Machine lente - rapport hijackthis

titoch33 · le 19 mai 2007

Je pense que je suis arrivé à bout du spyware SmitFraud mais ca rame toujours

voyez-vous qqch dans le rapport

Logfile of Trend Micro HijackThis v2.0.0 (BETA)

Scan saved at 12:01:59, on 19/05/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

C:\WINDOWS\system32\RioMSC.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe

C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe

C:\Program Files\Softwin\BitDefender10\vsserv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\Softwin\BitDefender10\bdmcon.exe

C:\Program Files\Softwin\BitDefender10\bdagent.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\WINDOWS\BricoPacks\Crystal Clear\RocketDock\RocketDock.exe

C:\WINDOWS\BricoPacks\Crystal Clear\YzToolbar\YzToolBar.exe

C:\Program Files\MSN Messenger\usnsvc.exe

C:\Program Files\Maxthon\Maxthon.exe

C:\Program Files\Azureus\Azureus.exe

C:\PROGRA~1\MOZILL~1\FIREFOX.EXE

D:\NewInstallation\antispyware\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://free.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

O2 - BHO: (no name) - {0154295E-8111-3C20-576F-0341EF6F671E} - C:\WINDOWS\system32\myuccnb.dll (file missing)

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll

O2 - BHO: msdn_lib.msdn_hlp - {7C2F2C76-1489-450D-B8FB-0B9692D788F9} - C:\WINDOWS\system32\msdn_lib.dll (file missing)

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll

O4 - HKLM\..\Run: [ATIPTA] "C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe"

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\system32\taskswitch.exe

O4 - HKLM\..\Run: [FastUser] C:\WINDOWS\system32\fast.exe

O4 - HKLM\..\Run: [bDMCon] "C:\Program Files\Softwin\BitDefender10\bdmcon.exe" /reg

O4 - HKLM\..\Run: [bDAgent] "C:\Program Files\Softwin\BitDefender10\bdagent.exe"

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [RocketDock] "C:\WINDOWS\BricoPacks\Crystal Clear\RocketDock\RocketDock.exe"

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Startup: RocketDock.lnk = C:\WINDOWS\BricoPacks\Crystal Clear\RocketDock\RocketDock.exe

O8 - Extra context menu item: Easy-WebPrint Ajouter à la Liste à Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html

O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html

O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html

O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\WINDOWS\system32\shdocvw.dll

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\WINDOWS\system32\shdocvw.dll

O16 - DPF: fdjeux - https://www.fdjeux.net/classes/fdjeux.cab

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://webscanner.kaspersky.fr/kavwebscan_unicode.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1117322060062

O17 - HKLM\System\CCS\Services\Tcpip\..\{0D489007-5C73-4F65-BE18-FD913DDF4D21}: NameServer = 212.27.54.252,212.27.54.253

O20 - Winlogon Notify: A3dxq - C:\WINDOWS\system32\a3dxx.dll

O20 - Winlogon Notify: wingsa32 - wingsa32.dll (file missing)

O22 - SharedTaskScheduler: Pré-chargeur Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll

O22 - SharedTaskScheduler: Démon de cache des catégories de composant - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll

O22 - SharedTaskScheduler: {03413bf7-e34c-445b-bfc0-a2b127255871} - incestuously - (no file)

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe

O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Journal des événements (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe

O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

O23 - Service: BitDefender Desktop Update Service (LIVESRV) - SOFTWIN S.R.L. - C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe

O23 - Service: Plug-and-Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe

O23 - Service: RIO Mass Storage C (RioMSC) - Digital Networks North America, Inc. - C:\WINDOWS\system32\RioMSC.exe

O23 - Service: SiSoftware Database Agent Service (SandraDataSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite XI.SP1\Win32\RpcDataSrv.exe

O23 - Service: SiSoftware Sandra Agent Service (SandraTheSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite XI.SP1\RpcSandraSrv.exe

O23 - Service: Cliché instantané de volume (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe

O23 - Service: BitDefender Virus Shield (VSSERV) - SOFTWIN S.R.L. - C:\Program Files\Softwin\BitDefender10\vsserv.exe

O23 - Service: Carte de performance WMI (WmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\wmiapsrv.exe

O23 - Service: BitDefender Communicator (XCOMM) - Softwin - C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe

--

End of file - 7827 bytes

Merci

bruce lee · le 19 mai 2007

Bonjjour titoch33 et bienvenue sur zebulon

1. Télécharge combofix.exe (par sUBs) ici :

http://www.techsupportforum.com/sectools/sUBs/ComboFix.exe

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

sur ton Bureau.

