[resolu] je suis infecté par Vundo.Gen et par Dldr.ConHook.Gen

j.bud · le 26 août 2007

ok

bonne nuit

bruce lee · le 27 août 2007

Re,

1/Affiche tout les fichiers:

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Cocher la case : Afficher les fichiers et dossiers cachés

Décocher la case : Masquer les extensions des fichiers dont le type est connu

Décocher la case : Masquer les fichiers protégés du système d'exploitation

cliquer sur "Appliquer"

cliquer sur le bouton "Appliquer à tous les dossiers" / OK

2/Rend toi ensuite sur ce site http://virusscan.jotti.org/ et fait analyser Executor.exe qui se trouve ici:

C:\WINDOWS\system32\Executor.exe

puis post le resultat.

@+

j.bud · le 27 août 2007

salut bruce,

pendant le scan de jotti, antivir a repéré 3-4 troyen et m'a demandé de leur refuser l'accés.

ci dessous le scan de jotti

Service load:

0% 100%

File: Executor.exe.bat

Status:

OK

MD5: 134e8c140f992d713e3d5283ba5914e2

Packers detected:

-

Bit9 reports: File not found

Scanner results

Scan taken on 27 Aug 2007 09:48:16 (GMT)

A-Squared

Found nothing

AntiVir

Found nothing

ArcaVir

Found nothing

Avast

Found nothing

AVG Antivirus

Found nothing

BitDefender

Found nothing

ClamAV

Found nothing

CPsecure

Found nothing

Dr.Web

Found nothing

F-Prot Antivirus

Found nothing

F-Secure Anti-Virus

Found nothing

Fortinet

Found nothing

Kaspersky Anti-Virus

Found nothing

NOD32

Found nothing

Norman Virus Control

Found nothing

Panda Antivirus

Found nothing

Rising Antivirus

Found nothing

Sophos Antivirus

Found nothing

VirusBuster

Found nothing

VBA32

Found nothing

et les stats, je sais pas si ça sert mais je te les mets quand même

Statistics

Last file scanned at least one scanner reported something about: virus.zip (MD5: 9c9de2453ac14f505beb350475178cf6, size: 2043 bytes), detected by:

Scanner Malware name

A-Squared X

AntiVir VBS/Sasan.101

ArcaVir X

Avast X

AVG Antivirus X

BitDefender Worm.VBS.Solow.C

ClamAV X

CPsecure Worm.VBS.Solow.A

Dr.Web X

F-Prot Antivirus VBS/Solow.A

F-Secure Anti-Virus Worm.VBS.Solow.b

Fortinet X

Kaspersky Anti-Virus Worm.VBS.Solow.b

NOD32 X

Norman Virus Control X

Panda Antivirus X

Rising Antivirus X

Sophos Antivirus VBS/Sasan-Fam

VirusBuster X

VBA32 X

j.bud · le 27 août 2007

virtu monde est arrivé dans la partie bloqué par spyware doctor

bruce lee · le 27 août 2007

Re,

1/ Ouvre le Bloc-notes ( Menu Démarrer\Tous les programmes\Accessoires\Bloc-notes)

2/ Copie ce qui est en citation ci-dessous (sans le mot citation) par sélection puis Ctrl-C :

File::
C:\WINDOWS\system32\ppqss.bak1

C:\WINDOWS\system32\kernel1.exe

C:\WINDOWS\jautoexp.dat

C:\WINDOWS\system32\zonedon.reg

C:\WINDOWS\system32\zonedoff.reg

C:\WINDOWS\system32\rjpjfef.exe

C:\WINDOWS\system32\vtuurpq.dll

C:\WINDOWS\system32\kbzildcq.bat

C:\WINDOWS\system32\xkin.bat

Registry::

[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{57D6708C-88E2-4CAB-9FA4-78BB8CA3A3C4}]

[-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\vtuurpq]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]

