Infection par Brontok-BR [Résolu]

GlendaGabon · le 2 novembre 2007

Bonjour ,

J'essaie de réparer mon PC après une infection par "Brontok-BR" et "Brontok" tout court.

Je suis une nullité absolue en la matière et j'étais passée au travers de ce genre de problème mais là c'est mon baptême du feu depuis la semaine dernière ...

J'ai fait le max de ce que je pouvais faire seule, en me débrouillant avec les infos trouvées sur les forums et les tutoriaux mais j'ai fait des conneries (comme la restauration), et là je patine... Please help me!

Voici l'historique de la panne:

1. "options des dossiers" disparue du panneau de config

>> une solution trouvée sur les forums fait appel à l'exécution de regedit

>> quand j'ai essayé j'ai eu un message comme quoi l'éditeur de registre avait été verrouillé par l'administrateur, donc moi-même...Impossible.

2. apparition du message d'erreur " lsass.exe"

>> je trouve sur les forums que ça peut être du à Sasser, ce qui du même coup explique mes problèmes avec le registre et options de dossiers donc:

- je télécharge FxSasser (symantec) et f-sasser mais je n'arrive pas à les faire tourner sur ma machine, même en mode sans échec

- je scan avec mon antivirus mis à jour (symantec): RAS

- je fais des restaurations, comme une imbécile : finalement je me retrouve avec encore plus de fichiers vérolés...

3. mon PC se met à rebooter toutes les 5 min, toujours avec erreur " lsass.exe" à l'arrêt de Windows

>> je tente : scan online, installations de spybot, ad-aware et connections à divers sites de sécurité mais toutes ces opérations sont impossibles et provoquent l'arrêt immédiat de windows

4. je découvre Brontok sur ma clé USB en allant chercher avast sur un PC sain

>> je télécharge les antibrontok aussi mais mon PC ne veut rien savoir

>> Les messages d'erreur eksplorasi.exe, services.exe et winlogon. exe apparaissent mais je ne sais plus à quel stade, erreur lsass.exe est toujours là.

>> recherche manuelle des fichiers *bro*: brontok est bel et bien sur ma machine (local settings)

Pour finir avast m'a permis de débloquer la situation: suppression des fichiers infectés et installations d'autres utilitaires de désinfection. Au bout du compte "options des dossiers" est revenue dans le panneau de config et regedit est autorisé.

Après plusieurs jours de scans divers et variés (avast, spybot, ad-aware et autres utilitaires de désinfection anti Brontok et anti Sasser, le tout en mode normal et en mode sans échec), de nettoyage (manuel + CCleaner) et de scan online, il me reste quelques problèmes à résoudre (cf la liste ci-dessous).

J'ai utilisé HijackThis pour trouver des pistes (le log complet est à la fin), suivi le tutorial qui va avec, et j'ai soumis le log à l'analyse sur le site http://www.hijackthis.de/fr

- j'ai fixé les lignes O1 : le reste me dépasse

- je m'inquiète surtout à propos des lignes:

O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /nodetect

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll

Voici la liste des problèmes que je n'arrive pas à résoudre:

1. avast me trouve de plus en plus d'archives corrompues au fur et à mesure que je scan et nettoie. Je ne sais pas trop ce que cela signifie et avast ne parvient ni à les supprimer ni à les déplacer en quarantaine. C'est du style:

Fichier C:\System Volume Information\_restore{206D5C9A-566B-437B-A762-213EF381532E}\RP189\A0036904.exe\Wise0011.bin Erreur 42146 {Archive d´installeur est corrompu.}

2. quand j'essaie justement d'ouvrir "system volume information" j'ai le message d'erreur "c:\system volume information n'est pas accessible. Accès refusé."