2. Double clique combofix.exe et suis les invites.

3. Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.

titoch33 · le 19 mai 2007

"Girondin" - 2007-05-19 13:44:12 Service Pack 2

ComboFix 07-05.19.5.V - Running from: "D:\NewInstallation\"

(((((((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

C:\WINDOWS\system32\vexg4am1et2.exe

C:\WINDOWS\system32\vexg6ame4.exe

C:\WINDOWS\system32\vexga1me4t1.exe

C:\WINDOWS\system32\vexga8me6.exe

C:\U.exe

C:\WINDOWS\retadpu27.exe

C:\DOCUME~1\Girondin\APPLIC~1\Install.dat

C:\WINDOWS\system32\ipv6mons.dll

C:\WINDOWS\764.exe

C:\Documents and Settings\All Users.\documents\settings\desktop.ini

C:\WINDOWS\system32\rpcc.exe

C:\Documents and Settings\All Users.\documents\settings

C:\Program Files\ipwindows

C:\WINDOWS\system32\components

C:\WINDOWS\system32\a3dxx.dll

((((((((((((((((((((((((((((((( Files Created from 2007-04-05 to 2007-05-19 ))))))))))))))))))))))))))))))))))

2007-05-19 12:14 1,810 --a------ C:\WINDOWS\system32\tmp.reg

2007-05-19 12:13 53,248 --a------ C:\WINDOWS\system32\Process.exe

2007-05-19 12:13 51,200 --a------ C:\WINDOWS\system32\dumphive.exe

2007-05-19 12:13 288,417 --a------ C:\WINDOWS\system32\SrchSTS.exe

2007-05-18 20:24 4 --a------ C:\WINDOWS\system32\stfv.bin

2007-05-18 20:24 1,040,384 --a------ C:\WINDOWS\system32\libeay32.dll

2007-05-18 20:23 196,608 --a------ C:\WINDOWS\system32\ssleay32.dll

2007-05-14 07:36 12 --a------ C:\WINDOWS\system32\sl.bin

2007-05-14 07:35 9,216 --a------ C:\WINDOWS\pbar.dll

2007-05-14 07:35 8,960 --a------ C:\WINDOWS\wml.exe

2007-05-14 07:35 75,264 --a------ C:\WINDOWS\installer.exe

2007-05-14 07:35 32,512 --a------ C:\WINDOWS\salm.exe

2007-05-14 07:35 32,000 --a------ C:\WINDOWS\cdsm32.dll

2007-05-14 07:35 30,976 --a------ C:\WINDOWS\updatetc.exe

2007-05-14 07:35 29,952 --a------ C:\WINDOWS\Biprep.exe

2007-05-14 07:35 27,392 --a------ C:\WINDOWS\system32\wml.exe

2007-05-14 07:35 26,624 --a------ C:\WINDOWS\SUSP.exe

2007-05-14 07:35 26,624 --a------ C:\WINDOWS\bi.dll

2007-05-14 07:35 26,368 --a------ C:\WINDOWS\vxddsk.exe

2007-05-14 07:35 25,856 --a------ C:\WINDOWS\stcloader.exe

2007-05-14 07:35 24,576 --a------ C:\WINDOWS\flt.dll

2007-05-14 07:35 22,528 --a------ C:\WINDOWS\system32\MSIXU.DLL

2007-05-14 07:35 22,272 --a------ C:\WINDOWS\saiemod.dll

2007-05-14 07:35 21,504 --a------ C:\WINDOWS\system32\vxddsk.exe

2007-05-14 07:35 19,968 --a------ C:\WINDOWS\system32\WER8274.DLL

2007-05-14 07:35 15,360 --a------ C:\WINDOWS\satmat.exe

2007-05-14 07:35 15,104 --a------ C:\WINDOWS\voiceip.dll

2007-05-14 07:35 14,848 --a------ C:\WINDOWS\7search.dll

2007-05-14 07:35 14,336 --a------ C:\WINDOWS\swin32.dll

2007-05-14 07:35 13,568 --a------ C:\WINDOWS\mssvr.exe

2007-05-14 07:35 13,312 --a------ C:\WINDOWS\bokja.exe

2007-05-14 07:35 13,056 --a------ C:\WINDOWS\bjam.dll