"{57D6708C-88E2-4CAB-9FA4-78BB8CA3A3C4}"=-

-Enregistre ce fichier dans: Bureau

-Nom du fichier : CFScript

-Type du fichier : tous les fichiers

-clique sur Enregistrer

-quitte le Bloc Notes

[*]Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture

Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort), tape 1 puis valide.
Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!
Ne touche à rien tant que le scan n'est pas terminé.
Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

j.bud · le 27 août 2007

j'ai du faire la manip 2 fois.

la première fois l'ordi s'est figé pendant 30mn et j'ai rebooter brutalement

pendant la deuxième manip,

antivir m'a signaler TR/trash.gen aux endroits suivants

C:\windows\systm32\vtuurpq.dll

et

C:\QooBox\quarantine\c\...\vtuurpq.dll.vir

j'ai refuser l'accés à chaque fois

voila le rapport du 2ème

ComboFix 07-08-26.3 - "j‚r‚mie" 2007-08-27 18:58:49.4 - NTFSx86

Microsoft Windows XP ?dition familiale 5.1.2600.2.1252.1.1036.18.613 [GMT 2:00]

Command switches used :: C:\Documents and Settings\j‚r‚mie\Bureau\cfscript.txt

FILE::

C:\WINDOWS\system32\ppqss.bak1

C:\WINDOWS\system32\kernel1.exe

C:\WINDOWS\jautoexp.dat

C:\WINDOWS\system32\zonedon.reg

C:\WINDOWS\system32\zonedoff.reg

C:\WINDOWS\system32\rjpjfef.exe

C:\WINDOWS\system32\vtuurpq.dll

C:\WINDOWS\system32\kbzildcq.bat

C:\WINDOWS\system32\xkin.bat

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

C:\WINDOWS\system32\vtuurpq.dll

((((((((((((((((((((((((( Files Created from 2007-07-27 to 2007-08-27 )))))))))))))))))))))))))))))))

2007-08-26 14:13 51,200 --a------ C:\WINDOWS\nircmd.exe

2007-08-26 12:34 <REP> d-------- C:\Program Files\Trend Micro

2007-08-26 12:25 <REP> d-------- C:\VundoFix Backups

2007-08-26 12:20 <REP> d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\AntiVir PersonalEdition Classic

2007-08-26 11:41 <REP> d-------- C:\Program Files\hijack this

2007-08-25 20:21 86,094 --a------ C:\WINDOWS\BPMNT.dll

2007-08-25 20:21 1,163,344 --a------ C:\WINDOWS\vsapi32.dll

2007-08-25 20:20 <REP> d-------- C:\WINDOWS\AU_Temp

2007-08-25 17:09 82,248 --a------ C:\WINDOWS\system32\drivers\iksyssec.sys

2007-08-25 17:09 57,672 --a------ C:\WINDOWS\system32\drivers\iksysflt.sys

2007-08-25 17:09 40,264 --a------ C:\WINDOWS\system32\drivers\ikfilesec.sys

2007-08-25 17:09 29,000 --a------ C:\WINDOWS\system32\drivers\kcom.sys

2007-08-25 17:09 <REP> d-------- C:\Program Files\Spyware Doctor

2007-08-25 17:08 626,688 --a------ C:\WINDOWS\system32\msvcr80.dll

2007-08-25 13:11 <REP> d-------- C:\Program Files\Windows Defender

2007-08-25 12:48 <REP> d-------- C:\WINDOWS\system32\fr-fr

2007-08-25 12:45 33,792 --a--c--- C:\WINDOWS\system32\dllcache\custsat.dll

2007-08-25 12:30 <REP> d-------- C:\WINDOWS\system32\ActiveScan

2007-08-25 12:19 <REP> d-------- C:\WINDOWS\AU_Backup

2007-08-24 23:48 69,689 --a------ C:\WINDOWS\UNZIP.DLL

2007-08-24 23:48 507,904 --a------ C:\WINDOWS\TMUPDATE.DLL

2007-08-24 23:48 286,720 --a------ C:\WINDOWS\PATCH.EXE

2007-08-24 23:48 <REP> d-------- C:\WINDOWS\AU_Log

2007-08-24 16:19 <REP> d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\nView_Profiles

