12/2006 15:00:22

LUKE.DLL : 7.0.3.2 143400 Bytes 31/10/2006 15:07:46

LUKERES.DLL : 7.0.2.0 9256 Bytes 05/12/2006 15:00:22

ANTIVIR0.VDF : 6.35.0.1 7371264 Bytes 31/05/2006 14:30:06

ANTIVIR1.VDF : 6.36.1.24 2212864 Bytes 14/11/2006 08:12:08

ANTIVIR2.VDF : 6.36.1.113 221696 Bytes 01/12/2006 08:12:12

ANTIVIR3.VDF : 6.37.0.3 6144 Bytes 01/12/2006 08:12:14

AVEWIN32.DLL : 7.3.0.15 1982976 Bytes 04/12/2006 16:18:38

AVPREF.DLL : 7.0.2.0 23592 Bytes 03/11/2006 09:53:44

AVREP.DLL : 6.37.0.3 983080 Bytes 01/12/2006 08:05:52

AVRPBASE.DLL : 7.0.0.0 2162728 Bytes 30/03/2006 07:43:31

AVPACK32.DLL : 7.2.0.5 368680 Bytes 23/10/2006 14:21:31

AVREG.DLL : 7.0.1.1 30760 Bytes 23/10/2006 09:52:27

NETNT.DLL : No Information!

RCIMAGE.DLL : 7.0.1.3 2097192 Bytes 08/11/2006 11:26:26

RCTEXT.DLL : 7.0.12.1 77864 Bytes 05/12/2006 15:00:21

Configuration settings for the scan:

Jobname..........................: Local Drives

Configuration file...............: C:\Program Files\AntiVir PersonalEdition Classic\alldrives.avp

Logging..........................: low

Primary action...................: interactive

Secondary action.................: ignore

Scan master boot sector..........: off

Scan boot sector.................: on

Boot sectors.....................: D:,

Scan memory......................: on

Process scan.....................: on

Scan registry....................: on

Scan all files...................: All files

Scan archives....................: on

Recursion depth..................: 20

Smart extensions.................: on

Skipped archive types............: BSD Mailbox, Netscape/Mozilla Mailbox, Eudora Mailbox, Squid cache, Pegasus Mailbox, MS Outlook Mailbox,

Macro heuristic..................: on

File heuristic...................: medium

Different risk categories........: +GAME,+JOKE,+PCK,+SPR,

Expanded search settings.........: 0x00007000

Start of the scan: samedi 14 avril 2007 00:15

The scan of running processes will be started

Scan process 'avscan.exe' - '1' Modules have been scanned

Scan process 'wmiprvse.exe' - '1' Modules have been scanned

Scan process 'avcenter.exe' - '1' Modules have been scanned

Scan process 'explorer.exe' - '1' Modules have been scanned

Scan process 'svchost.exe' - '1' Modules have been scanned

Scan process 'lsass.exe' - '1' Modules have been scanned

Scan process 'services.exe' - '1' Modules have been scanned

Scan process 'winlogon.exe' - '1' Modules have been scanned

Scan process 'csrss.exe' - '1' Modules have been scanned

Scan process 'smss.exe' - '1' Modules have been scanned

13 processes with 13 modules were scanned

Start scanning boot sectors:

Boot sector 'C:\'

[NOTE] No virus was found!

Boot sector 'A:\'

[NOTE] In the drive 'A:\' no data medium is inserted!

Starting to scan the registry.

The registry was scanned ( 42 files ).

Starting the file scan:

Begin scan in 'C:\'

C:\pagefile.sys

[WARNING] The file could not be opened!

Begin scan in 'A:\' <C:\>

The path A:\ could not be found!

Le périphérique n'est pas prêt.

Begin scan in 'D:\' <A:\>

The path D:\ could not be found!

Le périphérique n'est pas prêt.

End of the scan: samedi 14 avril 2007 00:48

Used time: 32:43 min

The scan has been done completely.