2007-05-14 07:35 12,544 --a------ C:\WINDOWS\mspphe.dll

2007-05-14 07:35 12,288 --a------ C:\WINDOWS\180ax.exe

2007-05-14 07:35 12 --a------ C:\WINDOWS\system32\gtv_sd.bin

2007-05-14 07:34 12,800 --a------ C:\WINDOWS\system32\wmvds32.dll

2007-05-14 07:33 24,576 --a------ C:\WINDOWS\system32\drivers\uzcx.exe

2007-05-05 20:01 <REP> d-------- C:\Program Files\SopCast

2007-05-05 20:01 <REP> d-------- C:\DOCUME~1\Girondin\APPLIC~1\SopCast

(((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))))

2007-05-19 11:48:44 -------- d-----w C:\DOCUME~1\Girondin\APPLIC~1\Azureus

2007-05-19 11:45:36 81,984 ----a-w C:\WINDOWS\system32\bdod.bin

2007-05-19 10:13:34 -------- d-----w C:\Program Files\Maxthon

2007-05-18 21:11:57 913,408 ----a-w C:\WINDOWS\system32\xreglib.dll

2007-05-13 20:52:04 -------- d-----w C:\Program Files\Microsoft Money 2005

2007-05-08 18:45:21 -------- d--h--w C:\Program Files\InstallShield Installation Information

2007-05-04 17:37:15 -------- d-----w C:\DOCUME~1\Girondin\APPLIC~1\Canon

2007-04-13 17:01:01 -------- d-----w C:\Program Files\Movie Maker

2007-04-09 17:21:52 4,839 ----a-w C:\WINDOWS\BricoPackFoldersDelete.cmd

2007-04-09 17:21:49 52,499 ----a-w C:\WINDOWS\BricoPackUninst.cmd

2007-04-09 17:21:45 219,648 ----a-w C:\WINDOWS\system32\uxtheme.dll

2007-04-09 10:01:56 -------- d-----w C:\Program Files\Foxit Software

2007-04-06 14:01:32 48,616 ----a-w C:\WINDOWS\system32\perfc00C.dat

2007-04-06 14:01:32 367,658 ----a-w C:\WINDOWS\system32\perfh00C.dat

2007-03-30 19:18:47 -------- d-----w C:\Program Files\SiSoftware

(((((((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries & legit default entries are not shown

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]

{0154295E-8111-3C20-576F-0341EF6F671E}=C:\WINDOWS\system32\myuccnb.dll []

{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}=C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll [2006-01-12 20:38]

{53707962-6F74-2D53-2644-206D7942484F}=C:\PROGRA~1\SPYBOT~1\SDHelper.dll [2005-05-31 01:04]

{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}=C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll [2006-11-09 16:21]

{7C2F2C76-1489-450D-B8FB-0B9692D788F9}=C:\WINDOWS\system32\msdn_lib.dll []

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ATIPTA"="C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe" [2005-08-05 21:05]

"SoundMan"="SOUNDMAN.EXE" []

"CoolSwitch"="C:\WINDOWS\system32\taskswitch.exe" []

"FastUser"="C:\WINDOWS\system32\fast.exe" [2001-10-08 12:59]

"BDMCon"="C:\Program Files\Softwin\BitDefender10\bdmcon.exe" [2007-05-18 23:11]

"BDAgent"="C:\Program Files\Softwin\BitDefender10\bdagent.exe" [2007-05-18 23:11]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"msnmsgr"="C:\Program Files\MSN Messenger\msnmsgr.exe" [2007-01-19 13:55]