3. une fenêtre fantôme au démarrage du PC: elle s'ouvre et se ferme trop vite pour que je sache de quoi il s'agit et je n'en perçois que le trace sur l'écran

4. un fichier dans" tempory internet files" que je ne peux pas supprimer et qui date du jour de l'attaque par brontok: "hcp://system/images/logo.gif" (je ne sais pas ce que c'est)

5. spybot me trouve des erreurs dans le registre (je ne sais pas ce qu'il faut faire):

Location: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Uninstall\HijackThis

Filename: "C:\HijackThis.exe" /uninstall

Data:

Category: Localisation erronée

Location: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\App Paths\HijackThis.exe

Filename: C:\Program Files\HiJackThis\hijackthis.exe

Data:

Category: Le fichier de démarrage n'existe pas

Location: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\High Definition Audio Property Page Shortcut

Filename: CHDAudPropShortcut.exe

Data:

Category: Localisation erronée

Location: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\App Paths\install.exe

Filename: install.exe

Data:

Category: Le fichier de démarrage n'existe pas

Location: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Logitech Hardware Abstraction Layer

Filename: KHALMNPR.EXE

Data:

Category: Localisation erronée

Location: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\App Paths\MsoHtmEd.exe

Filename: MsoHtmEd.exe

Data:

Category: Le fichier de démarrage n'existe pas

Location: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\nwiz

Filename: nwiz.exe

Data:

Category: Le fichier de démarrage n'existe pas

Location: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MsmqIntCert

Filename: regsvr32 /s mqrt.dll

Data:

Category: Le fichier de démarrage n'existe pas

Location: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\NvCplDaemon

Filename: RUNDLL32.EXE

Data:

Category: Le fichier de démarrage n'existe pas

Location: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\NvMediaCenter

Filename: RUNDLL32.EXE

Data:

Location: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Uninstall\PCHealth

Filename: rundll32.exe setupapi.dll,InstallHinfSection DefaultUninstall 132 C:\WINDOWS\INF\PCHealth.inf

Data:

Category: Localisation erronée

Location: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\App Paths\setup.exe

Filename: setup.exe

Data:

Category: Localisation erronée

Location: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\App Paths\table30.exe

Filename: table30.exe

Data:

Category: Localisation erronée

Location: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\App Paths\winnt32.exe

Filename: winnt32.exe

Data:

6. bien que mon pare feu windows soit activé dans le panneau de config, spybot me le signale désactivé et il n'a pas été détecté sur le site "http://www.hijackthis.de/fr"

--- Report generated: 2007-11-01 13:11 ---

Microsoft.WindowsSecurityCenter.AntiVirusDisableNotify: [sBI $5509538C] Réglages (Modification du registre, nothing done)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify

Microsoft.WindowsSecurityCenter.FirewallDisableNotify: [sBI $8CFC8C85] Réglages (Modification du registre, nothing done)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify

--- Spybot - Search & Destroy version: 1.5 (build: 20070830) ---

Et pour finir le log de HijackThis...Mille Merci pour votre aide

Logfile of Trend Micro HijackThis v2.0.0 (BETA)

Scan saved at 11:00:34, on 02/11/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\ehome\ehtray.exe

C:\Program Files\hpq\HP Wireless Assistant\HP Wireless Assistant.exe

C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\HP\QuickPlay\QPService.exe

C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe

C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe

C:\Program Files\Winamp\winampa.exe

C:\Program Files\HP\HP Officejet Pro K550 Series\Toolbox\HPWUTBX.exe

C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\Program Files\Windows Media Player\WMPNSCFG.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\Hewlett-Packard\HP Pavilion Webcam\HPWebcam.exe

C:\Program Files\Logitech\SetPoint\SetPoint.exe

C:\WINDOWS\system32\cisvc.exe

C:\Program Files\Fichiers communs\Logitech\KHAL\KHALMNPR.EXE

C:\WINDOWS\eHome\ehRecvr.exe

C:\WINDOWS\eHome\ehSched.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\mqsvc.exe

C:\Program Files\HP\Digital Imaging\bin\hpqimzone.exe

C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe

C:\WINDOWS\system32\mqtgsvc.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

C:\WINDOWS\system32\dllhost.exe

C:\WINDOWS\eHome\ehmsas.exe

C:\WINDOWS\system32\NOTEPAD.EXE

C:\Program Files\HiJackThis\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ie.redirect.hp.com/svs/rdr?TYPE=3&a...n&pf=laptop