2237 Scanning directories

114119 Files were scanned

0 viruses and/or unwanted programs were found

0 files were deleted

0 files were repaired

0 files were moved to quarantine

0 files were renamed

1 Files cannot be scanned

114119 Files not concerned

2414 Archives were scanned

1 Warnings

1 Notes

Je passe donc à l'étape 2.

Merci encore

Thanos · le 14 avril 2007

salut

Ok, rien de mauvais n'a été détecté par Antivir! Est ce qu'il était bien à jour avant le scan ?

Merci d'avance pour l'étape 2 ! c'est très important!! Si tu ne vois pas ces fichiers, fais ceci et refais la recherche >

Assure toi d'avoir accès à tous les fichiers,certains fichiers/dossiers sont cachés!!Comme ceci >

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Cocher la case : Afficher les fichiers et dossiers cachés

Décocher la case : Masquer les extensions des fichiers dont le type est connu

Décocher la case : Masquer les fichiers protégés du système d'exploitation

cliquer sur "Appliquer"

cliquer sur le bouton "Appliquer à tous les dossiers" / OK

vassilia, pour ne par reprendre ma réponse lorsque tu postes, utilises le bouton "Répondre" qui se trouve entre "Flash" et "Nouveau" en bas de page

Si tu as des soucis pour faire les manips, n'hésite pas

Modifié le 14 avril 2007 par charles ingals

vassilia · le 14 avril 2007

Bonjour,

Ok pour la fonction "répondre" ca y est j'ai compris"

Malgré toute l'application que j'ai mise à effectuer les taches conseillées, ce pc me rend dingue car rien ne s'est déroulé comme prévu:

1°) Apparement Antivir n'a pas détecté de gros problèmes et pourtant mon pc mène sa petite vie sans me donner l'autorisation, il fait un peu comme il veut, s'eteint tout seul,me mets des messages d'alertes dans boites de dialogues bizarres et me redirige vers un site inconnu errorsafe (qui lui me dit qu'il va me remettre mon pc d'applomb pffffffffff)j'ai des processus bizarres qui court....enfin bref c'est l'anarchie totale

vassilia · le 14 avril 2007

Oups j'ai pas pu finir car mon pc m'averti qu'il va etre arrêté grrrrrrrrr

Je suis donc repasser en mode sans echec, ceci ne fonctionne plus je selectionne mode sans echec ilme demande quel compte je veux, ensuite me specifie que je suis en mode sans echec bla bla bla je dis ok sil m'en laisse le temps et là l'ecran reste noir et plus rien ne se passe.

Je suis donc passée en mode sans echec avec prise en charge réseau et là ca a l'air de tenir!!

J'aimerai préciser que les étapes ont toutes été faites a partir de mode sans echec avec prise ne charge réseau puisque le mode sans echec reste inactif.

AU moment ou j'ai demarrer SFP.exe j'aurai du pouvoir selectionner les 2 emplacements mentionnés

le prob est que je n'avais rien la boite de dialogue est restée vide j'ai donc fait continue et RIENN

malgré tout j'ai bien un fichier compressé qui s'est créé sur le bureau que j'ai envoyé à l'adresse citée.

Je suis ensuite passée a l'etape 3 mais tjrs en mode sans echec avec prise en charge réseau j'ai fait runThis.bat tout s'est passé comme conseillé,le seul prob est que au redemarrage en mode normal j'ai eu un message comme quoi l'installation n'a pas etre terminée etc.......

J'ai bien un Report.txt que voici:

SDFix: Version 1.78

Run by nous - 14/04/2007 - 8:35:55,29

Microsoft Windows XP [version 5.1.2600]

Running From: C:\DOCUME~1\nous\Bureau\NOUVEA~1\SDFix

Safe Mode:

Checking Services:

Name:

MSWindows

ImagePath:

"C:\WINDOWS\System32\urdvxc.exe" /service

MSWindows - Deleted

Restoring Windows Registry Values

Restoring Windows Default Hosts File

Rebooting...