2007-08-22 13:18 <REP> d-------- C:\DOCUME~1\JRMIE~1\Contacts

2007-08-22 13:17 <REP> d-------- C:\Program Files\MSN Messenger

2007-08-21 16:19 53,248 --a------ C:\WINDOWS\PalmDevC.dll

2007-08-21 16:19 <REP> d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\HotSync

2007-08-21 16:17 <REP> d-------- C:\Program Files\palmOne

2007-08-20 12:16 <REP> d-------- C:\Program Files\CCleaner

2007-08-19 15:35 <REP> d-------- C:\Program Files\iTunes

2007-08-19 15:35 <REP> d-------- C:\Program Files\iPod

2007-08-19 15:34 <REP> d-------- C:\Program Files\QuickTime

2007-08-19 15:34 <REP> d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\Apple Computer

2007-08-19 15:33 <REP> d----c--- C:\WINDOWS\system32\DRVSTORE

2007-08-19 15:33 <REP> d-------- C:\Program Files\Apple Software Update

2007-08-19 15:32 <REP> d-------- C:\Program Files\Fichiers communs\Apple

2007-08-19 15:32 <REP> d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\Apple

2007-08-19 13:54 802,816 --a------ C:\WINDOWS\FeedingFrenzy.scr

2007-08-18 21:25 0 --a------ C:\WINDOWS\system32\zlib.dll

2007-08-18 20:54 131 --a------ C:\WINDOWS\system32\Executor.exe.bat

2007-08-18 20:54 <REP> d-------- C:\Program Files\TGTSoft

2007-08-18 20:53 <REP> d-------- C:\WINDOWS\ShellNew

2007-08-18 20:53 <REP> d-------- C:\Program Files\ICEOWS

2007-08-18 20:27 <REP> d-------- C:\Program Files\eMule

2007-08-18 20:25 <REP> d-------- C:\Program Files\uTorrent

2007-08-18 20:03 <REP> d-------- C:\Program Files\UxTheme Multipatcher Fr

2007-08-18 20:02 221,184 --a------ C:\WINDOWS\system32\wmpns.dll

2007-08-18 20:00 23,040 -----c--- C:\WINDOWS\system32\dllcache\fltmc.exe

2007-08-18 20:00 16,896 -----c--- C:\WINDOWS\system32\dllcache\fltlib.dll

2007-08-18 20:00 128,896 -----c--- C:\WINDOWS\system32\dllcache\fltmgr.sys

2007-08-18 18:59 <REP> d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\NVIDIA

2007-08-18 18:21 <REP> d-------- C:\Program Files\Mozilla Thunderbird

2007-08-18 17:55 25,856 --a--c--- C:\WINDOWS\system32\dllcache\usbprint.sys

2007-08-18 17:55 25,856 --a------ C:\WINDOWS\system32\drivers\usbprint.sys

2007-08-18 17:02 <REP> d-------- C:\Program Files\OpenOffice.org 2.2

2007-08-18 16:13 46,352 --a------ C:\WINDOWS\setdebug.exe

2007-08-18 16:13 139,536 --a------ C:\WINDOWS\system32\javaee.dll

2007-08-18 16:01 <REP> d-------- C:\Program Files\Google

2007-08-18 15:57 <REP> d-------- C:\Program Files\Fichiers communs\Wise Installation Wizard

2007-08-18 15:57 <REP> d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\Lavasoft