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://ie.redirect.hp.com/svs/rdr?TYPE=3&a...n&pf=laptop

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 172.16.1.10:8080

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O1 - Hosts: 127.4.7.4 mcafeesecurity.com

O1 - Hosts: 127.4.7.4 www.mcafeesecurity.com

O1 - Hosts: 127.4.7.4 mcafeeb2b.com

O1 - Hosts: 127.4.7.4 www.mcafeeb2b.com

O1 - Hosts: 127.4.7.4 grisoft.cz

O1 - Hosts: 127.4.7.4 www.grisoft.cz

O1 - Hosts: 127.4.7.4 sarc.com

O1 - Hosts: 127.4.7.4 www.sarc.com

O1 - Hosts: 127.4.7.4 norman.com

O1 - Hosts: 127.4.7.4 www.norman.com

O1 - Hosts: 127.4.7.4 trendmicro.co.jp

O1 - Hosts: 127.4.7.4 www.trendmicro.co.jp

O1 - Hosts: 127.4.7.4 trendmicro-europe.com

O1 - Hosts: 127.4.7.4 www.trendmicro-europe.com

O1 - Hosts: 127.4.7.4 ae.trendmicro-europe.com

O1 - Hosts: 127.4.7.4 it.trendmicro-europe.com

O1 - Hosts: 127.4.7.4 secunia.com

O1 - Hosts: 127.4.7.4 www.secunia.com

O1 - Hosts: 127.4.7.4 winantivirus.com

O1 - Hosts: 127.4.7.4 www.winantivirus.com

O1 - Hosts: 127.4.7.4 esafe.com

O1 - Hosts: 127.4.7.4 www.esafe.com

O1 - Hosts: 127.4.7.4 europe.f-secure.com

O1 - Hosts: 127.4.7.4 bhs.com

O1 - Hosts: 127.4.7.4 www.bhs.com

O1 - Hosts: 127.4.7.4 datafellows.com

O1 - Hosts: 127.4.7.4 www.datafellows.com

O1 - Hosts: 127.4.7.4 cheyenne.com

O1 - Hosts: 127.4.7.4 www.cheyenne.com

O1 - Hosts: 127.4.7.4 ontrack.com

O1 - Hosts: 127.4.7.4 www.ontrack.com

O1 - Hosts: 127.4.7.4 sands.com

O1 - Hosts: 127.4.7.4 www.sands.com

O1 - Hosts: 127.4.7.4 icubed.com

O1 - Hosts: 127.4.7.4 www.icubed.com

O1 - Hosts: 127.4.7.4 perantivirus.com

O1 - Hosts: 127.4.7.4 www.perantivirus.com

O1 - Hosts: 127.4.7.4 virusalert.nl

O1 - Hosts: 127.4.7.4 www.virusalert.nl

O1 - Hosts: 127.4.7.4 pagina.nl

O1 - Hosts: 127.4.7.4 www.pagina.nl

O1 - Hosts: 127.4.7.4 antivirus.pagina.nl

O1 - Hosts: 127.4.7.4 castlecops.com

O1 - Hosts: 127.4.7.4 www.castlecops.com

O1 - Hosts: 127.4.7.4 vaksin.com

O1 - Hosts: 127.4.7.4 www.vaksin.com

O1 - Hosts: 127.4.7.4 forum.vaksin.com

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll

O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe

O4 - HKLM\..\Run: [hpWirelessAssistant] C:\Program Files\hpq\HP Wireless Assistant\HP Wireless Assistant.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe"

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /nodetect

O4 - HKLM\..\Run: [MsmqIntCert] regsvr32 /s mqrt.dll

O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] CHDAudPropShortcut.exe

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [QPService] "C:\Program Files\HP\QuickPlay\QPService.exe"

O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe

O4 - HKLM\..\Run: [QlbCtrl] %ProgramFiles%\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start

O4 - HKLM\..\Run: [Cpqset] C:\Program Files\Hewlett-Packard\Default Settings\cpqset.exe