Normal Mode:

Checking Files:

Below files will be copied to Backups folder then removed:

C:\WINDOWS\system32\.exe - Deleted

C:\WINDOWS\SYSTEM32\JCDYRH.EXE - Deleted

C:\WINDOWS\system32\.exe - Deleted

C:\WINDOWS\system32\GoogleUpdater.exe - Deleted

C:\WINDOWS\system32\i - Deleted

C:\WINDOWS\system32\o - Deleted

C:\WINDOWS\system32\svehost.exe - Deleted

C:\WINDOWS\system32\urdvxc.exe - Deleted

Removing Temp Files

ADS Check:

Checking if ADS is attached to system32 Folder

C:\WINDOWS\system32

No streams found.

Checking if ADS is attached to svchost.exe

C:\WINDOWS\system32\svchost.exe

No streams found.

Final Check:

Remaining Services:

------------------

Je suis désolée de mon manque de savoir faire mais rien ne va plus

Merci

vassilia · le 14 avril 2007

Bonjour,

VOici mon nouveau log après lancement de SDFix:

SDFix: Version 1.78

Run by nous - 14/04/2007 - 10:50:24,54

Microsoft Windows XP [version 5.1.2600]

Running From: C:\DOCUME~1\nous\Bureau\NOUVEA~1\SDFix

Safe Mode:

Checking Services:

Name:

MSWindows

ImagePath:

C:\WINDOWS\system32\Microsoft\backup.ftp Found...

C:\WINDOWS\system32\Microsoft\backup.tftp Found...

Checking files:

Genuine:

C:\WINDOWS\system32\Microsoft\backup.ftp

C:\WINDOWS\system32\Microsoft\backup.tftp

Dummy:

C:\WINDOWS\system32\ftp.exe

C:\WINDOWS\system32\tftp.exe

C:\WINDOWS\system32\dllcache\ftp.exe

C:\WINDOWS\system32\dllcache\tftp.exe

Files copied to SDFix\Backups

Restoring files if backups are found

Final Check:

Genuine:

C:\WINDOWS\system32\Microsoft\backup.ftp

C:\WINDOWS\system32\Microsoft\backup.tftp

C:\WINDOWS\system32\ftp.exe

C:\WINDOWS\system32\tftp.exe

C:\WINDOWS\system32\dllcache\ftp.exe

C:\WINDOWS\system32\dllcache\tftp.exe

Dummy:

Restoring Windows Registry Values

Restoring Windows Default Hosts File

Rebooting...

Normal Mode:

Checking Files:

Below files will be copied to Backups folder then removed:

C:\WINDOWS\system32\.exe - Deleted

C:\WINDOWS\SYSTEM32\JCDYRH.EXE - Deleted

C:\WINDOWS\system32\.exe - Deleted

C:\WINDOWS\system32\GoogleUpdater.exe - Deleted

C:\WINDOWS\system32\i - Deleted

C:\WINDOWS\system32\o - Deleted

C:\WINDOWS\system32\svehost.exe - Deleted

C:\WINDOWS\system32\urdvxc.exe - Deleted

C:\WINDOWS\system32\algs.exe - Deleted

C:\WINDOWS\system32\logon.exe - Deleted

C:\WINDOWS\system32\Microsoft\backup.ftp - Deleted

C:\WINDOWS\system32\Microsoft\backup.tftp - Deleted

C:\WINDOWS\system32\svcchosst.exe - Deleted

C:\WINDOWS\system32\TFTP332 - Deleted

C:\WINDOWS\system32\winamp.exe - Deleted

Removing Temp Files

ADS Check:

Checking if ADS is attached to system32 Folder

C:\WINDOWS\system32

No streams found.

Checking if ADS is attached to svchost.exe

C:\WINDOWS\system32\svchost.exe

No streams found.

Final Check:

Remaining Services:

------------------

Remaining Files:

---------------

Backups Folder: - C:\DOCUME~1\nous\Bureau\NOUVEA~1\SDFix\backups\backups.zip

Checking For Files with Hidden Attributes:

C:\WINDOWS\system32\hggdb.dll

C:\WINDOWS\dllisp.exe

C:\WINDOWS\system32\amwh.exe

C:\WINDOWS\system32\dcpds.exe

C:\WINDOWS\system32\ezomamr.exe

C:\WINDOWS\system32\jjnzoc.exe

C:\WINDOWS\system32\kxvpv.exe

C:\WINDOWS\system32\messengerr.exe

C:\WINDOWS\system32\qzqaaqc.exe

C:\WINDOWS\system32\tulv.exe

C:\WINDOWS\system32\vqmfrrd.exe

C:\WINDOWS\system32\ysjcxrnz.exe

C:\WINDOWS\system32\bdggh.tmp

Finished

MErci a vous

Thanos · le 14 avril 2007

salut

Beau boulot vassilia Tu n'as donc plus accès au mode normal??