"RocketDock"="C:\WINDOWS\BricoPacks\Crystal Clear\RocketDock\RocketDock.exe" [2006-05-14 22:47]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]

"SetVisualStyle"=C:\WINDOWS\Resources\Themes\Crystal Clear Aero\Crystal Clear Aero.msstyles

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]

"NoViewOnDrive"=0 (0x0)

"NoAutoUpdate"=1 (0x1)

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]

"{57B86673-276A-48B2-BAE7-C6DBB3020EB8}"="C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\shellexecutehook.dll" [2006-09-28 16:13]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\wingsa32]

wingsa32.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]

"appinit_dlls"=sockspy.dll

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]

Authentication Packages msv1_0

Security Packages kerberos msv1_0 schannel wdigest

Notification Packages scecli

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^ATI CATALYST System Tray.lnk]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Lancement rapide d'Adobe Reader.lnk]

path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Lancement rapide d'Adobe Reader.lnk

backup=C:\WINDOWS\pss\Lancement rapide d'Adobe Reader.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Microsoft Office.lnk]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^Girondin^Menu Démarrer^Programmes^Démarrage^Outil de détection de support de Cyber-shot Viewer.lnk]

path=C:\Documents and Settings\Girondin\Menu Démarrer\Programmes\Démarrage\Outil de détection de support de Cyber-shot Viewer.lnk

backup=C:\WINDOWS\pss\Outil de détection de support de Cyber-shot Viewer.lnkStartup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\!AVG Anti-Spyware]

"C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ATICCC]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CloneCDElbyCDFL]

"C:\Program Files\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools-1033]

"C:\Program Files\D-Tools\daemon.exe" -lang 1033

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DllRunning]

rundll32.exe "C:\WINDOWS\system32\gihjdpwl.dll",setvm

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\EPoXUSDM]

"C:\Program Files\EPoX\USDM\USDM.EXE" "5000"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MessengerPlus3]

"C:\Program Files\MessengerPlus! 3\MsgPlus.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]

C:\WINDOWS\system32\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\OpwareSE2]

"C:\Program Files\ScanSoft\OmniPageSE2.0\OpwareSE2.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ppmate]

C:\Program Files\PPMate\PPMate\ppmate.exe -autoplay

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]

"C:\Program Files\QuickTime\qttask.exe" -atboottime

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\qykriee.dll]

C:\WINDOWS\system32\rundll32.exe C:\WINDOWS\system32\qykriee.dll,hflumte

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Registry Cleaner Scheduler]

"C:\Program Files\CleanMyPC\Registry Cleaner\RCScheduler.exe" /startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\runner1]

C:\WINDOWS\retadpu27.exe 61A847B5BBF72810358B2B27128065E9C084320161C4661227A755E9C2933154389A

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Service Pack 1]

C:\WINDOWS\system32\vexg6ame4.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]

"C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\updateMgr]

"C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_8 -reboot 1

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WindowsHive]

C:\WINDOWS\system32\rpcc.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Yahoo! Pager]

"C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe" -quiet

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

HTTPFilter HTTPFilter

LocalService Alerter WebClient LmHosts RemoteRegistry upnphost SSDPSRV

NetworkService DnsCache

DcomLaunch DcomLaunch TermService

rpcss RpcSs

imgsvc StiSvc

termsvcs TermService

HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost *netsvcs*

[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{9e6a1b73-d989-11db-b5ab-000e2e83b4a5}]

Shell\AutoRun\command M:\start.exe

Shell\FramaKey\command M:\start.exe

********************************************************************

catchme 0.3.660 W2K/XP/Vista - userland rootkit detector by Gmer, http://www.gmer.net

Rootkit scan 2007-05-19 13:50:17

Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully

hidden files: 0

********************************************************************

Completion time: 2007-05-19 13:52:22 - machine was rebooted

C:\ComboFix-quarantined-files.txt ... 2007-05-19 13:52

--- E O F -

titoch33 · le 19 mai 2007

help!!

bruce lee · le 25 mai 2007

Salut titoch33,

Le site zebulon a eu un probleme et les posts de ces 4 derniers jours n'existent plus, remet moi --si tu te rappeles-- la derniere manip qu'on a fait.