O4 - HKLM\..\Run: [RecGuard] C:\Windows\SMINST\RecGuard.exe

O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe

O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [HPWUTOOLBOX] C:\Program Files\HP\HP Officejet Pro K550 Series\Toolbox\HPWUTBX.exe "-i"

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Démarrage rapide de HP Photosmart Premier.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe

O4 - Global Startup: HP Pavilion Webcam Tray Icon.lnk = C:\Program Files\Hewlett-Packard\HP Pavilion Webcam\HPWebcam.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll

O14 - IERESET.INF: START_PAGE_URL=http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_FR&c=64&bd=pavilion&pf=laptop

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedC...n/bin/cabsa.cab

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1172155585390

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = CIRMF_GABON

O17 - HKLM\Software\..\Telephony: DomainName = CIRMF_GABON

O17 - HKLM\System\CCS\Services\Tcpip\..\{2B1CF6E8-1662-45BB-A110-E539C8DDC0B4}: NameServer = 151.99.125.2,217.77.71.1,195.83.14.1,195.217.62.126,152.99.125.3

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = CIRMF_GABON

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = CIRMF_GABON

O18 - Protocol: ncbi8 - {2B576DD3-0B3E-4718-BCBF-B15E4FB8009D} - C:\Program Files\Invitrogen\Vector NTI Advance 10\Ncbi.dll

O22 - SharedTaskScheduler: Pré-chargeur Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll

O22 - SharedTaskScheduler: Démon de cache des catégories de composant - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll

O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe

O23 - Service: AddFiltr - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\AddFiltr.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Service de planification Media Center (ehSched) - Unknown owner - C:\WINDOWS\eHome\ehSched.exe

O23 - Service: Journal des événements (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe

O23 - Service: Fax - Unknown owner - C:\WINDOWS\system32\fxssvc.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - c:\Program Files\Fichiers communs\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: Service COM de gravage de CD IMAPI (ImapiService) - Unknown owner - C:\WINDOWS\system32\imapi.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE

O23 - Service: Partage de Bureau à distance NetMeeting (mnmsrvc) - Unknown owner - C:\WINDOWS\system32\mnmsrvc.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Planificateur LiveUpdate automatique - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe

O23 - Service: Plug-and-Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe

O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Carte à puce (SCardSvr) - Unknown owner - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

O23 - Service: Journaux et alertes de performance (SysmonLog) - Unknown owner - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Cliché instantané de volume (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe

O23 - Service: Carte de performance WMI (WmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\wmiapsrv.exe

O23 - Service: Service Partage réseau du Lecteur Windows Media (WMPNetworkSvc) - Unknown owner - C:\Program Files\Windows Media Player\wmpnetwk.exe

--

End of file - 14492 bytes

Modifié le 1 décembre 2007 par GlendaGabon

Apollo · le 2 novembre 2007

Bonsoir GlendaGabon et bienvenue sur les forums Zébulon.

Eh ben! Je ne sais pas si on arrivera à résoudre ton problème mais tu aurais dû passer par Zébulon avant de faire des manipulations sans doute catastrophiques...

Ce que tu lis comme résolu pour un autre internaute n'est pas forcément bon pour ton problème perso.

As-tu un compte à rebours de 60 secondes avant que le pc ne reboote?

Si oui, --> Démarrer/exécuter coller ceci shutdown -a

Passe par démarrer/exécuter et tape: MRT --> presser Enter; vérifie si l'outil de microsoft fonctionne, sinon télécharge-le: exécute-le en fonction "en profondeur" http://www.microsoft.com/france/securite/m...ve/default.mspx

Ensuite, insère le cd rom de XP tout en maintenant la touche majuscule enfoncée pour éviter l'exécution automatique du cd; dans démarrer/exécuter, colle ceci: sfc /scannow puis presse ENTER.

Essaie alors de désactiver la restauration sytstème sur tous les lecteurs, puis réactive-la après.

Désactiver la Restauration Système.

Démarrer/Tous les programmes/Accessoires/Outils Système.

Cliquer sur Restauration Système.