On va éliminer les fichiers infecté comme ceci à présent, du mode sans échec >

1) -Télécharge OTMoveIt (par OldTimer). Sauvegarde-le sur ton Bureau.

Copie le texte en bleu/gras ci-bas (sélectionne-le en entier avec ta souris, puis fais un clic-droit dessus et choisis "Copier") :

C:\WINDOWS\system32\hggdb.dll
C:\WINDOWS\dllisp.exe
C:\WINDOWS\system32\amwh.exe
C:\WINDOWS\system32\dcpds.exe
C:\WINDOWS\system32\ezomamr.exe
C:\WINDOWS\system32\jjnzoc.exe
C:\WINDOWS\system32\kxvpv.exe
C:\WINDOWS\system32\messengerr.exe
C:\WINDOWS\system32\qzqaaqc.exe
C:\WINDOWS\system32\tulv.exe
C:\WINDOWS\system32\vqmfrrd.exe
C:\WINDOWS\system32\ysjcxrnz.exe
C:\WINDOWS\system32\bdggh.tmp
Double-clique sur OTMoveIt.exe afin de lancer le programme.
Assure toi que la case "Unregister Dll's and Ocx's" soit bien cochée
Fais un Clique-droit sur le cadre de gauche puis choisis Coller.
Clique à présent sur le bouton "MoveIt!".

Un rapport va être créé, il se trouve dans C:\_OTMoveIt\MovedFiles\

Le nom du rapport est la date de sa création.

2) Redémarre normalement et >

Télécharge VundoFix.exe (par Atribune) sur ton Bureau.

Double-clique VundoFix.exe afin de le lancer
Clique sur le bouton Scan for Vundo
Lorsque le scan est complété, clique sur le bouton Remove Vundo
Une invite te demandera si tu veux supprimer les fichiers, clique YES
Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers
Tu verras une invite qui t'annonce que ton PC va redémarrer; clique OK
Copie/colle le contenu du rapport situé dans C:\vundofix.txt ainsi qu'un nouveau rapport HijackThis! dans ta prochaine réponse

Note: Il est possible que VundoFix soit confronté à un fichier qu'il ne peut supprimer. Si tel est le cas, l'outil se lancera au prochain redémarrage; il faut simplement suivre les instructions ci-haut, à partir de "clique sur le bouton Scan for Vundo".

3) Poste stp tous les rapports suivants >

-le rapport de OtMoveIt (un fichier texte dont le nom est la date du jour)

-le rapport de VundoFix

-un nouveau rapport hijackthis.

merci pour l'upload des fichiers pour Andy MAnchesta : il est possible que je te redemande de m'expédier certains fichiers ca j'ai l'impression que ca n'a pas fonctionné correctement (on fera autrement).

Allez courage!! on va y arriver

edition pour typographie!

Modifié le 17 avril 2007 par charles ingals

vassilia · le 17 avril 2007

Bonsoir charles ingals,

Tout dabord désolée pour ce retard dans ma réponse, ai été un peu débordée, suis d'autant plus navrée que ta réactivité est impressionnante je t'en remercie.

Voici donc tout les rapports demandés:

OTMoveIt

DllUnregisterServer procedure not found in C:\WINDOWS\system32\hggdb.dll

C:\WINDOWS\system32\hggdb.dll NOT unregistered.

File move failed. C:\WINDOWS\system32\hggdb.dll scheduled to be moved on reboot.

File/Folder C:\WINDOWS\dllisp.exe not found.

File/Folder C:\WINDOWS\system32\amwh.exe not found.