2007-08-18 15:23 <REP> d-------- C:\DOCUME~1\LOCALS~1\Menu D‚marrer

2007-08-18 15:09 <REP> d-------- C:\WINDOWS\ServicePackFiles

2007-08-18 15:07 <REP> d-------- C:\WINDOWS\EHome

2007-08-18 13:27 7,202 --a------ C:\WINDOWS\mozver.dat

2007-08-18 13:27 335 --a------ C:\WINDOWS\nsreg.dat

2007-08-18 13:27 <REP> d-------- C:\Program Files\mozilla.org

2007-08-18 13:26 <REP> d-------- C:\Program Files\Lavasoft

2007-08-17 23:23 499,712 --a------ C:\WINDOWS\system32\MSVCP71.dll

2007-08-17 23:23 348,160 --a------ C:\WINDOWS\system32\MSVCR71.dll

2007-08-17 23:23 1,060,864 --a------ C:\WINDOWS\system32\MFC71.dll

2007-08-17 23:23 <REP> d-------- C:\Program Files\Alwil Software

2007-08-17 22:23 8,192 --------- C:\WINDOWS\system32\bitsprx2.dll

2007-08-17 22:23 7,168 --------- C:\WINDOWS\system32\bitsprx3.dll

2007-08-17 22:23 351,232 --a------ C:\WINDOWS\system32\winhttp.dll

2007-08-17 22:23 22,752 --a------ C:\WINDOWS\system32\spupdsvc.exe

2007-08-17 22:23 18,944 --a------ C:\WINDOWS\system32\qmgrprxy.dll

2007-08-17 22:23 <REP> d--h----- C:\WINDOWS\$hf_mig$

2007-08-17 22:23 <REP> d-------- C:\WINDOWS\system32\bits

2007-08-17 22:14 119 --a------ C:\WINDOWS\system32\nqmirf.bat

(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

2007-08-21 16:17 16694 --a------ C:\WINDOWS\system32\drivers\PalmUSBD.sys

2007-08-18 17:16 9344 --a------ C:\WINDOWS\system32\drivers\NSDriver.sys

2007-08-18 17:16 8320 --a------ C:\WINDOWS\system32\drivers\AWRTRD.sys

2007-07-30 19:19 92504 --a------ C:\WINDOWS\system32\cdm.dll

2007-07-30 19:19 549720 --a------ C:\WINDOWS\system32\wuapi.dll

2007-07-30 19:19 53080 --a------ C:\WINDOWS\system32\wuauclt.exe

2007-07-30 19:19 43352 --a------ C:\WINDOWS\system32\wups2.dll

2007-07-30 19:19 325976 --a------ C:\WINDOWS\system32\wucltui.dll

2007-07-30 19:19 203096 --a------ C:\WINDOWS\system32\wuweb.dll

2007-07-30 19:19 1712984 --a------ C:\WINDOWS\system32\wuaueng.dll

2007-07-30 19:18 33624 --a------ C:\WINDOWS\system32\wups.dll

2007-06-26 08:09 1104896 --a------ C:\WINDOWS\system32\msxml3.dll

2007-06-19 15:32 282112 --a------ C:\WINDOWS\system32\gdi32.dll

2007-06-13 15:22 1037312 --a------ C:\WINDOWS\explorer.exe

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries & legit default entries are not shown

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{8BA2FFBA-F745-4AF7-9A1C-69B5E11B4E5F}]

C:\WINDOWS\System32\pmkhh.dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"SoundMan"="SOUNDMAN.EXE" [2006-03-01 10:22 C:\WINDOWS\soundman.exe]

"NvCplDaemon"="C:\WINDOWS\System32\NvCpl.dll" [2006-08-11 15:43]

"nwiz"="nwiz.exe" [2006-08-11 15:43 C:\WINDOWS\system32\nwiz.exe]

"NvMediaCenter"="NvMCTray.dll" [2006-08-11 15:43 C:\WINDOWS\system32\nvmctray.dll]

"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe" [2007-07-12 04:00]

"Adobe Reader Speed Launcher"="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2007-05-11 03:06]

"QuickTime Task"="C:\Program Files\QuickTime\QTTask.exe" [2007-06-29 06:24]

"iTunesHelper"="C:\Program Files\iTunes\iTunesHelper.exe" [2007-08-15 20:15]

"Windows Defender"="C:\Program Files\Windows Defender\MSASCui.exe" [2006-11-03 19:20]

"SDTray"="C:\Program Files\Spyware Doctor\SDTrayApp.exe" [2007-08-14 17:02]