Cliquer sur "Paramètres de la restauration du système; cocher la case: "Désactiver la Restauration du système sur tous les lecteurs"

Appliquer/OK.

Redémarrer le navigateur

Pour réactiver la Restauration système, suivre le même chemin et décocher la case. Appliquer/OK.

Tiens-nous au jus; si cela ne fonctionne pas, direction forum Hardware ou Software.

@+

GlendaGabon · le 2 novembre 2007

Bonsoir Appollo.01 et merci beaucoup pour cette réponse rapide,

La prochaine fois je vous contacterai plus tôt...

Pour répondre à la question, je n'ai plus de problème de rebootage du PC, ça a cessé dès lors que j'ai pu mettre les fichiers en quarantaine avec avast. Donc pour l'instant je n'ai pas exécuté la procédure que tu proposes et j'attends la suite de tes conseils...

Par ailleurs je n'ai pas de CD-ROM XP: le PC était livré tel quel, avec le système déjà installé. J'ai un disc D "HP_recovery" et des DVD de "réinstallation" que j'ai créés au moment où j'ai eu acheté le PC.

Merci.

Glenda.

Bonsoir GlendaGabon et bienvenue sur les forums Zébulon.

Eh ben! Je ne sais pas si on arrivera à résoudre ton problème mais tu aurais dû passer par Zébulon avant de faire des manipulations sans doute catastrophiques...

Ce que tu lis comme résolu pour un autre internaute n'est pas forcément bon pour ton problème perso.

As-tu un compte à rebours de 60 secondes avant que le pc ne reboote?

Si oui, --> Démarrer/exécuter coller ceci shutdown -a

Passe par démarrer/exécuter et tape: MRT --> presser Enter; vérifie si l'outil de microsoft fonctionne, sinon télécharge-le: exécute-le en fonction "en profondeur" http://www.microsoft.com/france/securite/m...ve/default.mspx

Ensuite, insère le cd rom de XP tout en maintenant la touche majuscule enfoncée pour éviter l'exécution automatique du cd; dans démarrer/exécuter, colle ceci: sfc /scannow puis presse ENTER.

Essaie alors de désactiver la restauration sytstème sur tous les lecteurs, puis réactive-la après.

Désactiver la Restauration Système.

Démarrer/Tous les programmes/Accessoires/Outils Système.

Cliquer sur Restauration Système.

Cliquer sur "Paramètres de la restauration du système; cocher la case: "Désactiver la Restauration du système sur tous les lecteurs"

Appliquer/OK.

Redémarrer le navigateur

Pour réactiver la Restauration système, suivre le même chemin et décocher la case. Appliquer/OK.

Tiens-nous au jus; si cela ne fonctionne pas, direction forum Hardware ou Software.

@+

Apollo · le 2 novembre 2007

Tu peux en créer un: lire ceci

Quant à Avast...

Avast! est loin de ce que l'on a fait de mieux en matière de protection, voir ce lien pour plus d'informations : http://forum.malekal.com/ftopic3123.php

Clairement, Antivir est beaucoup plus performant, c'est pourquoi, je te conseille TRES VIVEMENT de désinstaller Avast! et installer Antivir à la place : http://www.malekal.com/tutorial_antivir.php

Outil de désinstall Avast (hors connexion physique au net of course!) http://grandpublic.kaspersky.fr/index.php?article=1404

Pour t'aider tu peux suivre ce lien : http://forum.malekal.com/ftopic4192.php

- Après l'installation, mets le à jour - si ton firewall fait une alerte.. accepte la connexion.

- Assure toi qu'Antivir est bien à jour, vérifie la date d'update.

-- Redémarre en mode sans échec, pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec et appuye sur la touche entrée du clavier.

- Ouvre Antivir par le menu Démarrer / Programmes

- Cliquez sur l'onglet Scanner.

- Sélectionne Manual Selection

- Sélectionne le disque C

- Lance le scan - Mets en quarantaine tous les éléments détectés.

- Une fois le scan terminé Enregistre le rapport.

Redémarre en mode normal.

Poste le rapport ici.