@+

Modifié le 25 mai 2007 par bruce lee

titoch33 · le 25 mai 2007

TON DERNIER POST :

Si durant la procédure ci-dessous, il y a des étapes que tu n'as pas reussi a faire, merci de continuer la procédure jusqu'au bout et de les signaler dans ta prochaine reponse.

Je te conseille d'enregistrer la page web compléte sous Internet Explorer comme ceci :

* Clique sur Fichier/Enregistrer sous Dans Type, choisis : Archive web (fichier seul (*.mht) / Enregistre la sur le bureau,comme cela tu retrouvera la mise en forme ou imprime cette réponse. Une partie de la désinfection se déroulera en mode sans échec.

1/ Ouvre le Bloc-notes (Démarrer\Tous les programmes\Accessoires\Bloc-notes)

2/ Copie ce qui est en citation ci-dessous (sans le mot citation) par sélection puis Ctrl-C :

CITATION

REGEDIT4

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DllRunning]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\qykriee.dll]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\runner1]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Service Pack 1]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WindowsHive]

-Enregistrez ce fichier reg dans : Bureau

-Nom du fichier : fixme.reg

-Type du fichier : tous les fichiers

-cliquez sur Enregistrer

-quittez le Bloc Notes

3/Télécharge puis installe http://www.ewido.net/en/download

Une fois AVG AS lancé, clique sur Mise à jour

Ferme le programme.

Télécharge SDFix(créé par AndyManchesta) et sauvegarde le sur ton Bureau.

Télécharger The Avenger par Swandog46 sur le Bureau

http://swandog46.geekstogo.com/avenger.zip

* Clique sur Avenger.zip pour ouvrir le fichier

* Extraire avenger.exe sur le Bureau

4/Lance hijackthis en cliquant sur do a scan system only et coche ces lignes:

O2 - BHO: (no name) - {0154295E-8111-3C20-576F-0341EF6F671E} - C:\WINDOWS\system32\myuccnb.dll (file missing)

O2 - BHO: msdn_lib.msdn_hlp - {7C2F2C76-1489-450D-B8FB-0B9692D788F9} - C:\WINDOWS\system32\msdn_lib.dll (file missing)

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O20 - Winlogon Notify: A3dxq - C:\WINDOWS\system32\a3dxx.dll

O20 - Winlogon Notify: wingsa32 - wingsa32.dll (file missing)

O22 - SharedTaskScheduler: {03413bf7-e34c-445b-bfc0-a2b127255871} - incestuously - (no file)

Ferme toutes les fenêtres ouvertes sauf Hijackthis et clique sur fix checked

5/Copie ce qui est en citation sans le mot citation (pour copier: Ctrl+C ):

CITATION

Files to delete:

C:\WINDOWS\system32\vexg4am1et2.exe

C:\WINDOWS\system32\vexg6ame4.exe

C:\WINDOWS\system32\vexga1me4t1.exe

C:\WINDOWS\system32\vexga8me6.exe

C:\U.exe

C:\WINDOWS\764.exe

C:\Documents and Settings\All Users.\documents\settings\desktop.ini

C:\WINDOWS\system32\a3dxx.dll

C:\WINDOWS\system32\sl.bin

C:\WINDOWS\pbar.dll

C:\WINDOWS\wml.exe

C:\WINDOWS\installer.exe

C:\WINDOWS\salm.exe

C:\WINDOWS\cdsm32.dll

C:\WINDOWS\updatetc.exe

C:\WINDOWS\Biprep.exe

C:\WINDOWS\system32\wml.exe

C:\WINDOWS\system32\a3dxx.dll

C:\WINDOWS\SUSP.exe

C:\WINDOWS\bi.dll

C:\WINDOWS\vxddsk.exe

C:\WINDOWS\stcloader.exe

C:\WINDOWS\flt.dll

C:\WINDOWS\system32\MSIXU.DLL

C:\WINDOWS\saiemod.dll

C:\WINDOWS\system32\vxddsk.exe

C:\WINDOWS\system32\WER8274.DLL

C:\WINDOWS\satmat.exe

C:\WINDOWS\voiceip.dll

C:\WINDOWS\7search.dll

C:\WINDOWS\swin32.dll

C:\WINDOWS\system32\gihjdpwl.dll

C:\WINDOWS\mssvr.exe

C:\WINDOWS\bokja.exe

C:\WINDOWS\bjam.dll

C:\WINDOWS\system32\qykriee.dll

C:\WINDOWS\retadpu27.exe

C:\WINDOWS\mspphe.dll

C:\WINDOWS\180ax.exe

C:\WINDOWS\system32\gtv_sd.bin

C:\WINDOWS\system32\wmvds32.dll

C:\WINDOWS\system32\drivers\uzcx.exe

C:\WINDOWS\system32\bdod.bin

C:\WINDOWS\system32\rpcc.exe

C:\WINDOWS\retadpu27.exe

C:\WINDOWS\system32\qykriee.dll

C:\WINDOWS\system32\gihjdpwl.dll

Folders to delete:

C:\Program Files\SopCast

C:\Documents and Settings\Girondin\Application Data\SopCast

6/ Maintenant, lancer The Avenger en cliquant sur son icône du bureau.

* Sous "Script file to execute" choisir "Input Script Manually".

* Puis cliquer sur l'icône en forme de loupe qui va ouvrir une nouvelle fenêtre "View/edit script"

* Dans cette fenêtre, coller le texte précedemment copié sur le bureau par les touches (Ctrl+V).

* Cliquer Done

* ensuite cliquer sur l'icône en forme de Feu Vert pour démarrer l'exécution du script

* Répondre "Yes" deux fois quand demandé.

7/ The Avenger va automatiquement faire ce qui suit:

* Il va redémarrer le système. ( Dans les cas où le script contient un/des "Drivers to Unload", The Avenger re-démarrera votre système 2 fois.)

* Pendant le redémarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur votre bureau, ceci est NORMAL.

*Après le redémarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt

* The Avenger aura également sauvegardé tous les fichiers, etc., que vous lui avez demandé de supprimer, les aura compactés (zipped) et tranféré l'archive zip ici C:\avenger\backup.zip.

8/ Pour finir copier/coller le contenu du ficher c:\avenger.txt dans une réponse

9/ Démarre en mode sans échec http://www.sosordi.net/Faq/Faq.2.html

10/Utilisation du fichier: fixme.reg précedemment créé

- double cliquez sur le fichier (Bureau) / Acceptez l'avertissement concernant la fusion / ne pas s'étonner de ne rien voir / validez le message disant que la fusion est terminée.

11/ * Double cliquer sur smitfraudfix.exe

* Sélectionner 2 dans le menu pour supprimer les fichiers responsables de l'infection.

* A la question: Voulez-vous nettoyer le registre ? répondre O (oui)

sauvegarde le rapport.

12/ Relance AVG AS puis choisis l'onglet Analyse

Puis l'onglet Paramètres

Sous la question Comment réagir ?, clique sur Actions recommandées et choisis Quarantaine

Reclique sur l'onglet Analyse puis réalise une Analyse complète du système

Si un fichier infecté est détecté en fin d'analyse

Clique sur Appliquer toutes les actions

Clique sur Enregistrer le rapport puis sur Enregistrer le rapport sous

Enregistre ce fichier texte sur ton bureau

13/[*]En mode sans échec, fais un clic droit sur le fichier SDFix.zip et choisis extraire tout,

[*]Ouvre le dossier SDFix qui vient d'être créé sur le Bureau et double clique sur RunThis.bat pour lancer le script.

[*]Appuie sur Y pour commencer le script.

[*]Il va supprimer les services de certains trojans, effectuera aussi quelques réparations du Registre et il te demandera d'appuyer sur une touche pour redémarrer.

[*]Appuie sur une touche pour redémarrer le PC.

[*]Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.

[*]Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.

[*]Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.

[*]Enfin, ouvre le dossier de SDFix sur ton Bureau et copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum, avec un nouveau log Hijackthis !