"avgnt"="C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" [2007-04-02 10:35]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"STYLEXP"="C:\Program Files\TGTSoft\StyleXP\StyleXP.exe" [2006-05-24 20:31]

"MsnMsgr"="C:\Program Files\MSN Messenger\MsnMsgr.exe" [2007-01-19 12:55]

"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-19 16:09]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\sdauxservice"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\sdcoreservice"

R0 videX32;videX32;C:\WINDOWS\system32\DRIVERS\videX32.sys

R0 xfilt;VIA SATA IDE Hot-plug Driver;C:\WINDOWS\system32\DRIVERS\xfilt.sys

R3 W8335XP;WL_54PCI 802.11b/g Wireless LAN Adapter;C:\WINDOWS\system32\DRIVERS\MRV8335XP.sys

S3 fbxusb;Carte réseau virtuelle FreeBox USB;C:\WINDOWS\system32\DRIVERS\fbxusb32.sys

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{E80E0C06-D960-DF4A-B6E3-CC51B00095D0}]

C:\WINDOWS\system32\Executor.exe

Contents of the 'Scheduled Tasks' folder

2007-08-24 15:04:01 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job - C:\Program Files\Apple Software Update\SoftwareUpdate.exe

2007-08-27 16:57:27 C:\WINDOWS\Tasks\MP Scheduled Scan.job - C:\Program Files\Windows Defender\MpCmdRun.exe

**************************************************************************

catchme 0.3.1061 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2007-08-27 19:03:56

Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully

hidden files: 0

**************************************************************************

Completion time: 2007-08-27 19:04:58 - machine was rebooted

C:\ComboFix-quarantined-files.txt ... 2007-08-27 19:04

C:\ComboFix2.txt ... 2007-08-26 14:54

C:\ComboFix3.txt ... 2007-08-26 14:49

--- E O F ---

merci de ton aide

JBUD

bruce lee · le 27 août 2007

Re,

Ok. Poste moi un nouveau rapport HijackThis s'il te plait.

j.bud · le 27 août 2007

voila voila

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 19:32:23, on 27/08/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16512)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Windows Defender\MsMpEng.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\TGTSoft\StyleXP\StyleXPService.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\system32\RunDLL32.exe

C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\Windows Defender\MSASCui.exe

C:\Program Files\Spyware Doctor\SDTrayApp.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\palmOne\Hotsync.exe

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\OpenOffice.org 2.2\program\soffice.exe

C:\Program Files\OpenOffice.org 2.2\program\soffice.BIN

C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Spyware Doctor\svcntaux.exe

C:\Program Files\Spyware Doctor\swdsvc.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\MSN Messenger\usnsvc.exe

C:\PROGRA~1\MOZILL~1\FIREFOX.EXE

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

C:\WINDOWS\System32\wbem\wmiprvse.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.free.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: (no name) - {8BA2FFBA-F745-4AF7-9A1C-69B5E11B4E5F} - C:\WINDOWS\System32\pmkhh.dll (file missing)

O2 - BHO: TGTSoft Explorer Toolbar Changer - {C333CF63-767F-4831-94AC-E683D962C63C} - C:\Program Files\TGTSoft\StyleXP\TGT_BHO.dll

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe"

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [Windows Defender] "C:\Program Files\Windows Defender\MSASCui.exe" -hide

O4 - HKLM\..\Run: [sDTray] "C:\Program Files\Spyware Doctor\SDTrayApp.exe"

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKCU\..\Run: [sTYLEXP] C:\Program Files\TGTSoft\StyleXP\StyleXP.exe -Hide

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Startup: OpenOffice.org 2.2.lnk = C:\Program Files\OpenOffice.org 2.2\program\quickstart.exe

O4 - Startup: palmOne Registration.lnk = C:\Program Files\palmOne\register.exe

O4 - Global Startup: HOTSYNCSHORTCUTNAME.lnk = C:\Program Files\palmOne\Hotsync.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O15 - Trusted Zone: http://www.pandasoftware.com

O15 - Trusted Zone: http://www.secuser.com

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupd...b?1171598124125

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111...all/xscan53.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\svcntaux.exe

O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\swdsvc.exe

O23 - Service: StyleXPService - Unknown owner - C:\Program Files\TGTSoft\StyleXP\StyleXPService.exe

--

End of file - 7537 bytes

bruce lee · le 27 août 2007

re,

Si durant la procédure ci-dessous, il y a des étapes que tu n'as pas reussi a faire, merci de continuer la procédure jusqu'au bout et de les signaler dans ta prochaine reponse.