File/Folder C:\WINDOWS\system32\dcpds.exe not found.

File/Folder C:\WINDOWS\system32\ezomamr.exe not found.

File/Folder C:\WINDOWS\system32\jjnzoc.exe not found.

File/Folder C:\WINDOWS\system32\kxvpv.exe not found.

File/Folder C:\WINDOWS\system32\messengerr.exe not found.

File/Folder C:\WINDOWS\system32\qzqaaqc.exe not found.

File/Folder C:\WINDOWS\system32\tulv.exe not found.

File/Folder C:\WINDOWS\system32\vqmfrrd.exe not found.

File/Folder C:\WINDOWS\system32\ysjcxrnz.exe not found.

C:\WINDOWS\system32\bdggh.tmp moved successfully.

Created on 04/17/2007 18:17:59

VundoFix

C:\WINDOWS\system32\aphqiafl.dll

C:\WINDOWS\system32\awtqnkh.dll

C:\WINDOWS\System32\bdggh.bak1

C:\WINDOWS\System32\bdggh.bak2

C:\WINDOWS\System32\bdggh.ini

C:\WINDOWS\System32\bdggh.ini2

C:\WINDOWS\system32\haqltncv.dll

C:\WINDOWS\System32\hggdb.dll

C:\WINDOWS\system32\jgkfuxwe.dll

C:\WINDOWS\system32\jxuaphwy.dll

C:\WINDOWS\system32\jysgswyr.dll

C:\WINDOWS\system32\kcsjjmqv.dll

C:\WINDOWS\system32\uwujeptj.dll

C:\WINDOWS\system32\vluxqvqp.dll

C:\WINDOWS\system32\vqmjjsck.ini

HijackThis

Logfile of HijackThis v1.99.1

Scan saved at 23:39:33, on 17/04/2007

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\WINDOWS\System32\GoogleUpdater.exe

C:\WINDOWS\System32\qmedia.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\System32\irdvxc.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\WINDOWS\System32\wuauclt.exe

C:\WINDOWS\system32\cmd.exe

C:\Documents and Settings\nous\Mes documents\clo\SOS VIRUS\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.hotinfolink.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = NUMERICABLE

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {3F9ADD15-646F-44B2-AB4C-71BAD1F7B3CA} - C:\WINDOWS\System32\hggdb.dll (file missing)

O2 - BHO: (no name) - {66B134E4-7952-4093-A2F3-C7CAAF2E5674} - C:\WINDOWS\System32\ikasgvoj.dll

O2 - BHO: (no name) - {67C55A8D-E808-4caa-9EA7-F77102DE0BB6} - C:\WINDOWS\System32\widlhmvw.dll (file missing)

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST1.03.0000.1005\en-xu\stmain.dll

O2 - BHO: (no name) - {9DED2B32-743B-47EB-874C-28AECF2A268D} - C:\WINDOWS\System32\awtqnkh.dll (file missing)

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar1.02.5000.1021\fr\msntb.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar1.02.5000.1021\fr\msntb.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe"

O4 - HKLM\..\Run: [clcl3] C:\WINDOWS\System32\clcl3.exe

O4 - HKLM\..\Run: [MSN MESSENGER 9.0] messengerr.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [PrintDrive] rundll32.exe "C:\WINDOWS\System32\kcsjjmqv.dll",setvm

O4 - HKLM\..\Run: [Office Monitors] C:\WINDOWS\System32\GoogleUpdater.exe

O4 - HKLM\..\Run: [Microsft Security Monitor Process] cmh.exe

O4 - HKLM\..\Run: [Winamp Media] C:\WINDOWS\System32\qmedia.exe

O4 - HKLM\..\RunServices: [MSN MESSENGER 9.0] messengerr.exe

O4 - HKLM\..\RunServices: [Microsft Security Monitor Process] cmh.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSN MESSENGER 9.0] messengerr.exe

O4 - HKCU\..\Run: [Office Monitors] C:\WINDOWS\System32\GoogleUpdater.exe

O4 - HKCU\..\Run: [Winamp Media] C:\WINDOWS\System32\qmedia.exe