14/Poste le rapport d'AVG Anti spyware 7.5 ainsi que le rapport de smitfraudfix option 2.

15/ Relance combofix puis refais un scan et poste le rapport.

Bon courage, et si tu as la moindre question n'hésite surtout pas

@+

Ce message a été modifié par bruce lee - dimanche 20 mai 2007 à 20h51.

titoch33 · le 25 mai 2007

AVENGER

Logfile of The Avenger version 1, by Swandog46

Running from registry key:

\Registry\Machine\System\CurrentControlSet\Services\tpnnpjqe

*******************

Script file located at: \??\C:\WINDOWS\system32\mhkxypno.txt

Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\system32\vexg4am1et2.exe not found!

Deletion of file C:\WINDOWS\system32\vexg4am1et2.exe failed!

Could not process line:

C:\WINDOWS\system32\vexg4am1et2.exe

Status: 0xc0000034

File C:\WINDOWS\system32\vexg6ame4.exe not found!

Deletion of file C:\WINDOWS\system32\vexg6ame4.exe failed!

Could not process line:

C:\WINDOWS\system32\vexg6ame4.exe

Status: 0xc0000034

File C:\WINDOWS\system32\vexga1me4t1.exe not found!

Deletion of file C:\WINDOWS\system32\vexga1me4t1.exe failed!

Could not process line:

C:\WINDOWS\system32\vexga1me4t1.exe

Status: 0xc0000034

File C:\WINDOWS\system32\vexga8me6.exe not found!

Deletion of file C:\WINDOWS\system32\vexga8me6.exe failed!

Could not process line:

C:\WINDOWS\system32\vexga8me6.exe

Status: 0xc0000034

File C:\U.exe not found!

Deletion of file C:\U.exe failed!

Could not process line:

C:\U.exe

Status: 0xc0000034

File C:\WINDOWS\764.exe not found!

Deletion of file C:\WINDOWS\764.exe failed!

Could not process line:

C:\WINDOWS\764.exe

Status: 0xc0000034

Could not open file C:\Documents and Settings\All Users.\documents\settings\desktop.ini for deletion

Deletion of file C:\Documents and Settings\All Users.\documents\settings\desktop.ini failed!

Could not process line:

C:\Documents and Settings\All Users.\documents\settings\desktop.ini

Status: 0xc000003a

File C:\WINDOWS\system32\a3dxx.dll not found!

Deletion of file C:\WINDOWS\system32\a3dxx.dll failed!

Could not process line:

C:\WINDOWS\system32\a3dxx.dll

Status: 0xc0000034

File C:\WINDOWS\system32\sl.bin deleted successfully.

File C:\WINDOWS\pbar.dll deleted successfully.

File C:\WINDOWS\wml.exe deleted successfully.

File C:\WINDOWS\installer.exe deleted successfully.

File C:\WINDOWS\salm.exe deleted successfully.

File C:\WINDOWS\cdsm32.dll deleted successfully.

File C:\WINDOWS\updatetc.exe deleted successfully.

File C:\WINDOWS\Biprep.exe deleted successfully.

File C:\WINDOWS\system32\wml.exe deleted successfully.

File C:\WINDOWS\system32\a3dxx.dll not found!

Deletion of file C:\WINDOWS\system32\a3dxx.dll failed!

Could not process line:

C:\WINDOWS\system32\a3dxx.dll

Status: 0xc0000034

File C:\WINDOWS\SUSP.exe deleted successfully.

File C:\WINDOWS\bi.dll deleted successfully.

File C:\WINDOWS\vxddsk.exe deleted successfully.

File C:\WINDOWS\stcloader.exe deleted successfully.

File C:\WINDOWS\flt.dll deleted successfully.

File C:\WINDOWS\system32\MSIXU.DLL deleted successfully.

File C:\WINDOWS\saiemod.dll deleted successfully.

File C:\WINDOWS\system32\vxddsk.exe deleted successfully.

File C:\WINDOWS\system32\WER8274.DLL deleted successfully.

File C:\WINDOWS\satmat.exe deleted successfully.

File C:\WINDOWS\voiceip.dll deleted successfully.

File C:\WINDOWS\7search.dll deleted successfully.

File C:\WINDOWS\swin32.dll deleted successfully.

File C:\WINDOWS\system32\gihjdpwl.dll not found!

Deletion of file C:\WINDOWS\system32\gihjdpwl.dll failed!

Could not process line:

C:\WINDOWS\system32\gihjdpwl.dll

Status: 0xc0000034

File C:\WINDOWS\mssvr.exe deleted successfully.

File C:\WINDOWS\bokja.exe deleted successfully.

File C:\WINDOWS\bjam.dll deleted successfully.

File C:\WINDOWS\system32\qykriee.dll not found!

Deletion of file C:\WINDOWS\system32\qykriee.dll failed!

Could not process line:

C:\WINDOWS\system32\qykriee.dll

Status: 0xc0000034

File C:\WINDOWS\retadpu27.exe not found!

Deletion of file C:\WINDOWS\retadpu27.exe failed!

Could not process line:

C:\WINDOWS\retadpu27.exe

Status: 0xc0000034

File C:\WINDOWS\mspphe.dll deleted successfully.

File C:\WINDOWS\180ax.exe deleted successfully.

File C:\WINDOWS\system32\gtv_sd.bin deleted successfully.

File C:\WINDOWS\system32\wmvds32.dll deleted successfully.

File C:\WINDOWS\system32\drivers\uzcx.exe deleted successfully.

File C:\WINDOWS\system32\bdod.bin deleted successfully.

File C:\WINDOWS\system32\rpcc.exe not found!

Deletion of file C:\WINDOWS\system32\rpcc.exe failed!

Could not process line:

C:\WINDOWS\system32\rpcc.exe

Status: 0xc0000034

File C:\WINDOWS\retadpu27.exe not found!

Deletion of file C:\WINDOWS\retadpu27.exe failed!

Could not process line:

C:\WINDOWS\retadpu27.exe

Status: 0xc0000034

File C:\WINDOWS\system32\qykriee.dll not found!

Deletion of file C:\WINDOWS\system32\qykriee.dll failed!

Could not process line:

C:\WINDOWS\system32\qykriee.dll

Status: 0xc0000034

File C:\WINDOWS\system32\gihjdpwl.dll not found!

Deletion of file C:\WINDOWS\system32\gihjdpwl.dll failed!

Could not process line:

C:\WINDOWS\system32\gihjdpwl.dll

Status: 0xc0000034

Folder C:\Program Files\SopCast deleted successfully.

Folder C:\Documents and Settings\Girondin\Application Data\SopCast deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

SDFIX

SDFix: Version 1.84

Run by Girondin - 22/05/2007 - 23:17:31,21

Microsoft Windows XP [version 5.1.2600]

Running From: C:\DOCUME~1\Girondin\Bureau\SDFix

Safe Mode:

Checking Services:

Restoring Windows Registry Values

Restoring Windows Default Hosts File

Restoring Missing Security Center Service

Rebooting...

Normal Mode:

Checking Files:

Below files will be copied to Backups folder then removed:

C:\78691961 - Deleted

Removing Temp Files...

ADS Check:

Checking if ADS is attached to system32 Folder

C:\WINDOWS\system32

:lzx32.sys 71608

Total size: 71608 bytes.

system32: deleted 71608 bytes in 1 streams.

Checking for remaining Streams

C:\WINDOWS\system32

No streams found.

Checking if ADS is attached to svchost.exe

C:\WINDOWS\system32\svchost.exe

No streams found.

Final Check:

Remaining Services:

------------------

Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

Remaining Files:

---------------

Backups Folder: - C:\DOCUME~1\Girondin\Bureau\SDFix\backups\backups.zip

Checking For Files with Hidden Attributes:

C:\Program Files\Fichiers communs\Adobe\ESD\DLMCleanup.exe

C:\Program Files\PPLive TV\Setup.exe

Finished

HIJACKTHIS

Logfile of Trend Micro HijackThis v2.0.0 (BETA)

Scan saved at 23:26:24, on 22/05/2007