Je te conseille d'enregistrer la page web compléte sous Internet Explorer comme ceci :

* Clique sur Fichier/Enregistrer sous Dans Type, choisis : Archive web (fichier seul (*.mht) / Enregistre la sur le bureau,comme cela tu retrouvera la mise en forme ou imprime cette réponse. Une partie de la désinfection se déroulera en mode sans échec.

1/Télécharge puis installe http://www.ewido.net/en/download

Une fois AVG AS lancé, clique sur Mise à jour

Ferme le programme.

2/Démarre en mode sans échec http://cybersecurite.xooit.com/t88-Demarre...s-echec.htm#665

3/Lance hijackthis en cliquant sur do a scan system only et coche ces lignes:

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: (no name) - {8BA2FFBA-F745-4AF7-9A1C-69B5E11B4E5F} - C:\WINDOWS\System32\pmkhh.dll (file missing)

Ferme toutes les fenêtres ouvertes sauf Hijackthis et clique sur fix checked

4/Pour supprimer les fichiers nefastes on va tous les afficher en faisant comme ceci:

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Cocher la case : Afficher les fichiers et dossiers cachés

Décocher la case : Masquer les extensions des fichiers dont le type est connu

Décocher la case : Masquer les fichiers protégés du système d'exploitation

cliquer sur "Appliquer"

cliquer sur le bouton "Appliquer à tous les dossiers" / OK

5/Supprime ce qui est en gras:

C:\ QooBox<== tout le dossier

Vide le contenu de ta corbeille.

6/ Relance AVG AS puis choisis l'onglet Analyse

Puis l'onglet Paramètres

Sous la question Comment réagir ?, clique sur Actions recommandées et choisis Quarantaine

Reclique sur l'onglet Analyse puis réalise une Analyse complète du système

Si un fichier infecté est détecté en fin d'analyse

Clique sur Appliquer toutes les actions

Clique sur Enregistrer le rapport puis sur Enregistrer le rapport sous

Enregistre ce fichier texte sur ton bureau

7/Redémarre en mode normal

8/Tu n'as pas de firewall, c'est pourtant indispensable, prends en un tel kerio:

_kerio que tu peux télecharger ici http://www.inoculer.com/firewall5.php3

-tuto pour kerio http://www.vulgarisation-informatique.com/kerio.php

Telecharge et installe le puis mets le à jour si necessaire.

9/Poste le rapport d'AVG Anti spyware 7.5 ainsi qu'un nouveau log Hijackthis.

Bon courage, et si tu as la moindre question n'hésite surtout pas

@+

j.bud · le 27 août 2007

la procédure s'est bien passée

le log hjt

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 22:30:37, on 27/08/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16512)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Windows Defender\MsMpEng.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\TGTSoft\StyleXP\StyleXPService.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Spyware Doctor\svcntaux.exe

C:\Program Files\Spyware Doctor\swdsvc.exe

C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe

C:\Program Files\Spyware Doctor\SDTrayApp.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\system32\RunDLL32.exe

C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\Windows Defender\MSASCui.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

C:\Program Files\TGTSoft\StyleXP\StyleXP.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\palmOne\Hotsync.exe

C:\Program Files\OpenOffice.org 2.2\program\soffice.exe

C:\Program Files\OpenOffice.org 2.2\program\soffice.BIN

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\MSN Messenger\usnsvc.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Mozilla Thunderbird\thunderbird.exe