De même qu'un nouveau log HJThis fait après redémarrage.

@ plus tard

Apo (avec un seul p ) Je blague.

GlendaGabon · le 2 novembre 2007

OK, bien reçu Apo avce un seul p

je m'y colle de suite et te tiens au courant!

@+

Glenda.

Tu peux en créer un: lire ceci

Quant à Avast...

Avast! est loin de ce que l'on a fait de mieux en matière de protection, voir ce lien pour plus d'informations : http://forum.malekal.com/ftopic3123.php

Clairement, Antivir est beaucoup plus performant, c'est pourquoi, je te conseille TRES VIVEMENT de désinstaller Avast! et installer Antivir à la place : http://www.malekal.com/tutorial_antivir.php

Outil de désinstall Avast (hors connexion physique au net of course!) http://grandpublic.kaspersky.fr/index.php?article=1404

Pour t'aider tu peux suivre ce lien : http://forum.malekal.com/ftopic4192.php

- Après l'installation, mets le à jour - si ton firewall fait une alerte.. accepte la connexion.

- Assure toi qu'Antivir est bien à jour, vérifie la date d'update.

-- Redémarre en mode sans échec, pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec et appuye sur la touche entrée du clavier.

- Ouvre Antivir par le menu Démarrer / Programmes

- Cliquez sur l'onglet Scanner.

- Sélectionne Manual Selection

- Sélectionne le disque C

- Lance le scan - Mets en quarantaine tous les éléments détectés.

- Une fois le scan terminé Enregistre le rapport.

Redémarre en mode normal.

Poste le rapport ici.

De même qu'un nouveau log HJThis fait après redémarrage.

@ plus tard

Apo (avec un seul p ) Je blague.

Apollo · le 2 novembre 2007

Re Glenda Jackson euh, Gabon,

Pour plus de clarté dans les réponses, utilise le bouton "répondre" qui se trouve entre "flash" et "nouveau" s'il te plaît. Merci à toi

GlendaGabon · le 3 novembre 2007

Bonjour Apo ,

Voici les rapports requis après désinstallation d'avast et installation d'antivir + scan en mode sans échec (pas d'infection identifiée) + HijackThis au redémarrage. Ceci dit, pour être sûre de faire les choses correctement cette fois-ci , je préfère vérifier auprès de toi si ces 2 choses sont normales (où pas):

1. l'icone comme quoi il est actif ne s'affiche pas dans la barre de tache, mais le guard est signalé comme actif quand j'ouvre antivir

2. malgré le scan, "last complete system scan" est signalé comme non fait

Est-ce que je dois changer d'autres paramètres configuration et refaire un scan?

Merci beaucoup ,

Glenda.

Rapport 1-------------------------------------------------------------------------

AntiVir PersonalEdition Classic

Report file date: vendredi 2 novembre 2007 22:28

Scanning for 913479 virus strains and unwanted programs.

Licensed to: Avira AntiVir PersonalEdition Classic

Serial number: 0000149996-ADJIE-0001

Platform: Windows XP

Windows version: (Service Pack 2) [5.1.2600]

Username: Gilda

Computer name: GILDA-HP

Version information:

BUILD.DAT : 270 15603 Bytes 19/09/2007 13:32:00

AVSCAN.EXE : 7.0.6.1 290856 Bytes 23/08/2007 13:16:29

AVSCAN.DLL : 7.0.6.0 49192 Bytes 16/08/2007 12:23:51

LUKE.DLL : 7.0.5.3 147496 Bytes 14/08/2007 15:32:47

LUKERES.DLL : 7.0.6.1 10280 Bytes 21/08/2007 12:35:20

ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18/07/2007 14:27:15

ANTIVIR1.VDF : 7.0.0.0 1640448 Bytes 13/09/2007 14:26:55

ANTIVIR2.VDF : 7.0.0.140 940544 Bytes 26/10/2007 20:09:38

ANTIVIR3.VDF : 7.0.0.165 129536 Bytes 02/11/2007 20:09:38

AVEWIN32.DLL : 7.6.0.30 3056128 Bytes 02/11/2007 20:09:38

AVWINLL.DLL : 1.0.0.7 14376 Bytes 26/02/2007 10:36:26

AVPREF.DLL : 7.0.2.2 25640 Bytes 18/07/2007 07:39:17

AVREP.DLL : 7.0.0.1 155688 Bytes 16/04/2007 13:16:24

AVPACK32.DLL : 7.3.0.15 360488 Bytes 03/08/2007 08:46:00

AVREG.DLL : 7.0.1.6 30760 Bytes 18/07/2007 07:17:06

AVARKT.DLL : 1.0.0.20 278568 Bytes 28/08/2007 12:26:33

AVEVTLOG.DLL : 7.0.0.20 86056 Bytes 18/07/2007 07:10:18

NETNT.DLL : 7.0.0.0 7720 Bytes 08/03/2007 11:09:42

RCIMAGE.DLL : 7.0.1.30 2342952 Bytes 07/08/2007 12:38:13

RCTEXT.DLL : 7.0.62.0 86056 Bytes 21/08/2007 12:50:37

SQLITE3.DLL : 3.3.17.1 339968 Bytes 23/07/2007 09:37:21

Configuration settings for the scan:

Jobname..........................: Manual Selection

Configuration file...............: C:\Documents and Settings\All Users\Application Data\Avira\AntiVir PersonalEdition Classic\PROFILES\folder.avp

Logging..........................: low

Primary action...................: interactive

Secondary action.................: ignore

Scan master boot sector..........: off

Scan boot sector.................: on

Boot sectors.....................: C:,

Scan memory......................: on

Process scan.....................: on

Scan registry....................: on

Search for rootkits..............: on

Scan all files...................: All files

Scan archives....................: on

Recursion depth..................: 20

Smart extensions.................: on

Macro heuristic..................: on

File heuristic...................: medium

Start of the scan: vendredi 2 novembre 2007 22:28

Starting search for hidden objects.

The driver could not be initialized.

The scan of running processes will be started

Scan process 'avscan.exe' - '1' Module(s) have been scanned

Scan process 'avcenter.exe' - '1' Module(s) have been scanned

Scan process 'explorer.exe' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'aawservice.exe' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'lsass.exe' - '1' Module(s) have been scanned

Scan process 'services.exe' - '1' Module(s) have been scanned

Scan process 'winlogon.exe' - '1' Module(s) have been scanned

Scan process 'csrss.exe' - '1' Module(s) have been scanned

Scan process 'smss.exe' - '1' Module(s) have been scanned

12 processes with 12 modules were scanned

Start scanning boot sectors:

Boot sector 'C:\'

[NOTE] No virus was found!

Starting to scan the registry.

The registry was scanned ( '56' files ).

Starting the file scan:

Begin scan in 'C:\'

C:\pagefile.sys

[WARNING] The file could not be opened!

End of the scan: vendredi 2 novembre 2007 23:21

Used time: 53:12 min

The scan has been done completely.

7570 Scanning directories

528802 Files were scanned

0 viruses and/or unwanted programs were found

0 Files were classified as suspicious:

0 files were deleted

0 files were repaired

0 files were moved to quarantine

0 files were renamed

1 Files cannot be scanned

528802 Files not concerned

13156 Archives were scanned

1 Warnings

23 Notes

Rapport 2 --------------------------------------------------------------------------------------

Logfile of Trend Micro HijackThis v2.0.0 (BETA)

Scan saved at 15:41:31, on 03/11/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\ehome\ehtray.exe

C:\Program Files\hpq\HP Wireless Assistant\HP Wireless Assistant.exe

C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\HP\QuickPlay\QPService.exe

C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe

C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe

C:\Program Files\Winamp\winampa.exe

C:\Program Files\HP\HP Officejet Pro K550 Series\Toolbox\HPWUTBX.exe

C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\Program Files\Windows Media Player\WMPNSCFG.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\Hewlett-Packard\HP Pavilion Webcam\HPWebcam.exe

C:\Program Files\Logitech\SetPoint\SetPoint.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe