Infection par Brontok-BR [Résolu]

GlendaGabon · le 5 novembre 2007

Bonsoir Bruce Lee

RAS sur muscle.exe par virus total & vraisemblablement rien d'infectieux détecté par Kasperski sur mon PC, mais plusieurs fichiers verrouillés.

@+ ,

Glenda.

1. VirusTotal

Fichier muscle.exe reçu le 2007.11.05 15:35:39 (CET)

Antivirus Version Dernière mise à jour Résultat

AhnLab-V3 2007.11.6.0 2007.11.05 -

AntiVir 7.6.0.30 2007.11.05 -

Authentium 4.93.8 2007.11.03 -

Avast 4.7.1074.0 2007.11.05 -

AVG 7.5.0.503 2007.11.05 -

BitDefender 7.2 2007.11.05 -

CAT-QuickHeal 9.00 2007.11.03 -

ClamAV 0.91.2 2007.11.05 -

DrWeb 4.44.0.09170 2007.11.05 -

eSafe 7.0.15.0 2007.10.28 -

eTrust-Vet 31.2.5264 2007.11.02 -

Ewido 4.0 2007.11.05 -

FileAdvisor 1 2007.11.05 -

Fortinet 3.11.0.0 2007.10.19 -

F-Prot 4.4.2.54 2007.11.05 -

F-Secure 6.70.13030.0 2007.11.05 -

Ikarus T3.1.1.12 2007.11.05 -

Kaspersky 7.0.0.125 2007.11.05 -

McAfee 5155 2007.11.02 -

Microsoft 1.2908 2007.11.05 -

NOD32v2 2637 2007.11.05 -

Norman 5.80.02 2007.11.05 -

Panda 9.0.0.4 2007.11.04 -

Prevx1 V2 2007.11.05 -

Rising 20.17.01.00 2007.11.05 -

Sophos 4.23.0 2007.11.05 -

Sunbelt 2.2.907.0 2007.11.02 -

Symantec 10 2007.11.05 -

TheHacker 6.2.9.110 2007.10.27 -

VBA32 3.12.2.4 2007.11.03 -

VirusBuster 4.3.26:9 2007.11.05 -

Information additionnelle

File size: 299008 bytes

MD5: 62ff6b597b542e17846f022ce83e0e93

SHA1: c5b49861a0b07e80cad339fb14abafb072fb2ce7

2. Kaspersky

-------------------------------------------------------------------------------

KASPERSKY ONLINE SCANNER REPORT

Monday, November 05, 2007 5:54:33 PM

Operating System: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)

Kaspersky Online Scanner version: 5.0.98.0

Kaspersky Anti-Virus database last update: 5/11/2007

Kaspersky Anti-Virus database records: 451836

-------------------------------------------------------------------------------

Scan Settings:

Scan using the following antivirus database: extended

Scan Archives: true

Scan Mail Bases: true

Scan Target - My Computer:

C:\

D:\

E:\

Scan Statistics:

Total number of scanned objects: 95977

Number of viruses found: 0

Number of infected objects: 0

Number of suspicious objects: 0

Duration of the scan process: 01:38:06

Infected Object Name / Virus Name / Last Action

C:\Documents and Settings\All Users\Application Data\Microsoft\eHome\logs\ehRecvr.log Object is locked skipped

C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat Object is locked skipped

C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat Object is locked skipped

C:\Documents and Settings\Gilda\Cookies\index.dat Object is locked skipped

C:\Documents and Settings\Gilda\Historique\History.IE5\index.dat Object is locked skipped

C:\Documents and Settings\Gilda\Historique\History.IE5\MSHist012007110520071106\index.dat Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\ApplicationHistory\hpqimzone.exe.3204510e.ini.inuse Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\administrativeInfo.dbf Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\albumImagesTable.cdx Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\albumImagesTable.dbf Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\albumTable.cdx Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\albumTable.dbf Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\CB_Server_Errors.txt Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\EXIFTable.cdx Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\EXIFTable.dbf Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\imageTable.cdx Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\imageTable.dbf Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\imageTable.fpt Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\keywordImagesTable.cdx Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\keywordImagesTable.dbf Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\keywordTable.cdx Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\keywordTable.dbf Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\managedFolderTable.dbf Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\pathnameTable.cdx Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\pathnameTable.dbf Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\propertiesTable.cdx Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\propertiesTable.dbf Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\ROFImagesTable.cdx Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\ROFImagesTable.dbf Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\ROFTable.cdx Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\HP\Digital Imaging\db\ROFTable.dbf Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\Microsoft\Messenger\gilda_grard@hotmail.com\SharingMetadata\Logs\Dfsr00005.log Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\Microsoft\Messenger\gilda_grard@hotmail.com\SharingMetadata\pending.dat Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\Microsoft\Messenger\gilda_grard@hotmail.com\SharingMetadata\Working\database_48E7_6D21_D02_4AA\dfsr.db Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\Microsoft\Messenger\gilda_grard@hotmail.com\SharingMetadata\Working\database_48E7_6D21_D02_4AA\fsr.log Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\Microsoft\Messenger\gilda_grard@hotmail.com\SharingMetadata\Working\database_48E7_6D21_D02_4AA\fsrtmp.log Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\Microsoft\Messenger\gilda_grard@hotmail.com\SharingMetadata\Working\database_48E7_6D21_D02_4AA\tmp.edb Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\Microsoft\Windows Live Contacts\gilda_grard@hotmail.com\real\members.stg Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Application Data\Microsoft\Windows Live Contacts\gilda_grard@hotmail.com\shadow\members.stg Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Temp\~DF1943.tmp Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Temp\~DF1955.tmp Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Temp\~DF2C7B.tmp Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Temp\~DF2C8D.tmp Object is locked skipped

C:\Documents and Settings\Gilda\Local Settings\Temp\~DFCE27.tmp Object is locked skipped

C:\Documents and Settings\Gilda\ntuser.dat Object is locked skipped

C:\Documents and Settings\Gilda\ntuser.dat.LOG Object is locked skipped

C:\Documents and Settings\Gilda\Temporary Internet Files\Content.IE5\index.dat Object is locked skipped

C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat Object is locked skipped

C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped

C:\Documents and Settings\LocalService\ntuser.dat Object is locked skipped

C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked skipped

C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat Object is locked skipped

C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped

C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked skipped

C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked skipped

C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked skipped

C:\System Volume Information\_restore{206D5C9A-566B-437B-A762-213EF381532E}\RP197\change.log Object is locked skipped

C:\WINDOWS\Debug\PASSWD.LOG Object is locked skipped

C:\WINDOWS\ModemLog_HDAUDIO Soft Data Fax Modem with SmartCP.txt Object is locked skipped

C:\WINDOWS\Registration\{02D4B3F1-FD88-11D1-960D-00805FC79235}.{0299C85C-176C-46E5-9671-71A0E904CE58}.crmlog Object is locked skipped

C:\WINDOWS\SchedLgU.Txt Object is locked skipped

C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked skipped

C:\WINDOWS\Sti_Trace.log Object is locked skipped

C:\WINDOWS\system32\CatRoot2\edb.log Object is locked skipped

C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked skipped

C:\WINDOWS\system32\config\AppEvent.Evt Object is locked skipped

C:\WINDOWS\system32\config\default Object is locked skipped

C:\WINDOWS\system32\config\default.LOG Object is locked skipped

C:\WINDOWS\system32\config\Media Ce.evt Object is locked skipped

C:\WINDOWS\system32\config\SAM Object is locked skipped

C:\WINDOWS\system32\config\SAM.LOG Object is locked skipped

C:\WINDOWS\system32\config\SecEvent.Evt Object is locked skipped

C:\WINDOWS\system32\config\SECURITY Object is locked skipped

C:\WINDOWS\system32\config\SECURITY.LOG Object is locked skipped

C:\WINDOWS\system32\config\software Object is locked skipped

C:\WINDOWS\system32\config\software.LOG Object is locked skipped

C:\WINDOWS\system32\config\SysEvent.Evt Object is locked skipped

C:\WINDOWS\system32\config\system Object is locked skipped

C:\WINDOWS\system32\config\system.LOG Object is locked skipped

C:\WINDOWS\system32\h323log.txt Object is locked skipped

C:\WINDOWS\system32\LogFiles\WUDF\WUDFTrace.etl Object is locked skipped

C:\WINDOWS\system32\MsDtc\MSDTC.LOG Object is locked skipped

C:\WINDOWS\system32\MsDtc\Trace\dtctrace.log Object is locked skipped

C:\WINDOWS\system32\msmq\storage\QMLog Object is locked skipped

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked skipped

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked skipped

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked skipped

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked skipped

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked skipped

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked skipped

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked skipped

C:\WINDOWS\wiadebug.log Object is locked skipped

C:\WINDOWS\wiaservc.log Object is locked skipped

C:\WINDOWS\WindowsUpdate.log Object is locked skipped

Scan process completed.

bruce lee · le 5 novembre 2007

Re,

Pour les fichiers vérouillés c'est tout a fait normal

Tout est clean

As-tu encore des problemes avec ton PC ?

GlendaGabon · le 6 novembre 2007

Salut Bruce Lee ,

bon , ça fait déjà ça en moins! Merci à toi et à Apollo.01

Ceci dit il a effectivement deux problèmes que je n'arrive pas à régler qui sont apparus suite à brontok:

1. Le dossier "system volume information" m'est interdit d'accès quand je double-clic dessus. Dans les propriétés, il affiche 0 fichier-0 octet.

Quand avast (que j'ai désinstallé pour antivir comme recommandé par Apo) passait dessus, il me signalait des fichiers à l'intérieur comme archives corrompues, dont le nombre augmentait tout les jours (à cause de la création automatique des points de restauration peut-être?). En l'occurence je ne sais pas ce que signifie le "corrompu" mais je m'inquiète surtout de l'accès interdit et des 0 octet.

2. J'ai une fenêtre "fantôme" à chaque démarrage de mon PC, qui s'ouvre et se ferme trop vite pour que j'arrive à identifier ce dont il s'agit exactement.

Ces derniers jours j'avais aussi systématiquement une erreur au démarrage "LaunchApplication.exe n'a pu démarrer", mais ce matin le message a disparu, de lui-même, je n'ai rien touché...

Hier soir à la fermeture, erreur "wowexec" et "iexplore.exe": c'est la première fois que je vois wowexec mais j'ai toujours eu des messages d'erreur à la fermeture, en particulier iexplore.exe. Je préfère te donner toutes les infos mais ceci ne m'inquiète pas vraiment.

Voilà pour le petit bilan des symptômes... diagnostic docteur ?

Sinon sur le plan de la sécurité, j'ai 2 disques durs externes à décontaminer: pour l'instant ils sont rangés dans un tiroir et je n'ai pas osé les reconnecter à mon PC. J'ai des datas importantes dessus que je dois récupérer, peux-tu me conseiller pour les nettoyer sans réinfecter mon PC s.t.p.?

Merci pour ton aide et à bientôt,

Glenda

bruce lee · le 6 novembre 2007

Salut glendaGabon

1. Le dossier "system volume information" m'est interdit d'accès quand je double-clic dessus. Dans les propriétés, il affiche 0 fichier-0 octet.

C'est tout a fait normal, c'est un dossier protégé. Fait cette manip:

Démarrer, Poste de travail / Menu Outils / Options des dossiers / onglet Affichage :
Activer le bouton-radio : Ne pas afficher les fichiers et dossiers cachés

Activer la case : Masquer les extensions des fichiers dont le type est connu

Activer la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

Cliquer sur "Appliquer à tous les dossiers", puis OK

Maintenant, tu ne devrais plus voir le dossier "system volume information".

Quand avast (que j'ai désinstallé pour antivir comme recommandé par Apo) passait dessus, il me signalait des fichiers à l'intérieur comme archives corrompues, dont le nombre augmentait tout les jours (à cause de la création automatique des points de restauration peut-être?). En l'occurence je ne sais pas ce que signifie le "corrompu" mais je m'inquiète surtout de l'accès interdit et des 0 octet.

On va supprimer tous tes points de restaurations:

Suis scrupuleusement les instructions de ce lien (desactive et réactive la restauration de systeme)

http://cybersecurite.xooit.com/t120-Desact...-du-systeme.htm

Ces derniers jours j'avais aussi systématiquement une erreur au démarrage "LaunchApplication.exe n'a pu démarrer", mais ce matin le message a disparu, de lui-même, je n'ai rien touché...

Bonne nouvelle alors . Si ce probleme réapparait dit le moi, on fixera l'entrée dans ton registre.

Hier soir à la fermeture, erreur "wowexec" et "iexplore.exe": c'est la première fois que je vois wowexec mais j'ai toujours eu des messages d'erreur à la fermeture, en particulier iexplore.exe. Je préfère te donner toutes les infos mais ceci ne m'inquiète pas vraiment.

wowexec: http://www.commentcamarche.net/processus/wowexec-exe.php3 ca ne concerne pas les virus . Si ce problème persiste il te faudra poster dans cette partie du forum: http://forum.zebulon.fr/index.php?showforum=12

Sinon sur le plan de la sécurité, j'ai 2 disques durs externes à décontaminer: pour l'instant ils sont rangés dans un tiroir et je n'ai pas osé les reconnecter à mon PC. J'ai des datas importantes dessus que je dois récupérer, peux-tu me conseiller pour les nettoyer sans réinfecter mon PC s.t.p.?

Ils sont infectés par brontok ? Rebranche en un des deux, on va le désinfecter. Une fois désinfecté on passera a l'autre . Merci de poster un rapport HijackThis.

GlendaGabon · le 6 novembre 2007

Hello Hello Bruce Lee,

Génial , donc tout est bien qui va bien! As-tu une idée de ce que je peux faire pour éliminer ma fenêtre mystère?

Suis scrupuleusement les instructions de ce lien (desactive et réactive la restauration de systeme)
http://cybersecurite.xooit.com/t120-Desact...-du-systeme.htm

Restauration désactivée & réactivée: OK.

Pour les DD externes:

Ils sont infectés par brontok ? Rebranche en un des deux, on va le désinfecter. Une fois désinfecté on passera a l'autre . Merci de poster un rapport HijackThis.

1. Scan du 1er avec antivir: RAS

2. Scan du 2nd: détection de TR/Rontobrok.A et DR/Gator.3202. Pour l'instant j'ai mis les fichiers en quarantaine. DR/gator.3202 se trouve dans des fichiers restauration (encore eux décidément...) F:\system volume information\_restore{...}\RP442\A0043770.exe.

3. Voici le log HJThis que j'ai fait après la mise en quarantaine, avec le disc contaminé connecté au PC mais je ne suis pas sûre que celui-ci ait été réellement analysé (est-ce qu'il n'y aurait pas des options à cocher qqpart )

Merci @+

Glenda.

Logfile of Trend Micro HijackThis v2.0.0 (BETA)

Scan saved at 15:04:36, on 06/11/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\ehome\ehtray.exe

C:\Program Files\hpq\HP Wireless Assistant\HP Wireless Assistant.exe

C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\HP\QuickPlay\QPService.exe

C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe

C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe

C:\Program Files\Winamp\winampa.exe

C:\Program Files\HP\HP Officejet Pro K550 Series\Toolbox\HPWUTBX.exe

C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\Program Files\Windows Media Player\WMPNSCFG.exe

C:\Program Files\Hewlett-Packard\HP Pavilion Webcam\HPWebcam.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Logitech\SetPoint\SetPoint.exe

C:\WINDOWS\eHome\ehRecvr.exe

C:\WINDOWS\eHome\ehSched.exe

C:\Program Files\Fichiers communs\Logitech\KHAL\KHALMNPR.EXE

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Program Files\HP\Digital Imaging\bin\hpqimzone.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\mqsvc.exe

C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe

C:\WINDOWS\system32\mqtgsvc.exe

C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

C:\WINDOWS\system32\dllhost.exe

C:\WINDOWS\eHome\ehmsas.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WLLoginProxy.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Program Files\MSN Messenger\usnsvc.exe

C:\Program Files\HiJackThis\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ie.redirect.hp.com/svs/rdr?TYPE=3&a...n&pf=laptop

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://ie.redirect.hp.com/svs/rdr?TYPE=3&a...n&pf=laptop

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 172.16.1.10:8080

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll

O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe

O4 - HKLM\..\Run: [hpWirelessAssistant] C:\Program Files\hpq\HP Wireless Assistant\HP Wireless Assistant.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe"

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /nodetect

O4 - HKLM\..\Run: [MsmqIntCert] regsvr32 /s mqrt.dll

O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] CHDAudPropShortcut.exe

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [QPService] "C:\Program Files\HP\QuickPlay\QPService.exe"

O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe

O4 - HKLM\..\Run: [QlbCtrl] %ProgramFiles%\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start

O4 - HKLM\..\Run: [Cpqset] C:\Program Files\Hewlett-Packard\Default Settings\cpqset.exe

O4 - HKLM\..\Run: [RecGuard] C:\Windows\SMINST\RecGuard.exe

O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe

O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [HPWUTOOLBOX] C:\Program Files\HP\HP Officejet Pro K550 Series\Toolbox\HPWUTBX.exe "-i"

O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Démarrage rapide de HP Photosmart Premier.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe

O4 - Global Startup: HP Pavilion Webcam Tray Icon.lnk = C:\Program Files\Hewlett-Packard\HP Pavilion Webcam\HPWebcam.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll

O14 - IERESET.INF: START_PAGE_URL=http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_FR&c=64&bd=pavilion&pf=laptop

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/d...can_unicode.cab

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.zebulon.fr/scan8/oscan8.cab

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedC...n/bin/cabsa.cab

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1172155585390

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = CIRMF_GABON

O17 - HKLM\Software\..\Telephony: DomainName = CIRMF_GABON

O17 - HKLM\System\CCS\Services\Tcpip\..\{2B1CF6E8-1662-45BB-A110-E539C8DDC0B4}: NameServer = 151.99.125.2,217.77.71.1,195.83.14.1,195.217.62.126,152.99.125.3

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = CIRMF_GABON

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = CIRMF_GABON

O18 - Protocol: ncbi8 - {2B576DD3-0B3E-4718-BCBF-B15E4FB8009D} - C:\Program Files\Invitrogen\Vector NTI Advance 10\Ncbi.dll

O22 - SharedTaskScheduler: Pré-chargeur Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll

O22 - SharedTaskScheduler: Démon de cache des catégories de composant - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll

O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe

O23 - Service: AddFiltr - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\AddFiltr.exe

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Service de planification Media Center (ehSched) - Unknown owner - C:\WINDOWS\eHome\ehSched.exe

O23 - Service: Journal des événements (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe

O23 - Service: Fax - Unknown owner - C:\WINDOWS\system32\fxssvc.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - c:\Program Files\Fichiers communs\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: Service COM de gravage de CD IMAPI (ImapiService) - Unknown owner - C:\WINDOWS\system32\imapi.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

O23 - Service: Partage de Bureau à distance NetMeeting (mnmsrvc) - Unknown owner - C:\WINDOWS\system32\mnmsrvc.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Planificateur LiveUpdate automatique - Unknown owner - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe (file missing)

O23 - Service: Plug-and-Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe

O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Carte à puce (SCardSvr) - Unknown owner - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

O23 - Service: Journaux et alertes de performance (SysmonLog) - Unknown owner - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Cliché instantané de volume (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe

O23 - Service: Carte de performance WMI (WmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\wmiapsrv.exe

O23 - Service: Service Partage réseau du Lecteur Windows Media (WMPNetworkSvc) - Unknown owner - C:\Program Files\Windows Media Player\wmpnetwk.exe

--

End of file - 12721 bytes

bruce lee · le 6 novembre 2007

re,

Si durant la procédure ci-dessous, il y a des étapes que tu n'as pas reussi a faire, merci de continuer la procédure jusqu'au bout et de les signaler dans ta prochaine reponse.

Je te conseille d'enregistrer la page web compléte sous Internet Explorer comme ceci :

* Clique sur Fichier/Enregistrer sous Dans Type, choisis : Archive web (fichier seul (*.mht) / Enregistre la sur le bureau,comme cela tu retrouvera la mise en forme ou imprime cette réponse. Une partie de la désinfection se déroulera en mode sans échec.

1/Télécharge puis installe http://www.ewido.net/en/download

Une fois AVG AS lancé, clique sur Mise à jour

Ferme le programme.

2/Démarre en mode sans échec http://cybersecurite.xooit.com/t88-Demarre...s-echec.htm#665

3/ Relance AVG AS puis choisis l'onglet Analyse

Puis l'onglet Paramètres

Sous la question Comment réagir ?, clique sur Actions recommandées et choisis Quarantaine

Reclique sur l'onglet Analyse puis réalise une Analyse complète du système

Si un fichier infecté est détecté en fin d'analyse

Clique sur Appliquer toutes les actions

Clique sur Enregistrer le rapport puis sur Enregistrer le rapport sous

Enregistre ce fichier texte sur ton bureau

4/Redémarre en mode normal

5/Assure toi que les contrôles activeX soient bien configurés dans les options internet comme décrit sur ce lien=> http://cybersecurite.xooit.com/t123-Les-co...les-ActiveX.htm

Fais un scan en ligne Kaspersky
Clique sur Accept
Une barre jaune va te demander si tu acceptes d'installer le Kavwebscan_Unicode.cab, installe l'Active X.
clique une nouvelle fois sur "Accept"
Les bases de mises à jour vont s'installer, patiente un moment
Clique sur Next.
Clique sur My Computer, le scan se met en route; attends la fin du scan sans fermer la fenêtre sinon il s'arrêtera.

A la fin du scan, si des objets infectés sont découverts, clique sur Save report as... Choisis bureau et nomme le rapport "rapport Kaspersky" et dans le champ d'enregistrement, choisis "fichiers texte" enregistre alors le rapport.

Copie/colle l'entièreté du fichier texte ouvert, par clic droit dessus, sélectionner tout/copier.

Colle ce rapport dans ta réponse sur le forum.

Aide en cas de problème http://cybersecurite.xooit.com/t100-Scan-e...spersky.htm#768

NOTE: Le scan est à faire avec Internet Explorer.

6/Poste le rapport d'AVG Anti spyware 7.5

Bon courage, et si tu as la moindre question n'hésite surtout pas

@+

GlendaGabon · le 7 novembre 2007

Bonjour Bruce Lee ,

Voici le résultats des opérations:

1. quelques cookies détectés avec AVG-AS sur le disc C:

Si un fichier infecté est détecté en fin d'analyse
Clique sur Appliquer toutes les actions

Clique sur Enregistrer le rapport puis sur Enregistrer le rapport sous

- l'action appliquée a été la suppression des fichiers (pourtant j'avais bien paramétré sur quarantaine comme tu me l'as dit)

- le rapport n'a pas été généré: j'imagine que c'est parce que j'avais laissé cocher la case "faire un rapport seulement si infections détectées" ou une formule dans le genre. Du coup j'ai fait une impression d'écran de la fenêtre de résultat au cas où tu voudrais en savoir plus. Dis moi si tu veux que je te l'envoie. Je ne sais pas trop d'où ils sortent car les noms ne me disent rien (par ex "doubleclick" ou "adviva")

2. le scan Kaspersky a trouvé quelques "trucs" sur mon 1er DD externe (F, celui sans virus d'hier) et rien sur le 2nd (G, celui avec rontobrok) mais comme j'avais mis ces derniers fichiers en quarantaine avec Antivir, c'est peut-être normal

Merci et @+

Glenda.

Voici le rapport Kaspersky

-------------------------------------------------------------------------------

KASPERSKY ONLINE SCANNER REPORT

Wednesday, November 07, 2007 3:05:47 PM

Operating System: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)

Kaspersky Online Scanner version: 5.0.98.0

Kaspersky Anti-Virus database last update: 7/11/2007

Kaspersky Anti-Virus database records: 452722

-------------------------------------------------------------------------------

Scan Settings:

Scan using the following antivirus database: extended

Scan Archives: true

Scan Mail Bases: true

Scan Target - My Computer:

C:\

D:\

E:\

F:\

G:\

Scan Statistics:

Total number of scanned objects: 164631

Number of viruses found: 2

Number of infected objects: 8

Number of suspicious objects: 0

Duration of the scan process: 02:54:04

Infected Object Name / Virus Name / Last Action

C:\Documents and Settings\All Users\Application Data\Microsoft\eHome\logs\ehRecvr.log Object is locked skipped

C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat Object is locked skipped

C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat Object is locked skipped

C:\Documents and Settings\Gilda\Application Data\Microsoft\Modèles\Normal.dot Object is locked skipped

C:\Documents and Settings\Gilda\Cookies\index.dat Object is locked skipped

C:\Documents and Settings\Gilda\Historique\History.IE5\index.dat Object is locked skipped

C:\Documents and Settings\Gilda\Historique\History.IE5\MSHist012007110720071108\index.dat Object is locked skipped